ITパスポート 令和5年度 問56

✓ これが正解イ クラウドサービス固有の管理策が適切に導入，実施されていることを認証するものである。

解説

クラウド固有の管理策が実施されていることを認証します。

ISMSクラウドセキュリティ認証は、情報セキュリティマネジメントシステムの認証を土台に、クラウドサービスならではの管理策が加わっているかを確かめる仕組みです。データがどこに置かれるのか、提供する側と使う側で責任がどこで分かれるのか、契約が終わったときにデータをどうするのかといった、クラウドに固有の事柄が対象になります。よって適切なのは、クラウドサービス固有の管理策が適切に導入、実施されていることを認証するものである、という記述です。土台のISMSだけでは拾いきれない点を補う位置づけなので、どちらか一方だけを受ければ足りるという関係にはなっていません。

ほかの選択肢の解説

• ア PaaS，SaaSが対象であり，IaaSは対象ではない。：PaaS、SaaSが対象でIaaSは対象ではないという区切りはありません。基盤だけを貸す形であっても、預かるデータや責任の分かれ目についての管理策は必要なので、IaaSも同じように対象になります。
• ウ クラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。：提供している組織だけが対象で、利用する組織は対象ではないという区切りもありません。使う側にも、預ける情報の扱いを定めて守る責任があるため、どちらの立場でも認証を受けられます。提供する側にも利用する側にも、それぞれ守るべき役割が定められています。
• エ クラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。：個人情報について適切な保護措置を講じる体制を評価し、マークの使用を認める制度は、プライバシーマークの説明です。守る対象が個人情報に絞られている点で、クラウド固有の管理策を見るこの認証とは別のものです。