情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問09

クラウド固有の管理策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「JIS Q 27002」「JIS Q 27017」「記載されていないが…」。
2. 規格の目的を簡単に思い出す：27002は一般的な管理策、27017はクラウドに特化した追加指針。
3. 各選択肢と規格の範囲を照らし合わせる。クラウド固有の内容なら27017、制御システムや事業継続などクラウド特有でないものは27002に既に含まれるか別規格扱い。
4. 最も該当する選択肢を選ぶ → クラウド固有を扱う ア を選択。

選択肢別の誤答解説

• ア: クラウドサービス固有の情報セキュリティ管理策
  → 正解。JIS Q 27017はクラウドの特性（共有責任、仮想化、データ分離、退去時のデータ消去など）に対する具体的な管理策を示すため、ここに該当します。
• イ: 事業継続マネジメントシステムにおける管理策
  → 誤り。事業継続（Business Continuity Management：BCM）の管理策はJIS Q 27002にも含まれているか、別途事業継続マネジメント規格（例：ISO 22301）で詳述されます。27017はクラウド固有の視点を追加するものであり、BCM全般のための新しい管理策を主目的とはしていません。
• ウ: 情報セキュリティガバナンスにおける管理策
  → 誤り。ガバナンス（組織の方針や責任分担）は27002の基本領域です。27017はその上にクラウド特有の実務上の注意点を加えるため、ガバナンスそのものが新規の主題とはなりません。
• エ: 制御システム固有のサイバーセキュリティ管理策
  → 誤り。産業用制御システム（ICS）や組込み制御系のサイバーセキュリティは、IEC/ISA 62443など別の規格群が専門領域です。27017はクラウドに焦点を当てており、制御システム固有の管理策を扱うものではありません。

よくある誤解

1. 「27017は27002を置き換える」
   → 誤解です。27017は27002の代わりではなく、クラウド特有の追加指針（拡張）です。27002の基本を理解した上で、クラウドに適用するための補足を参照します。
2. 「クラウドを使えば全部クラウド事業者の責任」
   → 誤解です。クラウドでは「責任分界（Shared Responsibility）」が重要で、何を事業者が担うか、顧客が担うかを契約で明確にします。27017はこの点を明示的に扱います。

補足コラム

• 役割と責任の明確化：クラウド事業者と顧客の責任（管理する項目）を契約書やSLAで明文化する。
• 仮想化環境の分離：同一物理ホスト上の複数テナント間でデータが漏れないようにする対策。
• データの帰属と消去：契約終了時に顧客データを安全に返却・消去する手順の確立。
• 管理者特権の扱い：クラウド事業者の管理者アクセスに関する監査と制御。

FAQ