情報システムに係る政府調達におけるセキュリティ要件策定マニュアル【付録Ａ．対策要件集】
対策区分
AT 侵害対策

対策方針

対策要件の名称

AT-1 通信回線対策 AT-1-1 通信経路の分
離

判断条件
目的
実施レベル選定の考え方
対応関係
A or F 不正行為の影響範囲を ・ネットワークを情報の管理体制が異なる（情報の共有が限定的にするため、業 あってはならない）複数部局で共用する場合、あるいは利用
務に応じて通信経路
部局が多岐に渡り統制が取りづらい場合等では、不正アクセ（ネットワーク）の分 ス等の危険性が高まるため、「高位」の実施レベルが必要と離を行うこと。
なる可能性がある。
・分離の方法によってはコストが高まることから、「（AC）
アクセス・利用制限」等の他の対策を行い、本対策は「中位」に留める方法が考えられる。
・「高位」であっても、情報システムの運用又は管理に用いる通信経路（ネットワーク）のみ分離するに留める方法が考えられる。

2021年７月29日

仕様書記載時の注意事項
・仕様書記載例をそのまま調達仕様書に記載する場合、提案によっては多大な費用を要する場合があるため、分離の条件（分離単位、分離方法等）をできるだけ具体的に記載すること。

AT-1-2 不正通信の遮断A許可されていない不正 （特になし）
な通信を防止するため、特定の通信を遮断すること。

（特になし）

AT-1-3 通信のなりす
まし防止

A

通信回線を介したなり ・高位レベルの対策は、情報システムを構成する機器（端（特になし）
すましによる不正を防 末、サーバ装置、通信回線装置）が多い場合、多大なコスト
止すること。
増加を招くおそれがある。

実施
想定脅威
対策の効果
仕様記載例
対策の提案例
レベル
低位
中位 通信回線を介して情報の管理ポリシーの 通信回線を介して外部からアクセス可能 不正の防止及び発生時の影響範囲を限定するた ・DMZの構築による外部アクセス向けネットワーク
異なる外部からのアクセスによって、情 な機器等が仮に乗っ取られたとしても内 め、外部との通信を行うサーバ装置及び通信回 の分離
報窃取等の不正行為が行われる。
部ネットワークの他の機器等に被害が及 線装置のネットワークと、内部のサーバ装置、端末等のネットワークを通信回線上で分離する
ぶ可能性を低くすることができる。
こと。
高位 なんらかの高度な攻撃手法、あるいは内 内部ネットワークの機器等に対する不正 不正の防止及び発生時の影響範囲を限定するた ・VLAN、専用回線等による提供サービス、利用目部関係者によって、内部ネットワークの 行為の影響範囲をネットワークの一部に め、外部との通信を行うサーバ装置及び通信回 的、部局等に応じたネットワークの分離
機器等に不正行為が行われる。
限定することができる。
線装置のネットワークと、内部のサーバ装置、 ・重要な情報を保有するサーバ装置等のネットワー
端末等のネットワークを通信回線上で分離する クと他のネットワークの分離とアクセス制御とともに、業務目的、所属部局等の情報の管理 ・情報システムの運用または管理に用いる端末専用
体制に応じて内部のネットワークを通信回線上 ネットワークの構築で分離すること。
・VPN、無線LAN、公衆電話網を介したアクセスが可
能なネットワークの制限
低位
中位 通信プロトコルの脆弱性やサーバ装置等 脆弱な通信プロトコルや不要な通信プロ 通信回線を介した不正を防止するため、不正ア ・ファイアウォール、WAF、リバースプロキシ等にの設定不備を悪用して、不正行為が行わ トコルの利用を制限することで、不正行 クセス及び許可されていない通信プロトコルを よる通信制御
・通信回線装置による特定の通信プロトコルの利用れる。
為が行われる可能性を低減することがで 通信回線上にて遮断する機能を備えること。
制限
きる。
・IDS/IPSによる不正アクセスの検知・遮断・UTM（統合脅威管理）の導入
・サーバ装置による不要な通信プロトコルの停止
・サーバ装置による不正なメールの検疫及び中継の
遮断
高位
低位
中位

高位

AT-1-4 サービス不能
化の防止A

トラフィック集中によ ・高位レベルが求めるDDoS対策機能を備えた専用装置の導入 （特になし）
るサービス不能化の脅 費用は、中小規模の情報システムにとって負担が大きいた威を軽減すること。
め、情報システムの停止した場合の利用者への影響が許容できる場合は中位レベルに留めることが考えられる。

低位
中位
高位

AT-2 不正プログラ AT-2-1 不正プログラ
ム対策
ムの感染防止AT-2-2 不正プログラ
ム対策の管理AT-3 脆弱性対策

AT-3-1 構築時の脆弱性対策

AT-3-2 運用時の脆弱性対策-

不正プログラムによる （特になし）
情報漏えい等の被害を防止するため、不正プ
ログラムの感染防止の対策を行うこと。

（特になし）A or B 不正プログラム対策の ・情報システムを構成する各機器において不正プログラム対 （特になし）
最新化を確実に行うた 策機能の自動更新が可能である場合や、管理する機器が少な
め、不正プログラムの く更新漏れが発生する可能性が低い場合には、高位レベルの対策状況を管理するこ 対策は必要性が低い。
と。
-

A

情報システムの脆弱性 （特になし）
をついた攻撃を予め防ぐため、脆弱性の有無を確認し対処すること。

・脆弱性の有無の点検方法については、「対策の提案例」を参考にするなどして、最低限満たすことを求める条件を具体的に記載することが望ましい。

運用開始後に発見され ・管理すべきハードウェアやソフトウェアの数が多い場合、 （特になし）
る脆弱性について、そ 脆弱性の対処漏れが発生する可能性が高くなるため、中位レの改善を行うための対 ベルの対策が望ましい。
策を実施すること。
・管理対象が少ない場合でも、使用しているハードウェアやソフトウェアの脆弱性の発見頻度が高い場合、あるいは取り扱う情報の重要度が高い場合には、中位レベルの対策によって脆弱性の対処漏れを防止すると良い。

低位

中位
高位
低位
中位
高位

低位

中位
高位
低位

中位

高位

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

利用者が気づかぬまま、偽の情報システ 利用者は、情報システムの利用時にアク 情報システムのなりすましを防止するために、 ・TLSによるサーバの認証
ムにアクセスしてしまい、個人情報等の セス先の正当性を確認することができ サーバの正当性を確認できる機能を備えるこ・政府ドメイン名（.go.jpで終わるドメイン名）のと。
利用
保護すべき情報が漏えいしてしまう。 る。
・検索エンジン最適化措置（SEO対策）の実施
・送信ドメイン認証（SPF等）による不正なメール受信の遮断
許可されていない機器等（端末、サーバ 情報システムに対してアクセス可能な機 情報システムのなりすましを防止するために、 ・情報システムの機器番号等による接続機器の識別
装置、通信回線装置等）がネットワーク 器等を正当なもののみに制限できる。 サーバの正当性を確認できる機能を備えるとと ・クライアント証明書による接続機器の認証に接続されることによって、情報窃取等
もに、許可されていない端末、サーバ装置、通 ・無線LANの認証プロトコル、IPSec、IEEEが行われる。
信回線装置等の接続を防止する機能を備えるこ 802.1x、等と。
・送信ドメイン認証（SPF、DKIM、DMARC等）による不正なメール受信の遮断
大量のアクセス等によってサービス提供 情報システムに対するDDoS攻撃による被 サービスの継続性を確保するため、構成機器が ・機器等の通信機能の設定の最適化（パケットフィ
が不能な状態または困難な状態に陥る。 害を抑制することができる。
備えるサービス停止の脅威の軽減に有効な機能 ルタリング、タイムアウト時間の短縮等）
を活用して情報システムを構築すること。
構成機器の設定程度では対処困難な攻撃 情報システムに対する広範囲かつ多様な サービスの継続性を確保するため、情報システ ・負荷分散装置による処理性能の確保によって、サービス提供が不能な状態ま DDoS攻撃に対処可能になる。
ムの負荷がしきい値を超えた場合に、通信遮断 ・代替となる機器等の設置たは困難な状態に陥る。
や処理量の抑制等によってサービス停止の脅威 ・サービス不能化攻撃の元アドレス及び通信パケッを軽減する機能を備えること。
トの特徴に基づく通信の制限又は遮断・通信回線装置及び通信回線において、大量アクセス発生時に帯域を一時的に拡大
・情報システムの管理に用いる端末、サーバ及び通信回線をサービス提供に用いるものと分離
情報システムが不正プログラム（ウイル 不正プログラムの感染防止、感染時の被 不正プログラム（ウイルス、ワーム、ボット・不正プログラム対策ソフトウェアの導入
ス、ワーム、ボット等）に感染し、情報 害拡大の防止が可能になる。
等）による脅威に備えるため、想定される不正 ・不正プログラム検出用パターンファイル等の手動
漏えい等の被害を受ける。
プログラムの感染経路の全てにおいて感染を防 または自動更新止する機能を備えるとともに、新たに発見され ・検査方式が異なる複数の不正プログラム対策ソフ
る不正プログラムに対応するために機能の更新 トウェアの導入が可能であること。
・ふるまい検知型の不正プログラム対策ソフトウェ
アの導入
・検疫ネットワークの導入（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
情報システムの一部の構成機器につい 情報システム全体について、不正プログ システム全体として不正プログラムの感染防止 ・情報システムを構成する各装置における不正プロて、不正プログラム対策機能が最新化さ ラム対策機能の稼働状況を把握し、感染 機能を確実に動作させるため、当該機能の動作 グラム対策ソフトウェアの統合管理機能れていないことが原因で不正プログラム のおそれがある機器を検出し、改善でき 状況及び更新状況を一元管理する機能を備えるに感染してしまう。
る。
こと。
開発時の脆弱性の混入、ソフトウェアの 開発時や構築時の脆弱性の混入や残存を 情報システムを構成するソフトウェア及びハー ・コーディング規約によるセキュアコーディングの更新漏れ、設定誤り等によって安全では 防ぎ、より安全な情報システムを調達す ドウェアの脆弱性を悪用した不正を防止するた 徹底ない状態で構築された情報システムに対 ることができる。
め、開発時及び構築時に脆弱性の有無を確認の ・リリース済みのパッチの適用及びソフトウェアの上、運用上対処が必要な脆弱性は修正の上で納 最新化
して不正行為が行われる。
入すること。
・利用するソフトウェアのサポート期間の考慮
・不審なプログラムの実行の禁止
・不要なサービス、機能等の停止
・不要な通信の制限
・IPv6を考慮した実装
・ツール等によるサーバ装置、通信回線装置、ウェ
ブアプリケーション、データベース管理システム等の脆弱性診断（内部検査又は第三者検査）の実施
・WAF等によるSQLインジェクションの脆弱性対策（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
情報システムの運用開始後に発見された 情報システムの構成機器において、運用 運用開始後、新たに発見される脆弱性を悪用し ・情報システムを構成する各装置に対するパッチ適新たな脆弱性を利用して、不正行為が行 開始後に新たに発見される脆弱性につい た不正を防止するため、情報システムを構成す 用、バージョンアップ及び管理方法の手順化
われる。
ての対策が可能になる。
るソフトウェア及びハードウェアの更新を行う ・ツール等によるサーバ装置、通信回線装置、ウェ方法（手順等）を備えること。
ブアプリケーション等の定期的な脆弱性診断（内部検査又は第三者検査）の実施
情報システムの一部の構成機器につい 情報システム全体について、脆弱性の対 運用開始後、新たに発見される脆弱性を悪用し ・情報システムを構成する各装置に対するパッチ適て、新たに発見された脆弱性の対処が漏 処状況を把握し、悪用されるおそれがあ た不正を防止するため、情報システムを構成す 用、バージョンアップの更新機能の導入れたことが原因で、不正行為が行われ る脆弱性については漏れなく対処でき るソフトウェア及びハードウェアの更新を効率 ・情報システム全体の更新状況の一元管理る。
る。
的に実施する機能を備えるとともに、情報シス
テム全体の更新漏れを防止する機能を備えること。
（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

対策区分

対策方針

AU 不正監視・追 AU-1 ログ管理
跡

判断条件
目的
実施レベル選定の考え方
対応関係
AU-1-1 ログの蓄積・ B or C 不正行為の検知、原因 ・ログ管理は、情報システムの利用頻度、不正行為の発生頻管理追求を行うため、情報 度及び侵害発生時の影響を想定し、費用対効果を踏まえた実システムのログの収施レベルを導入することが望ましい。
集・蓄積・保管を行うこと。
対策要件の名称

AU-1-2 ログの保護

AU-2 不正監視

AU-1-3 時刻の正確性確保-

ログの発生時刻を正確 （特になし）に把握することで正確な分析を行えるため、システム全体の時刻を同期させること。

（特になし）

AU-2-1 侵入検知

A

外部ネットワークから ・高位レベルの対策を実施する場合、装置の数に応じて費用侵入による情報セキュ が増大するため、費用対効果を踏まえた実施優先度を決める
リティの侵害を防止す ことが望ましい。
るため、不正侵入の検 ・情報システムの運用者や利用者が多岐に渡り、運用の統制知を行うこと。
やセキュリティ確保が困難な場合などには、中位レベルでは迅速に対応できない可能性があるため、高位レベルの対策が有効に働く場合がある。

（特になし）

AU-2-2 サービス不能化の検知

AC アクセス・利 AC-1 主体認証
用制限

実施
想定脅威
対策の効果
仕様記載例
対策の提案例
レベル・ログ管理は、情報システムのストレージ 低位 アクセス記録等のログがないことによっ 必要な情報をログとして確保すること 情報システムに対する不正行為の検知、発生原 ・サーバ装置のアクセス記録、主体認証のログ、操て、不正行為の検知、発生原因の特定及 で、不正行為の検知、発生原因の特定及 因の特定に用いるために、情報システムの利用 作ログ及び通信回線装置の通信ログの取得を圧迫する大きな要因となり蓄積するだけ
び被害内容の把握等が困難になる。ま び被害内容の把握等の一助となり、不正 記録、例外的事象の発生に関するログを蓄積でも費用面での負担は大きい。ログの保存
た、不正行為に気づかないことで被害の 行為への対応が可能となる。
し、【】の期間保管すること。
内容・期間は、情報システムへの不正行為
さらなる拡大を招く。
の検知・原因追跡に必要な内容等を考慮した期間を【】の箇所に記載するこ 中位 アクセス記録等のログが蓄積されている 適切に管理されたログから不正行為を迅 情報システムに対する不正行為の検知、発生原 ・ログ管理サーバによるログの一元管理にもかかわらず、ログの管理機能に不足 速かつ的確に把握することが可能にな 因の特定に用いるために、情報システムの利用 ・ログの検索、集計、追跡等の分析機能と。
があることで、不正行為に対する対応に り、不正行為に対する対応の即時性・的 記録、例外的事象の発生に関するログを蓄積
・ログ及び分析結果の表示・通知機能
・ログの蓄積不能時の対処機能遅れや場当たり的な対処が発生し、被害 確性が向上することで、被害防止や低減 し、【】の期間保管するとともの拡大・長期化を招く。
に、不正の検知、原因特定に有効な管理機能
・外部ログサーバへの出力機能を図れる。
（ログの検索機能、ログの蓄積不能時の対処機能等）を備えること。
高位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
低位 情報システムの運用者または管理者によ ログにアクセス可能な者を必要最小限に ログの不正な改ざんや削除を防止するため、ロ ・サーバ装置や通信回線装置のログに対するアクセ
B or C 不正行為のログに対す ・ログの保護は、本対策区分以外（侵害対策、アクセス／利 （特になし）
る悪意や誤操作によって、ログの改ざん 絞ることによって、ログの改ざんや削除 グに関するアクセス制御機能を備えること。
ス制御
る改ざんや削除を防止 用制限等）の対策状況を踏まえて、実施レベルを選定するのや削除が行われる。
が行われる可能性を低減できる。
するため、ログの保護 が望ましい。
を行うこと。
中位 外部記録媒体等に保存したログのアーカ 情報システムのアクセス制御外になった ログの不正な改ざんや削除を防止するため、ロ ・ログのアーカイブデータの暗号化
イブデータのように、情報システムのア ログのアーカイブデータに対して、改ざ グに対するアクセス制御機能を備えるととも・ログの定期的なアーカイブ（ログのローテーショ
クセス制御外になったログに対し、改ざ んや削除が行われる可能性を低減でき に、ログのアーカイブデータの保護（消失及び ン及び圧縮等を含む）
んや削除が行われる。
る。
破壊や改ざん等の脅威の軽減）のための措置を ・ログ保存メディアのライトワンス（１回書込、追含む設計とすること。
記不可）メディア使用
・鍵付きロッカーによる保管
仕様書記載時の注意事項

AC-1-1 主体認証

A

D

高位

不正アクセスによるログの改ざんや削除 不正アクセスによるログの改ざんや削除 ログの不正な改ざんや削除を防止するため、ロ ・信頼性の高い記録装置の導入、ログ管理装置の冗が行われる。また、ログ管理装置の障害 を検知することで、不正行為に対する対 グに対するアクセス制御機能及び消去や改ざん 長化によって、ログが破損・消失される。 応の即時性が向上する。また、装置故障 の事実を検出する機能を備えるとともに、ログ ・電子署名、タイムスタンプ等によるログの完全性によるログの破損・消失する可能性を低 のアーカイブデータの保護（消失及び破壊や改 保証
減でき、ログの信頼性向上も図れる。 ざんの脅威の軽減）のための措置を含む設計と ・改ざん検知システムによるログの監視
すること。

低位

標準時刻に対し、情報システムのシステ 情報システムのシステム時刻を正確かつ 情報セキュリティインシデント発生時の原因追 ・NTPによる時刻同期
ム時刻が不正確であったり、各構成機器 整合をとることで、情報システム内部 及や不正行為の追跡において、ログの分析等を ・GPS等の正確な時刻ソースの利用
間のシステム時刻が不整合であること （アクセス制御内）の各種ログ及び、外 容易にするため、システム内の機器を正確な時
で、ログの内容を正しく解釈できなくな 部保存（アクセス制御外）の各種ログに 刻に同期する機能を備えること。
る。
ついて、事象及び関係性を正しく解釈でき、正確な分析を行える。

中位
高位
低位
中位

（↑ 同様）（↑ 同様）

高位

高度な通信の擬装によって通信の監視で サーバ装置における監視によって、高度 不正行為に迅速に対処するため、府省庁内外で ・IDS/IPSによるサーバ装置等の通信ポートの監視は不正を検知できず、侵入を許してしま な通信の擬装や内部機器を介した攻撃に 送受信される通信内容の監視及びサーバ装置の ・システムの負荷、リソースの使用状況の監視う。
対しても、不正検知の可能性が高まる。 セキュリティ状態の監視等によって、不正アク
セスや不正侵入を検知及び通知する機能を備えること。

トラフィック集中によ ・高位レベルが求める検知機能の導入は、情報システムが停 （特になし）
るサービス不能化を検 止した場合の影響度（利用者へのサービス停止が許容可能か知すること。
どうか等）と、費用対効果を十分に踏まえた上で検討することが望ましい。

低位
中位
高位

許可されていない利用 ・主体認証の安全性は、利便性やコストとトレードオフの関 ・仕様書記載例の【】の箇所に関者のアクセスを防止す 係にあるため、「行政手続におけるオンラインによる本人確 して、「行政手続におけるオンラインによるため、アクセス主体 認の手法に関するガイドライン（平成31年２月25日 各府省 る本人確認の手法に関するガイドライン」を認証するための機能 情報化統括責任者（CIO）連絡会議決定）」を参考にして、合 を参考にする等して認証が必要な主体ごとを備えること。
理的に対策要件を決定する。
に認証方式の条件を具体的に明記するこ
と。

低位
中位

高位

AC-2 アカウント管 AC-2-1 ライフサイク
理
ル管理

D

AC-2-2 アクセス権管理EAC-2-3 管理者権限の保護-不要なアカウントによ （特になし）
る不正な操作等を防止するため、適切に識別コード、認証情報等のライフサイクルを管理すること。

（特になし）

許可されている情報の ・情報システムの利用者の職務（情報システムが提供する
みにアクセスできるよ サービスの内容）が一定である場合には主体認証のみで対応
うに、職務等に応じた 可能であるが、利用者（主体）によってアクセスする情報やアクセス権の管理を行 利用するサービスが異なる場合には高位レベルの対策要件がうこと。
必要になる。

・本対策要件を調達仕様書に記載する場合には、業務要件の一環として、情報システ
ムのアクセス元となる主体及び主体ごとの業務（アクセス権）の関係を具体的に記載すること。

管理者権限の悪用によ （特になし）
る不正行為を防止するため、管理者権限を適切に保護すること。

（特になし）

低位
中位

高位
低位
中位
高位

低位

中位
高位

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

通信回線を介した外部からの不正アクセ 外部からの不正アクセスを検知すること 不正行為に迅速に対処するため、通信回線を介 ・IDS/IPSによる通信回線上の不正な通信パケットスに気づくことができず、対処が遅れ で迅速な対処が可能となり、侵入被害を して所属する府省庁外と送受信される通信内容 の検知やファイアウォールとの連携による通信制御を監視し、不正アクセスや不正侵入を検知及び ・マルウェアによって発生する不審な通信の検知る。
抑制することができる。
通知する機能を備えること。

サービス不能化を目的とした攻撃の検知 攻撃の検知の可能性が高まり、早期対処 サービスの継続性を確保するため、大量のアク ・IDS/IPSまたは通信回線装置による異常トラ
が遅れ被害が深刻化し、サービス提供が によって被害を抑制できる。
セスや機器の異常による、サーバ装置、通信回 フィックの監視、検知困難になる。
線装置又は通信回線の過負荷状態を検知する機 ・システムの負荷、リソースの使用状況の監視能を備えること。

許可されていない利用者が情報システム 正当な利用者のみにアクセスを許可し、 情報システムによるサービスを許可された者の ・識別コード（ID）とパスワードによる主体認証にアクセスすることを許してしまう。 無許可の利用者のアクセスを禁止でき みに提供するため、情報システムにアクセスす ・パスワード規則の設定（文字列の長さの規定、文る。
る主体のうち【】の認 字種の規定等）
証を行う機能として、【・送信又は保存時の主体認証情報の暗号化】の方式を採用すること。
・保存された主体認証情報へのアクセス制限
他人の主体認証情報（パスワード等）の 主体認証情報の推測、盗難等によるリス 情報システムによるサービスを許可された者の ・ワンタイムパスワードによる主体認証
推測や盗難等によって不正アクセスが行 クを軽減し、主体認証機能の安全性が高 みに提供するため、情報システムにアクセスす ・耐タンパ性を備えたICカード認証われる。
まる。
る主体のうち【】の認 ・生体認証（指紋、顔、静脈、虹彩等）
証を行う機能として、【・2つ以上の主体認証方式を用いて認証を行う多要】の方式を採用し、主体認証情報の推測や盗難 素主体認証方式
・情報システムの認証履歴の記録と通知等のリスクの軽減を行う機能として、【】の条件を満たすこと。
・指定回数以上の認証失敗時のアクセス拒否・大規模な辞書を用いたパスワード解析への耐性
不要アカウントの残存、不正なアカウン 厳格なアカウント管理が可能となり、許 主体のアクセス権を適切に管理するため、主体 ・アカウントを一元的に管理する機能
ト登録や変更等が原因で、情報システム 可されていない利用者によって情報シス が用いるアカウント（識別コード、主体認証情 ・識別コード（ID）、主体認証情報の作成、配付機に対する不正アクセスが引き起こされ テムが利用される可能性を低減できる。 報、権限等）を管理（登録、更新、停止、削除 能る。
等）するための機能を備えること。
・主体認証情報の変更状況を把握する機能
・特定の識別コード（ID）による認証を停止する機
能（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
不要な情報やサービスに誤って又は意図 職務に応じて必要最小限のアクセス権を 情報システムの利用範囲を利用者の職務に応じ ・利用時間や利用時間帯によるアクセス制御
的にアクセスされ、情報漏えいや情報の 利用者に与えることによって、不正の防 て制限するため、情報システムのアクセス権を ・同一IDによる複数アクセスの禁止
職務に応じて制御する機能を備えるとともに、 ・IPアドレスによる端末の制限
不正な操作が行われる。
止や侵害時の被害を抑制できる。
アクセス権の割り当てを適切に設計すること。 ・ネットワークセグメントの分割によるアクセス制
御・情報の格付及び取扱制限によるアクセス制御
情報システムの管理者権限が悪用され、 管理者権限を正当な者のみに与えて悪用 特権を有する管理者による不正を防止するた・システムの管理、運用に用いるシステムアカウン
通常の利用者ではアクセスできない情報 を防止するとともに、管理者権限の内容 め、管理者権限を制御する機能を備えること。 トを一元的かつ厳格に管理する機能の窃取等の不正行為が行われる。
を必要最小限に絞って被害を抑制でき・最小限の特権の付与
る。
・複数名による操作が必要なデュアルロック機能の導入（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

対策区分
PR データ保護

PH 物理対策

判断条件
目的
対応関係
PR-1 機密性・完全 PR-1-1 通信経路上の B or C 通信経路上に流れる（特になし）性の確保
盗聴防止
データが盗聴された場合でも影響を低減させるための措置を行うこと。
対策方針

対策要件の名称

DA-2 可用性確保

仕様書記載時の注意事項（特になし）

PR-1-2 保存情報の機
密性確保

B or C 保存されているデータ ・取り扱う情報の機密性の高さを考慮して、高度な攻撃手法の窃取を防止するため により情報の保存場所に直接アクセスされ、情報が窃取され処置及び窃取された場 る脅威や、内部犯行により情報が漏えいする脅威を想定する合に影響を低減させる 必要がある場合に高位の対策を講ずることが考えられる。
ための、措置を行うこ ・端末に保護すべき情報を保存する必要があり端末の利用環と。
境が安全ではない（他人に操作される可能性がある）場合には、端末に保存する情報についても上記と同様の対策要件を求める必要がある。

・保護すべき情報の保存場所が複数想定される場合には、保存場所ごとに対策要件を定めること。

PR-1-3 保存情報の完
全性確保

B or C 情報が不正に改ざんさ ・通信回線を流れる情報の完全性の確保についてはPR-1-1のれることを防止するた 対策要件でも効果があり、本対策の必要性は高くない。
め、システムが取り扱 ・サーバ機器、端末等に保存された情報の完全性の確保につう情報の完全性を確保 いては、PR-1-2と同様に利用者の信用度、利用環境を考慮すること。
し、必要性が認められる場合にのみ高位レベルの対策を採用すると良い。
画面の盗み見や機器の （特になし）
盗難等を防止するための措置を講じること。

（特になし）

PH-1 情報窃取・侵 PH-1-1 情報の物理的入対策
保護

DA 障害対策
DA-1 構成管理（事業継続対応）実施レベル選定の考え方

・仕様書記載例のままでは費用見積もりが困難であるため、提案例も参考にした上で仕様書記載例の【】に条件をできるだけ具体的に記すこと。

PH-1-2 侵入の物理的対策-

情報システムの設置場 （特になし）
所への不正侵入を防止するための措置を行うこと。

・仕様書記載例のままでは費用見積もりが困難であるため、提案例も参考にした上で条件をできるだけ具体的に記すこと。

DA-1-1 システムの構
成管理

B

必要な機器のみによっ （特になし）て必要なサービスのみを提供するように情報システムの構成及び稼働状況の管理を行うこと。

（特になし）

DA-2-1 システムの可用性確保-システムの異常停止を （特になし）防止するとともに障害時のシステムの迅速な復旧を行うこと。

・情報システムが扱う各業務の復旧時間について利用者への影響度合い等を考慮し、【】の箇所に明記する必
要がある。

実施
想定脅威
対策の効果
仕様記載例
対策の提案例
レベル
低位
中位 通信回線上に流れるデータの盗聴によっ 通信回線の暗号化によって、仮に通信が 通信回線に対する盗聴行為や利用者の不注意に ・IPsecによるIPレベルでの暗号化て、情報が窃取される。
盗聴されたとしても、意味のある情報が よる情報の漏えいを防止するため、通信回線を ・VPNによる仮想的な専用回線での接続取得される可能性を低減できる。
暗号化する機能を備えること。暗号化の際に使 ・TLSによるHTTP通信の暗号化用する暗号アルゴリズムについては、「電子政 ・情報の暗号化を行う製品の導入
府推奨暗号リスト」を参照し決定すること。
・S/MIME等のセキュアメールシステム
高位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
低位
中位 情報にアクセスする必要の無い利用者が アクセス権に関する対策により情報にア 情報システムに蓄積された情報の窃取や漏えい ・情報へのアクセス権を制御する機能
アクセスし、情報が窃取される。また、 クセスする必要の無い利用者が、アクセ を防止するため、情報へのアクセスを制限でき ・情報を保存する機器の内部ネットワークへの設置
外部との接続のある情報システムにおい スすることを制限すること、また、外部 る機能を備えること。また、外部との接続のあて、通信回線を介した外部からの不正ア との接続のある情報システムにおいては る情報システムにおいて保護すべき情報を利用
クセスによって情報が窃取される。
外部から直接アクセス可能な機器には保 者が直接アクセス可能な機器に保存しないこ
護すべき情報を保存しないことにより、 と。
不正アクセスによる情報漏えいの被害を抑制できる。
高位 外部からの高度な攻撃手法により情報の 情報の保存場所から情報が窃取されて 情報システムに蓄積された情報の窃取や漏えい ・ファイル暗号化システム（ソフト、機能）保存場所に直接アクセスされ、情報が窃 も、情報の内容が読み取られる可能性を を防止するため、情報へのアクセスを制限でき ・暗号化機能を備える記録装置（USBメモリ、HDD、取される。また、内部犯行により情報が 低減できる。
る機能を備えること。また、保護すべき情報を モバイルPC等）
窃取される。
利用者が直接アクセス可能な機器に保存しない ・情報漏えい対策（DLP）ソリューション全般
ことに加えて、保存された情報を暗号化する機 ・S/MIME等のセキュアメールシステム
能を備えること。暗号化の際に使用する暗号ア
ルゴリズムについては、「電子政府推奨暗号リスト」を参照し決定すること。
低位
中位
高位 情報システムに不正アクセスし、情報シ 情報が改ざんされた場合にその事実を検 情報の改ざんや意図しない消去等のリスクを軽 ・デジタル署名又はタイムスタンプ
ステムが保存する情報が改ざんされる。 知し、早期に対処することができる。 減するため、情報の改ざんを検知する機能又は ・原本性保証システム
改ざんされていないことを証明する機能を備え ・S/MIME等のセキュアメールシステム
ること。
・端末の離席対策（自動スクリーンロック等）
低位 機器の盗難、ディスプレイの盗み見、許 物理的な手段による情報窃取の可能性を 情報の漏えいを防止するため、【可されていない持ち出し等の物理的な手 低減することができる。
】等によって、物理的な手段による情報窃取行 ・端末のワイヤーロック
為を防止・検知するための機能を備えること。 ・施錠可能なサーバラックの採用
段によって情報が窃取される。
・ディスプレイの盗み見防止フィルタ
・記録装置のパスワードロック、暗号化
・データ消去ソフトや物理的破壊等による情報の完
全廃棄
・携帯電話、メモリデバイス等の持込みの監視及び制限
・物品持ち出し管理システム
・通信ケーブル及び通信回線装置の物理的保護（床下への埋設等）・シンクライアントによる端末に情報を保存させな
い仕組み・セキュアブラウザによる端末に情報を保存させな
い仕組み
・遠隔データ消去による盗難・紛失対策
・テンペスト（電磁波盗聴）対策システム
中位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）高位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
低位 情報システムの設置場所に物理的な侵入 情報システムの設置場所に対する物理的 物理的な手段によるセキュリティ侵害に対抗す ・入退室の制限及び記録を受け、保護すべき情報の窃取や削除・ な侵入の防止及び検知が可能になり、侵 るため、情報システムの構成装置（重要情報を ・遠隔映像監視
破壊等の被害を受ける。
入された場合にも早期対処が可能にな 扱う装置）については、外部からの侵入対策が ・侵入警報る。
講じられた場所に設置すること。
・所在表示の制限
中位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）高位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
低位 情報システムを構成するハードウェアや 情報システムの機器やサービス構成の情 情報セキュリティインシデントの発生要因を減 ・システム設計書等の文書による構成の定義
ソフトウェア及びサービスの構成を正確 報に基づいて、侵害の原因を迅速に究明 らすとともに、情報セキュリティインシデント ・システム設計書等の文書によるサービス構成（端に把握できず、侵害の原因究明や適切な し、被害拡大を防止できる。また、侵害 の発生時には迅速に対処するため、構築時の情 末やサーバ等の機器の不要な機能の停止又は制限等
対処が困難になる。
の原因となる構成要素を点検し、排除す 報システムの構成（ハードウェア、ソフトウェ も含む）の定義
ア及びサービス構成に関する詳細情報）が記載ることができる。
された文書を提出するとともに、文書どおりの構成とすること。
中位 運用開始後の情報システムの機器やサー 情報システムの機器やサービス構成に変 情報セキュリティインシデントの発生要因を減 ・構成情報を管理するシステムの導入
ビス構成の変更によって把握していた構 更が発生しても、正確に構成情報を更新 らすとともに、情報セキュリティインシデント ・端末にインストールされているソフトウェアを管成情報が無効となり、侵害発生時に適切 することが可能であるため、侵害発生時 の発生時には迅速に対処するため、構築時の情 理するツールの導入な対応ができない。
の対処の確実性が増す。
報システムの構成（ハードウェア、ソフトウェ ・端末の利用者へはユーザ権限のみを付与
ア及びサービス構成に関する詳細情報）が記載された文書を提出するとともに文書どおりの構成とし、加えて情報システムに関する運用開始
後の最新の構成情報及び稼働状況の管理を行う
方法又は機能を備えること。
高位 （↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
低位 情報システムの異常停止、あるいは異常 情報システムが異常停止した場合でも、 サービスの継続性を確保するため、情報システ ・装置及びネットワークの冗長化（ホットスタンバ
停止状態の長期化によって、サービスの 復旧目標時間の範囲内で復旧できる可能 ムの各業務の異常停止時間が復旧目標時間とし イ、コールドスタンバイ等）
利用者や提供者が損害を被る。
性が高まる。
て【】を超えることのない運 ・信頼性の高いハードウェア及びソフトウェアの採用を可能とし、障害時には迅速な復旧を行う方 用
法又は機能を備えること。
・DNS等の基盤サービスの信頼性確保
・オンライン又はオフラインバックアップ・システムのリカバリ方法の手順化
・災害時の対処方法の手順化
中位
高位（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）

判断条件
目的
対応関係
情報システムの構築等 （特になし）
SC サプライ
SC-1 情報システム SC-1-1 委託先において不正プログチェーン・リの構築等の外の委託先における従業ラム等が組み員等の情報セキュリ
スク対策
部委託におけ込まれることティ管理体制を確認す
る対策への対策
ることで、不正プログ
ラム等が組み込まれた
情報システムが納入されないようにする。
対策区分

対策方針

対策要件の名称

SC-2 機器等の調達 SC-2-1 調達する機器等に不正プロにおける対策グラム等が組
み込まれることへの対策

UP 利用者保護-

UP-1 情報セキュリ UP-1-1 情報セキュリ
ティ水準低下ティ水準低下の防止の防止AUP-2 プライバシー UP-2-1 プライバシー
保護
保護

A

実施レベル選定の考え方

製造過程における情報 （特になし）
セキュリティ対策を確認することで、不正プ
ログラム等が組み込まれた機器等が納入されないようにする。

実施
想定脅威
対策の効果
仕様記載例
対策の提案例
レベル・構築する情報システムが機密性の高い情 低位 情報システムの構築を受託した事業者の 情報システムの構築等の外部委託におい 情報システムの構築において、府省庁が意図し ・委託事業者の資本関係や役員等の情報を含めた基従業員が、情報システムへの侵入経路 て、構築する情報システムに意図せざる ない変更や機密情報の窃取等が行われないこと 本情報の提出
報を扱わず他の情報システムとも接続しな（いわゆるバックドア）等の不正プログ 変更が加えられないための十分な管理体 を保証する管理が、一貫した品質保証体制の下 ・委託事業の実施場所の提示い場合等、情報漏えいリスク対策に高い水ラム等を開発時に悪意を持って組み込む 制が採られている事業者を選定条件とす でなされていること。当該品質保証体制を証明 ・委託事業従事者の所属、専門性、実績や国籍情報準の要件を求める必要がない場合は、除外
ことにより、情報システムの稼働開始後 ることで、情報窃取の可能性を低減す する書類（例えば、品質保証体制の責任者や各 を含めた体制図の提示することも考えられる。
に情報システムで取り扱われる情報を窃 る。再委託先にも委託事業者と同様の管 担当者がアクセス可能な範囲等を示した管理体 ・委託先における監査の受け入れの事前合意（契約取する。
理体制を求めることにより、再委託先か 制図）を提出すること。本調達に係る業務の遂 時）
再委託をすることにより、再委託先事業 らの、情報窃取の可能性を低減する。 行における情報セキュリティ対策の履行状況を ・再委託先事業者の資本関係や役員等の情報を含め確認するために、府省庁が情報セキュリティ監 た基本情報の提出
者の従業員等が、情報システムへの侵入査の実施を必要と判断した場合は、受託者は情 ・再委託先委託事業の実施場所の提示
経路（いわゆるバックドア）等の不正プ
報セキュリティ監査を受け入れること。
ログラム等を開発時に悪意を持って組み・再委託先委託事業従事者の所属、専門性、実績やまた、役務内容を一部再委託する場合は、再委 国籍情報を含めた体制図の提示込むことにより、情報システムの稼働開
託されることにより生ずる脅威に対して、情報
始後に情報システムで取り扱われる情報
セキュリティを確保すること。
を窃取する。
仕様書記載時の注意事項

・機器を調達しない場合、調達する機器が機密性の高い情報を扱う情報システムに接続しない場合等、情報漏えいリスク対策に高い水準の要件を求める必要がない場合は、除外することも考えられる。

利用者が情報システム （特になし）
によって提供されるア
プリケーションプログ
ラムやウェブコンテン
ツ等を利用する際に、利用者の情報セキュリ
ティ水準の低下を招かないよう対策を行うこと。

（特になし）

情報システムの利用者 （特になし）
に関する情報が本人の意思に反して第三者に提供されないよう対策を行うこと。

（特になし）

中位
高位
低位

中位
高位
低位
中位

高位
低位
中位

高位
【目的】
・対策要件を満たす対策を実施することの目的【実施レベル選定の考え方】
・中位レベル及び高位レベルの対策要件があり得る場合の選定の考え方【仕様記載時の注意事項】
・調達する情報システムの特性に応じて調達仕様書の記載内容を具体化すべき事項【想定脅威】
・対策要件の各実施レベルにおいて想定され解決を試みようとする脅威の内容【対策の効果】
・各実施レベルの対策要件に対応する対策を実施した場合に得られる効果【仕様書記載例】
・各実施レベルの対策要件に対応する仕様書の記載例
・記載例中の 【 】 は、仕様書記載時に具体化すべき箇所【対策の提案例】
・各実施レベルの対策要件に対して想定される一般的な対策の提案例（実現例）
・対策の提案例のレベル分けを行わない場合には「（↑同様）」とし、下位に一括記載
・列挙されたすべての提案例を必ずしもすべて実現する必要はない
・実施レベル毎に対策の提案例を記載しているが、上位の実施レベルを選択する場合は、同一対策要件の下位の対策の提案例も参照すること。
※対策は「想定する脅威の具体的内容」等に強く依存するため、対策の提案例をレベル分けせずに低位に一括記載している場合がある。
【備考】
・本対策要件集は、オンプレミスの情報システムを調達する際に活用することを想定しているが、クラウドサービスを調達する際にも活用することは可能である。
なお、クラウドサービスを調達する際は、本対策要件集に記載の内容の他にもクラウドサービス提供者へ求めるサービスレベル等の要件も考慮する必要がある。

（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
機器の製造過程において、製造事業者の 製造機器等に不正な変更が加えられない 機器等の製造工程において、府省庁が意図しな ・製造過程における情報セキュリティ管理体制や管従業員が、機器が構成する情報システム よう努めている事業者から機器等を調達 い変更が加えられないよう適切な措置がとられ 理手順等が記載された書類の提出への侵入経路（いわゆるバックドア）等 することで、情報窃取の可能性低減する ており、当該措置を継続的に実施していること。また、当該措置の実施状況を証明する資料の不正プログラム等を悪意を持って組み ことができる。
を提出すること。
込むことにより、情報システムの稼働開始後に情報システムで取り扱われる情報を窃取する。
（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
政府機関が提供するアプリケーションプ 利用者の情報セキュリティ水準が維持さ 情報システムの利用者の情報セキュリティ水準 ・実行プログラム形式(拡張子が「.exe」等で終わログラムやウェブコンテンツ等を利用す れることで、不正プログラム等への感染 を低下させないように配慮した上でアプリケー るもの)でのコンテンツ提供の禁止
ションプログラムやウェブコンテンツ等を提供 ・サポート期限が切れた、又は情報システムの提供
ることによって、利用者の情報セキュリ を防止することができる。
すること。
期間中にサポート期限が切れる予定にあるバージョ
ティ水準が低下し、不正プログラムへのンのOSやソフトウェア等の利用を前提とすることの感染等が発生する。
禁止
・複数のウェブブラウザで動作するよう設計・構築
・政府ドメイン名（.go.jpで終わるドメイン名）の利用（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）
情報システムにアクセスする利用者のア 利用者のアクセス履歴、入力情報等が第 情報システムにアクセスする利用者のアクセス ・府省庁外のウェブサイト等のサーバへ自動的にア
クセス履歴、入力情報等を当該利用者が 三者に送信されないことで、利用者のプ 履歴、入力情報等を当該利用者が意図しない形 クセスが発生する機能が仕様に反して組み込まれて意図しない形で第三者に送信することに ライバシーを保護することができる。 で第三者に送信されないようにすること。
いないことを検証
よって、利用者のプライバシーを侵害す
・府省庁外のウェブサイト等のサーバへ自動的にアる。
クセスが発生する機能を含める場合は、当該府省庁
外へのアクセスが情報セキュリティ上安全なものであることを検証
・本来のサービス提供に必要のない府省庁外へのアクセスを自動的に発生させる機能の禁止（↑ 同様）（↑ 同様）（↑ 同様）（↑ 同様）