ISO/IEC 27017（クラウドサービスの情報セキュリティ）とは？あいえすおーあいいーしーにまんななせんじゅうなな
ISO/IEC 27017（クラウドサービスの情報セキュリティ）とは、ISO/IEC 27002の情報セキュリティ管理策を、クラウドサービスの提供者と利用者の双方に向けて補足した規格。各管理策について「提供者が実装すること」と「利用者が実装すること」を分けて示し、仮想環境の分離、利用者データの取扱いと監視、契約終了時のデータの返却・削除といったクラウド固有の注意点を加える。支援士ではISMSクラウドセキュリティ認証の根拠として、責任分界の設計で問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
クラウドを使うと、サーバのパッチ適用やログの保全といった従来は自社で完結した管理策の一部が事業者の手に移るが、どこまでが事業者でどこからが利用者かは契約書を読んでも曖昧なことが多かった。責任の境目に落ちた管理策は誰もやらない。両者の役割を管理策単位で明示する規格が必要になり、ISMSに上乗せする形で27017が作られた。午後2-2製品・サービスのセキュアな導入は、この責任分界を問う。
具体例
社内システムをAWSやMicrosoft Azureへ移す際、ゲストOSのパッチは利用者側、ハイパーバイザは事業者側、CloudTrailやAzure Monitorで取れるログの範囲、解約時のデータ削除の手順と証明を、この規格の管理策に沿って契約前に確認し覚書に残す。事業者側ではAWSやさくらインターネットがISMSクラウドセキュリティ認証を取得している。
試験での引っ掛け
クラウドへ移せば責任もすべて事業者に移るわけではない。IaaSでもアカウント管理、アクセス権の設定、暗号鍵の扱いは利用者側に残る。またISO/IEC 27017はクラウドのセキュリティ管理策、27018はクラウド上の個人情報（PII）保護の規格で、番号を入れ替えた選択肢が定番。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。