JIS Q 27017とは？じすきゅーにーななまるいちなな
JIS Q 27017とは、クラウドサービスの提供者と利用者の双方に向けて、JIS Q 27002の管理策をクラウドの文脈でどう実施するかの手引と、クラウド固有の追加管理策を示した規格。仮想環境の分離、事業者側管理者の操作の監視、契約終了時のデータの返却と消去などを扱う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
クラウドでは、機器も基盤も自社の管理下に無いのに、情報を管理する責任は利用者側に残る。どこまでが事業者の責任でどこからが利用者の責任かが契約ごとにばらつくと、双方が「相手がやっているはず」と考える空白が生まれる。この責任分界を管理策の言葉で書き下し、両者が同じ表を見て合意できるようにしたのがこの規格である。委託先管理やクラウド利用の妥当性を判断する根拠として出題される。
具体例
情報マネジメントシステム認定センター（ISMS-AC）は、ISMS認証を取得した組織に対する追加の認証としてクラウドセキュリティ認証（ISMS-CLS）を運用しており、その基準がJIS Q 27017である。SaaS事業者が、テナントの分離や消去手順を実施していることを利用者へ示す材料として使う。
試験での引っ掛け
番号ごとの役割を取り違えやすい。要求事項であり認証の対象になるのが27001、管理策の実践規範が27002、そこへクラウド向けの実施の手引と追加管理策を重ねるのが27017で、27017だけを単独で認証する規格ではない。クラウドで個人情報（PII）の保護を扱うのは27018であり、この番号の入れ替えが定番の引っ掛けである。
関連用語
出た過去問
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
JIS Q 27002:2014には記載されていないが、JIS Q 27017:2016には記載されている管理策はどれか。
正解：クラウドサービス固有の情報セキュリティ管理策
要点：JIS Q 27017はクラウド固有の管理策を追加した規格
JIS Q 27017は、クラウドサービスの利用者と提供者を対象に、27002の管理策をクラウド環境向けに読み替える実施の手引と、クラウド固有の追加管理策を示した規格である。仮想環境の分離、管理者操作の監視、利用終了時のデータ削除と返却、責任分界の明確化などが該当する。基盤となる27002には無い観点である点が要点である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。