ISMSクラウドセキュリティ認証とは？似た認証との見分け方
ITパスポート試験 令和6年度 問82 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSクラウドセキュリティ認証に関する記述として，適切なものはどれか。
- ア
一度認証するだけで，複数のクラウドサービスやシステムなどを利用できるようにする認証の仕組み
- イ
クラウドサービスについて，クラウドサービス固有の管理策が実施されていることを認証する制度
- ウ
個人情報について適切な保護措置を講ずる体制を整備しているクラウド事業者などを評価して，事業活動に関してプライバシーマークの使用を認める制度
- エ
利用者がクラウドサービスへログインするときの環境，IPアドレスなどに基づいて状況を分析し，リスクが高いと判断された場合に追加の認証を行う仕組み
会話形式の解説
講師今回はISMSクラウドセキュリティ認証がどんな制度かを問う問題です。選択肢にはどれも「認証」に関係する説明が並んでいるので、言葉の意味を区別できるかがポイントになります。
受験者「認証」と聞くと、私はログインのときにパスワードで本人を確かめることを思い浮かべます。そう考えると、一度の認証で複数のクラウドサービスを使えるという説明も正解に見えてしまいます。
講師そこが引っかかりやすいところです。「認証」には二つの意味があります。一つは利用者本人を確かめる技術、もう一つは組織の管理体制を第三者が審査して認める制度です。ISMSクラウドセキュリティ認証は後者の、組織を審査する制度です。
受験者そうすると、一度の認証で複数のサービスを使えるようにする仕組みは、本人を確かめる技術のほうですね。これはシングルサインオンでしょうか。
講師そのとおりです。シングルサインオン、略してSSOは、利用者がログインする手間を減らすための技術です。組織のセキュリティ管理を審査する制度ではないので、誤りです。
受験者ログイン時の環境やIPアドレスからリスクを判断して、追加の認証を求めるという説明も、同じく本人確認の技術に見えます。
講師はい、それはリスクベース認証です。いつもと違う場所や端末からのログインなど、危険度が高いと判断したときだけ追加で確認する仕組みです。これも利用者を確かめる技術なので、組織を審査する制度ではありません。
受験者残りは二つです。プライバシーマークの説明には「クラウド事業者など」と書いてあるので、クラウドに関係する制度なのかと迷いました。
講師その言葉につられないことが大切です。プライバシーマーク制度は、個人情報を適切に保護する体制を整えた事業者にマークの使用を認める制度です。対象は個人情報保護の体制で、クラウド固有の管理策を評価するものではありません。
受験者では、クラウドサービス固有の管理策が実施されていることを認証する制度、という説明が正解ですね。組織を審査する制度で、しかもクラウドならではの内容が入っています。
講師正解です。ISMSクラウドセキュリティ認証は、通常のISMS認証、つまりJIS Q 27001に基づく情報セキュリティ管理の認証を土台にしています。そこへJIS Q 27017に基づくクラウド向けの管理策を加えて評価する制度です。
受験者整理すると、SSOとリスクベース認証は本人を確かめる技術、プライバシーマークは個人情報保護の体制を審査する制度、ISMSクラウドセキュリティ認証はISMSにクラウド固有の管理策を加えて審査する制度、ということですね。
講師よく整理できています。補足すると、ISMS認証とプライバシーマークは、情報資産全般を対象にするか、個人情報を対象にするかという違いがあります。この違いを押さえておくと、似た制度の問題でも整理しやすくなります。選択肢に「認証」とあったら、技術の話か制度の話かをまず確かめてみてください。
まとめ
ISMSクラウドセキュリティ認証は、クラウドサービス固有の管理策が実施されていることを認証する制度です。通常のISMS認証（JIS Q 27001）を土台にして、JIS Q 27017に基づくクラウド向けの管理策を加えて評価します。一度の認証で複数のサービスを使える仕組みはシングルサインオン、ログイン時の状況からリスクを判断して追加の認証を求める仕組みはリスクベース認証で、どちらも利用者本人を確かめる技術です。プライバシーマークは個人情報保護の体制を評価する制度で、クラウド固有の管理策を評価するものではありません。「認証」が技術を指すのか、組織を審査する制度を指すのかを見分けると、選択肢を絞り込みやすくなります。
解答・解説
正解はイです
この問題のテーマ
ISMSクラウドセキュリティ認証がどのような制度かを問う問題です。似た言葉の多いシングルサインオン、プライバシーマーク、リスクベース認証と区別できるかがポイントです。
解き方の考え方
まず「認証」という言葉が、利用者本人を確かめる技術を指すのか、組織の管理体制を審査する制度を指すのかを見分けます。ISMSクラウドセキュリティ認証は、通常のISMS認証にクラウドならではの管理策を上乗せして評価する制度です。つまり「組織を審査する制度」で、しかも「クラウド固有」の要素を含む選択肢を選べば正解にたどり着けます。
選択肢ごとの解説
- ×ア 一度認証するだけで，複数のクラウドサービスやシステムなどを利用できるようにする認証の仕組み一度の認証で複数のサービスを使えるようにする仕組みの説明は、シングルサインオン（SSO）のことです。SSOは利用者がログインする手間を減らすための技術で、組織のセキュリティ管理を審査する制度ではありません。
- ○イ クラウドサービスについて，クラウドサービス固有の管理策が実施されていることを認証する制度クラウドサービス固有の管理策が実施されていることを認証する制度という説明は、ISMSクラウドセキュリティ認証の内容そのものです。この制度は通常のISMS認証を土台にしており、そこへJIS Q 27017（ISO/IEC 27017）に基づくクラウド向けの管理策を加えて評価します。
- ×ウ 個人情報について適切な保護措置を講ずる体制を整備しているクラウド事業者などを評価して，事業活動に関してプライバシーマークの使用を認める制度個人情報を保護する体制が整った事業者にマークの使用を認める制度の説明は、プライバシーマーク制度のことです。対象は個人情報保護の体制であり、クラウド固有の管理策を評価するものではありません。「クラウド事業者など」という言葉につられないよう注意してください。
- ×エ 利用者がクラウドサービスへログインするときの環境，IPアドレスなどに基づいて状況を分析し，リスクが高いと判断された場合に追加の認証を行う仕組みログイン時の環境やIPアドレスからリスクを判断し、リスクが高いときに追加の認証を求める仕組みの説明は、リスクベース認証のことです。これは利用者を確かめるための技術で、組織を審査する認証制度ではありません。
補足
「認証」という言葉には、利用者本人を確かめる技術（SSO、多要素認証、リスクベース認証など）と、組織の管理体制を審査する制度（ISMS認証、プライバシーマークなど）の二つの意味があります。どちらの意味で使われているかを意識すると、選択肢を絞り込みやすくなります。また、ISMS認証とプライバシーマークは、情報資産全般を対象にするか、個人情報を対象にするかという違いでもよく問われます。
POINT
- ISMSクラウドセキュリティ認証は、クラウドサービス固有の管理策が実施されていることを認証する制度です。
- この認証は通常のISMS認証（JIS Q 27001）を土台にして、JIS Q 27017のクラウド向け管理策を加えて評価します。
- 一度の認証で複数のサービスを使える仕組みはシングルサインオン（SSO）です。
- ログイン時の状況からリスクを判断して追加の認証を求める仕組みはリスクベース認証です。
- マークの使用を認める制度で、対象が個人情報保護の体制なのはプライバシーマーク制度です。