ISMAP認証の仕組み：官公庁クラウド調達で確認すべきセキュリティ基準

ISMAPは、公共セクターのクラウド調達においてセキュリティ評価基準を標準化するため、2020年に日本政府が開始した認証制度です。米国のFedRAMPを大まかにモデルとしつつ、データレジデンシー、運用透明性、日本語でのインシデント対応といった日本固有の要件が加えられております。省庁・機関が調達するあらゆるクラウドサービス（SaaS、IaaS、PaaSを問わず）に適用され、ISMAP登録リストに掲載されていないサービスは標準の調達プロセスに乗せることが困難になります。つまり、お客様がクラウドサービスを評価される際、ISMAP登録の有無は調達候補の絞り込みにおいて最初の確認項目の一つとなります。

ISMAP認証を取得したサービスは、セキュリティ、運用、データ処理、インシデント対応にわたる詳細なコントロールフレームワークに対し、第三者機関による評価を受けております。認証取得には通常9〜18ヶ月を要し、すべての文書・コミュニケーションが日本語で行われることが求められます。お客様にとってのメリットは、個別に詳細なセキュリティ評価を実施しなくとも、ISMAP登録済みサービスには一定のセキュリティ水準が確保されていると判断できる点です。特に複数のクラウドサービスを比較検討される際に、評価工数を大幅に削減できます。

2022年には、低感度データを扱うサービス向けにISMAP-LIU（Low Impact Use）が導入されました。ISMAP-LIUの認証プロセスは大幅に短く（通常3〜6ヶ月）、コントロールセットも軽量化されております。お客様にとっては、ISMAP-LIU登録済みのサービスであっても、政府・公共セクター向けの一般的な業務利用には十分なセキュリティ基準が確保されていると判断いただけます。高感度データを扱う場合には完全なISMAP認証が必要となりますが、多くのユースケースではISMAP-LIU登録で十分です。

ISMAP登録の有無を確認されるだけでなく、3つの追加確認をお勧めいたします。第一に、日本語でのインシデント対応体制が整備されているかどうか。ISMAPは認証時点でのコンプライアンスを担保しますが、実運用時のサポート品質は別の観点です。第二に、データレジデンシー要件への対応状況。お客様の規制要件に応じて、データの保管場所と処理場所を個別にご確認ください。第三に、継続的なコンプライアンス維持の実績。ISMAPは一度きりの認証ではなく、重大な変更時には再評価が求められます。認証取得後も継続的に更新を維持しているサービスを選定されることが重要です。