第4部 外部委託

4.1 業務委託

4.1.1 業務委託

目的・趣旨

機関等外の者に、調査・研究等の業務を委託、あるいは情報システムやアプリケーションプログラムの開発・運用・保守等を委託する際に、職員等が当該委託先における情報セキュリティ対策を直接管理することが困難な場合は、委託先に提供する要保護情報等を適切に保護するための情報セキュリティ対策が確実に実施されるよう、委託先への要求事項を調達仕様書等に定め、委託の際の契約条件とする必要がある。

業務委託には以下の例のように様々な種類があり、また、契約形態も、請負契約や委任、準委任、約款への同意等様々であるが、いずれの場合においても、前述のように委託先に提供した情報が適切に保護されるための情報セキュリティ対策が確実に実施される必要のある業務委託の契約時には、委託する業務の範囲や委託先の責任範囲等を明確化し、契約者双方で情報セキュリティ対策の詳細について合意形成することが重要である。

なお、委託業務でクラウドサービスを利用する場合は、委託先においてもクラウドサービス特有のリスクがあることから、4.2「クラウドサービス」で規定する内容についても取り扱う情報の格付、委託する業務や利用するクラウドサービスの特性等に応じて委託先への要求事項に含める必要がある。また、情報システムに関する業務を委託する際は、情報システムに関する別のリスクがあることから、4.1.2「情報システムに関する業務委託」に規定する内容についても実施する必要がある。さらに、機器等を調達する場合には、調達する機器等におけるサプライチェーン上のリスクがあることから、4.3「機器等の調達」で規定する内容についても実施する必要がある。

＜業務委託の例＞

遵守事項

(1) 業務委託に係る運用規程の整備

(a) 統括情報セキュリティ責任者は、業務委託に係る以下の内容を全て含む運用規程を整備すること。

(ア) 委託先への提供を認める情報及び委託する業務の範囲を判断する基準（以下本款において「委託判断基準」という。）

(イ) 委託先の選定基準

【 基本対策事項 】規定なし

（解説）

委託先に許可されていない情報の提供が行われないように、委託先に提供する情報に関する機関等の基準を規定することを求めている。規定すべき内容としては、以下の例が考えられる。

特に、委託業務で取り扱われる情報に対して国外の法令等が適用される場合があり、国内であれば不適切と判断されるアクセス等が行われる可能性があることに注意が必要である。

統括情報セキュリティ責任者は、委託先の選定基準の整備に当たって、当該委託先が、事業の継続性を有し存続する可能性が高く、機関等の対策基準の要件を満たしていると判断できる場合に限ること等を前提とすることが重要である。

選定基準としては、委託先が対策基準を遵守し得る者であること、対策基準と同等の情報セキュリティ管理体制を整備していること、対策基準と同等の情報セキュリティ対策の教育を委託先の事業従事者に対して実施していること、「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ　内閣官房国家サイバー統括室）に基づき、サプライチェーン・リスクに対応する必要があると判断されるものについては、必要な措置を講ずること等が挙げられる。

参考：内閣官房国家サイバー統括室「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ） （https://www.cyber.go.jp/pdf/policy/kihon-2/IT_moushiawase.pdf）

また、機関等の情報セキュリティ水準を一定以上に保つために、委託先に対して要求すべき情報セキュリティ要件を機関等内で統一的に整備することが重要である。

委託先の選定基準策定に当たって、委託先の情報セキュリティ水準の評価方法を整備する際、例えば、ISO/IEC 27001等の国際規格とそれに基づく認証制度の活用、情報セキュリティガバナンスの確立促進のために開発された自己評価によるツール等の応用も考えられる。また、サプライチェーン強化に向けたセキュリティ対策評価制度（注）が運用開始された際は、これを活用することも考えられる。

なお、委託先の選定基準は、法令等の制定や改正等の外的要因の変化に対応して適時見直し、業務委託の実施時に反映する必要がある。

（注）サプライチェーン全体でのサイバーセキュリティ対策強化の観点から、国家サイバー統括室と経済産業省で構築中のサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）。2026年3月に制度構築方針が公表されている。

遵守事項

(2) 業務委託実施前の対策

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託の実施までに、以下を全て含む事項を実施すること。

(ア) 委託する業務内容の特定

(イ) 委託先の選定条件を含む仕様の策定

(ウ) 仕様に基づく委託先の選定

(エ) 契約の締結

(オ) 委託先に要機密情報を提供する場合は、秘密保持契約（NDA）の締結

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託の実施までに、委託の前提条件として、以下を全て含む事項の実施を委託先に求めること。

(ア) 仕様に準拠した提案

(イ) 契約の締結

(ウ) 委託先において要機密情報を取り扱う場合は、秘密保持契約（NDA）の締結

【 基本対策事項 】

＜4.1.1(2)(a)(イ)関連＞

4.1.1(2)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、以下の内容を全て含む情報セキュリティ対策を実施することを**委託先の選定条件とし、仕様にも含める**こと。また、委託業務において、クラウドサービスを用いて委託業務に係る情報を取り扱うことが考えられる場合は、取り扱う情報の格付、委託する業務や利用するクラウドサービスの特性等に応じて、4.2「クラウドサービス」で規定する内容についても仕様に含めること。

a) 委託先に提供する情報の委託先における目的外利用の禁止

b) 委託先における**情報の適正な取扱いのための情報セキュリティ対策の実施内容及び管理体制**

c) 情報セキュリティインシデントへの対処方法

d) 情報セキュリティ対策その他の契約の履行状況の確認方法

e) 情報セキュリティ対策の履行が不十分な場合の対処方法

4.1.1(2)-2 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託する業務において**取り扱う情報の格付等を勘案し、以下の内容の全てを必要に応じて仕様に含める**こと。

a) 監査の受入れ

b) サービス品質の保証

＜4.1.1(2)(a)(イ)(エ)関連＞

4.1.1(2)-3 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先との情報の受渡し方法や委託業務終了時の情報の廃棄方法等を含む**情報の取扱手順**について委託先と合意し、定められた手順により情報を取り扱うこと。

＜4.1.1(2)(a)(ウ)関連＞

4.1.1(2)-4 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先がその役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、基本対策事項4.1.1(2)-1及び2の措置の実施を委託先に担保させるとともに、**再委託先**の情報セキュリティ対策の実施状況を確認するために必要な情報を機関等に提供し、機関等の承認を受けるよう、仕様に含めること。また、委託判断基準及び委託先の選定基準に従って再委託の承認の可否を判断すること。

＜4.1.1(2)(b)(ア)関連＞

4.1.1(2)-5 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、以下の内容を全て含む委託先における情報セキュリティ対策の遵守方法、情報セキュリティ管理体制等に関する確認書等を提出させること。また、変更があった場合は、速やかに再提出させること。

a) 当該委託業務に携わる者の特定

b) 当該委託業務に携わる者が実施する具体的な情報セキュリティ対策の内容

（解説）

遵守事項4.1.1(1)において、各機関等で定めた委託判断基準及び委託先の選定基準に基づいて、案件における業務委託の可否及び業務委託範囲や作業の定義、委託先の能力条件等、仕様の前提となる事項を明確にする必要がある。

秘密保持契約（NDA）の締結に当たっては、必要な事項を契約書に記載することにより、業務委託の契約に含めてもよい。また、業務委託実施前において、見積書等を取得するために見積依頼先に要機密情報を閲覧させる場合にも、これに準じた対応を行うことが望ましい。

契約書等に記載する事項としては、以下の例が考えられる。

一般競争入札の中でも総合評価落札方式で行う場合は、本基本対策事項各号について、評価の際に入札者に対し提出を求めるなど、選定条件を満たしているかの確認をする必要がある。また、事前に評価を行えない最低価格落札方式等で行う場合であっても、仕様書に対する履行能力証明書等を提出させるなどにより、本基本対策事項各号について契約時までに提出することを確約させる必要がある。

なお、委託事業の内容によっては、一部の条件が設定不可能な場合や意味をなさない場合も考えられるため、そのような場合には、除外することもやむを得ない。

目的外利用に当たる場合としては、例えば、委託先が当該委託業務で提供を受けた機関等が利用するソフトウェアの情報を保有し、今後の営業活動で利用するなどが考えられる。

情報セキュリティ対策の具体的な実施内容については基本対策事項4.1.1(3)-1に示す情報セキュリティ対策を参照して、委託内容に応じて仕様書にも記載する必要がある。また、情報セキュリティに関する認証等として、例えば情報セキュリティ管理全般についてのISO/IEC 27001等の取得を委託先に要求することも考えられる。

委託先において発生した情報セキュリティインシデントによる被害を最小限に食い止めるための対処方法（対処手順、責任分界、対処体制等）について、委託先の選定条件として仕様に含めておき、委託先と事前に合意する必要がある。対処方法について合意していないと、インシデントが発生しているにもかかわらず委託先と連絡がつかない、営業時間外の対応を断られるなどのトラブルになるおそれがあるため、事前に合意することが重要である。

対処方法には、例えば、復旧を優先する場合は委託業務を一時的に停止するための手順を規定し、業務継続を優先する場合は、委託事業を継続した上で情報セキュリティインシデントに対処する手順について、対処の主体とともに規定することが考えられる。また、情報セキュリティインシデントに係る委託先と機関等間の情報エスカレーション方法やそのタイミングについて規定することも考えられる。

情報セキュリティ対策の履行状況を確認するための方法としては、例えば、委託先における情報セキュリティ対策の実施状況について定期的に報告させることや監査を実施してその結果を確認すること等が考えられる。監査の内容には、請け負わせる業務のうち監査の対象とする範囲、実施者（機関等が指定する第三者、委託先が選定する第三者、機関等又は委託先において当該業務を行う部門とは独立した部門）、実施方法（監査基準の概要、実施場所等）等、当該監査を受け入れる場合の委託先の負担及び委託先の情報セキュリティポリシーとの整合性等を委託先が判断するために必要と考えられる事項を含める。

監査により履行状況を確認する場合は、基本対策事項4.1.1(2)-2 a)に示す監査の受入れを調達仕様書に明記することが望ましい。

なお、契約内容の中で委託先における情報セキュリティ対策以外の内容についても、機関等の情報セキュリティに影響を及ぼす内容であると考えられる場合は、その履行状況についても確認することが求められる。情報セキュリティ対策以外の内容としては、例えば、委託先の資本関係、国籍に関する情報等についての契約後の変化などが考えられる。

情報セキュリティ対策の履行が不十分である場合の対処方法としては、例えば、委託先と改善について協議を行い、合意した改善策を実施させること等が考えられる。また、情報システムセキュリティ責任者又は課室情報セキュリティ責任者自身が契約を行わない場合には、遵守事項4.1.1(2)に係る取決めについて、契約する者に対して依頼する必要がある。

要保護情報を委託先にて取り扱う場合には、必要時に情報セキュリティ対策の履行状況の報告を求めるものである。また、委託先への立入検査又は情報セキュリティに関する監査を実施する場合には、監査の対象とする範囲、実施者及び実施方法等を含む委託先と合意した事項について、契約に含めるなどにより明確にすることが必要である。

また、要安定情報を取り扱う場合には、サービス品質の保証について委託先と契約を取り交わすことを検討する必要がある。サービス品質に関しては、セキュリティ確保の観点からも、可用性、通信の速度及び安定性、データの保存期間及び方法、データ交換の安全性及び信頼性確保のための方法、情報セキュリティインシデントの対処方法等を決定し、委託先に保証させることが重要である。

格付及び取扱制限の明示等、運搬又は送信、消去等の情報の取扱いに関して、委託先においても機関等の対策基準に定める内容と同等の取扱いが行われるよう、委託先と事前に合意することが重要である。また、委託先に提供する情報は必要最小限にとどめる必要があるが、委託先のシステムの利用等において目的外の不必要なアクセスが行われる可能性も考慮し、委託先における情報の取扱状況を適宜把握することも重要である。

「再委託先」には、再委託先の事業者が受託した事業の一部を別の事業者に委託する再々委託等、多段階の委託が行われる場合の委託先を含む。

遵守事項

(3) 業務委託実施期間中の対策

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託の実施期間において以下を全て含む対策を実施すること。

(ア) 委託判断基準に従った要保護情報の提供

(イ) 契約に基づき委託先に実施させる情報セキュリティ対策の履行状況の定期的な確認

(ウ) 委託した業務において、情報セキュリティインシデントの発生若しくは情報の目的外利用等を認知した場合又はその旨の報告を職員等より受けた場合における、委託事業の一時中断などの必要な措置を含む、契約に基づく**対処の要求**

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託の実施期間において以下を全て含む対策の実施を委託先に求めること。

(ア) 情報の適正な取扱いのための情報セキュリティ対策

(イ) 契約に基づき委託先が実施する情報セキュリティ対策の履行状況の定期的な報告

(ウ) 委託した業務において、情報セキュリティインシデントの発生又は情報の目的外利用等を認知した場合における、委託事業の一時中断などの必要な措置を含む対処

【 基本対策事項 】

＜4.1.1(3)(b)(ア)関連＞

4.1.1(3)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、**委託業務における情報の適正な取扱いを委託先に担保させる**ため、以下の内容を全て含む情報セキュリティ対策について、あらかじめ委託先との契約に含めた上で、委託期間を通じて、情報の格付等に応じた実施を求めること。

a) 情報セキュリティインシデント等への対処能力の確立・維持

b) 情報へアクセスする主体の識別とアクセスの制御

c) ログの取得・監視

d) 情報を取り扱う機器等の物理的保護

e) 情報を取り扱う要員への周知と統制

f) セキュリティ脅威に対処するための資産管理・リスク評価

g) 委託先が取り扱う情報及び当該情報を取り扱うシステムの完全性の保護

h) セキュリティ対策の検証・評価・見直し

（解説）

情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託判断基準又はそれを反映した仕様に従って業務委託を実施することが重要である。委託判断基準には、提供する要保護情報の適切な取扱いを担保する観点から、業務委託を許可（又は禁止）する業務や提供する情報の範囲、情報を取り扱う場所等が定められているため、業務委託実施期間中の委託先への要保護情報の提供は、これらの基準に従って行われる必要がある。

業務委託契約開始から終了に至るまでに行う委託先への要保護情報の提供に伴う情報の漏えい・滅失・改ざん等を防止するためには、委託業務に携わる職員等それぞれが委託先との情報の授受時に情報セキュリティを確保することが重要である。職員等は、委託先に要保護情報を提供する場合は、提供情報を必要最小限とし、あらかじめ定められた安全な受渡し方法により提供することが求められる。

委託先への情報の提供に関する解説については、「（解説）遵守事項3.1.1(5)(b)「提供先において」・「適切に取り扱われるよう」について」を参照のこと。

情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、情報セキュリティ対策の履行状況の確認に当たっては、当該対策の適切な履行が業務委託の実施期間又は契約期間の全般にわたって担保されていることを確認する必要がある。こうした趣旨から、履行状況の確認は、契約締結時に一度だけ行うのではなく、契約期間や確認内容に応じて適切な頻度を設定した上で、継続的に行うことが求められる。

委託先における情報セキュリティ対策の履行状況の確認に際し、委託先から報告を受ける等の方法に加えて監査を実施することとした場合には、あらかじめ契約に定めた監査の範囲及び実施方法に従い機関等自らが監査を行う以外に、第三者監査を行わせることも考えられる。

職員等は、業務委託において、情報セキュリティインシデントや情報の目的外利用等を認知した場合は、速やかに情報システムセキュリティ責任者又は課室情報セキュリティ責任者に報告することが求められる。

遵守事項4.1.1(3)(b)(ア)における「情報の適正な取扱いのための情報セキュリティ対策」とは、業務委託に伴い提供される機関等の要保護情報等を漏えい・滅失・改ざん等のリスクから保護する目的で、機関等が委託先に求めるものであり、その内容は基本対策事項4.1.1(2)-1 b)が要求するセキュリティ対策の「実施内容」と同一である。すなわち、基本対策事項4.1.1(3)-1 a)からh）においては、機関等が委託先に求めるべきセキュリティ対策の全体像を示すことを意図している。

統一基準群は機関等に対して求められる規範・基準であることから、多くの場合民間企業である業務委託先に対してその遵守を要求することは、実効性等の観点から必ずしも適切でない場合も生じうると考えられる。機関等が委託先に求めるべきセキュリティ対策について委託先と合意形成を目指す際には、国際的な基準・標準等も参照した上で、より汎用性の高い基準・標準等を活用することも有用である。

非政府機関における要保護情報等の取扱いに係る情報セキュリティ対策の基準としては、National Institute of Standards and Technology（NIST、米国国立標準技術研究所）が、Special Publication（SP）800-171として、”Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations”（連邦政府外のシステムと組織における管理された非格付情報の保護）という文書（以下「NIST SP800-171」という。）を公表している。機密扱いではないものの保護が要求される連邦政府の情報を連邦政府外で取り扱わせる際の情報セキュリティ要求事項について、米連邦政府機関が参照している基準群との整合を取りつつまとめた要件集として、同文書は参考になりうる。

基本対策事項4.1.1(3)-1のa)からh）は、NIST SP800-171の内容を参考に機関等が委託先に求めるべきセキュリティ対策を分類して、全体として機関等が業務委託時においても統一基準群の要求事項を満たせるように対策項目を提示している。

表4.1.1-1　基本対策事項4.1.1(3)-1とNIST SP800-171の参考となる管理策群

基本対策事項

NIST SP800-171の管理策群

a) 情報セキュリティインシデント等への対処能力の確立・維持

3.6 Incident Response

b) 情報へアクセスする主体の識別とアクセスの制御

3.1 Access Control

3.5 Identification and Authentication

c) ログの取得・監視

3.3 Audit and Accountability

d) 情報を取り扱う機器等の物理的保護

3.8 Media Protection

3.10 Physical Protection

e) 情報を取り扱う要員への周知と統制

3.2 Awareness and Training

3.9 Personnel Security

3.15 Planning

f) セキュリティ脅威に対処するための資産管理・リスク評価

3.4 Configuration Management

3.7 Maintenance

3.11 Risk Assessment

3.17 Supply Chain Risk Management

g) 委託先が取り扱う情報及び当該情報を取り扱うシステムの完全性の保護

3.13 System and Communications Protection

3.14 System and Information Integrity

3.16 System and Services Acquisition

h) セキュリティ対策の検証・評価・見直し

3.12 Security Assessment and Monitoring

要保護情報等の提供を伴う業務委託において当該情報が適切に保護されるための対策としては、情報セキュリティインシデント等が万一発生した場合にも、被害を防止又は最小化する必要がある。

そのため、情報セキュリティインシデントの発生又は情報の目的外利用等を認知した場合に、委託先が機関等に的確な報告を行いつつ、それらの事態に迅速かつ適正に対処できるよう、報告手順及び対処手順を確立し、維持することを明示的に求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等及びそれを取り扱う情報システムにアクセスする主体を特定し、それが正当な主体であることを検証するための主体の識別及び主体認証を行うことを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等を取り扱う情報システムへの不正アクセスを検知・抑止するためのログを取得・監視すること及び要保護情報等にアクセスする全てのシステム利用者についてシステム操作履歴を取得することを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等を格納する装置、機器、記録媒体、及び紙媒体の使用や保管に係る対策を実施することを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に従事する委託先の従業員等及び機関等が提供する要保護情報等を取り扱う情報システムにアクセスを許可する委託先の従業員等に情報セキュリティポリシー、行動指針等を示し、情報セキュリティ意識を向上させること、また、業務上遵守すべき情報セキュリティ対策に関する事項を確実に認識させることを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等を取り扱う情報システムに用いる機器等について、ソフトウェアバージョンや設定情報の文書化や変更による悪影響の防止等の適切な構成管理を実施すること、要保護情報等を取り扱う情報システムの運用管理で用いるツール・技法・仕組み・要員を組織的に管理すること、要保護情報等を取り扱う情報システムの運用や情報の処理・保管・送信に伴うリスクについてサプライチェーンも含め継続的に評価することを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等を取り扱う情報システムが接続するネットワークの外部境界及び主要な内部境界において、通信又は送受信データを監視し、制御し、保護するとともに、セキュリティバイデザインの考え方等の情報セキュリティを確保するために有効なシステム開発方法論を採用することを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

委託業務に関して機関等が提供する要保護情報等を取り扱う委託先組織に対して、自らのセキュリティ対策を評価して、必要な是正を行うことを求める。

取り扱う情報の格付等を勘案し、以下の対策の実施を委託先に求めることが考えられる。

遵守事項

(4) 業務委託終了時の対策

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託の終了に際して以下を全て含む対策を実施すること。

(ア) 業務委託の実施期間を通じてセキュリティ対策が適切に実施されたことの確認を含む検収

(イ) 委託先に提供した情報を含め、委託先において取り扱われた**情報が確実に返却、廃棄又は抹消されたことの確認**

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、契約に基づき、業務委託の終了に際して以下を全て含む対策の実施を委託先に求めること。

(ア) 業務委託の実施期間を通じてセキュリティ対策が適切に実施されたことの報告を含む検収の受検

(イ) 提供を受けた情報を含め、委託業務において取り扱った情報の返却、廃棄又は抹消

【 基本対策事項 】規定なし

（解説）

業務委託終了時の検収に当たっては、納入品の検査・検証だけでなく、委託先に求めるセキュリティ対策が、委託開始時から終了時に渡って適切に実施されたことを併せて確認する必要がある。確認に当たっては、遵守事項4.1.1(3)(b)で委託先へ求める対策を対象に、委託先とあらかじめ具体的な確認手段について合意した上で実施することが望ましい。

当該遵守事項を職員等に求めるに当たり、委託先とも具体的な確認手段を定め、事前に合意することが望ましい。情報が完全に廃棄又は抹消されたことを確認することが困難な場合は、確認書を委託先に提出させるなどの方法も考慮する必要がある。

情報の抹消については、「（解説）遵守事項3.1.1(7)(b)「抹消する」について」を参照し、確認手段を定めるとよい。

なお、情報システムの廃棄を業務委託する場合は、「（解説）遵守事項5.2.4(1)(a)(イ)「情報の抹消」について」を参照のこと。

4.1.2 情報システムに関する業務委託

目的・趣旨

機関等外の者に、情報システムやアプリケーションプログラムの開発・運用・保守等の情報システムに関する業務を委託する際は、4.1.1「業務委託」で規定する内容に加え、委託先によって情報システムに機関等の意図せざる変更が加えられないための対策や、情報システムの構築の段階や運用・保守の段階において、脆弱性の混入を防止するための対策等の情報システムに関する業務委託に特有の対策を講ずる必要があるこれらについても、委託先への要求事項として調達仕様書等に定め、委託の際の契約条件とする必要がある。

＜情報システムに関する業務委託の例＞

遵守事項

(1) 情報システムに関する業務委託における共通的対策

(a) 情報システムセキュリティ責任者は、**情報システムに関する業務委託**の実施までに、委託先の選定条件に情報システムに機関等の意図せざる変更が加えられないための対策に係る選定条件を加え、仕様を策定すること。

【 基本対策事項 】

＜4.1.2(1)(a)関連＞

4.1.2(1)-1 情報システムセキュリティ責任者は、以下の内容を全て含む情報セキュリティ対策を実施することを情報システムに関する業務委託の委託先の選定条件に加え、仕様にも含めること。

a) 委託先企業若しくはその従業員、再委託先又はその他の者によって、情報システムに機関等の意図せざる変更が加えられないための管理体制

b) 委託先の資本関係・役員等の情報、委託事業の実施場所、委託事業従事者の所属・専門性（情報セキュリティに係る資格（情報処理安全確保支援士等）・研修実績等）・実績及び国籍に関する情報提供

（解説）

情報システムに関する業務委託については、情報システムやアプリケーションプログラムの開発・運用・保守等のように、機関等の情報システムに直接的に影響を及ぼすことが可能な業務委託を想定している。

【参考4.1.2-1】 「業務委託」、「情報システムに関する業務委託」、「機関等向けに情報システムの一部の機能を提供するサービス」、「クラウドサービス」、「機器等の調達」の関係のイメージ例

「業務委託」、「情報システムに関する業務委託」、「機関等向けに情報システムの一部の機能を提供するサービス」、「クラウドサービス」、「機器等の調達」の関係のイメージを図4.1.2-1に示す。

具体的に調達仕様書等に記載する事項としては、以下の例が考えられる。

基本対策事項4.1.2(1)-1 a)における管理体制等を確認する際の参照情報として用いるため、提供を求める規定である。

要安定情報を取り扱う情報システムに関する業務委託において、自然災害その他による影響を考慮し、実施場所の立地条件を事前に考慮する必要がある。

遵守事項

(2) 情報システムの構築を業務委託する場合の対策

(a) 情報システムセキュリティ責任者は、情報システムの構築を業務委託する場合は、契約に基づき、以下を全て含む対策の実施を委託先に求めること。

(ア) **情報システムのセキュリティ要件**の適切な実装

(イ) 情報セキュリティの観点に基づく試験の実施

(ウ) 情報システムの開発環境及び開発工程における情報セキュリティ対策

【 基本対策事項 】

＜4.1.2(2)(a)(イ)関連＞

4.1.2(2)-1 情報システムセキュリティ責任者は、情報セキュリティの観点に基づく試験の実施について、調達仕様書に記載するなどして、以下を全て含む事項の実施を委託先に求めること。

a) ソフトウェアの作成及び試験を行う情報システムについては、情報セキュリティの観点から**運用中の情報システムに悪影響**が及ばないように、運用中の情報システムと分離すること。

b) **情報セキュリティの観点から必要な試験**がある場合には、試験項目及び試験方法を定め、これに基づいて試験を実施すること。

c) 情報セキュリティの観点から実施した試験の**実施記録**を保存すること。

＜4.1.2(2)(a)(ウ)関連＞

4.1.2(2)-2 情報システムセキュリティ責任者は、**開発工程における情報セキュリティ対策**として、調達仕様書に記載するなどして、以下を全て含む事項の実施を委託先に求めること。

a) ソースコードが不正に変更・消去されることを防ぐために、以下の事項を含むソースコードの管理を適切に行うこと。

（解説）

　　　情報システムのセキュリティ要件については、遵守事項5.2.1(3)を参照のこと。

運用中の情報システムを利用してソフトウェアの作成及び試験を行う場合は、運用中の情報システムに悪影響が及ぶことを回避することが大前提となる。

また、開発中のソフトウェアの動作確認のために、運用中の情報システムの要機密情報をテストデータとして、試験を行う情報システムにおいて使用しないようにする必要がある。

攻撃が行われた際に情報システムがどのような動作をするかを試験する項目として想定しており、具体的には、想定の範囲外のデータの入力を拒否できるか、サービス不能攻撃等により情報システムが過負荷状態に陥った場合に処理中のデータは保証されるか、レースコンディションが発生しないか（「（解説）基本対策事項6.6.1(3)-1 l)「レースコンディション脆弱性」について」を参照のこと。）といった項目が挙げられる。

なお、セキュリティ機能の試験だけにとどまらず、情報システムの脆弱性の有無、必要なチェック機能の欠如等について、必要な試験が網羅されるよう留意する必要がある。

「実施記録」とは、試験の項目、実施結果、実施時に判明した不具合及び当該不具合の修正の記録等を指し、これらを保存することにより、脆弱性を発見した場合の対処に利用できるようにすることが求められる。

情報システム開発に係る情報資産についてセキュリティを維持するための手順及び環境を定めることを求めている。

具体的な手順としては、例えば、調達仕様書、ソースコード等の成果物に対して情報システムのライフサイクル全般にわたって一貫性を確保及び維持するための構成管理の手順及び利用するツール等が考えられる。

開発環境については、例えば、ドキュメント及びソースコードに対するアクセス権、開発に利用するサーバ装置及び端末の設置場所及びアクセス制御の方法等がある。

なお、情報システム開発を業務委託する場合は、委託先に対するセキュリティ要件定義の策定手順や導入時のセキュリティ評価試験手順等を事前に整備する必要がある。

情報システムの設計について、脆弱性の原因となる設計の不具合をなくすために、設計レビューの実施が求められる。

一般に設計レビューには、①レビュー対象内にあるエラーの発見を第一目的とし、開発責任者等が実施する確認手法、②開発担当者自身が開発関係者を集め、レビュー対象プログラムを実行の流れに従って追跡し確認する手法等があり、これらを、いつ、誰が、何に対して実施するのか、といったことを定める必要がある。

ソースコードに脆弱性が混入しないように、ソースコードレビューの範囲及び方法について、あらかじめ定めておくことが求められる。例えば、脆弱性の原因となるソースコードについては、開発言語ごとに典型的なパターンが知られていることから、ソースコードレビューによる検証が有効な場合がある。なお、ソースコードレビューについては、開発する情報システムだけを対象として想定しており、市販製品を組み込む場合等、ソースコードの入手が困難な場合に実施することは想定していない。

遵守事項

(3) 情報システムの運用・保守を業務委託する場合の対策

(a) 情報システムセキュリティ責任者は、情報システムの運用・保守を業務委託する場合は、情報システムに実装されたセキュリティ機能が適切に運用されるための要件について、契約に基づき、委託先に実施を求めること。

(b) 情報システムセキュリティ責任者は、情報システムの運用・保守を業務委託する場合は、委託先が実施する情報システムに対する情報セキュリティ対策を適切に把握するため、**当該対策による情報システムの変更内容**について、契約に基づき、委託先に速やかな報告を求めること。

【 基本対策事項 】

＜4.1.2(3)(a)関連＞

4.1.2(3)-1 情報システムセキュリティ責任者は、情報システムの運用・保守を業務委託する場合は、情報システムに実装されたセキュリティ機能が適切に運用されるために、以下を全て含む要件を調達仕様書に記載するなどして、契約に基づき、委託先に実施を求めること。

a) 情報システムの**運用環境に課せられるべき条件**の整備

b) 情報システムのセキュリティ監視を行う場合の**監視手順**や連絡方法

c) 情報システムの**保守における情報セキュリティ対策**

d) 運用中の情報システムに**脆弱性が存在することが判明**した場合の情報セキュリティ対策

（解説）

情報セキュリティ対策を実施することにより、ソフトウェアのバージョン等、遵守事項5.2.2(1)(d)で整備することとされている情報システム関連文書の内容に変更が生じる可能性がある。情報セキュリティ対策を実施するためには情報システムの状態を正確に把握する必要があることから、情報セキュリティ関連文書の内容を最新に保つために、当該文書で管理している項目について報告を求めることが重要である。

情報システムの運用環境に課せられるべき条件としては、物理的、接続的（ネットワーク環境）及び人的側面が考えられる。どのような条件を設定するかによって想定される脅威が異なってくるため、脅威を想定する上で必要となる条件は全て調達仕様書、契約書等に記載する必要がある。

物理的側面とは、サーバ装置を設置する場所の特定、耐震･防火に関する基準、電源供給に関する基準等に関する条件を示すものである。

接続的（ネットワーク環境）側面とは、情報システムが接続される通信回線の種類やクラウドサービスをネットワーク経由で利用する場合の条件等を示すものである。

人的側面とは、対象とするシステムの管理者や業務担当職員等の信頼性に関する条件、当該システムに関わる組織・体制として実現すべきことに関する条件、当該システムの使用方法として当然実現されるべきことに関する条件等を示すものである。

情報システムのセキュリティ監視を業務委託する場合の監視手順等については、「（解説）基本対策事項7.1.6(1)-3「監視手順」について」及び「（解説）基本対策事項7.1.6(1)-4「セキュリティ監視を専門の外部事業者に業務委託」について」を参照のこと。

情報システムの保守においては、保守担当者が作業中に権限外の情報にアクセスできないよう、アクセス制御や権限管理を考慮する必要がある。また、保守担当者へのなりすましが脅威として想定される場合には、保守担当者に対する主体認証が実装された情報システムのセキュリティ要件を考慮する必要がある。さらに、インターネット等の外部ネットワークである機関等外通信回線から機関等内通信回線に接続された機器等に対して行うリモート運用やリモート保守を業務委託する場合は、遵守事項6.4.1(2)(c)を遵守する必要がある。

ソフトウェアやウェブアプリケーション等の情報システムに関連する脆弱性は日々新たなものが報告されており、調達時に策定した脆弱性についての対策要件だけでは十分に対処できない可能性もあり得る。

また、運用・保守を行う委託先が、情報システムの構築を行った委託先と異なる場合、情報システム運用開始後に発見された脆弱性に対して、情報システムの構築を行った委託先のみでは対処することが困難な場合もあり得る。そのため、運用・保守を行う委託先に対して、運用開始後に発見された脆弱性への対処を求めることも、契約又は調達仕様書において考慮する必要がある。

遵守事項

(4) 機関等向けに情報システムの一部の機能を提供するサービスを利用する場合の対策

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、機関等外の一般の者が機関等向けに要機密情報を取り扱う情報システムの一部の機能を提供するサービス（クラウドサービスを除く。）（以下「業務委託サービス」という。）を利用するため、情報システムに関する業務委託を実施する場合は、委託先の選定条件に業務委託サービスに特有の選定条件を加えること。

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託サービスに係るセキュリティ要件を定め、業務委託サービスを選定すること。

(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先の信頼性が十分であることを総合的・客観的に評価し判断すること。

(d) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は業務委託サービスを利用する場合には、統括情報セキュリティ責任者又は情報セキュリティ責任者へ当該サービスの利用申請を行うこと。

(e) 統括情報セキュリティ責任者又は情報セキュリティ責任者は、業務委託サービスの利用申請を受けた場合は、当該**利用申請を審査**し、利用の可否を決定すること。

(f) 統括情報セキュリティ責任者又は情報セキュリティ責任者は、業務委託サービスの利用申請を承認した場合は、**承認済み業務委託サービスとして記録し、業務委託サービス管理者を指名**すること。

【 基本対策事項 】

＜4.1.2(4)(a)関連＞

4.1.2(4)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託サービスの中断や終了時に円滑に業務を移行するための対策として、以下を例とするセキュリティ対策を実施することを委託先の選定条件に加え、仕様にも含めること。

a) 取り扱う情報の可用性区分の格付に応じた、業務委託サービス中断時の復旧要件

b) 取り扱う情報の可用性区分の格付に応じた、業務委託サービス終了又は変更の際の事前告知の方法・期限及びデータ移行方法

4.1.2(4)-2 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務委託サービスの利用を通じて機関等が取り扱う情報に対して**国内法以外の法令及び規制が適用されるリスクを評価して委託先を選定し、必要に応じて機関等の情報が取り扱われる場所**及び契約に定める準拠法・裁判管轄を委託先の選定条件に加え、仕様にも含めること。

＜4.1.2(4)(b)関連＞

4.1.2(4)-3 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限に応じてセキュリティ要件を定め、業務委託サービスを選定すること。また、業務委託サービスのセキュリティ要件として**セキュリティに係る国際規格等**と同等以上の水準を求めること。

＜4.1.2(4)(c)関連＞

4.1.2(4)-4 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、監査による報告書の内容、各種の認定・認証制度の適用状況等から、業務委託先の信頼性が十分であることを総合的・客観的に評価し判断すること。

（解説）

機関等外の一般の者が機関等向けに要機密情報を取り扱う情報システムの一部の機能を提供するサービスには、ホスティングサービス、インターネット回線接続サービスなどが考えられる。なお、業務委託サービスは、契約をもって外部の者に実施させる「業務委託」により提供を受けるサービスであることから、遵守事項4.1.2(4)(b)で定めるセキュリティ要件を調達仕様書に個別に記載するなどにより情報セキュリティを確保する必要がある。また、定型約款や規約等への同意のみで利用可能となるサービスは、機関等への特別な扱いを求めることができない場合が多く、要機密情報を取り扱うために必要なセキュリティ要件を満たすことが一般的に困難であることから、業務委託サービスには含まれない。

業務委託サービスの利用申請の審査においては、利用申請されたサービスが、委託先の選定基準と当該サービスのセキュリティ要件の両者を満たす場合に承認される必要がある。また、利用申請の審査をする時期については、当該業務委託の契約前までに行うことが望ましい。

承認済みの業務委託サービスについては、同一の業務委託サービスの利用申請があった場合における審査の参考となるが、利用申請ごとに条件の異なることが想定されるため、審査の経緯や条件についても併せて記録することが望ましい。

業務委託サービスの利用は利用申請ごとに条件の異なることが想定されるため、仮に同一部局内で既に同一のサービスの承認があっても、業務内容や情報の格付、利用者の所属する組織の違いに応じて「業務委託サービス管理者」をそれぞれ立てた方が管理が容易になる場合が考えられる。「業務委託サービス管理者」を指名する際には、当該業務委託サービスが情報システムの調達を伴うものの場合は「情報システムセキュリティ責任者」、職員等の利用登録のみで利用可能なものは「課室情報セキュリティ責任者」のように申請内容を加味した上で決定することが望ましい。

国内法以外の法令及び規制が適用されるリスクとして、適正なかつ透明性のある手続（例：令状主義、透明性の確保、不利益処分に関する手続）に則らない形でデータセンター内のデータが外国の法執行機関の命令により強制的に開示されるといったリスクがあると判断される場合には留意する必要がある。なお、準拠法・裁判管轄を指定しても情報の開示が懸念される場合は、機関等の管理する暗号鍵で情報を暗号化するなどの措置を検討する必要がある。

バックアップデータ、サーバ装置内のデータ等、機関等の情報が存在し得る場所全てを機関等の情報が取り扱われる場所として考慮する必要がある。

セキュリティに係る国際規格としてはISO/IEC 27000ファミリーによるISMS認証の国際規格を参考にするとよい。

業務委託先の信頼性が十分であることを総合的に判断するためには、業務委託サービスで取り扱う情報の機密性・完全性・可用性が確保されるように、業務委託先のセキュリティ対策を含めた経営が安定していること、業務委託サービスに係るセキュリティ対策が適切に整備され、運用されていること等を評価する必要がある。

このような評価に当たって、業務委託先が業務委託サービス利用者に提供可能な第三者による監査報告書や認証等を取得している場合には、その監査報告書や認証等を利用することが考えられる。その場合、監査や認証等によって保証される対象範囲が業務委託先の全部又は一部の場合があるので、機関等が利用する業務委託サービスが当該対象範囲に含まれていることを確認する必要がある。また、監査の場合には、監査項目の網羅性に留意して、重要な監査項目が除かれていないか、監査意見に除外事項（内部統制の不備）が含まれていないかなどを確認する必要がある。さらに、その監査や認証等によっては、業務委託先の経営の安定性やサプライチェーン・リスク等は上記の評価に含まれていないことが考えられるため、これらのリスクについては機関等において評価する必要がある。

なお、参考となる認証には、業務委託先等のセキュリティに係る内部統制の保証報告書であるSOC報告書（System and Organization Controls Report）を活用することも考えられる。特に、SOC2（SOC for Service Organizations: Trust Services Criteria）・SOC3（SOC for Service Organizations: Trust Service Criteria for General Use Report）は、米国公認会計士協会が開発した「セキュリティ、可用性、処理のインテグリティ、機密保持及びプライバシーに関するTrustサービス基準」で定義された５つのTrustサービスのカテゴリーのうち、「セキュリティ」に係る規準を含む１つ以上のカテゴリーに関する規準を適用したものであるため、業務委託サービス提供者及びサービスに対する評価の際の参考となり得る。

参考：米国公認会計士協会「System and Organization Controls: SOC Suite of Services」 （https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services）

4.2 クラウドサービス

4.2.1 クラウドサービスの選定（要機密情報を取り扱う場合）

目的・趣旨

機関等が委託先に取扱いを委ねる情報は、当該委託先によって適正に取り扱われなければならないが、クラウドサービスにおけるセキュリティ対策の詳細を直接確認することは一般に容易ではない。このため機関等がクラウドサービスを利用して要機密情報を取り扱う場合は、クラウドサービスの特性を理解し、機関等によるクラウドサービス提供者へのガバナンスの有効性や、利用の際のセキュリティ確保のために必要な事項を十分に考慮し、機関等とクラウドサービス提供者の役割や責任分担を明確にした上で、クラウドサービスが選定基準及びセキュリティ要件を満たすことを確実にすることが求められる。

＜クラウドサービスの例＞

なお、民間事業者等が不特定多数の利用者に対して提供する、定型約款や規約等への同意のみで利用可能となるクラウドサービスでは、セキュリティ対策やデータの取扱いなどについて機関等への特別な扱いを求めることができない場合が多く、要機密情報を取り扱う上で必要十分なセキュリティ要件を満たすことが一般的に困難であることから、原則として要機密情報を取り扱うことはできないため、4.2.3「クラウドサービスの選定・利用（要機密情報を取り扱わない場合）」の規定を遵守する必要がある。

遵守事項

(1) クラウドサービスの選定に係る運用規程の整備

(a) 統括情報セキュリティ責任者は、以下を全て含むクラウドサービス（要機密情報を取り扱う場合）の選定に関する運用規程を整備すること。

(ア) クラウドサービスを利用可能な業務及び情報システムの範囲並びに情報の取扱いを許可する場所を判断する基準（以下4.2節において「クラウドサービス利用判断基準」という。）

(イ) クラウドサービスの選定基準

(ウ) クラウドサービスの**利用申請の許可権限者**と利用手続

(エ) **クラウドサービス管理者**の指名とクラウドサービスの利用状況の管理

【 基本対策事項 】

＜4.2.1(1)(a)(ア)関連＞

4.2.1(1)-1 統括情報セキュリティ責任者は、遵守事項4.1.1(1)(a)(ア)で整備を求めている「委託判断基準」と同等の基準とするとともに、クラウドサービス特有の脅威やクラウドサービスで利用する業務等を踏まえた上でクラウドサービス利用判断基準を策定すること。

＜4.2.1(1)(a)(イ)関連＞

4.2.1(1)-2 統括情報セキュリティ責任者は、クラウドサービスの選定基準について、遵守事項4.1.1(1)(a)(イ)で整備を求めている「委託先の選定基準」と同等の基準とするとともに、**ISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリスト（以下「ISMAP等クラウドサービスリスト」という。）から選定する**ことを策定すること。

＜4.2.1(1)(a)(ウ)関連＞

4.2.1(1)-3 統括情報セキュリティ責任者は、機関等において要機密情報を取り扱う場合のクラウドサービスの利用手続を、以下を全て含める内容を定めること。

a) 利用申請の許可権限者

b) 申請内容

＜4.2.1(1)(a)(エ)関連＞

4.2.1(1)-4 統括情報セキュリティ責任者は、機関等における**クラウドサービスの利用状況**の管理について、以下を例に運用規程を整備すること。

a) 利用申請の許可権限者は、申請ごとにクラウドサービス管理者を指名すること。

b) 利用承認したクラウドサービスは、その内容を遅滞なく記録するよう運用ルールを定め、常に最新のクラウドサービスの利用状況を把握できるようにする。また、記録する際は、以下を例とする項目を記録し機関等内で共有すること。

（解説）

クラウドサービスの利用においても、遵守事項4.1.1(1)(a)(ア)で整備を求めている「委託判断基準」と同等の基準として含める必要がある。また、「クラウドサービス利用判断基準」に含める内容としては、以下の事項を検討するとよい。

クラウドサービスの利用に当たっては、情報の管理や処理をクラウドサービス提供者に委ねるため、その情報の適正な取扱いの確認が容易ではなくなる。そこで、適切なクラウドサービス提供者を選定することにより以下のようなリスクを低減することが考えられる。

なお、情報セキュリティ確保のためにクラウドサービス利用者自らが行うべきことと、クラウドサービス提供者に対して求めるべきこと等をまとめたガイドラインについては、以下の取組を参考にするとよい。

参考：デジタル庁「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」 （https://www.digital.go.jp/resources/standard_guidelines/）

参考：総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第３版）」 （https://www.soumu.go.jp/main_content/000771515.pdf）

参考：経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」（2013年度版） （https://www.meti.go.jp/policy/netsecurity/downloadfiles/cloudsec2013fy.pdf）

参考：経済産業省「クラウドセキュリティガイドライン活用ガイドブック」（2013年度版） （https://www.meti.go.jp/policy/netsecurity/downloadfiles/cloudseckatsuyou2013fy.pdf）

参考：公益財団法人 金融情報システムセンター「金融機関におけるクラウド利用に関する有識者検討会報告書」 （https://www.fisc.or.jp/document/fintech/file/190_0.pdf）

クラウドサービスの利用申請の許可権限者は、原則として統括情報セキュリティ責任者が行うことを想定しているが、組織の規模や特性に応じて柔軟に定めてよい。ただし、利用を承認したクラウドサービスの記録は機関等内で共有できるようにすることが求められる。

クラウドサービスの利用申請の許可権限者は、承認する際に当該申請に対する「クラウドサービス管理者」を指名することが求められるが、具体的には、情報システム（の構成要素）として調達・導入されるクラウドサービスについては情報システムセキュリティ責任者、その他の利用者自身の登録のみで利用可能なサービスについては課室情報セキュリティ責任者又は利用申請者自身を指名することを想定している。

クラウドサービスの選定においては、ISMAPの原則利用の考え方に基づきISMAPにおいて登録されたクラウドサービスから選定する必要がある。そのため、クラウドサービスの選定基準においては、ISMAP等クラウドサービスリストから選定することを定める必要がある。やむを得ずISMAP等クラウドサービスリスト以外のクラウドサービスを選定する場合は、ISMAPの原則利用の考え方に基づき、最高情報セキュリティ責任者の責任において、ISMAP制度で求めている要求事項や管理基準を満たしていることを確認することをクラウドサービス選定基準に含める必要がある。

なお、ISMAPにおいては、統一的なセキュリティ要求基準に基づき安全性評価がなされたクラウドサービスを、ISMAP等クラウドサービスリストに登録している。登録がなされたクラウドサービスの詳細情報には、ISMAPに言明された内容として、詳細なサービス機能やリージョンの情報、ISMAPの基本言明要件のうち実施している統制目標の管理策、準拠法/裁判管轄等の情報等が公開されている。機関等においては、これらの情報も踏まえた上でクラウドサービスを選定することも選定基準に含めるとよい。

ISMAP原則利用の考え方については、「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」及びISMAPに関連する制度規程等を参照すること。

参考：サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」 （https://www.cyber.go.jp/policy/group/general/ismap.html）

参考：政府情報システムのためのセキュリティ評価制度（ISMAP） （https://www.cyber.go.jp/policy/group/general/ismap.html） （https://www.ismap.go.jp）

クラウドサービスの中には複数のサービス（機能）を含んだものが存在する。含まれる個々のサービス（機能）において情報セキュリティの対策が異なる場合は、個々のサービスに分割して申請する必要がある。

ISMAPとISMAP-LIUでは枠組みが異なるため、申請時においてどちらの申請か明らかにする必要がある。

クラウドサービスの利用申請時には、申請前に実施した選定におけるセキュリティ要件の確認結果の提出が求められる。確認結果には、ISMAP等クラウドサービスリストの詳細情報において対象外としている管理策があった場合の確認結果や機関等の情報が取り扱われる国や地域についての検討結果等を含める必要がある。

クラウドサービスの中には職員等が直接登録し利用可能なものがあり、その利用状況を機関として一元的に把握するのが困難であることが多い。シャドーITは監視が不十分になりやすく、セキュリティリスクが高まる等の問題がある。そのため、シャドーITの対策としては、職員等がクラウドサービスを利用する場合に必ず申請を行い機関等が承認を行う運用が考えられる。また、CASB（Cloud Access Security Broker）と呼ばれる“クラウドサービスの利用度の可視化”や“アクセス制御”などの機能を持つサービス等を利用することで、実際の利用状況を調査・監視することも可能になるので、導入を検討することも考えられる。

遵守事項

(2) クラウドサービスの選定

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限を踏まえ、クラウドサービス利用判断基準に従って業務に係る影響度等を検討した上でクラウドサービスの利用を検討すること。

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限並びにクラウドサービス提供者との情報セキュリティに関する役割及び責任の範囲を踏まえて、以下を全て含むセキュリティ要件を定めること。

(ア) クラウドサービスに求める情報セキュリティ対策

(イ) クラウドサービスで取り扱う**情報が保存される国・地域及び廃棄の方法**

(ウ) クラウドサービスに求める**サービスレベル**

(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、クラウドサービスの選定基準に従い、前項で定めたセキュリティ要件を踏まえて、**原則としてISMAP等クラウドサービスリストからクラウドサービスを選定する**こと。

【 基本対策事項 】

＜4.2.1(2)(b)(ア)関連＞

4.2.1(2)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、クラウドサービスに求めるセキュリティ要件策定に当たっては、**ISMAP管理基準の管理策基準が求める対策と同等以上**の水準を求めること。

＜4.2.1(2)(b)(ア)(イ)(ウ)関連＞

4.2.1(2)-2 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、業務に特有のリスクを踏まえ、クラウドサービスで取り扱う情報が保存される国・地域及び廃棄の方法、クラウドサービスに求める情報セキュリティ対策やサービスレベル等をクラウドサービスに求めるセキュリティ要件に含めること。

＜4.2.1(2)(c)関連＞

4.2.1(2)-3 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、クラウドサービスを選定するに当たっては、**ISMAP等クラウドサービスリストの詳細情報等**を用いて、(2)(b)で定めたセキュリティ要件を満たしていることを確認すること。

（解説）

クラウドサービスの利用においては、利用するクラウドサービスの形態及び仕様によって情報が保存される国や地域を指定することができるものもある。また、定型約款等において情報の保存される国や地域が指定されているサービスも存在する。そのため、クラウドサービスで取り扱う情報を保存できる国や地域を事前に定めておく必要がある。適切なかつ透明性のある手続き（例：令状主義、透明性の確保、不利益処分に関する手続）に則らない形でクラウドサービス内の情報が外国の法執行機関の命令により強制的に開示されるといったリスクがあると判断される場合には留意する必要がある。なお、準拠法・裁判管轄を指定しても情報の開示が懸念される場合は、機関等の管理する暗号鍵で情報を暗号化するなどの措置を検討するとよい。ただし、この場合において、暗号鍵管理にクラウドサービス等を利用する場合には暗号鍵に係る情報が保存される国や地域にも注意が必要である。

クラウドサービスの利用を終了する際、クラウドサービスに保存した情報を確実に抹消する必要がある。そのため、クラウドサービスを選定する際に、情報を確実に抹消する方法を定めておく必要がある。例えば、暗号化消去を用いる場合は、機関等で用意した暗号化に用いる鍵を当該クラウドサービスで利用することができることを条件にすることや、やむを得ずクラウドサービス提供者が暗号鍵を管理する場合、情報を保存する前に機関等が管理する別の暗号鍵を用いて暗号化するなどの要件を定めることが考えられる。

クラウドサービスにおいては、利用するサービスごとにサービス品質保証が定められている。情報システムの一部にクラウドサービスを利用する場合は、クラウドサービスが停止した際の影響度によっては、情報システム全体のサービスレベルを低下させる可能性があるため、利用するクラウドサービスのサービス品質について許容できる範囲を事前に定めておく必要がある。また、クラウドサービスで情報セキュリティに関する問題が発生した際や一般的な問い合わせに関するサポートの対応時間等についても許容できる範囲を定め、クラウドサービスを選定する必要がある。

クラウドサービスの選定においては、原則としてISMAP等クラウドサービスリストから選定する必要がある。やむを得ずISMAP等クラウドサービスリスト以外のクラウドサービスを選定する場合は、ISMAPの原則利用の考え方に基づき、最高情報セキュリティ責任者の責任において、ISMAP制度で求めている要求事項や管理基準を満たしていることを確認する必要がある。

ISMAP原則利用の考え方については、「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」を参照すること。

また、「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ　内閣官房国家サイバー統括室）に基づき、サプライチェーン・リスクに対応する必要があると判断されるものについては、必要な措置を講ずる必要がある。

参考：サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定「政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について」 （https://www.cyber.go.jp/policy/group/general/ismap.html）

参考：ISMAPクラウドサービスリスト （https://www.ismap.go.jp/csm?id=cloud_service_list）

参考：内閣官房国家サイバー統括室「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ） （https://www.cyber.go.jp/pdf/policy/kihon-2/IT_moushiawase.pdf）

クラウドサービスのセキュリティ要件策定に当たっては、ISMAP管理基準の管理策基準における統制目標（3桁の番号で表現される項目）及び末尾にBが付された詳細管理策（４桁の番号で表現される項目）を原則として全て満たす対策を含める必要があることに注意し、また、各機関等において定められた対策基準から求められる内容も全て反映されるようにする必要がある。

なお、機密性３情報をクラウドサービスで取り扱う場合には、ISMAP管理基準が想定する情報の格付を踏まえ、ISMAP管理基準の管理策基準の末尾にBが付された詳細管理策に加え、Bが付されていない詳細管理策を複数要求するなど、追加で必要となる対策をセキュリティ要件に含める必要がある。

参考：政府情報システムのためのセキュリティ評価制度（ISMAP）、政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準 （https://www.cyber.go.jp/policy/group/general/ismap.html） （https://www.ismap.go.jp）

ISMAP等クラウドサービスリストの詳細情報には、対象外としている管理策が含まれている可能性があるため、当該項目が対象外であっても機関等が求めているセキュリティ要件を満たすことができるかを確認する必要がある。

遵守事項

(3) クラウドサービスの利用に係る調達

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、**クラウドサービスを調達する場合**は、クラウドサービス提供者の選定基準及び選定条件並びにクラウドサービスの選定時に定めたセキュリティ要件を調達仕様に含めること。

(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、**クラウドサービスを調達する場合**は、クラウドサービス提供者及びクラウドサービスが調達仕様を満たすことを契約までに確認し、利用承認を得ること。また、調達仕様の内容は、契約に含めること。

【 基本対策事項 】

＜4.2.1(3)(b)関連＞

4.2.1(3)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、調達仕様の内容を契約に含める際、クラウドサービス提供者との情報セキュリティに関する**役割及び責任の範囲が明確になっていることを確認**すること。

（解説）

本項は、クラウドサービスを調達する場合に限り遵守することが求められる。

なお、調達を伴わない場合は本項の対象外であるが、遵守事項4.2.1(2)「クラウドサービスの選定」に基づき、クラウドサービスを選定する必要がある。

クラウドサービスの提供形態及び提供機能は多様であることから、その情報セキュリティ対策の実施においても、クラウドサービス提供者が行う場合、クラウドサービス利用者がクラウドサービスの機能を用いて行う場合、クラウドサービス利用者が自ら行う場合等が考えられる。情報セキュリティ対策の詳細や実施主体が明確でない状況で情報セキュリティインシデントが発生した場合、その対応（ログの確認等）において問題が生じることが想定されることから、情報セキュリティ確保のためにクラウドサービス利用者が自ら行うべきことと、クラウドサービス提供者が行うべきことを明確にした上で、調達及び契約を進める必要がある。

遵守事項

(4) クラウドサービスの利用承認

(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、クラウドサービスを利用する場合には、利用申請の許可権限者へクラウドサービスの利用申請を行うこと。

(b) 利用申請の許可権限者は、前項におけるクラウドサービスの**利用申請を審査**し、利用の可否を決定すること。

(c) 利用申請の許可権限者は、クラウドサービスの利用申請を承認した場合は、承認済みクラウドサービスとして記録し、**クラウドサービス管理者を指名**すること。

【 基本対策事項 】

＜4.2.1(4)(b)関連＞

4.2.1(4)-1 利用申請の許可権限者は、クラウドサービスの利用申請の審査においては、以下を全て含む内容を審査し、利用の可否を決定すること。

a) クラウドサービス提供者が、業務に特有のリスクを踏まえたクラウドサービス提供者の選定条件を満たしていること。

b) 利用するクラウドサービスのセキュリティ要件が、ISMAP管理基準の管理策基準が求める対策と同等以上の水準であること。

c) クラウドサービスで取り扱う情報が保存される国・地域及び情報の廃棄方法が、機関等が求めるセキュリティ要件を満たしていること。

d) クラウドサービスに求めるサービスレベルが、機関等が求めるセキュリティ要件を満たしていること。

（解説）

利用申請の審査においては、利用申請されたクラウドサービスが、クラウドサービス提供者の選定基準とクラウドサービスのセキュリティ要件の両者を満たす場合に承認される必要がある。また、利用申請の審査をする時期については、クラウドサービスの契約前までに行うことが望ましい。

利用申請されたクラウドサービスの確認においては、単にISMAP等クラウドサービスリストに掲載されていることにとどまらず、当該リストの内容についても確認することが重要である。具体的にはISMAP等クラウドサービスリストに掲載されているクラウドサービスの中には、ISMAP管理基準で求めている項目において、一部の要件について合理的な適用が不適当と判断して対象外としているものが存在するが、対象外とした項目が機関等の求めている基準を満たしているか、取り扱う情報が保存される国・地域及び情報の廃棄方法が要件を満たしているか、求めるサービスレベルを満たしているか等を確認する必要がある。

クラウドサービスの利用は利用申請ごとに条件の異なることが想定されるため、仮に同一部局内で既に同一のクラウドサービスの承認があっても、業務内容や情報の格付、利用者の所属する組織の違いに応じて「クラウドサービス管理者」をそれぞれ立てることで管理が容易になる場合が考えられる。「クラウドサービス管理者」を指名する際には、当該クラウドサービスが情報システムの調達を伴うものの場合は「情報システムセキュリティ責任者」、職員等の利用登録のみで利用可能なものは「課室情報セキュリティ責任者」のように申請内容を加味した上で決定することが望ましい。

4.2.2 クラウドサービスの利用（要機密情報を取り扱う場合）

目的・趣旨

クラウドサービスを利用する際のセキュリティ対策は、選定や契約時における対策だけでなく、契約後のクラウドサービスを利用した情報システムの導入・構築、運用・保守、更には契約終了時に至るまで情報システムのライフサイクル全般において行う必要がある。

クラウドサービスのサービス内容は非常に早いサイクルで変化しており、新たに追加される機能を活用することで業務の効率化や情報セキュリティの向上を図ることができる。一方で、構築時には想定していなかった脅威や脆弱性が発生する可能性もある。したがって、クラウドサービスの利用においては、情報セキュリティ対策の定期的な確認による見直しをすることで、セキュリティ要件の追加及び修正を漏れなく実施することが求められる。さらに、クラウドサービスへのアクセス権限については、機関等の業務やクラウドサービスの利用環境等の変化に応じて、定期的な確認による見直しをすることが重要である。

なお、本款ではクラウドサービスを利用する場合のライフサイクルの各段階において、特に必要となる情報セキュリティ対策を示しており、情報システム全体のライフサイクルの各段階で必要な情報セキュリティ対策については、5.2「情報システムのライフサイクルの各段階における対策」で定める遵守事項についても併せて遵守する必要がある。

遵守事項

(1) クラウドサービスの利用に係る運用規程の整備

(a) 統括情報セキュリティ責任者は、クラウドサービスの特性や責任分界点に係る考え方等を踏まえ、クラウドサービスを利用して情報システムを導入・構築する際のセキュリティ対策の基本方針を運用規程として整備すること。

(b) 統括情報セキュリティ責任者は、クラウドサービスの特性や責任分界点に係る考え方を踏まえ、クラウドサービスを利用して情報システムを運用・保守する際のセキュリティ対策の基本方針を運用規程として整備すること。

(c) 統括情報セキュリティ責任者は、クラウドサービスの特性や責任分界点に係る考え方を踏まえ、以下を全て含むクラウドサービスの利用を終了する際のセキュリティ対策の基本方針を運用規程として整備すること。

(ア) クラウドサービスの利用終了時における対策

(イ) クラウドサービスで取り扱った情報の廃棄

(ウ) クラウドサービスの利用のために作成したアカウントの廃棄

【 基本対策事項 】

＜4.2.2(1)(a)関連＞

4.2.2(1)-1 統括情報セキュリティ責任者は、不正なアクセスを防止するため、以下を全て含む構築時におけるアクセス制御に係る基本方針を運用規程に含めること。

a) クラウドサービスを利用する際にクラウドサービス提供者が付与又はクラウドサービス利用者が登録する識別コードの作成から廃棄に至るまでの**ライフサイクルにおける管理**

b) クラウドサービスを利用する際に使用する**ネットワークに対するサービスごとのアクセス制御**

c) クラウドサービスを利用する情報システムの管理者権限を保有するクラウドサービス利用者に対する**強固な認証技術の利用**

d) クラウドサービス提供者が提供する**主体認証情報の管理機能が要求事項を満たすことの確認及び要求事項を満たすための措置の実施**

e) クラウドサービス上に保存する情報やクラウドサービスの機能に対してアクセス制御できることの確認及び適切なアクセス制御の実施

f) クラウドサービス利用者によるクラウドサービスに多大な影響を与える操作の特定と誤操作の抑制

g) クラウドサービス上で構成される仮想マシンに対する適切なセキュリティ対策の実施

h) インターネット等の機関等外通信回線から機関等内通信回線を経由せずにクラウドサービス上に構築した情報システムにログインすることの要否の判断と認める場合の**適切なセキュリティ対策の実施**

i) クラウドサービスが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行うための**必要なログの管理**

4.2.2(1)-2 統括情報セキュリティ責任者は、取り扱う情報の機密性保護のため、以下を全て含む構築時における**暗号化**に係る基本方針を運用規程に含めること。

a) **クラウドサービス内及び通信経路全般における暗号化**の確認及び適切な実施

b) 情報システムで利用する暗号化方式の遵守度合いに係る法令や規則の確認

4.2.2(1)-3 統括情報セキュリティ責任者は、以下を全て含む構築時における**開発**時のセキュリティ対策に係る基本方針を運用規程に含めること。

a) クラウドサービスを利用する場合の**クラウドサービス提供者へのセキュリティを保つための開発手順等の情報の要求とその活用**

b) クラウドサービス上に他ベンダが提供するソフトウェア等を導入する場合のそのソフトウェアの**クラウドサービス上におけるライセンス規定**

4.2.2(1)-4 統括情報セキュリティ責任者は、以下を全て含む構築時における**設計・設定**時の誤り防止に係る基本方針を運用規程に含めること。

a) クラウドサービスを利用する際の**クラウドサービス提供者への設計、設定、構築等における知見等の情報の要求とその活用**

b) クラウドサービスを利用する際の**設定の誤りを見いだすための対策**

c) クラウドサービス上に構成された情報システムのネットワーク設計におけるセキュリティ要件の異なるネットワーク間の通信の監視・制御

d) 利用するクラウドサービス上の情報システムが**利用するデータ容量や稼働性能についての監視と将来の予測**

e) 利用するクラウドサービス上で要安定情報を取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で構築する場合の**可用性を考慮した設計**

f) クラウドサービス内における**時刻同期の方法の確認**

＜4.2.2(1)(b)関連＞

4.2.2(1)-5 統括情報セキュリティ責任者は、以下を全て含む運用・保守時における利用方針に係る基本方針を運用規程に含めること。

a) 責任分界点を意識したクラウドサービスの利用

b) 利用承認を受けていないクラウドサービスの利用禁止

c) クラウドサービス提供者に対する**定期的なサービスの提供状態の確認**

d) 利用するクラウドサービスに係る**情報セキュリティインシデント発生時の連絡体制**

4.2.2(1)-6 統括情報セキュリティ責任者は、以下を全て含むクラウドサービス利用に必要な**運用・保守時における教育に係る基本方針**を運用規程に含めること。

a) クラウドサービス利用のための規定及び手順について

b) クラウドサービス利用に係る情報セキュリティリスクとリスク対応について

c) クラウドサービス利用に関する適用法令や関連する規制等について

4.2.2(1)-7 統括情報セキュリティ責任者は、以下を全て含む運用・保守時におけるクラウドサービスで取り扱う資産の管理に係る基本方針を運用規程に含めること。

a) クラウドサービス上で利用する**IT資産の適切な管理**

b) クラウドサービス上に保存する情報に対する適切な格付・取扱制限の明示

c) クラウドサービスの機能に対する脆弱性対策について、クラウドサービス利用者の**責任範囲の明確化と対策の実施**

4.2.2(1)-8 統括情報セキュリティ責任者は、不正アクセスを防止するため、以下を全て含む運用・保守時におけるアクセス制御に係る基本方針を運用規程に含めること。

a) 管理者権限をクラウドサービス利用者へ割り当てる場合の**アクセス管理と操作の確実な記録**

b) クラウドサービス利用者に**割り当てたアクセス権限に対する定期的な確認による見直し**

c) クラウドサービスのリソース設定を変更する**ユーティリティプログラムを使用する場合の機能の確認と利用者の制限**

d) 利用するクラウドサービスの**不正利用の監視**

4.2.2(1)-9 統括情報セキュリティ責任者は、クラウドサービスで取り扱う情報の機密性保護のため、以下を全て含む運用・保守時における**暗号化に係る基本方針**を運用規程に含めること。

a) 暗号化に用いる鍵の管理者と鍵の保管場所等の鍵管理機能

b) 鍵管理機能をクラウドサービス提供者が提供する場合の鍵管理手順と鍵の種類の情報の要求とリスク評価

c) 鍵管理機能をクラウドサービス提供者が提供する場合の鍵の生成から廃棄に至るまでのライフサイクルにおける情報の要求とリスク評価

4.2.2(1)-10 統括情報セキュリティ責任者は、以下を全て含む運用・保守時におけるクラウドサービス内の通信の制御に係る基本方針を運用規程に含めること。

a) 利用するクラウドサービスのネットワーク基盤が**他のネットワークと分離されていること**の確認

4.2.2(1)-11 統括情報セキュリティ責任者は、以下を全て含む運用・保守時における設計・設定時の誤りの防止に係る基本方針を運用規程に含めること。

a) クラウドサービスの設定を変更する場合の**設定の誤りを防止するための対策**

b) クラウドサービス利用者が行う可能性のある**重要操作の手順書の作成と監督者の指導の下での実施**

4.2.2(1)-12 統括情報セキュリティ責任者は、以下を全て含む運用・保守時におけるクラウドサービスを利用した情報システムの事業継続に係る基本方針を運用規程に含めること。

a) 不測の事態に対してサービスの復旧を行うために必要な**バックアップの確実な実施**。又は、クラウドサービス提供者が提供する機能を利用する場合は、その実施の確認

b) 要安定情報をクラウドサービスで取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で構築する場合の**十分な可用性の担保、復旧に係る手順の策定と定期的な訓練の実施**

c) クラウドサービス提供者からの**仕様内容の変更通知に関する内容確認と復旧手順の確認**

d) クラウドサービスで利用している**データ容量、性能等の監視**

＜4.2.2(1)(c)(ア)関連＞

4.2.2(1)-13 統括情報セキュリティ責任者は、以下を全て含む更改・廃棄時における利用終了手順に係る基本方針を運用規程に含めること。

a) クラウドサービスの利用を終了する場合の**移行計画書又は終了計画書の作成**

b) 移行計画書又は終了計画書の**クラウドサービス利用者への事前通知**

＜4.2.2(1)(c)(イ)関連＞

4.2.2(1)-14 統括情報セキュリティ責任者は、以下を全て含む更改・廃棄時における情報の廃棄に係る基本方針を運用規程に含めること。

a) 情報の廃棄方法

b) 暗号化消去が実施できない場合の**基盤となる物理機器の廃棄方法**

＜4.2.2(1)(c)(ウ)関連＞

4.2.2(1)-15 統括情報セキュリティ責任者は、以下を全て含む更改・廃棄時におけるアカウントの廃棄に係る基本方針を運用規程に含めること。

a) 作成された**クラウドサービス利用者アカウントの削除**

b) 利用した**クラウドサービスにおける管理者アカウントの削除又は返却と再利用の確認**

c) クラウドサービス利用者アカウント以外の**特殊なアカウントの削除と関連情報の廃棄**

（解説）

クラウドサービスを利用する際にクラウドサービス提供者が付与又はクラウドサービス利用者が登録する識別コードに対して、その作成から廃棄に至るまでのライフサイクルにおけるクラウドサービス管理者による管理について以下の項目を定めることを基本方針として運用規程に含めることが求められる。

同一のクラウドサービス提供者が提供するクラウドサービスであっても、そのサービス内容によってはアクセス方法を限定する必要があるため、サービスごとのアクセス制御を実施することを基本方針として運用規程に含めることが求められる。

クラウドサービスを利用する情報システムの管理者権限を保有するクラウドサービス利用者の主体認証情報が漏えいした場合、インターネットから直接管理権限を要する操作が可能となるため、十分に強固な認証技術（例えば、多要素主体認証方式）を利用することを基本方針として運用規程に含めることが求められる。

多要素主体認証方式については、「（解説）基本対策事項7.1.1(1)-2「多要素主体認証方式」について」を参照のこと。

機関等が要求する主体認証情報に係る規定、例えば、パスワード等の主体認証情報に係る規定（パスワード長など）に対し、クラウドサービス提供者が提供する機能等が十分かどうか確認を行い、機関等の要求事項を満たすための措置を実施させることを基本方針として運用規程に含めることが求められる。

クラウドサービスを利用するに当たり、クラウドサービスの利用者がクラウドサービスで取り扱う情報やクラウドサービスの機能へアクセスする制御ができることを確認した上でその制御に係る基本方針を運用規程に含めることが求められる。制御に係る基本方針については、以下を例とする機能が利用可能である場合は、利用させるなどを検討するとよい。

クラウドサービスに影響を与える操作をクラウドサービス利用者が行うことができる場合には、制限を設ける必要があるか検討をするとよい。また、クラウドサービスの構成等の変更は、クラウドサービス提供者が用意した機能の他にユーティリティプログラムが存在する可能性があるため、その利用についても検討するとよい。

クラウドサービス上に構成される仮想マシンは、展開直後はセキュリティ設定が何もされていない場合があり、外部のネットワークへ接続が可能となっていることがあるため、事前に外部へのネットワークと通信できないようにすることや、やむを得ない場合は速やかに必要なセキュリティ対策を実施させることなどを基本方針として運用規程に含めることが求められる。

クラウドサービスは、機関等内のネットワークの外にあるため、アクセス管理を厳密に行う必要がある。このアクセス管理は責任分界点としてはクラウドサービス利用者側の責任であるため、クラウドサービス提供者の実施するセキュリティ対策では対応ができない。したがって、クラウドサービスを利用する端末からのアクセスを適切にコントロールする必要がある。インターネット等から直接クラウドサービスへアクセスを許可する場合は、以下を例とする対策を検討し基本方針として運用規程に含めるとよい。

クラウドサービスにおけるログの取得は、オンプレミス環境と同様に悪意ある第三者等による外部からの不正侵入や不正操作等の情報セキュリティインシデントの予兆、検知や、情報セキュリティインシデントが発生した際の原因究明等に利用するため特に重要である。よって、クラウドサービスにおけるログの取得についてもオンプレミス環境と同様に適切に取得できるよう設定するとともに、改ざんや消失等が起こらないよう、適切に保全するよう基本方針として運用規程に含めることが求められる。

クラウドサービス内で取り扱う情報の機密性を保護するため、情報の流通経路全般に渡る暗号化の検討、暗号化方式の選択、暗号鍵の管理などについて基本方針として運用規程に含めることが求められる。

クラウドサービス内及び通信経路全般における暗号化を確認する際は、以下を例とする項目について確認することを基本方針として運用規程に含めることが求められる。特に、クラウドサービスにおいて利用可能な暗号機能にはサーバサイド暗号化とクライアントサイド暗号化があり、両者には鍵管理を含めた暗号機能の実装と運用に関わる責任分界に大きな相違があるため注意が必要である。

適用する暗号による一連の管理策が、関連する協定、法令及び規制を順守していることを確認することを基本方針として運用規程に含めることが求められる。（「電子政府推奨暗号リスト」に記載されていない暗号化方式を利用する場合、特に輸出規制等に注意が必要である。）

利用するクラウドサービスの開発手順がセキュリティ要件を満たしているかまた、自らのセキュリティ要件との違いがあるかを確認するよう基本方針として運用規程に含めることが求められる。

情報システムの構築を業務委託する際などは、遵守事項4.1.2(2)(a)(ウ)の内容を調達仕様書に記載することが求められるが、更にクラウドサービスを利用する場合、クラウドサービス特有の手法等が存在するため、その情報をクラウドサービス提供者に要求し利用することを基本方針として運用規程に含めることが求められる。

クラウドサービスにおいて、その仮想基盤は容易にスケールアウト、スケールインが可能であり、CPU数によるライセンス価格が決定するソフトウェアなどの場合、オンプレミスで利用していた場合よりもはるかに高いライセンス費用が必要になる場合がある。特にクラウドサービスでは、基盤として複数の筐体を利用し仮想基盤を構築しているため、筐体に対するライセンスを使用するとライセンス違反となる場合があるため注意が必要である。やむを得ず筐体に対するライセンスを使用する場合は、クラウドサービスの機能として専用の物理的なサーバ装置を提供するサービスを利用するなど検討するとよい。

なお、利用するソフトウェアによっては、クラウドサービス用のライセンスや、ソフトウェアを使用した分だけ利用料がかかるサービスなどが存在するので、事前に確認するとよい。

よって、利用するソフトウェアをクラウドサービスにインストールすることを許可する前に、クラウド固有の使用許諾に関する要求事項を特定しなければならないことを基本方針として運用規程に含めることが求められる。

クラウドサービスの設定の誤りを防止するために、クラウドサービス提供者からの推奨される設定情報の入手や、設定の誤りを検知する機能や性能を監視する機能の追加などを基本方針として運用規程に含めることが求められる。

クラウドサービスにおける情報システムの設計・構築はオンプレミスと同じ手法で十分とは限らない。また、クラウドサービスは提供者によって同様なシステムであってもその設計手法、対策が異なる。よって、クラウドサービスを利用して情報システムを構築する場合、その情報システムのセキュリティの最適化に資する設計、構築に係る情報をクラウドサービス提供者に要求し、不足している知見を補う必要があることを基本方針として運用規程に含めることが求められる。

クラウドサービスにおいて、クラウドサービスの構成要素（リソース）の設定変更はオンプレミスにおける物理機器に対する変更と比べはるかに容易である。また、設定する内容はオンプレミスと似たものが多いが、クラウドサービス特有の対応（ネットワーク全般における設定等）が必要な場合もある。よって、誤った設定や設定漏れに起因する情報セキュリティインシデントを減らすために以下を例とする対策を検討することを基本方針として運用規程に含めることが求められる。

クラウドサービスはオンプレミス環境と異なり、要求するデータ容量や性能等のリソースに増減が発生した場合、スケールアウト、スケールイン等によりリソースを柔軟に増減させることが可能なだけでなく、利用実績に応じて自動的にリソースを増減させるサービスも存在するため、リソース不足によるサービス停止とならないよう適切に監視を行う必要がある。また、監視の他にリソースの現在の利用状況や将来の利用予測を行い設計当初の要求と比較することも重要である。よって、クラウドサービスで利用するデータ容量等について監視させるとともに将来の予測を行った上での対策の見直し等を行うことを基本方針として運用規程に含めることが求められる。

クラウドサービス内において時刻が同期していないと記録されたログ等の時刻の信頼性が下がり、情報セキュリティインシデント発生時の原因解析等に影響を及ぼすため、構築時に当該クラウドサービスにおける時刻同期の方法を確認し、確実に時刻が同期するように設計する必要があることを基本方針として運用規程に含めることが求められる。

クラウドサービスを利用する場合、クラウドサービス提供者との間で協力して情報システム全体の責任を担うことを認識する必要がある。また、その分界点は契約するサービスによって変わるため、契約時に交わされた合意内容を把握する必要がある。これら責任分界点を踏まえた上で運用時における規定や手順等を作成することを基本方針として運用規程に含めることが求められる。

本規定はシャドーITの抑止を目的としたものである。

クラウドサービスは、クラウドサービス提供者の都合によりそのサービス内容は容易に変更されてしまう場合があるため、クラウドサービス利用の当初に想定したセキュリティ対策が利用期間中に正しく機能しなくなることが想定される。よって、責任共有モデルで、クラウドサービス提供者側の責任として含まれる以下を例とする項目や契約時に同意した項目について、定期的にクラウドサービス提供者に確認することを基本方針として運用規程に含めることが求められる。

利用するクラウドサービスにおいて情報セキュリティインシデントの発生を検知した場合に備えて、連絡する体制を事前に定める必要がある。情報セキュリティインシデントの発生の検知については、クラウドサービス提供者から通知される可能性を考慮し、当該通知を複数の職員等が受け取れるようにすることも重要である。また、連絡先にはクラウドサービス提供者や当該クラウドサービスの設計や構築、運用・保守などを業務委託する場合は、委託先の連絡先も含むように基本方針として運用規程に含めることが求められる。

クラウドサービスの利用はオンプレミスの情報システムと異なり、クラウドサービスごとに知識が必要となる。多くのクラウドサービス利用者は初めて当該サービスを利用することが多く、そのクラウドサービス特有の知識や経験を習得するのに時間を要する。また、クラウドサービスの多くがオンプレミスの情報システムと比較して開発頻度が高く、同一のサービスでも数か月でその仕様が変わるものも少なくない。このような状況に対応するには機関等内での教育だけでは不足することが予想されるため、積極的にクラウドサービス提供者が提供するトレーニングへの参加等を支援し、クラウドサービス利用者の当該クラウドサービスに対する理解を深める必要もある。

クラウドサービス利用において、そのサービス内容の設定等を容易に変更できるため、適切な管理と把握が必要となる。また、クラウドサービスによっては利用状況により提供するCPUやバックアップストレージ等のリソースを自動的に拡張するなどの機能を有しているため、オンプレミスで利用していたソフトウェアを導入する際にはライセンス等の管理も必要となる。よってIT資産の適切な管理の実施を基本方針として運用規程に含めることが求められる。

例えば、仮想化技術を用いたマルチテナントの環境において、OS等の脆弱性に加えてハイパーバイザーを経由して他の利用者が享受するサービスを阻害する脆弱性はクラウドサービスに対するリスクであり、対策を講ずる必要がある。7.2.1「ソフトウェアに関する脆弱性対策」の内容を踏まえた対策の実施や責任分界点がクラウドサービス提供者側の実施する範囲にある場合はクラウドサービス提供者に対策の実施を求め、結果の報告を要求する必要がある。よって、これらの対応について基本方針として運用規程に含めることが求められる。

クラウドサービスにはインターネット等から操作するための管理コンソールが用意されている場合が多いが、この管理コンソールに全体の管理者権限を有する利用者の識別コードでログインすると利用中の情報システムを全て削除できるなど重大な影響を及ぼすため、当該識別コードのアクセス管理は非常に重要である。よって、クラウドサービスの特性を踏まえて識別コードのアクセス管理を確実に実施させることを基本方針として運用規程に含めることが求められる。また、そのような識別コードは悪用された場合、重大な影響を及ぼす可能性があることから、管理できる範囲を限定し、分割することや多要素主体認証の機能を有している場合は適用することが考えられる。多要素主体認証が使用できない場合は、公開鍵認証をするなどが考えられる。公開鍵認証も使用できない場合は、強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を有する主体認証情報を用いるのみならず当該識別コードのアクセスログを監視し、不正な利用がないか等の確認を徹底するなどを運用規程に含めるとよい。

強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等については、「（解説）基本対策事項7.1.1(1)-4「強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用すること」について」を参照のこと。

クラウドサービスは、利用者アカウントへの権限だけではなくサービスごとにアクセス権限を割り当てられる特殊なアカウントが存在する。それらのアカウントへ割り当てた権限も含めて、必要性、妥当性、利用期間、権限の範囲などを定期的に確認し、必要に応じて見直すよう基本方針として運用規程に含めることが求められる。

利用するクラウドサービスにおいては、クラウドサービスのリソース（ネットワーク、仮想マシン等）の設定を変更するユーティリティプログラムが存在する場合がある。そのためその機能の利用に関する制限等を基本方針として運用規程に含めることが求められる。

例えば、機関等外の者と情報を共有することを目的としてクラウドサービスを利用する場合は、利用者に対して注意を促すだけでは情報漏えい等のリスクを防ぐことは困難である。したがって、職員等が利用する情報に対する操作等を監視するための機能としてDLP（Data Loss Prevention）などの仕組みを導入することが考えられる。そのため、監視のための機能を、必要に応じてクラウドサービス提供者に要求し、確実な監視が行えるよう基本方針として運用規程に含めることが求められる。

クラウドサービスにおいて要機密情報を扱うには情報の流通経路全般において暗号化の対策が必要となるが、クラウドサービスの個々の構成要素において対策を採ることは容易ではないため、クラウドサービス提供者が提供する暗号化機能を利用して対応することが推奨される。暗号化の対策は7.1.5「暗号・電子署名」のオンプレミスの対応と基本的には同じであるが、鍵の管理をクラウドサービス提供者が行う場合は注意が必要である。基本的に鍵の管理はクラウドサービス利用者側で行う必要があるが、鍵の管理をクラウドサービス提供者が提供するサービスを利用せざるを得ない場合は、詳細な情報をクラウドサービス提供者に要求し、リスク評価を行った上でクラウドサービスに情報を保存する前に機関等が用意した別暗号鍵を用いて保存するなどのリスクを低減するための措置を検討するよう基本方針として運用規程に含めることが求められる。

なお、鍵管理の具体的な手法として、主に以下の手法がある。採用する手法を検討する際は、手法ごとのセキュリティの安全性、導入コスト、運用負荷等を踏まえる必要がある。

クラウドサービスを利用する場合、クラウドサービス基盤内における自身の利用するネットワークが他のテナント及びクラウドサービス提供者が利用するネットワークと分離され、論理的に独立していることを確認することを基本方針として運用規程に含めることが求められる。

クラウドサービスの設定を変更する場合の設定誤りはサービス自体の停止などの広範囲な障害につながる可能性があり、それを避けるための対策は重要である。よって、以下を例とする設定の誤りを防止するための対策を行うことについて基本方針として運用規程に含めることが求められる。

なお、クラウドサービスにおける設定の誤りを防止するためのツールとして、CSPM（Cloud Security Posture Management）と呼ばれる製品が存在する。CSPMは、利用するクラウドサービス全体のセキュリティに関する設定不備や構成ミス等を可視化する機能等を有している。そのため、CSPMのような製品を用いて設定の誤りを防止することを基本方針として運用規程に含めることも考えられる。

クラウドサービス利用者の操作により利用中のクラウドサービスに重大な障害をもたらすことが予想される操作については、クラウドサービス管理者が指名した監督者の監視の下、実施することを基本方針として運用規程に含めることが求められる。

クラウドサービスの利用においては、不測の事態に備えて確実なバックアップを取得する必要があるが、その機能をクラウドサービス提供者が提供する機能に委ねている場合もある。よって、クラウドサービス利用に係るバックアップについて確実な実施がなされるよう基本方針として運用規程に含めることが求められる。

復旧に係る手順の策定については、複数のリージョンに跨がる障害等のクラウドサービスの大規模障害時も想定して、代替措置も含めた業務への影響を最小限とすることを観点として盛り込むことが考えられる。

クラウドサービス提供者によるサービス内容の変更が行われる際の事前通知を受けた場合、その影響範囲・影響度を確認し、必要に応じて対処するとともに、サービス停止等が発生した場合の復旧手順を確認することを基本方針として運用規程に含めることが求められる。

クラウドサービスを利用する場合は、利用するクラウドサービスで使用済みのデータ容量やサービスの性能について監視を行い、想定された容量・性能内で運用可能であることを確認する必要がある。また、想定を超える利用が予想される場合は、対策を検討する必要があるため、これらを基本方針として運用規程に含めることが求められる。

クラウドサービスの利用終了において、クラウドサービス利用者への影響を考慮して移行計画書又は終了計画書を作成する必要があるため、基本方針として運用規程に含めることが求められる。

移行計画書又は終了計画書については、当該サービスを利用する利用者に対して十分な余裕をもって通知することを基本方針として運用規程に含めることが求められる。

クラウドサービスの利用終了時に、取り扱った全ての情報が、クラウドサービス基盤上から確実に抹消されていることを確認する必要があるため、基本方針として運用規程に含めることが求められる。確実に抹消されていることの確認方法としては、暗号化消去を目的とした情報の暗号化に用いた鍵については、バックアップを含めて抹消することやクラウドサービス提供者に、契約時に同意した情報の廃棄手順の実施報告書を要求し確認することなどが考えられる。

暗号化消去が行えないクラウドサービスを利用した場合、クラウドサービス提供者が、クラウドサービスの基盤となる装置等のセキュリティを保った処分又は再利用のための方針及び手順の確実な実施を確認する必要があるため、基本方針として運用規程に含めることが求められる。

クラウドサービスを利用終了する際は、終了時に作成したクラウドサービスの利用者アカウントを全て削除することを基本方針として運用規程に含めることが求められる。

クラウドサービスの利用を終了する際は、作成したクラウドサービス利用者アカウントが全て削除されていることを確認した上でクラウドサービスにおける管理者アカウントを削除し、又はクラウドサービス提供者に返却すること、及びクラウドサービスにおける管理者アカウントについては再利用されないことをクラウドサービス提供者に確認することを基本方針として運用規程に含めることが求められる。なお、確認する方法としては、クラウドサービス提供者へ直接問い合わせるほか、クラウドサービス提供者が提供するウェブサイトやドキュメントを確認するなどが考えられる。

クラウドサービスの利用者アカウント以外の特殊なアカウント（ストレージアカウント等）を作成した場合は、サービス利用終了時に確実に削除すること、及び当該アカウントを利用して作成された情報についても廃棄されていることを確認することを基本方針として運用規程に含めることが求められる。****

遵守事項

(2) クラウドサービスの利用に係るセキュリティ要件の策定

(a) クラウドサービス管理者は、クラウドサービスを利用する目的、対象とする業務等の業務要件及びクラウドサービスで取り扱われる情報の格付等に基づき、(1)各項で整備した基本方針としての運用規程に従い、クラウドサービスの**利用に係る内容を確認すること**。

(b) クラウドサービス管理者は、クラウドサービスを利用する目的、対象とする業務等の業務要件及びクラウドサービスで取り扱われる情報の格付等に基づき、(1)各項で整備した基本方針としての運用規程に従い、**クラウドサービスの利用に係るセキュリティ要件**を策定すること。

【 基本対策事項 】

＜4.2.2(2)(a)関連＞

4.2.2(2)-1 クラウドサービス管理者は、以下を全て含むクラウドサービスの利用に係る内容を確認すること。

a) クラウドサービス提供者が提供する**主体認証情報の管理機能が機関等の要求事項を満たすこと**。

b) クラウドサービス上に保存する情報やクラウドサービスの機能に対してアクセス制御できること。

c) クラウドサービス利用者による**クラウドサービスに多大な影響を与える操作の特定**

d) クラウドサービス内及び通信経路全般における暗号化

e) クラウドサービス上に他ベンダが提供するソフトウェア等を導入する場合のそのソフトウェアの**クラウドサービス上におけるライセンス規定**

f) クラウドサービスのリソース設定を変更する**ユーティリティプログラムを使用する場合**の機能

g) **鍵管理機能をクラウドサービス提供者が提供する場合**の鍵管理手順と鍵の種類の情報の要求とリスク評価

h) **鍵管理機能をクラウドサービス提供者が提供する場合**の鍵の生成から廃棄に至るまでのライフサイクルにおける情報の要求とリスク評価

i) 利用するクラウドサービスのネットワーク基盤が**他のネットワークと分離されていること**。

j) クラウドサービス提供者が提供するバックアップ機能を利用する場合、求める要求事項が満たされること。

＜4.2.2(2)(b)関連＞

4.2.2(2)-2 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用するアカウント管理に関するセキュリティ機能要件を策定すること。

a) クラウドサービス提供者が付与又はクラウドサービス利用者が登録する**識別コードの作成から廃棄に至るまでのライフサイクルにおける管理**

b) クラウドサービスを利用する管理者権限を保有するクラウドサービス利用者に対する**強固な認証技術**

c) クラウドサービス提供者が提供する**主体認証情報の管理機能が要求事項を満たすための措置**

4.2.2(2)-3 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用するアクセス制御に関するセキュリティ機能要件を策定すること。

a) クラウドサービス上に保存する情報やクラウドサービスの機能に対して**適切なアクセス制御**

b) インターネット等の機関等外通信回線から機関等内通信回線を経由せずにクラウドサービス上に構築した情報システムにログインすることを認める場合の**適切なセキュリティ対策**

4.2.2(2)-4 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用する権限管理に関するセキュリティ機能要件を策定すること。

a) クラウドサービス利用者による**クラウドサービスに多大な影響を与える誤操作の抑制**

b) クラウドサービスのリソース設定を変更する**ユーティリティプログラムを使用する場合の利用者の制限**

4.2.2(2)-5 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用するログ管理に関するセキュリティ機能要件を策定すること。

a) クラウドサービスが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行うために**必要なログの管理**

4.2.2(2)-6 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用する暗号化に関するセキュリティ機能要件を策定すること。

a) **クラウドサービス内及び通信経路全般における暗号化**の適切な実施

b) 情報システムで利用する暗号化方式の遵守度合いに係る法令や規則の確認

c) **暗号化に用いる鍵の保管場所等の管理**に関する要件

d) クラウドサービスで利用する**暗号鍵に関する生成から廃棄に至るまでのライフサイクルにおける適切な管理**

4.2.2(2)-7 クラウドサービス管理者は、以下を全て含むクラウドサービスを利用する際の設計・設定時の誤り防止に関するセキュリティ要件を策定すること。

a) クラウドサービス上で構成される仮想マシンに対する適切なセキュリティ対策

b) クラウドサービス提供者へのセキュリティを保つための開発手順等の情報の要求とその活用

c) クラウドサービス提供者への設計、設定、構築等における知見等の情報の要求とその活用

d) クラウドサービスの**設定の誤りを見いだすための対策**

4.2.2(2)-8 クラウドサービス管理者は、以下を全て含むクラウドサービス運用時の監視等の運用管理機能要件を策定すること。

a) クラウドサービス上に構成された情報システムのネットワーク設計における**セキュリティ要件の異なるネットワーク間の通信の監視**

b) 利用するクラウドサービス上の情報システムが**利用するデータ容量や稼働性能についての監視と将来の予測**

c) クラウドサービス内における**時刻同期の方法**

d) 利用するクラウドサービスの**不正利用の監視**

4.2.2(2)-9 クラウドサービス管理者は、以下を全て含むクラウドサービスの可用性に関するセキュリティ要件を策定すること。

a) 利用するクラウドサービス上で要安定情報を取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で構築する場合の**可用性を考慮した設計**

4.2.2(2)-10 クラウドサービス管理者は、以下を全て含む利用するクラウドサービスにおいて情報セキュリティインシデントが発生した際の復旧に関する対策要件を策定すること。

a) 不測の事態に対してサービスの復旧を行うために必要な**バックアップの確実な実施**

（解説）

運用規程で整備した基本方針において、クラウドサービス管理者はクラウドサービスを利用開始するに当たって事前にクラウドサービスの特性や機能を確認する必要がある。なお、利用するクラウドサービスの形態や特性によっては、確認や適用できないものが存在する可能性がある。よって、クラウドサービス管理者は、利用するクラウドサービスごとに各規定の実施について記録し、対象外（適用不可）と判断した項目については対象外とした際のリスクを低減するための措置を検討した上で、対象外とした理由と検討結果を付記することが求められる。

クラウドサービスの利用に係るセキュリティ要件については、利用するクラウドサービスの形態や仕様によって利用者側の責任において定めるセキュリティ要件の範囲が異なる場合がある。よって、クラウドサービス管理者は、利用するクラウドサービスごとに必要なセキュリティ要件をクラウドサービス提供者が提示している推奨設定や、業界標準、ベストプラクティス等を参照し、策定する必要がある。また、セキュリティ要件を策定するに当たっては、利用するクラウドサービスの機能や構成要素ごとに検討するとともにクラウドサービスの運用や利用終了時のセキュリティ要件についても併せて検討する必要がある。

基本対策事項4.2.2(1)-1 d)において定めている運用規程に基づき、機関等が要求する主体認証情報に係る規定、例えば、パスワード等の主体認証情報に係る規定（パスワード長等）に対し、クラウドサービス提供者が提供する機能等が十分かどうかの確認を実施する必要がある。

基本対策事項4.2.2(1)-1 e)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者がクラウドサービスに保存した情報やクラウドサービスの機能へのアクセスをアクセス制御方針に従って制限できること及びそのような制限を実現することを確実にする仕組みを整備できることを確認する必要がある。

基本対策事項4.2.2(1)-1 f)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者に対してクラウドサービスに対するユーティリティプログラムの利用を許可する場合は、そのプログラムの機能を特定し、クラウドサービスの管理策を妨げないようにすることが重要である。

基本対策事項4.2.2(1)-2 a)において定めている運用規程に基づき、クラウドサービス内及び通信経路全般における暗号化を確認する際は、以下を例とする項目について確認することが求められる。特に、クラウドサービスにおいて利用可能な暗号機能にはサーバサイド暗号化とクライアントサイド暗号化があり、両者には鍵管理を含めた暗号機能の実装と運用に関わる責任分界に大きな相違があるため注意が必要である。

基本対策事項4.2.2(1)-3 b)において定めている運用規程に基づき、クラウドサービス管理者は、利用するソフトウェアをクラウドサービスにインストールすることを許可する前に、クラウド固有の使用許諾に関する要求事項を特定しライセンス規定に違反しないか等を確認する必要がある。

なお、クラウドサービスで利用するソフトウェアのライセンスに関する注意点については「（解説）基本対策事項4.2.2(1)-3 b)「クラウドサービス上におけるライセンス規定」について」を参照のこと。

基本対策事項4.2.2(1)-8 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスのリソース（ネットワーク、仮想マシン等）の設定を変更するユーティリティプログラムを使用する場合は、その機能を確認する必要がある。

基本対策事項4.2.2(1)-9 b)及びc)において定めている運用規程に基づき、クラウドサービス管理者は、情報の暗号化に用いる鍵の管理に関する事項において以下を確認した上でリスク評価を実施しリスクを低減するための措置を検討する必要がある。

基本対策事項4.2.2(1)-10 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス基盤内における自身の利用するネットワークが他のテナント及びクラウドサービス提供者が利用するネットワークと分離され、論理的に独立していることを確認することが求められる。

なお、論理的に独立していることの確認については、例えば利用するクラウドサービスのテナントに対して他のテナントからアクセスが制限されていることなどが考えられる。

基本対策事項4.2.2(1)-12 a)において定めている運用規程に基づき、クラウドサービス提供者が提供するバックアップ機能を利用する場合、クラウドサービス管理者は、クラウドサービス提供者にその仕様を要求し要求事項を満たすことを確認する必要がある。また、取得したバックアップが有効であることを定期的に確認する手段についても確認する必要がある。

基本対策事項4.2.2(1)-1 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用する際にクラウドサービス提供者が付与又はクラウドサービス利用者が登録する識別コードに対して、その作成から廃棄に至るまでのライフサイクルにおけるクラウドサービス管理者による管理について以下の項目に留意して策定することが求められる。

基本対策事項4.2.2(1)-1 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用する情報システムの管理者権限を保有するクラウドサービス利用者の主体認証情報が漏えいした場合、インターネットから直接管理権限を要する操作が可能となる可能性があるため、十分に強固な認証技術（例えば、多要素主体認証方式）を利用することが求められる。管理用のインタフェースがインターネットに公開されることを避けることと不正アクセスの検知・防御の観点から踏み台サーバを用意し、操作は踏み台サーバからのアクセスのみに限定するなどの対策も考えられる。なお、踏み台サーバへのアクセスにはSSHと公開鍵認証によるアクセスのみを許可するとよい。

基本対策事項4.2.2(1)-1 d)において定めている運用規程に基づき、クラウドサービス管理者は、機関等が要求する主体認証情報に係る規定方針をクラウドサービス利用者が遵守できるための要件を策定することが求められる。例えば、利用者の主体認証情報を設定する際にパスワード長などを設ける機能がある場合は、その機能を用いることを求めるようにするなどが考えられる。

基本対策事項4.2.2(1)-1 e)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスの利用者がクラウドサービスで取り扱う情報やクラウドサービスの機能へアクセスする制御を定めること。アクセス制御については、例えば、以下の機能が利用可能である場合は、セキュリティ要件として策定すべきか検討するとよい。

基本対策事項4.2.2(1)-1 h)において定めている運用規程に基づき、インターネット等の機関等外通信回線から機関等内通信回線を経由せずにクラウドサービス上に構築した情報システムにログインすることを認める場合、接続するデバイスからのアクセスを適切にコントロールする必要がある。インターネット等から直接クラウドサービスへアクセスする場合は、以下を例とする対策を検討しセキュリティ要件を定めるとよい。

基本対策事項4.2.2(1)-1 f)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスに影響を与える操作等をクラウドサービス利用者が行う場合には、制限を設ける等の検討を行いクラウドサービスの管理策を妨げないようにするセキュリティ要件を定める必要がある。また、クラウドサービスの構成等の変更は、クラウドサービス提供者が用意した機能の他にユーティリティプログラムが存在する可能性があるため、その利用についても制限を設ける等の検討をするとよい。

基本対策事項4.2.2(1)-8 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスのリソース（ネットワーク、仮想マシン等）の設定を変更するユーティリティプログラムを使用する場合の機能の確認と利用者を制限するためのセキュリティ要件を定める必要がある。

基本対策事項4.2.2(1)-1 i)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスにおけるログの取得についての要件を定める必要がある。利用するクラウドサービスによって取得できるログの種類や取得方法等が異なるため、クラウドサービスごとにセキュリティ要件を定める必要がある。取得すべきログの種類や取得方法等については、クラウドサービス提供者が提示している推奨方法や、業界標準、ベストプラクティス等を参照し、策定する必要がある。なお、クラウドサービスにおいては、複数のサービスのログを一元的に管理するための機能を提供しているものが存在する。そのような機能が提供されている場合は、ログ管理の観点から利用することが望ましい。

基本対策事項4.2.2(1)-2 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス上で取り扱われる情報に要機密情報が含まれる場合は通信経路全般において暗号化するようにセキュリティ要件を定めること。また、機関等において暗号化を実施する場合は、利用する暗号化方式について、原則として「電子政府推奨暗号リスト」に記載された暗号化方式を用いること。なお、クラウドサービス提供者が情報の暗号化に用いる鍵を用意する場合は、クラウドサービス提供者において情報の復号が可能な場合があるなどのリスクを評価し、クラウドサービスに情報を保存する前に機関等が用意した別暗号鍵を用いて保存するなどのリスクを低減するための措置を検討した上でセキュリティ要件を定めること。

基本対策事項4.2.2(1)-2 b)において定めている運用規程に基づき、セキュリティ要件として定めるクラウドサービスの利用において適用する暗号による一連の要件が、関連する協定、法令及び規制を順守していることを確認することが重要である。（「電子政府推奨暗号リスト」に記載されていない暗号化方式を利用する場合、特に輸出規制等に注意が必要である。）

基本対策事項4.2.2(1)-9 a)において定めている運用規程に基づき、クラウドサービス管理者は、情報の暗号化に用いる鍵の保管場所に関するセキュリティ要件を定める必要がある。例えば、暗号鍵の保管場所については、暗号化した情報とは別の場所で管理することや、適正なかつ透明性のある手続き（例：令状主義、透明性の確保、不利益処分に関する手続）に則らない形で暗号鍵が外国の法執行機関の命令により強制的に開示されるといったリスクがあると判断される場所には保管しないなどが考えられる。暗号鍵の管理については、基本対策事項7.1.5(1)-3 b)「管理手順を定めること」を参照するとよい。

基本対策事項4.2.2(1)-9 c)において定めている運用規程に基づき、クラウドサービス管理者は、情報の暗号化に用いる鍵の生成から廃棄に至るまでのライフサイクルにおける管理に関するセキュリティ要件を定める必要がある。暗号鍵の管理は重要であり、暗号鍵の複製の可否や暗号鍵の利用者を特定するための要件なども含めると良い。暗号鍵の管理については、基本対策事項7.1.5(1)-3 b)「管理手順を定めること」についてを参照するとよい。

基本対策事項4.2.2(1)-1 g)において定めている運用規程に基づき、クラウドサービス上で構成される仮想マシンに対する適切なセキュリティ対策に関するセキュリティ要件を定めること。例えば、クラウドサービス上に構成される仮想マシンは、展開直後はセキュリティ設定が何もされていない場合があり、外部のネットワークへ接続が可能となっていることがあるため、事前に外部へのネットワークと通信できないようにすることを要件とすることや十分なセキュリティ対策がなされる要件を事前に定めておく必要がある。なお、具体的な対策としては、仮想マシンのOSに対して最新のセキュリティパッチを適用することや不正プログラム対策ソフトウェアを導入することなどが考えられる。

基本対策事項4.2.2(1)-3 a)において定めている運用規程に基づき、クラウドサービス管理者は、情報システムの構築を業務委託する際などは、遵守事項5.2.1(3)(a)(ウ)の内容を調達仕様書に記載することが求められるが、更にクラウドサービスを利用する場合、クラウドサービス特有の手法等が存在するため、その情報をクラウドサービス提供者に要求しクラウドサービスのセキュリティを保つための開発手順等の必要なセキュリティ要件を定めること。

基本対策事項4.2.2(1)-4 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用して情報システムを構築する場合、その情報システムのセキュリティの最適化に資する設計、構築に係る情報をクラウドサービス提供者に要求し、不足している知見を補ったうえでセキュリティ要件を定める必要がある。

基本対策事項4.2.2(1)-4 b)で定めている運用規程に基づき、クラウドサービス管理者は、誤った設定や設定漏れに起因する情報セキュリティインシデントを減らすための以下の対策を検討しセキュリティ要件として定める必要がある。

基本対策事項4.2.2(1)-4 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス上のセキュリティ要件が異なるネットワーク同士の接続間の通信（トラフィック）を監視・制御するためのセキュリティ要件を定める必要がある。通常はこの位置にファイアウォールを構成し、トラフィックの制御を実施する。クラウドサービスによっては、ファイアウォールを細かく設置できるものもあるため、セキュリティ要件を策定する際にその設置箇所等を十分に検討する必要がある。また、これらの間の通信を監視して異常の検知を行うとともに、設定は定期的な確認による見直しを行うことが推奨される。

基本対策事項4.2.2(1)-4 d)において定めている運用規程に基づき、クラウドサービス管理者は、リソースを柔軟に増減させることができる機能を有するクラウドサービスを利用する場合、当該クラウドサービスで利用する機能のリソース不足によるサービス停止とならないよう適切に監視を行うことができるようにセキュリティ要件を定めること。また、監視の他にリソースの現在の利用状況や将来の利用予測を行い設計当初の要求と比較できるようにすることも重要である。よって、クラウドサービスで利用するデータ容量等について監視させるとともに将来の予測を行った上での対策の確認による見直し等を行えるようにセキュリティ要件を定めておくことが重要である。なお、クラウドサービス提供者側で監視のためのサービスが用意されていない場合は、手動で定期的に確認する等の対策が求められる。

基本対策事項4.2.2(1)-4 f)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスにおける時刻同期の方法を確認し、確実に時刻が同期するようにセキュリティ要件を定める必要がある。クラウドサービス内において時刻が同期していないと記録されたログ等の時刻の信頼性が下がり、情報セキュリティインシデント発生時の原因解析等に影響を及ぼすおそれがあるため重要である。

基本対策事項4.2.2(1)-8 d)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスへの不正利用を検知することが可能な監視機能をクラウドサービス提供者に要求し、監視を行うことをセキュリティ要件として定める必要がある。クラウドサービスの利用者の識別コードを含むクラウドサービス内に保持されるクラウドサービス利用者の情報に対して、クラウドサービス提供者がアクセスするものについてはあらかじめ両者で確認し、サービス利用開始後に当該情報へのアクセス履歴をクラウドサービス利用者が常に監視・確認できることが求められる。

なお、機関等外の者と情報を共有することを目的としてクラウドサービスを利用する場合は、職員等が利用する情報に対する操作等を監視するための機能としてDLPなどの仕組みを導入することが考えられる。

基本対策事項4.2.2(1)-4 e)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用して要安定情報を取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で構築する場合は、構築時に可用性を考慮して設計を行う必要があるためセキュリティ要件を定める必要がある。可用性の設計には、システムの地理的・電源的な独立性を踏まえた冗長化などのオンプレミスで行う対策と同じものも含まれるが、クラウドサービス特有の機能もあるためクラウドサービス提供者に当該サービスの可用性に係る機能等の詳細な情報を要求し、セキュリティ要件に反映させることが求められる。利用するクラウドサービス全体の利用停止に至る障害に対してやむを得ず措置を検討する場合は、マルチクラウドやオンプレミスを含む代替サービスによる冗長化も考えられるが、運用の複雑さや管理の難しさなどを考慮した上で検討する必要がある。

基本対策事項4.2.2(1)-12 a)において定めている運用規程に基づき、クラウドサービス管理者は、不測の事態に対して復旧が行えるように、クラウドサービスの設定内容や保存した情報などのバックアップに係るセキュリティ要件を定める必要がある。なお、クラウドサービスによっては、事前に構成のテンプレートを用意しておき不測の事態に対してそれを適用させ復旧させるものなどが存在するので、クラウドサービス提供者に対して推奨される要件を確認することが望ましい。また、取得したバックアップが有効であることを定期的に確認できるようにセキュリティ要件を定めることも重要である。

遵守事項

(3) クラウドサービスを利用した情報システムの導入・構築時の対策

(a) クラウドサービス管理者は、(1)(a)で定めた運用規程を踏まえて、(2)(b)において定めるセキュリティ要件に従い**クラウドサービス利用における必要な措置を講ずること。また、導入・構築時に実施状況を確認・記録する**こと。

(b) クラウドサービス管理者は、**情報システムにおいてクラウドサービスを利用する際**には、情報システム台帳及び関連文書に記録又は記載すること。なお、情報システム台帳に記録又は記載した場合は、統括情報セキュリティ責任者へ報告すること。

(c) クラウドサービス管理者は、クラウドサービスの情報セキュリティ対策を実施するために必要となる文書として、クラウドサービスの運用開始前までに以下の全ての実施手順を整備すること。

(ア) クラウドサービスで利用するサービスごとの情報セキュリティ水準の維持に関する手順

(イ) クラウドサービスを利用した情報システムの運用・監視中における情報セキュリティインシデントを認知した際の対処手順

(ウ) 利用するクラウドサービスが停止又は利用できなくなった際の復旧手順

【 基本対策事項 】

＜4.2.2(3)(c)(ア)関連＞

4.2.2(3)-1 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用するサービスごとの情報セキュリティ水準の維持に関する手順を実施手順として整備すること。

a) クラウドサービス利用のための**責任分界点を意識したクラウドサービス利用手順**

b) クラウドサービス利用者が行う可能性のある**重要操作の手順**

＜4.2.2(3)(c)(イ)関連＞

4.2.2(3)-2 クラウドサービス管理者は、以下を全て含む情報システムの運用・監視中に発生したクラウドサービスの利用に係る情報セキュリティインシデントを認知した際の対処手順を実施手順として整備すること。

a) クラウドサービス提供者との**責任分界点を意識した責任範囲の整理**

b) 利用するクラウドサービスのサービスごとの**情報セキュリティインシデント対処に関する事項**

c) 利用するクラウドサービスに係る**情報セキュリティインシデント発生時の連絡体制**

＜4.2.2(3)(c)(ウ)関連＞

4.2.2(3)-3 クラウドサービス管理者は、以下を全て含む利用するクラウドサービスが停止又は利用できなくなった際の復旧手順を実施手順として整備すること。

a) 要安定情報をクラウドサービスで取り扱う場合の**十分な可用性を担保した復旧に係る手順**

（解説）

遵守事項4.2.2(2)(b)で定めたセキュリティ要件に従ってクラウドサービスを利用し情報システムを構築又はクラウドサービスの設定等を実施するに当たっては、クラウドサービス提供者が提示している推奨設定や、業界標準、ベストプラクティス等を参照し必要な措置を講ずる必要がある。

ベストプラクティスを参照するに当たっては、クラウドサービス提供者が提供している推奨設定等が存在するが、内閣官房国家サイバー統括室の「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編」や総務省が公表している「クラウドサービス提供における情報セキュリティ対策ガイドライン（第３版）」等を参照することも考えられる。

参考：内閣官房国家サイバー統括室「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編」 （https://www.cyber.go.jp/policy/group/general/sbd_sakutei.html）

参考：総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第３版）」 （https://www.soumu.go.jp/main_content/000771515.pdf）

遵守事項4.2.2(1)(a)において定めている運用規程の各項目については、利用するクラウドサービスの形態（IaaS、PaaS、SaaS等）及び仕様によっては適用できないものも存在する可能性もある。よって、クラウドサービス管理者は、利用するクラウドサービスごとに各規定の実施について記録し、対象外（適用不可）と判断した項目についてはその理由を付記することが求められる。

情報システム台帳の整備内容の網羅性維持のため、クラウドサービス管理者は、クラウドサービスを利用し新規に情報システムを構築した際には、速やかに情報システム台帳に記載の事項を報告する必要がある。

なお、クラウドサービス管理者は、必要に応じてクラウドサービスの利用に係る関連文書としてクラウドサービスの情報セキュリティ対策を維持するための情報を整備することが望ましい。その際、遵守事項4.2.2(1)(a)において定めている運用規程の各項目について、対象外（適用不可）と判断した項目については対象外とした際のリスクを低減するための措置の検討結果と対象外とした理由を付記することが求められる。

基本対策事項4.2.2(1)-5 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス提供者との責任分界点を踏まえた運用時における規定や手順等を作成することが求められる。利用するクラウドサービスによって、クラウドサービスの利用者側とクラウドサービスの提供者側の責任範囲が異なる。よって、クラウドサービスを契約する時に交わされた合意内容を把握し、責任分界点を踏まえたクラウドサービスの利用手順を用意する必要がある。

また、利用手順には、基本対策事項4.2.2(1)-6において定めた運用規程に基づき、運用・保守時における教育に係る基本方針を含める必要がある。更に、基本対策事項4.2.2(1)-7 b)において定めている運用規程に基づき、クラウドサービスの利用者に対してクラウドサービス上に保存する情報に対する適切な格付・取扱制限の明示をすることを含める必要がある。利用するクラウドサービスにおいて、情報に対する適切な格付・取扱制限の明示をする機能を有している場合、その機能の使い方等を示すことも考えられる。

基本対策事項4.2.2(1)-11 b)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者の操作により利用中のクラウドサービスに重大な障害をもたらすことが予想される操作については、その操作手順を文書化する必要がある。

クラウドサービスの利用においては、利用するクラウドサービスの形態及び仕様によって責任範囲が異なってくるが、クラウドサービスで取り扱う情報そのものや、クラウドサービスへアクセスするデバイスに関するセキュリティ対策等は、クラウドサービス利用者の責任範囲であると考えられる。そのような責任分界点を意識し、情報セキュリティインシデントが発生した際にどこまでが利用者の責任範囲、どこからがクラウドサービス提供者の責任範囲であるかを事前に整理する必要がある。

情報セキュリティインシデント対処に関する事項に関しては、クラウドサービスの個別の事情に合わせて検討する必要がある。クラウドサービス管理者は、情報セキュリティインシデントを認知した際、機関等で定められた対処手順又はCSIRTの指示若しくは勧告に従って、適切に対処する必要がある。情報セキュリティインシデントの対処方法については、利用するクラウドサービスの形態や仕様によって、契約に基づきクラウドサービス提供者に対処を講じさせる必要もある。利用するクラウドサービスの責任分界点を意識した責任範囲については、基本対策事項4.2.2(3)-2 a)で整理しており、その責任範囲を踏まえて、クラウドサービス利用者とクラウドサービス提供者が行う対処を整理し、検討するとよい。そのような事情を踏まえて利用するクラウドサービスのサービスごとに情報セキュリティインシデント対処に関する事項を情報セキュリティインシデントに係る対処手順に含めておく必要がある。

なお、統括情報セキュリティ責任者が整備する対処手順（「（解説）遵守事項2.2.4(1)(b)「対処手順」について」を参照のこと。）が、クラウドサービスの事情に応じた内容で整備されているならば、クラウドサービス別に整備しなくても構わない。

基本対策事項4.2.2(1)-5 d)において定めている運用規程に基づき、クラウドサービス管理者は、利用するクラウドサービスにおいて情報セキュリティインシデントの発生を検知した場合に、連絡する体制を事前に確認する必要がある。また、連絡先にはクラウドサービス提供者や当該クラウドサービスの構築や運用を業務委託している場合の委託先の連絡先も含めること。

基本対策事項4.2.2(1)-12 b)において定めている運用規程に基づき、クラウドサービス管理者は、要安定情報を取り扱うクラウドサービス及び非常時優先業務等を支えるクラウドサービスにおける十分な可用性を担保した復旧に係る手順を事前に整備する必要がある。

また、遠隔地クラスタなどの冗長構成を採用した場合もフェールオーバー及びフェールバック等の実施手順を用意するとよい。****

遵守事項

(4) クラウドサービスを利用した情報システムの運用・保守時の対策

(a) クラウドサービス管理者は、(1)(b)で定めた運用規程を踏まえて、クラウドサービスに係る運用・保守を適切に実施すること。また、運用・保守時に**実施状況を定期的に確認・記録すること**。

(b) クラウドサービス管理者は、クラウドサービスの運用・保守時に**情報セキュリティ対策を実施するために必要となる項目等で修正又は変更等が発生した場合**、情報システム台帳及び関連文書を更新又は修正すること。なお、情報システム台帳を更新又は修正した場合は、統括情報セキュリティ責任者へ報告すること。

(c) クラウドサービス管理者は、クラウドサービスの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により**見直し**を適時検討し、必要な措置を講ずること。

【 基本対策事項 】

＜4.2.2(4)(a)関連＞

4.2.2(4)-1 クラウドサービス管理者は、以下を全て含むクラウドサービスの利用に関する情報セキュリティ対策を実施すること。

a) クラウドサービス提供者に対する**定期的なサービスの提供状態の確認**

b) クラウドサービス上で利用する**IT資産の適切な管理**

4.2.2(4)-2 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用するアカウント管理、アクセス制御、管理権限に関する情報セキュリティ対策を実施すること。

a) 管理者権限をクラウドサービス利用者へ割り当てる場合の**アクセス管理と操作の確実な記録**

b) クラウドサービス利用者に**割り当てたアクセス権限に対する定期的な確認による見直し**

4.2.2(4)-3 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用する機能に対する脆弱性対策を実施すること。

a) クラウドサービスの機能に対する脆弱性対策の実施

4.2.2(4)-4 クラウドサービス管理者は、以下を全て含むクラウドサービスを運用する際の設定変更に関する情報セキュリティ対策を実施すること。

a) クラウドサービスのリソース設定を変更する**ユーティリティプログラムを使用する場合**の利用者の制限

b) クラウドサービスの設定を変更する場合の**設定の誤りを防止するための対策**

c) クラウドサービス利用者が行う可能性のある**重要操作に対する監督者の指導の下での実施**

4.2.2(4)-5 クラウドサービス管理者は、以下を全て含むクラウドサービスを運用する際の監視に関する対策を実施すること。

a) 利用するクラウドサービスの**不正利用の監視**

b) クラウドサービスで利用している**データ容量、性能等の監視**

4.2.2(4)-6 クラウドサービス管理者は、以下を全て含むクラウドサービスを運用する際の可用性に関する情報セキュリティ対策を実施すること。

a) 不測の事態に対してサービスの復旧を行うために必要な**バックアップの確実な実施**

b) 要安定情報をクラウドサービスで取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で運用する場合の**十分な可用性の担保、復旧に係る定期的な訓練の実施**

c) クラウドサービス提供者からの**仕様内容の変更通知に関する内容確認と復旧手順の確認**

4.2.2(4)-7 クラウドサービス管理者は、以下を全て含むクラウドサービスで利用する暗号鍵に関する情報セキュリティ対策を実施すること。

a) クラウドサービスで利用する**暗号鍵に関する生成から廃棄に至るまでのライフサイクルにおける適切な管理**の実施

（解説）

遵守事項4.2.2(1)(b)において定めている運用規程の各項目については、利用するクラウドサービスの形態（IaaS、PaaS、SaaS等）によっては適用できないものも存在する可能性もある。よって、クラウドサービス管理者は、利用するクラウドサービスごとに各規定の実施について記録し、対象外（適用不可）と判断した項目についてはその理由と対策を付記することが求められる。また、クラウドサービスは様々な要因で提供サービスの状況が変わることが想定されるため、本確認・記録作業は定期的に繰り返し行うことが求められる。

情報システム台帳の整備内容の網羅性維持のため、クラウドサービス管理者は、クラウドサービスの運用・保守時に情報セキュリティ対策を実施するために必要となる項目等への修正又は変更が発生した場合、速やかに情報システム台帳更新又は修正し、統括情報セキュリティ責任者に報告する必要があるが、その報告の方法や時期については、機関等ごとに定めることが望ましい。

なお、クラウドサービス管理者は、必要に応じてクラウドサービスの利用に係る関連文書として整備したクラウドサービスの情報セキュリティ対策を維持するための情報も併せて更新又は修正することが求められる。

クラウドサービス管理者は、クラウドサービスの情報セキュリティ対策について、新たな情報セキュリティ上の脅威、情報セキュリティインシデント発生事案例及び情報セキュリティインシデント発生時の影響等を検討した上で、クラウドサービスの情報セキュリティ対策について定期的な確認による見直しを行い、セキュリティ要件の追加、修正等の必要な措置を講ずることが求められる。

なお、クラウドサービスに変更があった場合やクラウドサービスの外部環境に変化が生じた場合等の際には、定期的な情報セキュリティ対策の確認による見直しに加えて、適時見直すことも重要である。

基本対策事項4.2.2(1)-5 c)において定めている運用規程に基づき、責任共有モデルで、クラウドサービス提供者側の責任として含まれる以下を例とする項目や契約時に同意した項目について、定期的にクラウドサービス提供者に確認することが求められる。

基本対策事項4.2.2(1)-7 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用におけるサービス内容の設定等の変更を、適切に管理し把握する必要がある。また、クラウドサービスによっては利用状況により提供するCPUやバックアップストレージ等のリソースを自動的に拡張するなどの機能を有しているため、オンプレミスで利用していたソフトウェアを導入する際にはライセンス等の管理も必要となる。一方で、クラウドサービスにおける膨大なIT資産の適切な管理については、手動で管理することは困難である。よって、IT資産管理ソフトウェアの利用が推奨されるが、クラウドサービスの形態によっては、クラウドサービスの利用料を従量課金としており、その対象となるリソースの管理ツールが用意されていることがあるため、その管理ツールを利用し適切に管理することが求められる。

基本対策事項4.2.2(1)-8 a)において定めた運用規程に基づき、クラウドサービス管理者は、クラウドサービスに対する管理者権限を持つ者の操作等について、全て記録され保存されることを確認することが求められる。また、人事異動等により管理者権限を必要とする者が交代する場合などは権限設定の変更が遅れることのないように注意が必要である。

基本対策事項4.2.2(1)-8 b)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者に割り当てたクラウドサービスへのアクセス権限について、定期的に確認し、必要に応じて見直す必要がある。見直す対象としては、クラウドサービス利用の目的及び必要性、対象者の妥当性、利用期間、権限の範囲等が挙げられる。また、利用するクラウドサービスによっては、利用者アカウントへの権限だけではなくサービスごとにアクセス権限を割り当てられる特殊なアカウントが存在するため、そのような特殊なアカウントについてもアクセス権限を定期的に確認し、必要に応じて見直す必要がある。

基本対策事項4.2.2(1)-7 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスの機能に対する脆弱性対策を実施する必要がある。例えば、仮想化技術を用いたマルチテナントの環境において、OS等の脆弱性に加えてハイパーバイザーを経由して他の利用者が享受するサービスを阻害する脆弱性はクラウドサービスに対するリスクであり、対策を講ずる必要がある。7.2.1「ソフトウェアに関する脆弱性対策」の内容を踏まえた対策の実施や責任分界点がクラウドサービス提供者側の実施する範囲にある場合はクラウドサービス提供者に対策の実施を求め、結果の報告を要求する必要がある。

基本対策事項4.2.2(1)-8 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスのリソース（ネットワーク、仮想マシン等）の設定を変更するユーティリティプログラムを使用する場合は、その機能の利用者を制限し、ユーティリティプログラムの使用に関する注意事項を共有することが求められる。

基本対策事項4.2.2(1)-11 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスの設定を変更する場合の設定誤りはサービス自体の停止などの広範囲な障害につながる可能性があり、それを避けるため、以下を例とする設定の誤りを防止するための対策を行うことが求められる。

なお、クラウドサービスにおける設定の誤りを防止するためのツールとして、CSPMと呼ばれる製品が存在する。CSPMについては「（解説）基本対策事項4.2.2(1)-11 a)「設定の誤りを防止するための対策」について」を参照のこと。

基本対策事項4.2.2(1)-11 b)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者の操作により利用中のクラウドサービスに重大な障害をもたらすことが予想される操作については、クラウドサービス管理者が指名した監督者の監視の下、実施させることが求められる。

基本対策事項4.2.2(1)-8 d)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスへの不正利用を検知することが可能な監視機能をクラウドサービス提供者に要求し、監視を行うことが求められる。クラウドサービスの利用者の識別コードを含むクラウドサービス内に保持されるクラウドサービス利用者の情報に対して、クラウドサービス提供者がアクセスするものについてはあらかじめ両者で確認し、サービス利用開始後に当該情報へのアクセス履歴をクラウドサービス利用者が常に監視・確認できることが求められる。

基本対策事項4.2.2(1)-12 d)において定めている運用規程に基づき、クラウドサービス管理者は、利用するクラウドサービスで使用済みのデータ容量やサービスの性能について監視を行い、想定された容量・性能内で運用可能であることを確認する必要がある。また、想定を超える利用が予想される場合は、対策を検討することが求められる。

基本対策事項4.2.2(1)-12 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス提供者が提供するバックアップ機能を利用する場合、クラウドサービス提供者にその仕様を要求し要求事項を満たすことを確認する必要がある。また、取得したバックアップが有効であることを定期的に確認することも求められる。

基本対策事項4.2.2(1)-12 b)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用して要安定情報を取り扱う場合及び非常時優先業務等を支える情報システムをクラウドサービス上で運用する場合、十分な可用性を担保するために当該情報システムに係る情報のバックアップからの復旧手順に対して、定期的に訓練を実施することが求められる。また、遠隔地クラスタなどの冗長構成を採用した場合もフェールオーバー及びフェールバックの検証を定期的に行う必要がある。

基本対策事項4.2.2(1)-12 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス提供者によるサービス内容の変更が行われる際の事前通知を受けた場合、その影響範囲・影響度を確認し、必要に応じて対処するとともに、サービス停止等が発生した場合の復旧手順を確認することが求められる。

基本対策事項4.2.2(1)-9 c)において定めている運用規程に基づき、クラウドサービス管理者は、情報の暗号化に用いる鍵の生成から廃棄に至るまでのライフサイクルにおける適切な管理を実施する必要がある。特に情報の抹消において暗号化消去を用いる場合、情報の暗号化に用いる鍵の管理は重要であり、暗号鍵の複製や暗号鍵の利用等に関して適切に管理することが求められる。暗号鍵の管理については、基本対策事項7.1.5(1)-3 b)「管理手順を定めること」を参照するとよい。****

遵守事項

(5) クラウドサービスを利用した情報システムの更改・廃棄時の対策

(a) クラウドサービス管理者は、(1)(c)で定めた運用規程を踏まえて、更改・廃棄時の必要な措置を講ずること。また、クラウドサービスの利用終了時に**実施状況を確認・記録する**こと。

【 基本対策事項 】

＜4.2.2(5)(a)関連＞

4.2.2(5)-1 クラウドサービス管理者は、以下を全て含むクラウドサービスの利用終了に関する情報セキュリティ対策を実施すること。

a) クラウドサービスで取り扱った**情報の廃棄**

b) 暗号化消去が行えない場合の**基盤となる物理機器の廃棄**

c) 作成された**クラウドサービス利用者アカウントの削除**

d) 利用した**クラウドサービスにおける管理者アカウントの削除又は返却**

e) クラウドサービス利用者アカウント以外の**特殊なアカウントの削除と関連情報の廃棄**

（解説）

遵守事項4.2.2(1)(c)において定めている運用規程の各項目については、利用するクラウドサービスの形態（IaaS、PaaS、SaaS等）及び仕様によっては適用できないものも存在する可能性もある。よって、クラウドサービス管理者は、利用するクラウドサービスごとに各規定の実施について記録し、対象外（適用不可）と判断した項目についてはその理由を付記することが求められる。

基本対策事項4.2.2(1)-14 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスの利用終了時に、取り扱った全ての情報が、クラウドサービス基盤上から確実に抹消されていることを確認する必要がある。その抹消されていることの確認方法としては、暗号化消去を目的とした情報の暗号化に用いた鍵については、バックアップを含めて抹消することやクラウドサービス提供者に、契約時に同意した情報の廃棄手順の実施報告書を要求し確認することなどが考えられる。また、対象はバックアップ等により複製された物にも及ぶ点に注意が必要である。クラウドサービス管理者は、資産管理ツール等に記録された情報等を使用し、サービス終了時から時期を逸せずに廃棄を漏れなく完了しなければならない。暗号化された情報の廃棄は、復号に用いる鍵に対してそのバックアップを含め確実な廃棄が求められる。以下はクラウドサービス利用終了時に廃棄すべき情報の例である。

基本対策事項4.2.2(1)-14 b)において定めている運用規程に基づき、クラウドサービス管理者は、暗号化消去が行えないクラウドサービスを利用した場合、クラウドサービス提供者が、クラウドサービスの基盤となる装置等のセキュリティを保った処分又は再利用のための方針及び手順の確実な実施を確認する必要がある。

基本対策事項4.2.2(1)-15 a)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用終了する際は、利用時に作成されたクラウドサービス利用者アカウントを全て削除する必要がある。

基本対策事項4.2.2(1)-15 b)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービスを利用終了する際は、作成したクラウドサービス利用者アカウントが全て削除されていることを確認した上でクラウドサービスにおける管理者アカウントを削除し、又はクラウドサービス提供者に返却する必要がある。また、クラウドサービスにおける管理者アカウントについては再利用されないことをクラウドサービス提供者に確認することが重要である。

基本対策事項4.2.2(1)-15 c)において定めている運用規程に基づき、クラウドサービス管理者は、クラウドサービス利用者のアカウント以外の特殊なアカウント（ストレージアカウント等）を作成した場合は、サービス利用終了時に確実に削除する必要がある。また、当該アカウントを利用して作成された情報についても廃棄されていることを確認する必要がある。

4.2.3 クラウドサービスの選定・利用（要機密情報を取り扱わない場合）

目的・趣旨

要機密情報を取り扱わない場合であって、クラウドサービス提供者における高いレベルの情報管理を要求する必要がない場合においても、種々の情報を機関等から送信していることを十分認識し、リスクを十分踏まえた上で利用の可否を判断して利用することが求められる。一方、要機密情報を取り扱う場合と同等のセキュリティ対策を求めることはクラウドサービスの利用推進を妨げるものであるため、要機密情報を取り扱わない前提でクラウドサービスを利用する場合は、本款で定めた遵守事項に従って情報セキュリティ対策を適切に講ずることが求められる。

遵守事項

(1) 要機密情報を取り扱わない場合のクラウドサービスの利用に係る運用規程の整備

(a) 統括情報セキュリティ責任者は、以下を全て含むクラウドサービス（要機密情報を取り扱わない場合）の利用に関する運用規程を整備すること。

(ア) クラウドサービスを**利用可能な業務の範囲**

(イ) クラウドサービスの**利用申請の許可権限者と利用手続**

(ウ) **クラウドサービス管理者**の指名とクラウドサービスの利用状況の管理

(エ) クラウドサービスの利用の運用規程

【 基本対策事項 】

＜4.2.3(1)(a)(イ)関連＞

4.2.3(1)-1 統括情報セキュリティ責任者は、機関等において要機密情報を取り扱わない前提でクラウドサービスを業務に利用する場合は、以下を例に利用手続を定めること。

a) 利用申請の許可権限者

b) 利用申請時の申請内容

＜4.2.3(1)(a)(ウ)関連＞

4.2.3(1)-2 利用申請の許可権限者は、機関等における要機密情報を取り扱わない場合のクラウドサービスの利用状況について、以下を例に管理すること。

a) 利用申請の許可権限者は、申請ごとにクラウドサービス管理者を指名すること。

b) 利用承認したクラウドサービスは、その内容を遅滞なく記録するよう運用ルールを定め、常に最新のクラウドサービスの利用状況を把握できるようにすること。また、記録する際は、以下を例とする項目を記録し機関等内で共有すること。

＜4.2.3(1)(a)(エ)関連＞

4.2.3(1)-3 統括情報セキュリティ責任者は、機関等において要機密情報を取り扱わない前提でクラウドサービスを業務に利用する場合は、以下を全て含む運用規程を整備すること。

a) サービス利用中の安全管理に係る運用規程

（解説）

情報セキュリティの確保の観点から、要機密情報を取り扱わない場合においてクラウドサービスを利用可能な業務の範囲を定めることを求めている。

クラウドサービスの利用において、要機密情報を取り扱わない場合であっても考慮すべきリスクの例には、以下のようなものがある。統括情報セキュリティ責任者は、以下を例とするリスクを受容するか又は低減するための措置を講ずることが可能であるかを十分検討した上で、許可する業務の範囲を決定する必要がある。

クラウドサービスの利用申請の許可権限者は、原則として統括情報セキュリティ責任者が行うことを想定しているが、組織の規模や特性に応じて柔軟に定めてよい。ただし、利用を承認したクラウドサービスの記録は機関等内で共有できるようにすることが求められる。

クラウドサービスの利用には利用申請を行う必要があるが、要機密情報を取り扱わないクラウドサービスの利用においても全て利用申請を行うことは、業務に支障を来す可能性がある。よって、職員等が業務に頻繁に利用することが想定されるクラウドサービスに対しては、統括情報セキュリティ責任者が要機密情報を取り扱わないことを前提に以下を例とする当該クラウドサービスの内容を確認し、機関内に承認済みであることを事前に通知する運用も可能である。なお、承認済みとする運用においても、当該クラウドサービスにおけるクラウドサービス管理者を指名する必要がある。

利用申請の許可権限者は、承認する際に当該申請に対する「クラウドサービス管理者」を指名することが求められるが、要機密情報を取り扱わない場合のクラウドサービスの利用においては課室情報セキュリティ責任者又は利用申請者自身を想定している。なお、承認済みとして事前に機関内に通知するクラウドサービスにおいては、組織横断的な管理が必要とされる可能性があることから情報システムセキュリティ責任者を想定している。****

遵守事項

(2) 要機密情報を取り扱わない場合のクラウドサービスの利用における対策の実施

(a) 職員等は、要機密情報を取り扱わないことを前提としたクラウドサービスを利用する場合、利用するサービスの定型約款、その他の提供条件等から、**利用に当たってのリスク**が許容できることを確認した上で利用申請の許可権限者へ要機密情報を取り扱わない場合のクラウドサービスの利用を申請すること。

(b) 利用申請の許可権限者は、職員等による利用するクラウドサービスの定型約款、その他の提供条件等から、利用に当たってのリスクが許容できることの確認結果を踏まえて、クラウドサービスの利用申請を審査し、**利用の可否を決定する**こと。

(c) 利用申請の許可権限者は、要機密情報を取り扱わないクラウドサービスの利用申請を承認した場合は、**クラウドサービス管理者を指名し、承認したクラウドサービスを記録**すること。

(d) クラウドサービス管理者は、要機密情報を取り扱わないクラウドサービスを安全に利用するための適切な措置を講ずること。

【 基本対策事項 】

＜4.2.3(2)(d)関連＞

4.2.3(2)-1 クラウドサービス管理者は、要機密情報を取り扱わないクラウドサービスの利用において以下を全て含む、適切な措置を講ずること。

a) 要機密情報を取り扱わないクラウドサービスの**利用に係る安全管理**

b) 要機密情報を取り扱わないクラウドサービスで**情報セキュリティインシデントが発生した際の連絡体制の整備**

（解説）

個々の業務の遂行において、要機密情報を取り扱わない前提でクラウドサービスの利用を検討する際は、当該サービスの定型約款、利用規約、その他の利用条件を確認し、リスクや課題への対策を明確にした上で、適切に利用の必要性を判断する必要がある。

なお、考慮すべきリスクの例については、「（解説）遵守事項4.2.3(1)(a)(ア)「利用可能な業務の範囲」について」を参照のこと。

さらに、要機密情報を取り扱わない場合においてクラウドサービスを利用等する際には、次の対応が求められる。

参考：内閣官房国家サイバー統括室「調達行為を伴わないSNS等の外部サービスの利用等に関する申合せ」（関係省庁申合せ） （https://www.cyber.go.jp/pdf/policy/kihon-2/ES_moushiawase.pdf）

参考：内閣官房国家サイバー統括室「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ） （https://www.cyber.go.jp/pdf/policy/kihon-2/IT_moushiawase.pdf）

要機密情報を取り扱わないクラウドサービスの利用は利用申請ごとに条件の異なることが想定されるため、業務内容や利用者の所属する組織の違いに応じて「クラウドサービス管理者」をそれぞれ立てることで管理が容易になる場合が考えられる。

利用申請の許可権限者は、承認したクラウドサービスを把握するため記録する必要がある。なお、利用申請の結果を踏まえて、機関内で事前に承認済とするかを判断し、承認済みクラウドサービスとする場合、承認済みとした上でクラウドサービスを記録すること。

基本対策事項4.2.3(1)-3 a)において定めている運用規程に基づき、要機密情報を取り扱わない場合のクラウドサービスであっても、適切な安全管理を実施する必要がある。

例えば、利用するクラウドサービスを管理する機能に対して適切に主体認証、アクセス制御の管理を行う必要がある。クラウドサービス利用者が当該クラウドサービスに保存した情報の公開設定をすることができる機能を有するクラウドサービスであった場合は、公開設定が正しく運用できているかの定期的な確認を実施することやバックアップの機能を有するクラウドサービスであるなら適切なバックアップの取得をするなどを実施する必要がある。また、当該クラウドサービスの利用者に対して定期的な注意喚起を実施することも考えられる。

基本対策事項4.2.3(1)-3 b)において定めている情報セキュリティインシデントが発生した際の連絡体制の他に、利用するクラウドサービスにおけるクラウドサービス提供者や当該クラウドサービスの運用を業務委託している場合等の委託先の連絡先等を含める必要がある。

なお、統括情報セキュリティ責任者が整備する運用規程が、クラウドサービスの事情に応じた内容で整備されているならば、クラウドサービス別に整備しなくても構わない。

4.3 機器等の調達

4.3.1 機器等の調達

目的・趣旨

調達する機器等において、必要なセキュリティ機能が装備されていない、当該機器等の製造過程で不正な変更が加えられている、調達後に情報セキュリティ対策が継続的に行えないといった場合は、情報システムで取り扱う情報の機密性、完全性及び可用性が損なわれるおそれがある。また、不正な変更が加えられている機器等が組み込まれた情報システムにおいては、当該機器等が当該システムへの不正侵入の足がかりとされ、要機密情報の窃取や破壊、情報システムの機能停止等の原因となるおそれがある。

これらの課題に対応するため、対策基準に基づいた機器等の調達を行うべく、機器等の選定基準及び納入時の確認・検査手続を整備する必要がある。

遵守事項

(1) 機器等の調達に係る運用規程の整備

(a) 統括情報セキュリティ責任者は、機器等の選定基準を運用規程として整備すること。必要に応じて、選定基準の一つとして、機器等の開発等のライフサイクルで**不正な変更が加えられない**管理がなされ、その管理を機関等が確認できることを加えること。

(b) 統括情報セキュリティ責任者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認・検査手続を整備すること。

【 基本対策事項 】

＜4.3.1(1)(a)関連＞

4.3.1(1)-1 統括情報セキュリティ責任者は、機器等の選定基準に、サプライチェーン・リスクを低減するための要件として、以下を全て含めること。

a) 調達した機器等に不正な変更が見付かったときに、必要に応じて追跡調査や立入検査等、機関等と調達先が連携して**原因を調査・排除できる体制**を整備していること。

b) 「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ　内閣官房国家サイバー統括室）に基づき、**サプライチェーン・リスクに対応する必要があると判断されるもの**については、必要な措置を講ずること。

4.3.1(1)-2 統括情報セキュリティ責任者は、機器等の選定基準に、機器等に**必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）**」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。

a) 「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、**当該制度の★１ラベル取得に求められるセキュリティ適合基準**の機能が実装された機器等とすること。

b) 「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、**当該制度の★１ラベル取得に求められるセキュリティ適合基準**に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。

4.3.1(1)-3 統括情報セキュリティ責任者は、調達する機器等において、設計書の検査によるセキュリティ機能の適切な実装の確認、開発環境の管理体制の検査、脆弱性テスト等、第三者による情報セキュリティ機能の客観的な評価を必要とする場合には、**ISO/IEC 15408に基づく認証**を取得しているか否かを、調達時の評価項目とすることを機器等の選定基準として定めること。

4.3.1(1)-4 統括情報セキュリティ責任者は、**ソフトウェア及びサイバーセキュリティリスクの高い機器等の調達における透明性の確認を必要とする場合には、SBOM（Software Bill of Materials：ソフトウェア部品表）**の作成、提供等を、調達時の評価項目とすることを機器等の選定基準として定めること。

＜4.3.1(1)(b)関連＞

4.3.1(1)-5 統括情報セキュリティ責任者は、機器等の納入時の確認・検査手続には**以下を全て含む事項を確認できる手続**を定めること。

a) 調達時に指定したセキュリティ要件の実装状況

b) 機器等に不正プログラムが混入していないこと。

（解説）

調達する機器等が、対策基準の該当項目を満たし、機関等のセキュリティ水準を一定以上に保つために、機器等に対して要求すべきセキュリティ要件を機関等内で統一的に整備することが重要である。また、選定基準は、法令の制定や改正等の外的要因の変化に対応して適時見直し、機器等の調達に反映する必要がある。

整備する選定基準としては、例えば、開発工程において信頼できる品質保証体制が確立されていること、設置時や保守時のサポート体制が確立されていること、利用マニュアル・ガイダンスが適切に整備されていること、脆弱性検査等のテストの実施が確認できること、ISO等の国際標準に基づく第三者認証が活用可能な場合は活用すること等が考えられる。

機器等は、取り扱う情報の格付及び取扱制限、利用する組織の特性や利用環境等に応じて想定されるリスクを考慮して選定する必要があることから、選定基準については、当該事項の適用要否を判断した上で整備することを求めている。

ここでいう「不正な変更」とは、機器等の製造工程で不正プログラムを含む予期しない又は好ましくない特性を組み込むことを意味している。

不正な変更が行われない管理がなされていることとは、例えば、機器等の製造工程における不正行為の有無について、定期的な監査を行っていること、機器等の製造環境にアクセス可能な従業員が適切に制限され、定期点検が行われていること等が考えられる。その他、特に高い信頼性が求められる製品を調達する場合は、各製造工程の履歴が記録されているなどの厳格な管理されていることが考えられる。

機関等は、機器等の開発や製造過程において、情報の窃取・破壊や情報システムの停止等の悪意ある機能が組み込まれるサプライチェーン・リスクの懸念が払拭できない機器等を調達しないようにする必要があり、機器等の調達において、考慮すべきリスクとして以下のようなものがある。統括情報セキュリティ責任者は、以下を例とするリスクを受容するか又は低減するための措置を講ずることが可能であるかを十分検討した上で、調達の可否を決定する必要がある。

このサプライチェーン・リスクに対応する方法として、機関等が、国内外の情報セキュリティに関する情報を収集し、こうした知見をもとにサプライチェーン・リスクを当該調達に関する要件の一つとして取り上げることにより、開発・製造過程において悪意ある機能が組み込まれる懸念が払拭できない機器等、及びサプライチェーン・リスクに係る懸念が払拭できない企業の機器等を調達しないことが求められる。

このような対応をする手段の一つとして、政府調達において、相対の交渉が可能な契約であれば、調達に係る契約の相手方に対して、サプライチェーン・リスクに係る十分な知見をもとに、機器等に関し必要な要件を備えるべく、交渉を通じて個別に求めることが考えられる。

なお、上記の場合においても、関係する国内法令（会計法、予算決算及び会計令、国の物品等又は特定役務の調達手続の特例を定める政令・省令等）及び関係する国際協定（政府調達に関する協定を改正する議定書等）を遵守する必要がある。

こうした考え方を踏まえ、機関等においては、「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ　内閣官房国家サイバー統括室）に基づき、必要な措置を講ずることが求められる。

OEM（Original Equipment Manufacturer）によって提供される機器等についても、OEM製品の製造者においても不正な変更が加えられないよう、OEM製品の販売者が機器等のサプライチェーン全体について適切に管理していることも含めて、要件を定めることが考えられる。また、SBOMを参考とすることも考えられる。

機器等の調達においては、上述の遵守事項4.3.1(1)(a)「不正な変更が加えられない」についての解説に記載のサプライチェーン・リスクを十分に考慮した上で、リスクへの対応について適切に検討・判断し、必要な措置を講ずる必要がある。なお、「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ　内閣官房国家サイバー統括室）の別紙２において「ソフトウェア」が例示されているところであるが、情報システムの基盤を管理又は制御するソフトウェアにおいても、不正な変更が加えられる等の脅威を低減させるために同様の措置を講ずる必要がある。情報システムの基盤を管理又は制御するソフトウェアについては、以下の例が考えられる。

参考：内閣官房国家サイバー統括室「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（関係省庁申合せ） （https://www.cyber.go.jp/pdf/policy/kihon-2/IT_moushiawase.pdf）

本制度は、2024年８月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づき構築されたものであり、インターネットとの通信が行える幅広いIoT製品を対象として、製品に具備されているセキュリティ機能を共通的な物差しで評価・可視化することを目的としている。

本制度の適合基準ラベル（★１～★４）を確認することで、製品のセキュリティ水準を容易に把握できるとともに、各機関等における個々のセキュリティ対策の実装確認を簡略化できることから、本制度の積極的な利用が推奨される。

2025年３月から、機器等共通の最低限満たすべきセキュリティ項目を満たしていることを製造業者が自己で評価し、その適合性を宣言した適合基準レベル★１ラベル（レベル１）の運用が開始されている。情報システムの重要度（「表5.1.1-1：情報システムの分類基準（例）」に示した分類基準）の「重要度：低」にあたる情報システムにおいては、調達対象の機器等が★１ラベル取得製品群に存在する場合は、当該製品群から選定することが望ましい。今後、製品種別ごとにより高度なセキュリティ適合基準に対する評価を行う★２ラベル（自己適合宣言）、★３ラベル（第三者認証）以上が順次運用されることとなっている。★３ラベルについては、2026年2月に通信機器及びネットワークカメラを対象としたセキュリティ要件が公開され、運用開始に向けて準備中である。運用が開始された際には、製品の登録状況等を確認の上、「重要度：中～高」は少なくとも★３以上をIoT機器等の選定基準とすることを検討している。従って、★１ラベル取得製品の全てが「重要度：中～高」の情報システムが求める情報セキュリティ水準を充足しているわけではないことに留意が必要である。

なお、各種ラベル取得製品が十分に普及した時期を目処に、セキュリティ水準に応じ

たラベル取得製品の調達を必須化する方針である。

図4.3.1-1　製品カテゴリーごとの適合基準（イメージ）

参考：情報処理推進機構（IPA）「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」

（https://www.ipa.go.jp/security/jc-star/index.html）

★１ラベル取得に求められるセキュリティ適合基準とは、最低限JC-STARの★１（レベル１）適合基準を原則、全て満たすことを意味している。

従って、対象製品カテゴリーにおける機器の登録状況から、★１以上ラベル取得製品以外の機器等を選定する場合には、★１（レベル１）適合基準を参照し、機器等に実装された機能について、基準への適合状況を確認すること等が求められる。

参考：情報処理推進機構（IPA）「JC-STAR ★１（レベル１）適合基準・評価手順（評価手法・評価ガイド）」

（https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label1/index.html）

機器等の調達においては、ISO/IEC 15408に基づく認証を取得している製品の優遇を選定基準の一つとすることで、第三者による情報セキュリティ機能の客観的な評価を受けた製品を活用でき、信頼度の高い情報システムが構築できる。

ISO/IEC 15408に基づく認証では、第三者によって、対抗する脅威に必要な機能が設計書に反映されていること、その機能が設計どおり実装されていること、開発現場や製造過程においてセキュリティが侵害される可能性が無いこと、利用マニュアル・ガイダンス等にセキュリティを保つための必要事項が明確に示されていること等が客観的に評価され、評価結果及び既知の情報から懸念される脆弱性についての評定及びテストが実施される。ただし、第三者によって評価・保証される範囲は、適合するProtection Profile（国際標準に基づくセキュリティ要件）や、評価保証レベル（EAL：Evaluation Assurance Level）によって異なるため、どの程度の保証を得ている認証製品であるかを、調達時に確認することが必要となる。

参考：情報処理推進機構（IPA）「ITセキュリティ評価及び認証制度（JISEC）」

　（https://www.ipa.go.jp/security/jisec/index.html）

ソフトウェア及びサイバーセキュリティリスクの高い機器等の調達における透明性の確認については、当該ソフトウェア及び機器等に関するSBOMの作成、提供等を調達先に求めることや、調達先が安全なソフトウェア開発の慣行に基づく開発を実施していることを確認することが挙げられる。対象となるソフトウェアについては、「（解説）基本対策事項4.3.1(1)-1 b)「サプライチェーン・リスクに対応する必要があると判断されるもの」について」で例示したソフトウェアが考えられる。

なお、安全なソフトウェア開発の慣行に基づく開発については、NISTが公表している以下のフレームワークを参考にするとよい。

参考：NIST「SP800-218: Secure Software Development Framework （SSDF） Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities」 （https://csrc.nist.gov/pubs/sp/800/218/final）

ソフトウェアに関する選定基準の一つとして、SBOMの情報を機関等が確認できることに関する基準を加えることで、ソフトウェアの透明性の確認を行うことができる。さらに、脆弱性の特定や修正など対策の効率化の観点からSBOMを活用することも考えられる。

一方で、SBOMの項目は多様であり、SBOMの対応範囲に応じてコストと効果が大きく異なるため、分野やシステム利用環境のリスクの違いに応じて妥当な対応範囲を目指すことが効果的である。従って、選定基準においては、SBOMの提供有無の二者択一ではなく、SBOMの対象とするソフトウェアの範囲や脆弱性管理の範囲等について、対象ソフトウェアのリスクを踏まえ、調達先への過度な要求とならない範囲で明示するとよい。例えば、利用時のリスクが低いソフトウェアについては、最小限のSBOM対応範囲に留めることなどにより、コストを抑えることも考えられる。

SBOMやSBOM対応範囲の考え方については、経済産業省が公表している以下の手引を参考にするとよい。

参考：経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0」 （https://www.meti.go.jp/press/2024/08/20240829001/20240829001-1r.pdf）

機器等の納入時の確認・検査手続の具体例として、以下の内容が考えられる。