この記事の要点
- ISMAPは、各府省庁がばらばらに行っていたクラウドサービスの安全性の評価を統一するための制度で、政府機関等は原則として登録されたサービスから調達するとされています。
- 登録は、管理の体制を整える、登録された監査機関の監査を受ける、審査を経て登録される、という流れを毎年くり返します。
- 民間の会社も、第三者の監査を受けたサービスを選ぶ手がかりとしてリストを使えますが、登録はサービスを提供する側の評価で、使う側の設定や運用の安全までを示すものではありません。
ISMAP（政府情報システムのためのセキュリティ評価制度）とは、政府が求めるセキュリティの要求を満たしているクラウドサービスを、あらかじめ評価して登録し、一覧として公開する制度です。政府機関等は、原則としてこの一覧に載ったサービスから調達するとされています。
ISMAPは、何のための制度ですか
ISMAPは、それまで政府機関等がそれぞれ評価していたクラウドサービスのセキュリティの要件を、統一した基準で評価できるようにするための制度です。政府がクラウドを調達するときの安全を確かめ、クラウドの導入を円滑にすることを目指しています。内閣サイバーセキュリティセンター、デジタル庁、総務省、経済産業省が共同で作った案内の資料は、制度の目的をこのように説明しています。
出典：はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）
制度の運営と、登録されたサービスの一覧（ISMAPクラウドサービスリスト）は、ISMAPのポータルで公開されています。
登録までの流れ
ISMAPに登録されるには、サービスの事業者が管理の体制を整え、登録された監査機関の監査を受け、審査を経る必要があります。案内の資料は、登録の流れを「統制構築」「外部監査」「審査」の3つで説明し、この流れを毎年くり返すとしています。
統制構築では、サービスの事業者が、ISMAPの管理基準にもとづいて管理の体制を整えます。外部監査では、ISMAPに登録された監査機関が、その体制を監査します。審査では、ISMAP運用支援機関が技術的な審査を行い、ISMAP運営委員会が登録してよいかを総合的に判断します。
管理基準は、国際標準などを踏まえて作られた基準で、ガバナンス基準、マネジメント基準、管理策基準の3つで構成されています。監査機関の登録は、2年ごとに更新するとされています。
出典：はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）
ISMAPに登録されるまでの流れ（毎年くり返す）
- 統制構築サービスの事業者が、ISMAPの管理基準にもとづいて管理の体制を整える
- 外部監査ISMAPに登録された監査機関が、その体制を監査する
- 審査ISMAP運用支援機関が技術的に審査し、ISMAP運営委員会が登録してよいかを判断する
この流れを毎年くり返します
低いリスク向けの ISMAP-LIU
ISMAP-LIU は、リスクの小さな業務や情報の処理に使う SaaS を対象とする枠組みです。案内の資料の年表では、2022年11月に運用が始まったとされています。
すべての SaaS に同じ水準の評価を求めると、扱う情報の大切さに比べて、事業者の負担が重くなる場合があります。ISMAP-LIU は、こうした低いリスクの SaaS 向けに設けられた枠組みです。自社が使う SaaS を確かめるときは、ISMAP と ISMAP-LIU のどちらで登録されているかも見ておきます。
出典：はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）
民間の会社は、どう使えばよいですか
ISMAPの対象は政府機関等の調達ですが、民間の会社も、クラウドサービスを選ぶときの手がかりとしてリストを使えます。案内の資料は、利用者にとっての利点として、第三者の監査を受けたサービスを選べること、自社のサービスの安全性の確認の一部に使えること、自社のクラウドの利用に対外的な信頼が得られることを挙げています。
出典：はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）
例えば、取引先からセキュリティの確認の質問票を受けたときや、新しいクラウドサービスを選ぶときに、そのサービスがリストに載っているかを確かめる、という使い方ができます。質問票への答え方は、取引先から届くセキュリティチェックシートへの答え方で説明しています。
登録だけでは分からないこと
ISMAPの登録は、サービスを提供する事業者の管理の体制を評価したもので、使う側がそのサービスを安全に設定し、運用していることまでを示すものではありません。クラウドの安全は、事業者と利用者が分担して守る、という責任共有モデルの考え方によるためです。
登録されたサービスを使う場合も、利用者は次のことを受け持ちます。
- アカウントと権限の管理（誰に、どこまでの操作を許すか）
- 預けるデータの扱い（何を置くか、外に公開しないか）
- 設定の点検と、操作の記録の確認
- 使っている機能や地域が、登録の範囲に入っているかの確認
責任の分け方は、責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲で説明しています。設定の点検の仕組みは、クラウドの設定の診断（CSPM）とはを参照してください。委託先としてクラウドの事業者を管理する考え方は、委託先・クラウドサービスの管理をどう確かめるかにまとめています。制度の対象や要件に当たるかどうかなど、個別の判断は専門家にご確認ください。
当社のご支援
アメリア・テクノロジーのクラウドの構築と運用管理では、クラウドサービスを選ぶときの確認、登録されたサービスを使う場合の利用者側の設定と運用の整備をお手伝いしています。取引先や監査に向けて、クラウドの使い方を第三者の立場で確かめたい場合は、システム監査の形でご相談いただけます。中立を保つため、当社が構築・運用に関わった環境はシステム監査の対象にしません。当社が構築・運用している環境の診断は、自己点検として報告します。
- ISMAP
- クラウド
- セキュリティ評価
- 政府
この記事に出てくる用語
関連する法令・指針（参考情報）
- 指針
ISMAP運営委員会「政府情報システムのためのセキュリティ評価制度（ISMAP）」（2020年6月運用開始）
政府が求めるセキュリティの要求を満たしているクラウドサービスを、あらかじめ評価・登録する制度です。登録されたサービスはクラウドサービスリストとして公開されています。
法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは法令・指針の参考情報と凡例をご覧ください。
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。