“政府情報システムのためのセキュリティ評価制度（ISMAP）標準監査手続”における“監査の対象となる期間”の記述のうち、適切なものはどれか。

選択肢

• ア監査の対象となる期間が1年を超える場合に限り、ISMAPクラウドサービスリストにおいて監査対象期間を公開しなければならない。
• イ監査の対象となる期間は最大1年である。
• ウ監査の対象となる期間を1年とする場合、ISMAPクラウドサービスリストにおいて監査対象期間は公開されない。
• エ監査の対象となる期間を1年より短くする場合には、1か月の最低運用期間を経る必要がある。

正解と解説

正解：イ 監査の対象となる期間は最大1年である。

ISMAPは政府調達向けのクラウドサービス登録制度で、登録の前提として第三者による監査を求めている。その標準監査手続では監査対象期間の上限を1年と定めており、これを超えて一度にまとめて監査することはできない。年1回の頻度で継続的に評価する仕組みになっている。

選択肢ごとの解説

• ア1年を超える期間は設定できないため、この前提自体が成り立たない。
• イ正解。監査対象期間は最大1年と定められている。
• ウ1年とした場合に公開されないという例外規定はない。
• エ期間を短縮する場合の「最低運用期間1か月」という規定は存在しない。

同じ分野の他の問題

• JIS Q 27002:2024（情報セキュリティ管理策）では、運用システムに対する監査活動の影響を最小限にするための管…2025年度 秋期 午前II 問6
• JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）では、運用システムに対する監査活動の影響を最…2022年度 秋期 午前II 問7
• JIS Q 27002:2024（情報セキュリティ管理策）におけるサイバーセキュリティ概念を構成する五つの属性値はどれか…2025年度 秋期 午前II 問18
• JIS X 9251:2021（プライバシー影響評価のためのガイドライン）において、個人識別可能情報の処理に関する潜在的…2025年度 秋期 午前II 問14
• “サイバー情報共有イニシアティブ（J-CSIP）”の説明はどれか。2023年度 秋期 午前II 問18