ISMAPは「データを国内に置け」とは書いていない｜管理基準45頁を全文検索して確かめた

こんにちは、株式会社TIMEWELLの濱本です。

「ISMAPに登録されているサービスなので、データは国内で保管されています」。クラウドの選定資料で、この一文を何度も見てきました。前半と後半のあいだに因果関係があるように読めるのですが、そこが本当につながっているのかを確かめた人は、私の知るかぎりあまり多くありません。

気になったので、ISMAP管理基準のPDFを自分で落として全文検索しました。全45頁。結果を先に書きます。「日本」が0件。「国外」が0件。「越境」が0件でした。「国内」は3件だけ見つかり、そのうち2件はリスク要因を列挙した一般的な文の中の語で、データの所在とは何の関係もありません。残る1件が、この記事の主役になる条文です。

つまり、政府調達に通っているクラウドだからデータが日本にある、という推論は、少なくとも管理基準を根拠にはできません。では制度は何を求めているのでしょうか。条番号を挙げながら読んでいきます。自社のAI基盤について現状を先に整理しておきたい方は、AI活用レディネスの無料診断もあわせてどうぞ。

全45頁を検索して、出てこなかった言葉

ISMAP（政府情報システムのためのセキュリティ評価制度）は、令和2年1月30日のサイバーセキュリティ戦略本部決定を根拠とする制度です。政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価して登録しておくことで、円滑な導入に資することを目的としています¹。制度を所管するのは国家サイバー統括室、デジタル庁、総務省、経済産業省の4者で、運用実務は独立行政法人情報処理推進機構に委任されています。ちなみに令和7年7月11日の改定で、内閣サイバーセキュリティセンターの改組にともなう表記が国家サイバー統括室へ置き換わりました。制度文書を引用するときは、この改定より前の資料を写していないか一度確かめたほうがいいと思います。

利用側から見ると、この制度の効き目は調達のルールに現れます。政府の調達では、ISMAP等クラウドサービスリストに掲載されたサービスから選ぶことが原則とされているからです¹。だから事業者はリストに載りたがるし、利用者はリストを信頼の代替指標として扱います。そこまではよくできた仕組みです。

問題は、その信頼が何を保証しているのかという中身のほうです。私が検索にかけたのは、リストに載るために満たすべき要求そのもの、つまりISMAP管理基準の本体です²。テキスト抽出のやり方を変えて二度確かめましたが、結果は同じでした。「日本」も「国外」も「越境」も、この45頁のどこにも書かれていません。念のため「海外」も調べたところ1件だけ当たりましたが、それは米国の基準文書に触れた文脈で「海外の基準の中で運用実績が長く」と述べている箇所で、データの置き場所の話ではありませんでした。

「国内」の3件も同じです。2件は「国際、国内、地方又は近隣地域を問わず、文化、社会、政治、法律、規制、金融」といった具合に、組織が考慮すべきリスク要因をずらりと並べた一般的な文の一部でした。所在地の要求ではなく、外部環境を漏れなく見ろという趣旨の記述です。残る1件だけが、データがどの国の法の下に置かれるかを正面から扱っています。

管理基準は、政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）などを基礎に組み立てられた、約45頁の管理策の集合です。ここに国内保管を求める条文が無いという事実は、制度の欠陥ではなく設計だと私は受け止めています。 ISMAPが評価しているのは事業者の統制の実装であって、地理そのものではないからです。ただ、そう設計されているのなら、利用者の側がそれを知らないまま「登録済み＝国内」と読み替えているほうが危ない。ここが今日いちばん伝えたいところです。

制度が求めているのは、置き場所ではなく把握と評価です

では管理基準は、データの所在について何と言っているのか。関係するのは2か所だけです。

ひとつめは6.1.3.3.PBという条番号がついた管理策で、こう書かれています。

クラウドサービス事業者は、クラウドサービス利用者に、クラウドサービス事業者の組織の地理的所在地、及びクラウドサービス事業者がクラウドサービス利用者のデータを保管する可能性のある国々を通知する。³

読んでのとおり、動詞は「通知する」です。どこに置いてはいけない、という禁止ではありません。事業者がどこの国に組織を構えていて、預かったデータをどの国に置く可能性があるのか。それを利用者に伝えなさい、という透明性の要求です。しかも「保管する可能性のある国々」という書き方で、単数ではなく複数を前提にしています。制度は最初から、データが複数国にまたがりうることを織り込んでいます。

もうひとつが、さきほどの「国内」3件のうちの1件、15.1.1.16.Bです。供給者関係を扱う第15章のなかにある条文です。

当該事業者が提供するサービス上で取り扱われる情報に対して国内法以外の法令及び規制が適用された結果、クラウドサービス利用者の意図しないまま当該利用者の管理する情報にアクセスされ、又は処理されるリスクを評価して外部委託先を選定し、必要に応じてクラウドサービス利用者が扱う情報が取り扱われる場所及び契約に定める準拠法・裁判管轄を指定する。⁴

ここには、外国の法令によって意図しないアクセスが起きうるという認識がはっきり書かれています。政府がその懸念を持っていないわけではありません。ただ、それに対する処方は「国内に置け」ではなく、リスクを評価して委託先を選び、必要に応じて取扱場所と準拠法・裁判管轄を契約で指定せよ、というものです。

私がこの条文で引っかかるのは「必要に応じて」の一語です。誰にとっての必要なのか。条文はそこを書いていません。事業者が自社の判断で必要なしと整理すれば、場所の指定はされないまま監査を通りうる構造です。責められる話ではなくて、これは基準の性格から自然に出てくる帰結でしょう。基準は最低限の枠を敷くもので、どこまで求めるかは案件ごとの契約に委ねられている。だとすれば、必要だと主張する仕事は利用者の側に残ります。ISMAPに載っているから安心、という読み方は、その仕事を誰もやらない状態を作ってしまいます。

この2条を並べると、制度の要求が輪郭を持ってきます。データがどこにあるかを把握すること。どの国の法が及ぶかを評価すること。そのうえで必要なら契約で場所と法を固定すること。求められているのは、置き場所の指定ではなく、把握と評価と、必要に応じた合意です。地理の問題ではなく、統治の問題として設計されているわけです。

「国外にサーバがあると接収されうる」と政府は書いています。ただしISMAPの外側で

ここまで読むと、日本政府はデータの国外所在を気にしていないのだろうか、という疑問が湧くと思います。気にしています。ただ、それを書いている文書がISMAP管理基準ではないというだけです。

デジタル庁のデジタル社会推進標準ガイドラインDS-920「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」は、2026年6月12日にデジタル社会推進会議幹事会が第2.0版を決定し、2026年9月1日から施行されました⁵。この文書に、こんな注記があります。

国外にサーバ装置を設置している場合は、現地の法令が適用され、現地の政府等による検閲や接収を受ける可能性がある。⁵

「検閲や接収」という強い言葉が、政府の規範文書に堂々と載っています。この注記が付いているのは、令和7年2月6日にデジタル社会推進会議幹事会事務局が出した「DeepSeek等の生成AIの業務利用に関する注意喚起」を踏まえた項目です⁶。調達行為をともなわない場合であってもリスクを十分に認識したうえで、国家サイバー統括室の助言を求めて適切に判断することが必要だ、と書かれています。各府省庁が自らのルールを整備するときの雛形部分にも、同じ趣旨の記述が繰り返し置かれていました。

つまり日本の制度は、この論点を捨てているのではなく、置き場所を分けているのです。ISMAPは事業者の統制が実装され運用されているかを評価する。国外にサーバがあることをどう扱うかは、利用側のガイドラインと各府省庁のセキュリティポリシーが引き受ける。役割分担としては筋が通っています。

厄介なのは、この分担が民間には見えないことです。民間企業がクラウドを選ぶとき、手元にあるのはISMAP等クラウドサービスリストという便利な一覧だけで、DS-920は自社に適用される規範ではありません。利用側の判断を引き受けるはずの層が民間には存在しないまま、事業者側の評価結果だけが独り歩きします。「政府が認めたサービス」という言葉が、本来そこに含まれていない意味まで背負ってしまう構造です。

では民間はどう埋めればいいのか。私は、外国法がどこまで届くかという論点を自社で一度たどっておくしかないと考えています。米国のCLOUD Act、中国の国家情報法、GDPR第48条あたりを条文で読むと、国ごとに届き方がまったく違うことがわかります。そのあたりは外国政府によるデータアクセスで条文を引きながら整理しました。保管ではなく処理をどこで走らせるかという、もっと手前の制約については国内リージョンでLLMを動かすにまとめています。制度が「必要に応じて」と書いて空けた欄を、自分で埋める作業だと思ってください。

基準に無くても、申請書には書かせています

ここで少し、制度への評価を上方修正しておきたいことがあります。管理基準に所在地の要求が無いのは事実ですが、ISMAPは登録申請の段階で、この論点をきちんと聞いているのです。

ISMAPクラウドサービス登録規則の3.4は、申請者が言明書に加えて提供しなければならない情報を6項目定めています。資本関係や役員等に関する情報。国内法以外の法令が適用されるリスク。準拠法および裁判管轄。第三者による検査。他の認証の取得状況。そして生成AIに関する情報です⁷。2番目と3番目は、まさに管理基準15.1.1.16.Bが扱っていた論点そのものです。基準では「必要に応じて」と緩められていたものが、登録の入口では必須の提出物として立てられています。

さらに実務的に効くのが、この情報の公開範囲です。登録規則3.8は、改善計画書の有無、3.4の(1)から(4)および(6)、サービス名称、言明の対象範囲、実施している統制目標の管理策、監査対象期間、後発事象について、リスト上で一般に公開すると定めています⁸。つまり国内法以外の法令適用リスクも、準拠法・裁判管轄も、公開対象に入っています。逆に(5)の他の認証取得状況は、この列挙に含まれていません。

これは知っておく価値があります。「ISMAPに載っているから国内」は根拠がありませんが、「ISMAPに載っているサービスなら、どの国の法が及ぶと事業者自身が申告しているかを読める」は正しいのです。推測するのではなく、公開されている申告を読みにいけばいい。管理基準を根拠にできないぶん、こちらを見るほうがずっと確かです。

登録の手続きそのものも、ざっと押さえておきます。申請者は様式1の言明書と様式2の経営者確認書を作成して監査を受けます⁷。監査の実施結果報告書は監査対象期間の末日から3か月以内を作成日とし、その日付から1か月以内に申請する必要があります。基本規程は、監査を整備状況評価と運用状況評価の2種類として定義しています¹。申請は日本語で行い、言明書の別添のみ日英どちらでも可。自らの名前でサービスを提供している者であることが要件で、登記事項証明書の添付も求められます。ただし登録申請書に法人番号を書いた場合は省略できます⁹。細かい規定ですが、見落とすと余計な手間が増えるので書き添えておきます。

ISMAP-LIUは「小さいISMAP」ではありません

もうひとつのリスト、ISMAP-LIUについても触れておきます。これは、リスクの小さな業務や情報の処理に用いるSaaSサービスを対象とする仕組みで、リストも登録規則も別建てです¹¹⁰。負担が軽いISMAP、という受け止めを耳にしますが、構造としては別物だと考えたほうが正確です。

いちばん大きな違いは、利用側の評価が制度に組み込まれている点でしょう。LIUでは、政府機関等が別紙3の影響度評価基準に準拠して、業務と取扱情報の影響度を評価する仕組みが用意されています。申請者は申請に先立って、そもそも自社のサービスがISMAP-LIUに該当するのかをISMAP運用支援機関に確認する必要があります¹⁰。提出物にも差があり、様式19として内部監査に係る報告書を、様式20として想定利用業務および取扱情報に係る届出書を出します。内部監査の調書は、監査終了後少なくとも3年間の保管が求められます。外部監査ではなく内部監査で足りるかわりに、何の業務にどんな情報を載せて使う想定なのかを届け出させる。そういう設計です。

利用者として実務的に意味があるのは、どちらのリストに載っているかを必ず確認することです。同じ「ISMAP等クラウドサービスリスト」という総称でくくられていても、通ってきた道筋が違います。エンタープライズのAI基盤をどう組むかという設計の話はZEROCKでも日々扱っていますが、この確認を最初にやるかどうかで、後の議論の精度がだいぶ変わります。

生成AIの扱いは、管理基準ではなく別の場所で決まりました

制度の重心がどこにあるかを一番よく示しているのが、生成AIをめぐるここ1年半の動きだと思っています。

まず登録規則が動きました。3.4(6)の「生成AIに関する情報」は、令和7年4月1日に新設された項目です⁹。ISMAP-LIUの登録規則にも同じ日付で3.4(5)として生成AIに関する情報が加わりました。LIU側には附則で1年間の経過措置が置かれ、施行から1年以内の申請についてはこの情報を様式1の言明書で提出できることになっています。制度としては、かなり急いで手を打った印象を受けます。

事業者の反応は分かれています。2026年9月6日時点で公開リストを集計したところ、ISMAPクラウドサービスリストの103件のうち、生成AIに関する情報を掲載しているのは37件でした。残る66件は「無」という記載です。掲載している37件の内訳は、PDFへのリンクを置いているものが23件、言明の対象範囲を参照するよう案内しているものが14件でした。ISMAP-LIUのほうは4件のうち2件です。リスト自体はお知らせベースで2026年8月28日に更新されています¹¹。まだ3分の1あまり、という数字をどう読むかは立場によりますが、少なくとも「ISMAPに載っている＝生成AIの扱いが明示されている」ではないことは確かです。

そして管理基準は、この間ひとつも変わっていません。生成AIについての判断は、登録規則の申請項目と、ISMAPポータルに掲載された制度案内、そしてDS-920という別の文書のなかで積み上がっていきました。ISMAPポータルには「生成AIサービスに関する留意点について」という案内が置かれています¹²。そしてDS-920第2.0版の改定履歴には、6.1.1について「ISMAPポータルにて公開された記載を脚注に追加」と明記されています⁵。ポータルの案内が、規範文書の脚注として取り込まれたわけです。

その脚注23は、こう書いています。クラウドサービス事業者が生成AIモデルの提供を受け、そのモデルが扱うデータに自らセキュリティ管理機能を適用する生成AI開発基盤でサービスを提供する場合、その開発基盤を言明の対象範囲に含めてISMAPに登録したときは、通常、当該生成AIサービスが扱うデータのセキュリティはISMAPのセキュリティ要件を満たす状態とみなされる。この場合、提供される個々の生成AIモデルを言明の対象範囲に含める必要はなく、モデル自体が必ずしもISMAPに登録されている必要もない⁵。

基盤を登録すれば、その上で動くモデル1本1本の登録は要らない。 モデルが数か月おきに入れ替わる世界で、モデル単位の登録を求めたら制度が回りません。現実的な整理だと思います。同時にDS-920の本体は、要機密情報を取り扱うクラウドサービスを調達する場合はISMAP原則利用の考え方に基づき原則としてISMAP等クラウドサービスリストから選定したうえで、別途このガイドラインによる対応を行う必要があると定め、リストから選んだからといってガイドライン対応が不要になるものではない、とわざわざ注意を書いています⁵。

ここに、この記事の主題がもう一度出てきます。リストは入口であって、免罪符ではありません。データの所在も、生成AI固有のリスクも、リストの外側で確かめるものとして設計されている。制度はそう言っているのに、市場では「登録済み」の3文字がそれ以上の意味を帯びてしまっている。ずれているのは制度ではなく、私たちの読み方のほうです。

では、何を確かめればいいのか

実務に落とします。クラウドやAI基盤を選ぶときに、私が確かめるようにしている項目は5つです。

1. 6.1.3.3.PBに基づく通知、つまり事業者の地理的所在地とデータを保管する可能性のある国々の一覧を、実際に受け取っているか
2. リスト上に公開されている準拠法・裁判管轄と、国内法以外の法令適用リスクの申告に、自分で目を通したか
3. 保管と処理を分けて聞いたか。保管が国内でも、推論が国外で走る構成はふつうにありえます
4. 生成AIに関する情報の欄が「無」なのか、言明の対象範囲を参照する形なのか、PDFが提示されているのか
5. ISMAPクラウドサービスリストとISMAP-LIUクラウドサービスリストの、どちらに載っているのか

どれも、事業者に嫌がられる質問ではありません。1と2は制度が公開を予定している情報ですし、5に至ってはリストを開けば書いてあります。にもかかわらず抜けやすいのは、確かめる必要があること自体が知られていないからだと思っています。

最後に、これから変わりそうな点を書いておきます。ISMAP管理基準は現在、改定案の段階にあります。改正された国際規格、具体的にはJIS Q 27001:2023、JIS Q 27002:2024、ISO/IEC 27014:2020を反映し、管理策の数を削減することが内容です。2025年9月18日にパブリックコメントが始まり、同年12月25日に改定案等が公開され、2026年5月12日には参考資料が追加されています。ただし改定案のPDFの表紙は「令和●年●月●日最終改定」となっており、改定日も施行日も現時点では決まっていません¹³。

なお、この改定案の本体は全11頁で、第5章にあたる詳細な管理策を含んでいません。ですから、今日読んだ6.1.3.3.PBや15.1.1.16.Bが改定後にどうなるのかは、公開されている資料からは判断できないというのが正直なところです。管理策の数が削られる方向にあることだけは確かなので、所在地に関わる2条がどう扱われるかは追いかける価値があると考えています。

制度が国内保管を求めていないことは、悪いニュースではありません。悪いのは、求められていないものを求められていると思い込み、そのぶん本当に確かめるべきことを確かめない状態のほうです。どこにあるかを把握し、どの国の法が及ぶかを評価し、必要なら契約で決める。ISMAPが求めているのは最初からこれだけで、そしてこの3つは民間企業がそのまま自社に持ち込める、かなり良くできた検討の型でもあります。リストに載っているかどうかを見る前に、この3つを自社の言葉で書けるかどうかを試してみてください。書けないなら、それは選定基準ではなく社内の統治の問題です。

自社のAI基盤について、保管と処理を分けた整理や外国法の影響範囲を詰めたい場合は、個別相談からお声がけください。

Footnotes

1. ISMAP基本規程（令和2年6月3日、令和7年7月11日最終改定）。制度の目的は1.2、根拠となる令和2年1月30日サイバーセキュリティ戦略本部決定および運営体制は1.1、所管省庁は1.4.4、ISMAP運用支援機関への事務の委任は9.3、調達府省庁等によるISMAP等クラウドサービスリストからの調達を原則とする旨は2.3、監査を整備状況評価と運用状況評価の2種類とする定義は1.4.10、ISMAP-LIUの対象は1.3による。改定履歴に「令和７年７月１１日 内閣官房内閣サイバーセキュリティセンター改組に伴う1.1、1.4.4、1.4.5の改定」の記載あり。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=20d0a7f22b8ecb50f0bbfd69fe91bff5 ↩ ↩² ↩³ ↩⁴

2. ISMAP管理基準（全45頁）。本文中の語の出現件数は、当社が同PDFを取得しテキスト抽出のうえ集計した実測値（「日本」0件、「国外」0件、「越境」0件、「国内」3件、「海外」1件）。抽出方法を変えて二度確認した。管理基準が「政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）」を基礎とすること、および「海外」1件が米国基準への言及であることも同PDFによる。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=9a9431de2bf9fa90f0bbfd69fe91bfa7 ↩

3. ISMAP管理基準 6.1.3.3.PB。引用は原文のまま。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=9a9431de2bf9fa90f0bbfd69fe91bfa7 ↩

4. ISMAP管理基準 15.1.1.16.B。供給者関係を扱う第15章に置かれた管理策で、引用は原文のまま。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=9a9431de2bf9fa90f0bbfd69fe91bfa7 ↩

5. デジタル社会推進標準ガイドライン DS-920「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」第2.0版（2026年〔令和8年〕6月12日 デジタル社会推進会議幹事会決定）。ISMAP等クラウドサービスリストからの原則選定と本ガイドライン対応の両立は6.1.1②、生成AI開発基盤を言明対象範囲に含めた場合の扱いは同項の脚注23、国外サーバ設置に係る注記および国家サイバー統括室への助言要請は6.1.1④、2026年9月1日からの施行とAIガバナンスの枠組みの2026年7月1日適用は附則、「ISMAPポータルにて公開された記載を脚注に追加」は改定履歴6.1.1による。引用はいずれも原文のまま。2026年9月6日取得。 https://www.digital.go.jp/news/decb64eb-f26e-41cb-8d37-f3dd173108b8 ／ PDF https://www.digital.go.jp/assets/contents/node/information/field_ref_resources/decb64eb-f26e-41cb-8d37-f3dd173108b8/59054b35/20260612_resources_standard_guidelines_guideline_01.pdf ↩ ↩² ↩³ ↩⁴ ↩⁵

6. 「DeepSeek等の生成AIの業務利用に関する注意喚起（事務連絡）」令和7年2月6日、デジタル社会推進会議幹事会事務局。2026年9月6日取得。 https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/d2a5bbd2-ae8f-450c-adaa-33979181d26a/e7bfeba7/20250206_councils_social-promotion-executive_outline_01.pdf ↩

7. ISMAPクラウドサービス登録規則。言明書・経営者確認書の作成と監査の受審は3.1、申請者が提供する6項目の情報（資本関係・役員等／国内法以外の法令適用リスク／準拠法・裁判管轄／第三者検査／他の認証取得状況／生成AIに関する情報）は3.4、実施結果報告書の作成日を監査対象期間末日から3か月以内とする定めは3.2、その日付から1か月以内の申請は4.2による。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=a4d0a7f22b8ecb50f0bbfd69fe91bfea ↩ ↩²

8. ISMAPクラウドサービス登録規則 3.8。リスト上で一般公開される情報の範囲を定める規定で、3.4の(1)から(4)および(6)が列挙され、(5)他の認証取得状況は含まれない。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=a4d0a7f22b8ecb50f0bbfd69fe91bfea ↩

9. ISMAPクラウドサービス登録規則 改定履歴（「令和７年４月１日 3.4(6)の新設」）、および3.9（日本語による申請、言明書別添のみ日英可）、3.10、3.12、4.1(1)（登記事項証明書。ただし登録申請書に法人番号を記載した場合は添付を省略できる）。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=a4d0a7f22b8ecb50f0bbfd69fe91bfea ↩ ↩²

10. ISMAP-LIUクラウドサービス登録規則（令和4年11月1日制定、令和7年9月9日最終改定）。申請に先立つISMAP運用支援機関への該当性確認は2.2、政府機関等が別紙3の影響度評価基準に準拠して影響度評価を行う仕組みは2.4および2.5、様式19（内部監査に係る報告書）および様式20（想定利用業務及び取扱情報に係る届出書）は3.4(6)(7)、内部監査調書の3年間保管は3.5(7)、生成AIに関する情報は3.4(5)（令和7年4月1日新設、附則に1年間の経過措置）による。2026年9月6日取得。 https://www.ismap.go.jp/csm/sys_attachment.do?sys_id=8cd0a7f22b8ecb50f0bbfd69fe91bf3e ↩ ↩²

11. ISMAPクラウドサービスリストおよびISMAP-LIUクラウドサービスリスト。本文中の件数（ISMAP 103件中37件が生成AIに関する情報を掲載し、うちPDFリンク23件・言明の対象範囲を参照14件、「無」66件。ISMAP-LIUは4件中2件）は、当社が2026年9月6日に公開データを集計した実測値。リストの更新日はポータルのお知らせに基づく（2026年8月28日更新）。2026年9月6日取得。 https://www.ismap.go.jp/csm?id=cloud_service_list ↩

12. ISMAPポータル「制度案内 - 生成AIサービスに関する留意点について」（記事番号KB0011070）。当該ページはJavaScriptで描画される構成のため本文をテキストとして取得できておらず、本記事では記載の逐語引用を行っていない。生成AI開発基盤に関する整理は、DS-920第2.0版の脚注23を出典としている。2026年9月6日取得。 https://www.ismap.go.jp/csm?id=kb_article_view&sysparm_article=KB0011070 ↩

13. 「（案）ISMAP管理基準」および【参考】資料（意見公募 令和7年9月18日、国家サイバー統括室・デジタル庁・総務省・経済産業省）。改定案の表紙が「令和２年６月３日（令和●年●月●日最終改定）」と日付未定であること、1.2にJIS Q 27001:2023、JIS Q 27002:2024、ISO/IEC 27014:2020の反映が記載されていること、参考資料に管理策数の削減が明記されていることは同資料による。パブリックコメントの開始（2025年9月18日）、改定案等の公開（2025年12月25日）、参考資料の追加（2026年5月12日）はISMAPポータルのお知らせによる。改定案の本体は全11頁で第5章の詳細管理策を含まない。2026年9月6日取得。 https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000299111 ↩