ホーム > 情報処理安全確保支援士試験 > 2023年春期

情報処理安全確保支援士試験 2023年春期午前2 問08

政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP 管理基準”が基礎としているものはどれか。

ア：FIPS 140-3(暗号モジュールのセキュリティ要求事項)

イ：ISO/IEC 27018 2019(個人識別情報(PII)プロセッサとして作動するパブリッククラウドにおけるPIIの保護のための実施基準)

ウ：JIS Q 15001:2017(個人情報保護マネジメントシステム-要求事項)

エ：日本セキュリティ監査協会“クラウド情報セキュリティ管理基準(平成28年度版)”（正解）

解説

政府情報システムのセキュリティ評価制度における「ISMAP（Information System Security Management and Assessment Program）」は、日本のクラウドサービスの安全性を確保し、政府機関が安心してクラウドを利用できるように設けられた管理基準です。

ISMAPの管理基準は、特にクラウド環境における情報セキュリティの管理や評価を目的としているため、クラウドに特化した信頼性のある基準を基に構築されています。選択肢の中でこれに該当するのが「日本セキュリティ監査協会のクラウド情報セキュリティ管理基準（平成28年度版）」です。

各選択肢の内容を簡単に整理すると：

ア: FIPS 140-3
米国の暗号モジュールのセキュリティ基準で、主に暗号化製品の検証に使われます。クラウド全体の管理基準ではありません。
イ: ISO/IEC 27018:2019
パブリッククラウドの個人識別情報（PII）保護を目的とした国際規格で、クラウドの個人情報保護に焦点を当てていますが、ISMAP全体の管理基準とは異なります。
ウ: JIS Q 15001:2017
個人情報保護マネジメントシステムの要求事項で、広く個人情報保護の管理体制を規定しますが、クラウド固有のセキュリティ評価基準ではありません。
エ: 日本セキュリティ監査協会「クラウド情報セキュリティ管理基準」
日本のクラウドサービスを対象にしたセキュリティ管理基準であり、政府情報システムのセキュリティ評価に対応した基準としてISMAPの基礎となっています。

まとめると、ISMAPの管理基準はクラウド環境に特化した日本独自の指針を基盤としており、それが「日本セキュリティ監査協会のクラウド情報セキュリティ管理基準（平成28年度版）」です。したがって、正解はエになります。

このように、ISMAPは日本のクラウドサービスの安全性評価のために設計された基準であり、単に個別の暗号要求や個人情報保護の国際規格ではなく「クラウド情報セキュリティ管理基準」を基礎としている点が重要です。