システム監査

Vol.34, No.1
Mar. 2021

第 34 回研究大会講演録

基調講演

クラウド・バイ・デフォルトと情報政策の動向
Cloud by default and information policy trends

堂上 和哉

Kazuya Dojo

経済産業省 商務情報政策局情報経済課課長補佐

第 34 回研究大会「統一論題：クラウド環境の変化とシステム監査－クラウドファーストからデフォルトへ－」は、新型コロナウイルス感染症（以下、「コロナ」という。）の感染リスクを避けるために、オンライン形式で実施した。基調講演として、経済産業省情報経済課課長補佐の堂上和哉氏に、「クラウド・バイ・デフォルトと情報政策の動向」と題してご講演をいただいた。
政府情報システムの調達においてクラウドサービスの活用を第一に検討する方針である「クラウド・バイ・デフォルト」、その際のクラウドサービスの情報セキュリティ面から見た安全性を評価する「ISMAP 制度」について、ご講演いただいた。要旨を以下に報告する。

１．コロナによる変化と対応

・そうしたコロナで顕在化した課題への対応のために、喫緊に取り組むべき事項として、次のような行政の縦割りを打破するデジタル化施策の実現が求められる。
－マイナンバーカードのさらなる活用－給付金などの申請手続きおよび給付の迅速化－臨時措置として取り入れた仕組みの定着、拡充－国と地 方の情 報システムの共 通 化、 標 準 化。
そのためのクラウド活用
・多 様な人材を集めたデジタル社会をリードする強い組織を立ち上げるべく、デジタル庁の創設が進められている。
こうしたコロナの影響によるデジタル環境の変化が、クラウドサービスの活用を加速させている。

コロナが社会生活・社会活動に及ぼした影響のうち、主に IT に関わるものとして、次のようなことが挙げられる。
・人の接触データ（人流）が大幅に減り（8 割減少）、物流、情報流が増加した。
・テレワーク、オンライン会議、オンライン教育、オンラインエンターテインメントなど、各種社会活動のデジタル化、オンライン化が加速した。
・職 場から自宅へ、都心から地方へなど、働く場所の自由拡大が進んだ。今後、通信や電力などの社会インフラ、病院・学校などの社会施設の整備にも影響を与えうる。
・さまざまな分 野でデジタル化の課 題が浮き彫りになった。たとえば、行政および経済活動におけるオンライン手続きの不具合、国と地方のシステムの不整合、押印手続きなどのテレワークに対する阻害要因の顕在化、オンライン教育に必要な基盤・ノウハウの不足、コロナ陽性者の集計・管理におけるデジタル化の遅れ、などである。

２．ISMAP 制度

2-1．ISMAP 制度の背景と概要
・ISMAP 制度が生まれた背景には、「クラウド・バイ・デフォルト原則」 がある。
－ 2 018 年 6 月、「政府情報システムにおけるクラ8Vol.34, No.1
Mar. 2021【基調講演】クラウド・バイ・デフォルトと情報政策の動向
仮2-2．CSP に対する要求事項
・C SP のセキュリティの充実度を評価する ISMAP
管理基準は 3 階層で構成されている。
1）ガ バナンス基準：CSP の経営陣が管理者に対して、セキュリティに関する意思決定や指示等を継続的に実施していることを確認する。
2）マネジメント基準：経営陣から指示等を受けた管理者が、的確にセキュリティマネジメントを実施していることを確認する。
3）管 理策基準：業務管理者がセキュリティ対策を実施していることを確認する。
・I SMAP 管理基準は、情報セキュリティに関する規格（JIS Q 27001/27002）やクラウドサービスの情報セキュリティに関する規格（JIS Q 27017）を基礎としている。
・N ISC（内閣サイバーセキュリティセンター）の「政府機関の情報セキュリティ対策のための統一基準」（ 以 下、「 統 一 基 準 」という。）の内 容を、趣旨を残したまま CSP 向けに書き換え、JIS に含まれない内容で CSP が実施しなければ統一基準を満たすことがむずかしい内容を追加している。
・S P800-53（アメリカ連邦政府情報システムおよび連 邦 組 織のためのセキュリティ管 理 策とプライバシー管理策）の中から、インシデントレスポンス関連を中心に、JIS および統一基準に含まれない観点を追加している。

ウドサービスの利用に係る基本方針」 が発表され、その中で「クラウド・バイ・デフォルト原則」、政府情報システムの調達に際してはクラウドサービスの利用を第一候補として検討すること、が明示された。
－官 民双方が安全・安心にクラウドサービスを利用していくためのクラウドサービスの安全性評価について、総務省・経済産業省の中に「クラウドサービスの安 全 性 評 価に関する検 討 会 」を設置し、検討を行った。
・クラウドサービス導入における課題としては、官民ともにセキュリティに関する不安が最多で挙げられている。その不安を払拭しクラウドサービスの導入を円滑に進めるために、セキュリティに対する統一的評価の実施が有効であり、政府の情報システムを念頭に置いた制度の構築が急務という考えから、ISMAP 制度構想が生まれた。
・海 外における情報システムの政府調達の仕組みを調査したところ、多くがクラウドファースト（クラウドサービスを優先的に調達を図る）を掲げ、それを支えるためのクラウドサービスの政府調達に係る認証制度を導入していることがわかった。
・そうした調査結果、検討を踏まえて生まれたのが、ISMAP 制度（政府情報システムのためのセキュリティ評価制度）である。ISMAP 制度の基本的枠組みは、国際標準等を踏まえて策定した基準を設け、クラウドサービスにおいて各基準が適切に実施されているかを審査し、適合したサービスを登 録 簿に登 録する制 度である。 各 政 府 機 関は、登録簿に登録されたクラウドサービスの中から調達を行うことを原則とする。
・I SMAP の仕 組みは、CSP（クラウドサービス事業者）向けの規則・基準と、CSP に対する監査を行う監査機関向けの規則・基準に分けられる。
・さらに今後は、情報通信、金融、鉄道など重要イン
フラ 14 業種に属する企業において、ISMAP 制度の評価結果の活用を推奨していくことも検討している。

図 2 ISMAP 管理基準の構成

2-3．監査機関に対する要求事項
・I SMAP 管理基準に基づいて CSP に対する監査を行う ISMAP 監 査 機 関に対 する技 術、 能 力、および信頼性の観点から要求事項を定め、要求事項を満たす体制を構築することを「ISMAP 監査機関登録規則」で求めている。
・I SMAP 運営委員会は ISMAP 監査機関が要求事項を満たしているかの審査を実施し、妥当と認めた監査機関を ISMAP 監査機関リストに登録し、2 年ごとに登録更新を行う。

図 1 ISMAP の全体像
9

Vol.34, No.1
Mar. 2021

システム監査・監 査機関に対する要求事項として、監査機関に所属する業務執行責任者および業務実施責任者に対する資格要件等を定め、要件を満たすことを求めている。
・管 理策基準の管理策に対する標準的な監査手続
きを策 定し、ISMAP 監 査 機 関はその標 準 監 査手続きに依拠して監査を実施することとしている。
・ただし、コロナ禍で監査人による往査が困難な状況も想定されることから、リモート監査等の代替手続きも提示している。

３．今後のスケジュール

登録申請受付、登録審査を進め、2020 年度中に登録簿を公開し、全政府機関において ISMAP制度の利用を可能にする予定である。

コロナの影響もあって、クラウドサービス活用が大きな注目を集める中、いかにクラウドサービスの安全性、信頼性を確保していくかが重要であり、その一つの対策である ISMAP 制度についてわかりやすく解説していただき、非常に有意義なご講演であった。
（小野 修一 記）（2020 年 11 月 6 日開催）

10