NICT サイエンスクラウド
セキュア Web アプリケーション開発協力手順書（Ver. 1.1）

情報通信研究機構
統合データシステム研究開発室

改訂履歴
版数

改訂日

改訂内容

1.0

2013/10/25

初版発行

1.1

2015/11/17

リンク切れを修正

目次
1. 本ドキュメントの目的と対象者 ................................................................................... 1
1.1.

本手順書の目的.......................................................................................................... 1

1.2.

本手順書の対象者 ...................................................................................................... 1

2. セキュア Web アプリケーション開発に協力のために実施する事項 ................................... 2
2.1.

WEB アプリケーションの定義 .......................................................................................... 2

2.2.

開発協力体制............................................................................................................. 2

2.3.

開発工程・協力内容 ..................................................................................................... 32.4.

必要書類・文書 ........................................................................................................... 5

2.5.

連絡方法・情報共有 ..................................................................................................... 6

3. 開発手順 .............................................................................................................. 73.1.

仕様検討 ................................................................................................................... 8

3.1.1.

仕様検討工程における手順 ........................................................................................... 8

3.1.2.

WEB アプリケーション製作仕様書の作成について ............................................................ 10

3.2.

要件定義・設計 .......................................................................................................... 11

3.2.1.

要件定義・設計工程における手順 ................................................................................. 11

3.2.2.

セキュリティ要件定義書の作成について ......................................................................... 14

3.2.3.

設計書の作成について................................................................................................ 15

3.2.4.

言語・フレームワークの選定について ............................................................................. 16

3.2.5.

第三者が作成したソフトウェアついて .............................................................................. 16

3.2.6.

セキュリティ試験計画書の作成について ......................................................................... 17

3.2.7.

セキュリティ要件定義書のレビューについて .................................................................... 18

3.2.8.

設計書のレビューについて ........................................................................................... 18

3.2.9.

セキュリティ試験計画書のレビューについて .................................................................... 19

3.3.

実装・試験 ................................................................................................................ 19

3.3.1.

実装・試験工程における手順 ........................................................................................ 19

3.3.2.

WEB アプリセキュリティ試験について .............................................................................. 21

3.3.3.

WEB アプリセキュリティ試験結果のレビューについて ......................................................... 21

3.4.

受け入れ診断 ............................................................................................................ 22

3.4.1.

受け入れ診断工程における手順 ................................................................................... 22

3.4.2.

受け入れ診断（脆弱性診断）の実施について .................................................................. 24

3.4.3.

脆弱性診断結果のレビューと対策方法の検討について..................................................... 24

3.5.

公開・運用 ................................................................................................................ 25

3.5.1.

公開・運用工程における手順 ........................................................................................ 25

3.5.2.

セキュリティ機器・サービスの選定と導入について ............................................................. 27

4. 注意事項 ............................................................................................................. 28
5. 連絡先等 ............................................................................................................. 29

1. 本ドキュメントの目的と対象者
1.1. 本手順書の目的
本手順書は、情報通信研究機構（以下、NICT または当機構という）の NICT サイエンスクラウド上で公開するために、セキュリティの高い動的 Web アプリケーションを開発するに当たって実施すべ
き標準的なセキュリティ開発手順を記載したものである。NICT サイエンスクラウド上で動的 Web ア
プリケーションを公開・運用する場合は、本手順書に沿って開発およびセキュリティ試験を行わなくてはならない。また、外部委託により Web アプリケーションを開発する場合においても、当機構の情報システム室が提供する「ソフトウェア開発における情報セキュリティ対策実施手順書」「情報システ
ムにおける情報セキュリティ対策実施手順書」及び「外部委託における情報セキュリティ対策実施手順書」と併用することで、発注者として外部委託した開発事業者を適切に管理するための資料として有効に活用できる。

1.2. 本手順書の対象者
本手順書は、NICT サイエンスクラウド上で公開予定の動的 Web アプリケーション開発に携わる
当機構職員ならびに外部委託した場合の Web アプリケーションを開発する業者を対象とする。

1

2. セキュア Web アプリケーション開発に協力のために実施する事項
2.1. Web アプリケーションの定義
本手順書では Web ブラウザを介し Web の機能や特徴を利用するアプリケーションを Web アプリ
ケーションと定義する。

2.2. 開発協力体制
Web アプリケーションの開発は、次の体制で行うものとする（図１）。

図１ 開発協力体制


NICT 研究室
 Web アプリ担当者
 Web アプリ開発を担当する職員。原則として、NICT 研究者が担当することになる。
情報セキュリティ管理者
 情報通信研究機構情報セキュリティ管理規定で定められた職員。室などの長をもって充てられ、Web アプリの責任を担う。
Web アプリ開発業者
 Web アプリ担当者が発注する Web アプリ開発業者。Web アプリ担当者自身が開発する場合は、開発業者を担当者と読み替えること。
2



統合データシステム研究開発室


サイエンスクラウド事務局長（SC 事務局長）
 NICT サイエンスクラウド上で Web アプリの公開を許可する職員。
サイエンスクラウドセキュリティ担当者（SC セキュリティ担当者）
 NICT サイエンスクラウドの Web 開発協力を担当する職員。
サイエンスクラウドシステム運用管理業者（SC システム管理業者）
 サイエンスクラウド事務局の年間契約によって NICT サイエンスクラウドの Web 開発
協力を担当する業者。
セキュリティコンサル業者
 サイエンスクラウド事務局の年間契約によってセキュア Web アプリケーション開発・公開を通じてセキュリティコンサルティングを行う業者。








情報システム室
 情報システム担当者
 情報システム室で作業を担当する職員・業者。
 情報システム室長
 情報システム室の責任者となる職員。
 セキュリティ診断業者
 情報システム室の年間契約によって外部セキュリティ診断ツールを使った脆弱性診断を実施する業者。

2.3. 開発工程・協力内容
Web アプリケーションの開発工程には、下記の工程がある。
1.
2.
3.
4.
5.

仕様検討
要件定義・設計
実装・試験
受け入れ診断公開・運用

NICT サイエンスクラウドでは、各工程において開発の協力を実施する。Web アプリケーションのセキュリティに関わる開発協力事項を下記に挙げる。各項目の詳細については、次章で説明する。
1. 仕様検討(ア) Web アプリケーション製作仕様書サンプルの提供
・ NICT サイエンスクラウド上で公開するための Web アプリケーション開発における製作
仕様書のサンプルを提供する
2. 要件定義・設計
3

(ア) Web アプリ要件検討の支援
・ Web アプリケーションの要件検討段階でセキュリティコンサルティングが必要か否かの相談にのり、アドバイスを行う。
(イ) セキュリティコンサル打ち合わせの実施
・ Web アプリ担当者、Web アプリ開発業者、サイエンスクラウド事務局、セキュリティコン
サル業者が Web アプリケーション開発のセキュリティコンサルティング実施内容ならびにスケジュールについて事前に議論ができる場を設ける(ウ) セキュリティコンサル実施計画の提案
・ セキュリティコンサルの実施内容およびスケジュールを提案する(エ) セキュリティ要件定義書の点検とアドバイス・ Web アプリ開発業者が作成した Web アプリケーションのセキュリティ要件定義書の点
検と対策方法のアドバイスを行う(オ) 設計書の点検とアドバイス・ Web アプリ開発業者が作成した設計書内でセキュリティ要件に関わる部分の点検と対策方法のアドバイスを行う(カ) セキュリティ試験計画書の点検とアドバイス・ Web アプリ開発業者が作成した Web アプリケーション開発後のセキュリティ試験計画
書の点検と対策方法のアドバイスを行う(キ) 言語・フレームワークの選定に対するアドバイス・ Web アプリ開発業者が Web アプリケーション開発で使用するために選定したソフトウェ
アと運用方針に関連するアドバイスを行う
3. 実装・試験(ア) 試験結果の点検とアドバイス・ Web アプリ開発業者が実施する試験の内、セキュリティ関わる試験結果の点検と対策方法のアドバイスを行う
4. 受け入れ診断(ア) 脆弱性診断申請の代行
・ 情報システム室が提供する脆弱性診断の受診申請を代行する(イ) 脆弱性診断結果のレビュー
・ 脆弱性診断結果のレビューと対策方法のアドバイスを行う(ウ) セキュア Web アプリケーションの合否判定
・ セキュア Web アプリケーションとして基準を達成しているか否かを判定する(エ) 脆弱性発見箇所の再診断の代行
・ 脆弱性発見箇所対応済み Web アプリケーションの再診断を代行する(オ) 脆弱性再診断結果のレビュー
・ 脆弱性発見箇所対応済みの Web アプリケーションの再診断結果のレビューを行う
5. 公開・運用(ア) Web アプリケーションの公開
4

・ サイエンスクラウド事務局長が許可した Web アプリケーションを公開する(イ) Web サーバの運用・状態の監視
・ セキュリティ機器・サービスの選定と導入ならびに IDS、IPS、WAF による攻撃検知・ア
クセス監視を行う

2.4. 必要書類・文書
NICT サイエンスクラウドが Web アプリケーションの開発協力を実施する上で、以下の書類・文書が必要となる(表１)。
表 1 書類・文書提供元一覧表
書類作成・提供元
Webアプリ担当者・Webアプリ開発業者

サイエンスクラウド事務局・セキュリティコンサル業者

No. 文書名

文書概要

No. 文書名

文書概要

a-1. Webアプリケーション製作仕様書

Webアプリケーション開発協力（セキュリティコン
Webアプリケーションに関する要求事項をまとめ
サルティング）を行う為の申請ならびにセキュリ
Webアプリケーション公開・開発協力依頼申請書た文書。セキュリティ確保の為に必要な要求事 b-1.
ティコンサルティング業者による要件定義・設兼診断結果報告書項についても記載すること。
計・実装・試験レビュー結果を報告するための文書

a-2. Webアプリケーション開発計画書／スケジュール

Webアプリケーション開発における体制、手順、
b-2. Webアプリケーション製作仕様書サンプル
スケジュールについてまとめた文書

NICTサイエンスクラウドでWebアプリケーションを公開するために必要な要求事項をまとめた仕様書のサンプルa-3. Webアプリケーション要件定義書(要求定義書)

Webアプリケーションにおける機能要件、非機能要件（性能や信頼性、拡張性、運用性、セキュリティ）についてまとめた文書。セキュリティ
要件については別途「Webアプリケーションセ
キュリティ要件定義書」にて定義する。

b-3. セキュリティコンサル実施計画書

セキュリティコンサルティング業者がセキュリティ
コンサルティングを行う為の手順・スケジュール等の計画をまとめた文書

a-4. Webアプリケーションセキュリティ要件定義書

Webアプリケーションを設計・実装・試験・運用する上でのセキュリティ保護基準を定義した文書

b-4. Webアプリケーションセキュリティ要求仕様対応表

Webアプリケーションのセキュリティに関する要
求仕様の対応状況を管理するための文書

a-5. Webアプリケーション設計書（詳細仕様書）

画面、プログラム、ファイル、通信プロトコルなどの仕様を定義した文書。「Webアプリケーション
要件定義書」および「Webアプリケーションセ
b-5. Webアプリケーション脆弱性診断申請書
キュリティ要件定義書」の内容を満たす必要がある。

a-6. Webアプリケーションセキュリティ試験計画書

Webアプリケーションのセキュリティ試験の方法や項目をまとめた文書

a-7. Webアプリケーションセキュリティ試験報告書

Webアプリケーションセキュリティ試験計画書に従って試験した結果をまとめた文書

受け入れ診断（脆弱性診断）を行う為の申請書

Web アプリ担当者・Web アプリ開発業者は適宜下記の書類・文書を用意すること。
a-1. Web アプリケーション製作仕様書
a-2. Web アプリケーション開発計画書／スケジュール
a-3. Web アプリケーション要件定義書（要求定義書）
a-4. Web アプリケーションセキュリティ要件定義書
a-5. Web アプリケーション設計書（詳細仕様書）
a-6 Web アプリケーションセキュリティ試験計画書
a-7 Web アプリケーションセキュリティ試験報告書
サイエンスクラウド事務局・セキュリティコンサル業者は以下の書類・文書を提供する。
5

b-1. Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書
b-2. Web アプリケーション仕様書サンプル
b-3. セキュリティコンサル実施計画書
b-4. Web アプリケーションセキュリティ要求仕様対応表
b-5. Web アプリケーション脆弱性診断申請書
・参考 サイエンスクラウド事務局提供書類・文書
 http://sc-web.nict.go.jp

2.5. 連絡方法・情報共有
Web アプリ担当者・開発業者、サイエンスクラウド事務局・セキュリティコンサル業者、情報システ
ム室間の連絡方法・情報共有は、メールベースとする。また、以下のように件名で Web アプリケーシ
ョンと工程状況を管理する。なお、直接セキュリティコンサル業者や情報システム室とやり取りをする
場合においても、必ずサイエンスクラウド事務局のメールアドレスを含め、情報共有に努めること。
・【年度】-【コンサル番号】（【アプリケーション名】_【開発工程番号】【開発工程名】）
 （例：【H25-01（サイエンスクラウド Web アプリケーション_3 実装・試験）】セキュリティ診断
について）

6

3. 開発手順
NICT サイエンスクラウド上で公開する Web アプリケーションは以下の開発手順に沿って開発を進めること（図２）。本開発手順書の要件を満足しない Web アプリケーションの公開は認められない
ため、十分に注意すること。開発協力で必要な書類・文書の提出は書類・文書提出手順（図３）を参考にすること。なお、本開発手順書の対象は、動的 Web アプリケーションを前提としており、静的
Web アプリケーションは、公開の申請に関する手順を除き対象外となる。

図２ 開発工程手順7

図３ 書類・文書提出手順

3.1. 仕様検討
3.1.1. 仕様検討工程における手順
仕様検討の工程において下記に述べる手順（図４）を実施すること（【 】は担当者）。

8

図４ 仕様検討工程における開発手順
1-1 Web アプリ仕様検討 【Web アプリ担当者】
・ 仕様書作成の際にはセキュリティ要件を明確にすること。
・ 必要であれば Web アプリケーション仕様書サンプル(b-2)を利用すること。
・ 暫定の開発計画・スケジュールも明確にすること。
1-2 Web アプリ公開・開発協力申請 【Web アプリ担当者】
・ Web アプリケーション公開・開発協力申請書兼診断結果報告書(b-1)は、１アプリケー
ション毎に作成し、サイエンスクラウド事務局に提出すること。
・ Web アプリケーション製作仕様書(a-1)ならびに開発計画書／スケジュール(a-2)も提出すること。
・ 申請書もしくは仕様書には、Web アプリケーションの目的・機能を出来る限り具体的に記載すること。
・ 情報通信研究機構情報セキュリティ管理規定、ソフトウェア開発における情報セキュリ
ティ対策実施手順書、外部委託における情報セキュリティ対策実施手順書、情報シス
テムにおける情報セキュリティ対策実施手順書の内容を確認し、遵守すること。
・ 審査を迅速に行う為に、Web アプリ担当者は事前にサイエンスクラウド事務局と内容の相談を行うこと。
・ 静的の Web アプリケーション開発と分かっている場合は、Web アプリケーション公開・
開発協力申請書兼診断結果報告書(b-1)のみ提出すること。
9

1-3 Web アプリ開発協力許可審査 【サイエンスクラウド事務局】
・ 基本的に毎週開催しているサイエンスクラウド運営定例会議にて審査を行う。
・ 以下の観点で審査を行う。
 プロジェクト研究テーマに沿った Web アプリケーションか セキュリティ要件が明確になっているか・ サイエンスクラウド事務局長が Web アプリの開発協力の許可を判定する。
1-4 開発協力審査結果報告 【サイエンスクラウド事務局】
・ 審査結果は、Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)に記載する。
・ 審査結果は、サイエンスクラウド事務局から Web アプリ担当者に Web アプリケーション
公開・開発協力依頼申請書兼診断結果報告書(b-1)をメールで送付することで通知する。
・ 審査結果が合格(許可)の場合、セキュリティコンサル実施計画書(b-3)も合わせて送付する。なお、静的の Web アプリケーションの場合は、送付しない。
・ 審査結果が不合格(却下)の Web アプリケーションの公開を希望する場合は、仕様検討から再度実施すること。
1-5 入札・発注 【Web アプリ担当者】
・

参考資料
 情報通信研究機構情報セキュリティ管理規定
 ソフトウェア開発における情報セキュリティ対策実施手順書
 外部委託における情報セキュリティ対策実施手順書
 情報システムにおける情報セキュリティ対策実施手順書
 http://nictinfo.nict.go.jp/jouhou/is/shiryo.html

3.1.2. Web アプリケーション製作仕様書の作成についてWeb アプリ担当者は仕様書を作成する段階で、仕様書に”NICT サイエンスクラウド開発手順書に則り開発が必要な旨”を組み込む必要がある。また、必要に応じてセキュリティコンサルティングに関連する内容も含めるべきである。例えば、下記のような文言を追加することが望ましい。
・

アプリケーション開発手順
 アプリケーション開発段階から、NICT サイエンスクラウド セキュア Web アプリケーション開発手順書に則り開発を行うこと。（同開発手順書の要件を満足しないアプリケーションは納品物として認められないので、十分に注意すること。）

・

定例会合の実施10 当機構関係者および当機構外関係者と連絡をとり、現状の状況報告および目的を達成するための議論の場として定例会合を請負者が主体で開催すること。定例会合のスケジュー
ル調整、資料作成、議題の提示・進行ならびに議事録の作成も行うこと。
・情報共有
 必要に応じて NICT サイエンスクラウド関係者とも情報共有すること。また、セキュリティコン
サル業者と直接連絡を取り合うことを許容すること。



参考資料
 株式会社トライコーダの「発注者のための Web システム／Web アプリケーションセキュリテ
ィ要件書」
 https://www.tricorder.jp/security_requirement.html
財団法人 地方自治情報センター（LASDEC）の「地方公共団体における情報システムセ
キュリティ要求仕様モデルプラン（Web アプリケーション）」
 https://www.j-lis.go.jp/lasdec-archive/cms/12,28369,84.html

3.2. 要件定義・設計
3.2.1. 要件定義・設計工程における手順
要件定義・設計の工程において下記に述べる手順（図５）を実施すること（【 】は担当者）。

11

図５ 要件定義・設計工程における開発手順
2-1 Web アプリ要件検討 【Web アプリ担当者・Web アプリ開発業者・サイエンスクラウド事務局】
・ 静的または動的など Web アプリケーションの要件を明確にすること。
12

・ 動的 Web アプリケーションの場合、NICT サイエンスクラウド事務局は、要件検討段階
からセキュリティコンサルが必要か否かの相談を受け付けるものとする。
・ 静的 Web アプリケーションの場合は、公開の許可が下りれば公開される。したがって、以後の手順は特段言及しない限り動的 Web アプリケーションを前提とする。
2-2 セキュリティコンサル打ち合わせ 【Web アプリ担当者・Web アプリ開発業者・サイエンスク
ラウド事務局・セキュリティコンサル業者】
・ Web アプリ担当者・Web アプリ開発業者は、必要に応じてサイエンスクラウド事務局・
セキュリティコンサル業者に Web アプリケーションのセキュリティに関する相談を行うこと。
2-3 セキュリティ要件定義/設計/セキュリティ試験計画検討 【Web アプリ開発業者】
・ セキュリティコンサルで必要なセキュリティ要件定義、設計、セキュリティ試験計画を検討すること。
・ Web アプリ開発業者の責務として、Web アプリケーションの開発に必要なその他の作業（要件定義、コーディング規約、構成管理手順（※）、セキュリティ試験以外の試験（機能試験・耐久試験等）についても検討すること。
2-4 言語・フレームワークの選定 【Web アプリ開発業者】
・ セキュリティの観点も考慮し開発プログラム言語・フレームワークの選定を行うこと。また、必要に応じてセキュリティコンサル業者に相談すること。
2-5 Web アプリ開発書類・文書作成 【Web アプリ開発業者】
・ セキュリティコンサルで必要なセキュリティ要件定義書、設計書、セキュリティ試験計画書を作成すること。
・ Web アプリケーションの開発に必要なその他の書類・文書（要件定義書、コーディング
規約、構成管理手順書、試験計画書等）も作成すること。
2-6 セキュリティ試験入札・発注検討 【Web アプリ担当者】
・ 第三者のセキュリティ業者による試験が必要か否かを検討すること。また、必要に応じてセキュリティコンサル業者に相談すること。
・ 必要と判断した場合、入札・発注の手続きを進めること。
2-7 Web アプリ開発書類・文書提出 【Web アプリ担当者】
・ 要件定義書(a-3)、セキュリティ要件定義書(a-4)、設計書(a-5)、セキュリティ試験計画書(a-6)をサイエンスクラウド事務局に提出すること。
・ サイエンスクラウド事務局またはセキュリティコンサル業者より、コーディング規約、構成管理手順書、機能試験・耐久試験計画書についても提出が求められた場合は、提出すること。
・ Web アプリ担当者としての責務は全うすること。
 要件定義書の機能要件およびセキュリティ要件以外の非機能要件が仕様書を満足しているか否かを確認する。
 設計書の内容が要件定義書の機能要件およびセキュリティ要件以外の非機能要件を満足しているか否かを確認する。
13 コーディング規約、構成管理手順、試験計画が要件定義書ならびに設計書を満足しているか否かを確認する。
2-8 セキュリティコンサル実施計画書提出 【セキュリティコンサル業者】
・ セキュリティコンサルの実施内容およびスケジュールを提案する。
2-9 Web アプリ開発書類・文書レビュー 【サイエンスクラウド事務局・セキュリティコンサル業者】
・ セキュリティの観点から以下のレビューを行う。
 セキュリティ要件が十分に定義されているか セキュリティ要件を満足する設計がされているか セキュリティ要件を満足する適切なセキュリティ試験が可能か
2-10 レビュー結果報告 【サイエンスクラウド事務局】
・ レビュー結果は、Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)に記載する。
・ レビュー結果は、サイエンスクラウド事務局から Web アプリ担当者に Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)をメールで送付することで通知する。
・ Web アプリケーションセキュリティ要求仕様対応表(b-4)も合わせて送付する。
・ レビュー結果で指摘がある場合は、セキュリティ要件定義、設計等の検討から再度実施すること。
※構成管理手順書： ソースコードや文書などの成果物を管理する為の手順を定義した文書。変更管理、ステータス管理などが構成管理にあたる。

3.2.2. セキュリティ要件定義書の作成についてWeb アプリ開発業者は Web アプリケーション開発に使用するセキュリティ要件定義書を作成し、Web アプリ担当者に提出する必要がある。これに基づいて、Web アプリケーションの設計と実装を行うものとする。
セキュリティ要件定義書の作成に当たっては、開発対象となるソフトウェアのセキュリティを確保する観点のみならず、直接・間接に結びついた他の情報システムへの影響も考慮に入れておく必要がある。例えば対象となる Web アプリケーション自体の重要度が低い場合であっても、不正侵入の脅威が大きい環境に設置されるのであれば、踏み台にされ、他の情報システムを脅威にさらす可能性があるからである。
Web アプリ開発業者は、セキュリティ要件定義書作成の際には下記の参考資料の内容を参考にすること。サイエンスクラウド事務局またはセキュリティコンサル業者は、セキュリティ要件定義書作成に関する相談を受けるものとする。Web アプリ担当者は Web アプリ開発業者が作成したセキュリ
ティ要件定義書が、参考資料のセキュリティ要件通りに作成されているかどうかの確認を行うこと。
なお、NICT サイエンスクラウドは、参考資料に示すセキュリティ要件書の採用を推奨する。
14



参考資料




株式会社トライコーダの「発注者のための Web システム／Web アプリケーションセキュリテ
ィ要件書」
 http://www.tricorder.jp/security_requirement.html
財団法人 地方自治情報センター（LASDEC）の「地方公共団体における情報システムセ
キュリティ要求仕様モデルプラン（Web アプリケーション）」
 https://www.lasdec.or.jp/cms/12,28369,84.html

3.2.3. 設計書の作成についてWeb アプリ開発業者は Web アプリケーション開発に使用する設計書を作成し、Web アプリ担当者に提出し承認を得る必要がある。これに基づいて、Web アプリケーションの実装を行うものとする。
セキュリティ要件定義書で明確にしたセキュリティ要件を満たす Web アプリケーションを開発するた
めには、要件を満たす具体的な機能を設計しなければならない。この際、実装の段階で齟齬が発生しないように、設計書を作成すること。そして、セキュリティ観点における設計書の妥当性の確認も必要である。また、あらゆる脅威を想定し、それらに対して完全な措置を講ずることは、実際には困難であることから、セキュリティが侵害された場合の対策をあらかじめ設計をしておくこと。
Web アプリ開発業者は、設計書作成の際には、下記の参考資料の内容を参考にすること。Web
アプリ担当者は Web アプリ開発業者が作成した設計書が、セキュリティ要件定義書に記載されている項目の要件通りに設計されているかどうかの確認を行うこと。また、Web アプリ担当者は Web アプ
リ開発業者と相談し、設計書を作成する上で、第三者のセキュリティ業者の本格的な協力が必要かどうかを判断すること。必要な場合は手続きを進め実施すること。なお、サイエンスクラウド事務局またはセキュリティコンサル業者は、セキュリティ観点で設計書作成の協力をする業者の選定に関する相談を受けるものとする。
(1) セキュリティの設計
セキュリティ要件定義書に準拠してセキュリティの設計を行うこと。セキュリティの設計は、セキュリティ要件定義を満たす網羅的な構成を取ること。これによって、強力な認証やアクセス制御、妥当性の検証など、強固なセキュリティの設計を行なう必要がある。
(2) 設計書におけるセキュリティ機能の具体化
セキュリティの機能を設計書において具体化し、記述すること。Web アプリケーションの設計は、作業段階に応じて基本設計から詳細設計へと具体化され、設計書として文書化される。
開発規模や複雑性等によって、どのレベルまで詳細な設計書を必要とするかは異なるが、実装段階での齟齬を防止するため、セキュリティ機能を明確に記述しておく必要がある。


参考資料
 情報処理推進機構「安全なウェブサイトの作り方」
 http://www.ipa.go.jp/security/vuln/websecurity.html
15

外部委託における情報セキュリティ対策実施手順書



情報システムにおける情報セキュリティ対策実施手順書
 http://nictinfo.nict.go.jp/jouhou/is/shiryo.html

3.2.4. 言語・フレームワークの選定について
Web アプリ開発業者は開発に使用するプログラミング言語、フレームワークの選定を行い、利用する開発環境の情報一覧を作成し、Web アプリ担当者に提出すること。サイエンスクラウド事務局またはセキュリティコンサル業者は、言語・フレームワークの選定に関する相談を受けるものとする。
下記の項目について決定する必要がある。
1.
2.
3.
4.

プログラミング言語の名称と初期実装時のバージョン番号
フレームワークを活用する場合には、フレームワークの名称と初期実装時のバージョン番号
上記の選定理由
上記に新バージョンや修正パッチがリリースされた際の適用について（実施時期、実施方
法）

3.2.5. 第三者が作成したソフトウェアについて「第三者が作成したソフトウェア」とは、Web アプリ開発業者が Web アプリケーション開発や実装に使用する、第三者が作成したソフトウェアを指す。オープンソースかクローズドソース、無償か有償かなどの形式は問わない。サーバ、アプリケーション、パッケージソフト、言語環境、データベー
ス、フレームワーク、モジュール、ライブラリなど、さまざまなものがある。
この類のソフトウェアはソースコードが公開されていたとしても、事前に脆弱性が存在することを調べるのは困難である。そのため、脆弱性診断実施時にそのソフトウェアに由来する脆弱性が発見されることがある。またそれ以外にも、当該ソフトウェアのアップデート、第三者からの指摘などによって脆弱性の存在が明らかになるなどのリスクも存在する。
その他、注意すべき点として、ほとんどすべてのオープンソースソフトウェアはライセンスに「無保証であること」が記されている。つまり、動作の結果何らかの損害をもたらしたとしてもそれを保障しないものと定めているということを理解した上で使用しなければならない。第三者が作成したソフトウ
ェアを利用する場合には下記を実施することが必要である。
(1) ソフトウェア一覧の提出
ソフトウェア一覧には下記を記載すること。
1. 使用している第三者が作成したソフトウェアの一覧（名称、使用するバージョン、アップデート情報が掲載される Web サイトの情報など）

16

2.

リリースされたアップデートを確認する方法

3.

（例：自動アップデート機能で毎日確認、公式サイトの RSS 情報を毎日確認、毎週月曜日に確認を実施など）
リリースされたアップデートを適用する方法（例：自動アップデート機能によって自動的に適用、毎週水曜日にアップデート適用を実施など）(2) 最新バージョンの使用
実装段階でリスクを軽減する方法として下記から選択することとする。
1. リリースされている最新バージョンを使用する（安定稼働版を選択する）。
2. OS ディストリビューションがサポートする最新バージョンを使用する。
3. 脆弱性情報を確認する。

3.2.6. セキュリティ試験計画書の作成について
Webアプリ開発業者は、セキュリティ要件に合致したWebアプリケーションの脆弱性検証に関する試験を行う必要がある。Webアプリ担当者と相談し、試験項目、試験方法等を検討し計画書を作成すること。セキュリティ試験は、下記に示す試験項目ならびに評価手法を最低限満たすこと。
サイエンスクラウド事務局またはセキュリティコンサル業者は、セキュリティ試験方法の相談を受けるものとする。
（１）試験項目OWASP Top Ten（最新版）に記載されている脆弱性を試験項目として含めること。
（２）評価手法
CVSSv2 と同等の評価手法で評価すること。
NICT サイエンスクラウドでは、これらの条件を満たさないセキュリティ試験の結果は受け付けないものとする。


参考資料
 OWASP Top Ten Project https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
サイバー攻撃からビジネスを守る セキュリティ診断サービスガイド（NTT 出版）
 http://www.nttpub.co.jp/search/books/detail/100002241
情報処理推進機構：情報セキュリティ：脆弱性の深刻度評価の新バージョン CVSS v2 への移行について http://www.ipa.go.jp/security/vuln/SeverityLevel2.html
17

3.2.7. セキュリティ要件定義書のレビューについて
セキュリティコンサル業者は Web アプリ担当者が提出したセキュリティ要件定義書に記載されているセキュリティ要件の内容について確認を行う。
・ NICT サイエンスクラウド推奨のセキュリティ要件定義書を採用している場合
NICT サイエンスクラウドが推奨するセキュリティ要件定義書を採用している場合は、レビューを行わない。
・ Web アプリ開発業者独自のセキュリティ要件定義書を提示する場合
Web アプリ開発業者（または Web アプリ担当者）が独自のセキュリティ要件定義書を提示する場合には、主に下記の 10 項目についてレビューを行う。
1. 認証
2. 認可(アクセス制御)
3. セッション管理
4. パラメーター
5. 文字列処理
6. HTTPS
7. Cookie
8. 画面設計
9. その他
10. 提出物
これらについて、NICT サイエンスクラウドが推奨するセキュリティ要件書に記載している要求仕様の必須事項を満たしていることを要件定義・設計・実装・試験セキュリティ要求事項対応チェック
シート上で確認することをもって、Web アプリ開発業者から提出された要件定義書を合格とする。合
格しなかった場合には、必須事項を満たす対策のアドバイスを行う。


参考資料
 株式会社トライコーダの「発注者のための Web システム／Web アプリケーションセキュリテ
ィ要件書」
http://www.tricorder.jp/security_requirement.html

3.2.8. 設計書のレビューについて
Web アプリ開発業者が作成した設計書について、サイエンスクラウド事務局とセキュリティコンサ
ル業者がセキュリティ要件定義書に記載されている要件通りに設計されるかどうかの確認を行う。
サイエンスクラウド事務局ならびにセキュリティコンサル業者は、要件定義・設計・実装・試験セキ
ュリティ要求事項対応チェックシート上で、下記の項目の確認がとれたことをもって Web アプリ担当
18

者から提出された設計書を合格とする。また、適宜、必須事項を満たすためのアドバイスを行うとともに、Web アプリ開発業者が選定した開発言語やフレームワークについてもセキュリティの観点からアドバイスを行う。
1. 合格したセキュリティ要件定義書に記載されているセキュリティ要件を満たす手法である。
2. その手法が設計書に反映されている。
3. その設計書を基に Web アプリケーションを実装することに Web アプリ開発業者と Web アプリ
担当者が同意したエビデンスがある。

3.2.9. セキュリティ試験計画書のレビューについて
Web アプリ開発業者が作成したセキュリティ試験計画書について、サイエンスクラウド事務局とセキュリティコンサル業者がセキュリティ要件定義書に記載されている要件を満たす試験として十分であるかどうかの確認を行う。
セキュリティコンサル業者ならびにサイエンスクラウド事務局は、要件定義・設計・実装・試験セキ
ュリティ要求事項対応チェックシート上で、下記の項目の確認がとれたことをもって Web アプリ担当
者から提出されたセキュリティ計画書を合格とする。また、適宜、必須事項を満たすためのアドバイスも行う。
1. OWASP Top Ten（最新版）の脆弱性がセキュリティ試験項目としてセキュリティ試験計画書に記載されている。
2. OWASP Top Ten（最新版）の脆弱性に対するセキュリティ試験方法がセキュリティ試験計
画書に記載されている。
3. CVSSv2 の評価手法と同等の試験方法が明確に記載されている。
4. そのセキュリティ試験計画書に遵守してセキュリティ試験を実施することに Web アプリ開発
業者と Web アプリ担当者が同意したエビデンスがある。

3.3. 実装・試験
3.3.1. 実装・試験工程における手順
実装・試験の工程において下記に述べる手順（図６）を実施すること（【 】は担当者）。

19

図６ 実装・試験工程における開発手順
3-1 実装 【Web アプリ開発業者】
・ 要件定義書、コーディング規約、構成管理手順ならびに合格したセキュリティ要件定
義書、設計書に沿って実装すること。
・ サイエンスクラウド事務局またはセキュリティコンサル業者がアプリケーション開発環境の情報を要求した場合には、報告すること。
・ Web アプリケーションプログラムについては、バージョン管理を行うこと。
3-2 Web アプリセキュリティ試験 【Web アプリ開発業者】
・ 合格したセキュリティ試験計画書に沿ってセキュリティ試験を実施すること。
・ サイエンスクラウド事務局またはセキュリティコンサル業者が試験環境の情報を要求した場合には、報告すること。
・ セキュリティ試験以外の試験（機能試験・耐久試験等）も実施すること。
・ 不具合が発見された場合、実装し直すこと。
3-3 セキュリティ試験結果提出 【Web アプリ担当業者】
・ セキュリティ試験報告書(a-7)をサイエンスクラウド事務局に提出すること。
・ セキュリティ試験計画書通りの試験が実施されたか確認すること。
・ Web アプリ担当者の責務として、セキュリティ要件以外の要件定義（機能要件・運用要
件・性能要件など）を満足するかの確認も行うこと。
3-4 セキュリティ試験結果レビュー 【サイエンスクラウド事務局・セキュリティコンサル業者】

20

・ セキュリティ試験結果に対して NICT サイエンスクラウドの判断基準をもとに脆弱性の有無を確認する。
3-5 レビュー結果報告 【サイエンスクラウド事務局】
・ レビュー結果は、Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)に記載する。
・ レビュー結果は、サイエンスクラウド事務局から Web アプリ担当者に Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)をメールで送付することで通知する。
・ レビュー結果で指摘がある場合は、セキュリティ要件定義、設計等の検討から再度実施すること。

3.3.2. Web アプリセキュリティ試験について
高い品質の Web アプリケーションを開発するためには、上流工程の成果を受けて正しい実装が行われているかを検証し、かつ実装結果が、上流工程で定められた目的や要件に合致しているかの妥当性の確認を徹底する必要がある。この検証と妥当性確認は、セキュリティを保証する意味でも、中核的な位置付けとなる作業である。
・ Web アプリ開発業者の自組織内でセキュリティ試験を実施する場合
Web アプリ開発業者は、作成した Web アプリケーションに対して、セキュリティ試験計画書に沿ってセキュリティ要件定義書で定義した仕様を満たしているかどうかを確認する試験を行い、そのセキュリティ試験結果を Web アプリ担当者に報告すること。脆弱性がある場合は、セキュリ
ティ試験報告書を提出する前に実装し直し、再試験を実施すること。Web アプリ担当者は、サイエンスクラウド事務局とセキュリティコンサル業者にその結果をセキュリティ試験報告書として提出すること。
・ 第三者のセキュリティ業者がセキュリティ試験を実施する場合
Web アプリ担当者は、セキュリティ試験計画書に示す第三者のセキュリティ業者にセキュリテ
ィ試験を依頼し、試験結果を取得すること。Web アプリ担当者および Web アプリ開発業者がセキュリティ試験結果の内容を確認した上で、セキュリティ試験報告書としてサイエンスクラウド事
務局とセキュリティコンサル業者に提出すること。

3.3.3. Web アプリセキュリティ試験結果のレビューについて
Web アプリケーションセキュリティ試験結果報告書に記載された試験結果を基にサイエンスクラウ
ド事務局とセキュリティコンサル業者が脆弱性の有無の確認を行う。判定基準は下記の 2 通りである。
1.

発見された脆弱性はゼロ
21

2.

低リスクの脆弱性が発見された（CVSS 基本値で 3.9 以下）

2 通りのうちどちらの判定基準が採用されるかは、セキュリティコンサル業者とサイエンスクラウド
事務局が検討したうえで判断する。試験した項目が全て基準を満たす結果であることの確認をもって合格とする。基準を満たさない項目については、対策のアドバイスを行う。


参考資料
 情報処理推進機構：情報セキュリティ：脆弱性の深刻度評価の新バージョン CVSS v2 への移行について http://www.ipa.go.jp/security/vuln/SeverityLevel2.html

3.4. 受け入れ診断
3.4.1. 受け入れ診断工程における手順
受け入れ診断の工程において下記に述べる手順（図７）を実施すること（【 】は担当者）。

図７ 受け入れ診断工程における開発手順224-1 Web アプリ脆弱性診断準備 【Web アプリ開発業者】
・ サイエンスクラウド事務局と相談し、適宜脆弱性診断の準備を行うこと。
4-2 Web アプリ脆弱性診断申請 【Web アプリ担当者】
・ Web アプリケーション脆弱性診断申請書をサイエンスクラウド事務局に提出すること。
4-3 Web アプリ脆弱性診断準備 【サイエンスクラウド事務局】
・ 具体的な作業は以下の通り。
 FW／IPS 設定
 Web サーバ設定
4-4 Web アプリ脆弱性診断依頼 【サイエンスクラウド事務局】
・ 情報システム室が提供する脆弱性診断の受診を依頼する。
・ セキュリティコンサルで得られた条件を予め情報システム室に連絡する。
 オープンソースソフトウェア(OSS)を利用しているため、コンサルのプロセスでは確認できない等。
4-5 Web アプリ脆弱性診断実施 【情報システム担当者】
4-6 Web アプリ脆弱性診断結果送付 【情報システム担当者】
4-7 セキュア Web アプリ合否判定 【セキュリティコンサル業者】
・ Web アプリ脆弱性診断結果からセキュア Web アプリケーションの基準を満たしているか判定する。
・ 診断結果より脆弱性の指摘が挙がっていないことが、基本的な合格の条件とする
・ ただし、脆弱性指摘に対する対策が十分であるとセキュリティコンサル業者が判断した場合は、合格とする。
4-8 判定結果報告 【サイエンスクラウド事務局】
・ 判定結果は、Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)に記載する。
・ 判定結果は、サイエンスクラウド事務局から Web アプリ担当者に Web アプリケーション
公開・開発協力依頼申請書兼診断結果報告書(b-1)をメールで送付することで通知する。
・ 判定結果で不合格の場合は、要件定義、設計等の検討から再度実施すること。
・ 判定結果で条件付合格の場合は、実装し直し、Web アプリ脆弱性診断を再受診すること。
・ 再診断の対象は、条件を満たした(脆弱性指摘箇所が対策済)の Web アプリケーションとする。
・ 再診断が可能な期間は、受け入れテスト（脆弱性診断）の初回の実施日から 2 週間以
内とする。

23

3.4.2. 受け入れ診断（脆弱性診断）の実施について
Web アプリ担当者が提示した Web アプリケーションを公開するために、セキュリティ要件定義書を満たしているかどうかの受け入れ診断を、サイエンスクラウド事務局側で行う。受け入れ診断の実施
方法は、NICT 情報システム室が年間契約しているセキュリティ診断業者のセキュリティ診断ツールを使った脆弱性診断で行う。
セキュリティ診断業者のセキュリティ診断ツールのレポートに対する質問は、NICT サイエンスクラ
ウド事務局に相談をするか直接セキュリティ診断業者に問い合わせを行うこと。連絡先については、
NICT サイエンスクラウド事務局に問い合わせること。なお、直接セキュリティ診断業者に問い合わせる手段はメールとし、必ず NICT サイエンスクラウド事務局および情報システム室にもメールの内容を共有すること。

3.4.3. 脆弱性診断結果のレビューと対策方法の検討について
受け入れ診断（脆弱性診断）の実施後に、脆弱性診断結果のレビューと対策方法の検討を行う。
脆弱性診断結果を基に、Web アプリ担当者および Web アプリ開発業者を交えて内容の確認を行い、脆弱性があった場合には、Web アプリ担当者および Web アプリ開発業者に対して対策方法の提示を求める。
(1) 脆弱性の合否判定と再診断について
脆弱性診断結果の合否判定は、提出された脆弱性診断結果を基にサイエンスクラウド事務局とセキュリティコンサル業者が脆弱性の有無の確認を行う。判定基準は下記の 2 通りである。
1.
2.

発見された脆弱性はゼロ
低リスクの脆弱性が発見された（CVSS 基本値で 3.9 以下）

2 通りのうちどちらの判定基準が採用されるかは、セキュリティコンサル業者とサイエンスクラウド
事務局が検討したうえで判断する。診断した項目が全て基準を満たす結果であることの確認をもって合格とする。合格の場合には、Web アプリケーションの公開を行う要件を満たすと判断される。不合格の場合には、Web アプリ担当者は Web アプリ開発業者に瑕疵担保責任として修正を実施依頼し、脆弱性発見箇所の再診断の実施（診断実施者による再診断）を行う。再診断は、その脆弱性
診断結果を受けて、レビューと対策方法の検討を実施する。再診断が可能な期間は、受け入れ診
断（脆弱性診断）の初回の実施日から 2 週間以内とする。


参考資料
 情報処理推進機構：情報セキュリティ：脆弱性の深刻度評価の新バージョン CVSS v2 への移行について http://www.ipa.go.jp/security/vuln/SeverityLevel2.html

24

(2) 第三者が作成したソフトウェアに脆弱性が発見された場合
受け入れ診断（脆弱性診断）で発見された脆弱性が、第三者が作成したソフトウェアに由来するものである場合には、リスクを緩和する方法として下記から選択することとする。
1.
2.
3.
4.

当該ソフトウェアを脆弱性のないバージョンにアップデートする。
当該ソフトウェアを使用しない。
当該ソフトウェアの脆弱性を修正する。
当該ソフトウェアへのアクセスを特定の IP アドレスに制限する （IP アドレスフィルタリングの利用、接続を VPN 経由のみに限定など）。
5. 当該ソフトウェアへの不正アクセスを IPS、WAF などを用いて監視し防止する。
その他、以下の参考資料を基にして対策を施すこと。
参考資料
 情報処理推進機構「安全なウェブサイトの作り方」
 http://www.ipa.go.jp/security/vuln/websecurity.html
 外部委託における情報セキュリティ対策実施手順書
 情報システムにおける情報セキュリティ対策実施手順書
 http://nictinfo.nict.go.jp/jouhou/is/shiryo.html

3.5. 公開・運用
3.5.1. 公開・運用工程における手順
公開・運用の工程において下記に述べる手順（図８）を実施すること（【 】は担当者）。

25

図８ 公開・運用工程における開発手順
5-1 情報セキュリティ管理者 Web アプリ公開承認依頼 【Web アプリ担当者】
・ Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)を所属研究室の情報セキュリティ管理者に提出し、公開の承認を得ること。
5-2 承認結果提出 【Web アプリ担当者】
・ 情報セキュリティ管理者の承認済みの Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)をサイエンスクラウド事務局に提出すること。
5-3 Web アプリ公開許可審査 【サイエンスクラウド事務局】
・ サイエンスクラウド事務局長が公開の許可を判定する。
5-4 審査結果報告 【サイエンスクラウド事務局】
・ 判定結果は、Web アプリケーション公開・開発協力依頼申請書兼診断結果報告書(b-1)に記載する。

26

・ 判定結果は、サイエンスクラウド事務局から Web アプリ担当者に Web アプリケーション
公開・開発協力依頼申請書兼診断結果報告書(b-1)をメールで送付することで通知する。
・ 審査結果が不合格(却下)の Web アプリケーションの公開を希望する場合は、要件定
義、設計等の検討から再度実施すること。
5-5 Web アプリ公開準備 【サイエンスクラウド事務局】
・ 具体的な作業は以下の通り。
 【サイエンスクラウドシステム運用管理業者】
 FW／IPS 設定
 Web サーバ設定
5-6 Web アプリ公開連絡 【サイエンスクラウド事務局】
・ 公開の連絡は、サイエンスクラウド事務局から Web アプリ担当者にメールで通知する。
5-7 Web サーバ運用・監視 【サイエンスクラウド事務局】 【情報システム室】
・ 具体的な監視内容は以下の通り。
 【サイエンスクラウドシステム運用管理業者】
 OSN-IPS による不正アクセス監視 Web サーバアクセス監視 【情報システム室】
 機構-IPS による不正アクセス監視3.5.2. セキュリティ機器・サービスの選定と導入について
運用開始後にセキュリティの脅威が発生することがある。未然にその脅威を防ぐためにはセキュ
リティ機器やセキュリティサービスの導入が必要になる。Web アプリ担当者は、予算や必要性などに応じてセキュリティ機器を導入するかどうかの検討をセキュリティコンサル業者とサイエンスクラウド
事務局とともに行う。検討項目には下記のものがある。


セキュリティ機器の選定と導入
 IDS、IPS、WAF などのセキュリティ機器
セキュリティサービスの選定と加入
 セキュリティ機器の運用代行などのセキュリティ監視サービス

27

4. 注意事項
負担費用に関しては、個別にご相談を承ります。NICT サイエンスクラウド事務局までお問い合わ
せ下さい。

28

5. 連絡先等
本手順書の内容およびセキュア Web アプリケーション開発・試験・公開、その他ご質問についてのお問い合わせは、NICT サイエンスクラウド事務局までお願いします。
NICT サイエンスクラウド事務局
住所： 〒184-8795 小金井市貫井北町 4-2-1
メールアドレス： osn-system@ml.nict.go.jp

29