スペースデータ、ISO/IEC 27001（ISMS）認証取得｜登録は4月13日、公表は8月5日

7月に防衛シミュレーターを4本出した会社は、その前年の秋にはもう適用宣言書をまとめていました。ISMS認証の登録が済んだのは4月13日、公表は8月5日です。派手な発表が続くあいだ、地味な体制づくりは静かに片づいていた。速さで知られる組織には、もう一つの時計があったようです。

株式会社スペースデータは2026年8月5日、情報セキュリティマネジメントシステム（ISMS）の国際規格ISO/IEC 27001:2022（JIS Q 27001:2023）にもとづく認証を取得したと発表した。登録範囲は「仮想現実とAIを活用した情報システムの設計、開発および運用」、認証登録番号はIS 837387、初回登録日は2026年4月13日である。

認証機関はBSIグループジャパン株式会社で、ISMS-AC認定番号はISR004。同社は地球・宇宙環境を精密に再現するデジタルツイン技術やフィジカルAI、シミュレーションを用いた情報システムの設計・開発・運用を行っており、顧客やパートナーから預かるデータを含む情報資産の保護と管理を事業基盤の責務と位置づける。代表取締役社長は佐藤航陽。

From: スペースデータ、情報セキュリティ国際規格「ISO/IEC 27001（ISMS）」の認証を取得

【編集部解説】

認証を取ったのは4月。公表したのは8月

このリリースを読んで、まず目に留まるのは日付です。

初回登録日は2026年4月13日。公表は8月5日。114日が空いています。

認証登録の内容は、ISMS-ACの登録簿で誰でも確認できます。そこにはリリースが触れていない情報も載っていて、有効期限は2029年4月12日、登録範囲の末尾には「2025年10月8日付適用宣言書第1版」と記されています。

適用宣言書は、規格の管理策のうちどれを採用するかを決めた文書です。着手した日そのものは記載されていませんが、少なくとも2025年10月8日までに第1版がまとまっていたことは確認できます。

公表の前日に、同社が書いていたこと

ではなぜ、公表は8月だったのか。手がかりは、その前日にあります。

8月4日、同社は別のリリースを出しています。キオクシアからカーブアウトしたEmotionX株式会社と、防衛・安全保障分野で協業覚書を締結したという内容です。EmotionXが持つ完全準同型暗号（FHE）の技術と、スペースデータのフィジカルAI・デジタルツイン・シミュレーション技術を組み合わせ、機密情報を復号せずに分析できる情報基盤の構築を検討する、というものでした。

そのリリースの本文に、こう書かれています。国家のレジリエンス強化を支える企業として、情報セキュリティと秘密保護の徹底を経営上の最重要事項と位置づけている、と。

技術で守る話をした翌日に、体制で守る話をしている。2日続けて、同じ主題が並んでいます。

もちろん、同社は公表時期の理由を説明していません。審査報告書の受領や認証書の到着に時間がかかることもありますし、広報の順序が結果的にこうなっただけかもしれません。ここから先は、公開情報の並びから読み取れる編集部の解釈です。

そのうえで書きます。公表のタイミングは、認証を取った時期ではなく、この協業発表に合わせて選ばれたのではないか。暗号技術という「技術による保護」と、ISMSという「体制による保護」を並べて示す。防衛・自治体・重要インフラといった、調達側が体制を問う相手に向き合うなら、この順序には合理性があります。

防衛への展開は、認証よりずっと前から

ただし、注意が必要な点があります。この認証取得を「防衛事業へ踏み出すための準備」と読むのは誤りです。

同社は2025年4月に「安全保障事業本部」を新設し、防衛事業へ本格参入したと自ら説明しています。2026年1月には統合技術基盤「PROVIDENCE」の防衛分野への提供拡大を発表し、複数の省庁関連プロジェクトでの活用が進んでいるとしています。3月6日には経済産業省で開かれたNATO事務次長とデュアルユース企業の意見交換に参加し、4月17日にはブリュッセルのEU本部で開かれた日EU初の防衛産業対話にも出席しました。

時系列を並べると、こうなります。

2025年4月	「安全保障事業本部」を新設し、防衛事業へ本格参入したと同社が説明
2025年10月8日	適用宣言書第1版（登録簿の記載）
2026年1月21日	統合技術基盤「PROVIDENCE」の防衛分野への提供拡大を発表
3月6日	経済産業省でのNATO事務次長との意見交換に参加
4月13日	ISMS初回登録
4月17日	日EU初の防衛産業対話に参加（公表は4月23日）
4月30日	同社制作の宇宙作戦団広報動画を航空自衛隊が公開
6月22日	宇宙AIプラットフォーム「SpaceBrain」提供開始
7月3日〜29日	「AMATERASU」のシミュレーター4本を順次発表
8月4日	EmotionXとの協業覚書を発表
8月5日	ISMS認証取得を公表

スペースデータの公表資料をもとに編集部作成

認証登録は、始まりではなく途中に置かれています。防衛事業への参入から半年ほどで適用宣言書がまとまり、さらに半年後に登録を終えた。そう読める並びです。ただし、同社が認証登録とこれらの活動の時期を関連付けて説明した資料は確認できません。

この認証が保証すること、していないこと

ここは丁寧に線を引く必要があります。

ISMS認証が示すのは、組織の情報セキュリティの「管理の仕組み」が規格の要求を満たしているということです。リスクを洗い出し、対策を決め、運用し、点検し、改善する。その一連の回し方が機能していることを、外部が確かめた。それ以上でも以下でもありません。

「この会社のシステムに脆弱性がない」という保証ではありません。「情報漏えいが起きない」という約束でもない。ここを混同すると、読者に過度な安心を与えてしまいます。

もう一点。ISMS-ACの登録簿によれば、2026年8月5日時点で8,652組織が登録され、うち8,405組織が公表されています。取得それ自体が特筆すべき希少事ではない、というのが正直な相場観です。

では本件の何が読む価値を持つのか。登録範囲の文言だと考えます。

「仮想現実とAIを活用した情報システムの設計、開発および運用」。この一文に、「宇宙」も「衛星」も入っていません。同社が対外的に語る「宇宙AIカンパニー」という自己像と、認証上の線引きがずれている。ただしこれは認証の対象となる活動を示す表現であり、同社が事業の核をこの2語に限定していることまでを示すものではありません。それでも、認証という形式的な場面で自社を説明するとき、選ばれたのが「仮想現実とAI」だったという事実は残ります。

防衛調達で問われる基準は、これとは別にある

同社は防衛・安全保障をはっきり事業領域に掲げています。だからこそ書いておきたいのですが、ISMS認証は、防衛調達で求められる要件そのものではありません。

防衛装備庁は2022年3月、「装備品等及び役務の調達における情報セキュリティ基準」を整備しました。「防衛産業サイバーセキュリティ基準」という通称でも呼ばれます。この基準は、契約に付される「装備品等及び役務の調達における情報セキュリティの確保に関する特約条項」の別紙として構成されているもので、両者は別の文書です。

米国のNIST SP 800-171の管理策を取り込んだ内容で、保護すべき情報の取り扱いを含み、同特約条項が付された契約に適用されます。防衛省と直接契約する企業だけでなく、元請負者から保護すべき情報を扱う業務を請け負う企業も対象です。要求の重心は、防御に加えて「検知」「対応」「復旧」に置かれています。

ISMSと同基準は目的も構造も異なります。ISMSの土台があれば対応が進めやすい面はあるにせよ、一方を満たせば他方が満たされる関係ではありません。

同社は、防衛省・自衛隊の先端技術関連プログラムへの採択と、複数の大型プロジェクトの進行を自社リリースで公表しています。2026年3月に新編された航空自衛隊「宇宙作戦団」の広報動画を制作したことも明らかにしています。一方で、プログラム名、契約相手、契約形態、「保護すべき情報」の取り扱いの有無、特約条項が付されているかどうかは、いずれも公表されていません。したがって、同基準が実際に適用されているかは確認できません。今回の認証をもって「防衛調達の要件をクリアした」と読むのは、飛躍にあたります。

留保しておきたい3点

1. 効果をどう測るのか。ISMS認証は成果指標ではなく、体制の適合証明です。認証書そのものに、取得前後の改善幅を示す共通のスコアは付きません。ただし規格自体は、情報セキュリティの成果とISMSの有効性を監視・測定・分析・評価することを組織に求めています。本件のリリースでは、その指標も測定結果も公表されていません。認証の有無を、そのままセキュリティ水準の高低と読み替えないほうが健全です。

2. 今回の認証だけでは、AI固有の管理体制は確認できない。同社は登録範囲に「AIを活用した情報システム」と自ら書いています。にもかかわらず、AIマネジメントシステムの国際規格であるISO/IEC 42001（AIMS）については、取得も検討も表明していません。

制度そのものは、すでに動きはじめています。ISMS-ACが国内初のAIMS認証機関としてSGSジャパンとテュフラインランドジャパンの2社を認定したのは2026年1月ですが、それ以前から海外の認定機関による認定を受けた認証機関が国内で認証を発行しており、本件の認証機関であるBSIグループジャパンも、2025年5月にi-PRO株式会社へISO/IEC 42001の認証書を授与しています。制度がなかったから取れなかった、という状況ではありません。

ISMSが情報資産の管理を対象とするのに対し、AIMSはAIに関するリスクと機会を組織的に管理する枠組みを対象とします。AIが人の判断に深く関わる領域——防衛の作戦運用支援、災害時の避難判断支援——に製品を出している企業にとって、この差は小さくありません。情報を守る体制は示された。では、そのAIをどう管理しているのか。いま公表されている認証からは、そこは読み取れません。

3. 条件が公表されていない部分。取得にかかった費用、専任体制の規模、内部監査の実施頻度、適用宣言書で除外した管理策の有無。いずれも公表されていません。同種の発表では珍しくないことですが、公表されていない以上、推測はしないでおきます。

それでも、この一本を取り上げる理由

批判的に書いてきましたが、この発表を軽く見ているわけではありません。

2025年10月に適用宣言書をまとめ、翌春に登録を終えている。製品を派手に出す前に、地味な体制構築を進めていたということです。7月の連続リリースだけを見ていると、この会社は速度で押す組織に見えます。しかし認証の日付は、その裏で別の時計が動いていたことを示しています。

以前このメディアで、ISO/IEC 42001の普及に取り組む株式会社UPFの仲手川啓氏に話を聞いたとき、印象的な指摘がありました。ISMSも2010年頃から大手の取引条件や入札要件に組み込まれ、一気に標準になった。AIMSも同じ道をたどる、と。「AIを使っているなら、管理体制を示してください」が取引の前提になる日は、想像より早く来る。

その言葉に照らすなら、スペースデータは半分だけ先に進んだところにいます。情報の側は整えた。AIの側は、これからです。

次に注目すべきは、次の製品リリースではないのかもしれません。

【関連記事】

スペースデータ、新宿駅の推計人流を地下4階まで3D再現する「People Flow Simulator」をリリース
同社の直前記事。防衛と防災を相互に還元するデュアルユース構造を扱っており、本件の文脈をつかむ起点になる。

スペースデータ「JOINT OPERATION SIMULATOR」、陸・海・空164種を統合COPで可視化
7月末の防衛領域の最新リリース。認証公表の直前まで続いていた連続発表の実像を確認できる。

AIを”安心して使える”社会へ ― ISO/IEC 42001（AIMS）の普及に挑む株式会社UPF・仲手川啓氏
ISMSが取引条件へ組み込まれた経緯と、AIMSが同じ道をたどるという見通しを当事者が語る。本記事の結論と直結する。

【編集部後記】

認証を取ったら、普通はすぐ言います。スタートアップにとって、第三者のお墨付きは取れた瞬間に出したいカードのはずです。

スペースデータは114日、手元に置いていました。そして8月4日に暗号技術の協業、翌5日に認証取得。並べて出しています。急がなかったのではなく、出す場所を選んでいたように見えます。

登録簿に記された適用宣言書は、まだ第1版です。できたての体制を、これだけ落ち着いて扱える。次が第2版になるとき、何が足されるのでしょうか。

【用語解説】

ISMS（情報セキュリティマネジメントシステム）
情報を守るための組織の運営ルールと、それを回す仕組みの総称。リスクを洗い出し、対策を決め、運用し、点検し、改善するという循環を指す。個別の技術対策そのものではなく、その決め方と回し方を対象とする点に特徴がある。

ISO/IEC 27001
ISMSの要求事項を定めた国際規格。日本語版はJIS Q 27001。2025年5月に発行されたJIS Q 27001:2025は、2023年版に気候変動への考慮を加える追補1で、追補部分のみを収録しているため2023年版と併せて適用する。なお、スペースデータの登録簿上の認証基準の記載は「JIS Q 27001:2023（ISO/IEC 27001:2022）」である。

認証機関と認定機関
認証機関は、組織を実際に審査して合否を判定する会社。認定機関は、その認証機関が規格どおりに審査しているかを審査し、お墨付きを与える機関。審査する側と、審査する側を審査する側が分かれることで、制度の客観性が保たれている。

適用宣言書（SoA）
規格が示す管理策のうち、どれを採用し、どれを適用対象外としたかを一覧にした文書。適用除外には理由の記載が求められる。認証登録簿には日付と版数が記載される。

登録範囲
認証がどの活動を対象としているかの線引き。会社全体とすることも、特定の業務や部門に限定することもできる。認証の実質的な射程はこの一文で決まるため、第三者が認証を評価する際の要点となる。

維持審査と更新審査
認証は取得して終わりではなく、通常は年次の維持審査と、有効期限にあわせた更新審査で継続的に確認される。有効期限が切れれば認証は失効する。

防衛産業サイバーセキュリティ基準
防衛装備庁が2022年3月に整備した「装備品等及び役務の調達における情報セキュリティ基準」の通称。契約に付される「装備品等及び役務の調達における情報セキュリティの確保に関する特約条項」の別紙として構成される。保護すべき情報の取り扱いを含み、同特約条項が付された契約に適用され、元請負者から当該情報を扱う業務を請け負う企業も対象となる。

NIST SP 800-171
米国立標準技術研究所が定めた、政府外の組織が「管理された非格付け情報（CUI）」を保護するためのガイドライン。防衛産業サイバーセキュリティ基準は、この管理策を取り込む形で整備された。

ISO/IEC 42001（AIMS）
AIマネジメントシステムの国際規格。2023年12月発行。ISMSが情報資産の管理を対象とするのに対し、こちらはAIに関するリスクと機会を組織的に管理する枠組みを対象とする。個々のAI出力の妥当性を直接保証する制度ではない。国内では2026年1月にISMS-ACが初のAIMS認証機関2社を認定したほか、海外の認定機関による認定を受けた認証機関も認証を発行している。

デジタルツイン
現実の対象や環境を、デジタル空間上に精密に再現する技術。スペースデータは地球・宇宙環境を対象としており、防災シミュレーターや作戦状況図の基盤となっている。

フィジカルAI
現実世界の状況を認識し、判断し、行動につなげることを可能にするAI技術。画面のなかで完結せず、センサーやロボットを通じて実空間と接続する点が特徴。

デュアルユース
一つの技術を民生用途と防衛用途の双方に活用すること。スペースデータは、防衛で培った技術を防災へ、防災で磨いた技術を防衛へ相互に還元する構造を、自社のプロダクトカタログで明示している。

完全準同型暗号（FHE）
データを平文に戻さず、暗号文のまま計算できる方式。計算結果も暗号化された状態で得られ、権限を持つ利用者が後で復号する。処理の過程で平文が現れないため機密情報を扱いやすい。格子ベースの代表的な方式には耐量子性が期待されるが、FHEであること自体がすべての方式の耐量子性を保証するわけではない。