イスマップ

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の見直しについて

令 和 ３ 年 ７ 月 ６ 日
サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定「政府情報システムのためのセキュリティ評価制度」（英語名：Information system
Security Management and Assessment Program、通称：ISMAP（イスマップ）、以下「ISMAP」という。）は、「政府情報システムにおけるクラウドサービスのセキュリティ評価制度の基本的枠組み」（令和２年１月 30 日サイバーセキュリティ戦略本部決定）（以下「基本的枠組み」という。）に基づき、各政府機関等がクラウドサービスを調達する際、ISMAP クラウドサービスリスト（以下「サービスリスト」という。）に登録されたサービスから調達することを原則とする制度である。
各政府機関等における原則利用や暫定措置等、ISMAP の利用の在り方については、基本的枠組みに基づき、「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」（令和２年６月 30 日サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定）（以下「利用の在り方」という。）において決定している。
本決定は、利用の在り方において定めた暫定措置期間が最短で令和３年９月 30 日に期限を迎えるに当たり、ISMAP に対するクラウドサービスの登録申請状況や各政府機関等のニーズ等を踏まえ、制度の利用推進の観点から暫定措置の見直しについて考え方を示すものである。
なお、本決定は、利用の在り方のうち、暫定措置の内容について見直しを行うものであり、暫定措置以外の、原則利用の考え方、各政府機関等と ISMAP 運営委員会との連携、制度運用に必要な経費については、本決定において特段の記載がない限り、利用の在り方をそのまま踏襲するものである。
１

従来の暫定措置期間について
ISMAP は、利用の在り方において、暫定措置（以下「従来の暫定措置期間」という。）を設定しており、各政府機関等は、やむを得ず、登録されていないクラウドサービスを利用中又は利用予定の場合、当該クラウドサービスの名称や現時点の状況を ISMAP 運営委員会事務局に明らかにした上で、クラウドサービスを利用中の場合は ISMAP の開始から１年以内に、クラウドサービスを利用予定の場合は当該サービス利用開始から１年以内に、当該サービスが申請されることを前提として、各政府機関等の責任において利用を継続するとしていた。その場合、各政府機関等は、利用中又は利用予定のサービスの提供事業者に、ISMAP の案内、周知を行うとともに、クラウドサービスプロバイダ（以下「CSP」という。）からその時点での ISMAP
1

の要求事項や管理基準への適合状況について聴取するとしていた。
また、クラウドサービスの登録申請の見込みがない等明らかになった場合、クラウドサービスを利用中の場合は ISMAP の開始から１年が経過するか１年を待たずに申請の見込みがないと明らかになった時点で、クラウドサービスを利用予定の場合は当該サービスの利用開始から１年が経過するか１年を待たずに申請の見込みがな
いと明らかになった時点で、各政府機関等は、速やかに、その状況について ISMAP運営委員会事務局に報告するとともに、必要に応じて ISMAP 運営委員会事務局が実施する調査に協力するとしていた。
なお、情報システムの状況、利用しているサービスの内容は様々であり、必要となる対応や時間を一律に定めることは困難であることから、各政府機関等は、報告後、当該情報システムの対応について検討を行い、移行作業の準備や予算要求等の対応を進めるとしていた。
そのほか、今後、ISMAP の利用推進に資するよう、状況に応じて暫定措置の見直しを行うとしていた。
２

暫定措置の見直しについて
最短で、ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日から１年後の令和３年９月 30 日に従来の暫定措置期間が期限となることから、ISMAP への登録、申請状況等を踏まえ、ISMAP の利用推進に資するよう、従来の暫定措置期間については終了としつつ、真にやむを得ないケースを対象に縮小した新規の暫定措置期間（以下「新規の暫定措置期間」という。）を設定する。

２-ⅰ 従来の暫定措置期間の枠組みについて従来の暫定措置期間は、ケースごとに予定の期限をもって終了する。
① ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日時点で、各政府機関等においてクラウドサービスを利用中であって、令和３年９月 30 日までの暫定措置期間中に当該サービスの ISMAP への申請が見込まれている場合従来の暫定措置期間による対応がなされるものとして、令和３年９月 30 日をもって暫定措置期間を終了する。
② ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日以降に利用予定としていたクラウドサービスであって、開発環境の構築、結合テストの実施又は運用開始等により実際にサービスの利用を開始した時点から１年以内に当該サービスの ISMAP への申請が見込まれている場合従来の暫定措置期間による対応がなされるものとして、利用開始から１年以内をもって暫定措置期間を終了する。
2

なお、サービス利用開始時点は、各政府機関等の調達ごとに異なるが、サービスリストの公開が開始されたこと等も踏まえて、サービス利用開始時点からの最終末日を令和４年３月 31 日までとする。
２-ⅱ 新規の暫定措置期間の枠組みについて新規の暫定措置期間の枠組みとして、真にやむを得ないケースを対象に、縮小した新規の暫定措置期間を設定する。
類型①-ⅰ

代替のサービスはあるが、利用中又は利用予定のクラウドサービスと既に複数年の契約を結んでいる場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、複数年の契約期間中に移行作業を行うことは事実上困難であることが想定されることから、このような状況においては、CSP から利用中又は利用予定のサービス又は移行後の代替サービスの申請がなされる見込みであることを要件として、利用中又は利用予定のサービスとの契約期間終了まで暫定措置期間の延長を認めるものとする（当該契約期間において、やむ得ない理由により契約期間が延長された場合も含む）。
なお、ISMAP 立ち上げ後は、クラウドサービスの調達において ISMAP に登録又は申請が要件となっていると想定されることから、本決定以降に複数年契約を結んだものは新規の暫定措置期間の対象外とする。
延長に際しては、当該調達を行う各政府機関等の最高情報セキュリティ責任者の責任において、ISMAP 管理基準におけるガバナンス基準及びマネジメント基準の全て、管理策基準のうち統制目標及び末尾に B が付された詳細管理策（以下「基本言明要件」という。）への適合状況を確認し、対策状況が不足している項目について当該政府機関等で適切なリスク評価を実施するものとする。また、新規の暫定措置期間中の各政府機関等における確認方法としては、例えば、制度側が提供する基本言明要件の一覧表を CSP に提示し、適合状況を確認するといった方法が考えられる。
そのほか、「政府情報システムにおけるクラウドサービスの利用に係る基本方針」（令和３年３月 30 日各府省情報化統括責任者（CIO）連絡会議決定）に基づき、第三者による認証や各クラウドサービスの提供している監査報告書も参照することが考えられる。
各政府機関等は、新規の暫定措置期間を利用する場合、利用する暫定措置の類型、契約期間のほか、移行計画、ISMAP 申請見込み等の各要件への対応について、ISMAP 運営委員会事務局が指定する様式・期限にて報告を行う。前倒しで暫定措置期間を終了した場合等、報告内容に変更が生じた場合は、その都度、報告を行う。

3

（留意事項）ISMAP は、従来、個々のクラウドサービスが実施していると表明している情報セキ
ュリティ対策の実施状況を調達する者が直接確認することが必要であるところ、
ISMAP が国際規格や統一基準等を踏まえ策定した ISMAP 管理基準における、統制目標とそれを達成するための手段である４桁詳細管理策の実装状況を、第三者である監査機関が監査するプロセスを経てサービスリストに登録・公開し、当該リストを利用することにより、個々の政府機関等における情報セキュリティ対策の実施状況の直接確認が省略できるようになるものである。
また、ISMAP は申請者に対し言明書に記載の内容に加えて、国内法以外の法令が適用され、調達する政府機関等が意図しないまま当該政府機関等の管理する情報にアクセスされ又は処理されるリスクに関する情報や、契約に定める準拠法・裁判管轄等の情報等（以下「要求事項」という。）の提供を受けた上でサービスリストとともにそれらの情報を公開している。
新規の暫定措置期間を利用する場合は、本来必要な第三者による監査のプロセスを経ていない点や ISMAP において要求事項の確認がなされていない点を考慮の上、各政府機関等は、令和３年度の統一基準群の改定に伴う各府省庁のセキュリティポリシーの改定時期も踏まえ、自らが利用するサービスの提供事業者に対し、ISMAPの案内、周知を行い、速やかに ISMAP の原則利用が実施できるよう努めるものとする。
類型①-ⅱ 代替のサービスはあるが、移行の影響範囲が大きい場合移行の影響範囲が大きい場合、移行作業に時間を要することが想定されることから、移行後の代替サービスにおいて申請がなされ、かつ、今年度中に移行計画を定めることを要件として、移行期間までの暫定措置期間の延長を認めるものとする（当該移行期間において、やむを得ない理由により移行期間が延長された場合も含む）。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。
類型①-ⅲ 代替のサービスはあるが、既に情報システムを構築中の場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、情報システムの構築期間中に移行作業を行うことは事実上困難であることが想定されることから、このような状況においては、CSP から利用中又は利用予定のサービス又は移行後の代替サービスの申請がなされる見込みであることを要件として、利用中又は利用予定のサービスとの契約期間終了まで暫定措置期間の延長を認めるものとする（当該契約期間において、やむ得ない理由により契約期間が延長された場合も含む）。
4

なお、ISMAP 立ち上げ後は、クラウドサービスの調達において ISMAP に登録又は申請が要件となっていると想定されることから、本決定以降に構築に着手したものは新規の暫定措置期間の対象外とする。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。
類型②

類型①-ⅰ～ⅲ以外で、ISMAP への申請の予定がある SaaS であって、基盤となる IaaS の登録が必要等の理由により、暫定措置期間に間に合わない場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、IaaS 等の基盤サービスと比較し、相対的に小規模なSaaS サービスの場合、ISMAP における基盤サービスの先行登録が必要になるなど、ISMAP へ申請するまでに時間を要する可能性がある。そのため、CSP からの申請がなされる見込みであることを要件として、暫定措置期間に間に合わない SaaS サービスは、令和５年３月 31 日までの間、暫定措置期間の延長を認めるものとする。
なお、ISMAP においては、よりリスクの小さい情報システムが利用するクラウドサービスを対象として、簡素な仕組みの検討を予定しており、その検討結果を踏まえ、必要な場合は暫定措置期間の見直しを行う。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。

（参考）暫定措置期間は適用せず、ISMAP 原則利用によって対応するもの
今後新規にクラウドサービスを調達する際には、利用の在り方に基づき、ISMAP において登録されたサービスから調達することが原則となるが、加えて、現在利用中又は利用予定のクラウドサービスであっても、上記の暫定措置期間に合致しない場合は原則利用によって対応することとなる。
具体的には、現在利用中又は利用予定のクラウドサービスであって ISMAP 登録申請の見込みがない等明らかになった場合、その時点で、ISMAP の原則利用に従い、各政府機関等は、可能な限り速やかに ISMAP の原則利用ができるよう、当該情報システムの対応について検討を行い、移行作業の準備や予算要求等の対応を進める。なお、移行までの間、利用中又は利用予定のクラウドサービスを調達する政府機関等の最高情報セキュリティ責任者の責任において、ISMAP の要求事項や管理基準を満たしていることを、それぞれの政府機関等で確認することが必要である。
なお、CSP が ISMAP 登録申請の意向を示していたため新規の暫定措置期間を適用していたが、期限内に CSP が ISMAP 申請等を行わなかった場合について、暫定措置期間の延長は認めない。
5

３

その他
各政府機関等は、自らが利用するクラウドサービスの申請見込みに関し、CSP に確認を行うとともに、ISMAP 運営委員会事務局においては、各政府機関等からの調達に係る問合せに対して可能な限り申請状況を開示する。
また、各政府機関等は、必要に応じて ISMAP 運営委員会事務局が実施する調査に協力する。
なお、利用の在り方において、ISMAP の定着状況等を踏まえ、将来的に対象とするとしていた独立行政法人及び指定法人による調達について、サービスリストの公開が開始されたことや、令和３年度の統一基準群の改定により ISMAP の管理基準に沿ったクラウドサービスの選定等が記載されることを踏まえ、セキュリティポリシーの改定に要する期間を考慮し、令和４年４月１日より ISMAP の対象とする。

6