ISMAPとは？いすまっぷ
ISMAPとは、政府が調達するクラウドサービスについて、監査を経てセキュリティ要求への適合を確認したものを登録簿に載せ、各府省庁がその中から選べるようにする制度。管理基準はISO/IEC 27001・27017やNISTの文書を踏まえて作られている。業務影響の小さいSaaS向けに要求を絞った枠組みがISMAP-LIU。
最終更新：2026-10-06
この語が出る過去問を解く →背景
府省庁がそれぞれクラウドの安全性を審査すると、同じサービスを何度も評価する無駄と、審査水準のばらつきが生じる。政府情報システムでクラウドを第一候補とする方針が示され利用が前提になったことで、審査を一度にまとめ、共通の物差しを置く必要が生じた。支援士では、委託先管理・サプライチェーンの安全性確保の具体例として問われる。
具体例
登録簿は公開されており、Microsoft AzureやGoogle Workspace、サイボウズのkintoneといったサービスが掲載されている。制度の運営は内閣官房・デジタル庁・総務省・経済産業省が担い、実際の監査は登録された監査機関が行う、という役割分担も公表されている。
試験での引っ掛け
登録されている＝自組織の要求も満たしている、と読むのが最大の誤り。制度が保証するのは政府の管理基準への適合であって、ログの保存期間や国内リージョンの要否は個別に確認する必要がある。義務がかかるのは政府調達側で、民間企業に利用義務はない。組織のマネジメント体制を認証するISMS（ISO/IEC 27001）とは、評価する対象そのものが違う。
関連用語
出た過去問
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8（IPA）
政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。
正解：日本セキュリティ監査協会“クラウド情報セキュリティ管理基準(平成28年度版)”
要点：ISMAP管理基準の土台はJASAのクラウド情報セキュリティ管理基準
ISMAP(政府情報システムのためのセキュリティ評価制度)の管理基準は、日本セキュリティ監査協会(JASA)の「クラウド情報セキュリティ管理基準」を基礎とし、これにISO/IEC 27001・27002・27017やNIST SP 800-53などの管理策を取り込んで構成されている。したがってエが正しい。ISMAPはクラウドサービスをあらかじめ評価・登録し、政府調達の際に登録簿から選定する仕組みである。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7（IPA）
ISMAP-LIUクラウドサービス登録規則(令和6年3月1日最終改定)でのISMAP-LIUに関する記述として、適切なものはどれか。
正解：リスクの小さな業務・情報の処理に用いるSaaSサービスを対象とする。
要点：ISMAP-LIUは低リスク業務向けSaaSを対象とした簡素な枠組み
ISMAPは政府調達で用いるクラウドサービスの安全性評価制度だが、ISMAP-LIUはそのうちリスクの小さい業務・情報を扱うSaaSを対象とした簡素な枠組みである。求められる管理策を絞ることで、機密性の要求が高くない用途については登録の負担を軽くし、選択肢を広げる狙いがある。対象がSaaSに限られ、扱う情報の重要度で線引きされる点が要点である。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
“政府情報システムのためのセキュリティ評価制度（ISMAP）”の説明はどれか。
正解：政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度
要点：ISMAPは政府調達向けにクラウドを事前評価・登録する制度
ISMAPは、政府がクラウドサービスを調達する際のセキュリティ水準を確保するための制度です。政府が求める管理基準を満たすことを監査で確認したクラウドサービスをあらかじめISMAPクラウドサービスリストに登録し、各府省庁は原則としてそのリストの中から調達します。個々の調達ごとに評価をやり直す負担を減らしつつ、一定の水準を担保する仕組みです。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (7) 情報セキュリティ組織・機関に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。