令和5年度 春期 午前 問39

✓ これが正解ウ政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価，登録することによって，政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度

解説

クラウドを事前に評価し登録しておく制度です。

設問は、政府情報システムのためのセキュリティ評価制度、すなわち ISMAP の説明として適切なものを四つから選ばせています。見分けの軸は、誰のために、何を、いつ評価する制度か、という三つです。ISMAP が向いている相手は政府の各府省庁であり、評価する対象はクラウドサービスそのもの、評価する時点は調達より前です。あらかじめまとめて評価し、求める水準を満たしたものを登録簿に載せておくことで、各府省庁はその名簿から選ぶだけで済み、同じサービスを別々に審査し直さずに済みます。手間が減るだけでなく、調達ごとにばらつきがちな水準もそろいます。したがって、政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって水準の確保を図る制度、と述べた説明が正解にあたります。共通の物差しを一本つくって使い回す、という制度設計の型にあたります。

ほかの選択肢はなぜ違うのか

• ア個人情報の取扱いについて政府が求める保護…：事業者の体制を評価して適合を示すマークを付与し、そのマークを得た者への委託を認めるという制度の説明です。評価される相手が事業者であり、対象も個人情報の取扱いに絞られている点で、求められているものと食い違います。
• イ個人データを海外に移転する際に，移転先の…：個人データを海外へ移すときに、移転先の国が定めた基準を評価して、本人の同意なく移せるとする制度の説明です。個人データの越境移転をめぐる枠組みの話であり、政府がクラウドを調達するための評価の話ではありません。
• エプライベートクラウドの情報セキュリティ全…：クラウド向けの管理策を追加した国際規格を基準にして、情報セキュリティ管理体制を評価するという制度の説明です。そうした規格は評価の物差しとしては使われますが、規格を当てること自体がこの制度の定義ではありません。