ISMAPってなんだっけ【やまざき調べ・改vol.2】

ISMAPって何？

ISMAP運営委員会から公開されているISMAPポータルによると、ISMAPはInformation system Security Management and Assessment Programの略で、「イスマップ」と呼びます。ISMAPという制度については、以下のような説明がされています。

政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とした制度です。

中央官庁の各府省庁等や独立行政法人がクラウドサービスの導入を検討する場合、原則としてISMAPに登録されている製品から選定することが推奨されています。

また、ニュースを見ていると、地方自治体でも2027年夏頃からISMAPの利用が義務化される可能性があるようです。

SPIRAL®︎ ver.1がISMAPのリストに載るとどうなる？

SPIRAL®︎ ver.1のISMAP掲載について当社内では喜ばしいこととして報告されていましたが、ユーザーやパートナーの皆様にとってはどのような変化があるのでしょうか。

（1）政府機関等（各府省庁等及び独立行政法人等）がスパイラルを調達しやすくなる

これまでSPIRALはセキュリティ面の要件は満たしていたものの、ISMAPに未登録であることが理由で政府機関での利用が難しいケースがありました。今回の掲載により、正式に利用可能な選択肢となります。

（2）パートナー企業の方が、政府機関等（各府省庁等及び独立行政法人等）の入札案件に参入できるようになる

ISMAP登録サービスであることが前提となる案件では、SPIRALを使った提案そのものができませんでしたが、今後は政府機関向けの提案にも組み込めるようになります。

実際どんな入札案件があるの？

「ISMAPに登録されると案件が増える」と言われても、実際にどのくらい関係があるのでしょうか。官公庁、公的機関の入札情報をまとめているNJSSで調べてみました。

どんな業界で求められている？

業界別で「ISMAP」をキーワードに含む案件と含まない案件を検索し、ISMAPを含む案件の比率をまとめてみたところ、割合が高かったのは以下の分野でした。

• 情報通信・Web・ソフトウェア関連
• メディア（出版・映像・広告・イベント）関連
• 専門サービス業（BPO・コンサルティング・翻訳通訳等）

特に情報システムや業務運用を受託する案件でISMAP要件が登場するケースが多く見られました。

「情報通信・Web・ソフトウェア関連以外はほとんど使わないのかも？」と思っていましたが、実際にはBPOや事務局業務、運営支援など、一見するとクラウドサービスとは関係なさそうな案件でも要件として記載されていることがあります。ISMAPが必要になるのはシステム開発会社だけではないようです。

現場ではどのような相談が来ている？

弊社内で詳しい方に確認したところ、実際にISMAPが必須のご相談は年々増えているようです。

ご相談の多くは中央省庁や公共関連案件で発生しており、「こんなセキュリティ要件を実現したい」というよりも、「ISMAP対応が必須条件になっている」という形で要件が提示されるケースが多いとのことでした。

また、一度ISMAPが要件化された案件では、その後も継続的にISMAP対応が求められる傾向があるそうです。

個人的には、「高度なセキュリティに関する細かい議論が行われている世界」というイメージを持っていたのですが、実際にはもっとシンプルで、「ISMAPのリストに登録済みであること」が入札参加条件の一つとして扱われているケースが少なくないようです。

どんなサービスがISMAPに登録されている？

では、SPIRAL以外にどんな製品がISMAPに登録されているのでしょうか。ISMAPクラウドサービスリストに掲載されている製品リストを確認してみました。

業界の傾向

ISMAPに登録されているサービスは、大きく以下のような分布になっていました。見ていて最初に気になったのは、業務アプリケーションそのものよりも、業務システムを構築するための基盤やプラットフォーム系のサービスが比較的多い点です。

実際に整理してみると、クラウド基盤やCloud Platform、ローコード開発といったカテゴリは、それ単体で業務を完結させるものではなく、システムを構築するための土台になります。この比率の高さから、ISMAPは個別機能ではなくシステム全体の安全性を前提とした制度であることが見えてきます。

年度別で比較してもクラウド基盤が制度開始以降ずっと上位にいる点からも、まずインフラを押さえるという設計思想がベースにあると考えられます。

ここ数年の変化

次に、時系列で変化を見てみると、特に印象的だったのが生成AIとセキュリティ領域の伸びです。

この2つの分野は、他カテゴリと比較して明らかに伸び方が大きく、単なるクラウド利用の拡大というよりも、新しい技術領域やリスク対応領域が制度に取り込まれている動きが読み取れます。

特に生成AIは後発にも関わらず一気に件数を伸ばしており、ISMAPが固定的な評価制度ではなく、技術トレンドに応じて対象範囲を広げていることを象徴しているように感じました。

まとめ

今回は、ISMAPとは何か、そしてSPIRAL®︎ ver.1がISMAPクラウドサービスリストに掲載されたことで何が変わるのかについて調べてみました。

調べる前は、「ISMSやISOのようなセキュリティ認証の、官公庁向けバージョンがISMAPだっけ？」くらいの認識でした。しかし、実際には「認証」ではなく、「資格」のようなもので、案件への参加可否にも関わる、かなり影響力の大きな制度であることが分かりました。

特に印象的だったのは、ISMAP対応の有無が技術的な評価以前に「提案できるかどうか」の条件になっているケースがあることです。パートナー企業やユーザーの皆様にとっては、SPIRAL® ver.1がISMAPに登録されたことで、これまで提案が難しかった公共案件にもアプローチしやすくなります。

また、ISMAPに登録されているサービスを見ていくと、業務アプリそのものよりも、クラウド基盤や開発プラットフォームといった「システムを支える土台」が多いことも印象的でした。そうした中でSPIRAL® ver.1が登録されたことは、ローコードによる柔軟な開発と公共領域で求められるセキュリティ水準を両立できる選択肢が増えたとも言えそうです。

CROがうれしそうに発表していた理由も、調べてみると少し分かった気がします。

今後、公共分野や自治体関連でどのような活用事例が出てくるのか、引き続き注目していきたいと思います。