正解：ウ
各選択肢の解説
ア組織が情報セキュリティを管理する仕組みを規格に沿って運用していることを、認証機関が認証する。
誤り。これはISMS適合性評価制度の説明です。どちらも第三者が確かめる点は 同じですが、認証の対象は組織のマネジメントの仕組みであり、政府がクラウド サービスを選ぶときに参照する登録の一覧を作る制度ではありません。
イ個人情報を適切に取り扱う体制が整った事業者に、ロゴマークの使用が認められる。
誤り。これはプライバシーマーク制度です。マークで対外的に示せる点から 混同されますが、守る対象が個人情報に限られます。ISMAPが確かめるのは政府が 扱う情報全般についての、サービスのセキュリティ水準です。
ウ定められた基準への適合を第三者の監査で確認したサービスが一覧に登録され、政府機関は原則その中から調達する。
正解。事業者は監査と審査を経て登録されることで政府調達の候補に入り、 政府機関の側は府省庁ごとに個別に評価しなくても、一定の水準を満たした サービスの中から選べるようになります。
エ事業者が対策に取り組むと自ら宣言すれば、審査を受けることなく登録される。
誤り。自ら宣言する形をとるのは中小企業向けのSECURITY ACTIONです。ISMAPは 監査と審査という手続を前提とした制度なので、宣言しただけで一覧に載ることは ありません。宣言か、外部の確認かが分かれ目です。
理解を深めるために
政府の「買ってよいものリスト」を先に作っておく
府省庁がクラウドサービスを導入するたびに、それぞれが安全性を一から調べていては、 手間もかかり、判断の水準もばらつきます。ISMAP（政府情報システムのための セキュリティ評価制度）は、その確認を先にまとめて済ませておく仕組みです。 基準を満たすことが確かめられたサービスを一覧に登録し、政府機関は原則として その中から調達します。
事業者から見た流れ
- 制度が定める管理基準に沿って、自社サービスの対策を整える
- 第三者である監査機関の監査を受ける
- その結果をもとに審査され、認められればサービスが一覧に登録される
登録されるのは「会社」ではなく「サービス」です。同じ事業者でも、登録されている サービスとそうでないサービスがあり得ます。組織を単位とする認証との違いは、 ここにいちばんよく表れます。
混同しやすいものとの違い
| 制度 | 何を確かめるか |
|---|---|
| ISMAP | 政府調達を前提に、クラウドサービスが基準を満たすか |
| ISMS適合性評価制度 | 組織の情報セキュリティ管理の仕組みが規格に適合するか |
| プライバシーマーク | 事業者の個人情報の取扱体制が適切か |
| SECURITY ACTION | 中小企業が自ら対策に取り組むと宣言したか |
試験では「政府」「クラウドサービス」という語が出てきたらISMAPです。 組織の仕組みならISMS、個人情報ならプライバシーマークと、対象で切り分けられます。