ホーム > 情報処理安全確保支援士試験 > 2021年 秋期
情報処理安全確保支援士試験 2021年 秋期 午前2 問25
クラウドサービスの導入検討プロセスに対するシステム監査において,クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして,最も適切なものはどれか。
ア：クラウドサービスの障害時における最大許容停止時間が検討されているか。
イ：クラウドサービスの利用者IDと既存の社内情報システムの利用者IDの一元管理の可否が検討されているか。
ウ：クラウドサービスを提供する事業者が信頼できるか,事業者の事業継続性に懸念がないか,及びサービスが継続して提供されるかどうかが検討されているか。（正解）
エ：クラウドサービスを提供する事業者の施設内のネットワークに,暗号化通信が採用されているかどうかが検討されているか。
解説
クラウドサービスの情報保全と消失予防に関する監査チェックポイント【午前2 解説】
要点まとめ
- 結論：クラウド事業者の信頼性や事業継続性の検討が情報保全と消失予防の最重要ポイントです。
- 根拠：信頼できる事業者でなければ、データの安全な管理やサービスの継続が保証されず、情報消失リスクが高まります。
- 差がつくポイント：単なる技術的要素だけでなく、事業者の経営基盤やBCP（事業継続計画）まで評価する視点が必要です。
正解の理由
選択肢ウは、クラウドサービスの提供事業者が信頼できるか、事業継続性に懸念がないか、サービスが継続して提供されるかを検討する点を挙げています。これは情報の保全と消失予防に直結する最も重要な観点です。事業者の信頼性が低ければ、データの管理体制や障害対応が不十分となり、情報消失のリスクが増大します。また、事業継続性が確保されていなければ、サービス停止やデータ消失の可能性が高まるため、監査において必須のチェックポイントです。
よくある誤解
クラウドの技術的な通信暗号化やID管理だけを重視しがちですが、これらは情報保全の一部に過ぎず、事業者の信頼性や継続性の評価が抜けると根本的なリスクを見落とします。
解法ステップ
- 問題文の「情報の保全及び消失の予防」に注目する。
- 保全と消失予防に直結する要素は何かを考える。
- 技術的対策だけでなく、事業者の信頼性や事業継続性の重要性を理解する。
- 選択肢を比較し、事業者の信頼性と継続性を検討しているものを選ぶ。
選択肢別の誤答解説
- ア: 最大許容停止時間はサービスの可用性に関する指標であり、保全や消失予防の直接的なチェックポイントではありません。
- イ: 利用者IDの一元管理はアクセス管理の効率化に関係しますが、情報の保全や消失予防の本質的な対策とは異なります。
- ウ: 事業者の信頼性や事業継続性を検討することは、情報保全と消失予防の根幹であり最適な選択肢です。
- エ: ネットワーク内の暗号化通信は情報の機密性確保に寄与しますが、情報消失の予防には直接関係しません。
補足コラム
クラウドサービスの監査では、技術的なセキュリティ対策だけでなく、事業者の財務状況やBCP（事業継続計画）、災害対策などの非技術的要素も重要視されます。これにより、長期的に安定したサービス提供と情報保全が期待できます。
FAQ
Q: なぜ事業者の信頼性が情報保全に重要なのですか？
A: 信頼できる事業者は適切な管理体制や障害対応を持ち、データ消失リスクを低減できるためです。
A: 信頼できる事業者は適切な管理体制や障害対応を持ち、データ消失リスクを低減できるためです。
Q: 最大許容停止時間はなぜ情報消失予防に直結しないのですか？
A: 停止時間はサービスの可用性指標であり、停止中のデータ消失を防ぐ保証にはなりません。
A: 停止時間はサービスの可用性指標であり、停止中のデータ消失を防ぐ保証にはなりません。
関連キーワード: クラウド監査, 事業継続性, 情報保全, データ消失予防, BCP, クラウドサービス信頼性