2024（令和6）年2月6日

デジタル庁

〔ドキュメントの位置付け〕

Informative

参考とするドキュメント

〔キーワード〕

セキュリティ、脆弱性、脆弱性診断

〔概要〕

政府情報システムの関係者が脆弱性診断を効果的に導入するための基準及びガイダンスを提供する。

改定履歴

改定年月日 改定箇所 改定内容
2022年6月30日 - 初版決定
2024年1月31日 1.1

  • 政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）の改定に伴い記載を変更
1.2

  • Webアプリケーションプログラミングインターフェイス（Web API）の診断に関する記載を追加
2.2

  • OWASP Mobile Application Security Verification Standard (MASVS)の改定に伴い記載を変更
2.3

  • 診断を実施するセキュリティベンダーの脆弱性検出能力を測る手段として、国内外の脆弱性届出制度や開発者等への報告及び調整実績を記載

  • 脆弱性の深刻度評価におけるCVSS（Common Vulnerability Scoring System）のバージョン指定を廃止
3

  • 政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）の改定に伴い記載を変更
3.2

  • 政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）の改定に伴い記載を変更

  • 各機関が保有するインベントリの見直し方法にASM（Attack Surface Management）を追加
3.3

  • OWASP Mobile Application Security Verification Standard (MASVS)の改定に伴い記載を変更

  • セキュリティベンダーの脆弱性検出能力を測る手段として、国内外の脆弱性届出制度や開発者等への報告及び調整実績を記載

  • 脆弱性の深刻度評価におけるCVSS（Common Vulnerability Scoring System）のバージョン指定を廃止

  • 定期診断を実施する際の留意点を追加

  • 検出した脆弱性の深刻度評価に際し、CVSSの評価根拠の明記を求める旨を追加
付録A

  • 政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）の改定に伴い記載を変更

  • OWASP Mobile Application Security Verification Standard (MASVS)の改定に伴い記載を変更

  • 各脆弱性を診断する際の諸条件を記載
付録B

  • 政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）の改定に伴い記載を変更

  • 参考資料を更新
2024年2月6日 2.3

  • 診断を実施するセキュリティベンダーの選定手段として、経済産業省の「情報セキュリティサービス基準」を記載
3.3

  • 診断を実施するセキュリティベンダーに求める要件を、最新の「情報セキュリティサービス基準」に変更

[１.１ 目的とスコープ 2](#目的とスコープ)

[１.２ 適用対象 3](#適用対象)

[１.３ 位置づけ 4](#位置づけ)

[１.４ 本書の構成 4](#本書の構成)

[２.１ 脆弱性対策における脆弱性診断の位置付け 5](#脆弱性対策における脆弱性診断の位置付け)

[２.２ 一般的な脆弱性診断の種別 7](#一般的な脆弱性診断の種別)

[２.３ 脆弱性診断を行うにあたっての留意事項 12](#脆弱性診断を行うにあたっての留意事項)

[３.１ 脆弱性診断の対象システム 16](#脆弱性診断の対象システム)

[３.２ 脆弱性診断の実施範囲 17](#脆弱性診断の実施範囲)

[３.３ 脆弱性診断の実施要件 20](#脆弱性診断の実施要件)

[３.４ 検出された脆弱性の対応方針 24](#検出された脆弱性の対応方針)

[付録A. 各種診断で検出対象とする脆弱性種別 26](#各種診断で検出対象とする脆弱性種別)

[付録B. 参考資料 29](#参考資料)

目次