中溝和孝

お答え申し上げます。

　御質問につきまして、政府機関等の情報システムのサイバーセキュリティー上のリスクという観点からお答えをさせていただきたいと思います。

　政府機関等によるクラウドサービスの調達につきましては、ＩＳＭＡＰ、正式には政府情報システムのためのセキュリティ評価制度という制度がございます。各政府機関等がクラウドサービスを調達しようとするときは、原則ＩＳＭＡＰクラウドサービスリストに登録、掲載されたリストから、サービスから調達することとされてございます。

　クラウドサービスのＩＳＭＡＰリストへの登録申請に当たっては、クラウド事業者に対して、国際標準等を踏まえて策定されたセキュリティー基準であるＩＳＭＡＰ管理基準を満たすことを求めておりますほか、例えばデータセンター等の場所や準拠法令、裁判管轄権、資本関係や役員の情報などのサプライチェーンに関する情報の提供を求めております。

　政府では、これらの情報を基に、基準への適合性やサプライチェーン上のリスクの有無を審査した上で、クラウドサービスの登録可否を総合的に判断しております。

　なお、ＩＳＭＡＰではデータセンターの場所を国内に制限するといったことはしてはございませんが、当該サービスがＩＳＭＡＰに登録された場合には、ＩＳＭＡＰリストにデータセンターの設置場所等の情報を含めて記載、公表することとしております。

　各政府機関等においては、これらの情報を踏まえて、個々の情報システムの業務内容や取り扱う情報等に応じて、ＩＳＭＡＰリストの中から適切なクラウドサービスを調達するということとされてございます。

　政府としましては、こうした制度を通じて、政府機関等において適切なクラウドサービスが選択され、データの安全が確保されるよう引き続き取り組んでまいりたいと考えてございます。