令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問8
テクノロジセキュリティ管理セキュリティ関連機関・評価認証制度
政府情報システムのためのセキュリティ評価制度に用いられる “ISMAP 管理基準” が基礎としているものはどれか。
解答・解説
正解: エ. 日本セキュリティ監査協会 “クラウド情報セキュリティ管理基準 (平成 28 年度版)”
ISMAP (Information system Security Management and Assessment Program) は、政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録することにより、政府情報システムのセキュリティ水準の確保と円滑な導入に資することを目的とした制度です。
この ISMAP の評価に用いられる「ISMAP 管理基準」は、情報セキュリティマネジメントの国際規格である JIS Q 27001、JIS Q 27002、JIS Q 27017 に加え、日本セキュリティ監査協会（JASA）が策定した「クラウド情報セキュリティ管理基準」などを基礎として作成されています。
したがって、選択肢 エ が正解となります。
各選択肢の解説
- ア: FIPS 140-3 は、米国国立標準技術研究所 (NIST) が発行している暗号モジュールのセキュリティ要件を定めた米国連邦情報処理標準です。
- イ: ISO/IEC 27018:2019 は、パブリッククラウド環境における個人識別情報 (PII) の保護に関する実施基準を定めた国際規格です。
- ウ: JIS Q 15001:2017 は、日本国内における個人情報保護マネジメントシステム (PMS) の要求事項を定めた規格であり、プライバシーマーク制度の審査基準として用いられます。
- エ: 正解。日本セキュリティ監査協会の「クラウド情報セキュリティ管理基準」は、ISMAP 管理基準の基礎として採用されています。