ITパスポート 2025年 問02

クラウド対応の情報セキュリティ管理体制を定める規格はどれか【ITパスポート 解説】

正解の理由

• ISO（International Organization for Standardization：国際標準化機構）／IEC（International Electrotechnical Commission：国際電気標準会議）
• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）— 情報を守るための組織的な仕組み

解法ステップ

1. 問題文のキーワードを拾う：「従来の情報セキュリティマネジメントシステム規格を基礎に」「クラウドサービスに対応」「ガイドライン規格」
2. 各選択肢が何を対象にした規格かを短く思い出す（下の選択肢別解説参照）。
3. 「クラウド」＝クラウド特有のガイドラインを示すものを選ぶ。ここで ISO/IEC 27017 が該当するため選択する。
4. 他の選択肢はクラウドや情報セキュリティのガイドラインではないので除外する。

• 「27017 → 27（情報セキュリティ）＋017（クラウド用ガイド）」とイメージする（27001がISMS本体、27002が管理策の手引き、27017がクラウドの追加手引き）。

選択肢別の誤答解説

• ア: ISO 14001
  • ISO 14001 は環境マネジメント（Environmental Management System：環境に関する管理体制）の国際規格です。環境保全や法規制対応が対象で、情報セキュリティやクラウドとは無関係です。
• イ: JIS Q 15001
  • JIS Q 15001 は個人情報保護のためのマネジメントシステム規格（PMS：Personal Information Management System、個人情報保護マネジメントシステム）です。個人情報の扱いに関する管理が主眼で、クラウドに特化したガイドラインではありません。
• ウ: ISO/IEC 27017
  • 正解。クラウドサービスに特化した情報セキュリティの実務的なガイダンスを提供します。従来の ISMS や管理策（27001/27002）を基礎に、クラウド特有の制御や責任分担について追加規定があります。
• エ: ISO 9001
  • ISO 9001 は品質マネジメントシステム（Quality Management System：品質管理）に関する国際規格です。製品やサービスの品質向上が目的で、情報セキュリティやクラウドとは目的が異なります。

よくある誤解

1. 「ISOの番号が似ているから27001と27017は同じ」と考える誤解
   • 27001 は ISMS（組織全体の管理体制）に関する規格で、27017 はクラウドに特化した追加のガイドラインです。用途が重なる部分はありますが、目的は異なります。
2. 「JIS Q 15001 が情報セキュリティの規格だ」と思う誤解
   • JIS Q 15001 は個人情報保護に特化しています。個人情報は情報セキュリティの一部ですが、問われている「クラウド対応の情報セキュリティガイドライン」には当てはまりません。
3. 「ISO 27017 自体で認証（資格）が取れる」と誤認すること
   • 27017 はガイドライン（実践規範）的な性格が強く、認証の中心は 27001（ISMS）です。27017 は補助的に使われます（詳細は補足コラム参照）。

補足コラム

• 関連規格の位置づけ（簡潔に）
  • ISO/IEC 27001：ISMS（組織の情報セキュリティ管理体制）を定める規格。認証の対象になりやすい。
  • ISO/IEC 27002：情報セキュリティ管理策の実践的な手引き（コードオブプラクティス）。
  • ISO/IEC 27017：クラウドサービス向けに 27002 の管理策をどう適用するかを示すガイドライン。
  • ISO/IEC 27018：クラウド上の個人情報（Personally Identifiable Information：PII）の保護に焦点を当てたガイドライン（クラウドのプライバシー対策）。
• 実務での使い方：
  • クラウド事業者（サービス提供側）と利用者（顧客側）で責任範囲が分かれます。27017 はどちらがどの対策を取るべきかの指針になります。例えば、データの暗号化やログ管理の責任の分担などです。

FAQ