ISMAP登録は政府クラウド調達の入口である保証の範囲と限界を問う

ISMAPは政府が求める水準を事前に確かめる制度だが、登録は対象サービスの範囲に限られ、安全の全体や受注まで保証するものではない。

CERT PRESS編集部2026年11月13日

ISMAP登録は政府クラウド調達の入口である保証の範囲と限界を問う — イメージ画像

登録は入口であり安全の保証ではない

政府情報システムのためのセキュリティ評価制度（ISMAP）への登録をめぐる発表が、相次いでいる。アカマイ・テクノロジーズ合同会社は2026年11月、親会社Akamai Technologies, Inc.の3製品がISMAPのクラウドサービスリストに登録されたと発表した。Wiz Cloud Japan株式会社は同月、登録に向けた対応を進めていると公表した。FIXERも同年7月、生成AIサービスがISMAP-LIUのクラウドサービスリストに登録されたと伝えている。

こうした発表は、登録を安全性の証明のように受け取らせがちである。しかし、ISMAPが保証するのは、政府が求めるセキュリティ要求を満たすかどうかを、あらかじめ評価したという事実にとどまる。登録は対象とされた特定のサービスと範囲に及ぶものであり、事業者のすべてのサービスの安全を認めるものではない。登録を調達の入口と捉え、その範囲を確かめる姿勢が、発注側にも受注側にも欠かせない。

クラウド・バイ・デフォルトから生まれた制度

政府機関は「政府機関等のサイバーセキュリティ対策のための統一基準」に基づき、原則としてISMAP等クラウドサービスリストに登録されたサービスから調達する。評価は、監査機関リストに登録された民間の監査法人などによる外部監査で行われ、登録後も更新申請や継続的な監査への対応が求められる。

管理基準は、ISO/IEC 27001とISO/IEC 27017の国内規格であるJIS Q 27001およびJIS Q 27017、政府統一基準群を踏まえて構成され、ISO/IEC 27018やNIST SP 800-53の管理策も取り入れている。リスクの小さな業務・情報を扱うSaaS向けには、ISMAP-LIUという枠組みが設けられている。

効率化を評価する声と負担を指摘する声

登録を肯定的に捉える側は、調達の効率化を根拠に挙げる。アカマイは、事前に検証された第三者評価を使うことで、政府機関が調達時の審査の重複作業を減らせると説明している。FIXERも、登録サービスは行政機関が新たに導入する際の工数や手間を減らすと述べた。民間企業にとっても、パートナーを評価する際の指標になるという主張である。

一方、事業者側の負担を指摘する見方もある。マジセミ株式会社の告知によれば、ISMAPの管理基準が求める管理策は約1,200項目に及び、ISMS（ISO 27001）やISO 27017を取得していても、文書化や証跡、監査対応の作法が異なるため、その延長で済むと考えるのは誤解だという。ISMAP登録は入札のスタートラインに立つ要件にすぎず、落札できるかは別の経営判断になるとも指摘している。Wizも、既存の認証の保持が登録に直結するわけではないと述べ、2027年初頭に外部監査を開始し、登録を2028年初頭までに目指す計画を示している。

保証される範囲を正しく読むことが核心

両者の主張は対立するというより、同じ制度の別の面を見ている。調達側の審査負担を減らすという効用は、事前評価という仕組みから説明がつく。事業者側の負担が重いという指摘も、約1,200項目の管理策と外部監査、更新対応という構造から裏づけられる。問題は、効率化の効用が「登録されていれば安全」という短絡的な理解に変わることである。

ISMAPが示すのは、特定のサービスが所定の管理基準に照らした評価を経たことだ。事業者の全サービスが対象になるわけではなく、導入先の組織が自らのデータの扱いや運用体制を点検する責任も、登録によって消えない。評価制度としての信頼は、登録の範囲と更新の実績が正確に伝わってこそ保たれる。

もう一つの課題は、登録が参入要件として働く度合いである。マジセミの告知は、中央省庁だけでなく地方自治体でも登録サービスを原則採用する動きが広がっていると述べている。登録が事実上の条件になるほど、費用と工数を負担できる事業者が有利になり、公共調達の選択肢が狭まる懸念がある。安全の水準を保ちつつ、負担を過度に重くしない設計が問われる。

制度の改定を見据えた当事者の務め

制度は固定されたものではない。ISMAP管理基準には、改正された国際規格の反映や管理策数の見直しを内容とする改定案が公表されており、管理策体系の整理と合理化が図られている。PwCは、2025年12月25日に公表された管理基準改定案を、今後の登録や対応への影響という観点で解説している。Wizは、改定案と施行時期が今後変更される可能性があるとしている。

事業者には、登録の発表で対象サービスと範囲を明示することが求められる。登録の事実を、事業者全体の安全性を示すかのように語るべきではない。調達する側は、リストへの登録を入口として扱い、扱う情報の重要度に応じてISMAPとISMAP-LIUのどちらの枠組みの登録かを確かめたうえで、自らの運用に照らして評価を重ねる必要がある。

制度を運営する側には、改定による効率化が安全水準の低下にならないよう、見直しの根拠を丁寧に示すことが期待される。登録が何を保証し、何を保証しないのかを関係者が共有してこそ、政府のクラウド調達は信頼できるものになる。