ASP･SaaS（AI クラウドサービス）の安全・信頼性に係る情報開示認定制度～申請書作成の手引き～

令和４年４月１日

クラウドサービス情報開示認定機関
一般社団法人日本クラウド産業協会（ASPIC）

目次
は じ め に ------------------------------------------------------------------------------------------------------ 1
１．申請書の記入方法について ........................................................................................ 2
２．「事業者」に関わる項目の説明 ........................................................................................ 3
２．１ 開示情報の時点 .................................................................................................... 3
２．２ 事業所・事業 .......................................................................................................... 3
２．３ 人材 ...................................................................................................................... 4
２．４ 財務状況 ............................................................................................................... 4
２．５ 資本関係・所属団体 ............................................................................................... 6
２．６ コンプライアンス ..................................................................................................... 7
３．「サービス」に関わる項目の説明 ............................................................................. 13
３．１ サービス基本特性 ................................................................................................ 13
３．２ アプリケーション、プラットフォーム、サーバ・ストレージ等 ..................................... 20
３．３ ネットワーク................................................................................................ 24
３．４ 端末 ........................................................................................................ 27
３．５ ハウジング（サーバ設置場所） ....................................................................... 27
３．６ サービスサポート--------------------------------------------------------------------------------- 31（参考）本書中に、『「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容』と題して破線テキストボックスで記述した内容は、ASP･SaaSの情報セキュリティ対策に関する研究会から公表された「ASP･SaaSにおける情報セキュリティ対策ガイドライン」（平成２０年１月３０日）の関連記述を引用しています。

変更履歴：

はじめに本認定制度は、AI を用いたクラウドサービスの安全・信頼性に係る情報開示指針（ASP・SaaS 編）にしたがって制定しています。
「AIクラウドサービス」とは、ＡＩ機能を組み込んだクラウドサービスのことを言います。
なお、AIクラウドサービスは、発展途上にあるので、想定以外のモデル、パターンが出現することが想定されます。このような場合は、認定事務局にご相談ください。
（１）AIクラウドサービスでの開示情報の拡張
ＡＩクラウドサービス情報開示指針では、従来のASP･SaaS情報開示指針にＡＩに関する開示項目を追加しています。
AIの特性を踏まえ、特に「品質（精度）」「説明可能性」「責任分担」「性能」に着目し
ました。
例えば、
 AIの精度：高い精度を実現するための環境条件等
 説明可能性のレベル：ＡＩの出力結果の根拠の説明可能性のレベル等
 責任分担：人間の判断の有無、ＡＩによる判断に基づく損害賠償責任等
 AI性能：学習時間、推論時間（利用者の操作に係わるもの）等です。
（２）情報の開示元と開示先
 ASP･SaaS（AIクラウドサービス）は、ASP･SaaS事業者が情報の開示元、ユーザが開示先となります。

1１．申請書の記入方法について
１）必須開示項目
必須開示項目については、必ず記述してください。必須開示項目に未記入の項目がある場合は、非認定となります。
対策や措置の有無が聞かれている項目で、対策や措置を実施していない場合、「無し」と記述しても非認定とはなりません。

２）一定の要件を考慮すべき項目
必須開示項目で、一定の要件を考慮すべき項目とされたものは、記述内容は認定機関が設定する一定水準を上回っている必要があります。その水準に満たない場合は、非認定となります。
ただし、一定の水準を下回る場合であっても、サービスの特性上やむを得ない場
合、記入欄にその理由等を記述してください。

３）選択開示項目
選択開示項目については、任意で記述してください。未記入であっても非認定となることはありません。

４）記入時の注意事項
本認定制度以外で取得されている認定制度や監査制度等と重複する審査対象項目であっても、「監査基準委員会報告書第18号監査（米国では監査基準SSAE16、国際監査基準IASE3402）取得済み」等の記述は行わず、手引きの指示通りに記述してください。

５）記入時の使用言語
記入時の使用言語は、日本語とします。

６）認定サービスの公表
認定サービスについては、認定機関ホームページにおいて、申請内容欄に記述された内容をそのまま公表させていただきます。添付書類等欄の記述は公表されません。

2

２．「事業者」に関わる項目の説明
株式会社、社団法人等の団体については、｢事業者｣に関わる項目のうち必須開示項目をすべて記述してください。個人の場合は、必須開示項目についても記入可能なもののみ、記述し、可能でないものについては｢個人事業であるため回答できない。｣等と記述
してください。
（注）各審査対象項目の末尾の( )内には、申請書上の審査項目の通番と、必須／選択開
示項目の区分を示します。

２．１ 開示情報の時点（１）開示情報の日付① 開示情報の日付（1: 必須開示項目）【記述内容】開示情報の年月日（西暦）【説明】申請に伴い記入される審査対象項目の全てについて、申請者が情報開示していることを確認した年月日を西暦で記述してください。基本的には申請日現在で貴社が情報開示されている内容に基づいて申請してください。
未記入の場合は非認定となります。

２．２ 事業所・事業（１）事業所等の概要①事業者名（2: 必須開示項目）【記述内容１】 事業者の正式名称（商号）【記述内容2】 法人番号【説明】 貴社の登記上の正式な社名と法人番号を記述してください。
未記入の場合は非認定となります。
②設立年月日（3: 必須開示項目）【記述内容】 事業者の設立年月日（西暦）【説明】 貴社の設立年月日を西暦で記述してください。
未記入の場合は非認定となります。

③事業所（4: 必須開示項目）【記述内容1】 事業者の本店所在地

3

【記述内容2】 事業者ホームページ【説明】 事業者の本店所在地及びホームページのＵＲＬを記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（２）事業の概要①主な事業の概要（5: 必須開示項目）【記述内容】 事業者の主な事業の概要（ASP･SaaS以外も含む）＜100字以内＞【説明】 ASP･SaaSに関連している事業以外も含めて、事業概要について100字以内で記述してください。
未記入の場合は非認定となります。

２．３ 人材（１）経営者①代表者（6: 代表者氏名は必須開示項目、代表者経歴は選択開示項目）【記述内容1】 代表者氏名【記述内容2】 代表者経歴（生年月日、学歴、業務履歴、資格等）【説明】 代表者氏名が未記入の場合は非認定となります。
また、代表者の経歴（生年月日、学歴、業務履歴、資格等）を可能な範囲で記述
してください。
②役員（7: 選択開示項目）【記述内容】 役員数【説明】 役員について、役員数を記述してください。なお、ここで言う役員とは、会社法で規定されている取締役、執行役だけでなく、執行役員も含みます。
（２）従業員①従業員数（8: 必須開示項目）【記述内容】 正社員数（単独ベース）【説明】 単独ベースでの正社員数を記述してください。
未記入の場合は非認定となります。

２．４ 財務状況（１）財務データ
財務データは、株主総会で承認された直近のものを用いてください。提出いただきます書

4

類も、株主総会で承認された直近のものでお願いします。公益法人の場合は、株式会社の株
主総会に相当する機関（社団法人であれば社員総会）により承認されたものを用いてください。
①売上高（9: 必須開示項目）【記述内容】 事業者の売上高（単独ベース）【説明】 直近決算期の損益計算書における売上高（単独ベース）を円単位で記述してください。また、決算期も記述してください。
未記入の場合は非認定となります。
②経常利益（10: 選択開示項目）【記述内容】 事業者の経常利益額（単独ベース）【説明】 直近決算期の損益計算書における経常利益額（単独ベース）を円単位で記述してください。また、決算期も記述してください。
③資本金（11: 必須開示項目）【記述内容】 事業者の資本金（単独ベース）【説明】 直近決算期の貸借対照表の資本金（単独ベース）を円単位で記述してください。
また、決算期も記述してください。
未記入の場合は非認定となります。
④自己資本比率（12: 選択開示項目）【記述内容】 事業者の自己資本の比率（単独ベース）【説明】 直近決算期の自己資本比率を下式により算定し、記述してください。また、決算期も記述してください。
自己資本比率＝[自己資本]／[総資産]⑤キャッシュフロー対有利子負債比率（13: 選択開示項目）【記述内容】 事業者のキャッシュフロー対有利子負債比率（単独ベース）【説明】 直近決算期のキャッシュフロー対有利子負債比率を下式により算定し、記入ください。また、決算期も記述してください。
キャッシュフロー対有利子負債比率＝[有利子負債]／[営業キャッシュフロー]⑥インタレスト・カバレッジ・レシオ（14: 選択開示項目）【記述内容】 事業者のインタレスト・カバレッジ・レシオ（単独ベース）

5

【説明】 直近決算期のインタレスト・カバレッジ・レシオを下式により算定し、記入ください。
また、決算期も記述してください。
インタレスト・カバレッジ・レシオ＝[営業キャッシュフロー]／[利払い]（２）財務信頼性①上場の有無（15: 選択開示項目）【記述内容】 株式上場の有無と、「有り」の場合は市場名【説明】 株式上場をしているか否かについて記述してください。
また、上場している場合は、その市場名（例：東証1部、JASDAQ）も記述してください。
②財務監査・財務データの状況（16: 選択開示項目）【記述内容】 該当する財務監査・財務データの状況を、以下より選択する。
①会計監査人による会計監査、②会計参与による計算書類等の作成、③「中小企業会計要領」の適用に関するチェックリストの活用、④監査役による監査、⑤いずれでもない【説明】 財務データの正確性を確保するために講じている措置として該当するものを次の中から選び、記述してください。
①会計監査人による会計監査②会計参与による監査③「中小企業会計要領」の適用によるチェックリストの活用④監査役による監査⑤いずれも非該当③決算公告（17: 選択開示項目）【記述内容】 決算公告の実施の有無【説明】 決算公告の実施について、「有り」または「無し」を記述してください。

２．５ 資本関係・所属団体（１）資本関係①株主構成（18: 選択開示項目）【記述内容】 大株主の名称（上位５株主程度）、及び各々の株式保有比率【説明】 発行した株式の保有数上位５株主程度の株主の名称、及び各々の保有比率について記述してください。

6

（２）所属団体①所属団体（19: 選択開示項目）【記述内容】 所属している業界団体、経済団体等の名称【説明】 現在所属している主な業界団体、経済団体等の名称を記述してください。

２．６ コンプライアンス（１）組織体制①コンプライアンス担当役員（20: 選択開示項目）【記述内容1】 コンプライアンス担当役員の氏名【説明】 役職員が関連法令を遵守して事業を遂行することを指導・監督する役割を担う役
員（コンプライアンス担当役員）が任命されている場合には、その氏名を記述してください。
なお、ここでの役員には、会社法で規定されている取締役、執行役だけでなく、執行役員も含みます。

②専担の部署・会議体、（21: 選択開示項目）【記述内容】 コンプライアンスを担当する社内の部署・会議体の有無と、「有り」の場合は社内の部署名・会議名【説明】 役職員が関連法令を遵守して事業を遂行することを指導・監督する役割を担う部
署（例：コンプライアンス部、法務部）や会議体（例：コンプライアンス委員会、リスク管理委員会）の「有り」または「無し」を記述してください。また、有る場合は、その名称を記述してください。
③情報セキュリティに関する組織体制の状況（22: 必須開示項目）【記述内容1】情報セキュリティに関する責任者の有無と、「有り」の場合は責任者名・役職【記述内容2】情報セキュリティに関する組織体制の有無【説明】 情報セキュリティに関するコンプライアンス責任者の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、責任者氏名・役職を記述
してください。
情報セキュリティに関する組織体制の有無について、「有り」または、「無し」を記述
してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

7

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容
Ⅱ.1.1.1「経営陣は、情報セキュリティに関する組織的取組についての基本的な方針を定めた文書を作成すること。また、当該文書には、経営陣が承認の署名等を行い、情報セキュリティに関する経営陣の責任を明確にすること。
Ⅱ.2.1.3（情報セキュリティ対策における具体的な実施基準や手順等を明確化し、文書化すること。
当該文書は、定期的又は ASP･SaaS サービスの提供に係る重大な変更が生じた場合（組織環境、
業務環境、法的環境、技術的環境等）に見直しを行うこと。

（2）個人情報① 個人情報の取扱い（23：必須開示項目）【記述内容】 個人情報の取扱いに関する規程の有無と、「有り」の場合は記載個所【説明】 個人情報の取扱いに関する規程等の有無について「有り」または、「無し」を記述
してください。また、「有り」の場合は、記載されている個所（契約書等）について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.5.1.2「個人情報は関連する法令に基づいて適切に取り扱うこと。」（３）守秘義務①守秘義務契約（24：必須開示項目）【記述内容1】 守秘義務に係る契約又は条項の有無【記述内容2】 守秘義務違反があった場合のペナルティ条項の有無【説明】 守秘義務に係る契約または条項の有無について、「有り」または、「無し」で記述してください。
守秘義務違反があった場合のペナルティ条項の有無について、「有り」または、「無し」を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

（４）従業員教育等①従業員に対するセキュリティ教育の実施状況（25：必須開示項目）【記述内容1】 従業員に対するセキュリティ教育実施に関する取組の有無

8【記述内容2】 従業員に対するセキュリティ教育実施に関する取組状況の開示の可否と、可能な場合の条件等【説明】 従業員に対するセキュリティ教育の実施の取組みについて、「有り」または、「無し」で記述してください。
取組状況の開示の可否について、「可」または、「否」で記述してください。また、開示が可能な場合の条件等がある場合は、その内容も記述してください。
上記いずれかの記述内容が未記入の場合も非認定となります。

②従業員に対する守秘義務等の状況（26：必須開示項目））【記述内容1】 従業員に対する守秘義務対応の取組状況【記述内容2】 従業員に対する守秘義務対応状況の情報開示の可否と、可能な場合の条
件等【説明】 従業員に対する守秘義務対応の実施の有無について、「有り」または、「無し」で記述してください。
対応状況の開示の可否について、「可」または、「否」で記述してください。また、開示が可能な場合の条件等がある場合は、その内容も記述してください。
上記いずれかの記述内容が未記入の場合も非認定となります。

（５）委託① 委託情報に関する開示（27：必須項目）【記述内容】 サービス提供に係る委託先（再委託先）の情報開示の可否と、可能な場合の
条件等
【説明】

委託先（再委託先）に関する情報開示の可否について、「可」または、「否」で記述してください。また、情報開示が「可」の場合に、条件等がある場合は、その内容も記述してください。
未記入の場合は非認定となります。

② 委託先に対する管理状況（28：必須項目）【記述内容1】 自社の個人情報保護指針に対する遵守規定の有無【記述内容2】 委託先（再委託先）に係る個人情報保護等の状況に関する情報提供の可否と、可能な場合の条件等【記述内容3】 委託先（再委託先）との守秘義務対応状況【記述内容４】 委託先（再委託先）の管理方法【説明】

委託先に対し、自社の個人情報保護指針を遵守する規定が有るか、否かについ9

て、「有り」または、「無し」で記述してください。
委託先（再委託先）との守秘義務契約の有無について、「有り」または、「無し」で記述してください。
委託先（再委託先）との守秘義務契約の有無について、「有り」または、「無し」で記述してください。
委託先（再委託先）の管理について、契約による管理、定期的な報告、再委託の原則禁止などの管理方法を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（７）文書類① 情報セキュリティに関する規程等の整備（29 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 情報セキュリティに関する基本方針・規程・マニュアル、リスクアセスメント結果等の状況と文書名【説明1】 情報セキュリティに関する基本方針・規程・マニュアル・リスクアセスメント結果等の有無について、「有り」または、「無し」で記述してください。「有り」の場合には、文書名を記述してください。
未記入の場合もしくは情報セキュリティに関する基本方針・規程・マニュアル等の文書類が無い場合は非認定となります。
なお、これらの情報セキュリティに関する基本方針・規程・マニュアル等とは、情報の漏洩や不必要な消失等を防止するための組織体制、管理のためのプロセス等が記述されている文書類です。
② 事業継続に関する規程の整備（30：必須項目）【記述内容1】 事業継続に関する基本方針・規程・マニュアル等の有無と、「有り」の場
合は文書名【記述内容2】 ＢＣＰ対応計画及び運用手順書等の開示の可否と、可能な場合の条件等【説明】 事業継続に関する基本方針・規程・マニュアル等の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。
ＢＣＰ対応計画及び運用手順書等に関する情報開示の可否について、「可」または、「否」で記述してください。情報開示が「可」の場合に、条件等がある場合は、その内容を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

③ リスク管理に関する規程等の整備（31：必須項目）【記述内容】 リスク管理に関する基本方針・規程・マニュアル等の有無と、「有り」の場
合は文書名

10

【説明】

リスク管理に関する基本方針・規程・マニュアル等の文書類の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。
未記入の場合は非認定となります。

④ 勧誘・販売・係争に関する規程等の整備（32: 必須開示項目）【記述内容1】 勧誘・販売に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名【記述内容2】 係争に関する規程・管轄裁判所等、係争が生じた際の対応に関する情報を含む文書類の有無と、「有り」の場合は文書名【説明】 勧誘・販売に関する基本方針・規程・マニュアル等の文書類について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
係争が生じた際の対応や管轄裁判所等を記載した文書類について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。 なお、勧誘・販売に関する基本方針・規程・マニュアル等とは、サービスに関する重大な付帯条件を説明せずに勧誘することの禁止、ユーザがサービスを十分に理解していない段階での強引な契約の禁止等、勧誘・販売の進め方の方針や禁止行為等が記述されている文書類です。また、係争に関する文書類とは、係争が生じた際にユーザとの係争を円滑に処理するための基本方針や管轄裁判所等が明記されている文書類です。
上記いずれかの記述内容が未記入の場合は非認定となります。

⑤ ASP･SaaSの苦情対応に関する規程等の整備（33: 必須開示項目）【記述内容1】 ASP･SaaSの苦情処理に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名【記述内容2】 ASP･SaaS事業者の事故責任の範囲と補償範囲が記述された文書の有無と、「有り」の場合は文書名【説明】 ASP･SaaSのサービスの苦情処理に関する基本方針・規程・マニュアル等について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
なお、ここでいうASP･SaaSのサービスの苦情処理に関する基本方針・規程・マ
ニュアル等とは、苦情処理部署の設置、苦情処理の手順（苦情の記録、苦情処理の担当部署への報告、サービス部門との事実確認等）の方針等が記述されている文書類です。苦情の範囲・レベルに関係なく、外部からの問合せ等に対してどのように対応するかを明文化した何らかの社内文書があるか否かを11

記述してください。
ASP･SaaS事業者の事故責任の範囲と補償範囲が記述された文書について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

12

３．「サービス」に関わる項目の説明
３．１ サービス基本特性（１）サービス内容① サービス名称（34: 必須開示項目）【記述内容】 本ASP･SaaSのサービス名称【説明】 未記入の場合は非認定となります。
② サービス開始時期（35: 必須開示項目）【記述内容1】 本ASP･SaaSのサービス開始年月日(西暦)【記述内容2】 サービス開始から申請時までの間の大規模改変等実施の有無と、「有り」の場合は改変年月日(西暦)【説明】本ASP･SaaSのサービス開始年月日を西暦で記述してください。
サービス開始から申請時までの間に大規模改変等実施の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、大規模改変の実施時期について年月日(西暦)で記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

③ サービスの内容・範囲（36: 必須開示項目）【記述内容1】 本ASP･SaaSのサービスの内容・特徴＜500字以内で記述＞【記述内容2】 他の事業者との間でサービス連携の有無と、「有り」の場合はその内容＜前記述と合せて500字以内で記述＞【説明】 本サービスの内容・特徴を記述してください。 他の事業が提供するサービスとの連携の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、内容について記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
④ サービス提供時間（37：必須開示項目）【記述内容】 サービスの提供時間帯【説明】 サービスの提供時間帯を記述してください。
未記入の場合は非認定となります。
⑤ サービスのカスタマイズ範囲（38: 必須開示項目）【記述内容】 アプリケーションのカスタマイズの範囲 （契約内容に依存する場合はその旨記述）＜200字以内で記述＞

13

【説明】 顧客の要望に応じてアプリケーションのカスタマイズが可能な機能、内容、範囲等について200字以内でご記述してください。「特に決まっていない」、「個別相談に応じて決める」等の契約内容に依存する場合は、その旨を記述してください。
未記入の場合は非認定となります。

⑥ 移行支援（39：必須開示項目）【記述内容】 本サービスを利用する際における既存システムからの移行支援の有無（契約内容に依存する場合はその旨記述）【説明】

当該サービスを利用する際に、既存システムからの移行作業の支援の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、内容について記述してください。契約内容に依存する場合はその旨を記述
してください。
未記入の場合は非認定となります。

⑦ AIクラウドサービス基本事項（AIポリシー）（40：必須開示項目）【記述内容】 AIクラウドサービスに対する基本的な考え方。透明性、公平性、安全、セキ
ュリティ、プライバシー保護、倫理など【説明】

AIを用いたクラウドサービスに関するガイドブックを参考に、透明性、公平性、セキュリティ、プライバシー保護、倫理など、AIクラウドサービスに対する基本的な考え方を記述してください。
未記入の場合は非認定となります。

（２）責任分担①ＡＩ機能に関連する責任分担（41: 必須開示項目）【記述内容】 人間の判断の有無、ＡＩによる判断に基づく損害賠償責任など責任分担にかかわる事項【説明】

ＡＩの出した結果の利用にあたって人間（利用者）の判断を必要とするか、事業者の責任範囲、事業者の免責事項、損害賠償責任など責任分担にかかわる事項について記述してください。未記入の場合は非認定となります。

（３）データおよび学習済みモデルの権利① 利用（42：必須開示項目）【記述内容】

利用者が入力したデータの利用の有無、内容、同意の取得方法など【説明】

AIクラウドサービスで利用者が入力したデータの利用の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、利用の内容、同意の取得方法を記述してください。例えば、「利用者の同意なく、利用者が入力したデータの二次利用を行わない。」「同意は書面による。」など
未記入の場合は非認定となります。

14

② 権利関係（43：選択開示項目）【記述内容】

利用者データに関する権利（所有権、使用権、著作権、肖像権など）利用者データを使った追加学習後の学習済みモデルの権利【説明】「利用者データに関する権利（所有権、使用権、著作権、肖像権など）」、「利用者データを使った追加学習後の学習済みモデルの権利」など可能な範囲で記入ください。

（４）サービスの変更・終了① サービス（事業）変更・終了時の事前告知（44: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者への告知時期（事前告知の時期を1ヶ月前、3ヶ月前、6ヶ月前、12ヶ月前等の単位で記述）【記述内容2】 告知方法
【説明】 事業者側の何らかの理由により、申請したサービスの内容が大きく変更となった
場合、あるいは事業として停止・終了した場合、利用者へ事前に通知する時期及び通知方法について記述してください。
サービス（事業）変更・終了時の利用者への事前告知時期が1ヶ月未満となる場
合にも非認定となります。
また、上記いずれかの記述内容が未記入の場合は非認定となります。
② サービス（事業）変更・終了後の対応・代替措置（45: 必須開示項目）【記述内容】 対応・代替措置の基本方針の有無と、基本方針がある場合はその概要【説明】 事業者側の何らかの理由により、申請したサービスの内容が大きく変更となった
場合、あるいは事業として停止・終了した場合における、利用者へ対応・代替措置についての基本方針の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、概要について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
II.4.1.1「取り扱う各情報資産について、管理責任者を定めると共に、その利用の許容範囲（利用可能者、
利用目的、利用方法、返却方法等）を明確にし、文書化すること。」（５） 契約の終了等① 情報の返却・削除・廃棄（46: 必須開示項目）【記述内容1】 契約終了時等の情報資産（利用者データ等）の返却責任の有無と、受託情報の返却方法・ファイル形式・費用等

15

【記述内容2】 情報の削除または廃棄方法の開示の可否と、可能な場合の条件等【記述内容3】 削除又は廃棄したことの証明書等の提供【説明】 契約終了時等において、利用者のデータ等の情報資産の返却責任の有無について、「有り」または、「無し」を記述してください。 また、サービス開始時等において利用者から受託した情報の返却方法・ファイル形式・費用等について記述してください。
情報の削除または廃棄方法の開示の可否について、「可」または「否」を記述してください。また「可」の場合は、条件等について記述してください。
削除または廃棄した際の証明書の提供について「可」または「否」を記述してください。証明書の提供ができない場合は非認定となります。
上記いずれかの記述内容が未記入の場合は非認定となります。

（６）サービス料金① 料金体系・金額（47：必須開示項目）【記述内容】

初期費用額、月額利用額、最低利用契約期間【説明】

申請したサービスの料金体系について、契約に伴う初期費用
額、契約以降継続的に発生する月次利用額、契約によって利用者に課せられる最低利用月額契約期間をご記入ください。
未記入の場合は非認定となります。

②

解約時違約金の支払いの有無（48：必須開示項目）【記述内容】

解約時違約金（ユーザ側）の有無、違約金がある場合はその額【説明】

利用者側の都合により契約を解約した場合の違約金の有無とその条件、違約金がある場合にはその金額もしくは算定条件をご記入ください。
未記入の場合は非認定となります。

③ 利用者からの解約事前受付期限（49：必須開示項目）【記述内容】

利用者からのサービス解約の申請時の受付期限の有無、ある場
合はその期限（何日・何か月前かを記述）【説明】

未記入の場合は非認定となります。

（７）サービス品質① サービス稼働設定値（50：必須開示項目）【記述内容1】

サービス稼働率の目標値

16【記述内容2】

サービス稼働率の実績値【説明1,2】

申請したサービスについてのサービス稼働率について、次の式により算出しご記入ください。
○サービス提供時間＝[契約サービス時間]－[事前通知された定期保守によるサービス停止時間]○サービス稼働時間＝[サービス提供時間]－[事前通知のないサービス停止時間]○サービス稼働率＝[サービス稼働時間]／[サービス提供時間]
なお、事前通知のないサービス停止時間とは、システム障害等
によってサービス提供が停止した時間を指します。
・新規申請時は、直近1年間（サービス開始から1年未満の場
合は、サービス開始後から申請日まで）の稼働率実績をご記入ください。
・更新申請時は、直近1年間の稼働率実績値をご記入ください。
未記入の場合は非認定となります。

【記述内容3】

サービス停止の事故歴【説明3】

サービス停止の事故歴については、申請時期や区分により以下のように記述してください。ここでいうサービス停止事故とは、
大規模な性能劣化または何らかの障害によりサービスの停止と事業者が判断したものを指します。
・新規申請時は、直近1年間（サービス開始から1年未満の場
合は、サービス開始後から申請日まで）のサービス停止事
故件数と事故の概要をご記入ください。
・更新申請時は、直近1年間のサービス停止事故件数と概要についてご記入ください。
未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.1.1「ASP･SaaS サービスを利用者に提供する時間帯を定め、この時間帯における ASP･
SaaS サービスの稼働率を規定すること。また、アプリケーション、プラットフォーム、サーバ・
ストレージの定期保守時間を規定すること。

② サービスパフォーマンスの管理（51：選択開示項目）17【記述内容1】

システムリソース不足等による応答速度の低下の検知の有無と、「有り」の場合は、検知の場所、検知のインターバル、画面の表
示チェック等の検知方法【説明1】

可能な範囲でご記入ください。

【記述内容2】

ネットワーク・機器等の増強判断基準又は計画の有無、「有り」の場合は増強の技術的措置（負荷分散対策、ネットワークルーテ
ィング、圧縮等）の概要【説明2】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.1.1.3「ASP･SaaS サービスを利用者に提供に用いるアプリケーション、プラットファオーム、
サーバ、ストレージ、ネットワークに対し一定間隔でパフォーマンス監視（サービスのレスポン
ス時間の監視）を行うこと。
また、利用者との取決めに基づいて、監視結果を利用者に通知すること。」③

認証取得、監査実施（52：選択開示項目）【記述内容】

プライバシーマーク（JIS Q 15001）等、ISMS（JIS Q 27001
等）、ITSMS（JIS Q 20000-1等）の取得、監査基準委員会報告書
第18号（米国監査基準SSAE16、国際監査基準ISAE3402）の作成の有無と、「有り」の場合は認証名又は監査の名称

【説明】

④

可能な範囲でご記入ください。

脆弱性診断（53：選択開示項目）【記述内容】

脆弱性診断の有無と、「有り」の場合は、診断の対象（アプリケーション、OS、ハードウェア等）と、対策の概要【説明】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.1.4「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォイーム、サーバ・ス
トレージについて定期的に脆弱性診断を行い、その結果に基づいて対策を行うこと。」

18

⑤

バックアップ対策（54：必須開示項目）【記述内容1】

利用者データのバックアップ実施インターバル【記述内容2】世代バックアップ（何世代前までかを記述）（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.3.1「利用者のサービスデータ、アプリケーションやサーバ・ストレージ等の管理情報及びシステム構成情報の定期的なバックアップを実施すること。」【説明】

上記いずれかの記述内容が未記入の場合は非認定となります。

⑥ サービス継続（55：必須開示項目）【記述内容1】 サービスが停止しない仕組み（冗長化、負荷分散等）【記述内容2】 DR（ディザスターリカバリー）対策の有無と、「有り」の場合はその概要【説明】 冗長化、負荷分散等サービスが停止しない仕組みについて記述してください。
DR対策の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、その概要について記述してください。
ここでいうDR対策とは、自然災害やセキュリティインシデント等により、被害を受けたシステムを復旧・修復するための対策（システム面の備えや体制）をいいます。
上記いずれかの記述内容が未記入の場合は非認定となります。

⑦⑧

受賞・表彰歴（56：選択開示項目）【記述内容】

ASP･SaaS サービスに関連する各種アワード等の受賞歴【説明】

可能な範囲でご記入ください。

SLA（サービスレベル・アグリーメント）（57：必須開示項目）【記述内容】

当該サービスに係る SLA が契約書に添付されているか否か【説明】

SLA とは、「事業者が独自に顧客との間で取り決めるサービス水準に関する合意事項」を指します。
未記入の場合は非認定となります。

（８）契約者数① 契約者数（58: 選択開示項目）19【記述内容】 本ASP･SaaSのサービスの契約企業数等【説明】 本ASP･SaaSのサービスの契約企業数を可能な範囲で記述してください。

３．２

アプリケーション、プラットフォーム、サーバ・ストレージ等（１） 品質① AIの精度（59：必須開示項目）【記述内容】 高い精度を実現するための環境条件など、ＡＩの精度に関わる情報【説明】 学習用データの範囲、テスト結果、追加学習など、高い精度を実現するための環境条件など、ＡＩの精度に関わる情報について記述してください。
未記入の場合は非認定となります。
② AIの精度向上策（60：必須開示項目）【記述内容】 追加学習の有無（有りの場合は）【説明】

運用開始後の追加学習の実施の有無（精度が低下した場合など）有りの場合は実施の時期、頻度、役割分担、料金などについて記述してください。
未記入の場合は非認定となります。

③

説明可能性のレベル（61：必須開示項目）【記述内容】 ＡＩの出力結果の根拠の説明可能性のレベル（ホワイトボックス型／ブラック
ボックス型）【説明】 AIが出した結果の根拠の説明可能性について、ホワイトボックス型、ブラックボッ
クス型等、説明可能なレベルを記述してください。
未記入の場合は非認定となります。
（２） 連携① 他のサービス・事業との連携状況に関する情報提供（62：必須開示項目）【記述内容】

他のサービス・事業との連携の有無と、「有り」の場合は技術情報提供の条
件等【説明】 他のサービス・事業との連携状況についての情報提供の可否、及び可能な場合の条件等について記述してください。なお、連携するサービス・事業がない場合
は、「連携サービスはない。」などと記述してください。
未記入の場合は非認定となります。
②

AI関連の連携（63：必須開示項目）【記述内容】 ＡＰＩ等による他社のＡＩ機能の活用の有無、フレームワークやライブラリなど
オープンソースの利用有無【説明】 ＡＰＩ等による他社のＡＩ機能の活用の有無、フレームワークやライブラリなど、オー
プンソースの利用有無について記述してください。

20

未記入の場合は非認定となります。
（３）セキュリティ
① 死活監視（64: 必須開示項目／一定の要件を考慮すべき項目）【記述内容】

死活監視の有無と、「有り」の場合は死活監視の対象（アプリケーション、
プラットフォーム、サーバ・ストレージ等）【説明】 死活監視の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、死活監視の対象（アプリケーション、プラットフォーム、サーバ・

ストレージ等）と監視インターバル(何分ごとに監視を行っているかの数値（時間間隔）)を記述してください。
死活監視を実施していることが認定の条件であり、実施していない場合は非認定となります。
未記入の場合も非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージ、情報セキュリティ対策機器、通信機器の稼働監視（応答確認等）を行うこと。稼働停止を検知した
場合は、利用者に速報を通知すること。」② 時刻同期（65: 必須開示項目）【記述内容1】 時刻同期への対応の有無と、「有り」の場合は時刻同期方法【記述内容2】 時刻同期への対応方法に関する情報提供の可否と、可能な場合の条件等【説明】

時刻同期への対応の有無について「有り」または「無し」を記述してください。
「有り」の場合はシステムの時刻同期方法について記述してください。
情報提供の可否について、「可」または「否」を記述してください。また「可」の場
合は、

条件等について記述してください。

上記いずれかの記述内容が未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.1.1.5「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレー
ジ等（情報セキュリティ対策機器、通信機器等）の時刻同期の方法を規定し、実施すること。」③ ウイルス対策（66: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 ウイルス対策の有無【記述内容2】 ウイルス措置への対応状況に関する情報開示の可否と、可能な場合の条
件等【説明】

ウイルス対策の有無について、「有り」または、「無し」を記述してください。

21

情報提供の可否について、「可」または「否」を記述してください。また「可」の場
合は、条件等について記述してください。
ウイルス対策を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、上記いずれかの記述内容が未記入の場合も非認定となります。

④ 管理者権限の運用管理（67：必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 システム運用部門の管理者権限の登録・登録削除の手順の有無【説明1】 正式な手順の有無について、「有り」または、「無し」を記述してください。手手順が存在していない場合は非認定となります。
未記入の場合も非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理する
ための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセス制御となりすまし対策を行うこと。また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。」⑤ ID・パスワードの運用管理（68: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】事業者側にて、利用者のID・PWを付与する場合におけるIDやパスワードの運用管理方法の規程の有無【説明1】利用者のIDやパスワードの運用管理方法の規程の有無について、「有り」または、「無し」を記述してください。
規程が存在していない場合は非認定となります。
また、未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。」⑥

記録（ログ等）（69:

必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者の利用状況の記録（ログ等）取得の有無と、その保存期間及び利用者への提供可否【記述内容2】 システム運用に関するログの取得の有無と、「有り」の場合は保存期間【記述内容3】 ログの改ざん防止措置の有無

22

【説明】 利用者の利用状況の記録（ログ等）取得の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間、及び利用者への提供可否についても記述してください。
システム運用部門の管理者のログの取得の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間についても記述してください。
ログへの改ざん防止措置の有無について、「有り」または、「無し」を記述してください。
利用者の利用状況の記録（ログ等）取得及びログの改ざん防止措置を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、上記いずれかの記述項目が未記入の場合も非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.2.1.3「利用者の利用状況、例外処理及び情報セキュリティ事象の記録（ログ等）を取得し、記録（ログ等）の保存期間を明示すること。」⑦ セキュリティパッチ管理（70 必須開示項目／一定の要件を考慮すべき項目）【記述内容】 パッチ管理の状況とパッチ更新間隔等、パッチ適用方針【説明】 セキュリティパッチ管理の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、パッチ更新間隔等のパッチ適用方針について記述してください。
パッチ管理を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、未記入の場合も非認定となります。

⑧ 暗号化対策（71：必須開示項目）【記述内容】暗号化措置（データベース）への対応の有無と、「有り」の場合はその概要【説明】データベースに対する暗号化処置の有無について、「有り」または、「無し」を記述
してください。また、「有り」の場合は、その概要について記述してください。
未記入の場合は非認定となります。

⑨ AI関連セキュリティ対策（72：選択開示項目）【記述内容】ＡＩに特化したセキュリティ対策の有無（データによる攻撃への対策など）【説明】データによる攻撃への対策等、ＡＩに特化したセキュリティ対策の有無について記述してください。

23

（３） 性能① AI性能（73: 選択開示項目）【記述内容】学習時間、推論時間（利用者の操作に係わるもの）【説明】学習時間（利用者が機械学習を実施する場合）、推論時間（利用者の操作に係わるもの）について記述してください。

３．３

ネットワーク（１）センター側ネットワーク① 回線（74: 必須開示項目）【記述内容】 専用線（VPNを含む）インターネット等の回線の種類を記述してください。
【説明】 未記入の場合は非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.3.2.4「利用する全ての外部ネットワーク接続について、情報セキュリティ特性、サービスレベ
ル（特に、通信容量とトラヒック変動が重要）及び管理上の要求事項を特定すること。」② 帯域（75: 必須開示項目）【記述内容】 データ通信速度の範囲、帯域保証の有無を記述してください。
【説明】 未記入の場合は非認定となります。
（2）セキュリティ
① ファイアウォール設置等（76: 必須開示項目／一定の要件を考慮すべき項目）【記述内容】 ファイアウォール設置等の不正アクセスを防止する措置の有無【説明】 ファイアウォール設置等の不正アクセスを防止する措置の有無について、「有り」または、「無し」を記述してください。
ファイアウォール措置を実施していない場合も非認定となります。
未記入の場合は非認定となります。
（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.4「外部及び内部からの不正アクセスを防止する装置（ファイアウォール、リバースプロ
キシの導入等）を講じること。」② ネットワーク不正侵入検知（77：必須開示項目）24【記述内容】

不正パケット、非権限者による不正なサーバ侵入に対する検知の
有無

【説明】

未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセ
ス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、
パスワードの有効期限を規定に含めること。」
Ⅲ.3.1.5「不正な通貨パケットを自動的に発見する装置（IDS の導入等）を講じること。」③ ネットワーク監視（78：選択開示項目）【記述内容】

事業者と契約利用者との間のネットワーク（専用線等）において障害が発生した際の通報時間【説明】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.5「外部ネットワークの障害を監視し、障害を検知した場合は管理責任者に通報すること。」④ ユーザ認証（79：必須開示項目／一定の要件を考慮すべき項目）【記述内容】

利用者に対する認証手段と方法（認証基盤を通じた個人認証、
又はID、パスワード等）【説明】

利用者認証が無い場合及び未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセ
ス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。」⑤ なりすまし対策（事業者サイド）（80：必須開示項目）25【記述内容】

第三者による自社を装ったなりすましに関する対策の実施の有無、対策がある場合は認証の方法【説明】

未記入の場合は非認定となります。
対策例として、①専用ソフトによるアクセス監視、②他事業者による関連サービスの利用、③認証局が発行する証明書による確認、④ID・パスワード等運用規程の整備、等をご記入ください。
（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.3「第三社が当該事業者のサーバになりすますこと（フィッシング等）を防止するため、サーバ証明書の取得等の必要な対策を実施すること。」⑥ 暗号化対策（81： 必須開示項目）【記述内容】 暗号化処置（ネットワーク）への対応の有無と、「有り」の場合はその概要【説明】 ネットワークに対する暗号化処置の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、その概要について記述してください。
未記入の場合は非認定となります。

⑦ その他セキュリティ対策（82：選択開示項目）【記述内容】

情報漏洩対策、データの暗号化等の対策について自由に記述【説明】

可能な範囲でご記入下さい。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.2「外部ネットワークを利用し ASP･SaaS 情報交換において、情報を盗聴、改ざん、誤った経路での通信、破壊等から保護するため、通信の暗号化を行うこと。」（４） ＰＣ側ネットワーク①

推奨回線（83：必須開示項目）【記述内容1】 専用線（VPNを含む）、インターネット等の回線の種類【記述内容2】 ユーザ接続回線について、ASP・SaaS事業者が負う責任範囲【説明】 サービスを提供するに当たり推奨する回線の種類について記述してください。
回線に障害が発生した場合、事業者が負う責任範囲について記述してください。

26

仕様等の情報の提供の可否について、「可」または「否」を記述してください。また「可」の場合は、条件等について記述してください。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「利用する全ての外部ネットワーク接続について、情報セキュリティ特性、サービスレベル（特に、通信容量とトラヒック変動が重要）及び管理上の要求事項を特定すること。」

上記いずれかの記述内容が未記入の場合は非認定となります。
③ 推奨帯域（84: 必須開示項目）【記述内容】 推奨帯域の有無と、「有り」の場合はそのデータ通信速度の範囲【説明】 推奨帯域の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、データ通信速度の範囲について記述してください。
未記入の場合は非認定となります。

３．４

端末

（１）端末
① ＰＣ等（操作端末）（85：必須開示項目）【記述内容1】 パソコン、スマホ、タブレット、シンクライアント等の端末の種類、OS等【記述内容2】 利用するブラウザの種類【説明】 例えば「Windows、Ａｎｄｒｏｉｄ、ｉＯＳが走行するＰＣ、タブレット、スマホ」、「ＩＥ、Ｃｒｏ
ｍｅ、Ｆｉｒｅｆｏｘ」など
上記いずれかの記述内容が未記入の場合は非認定となります。

３．５

ハウジング（サーバ設置場所）（１）施設建築物① 建物形態（86: 必須開示項目）【記述内容】 データセンター専用建物か否か【説明】 データセンター専用建物か否かについて記述してください。
未記入の場合は非認定となります。
② 所在地（87: 必須開示項目（記述内容1）／選択開示項目（記述内容2）27

【記述内容1】 国名、日本の場合は地域ブロック名（例：関東、東北）【記述内容2】 特筆すべき立地上の優位性があれば記述（例：標高、地盤等）【説明】 サーバ設置場所について国名を記述してください。設置場所が日本の場合には、地域ブロック名（例：関東、東北）も記述してください。
特筆すべき立地上の優位性があれば記述してください。
記述内容1について未記入の場合は非認定となります。
③ 耐震・免震構造（88: 必須開示項目）【記述内容1】 耐震数値
【記述内容2】 免震構造や制震構造の有無【説明】 サーバが設置されている建物の耐震数値について記述してください。
サーバが設置されている建物の免震構造や制震構造の有無について、「有り」または、「無し」を記述してください。
上記いずれかの項目について未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムが設置されている建物（情報処理施設）については、地震・水害に対する対策が行われていること。」（２）非常用電源設備① 無停電電源（89: 必須開示項目）【記述内容】 無停電電源装置（UPS）の有無と、「有り」の場合は電力供給時間【説明】 無停電電源装置（UPS）の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、電力供給時間について記述してください。
未記入の場合は非認定となります。
② 給電ルート（90: 必須開示項目）【記述内容】 異なる変電所を経由した給電ルート（系統）で２ルート以上が確保されているか否か （自家発電機、UPSを除く）【説明】 自家発電機やUPSを除き、異なる変電所を経由した２系統以上の給電ルートが確保されているか否かについて記述してください。
未記入の場合は非認定となります。
③ 非常用電源（91: 必須開示項目）【記述内容】 非常用電源（自家発電機）の有無と、「有り」の場合は連続稼働時間の数値【説明】 非常用電源（自家発電機）の有無について「有り」または、「無し」を記述してくださ28

い。また、「有り」の場合は、連続稼働時間について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置する場所には、停電や電力障害が生じた場合に電源を確保するための対策を講じること。」（３）消火設備① サーバルーム内消火設備（92: 必須開示項目）【記述内容】 自動消火設備の有無と、「有り」の場合はガス系消火設備か否か【説明】 自動消火設備の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、ガス系消火設備か否かについても記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「サーバルームに設置されている ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムについて、放水等の消火設備の使用に伴う汚損に対する対策を講じること。」② 火災感知・報知システム（93: 必須開示項目）【記述内容】 火災検知システムの有無【説明】 火災検知システムの有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS 事業者は、サービス提供用機器を設置するサーバルームに火災検知・通報システム及び消火設備を備えること。ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置するサーバルームには、火災検知・通報システム及び消火設備を備えること。」（４）避雷対策設備① 直撃雷対策（94: 必須開示項目）【記述内容】【説明】

直撃雷対策の有無

直撃雷対策の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「情報処理施設に雷が直撃した場合を想定した対策を講じること。」

29

② 誘導雷対策（95: 必須開示項目）【記述内容】 誘導雷対策の有無【説明】 誘導雷対策の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「情報処理施設付近に誘導雷が発生した場合を想定した対策を講じること。」（５）空調設備① 空調設備（96: 必須開示項目）【記述内容】 空調設備（床吹き上げ空調、コンピュータ専用個別空調等）の内容【説明】 空調設備（床吹き上げ空調、コンピュータ専用個別空調等）の内容について記述
してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置する場所では、設置されている機器等による発熱を抑えるのに十分な容量の空調を提供すること。」（６）セキュリティ
① 入退館管理等（97: 必須開示項目）【記述内容1】 入退室記録の有無と、「有り」の場合はその保存期間【記述内容2】 監視カメラの有無【記述内容3】個人認証システムの有無【説明】

入退室記録の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間についても記述してください。
監視カメラの有無について「有り」または、「無し」を記述してください。
個人認証システムの有無「有り」または、「無し」を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「重要な物理的セキュリティ境界（カード制御による出入口、有人の受付等）に対し、個人認証システムを用いて、従業員及び出入りを許可された外部組織等に対する入退室記録を作成し、適切な期間保存すること。」「重要な物理的セキュリティ境界に対して監視カメラを設置し、その稼働時間と監視範囲を定めて監視を行うこと。また、監視カメラの映像を予め定められた期間保存すること。」② 媒体の保管（98: 選択開示項目）【記述内容1】 紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの30

有無【記述内容2】 保管管理手順書の有無【説明1、2】紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの有無について「有り」または、「無し」を記述してください。
保管管理手順書の有無について「有り」または、「無し」を記述してください。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「紙、磁気テープ、光メディア等の媒体の保管管理を適切に行うこと。」③ その他セキュリティ対策（99: 選択開示項目）【記述内容】 その他特筆すべきセキュリティ対策（破壊侵入防止対策、防犯監視対策等）【説明】 可能な範囲で記述してください。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「重要な物理的セキュリティ境界の出入口に破壊対策ドアを設置すること。」「重要な物理的セキュリティ境界に警備員を常駐させること。」

３．６

サービスサポート（１）サービス窓口（苦情受付・問合せ）① 連絡先（100: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 電話／FAX、Web、電子メール等の連絡先【記述内容2】 代理店連絡先の有無と、「有り」の場合は、代理店名称、代理店の本店の所在地と連絡先【説明】 電話／FAX、Web、電子メール等の連絡先を記述してください。
代理店連絡先の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、代理店名称、代理店の本店の所在地と連絡先についても記述してください。窓口（連絡先）を設置していない場合は非認定となります。
運用体制に係る問合せの可否について、「可」または「否」を記述してください。
上記いずれかの項目について未記入の場合は非認定となります。
② 営業日・時間（101: 必須開示項目）【記述内容】 営業曜日、営業時間（受付時間）【説明】 営業曜日、営業時間（受付時間）について記述してください。
未記入の場合は非認定となります。

31

③ サポート範囲・手段（102: 必須開示項目）【記述内容1】 サポート範囲【記述内容2】 サポート手段（電話、電子メールの返信等）【説明】 サポート範囲とその手段について記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（２）サービス通知・報告・インシデント対応① メンテナンス等の一時的サービス停止時の事前告知（103: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者への告知時期（1ヵ月前、3ヵ月前、6ヵ月前、12ヵ月前等の単位で記
述）【記述内容2】 告知方法
【説明】

メンテナンス等のために一時的にサービスを停止する場合、利用者への事前告知時期及び告知方法について記述してください。事前告知を実施していない場
合は非認定となります。
上記いずれかの記述内容が未記入の場合も非認定となります。

② 障害・災害発生時の通知（104: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 障害発生時通知の有無と、「有り」の場合は通知方法、及び利用者への通知時間【説明1】 障害発生時通知の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、通知方法、及び利用者への通知時間についても記述してください。
障害発生時の通知を実施していない場合は非認定となります。
但し、サービス利用者への影響が無い障害に限り、通知を行わないことによって非認定にはなりません。
未記入の場合は非認定となります。
③ セキュリティ・インシデント対応（105: 必須開示項目）【記述内容】 セキュリティに関するインシデントが発生した場合の対応（通知、被害の拡大防止、暫定対策、本格対処など）【説明】

セキュリティ・インシデント発生の場合の対応の有無について「有り」または、「無し」を記述してください。「有り」の場合は、対応方法を記述してください。
未記入の場合は非認定となります。

④ 定期報告（106: 必須開示項目）【記述内容】 利用者への定期報告の有無（アプリケーション、サーバ、プラットフォーム、そ32

の他機器の監視結果、サービス稼働率、SLAの実施結果等）【説明】 利用者への定期報告の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージ等（情報セキュリティ対策機器、通信機器等）の監視結果（障害監視、死活監視、パフォーマンス監視）について、定期報告書を作成して利用者等に報告すること。」

33