情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問03

クラウド管理策の適用範囲【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：JIS Q 27017＝クラウド向けの管理策の手引き。
2. 「誰に適用するか」を問うていると認識する（利用者のみか、提供者のみか、両方か）。
3. JIS Q 27017 の趣旨を思い出す：クラウド特有の役割分担（利用者と提供者）を踏まえた指針である。
4. 各選択肢と照らし合わせ、両者に適用可能とする選択肢を選ぶ → イ を選定。

選択肢別の誤答解説

• ア: 「外部を利用し、かつ別に提供する事業者だけに適用」
  誤り。これは“利用者かつ提供者の両方を兼ねる事業者のみ”に限定しており、実際の規範の適用範囲より狭くなっています。JIS Q 27017 は片方の立場でも参考になります。
• ウ: 「利用するだけの事業者には適用できない」
  誤り。クラウド利用者（外部サービスを使う側）向けの管理策や注意点も手引きに含まれており、利用者に適用できます。
• エ: 「利用せず提供だけの事業者には適用できない」
  誤り。クラウド提供者向けの運用・管理指針も含まれており、提供だけの事業者にも適用できます。

よくある誤解

• 「クラウド向けの規範は提供者だけのもの」
  誤解しやすい点です。提供者の対策は重要ですが、利用者側にも契約、データ保護、アクセス管理などの具体的管理策が示されています。
• 「JIS Q 27017 は法律や強制規則である」
  JIS（日本工業規格）は規範ですが、JIS Q 27017 の記述はガイドライン（実務指針）であり、直接の法的強制力はありません。業務での適用は契約や社内規程に落とし込む必要があります。

補足コラム

• 共有責任モデル（shared responsibility model：クラウドの責任分担）
  クラウド環境では、どのセキュリティ対策をクラウド提供者が行い、どれを利用者が担うかを明確にする必要があります。JIS Q 27017 はその判断や具体的な管理策の例を示します。職場では、調達時の契約（SLA）や委託先管理にこの線引きを反映させると実務で役立ちます。
• 運用イメージ（実務での一言）
  例えば人事システムを外部クラウドで利用する場合、利用者側はアクセス権管理や暗号化方針、ログ確認の体制を整え、提供者側はインフラの物理的セキュリティや基盤の脆弱性対応を担う、といった具合に役割分担を明文化します。

FAQ