正解：イ
各選択肢の解説
ア政府機関向けの制度なので、民間企業が選定の参考にするのは制度の趣旨に反する。
誤り。政府機関は原則としてリストから調達しますが、リストは公開されており、 民間等が参照することで安全性が評価されたサービスの活用が進むことも期待されています。 「誰が調達に使うか」と「誰が参照してよいか」は別です。
イ政府が求める基準で第三者の監査を経たサービスとして参考にし、自社の要件は自社で照らす。
正解。ISMAPは、ISMAP管理基準に沿った管理を登録監査機関が監査したうえで登録する制度です。 選定の有力な手がかりになりますが、自社のデータや用途に合うかは自社で確かめます。
ウ登録されたサービスは利用者側の設定まで評価済みなので、自社の権限設定の確認は省く。
誤り。評価されるのは事業者がサービスを提供するうえでの管理です。利用者IDや 共有範囲の設定はSaaSでも利用者が担う部分で、登録があっても肩代わりされません。
エ登録は事業者という組織単位の認証なので、同じ事業者の別サービスも同じ水準とみなす。
誤り。組織単位で認証するのはISMS認証の考え方です。ISMAPのリストはクラウドサービスを 単位に登録するので、同じ事業者でもリストに無いサービスは評価を経ていません。
理解を深めるために
「お墨付き」は候補を絞る手がかりで、最終判断は自社
ISMAPの登録は、レストランの衛生検査に合格した店のようなものです。 安心して候補に入れられますが、自分の好みや予算に合うかは自分で決めます。 登録は選定の手間を減らしますが、自社の判断を不要にはしません。
ISMAPの仕組み
ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティ要求を満たす クラウドサービスを事前に評価・登録する制度で、2020年6月に運用が始まりました。
- ISMAP管理基準に沿った管理が行われているかを、第三者のISMAP登録監査機関が監査する
- 確認されたサービスが「ISMAP等クラウドサービスリスト」にサービス単位で登録される
- 政府機関等は原則としてリストから調達し、民間等もリストを参照できる
一方、利用者IDや共有範囲の設定など、利用者が担う部分は登録の対象外です。 自社の情報の重要度や用途と照らす作業は自社に残ります。
混同しやすいものとの違い
| 考え方・制度 | 中身 | この場面では |
|---|---|---|
| ISMAPの登録を参考にし自社で照らす | 監査を経たサービスを候補にし、要件確認は自社 | 当てはまる |
| 民間は使えないという考え | 調達の義務と参照の可否を混同 | リストは公開され参照できる |
| 利用者側まで評価済みという考え | 責任共有を見落とす | 利用者の設定は自社の責任 |
| ISMS認証（組織単位） | 組織のマネジメントシステムを認証 | ISMAPはサービス単位 |
試験では、ISMAPは「サービス単位」「政府の基準」「第三者の監査」の3点で、 ISMS認証や自己宣言の制度と見分けます。