“政府認定クラウド制度”なぜ重要？ クラウドサービスを巡る国の狙い：知っておこう、“政府認定クラウド”（2/3 ページ）

政府のクラウドサービス認定制度「政府情報システムのためのセキュリティ評価制度」（ISMAP）。実務にも携わるPwCあらた有限責任監査法人の有識者が、その概要を解説する。

[川本大亮, 平井彰，ITmedia]

“SaaS版ISMAP”も登場　認定制度を巡る現在の状況は

　セキュリティを主眼に定められたISMAP。2022年12月時点では、28社38サービスが登録されています。登録されているクラウドサービスには大手CSP（クラウドサービスプロバイダー）はもとより、中小規模のCSPのサービスも含まれており、制度の実行性や認知度も高まってきています。

　しかし、ISMAPのセキュリティ要求事項に対応するには費用やリソースの負担が多く、用途や機能が極めて限定的で比較的重要度が低い情報のみを取り扱う低リスクなSaaSの活用が進まない問題も出てきました。そこで政府機関が利用する全てのクラウドサービスに一律のセキュリティ対策を求めるのではなく、業務や情報セキュリティ上のリスクに応じた柔軟な対応をすべきという意見も出てきています。

　そこで、22年11月1日には「ISMAP for Low-Impact Use」（以下ISMAP-LIU）という新たなISMAPの仕組みが始動しました。ISMAP-LIUでは、外部監査において評価対象となる管理策基準がISMAPに比べ緩和されています。外部監査に必要な費用負担が軽くなっており、これまで登録をためらっていたCSPも新たに申請しやすくなっています。

　ただし、CSPがISMAP-LIU登録を目指すには、ISMAP運用支援機関へ事前申請を行い、事前審査の結果「ISMAP-LIUの該当性あり」という通知を得ることが必要です。その先の内部監査や、外部監査をへた審査も踏まえると、実際の登録までには一定程度の期間が必要になる可能性があります。