ISMAP-LIUクラウドサービス登録規則(令和6年3月1日最終改定)でのISMAP-LIUに関する記述として、適切なものはどれか。

選択肢

• アJIS Q 27001に加え、JIS Q 27017に規定されたクラウドサービス固有の管理策が適切に導入、実施されていることも認証する。
• イアウトソーシング事業者が記述したセキュリティの内部統制に対しても、監査法人が評価手続を実施した結果とその意見を表明する。
• ウリスクの小さな業務・情報の処理に用いるSaaSサービスを対象とする。
• エ我が国の政府機関などにおける情報セキュリティのベースライン、及びより高い水準の情報セキュリティを確保するための対策事項を規定している。

正解と解説

正解：ウ リスクの小さな業務・情報の処理に用いるSaaSサービスを対象とする。

ISMAPは政府調達で用いるクラウドサービスの安全性評価制度だが、ISMAP-LIUはそのうちリスクの小さい業務・情報を扱うSaaSを対象とした簡素な枠組みである。求められる管理策を絞ることで、機密性の要求が高くない用途については登録の負担を軽くし、選択肢を広げる狙いがある。対象がSaaSに限られ、扱う情報の重要度で線引きされる点が要点である。

選択肢ごとの解説

• アクラウドセキュリティの認証制度（ISMSクラウドセキュリティ認証）の説明である。
• イ受託業務の内部統制に対する保証報告書（SOC報告書）に関する説明である。
• ウ正解。リスクの小さな業務・情報を扱うSaaSを対象とする枠組みである。
• エ政府機関の情報セキュリティ対策の統一基準に関する説明である。

同じ分野の他の問題

• “政府情報システムのためのセキュリティ評価制度（ISMAP）”の説明はどれか。2025年度 春期 午前II 問11
• 政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。2023年度 春期 午前II 問8
• IT製品及びシステムが,必要なセキュリティレベルを満たしているかどうかについて,調達者が判断する際に役立つ評価結果を提供…2022年度 秋期 午前II 問9
• EDSA認証における評価対象と評価項目について,適切な組みはどれか。2018年度 秋期 午前II 問8
• IoT機器のペネトレーションテスト(Penetration Test)の説明として,適切なものはどれか。2023年度 春期 午前II 問22