ISMAP管理基準とは？3つの基準の内容・登録までの流れを解説

2020年、政府機関が利用するクラウドサービスのセキュリティを評価するISMAPという制度の運用開始が発表されました。ISMAPは行政機関だけでなく、民間企業にとっても活用できる制度です。というのも、多くの企業がクラウドサービスを利用していますが、そのセキュリティの安全性を担保できる制度はあまりないためです。

そこで、この記事ではISMAP管理基準の具体的な内容から、登録までの流れ、そして改訂に向けた最新動向まで、わかりやすく解説します。

ISMAPとは？

ISMAP（Information system Security Management and Assessment Program）とは、政府が求めるセキュリティ要求を満たしているクラウドサービスかどうかを評価し、基準を満たしたサービスのみを「ISMAPクラウドサービスリスト」に登録する制度です。

ISMAPは2020年6月に運用が開始された制度です。現在は、国家サイバー統括室、デジタル庁、総務省、経済産業省が運営し、独立行政法人情報処理推進機構（IPA）が制度運用の実務や技術的支援を行っています。政府機関だけでなく、民間企業も自由に閲覧ができるため、クラウドサービスの選定において活用されるようになってきています。

この制度が生まれた背景には、クラウドサービスの急速な普及があります。

さまざまな組織の基幹システムにクラウドサービスが用いられるようになる中、2010年ごろにアメリカが「クラウドファースト」を提唱したことをきっかけに、日本政府も2018年にクラウドサービスの積極的な利用を方針として掲げました。

その方針を実現するにあたり、セキュリティ面の不安を払拭する仕組みとして策定されたのがISMAPです。

クラウド・バイ・デフォルト原則とは

クラウド・バイ・デフォルト原則とは、「政府の情報システムにはクラウドサービスを利用する」という原則のことです。

2018年に発表された「政府情報システムにおけるクラウドサービスの利用に係る基本方針」に記載されている考え方で、この原則のもとクラウドサービスの利用を安心して進められるよう、セキュリティ水準を評価する仕組みとして策定されたのがISMAPという位置づけになります。

ISMAPの対象となるクラウドサービス

ISMAPはIaaS・PaaS・SaaSといったクラウドサービス全般が対象で、リスクの小さな業務・情報に使うSaaSに限り、簡易版の「ISMAP-LIU」も選べます。

つまり、基幹システムを支えるAWSやAzureのようなIaaS・PaaSは通常のISMAP、業務の一部で使う比較的リスクの低いSaaSツールはISMAP-LIUという形で、扱う情報やシステムの重要度に応じて評価の枠組みが使い分けられています。

ISMAP管理基準を構成する3つの基準

ISMAP管理基準は、実施主体や粒度の異なる「ガバナンス基準」「マネジメント基準」「管理策基準」の3つで構成されています。

ISMAP管理基準は、「ガバナンス基準」「マネジメント基準」「管理策基準」の3つで構成されています。マネジメント基準と管理策基準では統制目標と詳細管理策が設けられており、ガバナンス基準は経営陣が実施すべき管理策で構成されています。

• 3桁管理策（統制目標）：達成すべきゴールを示すもので、原則としてすべて実施が必要です
• 4桁管理策（詳細管理策）：統制目標を達成するための具体的な手段であり、基準によって「原則全項目実施」か「リスクに応じた選択制」かが異なります

つまり、「何を達成すべきか（3桁）」と「そのために何をするか（4桁）」という2段構えで管理策が設計されているのが、ISMAP管理基準の特徴です。

ここでは、3つの基準を詳しく解説します。

1.ガバナンス基準

ガバナンス基準とは、経営陣が担うべき情報セキュリティの意思決定を定めた基準で、4桁管理策18項目すべてが原則実施の対象です。

JIS Q 27014（情報セキュリティガバナンスにおける概念や原則にもとづくガイダンス規格）をもとに作成されており、セキュリティ方針の策定や各部門への指示、リスク評価、改善活動の推進など、会社のトップや経営陣が主体となって満たすべき項目で構成されています。

2.マネジメント基準

マネジメント基準とは、情報セキュリティマネジメントシステムの計画、運用、監視、処置を実現するための基準で、3桁管理策21項目・4桁管理策64項目のいずれも原則すべて実施が求められます。

情報セキュリティにおけるリスクを低減する基準であるため、現場で働く管理者が実施することが一般的です。原則として、すべての項目を実施することが求められます。

3.管理策基準

管理策基準は、3桁管理策121項目と4桁管理策1,077項目で構成されています。3桁管理策は原則として実施が求められ、4桁管理策はリスク評価などを踏まえて選定します。ただし、一部には原則として実施すべき詳細管理策があります。

対象となるのは、以下の14カテゴリです。

1. 情報セキュリティのための方針群
2. 情報セキュリティのための組織
3. 人的資源のセキュリティ
4. 資産の管理
5. アクセス制御
6. 暗号
7. 物理的及び環境的セキュリティ
8. 運用のセキュリティ
9. 通信のセキュリティ
10. システムの取得、開発及び保守
11. 供給者関係
12. 情報セキュリティインシデント管理
13. 事業継続マネジメントにおける情報セキュリティの側面
14. 順守

業務の実施者が主体となって対応する基準であり、4桁管理策については一部必須項目を除き、自社のリスクアセスメントの結果に基づいて項目を選定できます。

ただし、実施しないと判断した項目については、その理由を明記する必要がある点に注意しましょう。

ISMAPを活用するメリット

ISMAPを活用するメリットは、提供する側の「クラウドサービス事業者」と、使う側の「クラウドサービス利用者」の双方にあります。

クラウドサービス事業者のメリット

事業者にとっての最大のメリットは、「取引先・顧客の拡大」と「自社サービスの安全性向上」の両方が同時に得られる点です。

ISMAPに登録されることで、対象のクラウドサービスが政府の定めるセキュリティ要求に基づく評価を受け、ISMAPクラウドサービスリストに掲載されていることを示せます。クラウドサービスの情報セキュリティ体制をアピールする手段は限られているなか、厳しい監査基準をクリアしたという事実は競合他社との明確な差別化につながり、新規の取引先や顧客の拡大が期待できます。

また、登録にあたっては政府が定める厳しいセキュリティ基準を満たす必要があるため、その過程で自社のセキュリティ体制を見直し、より強固な対策に取り組むことになります。

結果として、政府機関等によるクラウドサービス選定時の有力な判断材料になる点も、事業者にとって見逃せないメリットです。

クラウドサービス利用者のメリット

利用者にとっての最大のメリットは、「サービス選定の手間が減ること」と「安心してサービスを利用できること」の2点です。

ISMAPに登録されているサービスは、第三者機関による審査をすでに通過しているため、自社で個別にセキュリティ評価を行う手間をかけずに、求める条件を満たすサービスをリストから簡単に見つけられます。

また、登録企業はISMAPの管理策を満たす体制を構築したうえで審査を受けているため、利用するサービスの一定のセキュリティ対策の実施が確認されている点も、利用者が安心して導入できる理由です。

【最新情報】ISMAP管理基準は改訂予定

ISMAP管理基準は、参照している国際規格（JIS Q 27001・JIS Q 27002）の改訂にあわせて全般的な改定が進められており、ISMAP管理基準については、JIS Q 27001:2023、JIS Q 27002:2024、ISO/IEC 27014:2020などを反映した改定案が公開されています。

ただし、2026年7月時点では、正式な改定日および施行日は検討中であり、確定していません。今後、管理策数の削減を含む見直しが行われる予定です。

当初は「2026年度中」の更新が想定されていましたが、最新の公表情報ではスケジュールが後ろ倒しになっている点に注意しましょう。

なお、管理策の数や構成が具体的にどう変わるかについては、本記事執筆時点では詳細は公開されていません。また、上記のスケジュールはあくまで現時点の予定であり、今後変更される可能性がある点にもご留意ください。

ISMAP管理基準を満たすための審査対応のポイントは？

ISMAP管理基準への対応を審査でスムーズに通過させるには、いくつか押さえておくべきポイントがあります。

• 言明書と実際の運用実態の整合性を事前に確認しておく
• 管理策の実施状況を裏付けるエビデンス（記録・ログ・議事録など）を日頃から整備しておく
• 4桁管理策のうち選択制の項目は、選定理由を説明できるようにしておく

審査では規程・手順書類だけでなく、実際の運用を示す記録のサンプリング確認も行われるため、日常業務の中で自然に証跡が残る仕組みにしておくことが望ましいでしょう。

ISMS認証を取得している場合、登録更新時に一定の要件を満たせば、マネジメント基準について複数年を軸とした監査サイクルを利用できる場合があります。活用可否は、ISMSの認証範囲や有効期間などの条件を確認する必要があります。

「ISMAPクラウドサービスリスト」登録の流れ

それでは、「ISMAPクラウドサービスリスト」への登録の流れを紹介します。

1.ISMAPの管理基準に合った内部統制を実施

まずは自社のクラウドサービスにおける情報セキュリティ体制がISMAPの管理基準に適しているかどうか確認しましょう。現状を把握したうえで、管理基準に合うように内部統制を実施します。

具体的には管理基準に則って新たなルールや手順、管理方法を作成し、運用します。運用記録を取り、管理基準を満たしているかどうかを精査し、改善します。

2.監査機関に外部監査を依頼

管理基準に沿った情報セキュリティ体制を構築できたら、ISMAPの監査を依頼します。ISMAPに登録されているリストから監査機関を選びましょう。その際、自社のセキュリティ対策における宣言書である言明書を提出することが必要です。

監査開始後には、経営者確認書を作成して監査機関に提出します。外部監査終了後には、実施結果報告書を受け取れます。

3.ISMAP運営委員会の審査を受ける

外部監査後、言明書、経営者確認書、実施結果報告書などの必要書類をそろえ、最新版のクラウドサービス登録規則および申請の手引きに従って申請します。ISMAP運営委員会による審査が実施され、問題なければISMAPに登録されます。

クラウド情報セキュリティ体制の強化を狙うならISO27017取得がおすすめ

ISO27017は、クラウドサービスの情報セキュリティマネジメントシステムに関する国際規格で、ISO27001のアドオン規格です。組織のクラウド情報セキュリティ体制を強化し、情報セキュリティリスクを低減することを目的としています。

ここでは、ISMAPとISO27017の違いや、クラウド情報セキュリティ体制の強化にISO27017がおすすめの理由を解説します。

ISMAPとISO27017の違い

ISMAPとISO27017の主な違いを以下にまとめました。

ISMAPのガバナンス基準やマネジメント基準は、ISO27017と同様の内容であるJIS27017の管理策が基礎とされています。そのため、両者は異なる基準をもっているものの、ISMAPはISO27017をベースとしている部分もあるのです。

ISO27017取得がおすすめの理由

ISO27017取得がおすすめの理由は、審査費用や工数の差にあります。

上記に述べたように、ISMAPの審査費用は数千万円以上になるため、非常に高額です。一方ISO27017は規模にもよりますが、ISO27001と合わせても年間100万円未満に収まるケースが一般的です。

ISO27017に基づくクラウドセキュリティ認証とISMAPは、いずれもクラウドサービスのセキュリティ向上に関係しますが、目的や制度が異なります。

政府機関等による調達への対応を目的とする場合はISMAP登録が重要です。一方、クラウドサービスのセキュリティ管理体制を国内外の取引先に示したい場合には、ISO27001とあわせてISO27017に基づく認証を検討できます。

ISMAPへの登録が取引上求められていない場合は、自社の目的や取引先の要求に応じて、ISO27001やISO27017に基づく認証を検討する選択肢もあります。

ISO27001の詳細は、以下の記事をご覧ください。

まとめ

ISMAPとは、政府が活用するクラウドサービスのセキュリティを評価する制度です。

政府が情報システム基盤として利用するセキュリティ基準をクリアしていることの証明になるため、利用することで提供側も利用者側もメリットが期待できます。

またISMAPは監査費用が高額であるため、同じくクラウドサービスの情報セキュリティ管理に関する規格であるISO27017の取得で代替することもお勧めです。

投資対効果や自社の経営戦略を踏まえて、どちらにするか決めましょう。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。