学認クラウドチェックリストと ISMAP 管理基準小林 久美子 1),2) , 吉田 浩 1),2) , 岸 達也 2) , 合田 憲人 1),2)
1) 国立情報学研究所 クラウド基盤研究開発センター
2) 国立情報学研究所 クラウド支援室
cobak@nii.ac.jp

A Comparison of Security Measure Coverage between Gakunin
Cloud Checklist and ISMAP Control Criteria
Kumiko Kobayashi1),2) , Hiroshi Yoshida1),2) , Tatsuya Kishi2) , Kento Aida1),2)
1) Center for Cloud Research and Development, National Institute of Informatics
2) Cloud Promotion Oﬃce, National Institute of Informatics

概要
国立情報学研究所の学認クラウド導入支援サービスでは、大学・研究機関がクラウドを導入する場合の着眼点（信頼性、セキュリティ、契約条件等）をまとめたチェックリスト（学認クラウドチェックリスト）を策定し、セキュリティに着目した調達仕様を検討する場合の推奨チェック項目やセキュリティポリシ策定への活用を提示してきた。

2021 年 3 月に政府情報システムのためのセキュリティ評価制度（Information system Security Management andAssessment Program: 通称、ISMAP）のクラウドサービスリストが公開され、運用が開始された。学認クラウド
チェックリストと ISMAP は、ともにクラウドセキュリティに関するチェック項目を網羅しているが、その関係が明確に整理されていない。本報告では、両者の情報セキュリティ対策としての網羅性や公開されている情報の内容を分析し、大学・研究機関におけるクラウド調達の実務面での活用方法を提案する。

れた。

1 はじめに

国立情報学研究所（以下「NII」）では、我が国にク教育・研究のみならず社会活動においても、情報シラウドを活用した高度な学術情報基盤を整備することステムのセキュリティ対策は重要な課題であり、そのを目的として、大学・研究機関（以下「大学等」）にお解決策としてクラウドへの期待が高まっている。学術

けるクラウド導入・利活用を支援するための活動を進機関においては、令和 2 年度学術情報基盤実態調査 [1]め、「学認クラウド」[4] として、クラウドの導入からによれば、調査に参加した 91.4% の大学で情報シス利用までの各段階に対する 3 つの支援サービス（導入テムをクラウド化しており、そのうち 53.8% がクラ支援サービス、ゲートウェイサービス、オンデマンドウド化の効果として「セキュリティ対策の軽減」を挙構築サービス）を提供している。

げている。一方で、クラウド化していない大学のうち学認クラウド導入支援サービス（以下「導入支援サー55.1% がその理由として「セキュリティ面・信頼性にビス」）は、大学等がクラウドを導入・利用する際の不安」を挙げている。

課題解決に役立つ情報の共有・流通を進めるサービス

政府情報システムのためのセキュリティ評価制度

で、大学等がクラウドを導入する場合の着眼点（信頼（Information system Security Management and As-性、セキュリティ、契約条件等）をまとめたチェック

sessment Program: 通称、ISMAP）[2] は、政府が求リスト [5]（以下「学認クラウドチェックリスト」）をめるセキュリティ要求を満たしているクラウドサー策定し、クラウド事業者（以下「事業者」）による回答ビスを予め評価・登録することにより、政府のクラウに基づくクラウドサービスの検証結果（以下「チェッドサービス調達におけるセキュリティ水準の確保をクリスト回答」）を大学等との間で共有している。

図り、クラウドサービスの円滑な導入に資することを学認クラウドチェックリストは、大学等のクラウド目的とした制度である。2021 年 3 月に ISMAP のク導入で考慮すべき項目を網羅したものであり、合せてラウドサービスリスト [3] が公開され、運用が開始さ

セキュリティ対策に重点をおいた利用を想定して、セ202

キュリティに着目した調達仕様を検討する場合の推奨

表1

チェック項目 [6] やセキュリティポリシ策定への活用

項番

大項目

A

商品 / サービスの概要

4

B

運用実績

2

C

契約申込み

8

D

認証関連

3

E

信頼性

4

F

サポート関連5

G

ネットワーク・通信機能

9

H

管理機能

12

I

ソフトウェア環境

4J

スケーラビリティ

5K

データセンター7Lセキュリティ

11

M

データ管理

9

では、軽微な文言修正等のマイナーアップデートを実Nバックアップ6施した。その構成を表 1 に示す。

O

クラウド事業者の信頼性

6

本チェックリストは、19 種類のチェック項目（大項P契約条件6目）に分類され、それぞれの大項目は複数の詳細チェッQ

データの取り扱い

3ク項目（小項目）を含み、合計で 112 種類の小項目がR

リソースの引継ぎ4用意されている。

S

第三者認証

4

[7] などを提示してきた。
学認クラウドチェックリストと ISMAP は、ともにクラウドセキュリティに関するチェック項目を列挙しているため、両者の関係について導入支援サービス参加大学等からも質問を受けている。
本報告では、両者の情報セキュリティ対策としての網羅性や公開されている情報の内容を分析し、大学等におけるクラウド調達の実務面での活用方法を提案する。

2 学認クラウドチェックリスト
学認クラウドチェックリストは、2015 年 9 月にVer.1.0 が策定された後、毎年改訂されている。2021
年 7 月に改訂された最新のチェックリスト（Ver.5.1）

チェックリスト Ver.5.1 大項目と小項目数

小項目数

事業者が回答を記入したチェックリスト（以下「チェックリスト回答」）は、NII による検証を経て、導入支援サービスに参加した大学等の担当者のみがアクセスできる Web サイト（以下「導入支援サービス参加機関専用サイト」）にて表形式で閲覧することができる。
大学等は、クラウドの導入・活用に関わる情報をまとめたガイドライン「スタートアップガイド」[6] やチェックリスト回答を参照し、クラウドの導入検討やしている。
本リストでは、事業者が実施している ISMAP 管理基準が統制目標番号として掲示されているが、個々のチェック項目がどのように対策されているのかといった具体的な情報は公開されていない。
要機密情報を取り扱う場合、各政府機関等のクラウドサービス利用にあたっては、暫定措置期間が設定さ調達に活用することができる。

れているものの、ISMAP クラウドサービスリストに3 ISMAP 管理基準

掲載されているクラウドサービスの中から調達を行う

ISMAP は、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することことが原則とされている。

4 学認クラウドチェックリストと ISMAPにより、政府のクラウドサービス調達におけるセキュ管理基準リティ水準の確保を図り、クラウドサービスの円滑なここでは、学認クラウドチェックリストと ISMAP導入に資することを目的とした制度である。[8]ISMAP 管理基準 [9] は、事業者が ISMAP 登録申請を行う上で実施すべきセキュリティ対策の一覧として策定され、第三者である監査機関が監査する際の前提管理基準の情報セキュリティ対策としての網羅性や公開されている情報の内容を分析し、大学等におけるクラウド調達の実務面での活用方法を提案する。

4.1

として用いる基準とされている。

ISMAP では、ISMAP 管理基準のセキュリティ要求基準に基づいて安全性が評価されたクラウドサービ
スを ISMAP クラウドサービスリストに登録し、公開

203

情報セキュリティ対策としての網羅性

学認クラウドチェックリストは、大学等がクラウドサービスを導入する場合の利用者側の着眼点をまとめたものである。クラウドサービスのパフォーマンス、

表2信頼性、データ、ネットワーク、ソフトウェア等に係るセキュリティ対策のみならず、実際に運用する際にチェックリストと管理策基準の例

学認クラウドチェックリスト

D3:必要となる機能や仕様のチェック項目もある。

多要素認証

F2:

一方、 ISMAP 管理基準は、事業者を実施主体とした管理基準であり、ガバナンス基準、マネジメント基準、および管理策基準から構成される。情報セキュリ
ティマネジメント (ガバナンス基準、マネジメント基準) に加えて、管理策基準では、実務実施者が行うク

重要情報の通知H10:
ID とアクセス管理
K1:
防犯設備

K2:
入退室管理体制

K3:
防災対策

K4:
電力障害対策K5:

ラウドサービスのパフォーマンス、信頼性、データ、ネットワーク、ソフトウェア等に係る個別のセキュリ

ネットワーク障害対策

K6:
データセンターの設置地域

L1:
セキュリティポリシ

ティ対策の実装を要求している。
表 2 に学認クラウドチェックリストのチェック項目に該当する ISMAP 管理策基準の例を示す。

L3:
インシデント対応（事業者管理）

L4:
インシデント対応（ユーザ管理）

なお、表 2 の SA1 は、学認クラウドチェックリス
トの追加資料として NII が提供しているサンプル規程集対応チェックリスト [10] の項目である。また、(A)と (B) は、ISMAP の管理策基準には掲載されていな
いが、ISMAP のクラウドサービスリスト詳細では公開されている内容である。(A) は ISMAP ペネトレー
ションテストや脆弱性診断等の第三者による検査の実

L5:
L5:バージョンアップの頻度
L6:
脆弱性情報の提供

L8:
セキュリティ対策

M1:
ログの知的財産権

M2:
ログの使用権（閲覧等）

M3:
ログの使用（閲覧等）可能期間

M4:
M4:データの暗号化
M5:
暗号化鍵の管理方法

M7:

施状況と受入に関する情報で、 (B) は契約に定める準データのアクセス制限

N1:
バックアップサービスの有無

拠法・裁判管轄に関する情報である。

N6:
バックアップデータのセキュリティ

学認クラウドチェックリストと ISMAP 管理基準

O3:
第三者委託

O5:

は、対象や目的が異なるため直接比較することは難しいが、網羅性に関しては、以下のような差異がある。

サービスの監査結果の開示

O6:
国内法人 / 国内総代理店等の有無

P1:
責任範囲の明確化

P2:
契約条件・SLA の変更手続き(1) ISMAP ガバナンス基準とマネジメント基準

ISMAP 管理策基準(9 アクセス制御)
9.2.3.11.PB, 9.4.2.2.B(12 運用のセキュリティ)12.1.2.11.PB(9 アクセス制御)
9.2.1.6.PB, 9.2.2.8.PB, 9.4.1.8.PB(11 物理的及び環境セキュリティ)11.1.1, 11.1.2, 11.1.3, 11.1.4(11 物理的及び環境セキュリティ)11.1.1, 11.1.2, 11.1.3, 11.1.4(11 物理的及び環境セキュリティ)11.1.1, 11.1.2, 11.1.3, 11.1.4(11 物理的及び環境セキュリティ,17 事業継続マネジメントにおける情報セキュリティの側面)
11.1.4, 17.2
(11 物理的及び環境セキュリティ,17 事業継続マネジメントにおける情報セキュリティの側面)
11.1.4, 17.2
(6 情報セキュリティのための組織)
6.1.3.3.PB(6 情報セキュリティのための組織, 14 システムの取得、開発及び保守,15 供給者関係)
6.3.1.P, 6.3.1.1.PB, 14.2.1.13.PB,15.1.2.18.PB(6 情報セキュリティのための組織, 15 供給者関係,16 情報セキュリティインシデント管理)
6.3.1.P, 6.3.1.1.PB, 15.1.2.18.PB, 16.1.5(6 情報セキュリティのための組織, 15 供給者関係,
16 情報セキュリティインシデント管理)
6.3.1.P, 6.3.1.1.PB, 15.1.2.18.PB, 16.1.5(12 運用のセキュリティ)12.6.1(12 運用のセキュリティ)12.6.1.18.PB(12 運用のセキュリティ)12.2.1(12 運用のセキュリティ, 18 順守)
12.4.1.15.PB, 18.1.2.13.PB(12 運用のセキュリティ)12.4.1.15.PB(12 運用のセキュリティ)12.4.1.15.PB(8 資産の管理, 10 暗号)
8.1.2.7.PB, 10.1.1.9.PB(8 資産の管理, 10 暗号)
8.1.2.7.PB, 10.1.1.9.PB(9 アクセス制御)
9.4.1.8.PB(12 運用のセキュリティ)12.3.1(8 資産の管理)
8.1.2.7.PB(15 供給者関係)
15.1.1.16.B
(A)

P4:

(6 情報セキュリティのための組織)
6.1.3.3.PB(6 情報セキュリティのための組織)
6.1.1.13.PB, 6.3.1.P, 6.3.1.1.PB(12 運用のセキュリティ)12.1.2.11.PB
(B)

準拠法

これらは、事業者の経営者と管理者が実施すべきP5:事項であり、クラウドサービスを利用する上で直Q1:

(B)

管轄裁判所
データの知的財産権／使用権

Q2:

接見える項目ではないと考えられるため、学認ク

データの削除

SA1:
ストレージ機器などの物理的廃棄

ラウドチェックリストでは対象としていない。

-(18 順守)
18.1.2.13.PB(8 資産の管理)
8.1.5.P(8 資産の管理, 11 物理的及び環境的セキュリティ)8.3.2, 11.2.7, 11.2.7.4.PB(12 運用のセキュリティ)12.4.4.4.PB(2) セキュリティ対策レベルの差異
学認クラウドチェックリストと ISMAP 管理策基
準は、ほとんど同じチェック項目を網羅している

ISMAP 管理策基準の 12.4.4.4.PB ではシステム

が、以下の点で細かい差異があり、今後、学認ク

クロックの同期について規定しているが、学認クラウドチェックリストとしての対応を検討する。

ラウドチェックリストには対応する項目がない。
システムクロックの同期は、監査目的などのログ• バックアップ
学認クラウドチェックリストでは、利用者のデータを保護するという観点から、N1 で利用者自身でバックアップを取得・管理する機能について質問しているのに対して、 ISMAP 管理策基準の12.3.1 では、クラウドサービスの維持という観点から、事業者がシステムバックアップを取得することを要件としている。

取得の詳細な実装に関わる機能として、セキュリティ対策以外にも多くのチェック項目を含む学認クラウドチェックリストには含めていなかった。
しかし、高等教育機関の情報セキュリティ対策のためのサンプル規程集（2019 年度版）[11] にも時刻同期に関する条文があることから、学認クラウドチェックリストの次版以降での採用を検討する。

• 時刻同期2044.2

情報セキュリティ対策の実施状況の情報提供を作成する作業では、学認クラウドチェックリストのNII によるチェックリスト回答検証では、事業者か情報が利用できる。

ら提供された公開情報等をもとにチェックリスト回答

また、ISMAP クラウドサービスリストに登録されの確認が行われる。事業者間での回答の粒度や用語はていないクラウドサービスの利用を検討する場合に合わせているが、基本的にチェックリスト回答をそのは、スタートアップガイド、学認クラウドチェックリ

まま導入支援サービス参加機関専用サイトで公開してスト、およびサンプル規程集対応チェックリストのベおり、NII でクラウドサービスの評価は行っていない。

ストプラクティスの情報を利用することで、セキュアチェックリスト回答には、実際に運用する際に必要なクラウドサービスの導入や調達を検討することがでとなる実現レベルや方法まで記述されている場合が多い。
一方、ISMAP では、管理基準に基づいた情報セキュリティ対策の実施状況について監査機関が監査を行い、その監査結果を事業者が ISMAP 運営委員会に申請し、登録が妥当と判断されたクラウドサービスがISMAP クラウドサービスリストに登録される。

きる。

5 おわりに
本稿では、学認クラウドチェックリストと ISMAP管理基準の関係について説明した。
学認クラウドチェックリストは、大学等におけるクラウドの導入検討や調達などに利用されているが、学従って、ISMAP は第三者認証に近いため、学認クラ認クラウドチェックリストと ISMAP の関係をあらかウドチェックリストの第三者認証の項目「S3：セキュじめ知っておくことによって、大学等がセキュアなクリティ」では、セキュリティに関する第三者認証などラウドサービスの導入や調達を検討する場合、より効を取得しているかを質問しているが、その例の 1 つと率的に進めることができると考える。

して ISMAP を挙げている。

NII は、今後も学認クラウドチェックリストを活用

ISMAP の公開情報からは、事業者が管理基準のどした大学等のクラウド導入検討を支援するために、ガれを統制目標とし、それが実現されていることを監査イドライン等の情報提供を拡充していく予定である。

結果をもとに認定されたことはわかるが、具体的な実現レベルや方法までは公開されていない。

4.3

クラウド調達における活用法の提案

謝辞「学認クラウド導入支援サービス」にご協力いただい

実際にクラウドサービスを導入する際には、そのサービス内容や契約条件をよく理解した上で、個々の大学等のセキュリティポリシやガイドラインに適合したものを選択することが重要である。
従って、ISMAP クラウドサービスリストは一定のている大学・研究機関ならびにクラウド事業者の方々に深く感謝いたします。

参考文献[1] 文部科学省、「令和 2 年度学術情報基盤実態調査」

セキュリティ基準を満たしているかどうかという判断の結果報告、材料として利用し、当該クラウドサービスを大学等でhttps://www.mext.go.jp/b menu/houdou/2020/導入する際の利用者側を含めた具体的なセキュリティ

1418398 00002.htm．

対策や運用の検討には学認クラウドチェックリストの情報を活用するという使い方も考えられる。

[2] 政府情報システムのためのセキュリティ評価制度（ISMAP）、https://www.ismap.go.jp．

例えば、クラウド調達の基本的な 3 つの段階（導入検討フェーズ、仕様策定フェーズ、機関内承認フェーズ）[3] ISMAP クラウドサービスリスト、https://www.ismap.go.jp/csm?id=cloud service list．

[12] のうち、導入検討と機関内承認のフェーズでは、[4] 学認クラウド、https://cloud.gakunin.jp/．

そのクラウドサービスが一定のセキュリティ基準を満[5] 学認クラウド導入支援サービスチェックリスト、たしているかどうかという判断材料として ISMAP ク

https://cloud.gakunin.jp/foracademy/#academy-02．

ラウドサービスリストに登録されているかが利用で[6] 大学・研究機関のためのクラウドスタートアップ

きる。

ガイド、

そして、仕様策定フェーズにおけるサービスを比較

https://cloud.gakunin.jp/foracademy/#acadey-02．

し候補となるクラウドを絞り込み、実際の運用をどの[7] 小林 久美子、岸 達也、吉田 浩、合田 憲人、目ように設計すればよいか検討し、調達に必要な仕様書

的別クラウド導入チェックリストの拡充 - オンラ205

イン会議サービス・セキュリティポリシ -、大学

ICT 推進協議会 2020 年度年次大会、2020 年．
[8] ISMAP 概要、https://www.ismap.go.jp/csm?id=kb article view&sysparm article=KB0010005&
sys kb id=42de221b1bf6705013a78665cc4bcb80&spa=1．

[9] 政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準、
https://www.ismap.go.jp/csm?id=kb article view&sysparm article=KB0010028&sys kb id=
e2309a581b9d301013a78665cc4bcba9&spa=1．

[10] サンプル規程集対応チェックリスト、
https://cloud.gakunin.jp/foracademy/#academy-02．

[11] 高 等 教 育 機 関 の 情 報 セ キ ュ リ テ ィ 対 策の た め の サ ン プ ル 規 程 集（2019 年 度 版 ）、

https://www.nii.ac.jp/service/sp/．
[12] 小林 久美子、岸 達也、吉田 浩、合田 憲人、大学・研究機関におけるクラウド導入時のチェック
リスト活用法、大学 ICT 推進協議会 2018 年度年
次大会、2018 年．

206