マナビングITパスポート
回別一覧 →
総合トップへ

クラウド向け情報セキュリティ規格を番号から見分けるには

ITパスポート試験 令和7年度 問2 ／ 法務 › 標準化関連

過去問にチャレンジ

令和7年度 問2

従来の情報セキュリティマネジメントシステム規格を基礎に追加で制定されたもので，クラウドサービスに対応した情報セキュリティ管理体制を構築するためのガイドライン規格として，最も適切なものはどれか。

  1. ア

    ISO 14001

  2. イ

    JIS Q 15001

  3. ウ

    ISO/IEC 27017

  4. エ

    ISO 9001

解答・解説を見る

会話形式の解説

講師講師
この問題は、規格番号とその規格が扱う分野を結び付けられるかを問うものです。問題文にある「情報セキュリティ」と「クラウドサービス」という2つの条件に注目してください。
受験者受験者
規格の番号は数字ばかりで、どれが何の規格なのか私はすぐに混ざってしまいます。まずはどこから絞ればよいでしょうか。
講師講師
情報セキュリティの規格は、ISO/IEC 27000番台にまとまっています。ですから、まず27000番台の番号を持つ選択肢を探すのが近道です。
受験者受験者
選択肢の中で27000番台はISO/IEC 27017だけなので、これが正解の候補になるということですね。
講師講師
そのとおりです。ただし、27000番台に含まれる規格はほかにも多数あります。27017だけが候補として残るのは、あくまでこの選択肢の中では、という意味です。ISO/IEC 27017は、クラウドサービス向けの情報セキュリティ管理策の指針を示す国際規格です。
受験者受験者
問題文の「従来の情報セキュリティマネジメントシステム規格を基礎に追加」という部分は、どの規格を指しているのですか。
講師講師
ISMS、つまり情報セキュリティマネジメントシステムの要求事項を定めるのがISO/IEC 27001です。その管理策の実践的な手引きがISO/IEC 27002で、27017はこの27002の管理策をもとにクラウドならではの対策を追加しています。サービスを提供する側と利用する側の両方を対象とし、両者の責任分担についても指針を示しています。
受験者受験者
JIS Q 15001は、個人情報を扱うのでセキュリティに近い気がして少し迷いました。
講師講師
迷いやすいところです。JIS Q 15001は個人情報保護マネジメントシステムについての日本産業規格で、プライバシーマーク制度の審査基準として使われることで知られています。個人情報の保護を扱いますが、クラウドに特化した指針ではないので、条件に合いません。
受験者受験者
残りのISO 14001とISO 9001は、マネジメントシステムという言葉は共通していても、分野が違うのでしょうか。
講師講師
はい。ISO 14001は環境マネジメントシステム、ISO 9001は品質マネジメントシステムの要求事項を定めた国際規格です。前者は環境負荷を減らして持続可能な経営を進める仕組み、後者は製品やサービスの品質を高めて顧客満足を向上させる仕組みが対象で、どちらも情報セキュリティやクラウドを扱う規格ではありません。
受験者受験者
整理すると、14001は環境、9001は品質、JIS Q 15001は個人情報保護、27000番台は情報セキュリティで、その中でクラウド向けが27017ということですね。
講師講師
よく整理できています。補足すると、番号がよく似たISO/IEC 27018は、クラウド上の個人情報、PIIとも呼ばれるものの保護を扱う指針です。「クラウド」と「個人情報」のどちらが中心のテーマかで27017と区別してください。また、27017に対応する認証制度としてISMSクラウドセキュリティ認証があることも覚えておくと役立ちます。

まとめ

クラウドサービスに対応した情報セキュリティ管理の指針となる規格は、ISO/IEC 27017です。情報セキュリティの規格はISO/IEC 27000番台にまとまっており、27017はISMSの管理策の手引きであるISO/IEC 27002をもとにクラウド向けの対策を追加したもので、提供者と利用者の両方を対象としています。ISO 14001は環境、ISO 9001は品質、JIS Q 15001は個人情報保護（プライバシーマーク）のマネジメントシステム規格で、分野が異なります。似た番号のISO/IEC 27018はクラウド上の個人情報保護を扱う指針なので、テーマの違いで区別することが大切です。

解答・解説

正解はウです

この問題のテーマ

マネジメントシステム関連の規格の中から、クラウドサービスでの情報セキュリティ管理に使う指針の規格を選ぶ問題です。規格番号と、その規格が扱う分野を結び付けて覚えているかが問われています。

解き方の考え方

問題文には「情報セキュリティ」と「クラウドサービス」という2つの条件があるので、まずそれぞれの規格がどの分野を扱うかで絞り込みます。情報セキュリティの規格はISO/IEC 27000番台にまとまっているため、この番号を持つ選択肢が最初の候補になります。ほかの3つは、環境、個人情報保護、品質という別の分野の規格です。「従来のISMS規格を基礎に追加」という説明も、27000番台に属する追加規格であることと合っています。

選択肢ごとの解説

  1. ×ア  ISO 14001
    ISO 14001は環境マネジメントシステムの要求事項を定めた国際規格です。環境負荷を減らし、持続可能な経営を進めるための仕組みを対象にしています。情報セキュリティやクラウドを扱う規格ではないため、設問の条件に合いません。
  2. ×イ  JIS Q 15001
    JIS Q 15001は個人情報保護マネジメントシステムについての日本産業規格です。プライバシーマーク制度の審査基準として使われることで知られています。個人情報の保護を扱う規格ですが、クラウドに特化した指針ではないので正解にはなりません。
  3. ○ウ  ISO/IEC 27017
    ISO/IEC 27017は、クラウドサービス向けの情報セキュリティ管理策の指針を示す国際規格です。ISO/IEC 27002の管理策をもとに、クラウドならではの対策を追加しています。サービスを提供する側と利用する側の両方を対象とし、両者の責任分担についても指針を示しています。設問の条件をすべて満たすため、これが正解です。
  4. ×エ  ISO 9001
    ISO 9001は品質マネジメントシステムの要求事項を定めた国際規格です。製品やサービスの品質を高め、顧客満足を向上させることを目的としています。情報セキュリティやクラウドへの対応を目的とする規格ではありません。

補足

番号がよく似たISO/IEC 27018は、クラウド上の個人情報（PII）の保護を扱う指針です。「クラウド」と「個人情報」のどちらが中心のテーマなのかで27017と区別しましょう。また、ISO/IEC 27017に対応する認証制度として、ISMSクラウドセキュリティ認証があります。

POINT

  • 情報セキュリティ関連の規格はISO/IEC 27000番台にまとまっており、ISMSの要求事項を定めるのはISO/IEC 27001です。
  • ISO/IEC 27002は情報セキュリティ管理策の実践的な手引きで、ISO/IEC 27017はこれを土台にクラウド向けの内容を追加した規格です。
  • ISO/IEC 27017はクラウドサービスの提供者と利用者の両方を対象にしています。
  • ISO 14001は環境、ISO 9001は品質、JIS Q 15001は個人情報保護（プライバシーマーク）のマネジメントシステム規格です。

※出典：令和7年度 ITパスポート試験 問2