ITパスポート 2024年 問82

ISMSクラウドセキュリティ認証に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「ISMSクラウドセキュリティ認証」「クラウドサービス」「管理策」「認証」。
2. 用語の意味を思い出す：ISMSは組織の情報セキュリティ管理の仕組みを指します。クラウド向けの認証は「クラウド固有の管理策」を評価するものと考える。
3. 選択肢を照らし合わせる：クラウド固有の管理策を評価する説明と合致する選択肢を選ぶ。
4. 他の選択肢（SSOや認証方式、プライバシーマーク）と目的が一致するかを検証し、違えば除外する。

選択肢別の誤答解説

• ア: 「一度認証するだけで、複数のクラウドサービスやシステムなどを利用できるようにする認証の仕組み」
  • これは SSO（Single Sign-On：一度の認証で複数サービスにログインできる仕組み）の説明です。認証制度（第3者が安全性を評価して認定するもの）ではありません。よって不正解です。
• イ: 「クラウドサービスについて、クラウドサービス固有の管理策が実施されていることを認証する制度」
  • クラウド特有の管理策（例：仮想化やテナント分離、データの取り扱いやログ管理など）を評価する制度の説明で、ISMSクラウドセキュリティ認証の趣旨と一致します。正解です。
• ウ: 「個人情報について適切な保護措置を講ずる体制を整備しているクラウド事業者などを評価して、事業活動に関してプライバシーマークの使用を認める制度」
  • プライバシーマーク（Pマーク：日本で個人情報の適切な取扱いを行っている事業者に付与されるマーク）は、組織の個人情報保護体制を評価する制度ですが、これはクラウド固有の管理策を評価するものではありません。また、プライバシーマークの付与はクラウド専用の認証とは別の仕組みです。したがって不正解です。
• エ: 「利用者がクラウドサービスへログインするときの環境、IPアドレスなどに基づいて状況を分析し、リスクが高いと判断された場合に追加の認証を行う仕組み」
  • これはリスクベース認証（アダプティブ認証、Risk-Based Authentication：ログイン状況に応じて多要素認証を要求する仕組み）の説明です。認証の種類であって、クラウドサービス全体の管理策を第三者が認証する制度ではありません。よって不正解です。

よくある誤解

1. 「ISMSクラウドセキュリティ認証＝SSO（シングルサインオン）」と混同する
   • SSOは利用者側のログイン利便性に関する仕組みであり、認証制度（第三者認定）とは目的が異なります。
2. 「認証を受けていれば絶対に安全」だと考える
   • 認証は一定の管理策が実施されていることを示す指標です。脆弱性や運用ミスがないことを保証するものではありません。常時の運用・監視や利用側の対策（パスワード管理など）も重要です。
3. 「プライバシーマークと同じもの」だと誤解する
   • プライバシーマークは個人情報保護体制を対象にした別制度です。クラウド固有のセキュリティ評価とは目的が異なります。

補足コラム

• ISMSクラウドセキュリティ認証は、一般的に ISO/IEC 27001（情報セキュリティ管理の国際規格）を基盤に、クラウド固有の管理策の考え方は ISO/IEC 27017（クラウドサービスに関する情報セキュリティの実践規範）などの考え方を参考にしています。
• クラウドの特徴として「共有責任モデル」があります。これはクラウド提供者（サービス側）と利用者（顧客側）でセキュリティ責任を分担する考え方です。認証は提供者側の管理策が適切かを示す手掛かりになりますが、利用者側の設定や運用も安全性に大きく影響します。
• 例：認証で評価される管理策には、データ分離策、ログ管理、アクセス制御、暗号化、サービスの冗長化（障害対策）などが含まれます。

FAQ