令和5年度 ITパスポート試験 問56
テクノロジ／セキュリティISMS クラウドセキュリティ認証に関する記述として，適切なものはどれか。
出典：令和5年度 ITパスポート試験 問56
- アPaaS，SaaS が対象であり，IaaS は対象ではない。
- イクラウドサービス固有の管理策が適切に導入，実施されていることを認証するものである。
- ウクラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。
- エクラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。
正解：イ
解説
ISMS クラウドセキュリティ認証は，ISMS（情報セキュリティマネジメントシステム）の認証に加えて，クラウドサービス固有の管理策（国際規格 ISO/IEC 27017 に基づく）が適切に導入・実施されていることを認証する制度です。クラウドサービスの提供者だけでなく利用者も対象にでき，IaaS・PaaS・SaaS のいずれも対象になります。プライバシーマークは別の制度です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。IaaS も対象になります。
- イ正しい。ISMS の認証を土台に，クラウドサービス固有の管理策が適切に導入・実施されていることを認証します。
- ウ誤り。クラウドサービスを提供する組織だけでなく，利用する組織も対象になります。
- エ誤り。プライバシーマークは個人情報保護に関する別の制度で，ISMS クラウドセキュリティ認証とは関係がありません。