解説

JIS Q 27017:2016（ISO/IEC 27017:2015）は「クラウドサービスのための情報セキュリティ管理策」を規定した規格です。JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）を基礎としながら、クラウドコンピューティング環境固有の追加的・拡張的な管理策を定めています。具体的には「仮想化技術に関連するリスク管理」「クラウドサービスの契約終了時のデータ削除」「クラウド管理ポータルのアクセス管理」「テナント間の分離」「仮想マシンの強化」など、クラウド特有の脅威・リスクに対応した管理策が追加されています。JIS Q 27002が汎用的な情報セキュリティ管理の規範であるのに対し、JIS Q 27017はクラウドサービス利用者とクラウドサービスプロバイダの双方を対象としたクラウド特化版の規格です。

なぜ他の選択肢は違うのか

選択肢 イ

「事業継続マネジメントシステムにおける管理策」はISO 22301（JIS Q 22301）または情報セキュリティの観点ではJIS Q 27001附属書AのA.17（事業継続管理）に関連する管理策の説明です。BCM（Business Continuity Management）はJIS Q 27002にも記載されている汎用管理策であり、クラウドサービス固有ではありません。

選択肢 ウ

「情報セキュリティガバナンスにおける管理策」はISO/IEC 27014（情報セキュリティガバナンス）に関連する説明です。ガバナンスは組織の経営レベルでの情報セキュリティ方針の策定・監督に関するものであり、JIS Q 27002にも含まれる管理策です。クラウドサービス固有の管理策ではありません。

選択肢 エ

「制御システム固有のサイバーセキュリティ管理策」はIEC 62443（産業オートメーション制御システムのセキュリティ）やJIS Q 27002のIoT/OT向け拡張規格に関連する説明です。制御システム（SCADA・ICS）のセキュリティはクラウド環境とは別分野であり、JIS Q 27017の対象外です。

解くときのポイント

JIS Q 27017の識別方法：27002（汎用）に「クラウド固有」を追加した規格。試験頻出の規格対応表：27001＝ISMS要求事項、27002＝情報セキュリティ管理策規範、27017＝クラウド管理策、27018＝クラウド個人情報保護、27701＝プライバシー情報管理。