情報処理安全確保支援士試験 令和3年度 秋期 午後2 問1
【出典：情報処理安全確保支援士試験 令和3年度 秋期 午後2 問1（一部、加工あり）】
[DシステムのSaaSへの移行の検討]
U社の情報システム部のYさんがUアプリの改修を計画していたところ、将来にわたりU社でUアプリのメンテナンスを続けるよりもSaaSに移行する方が機能面でもセキュリティ対策の面でもよいのではないかという意見が出た。
そこで、Yさんは、Uアプリのメンテナンス継続とSaaSへの移行のメリットとデメリットを比較した。比較の結果、表1に概要を示すG社提供のSaaS（以下、Gサービスという）に移行する方が、Uアプリのメンテナンスを継続するよりもメリットが多そうなので、更に詳細に検討することにした。
Yさんは、Gサービスへの移行について、Dシステムの利用規約の継続を前提として、次の項目を検討することにした。
項目1：必要なセキュリティ対策のGサービスでの実現可否
項目2：SIEMとの連携
[項目1の検討]
Yさんは、項目1について検討した。表2は、その検討結果である。
次は、検討結果に関するYさんとU社のCSIRTリーダであるTさんの会話である。
Yさん：表2のとおり、セキュリティ対策の大部分はGサービスで実現できますが、Gサービスが信頼できるかどうかの見極めが必要です。
Tさん：そのとおりだね。例えば、クラウドサービスのための（d）の実践の規範であるISO/IEC 27017に基づく認証や、Dシステムとは直接関係がないが、パブリッククラウドにおける（ｅ）の実践の規範であるISO/IEC 27018に基づく認証を取得しているサービスであれば信頼してよいのではないかな。
Yさん：Gサービスは、ISO/IEC 27017に基づく認証を取得しているので、信頼できそうですね。
Tさん：そうだね。ところで、F国では安全保証上の要請があれば、F国内に保存されているデータを、F国政府に強制的に提出させる国内法が存在する。④Gサービスを経由して協力会社との間で受け渡すファイルの内容を保護するという観点で、どのような措置が当社として取り得るか、考えてほしい。
Yさん：分かりました。
d：情報セキュリティ管理策、ｅ：個人情報保護
「例えば、クラウドサービスのための（d）の実践の規範であるISO/IEC 27017に基づく認証や、Dシステムとは直接関係がないが、パブリッククラウドにおける（ｅ）の実践の規範であるISO/IEC 27018に基づく認証を取得しているサービスであれば信頼してよいのではないかな。」
ISO/IEC 27017とは「ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」と定義され、クラウドサービスに関する情報セキュリティ管理策の国際規格のことです。
ISO/IEC 27018とは「パブリッククラウドにおける個人情報保護の実践の規範」と定義され、クラウドサービス事業者がパブリッククラウド上で管理する個人情報の保護に焦点を当てた国際規格のことです。
下線④について、取り得る措置を40字以内で述べよ。：ファイルをU社が管理する鍵で暗号化してからアップロードする。
「ところで、F国では安全保証上の要請があれば、F国内に保存されているデータを、F国政府に強制的に提出させる国内法が存在する。④Gサービスを経由して協力会社との間で受け渡すファイルの内容を保護するという観点で、どのような措置が当社として取り得るか、考えてほしい。」
「ファイルの内容を保護するという観点」について、問題文では表2（項目1の検討結果）に「ファイルをGサービス上のストレージに保存するときの暗号化：Gサービスの機能として、自動的に暗号化され、暗号鍵はG社が管理するので可」という記述があります。
これは、U社がGサービスにアップロードしたファイルに対し、F国政府に要請された場合にはGサービスが管理する暗号鍵で復号されてしまう可能性があることを示しています。
これに取り得る措置としては、Gサービスの暗号鍵とは別に、U社と協力会社間でファイルの暗号化の処理を行うようにすることが考えられると思います。
例えば、U社が管理する鍵で暗号化してアップロードして、協力会社は該当する鍵でファイルを復号するようにすればいいでしょう。