公開日： ｜更新日：
政府が調達するクラウドサービスの安全性を、あらかじめ評価・登録する制度がISMAPです。
本記事では、制度が生まれた背景や運営の仕組み、対象となるクラウドサービスの種類、登録に至るまでの流れを順を追って解説します。
ISMAPとは、政府情報システムで利用するクラウドサービスを、あらかじめ評価し登録する日本政府の制度です。正式名称は「政府情報システムのためのセキュリティ評価制度」で、英語表記のInformation system Security Management and Assessment Programから、ISMAP（イスマップ）と呼ばれています。各府省庁が個別にクラウドの安全性を確認する負担を減らしながら、クラウド・バイ・デフォルト原則の実現を後押しする狙いがあります。
ただし、ISMAPは、定められた管理基準に基づく情報セキュリティ対策の整備・運用状況を確認し、登録の妥当性を審査する制度です。登録サービスの安全性を無条件に保証する制度ではありません。
ISMAPでは、政府情報システムで利用されるクラウドサービスが登録の対象となります。代表的なサービスモデルには、IaaS、PaaS、SaaSがあります。
ただし、IaaS・PaaS・SaaSに該当すれば、すべてのサービスがそのまま登録対象になるわけではありません。申請時には、対象とするサービスの機能や提供範囲、利用している下位サービス、クラウド事業者と利用者との責任分界などを明確にする必要があります。
サービスごとに提供形態や統制の範囲が異なるため、登録を検討する場合は、監査を開始する前にISMAP運用支援機関へ事前相談することが推奨されています。
ISMAPへの登録は、一度の審査で完了するものではなく、複数の段階を経て進みます。具体的には、事業者が管理基準に沿って統制を整備・言明し、登録監査機関による監査を受けたうえで、ISMAP運営委員会が審査を行い、承認されたサービスがクラウドサービスリストに掲載されるという流れです。それぞれの段階でどのような確認が行われるのか、順を追って見ていきましょう。
登録の出発点となるのは、クラウド事業者がISMAP管理基準に沿って必要な統制を設計・整備・運用し、その内容を言明することです。基本規程では、経営陣による言明を「対象サービスの範囲や期間を特定し、リスク分析を踏まえて統制目標や管理策を選び、内部統制を整備・運用していることの主張」と定義しています。
管理基準は、経営陣が担うガバナンス基準、管理者が担うマネジメント基準、業務実施者が担う管理策基準という三層構造になっており、全詳細管理策を確認するにはJIS規格の購入と配布請求が必要です。
次の段階では、事業者がISMAP監査機関リストに登録された監査機関を選び、監査を受けます。監査は、統制がきちんと設計されているかを見る整備状況評価と、実際に運用されているかを見る運用状況評価から構成され、最終的に実施結果報告書としてまとめられます。ここで押さえておきたいのは、ISMAP監査ガイドラインが、この監査を一般的な保証業務とは異なる性質のものと位置づけている点です。実施結果報告書はあくまで事実に即した手続き結果の報告であり、十分な証拠に基づく保証意見ではないとされています。
申請後は、ISMAP運用支援機関による提出書類の確認を経て、登録審査が行われます。制度上、運営委員会は申請が受理された日から原則6か月以内に登録の是非を判断します。
実際には申請から登録まで少なくとも3か月程度を要し、申請内容によってはさらに期間が必要になる場合があります。
審査を通過すると、クラウドサービスはISMAPクラウドサービスリスト、または低リスクSaaS向けのISMAP-LIUクラウドサービスリストに掲載されます。リストには、サービス名や事業者名・所在地、登録日、有効期限、言明対象範囲、監査対象期間、改善計画書の有無などの情報がまとめて公開されます。政府機関等は、原則としてこのリストの中からクラウドサービスを調達しますが、登録されているからといって安全性が完全に保証されるわけではなく、最終的なリスク評価の責任は利用側に残る点は変わりません。
IaaSの代表例としては、仮想サーバー、ストレージ、ネットワークなどを提供するクラウド基盤サービスが挙げられます。なお、ISMAPへの登録は事業者やブランド単位ではなく、申請されたサービスとその対象範囲ごとに行われるため、利用時にはクラウドサービスリストで登録範囲を確認する必要があります。
PaaSは、クラウド基盤上に、利用者が開発または購入したアプリケーションを実装するためのプラットフォームを提供するモデルです。利用者はネットワークやサーバー、OS、ストレージそのものは管理しない一方、実装したアプリケーションとその一部設定はコントロールできます。PaaSでは、利用者が管理するアプリケーションや設定と、クラウド事業者が管理する基盤との責任分界を確認することが重要です。
SaaSは、クラウド上で動作するアプリケーションそのものを提供するモデルで、利用者は通常、ネットワークやサーバー、アプリの機能自体を管理せず、ユーザー固有の設定程度を担います。財務会計や顧客管理といった業務アプリケーションが代表例です。
SaaSには、機密性野高い情報を扱うものであっても、用途や機能が限定され、業務・情報への影響度が比較的低いサービスがあります。こうした低リスクの業務・情報の処理に用いるSaaSを対象とした仕組みとして、ISMAP-LIUが設けられています。
ISMAP管理基準は、経営陣が担うガバナンス基準、管理者が担うマネジメント基準、業務実施者が担う管理策基準の三層構造で構成されています。ガバナンス基準は情報セキュリティガバナンスの目的やプロセスを、マネジメント基準は確立・運用・監視・維持改善・文書管理などを扱う仕組みです。公開されている管理基準はあくまでサンプルであり、全詳細管理策を確認するにはJIS規格の購入と配布請求が必要になります。
以下は、ISMAP管理基準に含まれる管理領域を、読者向けに整理したものです。公式の分類や審査項目をそのまま抜粋したものではありません。
| 確認領域 | 主なチェックポイント |
|---|---|
| 経営ガバナンス | 経営陣の関与、投資判断、セキュリティ文化の醸成 |
| リスクアセスメント | リスクの特定・分析・評価と、対応策の妥当性 |
| アクセス管理・認証 | 権限設計、特権管理、利用者管理の徹底度 |
| 暗号・鍵管理 | 暗号化方針、鍵の保護、利用者管理鍵の扱い |
| 監視・ログ・脆弱性対応 | 監査ログ、監視体制、脆弱性診断の実施状況 |
| インシデント対応 | 報告体制、封じ込め、原因分析、再発防止 |
| 供給者・委託先管理 | 下位クラウドや外部委託先との責任分界 |
| 事業継続・可用性 | 冗長化、障害対応、災害復旧の体制 |
ISMAP登録済みのサービスを選ぶ大きなメリットの一つは、調達側がクラウドごとにゼロから安全性を確認する手間を省ける点にあります。サービス範囲や監査対象期間といった公開情報をもとに比較できるため、調達プロセスの効率化につながります。
登録情報や調達時に提供される情報を通じて、サービスの対象範囲、責任分界、準拠法・裁判管轄、資本関係など、政府調達で確認が必要となる事項を検討しやすくなる点もメリットです。生成AIを利用するサービスについては、ISMAPポータルで公開されている留意事項もあわせて確認する必要があります。
申請の入り口は、制度の理解と対象サービス範囲の確定です。まず登録規則が定める要求事項を満たしているかを確認し、申請にはGビズIDの取得も必要になります。実務の流れを整理すると、サービス範囲と責任共有モデルの整理、管理基準に沿った言明書の作成、監査機関の選定と監査の実施、実施結果報告書の受領、監査終了後は、実施結果報告書の有効期間内に登録申請を行う必要があります。具体的な提出期限は、最新のクラウドサービス登録規則と申請手引きを確認してください。
その後、運用支援機関による受理確認を経て、運営委員会の審査に進み、承認されればクラウドサービスリストに掲載されます。期間の目安としては、受理確認が原則2週間以内、登録判断が受理日から原則6か月以内とされていますが、公式FAQでは実務上少なくとも3か月程度かかると案内されています。
登録に必要な費用は、監査を依頼する監査機関やサービスの規模・構成、社内の対応状況などによって異なります。監査費用に加え、管理体制の整備、文書作成、証跡準備などの社内工数も見込んでおく必要があります。具体的な費用は監査機関等公式サイトを確認しましょう。
アカウントと生産性を守る
Withコロナ時代の
情報セキュリティ必須概念
クラウドサービスの普及やワークスタイルの変化によって、これからの情報セキュリティはシステマチックな運用が求められます。
アカウントのセキュリティを高めながら、運用者と利用者双方の利便性を高めるためには「統合認証基盤(統合認証システム)」の概念を理解しておかなければなりません。
