令和4年度 春期 ITサービスマネージャ試験 午前II 問16
テクノロジクラウド・仮想化セキュリティ管理クラウドサービスの利用・統制セキュリティ関連機関・評価認証制度
クラウドサービスのセキュリティ評価制度である ISMAP に関する記述のうち，適切なものはどれか。
解答・解説
正解: ウ. 政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスが ISMAPクラウドサービスリストに登録される。
ISMAP（Information system Security Management and Assessment Program：政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティ要求を満たしているクラウドサービスを評価し、登録する制度です。政府機関がクラウドサービスを調達する際のセキュリティ水準の確保と、円滑な導入を目的としています。
したがって、適切な記述はウとなります。
各選択肢の解説
- ア：誤りです。ISMAPの評価対象はIaaSに限定されず、PaaSやSaaSなどのクラウドサービスも登録の対象となります。
- イ：誤りです。事業者自らの自己宣言ではなく、独立した第三者である監査機関による監査を受けた上で、ISMAP運営委員会によって審査され登録されます。
- ウ：正解です。政府が求めるセキュリティ要求を満たしていることが確認されたクラウドサービスが「ISMAPクラウドサービスリスト」に登録されます。
- エ：誤りです。ISMAPクラウドサービスリストに登録されるのは、セキュリティ要件を満たしたクラウドサービスであり、クラウドサービスを利用する政府機関ではありません。