--- type: guideline title: 第5部 情報システムのライフサイクル source: 内閣官房 国家サイバー統括室 category: cybersecurity updated: 2026-06-12 source_url: https://www.cyber.go.jp/files/kijyungun-tougour8_6_w.zip --- # 第5部 情報システムのライフサイクル ## 5.1 情報システムの分類 ### 5.1.1 情報システムの分類基準等の整備 目的・趣旨 機関等が所管する情報システムが多様化するなか、自組織で所管する情報システムの情報セキュリティインシデントの発生リスクを低減させるためには、多様な情報セキュリティ対策からその情報システムに求められる対策を過不足無く適切に選択する必要がある。 そのためには、情報セキュリティを取り巻く様々な脅威動向や情報システムにインシデントが発生した際の業務影響度、社会的影響、取り扱う情報、機関等の組織特性等を踏まえて、高度な情報セキュリティ対策が求められる情報システムを判別するための分類基準を定め、分類基準に応じた情報セキュリティ対策を規定することで、自組織が所管する情報システムの分類に応じた適切な対策が講じられるようにすることが重要である。 遵守事項 #### (1) 情報システムにおける分類のための運用規程の整備 (a) 統括情報セキュリティ責任者は、情報システムの情報セキュリティインシデント発生時の業務影響度等を踏まえ、高度な情報セキュリティ対策が要求される情報システムを判別するための基準である**情報システムの分類基準を運用規程として整備する**こと。 【 基本対策事項 】規定なし （解説） - 遵守事項5.1.1(1)(a)「情報システムの分類基準を運用規程として整備する」について 機関等が所管する情報システムは、取り扱う情報や情報システムを利用して行う業務の内容等により、情報システムを構成する要素や利用方法等が異なる。そのため、個別の情報システムの特性に基づく脅威を踏まえた上で、適切な情報セキュリティの要件を定め対策を講ずることが望ましい。一方で情報システムの規模の大きさ等にかかわらず全ての情報システムに対して、個々の事情に合わせた考え得る全ての脅威に対してリスク評価を行った上で、過不足無く情報セキュリティ対策を講ずることは困難である。そこで、簡易的な判断基準として、情報セキュリティインシデント等が発生した際に業務遂行に影響を及ぼすなど、社会的・経済的な混乱を招くおそれがある高度な情報セキュリティ対策が要求される情報システムを判別するための基準を設けることとする。当該基準は、情報システムにおける情報セキュリティインシデント発生時の業務影響度、社会的影響、取り扱う情報、自組織の組織特性等を踏まえ分類するための基準であり、分類した基準を用いて高度な情報セキュリティ対策が要求される情報システムに対して、通常のセキュリティ対策だけではなく、追加で高度なセキュリティ対策を講ずることができるようにするためのものである。 具体的に情報システムの分類基準として整備する内容は、表5.1.1-1に例示したような情報システムを分類するためのラベルとなる項目と、その項目を判断するための基準となる考え方を示したものが必要となる。また、情報システムセキュリティ責任者が情報システムの分類をする際に判断しやすいよう、ラベルとなる項目ごとに該当すると想定される情報システムを記載することが望ましい。 この分類基準を用いて情報システムセキュリティ責任者が分類を行い（遵守事項5.2.1(2)(a)）、統括情報セキュリティ責任者がその結果を確認し必要に応じて修正等の指示を行う（遵守事項5.1.1(3)(a)）ことで、機関等が保有する情報システムを横断的に把握・分類し、個々の情報システムの特性に応じた必要な対策が過不足なく講じられることや、機関等においてより高度な情報セキュリティ対策が必要な情報システムを特定することが重要である。 なお、情報システムの分類基準について参考となる例を表5.1.1-1のとおり示す。機関等においては、自組織の役割や組織の特性等を踏まえ本ガイドラインと異なる考え方の情報システムの分類基準を定めることも可能である。機関等における情報システムの分類基準を規定する際は、本ガイドラインに加え、以下を参考にするとよい。 ただし、本ガイドラインと異なる分類基準を採用する場合、本ガイドラインが想定する高度なセキュリティ対策を必要とする情報システムと考え方が異なる可能性があるため、本ガイドライン第６部及び第７部における基本対策事項を、自組織で定めた情報システムの分類基準に即した、基本セキュリティ対策と追加セキュリティ対策を規定する必要があることに留意する。 参考：デジタル庁「政府情報システムにおけるセキュリティリスク分析ガイドライン ～ベースラインと事業被害の組み合わせアプローチ～」 （） 参考：「政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準」、「ISMAP-LIU業務・情報の影響度評価ガイダンス」等 （） 参考：情報処理推進機構（IPA）「非機能要求グレード」 （） 参考：NIST「SP800-53 rev.5：組織と情報システムのためのセキュリティおよびプライバシー管理策」 （） 参考：NIST「SP800-53B：組織と情報システムのための管理策ベースライン」 （）

表5.1.1-1　情報システムの分類基準（例）

情報システムの重要度

判断基準

（参考）想定する情報システム

高

  • 国家安全保障及び治安関係の業務を行う場合

  • 機密性の高い情報を取り扱う場合並びに情報の漏えい及び情報の改ざんによる社会的・経済的混乱を招くおそれのある情報を取り扱う場合

  • 番号制度関係の業務を行う場合等、個人情報を極めて大量に取り扱う業務を行う場合

  • 機能停止等の場合、機関等の業務遂行に著しい影響を及ぼす場合

  • 運営経費が極めて大きい場合

  • 情報セキュリティインシデント発生時に「情報システムの重要度：高」に分類される他の情報システムに影響を与える場合

  • 防災、経済、重要インフラに関係する情報システム

  • 基幹業務システム、LANや職員が日常的に利用するPCやメール機能を管理する情報システム等の組織の業務の根幹を支える情報システム

  • 情報システムの基盤として利用する機関等が所管する情報システム（クラウドサービスを利用した共通基盤を含む。）

  • 対国民向けの情報システムで社会的影響が大きい情報システム

  • 機密性3情報や特定個人情報を取り扱う情報システム

  • 極めて大量の要保護情報を取り扱う情報システム

中

  • 「情報システムの重要度：高」を除く要保護情報を取り扱う場合

  • 情報セキュリティインシデント発生時に「情報システムの重要度：中」に分類される他の情報システムに影響を与える場合

  • 要保護情報を取り扱う情報システム（情報セキュリティインシデント発生時に他の情報システムへ影響を与える情報システムを含み、「情報システムの重要度：高」に想定される情報システムを除く。）

低

  • 「情報システムの重要度：高、中」を除く全て

  • 要保護情報の取扱いがない情報システム
例示のうち「情報システムの重要度：高」の判断基準については、「IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」の別紙３「重要性の観点」を基に作成。 遵守事項 #### (2) 情報システムの分類基準に基づいた情報セキュリティ対策に係る運用規程の整備 (a) 統括情報セキュリティ責任者は、情報システムに求める**分類基準に応じた情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策の具体的な対策事項**を運用規程として整備すること。 【 基本対策事項 】 ＜5.1.1(2)(a)関連＞ 5.1.1(2)-1 統括情報セキュリティ責任者は、自組織の特性や国内外の情報セキュリティに関連する動向等を踏まえ、セキュリティベースラインとして全ての情報システムに対し対策を求める「**基本セキュリティ対策**」と、それに加え高度な情報セキュリティ対策を要求する情報システムに対し追加で対策を求める「**追加セキュリティ対策**」を定めること。 （解説） - 遵守事項5.1.1(2)(a)「分類基準に応じた情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策の具体的な対策事項」について 統括情報セキュリティ責任者は、情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策の具体的な対策事項を、情報システムに求める分類基準に応じて「基本セキュリティ対策」と「追加セキュリティ対策」として整備する必要がある。「基本セキュリティ対策」は、情報システムの重要度に関わらず、全ての情報システムにおいて必須の対策を求める具体的な対策事項のことであり、「追加セキュリティ対策」とは、高度な情報セキュリティ対策を要求する情報システムに対して「基本セキュリティ対策」に加えて追加で対策を求める具体的な対策事項のことである。この「基本セキュリティ対策」と「追加セキュリティ対策」については、情報システムの分類基準で整備した分類に応じて、実施するための判断基準を定めておく必要がある。なお、本ガイドラインの表5.1.1-1を分類基準として採用する場合の判断基準を「表5.1.1-2：具体的な対策事項を実施させるための判断基準（例）」に示す。 さらに「基本セキュリティ対策」と「追加セキュリティ対策」で求めている具体的な対策事項については、本ガイドラインの第６部及び第７部が情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策を定めているので、それらの基本対策事項を参考に定め、運用規程として整備する必要がある。 ただし、本ガイドラインと異なる情報システムの分類基準を採用した場合、自組織で定めた分類基準と本ガイドラインで高度なセキュリティ対策が必要となる情報システムの分類結果が異なることが考えられる。その場合、本ガイドライン第６部及び第７部における基本対策事項を自組織で定めた分類基準に対応した具体的な対策事項になるように、適切に定めること。 なお、本ガイドラインにおける「基本セキュリティ対策」と「追加セキュリティ対策」の考え方では、全ての情報システムが必須で実施すべき情報セキュリティ対策事項を「基本セキュリティ対策」とし、「表5.1.1-1：情報システムの分類基準（例）」に示した分類基準において「情報システムの重要度：高」に該当する情報システムが基本セキュリティ対策に加えて、追加で実施すべき情報セキュリティ対策を「追加セキュリティ対策」としている。 さらに、「基本セキュリティ対策」と「追加セキュリティ対策」で求めている具体的な対策事項については、本ガイドラインの第６部及び第７部における基本対策事項において基本セキュリティ対策（【基本セキュリティ対策】）と追加セキュリティ対策（【追加セキュリティ対策】）に分けて記載をしている。特に記載のないものについては、基本セキュリティ対策として記載している。 | 情報システムの重要度 | 基本セキュリティ対策 | 追加セキュリティ対策 | |:--------------------:|----------------------|----------------------| | 高 | 必須 | 必須 | | 中 | 必須 | 必要に応じて実施 | | 低 | 必須 | 必要に応じて実施 | 表5.1.1-2　具体的な対策事項を実施させるための判断基準（例） - 基本対策事項5.1.1(2)-1「基本セキュリティ対策」について 基本セキュリティ対策とは、情報システムの分類基準に関わらず全ての情報システムにおいて対策を求める具体的な対策事項のこと（セキュリティベースライン）。 - 基本対策事項5.1.1(2)-1「追加セキュリティ対策」について 情報システムの分類基準において、高度な情報セキュリティ対策を要求する情報システムに対し、「基本セキュリティ対策」に加え追加で対策を求める具体的な対策事項のこと。 遵守事項 #### (3) 情報システムの分類基準に基づいた分類の実施 (a) 統括情報セキュリティ責任者は、**情報システムの分類基準に基づいた情報システムの分類を情報システムセキュリティ責任者に実施させ**、実施した結果を報告させること。情報システムセキュリティ責任者から報告を受けた情報システムの分類結果については、情報セキュリティインシデント発生時の業務影響度や脅威動向等を踏まえて、**上位又は下位の情報システムの分類の適用が望ましい場合には修正の指示を行う**こと。 【 基本対策事項 】 ＜5.1.1(3)(a)関連＞ 5.1.1(3)-1 統括情報セキュリティ責任者は、以下の全ての場合、情報システムセキュリティ責任者に対して分類基準に基づいた情報システムの分類を行わせること。 a) 情報システムの構築又は更改が発生した場合 b) 情報システムで取り扱う情報の格付等に変更が発生した場合 c) 分類の再実施を指示する場合 5.1.1(3)-2 統括情報セキュリティ責任者は、自組織で所管する情報システムの分類結果を確認し、以下の例に該当する場合、報告を受けた情報システムの分類結果の上位への修正指示の要否を検討すること。 a) 業務特性やシステム特性、取り扱う情報等を踏まえると上位の情報システムの分類の適用が望ましいと判断される場合 b) 類似する自組織の情報システムで上位の情報システムの分類が適用されていた場合 （解説） - 遵守事項5.1.1(3)(a)「情報システムの分類基準に基づいた情報システムの分類を情報システムセキュリティ責任者に実施させ」について 遵守事項5.1.1(1)(a)で定めた情報システムの分類基準に基づき、機関等で保有する情報システムを分類するものである。 - 遵守事項5.1.1(3)(a)「上位又は下位の情報システムの分類の適用が望ましい場合には修正の指示を行う」について 情報システムセキュリティ責任者において評価した情報システムの分類結果について、機関等で保有する情報システムの評価状況を踏まえ、分類結果を補正することが望ましい場合がある。そのため、統括情報セキュリティ責任者において、適切な分類結果になるよう、必要に応じて補正を行うこと。 遵守事項 #### (4) 情報システムの分類基準と情報セキュリティ対策の具体的な対策事項の運用規程の見直し (a) 統括情報セキュリティ責任者は、情報システムの分類基準と分類基準に応じた情報セキュリティ対策の具体的な対策事項の**運用規程について定期的な確認による見直しをする**こと。 (b) 統括情報セキュリティ責任者は、全ての情報システムが分類基準に基づいて適切に分類が行われていることを定期的に確認すること。 【 基本対策事項 】 ＜5.1.1(4)(b)関連＞ 5.1.1(4)-1 統括情報セキュリティ責任者は、以下の全ての場合に分類基準に基づいた情報システムの分類が行われていることを確認すること。 a) 情報システムの構築又は更改を把握した場合 b) 対策推進計画の各種施策や情報セキュリティ監査、本部監査、自己点検等の結果を踏まえ、定期評価や評価の再実施が必要と判断した場合 （解説） - 遵守事項5.1.1(4)(a)「運用規程について定期的な確認による見直しをする」について 法改正や制度改正の発生時や機関等における情報セキュリティインシデント、サイバーセキュリティ分野の脅威動向を踏まえ自組織の情報セキュリティリスクが高まった際に、情報システムの分類基準と分類基準に応じた情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策の具体的な対策事項の運用規程の見直しを行うこと。 ## 5.2 情報システムのライフサイクルの各段階における対策 ### 5.2.1 情報システムの企画・要件定義 目的・趣旨 情報システムのライフサイクル全般を通じて、情報セキュリティを適切に維持するためには、情報システムの企画段階において、適切にセキュリティ要件を定義する必要がある。 セキュリティ要件の曖昧さや過不足は、過剰な情報セキュリティ対策に伴うコスト増加のおそれ、要件解釈のばらつきによる提案内容の差異からの不公平な競争入札、設計・開発工程での手戻り、運用開始後の情報セキュリティインシデントの発生といった不利益が生じる可能性に繋がる。 そのため、情報システムが対象とする業務、業務において取り扱う情報、情報を取り扱う者、情報を処理するために用いる環境・手段等を考慮した上で、当該情報システムにおいて想定される脅威への対策を検討し、必要十分なセキュリティ要件を仕様に適切に組み込むことが重要となる。 加えて、構築する情報システムへの脆弱性の混入を防止するための対策も、構築前の企画段階で考慮することが重要となる。 また、情報システムの構築、運用・保守を業務委託する場合については[4.1「業務委託」](#業務委託)、クラウドサービスを利用して情報システムを構築する場合は4.2「クラウドサービス」、情報システムで利用する機器等を調達する場合は4.3「機器等の調達」、政府共通利用型システムを利用して情報システムを構築する場合は5.4「政府共通利用型システム」を参照すること。 遵守事項 #### (1) 実施体制の確保 (a) 情報システムセキュリティ責任者は、情報システムのライフサイクル全般にわたって情報セキュリティの維持が可能な体制の確保を、**最高情報セキュリティ責任者に求める**こと。 (b) 最高情報セキュリティ責任者は、前項で求められる体制の確保に際し、情報システムを統括する責任者（デジタル統括責任者（CIO））の協力を得ることが必要な場合は、当該情報システムを統括する責任者に当該体制の全部又は一部の整備を求めること。 【 基本対策事項 】規定なし （解説） - 遵守事項5.2.1(1)(a)「最高情報セキュリティ責任者に求める」について 最高情報セキュリティ責任者に、セキュリティの維持が実施可能な体制（人員、機器、予算等）の確保を求める事項である。 政府共通利用型システムが提供するセキュリティ機能を利用して情報システムを構築する場合は、政府共通利用型システム管理機関が定める運用管理規程等に応じた体制を確保する必要がある。したがって、政府共通利用型システムを利用して情報システムを構築する場合は、5.4「政府共通利用型システム」についてを参照のこと。 遵守事項 #### (2) 情報システムの分類基準に基づいた分類の実施 (a) 情報システムセキュリティ責任者は、情報システムを新規に構築し、又は更改する際には、**情報システムの分類基準に基づいて情報システムの分類を行い、統括情報セキュリティ責任者に報告する**こと。 【 基本対策事項 】規定なし （解説） - 遵守事項5.2.1(2)(a)「情報システムの分類基準に基づいて情報システムの分類を行い、統括情報セキュリティ責任者に報告する」について 遵守事項5.1.1(1)(a)で統括情報セキュリティ責任者が定めた情報システムの分類基準に基づき、高度な情報セキュリティ対策が要求される情報システムを判別するため、情報システムの分類をすることを求めている。情報システムの分類をした結果については、統括情報セキュリティ責任者へ報告し、必要に応じて分類結果の修正を行う必要がある。 遵守事項 #### (3) 情報システムのセキュリティ要件の策定 (a) 情報システムセキュリティ責任者は、情報システムを構築する目的、対象とする業務等の業務要件及び当該情報システムで取り扱われる情報の格付等を勘案し情報システムの分類に基づき、**情報システムに求める分類基準に応じた具体的な対策事項**を踏まえて、以下の全ての事項を含む**情報システムのセキュリティ要件**を策定すること。 (ア) 情報システムに組み込む主体認証、アクセス制御、権限管理、ログ管理、暗号化機能等の**セキュリティ機能要件** (イ) 情報システム運用時の監視等の運用管理機能要件（**監視するデータが暗号化されている場合は、必要に応じて復号**すること） (ウ) 情報システムに関連する脆弱性及び不正プログラムについての対策要件 (エ) 情報システムの可用性に関する対策要件 (オ) 情報システムのネットワーク構成に関する要件 (b) 情報システムセキュリティ責任者は、インターネット回線と接続する情報システムを構築する場合は、**接続するインターネット回線を定めた上で**、標的型攻撃を始めとするインターネットからの様々なサイバー攻撃による情報の漏えい、改ざん等のリスクを低減するための多重防御のためのセキュリティ要件を策定すること。 (c) 情報システムセキュリティ責任者は、機器等を調達する場合には、「**IT製品の調達におけるセキュリティ要件リスト**」を参照し、利用環境における脅威を分析した上で、当該機器等に存在する情報セキュリティ上の脅威に対抗するためのセキュリティ要件を策定すること。 (d) 情報システムセキュリティ責任者は、構築する情報システムが取り扱う情報や情報システムを利用して行う業務の内容等を踏まえ**高度な情報セキュリティ対策を要求する情報システム**については、情報システムの分類に応じて策定したセキュリティ要件について、**最高情報セキュリティアドバイザー等へ助言を求め**、業務の特性や情報システムの特性を踏まえて、**上位の情報セキュリティ対策をセキュリティ要件として盛り込む必要が無いか**を確認すること。 【 基本対策事項 】 ＜5.2.1(3)(a)関連＞ 5.2.1(3)-1 情報システムセキュリティ責任者は、「**情報システムに係る政府調達におけるセキュリティ要件策定マニュアル**」を活用し、情報システムが提供する業務及び取り扱う情報、利用環境等を考慮した上で、脅威に対抗するために必要となるセキュリティ要件を適切に決定すること。 5.2.1(3)-2 情報システムセキュリティ責任者は、**開発する情報システムが運用される際に想定される脅威**の分析結果並びに当該情報システムにおいて取り扱う情報の格付及び取扱制限に応じて、セキュリティ要件を適切に策定し、調達仕様書等に明記すること。 ＜5.2.1(3)(a)(ア)関連＞ 5.2.1(3)-3 情報システムセキュリティ責任者は、開発する情報システムが対抗すべき脅威について、適切なセキュリティ要件が策定されていることを第三者が客観的に確認する必要がある場合には、セキュリティ設計仕様書（ST：Security Target）を作成し、**ST確認**を受けること。 ＜5.2.1(3)(a)(イ)関連＞ 5.2.1(3)-4 情報システムセキュリティ責任者は、情報システム運用時のセキュリティ監視等の運用管理機能要件を明確にし、情報システム運用時に情報セキュリティ確保のために必要となる**管理機能**や**監視のために必要な機能**を調達仕様書に明記すること。 ＜5.2.1(3)(a)(ウ)関連＞ 5.2.1(3)-5 情報システムセキュリティ責任者は、開発する情報システムに関連する**脆弱性への対策**が実施されるよう、以下を全て含む対策を調達仕様書等に明記すること。 a) 既知の脆弱性が存在するソフトウェアや機能モジュールを情報システムの構成要素としないこと。 b) 開発時に情報システムに**脆弱性が混入されることを防ぐためのセキュリティ実装方針** c) セキュリティ侵害につながる脆弱性が情報システムに存在することが発覚した場合に修正が施されること。 d) ソフトウェアのサポート期間又はサポート打ち切り計画に関する機関等への情報提供 5.2.1(3)-6 情報システムセキュリティ責任者は、開発する情報システムに機関等の意図せざる不正なプログラム等が組み込まれないよう、以下を全て含む対策を実施すること。 a) 情報システムで利用する**機器等を調達する場合**は、機関等の意図せざる不正なプログラム等が組み込まれていないことを確認すること。 b) アプリケーション・コンテンツの開発時に**機関等の意図せざる不正なプログラム等が混入されることを防ぐための対策**を講ずること。 c) 情報システムの構築を委託する場合は、委託先において**機関等の意図せざる変更が加えられないための管理体制**を求めること。 ＜5.2.1(3)(a)(エ)関連＞ 5.2.1(3)-7 情報システムセキュリティ責任者は、**要安定情報を取り扱う情報システム及び非常時優先業務等を支える情報システム**を構築する場合は、RTO（目標復旧時間）、RLO（目標復旧レベル）に応じた以下を全て含むセキュリティ要件について、情報システムを構成する要素ごとに策定し調達仕様書等に明記すること。 a) 端末、サーバ装置及び通信回線装置等の**冗長化に関する要件** b) 端末、サーバ装置及び通信回線装置並びに取り扱われる情報に関する**バックアップの要件** c) 情報システムを中断することのできる時間を含めた**復旧に関する要件** ＜5.2.1(3)(a)(オ)関連＞ 5.2.1(3)-8 情報システムセキュリティ責任者は、開発する情報システムのネットワーク構成に関する要件について、以下を全て含む要件を調達仕様書等に明記すること。 a) **インターネットやインターネットに接点を有する情報システム（クラウドサービスを含む。）から分離する**ことの要否の判断とインターネットから分離するとした場合の要件 b) 端末、サーバ装置及び通信回線装置上で**利用するソフトウェアを実行するために必要な通信要件** c) インターネット上のクラウドサービス等のサービスを利用する場合の**通信経路全般のネットワーク構成** d) 機関等外通信回線を経由して機器等に対して**リモートメンテナンスすることの要否**の判断とリモートメンテナンスすることとした場合の要件 ＜5.2.1(3)(c)関連＞ 5.2.1(3)-9 情報システムセキュリティ責任者は、構築する情報システムの構成要素のうち、製品として調達する機器等について、当該機器等に存在するセキュリティ上の脅威へ対抗するためのセキュリティ要件を策定するために、以下を全て含む事項を実施すること。 a) 「IT製品の調達におけるセキュリティ要件リスト」を参照し、リストに掲載されている製品分野の「セキュリティ上の脅威」が自身の運用環境において該当する場合には、「国際標準に基づくセキュリティ要件」と同等以上のセキュリティ要件を調達時のセキュリティ要件とすること。ただし、「IT製品の調達におけるセキュリティ要件リスト」の「セキュリティ上の脅威」に挙げられていない脅威にも対抗する必要がある場合には、必要なセキュリティ要件を策定すること。 b) 「IT製品の調達におけるセキュリティ要件リスト」に掲載されていない製品分野においては、調達する**機器等の利用環境において対抗すべき脅威**を分析し、必要なセキュリティ要件を策定すること。 （解説） - 遵守事項5.2.1(3)(a)「情報システムに求める分類基準に応じた具体的な対策事項」について 情報システムに求める分類基準に応じた具体的な対策事項については、遵守事項5.1.1(2)(a)を参照のこと。 - 遵守事項5.2.1(3)(a)「情報システムのセキュリティ要件」について 構築する情報システムにおいて、機器等を調達する場合や業務委託、クラウドサービス、政府共通利用型システムなどを利用する場合には、機関等における役割と責任範囲を踏まえ、構築する情報システムとの関係性を整理した上でセキュリティ要件を策定する必要がある。 業務委託の実施については4.1「業務委託」、クラウドサービスを利用する場合は4.2「クラウドサービス」、機器等を調達する場合は4.3「機器等の調達」、政府共通利用型システムを利用する場合は5.4「政府共通利用型システム」を参照し適切なセキュリティ要件を策定すること。 また、安全保障、公共の安全・秩序の維持といった機微な情報及び当該情報になり得る情報を取り扱う情報システムのセキュリティ要件については、「安全保障等の機微な情報等に係る政府情報システムの取扱い」を参照し、策定する必要がある。 参考：デジタル庁「安全保障等の機微な情報等に係る政府情報システムの取扱い」（デジタル社会推進会議幹事会決定） （） - 遵守事項5.2.1(3)(a)(ア)「セキュリティ機能要件」について 情報システムに必要となるセキュリティ機能要件の策定に当たっては、第７部「情報システムのセキュリティ機能」を参照し策定すること。その際、情報システムの分類に従って要件を定めるが、取り扱う情報や当該情報システムを利用して行う業務等を踏まえて、追加セキュリティ対策をセキュリティ要件として定める必要がないかを検討することが望ましい。 - 遵守事項5.2.1(3)(a)(イ)「監視するデータが暗号化されている場合は、必要に応じて復号」について ウェブの常時暗号化（TLS化）や電子メールサーバ間通信の暗号化（TLS化）等といった通信の暗号化が社会的に進められ、その利用割合が上昇する中で、不正なプログラム等の脅威が暗号化された通信の中に含まれていると、当該通信の監視による脅威の検知が困難になる。また、機関等自身においても上記の暗号化を進めていけば、その傾向は更に大きくなる。このため、監視に際しては、監視対象のデータが暗号されているかどうかを把握し、対象とする脅威の監視可否に与える影響を考慮した上で復号の要否を判断し、必要と判断した場合にはその対策を講じなければならない。 - 遵守事項5.2.1(3)(b)「接続するインターネット回線を定めた上で」について 構築する情報システムごとに、個々にインターネット回線を構築すると、当該インターネット回線の監視等に係る体制や運用コストが分散し、効率的かつ集中的なセキュリティ監視が行われず、セキュリティ水準が低下するおそれがある。このような観点から、機関等として（又は国の行政機関にあってはこれら機関全体で）インターネット接続口を統合・集約し、集中的なセキュリティ監視を行うなどの取組を行っている場合は、当該取組の範疇とするか否か検討した上で、構築する情報システムに接続するインターネット回線を調達仕様書等において明確にすることを求めている。 なお、既設のインターネット回線を利用せずに、独立したインターネット回線を調達してセキュリティ監視等の運用を個別に行う場合も想定される。情報システムが取り扱う情報の格付や取扱制限等の特性に従って、既設のインターネット回線の利用可否を判断することが望ましい。 - 遵守事項5.2.1(3)(c)「IT製品の調達におけるセキュリティ要件リスト」について 「IT製品の調達におけるセキュリティ要件リスト」には、デジタル複合機、OS、ファイアウォール等の製品分野ごとに一般的に想定されるセキュリティ上の脅威が記載されており、それらが自身の運用環境において該当する場合には、当該脅威に対抗する必要がある。 対抗手段の一つとして、「IT製品の調達におけるセキュリティ要件リスト」には、ITセキュリティに関わる「国際標準に基づくセキュリティ要件」が記載されており、それを調達時に活用することで脅威に対抗するための機能を有した製品を調達することが可能となる。 「IT製品の調達におけるセキュリティ要件リスト」に記載されている「セキュリティ上の脅威」のうち、製品の利用環境や製品に実装されている機能によっては、一部の脅威だけに対抗すればよい場合もあり得る。そのような場合には、「国際標準に基づくセキュリティ要件」では過剰な要件（要求仕様）となる可能性もあるので、個別にセキュリティ要件を策定して脅威に対抗してもよい。 参考：経済産業省「IT製品の調達におけるセキュリティ要件リスト」 （） - 遵守事項5.2.1(3)(d)「高度な情報セキュリティ対策を要求する情報システム」について 情報システムセキュリティ責任者は、構築する情報システムが取り扱う情報や情報システムを利用して行う業務の内容等を踏まえて情報セキュリティに関するリスクを判断するとよい。例えば、本ガイドラインにおける情報システムの重要度：「高」又は「中」に該当する情報システムについては、情報セキュリティに関するリスクが高いと判断することも考えられる。 - 遵守事項5.2.1(3)(d)「最高情報セキュリティアドバイザー等へ助言を求め」について 情報システムセキュリティ責任者は、構築する情報システムのリスクが高いと判断した場合、情報システムの分類に応じて策定したセキュリティ要件については、情報システムの所管部門のみでセキュリティ要件の判断をせずに、最高情報セキュリティアドバイザー等のセキュリティの専門家に評価してもらう必要がある。セキュリティの専門家については、例えば、最高情報セキュリティアドバイザーの他、情報セキュリティ推進部門やデジタル統括アドバイザー、情報セキュリティに関する資格（情報処理安全確保支援士等）保有者、業務委託による第三者機関等の利用も考えられる。 - 遵守事項5.2.1(3)(d)「上位の情報セキュリティ対策をセキュリティ要件として盛り込む必要が無いか」について セキュリティ要件を定める際には、5.1.1(2)(a)で定める情報システムの分類基準に応じた情報セキュリティ対策のみでだけでなく、情報システムの特性やサイバーセキュリティ分野の脅威動向を踏まえ、追加セキュリティ対策として定義されているセキュリティ対策をセキュリティ要件として盛り込む必要が無いかを検討することが考えられる。 - 基本対策事項5.2.1(3)-1「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」について 「情報システムのセキュリティ要件」には、ハードウェア、ソフトウェア及び通信回線を含む情報システムの構成要素のセキュリティ要件並びに構築された情報システムの運用のセキュリティ要件がある。 なお、前者のセキュリティ要件については、構築環境や構築手法等のセキュリティに関する手順も含まれる。 セキュリティ要件の策定には、「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」を活用するか又はそれと同等以上のセキュリティ水準となるよう検討を行い、その結果をシステム要件定義書や調達仕様書等の形式で明確にした上で、実装していくことが望ましい。 情報システムのセキュリティ要件を検討する際には、仮想化技術の活用の有無を確認し、物理的に分割されたシステムに限らず、論理的に分割されたシステムであるかを考慮したセキュリティ要件を検討することも重要である。「論理的に分割されたシステム」とは、一つの情報システムの筐体上に複数のシステムを共存させることを目的として、論理的に分割させた状態の情報システムをいう。 また、外部の情報システムを利用する場合は、第4部「外部委託」も参照の上、委託先との管理責任範囲の分担を明確にし、セキュリティ対策の実施に漏れが生じないようにすることも重要である。 このように、情報システムの構築形態及び調達形態に応じてセキュリティ要件を定めることが求められる。 なお、情報システムのセキュリティ要件を定める考え方として、デジタル庁が公表している「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」を参考にするとよい。 参考：内閣官房国家サイバー統括室「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」 （） 参考：デジタル庁「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」 （） - 基本対策事項5.2.1(3)-2「開発する情報システムが運用される際に想定される脅威」について 汎用ソフトウェアをコンポーネントとして情報システムを構築する場合はもとより、全てを独自開発する場合であっても、外部から脆弱性をつかれる可能性があるため、開発する情報システムの機能、ネットワークの接続状況等から、想定される脅威を分析する必要がある。 また、情報システムを構成する端末、サーバ装置、それらに搭載されているソフトウェア等に関して想定される脅威に対しては、第６部で規定された対策が適切に実施されるようにセキュリティ要件を策定することが必要となる。策定に当たっては、運用開始後に適切に対策が講じられるようにシステムの企画段階から留意が必要である。例えば、サーバ装置の運用時に必要になる不正アクセス等の監視機能を実装すること、端末やサーバ装置等に利用を認めるソフトウェア以外のソフトウェアが意図せず混入されないこと等について留意が必要である。 - 基本対策事項5.2.1(3)-3「ST確認」について セキュリティ要件の策定に当たっては、脅威に対抗するために妥当なセキュリティ要件となっていることの確認を求める事項である。 セキュリティ要件の妥当性確認には、機関等内でのレビューの実施等の他に、対象とする情報システムが扱う業務及び情報の重要度によっては、セキュリティ要件の策定に関っていない客観的な立場の者による検証を実施することが望ましい。 「ST確認」とは、情報システムが対抗すべき脅威について適切なセキュリティ要件が策定されていることを確認するために、セキュリティ設計仕様書（ST:Security Target）をITセキュリティ評価基準（ISO/IEC 15408）に基づき、第三者である評価機関が評価し、その評価結果が妥当であることを認証機関（情報処理推進機構（IPA））が検証し、確認することをいう。 - 基本対策事項5.2.1(3)-4「管理機能」について 「管理機能」とは、真正確認、権限管理等のセキュリティ機能を管理するための機能のほか、情報セキュリティインシデントの発生時に行う対処及び復旧に係る機能、証跡保全の機能等を指し、これらの必要性を情報システムの設計時から検討することにより、必要がある場合には情報システムに組み込む必要がある。 - 基本対策事項5.2.1(3)-4「監視のために必要な機能」について 情報システム及び取り扱う情報の格付や取扱制限等を考慮して、情報システムの各所において様々なイベントを監視する必要性を見極める必要がある。監視するイベントとしては、通信回線を通してなされる不正アクセス又は不正侵入、情報システムの管理者・運用者又は利用者の誤操作若しくは不正操作、サーバ装置等機器の動作、許可されていない者の要管理対策区域への立入り等があり得る。 監視に係る運用管理機能要件の策定については、遵守事項7.1.6(1)(a)を参照のこと。 - 基本対策事項5.2.1(3)-5「脆弱性への対策」について 脆弱性対策を怠った場合には、セキュリティ侵害の機会を増大することにつながるため、情報システムの企画段階から対策を講じておく必要がある。 脆弱性が存在することが公表されているソフトウェア等については対策が施されているバージョンのものを利用することや、使用するソフトウェアのベンダが脆弱性の発見や脆弱性発見時の対応体制を有していることを確認すること等、開発後の情報システムに脆弱性が存在することが発覚した場合に備えて、調達時の調達仕様書に対策のための要件を記載することが重要である。 - 基本対策事項5.2.1(3)-5 b)「脆弱性が混入されることを防ぐためのセキュリティ実装方針」について 「脆弱性が混入されることを防ぐためのセキュリティ実装方針」とは、情報システム開発者が情報システムに脆弱性を混入することを防ぐために、開発時における脆弱性への具体的な対策方法を定めたものである。脆弱性は種類ごとに対策が異なり、懸念される脆弱性の種類ごとに方針を定める必要がある。具体的に定めるものとして、以下の例が考えられる。 - バッファオーバーフローによる不正なプログラムの挿入及び実行を防ぐために、データを転記する場面においてメモリ領域長とデータ長を検査する処理を付加する。 - SQLインジェクションによるデータベース内の情報の漏えい・改ざんを防ぐために、プレースホルダによりSQL文を組み立てる。 - OSコマンドインジェクションによる不正なシステム操作を防ぐために、シェルを起動できる言語機能を利用しない。 [7.2.1「ソフトウェアに関する脆弱性対策」](#ソフトウェアに関する脆弱性対策)及び[6.2.3「ウェブ」](#_ウェブ)、6.6.1「アプリケーション・コンテンツの作成・運用時の対策」の規定内容も参考にして、懸念される全ての脆弱性の種類に対して、実装方針を定め、調達仕様書に明記する必要がある。 - 基本対策事項5.2.1(3)-6 a)「機器等を調達する場合」について 情報システムで利用する機器等を調達する場合は、当該機器等の製造工程で不正なプログラム等が加えられていないことを確認することが重要である。そのため、情報システムのセキュリティ要件を定める際に調達する機器等に関する要件を企画段階にて定める必要がある。具体的には、4.3「機器等の調達」を参照のこと。 - 基本対策事項5.2.1(3)-6 b)「機関等の意図せざる不正なプログラム等が混入されることを防ぐための対策」について 情報システムで提供するアプリケーション・コンテンツの開発においては、自らが開発するソフトウェアのみならず、機関等外のものが提供するソフトウェアを利用することも考えられる。そのため、提供するアプリケーション・コンテンツが不正プログラムを含まないようにする必要がある。具体的には、6.6.1「アプリケーション・コンテンツの作成・運用時の対策」を参照のこと。 - 基本対策事項5.2.1(3)-6 c)「機関等の意図せざる変更が加えられないための管理体制」について 情報システムの構築における業務委託において、機関等の意図せざる変更が加えられないための管理体制を求めるため、情報システムの開発工程において、一貫した品質保証体制の下でなされていることを確認できる必要がある。具体的には、4.1「業務委託」を参照すること。 - 基本対策事項5.2.1(3)-7「要安定情報を取り扱う情報システム及び非常時優先業務等を支える情報システム」について 要安定情報を取り扱う情報システムは、当該情報システムの停止が国民の安全や利益に重大な影響をもたらす可能性があるものや他の情報システムへ重大な影響を及ぼすものなどが存在する。そのような情報を取り扱う情報システムにおいては、情報セキュリティインシデントが発生した際や危機的事象が発生した際にも運用を継続させるための要件を策定することが重要である。 また、各機関の業務継続計画において、非常時優先業務等を支える情報システムとされている情報システムは、危機的事象発生時においても運用を継続させる必要があり、そのためには、情報システム運用継続計画を踏まえて要件を策定する必要がある。また、危機的事象発生時における情報セキュリティに係る対策事項を定めている場合は、その内容も踏まえて検討する必要がある。 情報システムの運用継続計画については、5.3「情報システムの運用継続計画」を参照のこと。 - 基本対策事項5.2.1(3)-7 a)「冗長化に関する要件」について 機器等の冗長化に関しては、ハードウェア自体の冗長化やソフトウェアを用いた冗長化のみならず、電源装置の冗長化、設置場所を考慮した冗長化等の物理的な対策も考えられる。また、機関等外のものが提供するサービスや通信回線等を利用する場合は、当該サービスにおけるサービスレベル等を考慮した上で情報システムの冗長化に関する要件を策定する必要がある。 - 基本対策事項5.2.1(3)-7 b)「バックアップの要件」について 情報システムや情報を破壊することを目的とした不正プログラムによって、情報セキュリティインシデントが発生した際、情報システムを復旧させるための方法としてバックアップから復旧する方法がある。一方で、適切なバックアップの取得方法や復旧方法に関する要件を定めていない場合、復旧が困難になる可能性がある。よって、情報システムの特性を踏まえて、必要に応じてバックアップに関する要件を定める必要がある。 また、構築する情報システムにおいて、暗号化消去を目的とした情報の暗号化を実施する場合は、暗号化に用いた鍵の管理が重要である。例えば、暗号鍵が何らかの理由により使えなくなった場合は、情報の復元が困難となる。よって、暗号鍵のバックアップに関する要件を定めておく必要がある。なお、暗号鍵の管理については、「（解説）基本対策事項7.1.5(1)-3 b)「管理手順を定めること」について」を参照のこと。 - 基本対策事項5.2.1(3)-7 c)「復旧に関する要件」について 要安定情報を取り扱う情報システムや非常時優先業務等を支える情報システムなど、業務の停止が国民の安全や利益に重大な脅威をもたらす可能性のある業務等にて利用する情報システムにおいては、危機的事象発生時においても情報システムの運用を継続させる必要がある。そのため、RTO（目標復旧時間）、RLO（目標復旧レベル）を踏まえた情報システムの復旧に関する要件を定めておく必要がある。 - 基本対策事項5.2.1(3)-8 a)「インターネットやインターネットに接点を有する情報システム（クラウドサービスを含む。）から分離する」について 標的型攻撃による不正プログラム感染の脅威は避けられないものになっており、外部のネットワークと接続する情報システムは、不正プログラムの感染を前提とした対策を講ずることが重要である。 外部ネットワークとの接続形態を含む情報システムの全体構成は、情報システムにおいて取り扱われる情報の格付や取扱制限、情報システムを利用する業務の形態等によって決定する必要があるが、特に重要な情報を取り扱う情報システムについては、インターネットからの組織内部への侵入を企図したサイバー攻撃への対策（入口対策）や、組織内部へ侵入した攻撃によるインターネットへの不正通信又は情報流出への対策（出口対策）として、インターネット回線や、インターネットに接点を有する情報システム（クラウドサービスを利用して構築した情報システムを含む。）との間に適切なセキュリティ対策を講じ、通信経路を論理的に分離すること等が求められる。なお、情報システムのネットワーク構成の要件を策定する際は、基本対策事項6.4.1(1)-1、基本対策事項7.1.2(1)-1 d)についても併せて検討し、情報システムのネットワーク構成の要件を決定するとよい。また、分離した情報システムのUSBポート等の外部ネットワーク・システムとの接点についても適切に運用することが望ましい。 - 基本対策事項5.2.1(3)-8 b)「利用するソフトウェアを実行するために必要な通信要件」について 機器等において利用するソフトウェアを実行するために必要なポートを開放する場合がある。不必要なポートを開放したままにしていると、それを悪用される可能性があることを踏まえて、ポートを開放する必要性を検討する必要がある。また、悪意ある不正プログラム等により、悪意ある攻撃に使用するためのポートを開放されてしまう可能性もあるため、外部ネットワークへ不正な通信をさせないような対策も重要である。よって、情報システムを構築する場合は、必要となるポート、プロトコル及びサービスを検討した上で有効とするとともに、外部ネットワークとの通信を制限する等の要件を定める必要がある。なお、ポートについては例えば、管理等でよく利用される20番、21番、22番、23番、ファイル共有サービス等によく利用される137番、138番、139番、445番、リモートデスクトップ等で利用される3389番などは、悪用される可能性が高いため開放することの要否を検討し特に注意が必要である。なお、使用しないポートについては原則として閉じる必要がある。 - 基本対策事項5.2.1(3)-8 c)「通信経路全般のネットワーク構成」について インターネット等の外部ネットワーク上のサービスを利用する情報システムについては、当該サービスとの間に適切なセキュリティ対策を講ずる必要がある。例えば、機関等外通信回線を使用してクラウドサービスにアクセスする場合は、CASBと呼ばれる“クラウドサービスの利用度の可視化”や“アクセス制御”などの機能を持つサービス等を利用し、不正なアクセスを管理するなどの要件を定めることも考えられる。よって、構築する情報システムにおいてインターネット上のサービス等を利用する場合などは、通信経路全般のネットワーク構成を定める必要がある。 - 基本対策事項5.2.1(3)-8 d)「リモートメンテナンスすることの要否」について 構築する情報システムに対して機関等外通信回線を経由してリモートメンテナンスを許可する必要がある機器については、アクセスすることのリスクを検討した上で要否を判断する必要がある。リモートメンテナンスを許可する場合は、不正アクセス等のリスクを低減させるネットワーク構成等の要件を検討する必要がある。なお、リモートからのアクセスが可能な機器等の中には、管理画面等の機能を有しているものや初期の設定からリモートからのアクセスを可能にしているものなどが存在するので、リモートからのアクセスを許可しない機器等に関しては、アクセスできないようにすることを求めることなどが考えられる。 リモートメンテナンスについては、遵守事項6.4.1(2)(c)を参照のこと。 - 基本対策事項5.2.1(3)-9 b)「機器等の利用環境において対抗すべき脅威」について 機器等に対するセキュリティ上の脅威は利用環境によって変わるため、調達時にどのような環境で運用するのかを把握し、その環境において存在する脅威及びその脅威に対する脆弱性を分析した上で、必要となるセキュリティ要件を策定する必要がある。 例えば、ネットワークに接続し、通信データとして要機密情報を送受信する場合に盗聴による情報漏えいが想定される場合には、通信データの保護に係るセキュリティ要件が必要となるが、スタンドアロンで利用する場合で、盗聴による情報漏えいが想定されない場合には、通信データの保護に係るセキュリティ要件は不必要なセキュリティ要件となる可能性がある。 また、特定の人物しか物理的にアクセスできないように隔離された場所へ機器等を設置すること等で、誰もが物理的にアクセスできる環境で想定される脅威を軽減することも考えられる。 調達する機器ごとの利用環境において想定される脅威を漏れなく分析した上で、脅威に対抗するために必要十分なセキュリティ要件を策定することが重要である。 ### 5.2.2 情報システムの調達・構築 目的・趣旨 情報システムを調達・構築する際には、策定したセキュリティ要件に基づく情報セキュリティ対策を適切に実施するために、選定基準に適合した機器等の調達や、情報システムの開発工程での情報セキュリティ対策の実施が求められる。 また、機器等の納入時又は情報システムの受入れ時には、整備された検査手続に従い、当該情報システムが運用される際に取り扱う情報を保護するためのセキュリティ機能及びその管理機能が、適切に情報システムに組み込まれていることを検査することが必要となる。 なお、情報システムの構築を委託する場合は4.1「業務委託」、クラウドサービスを利用して構築する場合は4.2「クラウドサービス」、情報システムで使用する機器等を調達する場合は4.3「機器等の調達」を参照し遵守する必要がある。 遵守事項 #### (1) 情報システムの構築時の対策 (a) 情報システムセキュリティ責任者は、情報システムの構築において、情報セキュリティの観点から必要な措置を講ずること。 (b) 情報システムセキュリティ責任者は、構築した情報システムを運用保守段階へ移行するに当たり、**移行手順及び移行環境**に関して、情報セキュリティの観点から必要な措置を講ずること。 (c) 情報システムセキュリティ責任者は、**情報システムを新規に構築し、又は更改する際には**、**情報システム台帳のセキュリティ要件**に係る内容を記録又は記載し、当該内容について統括情報セキュリティ責任者に報告すること。 (d) 情報システムセキュリティ責任者は、所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、以下を全て含む**情報システム関連文書を整備する**こと。 (ア) 情報システムを構成するサーバ装置及び端末関連情報 (イ) 情報システムを構成する通信回線及び通信回線装置関連情報 (e) 情報システムセキュリティ責任者は、所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、以下を全て含む実施手順を整備すること。 (ア) 情報システム構成要素ごとの情報セキュリティ水準の維持に関する手順 (イ) **情報セキュリティインシデントを認知した際の対処手順** (ウ) **情報システムが停止した際の復旧手順** 【 基本対策事項 】 ＜5.2.2(1)(a)関連＞ 5.2.2(1)-1 情報システムセキュリティ責任者は、情報システムの構築において以下を全て含む**情報セキュリティ対策**を行うこと。 a) 情報システム構築の工程で扱う要保護情報への不正アクセス、滅失、き損等に対処するために開発環境を整備すること。 b) セキュリティ要件が適切に実装されるようにセキュリティ機能を設計すること。 c) 情報システムで使用する機器やソフトウェア等においては、設定の誤りを防止するため、当該提供者が提示している**推奨設定や業界標準、ベストプラクティス等**を参照し、情報システムの各種設定を行うこと。 d) 情報システムへの脆弱性の混入を防ぐために定めたセキュリティ実装方針に従うこと。 e) セキュリティ機能が適切に実装されていること及びセキュリティ実装方針に従った実装が行われていることを確認するために、設計レビューやソースコードレビュー等を実施すること。 f) **脆弱性検査を含む情報セキュリティの観点での試験を実施する**こと。 ＜5.2.2(1)(b)関連＞ 5.2.2(1)-2 情報システムセキュリティ責任者は、情報システムの運用保守段階へ移行するに当たり、以下を全て含む情報セキュリティ対策を行うこと。 a) 情報セキュリティに関わる運用保守体制の整備 b) 運用保守要員へのセキュリティ機能の利用方法等に関わる教育の実施 c) 情報セキュリティインシデントを認知した際の対処方法の確立 ＜5.2.2(1)(d)(ア)関連＞ 5.2.2(1)-3 情報システムセキュリティ責任者は、所管する情報システムを構成するサーバ装置及び端末に関連する情報として、以下を全て含む文書を整備すること。 a) サーバ装置及び端末を**管理する職員等**及び利用者を特定する情報 b) サーバ装置及び端末の**機種並びに利用しているソフトウェアの種類、名称及びバージョン、サポート体制等** c) サーバ装置及び端末で利用する**ソフトウェアを動作させるために用いられる他のソフトウェア**であって、以下を全て含むものの種類、名称及びバージョン、入手先、サポート体制等 - 動的リンクライブラリ等、ソフトウェア実行時に読み込まれて使用されるもの - フレームワーク等、ソフトウェアを実行するための実行環境となるもの - プラグイン等、ソフトウェアの機能を拡張するもの - 静的リンクライブラリ等、機関等がソフトウェアを開発する際に当該ソフトウェアに組み込まれるもの - インストーラー作成ソフトウェア等、機関等がソフトウェアを開発する際に開発を支援するために使用するもの d\) サーバ装置及び端末の**調達仕様書又は設計書** 5.2.2(1)-4 情報システムセキュリティ責任者は、前項b)及びc)の情報を収集するため、**自動でソフトウェアの種類やバージョン等を管理する機能を有するIT資産管理ソフトウェア**を導入するなどにより、これら情報を効率的に収集する手法を決定すること。 ＜5.2.2(1)(d)(イ)関連＞ 5.2.2(1)-5 情報システムセキュリティ責任者は、所管する情報システムを構成する通信回線及び通信回線装置関連情報として、以下を全て含む文書を整備すること。 a) 通信回線及び通信回線装置を**管理する職員等**を特定する情報 b) 通信回線装置の**機種並びに利用しているソフトウェアの種類、名称及びバージョン、サポート体制等** c) 通信回線及び通信回線装置の**調達仕様書又は設計書** d) **通信回線の構成** e) 通信回線装置におけるアクセス制御の設定 f) 通信回線を利用する機器等の識別コード、サーバ装置及び端末の利用者と当該利用者の識別コードとの対応 g) 通信回線の利用部門 ＜5.2.2(1)(e)(ア)関連＞ 5.2.2(1)-6 情報システムセキュリティ責任者は、所管する情報システムについて、情報システム構成要素ごとの**セキュリティ維持に関する以下を全て含む運用手順**を実施手順として整備すること。 a) サーバ装置及び端末のセキュリティの維持に関する手順 b) 通信回線を介して提供するサービスのセキュリティの維持に関する手順 c) **インターネット等の外部ネットワーク経由で利用するサービス**のセキュリティの維持に関する手順 d) 通信回線及び通信回線装置のセキュリティの維持に関する手順 e) 端末、サーバ装置、通信回線装置等において利用する**ソフトウェアのセキュリティの維持**に関する手順 （解説） - 遵守事項5.2.2(1)(b)「移行手順及び移行環境」について 情報システムの開発環境、テスト環境から本番運用の環境への移行時において、情報システムに保存されている情報の取扱手順の整備、人為的な操作ミスを防止するための手順・環境の整備、移行の際に関連システム停止が伴う場合には可用性確保のための環境整備等が必要となる。 - 遵守事項5.2.2(1)(c)「情報システムを新規に構築し、又は更改する際には」について 情報システム台帳の整備内容の網羅性維持のため、情報システムセキュリティ責任者は、情報システムを新規に構築した際又は更改した際には、速やかに情報システム台帳に記載の事項を報告する必要がある。 なお、情報システム台帳を最新に保つため、情報システム台帳に記載の事項に変更が生じた場合には、当該変更事項を報告し、情報システム台帳を更新する必要があるが、その報告の方法や時期については、機関等ごとに定めることが望ましい。 - 遵守事項5.2.2(1)(c)「情報システム台帳のセキュリティ要件」について 情報システム台帳に記載する内容については、2.1.2「資産管理」を参照のこと。 - 遵守事項5.2.2(1)(d)「情報システム関連文書を整備する」について 当該事項については、各情報システムの運用管理に際して整備した文書に記載する事項のうち、機関等としての情報セキュリティ対策を行うために一元的に把握する必要があると判断するものを含める必要がある。 文書の整備に当たっては、維持管理が容易となるように適切な単位で整備することが望ましい。また、文書は電磁的記録として整備してもよい。 また、所管する情報システムに変更があった場合、また、想定しているリスクが時間の経過により変化した場合等、整備した文書の見直しが必要になるため、文書の見直しを定期的に行うことをあらかじめ定めておくとよい。 なお、クラウドサービスを利用する際に、事業者から提供される情報が十分でない場合は、利用するクラウドサービスに応じた内容の情報システム関連文書を整備することも考えられる。 - 遵守事項5.2.2(1)(e)(イ)「情報セキュリティインシデントを認知した際の対処手順」について 情報セキュリティインシデントを認知した際の対処手順は、当該情報システムの個別の事情に合わせて整備される対処手順である。本対処手順は、以下に示すような情報システムの事情に応じて整備されることが望ましい。 - 業務継続計画で定める当該情報システムを利用する業務の重要性 - 情報システムの運用等の業務委託の内容 また、手順に記載される内容として、以下の例が想定される。 - 情報セキュリティインシデントの内容・影響度の大きさに応じた情報システムに関連する部署等や利用するクラウドサービス、政府共通利用型システム、業務委託先等の連絡先のリスト - 情報システムを障害等から復旧させるために当該情報システムの停止が必要な場合の、停止の可否の判断基準、決定権者 - 情報セキュリティインシデントに対する情報システムの構成要素ごとの対処に関する事項 - 不正プログラム対策ソフトウェアでは検知されない新種の不正プログラムに感染した場合やインシデントレスポンスのうち、デジタルフォレンジック等の支援を受けるための外部の専門家の連絡先 なお、統括情報セキュリティ責任者が整備する対処手順（「[（解説）遵守事項2.2.4(1)(b)「対処手順」について](#情報セキュリティインシデントに備えた事前準備)」を参照のこと。）が、情報システムの事情に応じた内容で整備されているならば、情報システム別に整備しなくても構わない。 - 遵守事項5.2.2(1)(e)(ウ)「情報システムが停止した際の復旧手順」について 当該情報システムが停止した際の影響や停止が許容される時間を考慮し、情報システムの運用を開始するまでに情報システムが停止した際の復旧手順を整備する必要がある。復旧のための手順には、復旧させる機器等の優先度を含めることやバックアップを取得している場合のリストア手順、代替サイトや交換用の機器を準備している場合の切替え手順、復旧時の役割と責任等を記載するとよい。 - 基本対策事項5.2.2(1)-1「情報セキュリティ対策」について 情報システムの構築を業務委託する場合には、[遵守事項4.1.2(2)](#_情報システムの構築を外部委託する場合の対策)の内容を委託先に適切に実施させることが求められる。また、情報システムの構築を業務委託せず、機関等自らが構築する場合であっても、同項の内容を参照し、必要な対策を実施することが求められる。 - 基本対策事項5.2.2(1)-1 c)「推奨設定や業界標準、ベストプラクティス等」について 機器等の設定を行う際は、設定の誤りや設定不備を防止するために利用する機器等に関する推奨設定や業界標準、ベストプラクティス等を参照する必要がある。その際、機器等の提供者が提供している推奨設定等を確認することも考えられるが、情報処理推進機構（IPA）の「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」や内閣官房国家サイバー統括室の「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編」等も参照することも考えられる。また、具体的な設定値の参考となるよう、米国の政府機関・企業等が協力して設立された非営利団体CIS（Center for Internet Security）が発行するセキュリティ対策のベストプラクティスである、CIS Benchmarks 等も参考にするとよい。 参考：情報処理推進機構（IPA）「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」 （） 参考：内閣官房国家サイバー統括室「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編」 （） 参考：CIS Benchmarks （） - 基本対策事項5.2.2(1)-1 f)「脆弱性検査を含む情報セキュリティの観点での試験を実施する」について 脆弱性を検査するためには、専用ツールを用いて脆弱性診断を行うことや、事業者が提供するサービス等を利用して脆弱性診断を行うことが挙げられる。脆弱性診断には、ソースコード診断、プラットフォーム診断、ウェブアプリケーション診断等の種類があり、構築する情報システムの構成等によって利用する脆弱性診断を使い分ける必要がある。例えば、ソースコード診断においては、試験を実施する規模により初期の開発段階から試験を組み込むことなども考えられる。また、プラットフォーム診断やウェブアプリケーション診断については、運用開始前に本番環境を前提に実施することが望ましいが、やむを得ず検証環境で実施する場合は、本番環境と同等の構成等において実施することが有効である。脆弱性診断を実施する際は、デジタル庁が公表している以下のガイドラインを参考にするとよい。 参考：デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」 （） なお、脆弱性診断については、「（解説）基本対策事項7.2.1(1)-1「脆弱性診断を実施」について」を参照のこと。 - 基本対策事項5.2.2(1)-3 a)・基本対策事項5.2.2(1)-5 a)「管理する職員等」について サーバ装置及び端末の管理者及び利用者、通信回線及び通信回線装置の管理者の記載は、情報システムの構成要素の管理状況を確実に把握できるようにするとともに、障害等を防止する責任の所在を明確にするために必要な事項である。 - 基本対策事項5.2.2(1)-3 b)・基本対策事項5.2.2(1)-5 b)「機種並びに利用しているソフトウェアの種類、名称及びバージョン、サポート体制等」について サーバ装置及び端末、通信回線装置の機種並びに利用ソフトウェアの種類及びバージョンの記載は、当該機種又は当該ソフトウェアに脆弱性が存在することにより使用上のリスクが高まった場合に、速やかに脆弱性対策を行うなど、適切に対処するために必要な事項である。また、サポート体制については、サポートが終了した製品を使用することは脆弱性への対応がなされずセキュリティ上のリスクとなるため、情報システムを更改するまでサポートが可能であるかを事前に把握する必要がある。 - 基本対策事項5.2.2(1)-3 c)「ソフトウェアを動作させるために用いられる他のソフトウェア」について 一般に外部から入手するソフトウェアは、ソフトウェア開発元が脆弱性情報を提供する。一方、機関等が開発するソフトウェアについては、機関等自身が開発元として当該ソフトウェアの脆弱性情報を提供する立場となる。機関等は、当該ソフトウェアを国民等に提供する場合のみでなく、機関等自身が利用する場合においても情報セキュリティ対策を実施する必要があることから、いずれの場合においても当該ソフトウェアに組み込まれて使用されるライブラリ等のソフトウェアについても脆弱性情報を把握することが求められる。そのため、組み込まれているライブラリ等についても種類及びバージョンを機関等自身が把握する必要がある。なお、機関等がソフトウェアの開発を委託する場合においては、委託事業者から当該情報を漏れなく入手する必要がある。 また、システムで使用するソフトウェアには、プラグイン等の機能拡張用のソフトウェアにより機能を追加できるものがある。ただし、機能拡張用のソフトウェアは、元となるソフトウェアと開発元が異なる場合があり、機能拡張用のソフトウェアの脆弱性情報が、元となるソフトウェアの開発元から提供されない可能性がある。そのため、機能拡張用のソフトウェアについても個別に種類及びバージョンを事前に把握する必要がある。 さらに、情報システムにおいてオープンソースソフトウェアを利用する場合は、脆弱性への対応のために利用状況を把握する必要があるとともに、著作権及び許諾条件を侵害することの無いよう、適切にオープンソースソフトウェアを用いているかを事前に把握する必要がある。なお、オープンソースソフトウェアは、商用ソフトウェアと比べソフトウェアとしてのライフサイクル（サポート期間等）が短く、またサポートが十分ではない場合があることに注意が必要である。オープンソースソフトウェアについては、以下を参考にするとよい。 参考：経済産業省「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」 - 基本対策事項5.2.2(1)-3 d)・基本対策事項5.2.2(1)-5 c)「調達仕様書又は設計書」について 情報システムに係る調達仕様書又は設計書は、情報セキュリティ対策の実施状況の確認や見直しにおいて、当該情報システムの仕様や機能の確認を行うために必要な事項である。 - 基本対策事項5.2.2(1)-4「自動でソフトウェアの種類やバージョン等を管理する機能を有するIT資産管理ソフトウェア」について 情報システムで使用しているソフトウェア等のIT資産を手作業で漏れなく正確に把握するには多大な労力が必要となる。そのため、自動でソフトウェアの種類及びバージョンを管理する機能を有するIT資産管理ソフトウェアを導入することが有用である。 なお、当該ソフトウェアにはサーバ装置及び端末におけるUSBメモリ等の外部電磁的記録媒体の利用やネットワーク接続を制御する等の機能を持つものもあることから、情報セキュリティ対策の観点も含め検討するとよい。 - 基本対策事項5.2.2(1)-5 d)「通信回線の構成」について 当該事項における通信回線の構成は、情報システムを構成する要素の接続関係を明記した図を想定している。なお、情報システムにおいて利用するクラウドサービスの提供形態や仕様においては、クラウドサービス内の接続関係を示すことが困難な場合があるため、その場合はクラウドサービスまでの接続関係を明記するとよい。また、当該事項には、通信回線の構成図にデータの流れも記載することが望ましい。情報システムを構成する要素ごとに取り扱うデータの種類を把握することで、経路上の脅威を洗い出し、データの流れ上で脅威が発生した時に影響を及ぼす範囲を把握するために必要となる。 - 基本対策事項5.2.2(1)-6「セキュリティ維持に関する以下を全て含む運用手順」について 情報システムの構成要素のセキュリティ維持に関する手順は、当該構成要素のセキュリティを維持する目的で管理者が実施すべき手順であり、例えば、当該構成要素が具備する情報セキュリティ機能である主体認証、アクセス制御、権限管理、ログ管理及び暗号化機能等の設定・変更等の手順が挙げられる。 - 基本対策事項5.2.2(1)-6 c)「インターネット等の外部ネットワーク経由で利用するサービス」について 機関等においてインターネット等の外部ネットワーク経由で利用するクラウドサービスや政府共通利用型システムなどのセキュリティを維持するために管理者が実施すべき手順も定めておく必要がある。 - 基本対策事項5.2.2(1)-6 e)「ソフトウェアのセキュリティ維持」について 情報システムの構成要素ごとに利用するソフトウェアのセキュリティ維持に関する手順を定める必要がある。例えば、端末やサーバ装置、通信回線装置のOSに係る脆弱性対策に関する手順だけでなく、機器等のファームウェアに関する脆弱性対策や機関等において作成したアプリケーションに含まれるライブラリやプラグイン等の拡張機能、オープンソースソフトウェアに関する脆弱性対策の手順などを定めておく必要がある。具体的には、公開された脆弱性についての情報を入手する方法や情報を受け取る人又は組織等を決めておくこと、公開された脆弱性の緊急度を判断するための手順、緊急度に応じたセキュリティパッチの適用方針などを手順にするとよい。 遵守事項 #### (2) 納品検査時の対策 (a) 情報システムセキュリティ責任者は、機器等の納入時又は情報システムの受入れ時の確認・検査において、調達仕様書等定められた検査手続に従い、**情報セキュリティ対策に係る要件が満たされていることを確認する**こと。 (b) 情報システムセキュリティ責任者は、情報システムが構築段階から運用保守段階へ移行する際に、当該情報システムの開発事業者から運用保守事業者へ引継がれる項目に、**情報セキュリティ対策に必要な内容が含まれている**ことを確認すること。 【 基本対策事項 】 ＜5.2.2(2)(a)関連＞ 5.2.2(2)-1 情報システムセキュリティ責任者は、情報システムの受入れ時の確認・検査を行う場合は、以下を全て含む内容を確認すること。 a) 情報システムの構築時に使用し、運用時に**不要となる識別コード**が削除されていること。 b) 機器等において推測可能な**初期値として設定されている主体認証情報等**が変更されていること。 c) 機器等において**公開された脆弱性について対策を実施していること**。 d) 機器等において不要なポートが開放されていない、不要なサービスが起動していない、利用を認めていないソフトウェアが動作していないこと。 （解説） - 遵守事項5.2.2(2)(a)「情報セキュリティ対策に係る要件が満たされていることを確認する」について 情報セキュリティ対策の視点を加味して整備された納入時の確認・検査手続に従い、納入された情報システム及び機器等が要求仕様どおりに正しく動作することの検査を行うことが求められる。 機関等における受入れテストの実施、納入元が実施したテストに関する資料の提出要求及びその検査内容の確認、第三者への受入れテストの委託、ISO/IEC 15408に基づく第三者認証取得の確認等、検査対象の情報システム及び機器等の特性に応じて適切な検査を実施する必要がある。 - 遵守事項5.2.2(2)(b)「情報セキュリティ対策に必要な内容が含まれている」について 情報セキュリティ対策に必要な内容とは、[遵守事項5.2.2(1)(d)(ア)、(イ)及び遵守事項5.2.2(1)(e)(ア)](#_情報システム関連文書の整備)に記載の情報を意味する。 なお、情報システムの運用保守事業者が交代する場合には、現在の事業者から次期事業者への引継事項の確認も同様に行う必要がある。 - 基本対策事項5.2.2(2)-1 a)「不要となる識別コード」について 情報システムを開発する際に使用したテスト用の識別コードなど、運用時には不要となる識別コードが残っていないことを確認する必要がある。そのような不要な識別コードを把握していない場合、当該識別コードを悪用される可能性があるため、確実な確認をする必要がある。 - 基本対策事項5.2.2(2)-1 b)「初期値として設定されている主体認証情報等」について 情報システムで利用する機器等によっては、初期値として管理者権限を有する識別コードが存在する。そのような識別コードには、初期値として主体認証情報が設定されている可能性があり、当該主体認証情報は、マニュアル等にて公開されている場合がある。よって、機器等において推測可能な初期値として管理者権限を有する識別コードが存在する場合は、当該識別コードを無効にすることや初期値として設定されている主体認証情報を変更するなどの対応がなされていることを確認することが求められる。なお、そのような識別コードが存在する機器等は、端末や通信回線装置のみならず、無停電電源装置やNAS（Network Attached Storage）、ソフトウェアなどの情報システムの構成要素も含まれていることに注意が必要である。 また、SNMP（Simple Network Management Protocol）と呼ばれる機器等の状態を監視するためのプロトコルで使用するコミュニティ名についても、誰でも知り得る設定値を使用している場合、なりすまし等によって監視対象の機器等の情報を窃取し、踏み台にして悪用されるなどの可能がある。したがって、SNMPで使用するコミュニティ名についても推測可能な初期値として設定されているものは、そのまま使用せずに変更するなどの対応がなされていることを確認することが求められる。 - 基本対策事項5.2.2(2)-1 c)「公開された脆弱性について対策を実施していること」について 情報システムを運用開始する前に当該情報システムで利用する構成要素ごとに公開されている脆弱性について対策を実施していることを確認する必要がある。公開された脆弱性に関する情報については、製品ベンダや脆弱性情報提供サイト等にて確認するとともに、内閣官房国家サイバー統括室やJPCERT/CC、情報処理推進機構（IPA）等からの注意喚起も参照するとよい。 ソフトウェアの脆弱性対策については、7.2.1「ソフトウェアに関する脆弱性対策」を参照のこと。 ### 5.2.3 情報システムの運用・保守 目的・趣旨 情報システムの運用段階に移るに当たり、企画又は調達・構築時に決定したセキュリティ要件が適切に運用されるように、人的な運用体制を整備し、機器等のパラメータが正しく設定されていることの定期的な確認、運用・保守に係る作業記録の管理等を実施する必要がある。 情報システムにおける情報セキュリティインシデントは一般的に運用時に発生することが大半であることから、適宜情報システムの情報セキュリティ対策の実効性を確認するために、情報システムの運用状況を監視することも重要である。 また、情報システムの保守作業においても運用作業と同様に情報セキュリティ対策が適切に実施される必要がある。保守作業を個別に委託する場合等においても、対策基準に基づく情報セキュリティ対策について適切に措置を講ずることが求められる。なお、情報システムの運用・保守を業務委託する場合は、4.1「業務委託」を参照のこと。 さらに、クラウドサービスを利用して構築された情報システムの運用・保守をする場合は、4.2「クラウドサービス」、政府共通利用型システムを利用して構築された情報システムを運用・保守する場合は、5.4「政府共通利用型システム」を参照すること。 遵守事項 #### (1) 情報システムの運用・保守時の対策 (a) 情報システムセキュリティ責任者は、情報システムの運用・保守において、情報システムに実装された**監視を含むセキュリティ機能**を適切に運用すること。 (b) 情報システムセキュリティ責任者は、不正な行為及び意図しない情報システムへのアクセス等の事象が発生した際に追跡できるように、運用・保守に係る作業についての記録を管理し、運用・保守によって**機器の構成や設定情報等に変更があった場合**は、情報セキュリティ対策が適切であるか確認し、必要に応じて見直すこと。 (c) 情報システムセキュリティ責任者は、情報システムの運用・保守において、**情報システム台帳及び関連文書の内容に変更が生じた場合**、情報システム台帳及び関連文書を更新又は修正すること。なお、情報システム台帳を更新又は修正した場合は、統括情報セキュリティ責任者へ報告すること。 (d) 情報システムセキュリティ責任者は、情報システムの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により**見直し**を適時検討し、必要な措置を講ずること。 (e) 情報システムセキュリティ責任者は、**要安定情報を取り扱う情報システム**について、危機的事象発生時に適切な対処が行えるよう運用をすること。 【 基本対策事項 】 ＜5.2.3(1)(a)関連＞ 5.2.3(1)-1 情報システムセキュリティ責任者は、情報システムのセキュリティ監視について、以下の内容を全て含む監視手順を定め、**適切に監視運用する**こと。 a) 監視するイベントの種類や重要度 b) 監視体制 c) 監視状況の報告手順や重要度に応じた報告手段 d) 情報セキュリティインシデントの可能性を認知した場合の報告手順 e) 監視運用における情報の取扱い（機密性の確保） 5.2.3(1)-2 情報システムセキュリティ責任者は、情報システムに実装された**セキュリティ機能が適切に運用されていること**を確認すること。 5.2.3(1)-3 情報システムセキュリティ責任者は、情報システムにおいて取り扱う情報について、**当該情報の格付及び取扱制限が適切に守られていること**を確認すること。 5.2.3(1)-4 情報システムセキュリティ責任者は、情報システムで**不要となった識別コードや過剰なアクセス権限等の付与がないか適時見直す**こと。 5.2.3(1)-5 情報システムセキュリティ責任者は、運用中の情報システムにおいて**定期的に脆弱性対策の状況を確認する**こと。 5.2.3(1)-6 情報システムセキュリティ責任者は、運用中の情報システムの**脆弱性の存在が明らかになった場合**には、情報セキュリティを確保するための措置を講ずること。 ＜5.2.3(1)(e)関連＞ 5.2.3(1)-7 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システム及び非常時優先業務等を支える情報システムについて、以下を全て含む運用をすること。 a) 情報システムの各構成要素及び取り扱われる情報に関する**適切なバックアップの取得及びバックアップ要件の確認による見直し** b) 情報システムの構成や設定の変更等が行われた際及び定期的に、**情報システムが停止した際の復旧手順の確認による見直し** （解説） - 遵守事項5.2.3(1)(a)「監視を含むセキュリティ機能」について 情報システムにおいて実装した監視機能を含む情報システムのセキュリティ機能については、適切に運用する必要がある。なお、情報システムのセキュリティ機能を適切に運用するためには、以下の各款における規定内容に示される対策を行うことが求められる。 - 7.1.1「主体認証機能」 - 7.1.2「アクセス制御機能」 - 7.1.3「権限の管理」 - 7.1.4「ログの取得・管理」 - 7.1.5「暗号・電子署名」 - 7.1.6「監視機能」 - 遵守事項5.2.3(1)(b)「機器の構成や設定情報等に変更があった場合」について 情報システムの運用や保守における作業において、情報システムを構成する要素である機器等に変更があった場合や機器等の設定情報に変更が生じた場合は、当初に想定していた情報セキュリティ対策が有効に機能しているか等の確認をし、不適切な状態にあった場合は、是正する措置等を講ずるなどの対策が求められる。 - 遵守事項5.2.3(1)(c)「情報システム台帳及び関連文書の内容に変更が生じた場合」について 情報システム台帳の整備内容の網羅性維持のため、情報システムセキュリティ責任者は、情報システムの運用・保守時に情報セキュリティ対策を実施するために必要となる項目等への修正又は変更が発生した場合、速やかに情報システム台帳を更新又は修正し、統括情報セキュリティ責任者に報告する必要があるが、その報告の方法や時期については、機関等ごとに定めることが望ましい。 なお、情報システムセキュリティ責任者は、必要に応じて情報システムに係る関連文書として整備した情報システムの情報セキュリティ対策を維持するための情報も併せて更新又は修正することが求められる。 - 遵守事項5.2.3(1) (d)「見直し」について 情報システムの情報セキュリティ対策について、新たな情報セキュリティ上の脅威、情報セキュリティインシデント発生事案例及び情報セキュリティインシデント発生時の影響等を検討した上で、情報システムの情報セキュリティ対策について定期的に確認し、必要に応じて見直しを行い、セキュリティ要件の追加、修正等の必要な措置を求める事項である。 所管する情報システムに変更があった場合、情報システムの外部環境に変化が生じた場合等の際には、定期的な情報セキュリティ対策の確認による見直しに加えて、適時見直すことも必要となる。 また、情報システムにおいて取り扱う情報の格付や取扱制限が変更になった場合は、情報システムの分類が適切であるかを確認し、必要に応じて情報システムの分類を見直す必要がある。なお、情報システムの分類を見直した場合、情報システムの分類基準に基づく具体的な対策事項が変更になるため、情報システムのセキュリティ要件の見直しが必要になることに注意が必要である。 - 遵守事項5.2.3(1)(e)「要安定情報を取り扱う情報システム」について 要安定情報を取り扱う情報システムについては、「（解説）基本対策事項5.2.1(3)-7「要安定情報を取り扱う情報システム及び非常時優先業務等を支える情報システム」について」を参照のこと。 - 基本対策事項5.2.3(1)-1「適切に監視運用する」について 監視機能については、7.1.6「監視機能」を参照のこと。 - 基本対策事項5.2.3(1)-2「セキュリティ機能が適切に運用されていること」について 運用する情報システムについて、平常時の定期的な確認に加え、外部環境が大きく変化した場合等には、セキュリティ機能が適切に運用されるために、機器等のパラメータ設定、物理的な設置環境、ネットワーク環境、人的な運用体制等について問題が無いことを適宜確認する必要がある。 - 基本対策事項5.2.3(1)-3「当該情報の格付及び取扱制限が適切に守られていること」について 情報の格付の見直し及び再決定が行われた際や、当該情報システムに係る職員等の異動や職制変更等が生じた際には、情報に対するアクセス制御の設定や職務に応じて与えられている情報システム上の権限が適切に変更されていることを確認する必要がある。 - 基本対策事項5.2.3(1)-4「不要となった識別コードや過剰なアクセス権限等の付与がないか適時見直す」について 情報システムにアクセスする必要がなくなった識別コードの見直しについては、遵守事項7.1.1(2)(b)を参照のこと。アクセス権限等の付与に関する見直しについては、遵守事項7.1.2(1)(b)及び遵守事項7.1.3(1)(c)を参照のこと。 - 基本対策事項5.2.3(1)-5「定期的に脆弱性対策の状況を確認する」について 脆弱性対策の状況を確認することについては、遵守事項7.2.1(1)(c)を参照のこと。 - 基本対策事項5.2.3(1)-6「脆弱性の存在が明らかになった場合」について 機関等が運用する情報システムに関連する脆弱性が存在することが発覚した場合、セキュリティパッチの適用等の情報セキュリティ対策が必要となる。そのためには、公開された脆弱性についての影響度と緊急度を判断する必要がある。緊急度を判断するためには、公開された脆弱性の深刻度を示すCVSS（Common Vulnerability Scoring System）の値や当該脆弱性を悪用した攻撃の段階（例えば、脆弱性を用いた攻撃手法が出回っている、既に脆弱性を用いた攻撃が確認されているなど）などを考慮して検討するとよい。なお、脆弱性への対処に関する判断については、SSVC（Stakeholder-Specific Vulnerability Categorization）と呼ばれる脆弱性の管理手法を用いて検討することも考えられる。SSVCについては、米国のCISAが公表したガイドラインを用いることで、脆弱性対策への優先順位の参考にすることができる。当該ガイドラインでは、「脆弱性の悪用状況」、「脆弱性を悪用した場合の技術的な影響」、「攻撃の自動化の可否」、「業務における必須機能への影響」、「公共福祉への影響」の観点からSSVC 決定木を用いて、脆弱性対応への優先度付けを行うことができる。 これらを踏まえて、脆弱性を悪用されないための措置を講ずることや、セキュリティパッチを適用するまでの時間をできるだけ短くするなどの対策を検討する必要がある。また、情報セキュリティ対策が適用されるまでの間にセキュリティ侵害が懸念される場合には、当該情報システムの停止やネットワーク環境の見直し等情報セキュリティを確保するための運用面での対策を講ずる必要もある。 脆弱性に関する情報については、製品ベンダや脆弱性情報提供サイト等から通知を受け取るようにするとともに、内閣官房国家サイバー統括室やJPCERT/CC、情報処理推進機構（IPA）等からの注意喚起も参照するとよい。 なお、CVSSやSSVCについては、以下を参考にするとよい。 参考：情報処理推進機構（IPA）「共通脆弱性評価システムCVSS v3概説」 （） 参考：Cybersecurity and Infrastructure Security Agency（CISA）「Stakeholder-Specific Vulnerability Categorization」 （） - 基本対策事項5.2.3(1)-7 a)「適切なバックアップの取得及びバックアップ要件の確認による見直し」について 情報システムを構成する各構成要素は、RTO（目標復旧時間）、RLO（目標復旧レベル）を踏まえて必要に応じてバックアップを取得する必要がある。そのバックアップの方法については、OSやアプリケーションなどを含むサーバ装置等全体をバックアップする方法やサーバ装置等の複製を用意する方法などが存在する。また、クラウドサービスの仮想OSやネットワーク機器に関しては、構成情報をバックアップしておき、危機的事象発生時はバックアップした構成情報を利用し切替えるなどの方法も存在する。よって、バックアップを取得する対象やその方法については、RTO（目標復旧時間）、RLO（目標復旧レベル）を踏まえて決定するとよい。 また、不正アクセス等によって情報システムを破壊する標的型攻撃により取得したバックアップが暗号化されてしまうケースが存在するため、バックアップの世代管理、保存場所や媒体についても考慮する必要がある。例えば、標的型攻撃によりマルウェアが潜伏している状態でバックアップを取得していた場合、復元した際にマルウェアも復元してしまう可能性がある。そのため適切な世代管理を実施することも考えられる。バックアップの保存場所に関しては、バックアップを取得したサーバ装置と同じネットワークにバックアップを保存していた場合、サーバ装置が暗号化された際に、同じネットワーク上に保存したバックアップも同時に暗号化されてしまう可能性がある。そのため、バックアップの保存場所に関しては論理的に切り離されたネットワークに保存することや、バックアップを取得する媒体を物理的な媒体に保存するなど検討するとよい。 さらに、情報システムを運用していく中で構成が変更になることや、当該情報システムを利用して行う業務が変化するなどの可能性もあるため、運用時に定めているバックアップの要件は必要に応じて適時見直しを行う必要がある。 - 基本対策事項5.2.3(1)-7 b)「情報システムが停止した際の復旧手順の確認による見直し」について 情報システムが停止した際の復旧手順を作成してから時間が経つと情報システムの構成を変更することや、当該情報システムを利用して行う業務が変化するなどし、有効でなくなる可能性がある。そのため、情報システムの構成や設定の変更等が行われた際及び定期的に、復旧手順の確認をする必要がある。さらに、復旧手順の確認によって不具合が発見された場合は、復旧手順の見直しを行う必要もある。なお、情報システムの運用継続計画において危機的事象発生時の訓練において、復旧手順の不具合等が発見された場合も同様に見直しを行う必要がある。 復旧手順の確認の仕方については、机上における確認の他、実機を用いた確認などの方法があり、どのような手段を用いて確認するかは、当該情報システムにおけるRTO（目標復旧時間）、RLO（目標復旧レベル）や復旧手順を整備してからの経過時間、復旧に係る訓練の度合い等を踏まえて決めるとよい。 ### 5.2.4 情報システムの更改・廃棄 目的・趣旨 情報システムの更改・廃棄において、情報システムに記録されている機密性の高い情報が廃棄又は再利用の過程において外部に漏えいすることを回避する必要がある。 情報システムに機密性の高い情報が記録されている場合や、格付や取扱制限を完全に把握できていない場合等においては、記録されている情報の完全な抹消等の措置を講ずることが必要となる。 遵守事項 #### (1) 情報システムの更改・廃棄時の対策 (a) 情報システムセキュリティ責任者は、情報システムの更改又は廃棄を行う場合は、当該情報システムに保存されている情報について、当該情報の格付及び取扱制限を考慮した上で、以下を全て含む措置を適切に講ずること。 (ア) 情報システム更改時の**情報の移行**作業における情報セキュリティ対策 (イ) 情報システム廃棄時の不要な**情報の抹消** 【 基本対策事項 】規定なし （解説） - 遵守事項5.2.4(1)(a)(ア)「情報の移行」について 情報システムを更改する際は、更改元の情報システムから更改先の情報システムに情報（本番データ）を移行する作業が発生する場合が多いが、移行作業の過程で情報が外部に漏えいすることのないよう、移行用の本番データを適切に管理する必要がある。移行用の本番データの管理手順や外部電磁的記録媒体を使用する場合の安全管理措置等をあらかじめ定めておくとよい。移行作業を業務委託する場合においては、委託先と事前に手順について合意し、調達仕様書に明記する必要がある。 - 遵守事項5.2.4(1)(a)(イ)「情報の抹消」について 情報システムの廃棄を行う場合には、情報システムを構成する機器等並びに内部に保存されている情報の格付及び取扱制限を考慮して、適切に抹消する必要がある。要機密情報を保存している情報システムにおいては、情報の抹消が求められる。廃棄の際に本条を考慮すべき機器等としては、サーバ装置や端末以外にも、複合機等の内蔵電磁的記録媒体を備えた機器については同様に考慮する必要がある。第６部において機器ごとの廃棄時の対応を規定しているので、併せて考慮されたい。 なお、情報システムの廃棄を業務委託する際は、委託先において情報の抹消が適切に実施されるよう、[遵守事項3.1.1(7)](#_情報の消去)の規定も参考に、抹消方法等について調達仕様書等に明記し事前に合意する必要がある。委託先の抹消作業に関する作業完了届（廃棄したことが証明されるもの）等を書面で受け取るなどして、確実に抹消作業が行われたことを確認する必要がある。例えば、抹消作業前には、抹消する個々の記録媒体のユニークな番号（シリアル番号等）を記録し、いつ、誰によって、先の記録媒体の抹消作業が行われたのか等の作業履歴を作業完了届等で把握することが考えられる。 ### 5.2.5 情報システムについての対策の見直し 目的・趣旨 情報セキュリティを取り巻く環境は常時変化しており、新たに発生した脅威等に的確に対応しない場合には、情報セキュリティ水準を維持できなくなる。このため、情報システムの情報セキュリティ対策の定期的な確認による見直しや、外部環境の急激な変化等が発生した場合の適時確認を行うことによる見直しが必要となる。また、運用時における定期的な情報セキュリティ対策の確認による見直しの他、対策推進計画に基づく情報セキュリティ対策の見直しや自己点検・監査、本部監査等の結果等を踏まえた機関等内で横断的に改善が必要となる情報セキュリティ対策についての見直しも併せて実施する必要がある。 遵守事項 #### (1) 情報システムについての対策の見直し (a) 情報システムセキュリティ責任者は、**対策推進計画に基づき情報システムの情報セキュリティ対策を適切に見直す**こと。 (b) 情報システムセキュリティ責任者は、機関等内で横断的に改善が必要となる情報セキュリティ対策の見直しによる**改善指示に基づき、情報セキュリティ対策を適切に見直す**こと。また、措置の結果については、統括情報セキュリティ責任者へ報告すること。 【 基本対策事項 】規定なし （解説） - 遵守事項5.2.5(1)(a)「対策推進計画に基づき情報システムのセキュリティ対策を適切に見直す」について 基本対策事項2.1.3(4)-1 d)において定めた対策推進計画の情報システムに関する技術的な対策を推進するための取組に基づき、情報システムセキュリティ責任者は、所管する情報システムの情報セキュリティ対策を見直す必要がある。当該取組については、組織全体として取り組む対策、脆弱性検査や注意喚起等において明らかとなった課題への対応、セキュリティ強化が必要と判断する情報システムへの対応などが策定されており、当該計画に基づき継続的かつ計画的に情報システムの情報セキュリティ対策の見直しを実施する必要がある。 - 遵守事項5.2.5(1)(b)「改善指示に基づき、情報セキュリティ対策を適切に見直す」について 遵守事項2.4.1(2)(c)において、統括情報セキュリティ責任者が改善の必要があると判断した措置の改善指示に基づき、情報システムセキュリティ責任者は所管する情報システムの情報セキュリティ対策を見直し、措置を講ずる必要がある。また、措置の結果については、統括情報セキュリティ責任者に報告する必要がある。 ## 5.3 情報システムの運用継続計画 ### 5.3.1 情報システムの運用継続計画の整備・整合的運用の確保 目的・趣旨 業務の停止が国民の安全や利益に重大な脅威をもたらす可能性のある業務は、地震、火災、感染症、情報セキュリティインシデント等の危機的事象発生時でも継続させる必要があり、国の行政機関においては、府省業務継続計画と情報システム運用継続計画を策定し運用している。独立行政法人及び指定法人においても、業務の特性に応じて、中期目標による指示等により、法人の業務継続計画と情報システムの運用継続計画を策定し運用している。 危機的事象発生時に情報システムの運用を継続させるためには、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順を検討し、定めることが重要となる。 なお、こうした業務継続計画や情報システムの運用継続計画が定める要求事項と、情報セキュリティ関係規程が定める要求事項とで矛盾がないよう、それぞれの間で整合性を確保する必要がある。 遵守事項 #### (1) 情報システムの運用継続計画の整備・整合的運用の確保 (a) 統括情報セキュリティ責任者は、機関等において**非常時優先業務**を支える**情報システムの運用継続計画を整備**する場合は、**危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順**の整備を検討すること。 (b) 統括情報セキュリティ責任者は、情報システムの運用継続計画に沿って、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順が**運用可能であるかを定期的に確認**すること。 (c) 統括情報セキュリティ責任者は、情報システムの運用継続計画に沿って、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順を**定期的に見直す**こと。 【 基本対策事項 】 ＜5.3.1(1)(a)関連＞ 5.3.1(1)-1 統括情報セキュリティ責任者は、機関等の情報システムが、**政府業務継続計画（首都直下地震対策）（平成26年３月閣議決定。以下「政府業務継続計画」という。）において情報システムの運用継続計画を整備することとされている非常時優先業務等を支える情報システムに該当するか、また、該当する場合には、当該情報システムについて、情報システムの運用継続計画が整備されているかを確認**すること。 ＜5.3.1(1)(b)関連＞ 5.3.1(1)-2 統括情報セキュリティ責任者は、危機的事象発生時における情報セキュリティに係る対策事項及び運用規程が運用可能であるかを確認するため、以下を例とする訓練の実施を検討すること。 a) **情報システム復旧訓練** b) **情報システム切り替え訓練** 5.3.1(1)-3 統括情報セキュリティ責任者は、危機的事象発生時における情報セキュリティに係る実施手順が運用可能であるかを確認するため、以下を例とする訓練の実施を検討すること。 a) **手順書確認訓練** b) **シナリオ非提示型訓練** ＜5.3.1(1)(c)関連＞ 5.3.1(1)-4 統括情報セキュリティ責任者は、以下を全て含む事項を踏まえ、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順を見直すこと。 a) 危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順が運用可能であるかの確認結果 b) 危機的事象発生時の対処結果 c) 情報システムの構成や利用環境、利用方法、取り扱う情報の変化 （解説） - 遵守事項5.3.1(1)(a)「非常時優先業務」について 政府業務継続計画では、首都直下地震発生時に優先的に実施する業務を「非常時優先業務」とし、非常時優先業務を遂行するために必要な組織管理、庁舎管理等の事務を「管理事務」としている。非常時優先業務及び管理事務に位置付ける業務については、中央省庁業務継続ガイドライン 第３版（首都直下地震対策）等を参考にするとよい。 また、本款では、不正プログラム感染やサービス不能攻撃による情報セキュリティインシデントなど情報システム特有の危機的事象等の発生時に優先的に実施する業務を行う必要がある場合には、当該業務も非常時優先業務として取り扱うことが求められる。 独立行政法人及び指定法人においても、法人の特性に応じて、災害等の発生時に優先的に実施する業務を非常時優先業務とする必要がある。 参考：内閣府（防災担当）「国の業務継続計画」 （） - 遵守事項5.3.1(1)(a)「情報システムの運用継続計画を整備」について 機関等における情報システム運用継続計画は、下表のプロセスで検討・整備される。詳細は、内閣官房国家サイバー統括室「政府機関等における情報システム運用継続計画ガイドライン」を参照すること。
検討作業名 検討作業の概要
1 基本方針の決定 計画の適用範囲及び基本方針を定める。
2 策定・運用体制の構築 計画の策定・運用に係る体制を構築する。
3 危機的事象の特定 計画の対象とする危機的事象を調査・検討し、特定する。
4 被害想定 危機的事象が発生した場合の情報システムの被害状況を想定する。
5 情報システムの復旧優先度の設定
① 非常時優先業務と情報システムの関連整理 非常時優先業務を確認した上で、対象の情報システムとの関連性を整理する。
② 情報システムの復旧優先度の設定 非常時優先業務の目標復旧時間と、情報システム停止時の影響や代替手段を踏まえ、情報システムの復旧優先度を設定する。
6 情報システム運用継続に必要な構成要素の整理
① 情報システムを支える構成要素の明確化 危機的事象発生時に必要な情報システムを支える構成要素を整理する。
② 情報システムを支える構成要素ごとの目標対策レベルの設定 情報システムを支える構成要素ごとに、情報システムの復旧優先度に応じた目標対策レベルを設定する。
7 事前対策の計画とその実施
① 現状の対策の確認及びリスクの評価 情報システムの構成要素ごとに、現状の対策を確認し、リスクの評価を実施し、情報システムの運用継続に係るリスクを整理する。
② 事前対策計画の策定とその実施 リスクの評価を踏まえ、情報システムの継続能力を強化する「事前対策計画」を作成する。
8 危機的事象発生時の対応計画の検討
① 危機的事象発生時の体制構築 危機的事象発生時に情報システムの運用を継続させるために必要となる体制・役割を決定する。
② 危機的事象発生時における対応計画 情報システムの運用を継続させる具体的な対応方法を対応計画として整理する。
9 教育訓練・維持改善の計画とその実施
① 教育訓練の計画とその実施 事前対策や危機的事象発生時の対応計画の実効性を高めるための「教育訓練計画」を作成する。
② 維持改善の計画とその実施 情報システム運用継続計画を定期的に見直すための「維持改善計画」を作成する。
参考：内閣官房国家サイバー統括室「政府機関等における情報システム運用継続計画ガイドライン」 （） - 遵守事項5.3.1(1)(a)「危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順」について 情報システムの運用継続を脅かす危機的事象の例として、地震、風水害等の自然災害、火災等の人的災害・事故、停電等の社会インフラの不全、不正アクセス等の運用妨害、機器等の故障、感染症の流行による影響等が想定される。これらの危機的事象発生時に対して、業務継続計画、情報システムの運用継続計画及び情報セキュリティ関係規程のそれぞれで定める対策に矛盾があると、危機的事象発生時に職員等は一貫性のある行動をとることができない。このため、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順を検討する際は、業務継続計画及び情報システムの運用継続計画と情報セキュリティ関係規程との間で整合性を確保するよう検討する必要がある。 検討が必要な対策事項、運用規程及び実施手順の例を以下に示す。なお、具体的な内容については、「政府機関等における情報システム運用継続計画ガイドライン」を参照のこと。 - 対応体制及び連絡方法に係わる対策 - 電力に係わる対策 - 空調に係わる対策 - ネットワークに係わる対策 - ハードウェア及びソフトウェアに係わる対策 - バックアップ及び復旧に係わる対策 - クラウドサービスの利用に係わる対策 - 業務継続のためにやむを得ず、以下を利用する場合の対策 - 機関等支給以外の端末 - 自身に付与された以外の識別コード及び主体認証情報。例えば、通常時用とは別に危機的事象発生時用の識別コード及び主体認証情報を設定し、その識別コード及びパスワードを記載した紙面を施錠された安全な保管場所に保管する。また、保管する際に、開封すると開封事実が明らかとなる特殊な封書（tamper evidence envelope）を併用する対策が考えられる。 - 機関等の施設の一部に帰宅困難者等を受け入れる場合の対策 - 例えば、各執務室や各職員等の卓上の情報セキュリティ対策を含め、通常時から不特定の者の出入りを想定した対策を講ずることが考えられる。 - 遵守事項5.3.1(1)(b)「運用可能であるかを定期的に確認」について 情報システムの運用継続を脅かす危機的事象発生時においては、危機的事象発生時の情報セキュリティに係る対策事項、運用規程及び実施手順を整備した際には想定していなかった様々な不整合が発生し、整備した対策事項、運用規程及び実施手順が有効に機能しないことも考えられる。このため、訓練を実施することによって、危機的事象発生時における情報セキュリティに係る対策事項、運用規程及び実施手順が有効に機能することを確認することが重要である。 訓練においては様々な実施内容が考えられる。実施内容については、訓練の初期段階では容易な内容とし、職員等の習熟度等に応じて、段階的に高度な内容へ引き上げるとよい。また、危機的事象発生時は訓練で扱ったとおりの事態が発生するとは限らないため、実施内容は可能な限り高度化し、どのような事態が発生しても対応できるように備えるとよい。 なお、情報システムの運用継続計画の教育訓練を行う際は、危機的事象発生時の対策事項、運用規程及び実施手順の理解と対応能力の向上の他、対策事項、運用規程及び実施手順の有効性の確認も目的とすることが望ましい。 - 遵守事項5.3.1(1)(c)「定期的に見直す」について 危機的事象発生時の情報セキュリティに係る対策事項、運用規程及び実施手順の実効性の維持又は向上を図るため、定期的な見直し以外に、基本対策事項5.3.1(1)-3に示した事項の結果が示された場合等が発生した際に適時見直しを行うことが望ましい。 - 基本対策事項 5.3.1(1)-1「政府業務継続計画において情報システムの運用継続計画を整備することとされている非常時優先業務等を支える情報システムに該当するか、また、該当する場合には、当該情報システムについて、情報システムの運用継続計画が整備されているかを確認」について 情報システムの運用継続計画については、危機的事象発生時においても非常時優先業務等を継続させるために、当該非常時優先業務等を支える情報システムについて整備することとされている。危機的事象の中には、不正プログラム感染やサービス不能攻撃による情報セキュリティインシデントなど情報システム特有の事象も対象として含まれる。統括情報セキュリティ責任者は、こうした情報システム特有の危機的事象発生時において早期に復旧させ継続して利用するために情報システムの運用継続計画を策定することが必要な情報システムであるとして、当該情報システムが非常時優先業務等を支える情報システムに該当すべきものかどうかについて、機関等の情報セキュリティ対策の責任者の立場から確認することが求められる。また、当該情報システムが非常時優先業務等を支える情報システムに該当すべきものである場合、情報システムの運用継続計画が整備されているかを確認し、整備されていない場合には、情報システムの運用を継続する最高責任者（各機関等において情報システム運用継続計画の策定・運用全般を統括し、最終的な責任を負う者）に対して、当該情報システムに係る情報システムの運用継続計画の整備を要請する等の対応が求められる。なお、情報システムの運用継続計画の整備対象であるかどうかについては、情報システム台帳等で網羅的に管理することが望ましい。 - 基本対策事項5.3.1(1)-2 a)「情報システム復旧訓練」について 実機を使い、情報のバックアップを用いて実際に情報システムを復旧する訓練を想定している。 当該訓練の初期段階では、情報のバックアップの一部を用い、情報システムの一部を復旧する訓練を実施するとよい。その後、職員等の習熟度等に応じて、情報のバックアップの全てを用い、情報システムを完全に復旧する訓練を実施する等、段階的に高度化するとよい。 - 基本対策事項5.3.1(1)-2 b)「情報システム切り替え訓練」について 代替機が存在する場合に、本番機から代替機への切り替えが実際に可能か確認する訓練を想定している。また、代替機から本番機への切り戻しも併せて確認することが望ましい。 - 基本対策事項5.3.1(1)-3 a)「手順書確認訓練」について 危機的事象発生時における情報セキュリティに係る実施手順書を読み合わせ、関係者間で危機的事象発生時における役割や行動について机上で確認する訓練を想定している。 危機的事象発生時における情報セキュリティに係る実施手順が適切に機能することの確認においては、本基本対策事項を優先的に実施し、職員等の習熟度等に応じて、段階的にシナリオ非提示型訓練等の高度な訓練を実施するとよい。 - 基本対策事項5.3.1(1)-3 b)「シナリオ非提示型訓練」について 訓練前に訓練シナリオを参加者に通知せず、訓練開始時に危機的事象発生時における被害状況のみを参加者に提示し、参加者に対応させる訓練を想定している。 ## 5.4 政府共通利用型システム ### 5.4.1 政府共通利用型システム管理機関における対策 目的・趣旨 政府共通利用型システムは、政府共通利用型システムの管理機関と利用機関が連携して運用するものであることから、機関等の間で情報セキュリティ対策の漏れが生じないようその防止を図る必要がある。また、政府共通利用型システムを利用する一部の情報システムで情報セキュリティインシデントが生じた場合に同システムを利用する他の情報システムにも影響が及ぶ可能性等も踏まえ、政府共通利用型システムの管理機関は、政府共通利用型システム全体としての情報セキュリティマネジメントを適切に実行し、情報セキュリティ水準を適切に確保する必要がある。 このため、両機関の責任と役割分担を明確化し、情報セキュリティインシデントを認知時にこれに係る対処を連携して迅速・確実に実施できる体制にする必要がある。 遵守事項 #### (1) 情報セキュリティ対策に関する運用管理規程の整備 (a) 情報システムセキュリティ責任者は、**政府共通利用型システム**を構築する場合は、以下の内容を全て含む**情報セキュリティ対策に関する運用管理規程**を整備し、政府共通利用型システム利用機関と**十分な合意形成を行う**こと。 (ア) 政府共通利用型システム管理機関と政府共通利用型システム利用機関との間の責任分界 (イ) 平常時及び**非常時の協力・連携体制** (ウ) 非常時の具体的対応策 【 基本対策事項 】 ＜5.4.1(1)(a)関連＞ 5.4.1(1)-1 情報システムセキュリティ責任者は、政府共通利用型システムを構築する場合は、以下の内容を全て含む情報セキュリティ対策に関する運用管理規程を定めること。 a) 政府共通利用型システム管理機関と政府共通利用型システム利用機関がそれぞれ責任を追うべき**情報セキュリティ対策の責任分界点** b) 政府共通利用型システム及び**政府共通利用型システム利用機関の情報システムにおける情報セキュリティインシデント**を認知した場合の、政府共通利用型システム管理機関と政府共通利用型システム利用機関の間の情報共有や対処の方法を含む対処手順 c) **政府共通利用型システム利用機関が確保するべき管理体制や整備するべき運用規程及び実施手順** d) 政府共通利用型システムが提供するセキュリティ機能を利用する情報システムが**備えるべきセキュリティ要件** e) 政府共通利用型システムが提供する機器等を利用する職員等への**識別コード及び主体認証情報の付与や管理に関する手順並びにアクセスの権限の設定に関する手順** （解説） - 遵守事項5.4.1(1)(a)「政府共通利用型システム」について 統一基準1.3「用語定義」における「政府共通利用型システム」の用語定義のとおり、政府共通利用型システムには、他の機関等が整備する情報システムに対し、同情報システムと連携して、情報システムのセキュリティ機能を提供する情報システムと、他の機関等に機器等を提供し、他の機関等の職員等が利用する情報システムがある。このうち、セキュリティ機能を提供する政府共通利用型システムついては、統一基準7.1「情報システムのセキュリティ機能」で対策を規定する各機能のいずれかの機能を提供する情報システムが該当すると考えられる。 なお、「統一基準」の対象ではない組織のみにセキュリティ機能を提供する情報システムについては政府共通利用型システムに該当しないが、セキュリティ機能の提供先の組織や当該情報システムの特性等を踏まえて、本款の規定を参考として対策を講ずることが望ましい。 - 遵守事項5.4.1(1)(a)「情報セキュリティ対策に関する運用管理規程」について この運用管理規程は、遵守事項2.1.3(3)(a)で整備する機関等の情報セキュリティ対策に関する運用規程及び実施手順ではなく、政府共通利用型システム管理機関と政府共通利用型システム利用機関の双方が政府共通利用型システムの情報セキュリティ対策に関する共通認識を持つために必要な文書を想定している。 （以下、本節において単に「運用管理規程」と記載した場合は、これを示すものとする。） - 遵守事項5.4.1(1)(a)「十分な合意形成を行う」について 政府共通利用型システムにおける情報セキュリティ対策に関する運用管理規程の整備に当たっては、政府共通利用型システム管理機関と政府共通利用型システム利用機関との十分な合意形成を行う必要があるが、当該運用管理規程の整備後に新たに政府共通利用型システムの利用を検討する機関等は、すでに定められている当該運用管理規程を理解した上で、政府共通利用型システムの利用を決定することが求められる。また、新たに政府共通利用型システムを利用する機関等との協議により、運用管理規程の修正が必要となった場合は、他の政府共通利用型システム利用機関の同意も必要となる。 - 遵守事項5.4.1(1)(a)(イ)「非常時の協力・連携体制」について 非常時とは、情報セキュリティインシデントや政府共通利用型システムの障害等により、政府共通利用型システム自体やセキュリティ機能を提供できなくなった場合が考えられる。このような場合に、政府共通利用型システム管理機関から政府共通利用型システム利用機関に速やかに情報提供できる体制を確保することが求められる。 - 基本対策事項5.4.1(1)-1 a)「情報セキュリティ対策の責任分界点」について 統一基準各部で情報システムセキュリティ責任者が実施することを求めている対策については、政府共通利用型システムにおいても同じであるが、政府共通利用型システム利用機関においても一部実施すべき対策がある場合は、その実施の責任範囲を運用管理規程に明記し、利用機関と事前に合意する必要がある。例えば、遵守事項6.1.1(1)(a)の端末を物理的な脅威から保護するための対策や遵守事項8.1.3(3)(a)のテレワーク実施時における対策等については、政府共通利用型システム利用機関において実施する場合があることが想定される。 - 基本対策事項5.4.1(1)-1 b)「政府共通利用型システム利用機関の情報システムにおける情報セキュリティインシデント」について 政府共通利用型システムが提供するセキュリティ機能を利用した情報システムにおける情報セキュリティインシデントを想定している。 - 基本対策事項5.4.1(1)-1 c)「政府共通利用型システム利用機関が確保するべき管理体制や整備するべき運用規程及び実施手順」について 政府共通利用型システム利用機関において、政府共通利用型システムが提供するセキュリティ機能を利用して情報システムを構築する場合に、政府共通利用型システムとの連携に係る調整等を政府共通利用型システム管理機関と行うために必要な体制や手順、セキュリティ機能の仕様変更等の連絡を速やかに受けるために必要な体制や手順等が考えられる。 - 基本対策事項5.4.1(1)-1 d)「備えるべきセキュリティ要件」について 政府共通利用型システムが提供するセキュリティ機能の利用に際し、政府共通利用型システムのセキュリティ水準を低下させないために必要なセキュリティ要件等が考えられる。 - 基本対策事項5.4.1(1)-1 e)「識別コード及び主体認証情報の付与や管理に関する手順並びにアクセスの権限の設定に関する手順」について 政府共通利用型システム管理機関が実施する場合を除き、政府共通利用型システム利用機関は当該手順に基づき、実施手順を定め、識別コード及び主体認証情報の付与や管理、アクセスの権限の設定を行う必要がある。 なお、政府共通利用型システム利用機関において定める実施手順については、基本対策事項5.4.2(3)-1を参照のこと。 遵守事項 #### (2) 情報システム台帳及び情報システム関連文書の整備 (a) 政府共通利用型システム管理機関の統括情報セキュリティ責任者は、遵守事項2.1.2(1)(a)で整備する政府共通利用型システムに関する情報システム台帳について、政府共通利用型システム利用機関に関係するセキュリティ要件に係る事項を含めて整備すること。 (b) 政府共通利用型システム管理機関の情報システムセキュリティ責任者は、遵守事項5.2.2(1)(d)で整備する政府共通利用型システムに関する情報システム関連文書について、**政府共通利用型システム利用機関に関係する情報**を含めて整備すること。 【 基本対策事項 】 ＜5.4.1(2)(a)関連＞ 5.4.1(2)-1 政府共通利用型システム管理機関の統括情報セキュリティ責任者は、セキュリティ機能を提供する政府共通利用型システムに関する情報システム台帳について、以下の内容を全て含めて整備すること。 a) 当該政府共通利用型システムが提供するセキュリティ機能を利用する情報システム名 b) 上記情報システムの政府共通利用型システム利用機関名及び管理課室 c) 上記情報システムの情報システムセキュリティ責任者の氏名及び連絡先 d) 上記情報システムの利用目的 5.4.1(2)-2 政府共通利用型システム管理機関の統括情報セキュリティ責任者は、機器等を提供する政府共通利用型システムに関する情報システム台帳について、以下の内容を全て含めて整備すること。 a) 当該政府共通利用型システムが提供する機器等を利用する政府共通利用型システム利用機関名 b) 上記利用機関における当該政府共通利用型システム利用管理者の氏名及び連絡先 c) 上記利用機関において当該政府共通利用型システムで取り扱う**情報の格付及び取扱制限に関する事項** ＜5.4.1(2)(b)関連＞ 5.4.1(2)-3 政府共通利用型システム管理機関の情報システムセキュリティ責任者は、政府共通利用型システムに関する情報システム関連文書のうち、政府共通利用型システム利用機関に提供した機器等に係る情報については、政府共通利用型システム利用機関の求めに応じ、必要な範囲で提供すること。 （解説） - 遵守事項5.4.1(2)(b)「政府共通利用型システム利用機関に関係する情報」について 掲載すべき政府共通利用型システム利用機関に関係する情報としては、政府共通利用型システム利用機関に端末などの機器等を提供して利用をさせている場合に、当該機器等に関する情報が考えられる。 - 基本対策事項5.4.1(2)-2 c)「情報の格付及び取扱制限に関する事項」について 適切に情報セキュリティインシデント対処を行うためには、政府共通利用型システム管理機関においても、政府共通利用型システム利用機関が取り扱う情報の格付や取扱制限を把握する必要があるが、これらの事項が詳細に至る場合は、管理機関における把握は概要とし、詳細は利用機関で管理することも考えられる。この場合、情報セキュリティインシデント対処時には速やかに管理機関と詳細が共有される必要がある。 ### 5.4.2 政府共通利用型システム利用機関における対策 目的・趣旨 政府共通利用型システム利用機関は、政府共通利用型システム管理機関が定める運用管理規程に基づき必要な体制を確保すると共に、責任と役割分担を踏まえ、適切に利用する必要がある。また、情報セキュリティインシデントを認知した際の対処においては両機関の協力が必要となることから、管理機関が定める運用管理規程に基づき情報セキュリティインシデントを認知した際の両機関の責任と役割分担を明確にしておき、対処に必要となる情報は両機関で共有されている状態にしておくことが重要である。 遵守事項 #### (1) 政府共通利用型システム利用機関における体制の整備 (a) 情報システムセキュリティ責任者は、政府共通利用型システムが提供するセキュリティ機能を利用して情報システムを構築する場合は、政府共通利用型システム管理機関が定める運用管理規程に応じた体制の確保を、最高情報セキュリティ責任者に求めること。 (b) 統括情報セキュリティ責任者は、政府共通利用型システムが提供する機器等の提供を受けこれを自機関等の職員等が利用する場合は、当該利用に係る情報セキュリティ対策に関する事務を統括する管理者として、政府共通利用型システムごとに**政府共通利用型システム利用管理者**を指名すること。 (c) 政府共通利用型システム利用管理者は、当該政府共通利用型システムの利用に際し、当該政府共通利用型システム管理機関が定める運用管理規程に応じた体制の確保を、最高情報セキュリティ責任者に求めること。 【 基本対策事項 】規定なし （解説） - 遵守事項5.4.2(1)(b)「政府共通利用型システム利用管理者」について 政府共通利用型システムの情報システムセキュリティ責任者は管理機関にて設置するものであるが、その実施すべき対策のうち、運用管理規程で定められた責任分界の範囲において、利用機関においても実施すべき対策がある場合は、利用機関に設置する政府共通利用型システム利用管理者が実施する必要がある。 遵守事項 #### (2) 政府共通利用型システム利用機関における情報セキュリティ対策 (a) 情報システムセキュリティ責任者は、政府共通利用型システムが提供する**セキュリティ機能を利用する情報システム**を構築する場合は、政府共通利用型システム管理機関が定める運用管理規程に基づき、政府共通利用型システムの情報セキュリティ水準を低下させることのないように、適切にセキュリティ要件を策定し、運用すること。 (b) 情報システムセキュリティ責任者は、政府共通利用型システム管理機関が定める運用管理規程に基づき、政府共通利用型システムに関する情報セキュリティインシデントに適切に対処すること。 【 基本対策事項 】規定なし （解説） - 遵守事項5.4.2(2)(a)「セキュリティ機能を利用する情報システム」について 政府共通利用型システムが提供するセキュリティ機能を利用して情報システムを構築、運用する場合は、当該情報システムに対しては、政府共通利用型システムの情報セキュリティ水準を低下させることのないように、適切にセキュリティ要件を策定し、運用するとともに、併せて5.2「情報システムのライフサイクルの各段階における対策」も実施する必要がある。 遵守事項 #### (3) 政府共通利用型システム利用機関における機器等の管理 (a) 政府共通利用型システム利用管理者は、政府共通利用型システムが提供する機器等の提供を受けてこれを自機関等の職員等が利用する場合は、当該政府共通利用型システムの利用に関する情報セキュリティ対策に係る運用規程及び実施手順を整備すること。 (b) 政府共通利用型システム利用管理者は、**提供を受けた政府共通利用型システムの機器等を把握するために必要な文書**を整備すること。 (c) 政府共通利用型システム利用管理者は、政府共通利用型システム管理機関が情報システム台帳や情報システム関連文書を整備するために必要な情報について、政府共通利用型システム管理機関に提供するとともに、当該情報に変更が生じた場合は速やかに通知すること。 (d) 政府共通利用型システム利用管理者は、政府共通利用型システム管理機関が定める運用管理規程に基づき、政府共通利用型システムに関する情報セキュリティインシデントに適切に対処すること。 【 基本対策事項 】 ＜5.4.2(3)(a)関連＞ 5.4.2(3)-1 政府共通利用型システム利用管理者は、政府共通利用型システム管理機関が定める運用管理規程を踏まえ、以下の内容を全て含む情報セキュリティ対策に係る運用規程及び実施手順を定めること。 a) 政府共通利用型システムが提供する機能のうち、**自機関で利用を認める機能** b) 政府共通利用型システムが提供する端末で**利用を認めるソフトウェア**や接続を認める機器等 c) 政府共通利用型システムにおける情報セキュリティインシデントの可能性を認知した場合の報告手順及び対処手順 d) 政府共通利用型システムにおける**業務委託サービスやクラウドサービスの利用申請**の手順 e) 政府共通利用型システムを利用する職員等への識別コードや主体認証情報の付与、アクセス権限の設定等に関する手順。ただし、政府共通利用型システム利用機関において識別コードや主体認証情報の付与、アクセス権限の設定等を行わない場合は除く。 f) **政府共通利用型システム利用機関における機器等のキッティングファイルの管理手順** g) 前各号に掲げるもののほか、政府共通利用型システム利用機関における政府共通利用型システムの利用に係る情報セキュリティ対策に関する事項 5.4.2(3)-2 政府共通利用型システム利用管理者は、自機関の対策基準や取り扱う情報の格付等を踏まえ、政府共通利用型システムに追加のセキュリティ対策を行う必要があると認める場合は、政府共通利用型システムにおける当該**セキュリティ対策の追加的実施その他の措置**について協議すること。 ＜5.4.2(3)(b)関連＞ 5.4.2(3)-3 政府共通利用型システム利用管理者は、自機関に設置している政府共通利用型システムの機器等を把握するため、以下の内容を全て含む文書を整備すること。 a) 当該機器等を管理又は利用する職員等を特定する情報 b) 当該機器等の設置場所並びにその区域のクラス及び当該設置場所の区域情報セキュリティ責任者 （解説） - 遵守事項5.4.2(3)(b)「提供を受けた政府共通利用型システムの機器等を把握するために必要な文書」について 提供を受けた政府共通利用型システムの機器等を把握するために必要な文書の整備に当たっては、必要な範囲で、政府共通利用型システム管理機関が整備している情報システム関連文書の提供を受けるとよい。 - 基本対策事項5.4.2(3)-1 a)「自機関で利用を認める機能」について 政府共通利用型システムが提供する機能のうち、自機関で利用を認める機能については、政府共通利用型システム管理機関から提供される当該機能に講じられている情報セキュリティ対策などを確認し、当該機能で取り扱う情報等や自機関のポリシーの内容を踏まえて定める必要がある。 - 基本対策事項5.4.2(3)-1 b)「利用を認めるソフトウェア」について 政府共通利用型システムが標準で提供していないソフトウェアについては、遵守事項7.2.1(1)で対策を講ずることを求めている当該ソフトウェアに関する脆弱性対策が情報システムセキュリティ責任者によって実施されない可能性があるため、当該ソフトウェアの利用を認めるに当たっては、政府共通利用型システム管理機関が定める運用管理規程における責任分界に基づき、それらの対策の実施責任を事前に明確にする必要がある。 - 基本対策事項5.4.2(3)-1 d)「業務委託サービスやクラウドサービスの利用申請」について 政府共通利用型システムが標準で提供していない業務委託サービスやクラウドサービスを想定している。これらのサービスを利用する場合の申請や承認の手順について、政府共通利用型システム管理機関が定める運用管理規程に基づき定める必要がある。 - 基本対策事項5.4.2(3)-1 f)「政府共通利用型システム利用機関における機器等のキッティングファイルの管理手順」について キッティングファイル（機器等を業務利用できる状態にするためのファイルのこと。）が最新のものとなっていない又は意図せず改変・改造された場合、キッティングに支障が生じるだけでなく、重大な情報セキュリティインシデントが発生するおそれがある。そのため、キッティングファイルは、常に最新の状態に保つとともに、使用する外部記録媒体も含めて厳格に管理することが求められる。 - 基本対策事項5.4.2(3)-2「セキュリティ対策の追加的実施その他の措置」について 政府共通利用型システム利用管理者が政府共通利用型システム管理機関と追加的実施を協議するセキュリティ対策としては、例えば、第６部や第７部で規定する各セキュリティ対策や、遵守事項8.1.1(2)(a)で規定する職員等による規定の遵守を支援する機能の導入等が考えられる。 なお、セキュティ対策の追加的実施について、政府共通利用型システム管理機関との協議の結果困難である場合、利用機関において講ずる代替措置の検討や取り扱う情報の見直し等を行い、運用規程及び実施手順に反映する必要がある。