情報処理安全確保支援士 2024年 春期 午前2 問07

ISMAP-LIUの対象範囲【午前2解説】

正解の理由

解法ステップ

1. 問題文からキーワードを抽出：ISMAP-LIU、登録規則、対象サービスの性質（リスクの大小）。
2. ISMAPとISMAP-LIUの位置づけを確認：ISMAPは政府向けクラウド評価制度、ISMAP-LIUは低リスク向けの簡易登録枠であるかを意識する。
3. 各選択肢とISMAP-LIUの趣旨を照合：
   • 高度で包括的な認証（ISO/JISベース）や政府ベースラインを規定する記述はISMAP本体寄り。
   • 監査法人による内部統制の意見表明はISMAP-LIUの特徴ではない。
   • 「リスクの小さな業務向けSaaS」はISMAP-LIUの趣旨に合致。
4. 最も合致する選択肢を選択（結果：ウ）。

選択肢別の誤答解説

• ア: JIS Q 27001 に加え JIS Q 27017 を認証する。
  解説：ISMAP本体や一般的なクラウド評価ではISO/IEC 27001（JIS Q 27001）やクラウド特有のガイドラインを基準にすることはあるが、ISMAP-LIUは低影響のSaaS向けに要件と手続きを簡素化した枠であり、必ずしも JIS Q 27017 の認証を前提としているわけではありません。したがってISMAP-LIUの説明として誤りです。
• イ: アウトソーシング事業者が記述したセキュリティの内部統制に対しても、監査法人が評価手続を実施した結果とその意見を表明する。
  解説：監査法人が意見表明を行うのは財務諸表や特定の内部統制監査に限られるケースが多く、ISMAP-LIUの趣旨や手続きとして「監査法人による意見表明」を必須とする記述は合致しません。ISMAP-LIUは簡易登録制度であり、必ずしも監査法人の意見表明を求めるものではありません。
• ウ: リスクの小さな業務・情報の処理に用いる SaaS サービスを対象とする。
  解説：ISMAP-LIUは「Low Impact Use」を意図した制度で、リスクの小さい業務や情報の処理に用いるSaaSなどを主な対象とします。これが最も制度趣旨に合致する記述です。
• エ: 我が国の政府機関などにおける情報セキュリティのベースライン、及びより高い水準の情報セキュリティを確保するための対策事項を規定している。
  解説：この記述はISMAP本体や政府の情報セキュリティ基準（高いセキュリティ水準を求める枠組み）を説明するものであり、ISMAP-LIUの「低リスク向け・簡易登録」という趣旨とは異なります。

よくある誤解

• 「ISMAP-LIUはISMAPとは全く別物である」
  誤解の原因：名称が異なるため別制度と思われがちですが、ISMAP-LIUはISMAPの枠組みと整合する、低影響向けに簡易化された派生的登録制度です。
• 「ISMAP-LIUはISO/IEC 27017などの認証を必須とする」
  誤解の原因：クラウドの一般的なベストプラクティスと混同しやすい点。ISMAP-LIUは対象を限定する代わりに認証や手続を簡素化しているため、必須要件が本体より軽くなる場合があります。

補足コラム

• ISMAPとISMAP-LIUの関係性の整理：ISMAPは政府機関のクラウド導入に向けたセキュリティ評価・登録制度で、高いセキュリティ基準を満たすことが求められる場合に用いられます。一方でISMAP-LIU（Low Impact Use）は、取り扱う情報の影響度が小さいサービス（低リスクSaaS等）を想定し、評価基準と手続きを簡易化して登録を促進するために設けられた制度枠です。両者は目的や要件の厳格さで区別されますが、評価基準の整合性は保たれています。
• 具体例：社内の連絡用SaaSや広く公開される非機密情報の管理を目的とするサービスは、ISMAP-LIUの対象になり得ます。一方、個人情報や機密性の高い行政データを扱うクラウドはISMAP本体の評価が求められます。

FAQ