ISMAP（Information system Security Management and Assessment Program）とは、政府情報システムで利用されるクラウドサービスのセキュリティを評価・登録する日本の制度です。
【要点まとめ】まず押さえるべき3つのポイント
- 政府・自治体のクラウド調達では、原則としてISMAP登録サービスが対象になります
- 「登録＝自社要件をすべて満たす」ではありません（言明対象範囲の確認が必要です）
- 利用企業（発注側）にも、確認・説明責任が求められます
ISMAPとは何か？制度の全体像
「このクラウドサービスは本当に安全なのか？」
調達担当者なら、一度は感じたことのある不安ではないでしょうか。ISMAPは、その不安を共通の基準で解消するために生まれた制度です。
なぜISMAPが必要になったのか？
2018年、政府は情報システム整備でクラウドを第一候補とする方針（クラウド・バイ・デフォルト）を打ち出しました。一方で、クラウドの安全性を評価する統一基準がなく、各府省庁が調達のたびに個別監査を行う非効率が発生しました。
ISMAPは、事前に評価したクラウドをリスト化し、原則そこから調達することで、監査の重複と負担を減らすための仕組みです。
ISMAPクラウドサービスリストとは
ISMAPに登録されたサービスは「ISMAPクラウドサービスリスト」として公開されます。
登録は第三者監査と審査を経て行われ、有効期限（原則：監査対象期間末日の翌日から1年4か月）があります。長期利用を前提にする場合は、更新期限の確認が欠かせません。
ISMAPで何が評価されるのか？（評価の枠組み）
ここが最も誤解されやすいポイントです。ISMAPは「技術対策」だけでなく、体制・運用・文書化まで含めて評価します。
① ガバナンス
経営層がセキュリティ責任を持つ体制
② マネジメント
組織として継続管理できる仕組み
③ 管理策
技術・運用・人的・物理的対策の実装
補足：評価基準はISO/IEC 27001やNIST SP800-53等の国際標準を参照して設計されています。
ISMAP対応で企業が確認すべき実務チェックポイント
実務でそのまま使えるチェックリストからご確認ください
✅ ISMAP対応チェックリスト（最初に見るべき4点）
- 言明対象範囲に、利用したい機能が含まれている
- 管理策の「非該当」が、自社要件に影響しない
- データ保存場所（リージョン）が要件に合致している
- 登録更新期限（有効期限）を把握している
言明対象範囲を確認する
ISMAP登録は、クラウドサービス全体ではなく特定の範囲に対して行われることがあります。
「登録されているから安心」と判断する前に、使いたい機能が言明対象範囲に含まれているかを必ず確認してください。提案評価や仕様書作成では、ベンダーに「利用予定機能が範囲内であること」を書面で確認するのが安全です。
管理策の実施状況（非該当の扱い）
管理策はすべて「実施」である必要はありません。事業者はリスク評価に基づき「実施／一部実施／非該当」を選択できます。
重要なのは、非該当が自社のセキュリティポリシーに抵触しないかです。もし要件に影響する場合は代替策・追加策の検討や、サービス選定の見直しが必要です。
データ保存場所（リージョン）を確認する
クラウドによってデータ保存場所が限定される場合があります。海外リージョンが含まれる場合は法務・ガバナンスの観点も含めて判断が必要です。ISMAP登録内容におけるリージョン条件も、必ず合わせて確認してください。
登録更新期限（有効期限）を確認する
ISMAP登録には有効期限があります。継続利用・長期契約では特に重要な確認項目です。契約期間中に更新期限が来る場合は、更新されなかった場合の取り扱いを契約書に盛り込むことを推奨します。
ISMAPとAWS・CDN・WAFの関係
ISMAPとAWS（責任分界点の考え方）
AWSがISMAP登録されている範囲でも、利用者側の責任は残ります。特にアクセス権限・ログ・設定ミス対策などは、どう運用し、どう説明できるかが重要です。
ISMAPとCDN（通信・可用性・ログ）
CDNは可用性や通信保護、ログ保全の観点で重要になります。TLSやアクセス制御など、要件と整合する設定・運用が必要です。
ISMAP要件とWAF・IAM（統制の中核）
WAFはWeb攻撃対策、IAMは権限統制の中心です。ISMAP文脈では「導入しているか」より、運用と証跡（ログ・監査）が問われます。
ISMAP-LIUとは？通常ISMAPとの違い
ISMAP-LIU（Low-Impact Use）は、セキュリティリスクが小さい用途向けの軽量版制度です。
通常ISMAPとの違いは主に「扱う情報の機密性レベル」です。情報分類に応じて適切に選びます。
ISMAPでよくある誤解
・登録＝全機能が対象（→ 範囲限定の場合あり）
・自治体案件以外は無関係（→ 説明責任が必要な場面で重要）
まとめ｜ISMAPを理解し、説明責任を果たせるクラウド調達へ
- ISMAPは政府情報システム向けクラウドの評価・登録制度
- 判断の鍵は、言明対象範囲・管理策・リージョン・更新期限
- 「登録されているか」だけでなく、説明できる運用まで設計する
自治体クラウド調達で失敗しないために
ISMAPの確認ポイントを、調達実務で使えるチェックシート形式でまとめました。
言明対象範囲・管理策・リージョン・更新期限まで網羅しています。
ISMAPに関するよくあるご質問（FAQ）
Q1. ISMAPはすべての企業に必要ですか？
A. いいえ。主に政府・自治体の調達で原則対象です。ただし公共・準公共案件や高い説明責任が求められる場合は重要度が上がります。
Q2. ISMAP登録されていないクラウドは使えませんか？
A. 政府等では原則リストからの調達ですが、用途や制度条件により例外や別制度が適用される場合もあります。
Q3. ISMAP対応にはどれくらい時間がかかりますか？
A. 事業者の体制・準備状況により異なります。第三者監査と審査を経るため、十分な準備期間が必要です。
Q4. ISMAPとガバメントクラウドの違いは？
A. ISMAPは評価・登録制度、ガバメントクラウドは政府共通基盤の取り組みです。目的が異なりますが、実務上は連動します。
Q5. 中小企業でも対応できますか？
A. 可能です。ISMAP-LIUの活用や、外部支援の活用が現実的です。
【参考情報】（最新は公式で確認）
※本記事は2025年1月時点の公開情報に基づいています。最新情報は必ず公式サイトでご確認ください。
