ISMAPとは？

ISMAPの意味

政府が調達するクラウドサービスについて、あらかじめセキュリティ要求を満たすことを評価・登録し、調達時にはその登録簿から選定できるようにする制度。管理基準はJASAのクラウド情報セキュリティ管理基準等を基礎としている。リスクの小さい業務向けSaaSを対象に簡素化した枠組みがISMAP-LIU。

ISMAPの具体例

人事システムをSaaSへ移す調達で、政府案件を扱う部門の要件としてISMAP登録簿から候補を3社に絞った。登録済みでも自社要求（監査ログ90日保持・国内リージョン）は個別確認が必要と判断。社内アンケート用途はISMAP-LIU登録品で可とした。

ISMAPは試験でどう引っ掛けられる？

「ISMAPに登録されていれば自組織の要求も満たしている」は誤り。制度が保証するのは政府が定めた基準への適合であって、保存期間やリージョンといった個別要求は別途確認が要る。また対象は政府調達で、民間企業に利用義務はない。ISMSの認証（27001）とも別制度。

ISMAPと関連する用語

• 責任共有モデル
• JIS Q 27017

ISMAPが出た過去問

• 政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP管理基準”が基礎としているものはどれか。

  正解：日本セキュリティ監査協会“クラウド情報セキュリティ管理基準(平成28年度版)”

  要点：ISMAP管理基準の土台はJASAのクラウド情報セキュリティ管理基準

  ISMAP(政府情報システムのためのセキュリティ評価制度)の管理基準は、日本セキュリティ監査協会(JASA)の「クラウド情報セキュリティ管理基準」を基礎とし、これにISO/IEC 27001・27002・27017やNIST SP 800-53などの管理策を取り込んで構成されている。したがってエが正しい。ISMAPはクラウドサービスをあらかじめ評価・登録し、政府調達の際に登録簿から選定する仕組みである。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• ISMAP-LIUクラウドサービス登録規則(令和6年3月1日最終改定)でのISMAP-LIUに関する記述として、適切なものはどれか。

  正解：リスクの小さな業務・情報の処理に用いるSaaSサービスを対象とする。

  要点：ISMAP-LIUは低リスク業務向けSaaSを対象とした簡素な枠組み

  ISMAPは政府調達で用いるクラウドサービスの安全性評価制度だが、ISMAP-LIUはそのうちリスクの小さい業務・情報を扱うSaaSを対象とした簡素な枠組みである。求められる管理策を絞ることで、機密性の要求が高くない用途については登録の負担を軽くし、選択肢を広げる狙いがある。対象がSaaSに限られ、扱う情報の重要度で線引きされる点が要点である。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問7（IPA）

• “政府情報システムのためのセキュリティ評価制度（ISMAP）”の説明はどれか。

  正解：政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度

  要点：ISMAPは政府調達向けにクラウドを事前評価・登録する制度

  ISMAPは、政府がクラウドサービスを調達する際のセキュリティ水準を確保するための制度です。政府が求める管理基準を満たすことを監査で確認したクラウドサービスをあらかじめISMAPクラウドサービスリストに登録し、各府省庁は原則としてそのリストの中から調達します。個々の調達ごとに評価をやり直す負担を減らしつつ、一定の水準を担保する仕組みです。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）