ISMAP（イスマップ）

ISMAP（イスマップ）とは、政府情報システム向けのクラウドサービスのセキュリティ評価制度です。この制度のもと統一的な安全性評価基準や安全性評価の監査の仕組みが設けられ、監査を通過したクラウドサービスを「ISMAPクラウドサービスリスト」に登録し、登録されたものの中から政府情報システムで用いるサービスを選定・調達する仕組みが作られました。

本制度が制定される以前まで、地方自治体をはじめとする政府機関等がクラウドサービスを導入する際は、個々のクラウドサービスのセキュリティ対策実施状況を調達担当者が直接確認する必要がありました。しかしISMAP制定後はISMAPクラウドサービスリストの利用によりこの直接確認のプロセスが省略され、情報セキュリティ上安全であると認められたクラウドサービスを効率的かつスピーディーに選定・調達できるようになっています。

ISMAPクラウドサービスリストへの登録を目指すクラウドサービス事業者は、ISMAPの定める各種管理策を実施し、ISMAP運営委員会による審査を通過する必要があります。この管理策は、「政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準」にまとめられています。このほか、ISMAPに関連する文書としては「政府情報システムのためのセキュリティ評価制度 （ISMAP） 基本規程 」や「政府情報システムのためのセキュリティ評価制度（ISMAP）クラウドサービス登録規則」などがあります。

＜登録の流れ＞

①準備・管理策の実施

②監査の受審・改善

③登録申請

④ISMAP運用支援機関による申請書の審査・登録

なおクラウドサービスリストへの登録の有効期限は、「登録の対象となった監査の対象期間の末日の翌日から1年4か月後まで」です。登録後は、有効期限までに登録の更新を申請する必要があります。

クラウドサービスの申請・審査は2020年9月に始まり、2021年3月にISMAPクラウドサービスリストが初めて登録・公開されて政府機関による利用が開始されました。

またその後2022年11月には、ISMAPの「簡易版」とも言える「ISMAP-LIU」（イスマップ・エルアイユー：ISMAP for Low-Impact Use）の運用が始まっています。これは、ISMAPの枠組みのうち、リスクの小さな業務・情報の処理に用いるSaaSサービスを対象にした仕組みです。ISMAP-LIUではクラウドサービスリストへの登録のハードルを通常のISMAPよりも少し低くすることで、クラウド・バイ・デフォルトのさらなる推進が目指されています。

ISMAPやISMAP-LIUについてさらに詳しくは、以下の記事をご覧ください：

「ISMAPとは？クラウドサービスリストへの登録方法やISMAP-LIUの概要と併せてわかりやすく解説！」