ISMAPとは

2021年3月に、ISMAPという新しい制度が運用開始しました。
ここでは、ISMAPとはどういう制度なのか？他の情報セキュリティ認証などとどのように違うのか等を説明します。

日本語名称は、「政府情報システムのためのセキュリティ評価制度」です。
英訳の（Information system Security Management and Assessment Program）を略した通称として当該制度のことをISMAPと呼びます。

ISMAPは、政府機関のクラウドサービス調達のセキュリティレベルを担保し、クラウドサービスの円滑な導入を行えるようにすることを目的とした制度です。

具体的には、政府が求めるセキュリティ基準を満たしているクラウドサービスを予め評価・登録することで、セキュリティレベルの担保を行います。

同じようにクラウドサービスのセキュリティ認証の代表的なものとして「ISMSクラウドセキュリティ認証」という第三者認証が存在しています。

代表的な違いとしては、ISMSクラウドセキュリティ認証はISMS-ACという組織が管理する仕組みであり、国の制度などが背景にあるものではありません。
一方ISMAPは国の制度に基づき、ISMAP運営委員会という組織が管理を行っています。
その他の代表的な特徴は以下となります。

特徴にもある通り、今後政府機関にクラウドサービスを利用してもらうためにはISMAPに登録されていることが必須となります。

また、クラウドサービスに対して政府が示すセキュリティ水準であることから、地方自治体や民間企業などもセキュリティチェックに活用する可能性が高く、需要は増加傾向になることが想定されます。

政府は2018年に「クラウド・バイ・デフォルト原則」と呼ばれる、情報システムの導入時にはクラウドサービスを第一候補とする考え方を採用しました。
そして、そのクラウドサービス選定のセキュリティレベルを担保し、円滑に進めるためにISMAPが誕生しました。

今後政府のクラウドへのシフトはより顕著になることが想定されますが、その政府機関はISMAPに登録されているクラウドサービスの中からしか調達しないため、ISMAPへの登録することの重要性はより増大するでしょう。

また、ISMAP誕生の背景には、クラウドサービスに対して多くの民間企業が不安を持っていたことも挙げられます。
そのため、政府が管理をするISMAPに対しては政府機関のみならず多くの民間企業も期待をし、活用する可能性が高いです。

社会的なクラウド利用へのシフトと同時に発生するセキュリティレベル担保への期待に応えるためにもISMAPに対応していくことが望まれるでしょう。