【統21】1.(6)について、クラウドサービスの契約にはデータ消去は実施するが消去証明書の発行はないとされているが、特定システムを本クラウドサービス上で運用しても問題ないか。 ISMAP（政府情報システムのためのセキュリティ評価制度）に登録されたクラウドサービスであれば消去証明書の発行を不要と考えてよいか。

【統21】1.「外部委託先との契約締結」は必須の対策ですが、(1)～(16)は契約締結時に考慮すべき事項の例示であり、(6)の②に挙げた契約終了時のデータ消去の「証明書」が必要となるわけではありません。 とはいえ、解約後の情報漏えいを防ぐためにデータ消去体制を確認することは重要ですので、(6)②に例示したチェックポイントを参考に、データの重要度や業務のリスク特性等を踏まえて、各金融機関等が経営と相談しつつ自社の基準に沿って判断することになります。 ISMAPに登録済のクラウドサービスは、監査機関の監査を経てリストに掲載・公開されていますので、既に一定の評価が下されていると判断できます。ただし、ISMAPはあくまで政府のクラウドサービスの選定・導入を想定した仕組みであり、各金融機関等の基準と必ずしも一致するとは限りません。ISMAP登録済であることをもって「消去証明書」も不要とするかどうかは、各金融機関等で判断いただくことになります。 ＜ガイドライン記載箇所＞ 【統21】　1.(6)