JIS Q 27017とは？

JIS Q 27017の意味

クラウドサービスの提供者・利用者を対象に、27002の管理策にクラウド固有の実施の手引と追加の管理策（仮想環境の分離、管理者の操作の監視、返却時のデータ消去など）を示した規格。

JIS Q 27017の具体例

顧客データを預かるSaaSを提供するにあたり、27001の認証に加えて27017の管理策を採用し、テナント間の仮想環境の分離、事業者側管理者の操作ログの1年保存、契約終了後30日以内のデータ消去手順を文書化した。顧客監査の指摘が大幅に減った。

JIS Q 27017は試験でどう引っ掛けられる？

27001・27002との関係を取り違えやすい。27001はISMSの要求事項（認証の対象）、27002は管理策の実践規範、27017はクラウド向けの実施の手引で、27017単独で認証を受ける規格ではない。クラウドで個人情報（PII）の保護を扱うのは27018で、番号の取り違えが問われる。

JIS Q 27017と関連する用語

• ISMS
• 責任共有モデル
• ISMAP

JIS Q 27017が出た過去問

• JIS Q 27002:2014には記載されていないが、JIS Q 27017:2016には記載されている管理策はどれか。

  正解：クラウドサービス固有の情報セキュリティ管理策

  要点：JIS Q 27017はクラウド固有の管理策を追加した規格

  JIS Q 27017は、クラウドサービスの利用者と提供者を対象に、27002の管理策をクラウド環境向けに読み替える実施の手引と、クラウド固有の追加管理策を示した規格である。仮想環境の分離、管理者操作の監視、利用終了時のデータ削除と返却、責任分界の明確化などが該当する。基盤となる27002には無い観点である点が要点である。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問9（IPA）