ISMAP登録と、官公庁向けクラウドの調達条件を確認する

ISMAPは、政府が求めるセキュリティ要求に照らしてクラウドサービスを評価・登録する制度です。公式の制度概要では、ISMAP等クラウドサービスリストからの調達を原則としています。提案されたサービス名、登録状況、対象機能、条件をリストと照合してください。基盤となるクラウドが登録されていても、その上のアプリケーションまで登録されたことにはなりません。

ISMAP-LIUは、リスクの小さな業務・情報の処理に用いるSaaSを対象とする仕組みです。すべての業務で使える簡略版ではありません。対象業務とサービスの条件を、最新の公式資料と調達側の判断で確認します。「必ず短期間で登録できる」といった説明を、そのまま導入計画の前提にしないでください。

通常のISMAP登録では、登録された監査機関による監査が申請の前提です。サービスの範囲、管理策の担当、運用の記録、申請文書を整理します。公式手続きでは、必要に応じて本監査前の早い段階で事前相談を使うことが勧められています。海外の認証や既存文書で何を説明でき、何が不足するかは、監査機関に確認します。

調達仕様書には、機能、情報の取り扱い、支援体制、価格、納期など、別の条件もあります。各条件に対し、提案構成、証拠となる資料、担当者を対応付けます。導入後の変更や登録上の対応も契約で整理します。国内の販売会社が間に入ることだけで、登録や調達条件が満たされるわけではありません。

基盤の登録だけで、アプリケーションの登録を示すことはできません。対象サービスの名称と登録範囲を、調達する機能と照合してください。

リスクの小さな業務・情報の処理に用いるSaaSを対象とする仕組みです。対象業務とサービスが条件を満たすか、最新の公式資料で確認します。