【情報セキュリティマネジメント】クラウドサービスの選定と評価、強い一項目だけで決めない｜ISMAP・SLA・データ所在・出口条件

2026.08.27

「ISMAPに登録されている」「稼働率が高い」は安心材料ですが、それだけで自社に適しているとは判断できません。

利用する業務・情報から要求水準を決め、仕様・契約・制度・証拠と照合するのが基本です。この記事では、選定時の主要な確認軸を整理します。

読み終えるころには、事例の選定が強そうな一項目だけで決まっていないかを見分け、残るリスクを記録して次の判断へ渡せるようになります。

1．SGシラバスでの位置付け

SGシラバス Ver.4.1では、ISMAP、SLA、SaaS・PaaS・IaaS、責任共有モデル、外部サービス利用のリスク、ログ管理などが明示されています。

一方、ISO/IEC 27017という規格番号と「出口戦略」という用語名はVer.4.1に明示されていません。 既存問題の判定に必要なため、クラウド選定に必要な範囲へ限定して扱います。

先に結論：要求・証拠・残るリスクの順で評価する

  1. 利用する業務と情報を整理する
  2. 必要な水準を決める
  3. 仕様・契約・SLA・制度・認証資料を確認する
  4. 要求との差と残るリスクを整理する
  5. 追加対策・利用制限・承認結果を記録する
評価分野 主な確認事項 見落とすと
可用性 稼働率、計画停止、復旧、通知、サポート 数字は高くても必要時間内に業務が戻らない
制度・認証 ISMAPの登録範囲、認証の対象範囲 契約するサービスが対象外のことがある
データ所在 保存場所、取扱主体、外国からの取扱い 所在地だけで法的結論を出してしまう
ログ 記録項目、保持期間、検索・出力 見られても必要な期間残らない
出口 移行形式、期間、費用、消去条件 他サービスへ切り替えにくくなる

2．最初に業務・情報・停止時の影響を整理する

選定前に、例えば次を整理します。

  • 利用する業務と情報の重要度
  • 停止時の影響と許容できる停止時間・データ損失
  • 他システムや外部サービスへの依存
  • 管理者権限と外部共有の要否
  • 調査に必要なログ
  • データの保存場所と取扱主体
  • 終了時に移行するデータと設定

自社要求を決めずに比較すると、「稼働率は高いが必要時間内に業務を戻せない」「登録・認証の対象外だった」「必要なログを十分な期間保持できない」といったずれが生じます。

3．可用性は稼働率だけで判断しない

SLAの稼働率だけでなく、計画期間、計画停止・除外条件、復旧目標、障害通知、サポート時間、未達時の対応を確認します。

計画停止が除外されていれば、停止した全時間が稼働率へ表れるとは限りません。料金補償と業務復旧も別に評価します。

復旧目標やBIAの詳説は「事業継続とBCP」の記事へ委ねます。

SLAは自社要求とサービス水準を照合する

SLA（Service Level Agreement：サービスレベル合意書）は、サービス時間や応答時間など、合意した水準を確認するためのものです。

クラウド選定では、自社が必要とする水準を満たすか、測定条件や除外条件、未達時の取扱いを確認します。

SLAがあっても、利用者側のアカウント、アクセス権、データ、端末の管理まで事業者へ移るわけではありません。責任共有モデルと区別します。

4．ISMAPは政府のクラウド調達を支える評価・登録制度

ISMAPは、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録し、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度です。

選定時は、登録サービス名・対象範囲、実際に使う機能が対象か、利用者側に残る設定・権限・データ管理を確認します。

ISMAP登録は、民間企業へ利用を義務付けるものでも、あらゆる利用方法の安全性を保証するものでもありません。

また、登録済みの基盤を使っているという理由だけで、その上の別サービスまで登録対象と決めません。ISMAP等クラウドサービスリスト上の登録対象を確認することが重要です。

5．ISO/IEC 27017と国内クラウドセキュリティ認証を区別する

ISO/IEC 27017:2026は、ISO/IEC 27002を基礎に、クラウド向け管理策のガイダンスを示す国際規格です。単独の認証要求事項ではありません。

ISMS-ACは、ISO/IEC 27017:2015が改訂され、2026年7月27日にISO/IEC 27017:2026として発行されたと公表しています。

一方、2026年8月3日時点の国内ISMSクラウドセキュリティ認証で使う現行JIP-ISMS517-1.0は、ISO/IEC 27017:2015に基づいています。ISMS-ACは2026年版への対応基準を改訂中です。

したがって、国際規格は2026年版、国内認証基準は現時点では2015年版ベースと区別します。認証を確認するときは、対象範囲も確認します。

6．データ所在は国名だけで法的結論を出さない

個人データをクラウドで扱う場合、サーバ所在地だけで「外国にある第三者への提供」に該当するかを決めません。

外国サーバへの保存でも、事業者が個人データを取り扱わないこととなっている場合は、外国にある第三者への提供に該当しない場合があります。

反対に国内サーバでも、外国事業者が個人データを取り扱えば該当することがあります。外国で個人データを取り扱う場合は、第三者提供とは別に、外国の制度等を把握した安全管理措置が必要になる場合があります。

具体的な法的要件は「第三者提供と加工情報」の記事へ委ねます。本記事では、保存場所だけでなく取扱主体と取扱場所を選定時に確認するところまでを扱います。

7．監査ログは選定時に取得・保持できるか確認する

クラウドサービスの利用開始前に、必要なログを取得・保管できるかを確認します。

必要な操作が記録されるか、取得の有効化が必要か、保持期間、検索・外部出力、自社保管、追加料金を確認します。

「クラウドの責任共有モデル」の記事では責任分界の例、本記事ではサービス選定時の取得・保管要件として扱います。ログ分析・監視の運用は「ログ管理と監視」の記事へ委ねます。

8．出口条件は利用開始前に確認する

サービス終了や乗換えを想定し、選定・契約時に、

  • データ・設定・ログの出力形式
  • 移行に必要な期間・費用
  • 移行支援
  • 終了後の出力可能期間
  • 複製・バックアップの消去条件
  • アカウントや外部連携の停止方法

を確認します。

独自形式しか使えない、移行費用が不明などの場合は、切替えが難しくなる可能性があります。

既存問題ではこの準備を「出口戦略」として扱いますが、Ver.4.1の明示用語ではありません。終了時の実作業は「委託中の監督と終了時の措置」の記事へ委ね、本記事では終了できる条件を選定前に評価することへ限定します。

9．評価表で要求・証拠・残るリスクを対応付ける

評価項目 自社要求 確認する証拠
可用性 許容停止時間以内 SLA、計算条件、復旧説明
制度・認証 利用サービスが対象 登録情報、認証範囲
データ所在 保存場所と取扱主体を確認できる 仕様、契約、説明資料
ログ 必要項目を保持・出力できる ログ仕様、料金プラン
出口 必要なデータを移行できる 出力仕様、移行支援、消去条件

差があれば、追加対策、契約条件、情報・機能の制限、別サービスの選定を検討します。残るリスクは業務担当者だけで決めず、関係部門と連携して判断します。

10．科目Bでの使われ方

  1. 利用業務と情報から要求水準を定めているか
  2. 稼働率だけでなく計画停止・復旧・通知も確認しているか
  3. ISMAP・認証の対象範囲を確認しているか
  4. データ所在地だけで法的結論を出していないか
  5. 必要なログを取得・保持・出力できるか
  6. 移行・消去条件を導入前に確認しているか

担当者としては、確認できた事実と未確認事項を分けて記録し、要求水準に届かない点は残るリスクとして整理します。受け入れるかどうかや、追加の契約条件が必要かどうかは担当者限りで決めず、契約担当者や上位者へ報告して判断を仰ぎます。

よくある取り違え

誤った考え方 正しい整理
稼働率が高ければ可用性は十分 計画停止、復旧、通知、サポートも確認する
ISMAP登録なら全ての利用に安全 登録対象と自社の利用方法を確認する
登録済み基盤上の別サービスも自動的に登録済み リスト上の登録対象を確認する
ISO/IEC 27017はSG Ver.4.1の明示用語 シラバス非明示の補助論点として扱う
ISO/IEC 27017:2026発行で国内認証基準も即時更新済み 現行JIP-ISMS517-1.0は2015年版に基づく
海外サーバなら必ず外国第三者提供 取扱主体・取扱場所を含めて判断する
国内サーバなら外国に関する確認は不要 外国事業者による取扱い等も確認する
ログを画面で見られれば十分 記録項目、保持期間、出力方法を確認する
終了時に消去を依頼すればよい 移行・消去条件を利用開始前から確認する

まとめ

  • クラウド選定は、自社要求を先に決めてからサービスの証拠と照合する
  • 可用性は稼働率だけでなく、計画停止、復旧、通知、サポートも評価する
  • ISMAPは政府のクラウド調達を支える評価・登録制度
  • 登録・認証は対象範囲を確認し、無条件の安全保証と考えない
  • ISO/IEC 27017:2026と、2015年版ベースの現行国内認証基準を区別する
  • データ所在だけで外国第三者提供の該当性を決めない
  • クラウド監査ログは必要な記録・保持・出力を選定時に確認する
  • 出口条件は利用開始前から評価する

関連記事

  • C7-T03：委託中の監督と終了時の措置
  • C7-T04：クラウドの責任共有モデル
  • C5-T09：ログ管理と監視
  • C6-T06：事業継続とBCP
  • C8-T03：個人データの第三者提供・委託・共同利用
  • C10-T02：ITサービスマネジメントとSLA

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • ISMAPポータル「ISMAP概要」
  • ISO「ISO/IEC 27017:2026」
  • 一般社団法人情報マネジメントシステム認定センター（ISMS-AC）「ISMSクラウドセキュリティ認証」
  • 一般社団法人情報マネジメントシステム認定センター（ISMS-AC）「ISO/IEC 27017:2026発行のお知らせ」（2026年7月28日）
  • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
  • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」（令和7年12月一部改正）
  • 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」

関連する問題

コメント

タイトルとURLをコピーしました