クラウドの安全性を見極める
ISMAP・ISMAP-LIUとは？役所がクラウドを選ぶときの安全チェックを身近な例で解説
自治体が施設の予約サイトを導入するとき、便利さだけでクラウドサービスを選んでよいのでしょうか。政府機関等が使うサービスの安全性を、共通のものさしで評価する考え方を解説します。
1. 役所がクラウドを使うとき、何を心配する？
市の担当者が、市民会館の予約受付を紙の台帳からオンラインサービスに置き換えるとします。担当者は、窓口に来なくても予約できる便利なサービスを見つけました。
予約が漏れたら？
氏名や連絡先、利用予定が第三者に見られるかもしれません。これは機密性の問題です。
予約が変わったら？
予約日や部屋番号が勝手に書き換わると混乱します。これは完全性の問題です。
使えなくなったら？
受付時間中にシステムが停止すると予約できません。これは可用性の問題です。
こうした心配は、サービスの宣伝文句だけでは解消できません。事業者がどのような安全対策を行っているかを、共通の基準で確かめる必要があります。
2. そもそもクラウド、SaaS、IaaSって何？
クラウドサービスは、インターネットなどのネットワーク経由でコンピュータの機能を利用する仕組みです。自社や役所でサーバを一から管理しなくても、必要な機能を利用できます。
| 種類 | 借りるもの | 身近なイメージ |
|---|---|---|
| SaaS | 完成したアプリ | 予約管理、メール、オンライン会議 |
| PaaS | アプリを動かす開発・実行環境 | アプリの土台を借りて自分で作る |
| IaaS | 仮想サーバやネットワーク | 計算機を借りてOSやアプリを用意する |
ISMAP-LIUでは特にSaaSが対象になります。すべてのクラウドサービスがISMAP-LIUの対象になるわけではありません。
3. ISMAPは「政府がクラウドを選ぶための共通チェック制度」
ISMAPは「Information system Security Management and Assessment Program」の略で、日本語では政府情報システムのためのセキュリティ評価制度と呼びます。
① 共通の要求事項
政府がクラウドに求めるセキュリティ管理の基準を設けます。
② 評価・監査
クラウド事業者の管理の仕組みと対策の運用状況などを確認します。
③ リストに登録
審査を経たサービスを、調達時に参照できるリストに掲載します。
それぞれの役所が最初から同じ項目を個別調査する負担を減らし、安全性の判断をそろえることが目的です。
ただし政府による無条件の安全保証ではありません。利用者側のアクセス権設定、職員への教育、運用ルールなどは別途必要です。
4. ISMAP-LIUは何が違う？
LIUは Low-Impact Use（影響の小さい利用）の略です。ISMAP-LIUは、政府機関等で扱う情報・業務のうち、リスクが小さいものの処理に用いるSaaSを対象とする制度です。
| 比べる点 | ISMAP | ISMAP-LIU |
|---|---|---|
| 想定 | 政府のクラウド利用に広く対応 | 低影響の業務・情報に用いるSaaS |
| 対象サービス | SaaS・PaaS・IaaS等 | SaaS |
| 評価 | 定められた管理基準・外部監査と審査 | 影響度評価を伴い、外部監査対象の一部を縮小して内部監査を組み合わせる |
| 注意 | 登録だけで用途が決まるわけではない | 「安いサービス向け」ではなく影響度で考える |
5. 『リスクが小さい』はデータの種類だけでは決まらない
同じ「予約アプリ」でも、何を登録するかで影響は変わります。会議室名と空き状況だけなら影響が比較的小さくても、健康情報や秘匿性の高い相談内容まで扱うなら話は別です。
- 機密性：漏れたとき個人・組織にどんな影響があるか。
- 完全性：勝手に変わったとき、行政サービスや住民に何が起きるか。
- 可用性：止まったとき、住民の生命・安全や業務継続に影響があるか。
なお、デジタル庁が説明するISMAP-LIUの対象は、機密性2情報を扱うSaaSのうち、リスクの小さな業務・情報の処理に用いるものです。単に「公開情報しか扱わないから必ずLIU」という判断ではありません。
例：災害情報を扱う場合
氏名などの秘密情報が少なくても、避難指示の連絡に使うサービスなら停止の影響が重大かもしれません。「機密性が低い＝全部のリスクが低い」という決め方はできません。
6. ISMAP-LIUへの登録はどんな流れ？
クラウド事業者が「うちの予約SaaSは安全です」と宣言するだけでは登録されません。大まかには次の確認が必要です。
利用する業務・情報を想定する
SaaSがどう使われ、どんな情報を扱うかを整理する。
政府機関等による影響度評価
実際の業務・情報の影響度を評価する。申請時には制度に沿った評価結果などが必要になる。
管理策と監査の準備
事業者が必要な安全管理を実施し、制度で定められた外部監査・内部監査等を整える。
申請・審査
必要書類を提出し、登録要件を満たすか審査される。
登録後も運用
変更・インシデント対応、更新などの継続的な管理が必要。
制度は改訂されます。書類の種類や手続の詳細は、ISMAP公式の制度規程一覧で確認してください。
7. ISO 27001・27017、SOC報告書、政府統一基準群との違い
どれも安全性に関係しますが、何を示す仕組みなのかが異なります。まとめて「安全認証」と呼んでしまうと誤解が生まれます。
| 名前 | ひとことで | 見るポイント |
|---|---|---|
| ISMAP / ISMAP-LIU | 政府のクラウド向け評価・登録制度 | 対象サービスと制度上の基準・審査 |
| ISO/IEC 27001（JIS Q 27001） | 情報セキュリティマネジメントシステムの要求事項 | 組織の情報セキュリティ管理体制 |
| ISO/IEC 27017（JIS Q 27017） | クラウド固有のセキュリティ管理策の指針 | クラウド向け対策（関連する認証制度もある） |
| SOC報告書 | 受託サービスの内部統制に関する保証報告書 | 対象範囲・規準・期間・監査意見 |
| 政府統一基準群 | 政府機関等が守るべきセキュリティ対策の基準 | 行政機関側の対策ルール |
たとえば、ISO 27001の認証を持つ会社だからといって、その会社のすべてのSaaSがISMAPに登録されているわけではありません。またSOC報告書も、その内容がどのサービス・期間・統制を対象にしているかを見る必要があります。
8. 操作して考える：このサービスはLIUの候補？
以下は学習用の仮想ケースです。用途を切り替え、「影響度評価」「監査」「登録」の条件を順に確認してください。実際の制度では、詳細な要求事項と正式な審査があります。
クラウド導入の判断を体験する
以下は考え方を学ぶための仮想例です。制度上の正式判定ではありません。
想定：地域センターの予約・受付をオンラインで行う（仮想例）。
影響の見立て：扱う情報・業務によっては低影響の可能性
予約情報に何が含まれるか、漏えい・改ざん・停止時の影響を評価する必要があります。
登録までの確認ステップ
9. よくある誤解を整理する
誤解①：LIUは『安いクラウド』を選ぶ制度？
違います。Low-Impact Useは低影響の利用の意味です。料金や企業規模によって決まるものではありません。
誤解②：ISMAP登録があれば情報漏えいは起こらない？
登録は一定の評価・審査を経たことを示しますが、あらゆる事故を防ぐ保証ではありません。利用者側の権限管理や設定も必要です。
誤解③：ISO 27001・27017の認証＝ISMAP登録？
別の制度です。使う目的や評価対象、手続が異なります。
誤解④：SaaSならすべてISMAP-LIU？
違います。低影響の業務・情報に用いるSaaSという条件など、制度上の要件を確認します。
誤解⑤：登録したら一度も見直さなくていい？
違います。運用中の変更、重大インシデント、登録更新などに対応する必要があります。
10. まとめ：『サービスの安全』と『利用目的に合うか』を分ける
ISMAPは政府のクラウド利用に向けたセキュリティ評価・登録制度。ISMAP-LIUは、そのうち影響の小さい業務・情報の処理に使うSaaSを対象にする制度です。
この記事は身近な例を用いた技術解説です。2024年3月1日改定のISMAP-LIU登録規則を扱う資料を出発点とし、制度概要や対象について公式情報も参照しています。導入・申請判断では必ず最新版の公式規程に従ってください。
参考：ISMAP制度概要 ／ デジタル庁 ISMAP-LIU ／ 制度規程等