そのクラウドサービス、本当にISMAP登録されていますか？——DBS法の情報管理規程で見落としがちなこと

当事務所では、DBS法（こども性暴力防止法）対応の就業規則を納品する際、情報管理規程もあわせてお作りしています。

この情報管理規程、実際に作ってみると、なかなか一筋縄ではいきません。特に「記録の保存あり」の型を選んだときに、技術的な要件のハードルがぐっと上がることがわかってきました。

今日は、その中でも特につまずきやすい「ISMAP基準」について、お話しします。

---

「多要素認証」はわかる。でも「ISMAP基準」は？

こども家庭庁が示している情報管理規程のひな型には、記録・保存を行う場合の技術的措置として、こんな一文があります。

「ISMAP基準を満たし、国内法が適用される拠点にデータを保存できるクラウドサービスを選定する。」

多要素認証——パスワードに加えて、ICカードや生体認証などを組み合わせる仕組み——については、なんとなくイメージできる方が多いと思います。

でも、「ISMAP基準を満たす」と言われて、具体的に何を確認すればいいのか、すぐにピンとくる方は少ないのではないでしょうか。

ISMAPとは、政府機関等がクラウドサービスを調達する際に、セキュリティ水準を評価・登録する制度です。

私は以前、行政の現場に長く身を置いていたこともあり、この制度には馴染みがあります。ですが、労務の専門家であっても、この分野まで正確に理解している方は、決して多くないというのが実感です。

「会社」ではなく「製品」で見る、という落とし穴

ここで特に注意したいのが、ISMAPは会社単位ではなく、サービス・製品単位で登録されるという点です。

同じ会社が提供しているサービスであっても——

• Aというクラウドサービスは、ISMAP登録済み
• Bというクラウドサービスは、同じ会社の提供でも未登録

ということが、普通に起こります。

「大手のクラウドサービスだから」「有名な会社の製品だから」という理由だけで安心してしまうと、実際に使っているサービスは対象外だった、ということになりかねません。

規程には「ISMAP基準を満たすクラウドサービスを選定する」と書いてあるのに、運用の実態が伴っていない——これでは、せっかく作った規程が「お守り」ではなく「見せかけ」になってしまいます。

だからこそ、丁寧な話し合いが必要です

情報管理規程は、こども家庭庁のひな型をベースにしながらも、各施設の実情に合わせて調整していくものです。

特に「記録・保存あり」の型を選ぶ場合は、次のことを事前にすり合わせておくことをおすすめします。

• そもそも、独自の記録・保存が本当に必要か（多くの場合、記録・保存を行わない型で足りることもあります）
• 記録・保存が必要な場合、実際に使うクラウドサービスがISMAP登録されているか
• 登録の有無を、誰が、どのタイミングで確認・維持管理していくか

ひな型の文言をそのまま当てはめるだけでは、実態に合わない規程になってしまいます。専門用語の意味を正しく理解した上で、その施設に合った形に落とし込む——それが、規程を「使えるもの」にする一番の近道だと感じています。

---

「情報管理規程を作りたいけれど、何から手をつけていいかわからない」「今使っているクラウドサービスで大丈夫か確認したい」という幼稚園・保育所・学校、学習塾・スポーツクラブなど、こどもと接する事業を営むすべての事業者の方は、ぜひ一度ご相談ください。社会保険労務士・行政書士のダブルライセンスで、ワンストップで対応します。