ISMAP の管理基準がクラウドサービス事業者に求めるアカウント管理

ISMAP(政府情報システムのためのセキュリティ評価制度)の管理基準は、クラウドサービス事業者に、アカウントについて 2 つの側から対策を求めています。1 つは、自社の従業員や社外から作業に入る人など、事業者のシステムに入る人のアカウントです。ID の登録と削除、管理者権限の制限、定期の見直し、辞めた人の権限の削除、作業の記録を求めます。もう 1 つは、サービスを使う政府機関など(管理基準では「クラウドサービス利用者」)に渡す機能です。利用者が自分で ID と権限を管理し、管理者のログインを強く確かめられるようにします。

ISMAP は、政府の求める対策を満たすクラウドサービスを前もって評価し、一覧に登録する制度です。国家サイバー統括室・デジタル庁・総務省・経済産業省が運営し、府省庁はこの一覧から選んで調達するのが原則です。事業者は登録された監査機関の監査を受けます。リスクの小さな業務に使う、インターネット経由の業務ソフト(SaaS)向けには ISMAP-LIU という仕組みがあり、同じ管理基準をもとにします。

管理基準のどこまでが公開されているか

管理基準は「ガバナンス基準」「マネジメント基準」「管理策基準」の 3 つでできています。管理策基準は、3 桁の番号の統制目標(達成すべき目標)と、4 桁の番号の詳細管理策(目標を満たすための具体的な事項)に分かれます。統制目標は原則としてすべて実施し、詳細管理策は末尾に B の付いたものを除いて、事業者がサービスに合わせて選びます。末尾の P はクラウドに特有の管理策を表します。当てはめようがない統制目標は、理由を示せば対象から外せます。

ISMAP ポータルは、管理基準を読む条件として、JIS Q 27014 と JIS Q 27017 の購入を挙げています。ポータルに載っている管理基準(令和 6 年 8 月 1 日最終改定)は見本で、すべての詳細管理策は載っていません。全部を含む版は、購入していることを書いて請求した人に配られます。この記事の番号と文言は、見本の版で確かめられる範囲のものです。

現行の管理基準は、平成 28 年度版の「クラウド情報セキュリティ管理基準」を土台にしています。これは JIS Q 27001:2014・JIS Q 27002:2014・JIS Q 27017:2016 に沿った基準です。ISMS の仕組みは ISMS とはにあります。令和 7 年 12 月には、JIS Q 27001:2023 などを反映し、管理策の数を減らした改定案が公表されました。改定案では管理策が組織的・人的・物理的・技術的・クラウド固有の 5 つに組み替えられ、番号も付け直されます。詳細管理策も原則として実施する形になります。令和 8 年 9 月のスケジュール案では、改定は令和 9 年 5 月で施行日は未定、新旧の基準をしばらく並行して運用します。

事業者のシステムに入る人のアカウントに求めること

見本の版から、事業者のシステムに入る人のアカウントに関わる統制目標を抜き出すと次のとおりです。右の列は管理基準の文ではなく、この記事の例です。

見本の版で見るかぎり、こちらの側で原則として実施する詳細管理策は 9.4.2.2.B です。強い認証と本人の確認が必要な場合には、パスワードの代わりに、暗号を使う方法・IC カード・生体認証などを使うよう求めています。どの場合に必要かは、事業者が決めるアクセス制御の方針によります。

管理基準の別紙 1 は、特に手厚く取り組む 4 つの領域の 1 つ目に「アクセス管理(特権の管理、ID 管理、物理セキュリティ等)」を挙げています。管理者権限の考え方は特権 ID(管理者用アカウント)とはにあります。

利用者に提供する機能として求めること

見本の版では、利用者の組織が自分でアカウントを管理するための機能や情報の提供も、原則として実施する詳細管理策(末尾 PB)になっています。

• 9.2.1.6.PB と 9.2.2.8.PB: 利用者が自分で ID を登録・削除し、権限を管理できる機能と仕様を提供する
• 9.2.3.11.PB: 利用者の管理者のログインに、リスクに応じた強い認証(例として多要素認証)を提供する
• 9.2.4.9.PB: パスワードを割り当てる手順など、利用者側の管理手順についての情報を提供する
• 9.4.1.8.PB: サービスや利用者のデータに入れる人を、利用者が制限できる仕組みを提供する
• 12.4.1.15.PB: 利用者に、記録(ログ)を取る機能を提供する

多要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめることです(多要素認証とは)。

管理基準は参考 1 で、事業者がやらなければ政府機関が統一基準を満たすのに支障が出る事項も、事業者への求めに加えたと説明しています。どの詳細管理策がそれに当たるかは、見本の版には書かれていません。政府機関が守る統一基準の側は政府の統一基準が求める ID の管理と委託先の対策で扱っています。提供側と利用側の分担は ISO/IEC 27017 の記事で扱っています。

監査では記録が抜き取りで確かめられる

監査には、ある時点で仕組みが整っているかを見る整備状況評価と、対象期間を通じて決めたとおりに動いていたかを見る運用状況評価があります。手続によっては整備状況評価だけで終わります。対象期間は最大 1 年で、次の申請の対象期間は前回の末日の翌日から始まります。

ISMAP 標準監査手続では、運用状況評価で申請書・承認記録・台帳のような記録を見ます。そのとき監査人は、対象期間の記録全体(監査の語で母集団)から無作為にサンプルを選び、期間を通じて記録が続いているかを確かめます。サンプル数は手順を行う頻度か記録の件数で決まり、たとえば月次なら 2 件、日次なら 25 件です。退職のたびに行う削除のような手順は、期間中の退職者の一覧がそのまま母集団になると読めます。

言明書の個別管理策に共有のアカウントをどう書くか

事業者は言明書で、実施する詳細管理策ごとに、自社で決めた手順(個別管理策)を書きます。言明書は、どの管理策をどう実施しているかを書いて出す文書です。

見本の版には、1 つの ID を複数の人で使う共有アカウントを禁じる文は見当たりません。全部を含む版までは、この記事では確かめていません。ただ、9.2.1 の登録と削除は、使う人ごとに行う前提に読めます。12.4.1 と 12.4.3 の記録も、共有の ID では誰の作業かが残りません。人ごとの ID を作れるものは、分けたほうが説明しやすくなります。

運用に使う外部の管理画面を言明の対象範囲に含め、そこで ID を人ごとに分けられない場合もあります。そのときは、9.2.1・9.2.6・12.4.1・12.4.3 の下で選んだ詳細管理策の個別管理策に手順を書くことになるでしょう。どれに書くかは全部を含む版で確かめます。中身は、使ってよい人の名前の一覧、誰が入ったかを残す方法、人が抜けた日にパスワードを変える手順などです。方針で強い認証が要るとした画面なら、9.4.2.2.B があるので、パスワードだけで入る運用は説明しにくくなります。

これが運用状況評価の対象になれば、退職者の一覧から抜き取られた人について、パスワードを変えた記録を見せることになります。誰が選ばれるかは分からないので、記録は全員分そろえておきます。