Wiz Cloud Japanは、日本の政府機関におけるクラウドサービス調達要件となる「ISMAP（政府情報システムのためのセキュリティ評価制度）」への対応を進めている。現時点で同社サービスはISMAPに登録されていないものの、管理基準へのギャップ分析を完了し、管理策への対応を積極的に推進している。2027年初頭には正式な外部監査を開始し、2028年初頭までにISMAPへの登録申請を目指す計画だ。

政府機関の調達要件となるISMAPの仕組み

日本の政府機関がクラウドサービスを利用する際は、「政府機関等のサイバーセキュリティ対策のための統一基準」に基づき、原則としてISMAP等クラウドサービスリストに登録されたサービスからの調達が求められる。ISMAPは政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録する制度であり、リストに未登録であることは政府機関がサービスを選定する上での課題となる。

ISMAPのリストへ登録されるには、ISMAP監査機関リストに登録された監査機関による外部監査が必須となる。また、日本語での申請対応や監査・審査に必要な文書・証跡の整備、登録後も制度で定められた更新申請や継続的な監査・確認への対応が求められる。ISMAP管理基準はJIS Q 27001やJIS Q 27017をはじめとする規格や政府統一基準群等を踏まえて構成されており、ISO/IEC 27018やNIST SP 800-53の管理策も取り入れられている。なお、現在は管理策体系の整理・合理化を図る改定案が公表されているが、改訂案および施行時期は今後変更される可能性がある。

Wizにおける管理基準への対応と進捗

Wizは過去5年間にわたり、ISO 27001、ISO 27017、SOC 2、PCI DSS、FedRAMPの認証および第三者評価レポートを維持してきた。今後のISMAP監査に向けた準備として、現行のISMAP管理基準および公表されている改定案に対するギャップ分析（Gap Assessment）を実施した。

現在はISMAP監査機関向けに必要とされるローカライズされた証跡一式や正式なプロセスの整備を進めている。あわせて、ISMAP監査機関リストに登録された監査機関との調整を進めている状況だ。

登録状況に関する説明と今後のスケジュール

ISMAPには公式な「申請中」や「暫定」といったステータスは存在せず、現時点においてWizはまだ登録されていない。また、Wizの利用のみをもってISMAP管理基準への適合性が確認されるものではないとしている。一方で、日本のセキュリティチームはすでにWizを活用し、IAM、データ暗号化、ログの集中管理、継続的な脆弱性スキャン、インシデント対応などの監査やポリシー適用を行っている。

同社は評価機関との契約を締結したうえで、2027年初頭に正式なISMAPの外部監査を開始する計画を立てている。さらに、2028年初頭までに評価報告書を提出し、ISMAPへの登録を申請することを目指している。

Wizの事業概要

Wizは、コード、クラウド、ランタイムを単一の共有コンテキストへと統合するセキュリティプラットフォームを提供している。

• 企業名: Wiz
• 主な実績: Fortune 100の65%の企業をはじめとするグローバル企業から採用
• Webサイト: https://www.wiz.io/ja-jp
• ISMAP対応に関する詳細URL: https://www.wiz.io/ja-jp/blog/wiz-and-ismap-for-japan-public-sector

本記事はWiz Cloud Japanの発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。