令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問題 問9
テクノロジセキュリティ管理クラウド・仮想化セキュリティ関連機関・評価認証制度クラウドサービスの利用・統制
JIS Q 27002:2014には記載されていないが，JIS Q 27017:2016には記載されている管理策はどれか。
解答・解説
正解: ア. クラウドサービス固有の情報セキュリティ管理策
JIS Q 27017（ISO/IEC 27017）は、クラウドサービスのための情報セキュリティ管理策の実践の規範を定めた国際規格です。
JIS Q 27002（情報セキュリティ管理策の実践のための規範）をベースとしていますが、これに加えてクラウドサービス固有の追加的な管理策や実施の手引が規定されています。
したがって、JIS Q 27002には記載されておらず、JIS Q 27017に記載されている内容は「クラウドサービス固有の情報セキュリティ管理策」となります。
各選択肢の解説
- ア: 正解。JIS Q 27017はクラウドサービスに特化した情報セキュリティ管理策を提供しています。
- イ: 誤り。事業継続マネジメントシステム（BCMS）に関する要求事項は、主に JIS Q 22301（ISO 22301）などに記載されています。
- ウ: 誤り。情報セキュリティガバナンスに関する原則やガイダンスは、主に JIS Q 27014（ISO/IEC 27014）などに記載されています。
- エ: 誤り。制御システム向けのサイバーセキュリティに関する規格としては、IEC 62443シリーズなどが該当します。