Wiz и ISMAP: как мы готовимся к работе с государственным сектором Японии
Когда японские государственные учреждения закупают облачные услуги, они, как правило, обязаны выбирать их из сервисов, зарегистрированных в списке облачных сервисов ISMAP. Этот список составляется в рамках программы ISMAP (Information system Security Management and Assessment Program) в соответствии с «Общими стандартами мер кибербезопасности для государственных учреждений и связанных с ними организаций. ISMAP — это структура, которая заранее оценивает и регистрирует облачные сервисы, чтобы гарантировать их соответствие требованиям безопасности, установленным правительством.
Без активной регистрации в ISMAP японские государственные учреждения сталкиваются с барьером для внедрения. Хотя Wiz еще не внесена в список ISMAP, мы активно работаем над мерами контроля и хотели бы поделиться тем, на каком этапе мы находимся сегодня.
Что такое ISMAP и почему это важно
На практике ISMAP предоставляет сотрудникам по закупкам предварительно проверенный каталог облачных провайдеров. Попадание в этот список сопряжено со строгими базовыми требованиями:
- Обязательные внешние аудиты, проводимые аудиторскими фирмами, зарегистрированными в списке аудиторов ISMAP
Обязательные внешние аудиты, проводимые аудиторскими фирмами, зарегистрированными в списке аудиторов ISMAP
- Поддержка приложений на японском языке, а также подготовка документации и журналов аудита, необходимых для проверки и экспертизы
Поддержка приложений на японском языке, а также подготовка документации и журналов аудита, необходимых для проверки и экспертизы
- Соблюдение графика подачи заявок на продление регистрации после ее получения, а также проведение текущих аудитов и проверок
Соблюдение графика подачи заявок на продление регистрации после ее получения, а также проведение текущих аудитов и проверок
По сути, ISMAP дополняет признанные мировые стандарты. Меры контроля ISMAP построены на базе Общих стандартов для государственных учреждений, а также JIS Q 27001 и JIS Q 27017 (японские национальные стандарты для ISO/IEC 27001 и ISO/IEC 27017), охватывающих управление информационной безопасностью и меры контроля безопасности облачных вычислений. Хотя ISMAP соответствует этим структурам, наличие данных сертификатов не означает автоматическую регистрацию в ISMAP. Кроме того, ISMAP также включает ISO/IEC 27018 для обеспечения конфиденциальности в облаке, наряду с мерами контроля NIST SP 800-53 для устранения пограничных случаев, которые не охватываются основными стандартами ISO явным образом.
В настоящее время опубликованы предлагаемые изменения в мерах контроля ISMAP, направленные на отражение пересмотренных международных стандартов и оптимизацию количества мер контроля. Эти предложения нацелены на реорганизацию и рационализацию системы контроля, что, как ожидается, повысит эффективность после пересмотра и вступления в силу при сохранении безопасности и надежности, требуемых программой. Обратите внимание, что проекты изменений и график внедрения могут быть изменены.
На каком этапе находится Wiz сегодня
В течение последних пяти лет Wiz поддерживает активные сертификаты и отчеты ISO 27001, ISO 27017, ISO 27018, SOC 2, PCI DSS и FedRAMP. Наша приверженность комплаенсу обеспечивает нашим командам отработанные методы внедрения мер контроля, сбора доказательств и постоянной готовности к аудиту. Недавно мы завершили внутреннюю оценку пробелов на соответствие как текущим мерам контроля ISMAP, так и опубликованным предложениям по их пересмотру, чтобы подготовиться к предстоящему аудиту ISMAP.
Чтобы соответствовать специфическим требованиям структуры ISMAP, мы активно формируем локализованные пакеты доказательств и формальные процессы, необходимые для оценщиков ISMAP. Параллельно мы начали сотрудничество с аудиторской фирмой, зарегистрированной в списке аудиторов ISMAP, с планами официально начать внешний оценочный аудит в начале 2027 года.
Что это значит для клиентов
Внесем ясность: ISMAP не предлагает официального статуса «в процессе» или предварительного статуса. Вы либо находитесь в официальном реестре, либо нет — и на данный момент нас там нет.
Мы можем подтвердить, что выполняем специфические требования ISMAP, опираясь на наш обширный опыт работы с такими сертификациями, как ISO 27001, SOC 2 Type II, PCI-DSS, FedRAMP, IRAP и CPSTIC. Мы завершили анализ пробелов, привлекли зарегистрированных оценщиков и заблаговременно работаем над артефактами контроля, а не пытаемся сделать это в спешке во время аудита.
Тем временем команды безопасности в Японии уже используют Wiz для аудита и контроля основных областей безопасности: IAM, шифрование данных, централизованное ведение журналов, непрерывное сканирование уязвимостей и реагирование на инциденты. Однако соответствие стандартам безопасности ISMAP не подтверждается и не гарантируется исключительно использованием Wiz.
Взгляд в будущее
Наш план действий прост: завершить подписание контракта с органом по оценке и официально начать внешний оценочный аудит ISMAP в начале 2027 года. Мы будем делиться дальнейшими обновлениями по мере прохождения ключевых этапов аудита в течение следующего года.
Если вы сейчас занимаетесь вопросами соблюдения нормативных требований в государственном секторе Японии, мы можем подробно рассказать о нашем текущем состоянии безопасности, поделиться действующими отчетами ISO и SOC 2 и показать, как наше существующее сопоставление мер контроля соответствует ISMAP. Обратитесь к своей команде по работе с клиентами Wiz или свяжитесь с нами напрямую.
