応用情報技術者 2023年春期午前2 問39

問題文

“政府情報システムのためのセキュリティ評価制度(ISMAP)”の説明はどれか。

選択肢

ア：個人情報の取扱いについて政府が求める保護措置を講じる体制を整備している事業者などを評価して、適合を示すマークを付与し、個人情報を取り扱う政府情報システムの運用について、当該マークを付与された者への委託を認める制度

イ：個人データを海外に移転する際に、移転先の国の政府が定めた情報システムのセキュリティ基準を評価して、日本が求めるセキュリティ水準が確保されている場合には、本人の同意なく移転できるとする制度

ウ：政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度（正解）

エ：プライベートクラウドの情報セキュリティ全般に関するマネジメントシステムの規格にパブリッククラウドサービスに特化した管理策を追加した国際規格を基準にして、政府情報システムにおける情報セキュリティ管理体制を評価する制度

政府情報システムのためのセキュリティ評価制度(ISMAP)【午前2 解説】

要点まとめ

結論：ISMAPは政府が求めるセキュリティ要求を満たすクラウドサービスを評価・登録し、調達時の安全性を確保する制度です。
根拠：政府情報システムのクラウド利用拡大に伴い、セキュリティ基準を満たすサービスを事前に認定する仕組みが必要とされたためです。
差がつくポイント：ISMAPは個人情報保護や海外移転の制度ではなく、クラウドサービスのセキュリティ評価に特化している点を押さえましょう。

正解の理由

選択肢ウは、ISMAPの本質を正確に表しています。ISMAPは政府がクラウドサービスのセキュリティ要求を明確にし、それを満たすサービスを評価・登録することで、政府調達におけるセキュリティ水準を確保する制度です。これにより、政府機関は安全なクラウドサービスを効率的に選定できます。

よくある誤解

ISMAPは個人情報保護のための制度や海外データ移転のルールではありません。クラウドサービスのセキュリティ評価に特化した制度であることを混同しないよう注意が必要です。

解法ステップ

問題文の「政府情報システムのためのセキュリティ評価制度」というキーワードに注目する。
選択肢の内容が「セキュリティ評価制度」に合致しているかを確認する。
個人情報保護や海外移転に関する説明はISMAPの内容と異なるため除外する。
クラウドサービスのセキュリティ評価・登録に関する説明がある選択肢を選ぶ。
選択肢ウがISMAPの説明として最も適切であると判断する。

選択肢別の誤答解説

ア：個人情報保護のための評価制度の説明であり、ISMAPの対象外です。
イ：海外への個人データ移転に関する制度であり、ISMAPとは無関係です。
ウ：政府のクラウドサービス調達におけるセキュリティ評価制度として正しい説明です。
エ：プライベートクラウドのマネジメントシステム規格に関する説明で、ISMAPの内容とは異なります。

補足コラム

ISMAPは「Information System Security Management and Assessment Program」の略称で、政府がクラウドサービスのセキュリティを評価・登録する制度です。これにより、政府機関は安全性が保証されたクラウドサービスを迅速に選定でき、セキュリティリスクを低減します。クラウドサービスの普及に伴い、政府の情報システムの安全性確保に重要な役割を果たしています。