令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25

解説

クラウドサービスに保存されている情報の保全及び消失の予防という観点でのシステム監査においては，クラウドサービスを提供する事業者そのものが信頼できるか，事業者の事業継続性に懸念がないか，及び障害や事業者の破綻などによってサービスの提供が中断されることなく継続して提供されるかどうかが検討されているかを確認することが重要です。事業者の信頼性・継続性に問題があれば，保存されている情報が失われるリスクに直結するためです。

選択肢ごとの解説

• ア誤り。障害時の最大許容停止時間（RTO など）の検討は，可用性・事業継続の観点からのチェックポイントであり，情報の保全及び消失の予防に関する観点のチェックポイントとしては適切ではありません。
• イ誤り。クラウドサービスの利用者 ID と社内システムの利用者 ID の一元管理の可否は，ID 管理（アクセス管理）の効率性に関するチェックポイントであり，情報の保全及び消失の予防に関する観点のチェックポイントとしては適切ではありません。
• ウ正しい。クラウドサービスを提供する事業者が信頼できるか，事業継続性に懸念がないか，サービスが継続して提供されるかどうかの検討は，情報の保全及び消失の予防に直結するチェックポイントとして最も適切です。
• エ誤り。事業者施設内のネットワークにおける暗号化通信の採用の有無は，情報の機密性（漏えい防止）に関するチェックポイントであり，情報の保全及び消失の予防に関する観点のチェックポイントとしては適切ではありません。