解説

ISMAP（Information system Security Management and Assessment Program：政府情報システムのためのセキュリティ評価制度）で使用される「ISMAP管理基準」が基礎としているのは、「日本セキュリティ監査協会のクラウド情報セキュリティ管理基準（平成28年度版）」（d：正解）。ISMAPはクラウドサービスのセキュリティを評価・登録する日本政府の制度（2020年開始）で、登録されたクラウドサービスを政府機関が調達する際に活用する。ISMAP管理基準の基礎：ISO/IEC 27001（ISMS要求事項）・ISO/IEC 27017（クラウドセキュリティ）・ISO/IEC 27018（パブリッククラウドのPII保護）・JASA クラウド情報セキュリティ管理基準を統合して構成されている。中でも「JASA クラウド情報セキュリティ管理基準（平成28年度版）」が直接的な基礎となっている点が本問のポイント。

なぜ他の選択肢は違うのか

選択肢 ア

FIPS 140-3は米国NISTが策定した暗号モジュールのセキュリティ要求事項であり、暗号ハードウェア・ソフトウェアの設計・実装要件を規定する米国連邦基準。ISMAP管理基準はISO/IEC規格やJASA基準を基礎とするもので、FIPS 140-3を直接の基礎とはしていない。

選択肢 イ

ISO/IEC 27018:2019（パブリッククラウドにおけるPII保護のガイドライン）はISMAPの参照規格の一つだが、本問は「ISMAP管理基準が基礎としているもの」を問い、JASA管理基準がより直接的な基礎となっている。ISO/IEC 27018はISMAP管理基準の参照元の一部ではあるが、単独では正解に該当しない。

選択肢 ウ

JIS Q 15001:2017（個人情報保護マネジメントシステム要求事項）はPマークの認定基準であり、国内の個人情報保護管理システムの要求事項を定める規格。ISMAPはクラウドサービス全般のセキュリティを対象とし、JIS Q 15001を直接の基礎とはしていない。

解くときのポイント

ISMAPは政府が認定したクラウドサービスのリスト（ISMAPクラウドサービスリスト）を公開し、政府機関のクラウド調達を支援する制度。管理基準の構造を理解しておく。