地方独立行政法人宮城県立病院機構マイナンバー管理等業務委託仕様書
１．件名
地方独立行政法人宮城県立病院機構マイナンバー管理等業務委託
２．業務の目的
地方独立行政法人宮城県立病院機構（以下「法人」という。
）が，社会保障・税番号制度（以下「マイナンバー制度」という。
）導入にあたって，常勤職員，有期雇用職員（以下「職員等」という。
）とその扶養親族及び外部講師等のマイナンバーの収集，保管，利用，廃棄に伴う業務を当該仕様書で記載する機能を満たしたシステムを利用し，安全に行うことを目的とする。
法人は，システム提供業者に対してマイナンバー制度でいう，当該業務の「委託」をするものではなく法人が提供されたシステムを利用し，当該業務を行うもの。
利用システムは，ASP 型システムとする。
３．契約期間
平成２８年１０月１日から平成２９年３月３１日まで
４．履行場所（１）本部事務局（名取市愛島塩手字野田山４７－１）（２）宮城県立循環器・呼吸器病センター（栗原市瀬峰根岸５５－２）（３）宮城県立精神医療センター（名取市手倉田字山無番地）（４）宮城県立がんセンター（名取市愛島塩手字野田山４７－１）
５．業務の対象となる予定人数（１）常 勤 職 員：約９５０名（２）有期雇用職員：約３００名（３）外 部 講 師 等：約１００名
合計１,３５０名※予定人数は概算での人数のため，契約時の人数を保証するものではない。
６．マイナンバーサービスの機能内容（１）収集・登録機能①

職員等が閲覧する専用 Web にて，マイナンバーの収集に係る利用目的を表示し，職員等が確認及び同意する機能を有すること。

②

マイナンバー収集専用の Web を提供し，本人または扶養親族のマイナンバーや，1

免許書等の本人確認書類を画像で申請することができる機能を有すること。
職員等は専用 Web にログインする際，ID 及びパスワード等の認証キーを必要と③すること。
④

職員等がマイナンバーを申請後は，マイナンバー自身を職員等が閲覧できない制限ができること。

⑤

特定のマイナンバー取扱担当者（以下「取扱担当者」という。
）が，職員等のマイナンバーの登録状況の進捗管理が行える機能を有すること。また，取扱担当者が，アクセスするための ID 及びパスワード等のほか，電子証明書を利用したアクセス制御が可能であること。

⑥

取扱担当者による，収集対象者の本人確認（本人確認書類の写しと通知カードの写しとの目視確認での突合等）を行うことができる機能を有すること。

⑦

取扱担当者は，職員等から登録申請されたマイナンバーを確認し，システム提供業者の管理するマイナンバー専用のデータベースに，速やかに入力及び登録できること。

⑧

職員本人及びその扶養親族であることを確認できたマイナンバーは，取扱担当者が登録できる機能を有すること。

⑨

重複登録などエラーチェック機能を有すること。

（２）管理機能①

取扱担当者の設定，ユーザ権限（管理者権限，閲覧範囲権限，ダウンロード制限等の権限），管理機能の利用の有無などの設定ができること。
②

グループ単位で登録及び管理ができること。

③

管理機能の利用の有無については，個別に設定できること。

④ アクセスするネットワークを特定できること。
（３）マイナンバーの保管等①

収集したマイナンバーについては，システム提供業者のマイナンバー専用データベースにて保管すること。

②

データベース保管場所（以下「データセンター」という。
）の安全管理措置及びデータベースの取扱い等については，以下のとおりとする。
ア．データセンターは，システム提供業者が管理運営しているデータセンターであり，所在地は日本国内であること。
イ．データセンターは，生体認証又はＩＣカード等による入退室管理，カメラによる監視等，情報の外部への流出を防ぐための適切な安全管理措置を行うこと。
ウ．データセンターへの機器や電子媒体等の持ち込み，持ち出しについて，適切な安全管理措置を行うこと。
2

エ．マイナンバーを保存するデータベースについては，法人以外の会社等の特定個人情報を管理するデータベースとの領域が，物理的又は論理的に分けられていること。
オ．自然災害など有事の際にもデータの損失を避けるためのバックアップ体制として全体の仕組みを別置のデータセンターで隔地運用を行っていること。単なるデータのバックアップだけではなく，アプリケーションシステムも同時にバックアップされていること。
③「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」の適合状況を定期的（年複数回）に外部監査を受け，かつ外部監査証明書が提出できること。

（４）マイナンバーの利用取扱担当者が，以下の機能を利用できること。
①

マイナンバーが保存されているデータベース（以下「データベース」という。）に，取扱担当者がアクセスし，マイナンバーを利用できる機能を提供すること。
主な機能は，マイナンバー検索機能，閲覧機能，ダウンロード機能とすること。

②

取扱担当者がデータベースにアクセスする際には，専用 ID 及びパスワードのほか，電子証明書を利用したアクセス制御を行うことができる機能を有すること。
なお，専用 ID 及びパスワードを３０付与すること。

③

当該電子証明書は，システム提供業者が自ら運営する電子証明書発行局（CA 局）から発行し，有効期限も適切に管理可能な電子証明書であること。

④

アクセスログの確認かつ，ダウンロードができる機能を提供すること。確認には，ログ種類ごとにソート機能が可能なこと。

⑤

取扱担当者がデータベースにアクセスし，職員番号，氏名等により，マイナンバーのデータを検索及び照合できること。

⑥

取扱担当者は，登録内容全部を閲覧することができるほか，CSV 形式等でダウンロードできること。

⑦

マイナンバーの検索条件としてＩＤ，氏名等の複数条件が指定できること。

（５） 法定調書作成機能の提供①

法人から提供する給与等の支払データとシステムに保管したマイナンバーを紐付けし，以下のマイナンバー記載の帳票を作成できること。なお，法人から提供された給与等の支払いデータは，マイナンバー記載の帳票作成後速やかに，削除すること。
ア．給与所得の源泉徴収票
イ．給与支払報告書
ウ．報酬，料金，契約金及び賞金の支払調書
3②

帳票とは，規定された法定調書（PDF 形式）及び総務省自治税務局長通知に基づくデータ（CSV 形式）とすること。

③

作成された帳票は，種類別にダウンロードできること。

④

作成された帳票は，指定した順番にソートできること。

⑤

データベースからデータの出力又はダウンロードを行う場合には，SSL による通信の暗号化等，情報漏えい防止の措置を行うこと。

⑥

全てのアクセスログを権限が与えられた取扱担当者が閲覧，またはダウンロードできること。

（６）特定個人情報等の廃棄①

取扱担当者の権限で，有効期間管理を行うことができ，破棄予定日をアラート表示し，破棄すべき対象情報を把握することができる機能を有すること。

②

上記情報を取扱担当者の判断に基づき，破棄を行う機能を有すること。

（７）導入支援等
マイナンバー収集，保管，廃棄，利用にかかるサービスの提供及び導入，運用に向けた，導入マニュアルを提供すること。また，必要に応じて操作研修を行うこと。
（８）問い合わせシステム管理者からの問い合わせ対応ができる体制を用意すること。
７．システム提供業者の資格要件（１）公的認証の取得
システム提供業者は，次に掲げる資格要件を満たしていることとし，各要件を満たしていることを証明する書類を提出すること。
①

一般財団法人日本情報経済社会推進協会（JIPDEC）の認定するプライバシーマーク
情 報 セ キ ュ リ テ ィ マ ネ ジ メ ン ト シ ス テ ム （ ISMS ） の ISO/IEC27001②（JISQ27001）（２）経験及び能力
特定個人情報の管理業務において，独立行政法人，自治体等の公共団体又は東証一部上場企業等の類似業務での受託実績を有すること。
８．機密情報に係る取扱い（１）機密情報の秘密保持義務
4

①

システム提供業者は，本件業務の遂行に当たり，法人から提供され，又は知り得た機密情報について，これを第三者に漏らしてはならない。ただし，次に掲げる情報は機密情報としない。
ア．既に公知となっている情報又は提供後に法人及びシステム提供業者のいずれの責にもよらず公知となった情報
イ．法人がシステム提供業者に公表することを承認した情報
ウ．システム提供業者が独自に開発した情報
エ．システム提供業者が守秘義務を負うことなく，正当な第三者から適法に入手した情報②

特定個人情報については，前項ただし書きの規定は適用せず，全て機密情報として取り扱うものとする。

（２）機密情報の管理①

システム提供業者は，法人から提供された機密情報を複製又は改変してはならない。

②

システム提供業者は，法人から提供された機密情報について，善良な管理者の注意をもって管理し，保管する義務を負うものとする。

③

システム提供業者は，法人から提供された機密情報を法人の承認なしにシステ
ム提供業者の事務所内の管理区域又は取扱区域の外へ持ち出してはならない。

④

システム提供業者は，法人から提供された機密情報を法人の承認なしに廃棄又は，残置してはならない。

（３）機密情報の使用制限①

システム提供業者は，機密情報について本件業務を遂行するために必要な限度でのみ使用し，当該限度を超えて用いてはならない。

②

システム提供業者は，機密情報について，第三者に提供してはならない。

③

システム提供業者は，システムのメンテナンスのために，当該プログラム，データベースを利用する場合，マイナンバーシステム専用のメンテナンス用ルームにて，少なくとも 2 名体制で作業ができる運用となっていること。当該ルーム内の作業は監視カメラなどで監視され，不正が起こりえない運用を徹底していること。

（４）再委託等の禁止
委託業務の全部又は一部を他に委託し，又は第三者に請け負わせてはならないこととする。ただし，書面により法人の承諾を得たときは，この限りでない。

5（５）監査，検査，行政庁等への協力等
法人が必要と認めた場合，システム提供業者（再委託先を含む。
）に対し，当該会社の施設への立入りを含めた，監査・検査の協力要請をすることができること。システ
ム提供業者は，協力要請に基づき，必要な限り協力するものとすること。
９．セキュリティ及び障害対応
システム提供業者は，セキュリティに関する事故及び障害等の発生を未然に防ぐこと。
仮に発生した場合は，速やかに法人に報告の上，対応策について法人と協議し，被害を最小限で止めること。
１０．報告書の提出
初期導入作業終了後に，導入完了報告書を提出すること。また，毎月，業務完了報告書を提出すること。なお，報告書は速やかに提出すること。
１１．月額料金
月額料金とは，基本料金（ディスク容量２０GB，取扱担当者 ID３０含む）のほかに，従量料金制（１ID 使用料金）とすること。
※１ID とは，データベースに登録されている職員数を指す。
１２．支払い方法
初期導入作業費及び月額料金は検査合格から起算して３０日以内に支払う。
１３．その他（１）OS 及び Web ブラウザ等のバージョンアップに対応すること（２）本仕様書に定めのない事項への対応
本仕様書の内容に疑義が生じた場合は，法人とシステム提供会社で協議のうえ対応を取り決めるものとすること。
（３）システム提供会社の責務
システム提供会社は，「特定個人情報の適正な取扱いに関するガイドライン」等の最新版に常に準拠した必要な措置をとる体制を整えること。また，法人で対応すべき事項について，必要な助言を行うこと。

6