“政府情報システムのためのセキュリティ評価制度（ISMAP）”の説明はどれか。

選択肢

• ア個人情報の取扱いについて政府が求める保護措置を講じる体制を整備している事業者などを評価して、適合を示すマークを付与し、個人情報を取り扱う政府情報システムの運用について、当該マークを付与された者への委託を認める制度
• イ個人データを海外に移転する際に、移転先の国の政府が定めた情報システムのセキュリティ基準を評価して、日本が求めるセキュリティ水準が確保されている場合には、本人の同意なく移転できるとする制度
• ウ政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度
• エプライベートクラウドの情報セキュリティ全般に関するマネジメントシステムの規格にパブリッククラウドサービスに特化した管理策を追加した国際規格を基準にして、政府情報システムにおける情報セキュリティ管理体制を評価する制度

正解と解説

正解：ウ 政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度

ISMAPは、政府がクラウドサービスを調達する際のセキュリティ水準を確保するための制度です。政府が求める管理基準を満たすことを監査で確認したクラウドサービスをあらかじめISMAPクラウドサービスリストに登録し、各府省庁は原則としてそのリストの中から調達します。個々の調達ごとに評価をやり直す負担を減らしつつ、一定の水準を担保する仕組みです。

選択肢ごとの解説

• アマークを付与して個人情報の取扱いを認定するのはプライバシーマーク制度の説明です。
• イ越境移転の同意要件に関する説明で、個人情報保護法の話でありISMAPとは別です。
• ウ正解。あらかじめ評価・登録したクラウドサービスから調達する、ISMAPの目的どおりです。
• エISO/IEC 27017などクラウド向け規格の説明で、ISMAPそのものではありません。

同じ分野の他の問題

• ISMAP-LIUクラウドサービス登録規則(令和6年3月1日最終改定)でのISMAP-LIUに関する記述として、適切なも…2024年度 春期 午前II 問7
• 政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。2023年度 春期 午前II 問8
• IT製品及びシステムが,必要なセキュリティレベルを満たしているかどうかについて,調達者が判断する際に役立つ評価結果を提供…2022年度 秋期 午前II 問9
• EDSA認証における評価対象と評価項目について,適切な組みはどれか。2018年度 秋期 午前II 問8
• IoT機器のペネトレーションテスト(Penetration Test)の説明として,適切なものはどれか。2023年度 春期 午前II 問22