ISMAPとは？クラウドサービスリストや登録の流れ、ISMAP-LIUとの違いを解説

ISMAPとは政府調達向けの評価制度

まずは制度そのものの輪郭をつかみましょう。ISMAPは単なる認証マークではなく、政府がクラウドサービスを安心して調達するために作られた仕組みです。名称の意味、制度を運営している組織、そして評価のものさしとなる基準の3点から見ていきます。

ISMAPの正式名称と制度が設けられた背景

ISMAP（イスマップ）は「Information system Security Management and Assessment Program」の頭文字をとった略称で、日本語では「政府情報システムのためのセキュリティ評価制度」と呼ばれます。2020年に運用が始まり、翌年から登録されたサービスの一覧が公開されるようになりました。

背景にあるのは、政府が業務システムを自前のサーバーからクラウドサービスへ移す方針、いわゆるクラウド・バイ・デフォルトの考え方です。利用が増えるほど、各府省庁がそれぞれの物差しで安全性を確かめるやり方では手間も判断のばらつきも大きくなります。そこで、国として統一した基準で評価し、結果を共有する形に切り替えたのがこの制度です。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

制度を動かす所管府省庁と事務局の役割

ISMAPは一つの団体が独自に始めた認証ではなく、政府が公的に運営する制度です。内閣サイバーセキュリティセンター（NISC）、デジタル庁、総務省、経済産業省の4者が所管し、有識者と所管省庁で構成するISMAP運営委員会が登録の可否を決定します。事務局はNISCに置かれ、独立行政法人情報処理推進機構（IPA）が運用支援機関として審査などの実務を担っています。

制度は、政府機関等のサイバーセキュリティ対策の統一基準群にひもづく位置づけです。政府機関がクラウドサービスを調達するときは、原則としてISMAPに登録されたサービスから選ぶことが求められます。制度の最新情報や申請様式は、制度ポータルサイトで公開されています。

ISMAP管理基準が求めるセキュリティ水準

評価のものさしとなるのがISMAP管理基準です。組織としての方針を定めるガバナンス基準、運用の仕組みを回すマネジメント基準、具体的な対策を並べた管理策基準の三層で構成されています。方針だけでも技術対策だけでもなく、両方がそろっているかを確認する作りです。

基準の内容は、情報セキュリティマネジメントの国際規格であるISO/IEC 27001や27002、クラウド向けの管理策を示したISO/IEC 27017、米国のNIST SP 800-53といった既存の枠組みを参考に整理されています。そのため、すでに国際規格の認証を取得している事業者であれば、作成済みの文書や記録を土台にして準備を進めやすくなります。

クラウドサービスリストの見方

制度の成果物として公開されているのがISMAPクラウドサービスリストです。政府機関にとっては調達候補の名簿であり、民間企業にとっても無料で参照できる情報源になります。どこで見られるのか、読むときに何へ注意すべきかを押さえましょう。

リストが公開されている場所と掲載内容

ISMAPクラウドサービスリストは、制度ポータルサイトで誰でも閲覧できます。掲載されているのは、サービス名と事業者名、サービスのURL、登録日や有効期限、そして言明の対象範囲や監査対象期間といった情報です。どこまでが評価の対象かも読み取れます。

注意したいのは、このリストが固定されたものではない点です。新たに登録されるサービスがある一方で、更新手続きを行わなければ掲載から外れます。導入検討の初期に見て終わりにせず、契約の直前にもう一度確認しておくと、古い情報のまま判断する事態を防げます。

登録範囲とサービス単位を読み違えない

リストを読むときにもっとも間違えやすいのが、登録の単位です。ISMAPは事業者そのものを認めているのではなく、申請されたクラウドサービス単位で登録されます。同じ会社が複数のサービスを提供していても、登録されているのはその一部だけということが珍しくありません。

さらに、同じサービス名でもプランやオプション、提供リージョンによって対象範囲が分かれている場合があります。登録情報に記載されたサービスの範囲や適用条件まで目を通し、自社が使おうとしている構成が本当に含まれているかを確かめてください。範囲外の機能を使う予定があるなら、その部分は別途評価が必要です。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

登録までの流れと監査の進め方

ここからは、クラウド事業者側の視点で登録までの道のりを見ていきます。ISMAPの登録は書類を出せば終わるものではなく、社内体制の整備、第三者による監査、運営委員会の審査という段階を踏みます。全体像を先につかんでおくと準備の順番を誤りません。

申請前に整える社内体制と文書

最初の作業は、ISMAP管理基準の項目を自社のサービスに当てはめ、対応状況を一つずつ確認することです。方針や規程、運用手順、アクセス権限の管理記録、障害や事故が起きたときの対応体制など、求められる要素を文書として説明できる状態にそろえます。

この段階で不足が見つかるのは自然なことです。基準を満たしていない項目は、改善計画を立てて実際に運用を回し、記録が残る状態にしてから監査に臨みます。準備期間を短く見積もると、監査で指摘が重なって手戻りが増えます。担当部門だけで抱えず、開発や運用、法務を巻き込んだ体制づくりが必要です。

ISMAP監査機関による監査と報告書

準備が整ったら、制度に登録された監査機関による外部監査を受けます。監査では、管理基準への適合状況が文書と実際の運用の両面から確認され、結果は監査報告書としてまとめられます。この報告書が、登録申請の中心的な根拠資料になります。

監査は形式的な書類確認ではなく、設定や記録を実際にたどって裏づけを取る作業を含みます。そのため、日々の運用で証跡が残る仕組みになっているかどうかが結果を左右します。監査機関は制度ポータルで一覧が公開されているため、自社に合う機関を早めに選んでおくと安心です。

審査・登録と年次の更新手続き

監査報告書と申請書類がそろうと、ISMAP運営委員会による審査に進みます。内容が基準を満たしていると判断されれば、クラウドサービスリストに登録され、サービス名が公開されます。登録によって政府調達の候補に入れるようになる点が、事業者にとっての直接的な効果です。

登録は一度取れば永続するものではありません。有効期限が設けられており、継続するには定期的に監査を受け直し、更新の手続きを行う必要があります。制度や基準そのものも見直されるため、改訂内容を追いかけて自社の運用へ反映し続ける体制が欠かせません。取得後の維持まで含めて計画を立てましょう。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

ISMAP-LIUとの違いと選び分け

ISMAPには、リスクの小さい用途に向けた枠組みとしてISMAP-LIUが用意されています。名前が似ているため混同されがちですが、対象とする業務も求められる手続きも異なります。両者の違いを理解して、自社がどちらを目指すべきかを判断しましょう。

ISMAP-LIUが設けられた理由と対象

ISMAP-LIUのLIUは「Low-Impact Use」の略で、情報の漏えいや停止が起きた場合の影響が小さいと評価される業務や情報に使う用途を指します。2022年11月に運用が始まった枠組みで、対象はSaaSに限られています。用途の限られたサービスにも同じ手続きを求めると過剰な要求となり、活用が進みにくいという課題に応えたものです。

政府側から見れば、Web会議や職員向けの教育のような影響の小さい業務にも、一定の水準が確認されたサービスを選べる利点があります。事業者側から見れば、負担を抑えた形で政府調達の土俵に立てます。どちらも安全性の確認という目的は同じで、リスクに応じて手続きの重さを変える考え方です。

監査方法と求められる管理策の違い

最大の違いは監査の範囲です。ISMAP-LIUでも監査機関による外部監査は毎年必要ですが、外部監査の対象はサービス基盤や構成に影響しうる重要な管理策が中心となり、対応すべき管理策数は通常のISMAPの概ね5分の1程度と見込まれます。あわせて、事業者が自ら行う内部監査の実施状況の報告が求められます。その分、準備の負担や費用を抑えられます。

ただし、監査が軽いということは、想定される用途も限られるという意味です。個人情報を大量に扱う業務や、停止すると行政サービスに大きな影響が出るシステムは想定されていません。自社が預かる情報を整理したうえで、目指す区分を決めましょう。

民間企業がISMAPを調達に活かす方法

ISMAPは政府調達のための制度ですが、公開された一覧は民間企業も自由に参照できます。取引先のクラウドサービスを評価する際の共通言語として使えば、確認作業の負担を軽くできます。活かし方と、あわせて注意すべき点を見ていきましょう。

取引先のクラウド評価の出発点にする

自社でセキュリティチェックシートを一から作り、各ベンダーに回答を依頼するやり方は、双方にとって負担が大きい作業です。ISMAPに登録されているサービスであれば、統一された基準で第三者の確認を受けた実績があるため、一次的なふるい分けの手間を減らせます。

実務では、候補サービスがリストにあるかどうかを最初に確認し、登録済みであれば基本的な管理策の質問を簡略化する、といった使い方が現実的です。社内の情報システム部門と調達部門で判断の目安を共有しておけば、担当者ごとに確認の深さが変わってしまう状態も避けられます。

自社のリスク評価を省略しない

気をつけたいのは、登録されているからといって、あらゆる使い方で安全が保証されるわけではない点です。ISMAPが確認しているのは、申請された範囲におけるサービス提供者側の管理策です。利用者側の設定ミスやアクセス権限の付与しすぎによる情報の漏えいは、制度の対象外です。

そのため、自社で扱うデータの重要度、保管される場所、退職者のアカウント停止といった運用ルールは、登録の有無にかかわらず自分たちで点検する必要があります。未登録のサービスについても、代替となる第三者認証の取得状況や監査報告書の提示可否を確認すれば、同じ物差しに近づけて比較できます。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

「自社に合うクラウドセキュリティを診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。

利用者側の設定と権限を点検する製品

ISMAPの登録有無だけでは確かめられない、利用者側の設定やアクセス権限の点検を支える製品を選びました。

GMOトラスト・ログイン

GMOグローバルサイン株式会社

資料請求リストに追加

製品詳細ページへ ＞

《GMOトラスト・ログイン》のPOINT

1. 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
2. シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
3. 迅速に多要素認証を導入し、セキュリティを強化

まとめ

ISMAPは、政府が求めるセキュリティ水準を満たしたクラウドサービスを審査し、一覧として公開する登録制度です。政府機関は原則この一覧から調達先を選ぶため、事業者にとって登録は公共案件への入口となります。登録までは社内体制の整備、監査機関による監査、運営委員会の審査という段階を踏み、取得後も定期的な更新が必要です。民間企業も一覧を確認の出発点として使えますが、利用者側の設定や運用まで守ってくれる制度ではありません。自社のリスク評価とあわせて活用してください。