ISMAP（イスマップ）とは？クラウド選定の基準とISMSとの違い

ISMAPとは

ISMAPの定義と役割

ISMAPとは、高いセキュリティ基準を満たしたクラウドを評価し、リスト化する制度です。各省庁がクラウドサービスを採用する際の統一基準として創設され、複数の機関が個別に評価を行う手間を省きながら、一定水準以上のセキュリティを担保することで国全体のセキュリティ水準を向上させる役割を担っています。

一般企業の「クラウド選定基準」としても有効

本来は政府機関にクラウドを提供する事業者向けの制度ですが、一般企業にも非常に有用です。政府のリストに登録されたサービスを選定基準とすることで、自社でゼロから検証する手間を省き、コスト削減を実現しながら安全に導入できます。

政府の「クラウド第一主義」を推進する基盤

政府はシステム構築において、クラウド利用を第一とする「クラウド・バイ・デフォルト原則」を掲げています。あらかじめ安全性が確認されたISMAPのリストがあることで、このデジタル化方針を力強く推進することが可能になります。

注意：「安全性保証」ではなく「基準適合」を示す

注意すべき点は、ISMAPがサービスの安全性を永久に保証するものではないことです。あくまで評価時点で基準を満たしていることを示すため、導入後も企業側で適切なアクセス管理やログ監視などの運用を継続する必要があります。

なぜ今、ISMAPが注目されているのか？

各組織による個別評価（セキュリティチェック）の限界

これまで組織は新しいクラウドを導入するたびに、独自の基準で個別に評価を行っていました。しかし、利用サービスが急増する中、同じような評価作業を繰り返すことによる負担が増大し、現場の対応可能な範囲を超えつつある状況が顕在化しています。そのため、共通の評価枠組みであるISMAPが強く求められています。

ガイドラインの乱立解消と安全性の底上げ

市場にはさまざまなセキュリティガイドラインが乱立し、どの基準を信用すべきか迷う企業が増加していましたが、ISMAPの登場によって以下のメリットが生まれました。

• ガイドラインの乱立解消： 迷うことのない「国が定めた統一基準」の提供
• 安全性の底上げ： 登録リストを参照するだけで担保できる、一定水準以上のセキュリティ要件

ISMSなどの既存枠組みと併せてこの統一基準を活用することで、個別判断のばらつきを抑えながら日本全体のセキュリティ水準の向上が期待できます。

クラウド普及に伴う「ベンダー評価」の重要性が増大

DX推進によりSaaSやクラウドの活用が前提となり、外部ベンダーの安全な運用体制を評価する重要性が急上昇しています。厳しい審査を通過したISMAPリストを活用すれば、信頼できるパートナーを容易に判断できるようになります。

民間企業のベンダー評価が効率化

SaaSを新たに導入する際、ベンダーから提出される膨大なチェックシートを確認する作業は多くの企業にとって負担となっていました。ISMAPのリストを活用すれば、厳格な要件をクリアしていることが一目でわかり、大幅な業務効率化が実現します。

監査・内部統制（J-SOXなど）対応の証跡として活用

ISMAPは、企業の監査やJ-SOXなどの内部統制に対応する証跡としても活用できます。ISMS認証と同様に、政府基準を満たすクラウドの利用を示すことで、外部監査機関に対しても安全性の根拠を論理的かつ明確に説明可能です。

【比較表】ISMAPとISMS（ISO 27001）の違い

情報セキュリティ分野で頻出するISMSとISMAPには、どのような違いがあるのでしょうか。両者の異なる役割について比較表を用いて、それぞれの特徴を明確に整理します。

評価対象の違い

ISMAPとISMSでは、評価する対象のスコープが根本的に異なります。

• ISMAP： ベンダーが提供する特定のシステムやサービスが安全であるかの評価
• ISMS： 組織が情報セキュリティを適切に運用できているかの評価

安全なツールを選びたい場合は前者のISMAPを、組織の信頼性を外部に示すなら後者のISMSを確認します。

評価基準の違い

審査をクリアするために求められる項目の細かさやアプローチにも、両者には大きな違いが存在します。

• ISMAP： パスワード強度など政府が求める具体的な技術・運用基準（米国の「FedRAMP」がモデル）
• ISMS： 組織が自らリスク評価し、PDCAを継続的に回すための運用基準

前者が1,000項目以上の具体的な技術要件を求めるのに対し、後者のISMSは継続的な改善プロセスを重視します。

証明の性質

それぞれの基準を満たしたことを外部に示す証明の仕組みも、以下のように異なります。

• ISMAP： 審査を経て国の公式リストに掲載される「登録制度」
• ISMS： 外部の専門機関の審査を通過して取得する「認証制度」

ISMAPのリストは誰もが閲覧して安全なクラウドを確認できる一方、ISMSは取得企業が自社の管理体制を社外へアピールするために活用できます。

ISMAPの審査基準と、派生制度「ISMAP-LI」とは？

政府基準を満たすためには、非常に細かく厳しいセキュリティ管理基準をクリアする必要があります。ここでは、具体的な審査基準の概要と、審査の負担を軽減するために新設された派生制度の役割について詳しく解説します。

1,000項目を超える厳格なセキュリティ管理基準

ISMAPの審査を通過するには、ガバナンスや技術的対策などを含む1,000項目を超える厳格な管理基準を満たさなければなりません。すべての要件をクリアして登録されることは、一部の対策が講じられているというレベルではなく、運用・技術の両面で高水準のセキュリティ対策が整備されていることを第三者的に示す指標となります。これにより、クラウドが最高水準の防御力を持つ証明と言えます。

ISMAP-LI：審査負担を軽減する新しい枠組み

基準が非常に厳格なため、リスクの低い業務に利用されるSaaS事業者には審査負担が大きすぎる課題がありました。そこで新設された「ISMAP-LI」は、すべてのサービスに同一レベルの厳格審査を適用するのではなく、リスクに応じた水準で評価することで現実的な制度運用を可能にするための仕組みです。審査負担を軽減しつつ一定のセキュリティ水準を担保する新しい枠組みです。

目的に応じた「通常版」と「LI版」の使い分け

企業がISMAPを活用する際は、システムの利用目的に応じて2つの登録リストを使い分けることが重要です。

• 通常版（IaaSなど）： 機密情報や重要なデータを扱う基盤システム向け
• LI版（SaaSなど）： リスクが比較的低い、一般的な業務アプリケーション向け

対象システムの重要度に合わせてこれらのリストを参照することで、過剰な審査の手間を省き、セキュリティと利便性のバランスが取れた柔軟な選定が可能になります。

ISMAPをセキュリティ対策に活かす3つのステップ

政府が提供するリストを、民間企業が具体的にどう活用すべきか、3つの実践的なステップを紹介します。

①ホワイトリスト（事前承認リスト）としての活用

民間企業が自社のセキュリティ運用に活かす第一のステップは、新規ツール導入時の「ホワイトリスト」としての活用です。リストに登録されていれば、個別の評価を省略できるため、ISMSの運用要件を満たしつつ安全かつ迅速に導入できます。

②定期確認によるシャドーITの是正

次のステップは、利用中のSaaSがリストに登録されているか定期確認することです。情報システム部門が把握していないクラウド利用を発見した場合、ISMAPに登録された代替ツールへ移行し、シャドーITの脅威を速やかに是正します。

③CSPM/SSPM等による設定ミスの防止

最後のステップは、設定ミスに対する運用面の対策です。ISMAPはクラウド自体の安全性を担保しますが、利用側の設定ミスまでは防げません。情報漏えいを防ぐため、CSPMやSSPMなどの姿勢管理ツールで継続的に監視し、迅速なインシデント対応を実現する仕組みが必要です。

関連記事：CSPMとSSPMの違いとは？ツールの見極め方と「シャドーIT」対策

まとめ：ISMAPを基準にした強固なセキュリティ基盤の構築

ISMAPは、国が定めた統一基準として、企業が信頼できるクラウドサービスを見極めるための強力な選定基準となります。しかし、ISMAP登録サービスを導入しただけではセキュリティ対策が完了するわけではありません。

どれほど堅牢なクラウドを選んでも、ユーザー側の設定一つで情報漏えいのリスクは容易に発生してしまいます。クラウド時代のセキュリティ対策を成功させるには、選定と運用を切り離して考えることが重要です。

• 選定の基準（導入前）： ISMAPを活用して、あらかじめ安全性が担保されたクラウドを選定
• 運用の仕組み（導入後）： CSPM/SSPMなどのツールを導入し、設定ミスや権限の不備を常時監視

これからは、この「安全なクラウドを選ぶ」と「正しく使う」の両輪が揃うことで、初めて強固なセキュリティ基盤が完成します。制度のメリットを賢く活用しながら、利便性と安全性を両立したクラウド運用を目指していきましょう。