令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7
テクノロジ／セキュリティISMAP-LIU クラウドサービス登録規則（令和6年3月1日最終改定）での ISMAP-LIU に関する記述として，適切なものはどれか。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7
- アJIS Q 27001 に加え，JIS Q 27017 に規定されたクラウドサービス固有の管理策が適切に導入，実施されていることも認証する。
- イアウトソーシング事業者が記述したセキュリティの内部統制に対しても，監査人が評価手続を実施した結果とその意見を表明する。
- ウリスクの小さな業務・情報の処理に用いる SaaS サービスを対象とする。
- エ我が国の政府機関などにおける情報セキュリティのベースライン，及びより高い水準の情報セキュリティを確保するための対策事項を規定している。
正解：ウ
解説
ISMAP-LIU（ISMAP for Low-Impact Use）は，ISMAP（政府情報システムのためのセキュリティ評価制度）の枠組みの一部として設けられた登録制度で，機密性・完全性・可用性の観点でリスクが小さい業務・情報の処理に用いる SaaS サービスを対象に，より簡素化された基準で登録を行う制度です。政府機関などが低リスクな SaaS を調達する際の選択肢を広げることを目的としています。
選択肢ごとの解説
- ア誤り。JIS Q 27001 に加え JIS Q 27017 の管理策の実施を認証するのは ISMAP クラウドサービスの登録要件に関する説明であり，ISMAP-LIU 固有の説明ではありません。
- イ誤り。アウトソーシング事業者の内部統制に対する監査人の意見表明は，保証型報告書（SOC 報告書など）に関する説明であり，ISMAP-LIU の説明ではありません。
- ウ正しい。ISMAP-LIU は，リスクの小さな業務・情報の処理に用いる SaaS サービスを対象とする登録制度です。
- エ誤り。政府機関などの情報セキュリティのベースラインなどを規定しているのは，政府機関等の情報セキュリティ対策のための統一基準群であり，ISMAP-LIU の説明ではありません。