クラウドサービスを使う企業が増えるなかで、「クラウドのセキュリティはどの基準に沿えばよいのか」が分かりにくくなっています。総務省や経済産業省のガイドライン、ISO/IEC 27017、ISMSクラウドセキュリティ認証、ISMAP、CSマーク、SOC2など、名前は見聞きするものの、それぞれが何を定めていて、クラウドを提供する事業者向けなのか、利用する自社向けなのかが整理されていないためです。
本記事では、クラウドセキュリティの主要な基準・ガイドライン・認証を一覧で整理し、それぞれが「誰のための基準か」を示します。そのうえで、責任共有モデルで利用者が負う範囲や、利用者である自社が沿う・確認すべきものはどれかを解説します。自社の対策方針づくりや、クラウドサービス事業者を選ぶときの判断軸としてご活用ください。
目次
一括ダウンロードする
結論：クラウド利用者がまず押さえるべき基準
クラウドを利用する企業が最初に押さえるべきは、次の4点です。いずれも公的機関が公開している文書や、国際規格・認証制度にもとづいています。
- 総務省のガイドライン：事業者向けに書かれた対策集ですが、利用者が事業者を選ぶときや契約・SLA（サービス品質保証の取り決め）を結ぶときの確認軸として使えます。
- 経済産業省のガイドライン：利用者が自ら行うこと・事業者に求めることを整理した、利用者向けの指針です。
- ISO/IEC 27017（国内規格はJIS Q 27017）とISMSクラウドセキュリティ認証：クラウド固有の管理策を定めた規格と、その実施を第三者が認証する仕組みです。事業者が取得していれば選定時の判断材料になるだけでなく、どちらも利用者側を対象に含むため、自社でも取り込み・取得を検討できます。
- 責任共有モデルで自社が負う範囲：どの基準に沿うかの前提として、SaaS・PaaS・IaaSのどれを使うかで自社の責任範囲が変わります。
総務省のガイドラインは、自らの位置づけを「クラウドサービス事業者が実施することが望ましい対策」と定めたうえで、利用者にとっての使い方も次のように示しています。
本ガイドラインは、クラウドサービス事業者がクラウドサービスを提供する際に実施することが望ましい情報セキュリティ対策について記載している。（中略）また、クラウドサービス利用者は、クラウドサービス事業者との契約や SLA の締結において、本ガイドラインを活用することが可能である。
出典：クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）Ⅰ.2｜総務省
ここから、それぞれの基準が「誰のための基準か」を一覧で確認し、各基準の中身と、利用者が沿う・確認すべきものを順に見ていきます。
基準・制度の棲み分け一覧（誰のための基準か）
クラウドセキュリティの基準が分かりにくいのは、国が示す指針・国際規格・第三者認証・政府調達向けの制度といった、性格の違うものが並んでいるためです。まずは主要な基準・制度・認証を、対象（誰のための基準か）とあわせて一覧で整理します。
| クラウドセキュリティの主要な基準・制度・認証 | 総務省 情報セキュリティ対策ガイドライン | 経済産業省 クラウドサービス利用のための情報セキュリティマネジメントガイドライン | ISO/IEC 27017（JIS Q 27017） | ISMSクラウドセキュリティ認証 | CSマーク（クラウドセキュリティマーク） | ISMAP／ISMAPクラウドサービスリスト | CSA STAR認証 | SOC2 |
|---|---|---|---|---|---|---|---|---|
| 対象（誰のための基準か） | 事業者向け（利用者は選定・契約の確認軸に活用） | 利用者向け（事業者にも） | 提供者・利用者 両方 | 提供者・利用者 両方（ISMS認証が前提） | 主に提供者 | 事業者（政府調達向け） | 提供者（CSP） | 提供者が受け、利用者が選定確認に使う |
| 利用者の関わり方 | 事業者選定・契約の確認軸に使う | 自社の取り組みの指針に使う | 自社のISMSに取り込める／事業者選定でも確認 | 自社も取得可（ISMS認証が前提）／事業者選定でも確認 | 事業者選定で確認する | 事業者選定の目安に使う（民間は任意） | 事業者選定で確認する | 事業者選定で報告書を確認する |
| 何を定めるか | クラウド事業者が実施することが望ましい対策 | 利用者が自ら行うこと・事業者に求めることの整理 | クラウド固有の情報セキュリティ管理策（実施の手引） | ISO/IEC 27017の管理策を実施していることの第三者認証 | クラウド情報セキュリティ管理基準への適合（ゴールド＝適合監査／シルバー＝自主監査） | 政府が求めるセキュリティ基準への適合を監査・登録 | CSAの管理基準にもとづくクラウドの保証（自己評価〜第三者認証〜継続監視） | 受託業務の内部統制に関する保証報告（セキュリティほか5分野） |
| 位置づけ | 公的な指針（任意） | 公的な指針（任意） | 国際規格（任意） | 第三者認証（任意） | 認証（任意） | 登録制度（政府機関は原則リストから調達。民間の義務ではない） | 国際の認証・評価（任意） | 保証報告（任意） |
| 発行・運営 | 総務省 | 経済産業省 | ISO／IEC（国内はJIS） | ISMS-AC（認定） | 日本セキュリティ監査協会（JASA） | ISMAP運営委員会（政府） | Cloud Security Alliance（CSA） | 監査法人（AICPAの枠組み） |
※対象区分・位置づけは各制度の公式文書（下記）にもとづく2026年11月時点の整理です。詳細は各文書をご確認ください。
この一覧の軸になっている「対象（適用範囲）」は、各制度を所管・運営する機関が明示しているものです。制度・規格の対象区分は、以下の資料で横断的に確認できます。
出典・参考資料（2件）
一括ダウンロードする
主要な基準・ガイドライン・認証それぞれの中身
ここからは、一覧で整理した各基準の中身を一段掘り下げます。性格の違いが分かりやすいよう、「国が示す指針（ガイドライン）」と「満たしていることを外部が示す枠組み（規格・第三者認証・制度）」の2つに分けて解説します。この区別は、後半の「利用者が沿う・確認すべき基準はどれか」を判断する土台になります。
国内の公的ガイドライン（国が示す指針）
総務省：クラウドサービス提供における情報セキュリティ対策ガイドライン（事業者向け／選定時の確認軸）
総務省のガイドラインは、クラウドサービス事業者が実施することが望ましい情報セキュリティ対策をまとめた文書です。2021年9月に第3版が公開され、ISMAP管理基準やISO/IEC 27017（2016年版）、NIST SP800-53 Rev.5を参照して改定されています。対象とする範囲は、民間事業者を含むあらゆる主体が利用するクラウドサービスと幅広く設定されています。
事業者向けの対策集ですが、利用者にとっては「どんな対策を講じている事業者を選ぶべきか」「契約やSLAで何を確認すべきか」のチェックリストとして役立ちます。クラウドを導入・運用する側は、全文を読み込むというより、事業者選定・契約の場面で参照する使い方が現実的です。
出典・参考資料（1件）
経済産業省：クラウドサービス利用のための情報セキュリティマネジメントガイドライン（利用者向け）
経済産業省は、クラウドサービスを利用する企業向けに、利用者が自ら行うべきことと、事業者に求めるべきことを整理したガイドラインを公開しています。このガイドラインは、総務省のガイドラインやJIPDECの資料でも、クラウド利用者向けの代表的な指針として参照されており、後述するCSマークの管理基準の土台にもなっています。
扱っている観点は、主に次のようなものです。
- 利用者がクラウド利用に伴うリスクに応じて、自社で講じる管理策を選ぶ考え方
- 事業者との契約やSLAで確認・合意しておくべき事項
- クラウド上のデータやアカウントを自社で管理する際の留意点
本記事の後半「責任共有モデルとクラウド利用者が実際にやること」で示す利用者側の取り組みも、この利用者向けの指針と対応します。
総務省のガイドラインが「事業者が講じる対策」を示すのに対し、経済産業省のガイドラインは「利用する側が取り組むこと」に軸足があります。両者を合わせて見ると、提供者と利用者の役割分担が整理しやすくなります。
出典・参考資料（2件）
規格・第三者認証・制度（満たしていることを外部が示す枠組み）
ISO/IEC 27017（JIS Q 27017）：提供者・利用者の両方が対象
ISO/IEC 27017は、情報セキュリティマネジメントシステム（ISMS）を前提に、クラウドサービス固有の管理策をまとめた国際規格です。内容を変えずに翻訳し国内規格化したものがJIS Q 27017にあたります。重要なのは、この規格が提供者と利用者の双方を対象にしている点です。
ISO/IEC 27017： ISMS を前提としたクラウドサービス固有の管理策のベストプラクティスを示した国際規格であり、クラウドサービスを提供する組織と利用する組織の両方を対象としている。本規格の内容を変えることなく翻訳し、国内規格化したものが JIS Q 27017 である。
出典：クラウドサービスに関連する国内外の制度・ガイドライン（JIP-ISMS201-1.2）脚注｜JIPDEC
ISO/IEC 27001が組織全体のISMSの要求事項を定める規格であるのに対し、ISO/IEC 27017はそのISMSにクラウド固有の管理策を追加する位置づけです。利用者側にも実施すべき管理策が示されているため、自社のISMS運用をクラウド利用に合わせて見直す際の手引きになります。
ISMSクラウドセキュリティ認証：提供者・利用者の両方が対象（ISMS認証が前提）
ISMSクラウドセキュリティ認証は、ISO/IEC 27001にもとづくISMS認証を前提として、ISO/IEC 27017に規定されたクラウド固有の管理策が実施されていることを認証する仕組みです。認証基準はJIP-ISMS517です。対象になるのは、クラウドを提供する組織だけではありません。
ISMS認証を取得している／取得する組織で、次の図の通り、クラウドサービスを提供している組織（クラウドサービスプロバイダ）・クラウドサービスを利用している組織（クラウドサービスカスタマ）、あるいはその両方である組織が対象となります。
出典：ISMSクラウドセキュリティ認証｜情報マネジメントシステム認定センター（ISMS-AC）
クラウドを利用する企業も、この認証の対象になり得ます。ただし、あくまでISMS認証（ISO/IEC 27001）を取得していることが前提であり、利用者が単独で手軽に取得できるものではない点には注意が必要です。
CSマーク（クラウドセキュリティマーク）：主に提供者が対象
CSマークは、日本セキュリティ監査協会（JASA）が運用する、クラウドサービス事業者を対象とした認証です。経済産業省のガイドラインにもとづくクラウド情報セキュリティ管理基準への適合を示すもので、外部の監査人が確認する「ゴールド」と、事業者が自ら点検する「シルバー」の2種類があります。
利用者が事業者選定で確認する際は、外部監査を受けるゴールドのほうが適合の確認はより厳格と捉えられます。自社が求めるセキュリティ水準に応じて、どちらのマークを取得しているかを見るとよいでしょう。
ISMAP／ISMAPクラウドサービスリスト：政府調達向け（民間の義務ではない）
ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティ基準を満たしているかを第三者が監査し、適合したクラウドサービスを登録する制度です。対象はクラウドサービス事業者で、政府機関は原則としてISMAPクラウドサービスリストに掲載されたサービスから調達することになっています。
ここで誤解しやすいのは、ISMAPが民間企業の義務ではないという点です。ISMAPは政府調達を対象にした制度であり、民間企業がクラウドを利用する際にISMAP登録を必須とする決まりはありません。一方で、ISMAPの基準は国際標準などを踏まえて策定されているため、「政府基準を満たしたサービスか」を測る目安として、民間の事業者選定でも参考にできます。
CSA STAR認証・SOC2：国際的な第三者保証の枠組み
CSA STAR認証は、Cloud Security Alliance（CSA）が運用する、クラウドサービス事業者（CSP）を対象とした国際的な枠組みです。自己評価、第三者認証、継続的な監視といったレベルが設けられています。
SOC2は、米国公認会計士協会（AICPA）の枠組みにもとづき、受託業務の内部統制についてセキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーの5分野の観点で保証報告を行うものです。このうちセキュリティは必須で、残りは対象サービスに応じて選ばれます。
SOC2は事業者が受ける報告ですが、利用者は事業者の統制状況を確認する資料として活用できます。ある一時点の評価を示すType1と、一定期間の運用状況まで評価するType2があり、継続的な運用まで確かめたい場合はType2の報告書を確認するとよいでしょう。
責任共有モデルとクラウド利用者が実際にやること
どの基準に沿うかを考える前提として、クラウドでは「責任共有モデル」という考え方が土台になります。クラウドのセキュリティは事業者だけが担うものではなく、事業者と利用者が範囲を分けて責任を持ちます。総務省のガイドラインは、この責任範囲が一律ではないことを次のように示しています。
この責任を共有するという考え方（責任共有モデル）を多くのクラウドサービス事業者が採用している。ただし、責任共有モデルにおけるクラウドサービス事業者とクラウドサービス利用者の責任範囲・内容は一律に決まるものではなく、クラウドサービスの内容やクラウドサービス利用条件・環境ごとに、両者で責任範囲と内容について合意し、契約で明示することが重要である。
出典：クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）Ⅰ.6｜総務省
利用者が負う責任の範囲は、SaaS・PaaS・IaaSのどれを使うかで変わります。レイヤーが下がる（IaaSに近づく）ほど、利用者が管理する範囲は広くなります。総務省のガイドラインの整理をもとに、横並びで見ていきます。
| SaaS・PaaS・IaaSで変わる利用者の責任範囲 | SaaS | PaaS | IaaS |
|---|---|---|---|
| 利用者が管理する主な範囲 | アプリ上で扱うデータ、データの編集・削除などの操作権限、利用者アカウント・アクセス権 | アプリケーションの開発・管理、事業者が提供するセキュリティ機能（バックアップ・認証・暗号化・ファイアウォール・ログ管理など）の正しい設定 | OSを含むすべてのソフトウェア、OS・ミドルウェア層の障害対応・パッチ適用・脆弱性対応 |
| 事業者が管理する主な範囲 | アプリケーション層からインフラ、データセンター内ネットワークまで | ミドルウェア層からインフラ、データセンター内ネットワークまで | 仮想環境層以下、データセンター内ネットワーク |
| 利用者が特にやること | アクセス権と公開範囲の設定、認証の強化 | 提供機能の理解と適切な設定、アプリの脆弱性対策 | OS・ミドルウェアの更新と脆弱性対応、構成管理 |
※総務省ガイドライン（第3版）Ⅰ.6.1〜6.3の記載をもとに整理。実際の責任範囲は契約・SLAで確認が必要です。
この整理から、利用者が実際にやることが見えてきます。SaaS中心の利用でも、アカウント管理やアクセス権・公開範囲の設定は利用者の責任です。PaaSやIaaSでは、事業者が用意したセキュリティ機能を正しく設定し、OSやミドルウェアの脆弱性対応まで担う必要があります。
利用者側の設定が不十分だと、実際の情報漏えいにつながります。総務省のガイドラインも、「クラウドサービスのセキュリティに関する設定が十分でなかったために、意図せず、クラウドサービスで管理している機密情報を無認証状態で外部に公開してしまい、機密情報を漏洩させてしまった事例が相次いで報告されている」と注意を促しています。基準に沿った設定の点検とアクセス制御は、利用者が主体的に取り組むべき領域です。
利用者が沿う・確認すべき基準はどれか
ここまでの整理をふまえ、利用者である自社が実際に「沿う・確認すべき基準はどれか」を、2つの軸に分けて考えます。1つは自社が取得・適用できる基準、もう1つは事業者を選ぶときに確認すべき基準です。
自社（利用者）が取得・適用できる基準
自社がクラウド利用側として適用できる代表的なものが、ISO/IEC 27017（JIS Q 27017）とISMSクラウドセキュリティ認証です。ISO/IEC 27017は提供者・利用者の両方を対象にクラウド固有の管理策を示しているため、自社のISMS運用に取り込むことで、クラウド利用に合わせたセキュリティ管理ができます。
ISMSクラウドセキュリティ認証も、クラウドを利用する組織（クラウドサービスカスタマ）を対象に含みます。「この認証は提供者だけのもの」と思われがちですが、利用者も対象になり得ます。ただし前提として、組織全体でISO/IEC 27001のISMS認証を取得している必要があるため、すでにISMSを運用している企業が、クラウド利用に関する部分を上乗せで認証する位置づけになります。
出典・参考資料（2件）
事業者選定で確認すべき認証・基準
クラウドサービスを選ぶときは、事業者がどの認証・基準を満たしているかを確認することが重要です。ISO/IEC 27017にもとづくISMSクラウドセキュリティ認証や、CSマーク、SOC2、CSA STAR認証などは、事業者が第三者の確認を受けていることの目安になります。総務省のガイドラインは、事業者選定・契約時の確認軸として使えます。
ISMAPについては、民間企業が利用する場合に登録が必須というわけではありません。政府調達向けの制度である点を理解したうえで、「政府が求める水準を満たしているサービスか」を測る目安として活用するのが実態に合った使い方です。自社が官公庁との取引や高いセキュリティ水準を求められる業務でクラウドを使う場合は、ISMAP登録の有無が選定の判断材料になります。
いずれの認証・基準も、取得していること自体が目的ではなく、自社が扱うデータの重要度や業務の要件に照らして「必要な水準を満たしているか」で判断することが大切です。
クラウドセキュリティ基準の最新動向（ISO/IEC 27017:2026・JIP-ISMS517 2.0版）
クラウドセキュリティの基準は改訂が続いており、古い情報のまま判断すると実態とずれることがあります。2026年には、クラウド固有の管理策を定めたISO/IEC 27017の新版が発行され、これに合わせて国内の認証基準も改訂されました。
ISMS-ACは、2026年7月28日にISO/IEC 27017:2026の発行を公表しました。これに対応して、ISMSクラウドセキュリティ認証の認証基準も改訂版（JIP-ISMS517-2.0）が2026年10月に発行されています。
従来のJIP-ISMS517-1.0はISO/IEC 27017:2015にもとづくもので、新版（2.0版）はISO/IEC 27017:2026に対応します。旧版は移行期間の終了後に公開を終了する予定です。
また、クラウド固有の管理策の前提となるISMS規格側でも、ISO/IEC 27001:2022（国内はJIS Q 27001:2023）への移行が進んでいます。制度・ガイドラインを参照する際は、どの版にもとづくものかを確認しておくと、認証取得や事業者選定の判断を誤りにくくなります。
出典・参考資料（2件）
基準を自社の実務に落とす（クラウド設定の点検とアクセス統制）
基準やガイドラインを理解したら、次は自社の運用に落とし込みます。認証の取得は任意ですが、責任共有モデルで見たとおり、利用者が立場を問わず必ず担う基本の対策があります。まずは費用をかけずに自社でできるところから着手するのが現実的です。
利用者が最低限押さえておきたい基本は、次のとおりです。
- アカウントとアクセス権を適切に管理する（退職者のID削除、最小権限の設定）
- 多要素認証（MFA）を有効にする
- 公開範囲・共有設定を点検し、意図しない外部公開を防ぐ
- 契約・SLAで、事業者と自社の責任範囲やインシデント時の対応を確認する
- 担当者の教育と、設定・確認手順の文書化を進める
こうした基本を土台にしたうえで、点検やアクセス管理を継続・自動化する手段として専用のサービスがあります。ツールの導入は選択肢の一つで、上記の基本とあわせて検討するものです。
ここでは、設定の点検に使えるCSPM（クラウドの設定ミスを検査する機能を含む脆弱性診断）と、アクセス統制に使えるIDaaS（クラウドのIDと認証を一元管理する仕組み）から、代表的なサービスを紹介します。クラウド領域全体のサービスを広く比較したい場合は、後述の関連記事もあわせてご覧ください。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリを一つの管理画面で検査できる脆弱性診断SaaSです。日本では株式会社AndGoが販売窓口となり、日本語での導入・運用サポートを提供しています。
クラウド基準への対応という観点で特に役立つのが、クラウドの設定ミスを検査するCSPM（Cloud Security Posture Management）です。AWS・Azure・Google Cloudに対応し、外部から侵入されやすい設定になっていないかを継続的にチェックできます。責任共有モデルで利用者が負う「設定の点検」を自動化し、設定不備による情報漏えいを未然に防ぐ助けになります。
料金は、無料のDeveloperプランに加え、有償プランは日本窓口で月額5万円台（Basicプラン、年額3,780ドル相当）から利用できます。上位のProは年額7,560ドルです。いずれも2026年11月時点で、請求は為替を考慮した日本円での案内となります。
検出した脆弱性について修正案のプルリクエストを自動作成する機能や、ISO 27001・SOC 2の認証取得・維持を支援する監査用レポートの出力にも対応しています。自社でサービスを内製する企業やSaaS事業者で、開発から運用までのセキュリティをまとめて見たいケースに向いています。
クラウドの設定点検をはじめとする脆弱性対応を継続するうえで、現場が直面する課題について、提供元は次のように述べています。
当社がよくお聞きするのは、「アラートが多すぎて、何が重要か分からなくなって放置が始まる」という悩みです。Aikido Securityは、バラバラだったアラートを統一し、対応すべきアラートを絞れるようにします。結果として、消し込み工数を減少でき、セキュリティ運用を“手に負える状態”に寄せていけます。
2. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。シングルサインオン（SSO）、多要素認証（MFA）、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理を提供し、ゼロトラストの考え方にもとづいて利便性とセキュリティを両立させます。
責任共有モデルで利用者が担う「認証・アクセス制御」を基準に沿って統制できる点が特徴です。端末・場所・時間の3つの軸で細かくアクセスを制限でき、フィッシング耐性の高いパスキー認証を全プランで無制限に利用できます。設定ミスや確認漏れが不正アクセスの主な原因になりやすいことを受けて、セキュリティ設定のリスクを可視化する機能も備えます。
料金はStandard Plusが1ユーザー月額400円から（税抜）で、30日間の無料体験があります（2026年11月時点）。
提供元は情報セキュリティマネジメントの国際規格であるISO/IEC 27001（ISMS）の認証を取得しており、国産ならではの日本語サポートも受けられます。複数のSaaSを利用し始めていて、アクセスと認証を一元的に統制したい企業に適しています。
基準やガイドラインへの対応が、実際の導入相談でどのように意識されているかについて、提供元は次のように話しています。
中小企業ではまだサイバー攻撃を他人事と捉えている方もいらっしゃいますが、実は昨今、中小企業が狙われるケースが増えています。また、官公庁や業界団体が策定するセキュリティガイドラインへの準拠を目的としたご相談も増えています。
| 設定点検・アクセス統制サービスの比較 | Aikido Security | CloudGate UNO |
|---|---|---|
| 担う役割（基準を実務に落とすレバー） | 設定点検（CSPM） クラウド設定が基準に沿っているかを継続的に検査 | アクセス統制（IDaaS） 認証・アクセス制御を基準に沿って一元管理 |
| 主な機能 | CSPMによるクラウド設定検査、SAST・SCA（コード・依存関係）、DAST（Webアプリ）、自動修正（プルリクエスト作成）、ISO 27001・SOC 2の取得支援レポート | SSO、多要素認証（MFA）、パスキー（FIDO2）によるパスワードレス認証、端末・場所・時間でのアクセス制限、ID管理、セキュリティリスク可視化 |
| 対応クラウド・範囲 | AWS・Azure・Google Cloud（CSPM） コードからクラウド設定、稼働中のWebアプリまで一画面で検査 | マルチクラウド対応のID基盤 Google Workspace・Microsoft 365・Salesforce・Slackなどと連携 |
| 料金 | 無料のDeveloperプランあり 有償はBasic 年額3,780ドル（月額5万円台〜）、Pro 年額7,560ドル | Standard Plus 月額400円/ユーザー〜（税抜） Enterprise Plus 500円・Smart Pack 600円。初期費用別途。30日間の無料体験あり |
| 提供会社 | 株式会社AndGo（日本窓口） Aikido Security BV（開発元・ベルギー） | 株式会社インターナショナルシステムリサーチ |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
ここで取り上げた設定点検・アクセス統制のサービスのほかにも、社内のセキュリティ対策を担うソリューションは数多くあります。守る対象（クラウド・端末・ネットワークなど）別にタイプの違いや代表的なサービス、選び方を広く比較したい場合は、以下の記事をあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
クラウドセキュリティの基準は、国が示すガイドライン、国際規格、第三者認証、政府調達向けの制度などが混在しており、それぞれ対象が提供者向けか利用者向けかで性格が異なります。利用者である自社がまず押さえるべきは、総務省・経済産業省のガイドラインを事業者選定や自社の取り組みの軸として使い、ISO/IEC 27017やISMSクラウドセキュリティ認証を選定・適用の目安にすることです。
そのうえで、責任共有モデルで自社が負う範囲を理解し、クラウドの設定点検とアクセス統制を継続的に実施することが、基準を実務に落とす要になります。ISMAPのように政府調達向けで民間の義務ではない制度もあるため、各基準の対象と位置づけを正しく捉え、自社の要件に合った水準を選ぶことが大切です。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティの基準とは何ですか？
A. クラウドセキュリティの基準とは、クラウドサービスの安全性を確保するために国や業界団体が示す指針・国際規格・第三者認証・政府調達向けの制度の総称です。
性格の異なるものが混在しており、総務省・経済産業省のガイドライン（国が示す指針）、ISO/IEC 27017（クラウド固有の管理策を定めた国際規格）、ISMSクラウドセキュリティ認証やCSマーク（第三者認証）、ISMAP（政府調達向けの登録制度）などが代表的です。それぞれ「クラウドを提供する事業者向けか、利用する企業向けか」が異なるため、自社がどちらの立場かによって参照すべきものが変わります。
Q. ISO/IEC 27017とISO/IEC 27001の違いは何ですか？
A. ISO/IEC 27001が組織全体の情報セキュリティマネジメントシステム（ISMS）の要求事項を定める規格であるのに対し、ISO/IEC 27017はそのISMSにクラウド固有の管理策を追加する実施の手引きです。ISO/IEC 27017はISO/IEC 27001によるISMSを前提とする位置づけで、単独で成り立つものではありません。
クラウドを提供する組織と利用する組織の両方を対象としており、内容を変えずに翻訳し国内規格化したものがJIS Q 27017です。
Q. クラウドを利用する企業もISMSクラウドセキュリティ認証を取得できますか？
A. クラウドを利用する企業（クラウドサービスカスタマ）も、ISMSクラウドセキュリティ認証の対象に含まれます。この認証は「クラウドを提供する組織だけのもの」と誤解されがちですが、利用する組織、あるいはその両方である組織が対象です。
ただし、ISO/IEC 27001にもとづくISMS認証を取得していることが前提のため、利用者が単独で手軽に取得できるものではありません。すでにISMSを運用している企業が、クラウド利用に関する部分を上乗せで認証する位置づけになります。
Q. ISMAPは民間企業も必須ですか？
A. ISMAPは政府情報システムの調達を対象にした制度で、民間企業がクラウドを利用する際に登録や遵守が必須となる決まりはありません。政府機関は原則としてISMAPクラウドサービスリストに掲載されたサービスから調達することになっていますが、これは政府調達のルールです。
一方で、ISMAPの基準は国際標準などを踏まえて策定されているため、民間企業でも「政府が求める水準を満たしたサービスか」を測る目安として、事業者選定に活用できます。
Q. CSマークとISMSクラウドセキュリティ認証はどう違いますか？
A. CSマークは主にクラウドサービス提供者を対象に経済産業省ガイドラインにもとづく管理基準への適合を示す国内の認証で、ISMSクラウドセキュリティ認証はISO/IEC 27001のISMSを前提にISO/IEC 27017の管理策の実施を認証する仕組みです。
CSマークは日本セキュリティ監査協会（JASA）が運用し、外部の監査人が確認する「ゴールド」と事業者が自ら点検する「シルバー」の2種類があります。
対象はCSマークが主に提供者であるのに対し、ISMSクラウドセキュリティ認証は提供者・利用者の両方が対象になり得る点が異なります。いずれも利用者にとっては、事業者を選ぶ際の判断材料になります。
Q. 中小企業はどのクラウドセキュリティ基準から対応すればよいですか？
A. クラウドを利用する中小企業は、まず責任共有モデルで自社が負う範囲を把握し、アカウント・アクセス権の管理とクラウドの設定点検という利用者側の基本から対応するのが現実的です。認証取得を急ぐよりも、総務省ガイドラインを事業者選定・契約の確認軸として使い、ISO/IEC 27017にもとづくISMSクラウドセキュリティ認証やSOC2などを取得しているサービスかを確認することが先決です。
そのうえで、自社が扱うデータの重要度や業務の要件に照らして必要な水準を判断し、設定点検やアクセス統制を継続できる仕組みを整えていくとよいでしょう。
クラウドセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドの設定点検やアクセス統制に使えるセキュリティサービスの最新資料を無料で一括請求できます。機能や料金、対応範囲を比べて、自社の基準対応に合う選択肢を見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
