ISMAP対応準備評価とISMAP監査

ISMAP(政府情報システムのためのセキュリティ評価制度)は、公共部門が調達するクラウドサービスのセキュリティを評価するために日本政府が定めた枠組みです。SaaS、PaaS、IaaSを政府機関に提供する場合、通常はこの制度への適合が前提条件となります。

対応準備評価は、ギャップを特定し証跡パックを整備して正式な評価機関に備えるための事前評価です。ISMAP監査は、管理策をテストし調達ゲートに必要な正式な報告書を作成する独立した保証レビューです。

多くの場合、対応準備評価は8〜16週間かかります。サービスの規模、既存の管理策の成熟度、証跡提供の速さによって変動します。

正式なISMAP監査は、キックオフから最終報告書まで通常8〜14週間かかります。証跡評価、管理策テスト、評価機関レビュー、是正状況の検証を含みます。

理想的には、RFP提出、契約更新、または日本政府機関との本稼働予定の3〜6か月前です。早期に着手することで、案件を遅らせることなくギャップを是正する時間を確保できます。

当社への依頼に日本法人は不要です。正式なISMAP監査は認定評価機関が実施する必要がありますが、当社がそのレビューに向けた準備を支援し、必要に応じて国内評価機関との調整も代行します。

一般的な証跡には、セキュリティポリシー、アクセス管理記録、変更管理ログ、インシデント報告書、ネットワークおよびアーキテクチャ図、クラウドの責任共有モデル、委託先契約、ペネトレーションテスト結果などが含まれます。

指摘事項、重大度評価、是正計画をまとめた経営報告書をお渡しします。その後、指摘事項のクローズ、再評価、継続的なコンプライアンスモニタリングを支援し、常に監査対応可能な状態を維持します。

はい。ISMAPでは定期的な再評価と継続的なモニタリングが求められます。当社は変更点を追跡し、四半期ごとに管理策をテストする継続支援プログラムを提供し、各再評価サイクルに備えます。