WizとISMAP：日本の公共部門へのサービス提供に向けた取り組み
日本の政府機関がクラウドサービスを利用する場合、「政府機関等のサイバーセキュリティ対策のための統一基準」に基づき、原則としてISMAP（政府情報システムのためのセキュリティ評価制度）の下で整備されたISMAP等クラウドサービスリストに登録されたサービスからの調達が求められます。
ISMAPは、政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録する制度です。ISMAP等クラウドサービスリストに登録されていないことは、政府機関がサービスを選ぶ上での課題となります。Wizは現時点でまだISMAPに登録されていませんが、現在、積極的に管理策への対応を進めており、本稿では進捗状況について共有いたします。
ISMAPの概要と重要性
実務上、ISMAPは調達担当者に対して、事前に審査・登録されたクラウドサービスの一覧（カタログ）を提供します。このリストに登録されるためには、以下のような厳格な基準を満たす必要があります。
ISMAP監査機関リストに登録された監査機関による必須の外部監査
日本語での申請対応と、監査・審査に必要な文書及び証跡の整備
登録後も、制度で定められた更新申請や継続的な監査・確認への対応
内部的な構造として、本フレームワークは既存のグローバルスタンダードを幅広く取り入れています。ISMAP管理基準は、情報セキュリティマネジメント及びクラウドセキュリティ管理策を網羅するISO/IEC 27001及びISO/IEC 27017の日本国内標準である、JIS Q 27001及びJIS Q 27017をはじめとする規格、政府統一基準群等を踏まえて構成されています。ISMAPはこれらのフレームワークと整合していますが、これらの認証を保持していることがISMAPへの登録に直結するわけではありません。さらにISMAPは、中核となるISO規格が明確には網羅していない特殊な要件を補完するため、クラウドプライバシーに関するISO/IEC 27018や、NIST SP 800-53の管理策も取り入れています。
現在、ISMAP管理基準については、改正された国際規格の反映や管理策数の見直し等を内容とする改定案が公表されています。改定案では、管理策体系の整理・合理化が図られており、今後の改定・施行により制度が求める安全性・信頼性を維持しながら、効率化につながることが期待されています。なお、改訂案及び施行時期については、今後変更される可能性があります。
Wizの現在の進捗状況
Wizは過去5年間にわたり、ISO 27001、ISO 27017、SOC 2、PCI DSS、そしてFedRAMPの認証及び第三者評価レポートを維持し続けてきました。コンプライアンスに対する継続的な取り組みにより、私たちのチームには管理策の実装、証跡の収集、そして常時監査に対応できる強固な体制がすでに確立されています。私たちは最近、今後のISMAP監査に向けた準備として、現行のISMAP管理基準及び公表されている改定案に対するギャップ分析（Gap Assessment）を実施いたしました。
ISMAP固有の要件に対応するため、当社はISMAP監査機関向けに必要とされるローカライズされた証跡一式や正式なプロセスの整備を積極的に進めています。並行して、ISMAP監査機関リストに登録された監査機関との調整を進めており、2027年初頭には正式なISMAPの外部監査を開始する計画です。
お客様にお伝えしたいこと
明確にしておきたい点として、ISMAPには公式な「申請中」や「暫定」といったステータスは存在しません。公式リストに登録されているか、されていないかのいずれかであり、現時点において当社はまだ登録されていません。当社が確実にお伝えできるのは、ISO 27001、SOC 2 Type II、PCI DSS、FedRAMP、IRAP、CPSTIC等の認証・評価への対応を通じて蓄積した経験を活用し、ISMAP固有の要求事項についても、確認と準備を進めています。ギャップ分析を完了し、登録監査機関との調整に入っており、円滑に対応できるよう、管理策の成果物整備に前倒しで取り組んでいます。
その間においても、日本のセキュリティチームはすでにWizを活用し、IAM、データ暗号化、ログの集中管理、継続的な脆弱性スキャン、インシデント対応などの監査やポリシー適用を行っています。ただし、Wizの利用のみをもってISMAP管理基準への適合性が確認されるものではありません。
今後の展望
Wizは、評価機関との契約を締結したうえで、2027年初頭は正式なISMAPの外部監査を開始する計画です。監査に関する主な進捗については、今後も随時お知らせします。また、2028年初頭までに評価報告書を提出し、ISMAPへの登録を申請することを目指しています。
日本の公共部向けのコンプライアンス対応を進めているお客様には、Wizの現在のセキュリティ対策や運用状況を説明いたします。また、取得済みのISO認証およびSOC 2報告書を共有し、既存のセキュリティ管理策とISMAPの要求事項にどのように対応しているかをご紹介できます。詳細は、Wizの担当アカウントチーム、またはWizまでお問い合わせください。
