重要度：B 論点：SLA
問16：クラウドサービスの契約時には、稼働率などのサービスレベルの目標値、未達時の補償条件、サポートの対応時間、契約終了時のデータの扱いを、自社の要求水準と照らして確認する。
解答を見る
○：SLAは、稼働率、サポート対応時間、障害時の連絡、未達時の取扱いなど、合意したサービス水準を明確にする。契約書の一部又は別紙として定められる場合がある。SLAで責任分担を定めても、利用者側に割り当てられた設定・権限管理や、利用者が負う法令上の義務が自動的に事業者へ移るわけではない。
重要度：B 論点：シャドーIT
問17：会社の許可を得ていないクラウドサービスの業務利用も、業務の効率が上がるのであれば、情報セキュリティ上の問題はない。
解答を見る
×：許可されていないサービスの業務利用はシャドーITに当たり、組織が利用状況や保存データを把握できず、必要な設定、監視、契約確認及び事故対応の対象から漏れるおそれがある。事故の把握や対応が遅れる可能性があるため、利用を禁止するだけでなく、申請手続と業務上の必要を満たす許可済みの代替手段を整備する。
重要度：C 論点：BYOD
問18：従業員の私物端末の業務利用（BYOD）を許可する場合は、利用条件の規程化、MDMなどによる端末管理、業務データと私的データの分離、紛失時の遠隔消去などの対策を整える。
解答を見る
○：私物端末であっても、業務情報を扱う範囲について組織的な管理が必要である。一方、私的領域まで必要性なく監視又は消去すると、従業員のプライバシーを侵害するおそれがある。コンテナ化などで業務領域を分離し、収集する情報、管理権限、遠隔消去の対象範囲及び紛失時の手順を規程で定め、利用者へ事前に説明する。
重要度：C 論点：ISO/IEC 27017
問19：ISO/IEC 27017は、情報セキュリティマネジメントシステムの認証用の要求事項を定めた規格である。
解答を見る
×：ISO/IEC 27017は、クラウドの提供者と利用者に向けて情報セキュリティ管理策の実施の手引を示したガイドライン規格である。認証用の要求事項を定めるのはISO/IEC 27001であり、位置づけが異なる。
重要度：C 論点：出口戦略・データ移行・消去
問20：クラウドサービスの利用終了時は、事業者へデータの削除を依頼すれば十分であり、契約前にデータの移行方法やエクスポート形式を確認する必要はない。
解答を見る
×：クラウドサービスの選定・契約時から、利用終了時に必要なデータを移行できる形式、移行に要する期間と費用、保存データやバックアップの消去方法・期限・確認方法を定めておく。終了時には、データ移行、利用者アカウントやAPIキーの無効化、連携設定の解除、貸与物の返却、事業者側に残るデータの消去確認などを行う。
コメント