日本セキュリティ格付機構（JaSRO）、ISMAP情報セキュリティ監査サービスを開始

ISMAP監査サービスの概要

ISMAPは、政府が求めるセキュリティ要件を満たすクラウドサービスを評価し、登録するための制度です。政府機関がクラウドサービスを導入する際のセキュリティ確保を目的としています。

JaSROが提供するISMAP情報セキュリティ監査サービスは、本監査前の準備状況を確認する「予備調査」と、ISMAPへの登録申請に必要な「本監査」の二段階で構成されます。特に初めてISMAPに取り組む事業者に対しては、本監査前に予備調査の活用が推奨されています。

予備調査で準備状況を効率的に確認

予備調査は、本監査を効率的かつ効果的に実施するために、監査対象となる事業者の準備状況を事前に確認するサービスです。具体的な業務内容としては、情報セキュリティ対策の成熟状況や証拠の所在を含む監査の準備状況を確認し、効率的な監査のための改善情報が提供されます。これにより、言明書をはじめとするサービス登録申請に必要な文書の形式的な不備や不足する証拠の追加など、一般的な観点に基づく改善の方向性が示されることがあります。

また、すべての管理策を詳細に確認するのではなく、リスクが高い分野や記述に不安がある分野など、事業者と事前にすり合わせた優先領域に絞って実施することも可能です。これにより、限られた予算や期間の中でも、重要な領域に絞って効率的な確認が行えるとしています。ただし、規程類や関連文書、施策等の文章の作成および意思決定は、事業者が行うことが前提となります。

登録申請の基礎となる本監査

予備調査の結果をもとに事業者が規程や運用状況の見直しを行った後、ISMAP標準監査手続に基づき本監査が実施されます。本監査では、管理策が規程・仕組みとして適切に設計されているかを確認する「整備状況評価」と、設計された管理策が実際に運用されているかをサンプリング等により確認する「運用状況評価」が行われます。

監査の結果は「実施結果報告書」としてまとめられ、事業者がISMAP運営委員会へ提出する登録申請の基礎資料となります。本監査で発見事項が生じた場合は、実施結果報告書にその内容が記載され、事業者は発見事項に関する改善計画書を作成し、実施結果報告書と合わせて登録申請時に提出する流れとなります。

JaSROに依頼するメリット

JaSROは、以下の強みを活かしてISMAP監査を支援します。

豊富な実績と専門的な知見
世界初の情報セキュリティ格付機関としての長年の実績に加え、日本の防衛関連企業を対象とした米国国防総省のサイバーセキュリティ要件（CMMC 2.0およびNIST SP 800-171）に関する評価・アドバイザリー業務を多数手掛けています。ISMAP管理基準はISO/IEC 27001やNIST文書群等を踏まえて策定されており、これらの業務で培った「文書と実態の整合性」を見極める視点が本監査にも活用されるといいます。
予備調査から本監査まで一貫した体制
予備調査を実施した場合、そこで得られた事業者のサービス構成や運用実態への理解を踏まえ、本監査を円滑に実施することが可能です。
機動力と迅速なコミュニケーション
専任チームによる機動的な対応と密なコミュニケーションにより、日程調整などにも柔軟に対応し、限られたスケジュールの中でも監査を計画的に進行できるとしています。
柔軟なスコープ設計
基盤となるIaaSが既にISMAPに登録されている場合のSaaSなど、監査範囲を限定できるケースはもちろん、ISMAP登録を目指す小規模から中規模のクラウドサービス事業者や大企業の特定クラウド事業部門に対し、事業者の状況に応じて必要十分な範囲に絞った予備調査プランを提案します。

なお、JaSROは独立かつ客観的な立場からISMAP監査業務を実施するため、文書の作成・改訂および対応方針の決定は、独立性の観点から事業者が行う必要があります。また、予備調査における確認結果は、本監査の結果や登録審査の通過を保証するものではないと説明しています。

ソース

ISMAP情報セキュリティ監査サービス
https://www.jasro.org/ISMAPservice

ISMAP監査サービスの概要

予備調査で準備状況を効率的に確認

登録申請の基礎となる本監査

JaSROに依頼するメリット

関連情報

ソース