JIS Q 27017は27002に何を加える規格か
情報セキュリティマネジメント試験 令和元年度秋期 午前 問9 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27002:2014には記載されていないが，JIS Q 27017:2016において記載されている管理策はどれか。
- ア
クラウドサービス固有の情報セキュリティ管理策
- イ
事業継続マネジメントシステムにおける管理策
- ウ
情報セキュリティガバナンスにおける管理策
- エ
制御システム固有のサイバーセキュリティ管理策
会話形式の解説
講師今回は規格どうしの関係を問う問題です。JIS Q 27002は、業種や形態を問わない情報セキュリティ管理策の指針です。それを前提にして、JIS Q 27017が何を付け加えているかがポイントです。
受験者27000番台は番号が似ていて、いつも混ざってしまいます。27017が何の規格だったか、自信がありません。
講師27017はクラウドサービス向けの規格です。27002の管理策に、クラウドに固有の管理策と実施の手引きを加えて使う位置づけです。27002を置き換えるものではありません。
受験者それなら、27002にはなくて27017にあるのは、クラウドに固有の事項ということですね。クラウドサービス固有の情報セキュリティ管理策の選択肢が当てはまりそうです。
講師そのとおりです。27017は、クラウドサービスを利用する側のクラウドサービスカスタマと、提供する側のクラウドサービスプロバイダの双方を対象にしています。責任分界、仮想化環境の分離、契約終了時のデータ消去といった、クラウドならではの論点を扱っています。
受験者事業継続マネジメントシステムの管理策も、クラウドで障害が起きたときに関係しそうで迷いました。
講師関係はありそうに見えますが、事業継続マネジメントシステムの要求事項を定めているのはJIS Q 22301です。27017の対象ではありません。
受験者情報セキュリティガバナンスの管理策はどうでしょうか。27000番台に入っていそうな気がします。
講師よい気づきです。ガバナンスも27000番台ですが、その枠組みを示しているのはJIS Q 27014です。27017が主に扱う内容ではありません。
受験者制御システム固有のサイバーセキュリティ管理策は、27000番台ではない別の規格でしょうか。
講師はい。産業用オートメーションや制御システムを対象とするIEC 62443シリーズの領域です。制御システム向けのサイバーセキュリティマネジメントシステムはCSMSと呼ばれ、要求事項はIEC 62443-2-1に示されています。
受験者整理すると、27002が汎用の管理策、27017がクラウド、27014がガバナンス、22301が事業継続、IEC 62443が制御システムですね。
講師よく整理できています。27001がISMSの要求事項であることも合わせて、番号の近さではなく「何を対象にした規格か」で覚えると、似た問題にも対応しやすくなります。なお、JIS Q 27002はその後改正されて管理策の構成が見直されていますが、27017がクラウド固有の管理策を補う規格だという基本的な位置づけは、この問題の論点としては同じです。
まとめ
JIS Q 27002は業種や形態を問わない情報セキュリティ管理策の指針で、JIS Q 27017はそれにクラウドサービス固有の管理策と手引きを加える規格です。そのため、27002にはなく27017にあるのは、クラウドサービス固有の情報セキュリティ管理策です。27017はクラウドサービスカスタマとプロバイダの双方を対象にし、責任分界や仮想化環境の分離などを扱います。事業継続はJIS Q 22301、情報セキュリティガバナンスはJIS Q 27014、制御システムはIEC 62443シリーズが扱う領域です。規格は番号の近さではなく、対象領域と結び付けて覚えることが大切です。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティ管理策の汎用的な指針であるJIS Q 27002と、クラウドサービス向けのJIS Q 27017の関係を問う問題です。規格番号と、その規格が何を対象にしているかを結び付けられるかが問われています。
解き方の考え方
JIS Q 27002は業種や形態を問わない情報セキュリティ管理策の指針で、JIS Q 27017はそれを前提にクラウドサービス特有の内容を追加した規格です。そのため、「27002にはないが27017にはある」ものは、クラウドに固有の事項だと判断できます。ほかの選択肢は、事業継続、ガバナンス、制御システムのように、それぞれ別の規格が扱う領域なので、規格名と対象領域を照らし合わせれば除外できます。
選択肢ごとの解説
- ○ア クラウドサービス固有の情報セキュリティ管理策クラウドサービス固有の情報セキュリティ管理策という説明は、JIS Q 27017の内容そのものです。JIS Q 27017は、クラウドサービスカスタマとクラウドサービスプロバイダの双方を対象に、クラウド固有の管理策と実施の手引きを示しています。具体的には、責任分界、仮想化環境の分離、契約終了時のデータ消去といったクラウドならではの論点を扱っています。
- ×イ 事業継続マネジメントシステムにおける管理策事業継続マネジメントシステムにおける管理策の説明は、JIS Q 27017の対象ではありません。事業継続マネジメントシステムの要求事項は、JIS Q 22301が定めています。
- ×ウ 情報セキュリティガバナンスにおける管理策情報セキュリティガバナンスにおける管理策の説明も、JIS Q 27017が主に扱う内容ではありません。情報セキュリティガバナンスの枠組みは、JIS Q 27014が示しています。
- ×エ 制御システム固有のサイバーセキュリティ管理策制御システム固有のサイバーセキュリティ管理策の説明は、産業用オートメーションや制御システムを対象とするIEC 62443シリーズの領域です。制御システム向けのサイバーセキュリティマネジメントシステムはCSMSと呼ばれ、その要求事項はIEC 62443-2-1に示されています。JIS Q 27017が扱う内容ではありません。
補足
27000番台の規格には、27001（ISMSの要求事項）、27002（管理策）、27014（ガバナンス）、27017（クラウド）のように、番号ごとに役割が分かれています。番号の近さに惑わされず、「何を対象にした規格か」で覚えておくと、似た問題にも対応しやすくなります。クラウドのキーワードが出てきたら27017を思い出すのが基本です。
※JIS Q 27002はその後改正され、現在はISO/IEC 27002:2022に対応するJIS Q 27002:2024が最新版です。2014年版とは管理策の構成が見直されていますが、JIS Q 27017がクラウド固有の管理策を補うという位置づけに変わりはありません。
POINT
- JIS Q 27017は、クラウドサービス向けの情報セキュリティ管理策の実践の指針です。
- JIS Q 27017はJIS Q 27002を置き換えるものではありません。27002の管理策に、クラウド固有の管理策と手引きを加えて使う位置づけです。
- JIS Q 27017は、クラウドサービスカスタマとクラウドサービスプロバイダの双方を対象としています。
- 規格と対象の対応は、JIS Q 22301が事業継続、JIS Q 27014が情報セキュリティガバナンス、IEC 62443が制御システムです。