令和7年度 春期 情報処理安全確保支援士 午前II 問11

各選択肢の解説

ア

個人情報の取扱いについて政府が求める保護措置を講じる体制を整備している事業者などを評価して,適合を示すマークを付与し、個人情報を取り扱う政府情報システムの運用について,当該マークを付与された者への委託を認める制度

誤りです。個人情報の保護体制を整えた事業者に適合マークを与える仕組みは、JIS Q 15001に基づくプライバシーマーク制度に近い説明です。ISMAPは個人情報の取扱いを評価する制度ではありません。評価・登録の対象はクラウドサービスで、マークの付与も行いません。

イ

個人データを海外に移転する際に、移転先の国の政府が定めた情報システムのセキュリティ基準を評価して、日本が求めるセキュリティ水準が確保されている場合には、本人の同意なく移転できるとする制度

誤りです。個人データを海外へ移す際に、移転先の国の制度を評価して本人の同意なしの移転を認めるのは、個人情報保護法に基づく十分性認定などの枠組みです。ISMAPは越境移転のルールではなく、政府が調達するクラウドサービスのセキュリティを評価・登録する制度です。

ウ

政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度

正しいです。ISMAPは、政府が求めるセキュリティ要求を満たすクラウドサービスを、監査結果に基づいてあらかじめ評価し、ISMAPクラウドサービスリストに登録する制度です。政府機関は原則としてこのリストからクラウドサービスを調達し、セキュリティ水準を確保します。デジタル庁、内閣官房、総務省、経産省が所管し、IPAが運用支援機関を務めています。

エ

プライベートクラウドの情報セキュリティ全般に関するマネジメントシステムの規格にパブリッククラウドサービスに特化した管理策を追加した国際規格を基準にして,政府情報システムにおける情報セキュリティ管理体制を評価する制度

誤りです。ISMSの管理策にクラウドサービス向けの管理策を加えた国際規格は、ISO/IEC 27017です。ISMAPの管理基準はこうした規格を参考にしていますが、評価の対象はクラウドサービス事業者のサービスです。政府情報システムのセキュリティ管理体制を評価する制度ではありません。