平成30年度 秋期 午前 問63

✓ これが正解イ企業の情報セキュリティポリシやセキュリティ関連の社内規則と，クラウドサービスで提供される管理レベルとの不一致の存在を確認する。

解説

自社の規則とサービスの管理水準の差を確かめます。

自社のコンピュータで動かしていた業務システムを、外部のクラウドサービスへ移すときに何を留意点として置くかを選ぶ問いです。留意点とは、判断を下す前に確かめておく手続のことですから、まず文末の動詞が効きます。確認するという結び方は、まだ何も決めておらず、これから調べる段にあることを示します。逆に、もう決めたと言い切って結ぶ記述は、確かめる前に結論を出しています。中身の面からも同じ答えに行き着きます。クラウドサービスでは、設備や基盤の面倒を事業者が見る代わりに、データの扱いや権限の設計は利用者の側に残ります。相手が何を引き受け、何を引き受けないのかを先につかんでおかないと、自社の情報セキュリティポリシや社内規則を守れるかどうかを判断できません。保存する場所はどこか、暗号鍵は誰が持つか、記録は何年残るか、監査にどこまで応じてもらえるか。こうした項目を自社の規則と並べると、食い違いはたいてい何件か出てきます。留意点は、食い違いが無いことを願うことではなく、見つけた上で受け入れるか直すかを決めることです。見分けの軸は、その記述が調べる段にあるのか、もう決めた後なのかという一点です。

ほかの選択肢はなぜ違うのか

• ア企業が管理する顧客情報や従業員の個人情報…：個人情報を扱う機能を、危険の大きさを検討するまでもなく一律に外すという内容です。検討を省く宣言が入っているので、これから確かめる事柄を挙げたものになっていません。
• ウクラウドサービスの利用開始に備え，自社で…：自社で保有しているサーバの機能を強化し、記憶域を増やすという内容です。設備の保有をやめる方向とは逆を向いており、移行の期間だけ併存させるという断りもありません。
• エ事業継続計画は自社の資産の範囲で実施する…：事業継続計画を自社の資産の範囲に限り、移した先をそこから外すという内容です。載せた業務が止まったときの手当てが計画から抜け落ち、いちばん危ない穴が残ります。