仕様書
１．件名
令和６年度岩石資源調査
２．調査目的
本調査は、岩石採取に伴う事故を防止し、岩石資源の合理的な開発を図るために岩石採取の適地及び採取所跡
地の実態を把握することを目的とする。
３．調査地域（１）ボーリング調査
栃木県宇都宮市大谷地区（ボーリング箇所：別添位置図）（２）空洞計測調査
戸室南地区（栃木県宇都宮市大谷町１５５６番地 付近）
４．調査期間
契約締結日～令和７年３月３１日
５．調査内容（１）ボーリング調査、地質柱状図の作成
地表からオールコア・ボーリング方法により調査を実施する。各地点の掘削深度は以下のとおり。
① ＴＲ６－１の深度は約３００ｍまで。
② ＴＲ６－２及びＴＲ６－３の深度は約５０ｍまで。
ボーリングコアからは、地質柱状図を作成する。
また、空洞が確認された場合等により掘削深度が変更となる場合には、監督職員と協議する。
（２）空洞計測調査は、１地点で行うこととする。
① 写真撮影深度０．５～５ｍ毎に方位角２０度間隔で、７０％以上の重複度を持つように３６０度の写真撮影を行う。
写真撮影の能力は、奥行き４０ｍ以上とする。
② 写真撮影結果に基づく空洞内の形状計測
水平３６０度計測を１ｍ毎、天盤付近から底面までの鉛直計測を４方位以上行う。
計測能力は、奥行き４０ｍ以上とする。
③ 空洞状況の確認図の作成
写真撮影、形状計測結果に基づき、空洞内の状況確認図を作成する。
（３）不測の地下状況（空洞内水没等）が確認された場合の対応（（２）の計測調査が不可能な場合）① 請負者は、ボーリング調査結果により空洞が水没等していた場合は、音響装置により計測を行う。
② 空洞状況確認図の作成
形状計測結果に基づき、空洞内の状況確認図を作成する。
６．成果物
本調査の調査・解析等を取りまとめて報告書を作成する。
なお、報告書の作成にあたっては、成果の内容について事前に監督職員に報告説明を行い、承諾を得てから製本する。
（１）報告書３部（Ａ４版、フルカラー印刷）及び電子媒体１式
内容：調査手法、調査位置図、調査結果（断面図等）、整理・検討・解析結果、総合解析、地質柱状図、空洞状
況計測図、調査記録写真、過去調査平面図（２）ボーリング（調査）コア標本１式
７．情報セキュリティに関する事項
業務情報を取り扱う場合又は業務情報を取り扱う情報システムやウェブサイトの構築・運用等を行う場合、別記「情報セキュリティに関する事項」を遵守し、情報セキュリティ対策を実施すること。
８．情報管理体制（１）請負人は本事業で知り得た情報を適切に管理するため、次の履行体制を確保し、注文者に対し「情報取扱者名簿」（氏名、住所、生年月日、所属部署、役職等が記載されたもの）及び「情報セキュリティを確保するための体制を定めた書面（情報管理体制図）」（別紙）を契約前に提出し、担当課室の同意を得ること。（住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。）
なお、情報取扱者名簿は、契約業務の遂行のため最低限必要な範囲で情報取扱者を掲載すること。
（確保すべき履行体制）
契約を履行する一環として契約相手方が収集、整理、作成等した一切の情報が、経済産業省が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること。
（２）本事業で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならないものとする。ただし、担当課室の承認を得た場合は、この限りではない。
（３）８．（１）の情報セキュリティを確保するための体制を定めた書面又は情報取扱者名簿に変更がある場合は、予め担当課室へ届出を行い、同意を得なければならない。
９．その他（１）調査地域の土地の使用は、請負者の責任において必要な手続きを行うこと。
（２）調査開始の日から終了の日まで毎日の調査状況等を明確かつ詳細に記入した調査日報を作成し、一週間毎に監督職員に提出すること。
（３）本調査の実施にあたり、必要な資料は関東経済産業局が貸与する。
（４）本調査の実施にあたっては、当局と十分な打合せを行い、進捗状況を適宜報告するとともに、本仕様書に明記されていない詳細な事項については監督職員と協議すること。
（５）本事業の実施途中で問題、事故等が発生した場合は、直ちに監督職員に連絡するとともに、請負者の責任において解決を図ること。

別添

ボーリング
予定箇所
TR6-1

ボーリング
予定箇所
TR6-2
TR6-3

別紙
情報取扱者名簿及び情報管理体制図①情報取扱者名簿
個 人

生 年

所 属

氏名
住所
情報管理責任パスポート番号及び
役職

月日

部署

国籍（※４）

Ａ者（※１）
情報取扱管理

Ｂ

者（※２）

Ｃ

業務従事者（※

Ｄ

３）

Ｅ

下請負先

Ｆ

（※１）受注事業者としての情報取扱の全ての責任を有する者。必ず明記すること。
（※２）本事業の遂行にあたって主に保護すべき情報を取り扱う者ではないが、本事業の進捗状況などの管理を行うもので、保護すべき情報を取り扱う可能性のある者。
（※３）本事業の遂行にあたって保護すべき情報を取り扱う可能性のある者。
（※４）日本国籍を有する者及び法務大臣から永住の許可を受けた者（入管特例法の「特別永住者」を除く。）以外の者は、パスポート番号等を記載。
（※５）住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。

②情報管理体制図
（例）
情報取扱者
A

情報管理責任者

情報取扱管理者

業務従事者

下請負先

B

C

（進捗状況管理）（経費情報管理）

D

E
F【情報管理体制図に記載すべき事項】
・本事業の遂行にあたって保護すべき情報を取り扱う全ての者。（下請負先も含む。）
・本事業の遂行のため最低限必要な範囲で情報取扱者を設定し記載すること。

R6-U-1（別記）
情報セキュリティに関する事項
以下の事項について遵守すること。
【情報セキュリティ関連事項の確保体制および遵守状況の報告】
1) 受注者（委託契約の場合には、受託者。以下同じ。
）は、契約締結後速やかに、情報セキュリティを確保するための体制並びに以下 2)～17)に記載する事項の遵守の方法及び提出を求める情報、書類等（以下「情報セキュリティを確保するための体制等」という。）について、経済産業省（以下「当省」という。）の担当職員（以下「担当職員」という。）に提示し了承を得た上で確認書類として提出すること。ただし、別途契約締結前に、情報セキュリティを確保するための体制等について担当職員に提示し了承を得た上で提出したときは、この限りでない。また、定期的に、情報セキュリティを確保するための体制等及び対策に係る実施状況（「情報セキュリティに関する事項の遵守の方法の実施状況報告書」（別紙））を紙媒
体又は電子媒体により報告すること。加えて、これらに変更が生じる場合は、事前に担当職員へ案を提出し、同意を得ること。
なお、報告の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。
【情報セキュリティ関連規程等の遵守】
2) 受注者は、「経済産業省情報セキュリティ管理規程（平成 18･03･22 シ第 1 号）」、「経済産業省情報セキ
ュリティ対策基準（平成 18･03･24 シ第 1 号）」及び「政府機関等のサイバーセキュリティ対策のための統一基準群（令和５年度版）」(以下「規程等」と総称する。)を遵守すること。また、契約締結時に規程等が改正されている場合は、改正後の規程等を遵守すること。
3) 受注者は、当省又は内閣官房内閣サイバーセキュリティセンターが必要に応じて実施する情報セキュリ
ティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行うこと。
【情報セキュリティを確保するための体制】
4) 受注者は、本業務に従事する者を限定すること。また、受注者の資本関係・役員の情報、本業務の実施
場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示すること。なお、本業務の実施期間中に従事者を変更等する場合には、
事前にこれらの情報を担当職員に再提示すること。
5) 受注者は、本業務を再委託（業務の一部を第三者に委託することをいい、外注及び請負を含む。以下同じ。）する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、1)から 17)までの措置の実施を契約等により再委託先に担保させること。また、1)の確認書類には再委託先に係るものも含むこと。
【情報の取扱い】
6) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含

R6-U-1
む。）の取扱いには十分注意を払い、当省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に担当職員の許可を得ること。なお、この場合であっても、担当職員の許可なく複製してはならない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担
当職員が確認できる方法で証明すること。
7) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく当省外で複製してはならない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明すること。
8) 受注者は、本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当職員に返却し、又は廃棄し、若しくは消去すること。その際、担当職員の確認を必ず受けること。
9) 受注者は、契約期間中及び契約終了後においても、本業務に関して知り得た当省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。
なお、当省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供すること。
【情報セキュリティに係る対策、教育、侵害時の対処】
10) 受注者は、本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、
サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約
期間中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施すること。
11) 受注者は、本業務の遂行において、情報セキュリティが侵害され、又はそのおそれがある場合の対処
方法について担当職員に提示すること。また、情報セキュリティが侵害され、又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従うこと。
【クラウドサービス】
12) 受注者は、本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する場合には、これらのサービスで要機密情報を取り扱ってはならず、2)に掲げる規程等で定める不正アクセス対策を実施するなど規程等を遵守すること。
13) 受注者は、本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドサー
ビスを調達する際は、「政府情報システムのためのセキュリティ評価制度（ISMAP）」の ISMAP クラウドサ
ービスリスト又は ISMAP-LIU クラウドサービスリストから調達することを原則とすること。
14) 受注者は、前 2 項におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行い、リスクが許容できることを確認して担当職員の利用承認を得るとともに、取扱上の注

R6-U-1
意点を示して提供し、その利用状況を管理すること。
【セキュアな情報システム（外部公開ウェブサイトを含む）の構築・運用】
15) 受注者は、情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施すること。
①各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。
②情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。
③不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。 また、以下を含む対策を行うこと。
（a）不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。
（b）不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。
（c）不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。
（d）不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施する
ように構成すること。
（e）EDR ソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染した
おそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。

④情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。
また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、
情報セキュリティ対策に必要な内容を含めること。
⑤サポート期限が切れた、又は本業務の期間中にサポート期限が切れる予定がある等、サポートが受けられないソフトウェアの利用を行わないこと、及びその利用を前提としないこと。また、ソフトウェ
アの名称・バージョン・導入箇所等を管理台帳で管理することに加え、サポート期限に関するものを含むソフトウェアの脆弱性情報を収集し、担当職員に情報提供するとともに、情報を入手した場合には脆弱性対策計画を作成し、担当職員の確認を得た上で対策を講ずること。
⑥受注者自身（再委託先を含む。）が管理責任を有するサーバ等を利用する場合には、ＯＳ、ミドルウェ
ア等のソフトウェアの脆弱性情報を収集し、セキュリティ修正プログラムが提供されている場合には業務影響に配慮しつつ、速やかに適用を実施すること。

R6-U-1⑦ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する
場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。
⑧外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。
・サービス開始前および、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。
・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。
なお、必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。
⑨電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）等のなりすましの防止策を講ずるとともに SMTP によるサーバ間通信の TLS（SSL）化や S/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。
【アプリケーション・コンテンツの情報セキュリティ対策】
16) 受注者は、アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリティ水準の低下を招かぬよう、以下の内容も含めて行うこと。
①提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。
（a）アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。
（b）アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログ
ラムコードが含まれていないことを確認すること。
（c）提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。
②提供するアプリケーション・コンテンツが脆弱性を含まないこと。
③実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。
④電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である
場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。

R6-U-1⑤提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウ
ェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。
⑥当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがな
いよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場
合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。
17) 受注者は、外部に公開するウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以下「作り方」という。）に基づくこと。また、ウェブアプリケーションの構築又は更改時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施すること。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出すること。なお、チェックリストの結果に基づき、担当職
員から指示があった場合は、それに従うこと。

R6-U-1
別紙

令和

経済産業省○○○課長

年

月

殿

住

所

名

称

代 表 者 氏 名

情報セキュリティに関する事項の遵守の方法の実施状況報告書

情報セキュリティに関する事項１）の規定に基づき、下記のとおり報告します。

記

１．契約件名等
契約締結日
契約件名

２．報告事項
項目

確認事項

情報セキュリテ
ィに関する事項２）

本業務全体における情報セキュリティの確保のため、「政府機関等のサイバーセキュ
リティ対策のための統一基準」（令和５年度版）、「経済産業省情報セキュリティ管理規程」（平成１８・０３・２２シ第１号）及び「経済産業省情報セキュリティ対策基
準」（平成１８･０３･２４シ第１号）（以下「規程等」と総称する。）に基づく、情報セ
キュリティ対策を講じる。
経済産業省又は内閣官房内閣サイバーセキュリティセンターが必要に応じて実施する情報セキュリティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行う。
本業務に従事する者を限定する。また、受注者の資本関係・役員の情報、本業務の実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示する。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示する。
本業務の一部を再委託する場合には、再委託することにより生ずる脅威に対して情報
セキュリティに関する事項１）から１７）までの規定に基づく情報セキュリティ対策
が十分に確保される措置を講じる。
本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）の取扱いには十分注意を払い、経済産業省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に経済産業省の担当職員（以下「担当職員」という。）の許可を得る。
なお、この場合であっても、担当職員の許可なく複製しない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明する。
本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく経済産業省外で複製しない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明する。
本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当

情報セキュリテ
ィに関する事項
３）
情報セキュリテ
ィに関する事項
４）
情報セキュリテ
ィに関する事項
５）
情報セキュリテ
ィに関する事項
６）

情報セキュリテ
ィに関する事項
７）
情報セキュリテ
ィに関する事項

実施状況

日

R6-U-1
８）
情報セキュリテ
ィに関する事項
９）

情報セキュリテ
ィに関する事項
１０）
情報セキュリテ
ィに関する事項
１１）
情報セキュリテ
ィに関する事項
１２）
情報セキュリテ
ィに関する事項
１３）
情報セキュリテ
ィに関する事項
１４）
情報セキュリテ
ィに関する事項
１５）

職員に返却し、又は廃棄し、若しくは消去する。その際、担当職員の確認を必ず受ける。
契約期間中及び契約終了後においても、本業務に関して知り得た経済産業省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。
なお、経済産業省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供する。
本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約期間中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施する。
本業務の遂行において、情報セキュリティが侵害され又はそのおそれがある場合の対処方法について担当職員に提示する。また、情報セキュリティが侵害され又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従う。
本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する
場合には、これらのサービスで要機密情報を取り扱ってはならず、「情報セキュリテ
ィに関する事項２）」に定める不正アクセス対策を実施するなど規程等を遵守する。
本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウド
サービ スを調 達する 際は 、「政 府情 報シス テムの ため のセ キュリ ティ評 価制度（ISMAP）」の ISMAP クラウドサービスリスト又は ISMAP-LIU クラウドサービスリストから調達することを原則とすること。
情報セキュリティに関する事項１２）及び１３）におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行い、リスクが許容できることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。
情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施する。
（１）各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。
（２）情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。
（３）不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プロ
グラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。
①不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。
②不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。
③不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。
④不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。
⑤EDR ソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。
（４）情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行
する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。
（５）サポート期限が切れた又は本業務の期間中にサポート期限が切れる予定がある
等、サポートが受けられないソフトウェアの利用を行わないこと、及びその利用を前提としないこと。また、ソフトウェアの名称・バージョン・導入箇所等
を管理台帳で管理することに加え、サポート期限に関するものを含むソフトウ
ェアの脆弱性情報を収集し、担当職員に情報提供するとともに、情報を入手した場合には脆弱性対策計画を作成し、担当職員の確認を得た上で対策を講ずる

R6-U-1

情報セキュリテ
ィに関する事項
１６）

情報セキュリテ
ィに関する事項
１７）

こと。
（６）受注者自身（再委託先を含む。）が管理責任を有するサーバ等を利用する場合には、ＯＳ、ミドルウェア等のソフトウェアの脆弱性情報を収集し、セキュリ
ティ修正プログラムが提供されている場合には業務影響に配慮しつつ、速やかに適用を実施すること。
（７）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステ
ムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「．ｇｏ．ｊｐ」を使用すること。
（８）外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。
・サービス開始前および、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。
・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。
・必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。
（９）電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）等のなりすましの防止策を講ずるとともに SMTP によるサーバ間通信の TLS（SSL）
化や S/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。
アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリテ
ィ水準の低下を招かぬよう、以下の内容も含めて行う。
（１）提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。
①アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフト
ウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。
②アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。
③提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。
（２）提供するアプリケーション・コンテンツが脆弱性を含まないこと。
（３）実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。
（４）電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプ
リケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた
署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。
（５）提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージ
ョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよ
う、アプリケーション・コンテンツの提供方式を定めて開発すること。
（６）当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケ
ーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。
外部公開ウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以
下「作り方」という。）に従う。また、ウェブアプリケーションの構築又は改修時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等

R6-U-1（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施する。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出する。
なお、チェックリストの結果に基づき、担当職員から指示があった場合には、その指
示に従う。
記載要領
１．
「実施状況」は、情報セキュリティに関する事項２）から１７）までに規定した事項について、情報セキュリティに関する事項１）に基づき提出した確認書類で示された遵守の方法の実施状況をチェックするものであり、「実施」、「未実施」
又は「該当なし」のいずれか一つを記載すること。「未実施」又は「該当なし」と記載した項目については、別葉にて理由も報告すること。
２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。
（この報告書の提出時期：定期的（契約期間における半期を目処（複数年の契約においては年１回以上））。）