解説

ISMAP（情報システムのためのセキュリティ評価制度：Information system Security Management and Assessment Program）は、政府機関がクラウドサービスを調達する際のセキュリティ確保を目的とした日本独自の制度です。2021年に運用開始されました。仕組みは「クラウドサービス事業者が政府のセキュリティ要件（ISMAPクラウドセキュリティ基準）に適合しているかを第三者が審査し、適合したサービスをISMAPクラウドサービスリストに登録する」→「政府機関はリスト登録サービスを優先的に調達できる」というものです。事前に登録することで調達のたびに個別審査する手間を省き、セキュリティ水準を担保します。選択肢cが正確な説明です。

なぜ他の選択肢は違うのか

選択肢 ア

「個人情報保護体制を評価してマークを付与し、委託を認める制度」はプライバシーマーク（Pマーク）の説明です。ISMAPはクラウドサービスのセキュリティ評価制度であり、個人情報保護に特化した制度ではありません。

選択肢 イ

「個人データを海外移転する際に移転先のセキュリティ基準を評価する制度」はGDPRの十分性認定や越境データ移転に関連する制度の説明です。ISMAPは国内の政府クラウド調達に関する制度です。

選択肢 エ

「ISO/IEC 27017（クラウドISMS）を基準にして政府システムの情報セキュリティ管理体制を評価する制度」に近い説明ですが、ISMAPはISO規格をそのまま使うのではなく、政府独自のISMAPクラウドセキュリティ基準を使います。また「管理体制」ではなく「サービス」を評価します。

解くときのポイント

ISMAP＝「政府クラウド調達向けの事前セキュリティ登録制度」。Pマーク（個人情報保護）・ISMS（ISO 27001）との区別が重要。「クラウドサービスを事前評価・登録→政府が安心して調達できる」の流れを押さえる。