ISMAPとは？いすまっぷ
ISMAPとは、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録し、政府機関の調達を円滑にする制度。登録されたサービスはISMAPクラウドサービスリストとして公開され、各府省は原則としてこのリストから調達する。ISMAP管理基準はガバナンス基準・マネジメント基準・管理策基準の3つで構成される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
府省ごとにクラウドの安全性を個別に審査していては、審査する側も受ける側も同じ作業を何度も繰り返すことになり、調達が滞る。あらかじめ第三者監査を経た登録制にすれば、審査は一度で済み、調達側は登録の有無で足切りできる。政府情報システムでクラウド利用を第一候補とする方針（クラウド・バイ・デフォルト）を実際に回すための土台であり、官公庁向け事業を構想する立場では登録の有無が参入可否を分ける前提条件になる。
具体例
デジタル庁などが運営し、Microsoft AzureやGoogle Workspace、サイボウズのkintoneといったサービスが登録されている。業務用SaaSの負担を下げるため、リスクの小さい利用を対象としたISMAP-LIUの枠も設けられている。
試験での引っ掛け
管理基準の3構成（ガバナンス・マネジメント・管理策）がそのまま問われる。ISMAPは政府調達のための登録制度であって民間取引に強制力を持つ認証ではなく、また監査結果に基づく登録であってセキュリティ事故が起きないことを保証する制度でもない。ISO/IEC 27017やSOC2報告書とは目的が異なる。
関連用語
出た過去問
出典：令和4年度 春期 ITストラテジスト試験 午前Ⅱ 問24（IPA）
“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。
正解：ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。
要点：ISMAP管理基準はガバナンス・マネジメント・管理策の3構成
ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の3つで構成される。このうちガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスを、評価・指示・モニタ・コミュニケーション・保証という各プロセスで実行することを求めている。
出典：令和6年度 春期 ITストラテジスト試験 午前Ⅱ 問25（IPA）
“政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。
正解：ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。
要点：ISMAP管理基準はガバナンス・マネジメント・管理策の三構成
ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。