ISMAPとは？
ISMAP（Information system Security Management and Assessment Program：政府情報システムのためのセキュリティ評価制度）とは、政府機関等がクラウドサービスを調達する際に求めるセキュリティ要求を、あらかじめ定めた基準にもとづいて第三者が評価し、登録簿に公開する日本の制度です。 登録されたクラウドサービスは、政府機関からの調達において優先的に利用が検討されます。
仕組み
ISMAPには、通常の登録と、より簡素化した基準・手続きで登録できる「ISMAP-LIU（Low-Impact Use＝リスクの小さい業務・情報を取り扱う利用向け）」があります。登録簿には、登録されたサービス名・事業者名・登録範囲・有効期限などが公開され、誰でも確認できます。ISO 27001やSOC 2と同様、登録範囲（どの事業・サービスが対象に含まれるか）は事業者ごとに異なるため、特定のサービス・プランが登録範囲に含まれるかどうかは、登録簿の記載を個別に確認する必要があります。
ビジネスでの使いどころ
法人向けクラウドサービスを選定する際、ISMAPへの登録は政府機関相当のセキュリティ要求を満たしている目安として参照されます。ただし、同じ事業者が提供する製品群のうち一部のプラン・エディションのみが登録範囲に含まれているケースもあるため、「事業者として登録がある」ことと「利用したいサービス・プランが登録範囲に含まれる」ことは分けて確認する必要があります。社内のセキュリティ・調達基準を定めるAIガバナンスの文脈でも、認証・登録の有無は重要な判断材料になります。