クラウドサービスのセキュリティ評価制度であるISMAPに関する記述のうち、適切なものはどれか。

選択肢

• アPaaS、SaaS事業者が求めるセキュリティ要求を満たしているIaaSを登録する制度であるので、IaaSだけがISMAPクラウドサービスリストに登録される。
• イクラウドサービス事業者自らが情報セキュリティ対策に取り組むことを自己宣言したクラウドサービスはISMAPクラウドサービスリストに登録される。
• ウ政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスがISMAPクラウドサービスリストに登録される。
• エ政府機関がクラウドサービスを利用するに当たり、適切にクラウドサービス事業者を選定しているかどうかを監査機関が審査し、認定された政府機関はISMAPクラウドサービスリストに登録される。

正解と解説

正解：ウ 政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスがISMAPクラウドサービスリストに登録される。

ISMAP(政府情報システムのためのセキュリティ評価制度)は、政府が求めるセキュリティ要求を満たすことが第三者の監査を通じて確認されたクラウドサービスをリストに登録し、政府機関の調達で原則そのリストから選定させる制度である。対象はIaaSに限らずPaaS・SaaSも含み、事業者の自己宣言では登録されない。登録されるのはサービスであって政府機関ではない。

選択肢ごとの解説

• ア対象はIaaSに限定されず、PaaSやSaaSも登録される。
• イ自己宣言では足りず、監査によって要求充足が確認される必要がある。
• ウ正しい。政府の求めるセキュリティ要求を満たすと確認されたクラウドサービスが登録される。
• エ登録されるのはクラウドサービスであり、政府機関が認定・登録される制度ではない。

同じ分野の他の問題

• Webサーバでのシングルサインオンの実装方式に関する記述のうち、適切なものはどれか。2025年度 春期 午前II 問15
• IoT推進コンソーシアム、総務省、経済産業省が策定した“IoTセキュリティガイドライン(Ver 1.0)”における“要点…2024年度 春期 午前II 問17
• デジタル署名のあるソフトウェアをインストールするときに、そのソフトウェアの発行元を確認するために使用する証明書はどれか。2024年度 春期 午前II 問15
• CSIRTの説明として、適切なものはどれか。2023年度 春期 午前II 問16
• 認証デバイスに関する記述のうち、適切なものはどれか。2023年度 春期 午前II 問15