NEWSRELEASE
令和４年１０月２６日「政府クラウド認定制度 ISMAP-LIU 対応の内部監査等の支援サービス」を開始
一般社団法人日本セキュリティ格付機構（略称：JaSRO、本社：東京都中央区）は、新たに「ISMAP-LIU 対応の内部監査等の支援サービス」を開始する運びとなりましたのでお知らせいたします。

１．背景
政府情報システムのためのセキュリティ評価制度（「ISMAP: Information system Security Management andAssessment Program」）は、政府機関等がクラウドサービスを調達する際、ISMAP クラウドサービスリストに登録されたサービスから調達することを原則とする制度として令和 2 年 6 月に開始し、現在、30 を超えるサービスが登録されています。ISMAP の対象となっている機密性 2 情報を扱う情報システムは IaaS、PaaS、SaaSと多岐にわたりますが、中でも SaaS はサービスの幅が広く、用途や機能が極めて限定的なサービスや、機密性2 情報の中でも比較的重要度が低い情報のみを取り扱うサービス等はリスクが低いサービスがあります。それらのサービスについて現行の ISMAP と一律の取り扱いとした場合、過剰なセキュリティ要求がクラウド事業者の負担となり、それにクラウドサービスの活用が進まないとの社会的な課題があります。
このため、政府はデジタル社会の実現に向けた重点計画（令和 4 年 6 月 7 日 閣議決定）の中で機密性２情報を扱う SaaS のうち、セキュリティ上のリスクの小さな業務・情報の処理に用いるものに対する新たな仕組みのISMAP-LIU（ISMAP for Low-Impact Use）を令和４年中に策定し、その仕組みを利用したクラウドサービスの申請受付を開始するなど、クラウド・バイ・デフォルトの拡大を推進する方針です。
弊機構は、これまで ISMAP に関する事前診断及び構築支援サービスを我が国を代表するクラウド事業者に提供し、ISMAP に認定された監査機関（ISMAP 監査機関リストへ登録済みの 3 社）と連携のうえ、クラウド事業者を支援した実績が豊富にあります。今般、これらのノウハウを活用した形で ISMAP-LIU 対応の内部監査等の支援サービスを開始する運びとなりました。
今後、ISMAP-LIU のクラウドサービスリストは一般に公開され、政府情報システムの調達のみならず、地方公共団体や民間企業がクラウドサービスを選定する場面においても活用される可能性があります。クラウドサー
ビスリストにクラウドサービスが登録されることが、数兆円規模と予想される国内クラウド市場に参入する上で重要なアドバンテージになることが予想されます。弊機構はこれまで実施してきた ISMAP 支援サービスに内部監査等の支援サービスを追加することで新たな ISMAP-LIU 制度に対応し、クラウドサービス事業者の事業展開を支援したいと考えております。

●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当機構の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポー
ト等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当機構は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当機構に留保され、当機構に専属的に帰属するものとします。

1
Copyright (C) 2022 JaSRO All rights reserved.

NEWSRELEASE

２．サービス内容
ISMAP-LIU の外部監査において、ガバナンス基準及びマネジメント基準はこれまでの ISMAP と同じく全ての管理策が監査対象となるため、弊機構といたしましても現行の ISMAP 支援サービスと同じく整備及び運用の構築支援を提供いたします。
また、ISMAP-LIU の外部監査は、クラウドサービス基盤・構成に直接的な影響を及ぼし得る管理策（一部の重要な管理策）を主な対象として数年に平準化するため外部監査対象範囲は縮小します。一方、内部監査の実施状況報告について、3 年で一巡する形態で報告書の提出が求められており、弊機構は内部監査業務の負担軽減を狙いとした支援サービスを提供いたします。なお、これまで ISO/IEC27001 を取得した経験のない企業の場合など、ご要望に応じて ISMS の構築支援も対応可能です。
【ISMAP-LIU 支援サービス提供内容（代表例）】① ガバナンス基準及びマネジメント基準の整備及び運用の構築支援サービス(ア)

現状と ISMAP ガバナンス基準及び ISMAP マネジメント基準との GAP 分析(イ)

GAP 分析で判明した発見事項の指摘及び改善案の提示(ウ)

言明書及び経営者確認書作成支援② 内部監査の実施支援サービス
＜準備＞
(ア)

現状と ISMAP 管理基準との GAP 分析(イ)

GAP 分析で判明した発見事項の指摘及び改善案の提示

＜実施＞
(ウ)

予備調査、内部監査立案等の支援(エ)内部監査実施、監査調書作成、監査報告書作成等の支援＜フォロー＞(オ)

ISMAP 監査準備、ISMAP 監査立会い、ISMAP 監査法人指摘事項対応等の支援(カ)

制度側からの問合事項対応等の支援※準備、実施、フォローのみのサービスも提供可能です。

●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当機構の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポー
ト等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当機構は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当機構に留保され、当機構に専属的に帰属するものとします。

2Copyright (C) 2022 JaSRO All rights reserved.

NEWSRELEASE【実施期間（代表例）】①ガバナンス基準及びマネジメント基準の整備及び運用の構築支援サービス（ア）（イ）（ウ）：４カ月から８カ月程度②内部監査の実施支援サービス（ア）（イ）：６カ月から１２カ月程度（ウ）（エ）：随時（詳細は別途取決め）（オ）（カ）：随時（詳細は別途取決め）（ご参考） ISMAP-LIU ではない従来の ISMAP 対応事前診断サービスついては下記をご参照ください。
http://jasro.org/news/pdf/JaSRO_NewsRelease_20210401.pdf＜お問い合せ先＞一般社団法人日本セキュリティ格付機構
JaSRO(Japan Security Rating Organization)
企画部
E-mal:info@jasro.org
http://www.jasro.org〇世界初の情報セキュリティ格付を行う第三者評価機関です。
〇情報管理の対策水準を「格付」で確かめ合う社会システム作りに取り組んでいます。
〇政府情報システムのためのセキュリティ評価制度(ISMAP)対応の構築支援・内部監査を行っています。

以上●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当機構の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当機構は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当機構に留保され、当機構に専属的に帰属するものとします。

3
Copyright (C) 2022 JaSRO All rights reserved.