ITサービスマネージャ 2022年午前2 問16

問題文

クラウドサービスのセキュリティ評価制度であるISMAPに関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：PaaS、SaaS事業者が求めるセキュリティ要求を満たしているIaaSを登録する制度であるので、IaaSだけがISMAPクラウドサービスリストに登録される。

イ：クラウドサービス事業者自らが情報セキュリティ対策に取り組むことを自己宣言したクラウドサービスはISMAPクラウドサービスリストに登録される。

ウ：政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスがISMAPクラウドサービスリストに登録される。（正解）

エ：政府機関がクラウドサービスを利用するに当たり、適切にクラウドサービス事業者を選定しているかどうかを監査機関が審査し、認定された政府機関はISMAPクラウドサービスリストに登録される。

🔒 解説は解答すると表示されます

ISMAPの登録対象【午前2解説】

正解の理由

ISMAPは、政府がクラウドサービスを安全に利用できるよう、クラウドサービスのセキュリティ対策を評価・登録する制度です。政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスは、ISMAPクラウドサービスリストに登録されます。

したがって、政府の要求を満たしたクラウドサービスが登録対象であるとするウが適切です。登録されるのは、サービスを提供する事業者や利用する政府機関ではなく、評価を受けたクラウドサービスです。

解法ステップ

ISMAPが、政府によるクラウドサービス利用のためのセキュリティ評価制度だと確認します。
「何がリストに登録されるのか」に注目します。
登録対象は、政府のセキュリティ要求を満たしていると確認されたクラウドサービスだと判断します。
その内容に合致するウを選びます。

選択肢別の誤答解説

ア：登録対象をIaaSだけに限定している点が誤りです。ISMAPのリストには、IaaSに限らず、要件を満たしたさまざまなクラウドサービスが登録されます。
イ：事業者の自己宣言だけで登録される制度ではありません。所定の評価を通じて、セキュリティ要求を満たしていることが確認される必要があります。
ウ：政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスを登録する説明です。
エ：登録対象を政府機関としている点が誤りです。ISMAPクラウドサービスリストに登録されるのは、政府機関ではなくクラウドサービスです。

よくある誤解

IaaSだけが対象だと思う：ISMAPは特定のサービスモデルだけを登録する制度ではありません。
自己宣言すれば登録されると思う：事業者による宣言だけでは不十分で、要求事項への適合性が評価されます。
利用する政府機関がリストに載ると思う：リストに掲載されるのは、評価を受けたクラウドサービスです。

補足コラム

ISMAPは、政府機関がクラウドサービスを利用する際に、個々のサービスのセキュリティ対策を確認しやすくする仕組みです。リストに登録されていることは、政府の要求に基づく評価を経ていることを示します。ただし、実際に利用する際は、政府機関側でも利用目的や取り扱う情報に応じてサービスを選定する必要があります。

FAQ

Q. ISMAPに登録されると、政府機関は必ずそのサービスを利用するのですか？
A. いいえ。リストへの登録は、利用を義務付けるものではありません。政府機関は、用途や必要なセキュリティ水準に応じて利用するサービスを選びます。

Q. クラウドサービス事業者が安全だと宣言すれば、登録できますか？
A. いいえ。自己宣言だけでは登録されません。制度で定められたセキュリティ要求への適合性が確認される必要があります。

関連キーワード: ISMAP、クラウドサービスリスト、セキュリティ評価、政府情報システム

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

ITサービスマネージャを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！