最後まで油断できない？ 「政府認定クラウドサービス」登録までの道 審査の注意点：知っておこう、“政府認定クラウド”（1/2 ページ）

[来田健司，ITmedia]

連載：知っておこう、“政府認定クラウド”

　政府のクラウドサービス認定制度「政府情報システムのためのセキュリティ評価制度」（ISMAP）に登録し、国から認められたサービスになるには、どんな準備や対策が必要なのか。実務にも携わるPwCあらた有限責任監査法人の有識者が知見を語る。

　政府のクラウドサービス認定制度「ISMAP」。クラウドサービス事業者が自社サービスを登録するに当たっては、想定以上の工数や期間が必要になります。前編では、登録までに必要な手順のうち「検討段階」のつまずきポイントを紹介しました。

　後編では、残る「評価段階」と「登録申請段階」のつまずきポイントについて、監査機関・監査法人の立場で、クラウド事業者向けの認証制度や保証に関する取り組みに関わってきた筆者が解説します。

著者プロフィール：来田健司

PwCあらた有限責任監査法人ディレクター。国内外の金融機関に対するリスクアドバイザリー業務や事業継続／危機管理にかかわるアドバイザー業務に従事。その他、クラウドサービス・プロバイダーに対する保証業務や関連アドバイザリーも多数提供実績を有する。公認情報システム監査人（CISA）、CISSP。

監査機関による評価をスムーズに　3つの注意点

　実際に評価が始まる「評価段階」では、いかに審査を高品質かつスムーズに進められるかがポイントとなります。こちらも、大きく分けて3つのつまずきポイントがあります。

言明書別添2の作成

　1点目は「言明書別添2」の作成が遅延し、監査機関とのコミュニケーションに支障をきたしてしまうことです。

　言明書別添2とは、ISMAPに登録するクラウドサービス事業者に作成が求められる「言明書」の添付資料です。別添2では、ISMAP制度が要求する事項に対し、事業者の対応を記載することが求められます。監査機関による評価は、言明書に記載した「管理策」を基に行われるため、重要度の高い資料になります。留意した上で、評価開始前の早い段階で作成、提出することが理想的です。

　ただし言明書において、要求されている管理策の全てを記載する必要はありません。一方で、対象とする管理策については、事業者の対応状況が客観的に認識できる粒度で記載する必要があります。対象外とする管理策についても、理由を合理的に記載する必要があります。対象外とする場合の留意点については後述します。

母集団証跡の特定

　2点目は、「母集団証跡」の特定に想定以上に時間を要し、評価スケジュールに影響を及ぼすことです。母集団証跡とは、監査機関が特定の手続において結論を得るために、サンプルを抽出するための証憑のことです。例えば評価対象期間における本番環境の作業一覧やデータセンターの入館申請一覧などが挙げられます。

　ISMAPの評価には、評価対象期間内の一時点において統制（社内の体制）が整備されているかを確認する「整備評価」と、その統制が評価対象期間を通じて有効に運用されているかを確かめる「運用評価」の2つがあります。そして、運用評価の対象となる管理策のうち、母集団証跡の特定とサンプルテストが必要なものが400件程度あります。

　特に初回評価の場合、管理策で要求されている論点は何か、関連する社内の証跡は何か、そもそも証跡は準備可能か、管轄している部署や担当はどこかなど、考慮すべきポイントが多く存在します。

　一連の論点を全て解決するには多くの時間と労力を要します。本評価前のプレ評価を通じて、母集団証跡を整理しておくことで、本評価における不確実性を減らしておいた方が良いでしょう。

統制の共通評価

　3点目は、共通した評価が可能なケースを事前に整理することです。工数の増加を抑制し、効率的な評価を進められます。初年度から最適化することは難しいものの、他のセキュリティ評価制度などで実績があるものについてはチャレンジする価値があるでしょう。

　ISMAPでは、下記5つの条件を全て満たした場合に限り、事業者の責任の下、同一の基準で評価することが可能となります。

1. ガバナンス基準・マネジメント基準の内容が同一である。
2. 規定・手順が同一である。
3. 管理策の内容が同一である。
4. 管理する仕組みが同一である。
5. 管理策を実施する個人に提供されるトレーニングが共通であるなど、管理策を実行する個人の能力が一貫したレベルである。