--- title: "ISMAPとは。政府が使うクラウドの評価の仕組み｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/ismap-cloud-evaluation/ description: "ISMAPは、政府が求める安全の要求を満たすクラウドサービスを評価して登録する制度です。目的、登録までの流れ、ISMAP-LIU、民間の会社の使い方と、登録だけでは分からないことを説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # ISMAPとは。政府が使うクラウドの評価の仕組み ISMAPは、政府が求める安全の要求を満たすクラウドサービスを評価して登録する制度です。目的、登録までの流れ、ISMAP-LIU、民間の会社の使い方と、登録だけでは分からないことを説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - ISMAPは、各府省庁がばらばらに行っていたクラウドサービスの安全性の評価を統一するための制度で、政府機関等は原則として登録されたサービスから調達するとされています。 - 登録は、管理の体制を整える、登録された監査機関の監査を受ける、審査を経て登録される、という流れを毎年くり返します。 - 民間の会社も、第三者の監査を受けたサービスを選ぶ手がかりとしてリストを使えますが、登録はサービスを提供する側の評価で、使う側の設定や運用の安全までを示すものではありません。 ISMAP（政府情報システムのためのセキュリティ評価制度）とは、政府が求めるセキュリティの要求を満たしているクラウドサービスを、あらかじめ評価して登録し、一覧として公開する制度です。政府機関等は、原則としてこの一覧に載ったサービスから調達するとされています。 ## ISMAPは、何のための制度ですか [ISMAP](https://www.ameliatechnology.co.jp/glossary/ismap/)は、それまで政府機関等がそれぞれ評価していたクラウドサービスのセキュリティの要件を、統一した基準で評価できるようにするための制度です。政府がクラウドを調達するときの安全を確かめ、クラウドの導入を円滑にすることを目指しています。内閣サイバーセキュリティセンター、デジタル庁、総務省、経済産業省が共同で作った案内の資料は、制度の目的をこのように説明しています。 出典：[はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）](https://www.soumu.go.jp/main_content/001002781.pdf) 制度の運営と、登録されたサービスの一覧（ISMAPクラウドサービスリスト）は、ISMAPのポータルで公開されています。 出典：[ISMAPポータル（ISMAP運営委員会）](https://www.ismap.go.jp/) ## 登録までの流れ ISMAPに登録されるには、サービスの事業者が管理の体制を整え、登録された監査機関の監査を受け、審査を経る必要があります。案内の資料は、登録の流れを「統制構築」「外部監査」「審査」の3つで説明し、この流れを毎年くり返すとしています。 統制構築では、サービスの事業者が、ISMAPの管理基準にもとづいて管理の体制を整えます。外部監査では、ISMAPに登録された監査機関が、その体制を監査します。審査では、ISMAP運用支援機関が技術的な審査を行い、ISMAP運営委員会が登録してよいかを総合的に判断します。 管理基準は、国際標準などを踏まえて作られた基準で、ガバナンス基準、マネジメント基準、管理策基準の3つで構成されています。監査機関の登録は、2年ごとに更新するとされています。 出典：[はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）](https://www.soumu.go.jp/main_content/001002781.pdf) ISMAPに登録されるまでの流れ（毎年くり返す） - **統制構築**：サービスの事業者が、ISMAPの管理基準にもとづいて管理の体制を整える - **外部監査**：ISMAPに登録された監査機関が、その体制を監査する - **審査**：ISMAP運用支援機関が技術的に審査し、**ISMAP運営委員会が登録してよいかを判断**する この流れを毎年くり返します ## 低いリスク向けの ISMAP-LIU ISMAP-LIU は、リスクの小さな業務や情報の処理に使う SaaS を対象とする枠組みです。案内の資料の年表では、2022年11月に運用が始まったとされています。 すべての SaaS に同じ水準の評価を求めると、扱う情報の大切さに比べて、事業者の負担が重くなる場合があります。ISMAP-LIU は、こうした低いリスクの SaaS 向けに設けられた枠組みです。自社が使う SaaS を確かめるときは、ISMAP と ISMAP-LIU のどちらで登録されているかも見ておきます。 出典：[はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）](https://www.soumu.go.jp/main_content/001002781.pdf) ## 民間の会社は、どう使えばよいですか ISMAPの対象は政府機関等の調達ですが、民間の会社も、クラウドサービスを選ぶときの手がかりとしてリストを使えます。案内の資料は、利用者にとっての利点として、第三者の監査を受けたサービスを選べること、自社のサービスの安全性の確認の一部に使えること、自社のクラウドの利用に対外的な信頼が得られることを挙げています。 出典：[はじめてのISMAP（内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）](https://www.soumu.go.jp/main_content/001002781.pdf) 例えば、取引先からセキュリティの確認の質問票を受けたときや、新しいクラウドサービスを選ぶときに、そのサービスがリストに載っているかを確かめる、という使い方ができます。質問票への答え方は、[取引先から届くセキュリティチェックシートへの答え方](https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/)で説明しています。 ## 登録だけでは分からないこと ISMAPの登録は、サービスを提供する事業者の管理の体制を評価したもので、使う側がそのサービスを安全に設定し、運用していることまでを示すものではありません。クラウドの安全は、事業者と利用者が分担して守る、という[責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/)の考え方によるためです。 登録されたサービスを使う場合も、利用者は次のことを受け持ちます。 - アカウントと権限の管理（誰に、どこまでの操作を許すか） - 預けるデータの扱い（何を置くか、外に公開しないか） - 設定の点検と、操作の記録の確認 - 使っている機能や地域が、登録の範囲に入っているかの確認 責任の分け方は、[責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲](https://www.ameliatechnology.co.jp/blog/shared-responsibility-model-explained/)で説明しています。設定の点検の仕組みは、[クラウドの設定の診断（CSPM）とは](https://www.ameliatechnology.co.jp/blog/cspm-basics/)を参照してください。委託先としてクラウドの事業者を管理する考え方は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)にまとめています。制度の対象や要件に当たるかどうかなど、個別の判断は専門家にご確認ください。 ## 当社のご支援 アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、クラウドサービスを選ぶときの確認、登録されたサービスを使う場合の利用者側の設定と運用の整備をお手伝いしています。取引先や監査に向けて、クラウドの使い方を第三者の立場で確かめたい場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)の形でご相談いただけます。中立を保つため、当社が構築・運用に関わった環境はシステム監査の対象にしません。当社が構築・運用している環境の診断は、自己点検として報告します。 - ISMAP - クラウド - セキュリティ評価 - 政府 ## この記事に出てくる用語 - [ISMAP](https://www.ameliatechnology.co.jp/glossary/ismap/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [ステアリングコミッティ](https://www.ameliatechnology.co.jp/glossary/steering-committee/) - [SaaS](https://www.ameliatechnology.co.jp/glossary/saas/) - [セキュリティチェックシート](https://www.ameliatechnology.co.jp/glossary/security-check-sheet/) - [責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/) - [CSPM（クラウドの設定の点検）](https://www.ameliatechnology.co.jp/glossary/cspm/) ## 関連する法令・指針（参考情報） - 指針 ISMAP運営委員会「政府情報システムのためのセキュリティ評価制度（ISMAP）」（2020年6月運用開始） 政府が求めるセキュリティの要求を満たしているクラウドサービスを、あらかじめ評価・登録する制度です。登録されたサービスはクラウドサービスリストとして公開されています。 [発行元の公式ページで開く](https://www.ismap.go.jp/) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ISMAPとは。政府が使うクラウドの評価の仕組み｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ismap-cloud-evaluation/