ISMAP（政府クラウド調達認証制度）

文書基準: 2026年8月

概要

ISMAP（政府情報システムのためのセキュリティ評価制度、Information system Security Management and Assessment Program）は、政府機関がクラウドサービスを調達する際に求められるセキュリティ水準をあらかじめ評価・登録しておく制度です。2020年6月に運用を開始し、国家サイバー統括室（NCO — 2025年7月にNISCを改組した組織）、デジタル庁、総務省、経済産業省が所管省庁として関わり、情報処理推進機構（IPA）が登録審査を支援する運営支援機関の役割を担っています。

政府は「政府情報システムにおけるクラウドサービスの適切な利用に関する基本方針」を通じてクラウド・バイ・デフォルト原則を採用しており、デジタル庁が構築する政府共通クラウド基盤であるガバメントクラウドも、ISMAP登録を利用条件の一つとしています。すなわちISMAPは、諸外国の公共調達セキュリティ認証（米国のFedRAMP、韓国のCSAPなど）と同様に、公共部門のクラウド調達における事実上の参入ゲートとしての役割を果たしています。

登録プロセス

ISMAPの登録は、おおむね以下の順序で進められます。

対象サービスの決定 — 登録を申請するクラウドサービス（リージョン・サービス範囲を含む）を確定します。
内部統制体制の構築・運用 — ISMAP管理基準（情報セキュリティ管理基準・ガバナンス基準・管理策基準など）に沿って社内のセキュリティ体制を構築し、実際に運用します。
外部監査 — ISMAPに登録された監査機関から、管理基準への準拠状況について外部監査を受けます。
登録申請 — 監査結果を含む書類をIPAに提出します。
技術審査 — IPAが監査結果の内容を技術的に審査します。
登録決定 — ISMAP運営委員会（ISMAP制度の最高意思決定機関）が最終的な登録の可否を決定します。申請受理から登録決定までは、原則として6か月以内を目標としています。

登録後も年1回以上の更新審査があり、一度限りの認証ではなく、継続的に維持すべき体制です。

ISMAPとISMAP-LIU

比較的重要度の低い情報を扱うSaaSにまで正規のISMAP水準の審査を求めると、中小SaaS事業者にとって参入障壁が高くなりすぎるという問題意識から、2022年11月にISMAP-LIU（ISMAP for Low-Impact Use、低リスク利用向けのISMAP）が導入されました。

区分	ISMAP	ISMAP-LIU
対象	政府情報システム全般（機密性の高い情報を含みうる）	相対的に機密性の低い情報を扱うSaaS
審査項目	管理基準全体	クラウドのインフラ・構成に大きな影響を与えるリスクを中心に縮小
監査範囲	幅広い管理戦略の検証	主要リスクに関わる管理戦略に集中
適合対象	大規模インフラ（IaaS/PaaS）、複数府省庁共通利用サービス	中小規模のSaaS、特定業務向けSaaS

ハイパースケーラー・主要事業者の登録状況（2026年8月時点）

事業者	登録状況	備考
AWS	登録済み（東京・大阪リージョンを含む多数のサービス）	ISMAP制度の初期から登録を維持（有効期限満了前に更新を繰り返す）
Microsoft Azure	登録済み（Japan East/Japan West および契約上利用可能な海外リージョンを含む）	Microsoft 365などの関連サービスも併せて登録
Google Cloud	登録済み（Lookerなど個別サービス単位でも順次登録）	サービスごとに登録時期が異なる場合があるため最新の一覧を要確認
Oracle Cloud Infrastructure（OCI）	登録済み（2021年6月に初回登録、以降PaaS・Exadata Cloud@Customerなどに拡大）
さくらインターネット（さくらのクラウド）	登録済み（2021年12月）	国内事業者として初めてガバメントクラウド事業者にも選定
Cloudflare	登録済み（2026年1月発表、効力は2025年12月22日から）	CDN・WAF・DDoS防御、Zero Trust、Workersなど多数のサービスを含む

ゲートとしての性格 — 未登録時は公共調達から排除

ISMAPは、認証というよりも調達適格リストとしての性格に近い制度です。政府機関は原則として、ISMAPクラウドサービスリストまたはISMAP-LIUリストに掲載されたサービスの中から調達することとされているため、リストに掲載されていないサービスは、個別審査手続きを経なければ事実上、政府調達の対象から排除されます。ガバメントクラウドの参加条件にもISMAP登録が含まれており、地方自治体システムのガバメントクラウド移行が拡大するにつれて、ISMAPの影響範囲は中央省庁にとどまらず、地方自治体・公共機関全般へと広がる傾向にあります。

外資系企業およびグローバルSaaSの日本公共調達における示唆

参入障壁であると同時に信頼のシグナル: ISMAPは公共部門への参入の前提条件である一方、登録自体が民間の大企業・規制産業の顧客に対してもセキュリティ水準を証明するシグナルとして活用されます。公共調達を目標としない場合でも参考にする価値があります。
監査・審査のコストと期間: 外部監査機関の選定、管理基準への対応、IPAの技術審査、運営委員会の決定まで、最短でも数か月、長ければ1年近くを要する場合があり、日本進出のロードマップに早期から織り込む必要があります。
ISMAP-LIU活用の余地: 政府全体のシステムではなく特定業務向けSaaSから始める海外企業であれば、ISMAP-LIU経路の負担が相対的に軽くなります。ただし2025年4月の事前申請廃止以降、手続きが通常のISMAPに近づいているため、最新の要件を確認する必要があります。
現地法人・現地監査対応の必要性: 監査・審査の過程では、日本語での文書化や日本国内の監査機関との連携が事実上不可欠です。
外資系企業の登録動向: グローバルハイパースケーラー以外で、非日本系の独立系SaaS事業者の登録事例は比較的限られており、早期の準備と計画が極めて重要です（最新の登録状況はISMAPポータルで直接ご確認いただくことを推奨します）。