令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティ政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP 管理基準”が基礎としているものはどれか。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
- アFIPS 140-3（暗号モジュールのセキュリティ要求事項）
- イISO/IEC 27018:2019（個人識別情報（PII）プロセッサとして作動するパブリッククラウドにおける PII の保護のための実施基準）
- ウJIS Q 15001:2017（個人情報保護マネジメントシステム－要求事項）
- エ日本セキュリティ監査協会“クラウド情報セキュリティ管理基準（平成 28 年度版）”
正解：エ
解説
ISMAP（政府情報システムのためのセキュリティ評価制度）で用いられる ISMAP 管理基準は，ISO/IEC 27001，27002，27017 などの国際規格に加えて，NIST SP800-53 や，日本セキュリティ監査協会（JASA）が策定した「クラウド情報セキュリティ管理基準（平成 28 年度版）」などを基礎として策定されています。
選択肢ごとの解説
- ア誤り。FIPS 140-3 は暗号モジュールに関する米国連邦政府の標準規格であり，ISMAP 管理基準が直接の基礎としているものではありません。
- イ誤り。ISO/IEC 27018 は PII プロセッサ向けの実施基準であり，ISMAP 管理基準そのものの基礎として挙げられるものではありません。
- ウ誤り。JIS Q 15001 は個人情報保護マネジメントシステム（プライバシーマーク制度）の要求事項であり，ISMAP 管理基準の基礎ではありません。
- エ正しい。ISMAP 管理基準は，国際規格に加えて日本セキュリティ監査協会の「クラウド情報セキュリティ管理基準（平成 28 年度版）」などを基礎として策定されています。