ISMAPとは — 政府調達で使われるクラウドサービスの登録制度
公開: 2026-07-10 ／ 更新: 2026-08-26
ISMAPの概要
ISMAP（Information system Security Management and Assessment Program、イスマップ）は、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録することで、政府機関等のクラウドサービス調達におけるセキュリティ水準の確保を図る制度です。2020年（令和2年）6月に運用が開始されました。NISC・デジタル庁・総務省・経済産業省が所管し、IPA（情報処理推進機構）が制度運用の技術支援を行っています。
登録されたサービスは「ISMAPクラウドサービスリスト」として公開されており、誰でも確認できます。制度は基本規程などの複数の文書で運用されており、評価の基準や登録の手続きが定められています。
ISMAP-LIUとの違い — 見ているリストを区別する
ISMAP-LIU（ISMAP for Low-Impact Use）は、機密性2以下の情報を扱う、リスクの小さな業務・情報の処理に用いる SaaS を対象とした仕組みで、2022年11月に運用が開始されました。通常の ISMAP と比べて評価項目や監査手続きが調整されており、リストも通常の ISMAP クラウドサービスリストとは別に公開されています。
確認するときに大切なのは、「ISMAPクラウドサービスリスト」と「ISMAP-LIUクラウドサービスリスト」は別のリスト・別の基準だという点です。両者をまとめて指す「ISMAP等クラウドサービスリスト」という総称もあるため、いま自分がどちらのリストを見ているのかを区別して確認します。
登録はどう決まるのか
ISMAP の登録は、事業者が制度の基準に沿って自らの管理体制を整え、その内容について外部の監査を受けたうえで、運営側の審査を経て行われます。手続きの詳細な呼称や順序は制度の規程で定められています。ここでは「第三者の監査と運営側の審査を通っている」という点を押さえておけば十分です。
登録に至る過程で何を評価しているかは制度文書で公開されているため、詳しく知りたい場合は基本規程などの一次情報を参照します。
「言明対象範囲」を見る — 登録は会社全体ではない
ISMAP の登録は「クラウドサービス単位」です。同じ事業者でも、登録されているのは特定のサービスであり、その事業者の全サービスや会社全体が対象になるわけではありません。リストでは、サービスの名称や、評価が及ぶ範囲を示す情報が確認できます。
利用を検討しているサービスやプランが、登録されているサービス・範囲と対応しているかを確認します。事業者名が載っているというだけで「そのサービスも評価済み」と読まないことが、ISMS認証のスコープ確認と同じく大切です。
有効期限と状態 — 「その時点」の登録として読む
ISMAP の登録も「その時点」の情報です。登録には有効期限があり、定期的な手続きを経て継続します。周期や次の更新時期は制度の規程・公式リストで確認してください。
登録の状態は動きます。事業者側の届出による内容の変更のほか、制度上、一時停止や登録の削除が行われることもあります。リストに載っていた／載っていないという一時点の事実だけで固定的に判断せず、確認した日付とあわせて記録しておきます。
クラウドサービスリストの見方
実際の確認は、ISMAPポータルの「クラウドサービスリスト」で、サービス名や事業者名から照合します。ISMAP-LIU を確認したい場合は、LIU 用のリストを見ます。表示される項目のうち、サービス名と評価が及ぶ範囲、登録に関する情報を確認し、利用予定のサービスと一致しているかを見ます。
リストの掲載項目や画面の表示は制度の運用に合わせて更新されるため、細かな項目名は実際のポータルで確認するのが確実です。
ISMS・SOC 2 との位置づけの違い
ISMAP は政府調達向けの評価・登録制度で、対象はクラウドサービスです。情報セキュリティ全般の管理体制を対象とする ISMS認証（ISO/IEC 27001）や、サービス組織の統制を監査法人が評価して報告書にする SOC 2 とは、目的も確認できる情報の出方も異なります。ISMS やプライバシーマークの読み方は姉妹記事「ISO/IEC 27001（ISMS）とプライバシーマークの違い」で、SOC 2 を含む横断的な確認手順は「取引先の第三者認証を公開情報で確認する方法」で扱っています。
取得の費用や期間、難易度といった比較の目安が語られることもありますが、そうした数値は出典によって幅があるため、判断は制度の一次情報と、確認できた事実にもとづいて行うようにします。
民間取引での扱い — 必須ではなく参考の一つ
民間企業同士の取引で ISMAP 登録が必須になるわけではありません。政府調達の水準で評価を受けたサービスであることは、取引先を見るときの参考情報の一つになりますが、登録がないことをそのまま問題視するものではありません。自社が扱う情報の重要度に照らして、必要な確認材料の一つとして位置づけます。
登録の有無だけで結論を出すのではなく、確認できた事実（どのサービスが・どの範囲で登録されているか）と、確認できなかった事実（未確認）を分けて記録し、ほかの材料とあわせて判断します。
一度きりで終わらせない — 継続と証跡台帳
ISMAP の登録は更新も変更もあり、状態は動きます。取引が続く相手ほど、一度確認して終わりにせず、定期的に現況を見直す必要があります。
確認を「台帳」として積み上げておくと、いつ・どのリストで・どのサービスの何を確認したかを、稟議や監査で問われたときに証跡つきで示せます。取引先ごとに、情報源（リスト名・URL）・確認日・確認できた範囲・状態を区別して残し、再確認のたびに履歴を重ねます。ISMAP に限らず、ISMS・プライバシーマーク・SOC 2 まで含めた横断的な確認と台帳化の流れは、姉妹記事「取引先の第三者認証を公開情報で確認する方法 — 証跡の残し方まで」で扱っています。
この台帳も表計算ソフトで運用でき、まずは手作業で始められます。手作業での照会や再確認が負担になる場合の選択肢として、uratori はこうした公的リスト・企業公式サイトの照会と、証跡URL・確認日つきの記録を支援します。確認できなかったものを「未取得」と断定しない設計で、1社ずつのスポット調査は登録不要・無料です。保存した取引先の定期的な再確認は、無料プランでも5社まで。それ以上は有料プランで利用できます。