セキュリティ統制・法務・基準重要度:★★★出題: AM2・PM1

ISMAP (政府情報システムのためのセキュリティ評価制度) と共同責任モデル

いずまっぷ / きょうどうせきにんもでる / Information system Security Management and Assessment Program / Shared Responsibility Model

政府機関等が安全なクラウドサービスを迅速に調達できるよう、セキュリティ要求基準を満たすクラウドサービスを予め評価・登録する制度と、IaaS/PaaS/SaaSの責任分界原則。

3行速習ポイント

ISMAP：ISO/IEC 27001・27017やNIST SP 800-53をベースにした管理基準に基づき、外部監査機関が監査し、ISMAPクラウドサービスリストに登録・公開
低リスクな業務・情報のSaaSを対象に、監査負荷を軽減した「ISMAP for Low-Impact Use（ISMAP-LIU）」も運用
共同責任モデル（Shared Responsibility Model）：クラウド事業者（CSP）は「クラウド自体のセキュリティ」を担い、利用者（CSC）は「クラウド上のデータ・ID・アクセス権限設定のセキュリティ」を担う

図解

図クラウド共同責任モデル（責任分界点）と ISMAP / CSPM 統制

利用者責任 (CSC)

クラウドサービス利用者 (CSC) の常時責任領域

データ保護・ID/アクセス権限管理・SaaS/クラウド設定の妥当性

MFA強制、最小権限IAM設定、公開ストレージ設定の防止は利用者責任。CSPM（Cloud Security Posture Management）で設定不備を継続監査

↕

責任分界点

サービスモデル別の境界（IaaS / PaaS / SaaS）

IaaSはOS・ミドルウェア・仮想NWから利用者責任、SaaSはCSP責任

IaaSではゲストOSのパッチ適用やFW設定まで利用者が担い、PaaSではアプリケーションコードから、SaaSでは利用設定とデータ管理から利用者が担う

↕

事業者責任 (CSP)

クラウド事業者 (CSP) の責任領域と ISMAP 評価

物理データセンタ・ハードウェア・仮想化基盤の安全性保証

クラウド基盤自体のセキュリティはCSPが担当。政府調達等ではISMAP（またはISMAP-LIU）登録リストにより第三者監査済みの安全性を確認

💡 IaaS・PaaS・SaaSのどの形態であっても、「格納データの管理」と「利用者アカウント・アクセス権限（IAM）の適切な設定」は常に利用者（CSC）の責任

概要と本質

「クラウドを使っているからセキュリティはすべてクラウド事業者任せで安全」という誤解は、設定ミスによる大規模情報漏洩（S3バケットの公開設定ミス等）の最大の原因です。IaaS・PaaS・SaaSのどの形態であっても、「利用者ID・アクセス権管理」と「格納データの管理」は常に利用者側（CSC）の責任です。

重要ポイント・コア概念

サービスモデル別の責任分界：IaaSではOS・ミドルウェアのパッチ適用やFW設定から利用者責任、PaaSではアプリケーションとデータ・ID管理が利用者責任、SaaSではデータとアカウント・権限設定が利用者責任
CSPM（Cloud Security Posture Management）：IaaS/PaaS/SaaSの設定不備（ストレージ公開設定、MFA未設定、過剰なIAM権限など）を継続的に自動監査・是正する仕組み
SOC2レポート（ISAE 3402 / SSAE 18）：クラウド事業者の内部統制の整備・運用状況に関する独立監査人の保証報告書