情報システムに係る政府調達における情報セキュリティ要件策定マニュアル用ワークシート（1/4）■ ステップ1： 目的及び業務の洗い出し （⇒ マニュアル4.1節）【ワークシート１】
項目
名称
目的
業務

内容
行政情報提供システム
インターネットを経由してA省の行政情報を、国民に提供するしくみを確立すること(1) 「国民」が、「行政情報提供システム」から行政情報を取得(2) 「事務局」が、「行政情報提供システム」に行政情報を登録(3) 「事務局」が、「行政情報提供システム」の閲覧傾向の把握と、システムの運用と管理■ ステップ2： 業務の特徴の整理 （⇒ マニュアル4.2節）【ワークシート２】
主体
国民業務
行政情報の閲覧業務（細分化後）
閲覧業務（細分化後）の概要
情報
行政情報を表示し、内容を確認す 「行政情報」
る。

利用環境・手段
インターネット、PC、
携帯電話、スマート
フォン、タブレット端
末

事務局

行政情報の登録

登録

サーバにコンテンツ（行政情報）を 「行政情報」
登録する。
サーバに登録済みのコンテンツ（行 「行政情報」
政情報）を更新及び削除する。

内部ネットワーク、業
務用PC

管理

システム管理者

閲覧傾向の把握と、 利用状況の把握システムの運用と管理
不正利用及び障害の監視、追跡システムのバックアップと復旧管理用LAN、管理用
利用者のアクセスした日時及び対 「利用統計」
象に関するログ等の集計を行う。 （Web サイトのページ毎のアクセス PC
アクセス状況の監視及びログ等を 「アクセスログ」
元にした原因究明を行う。
システムのデータを定期的にバッ 「システムデータ」
クアップ及び障害時の復旧を行う。

1 / 9 ページ

情報システムに係る政府調達における情報セキュリティ要件策定マニュアル用ワークシート（2/4）■ ステップ3： システム概要図の作成 （⇒ マニュアル4.3節）【ワークシート3】
表記ルール
1
2
3
4
5
6
7
8
システム概要図

主体（人やシステム）を表す図形を決定する。
調達対象となる情報システムを図の中央付近に記載する。
業務（情報のやりとり）が発生する主体の間を矢印で結ぶ。
矢印の向きと情報の流れができるだけ一致するように業務及び情報の名称（または略称）を記載する。
利用環境・手段のうち、機器は機器を用いる主体の付近に記載し、ネットワークは情報のやりとりを表す矢印の付近（背景部分）に記載する。
サーバや端末等の機器が情報を蓄積する場合、その付近にその情報の名称を記載する。
すべての情報を書き込み切れない場合は各ステップの検討結果を別表に整理して採番し、図には番号等を記載する。
異なる主体であっても情報や利用環境・手段等に共通点がある場合には、一括して記載するなどして、図が難解にならないように工夫する。

■ ステップ4： 定型設問による業務要件の詳細化 （⇒ マニュアル4.4節）【ワークシート4】
ID
A-1
A-2
A-3
A-4
A-5
A-6
A-7
B-1
B-2
B-3
B-4
B-5
B-6
B-7
B-8
C-1
C-2
C-3
C-4
C-5

観点
主体

情報

利用環境・手段

設問【数量】 おおよその人数規模は？
【主体分類】 主体の分類は？
【集合特性】 特定か不特定か？
【所属】 システム所管部署との関係は？
【頻度】 １人あたりのアクセス頻度は？
【利用時間】 １日の主な利用時間帯は？
【信頼性】 役割どおりに振る舞えるか？
【数量】 おおよそのデータ量は？
【所有者】 情報の所有者は誰か？
【範囲】 公開・提供可能な範囲は？
【漏えい】 漏えい時の影響度は？
【改変】 不正改変時の影響度は？
【取扱】 閲覧のみか？変更が発生するか？
【保存】 システム内に保存するか？
【検証】 完全性の事後検証は必要か？
【伝達手段】 情報を送受信する方法は？
【処理環境】 サーバ又は端末の種類は？
【通信環境】 利用するネットワークは？
【通信環境】 外部からの遠隔利用は必要か？
【信頼性】 異常停止の許容時間は？

2 / 9 ページ

※ 必要に応じてワークシートを複数コピーして使用すること。
回答
100万人程度
国民
不特定（匿名性あり）
府省庁外
年に数回程度
特定できない（24時間）
誤操作が発生しやすい（マニュアル等を読まない）「行政情報」： 数百KB～数十MB程度「行政情報」： システム所管部署「行政情報」： 公開「行政情報」： なし「行政情報」： 行政の信頼が損なわれる
変更あり
サーバ内に保存（保存期限あり）
不要
Webブラウザ
PC、携帯電話、スマートフォン等
インターネット
必要
半日程度

情報システムに係る政府調達における情報セキュリティ要件策定マニュアル用ワークシート（3/4）■ ステップ5： 判断条件による対策方針の検討 （⇒ マニュアル5.1節）【ワークシート5】
名称
A. 外部アクセスの有無

観点分類
判断結果
判断条件
解説
利用環境・手段 インターネット等の通信回線を介して 情報システムを所管する組織の外部（情報管理ポリシーが異なる外部）からアクセスを受ける可能性を検討する。判断にあたっては、ステップ2の利用環境・手段の検討結（情報の管理ポリシーが異なる）外部
果、定型設問C-3、C-4等を参考にすると良い。
から情報システムにアクセスしてサービスの利用、業務の遂行、情報シス
テムの管理等を行うか。

○

B. 情報の重要度

C. 情報保存時の安全性

D. 利用者の限定要否

E. アカウントの多様性

情報

情報

主体

主体

漏えいした場合、正常にアクセスでき 漏えい、改ざん、消失等によって発生するプライバシー侵害や金銭的被害等の損害のない場合或いは消失した場合に、深 度合いを見極め、情報の重要性を検討する。判断にあたっては、例えば、定型設問B3の情報の取り扱い範囲、B-4、B-5の損害度合の回答を参考にすると良い。
刻な損害を被る可能性がある重要性の高い情報を取り扱うか。
入退室管理等の物理対策だけでな 情報の重要性が非常に高く物理対策が突破されることも想定する必要がある場合、あく、情報システムが保存する情報につ るいはモバイルPCによる情報処理が必要な場合などは追加的対策が重要になる。判断にあたっては、定型設問B-7にてシステム内に保存することを確認している場合か
いてより一層の安全を期すために追 つ定型設問B-4、B-5の想定被害の程度を考慮すると良い。
加的対策をさらに行うべきと考える
か。

主体

×

情報システムにアクセスする主体は、 情報システムのサービスや業務機能を、特定の利用者や運用者のみに提供するか否
利用資格のある者、職員、グループ かを検討する。判断にあたっては、定型設問A-3にて確認された主体の集合特性を参考にすると良い。
のメンバー等の特定の者に限定されるか。

×

利用者によって利用可能なサービス 利用者や運用者に応じてアクセス権を管理し、アクセス権に応じてサービスや業務機や業務が異なる等、利用者の特徴に 能の提供内容を制御する必要があるか否かを検討する。例えば、ステップ2にて情報システムの利用者として多様な主体が洗い出され、主体の種類ごとに提供する機能
バリエーションがあるか。
やサービスを切り替える等の制御が必要である場合には本判断条件に合致する可能

×

性がある。

F. 複数部局による利用

×

情報の取り扱い方や利用目的等が異 情報システムを広く共用するが、情報システム内の情報管理体制の異なる部局ごとになる複数の部局等の間で共用される 分け、互いにアクセスできない状態を保つ必要性があるか否かを検討する。例えば、
ステップ2にて情報システムを利用する主体として多様な主体が洗い出され、各主体か。
の所属が情報管理ポリシーの異なる部局である場合に本判断条件に合致する可能性がある。

×■ ステップ6： 対策要件の決定 （⇒ マニュアル5.2節）「推奨レベル」はワークシート5の記入内容に従って自動的に変化します。推奨レベルを参考にして「検討結果」に実施レベルを入力してください。
対策を省略する対策要件については、検討結果を空欄にしてください。
【ワークシート6】
対策区分
侵害対策（AT： Attack）

対策方針

対策要件

通信回線対策（AT-1）

不正プログラム対策（AT-2）
セキュリティホール対策（AT-3）
不正監視・追跡（AU: Audit）

証跡管理（AU-1）

不正監視（AU-2）
アクセス・利用制限（AC: Access）

主体認証（AC-1）
アカウント管理（AC-2）

データ保護（PR: Protect）

機密性・完全性の確保（PR-1）

物理対策（PH: Physical）
障害対策（事業継続対応）（DA: Damage）
サプライチェーン・リスク対策（SC: Supply Chain）

情報搾取・侵入対策（PH-1）

利用者保護（UP: User Protect）

構成管理（DA-1）
可用性確保（DA-2）
情報システムの構築等の外部委託における対策（SC-1）
機器等の調達における対策（SC-2）
情報セキュリティ水準低下の防止（UP-1
プライバシー保護（UP-2）

AT-1-1AT-1-2AT-1-3AT-1-4AT-2-1AT-2-2AT-3-1AT-3-2AU-1-1AU-1-2AU-1-3AU-2-1AU-2-2AC-1-1AC-2-1AC-2-2AC-2-3PR-1-1PR-1-2PR-1-3PH-1-1PH-1-2DA-1-1DA-2-1SC-1-1SC-2-1UP-1-1UP-2-1

通信経路の分離不正通信の遮断
通信のなりすまし防止
サービス不能化の防止
マルウェアの感染防止
マルウェア対策の管理
構築時の脆弱性対策
運用時の脆弱性対策
証跡の蓄積・管理証跡の保護
時刻の正確性確保
侵入検知
サービス不能化の検知
主体認証
ライフサイクル管理
アクセス権管理
管理者権限の保護
通信経路上の盗聴防止
保存情報の機密性確保
保存情報の完全性確保
情報の物理的保護
侵入の物理的対策
システムの構成管理システムの可用性確保
委託先において不正プログラム等が組み込まれることへの対策調達する機器等に不正プログラム等が組み込まれることへの対策
情報セキュリティ水準低下の防止
プライバシー保護

3 / 9 ページ

判断条件
対応関係
A or FAAA
A or BA
B or CB or CAA
D
DE
B or CB or CB or C
B
-

実施レベル
推奨レベル
検討結果
中位 or 高位
中位
中位
中位
中位 or 高位
中位
中位 or 高位
中位
低位
低位
省略 or 高位
低位
低位
中位
中位
低位
低位
低位
低位
低位
低位
中位 or 高位
中位
省略 or 高位
省略
省略
省略
低位
低位
省略
省略
省略
低位
低位
低位
低位
低位
低位
低位
低位
低位
低位

-

低位

低位

A
A

中位
中位

中位
中位

情報システムに係る政府調達における情報セキュリティ要件策定マニュアル用ワークシート（4/4）■ ステップ7： 調達仕様書記載内容の整理 （⇒ マニュアル5.3節）
各項目の「記載内容」はワークシート1及びワークシート6の内容に従って自動的に変化します。
【ワークシート7】
大項目
ア 調達案件の概要

イ 調達案件及び関連調達案件の調達単位、調達の方式等
ウ 情報システムに 業務要件
求める要件

機能要件

非機能要件

小項目
(1) 調達の背景(2) 目的(3) 期待する効果(4) 業務・情報システムの概要(5) 契約期間(6)作業スケジュール等(1) 調達案件及びこれと関連する調達案件の調達単位(2) 調達の方式(3) 実施時期等(1) 業務実施手順

記載内容
インターネットを経由してA省の行政情報を、国民に提供するしくみを確立すること（※ ステップ2及びステップ4の結果を反映）-(2) 規模(3) 時期・時間(4) 場所等(5) 管理すべき指標(6) 情報システム化の範囲(7) 業務の継続の方針等(8) 情報セキュリティ(1) 機能(2) 画面(3) 帳票(4) データ(5) 外部インタフェース(1) ユーザビリティ及びアクセシビリティ(2) システム方式(3) 規模(4) 性能(5) 信頼性

DA-2-1 システムの可用性確保
・サービスの継続性を確保するため、情報システムの各業務の異常停止時間が復旧目標時間として【時には迅速な復旧を行う方法又は機能を備えること。

(6) 拡張性(7) 上位互換性(8) 中立性(9) 継続性(10) 情報セキュリティ-】を超えることのない運用を可能とし、障害

AT-1-1 通信経路の分離
・不正の防止及び発生時の影響範囲を限定するため、外部との通信を行うサーバ装置及び通信回線装置のネットワークと、内部のサーバ装置、端末等のネットワークを通信回線上で分離すること。
AT-1-2 不正通信の遮断
・通信回線を介した不正を防止するため、不正アクセス及び許可されていない通信プロトコルを通信回線上にて遮断する機能を備えること。

AT-1-3 通信のなりすまし防止
・情報システムのなりすましを防止するために、サーバの正当性を確認できる機能を備えること。

AT-1-4 サービス不能化の防止
・サービスの継続性を確保するため、構成機器が備えるサービス停止の脅威の軽減に有効な機能を活用して情報システムを構築すること。

AT-2-1 不正プログラムの感染防止・不正プログラム（ウイルス、ワーム、ボット等）による脅威に備えるため、想定される不正プログラムの感染経路の全てにおいて感染を防止する機能を備えるとともに、新たに発見される不正プログラムに対応するために機能の更新が可能であること。

AU-1-1 ログの蓄積・管理・情報システムに対する不正行為の検知、発生原因の特定に用いるために、情報システムの利用記録、例外的事象の発生に関するログを蓄積し、【】の期間保管すること。
AU-1-2 ログの保護
・ログの不正な改ざんや削除を防止するため、ログに関するアクセス制御機能を備えること。

AU-1-3 時刻の正確性確保
・情報セキュリティインシデント発生時の原因追及や不正行為の追跡において、ログの分析等を容易にするため、システム内の機器を正確な時刻に同期する機能を備えること。
AU-2-1 侵入検知
・不正行為に迅速に対処するため、通信回線を介して所属する府省庁外と送受信される通信内容を監視し、不正アクセスや不正侵入を検知及び通知する機能を備えること。

AC-2-3 管理者権限の保護・特権を有する管理者による不正を防止するため、管理者権限を制御する機能を備えること。

4 / 9 ページ

大項目

小項目

記載内容

DA-1-1 システムの構成管理
・情報セキュリティインシデントの発生要因を減らすとともに、情報セキュリティインシデントの発生時には迅速に対処するため、構築時の情報システムの構成（ハードウェア、ソフトウェア及びサービス構成に関する詳細情報）が記載された文書を提出するとともに、文書どおりの構成とすること。
SC-2-1 調達する機器等に不正プログラム等が組み込まれることへの対策
・機器等の製造工程において、府省庁が意図しない変更が加えられないよう適切な措置がとられており、当該措置を継続的に実施していること。また、当該措置の実施状況を証明する資料を提出すること。
UP-1-1 情報セキュリティ水準低下の防止
・情報システムの利用者の情報セキュリティ水準を低下させないように配慮した上でアプリケーションプログラムやウェブコンテンツ等を提供すること。

UP-2-1 プライバシー保護・情報システムにアクセスする利用者のアクセス履歴、入力情報等を当該利用者が意図しない形で第三者に送信されないようにすること。

(11) 情報システム稼働環境(12) テスト（※ ステップ3にて作成したシステム概要図を記載）
AT-3-1 構築時の脆弱性対策
・情報システムを構成するソフトウェア及びハードウェアの脆弱性を悪用した不正を防止するため、開発時及び構築時に脆弱性の有無を確認の上、運用上対処が必要な脆弱性は修正の上で納入すること。

(13) 移行(14) 引継ぎ(15) 教育(16) 運用

PH-1-1 情報の物理的保護
・情報の漏えいを防止するため、【】等によって、物理的な手段による情報窃取行為を防止・検知するための機能を備えること。

PH-1-2 侵入の物理的対策
・物理的な手段によるセキュリティ侵害に対抗するため、情報システムの構成装置（重要情報を扱う装置）については、外部からの侵入対策が講じられた場所に設置すること。

エ 作業の実施内容
オ 作業の実施体制・方法

カ 作業の実施
キ 成果物の取扱い
ク 入札参加資格
ケ 再委託

コ その他特記事項
サ 附属文書(17) 保守AT-3-2 運用時の脆弱性対策
・運用開始後、新たに発見される脆弱性を悪用した不正を防止するため、情報システムを構成するソフトウェア及びハードウェアの更新を効率的に実施する機能を備えるとともに、情報システム全体の更新漏れを防止する機能を備えること。

(1) 作業の内容(2) 成果物の範囲(3) 納品期日等(1) 作業実施体制

SC-1-1 委託先において不正プログラム等が組み込まれることへの対策
・情報システムの構築において、府省庁が意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。当該品質保証体制を証明する書類（例えば、品質保証体制の責任者や各担当者がアクセス可能な範囲等を示した管理体制図）を提出すること。本
調達に係る業務の遂行における情報セキュリティ対策の履行状況を確認するために、府省庁が情報セキュリティ監査の実施を必要と判断した場合は、受託者
は情報セキュリティ監査を受け入れること。
また、役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して、情報セキュリティを確保すること。

(2) 作業要員に求める資格要件(3) 作業場所(4) 作業の管理に関する要領等(1) 機密保持(2) 資料の取扱い(3) 遵守する法令等(1) 知的財産権の帰属(2) 契約不適合責任(3) 検収等(1) 入札参加要件(2) 入札制限(1) 再委託の制限(2) 再委託を認める場合の条件、承認手
続、監査及び再委託先の契約違反等に関する責任についての定め等（前提条件、制約条件、要件定義、調達仕様書の変更手順等）(1) 要件定義書(2) 参考資料(3) 事業者が閲覧できる資料一覧表(4) 閲覧要領(5) 提案書等の審査要領(6) その他事業者の提案に必要な資料-

5 / 9 ページ

※ 二重下線（青字）の箇所については、仕様書に記載する際には具体化が必要な箇所である。
対策区分
AT 侵害対策

対策方針

対策要件の名称

AT-1 通信回線対策

AT-1-1 通信経路の分
離AT-3 脆弱性対策

A or F

AT-1-2 不正通信の遮断A

AT-1-3 通信のなりす
まし防止AAT-1-4 サービス不能化の防止

AT-2 不正プログラ
ム対策

判断条件
対応関係

A

AT-2-1 不正プログラ
ムの感染防止-AT-2-2 不正プログラ
ム対策の管理A or B

AT-3-1 構築時の脆弱性対策

AT-3-2 運用時の脆弱
性対策

-

A

目的

実施レベル選定の考え方

仕様書記載時の注意事項

不正行為の影響範囲を限 ・ネットワークを情報の管理体制が異なる（情報の共有があっては ・仕様書記載例をそのまま調達仕様書に記載
定的にするため、業務に ならない）複数部局で共用する場合、あるいは利用部局が多岐に渡 する場合、提案によっては多大な費用を要す
応じて通信経路（ネット り統制が取りづらい場合等では、不正アクセス等の危険性が高まる る場合があるため、分離の条件（分離単位、分離方法等）をできるだけ具体的に記載するワーク）の分離を行うこ ため、「高位」の実施レベルが必要となる可能性がある。
・分離の方法によってはコストが高まることから、「（AC）アクセ こと。
と。
ス・利用制限」等の他の対策を行い、本対策は「中位」に留める方法が考えられる。
・「高位」であっても、情報システムの運用又は管理に用いる通信
経路（ネットワーク）のみ分離するに留める方法が考えられる。

許可されていない不正な （特になし）
通信を防止するため、特定の通信を遮断すること。

（特になし）

通信回線を介したなりす ・高位レベルの対策は、情報システムを構成する機器（端末、サー （特になし）
ましによる不正を防止す バ装置、通信回線装置）が多い場合、多大なコスト増加を招くおそ
れがある。
ること。

トラフィック集中による ・高位レベルが求めるDDoS対策機能を備えた専用装置の導入費用 （特になし）
サービス不能化の脅威を は、中小規模の情報システムにとって負担が大きいため、情報シス
テムの停止した場合の利用者への影響が許容できる場合は中位レベ軽減すること。
ルに留めることが考えられる。

不正プログラムによる情 （特になし）
報漏えい等の被害を防止するため、不正プログラ
ムの感染防止の対策を行うこと。

（特になし）

不正プログラム対策の最 ・情報システムを構成する各機器において不正プログラム対策機能 （特になし）
新化を確実に行うため、 の自動更新が可能である場合や、管理する機器が少なく更新漏れが不正プログラムの対策状 発生する可能性が低い場合には、高位レベルの対策は必要性が低い。
況を管理すること。
情報システムの脆弱性を （特になし）
ついた攻撃を予め防ぐため、脆弱性の有無を確認し対処すること。

・脆弱性の有無の点検方法については、「対策の提案例」を参考にするなどして、最低限満たすことを求める条件を具体的に記載することが望ましい。

運用開始後に発見される ・管理すべきハードウェアやソフトウェアの数が多い場合、脆弱性 （特になし）
脆弱性について、その改 の対処漏れが発生する可能性が高くなるため、中位レベルの対策が善を行うための対策を実 望ましい。
・管理対象が少ない場合でも、使用しているハードウェアやソフト
施すること。
ウェアの脆弱性の発見頻度が高い場合、あるいは取り扱う情報の重要度が高い場合には、中位レベルの対策によって脆弱性の対処漏れを防止すると良い。

実施
レベル

想定脅威

対策の効果

通信回線を介して情報の管理ポリシーの異なる外部からのアクセスによって、情報窃
取等の不正行為が行われる。

通信回線を介して外部からアクセス可能な機器等が仮に乗っ取られたとしても内部
ネットワークの他の機器等に被害が及ぶ可
能性を低くすることができる。

不正の防止及び発生時の影響範囲を限定するため、 ・DMZの構築による外部アクセス向けネットワークの分
外部との通信を行うサーバ装置及び通信回線装置の 離ネットワークと、内部のサーバ装置、端末等のネットワークを通信回線上で分離すること。

なんらかの高度な攻撃手法、あるいは内部関係者によって、内部ネットワークの機器等に不正行為が行われる。

内部ネットワークの機器等に対する不正行
為の影響範囲をネットワークの一部に限定することができる。

不正の防止及び発生時の影響範囲を限定するため、 ・VLAN、専用回線等による提供サービス、利用目的、部
外部との通信を行うサーバ装置及び通信回線装置の 局等に応じたネットワークの分離
ネットワークと、内部のサーバ装置、端末等のネッ ・重要な情報を保有するサーバ装置等のネットワークとトワークを通信回線上で分離するとともに、業務目 他のネットワークの分離とアクセス制御
的、所属部局等の情報の管理体制に応じて内部の ・情報システムの運用または管理に用いる端末専用ネッ
トワークの構築
ネットワークを通信回線上で分離すること。
・VPN、無線LAN、公衆電話網を介したアクセスが可能な
ネットワークの制限

通信プロトコルの脆弱性やサーバ装置等の設定不備を悪用して、不正行為が行われる。

脆弱な通信プロトコルや不要な通信プロト
コルの利用を制限することで、不正行為が行われる可能性を低減することができる。

通信回線を介した不正を防止するため、不正アクセ ・ファイアウォール、WAF、リバースプロキシ等によるス及び許可されていない通信プロトコルを通信回線 通信制御
・通信回線装置による特定の通信プロトコルの利用制限
上にて遮断する機能を備えること。
・IDS/IPSによる不正アクセスの検知・遮断・UTM（統合脅威管理）の導入
・サーバ装置による不要な通信プロトコルの停止
・サーバ装置による不正なメールの検疫及び中継の遮断

高位
低位
中位

（↑ 同様）（↑ 同様）（↑ 同様）

利用者が気づかぬまま、偽の情報システムにアクセスしてしまい、個人情報等の保護すべき情報が漏えいしてしまう。

利用者は、情報システムの利用時にアクセス先の正当性を確認することができる。

情報システムのなりすましを防止するために、サー ・TLSによるサーバの認証
バの正当性を確認できる機能を備えること。
・政府ドメイン名（.go.jpで終わるドメイン名）の利用
・検索エンジン最適化措置（SEO対策）の実施
・送信ドメイン認証（SPF等）による不正なメール受信の遮断

高位許可されていない機器等（端末、サーバ装置、通信回線装置等）がネットワークに接続されることによって、情報窃取等が行われる。

情報システムに対してアクセス可能な機器等を正当なもののみに制限できる。

情報システムのなりすましを防止するために、サー ・情報システムの機器番号等による接続機器の識別
バの正当性を確認できる機能を備えるとともに、許 ・クライアント証明書による接続機器の認証可されていない端末、サーバ装置、通信回線装置等 ・無線LANの認証プロトコル、IPSec、IEEE 802.1x、等の接続を防止する機能を備えること。
・送信ドメイン認証（SPF、DKIM、DMARC等）による不正なメール受信の遮断

大量のアクセス等によってサービス提供が不能な状態または困難な状態に陥る。

情報システムに対するDDoS攻撃による被害を抑制することができる。

高位

構成機器の設定程度では対処困難な攻撃によって、サービス提供が不能な状態または困難な状態に陥る。

情報システムに対する広範囲かつ多様な
DDoS攻撃に対処可能になる。

低位

情報システムが不正プログラム（ウイルス、ワーム、ボット等）に感染し、情報漏
えい等の被害を受ける。

不正プログラムの感染防止、感染時の被害拡大の防止が可能になる。

中位
高位
低位
中位
高位

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

サービスの継続性を確保するため、構成機器が備え ・機器等の通信機能の設定の最適化（パケットフィルタ
るサービス停止の脅威の軽減に有効な機能を活用し リング、タイムアウト時間の短縮等）て情報システムを構築すること。
サービスの継続性を確保するため、情報システムの ・負荷分散装置による処理性能の確保
負荷がしきい値を超えた場合に、通信遮断や処理量 ・代替となる機器等の設置の抑制等によってサービス停止の脅威を軽減する機 ・サービス不能化攻撃の元アドレス及び通信パケットの特徴に基づく通信の制限又は遮断能を備えること。
・通信回線装置及び通信回線において、大量アクセス発
生時に帯域を一時的に拡大
・情報システムの管理に用いる端末、サーバ及び通信回線をサービス提供に用いるものと分離
不正プログラム（ウイルス、ワーム、ボット等）に ・不正プログラム対策ソフトウェアの導入
よる脅威に備えるため、想定される不正プログラム ・不正プログラム検出用パターンファイル等の手動またの感染経路の全てにおいて感染を防止する機能を備 は自動更新
えるとともに、新たに発見される不正プログラムに ・検査方式が異なる複数の不正プログラム対策ソフト
ウェアの導入対応するために機能の更新が可能であること。
・ふるまい検知型の不正プログラム対策ソフトウェアの導入
・検疫ネットワークの導入（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

情報システムの一部の構成機器について、
不正プログラム対策機能が最新化されていないことが原因で不正プログラムに感染してしまう。
開発時の脆弱性の混入、ソフトウェアの更新漏れ、設定誤り等によって安全ではない状態で構築された情報システムに対して不正行為が行われる。

情報システム全体について、不正プログラ
ム対策機能の稼働状況を把握し、感染のおそれがある機器を検出し、改善できる。

システム全体として不正プログラムの感染防止機能 ・情報システムを構成する各装置における不正プログラを確実に動作させるため、当該機能の動作状況及び ム対策ソフトウェアの統合管理機能
更新状況を一元管理する機能を備えること。

開発時や構築時の脆弱性の混入や残存を防ぎ、より安全な情報システムを調達することができる。

情報システムを構成するソフトウェア及びハード ・コーディング規約によるセキュアコーディングの徹底
ウェアの脆弱性を悪用した不正を防止するため、開 ・リリース済みのパッチの適用及びソフトウェアの最新
発時及び構築時に脆弱性の有無を確認の上、運用上 化対処が必要な脆弱性は修正の上で納入すること。 ・利用するソフトウェアのサポート期間の考慮
・不審なプログラムの実行の禁止
・不要なサービス、機能等の停止
・不要な通信の制限
・IPv6を考慮した実装
・ツール等によるサーバ装置、通信回線装置、ウェブア
プリケーション、データベース管理システム等の脆弱性診断（内部検査又は第三者検査）の実施
・WAF等によるSQLインジェクションの脆弱性対策

中位
高位
低位

（↑ 同様）（↑ 同様）
情報システムの運用開始後に発見された新
たな脆弱性を利用して、不正行為が行われる。

（↑ 同様）（↑ 同様）
情報システムの構成機器において、運用開始後に新たに発見される脆弱性についての対策が可能になる。

中位

情報システムの一部の構成機器について、新たに発見された脆弱性の対処が漏れたことが原因で、不正行為が行われる。

情報システム全体について、脆弱性の対処
状況を把握し、悪用されるおそれがある脆
弱性については漏れなく対処できる。

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
運用開始後、新たに発見される脆弱性を悪用した不 ・情報システムを構成する各装置に対するパッチ適用、正を防止するため、情報システムを構成するソフト バージョンアップ及び管理方法の手順化
ウェア及びハードウェアの更新を行う方法（手順 ・ツール等によるサーバ装置、通信回線装置、ウェブア
プリケーション等の定期的な脆弱性診断（内部検査又は等）を備えること。
第三者検査）の実施
運用開始後、新たに発見される脆弱性を悪用した不 ・情報システムを構成する各装置に対するパッチ適用、正を防止するため、情報システムを構成するソフト バージョンアップの更新機能の導入
ウェア及びハードウェアの更新を効率的に実施する ・情報システム全体の更新状況の一元管理機能を備えるとともに、情報システム全体の更新漏れを防止する機能を備えること。

高位（↑ 同様）（↑ 同様）

低位
中位

高位

低位
中位

低位
中位

低位

仕様記載例

（↑ 同様）

対策の提案例（↑ 同様）（↑ 同様）

対策区分
AU 不正監視・追跡

対策方針
AU-1 ログ管理

対策要件の名称
AU-1-1 ログの蓄積・管理

AU-1-2 ログの保護

AU-1-3 時刻の正確性確保

AU-2 不正監視

AU-2-1 侵入検知

AU-2-2 サービス不能化の検知

AC アクセス・利用制限

AC-1 主体認証

AC-1-1 主体認証

判断条件
対応関係
B or CB or C

-

A

A

D

目的

実施レベル選定の考え方

仕様書記載時の注意事項

不正行為の検知、原因追 ・ログ管理は、情報システムの利用頻度、不正行為の発生頻度及び ・ログ管理は、情報システムのストレージを求を行うため、情報シス 侵害発生時の影響を想定し、費用対効果を踏まえた実施レベルを導 圧迫する大きな要因となり蓄積するだけでも入することが望ましい。
テムのログの収集・蓄費用面での負担は大きい。ログの保存内容・積・保管を行うこと。
期間は、情報システムへの不正行為の検知・原因追跡に必要な内容等を考慮した期間を【】の箇所に記載すること。

不正行為のログに対する ・ログの保護は、本対策区分以外（侵害対策、アクセス／利用制限 （特になし）
改ざんや削除を防止する 等）の対策状況を踏まえて、実施レベルを選定するのが望ましい。
ため、ログの保護を行うこと。

ログの発生時刻を正確に （特になし）
把握することで正確な分析を行えるため、システ
ム全体の時刻を同期させること。

（特になし）

外部ネットワークから侵 ・高位レベルの対策を実施する場合、装置の数に応じて費用が増大 （特になし）
入による情報セキュリするため、費用対効果を踏まえた実施優先度を決めることが望ましティの侵害を防止するた い。
め、不正侵入の検知を行 ・情報システムの運用者や利用者が多岐に渡り、運用の統制やセうこと。
キュリティ確保が困難な場合などには、中位レベルでは迅速に対応できない可能性があるため、高位レベルの対策が有効に働く場合が
ある。

実施
レベル

想定脅威

対策の効果

アクセス記録等のログがないことによって、不正行為の検知、発生原因の特定及び被害内容の把握等が困難になる。また、不正行為に気づかないことで被害のさらなる拡大を招く。
アクセス記録等のログが蓄積されているにもかかわらず、ログの管理機能に不足があることで、不正行為に対する対応に遅れや場当たり的な対処が発生し、被害の拡大・長期化を招く。

必要な情報をログとして確保することで、不正行為の検知、発生原因の特定及び被害内容の把握等の一助となり、不正行為への対応が可能となる。

情報システムに対する不正行為の検知、発生原因の ・サーバ装置のアクセス記録、主体認証のログ、操作ロ
特定に用いるために、情報システムの利用記録、例 グ及び通信回線装置の通信ログの取得
外的事象の発生に関するログを蓄積し、【】の期間保管すること。

適切に管理されたログから不正行為を迅速かつ的確に把握することが可能になり、不正行為に対する対応の即時性・的確性が向上することで、被害防止や低減を図れる。

情報システムに対する不正行為の検知、発生原因の ・ログ管理サーバによるログの一元管理特定に用いるために、情報システムの利用記録、例 ・ログの検索、集計、追跡等の分析機能
外的事象の発生に関するログを蓄積し、【・ログ及び分析結果の表示・通知機能】の期間保管するとともに、不正の検知、原因特定 ・ログの蓄積不能時の対処機能に有効な管理機能（ログの検索機能、ログの蓄積不 ・外部ログサーバへの出力機能
能時の対処機能等）を備えること。

（↑ 同様）
情報システムの運用者または管理者による悪意や誤操作によって、ログの改ざんや削除が行われる。
外部記録媒体等に保存したログのアーカイ
ブデータのように、情報システムのアクセス制御外になったログに対し、改ざんや削除が行われる。

（↑ 同様）
ログにアクセス可能な者を必要最小限に絞ることによって、ログの改ざんや削除が行われる可能性を低減できる。
情報システムのアクセス制御外になったログのアーカイブデータに対して、改ざんや削除が行われる可能性を低減できる。

（↑ 同様）（↑ 同様）
ログの不正な改ざんや削除を防止するため、ログに ・サーバ装置や通信回線装置のログに対するアクセス制
関するアクセス制御機能を備えること。
御高位

不正アクセスによるログの改ざんや削除が行われる。また、ログ管理装置の障害によって、ログが破損・消失される。

不正アクセスによるログの改ざんや削除を検知することで、不正行為に対する対応の即時性が向上する。また、装置故障によるログの破損・消失する可能性を低減でき、ログの信頼性向上も図れる。

ログの不正な改ざんや削除を防止するため、ログに ・信頼性の高い記録装置の導入、ログ管理装置の冗長化
対するアクセス制御機能及び消去や改ざんの事実を ・電子署名、タイムスタンプ等によるログの完全性保証
検出する機能を備えるとともに、ログのアーカイブ ・改ざん検知システムによるログの監視
データの保護（消失及び破壊や改ざんの脅威の軽減）のための措置を含む設計とすること。

低位

標準時刻に対し、情報システムのシステム
時刻が不正確であったり、各構成機器間のシステム時刻が不整合であることで、ログの内容を正しく解釈できなくなる。

情報システムのシステム時刻を正確かつ整合をとることで、情報システム内部（アクセス制御内）の各種ログ及び、外部保存（アクセス制御外）の各種ログについて、事象及び関係性を正しく解釈でき、正確な分析を行える。

情報セキュリティインシデント発生時の原因追及や ・NTPによる時刻同期
不正行為の追跡において、ログの分析等を容易にす ・GPS等の正確な時刻ソースの利用るため、システム内の機器を正確な時刻に同期する機能を備えること。

中位
高位
低位
中位

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

通信回線を介した外部からの不正アクセスに気づくことができず、対処が遅れる。

外部からの不正アクセスを検知することで迅速な対処が可能となり、侵入被害を抑制することができる。

不正行為に迅速に対処するため、通信回線を介して ・IDS/IPSによる通信回線上の不正な通信パケットの検所属する府省庁外と送受信される通信内容を監視 知やファイアウォールとの連携による通信制御
し、不正アクセスや不正侵入を検知及び通知する機 ・マルウェアによって発生する不審な通信の検知能を備えること。

高位

高度な通信の擬装によって通信の監視では
不正を検知できず、侵入を許してしまう。

サーバ装置における監視によって、高度な通信の擬装や内部機器を介した攻撃に対しても、不正検知の可能性が高まる。

不正行為に迅速に対処するため、府省庁内外で送受 ・IDS/IPSによるサーバ装置等の通信ポートの監視信される通信内容の監視及びサーバ装置のセキュリ ・システムの負荷、リソースの使用状況の監視
ティ状態の監視等によって、不正アクセスや不正侵入を検知及び通知する機能を備えること。

サービス不能化を目的とした攻撃の検知が遅れ被害が深刻化し、サービス提供が困難になる。

攻撃の検知の可能性が高まり、早期対処に
よって被害を抑制できる。

サービスの継続性を確保するため、大量のアクセス ・IDS/IPSまたは通信回線装置による異常トラフィックや機器の異常による、サーバ装置、通信回線装置又 の監視、検知
は通信回線の過負荷状態を検知する機能を備えるこ ・システムの負荷、リソースの使用状況の監視と。

許可されていない利用者が情報システムにアクセスすることを許してしまう。

正当な利用者のみにアクセスを許可し、無許可の利用者のアクセスを禁止できる。

他人の主体認証情報（パスワード等）の推測や盗難等によって不正アクセスが行われる。

主体認証情報の推測、盗難等によるリスクを軽減し、主体認証機能の安全性が高まる。

情報システムによるサービスを許可された者のみに ・識別コード（ID）とパスワードによる主体認証
提供するため、情報システムにアクセスする主体の ・パスワード規則の設定（文字列の長さの規定、文字種
うち【】の認証を行う機能 の規定等）
として、【】の方式を採用 ・送信又は保存時の主体認証情報の暗号化・保存された主体認証情報へのアクセス制限すること。
情報システムによるサービスを許可された者のみに ・ワンタイムパスワードによる主体認証
提供するため、情報システムにアクセスする主体の ・耐タンパ性を備えたICカード認証
うち【】の認証を行う機能 ・生体認証（指紋、顔、静脈、虹彩等）
として、【】の方式を採用 ・2つ以上の主体認証方式を用いて認証を行う多要素主し、主体認証情報の推測や盗難等のリスクの軽減を 体認証方式行う機能として、【】の条 ・情報システムの認証履歴の記録と通知
・指定回数以上の認証失敗時のアクセス拒否件を満たすこと。
・大規模な辞書を用いたパスワード解析への耐性

不要アカウントの残存、不正なアカウント
登録や変更等が原因で、情報システムに対する不正アクセスが引き起こされる。

厳格なアカウント管理が可能となり、許可されていない利用者によって情報システムが利用される可能性を低減できる。

主体のアクセス権を適切に管理するため、主体が用 ・アカウントを一元的に管理する機能いるアカウント（識別コード、主体認証情報、権限 ・識別コード（ID）、主体認証情報の作成、配付機能等）を管理（登録、更新、停止、削除等）するため ・主体認証情報の変更状況を把握する機能
・特定の識別コード（ID）による認証を停止する機能の機能を備えること。

（↑ 同様）（↑ 同様）（↑ 同様）

不要な情報やサービスに誤って又は意図的にアクセスされ、情報漏えいや情報の不正な操作が行われる。

職務に応じて必要最小限のアクセス権を利用者に与えることによって、不正の防止や侵害時の被害を抑制できる。

情報システムの利用範囲を利用者の職務に応じて制 ・利用時間や利用時間帯によるアクセス制御
限するため、情報システムのアクセス権を職務に応 ・同一IDによる複数アクセスの禁止
じて制御する機能を備えるとともに、アクセス権の ・IPアドレスによる端末の制限
・ネットワークセグメントの分割によるアクセス制御
割り当てを適切に設計すること。
・情報の格付及び取扱制限によるアクセス制御

低位

情報システムの管理者権限が悪用され、通常の利用者ではアクセスできない情報の窃
取等の不正行為が行われる。

管理者権限を正当な者のみに与えて悪用を防止するとともに、管理者権限の内容を必要最小限に絞って被害を抑制できる。

特権を有する管理者による不正を防止するため、管 ・システムの管理、運用に用いるシステムアカウントを理者権限を制御する機能を備えること。
一元的かつ厳格に管理する機能
・最小限の特権の付与
・複数名による操作が必要なデュアルロック機能の導入

中位
高位（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

低位

中位

高位
低位

中位

トラフィック集中による ・高位レベルが求める検知機能の導入は、情報システムが停止した （特になし）
サービス不能化を検知す 場合の影響度（利用者へのサービス停止が許容可能かどうか等）と、費用対効果を十分に踏まえた上で検討することが望ましい。
ること。

低位
中位
高位

】の箇所に関し許可されていない利用者 ・主体認証の安全性は、利便性やコストとトレードオフの関係にあ ・仕様書記載例の【のアクセスを防止するた るため、「行政手続におけるオンラインによる本人確認の手法に関 て、「行政手続におけるオンラインによる本
め、アクセス主体を認証 するガイドライン（平成31年２月25日 各府省情報化統括責任者 人確認の手法に関するガイドライン」を参考するための機能を備える （CIO）連絡会議決定）」を参考にして、合理的に対策要件を決定 にする等して認証が必要な主体ごとに認証方式の条件を具体的に明記すること。
する。
こと。

低位
中位

高位

AC-2 アカウント管理

AC-2-1 ライフサイクル管理D

AC-2-2 アクセス権管理EAC-2-3 管理者権限の保護-不要なアカウントによる （特になし）
不正な操作等を防止するため、適切に識別コー
ド、認証情報等のライフサイクルを管理すること。

（特になし）

許可されている情報のみ ・情報システムの利用者の職務（情報システムが提供するサービス ・本対策要件を調達仕様書に記載する場合にの内容）が一定である場合には主体認証のみで対応可能であるが、 は、業務要件の一環として、情報システムのにアクセスできるように、職務等に応じたアク 利用者（主体）によってアクセスする情報や利用するサービスが異 アクセス元となる主体及び主体ごとの業務（アクセス権）の関係を具体的に記載するこなる場合には高位レベルの対策要件が必要になる。
セス権の管理を行うこと。
と。

管理者権限の悪用による （特になし）
不正行為を防止するため、管理者権限を適切に保護すること。

（特になし）

低位
中位

高位
低位
中位
高位

仕様記載例

対策の提案例

ログの不正な改ざんや削除を防止するため、ログに ・ログのアーカイブデータの暗号化対するアクセス制御機能を備えるとともに、ログの ・ログの定期的なアーカイブ（ログのローテーション及アーカイブデータの保護（消失及び破壊や改ざん等 び圧縮等を含む）の脅威の軽減）のための措置を含む設計とするこ ・ログ保存メディアのライトワンス（１回書込、追記不可）メディア使用と。
・鍵付きロッカーによる保管（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

対策区分
PR データ保護対策要件の名称

PR-1 機密性・完全性の確保

PR-1-1 通信経路上の盗聴防止

B or C

PR-1-2 保存情報の機
密性確保

B or C

PR-1-3 保存情報の完
全性確保

PH 物理対策

DA 障害対策（事業継続対
応）

判断条件
対応関係

対策方針

PH-1 情報窃取・侵入対策

DA-1 構成管理

DA-2 可用性確保

B or C目的
通信経路上に流れるデー （特になし）
タが盗聴された場合でも影響を低減させるための措置を行うこと。

実施レベル選定の考え方

仕様書記載時の注意事項（特になし）

保存されているデータの ・取り扱う情報の機密性の高さを考慮して、高度な攻撃手法により ・保護すべき情報の保存場所が複数想定され窃取を防止するため処置 情報の保存場所に直接アクセスされ、情報が窃取される脅威や、内 る場合には、保存場所ごとに対策要件を定め及び窃取された場合に影 部犯行により情報が漏えいする脅威を想定する必要がある場合に高 ること。
響を低減させるための、 位の対策を講ずることが考えられる。
・端末に保護すべき情報を保存する必要があり端末の利用環境が安措置を行うこと。
全ではない（他人に操作される可能性がある）場合には、端末に保存する情報についても上記と同様の対策要件を求める必要がある。

想定脅威

対策の効果

仕様記載例

対策の提案例

通信回線に対する盗聴行為や利用者の不注意による ・IPsecによるIPレベルでの暗号化
情報の漏えいを防止するため、通信回線を暗号化す ・VPNによる仮想的な専用回線での接続る機能を備えること。暗号化の際に使用する暗号ア ・TLSによるHTTP通信の暗号化
ルゴリズムについては、「電子政府推奨暗号リス ・情報の暗号化を行う製品の導入
・S/MIME等のセキュアメールシステム
ト」を参照し決定すること。
（↑ 同様）（↑ 同様）

通信回線上に流れるデータの盗聴によって、情報が窃取される。

通信回線の暗号化によって、仮に通信が盗聴されたとしても、意味のある情報が取得される可能性を低減できる。

高位
低位
中位

（↑ 同様）（↑ 同様）

情報にアクセスする必要の無い利用者がア
クセスし、情報が窃取される。また、外部との接続のある情報システムにおいて、通信回線を介した外部からの不正アクセスによって情報が窃取される。

アクセス権に関する対策により情報にアクセスする必要の無い利用者が、アクセスすることを制限すること、また、外部との接続のある情報システムにおいては外部から直接アクセス可能な機器には保護すべき情報を保存しないことにより、不正アクセス
による情報漏えいの被害を抑制できる。

情報システムに蓄積された情報の窃取や漏えいを防 ・情報へのアクセス権を制御する機能止するため、情報へのアクセスを制限できる機能を ・情報を保存する機器の内部ネットワークへの設置備えること。また、外部との接続のある情報システ
ムにおいて保護すべき情報を利用者が直接アクセス可能な機器に保存しないこと。

高位

外部からの高度な攻撃手法により情報の保存場所に直接アクセスされ、情報が窃取される。また、内部犯行により情報が窃取される。

情報の保存場所から情報が窃取されても、情報の内容が読み取られる可能性を低減できる。

情報システムに蓄積された情報の窃取や漏えいを防 ・ファイル暗号化システム（ソフト、機能）止するため、情報へのアクセスを制限できる機能を ・暗号化機能を備える記録装置（USBメモリ、HDD、モバ備えること。また、保護すべき情報を利用者が直接 イルPC等）
アクセス可能な機器に保存しないことに加えて、保 ・情報漏えい対策（DLP）ソリューション全般
存された情報を暗号化する機能を備えること。暗号 ・S/MIME等のセキュアメールシステム
化の際に使用する暗号アルゴリズムについては、「電子政府推奨暗号リスト」を参照し決定すること。

情報システムに不正アクセスし、情報シス
テムが保存する情報が改ざんされる。

情報が改ざんされた場合にその事実を検知し、早期に対処することができる。

情報の改ざんや意図しない消去等のリスクを軽減す ・デジタル署名又はタイムスタンプ
るため、情報の改ざんを検知する機能又は改ざんさ ・原本性保証システム
・S/MIME等のセキュアメールシステム
れていないことを証明する機能を備えること。

低位
中位
高位

低位

機器の盗難、ディスプレイの盗み見、許可されていない持ち出し等の物理的な手段によって情報が窃取される。

物理的な手段による情報窃取の可能性を低減することができる。

情報の漏えいを防止するため、【・端末の離席対策（自動スクリーンロック等）】等によって、物理的な手段による情報窃取行為を ・端末のワイヤーロック
・施錠可能なサーバラックの採用防止・検知するための機能を備えること。
・ディスプレイの盗み見防止フィルタ
・記録装置のパスワードロック、暗号化
・データ消去ソフトや物理的破壊等による情報の完全廃
棄・携帯電話、メモリデバイス等の持込みの監視及び制限
・物品持ち出し管理システム
・通信ケーブル及び通信回線装置の物理的保護（床下への埋設等）
・シンクライアントによる端末に情報を保存させない仕組み・セキュアブラウザによる端末に情報を保存させない仕組み・遠隔データ消去による盗難・紛失対策
・テンペスト（電磁波盗聴）対策システム

中位
高位
低位

（↑ 同様）（↑ 同様）
情報システムの設置場所に物理的な侵入を受け、保護すべき情報の窃取や削除・破壊等の被害を受ける。

（↑ 同様）（↑ 同様）
情報システムの設置場所に対する物理的な侵入の防止及び検知が可能になり、侵入された場合にも早期対処が可能になる。

中位
高位
低位

（↑ 同様）（↑ 同様）
情報システムを構成するハードウェアやソフトウェア及びサービスの構成を正確に把握できず、侵害の原因究明や適切な対処が困難になる。

（↑ 同様）（↑ 同様）
情報システムの機器やサービス構成の情報に基づいて、侵害の原因を迅速に究明し、被害拡大を防止できる。また、侵害の原因となる構成要素を点検し、排除することができる。

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
物理的な手段によるセキュリティ侵害に対抗するた ・入退室の制限及び記録
め、情報システムの構成装置（重要情報を扱う装 ・遠隔映像監視置）については、外部からの侵入対策が講じられた ・侵入警報
・所在表示の制限
場所に設置すること。
（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
情報セキュリティインシデントの発生要因を減らす ・システム設計書等の文書による構成の定義
とともに、情報セキュリティインシデントの発生時 ・システム設計書等の文書によるサービス構成（端末やには迅速に対処するため、構築時の情報システムの サーバ等の機器の不要な機能の停止又は制限等も含む）
構成（ハードウェア、ソフトウェア及びサービス構 の定義
成に関する詳細情報）が記載された文書を提出するとともに、文書どおりの構成とすること。

中位

運用開始後の情報システムの機器やサービス構成の変更によって把握していた構成情報が無効となり、侵害発生時に適切な対応ができない。

情報システムの機器やサービス構成に変更が発生しても、正確に構成情報を更新することが可能であるため、侵害発生時の対処の確実性が増す。

情報セキュリティインシデントの発生要因を減らす ・構成情報を管理するシステムの導入とともに、情報セキュリティインシデントの発生時 ・端末にインストールされているソフトウェアを管理すには迅速に対処するため、構築時の情報システムの るツールの導入
構成（ハードウェア、ソフトウェア及びサービス構 ・端末の利用者へはユーザ権限のみを付与
成に関する詳細情報）が記載された文書を提出するとともに文書どおりの構成とし、加えて情報システ
ムに関する運用開始後の最新の構成情報及び稼働状況の管理を行う方法又は機能を備えること。

高位
低位（↑ 同様）
情報システムの異常停止、あるいは異常停止状態の長期化によって、サービスの利用者や提供者が損害を被る。

（↑ 同様）
情報システムが異常停止した場合でも、復旧目標時間の範囲内で復旧できる可能性が高まる。

（↑ 同様）（↑ 同様）
サービスの継続性を確保するため、情報システムの ・装置及びネットワークの冗長化（ホットスタンバイ、各業務の異常停止時間が復旧目標時間として【
コールドスタンバイ等）】を超えることのない運用を可能とし、障害時には ・信頼性の高いハードウェア及びソフトウェアの採用
・DNS等の基盤サービスの信頼性確保
迅速な復旧を行う方法又は機能を備えること。
・オンライン又はオフラインバックアップ・システムのリカバリ方法の手順化
・災害時の対処方法の手順化

中位
高位（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）-

画面の盗み見や機器の盗 （特になし）
難等を防止するための措置を講じること。

・仕様書記載例のままでは費用見積もりが困難であるため、提案例も参考にした上で仕様書記載例の【】に条件をできるだけ具体的に記すこと。

PH-1-2 侵入の物理的対策-

情報システムの設置場所 （特になし）
への不正侵入を防止するための措置を行うこと。

・仕様書記載例のままでは費用見積もりが困難であるため、提案例も参考にした上で条件をできるだけ具体的に記すこと。

DA-1-1 システムの構
成管理

B

必要な機器のみによって （特になし）
必要なサービスのみを提供するように情報システ
ムの構成及び稼働状況の管理を行うこと。

（特になし）-

低位
中位

情報が不正に改ざんされ ・通信回線を流れる情報の完全性の確保についてはPR-1-1の対策要 （特になし）
ることを防止するため、 件でも効果があり、本対策の必要性は高くない。
システムが取り扱う情報 ・サーバ機器、端末等に保存された情報の完全性の確保について
は、PR-1-2と同様に利用者の信用度、利用環境を考慮し、必要性がの完全性を確保するこ認められる場合にのみ高位レベルの対策を採用すると良い。
と。

PH-1-1 情報の物理的保護

DA-2-1 システムの可
用性確保

実施
レベル

システムの異常停止を防 （特になし）
止するとともに障害時のシステムの迅速な復旧を行うこと。

・情報システムが扱う各業務の復旧時間について利用者への影響度合い等を考慮し、【】の箇所に明記する必要がある。

（↑ 同様）（↑ 同様）

判断条件
対応関係

対策区分

対策方針

対策要件の名称SC サプライチェーン・リ
スク対策

SC-1 情報システムの構築等の外部委託における対策

SC-1-1 委託先において不正プログラム等が組み込まれることへの対策-

情報システムの構築等の （特になし）
委託先における従業員等の情報セキュリティ管理
体制を確認することで、不正プログラム等が組み込まれた情報システムが納入されないようにする。

・構築する情報システムが機密性の高い情報を扱わず他の情報システムとも接続しない場
合等、情報漏えいリスク対策に高い水準の要件を求める必要がない場合は、除外することも考えられる。

SC-2 機器等の調達における対策SC-2-1 調達する機器等に不正プログラム等が組
み込まれることへの対策-製造過程における情報セ （特になし）
キュリティ対策を確認することで、不正プログラ
ム等が組み込まれた機器等が納入されないようにする。

・機器を調達しない場合、調達する機器が機
密性の高い情報を扱う情報システムに接続しない場合等、情報漏えいリスク対策に高い水準の要件を求める必要がない場合は、除外することも考えられる。

UP-1 情報セキュリ
ティ水準低下の防止

UP-1-1 情報セキュリ
ティ水準低下の防止

A

利用者が情報システムに （特になし）
よって提供されるアプリ
ケーションプログラムや
ウェブコンテンツ等を利用する際に、利用者の情報セキュリティ水準の低下を招かないよう対策を行うこと。

（特になし）

UP-2 プライバシー
保護

UP-2-1 プライバシー
保護A

情報システムの利用者に （特になし）
関する情報が本人の意思に反して第三者に提供されないよう対策を行うこと。

（特になし）

UP 利用者保護目的

実施レベル選定の考え方

仕様書記載時の注意事項

実施
レベル

想定脅威

対策の効果

低位

情報システムの構築を受託した事業者の従業員が、情報システムへの侵入経路（いわゆるバックドア）等の不正プログラム等を開発時に悪意を持って組み込むことにより、情報システムの稼働開始後に情報シス
テムで取り扱われる情報を窃取する。
再委託をすることにより、再委託先事業者の従業員等が、情報システムへの侵入経路（いわゆるバックドア）等の不正プログラ
ム等を開発時に悪意を持って組み込むことにより、情報システムの稼働開始後に情報システムで取り扱われる情報を窃取する。

情報システムの構築等の外部委託において、構築する情報システムに意図せざる変
更が加えられないための十分な管理体制が採られている事業者を選定条件とすること
で、情報窃取の可能性を低減する。再委託
先にも委託事業者と同様の管理体制を求めることにより、再委託先からの、情報窃取の可能性を低減する。

情報システムの構築において、府省庁が意図しない ・委託事業者の資本関係や役員等の情報を含めた基本情変更や機密情報の窃取等が行われないことを保証す 報の提出る管理が、一貫した品質保証体制の下でなされてい ・委託事業の実施場所の提示ること。当該品質保証体制を証明する書類（例え ・委託事業従事者の所属、専門性、実績や国籍情報を含ば、品質保証体制の責任者や各担当者がアクセス可 めた体制図の提示
能な範囲等を示した管理体制図）を提出すること。 ・委託先における監査の受け入れの事前合意（契約時）
本調達に係る業務の遂行における情報セキュリティ ・再委託先事業者の資本関係や役員等の情報を含めた基対策の履行状況を確認するために、府省庁が情報セ 本情報の提出
キュリティ監査の実施を必要と判断した場合は、受 ・再委託先委託事業の実施場所の提示
託者は情報セキュリティ監査を受け入れること。 ・再委託先委託事業従事者の所属、専門性、実績や国籍
また、役務内容を一部再委託する場合は、再委託さ 情報を含めた体制図の提示れることにより生ずる脅威に対して、情報セキュリ
ティを確保すること。

仕様記載例

対策の提案例

中位
高位
低位（↑ 同様）（↑ 同様）
機器の製造過程において、製造事業者の従業員が、機器が構成する情報システムへの侵入経路（いわゆるバックドア）等の不正プログラム等を悪意を持って組み込むことにより、情報システムの稼働開始後に情報システムで取り扱われる情報を窃取する。

（↑ 同様）（↑ 同様）
製造機器等に不正な変更が加えられないよ
う努めている事業者から機器等を調達することで、情報窃取の可能性低減することができる。

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
機器等の製造工程において、府省庁が意図しない変 ・製造過程における情報セキュリティ管理体制や管理手更が加えられないよう適切な措置がとられており、 順等が記載された書類の提出
当該措置を継続的に実施していること。また、当該措置の実施状況を証明する資料を提出すること。

中位
高位
低位
中位

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

政府機関が提供するアプリケーションプロ
グラムやウェブコンテンツ等を利用することによって、利用者の情報セキュリティ水準が低下し、不正プログラムへの感染等が発生する。

利用者の情報セキュリティ水準が維持されることで、不正プログラム等への感染を防止することができる。

情報システムの利用者の情報セキュリティ水準を低 ・実行プログラム形式(拡張子が「.exe」等で終わるも下させないように配慮した上でアプリケーションプ の)でのコンテンツ提供の禁止
ログラムやウェブコンテンツ等を提供すること。 ・サポート期限が切れた、又は情報システムの提供期間
中にサポート期限が切れる予定にあるバージョンのOSやソフトウェア等の利用を前提とすることの禁止
・複数のウェブブラウザで動作するよう設計・構築
・政府ドメイン名（.go.jpで終わるドメイン名）の利用

高位
低位
中位

（↑ 同様）（↑ 同様）（↑ 同様）

情報システムにアクセスする利用者のアクセス履歴、入力情報等を当該利用者が意図しない形で第三者に送信することによって、利用者のプライバシーを侵害する。

利用者のアクセス履歴、入力情報等が第三者に送信されないことで、利用者のプライバシーを保護することができる。

高位（↑ 同様）（↑ 同様）

情報システムにアクセスする利用者のアクセス履 ・府省庁外のウェブサイト等のサーバへ自動的にアクセ
歴、入力情報等を当該利用者が意図しない形で第三 スが発生する機能が仕様に反して組み込まれていないことを検証者に送信されないようにすること。
・府省庁外のウェブサイト等のサーバへ自動的にアクセスが発生する機能を含める場合は、当該府省庁外へのアクセスが情報セキュリティ上安全なものであることを検証・本来のサービス提供に必要のない府省庁外へのアクセ
スを自動的に発生させる機能の禁止（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）