部門で公開しているWebアプリケーションの脆弱性診断を、外部の事業者に委託することに なった。部門には診断の専門家がおらず、事業者の技術や品質を自分たちで見極めるのは 難しい。委託先を選ぶ手がかりとして最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア情報セキュリティサービス基準に適合すると審査されたサービスのリストから選ぶ。

   正解。情報セキュリティサービス基準は、脆弱性診断などのサービスに技術と品質管理の 要件を定めた経済産業省の基準です。適合すると審査登録機関が認めたサービスを、 IPAがリストにして公開しています。

2. イISMS認証を取得している事業者であれば、診断の技術も一定の水準にあるとみなす。

   誤り。ISMS認証は、組織が自らの情報資産を守るマネジメントシステムを認証するものです。 顧客の情報を預ける委託先の確認には役立ちますが、診断の技術や報告の品質を 審査したものではありません。

3. ウISMAPのクラウドサービスリストに登録されている事業者の中から、診断の委託先を選ぶ。

   誤り。ISMAPは、政府が求める基準を満たすクラウドサービスを評価して登録する制度です。 第三者の評価を経たリストという点が似ていますが、対象はクラウドサービスで、 脆弱性診断のようなサービスの品質は評価の対象外です。

4. エSECURITY ACTIONの二つ星を宣言している事業者であれば、診断の品質は確認済みとみなす。

   誤り。SECURITY ACTIONは、中小企業が自社の対策への取組を自ら宣言する制度で、 第三者の審査はありません。宣言した事業者自身の対策の姿勢を示すもので、 提供するサービスの品質を示すものではありません。

理解を深めるために