令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問題 問25
マネジメントシステム監査クラウド・仮想化対象別の監査着眼点・指摘事項クラウドサービスの利用・統制
クラウドサービスの導入検討プロセスに対するシステム監査において，クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして，最も適切なものはどれか。
解答・解説
正解: ウ. クラウドサービスを提供する事業者が信頼できるか，事業者の事業継続性に懸念がないか，及びサービスが継続して提供されるかどうかが検討されているか。
クラウドサービスの導入検討プロセスにおけるシステム監査において、「情報の保全及び消失の予防」を目的としたチェックポイントを問う問題です。
クラウドサービスを利用する場合、データはクラウド事業者側で保存・管理されます。もしクラウド事業者が倒産したり、サービスを急に終了したりした場合、預けていたデータが取り出せなくなり、情報が消失するリスクが生じます。したがって、クラウド上にあるデータの保全を確実にするためには、データを預ける先であるクラウド事業者の信頼性や事業継続性を確認することが極めて重要になります。
各選択肢の解説
- ア: 誤り。クラウドサービスの障害時における「最大許容停止時間」は、システムの可用性に関するチェックポイントであり、データの消失予防に直接的な関連はありません。
- イ: 誤り。利用者IDの一元管理は、運用管理の効率化やアクセス制御（機密性）に関するチェックポイントであり、情報の保全・消失予防とは目的が異なります。
- ウ: 正解。事業者の信頼性や事業継続性に懸念がないかを確認することは、サービス停止によるデータ消失リスクを回避するために、情報の保全・消失予防の観点から最も適切なチェックポイントです。
- エ: 誤り。ネットワークの「暗号化通信」は、通信傍受やデータ漏えいを防ぐための機密性に関するチェックポイントであり、データの消失予防に関するものではありません。