『公共SaaS参入にはISMAPは必須？監査費用・工数・期間の実態から、登録判断の材料を整理する』というテーマのウェビナーを開催

■公共クラウド調達でISMAP登録要件が壁に。SaaS事業者の対応が急務に
2018年に政府が「クラウド・バイ・デフォルト原則」を打ち出して以降、政府機関の情報システム調達ではクラウドサービスの利用が標準方針となりました。これに伴い、政府が求めるセキュリティ水準を満たすクラウドサービスをあらかじめ評価・登録する制度として、2020年にISMAP（政府情報システムのためのセキュリティ評価制度）の運用が開始されています。各府省庁は原則としてISMAPクラウドサービスリストに登録されたサービスの中から調達を行う方針が示されており、公共領域へのSaaS展開を目指す事業者にとって、ISMAP登録は事実上の参入要件になりつつあります。
さらに、ISMAPの活用範囲は中央省庁にとどまらず、地方自治体においても登録サービスを原則採用する動きが広がっており、ISMAP登録の有無が受注可否を直接左右する場面は今後さらに増えると見込まれます。公共クラウド市場の拡大とともに、自社のSaaSサービスを公共領域へ展開するためのISMAP登録対応は急務となっています。

■「ISMSがあれば通じる」は誤解。ISMAP登録は作業・作法の違いで工数・費用が見通せない
ISMS（ISO 27001）やISMSクラウドセキュリティ認証（ISO 27017）を取得済みの企業では、「その延長線上でISMAP登録まで対応できるだろう」と考えるケースが少なくありません。しかし、ISMAPの管理基準はJIS Q 27000シリーズに加えて政府統一基準やNIST SP800-53の要素を取り込んでおり、求められる管理策は約1,200項目に及びます。要求事項の形式は似て見えるものの、文書化の作法や証跡の残し方、監査対応のアプローチが大きく異なるため、そのような想定は誤解に陥りがちです。
加えて、ISMAP登録には言明書の作成や第三者監査機関による監査、運用実績の蓄積など、複数のステップを経る必要があり、短期間で完了できるものではありません。なお、ISMAP登録はあくまで入札のスタートラインに立つための要件であり、実際に落札できるか・受注単価に見合うかは、自社の事業計画と照らし合わせた経営判断が必要です。しかし、登録までに必要な具体的な作業量や費用・工数・期間の全体像が把握できず、経営層に説明できる材料が揃わないまま、検討が先送りになっている企業も多いのが実情です。

■企業規模を問わない支援実績×現場伴走で、登録作法を体系化し完了まで一貫支援
本セミナーでは、株式会社インターネットプライバシー研究所が、公共クラウド調達におけるISMAPの位置づけと登録要件の全体像、ISMSとのギャップ、登録までの期間・費用・工数のロードマップについて解説します。
インターネットプライバシー研究所は、情報セキュリティ・個人情報保護領域で25年の実績を持つコンサルティング企業です。ISMAP登録申請支援では、約1,200項目の管理策対応から申請書類の作成までをフルサポートする体制を整えており、準備段階から登録完了まで一貫した伴走支援を提供しています。大手クラウド事業者だけでなく中堅規模のSaaS企業への支援実績も有しており、企業規模を問わず現場に入って作業を進める伴走型の支援スタイルが特長です。
登録に向けた費用・工数・スケジュールの全体像を把握したい方、ISMAPの要求水準と実務上の難所を理解したい方、登録判断の材料を経営層に説明したい方は、ぜひご参加ください。