情報セキュリティマネジメント 平成30年度 秋期 午前 問3

✓ これが正解イ 外部のクラウドサービスを利用する事業者と，クラウドサービスを他社に提供する事業者とのどちらにも適用できる。

解説

クラウドの利用側と提供側のどちらの事業者にも適用できます。

設問が引くJIS Q 27017:2016は、JIS Q 27002に基づいて、クラウドサービスのための情報セキュリティ管理策と実施の手引を定めた実践の規範です。その適用範囲には、管理策及び実施の手引を、クラウドサービスプロバイダ及びクラウドサービスカスタマの双方に対して提供すると明記されています。つまり、外部のクラウドサービスを利用する事業者はカスタマとして、クラウドサービスを他社に提供する事業者はプロバイダとして、どちらもこの規格の手引を適用できます。利用と提供の一方だけを行う事業者を外すような条件はありません。

ほかの選択肢の解説

• ア …し，かつ，別のクラウドサービスを他社に提供する事業者だけに適用できる。：利用と提供の両方を兼ねる事業者だけに絞る条件は規格にありません。適用範囲の書き方は、利用のみの事業者も提供のみの事業者もそれぞれ対象に含むものです。
• ウ …するだけであり，自らはクラウドサービスを他社に提供しない事業者には適用できない。：クラウドサービスカスタマ、すなわち利用する側の事業者は、この規格が手引を提供する対象の一方です。自らはサービスを提供していないことは適用の妨げになりません。
• エ …せず，自らクラウドサービスを他社に提供するだけの事業者には適用できない。：クラウドサービスプロバイダ、すなわち提供する側の事業者も対象に含まれます。外部のクラウドサービスを利用していない事業者を除外する定めはありません。