ISMAP（イスマップ）は、政府機関が調達するクラウドサービスを事前に評価し、基準を満たしたものをリストに登録しておく制度です。読み方が分かりにくく、ISMSやISO/IEC 27017との関係も整理されないまま語られがちですが、位置づけは明快で、政府調達の入口を決める仕組みにあたります。本稿では、制度の骨格、クラウドサービスリストとISMAP-LIUの違い、管理基準の3層構造と2027年3月に予定される全般改定、登録の流れと費用の見方、そして自社が登録を目指すべきかの判断条件までを、官公庁が公開している一次情報をもとに2026年9月時点で整理します。
まとめ：ISMAPは政府調達の前提であり全事業者向けの認証ではない
ISMAPは、政府が求めるセキュリティ要求を満たしたクラウドサービスをあらかじめ評価・登録し、政府のクラウド調達の水準を確保する制度です。運用開始は令和2年6月。国家サイバー統括室（NISC）が公開する制度説明のとおり、NISC・デジタル庁・総務省・経済産業省の4者が共同運営し、独立行政法人情報処理推進機構（IPA）が制度運用の技術支援を担います。政府機関は原則としてリスト掲載サービスから調達するため、登録の有無が受注機会そのものを左右します。
ただし、すべてのSaaS事業者が取りに行くべき制度ではありません。監査対象となる管理策が多く、外部監査は毎年発生し、費用の公表料金表もない。公的機関向けの売上見込みが立たない段階で着手すると、投資が回収できないまま運用負担だけが残ります。判断の順序は、公的市場での売上見込み、リスクの小さい業務向けのISMAP-LIUで足りるかの検証、そのうえで本体登録の可否、という3段構えが現実的です。2026年9月時点では管理基準の全般改定が進行中で、2027年3月にガイドラインと関係規程類が公表される予定。着手時期の判断には、この改定スケジュールも織り込む必要があります。
ISMAPの読み方と制度の位置づけ：政府調達でクラウドを選ぶ仕組み
まず、名前の読み方と、この制度がどの政策文脈に置かれているかを押さえます。
ISMAPの読み方はイスマップ・2020年6月に始まった政府の評価制度
ISMAPは「イスマップ」と読みます。正式名称は「政府情報システムのためのセキュリティ評価制度」で、英語表記 Information system Security Management and Assessment Program の頭文字を取ったものです。制度の骨格は、令和2年1月30日にサイバーセキュリティ戦略本部が決定した「政府情報システムにおけるクラウドサービスのセキュリティ評価制度の基本的枠組みについて」で定められ、同年6月に運用が始まりました。制度の目的は、各府省がクラウドサービスを調達するたびに個別にセキュリティ審査を行う非効率を解消し、評価済みのサービス群から選べる状態を作ることにあります。読み方を検索する人の多くは、調達仕様書や社内稟議で初めてこの単語に出会っています。
政府機関が原則としてリスト掲載サービスから調達する運用上の根拠
ISMAPが効力を持つのは、制度そのものではなく調達側のルールによってです。令和2年6月30日、サイバーセキュリティ対策推進会議と各府省情報化統括責任者（CIO）連絡会議が「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」を決定し、政府機関は原則としてISMAPクラウドサービスリストに掲載されたサービスから調達する運用が定まりました。翌年の令和3年7月6日には、同じ会議体が暫定措置の見直しを決定しています。つまり、事業者から見たISMAPは任意の品質ラベルではなく、政府調達の入札に参加できるかどうかの前提条件として働く。この点が、取得が任意のISMS認証と決定的に違うところです。政府がクラウドサービスを第一候補とする方針そのものは、クラウド・バイ・デフォルト原則として2018年から示されてきました。
ISMSやISO27017との守備範囲の違いと取得が重複しない部分
ISMAPをISMS（ISO/IEC 27001）の政府版と説明する記事がありますが、正確ではありません。ISMSは組織の情報セキュリティマネジメントシステムが規格に適合しているかを認証する仕組みで、対象は組織。ISMAPが評価するのは特定のクラウドサービス単位の統制であり、対象はサービスです。クラウド固有の管理策を扱う点ではISO/IEC 27017に基づくクラウドセキュリティ認証と重なる部分がありますが、ISMAPは政府の統一基準を出発点に管理策を組み立てているため、要求の粒度と証跡の求め方が異なります。統一基準の項番を受託システムの設定と証跡へ落とす作業は政府統一基準の実装：令和7年度版と2026年6月改定の要件を設定とコードに落とすで扱っています。実務上は、ISMSやISO/IEC 27017を先に取得している事業者ほど、文書体系と運用記録が揃っているぶんISMAPの準備が軽くなる、という関係で捉えるのが妥当です。
ISMAPクラウドサービスリストとISMAP-LIUの対象範囲の違い
ISMAPには2つのリストがあり、対象とする情報の重要度が違います。ここを取り違えると、必要のない負担を背負うことになります。
ISMAPクラウドサービスリストの確認方法と掲載情報が変わる頻度
掲載サービスはISMAPポータルのクラウドサービスリストで公開され、サービス名・事業者名・登録番号などを誰でも確認できます。件数は登録と更新のたびに動くため、記事や資料に書かれた数字をそのまま引くのは避けたほうが安全です。直近ではデジタル庁が2026年8月31日にクラウドサービスリスト等を更新したと公表しています。更新対象はISMAPクラウドサービスリスト、ISMAP-LIUクラウドサービスリスト、監査機関リストの3つ。調達仕様書を書く側も、提案書に登録状況を書く側も、確認日を添えて記載しておくと後で齟齬が起きません。
ISMAP-LIUが対象とするリスクの小さい業務と情報の具体的な範囲
ISMAP-LIU（LIU＝Low-Impact Use）は、ISMAPの枠組みのうち、リスクの小さな業務・情報の処理に用いるSaaSを対象とした仕組みで、令和4年11月1日から運用されています。想定されるのは、機密性の高い行政情報を扱わない業務、たとえば庁内の会議調整や研修受講の管理といった領域。求められる管理策の範囲が本体より狭く、事業者側の準備負担も相対的に軽くなります。デジタル庁によるISMAP-LIUの登録促進の取組みは、この枠組みを利用する事業者を増やす方針を示したものです。自社サービスが扱う情報の重要度が低いなら、本体登録の前にLIUを検討する価値があります。
クラウドサービスリストに未掲載のサービスを調達できる例外の条件
「原則として」という表現が示すとおり、未掲載サービスの調達が完全に閉ざされているわけではありません。リストに該当するサービスが存在しない場合など、各府省が個別にリスク評価を行ったうえで調達する余地は残されています。ただしこの経路は、調達担当者が評価の妥当性を自ら説明する責任を負うため、実務では選ばれにくい。事業者が営業戦略として「例外規定があるから登録は不要」と判断するのは、機会損失につながりやすい読み方です。逆に発注側の立場では、要件を満たすサービスがリストに無いときの進め方をあらかじめ整理しておくと、調達の停滞を避けられます。
ISMAP管理基準の構成と2027年3月に予定される全般改定の中身
ISMAP対応の負担を決めるのは管理基準です。2026年9月時点では、この基準そのものが大きく作り替えられる途中にあります。
管理基準・管理策基準・詳細管理策という3層構造の実務的な読み方
ISMAP管理基準は、上位の統制目標から具体的な実施事項へと段階的に降りていく構造を取ります。おおまかには、ガバナンス基準・マネジメント基準にあたる層、統制目標を示す管理策基準の層、そして統制目標を満たすために実施すべき事柄を細かく記述した詳細管理策の層、という3層です。監査で証跡を求められるのは最下層の詳細管理策で、事業者の工数もここに集中します。準備を始めるときは、上から順に読むより、自社サービスの構成図と運用フローを先に描き、そこへ詳細管理策を突き合わせてギャップを洗い出す進め方が効率的です。文書だけを整えても、運用記録が伴わなければ監査は通りません。
詳細管理策1,081項目を253項目へ絞る改定案と5分類への再編
管理策の数が多く事業者の負担になっている、という課題は制度側も認識してきました。NISC・デジタル庁・総務省・経済産業省が令和7年9月18日から10月17日まで実施したISMAP管理基準（案）等の意見公募では、改定の狙いとして、JIS Q 27001およびJIS Q 27002の改定に伴う情報セキュリティ管理基準の改正への対応と、政府統一基準（令和7年度版）およびSP 800-53 Revision 5を参照しつつ管理策の数を減らす見直しが挙げられています。公表された改定案では、従来5章から18章に分かれていた管理策基準を、ISO/IEC 27002の4分類（組織的・人的・物理的・技術的）にクラウドサービス固有の管理策を加えた5分類へ再編し、詳細管理策を1,081項目から253項目へ絞る整理が示されました。数が4分の1以下になるという点だけが独り歩きしがちですが、統制目標そのものが減るわけではない。記述を必要最小限に絞った結果としての項目数であり、求められる統制の水準が下がると読むのは誤りです。
2026年から2027年3月までの改定スケジュールと現行基準の扱い
改定は、基準本体の公表で完了するわけではありません。2026年1月から2027年3月にかけてガイドラインの策定と関係規程類の改定作業、関係者への意見照会が進み、2027年3月にガイドラインと関係規程類が公表される予定です。現行基準との並行運用の期間や切り替え方法は、2026年9月時点で確定した形が示されていません。したがって、これから登録準備に入る事業者の判断は2つに分かれます。既に対応を進めているなら現行基準で走り切る。着手前で公的市場への参入が2027年度以降になるなら、新基準のガイドライン公表を待って設計する。どちらの場合も、証跡の取り方が変わる可能性を前提に、記録の粒度を落とさず運用しておくのが安全側の選択です。
ISMAP登録の流れと監査機関の役割・費用と期間の実務的な目安
ここからは、実際に登録を進める場合の工程とコストの見方を扱います。
申請前の準備から登録の判断までの工程と監査機関が担う役割の範囲
大きな流れは、社内体制と文書の整備、管理基準とのギャップ分析、統制の実装と運用記録の蓄積、ISMAPの登録監査機関による監査、監査報告書を添えた登録申請、ISMAP運営委員会による登録の判断、という順に進みます。監査を担うのは、ISMAPポータルの監査機関リストに掲載された機関です。監査機関は、事業者が申告した統制が実際に運用されているかを証跡で確かめる立場であり、統制そのものを設計してくれる存在ではありません。ここを混同すると、監査契約を結んでから準備不足が判明して手戻りが起きます。設計と実装は事業者側、あるいはコンサルティングや開発の外部パートナー側の仕事だと切り分けておく必要があります。
登録までにかかる期間の目安と毎年の更新監査という継続的な費用負担
所要期間について、制度側が一律の日数を公表しているわけではありません。実際の期間は、既存のISMS運用の有無、サービスの構成の複雑さ、証跡がどこまで自動的に残る仕組みになっているかで大きく変わります。文書の新規作成から始める事業者では、準備だけで年単位になる例が珍しくないと説明されています。見落とされやすいのは、登録が一度きりの取得で終わらない点です。ISMAPは監査対象期間を定めて外部監査を繰り返す仕組みで、登録を維持する限り毎年の監査費用と対応工数が発生します。初年度の投資額だけで採算を判断すると、2年目以降に想定外の負担が乗ります。
公開された料金表がないISMAP費用の見方と社内で見積もる費目
「ISMAP 費用」で検索しても公式の料金表は出てきません。監査費用は監査機関との個別契約で決まり、対象サービスの規模と証跡の整備状況によって幅が出るためです。解説記事で語られる金額は各社の実績に基づく相場観であって、制度が定めた価格ではない点に注意してください。社内で見積もりを組むなら、費目を分けて積み上げるのが確実です。監査機関へ支払う監査費用、ギャップ分析や文書整備を委託する場合のコンサルティング費用、統制を実装するための開発・インフラ費用、証跡収集と監査対応に取られる自社人件費、そして毎年の更新監査費用。この5つを年次で並べると、単年度の見かけの金額に惑わされずに済みます。費用構造の考え方自体はISMS認証の取得・維持にかかる費用と近く、審査費用より人件費のほうが大きくなりやすい傾向も共通しています。
ISMAP登録を目指すべき事業者と見送ってよい事業者の判断条件
ここが本稿の結論部です。制度の解説だけでは決められない「自社はどうするか」を、条件を切って言い切ります。
公的機関向けの売上見込みから判断するISMAP登録の採算ライン
登録を目指すべきなのは、次の条件が揃う事業者です。第一に、府省庁または独立行政法人への提供が既に商談として存在し、失注理由に「ISMAP未登録」が挙がっている。第二に、公的機関向けの売上が単年ではなく複数年にわたって見込める。第三に、対象サービスの構成が安定しており、監査対象期間中に大規模なアーキテクチャ変更を予定していない。この3つのうち1つでも欠けるなら、着手時期を後ろに倒す判断が妥当です。特に3つ目は軽視されがちで、リプラットフォームの計画と登録準備が並走すると、監査直前に証跡の整合が取れなくなります。自治体向けが主戦場なら、ISMAPよりガバナンスの枠組みとしてのガバメントクラウドの要件を先に確認したほうが、実際の商談に直結します。
登録を見送ってよい場面とISMAP-LIUで足りる条件の見極め
見送ってよい、と言い切れる場面もあります。自社サービスが扱うのが機密性の低い業務情報に限られ、行政の基幹業務や個人情報の大量処理に触れないなら、本体登録は過剰です。この場合はISMAP-LIUで要件を満たせるかを先に検証します。もう1つ、公的機関向けの引き合いが年に数件で、金額規模も小さい段階での着手は勧めません。毎年発生する監査費用と対応工数が、得られる売上を上回る可能性が高いためです。この段階で取るべき手は登録ではなく、パートナー企業の登録済みサービス上で自社機能を提供する、あるいは自治体の個別調達に対応できるだけの統制を整えて実績を積む、という迂回路になります。制度は営業機会の入口であって、事業の目的ではありません。
受託開発側がISMAP管理基準を設計要件へ翻訳するときの着眼点
発注者から「ISMAP対応で」と言われたとき、開発側が最初にやるべきは要求の分解です。管理基準の詳細管理策は、そのままでは設計書に落ちません。アクセス制御、暗号化、ログの保全期間、脆弱性対応の期限、変更管理の承認フロー、インシデント時の報告経路といった単位に割り、それぞれを「どの機能で実現し、どの記録で証明するか」の2列で表にすると、実装対象と運用対象の切り分けが見えます。証跡が人手の台帳に依存する設計は、初年度は通っても2年目の監査で崩れる。ログ収集と権限棚卸しを仕組みで自動化しておくことが、維持コストを左右します。官公庁・自治体向けの調達要件を織り込んだ設計と開発の進め方については、公共システム開発の考え方が参考になります。
よくある質問
ISMAPについて検索される機会の多い疑問を、2026年9月時点の一次情報をもとに整理します。
ISMAPの読み方と正式名称は何ですか？
「イスマップ」と読みます。正式名称は「政府情報システムのためのセキュリティ評価制度」で、英語表記 Information system Security Management and Assessment Program に由来する略称です。運用開始は令和2年6月。NISC・デジタル庁・総務省・経済産業省の4者が共同で運営し、IPAが制度運用に必要な技術支援を担っています。調達仕様書では略称のまま記載されることが多く、読み方を知らなくても実務上の支障はありませんが、社内説明の場では正式名称を添えると制度の性格が伝わりやすくなります。
ISMAP認証という言い方は正しいのですか？
厳密には「認証」ではなく「登録」です。ISMAPは、基準を満たすと評価されたクラウドサービスをISMAPクラウドサービスリストに掲載する仕組みであり、組織に認証を与えるISMS（ISO/IEC 27001）とは制度の作りが違います。日常会話や求人票では「ISMAP認証」という表現も見かけますが、提案書や仕様書では「ISMAPクラウドサービスリストへの登録」と書くのが正確です。対象がサービス単位である点も、この表記の差に表れています。
ISMAP管理基準はどこで入手できますか？
ISMAPポータルの規程類のページで公開されており、事業者が登録申請にあたって実施すべきセキュリティ対策の一覧と、その使い方が示されています。2026年9月時点では改定作業が進行中で、改定案は令和7年9月18日から10月17日まで意見公募にかけられました。ガイドラインと関係規程類の公表は2027年3月が予定されています。これから読み始めるなら、現行版で全体構造をつかみつつ、改定案の分類（組織的・人的・物理的・技術的・クラウドサービス固有）にも目を通しておくと、切り替え時の負担が軽くなります。
ISMAPとISMAP-LIUはどちらを取るべきですか？
扱う情報の重要度で決まります。行政の基幹業務や機密性の高い情報を処理するなら本体、リスクの小さな業務・情報の処理に用いるSaaSならISMAP-LIUが対象です。LIUは令和4年11月1日から運用されており、求められる管理策の範囲が狭いぶん準備負担が軽くなります。判断に迷う場合は、想定する調達案件の仕様書がどちらのリストを指定しているかを確認するのが早道です。仕様書の指定は、自社の自己判断より優先されます。
ISMAPに登録すると民間企業からの受注にも効果がありますか？
間接的な効果は期待できます。政府の基準を満たしたという事実は、金融や医療など統制要件の厳しい業界の調達で説明材料になるためです。海外企業との取引で同種の証明を求められる場合は、SOC2の5基準とType1・Type2の違いを整理した記事もあわせて確認してください。ただし民間の取引先が直接ISMAP登録を要件に挙げる例は多くなく、多くの場合はISMSやISO/IEC 27017、SOC 2報告書のほうが求められます。民間向けの信用獲得だけを理由に登録費用を投じるのは、費用対効果が見合いません。公的機関向けの売上見込みを主たる根拠に据え、民間への波及は副次的な効果として位置づけるのが妥当な整理です。
関連記事
- ガバメントクラウドの対応ベンダー5社と選定基準：政府・自治体向けクラウドの認定要件と国産クラウドの位置づけを整理しています。
- ソブリンクラウドとガバメントクラウドの違い：データ主権・法域・運用主体の観点から公共向けクラウドを選び分ける基準を扱っています。
- クラウドセキュリティとは？リスクと責任共有モデル：ISMAPの管理策を読む前提となる、クラウド固有のリスク分担を解説しています。
