海外調査比較表（制度概要）

項目
制度の概要

比較・分析
観点

ISMAP

G-Cloud（英国）C5（ドイツ）IRAP（オーストラリア）

制度概要

政府が求めるセキュリティ要求を満たしているクラウド FedRAMP の根拠となる法律は、2002年に制定された、連邦政府機関に対して情報 中央政府向けのクラウドサービスを対象としたセキュ 国家の機密データを処理できるすべてのIT製品及び 登録セキュリティ評価者プログラム
サービスを予め評価・登録することにより、政府のクラ および情報システムのセキュリティを強化するためのプログラムの開発・文書化・実 リティ評価制度
ITサービスを対象としたセキュリティ評価制度
ウドサービス調達におけるセキュリティ水準の確保を 践を義務付けた FISMA：Federal Information Security Management Act (連邦情報図り、もってクラウドサービスの円滑な導入に資するこ セキュリティマネジメント法)である。FedRAMP（Federal Risk and Authorizationとを目的とした制度
Management Program）は、政府機関が導入するクラウドサービスに求められるセキュリティを評価・認証するための標準的プロセスを定める。

制度の根拠

政府情報システムにおけるクラウドサービスのセキュ Federal Information Security Management Act(FISMA)
リティ評価制度の基本的枠組みについて

The Technology Code of Practice

Verschlusssachenanweisung(VSA)

Australian Government Cloud Computing Policy

制度発足時期（運用期間）

2020年6月より開始

2011年より開始

2013年より開始

2016年より開始

2014年より開始（クラウドサービスの認証制度は2020年3月に終了）

調達先

政府機関

連邦政府機関中央政府機関

連邦政府機関及び連邦警察のIT製品及びITサービス の調達者

令和6年2月現在、327サービスを登録済。

---

The Crown Commercial Service(CCS)

Federal Office for Information Security(BSI)

Australian Signals Directorate(ASD)

登録件数（サービス 令和6年6月現在、69サービスを登録済。
名）

運営主体

FedRAMP（米国）

運営主体

内閣サイバーセキュリティセンター、デジタル庁、総務 General Services Administration(GSA)
省、経済産業省

運営主体の役割・ クラウドサービスが満たすべき統一的なセキュリ
ティ基準の策定・ 当該基準が適切に実施されているか監査するプロセスを経たうえでの安全性が評価されたクラウドサー
ビスの登録・ 監査機関の登録や監査実務における基準等の策
定・ NIST SP800-53に基づく、クラウドサービスが満たすべき統一的なセキュリティ基 ・ クラウドサービスが満たすべき統一的なセキュリ・ クラウドサービスを含め、IT製品及びITサービスが ・ IRAP評価者の承認
準の策定
ティ基準の策定
満たすべき統一的なセキュリティ基準の策定
・監査機関の登録・ クラウドサービスプロバイダーの申請情報の内容確・当該基準に基づく監査(適合性評価)、認証は実施していない（監査(適合性評価)は 認とG-Cloud契約可否の判断・承認・通知・当該基準に基づく監査(適合性評価)、認証、登録は第三者監査機関が、認証はJABまたは各省庁が実施している）
・ 適合性評価を行う第三者監査機関に対する指示実施していない（監査(適合性評価)や適合証明書の・ Market Placeへのクラウドサービスの登録は、各省庁による認証プロセスの場合 ・ Digital Market Placeへのクラウドサービスの登録は 付与は公認会計士が実施している）のみ実施している（JAB P-ATOによる認証プロセスの場合は、JABが登録を実施し 実施していない（登録主体はGovernment Digitalている）
Service）

ISMAPポータル
https://www.ismap.go.jp/

FedRAMPポータル
https://www.fedramp.gov/

G-Cloudポータル
C5ポータルIRAPポータルhttps://www.applytosupply.digitalmarketplace.service. https://www.bsi.bund.de/EN/Themen/Unternehmen- https://www.cyber.gov.au/irap
gov.uk/und-Organisationen/Informationen-undEmpfehlungen/Empfehlungen-nachAngriffszielen/Cloud-Computing/KriterienkatalogC5/kriterienkatalog-c5_node.html

公開情報リスト（URL ISMAP登録クラウドサービスリスト等）
https://www.ismap.go.jp/csm?id=cloud_service_list
認証クラウドサービスリスト（URL等）

FEDRAMP MARKETPLACE
https://marketplace.fedramp.gov/products

---

公開内容

・ 制度概要・認証プロセス
・規程類
・ FEDRAMP MARKETPLACE
・その他

・ 制度概要・申請プロセス
・その他

・ 制度概要・規程類
・その他

・ 制度概要・認証プロセス
・規程類
・その他

公開情報リス 公開先（URL等）
ト（URL等）・クラウドサービスリスト
・制度概要
・規程類
・PR／研修（動画）・その他海外調査比較表（規定類（制度規程、管理策等））
項目
管理策名／管理策数

比較・分析
観点

ISMAP

FedRAMP（米国）

G-Cloud（英国）C5（ドイツ）管理策名

クラウドサービスが満たすべき要件・基準として、・ガバナンス基準
・マネジメント基準、・管理策基準の３種類から構成されるISMAP管理基準を策定・公開

管理策数

・ガバナンス基準については、４桁管理策レベル FIPS 199 に規定されているセキュリティ影響レベル 詳細な基準（管理策基準）や、クラウドサービスに求める要件 17の主題分野に分けられた125の基準で構成される。 で18の管理策があるは、Low (限定的な影響)、Moderate (深刻な影響)、 についてはクラウドサービスを調達する政府機関側で設定し・マネジメント基準については、３桁管理策レベ High (経済危機等につながる破滅的な影響)となって ているため該当せず。
ルで21の管理策、４桁管理策レベルで64の管理 おり、セキュリティ影響レベル High, Moderate, Low
策がある
それぞれにおいて規定されているセキュリティ管理・管理策基準については、３桁管理策レベルで 策の数は以下の通り
121の管理策がある。
High：421※4桁管理策に関しては選択制
Moderate：325
Low：125

管理策のレベル分
け

クラウドサービスに求めるセキュリティ上の影響 FIPS 199 に基づく High、Moderate、Low の３段階の クラウドサービスに求めるセキュリティ上の影響度レベルによ クラウドサービスに求めるセキュリティ上の影響度レベ る基準のレベル分けは実施していない。
ルによる基準のレベル分けは実施していない（なお、度レベルによる基準のレベル分けは実施してい セキュリティ影響レベルが設定されているほか、セC5が定める基準には、クラウドサービスプロバイダーない。
キュリティ影響度が低である SaaS = LI-SaaS を対象とする基準も追加されている。
が満たすべき必要最低限の基準を規定した基本的なコモンクライテリアと、より高いレベルの情報セキュリ
ティを求めるクラウドサービスプロバイダーが追加的に実施すべき基準を規定した追加のコモンクライテリアの２種類が存在する）

・ 連邦政府情報処理規格：FIPS 199 - Standards for G-Cloudが定める基準（管理策基準)のうちの１つとして、・2016年に、BSIにおいて、C5におけるIT製品及びIT
Security Categorization of Federal Information and Cloud Security Principlesを定めている。それ以上の詳細な サービスが満たすべき基準を策定・公開
Information Systems
基準（管理策基準）や、クラウドサービスに求める要件につい ・その後、FedRAMPとの連携を目的に、2019年から改・ NIST SP800-53：Security and Privacy Controls for てはクラウドサービスを調達する政府機関側で設定訂作業を開始し、2020年に改訂版を公開
Federal Information Systems and Organizations
・ NIST SP 800-60 Vol. 2 Rev. 1 Guide for Mapping
Types of Information and Information Systems toSecurity Categories: Appendices

IRAP（オーストラリア）

海外調査比較表（認証プロセス）
項目

比較・分析
観点

認証機関

認証に関係する組織・機関

ISMAPの最高意思決定機関で、有識者と制 GSA 内の FedRAMP PMO、JAB(Joint Authorization
度所管省庁（内閣サイバーセキュリティセン Board：国土安全保障省(DHS)、一般調達局(GSA)、国ター、デジタル庁、総務省、経済産業省）より 防総省(DOD)の最高情報責任者により構成される組織)、連邦政府機関、認証担当者(Authorizing Official構成されるISMAP運営委員会(AO))、第三者評価機関(3PAO : Third Party
Assessment Organizations)

認証に関係する組織・機関の役割

・ISMAP運営委員会は、 実施結果報告書を含むサービス登録に必要となる申請書類をクラウドサービスプロバイダーから受領し、ISMAP クラウドサービス登録規則に基づいて ISMAP クラウドサービスリストへのクラウドサービスの登録審査を行う責任を負う。

認証プロセス 認証プロセス内容

ISMAP

FedRAMP（米国）

G-Cloud（英国）C5（ドイツ）IRAP（オーストラリア）

The Crown Commercial Service (CCS)。CCSの指示のもと活 公認会計士（C5が定める基準に基づく監査を行う公認 動する第三者監査機関。Government Digital Service（GDS）。 会計士は、業務を行うにあたりC5に特化した資格の認定を受ける必要はない）

公認会計士は、すべての基準を満たしているIT製品お JAB による認証では、クラウドサービスプロバイダーが The Crown Commercial Service (CCS)がG-Cloudの運営主提供するクラウドサービスのセキュリティに対する第三 体。Government Digital Service（GDS）が政府全体のクラウド よびITサービスのプロバイダーに対して、適合証明書を付与している。
者評価機関による評価結果に基づいて、JAB が、クラ への移行やデジタル化の推進を実施。第三者監査機関がCCSの指示のもと監査を実施。
ウドサービスプロバイダーに対して運用許可(PATO(Provisional Authority to Operate))を発行する。
各省庁による認証では、各省庁が個別に、クラウドサー
ビスプロバイダーが提供するクラウドサービスのセキュリティに対する評価を実施する。
セキュリティ評価は、クラウドサービスプロバイダーが契約した第三者評価機関(3PAO : Third Party
Assessment Organizations)により実施され、評価結果に基づいて、クラウドサービスプロバイダーに対して運用許可(ATO(Authority to Operate))が発行される。

ISMAP運営委員会における審査を実施し、 JABによる認証と省庁による認証の違い登録が決定したクラウドサービスについては、ISMAPクラウドサービスリストに登録し、 * JAB(Joint Authorization Board) による認証Webサイトを通じて公開する。
フェーズ１：FedRAMP Readiness 認証
フェーズ２：Full Security Assessment
フェーズ３：Authorization Process* 省庁による認証
フェーズ 1： Partnership Establishment
フェーズ 2： Full Security Assessment
フェーズ 3： Authorization Process

クラウドサービスプロバイダーがDigital Market Placeに登録す BSIは、C5の運営において、C5が定める基準に基づくる際に自己申告する内容を、CCSが確認する。
監査や、監査結果に基づくIT製品およびITサービスの認証・認定を行っていない。

-海外調査比較表（監査体制）
項目

比較・分析
観点

ISMAP

FedRAMP（米国）

G-Cloud（英国）C5（ドイツ）

監査概要

監査の概要

・ISMAP運営委員会が審査を実施し、その結 クラウドサービスの認証には、JAB(Joint Authorization Board：国土安全保障 G-Cloudが定める基準に基づく監査は、クラウドサービスプロ C5が定める基準に基づく監査は、公認会計士が、IT製 果、登録が認められた監査機関が、監査基準 省(DHS)、一般調達局(GSA)、国防総省(DOD)の最高情報責任者により構成さ バイダーがサービスごとに自己申告するセキュリティの取組 品およびITサービスのプロバイダーから提出された言等について、サプライヤーの信用スコア調査、サプライヤーに 明書をもとに、ISAE 3000（国際保証業務基準3000）に等に準拠して本制度における監査業務を実施 れる組織)による認証と各省庁による認証がある。
対して直接の問い合わせ調査、サプライヤーの申請書に記載 基づき行っている。
し、その実施結果を業務依頼者に報告する責されている情報が正しいかを確認するための、サービスのラ任を負う。
ンダムな抜き打ち検査。

監査手法

監査方法

CCSの指示のもと活動する第三者監査機関がクラウドサービ ・C5が定める基準に基づく監査には、タイプⅠの監査と ・監査機関は、 標準監査手続に準拠して自ら 監査方法に関する規定はなく、監査を実施する機関によって異なる。
スプロバイダーがサービスごとに自己申告するセキュリティの タイプⅡの監査の２種類がある。タイプⅠの監査は、監一般的には、以下の通り。
手続を実施する。
取組等について、サプライヤーの信用スコア調査、サプライ 査時点において管理策が特定の基準を満たすように適・監査の内容においては、ある時点における  JAB(Joint Authorization Board) による認証の場合
ヤーに対して直接の問い合わせ調査、サプライヤーの申請書 切に設計・実装されているかどうかを監査するものであ
個別管理策の実装状況を確認する整備状況  監査実施前に、FedRAMP Ready に指定されるためのアセスメントを実施
評価、一定期間における個別管理策の運用 し、監査機関が PMO に Readiness Assessment Report (RAR) を提出する。 に記載されている情報が正しいかを確認し、The Technology る状況を、サンプリング等により確認する運用状  PMO によるレビューの結果、何らかの問題が見つかった場合、関係者によ Code of Practiceの５つの要求項目を満たすかどうかの適合 ・他方、タイプⅡの監査は、タイプⅠの監査をサブセットとし、加えて管理策が、過去の特定の期間にわたって、況評価の双方が含まれる。
るミーティングを開催して、CSP が FedRAMP Ready になるために何が必要で 性を評価・検証を実施する。
適切に運用されていたかどうかを監査するものである。
あるかについて議論する。
ガバナンス基準及びマネジメント基準に対応  Readiness Assessment Report が承認された場合、対象となるクラウドサー
する標準監査手続は整備状況評価 に関する ビスは FedRAMP Ready に指定され、FedRAMP Marketplace において広告さ手続 のみ、管理策基準に対応する標準監査 れる。
手続は原則、整備状況評価及び運用状況評  監査機関は、Security Assessment Plan (SAP) を作成し、対象となるクラウ価 に関する 手続から構成される。
ドサービスに対して完全なセキュリティアセスメントを実施するとともに、Security Assessment Report (SAR) を作成する。
業務実施者が監査証拠を入手するための手段をいい、標準監査手続においては、
 省庁による認証の場合
ISMAP 管理基準の性質を踏まえて、 質問、閲  CSP は、CSP のシステムが、どの程度 FedRAMP のセキュリティコントロー
覧、観察の 3 つの技法を想定。
ルと整合しているかを示す System Security Plan (SSP)を作成する。
 監査機関が、SSP に基づいてシステムのテストを実施し、テストで発見された事項の詳細や、FedRAMP 認証に向けた勧告が記載された Security
Assessment Report (SAR)を作成する。
 CSP は、Security Assessment Report に基づいて、監査機関によるインプットが反映された、テストで発見された事項に対処するための計画が記載された POA&M を作成する。

情報システム変更時 クラウドサービスについて重大な統制変更ま 省庁は、運用が許可されたクラウドサービスを継続的にモニタリングし、クラウ G-Cloudの適合性証明に関する契約を締結した後に、サービ ・公認会計士がタイプⅡの監査を行った後で、クラウド の監査範囲・監査方 たは重大な統制変更につながり得る事象が発 ドサービス事業者が提供する月次および年次の報告書をレビューすることに スの追加を行うことは出来ず、次回のG-Cloudフレームワーク サービスプロバイダー側で情報システムが変更された
生した場合、「重大な統制変更届出書」による より、情報システムに変更があった場合に、セキュリティ要件が満たされるか の更新の際、新規申請を行わなければならない。そのため、 場合、公認会計士は、次回のタイプⅡの監査におい法原則として情報システム変更時の監査は実施されない。（G- て、変更された部分がC5が定める基準を満たしている変更届けを行い、ISMAP運営委員会による審 どうかの判断を行う。
Cloudの適合性証明に関する契約を締結した後の契約期間中 かを含め、すべての基準について適合性を評価してい査、判断を行う。に変更できるのは、サービス名、サービスの説明等の概要情 る報と、サービスの削除のみ。CCSに申請が必須だが、価格情 ・タイプⅡの監査は、管理策が、過去の特定の期間にわたって、適切に運用されていたかどうかを監査するも報とその根拠文章を更新することが出来る。）のであるため、情報システムが変更された場合にその都度再監査を行うことまでは必要はない

IRAP（オーストラリア）

海外調査比較表（直近の制度の状況変化）
項目

比較・分析
観点

ISMAP

FedRAMP（米国）

G-Cloud（英国）

規定類の更改規定類の更改-・覚書M21-31、覚書M22-09に対応した 要件の追加
・NIST SP800-53のRev.4からRev.5への改訂に伴うFedRAMP Security Controls
Baselineの改訂
・3PAO Obligations and PerformanceGuideの改訂
・FedRAMP Collaborative ConMon
Quick Guide
・FedRAMP Incident Communications
Proceduresの改訂

組織体制の見直し

組織体制の見直し--

登録クラウド 登録クラウドサービ
サービスの増 スの増減
減-・2020年9月に登録サービスが200に達し てから登録サービスが増加し、2024年2月の登録サービスは327。

C5（ドイツ）IRAP（オーストラリア）--

・Digital Marketplaceを使用したクラウド サービスの政府調達の終了
・政府のデジタル調達の手段としてのPublic Procurement Gatewayの新設---