JIS Q 27002:2014に記載がなく，JIS Q 27017:2016に記載されている管理策｜情報セキュリティマネジメント令和元年秋期午前試験問9

出典：令和元年秋期午前問9 分野：セキュリティ／情報セキュリティ管理

JIS Q 27002:2014には記載されていないが，JIS Q 27017:2016において記載されている管理策はどれか。

解説

JIS Q 27017:2016は、クラウドサービスに関する情報セキュリティ管理策を示した規格です。JIS Q 27002:2014の管理策をクラウドサービス向けに補足するとともに、クラウドサービス固有の情報セキュリティ管理策も追加しています。

本問では、「JIS Q 27002:2014には記載されていないが、JIS Q 27017:2016において記載されている管理策」という部分が判断のポイントです。クラウドサービス特有のリスクや責任分担などに対応する管理策が追加されているため、アが適切です。

❌他選択肢が誤りの理由
イ：事業継続マネジメントシステムにおける管理策
⇒事業継続マネジメントシステムは、災害や事故などが発生しても重要業務を継続・早期復旧できるようにする仕組みです。JIS Q 27017:2016で追加されたクラウドサービス固有の管理策ではありません。

ウ：情報セキュリティガバナンスにおける管理策
⇒情報セキュリティガバナンスは、経営の立場から情報セキュリティを統制・管理する考え方です。JIS Q 27017:2016で追加されたクラウドサービス固有の管理策ではありません。

エ：制御システム固有のサイバーセキュリティ管理策
⇒制御システム固有のサイバーセキュリティ管理策は、工場やインフラなどの制御システムを対象とするものです。JIS Q 27017:2016はクラウドサービスの情報セキュリティを対象としています。

TSUNAGARU-ADVICE

JIS Q 27017は、JIS Q 27002を基礎として、クラウドサービスに固有の情報セキュリティ管理策を追加した規格です。クラウドサービスの提供者と利用者それぞれの立場を考慮した管理策が示されています。

27002は一般的な情報セキュリティ管理策、27017はクラウドセキュリティと整理しましょう。事業継続、情報セキュリティガバナンス、制御システムのセキュリティは、それぞれ別の規格やガイドラインで扱われる論点です。

科目Bでは、クラウド利用時にクラウド事業者と利用企業のどちらが何を管理するのかという責任分担が重要になります。設定ミス・ログ管理・データ削除・仮想環境の分離などについて、クラウド固有のリスクと管理策を結び付けて考えられるようにしましょう。

参考

JIS Q 27002:2014に記載がなく，JIS Q 27017:2016に記載されている管理策｜情報セキュリティマネジメント 令和元年 秋期午前試験 問9