top of page

Posts List

結論としては、 ISMS認証（JIS Q 27001）およびISMSクラウドセキュリティ認証（ISO/IEC 27017）を取得していることで、幾分かISMAP登録対応工数の縮減が可能です。 しかし、これはISMS認証をどれだけしっかりと回せているかによります。本稿では、 ISMSおよびISMAPの共通点と違いを説明した上で、ISMS認証取得が及ぼすISMAP登録対応への影響ポイントを説明します 。 目次 ISMS認証およびISMAP制度とは？ ISMS認証とISMSクラウドセキュリティ認証 ISMAP制度とは ISMS認証はISMAPを完全に代替できるのか？ ISMS認証とISMAPの共通点 ISMS認証とISMAPの主な違い 管理策の総数 監査・審査の仕組み ISMS認証していると、ISMAP対応にどう影響する？ ISO/IEC 27001付属Aレベルの対策は形骸化している場合 ISO27001付属Aレベルの対策は証跡が残るようしっかりと運用され、内部監査でもしっかりとみれている場合 まとめ ISMS認証およびISMAP制度とは？ 　まず初めに、そもそもISMS認証およびISMAP制度とは何なのかについて簡単に紹介します。 ISMS認証とISMSクラウドセキュリティ認証 　 ISMS認証とは、組織の情報セキュリティおよびマネジメントシステムの確立、実施、維持、継続的な改善を要求事項とする国際的な認証規格 です。具体的な要求事項は、JIS Q 27001（ISO/IEC 27001）を基にしています。 　 通常の ISMS(JIS Q 27001)認証に加えて、クラウドサービス固有の管理策(ISO/IEC 27017)が 適切に導入、実施されていることを認証するのが、ISMSクラウドセキュリティ認証 です。これは、ISMS認証へのアドオンとして取得する認証規格です。 ISMAP制度とは 　 一方で、政府情報システムのためのセキュリティ評価制度 （ISMAP）とは、政府が求めるセキュリティ水準を満たすクラウドサービスの調達を実現するため、予めクラウドサービスを評価し、登録する制度 です。 ISMAPについて詳しく知りたい方は、 「 ISMAP（イスマップ）とは？ISMAPについて知っておくべき全て（決定版） 」をご参考ください。 ISMS認証はISMAPを完全に代替できるのか？ 　結論としては、ISMS認証と ISMAPはそれぞれ別の仕組みであり、 ISMS認証およびISMSクラウドセキュリティ認証をもってしてISMAPを完全に代替することはできません 。 　 しかし、ISMAPとISMSは同じ情報セキュリティ・クラウドセキュリティに関する仕組みであるため、 代替はできずとも、共通する部分において工数削減することができます 。 ISMS認証とISMAPの共通点 　 ISMSとISMAPでは、要求事項の基となっている基準に共通点があります。以下は、それぞれが基としている公知の基準を整理した表です 。 　ISMAPとISMSはともに、ISO/IEC 27001およびISO/IEC 27017を基としているため、ISO/IEC 27001およびISO/IEC 27017の要求事項においては、共通の対応が求められるといえます。しかし、ISMAPは加えて、クラウド情報セキュリティ管理基準、NIST SP800-53 rev4、および政府機関等のサイバーセキュリティ対策のための統一基準群も参照にしているため、ISMSよりも広範な仕組みになります。 　 ISMS認証において、クラウドサービスを認証の対象に含めている場合、 ISMS認証のために構築し、運用しているセキュリティ対策は、ISMAP対応においても必要な対策 になります。具体的には、以下のようなISMS認証のために構築したセキュリティ対策を、そのままISMAP登録対応でも活かすことができます 。 ISMS対応のために策定した各種文書 ISMSマニュアルなど マネジメントシステム運用に係る各種証跡 マネジメントレビューの議事録など ISO27001付属Aレベル対策の運用に係る各種証跡 ISMS認証とISMAPの主な違い 　 ISMSとISMAPの違いは、主に管理策の総数および審査・監査の仕組み にあります。この違いを理解しておくことが重要です。 管理策の総数 　 ISMAPは総数として1,159個もの管理策から構成 されています。ここから採用した管理策について、セキュリティ対策を構築・運用し、監査を受けることになります。一般的には7~8割程度の管理策を採用することになります 。 　 一方で、 ISMS認証は114個（新規格では93個）もの管理策から構成 されています。 　数値上、約10倍ほどの差があります。ISMSとISMAPの管理策は厳密に1:1対応するものではないため、数値ほどISMS認証でカバーできる範囲が限定的ではないですが、それでも ISMAPには、ISMS認証ではカバーできない範囲が多く存在 します。 審査・監査の仕組み 　 ISMAPとISMSの最も大きな差は審査・監査の仕組みにあります 。 　 ISMS認証の基本は文書審査であるため、規程・マニュアル等の文書ベースで審査されます。一方で、ISMAPは全管理策に対する証跡をもって監査されます。 　これは、例えばアクセス権管理の管理策について監査・審査を受けるとした時、ISMS認証では適合宣言書においてアクセス権管理の実施について宣言しているか、および規程等の文書においてアクセス権管理について定められているかの審査を受けます。一方、ISMAPでは、アクセス権の変更について、申請書が提出され、承認され、そして実機反映されたという一連の流れを示す証跡が複数もとめられ、当該証跡をもとに監査受けます。 　 同じ管理策であっても、このように 運用実態を示す証跡まで適切に残っているかまで確認されるという点において、監査・審査の仕組みに差があります。 ISMS認証していると、ISMAP対応にどう影響する？ 　 ISMS認証を取得していることで、 ISO/IEC 27001およびISO/IEC 27017 の範囲において、ISMAP管理基準にすでに適合していると言えます。しかし、ISMS認証の審査の仕組み上、文書審査やマネジメントシステムの審査が中心のため、 クラウドサービス事業者がどれだけISO/IEC 27001の付属Aに記載される管理策の運用証跡が残るよう対応しているかによって影響度が変わります 。 ISO/IEC 27001付属Aレベルの対策は形骸化している場合 　『 セキュリティ対策の運用は形骸化しており、確実にできているかは不明、かつ運用状況を示す証跡も残らないケースが多くある。 』 　この場合、共通するISO27001付属Aにかかる範囲でもISMAP対応のためにセキュリティ対策を構築し直し、運用証跡が残るよう運用の徹底を行うことになります。よって、結局全ての管理策を見直すことになるため、ISMAP対応に係る工数の1割も縮減できない可能性が高いです。 ISO27001付属Aレベルの対策は証跡が残るようしっかりと運用され、内部監査でもしっかりとみれている場合 　『 セキュリティ対策は全て運用証跡が残るよう適切に運用されており、運用状況の適切性を内部監査で詳細に確認している。 』 　この場合、ISMAP監査にも耐えうる証跡が残っている可能性が高いため、ISMAP対応に係る工数は3-4割ほど縮減できる見込みがあります。 まとめ 　ISMS認証取得にあたって構築した管理策の整備と運用レベルの実態よって、ISMAP対応に係る工数が縮減できるのかできないのかが決まります。ISMAPクラウドサービスに登録されることで、様々な メリット がありますが、登録に要する費用および工数は相応にあります。ISMS認証およびISMSクラウドセキュリティ認証を取得されている事業者の方で、これからISMAP登録を目指したい場合、ISMS運用が形骸化していないか今一度見直すところから始めることが望ましいといえます。 ISMAP登録に係るスケジュール感を詳しく知りたい方は、「 ISMAP登録にかかる期間 」をご参考ください。 　いかがでしょうか。ISMAPはセキュリティコンプライアンスの領域では非常に価値が高く、注目されてきている制度です。今後、より詳細な制度説明も行っていきますので、ぜひそちらもご覧ください 　本サイトでは、ISMAP制度における疑問・質問はどんな内容でも受け付けております。その他、制度理解や対応に役立つコンテンツをどんどん配信しているので、是非チェックしてみてください！ 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

ISMS認証はISMAP登録対応にどう影響を及ぼすのか？工数への影響などを解説

ISMS認証取得をしていることで、ISMAP登録対応にどの程度影響するのかについて解説します。

Read More
2023年5月に施行された「ISMAP-LIU登録促進のための取組み（特別措置）」。ISMAP制度所管であるデジタル庁への相談窓口の設置や、特別措置サービスリストの策定等、ISMAP-LIUへのSaaS登録を促進すべく、様々な仕組みが導入されています。（詳細は こちら ） 　中でも注目されているのが、ISMAP-LIUに申請予定のSaaSが、初回の外部監査対象範囲を大幅に縮小できる措置です。本措置は、特別措置の期限である令和７年3月末までにISMAP-LIUに申請を行うサービスに適用できます。しかし、その要件である「令和７年３月末までの申請」の定義が明確化されておらず、場合によっては、令和５年末頃からISMAP-LIU対応をスタートしないと期限に間に合わない恐れがありました。 　今般、上記「申請」の定義が明文化されました。これにより、より多くのSaaS事業者が特別措置のインセンティブを享受できることに加え、特別措置を踏まえたISMAP-LIUへの登録スケジュールをより具体的に描くことができるようになりました。本稿では、明確化された適用要件のポイントを解説します。 目次 これまでの特別措置の適用要件 明確化された適用要件 まとめ これまでの特別措置の適用要件 　まず、特別措置を適用することによって、外部監査対象範囲がどの程度縮減するのか、見ていきましょう。 （４）特別措置におけるインセンティブ措置の内容 特別措置におけるインセンティブの内容は、次のとおりとします。 ①ISMAP-LIUで求める外部監査について、 特別措置の期間内において、一度に限り、監査対象範囲を「整備状況評価」及び「最小限度の運用状況評価」とする ことを可能とします【特別措置限り】 ②ISMAP-LIUで求める内部監査に係る報告書について、特別措置の期間内において、一度に限り、内部監査に係る報告書の提出を免除可能とする仕組みを設け、外部監査に要するコスト低減及び申請準備に係る事務負担低減を図ります【特別措置限り】（後略） 　特別措置期間中の１度に限り、外部監査範囲を大幅に縮減することが可能です。（説明の都合上省略していますが、内部監査結果の報告書提出についても同様に、特別措置期間中の１度に限り、提出が免除されます。） 　次に、上記措置の適用要件を見てみましょう。ISMAP基本規程とデジタル庁のHPそれぞれで、以下のように定められています。 　ISMAP基本規程上は、令和７年３月３１日までに「登録又は更新の申請」が要件であるのに対し、デジタル庁のHPでは、令和７年３月末にISMAP-LIUへの「登録申請（事前申請を含む）が提出」とあり、一見すると、令和７年３月末時点でISMAP-LIUへの本申請まで必要なのか、事前申請までで良いのか、判断しにくい状況です。 　仮に、令和７年３月末にISMAP-LIUへの本申請を終えようと思うと、事前申請や外部監査（任意のプレ監査含む）を同日までに終える必要が生じることに加え、ISMAP-LIUに耐え得るセキュリティ対策の構築や強化を行う期間も加味すると、場合によっては令和５年１２月現在から動き出す必要が生じる可能性もあり、上記措置を適用するには非常に厳しいスケジュールとなっています。 明確化された特別措置の適用要件 　では、上記の適用要件がどのように明確化されたのでしょうか。具体的には、デジタル庁HPの留意点欄に、以下が追加されました。 「ISMAP-LIU登録促進のための特別措置について」に関する留意事項 「2 特別措置の枠組み（2）適用要件」における「特別措置を適用しようとするSaaSサービスについて、特別措置の運用期間中にISMAP-LIUへの登録申請（事前申請を含む）が提出される予定であること」​は、ISMAP-LIUの 事前申請に関する提出書類を本特別措置の運用期間の令和7年（2025年）3月末までにデジタル庁担当宛へ提出することを適用要件とする ものです。 ※原則、本特別措置の運用期間の令和7年（2025年）3月末までにISMAP-LIUクラウドサービス登録規則の第8章（サービス登録に関する申請）を求めますが、例外として、 事前申請段階でも特別措置を適用可能とします。 　もちろん、早めの対応が望ましいのは変わりませんが、今後、令和７年３月末までに特別措置の適用要件として求められるステータスは「事前申請」であることが明確になったため、SaaS事業者は、余裕をもってISMAP-LIUへの対応準備（セキュリティ対策の構築、外部監査対応、等）を進めることができます。 　特別措置では、特別措置サービスリストに自身のサービスが掲載されることで、ISMAPやISMAP-LIU同様、SaaS調達時に政府機関等からリストが参照されることに加え、ISMAP-LIUへの申請に向けて、初回の外部監査範囲をISMAP-LIUよりさらに大幅削減できる点において、ISMAP対応の費用面やリソース面で苦しむSaaS事業者にとって、非常に有益な措置です。特別措置の期限である令和７年３月末を１つのマイルストーンとして設定し、徐々に自社のセキュリティ対策状況をISMAP-LIUの要件に適合させ、特別措置・ISMAP-LIUへの適合を行っていく過程の中で着実に成長していくことが可能です。 まとめ 　いかがでしょうか。今回は、ISMAP-LIUの準備措置に位置する「特別措置」について、明確化された適用要件についてご紹介しました。費用面やリソース面の都合で、即座にISMAP-LIUへの申請対応を行うことが困難なSaaS事業者の方も、ぜひ、特別措置を活用したISMAP-LIUへの申請に踏み切ってみませんか。 　本サイトでは、ISMAP制度における疑問・質問はどんな内容でも受け付けております。その他、制度理解や対応に役立つコンテンツをどんどん配信しているので、是非チェックしてみてください！ 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

SaaS事業者必見！ISMAP-LIU登録促進のための特別措置の有効期間が明確に

ISMAP-LIU登録促進のための特別措置について、有効期間を詳細に解説します。

Read More
ISMAP-LIUは、ISMAPが対象とするクラウドサービスのうち、セキュリティリスクの小さな業務・情報の処理に用いるSaaSに対する仕組みです。ISMAPとの主な相違点として、外部監査対象が大幅に縮小されることが挙げられます。 　本稿では、ISMAP-LIUの外部監査対象が具体的にどのような領域を対象としているのか、解説します。 ISMAP-LIUの概要について知りたい方は、 「 ISMAP-LIUとは？ISMAPとの違いやISMAP-LIU費用を徹底解剖 」をご参考ください。 ※本稿は、ISMAP制度の公表資料等に基づいて当社の見解を記したものであり、ISMAP制度の正式見解ではありません。 ※ISMAP制度の正式見解については、 ISMAPポータルサイト より、直接制度にお問合せをお願いいたします。 目次 ISMAP制度規程上の要求事項 具体的な外部監査対象 まとめ ISMAP制度規程上の要求事項 　ISMAP-LIUの外部監査対象範囲を理解するためには、以下の２点を認識することが重要です。 言明対象範囲 外部監査の実施範囲 　まず、言明対象範囲については、現行ISMAP同様、ガバナンス基準・マネジメント基準・管理策基準のすべてに対して言明を行う必要があります。 　これは、ISMAPが定める管理策の多くが、 ISO/IEC 27001 等の国際標準を基礎としており、基本的なセキュリティ対策が中心となっているためです。 　また、ISMAP管理策群の構造として、クラウド事業者が自らリスク評価を行い、自身に必要なセキュリティ対策を選定するというISMS認証に近い考え方をしており、ISMAP-LIUにおいてもその考え方を踏襲しているため、言明を行う過程においては、現行ISMAPとISMAP-LIUで違いはないと考えてよいでしょう。 　では、現行ISMAPとISMAP-LIUで何が違うのか、それは外部監査の対象範囲が異なります。ISMAP-LIUでは、外部監査対象を、ガバナンス基準・マネジメント基準・管理策基準の一部（セキュリティ上、特に重要となる領域に属する管理策）を中心に絞っています。 （引用）　 ISMAP-LIUに関しては、ガバナンス基準・マネジメント基準の全ての詳細管理策に加えて、以下に掲げるような、クラウドサービスの基盤・構成に深刻な影響を与え重大な事故につながるリスクに関連する詳細管理策を中心として監査を実施する。 １．アクセス管理（特権の管理、ID・パスワード管理、物理セキュリティ等） ２．システムの開発・変更に係る管理（開発管理、変更管理） ３．システムの運用管理（ぜい弱性管理、障害管理、システム運用監視、ネットワーク管理、冗長性の確保等） ４．外部委託先管理（１．～３．に関連するもの） 【出典】 ISMAP標準監査手続 > （別紙３）ISMAP-LIUにおける監査業務 　言明の対象範囲に違いがない分、外部監査を実施する範囲を大幅に絞り込み、簡易な仕組みを実現しています。 　また、ISMAP-LIUも現行ISMAP同様に、毎年の外部監査が求められますが、上記スコープ全量が毎回監査されるわけではありません。ガバナンス・マネジメント基準は毎年外部監査が実施されますが、管理策基準については、複数年度に分けて実施される仕組みとなっています。（制度上、何年に分割するは公開されていませんが、例えば、監査で一般的とされている３年サイクルを例に取った場合のイメージは以下の通りです） 　このように、外部監査の対象範囲を縮小した結果、外部監査において対応すべき管理策数は現行ISMAPの概ね1/5程度になると想定され、監査費用（監査報酬や社内の対応工数含む）は相当軽減されるとしています。 具体的なISMAP-LIUの外部監査対象 　ISMAP-LIUでは、管理策基準のうち特に重要となる領域に属する管理策を中心に外部監査が行われると説明しました。では具体的にどの項目が対象となるのか、確認しましょう。 　制度規程上、統制目標や詳細管理策といった細かい粒度での対象範囲は公開されていませんが、公表されている範囲から読み取る限り、例として、以下のような項目が対象となると推察されます。（以下、例示） ※【出典】 政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準 　上記に例示した管理策以外にも、ISMAP-LIUの外部監査対象に含まれる項目は存在しますが、いずれも情報セキュリティの基本的かつ重要な項目である点に変わりはないので、自身に必要なセキュリティ対策を見極め、全般的な対応を行いつつ、制度規程で定められている外部監査対象については、監査対応も意識した対策を講じることが望まれるでしょう。 まとめ 　いかがでしょうか。本稿では、ISMAP-LIUの外部監査対象について、制度規程から読み取れる範囲で詳細に紐解きました。 　ISMAP-LIUへの登録を検討しているクラウド事業者の方におかれては、今回ご紹介したISMAP-LIUの外部監査対象候補となる管理策から監査対応準備を進める等、工夫した対応を行うことを推奨いたします。 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

ISMAP-LIUの監査対象を詳しく理解する

ISMAP-LIUの特徴である、外部監査対象が大幅に縮小されることについて、具体的にどのような領域を対象としているのか、解説します。

Read More
2023/5/19、デジタル庁のHPに「ISMAP-LIU登録促進のための取組み」が掲載されました。セキュリティリスクが低いSaaSサービスを対象とした仕組みであるISMAP-LIUですが、2023年5月現在において登録数は未だゼロです。今回の取組みは、この現状を改善するためのものと考えて良いでしょう。 　本稿では、特にSaaS事業者の方々向けに、本取組みの内容を詳細に解説します。 目次 ISMAP-LIU登録促進のための取組みの概要 １．デジタル庁への相談窓口の設置 ２．特別措置サービスリストの策定 ３．ISMAP-LIU申請に係る措置 　　 ３－１．外部監査の一部緩和 　 ３－２．内部監査に係る報告書の提出免除 　　 ３－３．独法・指定法人による「業務・情報の影響度評価」の提出 特別措置を利用した申請の流れ まとめ ISMAP-LIU登録促進のための取組みの概要 　ISMAP-LIUは本来、取り扱う情報のセキュリティリスクが低いSaaSサービスに対する枠組みです。しかし、SaaS事業者には中小・スタートアップ企業も数多く存在しており、企業規模に比して、ISMAP-LIUへの登録に必要なコスト・時間が相応に見込まれるケースが想定されます。 　ISMAPは、要求するセキュリティ水準を満たしたサービスをサービスリストに掲載することを意図していますが、登録されたサービス数が少なすぎると、政府機関等による調達の選択肢が狭まることに加え、制度の根本的な目的であるクラウド・バイ・デフォルト原則の達成に支障をきたしかねません。 　そのため、ISMAP-LIUへの登録促進を目的として、以下の取り組みが発表されました。 　・ISMAP-LIUに関する相談を随時受け付ける相談窓口の設置 　・「特別措置サービスリスト」の策定 　・ISMAP-LIUへの申請に係る緩和措置 　このうち、特別サービスリストの策定と、申請に係る措置は、登録サービス数が安定的に増加するまでの間、先行してISMAP-LIUに登録する意欲があるSaaS事業者に対して、一定のセキュリティ水準を確保しつつも、より広く門戸を開くことに焦点を当てた時限的措置となります。それぞれ詳しく見ていきましょう。 １．デジタル庁への相談窓口の設置 　1つ目の措置は、デジタル庁への相談窓口の設置です。これまでも、ISMAPポータルサイト上に設置した問い合わせフォーム等を通じて、制度に質問や照会を行うことは可能でしたが、今後、ISMAP-LIUについては、制度所管省庁であるデジタル庁が設けた相談窓口にも問い合わせができることになりました。例えば、以下のような質問・相談をデジタル庁担当者に問い合わせることができるようです。 自身が提供するSaaSサービスがISMAP-LIUクラウドサービスリストに登録できるかどうか教えて欲しい ISMAP-LIUクラウドサービスリスト登録を申請したいが、必要になる条件を教えて欲しい ISMAP-LIUクラウドサービスリスト登録を目指しているが、「業務・情報の影響度評価」を実施してくれるパートナー省庁が見つからないので支援して欲しい 　ISMAP-LIUは、セキュリティリスクが低いサービスを対象としているため、セキュリティリスクが低いことを確認する「業務・情報の影響度評価」の提出が求められます。この影響度評価は、SaaS事業者が調達を行う政府機関等へ実施を依頼する必要があります。ところが、影響度評価を実施してくれる政府機関等がいない等の理由で、SaaS事業者が影響度評価を入手することができず、ISMAP-LIUへの申請の障壁となっているとの声を数多く聞きます。 　また、これまでは、自社のサービスがISMAP-LIUに該当するのか（影響度は低位といえるのか）について、その確からしさを知る機会がありませんでしたが、今回の相談窓口ができたことにより、そういった質問・相談がしやすくなったといえるでしょう。 【参考】 ISMAP-LIU登録促進のための取組み > 相談窓口 > 連絡先 ２．特別措置サービスリストの策定 　2つ目の措置として、特別措置サービスリストという新規のサービスリスト（※１）が導入されます。ISMAP-LIUで求めるレベルとはいかずとも、一定のセキュリティ水準を満たしたサービスを特別措置サービスリストに登録し、当該リストから調達を行うことで、政府機関等における更なるSaaSサービスの調達拡大に資することとなります。 　特別措置サービスリストへのエントリーにあたっては、４つの適用要件を満たすことが求められます。 特別措置を適用しようとする SaaS サービスについて、特別措置の運用期間中（※２）に ISMAP-LIU への登録申請（事前申請を含む）が提出される予定であること 特別措置を適用しようとする SaaS サービスについて、政府機関等が実施した「業務・情報の影響度評価結果」が「低位」であること  ISMAP 管理基準のうち、ガバナンス基準及びマネジメント基準における全ての基準、管理策基準における統制目標及び末尾に B が付された詳細管理策を満たしていることが言明されていること 特別措置の適用にあたって、登録申請の意思及び言明内容についての誓約書が提出されていること （※１）当該リストは、調達を行う政府機関等にのみ展開され、一般には非公開となります。（※２）今回の特別措置の運用期間は令和5年5月19日～令和7年3月末までの約2年間です。 　特別措置の利用を希望するSaaS事業者は、以上の4点を確認し、エントリー書類一式を準備し、申請を行うこととなります。申請においては、監査機関による実施結果報告書の添付は求められないため、外部監査に伴う負担も特別措置サービスリストへの申請においてはかからないということになります。 ３．ISMAP-LIU申請に係る措置 　3つ目の措置は、 特別措置サービスリストに掲載された後のステップ として、ISMAP-LIUへの申請を行う際に適用される措置です。具体的には、以下の3つが用意されています。 外部監査の一部緩和 内部監査に係る報告書の提出免除 独法・指定法人による「業務・情報の影響度評価」の提出 　1つ目と2つ目は、主にISMAP対応のコスト負担の軽減、3つ目が事前申請の障壁となっていた、政府機関等による業務・情報の影響度評価の実施主体制限の緩和です。それぞれ、詳細に見ていきましょう。 ３－１．外部監査の一部緩和 　ISMAP-LIUに申請を行うにあたり、ISMAPに登録されている監査機関から外部監査を受ける必要がありますが、今回の特別措置の運用期間である約2年間のうち、1度に限り、外部監査の範囲を縮小することができます。デジタル庁のHP上には以下のように記載されていますが、具体的にはどの程度監査範囲が縮小するのでしょうか。 ISMAP-LIU で求める外部監査について、特別措置の期間内において、一度に限り、監査対象範囲を「整備状況評価」及び「最小限度の運用状況評価」とすることを可能とします【特別措置限り】 【出典】 ISMAP-LIU 登録促進のための特別措置について > ２ 特別措置の枠組み > （４）特別措置におけるインセンティブ措置の内容 > ① 　制度のポータルサイトに掲載されている、元々の ISMAP-LIUの外部監査の仕組み を踏まえると、次のように変化するようです。 　ISMAPの監査は、セキュリティ統制の整備状況を確認する「整備状況評価」と、整備された統制が監査対象期間に渡って適切に運用されているかを確認する「運用状況評価」の2つが実施されます。元々のISMAP-LIUでは、上図のように、通常のISMAPと比較して、監査対象を管理策全体の1/5程度の重要な項目に絞り込んでおり、それらに対して整備状況評価・運用状況評価が行われます。今回の特別措置では、整備状況評価はそのままですが、運用状況評価対象が大幅に免除され、最小限の項目のみ実施する仕組みとなっています。今回の公表資料上は、「具体的な運用状況評価項目については、別途、ISMAP 運営委員会において定める」と記載されており、今後、詳細な項目が決定されるようです。 ３－２．内部監査に係る報告書の提出免除 　次に、内部監査に係る報告書提出の免除です。前述したように、ISMAP-LIUでは、通常のISMAPと比較して、外部監査の対象を大幅に削減していますが、その代わりとして、セキュリティ内部監査の実施状況について、内容の報告を求めています。注意点として、ISMAP/ISMAP-LIU問わず、内部監査の実施自体は主にガバナンス・マネジメント基準の中で求めているため、制度への提出書類如何に関わらず、内部監査自体は実施する必要があります。 4.6.2　パフォーマンス評価 （中略） 4.6.2.2　組織は、あらかじめ定めた間隔で内部監査を実施する。[27001-9.2a)/9.2b)] a)内部監査を実施する際は、以下を確認する。・以下に適合していること。　－情報セキュリティマネジメントに関して、組織自体が規定した要求事項　－本マネジメント基準の要求事項・情報セキュリティマネジメントが有効に実施され、維持されていること （後略） 【出典】 ISMAP管理基準 　通常、企業が実施している内部監査及びその報告書は、必ずしも外部に公開することを意図しているわけではないため、ISMAP-LIUでは、企業の内部監査報告書そのものを提出するのではなく、その内容について、制度が求める情報を規定の様式に落とし込んで提出することを要求しています。今回の特別措置では、この「様式に落とし込んで提出」する部分が、特別措置の期間中1度に限り免除になると考えると良いでしょう。 ISMAP-LIU で求める内部監査に係る報告書について、特別措置の期間内において、一度に限り、内部監査に係る報告書の提出を免除可能とする仕組みを設け、外部監査に要するコスト低減及び申請準備に係る事務負担低減を図ります【特別措置限り】 【出典】 ISMAP-LIU 登録促進のための特別措置について > ２ 特別措置の枠組み > （４）特別措置におけるインセンティブ措置の内容 > ② ３－３．独法・指定法人による「業務・情報の影響度評価」の提出 　最後の措置として、独立行政法人・指定法人による「業務・情報の影響度評価」結果の提出が可能となりました。前述したように、ISMAP-LIUは、セキュリティリスクの低いSaasサービスを対象としており、申請にあたっては、サービスで取り扱う情報のリスクが「低位」であることを、実際に調達を行う政府機関等が評価した結果を入手し、制度に提出する必要があります。 　2022年11月にISMAP-LIUが施行された当初、ISMAPの適用対象となっている政府機関等の内、国の行政機関のみに「業務・情報の影響度評価」結果の提出が制限されていました。今回の特別措置によって、独法・指定法人も「業務・情報の影響度評価」結果の提出が可能となり、これまで国の行政機関と付き合いがなく、影響度評価を実施してくれる政府機関が見つからなかったCSPも、申請がしやすくなりました。　加えて、この措置だけは、上記2つの措置と違い、特別措置の期限である令和7年3月末以降も恒久的に続くようです。 【参考】 ISMAP-LIU 登録促進のための特別措置について > ２ 特別措置の枠組み > （４）特別措置におけるインセンティブ措置の内容 > ③ 特別措置を利用した申請の流れ 　最後に、今回の取組みを踏まえ、特別措置サービスリストへの申請からISMAP-LIUへの申請までの具体的な申請の流れについてご説明します。 　デジタル庁への相談はあくまで任意ですが、ISMAP-LIUにおいては、自分たちのサービスで取り扱う業務・情報が、セキュリティ影響度「低位」かどうか、が重要です。もちろん、最終的には調達する政府機関等が影響度評価を実施し、影響度合いの判断を行うことになりますが、ISMAP-LIUに該当する可能性を予め把握しておくことで、その後のアクションを検討しやすくなります。 　次に、特別措置サービスリストへの掲載です。こちらは、先にご説明したエントリー書類一式を制度に提出し、制度所管による審査が行われた後、政府機関等にのみ共有される形で、リストに掲載されます。特別措置サービスリストまで掲載されれば、政府機関等が調達を行う際に参照されることになるため、令和7年3月末まで何もしないよりは調達可能性が高まることになります。 　特別措置サービスリストに掲載された後は、いよいよISMAP-LIUへの申請です。上図の５．事前申請の段階では、本来、業務・情報の影響度が「低位」であることが主な確認事項ですので、特別措置サービスリストへのエントリー段階ですでに影響度「低位」となっているサービスである以上、ISMAP-LIUへの事前申請でも「低位」として処理される可能性は高いと考えられます。また、事前申請に通過した後は、通常のISMAPと同様、外部監査対応やその他の申請書類を準備し、申請を行うことになります。 ISMAP登録プロセスに要する時間の目安については、「 ISMAP登録に係る費用 」をご参考ください。 まとめ 　いかがでしょうか。今回は、ISMAP-LIUの対象になりそうなSaaS事業者の方々向けに、本取組みによって何が変わるのか、詳細に解説しました。今回の特別措置によって、約2年間はISMAP-LIUの各要件が一定程度緩和することになりますが、2年間何もしないと、措置が切れた際の影響も大きいことが想定されます。CSPの方は、この期間を有効活用して、ISMAP-LIUへの準拠に向け、準備を進めることが重要です。 　LIU自体、始まったばかりの制度ということもあり、しばらくは試行錯誤が続きそうですが、本サイトでも引き続き注視していければと思います。 　本サイトでは、ISMAP制度における疑問・質問はどんな内容でも受け付けております。その他、制度理解や対応に役立つコンテンツをどんどん配信しているので、是非チェックしてみてください！ 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

特別措置｜ISMAP-LIU登録促進のための取組みとは？

デジタル庁より発表された「ISMAP-LIU登録促進のための取組み」の特別措置について詳しく説明します。

Read More
本稿では、ISMAPに登録されてから更新を行う前の一連の流れについて、分かりやすく解説します。 目次 ISMAP登録から更新までの規程上の定め よくあるケース まとめ 　 ISMAP登録から更新までの規程上の定め 　まずは「更新期限」について見てみましょう。ISMAP基本規程の3.5に、以下のように定められています。 3.5　登録の更新 3.4で認められた登録の有効期限は、登録の対象となった監査の対象期間の末日の翌日から1年4ヶ月後までとする。クラウドサービス事業者は、登録の有効期限までに、登録の更新を申請しなければならない。なお、登録の更新の申請を行った日から当該申請に対する登録の更新の判断がISMAP運営委員会でなされるまでは、有効期限以降も引き続き登録を有効とする。　登録の更新に係る一連の要求・手続については、本章の規定を準用する。 【出典】 ISMAP基本規程 　監査対象期間の末日から１年４か月以内に更新申請を出す必要があります。この１年４か月という期間は、以下の３つから構成されています（※１）。 監査対象期間（３か月～１年間） 監査結果（＝実施結果報告書）の提出〆切（３か月） 申請書類の準備（１か月） 　基本的な考え方としては、前回監査の対象期間末日から１年間継続して統制を運用し、その運用が問題なかったかを監査し、更新申請をする、と考えておけば良いでしょう。対象期間を１年間より短く設定することも可能ですが、例えば、SOC2等の他の制度と対象期間を一致させるといった特別な目的がない限りは、１年単位で対象期間をとるのが一般的です。 （※１）各種期日は、以下で定められています。 2.2.5 監査の対象となる期間 言明内容のうち、監査対象となる期間を記載する。 監査の対象期間は最大１年 とし、 次の登録申請を行う際の監査対象期間は、前回の監査対象期間の末日の翌日とすることで、期間の隙間なく監査が行われなければならない 。監査の対象期間を１年より短くする場合においては、 ３ヶ月の最低運用期間を経る必要 がある。【出典】 ISMAP管理基準 3.2　申請者は、 言明書に記載の監査対象期間の末日から3ヵ月以内を作成日とする実施結果報告書 を監査機関から入手しなければならない。4.2　申請者は、 実施結果報告書の日付から1ヵ月以内 に申請を行わなければならない。 【出典】 ISMAPクラウドサービス登録規則 　つぎに、「登録日」について見てみましょう。登録日とは、制度審査を終えて実際にサービスリストに掲載された日付を指します。ISMAP制度の審査は、申請が受理されてから最大で６か月かかるので（※２）、どうしてもトレンドマイクロ（株）のように、「登録日」と「更新期限」が近く見えてしまうというわけですね。 （※２）ISMAPクラウドサービス登録規則に定められています。 6.3　ISMAP運営委員会は、ISMAP 運用支援機関が申請を受理した日から原則として6 カ月以内に、ISMAP 運用支援機関からの報告内容及び申合せの運用状況を踏まえて、総合的に登録の是非を判断する。【出典】 ISMAPクラウドサービス登録規則 よくあるケース 　前述した制度規程に則って行動していると、登録決定がされ、自社のサービスがISMAPクラウドサービスリストに掲載される前に、次の監査・申請対応を行う必要が出てくるケースが多いです。 　実際に、初回登録～更新申請までを線表に起こしてみると、以下のようなフローとなります。 　上図の黄色★印と茶色★印の時点関係を見ていただくと、審査の過程で、書類不備の修正や質疑対応が長引くことによって、審査結果（登録）が分かるタイミングが遅くなることが分かります。一方で、ISMAPの監査対象期間は切れ目なく続いていくことが求められるため、場合によっては、自社サービスの登録を待たずして、次の外部監査の契約や準備を行うことが必要となります。できるだけ審査の期間を短縮するために、申請する様式に必要十分な情報を掲載し、書類不備や質疑対応を削減することが重要です。 まとめ 　いかがでしょうか。ISMAPは、審査に時間を要する一方で、毎年更新が必要な制度のため、審査結果を待たずして次年度の対応準備を進める必要があります。これからISMAP登録を検討される事業者様は、登録後のロードマップ等も意識されるとよろしいのではないでしょうか。 　本サイトでは、ISMAP制度における疑問・質問はどんな内容でも受け付けております。その他、制度理解や対応に役立つコンテンツをどんどん配信しているので、是非チェックしてみてください！

ISMAPの登録日と更新期限の関係は？

ISMAPに登録された事業者向けに、登録されてから更新を行うまでの一連の流れを解説します。

Read More
ISMAP for Low-Impact Use（ISMAP-LIU ; イスマップエルアイユー）とは、 ISMAPが対象とするクラウドサービスのうち、セキュリティリスクの小さな業務・情報の処理に用いるSaaSに対する仕組み です。2022/11/1に、ISMAP制度の中の枠組みの1つとして施行されました。 　現行のISMAPと同様に、セキュリティ監査等を経て、一定の安全性・信頼性が確認されたサービスを登録する仕組みですが、対象とするサービス範囲や外部監査の範囲や、ISMAP-LIU特有の仕組み等の違いがあります。 　本稿では、現行ISMAPとの相違点を全体的に捉えた上で、ISMAP-LIUサービスリストへの登録の流れ等を解説します。 目次 ISMAP-LIUとは？ ISMAP-LIU発足の経緯 ISMAP-LIUのメリット 政府機関等のシステム調達への入札参加 高いセキュリティレベルの証明 民間企業の高まる要求に対応 ISMAP-LIUクラウドサービスリスト ISMAPとISMAP-LIUの違い ISMAP-LIUにかかる費用の相場 ISMAP-LIU認証までの流れ ISMAP-LIUへの該当性 ISMAP-LIU外部監査 ISMAP-LIU内部監査 取消・公表制度 ISMAP-LIU制度に関する直近の動き（2025年4月） ISMAP-LIUとは？ ISMAP-LIU発足の経緯 　まず、ISMAP-LIUの背景について説明します。 ISMAP制度は元々、機密性2情報を取り扱うクラウドサービスを対象とした制度 です。政府機関等（国の行政機関、独立行政法人、指定法人※1、地方公共団体のα'モデル※2）がクラウドサービスを調達する際、ISMAPに登録されたサービスからの調達を原則とする制度として、2020年6月より施行されました。 ※1：指定法人とは、次のリンク先で定める法人を指します。（ リンク ） ※2：地方公共団体のα'モデルとは、次のリンク先で定めるモデルを指します。（ リンク ） ISMAPについて詳しく知りたい方は、 「 ISMAP（イスマップ）とは？ISMAPについて知っておくべき全て（決定版） 」をご参考ください。 　しかし、 ISMAPが対象としている「機密性2情報」というのは、非常に多岐に渡ります。 内閣官房内閣サイバーセキュリティセンター（NISC）が発行している「政府機関等のサイバーセキュリティ対策のための統一基準群」では、情報の機密性について以下のように定義しています。 【参考】「 政府機関等のサイバーセキュリティ対策のための統一基準 」より引用して作成 　簡単にいうと、機密性1・3情報ではない情報が機密性2情報に該当すると考えると分かりやすいでしょう。 　これら機密性2情報を取り扱うクラウドサービスは、IaaS、PaaS、SaaSと多岐に渡ります。中でもSaaSは、サービスの幅が非常に広く、中には用途や機能が一部の業務に限定されるものや、機密性2情報の中でも比較的重要度が低い情報しか取り扱わないもの等が存在します。こういったサービスについても現行ISMAPと同様の取り扱いとすると、セキュリティ要求水準が過剰になりかねず、政府機関等におけるSaaSサービスの利活用が進まず、クラウド・バイ・デフォルト原則の達成に支障をきたしかねません。 　こうした背景を受けて、 機密性2情報を取り扱うSaaSを対象に、セキュリティ上のリスクの小さい業務・情報の処理に用いるSaaSに対する新たな枠組みとして、ISMAP-LIUが創設 されました。 ISMAP-LIUのメリット 　ISMAP-LIUクラウドサービスリストに登録するメリットは、ISMAPサービスリストに登録するメリットとほぼ同義になります。具体的には、以下3つです。 政府機関等のシステム調達への入札参加 高いセキュリティレベルの証明 民間企業の高まる要求に対応 １．政府機関等のシステム調達への入札参加 　1つ目は、ISMAP-LIUの本来の趣旨である政府機関等のシステム調達への参入です。ISMAPの開始以降、政府機関等は、原則としてISMAPに登録されているサービスから調達を行うことになりました。 ２ 各政府機関等における本制度の利用の考え方 各政府機関等は、クラウドサービスを調達する際には、本制度において登録されたサービスから調達することを原則とし、本制度における登録がないクラウドサービスの調達については、本制度で要求する事項を満たしていると、当該調達を行う政府機関等の最高情報セキュリティ責任者の責任において、それぞれの政府機関等で確認するものとし、詳細は、サイバーセキュリティ対策推進会議、デジタル社会推進会議幹事会において定めるものとする。 　したがって、 ISMAP-LIUクラウドサービスリストに掲載されることで、政府機関等のシステム調達への入札参加が容易になります。 また、ISMAP-LIUそのものではなくとも、（現時点ではIaaSに限った話ですが）例えば、デジタル庁のガバメントクラウドの公募では、応募要件の１つにISMAP登録が明記されており、今後、ISMAPが政府機関等の様々な取り組みで参照されていくことで、より可能性が広がっていくといえるでしょう。 ６．公募対象 政府情報システムのためのセキュリティ評価制度ＩＳＭＡＰ（イスマップ）に登録されているクラウドサービス のうち、調達仕様書に添付されている「別紙１_基本事項及 びマネージドサービスの技術要件詳細」を満たすクラウドサービスを運営する事業者。 なお、本公募においては、複数の事業者による共同提案は認めない。 【出典】 デジタル庁におけるガバメントクラウド整備のためのクラウドサービスの提供 -令和4年度募集- 　また、　総務省が地方公共団体向けに公表している「地方公共団体における情報セキュリティポリシーに関するガイドライン」において、 α’モデルにおけるクラウドサービス調達時において、ISMAP登録サービスの利用が求められています。α’モデル以外では、地方公共団体のクラウドサービス調達上、ISMAPは参照すべき認証・制度としてISMAPが紹介されています。 ③主に外部のクラウドサービスの利用を目的として、LGWAN接続系から接続先にローカルブレイクアウトする構成として、α’モデルが考えられる。 （中略）本モデルにおいて利用可能なクラウドサービスは、ISMAP管理基準を満たし、ISMAPクラウドサービスリストに登録されているサービスとする。 （中略） （２）外部サービスの選定⑤情報セキュリティ管理者は、外部サービスに対する情報セキュリティ監査による報告書の内容、各種の認定・認証制度の適用状況等から、外部サービス及び当該サービスの委託先の信頼性が十分であることを総合的・客観的に評価し判断しなければならない。（中略）　このような評価に当たって、外部サービス提供者が利用者に提供可能な第三者による監査報告書や認証等を取得している場合には、その監査報告書や認証等を利用する必要がある。なお、選定条件となる認証には、ISO/IEC 27017 によるクラウドサービス分野におけるISMS認証の国際規格がある。また、ISMAPの管理基準を満たすことの確認やISMAPクラウドサービスリスト等のほか、日本セキュリティ監査協会のクラウド情報セキュリティ監査や外部サービス提供者等のセキュリティに係る内部統制の保証報告書であるSOC報告書（Service Organization Control Report）を活用することを推奨する。 【出典】 地方公共団体における情報セキュリティポリシーに関するガイドライン(令和 6年10月版) ２．高いセキュリティレベルの証明 　ISMAPおよびISMAP-LIUの要求事項は主に、ISO/IEC27017等の国際標準に基づいて作成されています。そういった 国際的にも広く参照されている規格に適合しているという点で 、政府機関等への案件入札だけではなく、 民間に対する広いアピールが可能 です。 　また、セキュリティ要求事項（管理策）のみならず、セキュリティ対策状況の評価基準（監査基準）も、ISMS認証等よりはるかに厳しいため、一見すると似たセキュリティ要求事項であっても、ISMAPおよびISMAP-LIUの方がより安心感があるという点が、アピール材料になり得ます。 　 ISMAP-LIUサービスリストは広く一般に公開されるため、登録された暁には自社の高いセキュリティレベルを証明することができます。 ３．民間企業の高まる要求に対応 　クラウドサービス調達におけるセキュリティチェックの重要性は年々高まっています。特に経済安全保障の観点から、重要インフラ企業はサプライチェーン全体で高いセキュリティレベルを確保することが求められており、最近では、重要インフラ企業を対象とした経済安全保障推進法が動き出しました。これは、場合によっては重要インフラに利用されるクラウドサービスにも影響することがあり、ISMAP制度への対応は、こうした需要の高まりに応える有効な手段となっています。 ISMAP-LIUクラウドサービスリスト 　ISMAP-LIUサービスリストは、 こちら に公開されています。 ISMAPとISMAP-LIUの違い 　次に、ISMAP-LIUの仕組みについて、現行ISMAPとの違いを中心に説明します。 　2025年4月1日まで、 ISMAP-LIUでは監査に入る前に、 事前申請 をもってセキュリティリスクが本当に低位のサービスであるかについて審査されるというステップがありましたが、こちらは、 2025年4月1日に廃止 されました 。代わりに、 調達省庁が調達時に確認する 仕組みとなりました。 　現行のISMAPとISMAP-LIUとの差は以下の表にまとめられます。 　この中で最も大きな差は「 外部監査対象範囲 」になります。 ISMAPに比べて、ISMAP-LIUでは大幅に監査範囲が縮小されています。 　まとめると、 対象としているサービスに制限があるものの、外部監査範囲を縮小することで登録までのハードルを下げた仕組みがISMAP-LIU になります。 ISMAP-LIUにかかる費用の相場 　ISMAP-LIUサービスリストへの登録に係る 費用は、主に監査機関に支払う費用 になります。各監査機関は主に2つのサービスを提供しており、1つが必須である本監査・本番評価であり、もう1つが、任意で受けることができる事前診断・プレ評価サービスとなっています。各監査機関が提供するサービスの内容及び費用には差があるという前提で、ISMAP-LIUサービスリストへの初回登録にかかる各種費用の相場感をまとめました。なお、詳細な費用については、各監査機関にお問い合わせください。 　また、上記に加えて、コンサルティング業者に支援を依頼する場合は、サービス範囲に応じた費用が必要となります。 ISMAP-LIU認証までの流れ ISMAP-LIUへの該当性 　 2025年4月1日に行われた規程改定で事前申請と影響度評価が廃止 されたことにより、ISMAP-LIUへの登録手続きはこれまでのISMAPとほぼ変わらなくなりました。ただし、従来同様、ISMAP-LIUは機密性2の情報を取り扱うSaaSのうち、リスクの比較的小さい業務や情報処理を対象としている点は変わりません。この判断は政府機関が調達を行う際に行われますが、クラウドサービス事業者として自社のサービスがISMAP-LIUに該当しない場合、登録自体に意義がないと考えられます。したがって、 まずはISMAP-LIUの対象となり得るかどうかを見極めたうえで、登録に向けた手続きを進めるこ とが望ましいでしょう。 ISMAP-LIUの外部監査 　ISMAP-LIUにおける外部監査範囲を理解するためには、以下の２点を認識することが重要です。 言明対象範囲 外部監査の実施範囲 　まず、 言明対象範囲については、現行ISMAPと全く同様に、ガバナンス基準・マネジメント基準・管理策基準のすべてに対して言明を行う必要があります。 　これは、ISMAP制度で定めているセキュリティ管理策の多くが、ISO/IEC 27001等の国際標準を基礎としており、一般的に求められる基礎的なセキュリティ対策を定めていることに基づきます。 　また、ISMAPもISMS認証同様に、クラウド事業者自らがリスク評価を行い、自身に必要なセキュリティ対策を選定するという制度構造であり、ISMAP-LIUにおいてもその考え方を踏襲しているため、言明を行う過程においては、現行ISMAPとISMAP-LIUで違いはないと考えてよいでしょう。 　では、現行ISMAPとISMAP-LIUで何が違うのか、それは外部監査の対象となる範囲が異なります。前述したように、ISMAP-LIUでは、言明の過程において、現行ISMAP同様にガバナンス基準・マネジメント基準・管理策基準のすべてについて言明を行うことが求められますが、外部監査の対象となる範囲を、ガバナンス基準・マネジメント基準・管理策基準の一部（セキュリティ上、特に重要となる領域に属する管理策）を中心に絞りこんでいます。 ISMAP-LIUに関しては、ガバナンス基準・マネジメント基準の全ての詳細管理策に加えて、以下に掲げるような、クラウドサービスの基盤・構成に深刻な影響を与え重大な事故につながるリスクに関連する詳細管理策を中心として監査を実施する。 １．アクセス管理（特権の管理、ID・パスワード管理、物理セキュリティ等） ２．システムの開発・変更に係る管理（開発管理、変更管理） ３．システムの運用管理（ぜい弱性管理、障害管理、システム運用監視、ネットワーク管理、冗長性の確保等）４．外部委託先管理（１．～３．に関連するもの） 【出典】 ISMAP標準監査手続 > （別紙３）ISMAP-LIUにおける監査業務 　 言明の対象範囲に違いがない分、外部監査を実施する範囲を大幅に絞り込むことで、簡易な仕組みを実現 しています。 　また、ISMAP-LIUも現行ISMAP同様に、毎年の外部監査が求められますが、上記スコープ全量が毎回監査されるわけではなく、管理策基準については、 複数年度に分けて実施される仕組み となっています。（制度上、何年に分割するは公開されていませんが、例えば、監査で一般的とされている３年サイクルを例に取った場合のイメージは以下の通りです） 　このように、 外部監査の対象範囲を縮小した結果、外部監査において対応すべき管理策数は現行ISMAPの概ね1/5程度になると想定 され、監査の業務量としては相当の軽減が見込まれるとしています。 ISMAP-LIUの内部監査 　次に、ISMAP-LIUで新規に導入された、セキュリティ内部監査に係る報告書の提出についてご紹介します。 　前述のように、ISMAP-LIUでは 外部監査の対象範囲を大幅に縮小しています。そのため、ISMAP制度で実施が求められている内部監査の結果について報告書の提出を求める ことで、クラウド事業者自身が自らの統制を自主的かつ適切に運用することを促すことに狙いがあります。 　「内部監査に係る報告書の提出」と聞くと、ISMAP-LIUだけが内部監査の実施を求められているように誤解をするかもしれませんが、そうではなく、 現行ISMAPかISMAP-LIUかに関わらず、マネジメント基準の4.6.2.2において、内部監査の実施は求められている 点に留意が必要です。 組織は、あらかじめ定めた間隔で内部監査を実施する。 [27001-9.2a) / 9.2b)] a) 内部監査を実施する際は、以下を確認する。 ・以下に適合していること。 　－情報セキュリティマネジメントに関して、組織自体が規定した要求事項 　－本マネジメント基準の要求事項 ・情報セキュリティマネジメントが有効に実施され、維持されていること。 b) 内部監査は、管理策の有効性を総合的に確認するために定期的に実施し、計画及び結果について以下の文書で管理する。 ・内部監査基本計画 ・内部監査実施計画 ・内部監査報告書 （後略） 取消・公表制度 　したがって、ISMAP-LIUだけが新規に内部監査の実施を求められているわけではなく、ISMAP制度全体として内部監査の実施はすでに求められている中で、 ISMAP-LIUのみ、内部監査の結果を制度上の様式に落とし込む形で提出を求められている と理解することが正確です。様式に落とし込む事務的な作業はもちろん発生しますが、元々内部監査をしっかり行ってさえいれば、大幅な負担増にはならないと考えて良いでしょう。 取消・公表制度 　ISMAP-LIU最後の特徴である、「取消・公表制度」についてご説明します。取消・公表制度とは、ISMAP-LIUに登録されているサービスにおいて、 深刻な影響を及ぼすセキュリティインシデントが発生した際、そのサービスの登録を即座に一時停止する仕組み です。現行ISMAPの場合は、インシデントが発生してもこのような即座の一時停止措置は設けられていません。 　前述のように、ISMAP-LIUでは外部監査の対象範囲を大幅に縮小しています。そのため、ISMAP-LIUへの継続登録を目的に、CSPの自主的な統制運用を促す施策の１つとして、本制度が導入されました。具体的には、以下のように仕組みが定められています。 13.5 ISMAP運営委員会は、13.1の規定により報告を受けた情報セキュリティインシデントが利用者に特に重大な影響を及ぼしうると判断した場合、当該クラウドサービスの登録の一時停止を行うことができる。 【出典】 ISMAP-LIUクラウドサービス登録規則 > 第13章 情報セキュリティインシデント発生時の報告 　サービス登録の一時停止を受けた場合、ISMAP-LIUサービスリストに掲載されているとは言えないため、ISMAP・ISMAP-LIUサービスリストに掲載されているクラウドサービスから調達することを原則とされている政府機関等の調達フローから外れることとなります。 　インシデント対応が終了し、ISMAP運営委員会において問題なしと判断された場合、一時停止措置が解かれ、その後はISMAP-LIUサービスリストに掲載されている他のサービスと同様の扱いに戻ります。 13.6 ISMAP運営委員会は、前項に規定する一時停止を行う場合、一時停止を解除するための条件（以下「一時停止解除条件」という。）を登録者に通知する。 （中略） 13.8 ISMAP運営委員会は、前項の報告を受けて 一時停止解除条件が満たされたと判断した場合、当該クラウドサービスの登録の一時停止を解除する 。 【出典】 ISMAP-LIUクラウドサービス登録規則 > 第13章 情報セキュリティインシデント発生時の報告 　本措置への対応として、過度にセキュリティ対策を高度化し、過剰な対応を行う必要はないと考えられますが、クラウドサービス事業者として、セキュリティインシデントが発生しないよう日々の運用を徹底するという、本来の事業者としての基本的な責務を全うすることが重要です。 ISMAP-LIU制度に関する直近の動き（2025年4月） 　2025年4月1日の規程改定により、ISMAP-LIU制度の改善が行われました。 利用省庁における事前申請・影響度評価の廃止 対象業務の拡大 詳細は こちら から ①事前申請・影響度評価の廃止により、これまで協力いただける利用省庁がいない場合に、影響度評価を実施できずにプロセスが進められなかったという状況が改善されました。改善に伴って、より早く申請まで進められます。 ②対象業務が8業務から10業務に拡大されたため、よりISMAP-LIUへの該当性ありと判断されるSaaSの種類が増えました。 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

ISMAP-LIUとは？ISMAPとの違いやISMAP-LIU費用を徹底解剖（制度改善情報あり）

ISMAP-LIUとは？ISMAPとの違いからISMAP-LIUサービスリストへの登録までの流れについて徹底解剖します。

Read More
政府情報システムのためのセキュリティ評価制度（Information system Security Management and Assessment Program： ISMAP ）は、政府機関等のクラウドサービス調達に関する制度です。 　本稿では、 クラウドサービス事業者がISMAP制度について知っておくべき基礎の全て をご紹介します。 ISMAP制度とはどういった制度なのか どんなメリットがある制度なのか ISMAP制度に対応するにはどうしたら良いのか どのくらいの費用がかかるのか ISMAP制度の最新状況　←　 🆕最終更新：2025年3月 これらを知りたい方は、是非本稿をご覧ください。 目次 政府情報システムのためのセキュリティ評価制度（ISMAP）とは？ ISMAP制度発足の経緯 ISMAP制度の対象 ISMAPの目的 ISMAPクラウドサービスリスト掲載のメリット ISMAP管理基準のすべて ISMAP監査のすべて ISMAP登録までの流れ（クラウドサービス事業者） 事前準備 セキュリティ対策の運用 監査・申請 審査 ISMAP費用の相場 ISMAP制度に関する直近の動き①（2023年12月） ISMAP制度に関する直近の動き②（2024年12月） 政府情報システムのためのセキュリティ評価制度（ISMAP）とは？ 　政府情報システムのためのセキュリティ評価制度（ISMAP）とは、 政府が求めるセキュリティ水準を満たすクラウドサービスの調達を実現するため、予めクラウドサービスを評価し、登録する制度 です。 クラウドサービスについて、ISMAP監査機関による 外部監査 を受ける 提出書類を準備し、ISMAPクラウドサービスリストへの 登録を申請 する 申請内容について、ISMAP運営委員会の 審査 を受ける ISMAPクラウドサービスリストに 登録 される 政府機関等がISMAPクラウドサービスリストに登録されている クラウドサービスを調達 する ISMAP制度発足の経緯 　ISMAP策定の背景として欠かせないのは「 クラウド・バイ・デフォルト原則 」です。2018年6月に掲げられたこの原則により、 政府情報システムの調達において、クラウドサービスの利用を第一候補として検討を行う ことが求められるようになりました。 ２.１ クラウド・バイ・デフォルト原則 政府情報システムは、クラウド・バイ・デフォルト原則、すなわち、クラウドサービスの利用を第一候補として、その検討を行うものとする。その際、「３ 具体方針」 に基づき、単にクラウドを利用するのではなく、クラウドをスマートに利用するよう検討するものとする。 【出典】 政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針 　しかし、クラウドサービスの利用においては、 クラウド特有のセキュリティ面の懸念が存在 します。オンプレミス環境では、セキュリティリスクの可視性と統制可能性が自組織の範疇にある一方で、クラウドサービスのリスクは、自組織では解決できない、クラウドサービス事業者に依存する領域が多くなるためです。 【出典】 ICT によるイノベーションと新たな エコノミー形成に関する調査研究 　こういった セキュリティ上の懸念に対処すべく 、2018年8月より、クラウドサービスの安全性評価に関する検討会という名称にてISMAPの検討が開始され、 2020年6月にISMAP制度が施行 されました。 ISMAP制度の対象 　では、ISMAPの対象となる政府機関等や、対象となるクラウドサービスは、どのような者になるのでしょうか。具体的には、以下の通りです。 　ISMAP 登録サービスの利用 が求められる 政府機関 等は、 国の行政機関、独立行政法人、指定法人 となっています。加えて、 地方公共団体のα’モデル におけるクラウドサービス調達時にも、ISMAP登録サービスの利用が求められています。α’モデル以外では、地方公共団体のクラウドサービス調達上、ISMAPは参照すべき認証・制度として紹介されています。 ③主に外部のクラウドサービスの利用を目的として、LGWAN接続系から接続先にローカルブレイクアウトする構成として、α’モデルが考えられる。 （中略）本モデルにおいて利用可能なクラウドサービスは、ISMAP管理基準を満たし、ISMAPクラウドサービスリストに登録されているサービスとする。 （中略） （２）外部サービスの選定⑤情報セキュリティ管理者は、外部サービスに対する情報セキュリティ監査による報告書の内容、各種の認定・認証制度の適用状況等から、外部サービス及び当該サービスの委託先の信頼性が十分であることを総合的・客観的に評価し判断しなければならない。（中略）　このような評価に当たって、外部サービス提供者が利用者に提供可能な第三者による監査報告書や認証等を取得している場合には、その監査報告書や認証等を利用する必要がある。なお、選定条件となる認証には、ISO/IEC 27017 によるクラウドサービス分野におけるISMS認証の国際規格がある。また、ISMAPの管理基準を満たすことの確認やISMAPクラウドサービスリスト等のほか、日本セキュリティ監査協会のクラウド情報セキュリティ監査や外部サービス提供者等のセキュリティに係る内部統制の保証報告書であるSOC報告書（Service Organization Control Report）を活用することを推奨する。 【出典】 地方公共団体における情報セキュリティポリシーに関するガイドライン(令和 6年10月版) α’モデル（認証・ウイルス定義体の取得のみの場合）イメージ図：地方公共団体における情報セキュリティポリシーに関するガイドライン(令和 6年10月版)より 　上記に加えて、 経済安全保障推進法 における、基幹インフラ役務の安定的な提供の確保に関する制度においても、 重要設備の委託先がISMAPを取得していることで、制度対応上の大幅な負担軽減 につながります。 　また、 ISMAPの対象となるクラウドサービスは、基本的に要機密情報を取り扱うサービスが対象 となりますが、その中でも、 セキュリティリスクが小さい業務・情報を取り扱うSaaSに対する仕組みとして、ISMAP for Low-Impact Use（ISMAP-LIU）が2022年11月に発足 しています。更に、より高度なセキュリティ水準が求められる一例として、ガバメントクラウドの一要件にISMAP登録が位置付けられていること等、様々な領域でISMAPが参照されつつあります。 ISMAP-LIUについて詳しく知りたい方は、 「 ISMAP-LIUとは？ISMAPとの違いやISMAP-LIU費用を徹底解剖 」をご参考ください。 ISMAPの目的 　ISMAPの制度の目的は大きく2つです。 安心・安全なクラウド調達を可能とする仕組みの実現 高度な調達プロセスの実現 　1つ目の目的は、安心・安全なクラウド調達の実現です。前述したように、クラウドサービスの調達にはセキュリティ面での不安が多く存在します。また、要機密情報を取り扱う政府の情報システムでは、求められるセキュリティのレベルも相応なものとなります。そのため、ISMAPの枠組みでは、ISMS認証型の文書審査ではなく、民間のセキュリティ監査の枠組みを基にして、 実際のセキュリティ対策の導入状況や、セキュリティ対策の運用状況まで踏み込んだ評価を行います。 要求されるセキュリティ項目も最大で 1,000を超える管理策群から構成 されており、要求水準が比較的高い制度となっています。 　また、セキュリティ監査のみならず、準拠法・裁判管轄に関する情報提供や、日本国内法以外の法令適用に対する情報提供等、民間へのサービス提供ではあまり意識がされない事項についても、対応が求められます。セキュリティ監査と併せてこうした情報も踏まえて調達ができるようにすることで、政府機関等が安心・安全なクラウドサービスを利用することに寄与しています。 3.4 申請者は、言明書に記載の内容に加えて以下の情報をISMAP運営委員会に提供しなければならない。 (1) 申請時点における申請者の資本関係及び役員等の情報 (2) クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用され、調達府省庁等が意図しないまま当該調達府省庁等の管理する情報にアクセスされ又は処理されるリスクについて、ISMAP運営委員会及び当該省庁等がリスク評価を行うために必要な情報 (3) 契約に定める準拠法・裁判管轄に関する情報 (4) ペネトレーションテストや脆弱性診断等の第三者による検査の実施状況と受入に関する情報 【出典】 ISMAPクラウドサービス登録規則 　２つ目の目的は調達プロセスの高度化です。これまでは、各政府機関等が個別にセキュリティチェックを行っていました。クラウド事業者としても、同様の確認項目に都度の対応を強いられ、非効率性を招いていました。 ISMAPでは、セキュリティ監査に関する高度な知見を有した監査機関が評価を行い、その結果として登録されたサービスをホワイトリスト式に調達する ことができるため、 セキュリティチェックの効率性及び品質の両面で、利便性の高い制度 となっています。 ISMAPクラウドサービスリスト掲載のメリット 　ISMAPクラウドサービスリストに登録されることによる、クラウドサービス事業者の主なメリットは３つあります。 政府機関等のシステム調達への入札参加 高いセキュリティレベルの証明 民間企業の高まる要求に応える １．政府機関等のシステム調達への入札参加 　1つ目は、ISMAPの本来の趣旨である政府機関等のシステム調達への参入です。ISMAPの開始以降、 政府機関等は、原則としてISMAPに登録されているサービスから調達 を行うことになりました。 ２ 各政府機関等における本制度の利用の考え方 各政府機関等は、クラウドサービスを調達する際には、本制度において登録されたサービスから調達することを原則とし、本制度における登録がないクラウドサービスの調達については、本制度で要求する事項を満たしていると、当該調達を行う政府機関等の最高情報セキュリティ責任者の責任において、それぞれの政府機関等で確認するものとし、詳細は、サイバーセキュリティ対策推進会議、デジタル社会推進会議幹事会において定めるものとする。 　したがって、 ISMAPクラウドサービスリストに掲載されることで、政府機関等のシステム調達への入札参加が容易になります 。また、総務省が地方公共団体向けに公表している「地方公共団体における情報セキュリティポリシーに関するガイドライン」において、地方公共団体のα’モデルにおけるクラウドサービス調達時において、ISMAP登録サービスの利用が求められています。α’モデル以外では、地方公共団体のクラウドサービス調達上、ISMAPは参照すべき認証・制度の１つにISMAPが位置づけられています。 ２．高いセキュリティレベルの証明 　ISMAPの要求事項は主に、ISO/IEC27017等の国際標準に基づいて作成されています。そういった 国際的にも広く参照されている規格に適合しているという点で、政府機関等への案件入札だけではなく、民間に対する広いアピールが可能 です。 　また、セキュリティ要求事項（管理策）のみならず、セキュリティ対策状況の評価基準（監査基準）も、ISMS認証等よりはるかに厳しいため、一見すると似たセキュリティ要求事項であっても、ISMAPの方がより安心感があるという点が、アピール材料になり得ます。 ISMAPクラウドサービスリストは、 公式サイト で公開されているため、対外的に高いセキュリティレベルを維持していることを証明できます。 ３．民間企業の高まる要求に応える 　民間企業のクラウドサービス調達におけるセキュリティ重視の傾向は年々高まってきています。特に経済安全保障の観点から、重要インフラ企業はサプライチェーン全体で高いセキュリティレベルを確保することが求められており、場合によっては、こうした需要の高まりに応える有効な手段となります。 ISMAP管理基準のすべて 　ISMAP管理基準とは、 クラウドサービス事業者が ISMAP クラウドサービスリストへの登録申請を行う上で実施すべきセキュリティ対策であり、かつ、監査機関が監査の前提として用いる基準 です。 　なお、ISMAP制度改善の取り組みとして、 JIS Q 27002規格の改定に伴い、ISMAP管理基準は2026年度中を目標に更新 されることが発表されています。更新に伴い、管理基準数や構成が大きく変化することが見込まれています。こちらは情報が公開され次第、解説を追加いたします。 　上記、図の通り、管理基準は、「ガバナンス基準」、「マネジメント基準」、及び「管理策基準」から構成されています。 ガバナンス基準 組織の情報セキュリティ活動を指導し、管理するシステムとして、情報セキュリティの目的及び戦略を、事業の目的及び戦略に合わせて調整し、法制度、規制及び契約を遵守するための実施事項。また、情報セキュリティガバナンスは、内部統制の仕組みによって遂行されるリスクマネジメント手法を通じて、評価、分析及び実施する。 原則としてすべて実施 しなければならない。 マネジメント基準 情報セキュリティマネジメントの計画、実行、点検、処置、及び、リスクコミュニケーションに必要な実施事項。 原則としてすべて実施 しなければならない。 管理策基準 組織における情報セキュリティマネジメントの確立段階において、リスク対応方針に従って管理策を選択する際の選択肢を与えるもの。管理目的と詳細管理策で構成される。詳細管理策の内、統制目標を満たすために 採用している詳細管理策および末尾に B が付された詳細管理策は原則としてすべて実施 しなければならない。 ISMAP監査のすべて 　 ISMAP監査は、ISMAPクラウドサービスリストに登録する上で必須のプロセス となっています。監査は、 ISMAP監査機関リスト に登録されている監査機関から受ける必要があります。 ＥＹ新日本有限責任監査法人 有限責任監査法人トーマツ 有限責任あずさ監査法人 ＰｗＣ Ｊａｐａｎ有限責任監査法人 三優監査法人 （記事公開・更新時点） 　 監査は「個別管理策」に基づいて実施 されます。個別管理策とは、クラウドサービス事業者が、自身の選択した詳細管理策のそれぞれに対して、自身のクラウドサービスにおいて具体的に設計した個々の統制のことを言います。 クラウドサービス事業者は、監査の前までにこの個別管理策を作成しておく必要がある ということです。 　監査プロセスでは、「整備状況評価」と「運用状況評価」が実施されます。特に「運用状況評価」ではサンプリング手法に基づき、複数の証跡をもって統制の運用実態が確認されることになります。 整備状況評価 クラウドサービス事業者が ISMAP 管理基準に準拠して統制目標及び詳細管理策を選択し、必要な統制を監査の対象期間内のある時点において整備していることを評価することをいう。 運用状況評価 クラウドサービス事業者が ISMAP 管理基準に準拠して統制目標及び詳細管理策を選択し、整備した統制が監査の対象期間にわたり有効に運用していることを評価することをいう。 ISMAP登録までの流れ（クラウドサービス事業者） 事前準備 　まず初めに、クラウドサービス事業者は、ISMAP管理基準に規定される1,163個もの詳細管理策に対して、 監査を受けるための準備として 採用するものに対しては「個別管理策」、非採用にするものに対しては「非採用理由」を作成する必要があります。「個別管理策」を作成するためには、統制目標を満たすために採用している詳細管理策を見極め、 ISMAP管理基準に対して自組織が設計している統制セキュリティ対策内容を記述 します。個別管理策を作成する中で、ISMAP管理基準を満たさない部分が見つかった場合には、不適合の改善対応が必要になるため、自社のセキュリティ対策の実施状況が制度の要求事項に照らして不足がなさそうか、適合状況を確認します。 　SOC2や米国のFedRAMPといった類似制度に対応している場合は、一般的に必要なセキュリティ対策はある程度担保されていると想定できますが、 ISMS認証のみ取得している場合は注意が必要 です。ISMS認証（ISO/IEC 27001）やそのアドオンであるISMSクラウドセキュリティ認証（ISO/IEC 27017）の審査は文書審査やマネジメントシステムの審査が中心である一方、ISMAPは情報セキュリティ"監査"の枠組みを基礎としているため、統制の実装や運用状況まで踏み込んで、証跡提出を伴う監査項目も多数存在しています。ISMS認証の延長でISMAP登録に臨んだ結果、費用の増大や登録の遅れが発生しているケースが非常に多くありますので、ISMAP制度への登録を検討されている方は、規程類の整備のみならず、統制の実装や運用まで含めて、事前に適合状況を確認すると良いでしょう。 ISMS認証を取得していることで、ISMAP登録にどれほど影響を及ぼすのかについては、「 ISMS認証はISMAP登録対応にどう影響を及ぼすのか？工数への影響などを解説 」をご参考ください。 セキュリティ対策の運用 　ISMAPでは、セキュリティ対策の運用について詳細な監査を受けることになるため、実装や運用を裏付ける活動の証跡が必要になります。また、監査は特定の期間を対象として実施されるため、ISMAP登録を目指す上では「どの期間の運用を対象に監査を受けるのか（＝監査対象期間）」を定める必要があります。この監査対象期間は、３か月～１年の間で任意に定めることが可能ですが、 「セキュリティ対策の運用」の期間は最低でも3か月は確保する必要がある ということになります。 ２ 2.2.5 監査の対象となる期間 言明内容のうち、監査対象となる期間を記載する。監査の対象期間は最大１年とし、次の登録申請を行う際の監査対象期間は、前回の監査対象期間の末日の翌日とすることで、期間の隙間なく監査が行われなければならない。監査の対象期間を１年より短くする場合においては、３ヶ月の最低運用期間を経る必要がある。 【出典】ISMAP管理基準 　その際、例えばSOC2やISMS認証を取得している企業の場合、ISMAPの監査対象期間をその他の制度の対象期間や審査日付と整合させると、複数制度に対する監査対応が一括で行えるため、実務上の負荷を軽減することができます。注意点としては、 ISMAPは毎年の更新が求められる制度のため、更新申請にあたっても監査対象期間を定める必要がある のですが、この際、上記の引用にもあるように、初回登録時に定めた期間から切れ目なく対象期間を３か月～１年の間で任意に定める必要があります。つまり、仮に対象期間を6か月とするのであれば、年に２回監査を受ける必要があることになります。 監査・申請 １．外部監査機関による監査 　個別管理策の作成が完了し、個別管理策通りに運用が実施できたら、ISMAP監査機関リストに登録されている監査機関から監査を受けます。監査は、セキュリティ対策の整備・運用状況についての確認が約6カ月間ほどの期間で実施されます。クラウドサービス事業者は、監査機関から要求される 資料の提出や質疑への応答を実施し、発見事項が見つかった際には改善計画書を作成する といった対応が必要になりますします。監査の終了時には、監査機関により取りまとめられる実施結果報告書を受領します。制度規程上、この実施結果報告書は監査対象期間末日から３か月以内に提出することが求められています。　 3.2　申請者は、言明書に記載の監査対象期間の末日から3ヵ月以内を作成日とする実施結果報告書を監査機関から入手しなければならない。 【出典】ISMAPクラウドサービス登録規則 　しかし、前述したようにISMAPの要求項目は多岐に渡り、対象期間末日から３か月間で監査を終わらせるのは困難なため、実務としては、監査対象期間の途中から監査をスタートし、着手できるところから監査を進めていくことが一般的です。 ２．申請書類の準備・提出 　外部監査が終了し、監査結果（＝実施結果報告書）を受領したら、いよいよ申請を行います。申請は、実施結果報告書の日付から１か月以内に行う必要があります。 4.2　申請者は、実施結果報告書の日付から1ヵ月以内に申請を行わなければならない。 【出典】ISMAPクラウドサービス登録規則 　CSPが制度に提出する必要がある書類は、外部監査の報告書のみならず、自身のサービス内容を記述する言明書や、準拠法・裁判管轄に関する情報、ペネトレーションテストに関する情報等、多岐に渡ります。これら書類を外部監査が終了してから一斉に準備すると、万が一間に合わなかった時、取り返しがつかなくなってしまいます。したがって、実際には、外部監査の対応と並行して、準備できる書類から順々に準備していくことが望ましいでしょう。 審査 　申請を行うと、その後はISMAP制度側による審査がスタートします。まず、審査実務を担うISMAP運用支援機関（＝IPA）が、申請書類一式に不備がないかを２週間以内に確認します。 5.3　ISMAP運用支援機関は、申請文書を受付した日から原則として２週間以内に申請文書の確認を実施する。 【出典】ISMAPクラウドサービス登録規則 　ここで書類不備や不足があると、追加の資料提出や書き直しを求められたり、質疑対応がかさんでしまいます。前項の申請書類の提出にあたっては、制度規程や手引書を熟読したり、制度への理解に富んでいる者に確認してもらうのが安心です。 　上記の対応が終了し、無事に申請を受理されると、IPAによって技術的な審査（監査結果等の内容の精査）が行われ、その結果を踏まえ、最終的に、制度の最高意思決定機関であるISMAP運営委員会によって登録決定がされます。制度規程上は、申請が受理されてから６か月以内に登録の是非を判断するとしており、場合によっては審査に時間がかかります。 6.3　ISMAP運営委員会は、ISMAP 運用支援機関が申請を受理した日から原則として6 カ月以内に、ISMAP 運用支援機関からの報告内容及び申合せの運用状況を踏まえて、総合的に登録の是非を判断する。 【出典】ISMAPクラウドサービス登録規則 　その際、制度のFAQには以下のような記述もあり、必ずしも常に６か月かかるわけではなく、申請書類の出来栄え等によっては３か月で登録できるケースも存在します。いずれにしても、いかに前項の申請書類を過不足なく対応できるかが重要です。 　ISMAPクラウドサービス登録規則6.3において、ISMAP運営委員会は、ISMAP運用支援機関がクラウドサービスの登録申請を受理した日から原則として6か月以内に登録の是非を判断することとしております。　実態としては、クラウドサービスの登録申請から登録まで、少なくとも3か月程度の期間を要しており、申請内容によって（※）は、それ以上の期間が必要となることもあります。　また、クラウドサービスの登録の是非を判断するISMAP運営委員会は、四半期に一回（通例的に、３月、６月、９月及び１２月）開催されます。ただし、状況に応じて、開催時期が前後することや追加の開催を行う場合もあります。 ※例えば、基本言明要件として原則実施しなければならない統制目標及び詳細管理策を対象外とした場合、対象外とした理由について妥当性の確認などに時間を要する場合があります。 【出典】クラウドサービスの登録申請から登録されるまでに、どの程度の期間が見込まれるのでしょうか。 ISMAP費用の相場 　ISMAPサービスリストへの登録に係る費用は、主に監査機関に支払う費用になります。各監査機関は主に2つのサービスを提供しており、1つが必須である本監査・本番評価であり、もう1つが、任意で受けることができる事前診断・プレ評価サービスとなっています。各監査機関が提供するサービスの内容及び費用には差があるという前提で、ISMAPサービスリストへの初回登録にかかる各種費用の相場感をまとめました。なお、詳細な費用については、各監査機関にお問い合わせください。 ISMAP制度に関する直近の動き①（更新：2023/12） 　ISMAP制度の運用の中で明らかになった「 外部監査の負担軽減 」や「 審査の迅速化・効率化 」などの課題に対して、改善を施した枠組みが2023年10月より運用開始されました。 外部監査の枠組みの見直し モデル審査機関の枠組み 発見事項への対応の充実 ISMAP-LIU登録促進のための特別措置について ISMAP関係主体とのコミュニケーションの深化 詳細は こちら から ISMAP制度に関する直近の動き②（2024年12月） 　内閣府による、第4回 公共ワーキング・グループにおいて、ISMAP制度が議題として取り上げられ、以下の通り、ISMAP制度及びその見直しの検討状況についての報告がされました。 ＜2026年3月までの改善＞ ISMAP管理基準の抜本的な見直し等 ISO 27000シリーズの改訂等を取り込み、統制目標と詳細管理策の粒度を見直し、リスクベースアプローチを活用することにより、管理策数を数百まで削減 ISMAP登録の他のサービスで監査済みの管理基準について重複監査を排除・ISMAP-LIUの更なる改善を含め、ISMAP登録されたIaaS・PaaSを基盤としたSaaSの取扱いを明確化し、SaaS事業者の負担を軽減・新たな監査機関の参入等による競争の促進 ISMAP運営委員会の透明性の向上 ISMAP運営委員会の議事の詳細や委員名の公表について、個々のサービスのセキュリティに関する機微な情報を扱っていることも勘案しつつ、透明性の向上に向けて検討 詳細は こちら から 　いかがでしょうか。今回は、ISMAP制度について知るべき基礎の全てをご紹介しました。ISMAPはセキュリティコンプライアンスの領域では非常に価値が高く、注目されてきている制度です。今後、より詳細な制度説明も行っていきますので、ぜひそちらもご覧ください 　本サイトでは、ISMAP制度における疑問・質問はどんな内容でも受け付けております。その他、制度理解や対応に役立つコンテンツをどんどん配信しているので、是非チェックしてみてください！ 執筆者 東海林 和広 株式会社 X-Regulation 取締役 大手監査法人において、ISMAP監査やクラウドサービスに対するセキュリティ監査等を多数経験

ISMAPとは？ISMAPについて知っておくべき全て（決定版）

クラウドサービス事業者がISMAP制度について知っておくべき基礎の全てをご紹介します。

Read More
bottom of page