ISMSクラウドセキュリティ認証の中身と対象を整理する

正解はイです

選択肢ごとの解説

1. ×ア  PaaS，SaaSが対象であり，IaaSは対象ではない。
   IaaSを対象外とする説明は誤りです。IaaS、PaaS、SaaSのいずれも認証の対象になり得ます。仮想化や複数の利用者による共用といったクラウド特有のリスクは、どのサービスモデルにも関係するためです。
2. ○イ  クラウドサービス固有の管理策が適切に導入，実施されていることを認証するものである。
   クラウドサービス固有の管理策が適切に導入・実施されていることを認証するという説明は、この認証の目的そのものです。固有の管理策の例としては、提供者と利用者の責任分担や、仮想環境どうしの分離などがあります。
3. ×ウ  クラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。
   利用する組織を対象外とする説明は誤りです。クラウドサービスを提供する組織も、利用する組織も認証の対象になり得ます。ISO/IEC 27017には、提供者側と利用者側のそれぞれについて実施の手引きが示されています。
4. ×エ  クラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。
   個人情報を保護する体制を評価して「プライバシーマーク」の使用を認めるという説明は、JIS Q 15001に基づくプライバシーマーク制度のものです。ISMSクラウドセキュリティ認証は情報セキュリティ管理を対象とする別の制度で、プライバシーマークの使用を認めるものではありません。