令和6年度 春期 情報処理安全確保支援士 午前II 問7

各選択肢の解説

ア

JIS Q 27001 に加え, JIS Q 27017 に規定されたクラウドサービス固有の管理策が適切に導入、実施されていることも認証する。

誤りです。JIS Q 27001への適合に加えて、JIS Q 27017のクラウド固有管理策の実施も認証するのは、ISMSクラウドセキュリティ認証（ISO/IEC 27017に基づくアドオン認証）です。ISMAP-LIUは政府が定めた管理基準に基づく登録制度で、JIS規格の認証制度ではありません。ISMAP-LIUの記述にするなら「リスクの小さな業務・情報の処理に用いるSaaSを対象とする登録制度」とする必要があります。

イ

アウトソーシング事業者が記述したセキュリティの内部統制に対しても、監査法人が評価手続を実施した結果とその意見を表明する。

誤りです。委託先の事業者が記述した内部統制について、監査法人が評価手続を行い意見を表明するのは、SOC2などの保証報告書です。ISMAP-LIUの監査は合意された手続（AUP）で行われ、監査法人が意見を表明する保証型の制度ではありません。ISMAP-LIUの記述にするなら、対象を「リスクの小さな業務・情報の処理に用いるSaaS」とする必要があります。

ウ

リスクの小さな業務・情報の処理に用いる SaaS サービスを対象とする。

正しいです。ISMAP-LIU（ISMAP for Low-Impact Use）は、ISMAPのうち、リスクの小さな業務・情報の処理に使うSaaSを対象にした仕組みです（登録規則1.1）。対象になるかどうかは、政府機関等がSaaSで扱う業務・情報の影響度を評価して判断します。通常のISMAPより評価の範囲と手続を簡素化した登録制度です。

エ

我が国の政府機関などにおける情報セキュリティのベースライン,及びより高い水準の情報セキュリティを確保するための対策事項を規定している。

誤りです。政府機関等のセキュリティ対策のベースラインと、より高い水準の対策事項を定めているのは「政府機関等のサイバーセキュリティ対策のための統一基準」です。ISMAP-LIUはクラウドサービスを登録・評価する制度で、この基準そのものではありません。ISMAP-LIUの記述にするなら「リスクの小さな業務・情報の処理に用いるSaaSを対象とする」とする必要があります。