ITパスポート 2023年 問56

ISMSクラウドセキュリティ認証に関する記述【ITパスポート 解説】

正解の理由

• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）： 情報の安全を組織的に管理する仕組みやルールのこと。
• 管理策（security controls）： リスクを減らすために設ける具体的な方策や手順のこと。

解法ステップ

1. 問題文のキーワード「ISMSクラウドセキュリティ認証」と「クラウドサービス固有の管理策」に注目します。
2. ISMSやクラウド特有の管理策（例：共有責任や仮想化に関する対策）についての基本を思い出します。
3. 各選択肢が、その目的（クラウド固有の管理策を評価する）に合致するかを確認します。
4. 合致するのはクラウド固有の管理策を評価する説明だけなので、イを正解と判断します。

選択肢別の誤答解説

• ア: 「PaaS, SaaSが対象であり、IaaSは対象ではない。」
  • 誤り。クラウドのサービスモデルには IaaS（Infrastructure as a Service：基盤を提供するサービス）、PaaS（Platform as a Service：実行環境を提供するサービス）、SaaS（Software as a Service：ソフトウェアをサービスとして提供）があります。ISMSクラウドセキュリティ認証は特定のモデルだけを排他的に対象にするものではなく、クラウド固有の管理策が関係する範囲で評価されます。したがって「IaaSは対象ではない」は正しくありません。
• イ: 「クラウドサービス固有の管理策が適切に導入、実施されていることを認証するものである。」
  • 正解。ISMSの枠組みの下で、クラウド特有のリスクへ対処する管理策（例えば、利用者と提供者の責任分担や仮想化環境の保護など）が適切に運用されているかを評価します。
• ウ: 「クラウドサービスを提供している組織が対象であり、クラウドサービスを利用する組織は対象ではない。」
  • 誤り。主にクラウドサービスを提供する事業者が対象となる場合が多いですが、クラウド利用をISMSの範囲に含めることで、クラウドを利用する組織（利用側）もクラウドに関する管理策を評価・認証の対象にすることができます。つまり「利用する組織は対象ではない」と断定するのは誤りです。
• エ: 「クラウドサービスで保管されている個人情報について、適切な保護措置を講じる体制を整備し、運用していることを評価して、プライバシーマークの使用を認める制度である。」
  • 誤り。プライバシーマーク（Pマーク：個人情報の適切な取り扱いを第三者認証する制度）は別の認証制度です。ISMSクラウドセキュリティ認証はクラウド固有の情報セキュリティ管理策を評価する制度であり、プライバシーマークの使用許可を与えるものではありません。

よくある誤解

1. 「ISMSはクラウドの提供者しか対象にならない」
   → 誤り。提供者が主要な対象になることが多いですが、利用者側が自社のISMSにクラウドの運用を含めて認証を受けることも可能です。範囲（スコープ）次第で対象が変わります。
2. 「クラウド認証はSaaSだけの問題だ」
   → 誤り。仮想化や多者利用といったクラウド特有のリスクは IaaS、PaaS、SaaS のすべてに関係します。特定モデルだけを対象とするわけではありません。
3. 「プライバシーマークと同じものだ」
   → 誤り。目的や評価基準が異なります。プライバシーマークは個人情報保護に特化した認証です。

補足コラム

• 関連する国際規格としては、ISO/IEC 27017（クラウドサービスの情報セキュリティに関する行為指針）や ISO/IEC 27018（クラウドにおける個人データ保護のガイドライン）があります。これらはクラウド特有の管理策を考える際の参考になります。
• 「共有責任モデル」という言葉を覚えておくと便利です。これはクラウドでのセキュリティは提供者と利用者で責任範囲が分かれる、という考え方です。認証ではこの分担が明確にされ、適切に管理されているかが重要になります。

FAQ