付録

(1) 情報セキュリティ対策に関連する関連文書等

(a) 統一基準群

政府機関等のサイバーセキュリティ対策のための統一規範（サイバーセキュリティ戦略本部決定）
政府機関等のサイバーセキュリティ対策のための統一基準（サイバーセキュリティ戦略本部決定）
政府機関等の対策基準策定のためのガイドライン（内閣官房国家サイバー統括室決定）

(b) 統一基準関連文書

「統一基準関連文書」は、遵守事項又は基本対策事項を満たすために遵守又は参照すべき文書

第２部

大規模サイバー攻撃事態等への初動対処について（平成22年３月19日　内閣危機管理監決裁）　遵守事項2.2.4(3)(b)

第４部

政府情報システムのためのセキュリティ評価制度（ISMAP）の利用について（令和２年６月30日　サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連絡会議決定）　基本対策事項4.2.1(1)-2及び遵守事項4.2.1(2)(c)
調達行為を伴わないSNS等の外部サービスの利用等に関する申合せ（令和４年12月12日関係省庁申合せ　内閣官房国家サイバー統括室）　遵守事項4.2.3(2)(a)
IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ（平成30年12月10日関係省庁申合せ　内閣官房国家サイバー統括室）　遵守事項4.1.1(1)(a)(イ)、遵守事項4.2.1(2)(c)、遵守事項4.2.3(2)(a)、基本対策事項4.3.1(1)-1 b)及び遵守事項4.3.1(1)(a)

第５部

IT 調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ（平成30年12月10日関係省庁申合せ　内閣官房国家サイバー統括室）　遵守事項5.1.1(1)(a)
安全保障等の機微な情報等に係る政府情報システムの取扱い（令和５年７月19日　デジタル社会推進会議幹事会決定）　遵守事項5.2.1(3)(a)
IT製品の調達におけるセキュリティ要件リスト（令和８年２月６日　経済産業省）　遵守事項5.2.1(3)(c)

第６部

TLS暗号設定ガイドライン（CRYPTREC GL-3001-3.1.1）（2025年４月25日　CRYPTREC）　基本対策事項6.2.3(1)-5 c)
IT製品の調達におけるセキュリティ要件リスト（令和８年２月６日　経済産業省）　基本対策事項6.3.1(1)-1

第７部

電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）（CRYPTREC LS-0001-2022R2）（令和８年３月30日　CRYPTREC）　遵守事項7.1.5(1)(b)
暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準（CRYPTREC LS-0003-2022R1）（令和４年３月　CRYPTREC）　遵守事項7.1.5(1)(b)

(c) 統一基準適用個別マニュアル群

「統一基準適用個別マニュアル群」は、機関等において具体的な運用規程や実施手順を定める際の参考資料や個別の情報システムのセキュリティ要件等を検討する時等に利用される資料

第２部

対策推進計画策定マニュアル（令和７年７月１日　内閣官房国家サイバー統括室）　遵守事項2.1.3(4)(a)
政府機関等のサイバーセキュリティ対策のための統一基準群に基づく情報セキュリティ監査の実施手引書（令和７年７月　内閣官房国家サイバー統括室）　遵守事項2.3.2(1)(a)

第４部

情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編（2025年７月１日　内閣官房国家サイバー統括室）　遵守事項4.2.2(3)(a)
外部委託等における情報セキュリティ上のサプライチェーン・リスク対応のための仕様書策定手引書（2025年７月１日　内閣官房国家サイバー統括室）　遵守事項4.1.1(2)、(3)及び4.3.1(1)

第５部

情報システムに係る政府調達におけるセキュリティ要件策定マニュアル（2025年７月１日　内閣官房国家サイバー統括室）　基本対策事項5.2.1(3)-1
情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊.クラウド設計・開発編（2025年７月１日　内閣官房国家サイバー統括室）　基本対策事項5.2.2(1)-1 c)
政府機関等における情報システム運用継続計画ガイドライン（令和７年７月　内閣官房国家サイバー統括室）　遵守事項5.3.1(1)

第６部

スマートフォン等の業務利用における情報セキュリティ対策の実施手順策定手引書（2025年７月１日　内閣官房国家サイバー統括室）　6.1.2款及び6.1.3款

(2) 情報セキュリティに関連する法律

〔法律〕

サイバーセキュリティ基本法（平成26年法律第104号）
行政機関の保有する情報の公開に関する法律（平成11年法律第42号）
独立行政法人等の保有する情報の公開に関する法律（平成13年法律第140号）
個人情報の保護に関する法律（平成15年法律第57号）
公文書等の管理に関する法律（平成21年法律第66号）

注）詳細については、原文を参照すること。

(3) 統一基準群で整備を求めている運用規程及び実施手順等

(a) 運用規程

最高情報セキュリティ責任者

情報セキュリティ対策推進体制の役割に関する運用規程（基本対策事項2.1.1(6)-1）
CSIRTの役割に関する運用規程（基本対策事項2.1.1(7)-1）

統括情報セキュリティ責任者

情報セキュリティ対策における雇用の開始、終了及び人事異動時等の管理に関する運用規程（遵守事項2.1.3(3)(b)）
情報の取扱いに関する運用規程（遵守事項3.1.1(1)(a)）
要管理対策区域の対策の基準（遵守事項3.2.1(1)(b)）
業務委託に係る運用規程（遵守事項4.1.1(1)(a)）
クラウドサービス（要機密情報を取り扱う場合）の選定に関する運用規程（遵守事項4.2.1(1)(a)）
クラウドサービスを利用して情報システムを導入・構築する際のセキュリティ対策の基本方針に係る運用規程（遵守事項4.2.2(1)(a)）
クラウドサービスを利用して情報システムを運用・保守する際のセキュリティ対策の基本方針に係る運用規程（遵守事項4.2.2(1)(b)）
クラウドサービスの利用を終了する際のセキュリティ対策の基本方針に係る運用規程（遵守事項4.2.2(1)(c)）
クラウドサービス（要機密情報を取り扱わない場合）の利用に関する運用規程（遵守事項4.2.3(1)(a)）
機器等の調達に関する選定基準（遵守事項4.3.1(1)(a)）
高度な情報セキュリティ対策が要求される情報システムを判別するための情報システムの分類基準に係る運用規程（遵守事項5.1.1(1)(a)）
情報システムに求める分類基準に応じた情報システムのセキュリティ要件及び情報システムの構成要素ごとの情報セキュリティ対策の具体的な対策事項に係る運用規程（遵守事項5.1.1(2)(a)）
危機的事象発生時における情報セキュリティに係る運用規程（遵守事項5.3.1(1)(a)）
要機密情報を取り扱う機関等が支給する物理的な端末（要管理対策区域外で使用する場合に限る）についての技術的な措置に関する運用規程（遵守事項6.1.2(1)(b)）
要管理対策区域外において機関等外通信回線に接続した機関等が支給する物理的な端末を機関等内通信回線に接続する際の技術的な措置に関する運用規程（遵守事項6.1.2(1)(c)）
要機密情報を取り扱う機関等支給以外の端末の安全管理措置に関する運用規程（遵守事項6.1.3(2)(c)）
要管理対策区域外において機関等外通信回線に接続した機関等支給以外の端末を機関等内通信回線に接続する際の安全管理措置に関する運用規程（遵守事項6.1.3(2)(d)）
アプリケーション・コンテンツの提供時に機関等外の情報セキュリティ水準の低下を招く行為を防止するための運用規程（遵守事項6.6.1(1)(a)）
ソーシャルメディアによる情報発信時における情報セキュリティ対策に関する運用規程（遵守事項8.1.2(1)(a)）
テレワーク実施時の情報セキュリティ対策に係る運用規程（遵守事項8.1.3(1)(a)）

政府共通利用型システム利用管理者

政府共通利用型システムの利用に関する情報セキュリティ対策に係る運用規程（遵守事項5.4.2(3)(a)）

(b) 実施手順

最高情報セキュリティ責任者

例外措置の適用の申請を審査する者及び審査手続に関する実施手順（基本対策事項2.2.2(1)-1）

統括情報セキュリティ責任者

情報セキュリティインシデントの可能性を認知した際の報告窓口を含む機関等関係者への報告手順（遵守事項2.2.4(1)(a)）
情報セキュリティインシデントの可能性を認知した際の機関等外との情報共有を含む対処手順（遵守事項2.2.4(1)(b)）
機器等の納入時の確認・検査手続（遵守事項4.3.1(1)(b)）
危機的事象発生時における情報セキュリティに係る実施手順（遵守事項5.3.1(1)(a)）
機関等が支給する物理的な端末（要管理対策区域外で使用する場合に限る）を用いて要保護情報を取り扱う場合の利用手順及び許可手続（遵守事項6.1.2(1)(a)）
機関等支給以外の端末を用いて機関等の業務に係る情報処理を行う場合の許可等の手続（遵守事項6.1.3(2)(a)）
機関等支給以外の端末を用いて要保護情報を取り扱う場合の利用手順及び許可手続（遵守事項6.1.3(2)(b)）
要管理対策区域外において機関等外通信回線に接続した機関等支給以外の端末を機関等内通信回線に接続する際の許可手続（遵守事項6.1.3(2)(d)）
機関等の情報システムの利用のうち、情報セキュリティに関する実施手順（遵守事項8.1.1(1)(a)）
USBメモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する実施手順（遵守事項8.1.1(1)(b)）
機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す際の許可手続（遵守事項8.1.1(1)(c)）

情報セキュリティ責任者

職員等ごとの自己点検票及び自己点検の実施手順（遵守事項2.3.1(1)(b)）

情報システムセキュリティ責任者

情報システム構成要素ごとの情報セキュリティ水準の維持に関する手順（遵守事項5.2.2(1)(e)(ア)）
情報セキュリティインシデントを認知した際の対処手順（遵守事項5.2.2(1)(e)(イ)）
情報システムが停止した際の復旧手順（遵守事項5.2.2(1)(e)(ウ)）
情報システムにおける監視手順（基本対策事項5.2.3(1)-1、基本対策事項7.1.6(1)-3）
通信回線装置が動作するために必要なソフトウェアに関する実施手順（遵守事項6.4.2(1)(b)）
無線LAN回線利用申請手続、無線LAN機器の管理手順（基本対策事項6.4.3(1)-1）
情報システムの基盤を管理又は制御するソフトウェアの情報セキュリティ水準の維持に関する手順（遵守事項6.5.1(1)(b)(ア)）
情報システムの基盤を管理又は制御するソフトウェアで発生した情報セキュリティインシデントを認知した際の対処手順（遵守事項6.5.1(1)(b)(イ)）
共用識別コードの取扱いに関する実施手順（基本対策事項7.1.1(2)-6）
情報システムで使用する暗号及び電子署名のアルゴリズム及び鍵長並びにそれを利用した安全なプロトコルの運用方法（遵守事項7.1.5(1)(b)）
リモートアクセス環境にVPN回線を用いて接続する際の利用開始及び利用停止時の申請手続（基本対策事項8.1.3(2)-1）

政府共通利用型システム利用管理者

政府共通利用型システムの利用に関する情報セキュリティ対策に係る実施手順（遵守事項5.4.2(3)(a)）

クラウドサービス管理者

クラウドサービスで利用するサービスごとの情報セキュリティ水準の維持に関する手順（遵守事項4.2.2(3)(c)(ア)）
クラウドサービスを利用した情報システムの運用・監視中における情報セキュリティインシデントを認知した際の対処手順（遵守事項4.2.2(3)(c)(イ)）
利用するクラウドサービスが停止又は利用できなくなった際の復旧手順（遵守事項4.2.2(3)(c)(ウ)）

区域情報セキュリティ責任者

管理区域の利用手順（基本対策事項3.2.1(3)-1）

(c) その他

政府共通利用型システム管理機関の情報システムセキュリティ責任者

政府共通利用型システムに関する運用管理規程（遵守事項5.4.1(1)(a)）

(4) 本ガイドラインにおいて「基本セキュリティ対策」「追加セキュリティ対策」として区分した基本対策事項

	基本対策事項
	基本セキュリティ対策	追加セキュリティ対策
6.4.3 無線LAN	6.4.3(1)-1 情報システムセキュリティ責任者は、無線LAN技術を利用して機関等内通信回線を構築する場合は、通信回線の構築時共通の対策に加えて、情報システムの分類に基づき、以下の対策を講ずること。
6.4.3 無線LAN	以下を全て含む対策を講ずること。 a) 無線LAN通信の暗号化 b) 無線LAN回線利用申請手続の整備 c) 無線LAN機器の管理手順の整備 d) 来訪者等に提供する無線LANによるインターネット接続回線と業務で使用する機関等LANシステムの分離	基本セキュリティ対策の実施に加えて、以下を例とする対策を講ずること。 e) IEEE 802.1Xによる無線LANへのアクセス主体の認証
6.6.1 アプリケーション・コンテンツの作成・運用時の対策	6.6.1(3)-2 情報システムセキュリティ責任者は、ウェブアプリケーションを運用段階へ移行する前に情報システムの分類に基づき、以下の対策を実施すること。
6.6.1 アプリケーション・コンテンツの作成・運用時の対策	開発したウェブアプリケーションに対して脆弱性診断の実施を検討すること。	高度な情報セキュリティ対策が要求される情報システムで実行するウェブアプリケーションに対して、脆弱性診断を実施すること。

	基本対策事項
	基本セキュリティ対策	追加セキュリティ対策
7.1.2 アクセス制御機能	7.1.2(1)-1 情報システムセキュリティ責任者は、主体の属性、アクセス対象の属性に基づくアクセス制御の要件を定めること。また、情報システムの分類に基づき、以下の対策を実施すること。
7.1.2 アクセス制御機能	以下を例とするアクセス制御機能の要件を定めること。 a) 利用時間や利用時間帯によるアクセス制御 b) 同一主体による複数アクセスの制限 c) IPアドレスによる端末の制限 d) ネットワークセグメントの分割によるアクセス制御 e) ファイルに記録された情報へのアクセスを制御するサーバにおいて主体認証を受けたユーザのみが、暗号化されたファイルに記録された情報に対し、与えられた権限の範囲でアクセス可能となる制御	基本セキュリティ対策の実施に加えて、以下を例とするアクセス制御機能を用いることを検討すること。 f) 認証・認可の統合管理基盤を用いたアクセス制御 g) アクセスの要求ごとに、主体等の状況を継続的に認証し認可する仕組みを実現する機能の一部である動的なアクセス制御
7.1.4 ログの取得・管理	7.1.4(1)-4 情報システムセキュリティ責任者は、取得したログを効率的かつ確実に点検及び分析し、その結果を報告するために、情報システムの分類に応じて以下の対策を実施すること。
7.1.4 ログの取得・管理	以下を例とする当該作業を支援する機能を導入すること。 a) ログ情報をソフトウェア等により集計し、時系列で表示し、報告書を生成するなどの作業の自動化機能	基本セキュリティ対策の実施に加えて、以下を例とする当該作業を支援する機能の導入を検討すること。 b) リアルタイムでのログの調査・分析を行うための機能
7.1.6 監視機能	－	7.1.6(1)-4 情報システムセキュリティ責任者は、情報システム運用時の監視において、SOCやNOC等のセキュリティ監視を専門の外部事業者に業務委託することを検討すること。

	基本対策事項
	基本セキュリティ対策	追加セキュリティ対策
7.2.1 ソフトウェアに関する脆弱性対策	7.2.1(1)-1 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置の設置又は運用開始時に以下の対策を実施すること。
	インターネット向けにサービスを公開しているサーバ装置や直接インターネットから到達可能なサーバ装置、端末及び通信回線装置に対し脆弱性診断を実施すること。また、その他のサーバ装置、端末及び通信回線装置については、情報システムの分類や保有する情報、システム特性等を踏まえ、脆弱性診断の実施を検討すること。	サーバ装置、端末及び通信回線装置に対し脆弱性診断を実施すること。また、脆弱性診断の実施に当たっては、ペネトレーションテスト、TLPT等の高度な脆弱性診断の実施を検討すること。
	－	7.2.1(1)-6 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置の運用時に、定期的な脆弱性診断（ペネトレーションテスト、TLPT等の高度な脆弱性診断を含む）の実施を検討すること。
7.2.2 不正プログラム対策	－	7.2.2(1)-7 情報システムセキュリティ責任者は、EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染した装置を早期にネットワークから切り離す機能の導入を検討すること。

	基本対策事項
	基本セキュリティ対策	追加セキュリティ対策
7.2.3 サービス不能攻撃対策	7.2.3(1)-2 情報システムセキュリティ責任者は、以下を例とするサービス不能攻撃への対策を実施すること。
	以下を例とする対策を実施すること。 a) サービス不能攻撃の影響を排除又は低減するための専用の対策装置やサービスの導入 b) サーバ装置、端末及び通信回線装置及び通信回線の冗長化	基本セキュリティ対策に加え、以下を例とする対策を検討すること。 c) インターネットに接続している通信回線の提供元となる事業者やクラウドサービス提供者が別途提供する、サービス不能攻撃に係る通信の遮断等の対策 d) コンテンツデリバリーネットワーク（CDN）サービスの利用
	－	7.2.3(1)-9 情報システムセキュリティ責任者は、脅威動向等の脅威情報を収集し、サービス不能攻撃を受ける可能性が予見される場合は、必要に応じて、CSIRT等の関係者に通知すること。
7.2.4 標的型攻撃対策	－	7.2.4(1)-5 情報システムセキュリティ責任者は、以下を例とする内部対策及び出口対策を行うこと。 a) プロキシサーバ等により、C&Cサーバ等への不正な通信を監視し、遮断する。 b) 情報システムの管理者が利用する情報システム管理用の専用端末を用意し、他のセグメントと分離した運用管理セグメントを構築し、当該セグメントにシステム管理用の専用端末を接続する。 c) 認証サーバに管理者権限でログインできる端末をシステム管理用の専用端末に制限する。 d) 一般利用者が利用する端末間でのファイル共有機能を停止する又は一般利用者が利用する端末間の直接通信を遮断する。