資料６

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の見直し

資料６－１

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の見直し【概要】

資料６－２

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の見直しについて.

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の⾒直しについて

資料６ー１

 政府情報システムのためのセキュリティ評価制度（以下「ISMAP」という。）は、各政府機関等がそれぞれ独⾃に安全性を確認する⾮効率を低減し、信頼できるクラウドサービスの利⽤を促進するため、各政府機関等がクラウドサービスを調達する際、ISMAPクラウドサービスリストに登録されたサービスから調達することを原則とする制度である。
 ISMAP発⾜時の措置として、利⽤するクラウドサービスが登録されておらず、制度の原則利⽤を実施することができない場合の暫定措置期間を設定し、当該期間中にクラウドサービスが申請されることを前提として、各政府機関等の責任において利⽤を継続することとした。
 上記の暫定措置期間が期限を迎えるに当たり、クラウドサービスの登録申請の状況や各政府機関等におけるニーズを踏まえつつ、制度の利⽤推進の観点から、従来の暫定措置期間は終了とし、真にやむを得ないケースを対象に縮⼩した新規の暫定措置期間を設定する。
●従来の暫定措置期間の枠組み ︓期限をもって廃⽌とする①ISMAPがクラウドサービスの申請受付を開始した令和２年10⽉１⽇時点で既に各政府機関等においてクラウドサービスを利⽤中であって、当該クラウドサービスが、令和３年９⽉30⽇までの暫定措置期間中にISMAPへの申請が⾒込まれている場合。
②ISMAPがクラウドサービスの申請受付を開始した令和２年10⽉１⽇以降、利⽤予定としていたクラウドサービスであって、開発環境の構築・結合テストの実施・運⽤開始等、実際にサービスの利⽤を開始した時点から１年以内にISMAPへの申請が⾒込まれている場合。

①令和３年９⽉30⽇期限にて、暫定措置終了②令和４年３⽉31⽇期限注にて、暫定措置終了（注）サービス利用開始時点は、サービスリストの公開が開始されたことを踏まえ、令和３年４月１日を起点とする。

●新規の暫定措置期間の枠組み ︓真にやむを得ないケースに限定
類型①①ISMAP登録クラウドサービスへの移⾏に時間を要する場合
ⅰ 利用中又は利用予定のクラウドサービスと既に複数年の契約を結んでおり、途中で移行することが困難な場合。
ⅱ 移行の影響範囲が大きいため、移行準備に時間を要する場合。
ⅲ 既に情報システムの構築中であり、途中で見直すことが困難な場合。

類型②②ISMAPへの申請の予定があるSaaSであって、基盤となるIaaSの登録が必要等の理由により、暫定措置期間内に間に合わない場合①当該サービスの契約期間終了や移⾏期間終了まで、暫定措置期間を延⻑ 当該サービス又は移行後の代替サービスにおいて、ISMAP申請がなされる見込みであることが必要。
 今年度中に移行計画を定めることが必要。

②令和５年３⽉31⽇注まで、暫定措置期間を延⻑（注）ISMAPにおける簡素な仕組みの検討結果を踏まえ、必要な場合は暫定措置期間の見直しを行う。

（その他）ISMAPの対象を独⽴⾏政法⼈及び指定法⼈に拡⼤
ISMAPの定着状況等を踏まえ、将来的に対象とするとしていた独⽴⾏政法⼈及び指定法⼈による調達について、サービスリストの公開が開始されたことや、令和３年度の統⼀基準群の改定によりISMAPの管理基準に沿ったクラウドサービスの選定等が記載されることを踏まえ、セキュリティポリシーの改定に要する期間を考慮し、令和４年４⽉１⽇よりISMAPの対象とする。

１

新規の暫定措置期間の内容
類型

類型概要

ⅰ 代替のサービスはあるが、利⽤中⼜は利⽤予定のクラウドサービ
スと既に複数年の契約を結んでいる場合

新規の暫定措置
期限契約終了まで注１

類型①
ISMAP登録クラウドサービスへの移⾏に時間を要する場合

ⅱ 代替のサービスはあるが、移⾏の影響範囲が⼤きい場合

ⅲ 代替のサービスはあるが、既に情報システムの構築中の場合

類型②新規の暫定措置期間中、各政府機関等に確認を求めるセキュリティ要件

新規の暫定措置期間を利⽤するための要件

暫定措置⾒直しの理由

各政府機関等の最⾼情報セキュリティ責任者の責任において、それぞれの各政府機関等で、ISMAP管理基準におけるガバナンス基準及びマネジメント基準の全て、管理策基準のうち統制⽬標及び
末尾にBが付された詳細管理策への適合状況を確認し、対策状況が不⾜している項⽬について当該政府機関等で適切なリスク評価を実施。

各政府機関等は、新規の暫定措置期間を利⽤する場合、利⽤する暫定措置の類型、契約期間のほか、移⾏計画、ISMAPへの申請⾒込み等の各要件への対応について、ISMAP運営委員会事務局が指定する様式・期限にて報告を⾏う。
前倒しで暫定措置期間を終了した場合等、報告内容に変更が⽣じた場合は、その都度、報告を⾏う。

⾃らが利⽤するクラウドサービスと既に複数年の契約を結んでいた場合、契約期間中に移⾏作業を⾏うことは事実上困難であることが想定されるため。

移⾏終了まで注２

移⾏の影響範囲が⼤きい場合、移⾏作業に時間を要することが想定されるため。

現在利⽤しているクラウドサービスの契約終了まで注３

クラウドサービスを既に構築中の場合、構築期間中に⾒直しや移⾏作業を⾏うことは事実上困難であることが想定されるため。

ISMAPへの申請の予定があるSaaSであって、基盤となるIaaSの登
令和５年３⽉31⽇
注４
録が必要等の理由により、暫定措置期間内に間に合わない場合同上

同上

IaaS等の基盤サービスと⽐較し相対的に⼩規模なSaaSサービスの場合、基盤サービスの先⾏登録が必要となるなど、ISMAPへ申請するまでに時間を要することが想定されるため。

（注１）やむを得ない理由により契約期間が延長された場合、延長後の契約期間まで。本決定以降に複数年契約を結んだものは新規の暫定措置期間の対象外。
（注２）やむを得ない理由によりシステム移行期間が延長された場合、延長後の移行期間まで。
（注３）やむを得ない理由により契約期間が延長した場合、延長後の契約期間まで。本決定以降に構築に着手したものは新規の暫定措置期間の対象外。
（注４）ISMAPにおいては、よりリスクの小さい情報システムが利用するクラウドサービスを対象として、簡素な仕組みの検討を予定しており、本パターンについては、その検討結果を踏まえ、必要な場合は暫定措置期間の見直しを行う。

２

新規の暫定措置期間の適⽤スケジュール

３【参考】申請者・登録サービス⼀覧
 登録申請のあったクラウドサービス（１４件）について、本制度の最⾼意思決定機関であるISMAP運営委員会において審議を⾏い、登録・公開を⾏っている。
No.

クラウドサービス名

申請者

登録⽇

1

OpenCanvas (IaaS)

株式会社エヌ・ティ・ティ・データ

2021年３⽉12⽇

2

FUJITSU Hybrid IT Service FJcloud

富⼠通株式会社

2021年３⽉12⽇

3Apigee Edge

Google LLC

2021年３⽉12⽇

4Google Cloud Platform

Google LLC

2021年３⽉12⽇

5Google Workspace

Google LLC

2021年３⽉12⽇

6

Salesforce Services

株式会社セールスフォース・ドットコム

2021年３⽉12⽇

7

Heroku Services

株式会社セールスフォース・ドットコム

2021年３⽉12⽇

8

Amazon Web Services

Amazon Web Services, Inc.

2021年３⽉12⽇

9

NEC Cloud IaaS

⽇本電気株式会社

2021年３⽉12⽇

10KDDIクラウドプラットフォームサービス

KDDI株式会社

2021年３⽉12⽇

11

Oracle Cloud Infrastructure

Oracle Corporation

2021年６⽉22⽇

12

Microsoft Azure, Dynamics 365, and Other
⽇本マイクロソフト株式会社
Online Services

2021年６⽉22⽇

13

Microsoft Office 365

2021年６⽉22⽇

14

エンタープライズクラウドサービス／エンタープライズクラウ
株式会社⽇⽴製作所
ドサービス Ｇ２／フェデレ―テッドポータルサービス

⽇本マイクロソフト株式会社

2021年６⽉22⽇（出典）ISMAPポータルサイト：https://www.ismap.go.jp/csm?id=cloud_service_list４

【参考】政府情報システムのためのセキュリティ評価制度（ISMAP）の基本的流れ
 本制度の基本的な枠組みは、国際標準等を踏まえて策定した基準に基づき、各基準が適切に実施されているか監査するプロセスを経て、クラウドサービスを登録する制度。
 各政府機関は、原則、安全性が評価され「登録簿」に掲載されたサービスから調達。

５

【参考】クラウドサービス調達時のデータ保存場所の考え⽅について• 各政府機関等がクラウドサービスの調達を⾏う場合は、ISMAPの原則利⽤により、信頼できるサービスの利⽤を⾏いつつ、「政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針」や、「政府機関等の情報セキュリティ対策のための統⼀基準群」に基づき、利⽤者⾃らが情報セキュリティに係るリスクを適切に把握した上で、利⽤者データの保存場所の検討を⾏うことが必要である。
政府情報システムにおけるクラウドサービスの利⽤に係る基本⽅針（令和３年３⽉30⽇ 各府省情報化統括責任者（CIO）連絡会議決定）
３.３ Step1:SaaS（パブリック・クラウド）の利⽤検討と利⽤⽅針
1) クラウドサービスの選定(4) クラウドサービスに保存される利⽤者データの可⽤性の観点から、我が国の法律及び締結された条約が適⽤される国内データセンタと我が国に裁判管轄権があるクラウドサービスを採⽤候補とするものとする。ただし、データの保存性、災害対策等からバックアップ⽤のデータセンタが海外にあることが望ましい
場合、⼜は争訟リスク等を踏まえ海外にあることが特に問題ないと認められる場合はこの限りではない。
政府機関等の情報セキュリティ対策のための統⼀基準群（平成30年７⽉25⽇）
4.1.4 クラウドサービスの利⽤遵守事項（１）クラウドサービスの利⽤における対策（b）情報システムセキュリティ責任者は、クラウドサービスで取り扱われる情報に対して国内法以外の法令が適⽤されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準拠法・裁判管轄を指定すること。
ISMAPクラウドサービスリストに掲載し、各政府機関等に提供する情報（ISMAPクラウドサービス登録規則（抜粋））
3.4 申請者は、⾔明書に記載の内容に加えて以下の情報を ISMAP 運営委員会に提供しなければならない。
(1) 申請時点における申請者の資本関係及び役員等の情報(2) クラウドサービスで取り扱われる情報に対して国内法以外の法令が適⽤され、調達府省庁等が意図しないまま当該調達府省庁等の管理する情報にアクセスされ⼜は処理されるリスクについて、ISMAP 運営委員会及び当該省庁等がリスク評価を⾏うために必要な情報(3) 契約に定める準拠法・裁判管轄に関する情報(4) ペネトレーションテストや脆弱性診断等の第三者による検査の実施状況と受⼊に関する情報
7.5 ISMAP クラウドサービスリストには、以下の項⽬を掲載する。
(6) ⾔明の対象範囲※（※ユーザーが選択できるリージョンの記載を含む）(11) 3.4 において提供する情報６【参考】ISMAPによる確認内容
 ISMAPは、共通する⼀定のセキュリティ基準の実施を確認し、各政府機関で個々に⾏っていた確認を省略し効率的に調達することを可能とする制度。
ISMAPによる確認内容①ISMAP管理基準
 ISMAPは、国際規格や統⼀基準等を踏まえ、ISMAP管理基準を策定。
 ISMAP管理基準における統制⽬標とそれを達成するための⼿段である詳細管理策の実装状況を第三者である監査機関が監査するプロセスを経てサービスリストに登録・公開。
②ISMAPにおける要求事項
 ISMAP管理基準に基づく監査に加え、CSPより、国内法以外の法令が適⽤され、調達する政府機関等が意図しないまま当該政府機関等の管理する情報にアクセス⼜は処理されるリスクに関する情報や、準拠法・裁判管轄権等の情報の提供を受け、サービスリストとともに、それらの情報を公開。
→①②を踏まえたサービスリストの利⽤により、個々の政府機関等における情報セキュリティ対策の実施状況の直接確認を省略。

各政府機関等が新規の暫定措置期間を利⽤する場合、本来必要な第三者による監査のプロセスを経ていない点やISMAPにおいて要求事項の確認がなされていない点を考慮の上、各政府機関等は、統⼀基準の改定に伴う各府省庁のセキュリティポリシーの改定時期も踏まえ、⾃らが利⽤するサービスの提供事業者に対し、ISMAPの案内、周知を⾏い、速やかにISMAPの原則利⽤が実施できるよう努める。

７.

資料６－２
イスマップ

政府情報システムのためのセキュリティ評価制度（ISMAP）の暫定措置の見直しについて

令 和 ３ 年 ７ 月 ６ 日
サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定「政府情報システムのためのセキュリティ評価制度」（英語名：Information system
Security Management and Assessment Program、通称：ISMAP（イスマップ）、以下「ISMAP」という。）は、「政府情報システムにおけるクラウドサービスのセキュリティ評価制度の基本的枠組み」（令和２年１月 30 日サイバーセキュリティ戦略本部決定）（以下「基本的枠組み」という。）に基づき、各政府機関等がクラウドサービスを調達する際、ISMAP クラウドサービスリスト（以下「サービスリスト」という。）に登録されたサービスから調達することを原則とする制度である。
各政府機関等における原則利用や暫定措置等、ISMAP の利用の在り方については、基本的枠組みに基づき、「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」（令和２年６月 30 日サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定）（以下「利用の在り方」という。）において決定している。
本決定は、利用の在り方において定めた暫定措置期間が最短で令和３年９月 30 日に期限を迎えるに当たり、ISMAP に対するクラウドサービスの登録申請状況や各政府機関等のニーズ等を踏まえ、制度の利用推進の観点から暫定措置の見直しについて考え方を示すものである。
なお、本決定は、利用の在り方のうち、暫定措置の内容について見直しを行うものであり、暫定措置以外の、原則利用の考え方、各政府機関等と ISMAP 運営委員会との連携、制度運用に必要な経費については、本決定において特段の記載がない限り、利用の在り方をそのまま踏襲するものである。
１

従来の暫定措置期間について
ISMAP は、利用の在り方において、暫定措置（以下「従来の暫定措置期間」という。）を設定しており、各政府機関等は、やむを得ず、登録されていないクラウドサービスを利用中又は利用予定の場合、当該クラウドサービスの名称や現時点の状況を ISMAP 運営委員会事務局に明らかにした上で、クラウドサービスを利用中の場合は ISMAP の開始から１年以内に、クラウドサービスを利用予定の場合は当該サービス利用開始から１年以内に、当該サービスが申請されることを前提として、各政府機関等の責任において利用を継続するとしていた。その場合、各政府機関等は、利用中又は利用予定のサービスの提供事業者に、ISMAP の案内、周知を行うとともに、クラウドサービスプロバイダ（以下「CSP」という。）からその時点での ISMAP
1

の要求事項や管理基準への適合状況について聴取するとしていた。
また、クラウドサービスの登録申請の見込みがない等明らかになった場合、クラウドサービスを利用中の場合は ISMAP の開始から１年が経過するか１年を待たずに申請の見込みがないと明らかになった時点で、クラウドサービスを利用予定の場合は当該サービスの利用開始から１年が経過するか１年を待たずに申請の見込みがな
いと明らかになった時点で、各政府機関等は、速やかに、その状況について ISMAP運営委員会事務局に報告するとともに、必要に応じて ISMAP 運営委員会事務局が実施する調査に協力するとしていた。
なお、情報システムの状況、利用しているサービスの内容は様々であり、必要となる対応や時間を一律に定めることは困難であることから、各政府機関等は、報告後、当該情報システムの対応について検討を行い、移行作業の準備や予算要求等の対応を進めるとしていた。
そのほか、今後、ISMAP の利用推進に資するよう、状況に応じて暫定措置の見直しを行うとしていた。
２

暫定措置の見直しについて
最短で、ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日から１年後の令和３年９月 30 日に従来の暫定措置期間が期限となることから、ISMAP への登録、申請状況等を踏まえ、ISMAP の利用推進に資するよう、従来の暫定措置期間については終了としつつ、真にやむを得ないケースを対象に縮小した新規の暫定措置期間（以下「新規の暫定措置期間」という。）を設定する。

２-ⅰ 従来の暫定措置期間の枠組みについて従来の暫定措置期間は、ケースごとに予定の期限をもって終了する。
① ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日時点で、各政府機関等においてクラウドサービスを利用中であって、令和３年９月 30 日までの暫定措置期間中に当該サービスの ISMAP への申請が見込まれている場合従来の暫定措置期間による対応がなされるものとして、令和３年９月 30 日をもって暫定措置期間を終了する。
② ISMAP がクラウドサービスの申請受付を開始した令和２年 10 月１日以降に利用予定としていたクラウドサービスであって、開発環境の構築、結合テストの実施又は運用開始等により実際にサービスの利用を開始した時点から１年以内に当該サービスの ISMAP への申請が見込まれている場合従来の暫定措置期間による対応がなされるものとして、利用開始から１年以内をもって暫定措置期間を終了する。
2

なお、サービス利用開始時点は、各政府機関等の調達ごとに異なるが、サービスリストの公開が開始されたこと等も踏まえて、サービス利用開始時点からの最終末日を令和４年３月 31 日までとする。
２-ⅱ 新規の暫定措置期間の枠組みについて新規の暫定措置期間の枠組みとして、真にやむを得ないケースを対象に、縮小した新規の暫定措置期間を設定する。
類型①-ⅰ

代替のサービスはあるが、利用中又は利用予定のクラウドサービスと既に複数年の契約を結んでいる場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、複数年の契約期間中に移行作業を行うことは事実上困難であることが想定されることから、このような状況においては、CSP から利用中又は利用予定のサービス又は移行後の代替サービスの申請がなされる見込みであることを要件として、利用中又は利用予定のサービスとの契約期間終了まで暫定措置期間の延長を認めるものとする（当該契約期間において、やむ得ない理由により契約期間が延長された場合も含む）。
なお、ISMAP 立ち上げ後は、クラウドサービスの調達において ISMAP に登録又は申請が要件となっていると想定されることから、本決定以降に複数年契約を結んだものは新規の暫定措置期間の対象外とする。
延長に際しては、当該調達を行う各政府機関等の最高情報セキュリティ責任者の責任において、ISMAP 管理基準におけるガバナンス基準及びマネジメント基準の全て、管理策基準のうち統制目標及び末尾に B が付された詳細管理策（以下「基本言明要件」という。）への適合状況を確認し、対策状況が不足している項目について当該政府機関等で適切なリスク評価を実施するものとする。また、新規の暫定措置期間中の各政府機関等における確認方法としては、例えば、制度側が提供する基本言明要件の一覧表を CSP に提示し、適合状況を確認するといった方法が考えられる。
そのほか、「政府情報システムにおけるクラウドサービスの利用に係る基本方針」（令和３年３月 30 日各府省情報化統括責任者（CIO）連絡会議決定）に基づき、第三者による認証や各クラウドサービスの提供している監査報告書も参照することが考えられる。
各政府機関等は、新規の暫定措置期間を利用する場合、利用する暫定措置の類
型、契約期間のほか、移行計画、ISMAP 申請見込み等の各要件への対応について、ISMAP 運営委員会事務局が指定する様式・期限にて報告を行う。前倒しで暫定措置期間を終了した場合等、報告内容に変更が生じた場合は、その都度、報告を行う。

3

（留意事項）ISMAP は、従来、個々のクラウドサービスが実施していると表明している情報セキ
ュリティ対策の実施状況を調達する者が直接確認することが必要であるところ、
ISMAP が国際規格や統一基準等を踏まえ策定した ISMAP 管理基準における、統制目標とそれを達成するための手段である４桁詳細管理策の実装状況を、第三者である監査機関が監査するプロセスを経てサービスリストに登録・公開し、当該リストを利用することにより、個々の政府機関等における情報セキュリティ対策の実施状況の直接確認が省略できるようになるものである。
また、ISMAP は申請者に対し言明書に記載の内容に加えて、国内法以外の法令が適用され、調達する政府機関等が意図しないまま当該政府機関等の管理する情報にアクセスされ又は処理されるリスクに関する情報や、契約に定める準拠法・裁判管轄等の情報等（以下「要求事項」という。）の提供を受けた上でサービスリストとともにそれらの情報を公開している。
新規の暫定措置期間を利用する場合は、本来必要な第三者による監査のプロセスを経ていない点や ISMAP において要求事項の確認がなされていない点を考慮の上、各政府機関等は、令和３年度の統一基準群の改定に伴う各府省庁のセキュリティポリシーの改定時期も踏まえ、自らが利用するサービスの提供事業者に対し、ISMAPの案内、周知を行い、速やかに ISMAP の原則利用が実施できるよう努めるものとする。
類型①-ⅱ 代替のサービスはあるが、移行の影響範囲が大きい場合移行の影響範囲が大きい場合、移行作業に時間を要することが想定されることから、移行後の代替サービスにおいて申請がなされ、かつ、今年度中に移行計画を定めることを要件として、移行期間までの暫定措置期間の延長を認めるものとする（当該移行期間において、やむを得ない理由により移行期間が延長された場合も含む）。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。
類型①-ⅲ 代替のサービスはあるが、既に情報システムを構築中の場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、情報システムの構築期間中に移行作業を行うことは事実上困難であることが想定されることから、このような状況においては、CSP から利用中又は利用予定のサービス又は移行後の代替サービスの申請がなされる見込みであることを要件として、利用中又は利用予定のサービスとの契約期間終了まで暫定措置期間の延長を認めるものとする（当該契約期間において、やむ得ない理由により契約期間が延長された場合も含む）。
4

なお、ISMAP 立ち上げ後は、クラウドサービスの調達において ISMAP に登録又は申請が要件となっていると想定されることから、本決定以降に構築に着手したものは新規の暫定措置期間の対象外とする。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。
類型②

類型①-ⅰ～ⅲ以外で、ISMAP への申請の予定がある SaaS であって、基盤となる IaaS の登録が必要等の理由により、暫定措置期間に間に合わない場合代替のサービスがある場合、各政府機関等は、移行作業の準備や予算要求等の対応を進めることが望ましいが、IaaS 等の基盤サービスと比較し、相対的に小規模なSaaS サービスの場合、ISMAP における基盤サービスの先行登録が必要になるなど、ISMAP へ申請するまでに時間を要する可能性がある。そのため、CSP からの申請がなされる見込みであることを要件として、暫定措置期間に間に合わない SaaS サービスは、令和５年３月 31 日までの間、暫定措置期間の延長を認めるものとする。
なお、ISMAP においては、よりリスクの小さい情報システムが利用するクラウドサービスを対象として、簡素な仕組みの検討を予定しており、その検討結果を踏まえ、必要な場合は暫定措置期間の見直しを行う。
各政府機関等に確認を求めるセキュリティ要件、新規の暫定措置期間を利用するための要件、ISMAP における監査や申請に関する考え方については、２-ⅱ類型①ⅰと同様とする。

（参考）暫定措置期間は適用せず、ISMAP 原則利用によって対応するもの
今後新規にクラウドサービスを調達する際には、利用の在り方に基づき、ISMAP において登録されたサービスから調達することが原則となるが、加えて、現在利用中又は利用予定のクラウドサービスであっても、上記の暫定措置期間に合致しない場合は原則利用によって対応することとなる。
具体的には、現在利用中又は利用予定のクラウドサービスであって ISMAP 登録申請の見込みがない等明らかになった場合、その時点で、ISMAP の原則利用に従い、各政府機関等は、可能な限り速やかに ISMAP の原則利用ができるよう、当該情報システムの対応について検討を行い、移行作業の準備や予算要求等の対応を進める。なお、移行までの間、利用中又は利用予定のクラウドサービスを調達する政府機関等の最高情報セキュリティ責任者の責任において、ISMAP の要求事項や管理基準を満たしていることを、それぞれの政府機関等で確認することが必要である。
なお、CSP が ISMAP 登録申請の意向を示していたため新規の暫定措置期間を適用していたが、期限内に CSP が ISMAP 申請等を行わなかった場合について、暫定措置期間の延長は認めない。
5

３

その他
各政府機関等は、自らが利用するクラウドサービスの申請見込みに関し、CSP に確認を行うとともに、ISMAP 運営委員会事務局においては、各政府機関等からの調達に係る問合せに対して可能な限り申請状況を開示する。
また、各政府機関等は、必要に応じて ISMAP 運営委員会事務局が実施する調査に協力する。
なお、利用の在り方において、ISMAP の定着状況等を踏まえ、将来的に対象とするとしていた独立行政法人及び指定法人による調達について、サービスリストの公開が開始されたことや、令和３年度の統一基準群の改定により ISMAP の管理基準に沿ったクラウドサービスの選定等が記載されることを踏まえ、セキュリティポリシーの改定に要する期間を考慮し、令和４年４月１日より ISMAP の対象とする。

6