政府機関総合対策グループ

ISMAPの制度所管省庁（内閣官房内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省）は、「政府情報システムにおけるクラウドサービスのセキュリティ評価制度の基本的枠組み」（令和２年１月30 日サイバーセキュリティ戦略本部決定）に基づき、「政府情報システムのためのセキュリティ評価制度」（英語名：Information system Security Management and Assessment Program、以下「ISMAP」）を運用しております。

ISMAPが対象としている機密性２情報を扱う情報システムは IaaS、PaaS、SaaS と多岐にわたるところ、中でもSaaSはサービス幅が広く、用途や機能が極めて限定的なサービスや、機密性２情報の中でも比較的重要度が低い情報のみを取り扱うサービス等リスクが低いサービスもあり、それらのサービスについて現行のISMAPと一律の取扱いとした場合、過剰なセキュリティ要求となる場合も考えられます。

このため、ISMAPの枠組みをベースとして、機密性２情報を扱うSaaSのうち、セキュリティ上のリスクの小さな業務・情報の処理に用いるものに対する仕組みとしてISMAP-LIU（イスマップ・エルアイユー（英語名：ISMAP for Low-Impact Use））を策定することとしました。

今般、ISMAP-LIUにおいて用いる規程として作成した「ISMAP-LIUクラウドサービス登録規則(案)」及び既存の規程の変更箇所について、幅広い御意見を頂くべく、令和4年6月15日（水）から同年7月5日（火）までの間、意見を募集することとします。

• 「ISMAP-LIUクラウドサービス登録規則（案）」のうち、従来の「ISMAPクラウドサービス登録規則」から新しく追加された箇所（第３章～第６章、第７章、第13章、様式1-2のうち対象SaaSのセキュリティに係わる情報、別紙２）
• 「政府情報システムのためのセキュリティ評価制度（ISMAP）基本規程」のうち改定箇所（第１章、第２章、第３章、第５章、第６章）
• 「ISMAPクラウドサービス登録規則」のうち改定箇所（第１章）
• 「ISMAP管理基準」のうち改定箇所（第１章、第２章）
• 「ISMAP標準監査手続」のうち改定箇所（第３章、別紙３）
• 「「ISMAP情報セキュリティ監査ガイドライン」のうち改定箇所（第１章、第４章）

＜参考資料＞

意見募集の対象ではありませんが、上記意見募集対象の参考として下さい。

• ISMAP-LIUについて（案）
• ISMAP-LIUクラウドサービス登録規則（案）のうち内部監査に係る報告書様式及び政府機関等における影響度評価基準（様式2-3及び様式2-3別紙、別紙１）
• ISMAP for Low-Impact Useにおける業務・情報の影響度評価ガイダンス（案）