ISMAP

Cloudflare for Government（日本）は、政府情報システムのためのセキュリティ評価制度（「ISMAP」）に登録されています。

ISMAPは、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、これによりクラウドサービスの円滑な導入に資することを目的としています。

ISMAPクラウドサービスリスト

政府機関向けCloudflare

ISMAPとは何ですか？

ISMAPとは、日本政府のクラウドセキュリティの枠組みであり、公的機関にサービスを提供するクラウドサービスプロバイダー（「CSP」）に義務付けられています。

この制度は、政府のクラウド調達において高いセキュリティ水準を一貫して確保することを目指しており、以下が含まれます。

ISMAPは、日本の4つの省庁である国家サイバー統括室（「NSO」）、デジタル庁（「DA」）、総務省（「MIC」）、経済産業省（「METI」）が共同で運営する取り組みです。
この制度では、セキュリティ、ガバナンス、マネジメントに関する約1,200項目の管理策について厳格な評価が行われます。これらの管理策は、ISO 27001や米国のFedRAMP制度で使用されているNIST SP 800-53フレームワークを含む複数の国際基準に基づいています。
第三者監査機関による評価とISMAP運営委員会による審査を通過したCSPは、ISMAPクラウドサービスリストに登録されます。政府機関は、原則としてこの公式リストに掲載されているサービスを選定することが義務付けられています。

詳細については、ISMAP公式ポータルサイトをご覧ください。

CloudflareはISMAPに登録されていますか？

はい、CloudflareはISMAPに登録されたクラウドサービスプロバイダーです。

当社の登録は、当社のサービスが独立した第三者監査機関による評価とISMAP運営委員会による審査を受け、当社のセキュリティ管理策がISMAPの包括的なセキュリティ要件とコンプライアンス要件を満たしていると実証されたことを表しています。

CloudflareのISMAP対応サービスは顧客にどのようなメリットをもたらしますか？

CloudflareのISMAP登録には、次のようないくつかの大きな利点があります。

ISMAPの評価は、日本政府が定める厳格なセキュリティ基準をCloudflare for Government（日本）が満たしていることを証明するものです。
CloudflareのISMAP登録済みサービスを利用することで、日本政府が義務付けるコンプライアンス要件を満たすことができます。
ISMAPは責任共有モデルを採用しています。登録プロバイダーであるCloudflareは、数多くの基本的なセキュリティ管理策を整備しています。各機関はこれらの管理策を継承できるため、効率化を図れるとともに、コンプライアンスの取り組みにおける複雑性を低減できます。
評価に合格しているということは、Cloudflareが厳格なセキュリティ審査を経たうえで、サービスが日本政府の業務での利用に適していることを明確に認められたことを表しています。

どのCloudflareサービスがISMAPの対象ですか？

Cloudflare for Government（日本）ソリューションに含まれているCloudflareサービスは以下のとおりです。

アプリケーションサービス ：
API Shield、Bot Management、DDoS Protection、レート制限、SSL/TLS、SSL/TLS for SaaS、Turnstile、WAF、CDN、DNS、Load Balancing、Waiting Room

開発者サービス ：
Cloudflare for SaaS、Workers

ネットワークサービス ：
Cloudflare WAN、Magic Transit、Cloudflare Network Firewall、Network Interconnect、Spectrum

Zero Trustサービス ：
Access、Cloudflare Tunnel、ブラウザ分離、CASB、Gateway、Cloudflare One Client

アナリティクスおよびインサイト ：
Logpush

プライバシーおよびコンプライアンス ：
Data Localization - 対象地域は日本（東京と大阪）です。

一部のCloudflareサービスがISMAPの対象外なのはなぜですか？

CloudflareのISMAP登録は、当機関のセキュリティ要件をすべて満たしていますか？

Cloudflareは認定プロバイダーとして登録されているため、当社がCSPとして提供するサービスのセキュリティは保証されています。ただし、コンプライアンスの達成は共有責任となります。構成、処理するデータ、Cloudflareサービスの利用に関連するセキュリティ管理策を実装・管理し、ISMAPのすべての要件に準拠する責任は、引き続き各機関に負っていただくことになります。Cloudflareは、お客様に自身の義務をご理解いただくため、ドキュメントパッケージ内に顧客責任マトリックスを用意しています。

顧客が責任を負う管理策を自身で確認するにはどうすればよいですか？

CloudflareのISMAPドキュメントにアクセスするにはどうすればよいですか？

ISMAPの要件に対するCloudflareの評価はどのくらいの頻度で実施されますか？

Cloudflareには、このほかにもセキュリティやプライバシーに関する認証やレポートがありますか？

その他のコンプライアンス関連のリソースについては、Cloudflareの「信頼ハブ」をご覧ください。

大規模組織が複数の基準にわたるコンプライアンス要件を連携させて管理し、業務を効率化するのに役立つCloudflareのコネクティビティクラウド機能の詳細については、「データコンプライアンスと保護」ページをご覧ください。