一般社団法人 日本セキュリティ格付機構（JaSRO）は、2026年6月26日付で「ISMAP（政府情報システムのためのセキュリティ評価制度）」の監査機関リストに登録された。これに伴い、同機構は「ISMAP情報セキュリティ監査サービス」を開始する。SaaSや地域の中核データセンターをはじめ、小規模から中規模のクラウドサービス事業者や大企業の特定クラウド事業部門に対し、独立かつ客観的な立場から予備調査および本監査を実施する。

ISMAPの管理策は多岐にわたり、準備が不十分なまま本監査に臨んだ場合、監査の延長や中断により時間やコストが増加する課題がある。JaSROは、世界初の情報セキュリティ格付機関としての実績や、米国国防総省が定めるサイバーセキュリティ認証制度（CMMC 2.0 Level 2等）のアドバイザリー業務で培った知見を活用し、監査業務を提供する。

基盤となるIaaSが既にISMAPに登録されている場合のSaaSのように監査範囲を限定できるケースのほか、小規模から中規模の事業者や大企業の特定部門に対し、状況に応じた予備調査プランを提案するとしている。

予備調査から本監査までのプロセス

本サービスは、事前の準備状況を確認する予備調査と、登録申請の基礎資料となる本監査で構成される。

1. 本監査に向けたISMAP予備調査

ISMAP監査機関による本監査業務を効率的・効果的に実施するため、情報セキュリティ対策の成熟状況や証拠の所在などの準備状況を確認する。調査結果は監査受託の可否判断や計画策定に用いられる。CSP（Cloud Service Provider）に対する助言等は原則含まれないが、形式的な不備や不足する証拠の追加など、一般的な観点に基づく改善の方向性を示す。また、リスクが高い分野など優先領域を絞った実施も可能としている。予備調査は任意のオプションだが、同機構は初めてISMAPに取り組む事業者への活用を推奨している。

1. 対応期間

予備調査の結果をもとに、事業者側で規程や運用状況の見直し、言明書等の修正を行う。修正の要否や内容の決定は事業者が判断する。

1. 登録申請に用いるISMAP本監査

ISMAP標準監査手続に基づき、管理策の設計を確認する「整備状況評価」と、実際の運用をサンプリング等で確認する「運用状況評価」を実施する。結果は「実施結果報告書」として取りまとめられ、事業者がISMAP運営委員会へ提出する登録申請の基礎資料となる。

独立性への配慮と業務範囲の制限

JaSROは登録監査機関として、独立かつ客観的な立場から業務を行う。独立性の観点から、文書の作成・改訂や対応方針の決定は事業者が行う必要があり、規程類や関連文書の作成および意思決定は事業者が行うことが前提となる。また、独立性や利益相反等の観点により、提供できる企業や業務範囲に制限が生じる場合があるとしている。予備調査の結果は、本監査の結果や登録審査の通過を保証するものではない。

組織概要

• 名称：一般社団法人 日本セキュリティ格付機構（JaSRO）
• 本社：東京都中央区
• 代表理事：三好 宗一郎
• ISMAP登録番号：A26-0008（2026年6月26日登録）
• 問い合わせ先：info@jasro.org

本記事は一般社団法人 日本セキュリティ格付機構の発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。