ISMAP対応クラウドとは、日本政府のセキュリティ評価制度「ISMAP（Information system Security Management and Assessment Program）」に登録されたクラウドサービスのことです。
ISMAPは、政府や自治体がクラウドサービスを利用する際のセキュリティ基準を評価する制度で、登録されたクラウドサービスは一定のセキュリティ要件を満たしていると判断されます。
政府情報システムでは、原則としてISMAPクラウドサービスリストに掲載されたサービスから調達することが求められています。
本記事では、ISMAP対応クラウドの概要と、主な登録クラウドサービス、民間企業がクラウドを選定する際の判断ポイントを解説します。ISMAP制度の仕組みについては、ISMAPとは？の解説記事もあわせてご確認ください。
ISMAP対応クラウドとは
ISMAP対応クラウドとは、政府が定めたセキュリティ基準に基づき、第三者監査を受けたうえで登録されたクラウドサービスです。
クラウドサービス事業者は、セキュリティ管理策や運用体制を文書化し、ISMAP認定の監査機関による監査を受けます。その結果をもとに、ISMAP運営委員会が審査を行い、基準を満たしたサービスのみがISMAPクラウドサービスリストに登録されます。
なお、ISMAP登録はクラウドサービス全体を一律に評価するものではありません。制度の基本構造については、ISMAPの基本解説を参照すると理解しやすくなります。
主なISMAP登録クラウドサービス一覧
ISMAPクラウドサービスリストには複数のクラウドサービスが登録されています。代表的なサービスの例は次の通りです。
- AWS（Amazon Web Services）
- Microsoft Azure
- Google Cloud
- さくらのクラウド
これらのクラウドサービスは、政府情報システムや自治体システムで利用されることを想定し、ISMAPのセキュリティ基準に基づいて評価されています。
ISMAP対応クラウドを選ぶ際の判断ポイント
ISMAP登録クラウドであっても、すべての機能や構成が評価対象になるわけではありません。クラウドを選定する際には、次のポイントを確認することが重要です。
- 言明対象範囲（どの機能・構成が評価対象か）
- データ保存リージョン
- セキュリティ管理策の実施状況
特にISMAPでは、クラウドサービス全体ではなく「言明対象範囲」が評価対象となるため、利用予定の機能が対象範囲に含まれているかを確認することが重要です。
言明対象範囲の確認方法については、ISMAPの言明対象範囲の記事で詳しく解説しています。
また、システムの影響度が比較的低い場合には、通常のISMAPではなくISMAP-LIUが選択肢になる場合もあります。制度の違いについては、ISMAPとISMAP-LIUの比較記事も参考になります。
民間企業でもISMAP対応クラウドを意識すべき理由
ISMAPは政府情報システム向けの制度ですが、民間企業にとっても無関係ではありません。
特に次のようなケースでは、ISMAP基準を意識したクラウド構成が求められることがあります。
- 自治体・公共案件に関わるシステム
- 公共データを扱うサービス
- 政府・自治体案件への参入を検討している場合
こうした場合、ISMAP登録クラウドを利用することで、セキュリティ要件への適合を説明しやすくなるメリットがあります。
国内クラウドという選択肢
ISMAP対応クラウドを検討する際には、データ主権や国内法への対応も重要なポイントになります。
例えば、国内クラウド基盤として提供されているさくらのクラウドはISMAP登録サービスの一つであり、政府・自治体システムにも採用されています。
民間企業でも、公共案件やガバナンス要件が求められるシステムでは、国内完結型クラウドを選択するケースも増えています。
まとめ
ISMAP対応クラウドとは、日本政府のセキュリティ評価制度に基づき登録されたクラウドサービスです。
政府情報システムではISMAP登録クラウドの利用が原則となっており、民間企業でも公共案件に関わる場合には重要な判断基準となります。
クラウド選定では、ISMAP登録の有無だけでなく、言明対象範囲やデータ保存場所なども含めて確認することが重要です。
ISMAP対応クラウドを選ぶ際は、登録の有無だけでなく言明対象範囲やデータ保存場所などを確認することが重要です。
よくある質問（FAQ）
ISMAP対応クラウドについて、よくある質問をまとめました。
ISMAP対応クラウドとは何ですか？
ISMAP対応クラウドとは、日本政府のセキュリティ評価制度「ISMAP」に登録されたクラウドサービスを指します。
ISMAP登録クラウドにはどのようなサービスがありますか？
代表的なISMAP登録クラウドには、AWS、Microsoft Azure、Google Cloud、さくらのクラウドなどがあります。
民間企業でもISMAP対応クラウドを使う必要がありますか？
必須ではありませんが、自治体案件や公共データを扱うシステムではISMAP基準を前提としたクラウド構成が求められることがあります。
ISMAP登録クラウドを選ぶ際の注意点は何ですか？
ISMAP登録の有無だけでなく、言明対象範囲、データ保存リージョン、セキュリティ管理策の実施状況などを確認することが重要です。
|
ISMAP対応クラウドの構築を検討されている方におすすめのサービス |
ISMAP対応クラウドの選定でお悩みですか？
公共案件や高いガバナンス要件が求められるシステムでは、ISMAP登録の有無だけでなく、言明対象範囲や構成条件まで含めた確認が重要です。
フューチャースピリッツでは、ISMAP要件を踏まえたクラウド構成設計・選定支援を行っています。
