政府が求めるクラウドサービスのセキュリティ評価制度であるISMAP（イスマップ）について、その概要や企業が対応するメリット・デメリットをわかりやすく解説します。クラウド導入が加速する中、ISMAPへの登録は企業の信頼性向上に直結する重要な要素です。
この記事で分かること
- ISMAPの基本的な概要と導入背景
- 対象となる組織やクラウドサービス
- 企業がISMAPに対応するメリットとデメリット
- 登録に必要なセキュリティ基準と要件
- 事前準備から登録完了までの具体的な流れ
本記事を読むことで、ISMAPの全体像を把握し、自社が対応すべき具体的なポイントが明確になります。
ISMAPとは何か？制度の概要と目的
ISMAP（イスマップ）とは、「Information system Security Management and Assessment Program」の略称であり、日本語では「政府情報システムのためのセキュリティ評価制度」と呼ばれます。政府がクラウドサービスを導入する際に、一定のセキュリティ基準を満たしているかを評価し、登録する仕組みです。
本制度の目的は、政府機関が安全にクラウドサービスを調達できる環境を整えるとともに、クラウドサービス事業者に対して統一されたセキュリティ基準を提示することにあります。これにより、各省庁が個別にセキュリティ評価を行う手間を省き、迅速かつ安全なクラウド導入を実現します。
政府が求めるクラウドセキュリティ評価制度
ISMAPは、政府が情報システムを構築する際に利用するクラウドサービスが、国の求めるセキュリティ要求を満たしているかを客観的に評価する制度です。ISMAPポータルサイトで公開されているクラウドサービスリストに登録されることで、政府機関の調達対象となります。
制度の運営は、デジタル庁、総務省、経済産業省が共同で所管しており、独立行政法人情報処理推進機構（IPA）が制度の運用支援を行っています。ISMAPの主な特徴は下表のとおりです。
| 項目 | 概要 |
|---|---|
| 制度の正式名称 | 政府情報システムのためのセキュリティ評価制度 |
| 所管省庁 | デジタル庁、総務省、経済産業省 |
| 評価対象 | IaaS、PaaS、SaaSなどのクラウドサービス |
| 主な目的 | 政府調達におけるセキュリティ水準の確保と調達の効率化 |
ISMAPに登録されたクラウドサービスは、政府機関だけでなく、高いセキュリティ水準を求める民間企業にとっても信頼の証となります。
ISMAPが導入された背景
ISMAPが導入された背景には、政府のIT戦略における大きな方針転換があります。政府は2018年に「クラウド・バイ・デフォルト原則」を打ち出し、政府情報システムの構築においてクラウドサービスの利用を第一候補として検討する方針を示しました。
この方針に伴い、クラウドサービスの利用が急増することが見込まれましたが、同時に以下のような課題が浮き彫りになりました。
- 各府省庁が独自にクラウドサービスのセキュリティ評価を行うことによる業務負担の増加
- 評価基準のばらつきによるセキュリティレベルの不均一化
- クラウドサービス事業者側における、各省庁ごとの個別要件への対応負担
これらの課題を解決するため、統一された基準に基づく客観的な評価制度の創設が急務となりました。その結果、2020年にISMAPが正式に運用を開始し、政府機関が安全かつ効率的にクラウドサービスを調達できる基盤が整えられました。
ISMAPの対象となる組織とクラウドサービス
ISMAP（政府情報システムのためのセキュリティ評価制度）は、主に政府機関が利用するクラウドサービスを対象としていますが、その影響範囲は公共機関や民間企業にも広く及んでいます。ここでは、ISMAPが対象とする組織やクラウドサービスの種類、そして社会全体に与える波及効果について詳しく解説します。
政府機関や公共機関における利用
ISMAPは、政府機関がクラウドサービスを調達する際のセキュリティ水準を確保するために創設されました。そのため、各府省庁などの政府機関は、原則としてISMAPクラウドサービス登録リストに掲載されているサービスの中から調達を行うことが求められています。
対象となるクラウドサービスは、提供形態によって主に以下の3つに分類され、それぞれに厳格なセキュリティ管理基準が設けられています。提供形態ごとの特徴は下表のとおりです。
| クラウドサービスの提供形態 | 概要とISMAPにおける対象範囲 |
|---|---|
| IaaS（インフラストラクチャ・アズ・ア・サービス） | サーバーやネットワークなどのインフラ環境を提供するサービスです。ハードウェアや仮想化レイヤーのセキュリティ対策が評価対象となります。 |
| PaaS（プラットフォーム・アズ・ア・サービス） | アプリケーションの開発や実行に必要なプラットフォームを提供するサービスです。OSやミドルウェアのセキュリティ管理が求められます。 |
| SaaS（ソフトウェア・アズ・ア・サービス） | ソフトウェアをインターネット経由で提供するサービスです。アプリケーション自体の脆弱性対策やデータ保護が重点的に評価されます。 |
また、政府機関だけでなく、独立行政法人や地方公共団体においても、情報セキュリティ対策の強化が急務となっています。ISMAPポータルサイトで公開されている登録リストは、これらの公共機関が安全なクラウドサービスを選定するための重要な基準として広く活用されています。
民間企業への影響と波及効果
ISMAPは政府機関向けの制度ですが、民間企業にも大きな影響を与えています。クラウドサービスを提供する事業者にとって、ISMAPへの登録は、自社のサービスが政府の厳しいセキュリティ基準を満たしていることの客観的な証明となります。
民間企業がISMAP登録サービスを利用する主な背景には、以下のようなものがあります。
- 高度なセキュリティ水準が担保された環境で機密データを管理したいというニーズの増加
- 自社で独自のセキュリティ評価を行う手間やコストを削減するための指標としての活用
- 取引先や顧客に対して、サプライチェーン全体での情報セキュリティへの取り組みをアピールする目的
さらに、金融機関や医療機関、重要インフラを担う企業など、厳格な情報管理が求められる業界においては、ISMAPを事実上の業界標準として参照する動きが加速しています。クラウドサービス事業者側も、政府調達の要件を満たすだけでなく、民間市場における競争力を高めるために、積極的にISMAPの取得を目指すようになっています。
このように、ISMAPは政府機関のセキュリティ向上を目的として始まりましたが、結果として日本国内のクラウドサービス全体のセキュリティレベルを底上げする役割を果たしています。
企業がISMAPに対応するメリットとデメリット
クラウドサービス事業者にとって、ISMAP（政府情報システムのためのセキュリティ評価制度）への登録は、ビジネスを拡大するうえで重要な意味を持ちます。政府が求める厳格なセキュリティ基準を満たすことは、企業に多くの恩恵をもたらす一方で、対応に伴う負担も無視できません。企業がISMAPに対応するメリットとデメリットは、下表のとおりです。
| 項目 | メリット | デメリット |
|---|---|---|
| ビジネス機会 | 政府機関や地方自治体との取引が可能になり、民間企業からの信頼も獲得できる | 対象市場が限られる場合、投資対効果が見合わない可能性がある |
| セキュリティ水準 | 国際規格に基づいた高度なセキュリティ体制を構築・維持できる | 厳格な基準を満たすための社内体制の整備に多大な労力を要する |
| コスト・リソース | 情報漏えいなどのセキュリティインシデント発生リスクを低減できる | 外部監査費用やコンサルティング費用、専任担当者の確保など負担が大きい |
信頼性向上のメリット
ISMAPに登録する最大のメリットは、政府機関や地方自治体におけるクラウドサービス調達の要件をクリアできることです。政府は「クラウド・バイ・デフォルト原則」を掲げており、情報システムを構築する際はクラウドサービスの利用を第一候補として検討します。その際、各機関は原則としてISMAPポータルサイトに登録されたサービスの中から調達を行うため、登録事業者となることで公共案件への参入機会が飛躍的に拡大します。
また、ISMAPのセキュリティ基準は、ISO/IEC 27001やISO/IEC 27017といった国際規格をベースに、日本政府が求める独自の要求事項を追加した非常に厳しいものです。そのため、ISMAPクラウドサービスリストに登録されること自体が、極めて高いセキュリティ水準を備えていることの客観的な証明となります。
この信頼性の向上は、公共機関との取引にとどまらず、民間企業とのビジネスにおいても強力なアピールポイントとなります。特に、金融機関や医療機関、インフラ関連企業など、機密性の高いデータを扱う業界では、クラウドサービスを選定する際の基準としてISMAPの登録有無を重視するケースが増加しています。
対応にかかるコストとリソースのデメリット
一方で、ISMAPへの対応には多大なコストとリソースが必要となる点がデメリットとして挙げられます。制度の要求事項を満たすためには、既存のシステムや社内規程を大幅に見直す必要があり、それに伴う業務負荷は決して小さくありません。
具体的に想定される負担としては、以下の要素が挙げられます。
- セキュリティ管理体制の構築や社内規程の整備にかかる人的リソースの確保
- 登録審査の前提となる、独立した外部監査機関による監査費用の負担
- 毎年の登録更新に向けた継続的な運用改善と定期的な監査の実施
外部監査機関による監査には、数百万円から数千万円規模の費用が発生するケースも珍しくありません。また、登録後もセキュリティ基準を維持し、毎年の更新審査を通過するための継続的な運用コストが発生する点には注意が必要です。
したがって、企業がISMAPへの対応を検討する際は、公共案件の受注や民間企業への導入拡大によって得られる収益と、対応・維持にかかるコストを慎重に比較検討する必要があります。自社のビジネス戦略において、高度なセキュリティ認証の取得が不可欠であるかどうかを見極めることが重要です。
ISMAPに登録するための要件と対応すべきポイント
ISMAP（政府情報システムのためのセキュリティ評価制度）のクラウドサービスリストに登録されるためには、政府が定める厳格なセキュリティ要求事項を満たし、その適合性を客観的に証明する必要があります。ここでは、登録に向けた具体的な要件と対応すべきポイントについて解説します。
セキュリティ基準の理解と整備
ISMAPに登録するための第一歩は、制度が要求する管理基準を正確に理解し、自社のクラウドサービスに適用することです。ISMAPのセキュリティ基準は、国際規格であるJIS Q 27001（情報セキュリティマネジメントシステム）やJIS Q 27017（クラウドサービスのための情報セキュリティ管理策）などをベースに構築されており、政府機関が求める高度なセキュリティ水準が追加されています。
要求される管理基準は多岐にわたり、組織全体のガバナンスから技術的なコントロールまで網羅的な対応が求められます。具体的には、下表のとおり3つの基準群から構成されています。
| 基準群 | 概要 | 主な対応ポイント |
|---|---|---|
| ガバナンス基準 | 経営陣による情報セキュリティへの関与や組織体制の構築に関する基準 | 経営層のコミットメントの明文化、セキュリティ責任者の配置、内部統制の確立 |
| マネジメント基準 | 情報セキュリティのリスク管理や継続的な改善プロセスに関する基準 | リスクアセスメントの実施、PDCAサイクルの運用、インシデント対応計画の策定 |
| コントロール基準 | クラウドサービスに適用すべき具体的な技術的・物理的・人的な管理策 | アクセス制御、データの暗号化、物理的セキュリティ対策、従業員教育の徹底 |
これらの基準を満たすためには、既存のセキュリティ対策を見直し、不足している部分を補うための規程類の整備やシステムの改修が必要です。特に、クラウドサービス特有のリスクに対する管理策が十分に実装されているかを詳細に点検することが重要です。基準の詳細については、ISMAPポータルサイトで公開されている最新のISMAP管理基準を参照して、自社の現状とのギャップ分析を行うことが推奨されます。
外部監査の実施と評価
社内でのセキュリティ整備が完了した後は、その対策がISMAPの基準に適合しているかを客観的に証明するための手続きに進みます。ISMAP制度では、クラウドサービス事業者自身の自己評価だけではなく、独立した第三者機関による厳密な監査を受けることが義務付けられています。
登録要件を満たすためには、ISMAP運営委員会が認定した登録監査機関に監査を依頼し、適合性評価を受けなければなりません。監査機関は、事業者が提出した言明書や関連する証拠書類に基づき、実際の運用状況を詳細に確認します。
監査に向けた準備と対応
外部監査を円滑に進め、良好な評価を得るためには、事前の入念な準備が極めて重要です。監査機関に対して、セキュリティ対策が適切に設計・運用されていることを証明するためのエビデンスを漏れなく揃える必要があります。
- システム構成図やネットワーク図など、対象サービスの全体像を示す資料の作成
- セキュリティポリシー、運用マニュアル、リスク評価結果などの文書化
- アクセスログ、インシデント対応記録、教育の実施記録など、運用実績を示す証跡の収集
監査の過程で不備や指摘事項が発見された場合は、速やかに原因を分析し、是正措置を講じる必要があります。指摘事項の改善状況も最終的な評価の対象となるため、監査機関との密なコミュニケーションを図りながら対応を進めることがポイントです。監査が完了すると、監査機関から評価結果をまとめた監査報告書が発行され、これをもって正式な登録申請のステップへと進むことになります。
ISMAP登録までの具体的な流れ
ISMAP（政府情報システムのためのセキュリティ評価制度）のクラウドサービスリストに登録されるためには、厳格な基準を満たし、所定の手続きを経る必要があります。ここでは、登録に向けた事前準備から完了までのプロセスを詳しく解説します。
事前準備と申請手続き
登録手続きをスムーズに進めるためには、入念な事前準備が欠かせません。自社のクラウドサービスが要件を満たしているかを確認し、必要な書類を整える段階です。
セキュリティ対策の整備と運用
まず、ISMAP管理基準に則したセキュリティ対策を構築し、一定期間運用した実績を作る必要があります。政府が求める高いセキュリティ水準を満たすための体制づくりが不可欠です。
監査機関による外部監査の実施
社内での整備が完了した後は、独立した第三者機関による監査を受けます。監査は、ISMAPポータルサイトに登録されている監査機関に依頼する必要があります。監査機関は、クラウドサービス事業者のセキュリティ対策が基準を満たしているかを客観的に評価し、監査報告書を作成します。
登録申請書類の提出
監査報告書を受領した後、情報処理推進機構（IPA）が担うISMAP運用支援機関に対して登録申請を行います。申請に必要な主な書類は、下表のとおりです。
| 提出書類 | 概要 |
|---|---|
| 登録申請書 | 申請者の基本情報や対象となるクラウドサービスの概要を記載した書類です。 |
| 言明書 | 経営者がISMAP管理基準に従ってセキュリティ対策を実施していることを宣言する書類です。 |
| 監査報告書 | 登録された監査機関が発行する、セキュリティ対策の評価結果をまとめた報告書です。 |
審査から登録完了まで
申請書類の提出後は、関係機関による厳正な審査が行われます。審査を通過することで、晴れてクラウドサービスリストへの登録が完了します。
運用支援機関および運営委員会による審査
提出された書類をもとに、ISMAP運用支援機関が形式審査および実質的な内容の確認を行います。その後、総務省、経済産業省、デジタル庁などで構成されるISMAP運営委員会において、最終的な審査が実施されます。この過程で、追加の資料提出や説明を求められる場合があります。
ISMAPクラウドサービスリストへの登録と公開
運営委員会による審査を通過すると、ISMAPクラウドサービスリストに正式に登録されます。登録されたサービスはISMAPポータルサイト上で公開され、政府機関や民間企業が安全なクラウドサービスを選定する際の基準として活用されます。登録完了までの主なステップは、以下のとおりです。
- ISMAP管理基準に基づくセキュリティ対策の整備と運用
- 登録された監査機関による外部監査の受審
- ISMAP運用支援機関への登録申請
- 運用支援機関および運営委員会による審査
- ISMAPクラウドサービスリストへの登録と公開
登録の有効期間は原則として1年であり、継続してリストに掲載されるためには、毎年の更新監査と更新申請が必要となります。
ISMAP とはに関するよくある質問
ISMAPの対象となるのはどのようなサービスですか？
政府機関に提供されるクラウドサービスが対象ですが、民間企業でもセキュリティ指標として活用されています。
ISMAPの登録にはどのくらいの期間がかかりますか？
事前準備や外部監査を含め、一般的に数か月から1年程度の期間を要します。
ISMAPとISO27001の違いは何ですか？
ISO27001は国際規格ですが、ISMAPは日本政府が求めるクラウドに特化した評価制度です。
まとめ
ISMAPは、政府が求める高いセキュリティ水準を満たすクラウドサービスの評価制度です。対応により社会的信頼の向上やビジネス機会の拡大が見込めますが、コストもかかるため計画的な準備が重要です。
当社はSAPのスペシャリストとして、豊富な知見と実績をもとに、最適なソリューションをご提案します。SAPに関するご相談やお見積りのご依頼は、ぜひお気軽にリアルテックジャパンにお問い合わせください。
