ISMAPとは？

01何を定めているか

ISMAP（イスマップ、政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティの要求を満たすクラウドサービスを、あらかじめ評価して登録する制度です。2020年6月に運用が始まりました。所管は国家サイバー統括室（旧NISC）、デジタル庁、総務省、経済産業省です。

しくみは次のとおりです。

1. 国際標準などをもとに、クラウドサービス向けの管理基準（ISMAP管理基準）を定める
2. 第三者のISMAP登録監査機関が、基準どおりに対策が行われているかを監査する
3. 確認されたサービスを「ISMAP等クラウドサービスリスト」に載せる

リストは2021年3月に初めて公開され、IPAが運用するISMAPポータルで見られます。政府機関などは、クラウドサービスを調達するとき、原則としてこのリストに載ったサービスから選びます。

2022年11月には「ISMAP-LIU」が始まりました。リスクの小さい業務や情報の処理に使うSaaSを対象に、要求が過剰にならないよう設けられた枠組みです。

02会社がすること

立場によってすることが違います。

03よくある誤解

• 民間の会社に義務があるわけではない。ISMAPは政府の調達のための制度です。民間がリストを参考にするのは自由ですが、載っていないサービスを使ってはいけないという決まりはありません。
• 登録されたサービスなら設定もしなくてよい、ではない。監査されるのはサービスを提供する側の管理です。使う側のアカウント管理や公開範囲の設定を誤れば、情報漏えいは起きます。設定の点検はクラウド設定診断で頼めます。
• ISMSの認証と同じではない。ISMSは会社のしくみ全体の認証で、ISMAPはクラウドサービスごとの登録です。