LASSIC Media らしくメディア

官公庁や自治体がクラウドサービスを使う場面が、年々ふえています。ただ、行政が扱う情報ほど、高いセキュリティ水準が欠かせない領域です。そこで、政府が求める要件を満たしたクラウドサービスをあらかじめ評価・登録しておく制度が設けられました。それが、ISMAP（イスマップ／政府情報システムのためのセキュリティ評価制度）です。2020年6月に運用が始まり、政府調達の入口として広く知られるようになりました。

自社のクラウドサービスを官公庁に使ってもらいたい事業者にとって、ISMAPは避けて通れない仕組みです。ただ、この制度は「ISMS（ISO27001）認証」や「クラウドの責任共有モデル」としばしば混同されがちで、狙いも位置づけも異なります。本記事では、クラウドサービスを提供する、あるいは検討する立場の情報システム部門や事業担当者に向けて、ISMAPとは何か、近い制度との違い、仕組み、そして対応や外注の勘所を整理します。なお、最新の要件や適用の詳細は、ISMAP公式や運営委員会の情報をご確認ください。

ISMAPとは——ISMS・責任共有モデルとの違い

ISMAP（政府情報システムのためのセキュリティ評価制度）とは、政府が求めるセキュリティ要件を満たしたクラウドサービスをあらかじめ評価・登録しておく制度を指します。登録されたサービスは「ISMAPクラウドサービスリスト」に掲載され、政府機関はそのリストの中から調達するのが基本です。個々の調達のたびにゼロから審査するのではなく、事前に確かめておくことで、調達のセキュリティ水準をそろえ、導入を進めやすくする狙いがあります。よく似た言葉と並べると、位置づけの違いがはっきりします。

ISMS（ISO27001）認証は、組織が情報セキュリティを適切に管理する仕組みを持っているかを示す、業種を問わない一般的な認証です。これに対してISMAPは、政府調達という特定の場面に向けて、クラウドサービスそのものを評価・登録する制度で、求められる基準もより具体的です。またクラウドの責任共有モデルは、クラウド事業者と利用者のどちらがどこまで守るかという責任の分け方を示す考え方で、制度ではありません。

一般的な組織の認証でも、責任の分け方の考え方でもなく、政府調達に向けてクラウドサービスを事前に評価・登録する制度——ここに違いがあります。関連して、自治体システムの標準化・ガバメントクラウドは、行政側がクラウドをどう使うかという利用者側の取り組みで、ISMAP（提供側の評価制度）とは視点が異なるものです。自社が向き合うのが、組織の認証なのか、責任の分界なのか、それとも政府調達に向けた評価なのかを見極めておくと、取り組みの範囲を絞りやすくなります。

なぜ生まれたのか

かつて行政のシステムは、自前で構築して抱え込むのが一般的でした。しかし、コストや運用の負担、そして技術の進歩の速さから、クラウドサービスを活用する方針（クラウド・バイ・デフォルト）へと大きく舵が切られました。便利な一方で、行政が扱う情報は、住民の個人情報をはじめ守るべきものが多く、そのままでは、どのクラウドが十分なセキュリティを備えているのかを、調達のたびに一から確かめる手間が生じます。

この課題に応えるために、2020年6月にISMAPの運用が始まりました。あらかじめ政府の要件を満たすサービスを評価・登録しておけば、各機関はリストの中から選ぶだけで、一定のセキュリティ水準を確保できる仕組みです。事業者にとっても、一度登録されれば、複数の機関に対して繰り返し同じ説明をしなくて済むという利点があります。行政のクラウド活用を進めつつ、守るべき水準は落とさない——その両立を目指した仕組みが、ISMAPです。だからこそ、官公庁を顧客に見据える事業者にとって、この制度への理解が出発点になります。

制度の仕組み

ISMAPは、いくつかの要素が組み合わさって成り立っています。全体像をつかんでおくと、自社が何をすべきかが見えてきます。まず、制度を運用するのは、デジタル庁や内閣サイバーセキュリティセンター（NISC）、総務省、経済産業省などで構成される「ISMAP運営委員会」です。

クラウドサービス事業者は、ISMAPの管理基準に沿って自社のサービスを整え、監査を受けます。管理基準は、①ガバナンス基準、②マネジメント基準、③管理策基準の3つで構成されます。組織としての方針、運用の仕組み、そして個々の具体的な対策という、大きな枠から細部までを見るかたちです。監査法人などによる確認を経て要件を満たすと、そのサービスは「ISMAPクラウドサービスリスト」に登録されます。政府機関は、原則としてこのリストの中から調達する流れです。加えて、リスクの小さい業務での利用に向けた、簡易な枠組み（ISMAP-LIU）も用意されています。この関係を図にすると次のとおりです。

つまずきやすい難所

ISMAPへの登録を目指すうえで、あらかじめ想定しておきたい難所がいくつかあります。着手前に押さえておくと、見通しを立てやすくなります。

一つ目は、求められる水準の高さです。3つの管理基準は幅広く、組織の体制から個々の技術的な対策まで、多くの項目に対応する必要があります。既存の運用のままでは足りず、整備に相応の期間と工数がかかることが多いです。二つ目は、監査への対応です。第三者による監査を受けるため、証跡（記録）の整備や、聞き取りへの対応が求められます。ふだんから記録を残す運用ができていないと、ここで苦労します。三つ目は、維持の負担です。登録は一度きりではなく、継続的に基準を満たし続ける必要があり、定期的な監査や見直しが要ります。四つ目は、範囲の見極めです。すべての業務にフルの評価が要るとは限らず、リスクの小さい業務ではISMAP-LIUのような簡易な枠組みが適する場合もあります。自社のサービスと想定する用途に照らして、どこまで目指すかを見定めることが大切です。

事業者と利用者それぞれの関わり方

ISMAPは、クラウドを提供する側と使う側とで、関わり方が異なります。自分がどちらの立場かによって、やるべきことも変わってくるものです。整理しました。

官公庁を顧客に見据える事業者は、登録を目指すことが商機につながります。一方、民間企業にとっても、ISMAPへの登録は、そのサービスが一定の水準で評価されたことの目安となり、委託先やクラウドを選ぶ際の判断材料の一つになります。自社がどの立場でこの制度に関わるのかを、まず整理しておくとよいでしょう。

外注時に確認しておきたい点

ISMAPへの登録に向けた整備を外部に委託する場合は、次の点を事前にすり合わせておくと、認識のずれを防ぎやすくなります。まず、対象とするサービスと、目指す範囲です。フルの評価を目指すのか、リスクの小さい業務向けの簡易な枠組みを想定するのかで、進め方が変わります。次に、いまの整備状況です。すでにISMS認証などの下地があるのか、ゼロからなのかによって、必要な作業量が大きく変わってきます。

さらに、3つの管理基準のどこに不足があるかの棚卸し、監査に向けた証跡の整備、そして登録後に基準を満たし続ける運用まで、どこまでを任せるのかも、あらかじめ決めておきたいところです。制度の適用や最終的な判断は、ISMAP公式の情報や専門家に確認したうえで進めるのが望ましいところです。整備の支援だけを頼むのか、監査対応や維持の運用まで含めて依頼するのかを明確にしておくと、任せたあとのつまずきを抑えやすくなります。

まとめ：ISMAPで押さえる3つの視点

ISMAPは、組織の一般的な認証であるISMSや、責任の分け方を示す責任共有モデルとは役割の異なる、「政府調達に向けてクラウドサービスを事前に評価・登録する制度」です。検討するうえで押さえたい視点は3つに整理できます。第一に、ISMS認証・責任共有モデル・ISMAPを切り分け、自社が向き合うのがどれなのかを見極めること。第二に、管理基準がガバナンス・マネジメント・管理策の3つで構成され、監査を経てリストに登録されるという流れを踏まえること。第三に、登録には整備・監査・維持の負担が伴うと理解し、フルの評価かISMAP-LIUのような簡易な枠組みかを、自社のサービスと用途に照らして見定めることです。この3点を踏まえておけば、「制度を取り違えたまま、遠回りの準備をしてしまう」という事態を避けやすくなります。最新の要件はISMAP公式で確認しつつ、整備に不安があれば外部の手を借りるのも一つの選択肢です。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：内閣サイバーセキュリティセンター（NISC）「政府情報システムのためのセキュリティ評価制度（ISMAP）」（https://www.cyber.go.jp/policy/group/general/ismap.html）

Tweet