ASP･SaaS（IoT クラウドサービス）の安全・信頼性に係る情報開示認定制度～申請書作成の手引き～

令和４年４月1日

クラウドサービス情報開示認定機関
一般社団法人日本クラウド産業協会（ASPIC）

目次
はじめに------------------------------------------------------------------------------------------------------ 1
１．申請書の記入方法について ........................................................................................ 2
２．「事業者」に関わる項目の説明 ........................................................................................ 3
２．１ 開示情報の時点 .................................................................................................... 3
２．２ 事業所・事業 ......................................................................................................... 3
２．３ 人材 ...................................................................................................................... 4
２．４ 財務状況 ............................................................................................................... 5
２．５ 資本関係・所属団体 ............................................................................................... 8
２．６ コンプライアンス ..................................................................................................... 8
３．「サービス」に関わる項目の説明 ............................................................................. 14
３．１ サービス基本特性 ................................................................................................ 14
３．２ アプリケーション、プラットフォーム、サーバ・ストレージ等 ...................................... 21
３．３ ネットワーク ................................................................................................... 24
３．４ 提供端末 ..................................................................................................... 28
３．５ 推奨端末 ..................................................................................................... 31
３．６ ハウジング（サーバ設置場所） .......................................................................... 31
３．７ サービスサポート----------------------------------------------------------------------------------35（参考）本書中に、『「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容』と題して破線テキストボックスで記述した内容は、ASP･SaaSの情報セキュリティ対策に関する研究会から公表された「ASP･SaaSにおける情報セキュリティ対策ガイドライン」（平成２０年１月３０日）の関連記述を引用しています。

変更履歴：
令和 4 年 4 月１日【変更】クラウドサービス情報開示認定機関を一般財団法人 ASP・SAAS・
AI・IOT クラウド産業協会から一般財団法人 ASP・SAAS・AI・IOT ク
ラウド産業協会に変更しました。
令和 2 年 4 月１日【変更】クラウドサービス情報開示認 定機関を特 定非営利活動法人
ASP・SAAS・IOT クラウド コンソーシアムからに一般財団法人 ASP・
SAAS・AI・IOT クラウド産業協会に変更しました。

はじめに本認定制度は、ＩｏＴクラウドサービス情報開示指針にしたがって制定しています。
「IoTクラウドサービス」とは、IoT機器（センサーやアクチュエータ）を使ったクラウドサービスのことを言います。
ＩｏＴクラウドサービス情報開示指針は、ＩｏＴクラウドサービスの想定モデルをもとに作成されています。想定モデルを下図に、考え方を以下に示します。

なお、ＩｏＴクラウドサービスは、発展途上にあるので、想定以外のモデル、パターンが出現することが想定されます。このような場合は、認定事務局にご相談ください。
（１）ＩｏＴクラウドサービスでの開示情報の拡張
従来のASP･SaaS情報開示指針では、センター(サーバ)、ネットワーク（①センター
側ネットワーク、②PC側ネットワーク）の安全性・信頼性に係る情報開示項目が中心でしたが、ＩｏＴクラウドサービスではIoT機器（センサー／アクチュエータ）、③IoT側ネットワークに情報開示項目を拡張しました。
今回、ＩｏＴクラウドサービスに拡張する際に、IoTの特性を踏まえ、特に「性能」、「セーフティ」及び「データの権利」に着目しました。
例えば、➢ 性能は、大量データにより性能不足になる場合等➢ セーフティは、アクチュエータが人に危害を及ぼす等➢ データの権利は、プライバシーに関わるデータ等です。
（２）情報の開示元と開示先➢ ASP･SaaS（ＩｏＴクラウドサービス）は、ASP･SaaS事業者が情報の開示元、ユー

1

ザが開示先となります。
（３）想定するサプライチェーンについて
ＩｏＴ機器およびＩｏＴ側のネットワークの調達については、以下のパターンを想定します。
① ASP･SaaS 事業者が調達する場合② ユーザが調達する場合① IｏＴ機器およびＩｏＴ側ネットワークを ASP･SaaS 事業者が調達する場合は、
ASP･SaaS 事業者は、ＩｏＴ機器およびＩｏＴ側ネットワークを調達し、ユーザに「提供」します。
② ＩｏＴ機器およびＩｏＴ側ネットワークをユーザが調達する場合は、ASP･SaaS 事
業者は、ＩｏＴ機器およびＩｏＴ側ネットワークをユーザに「推奨」します。

１．申請書の記入方法について
１）必須開示項目
必須開示項目については、必ず記述してください。必須開示項目に未記入の項目がある場合は、非認定となります。
対策や措置の有無が聞かれている項目で、対策や措置を実施していない場合、「無し」と記述しても非認定とはなりません。

２）一定の要件を考慮すべき項目
必須開示項目で、一定の要件を考慮すべき項目とされたものは、記述内容は認定機関が設定する一定水準を上回っている必要があります。その水準に満たない場合
は、非認定となります。
ただし、一定の水準を下回る場合であっても、サービスの特性上やむを得ない場合、記入欄にその理由等を記述してください。

３）選択開示項目
選択開示項目については、任意で記述してください。未記入であっても非認定となることはありません。

４）記入時の注意事項
本認定制度以外で取得されている認定制度や監査制度等と重複する審査対象項目

2

であっても、「監査基準委員会報告書第18号監査（米国では監査基準SSAE16、国際監査基準IASE3402）取得済み」等の記述は行わず、手引きの指示通りに記述してください。

５）記入時の使用言語
記入時の使用言語は、日本語とします。

６）認定サービスの公表
認定サービスについては、認定機関ホームページにおいて、申請内容欄に記述された内容をそのまま公表させていただきます。添付書類等欄の記述は公表されません。

２．「事業者」に関わる項目の説明
株式会社、社団法人等の団体については、｢事業者｣に関わる項目のうち必須開示項目をすべて記述してください。個人の場合は、必須開示項目についても記入可能なもののみ、記述し、可能でないものについては｢個人事業であるため回答できない。｣等と記述してください。
（注）各審査対象項目の末尾の( )内には、申請書上の審査項目の通番と、必須／選択開示
項目の区分を示します。

２．１ 開示情報の時点（１）開示情報の日付① 開示情報の日付（1: 必須開示項目）【記述内容】開示情報の年月日（西暦）【説明】申請に伴い記入される審査対象項目の全てについて、申請者が情報開示していることを確認した年月日を西暦で記述してください。基本的には申請日現在で貴社が情報開示されている内容に基づいて申請してください。
未記入の場合は非認定となります。

２．２ 事業所・事業（１）事業所等の概要①事業者名（2: 必須開示項目）【記述内容１】 事業者の正式名称（商号）【記述内容2】 法人番号3

【説明】 貴社の登記上の正式な社名と法人番号を記述してください。
未記入の場合は非認定となります。
②設立年月日（3: 必須開示項目）【記述内容】 事業者の設立年月日（西暦）【説明】 貴社の設立年月日を西暦で記述してください。
未記入の場合は非認定となります。

③事業所（4: 必須開示項目）【記述内容1】 事業者の本店所在地【記述内容2】 事業者ホームページ【説明】 事業者の本店所在地及びホームページのＵＲＬを記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（２）事業の概要①主な事業の概要（5: 必須開示項目）【記述内容】 事業者の主な事業の概要（ASP･SaaS以外も含む）＜100字以内＞【説明】 ASP･SaaSに関連している事業以外も含めて、事業概要について100字以内で記述してください。
未記入の場合は非認定となります。

２．３ 人材（１）経営者①代表者（6: 代表者氏名は必須開示項目、代表者経歴は選択開示項目）【記述内容1】 代表者氏名【記述内容2】 代表者経歴（生年月日、学歴、業務履歴、資格等）【説明】 代表者氏名が未記入の場合は非認定となります。
また、代表者の経歴（生年月日、学歴、業務履歴、資格等）を可能な範囲で記述
してください。
②役員（7: 選択開示項目）【記述内容】 役員数【説明】 役員について、役員数を記述してください。なお、ここで言う役員とは、会社法で規定されている取締役、執行役だけでなく、執行役員も含みます。

4

（２）従業員①従業員数（8: 必須開示項目）【記述内容】 正社員数（単独ベース）【説明】 単独ベースでの正社員数を記述してください。
未記入の場合は非認定となります。

２．４ 財務状況（１）財務データ
財務データは、株主総会で承認された直近のものを用いてください。提出いただきます書
類も、株主総会で承認された直近のものでお願いします。公益法人の場合は、株式会社の株
主総会に相当する機関（社団法人であれば社員総会）により承認されたものを用いてください。
①売上高（9: 必須開示項目）【記述内容】 事業者の売上高（単独ベース）【説明】 直近決算期の損益計算書における売上高（単独ベース）を円単位で記述してください。また、決算期も記述してください。
未記入の場合は非認定となります。
②経常利益（10: 選択開示項目）【記述内容】 事業者の経常利益額（単独ベース）【説明】 直近決算期の損益計算書における経常利益額（単独ベース）を円単位で記述してください。また、決算期も記述してください。
③資本金（11: 必須開示項目）【記述内容】 事業者の資本金（単独ベース）【説明】 直近決算期の貸借対照表の資本金（単独ベース）を円単位で記述してください。
また、決算期も記述してください。
未記入の場合は非認定となります。
④自己資本比率（12: 選択開示項目）【記述内容】 事業者の自己資本の比率（単独ベース）【説明】 直近決算期の自己資本比率を下式により算定し、記述してください。また、決算期も記述してください。

5

自己資本比率＝[自己資本]／[総資産]⑤キャッシュフロー対有利子負債比率（13: 選択開示項目）【記述内容】 事業者のキャッシュフロー対有利子負債比率（単独ベース）【説明】 直近決算期のキャッシュフロー対有利子負債比率を下式により算定し、記入ください。また、決算期も記述してください。
キャッシュフロー対有利子負債比率＝[有利子負債]／[営業キャッシュフロー]⑥インタレスト・カバレッジ・レシオ（14: 選択開示項目）【記述内容】 事業者のインタレスト・カバレッジ・レシオ（単独ベース）【説明】 直近決算期のインタレスト・カバレッジ・レシオを下式により算定し、記入ください。
また、決算期も記述してください。
インタレスト・カバレッジ・レシオ＝[営業キャッシュフロー]／[利払い]（２）財務信頼性①上場の有無（15: 選択開示項目）【記述内容】 株式上場の有無と、「有り」の場合は市場名【説明】 株式上場をしているか否かについて記述してください。
また、上場している場合は、その市場名（例：東証1部、JASDAQ）も記述してください。
②財務監査・財務データの状況（16: 選択開示項目）【記述内容】 該当する財務監査・財務データの状況を、以下より選択する。
①会計監査人による会計監査、②会計参与による計算書類等の作成、③「中小企業会計要領」の適用に関するチェックリストの活用、④監査役による監査、⑤いずれでもない【説明】 財務データの正確性を確保するために講じている措置として該当するものを次の中から選び、記述してください。
①会計監査人による会計監査②会計参与による監査③「中小企業会計要領」の適用によるチェックリストの活用④監査役による監査⑤いずれも非該当③決算公告（17: 選択開示項目）6【記述内容】 決算公告の実施の有無【説明】 決算公告の実施について、「有り」または「無し」を記述してください。

7２．５ 資本関係・所属団体（１）資本関係①株主構成（18: 選択開示項目）【記述内容】 大株主の名称（上位５株主程度）、及び各々の株式保有比率【説明】 発行した株式の保有数上位５株主程度の株主の名称、及び各々の保有比率について記述してください。
（２）所属団体①所属団体（19: 選択開示項目）【記述内容】 所属している業界団体、経済団体等の名称【説明】 現在所属している主な業界団体、経済団体等の名称を記述してください。

２．６ コンプライアンス（１）組織体制①コンプライアンス担当役員（20: 選択開示項目）【記述内容1】 コンプライアンス担当役員の氏名【説明】 役職員が関連法令を遵守して事業を遂行することを指導・監督する役割を担う役
員（コンプライアンス担当役員）が任命されている場合には、その氏名を記述してください。
なお、ここでの役員には、会社法で規定されている取締役、執行役だけでなく、執行役員も含みます。

（参考）「ASP･SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」の「組織的安全管理対策」「運用管理規程等」に記載されている対策内容「経営陣は、情報セキュリティに関する組織的取組についての基本的な方針を定めた文書を作成すること。また、当該文書には、経営陣が承認の署名等を行い、情報セキュリティに関する経営陣の責任を明確にすること。自社で定める情報セキュリティに関する組織的取組における基本方針が、医療機関等が求める内容を含むものであることを確認し、不足があれば事業者でとるべき対応について、医療機関等と合意する
こと」②専担の部署・会議体、（21: 選択開示項目）【記述内容】 コンプライアンスを担当する社内の部署・会議体の有無と、「有り」の場合は社内の部署名・会議名

8

【説明】 役職員が関連法令を遵守して事業を遂行することを指導・監督する役割を担う部
署（例：コンプライアンス部、法務部）や会議体（例：コンプライアンス委員会、リスク管理委員会）の「有り」または「無し」を記述してください。また、有る場合は、その名称を記述してください。
③情報セキュリティに関する組織体制の状況（22: 必須開示項目）【記述内容1】情報セキュリティに関する責任者の有無と、「有り」の場合は責任者名・役職【記述内容2】情報セキュリティに関する組織体制の有無【説明】 情報セキュリティに関するコンプライアンス責任者の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、責任者氏名・役職を記述してください。
情報セキュリティに関する組織体制の有無について、「有り」または、「無し」を記述
してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容
Ⅱ.1.1.1「経営陣は、情報セキュリティに関する組織的取組についての基本的な方針を定めた文書を作成すること。また、当該文書には、経営陣が承認の署名等を行い、情報セキュリティに関する経営陣の責任を明確にすること。
Ⅱ.2.1.3（情報セキュリティ対策における具体的な実施基準や手順等を明確化し、文書化すること。
当該文書は、定期的又は ASP･SaaS サービスの提供に係る重大な変更が生じた場合（組織環境、
業務環境、法的環境、技術的環境等）に見直しを行うこと。

（2）個人情報①

個人情報の取扱い（23：必須開示項目）【記述内容】 個人情報の取扱いに関する規程の有無と、「有り」の場合は記載個所【説明】 個人情報の取扱いに関する規程等の有無について「有り」または、「無し」を記述
してください。また、「有り」の場合は、記載されている個所（契約書等）について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.5.1.2「個人情報は関連する法令に基づいて適切に取り扱うこと。」

9

（３）守秘義務①守秘義務契約（24：必須開示項目）【記述内容1】 守秘義務に係る契約又は条項の有無【記述内容2】 守秘義務違反があった場合のペナルティ条項の有無【説明】 守秘義務に係る契約または条項の有無について、「有り」または、「無し」で記述してください。
守秘義務違反があった場合のペナルティ条項の有無について、「有り」または、「無し」を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

（４）従業員教育等①従業員に対するセキュリティ教育の実施状況（25：必須開示項目）【記述内容1】 従業員に対するセキュリティ教育実施に関する取組の有無【記述内容2】 従業員に対するセキュリティ教育実施に関する取組状況の開示の可否と、可能な場合の条件等【説明】 従業員に対するセキュリティ教育の実施の取組みについて、「有り」または、「無し」
で記述してください。
取組状況の開示の可否について、「可」または、「否」で記述してください。また、開示が可能な場合の条件等がある場合は、その内容も記述してください。
上記いずれかの記述内容が未記入の場合も非認定となります。

②従業員に対する守秘義務等の状況（26：必須開示項目））【記述内容1】 従業員に対する守秘義務対応の取組状況【記述内容2】 従業員に対する守秘義務対応状況の情報開示の可否と、可能な場合の条件

等【説明】 従業員に対する守秘義務対応の実施の有無について、「有り」または、「無し」で記述してください。
対応状況の開示の可否について、「可」または、「否」で記述してください。また、開示が可能な場合の条件等がある場合は、その内容も記述してください。
上記いずれかの記述内容が未記入の場合も非認定となります。

10

（５）委託①

委託情報に関する開示（27：必須項目）【記述内容】 サービス提供に係る委託先（再委託先）の情報開示の可否と、可能な場合の
条件等
【説明】

委託先（再委託先）に関する情報開示の可否について、「可」または、「否」で記述してください。また、情報開示が「可」の場合に、条件等がある場合は、その内容も記述してください。
未記入の場合は非認定となります。

②

委託先に対する管理状況（28：必須項目）【記述内容1】 自社の個人情報保護指針に対する遵守規定の有無【記述内容2】 委託先（再委託先）に係る個人情報保護等の状況に関する情報提供の可
否と、可能な場合の条件等【記述内容3】 委託先（再委託先）との守秘義務対応状況【記述内容４】 委託先（再委託先）の管理方法【説明】

委託先に対し、自社の個人情報保護指針を遵守する規定が有るか、否かについて、「有り」または、「無し」で記述してください。
委託先（再委託先）との守秘義務契約の有無について、「有り」または、「無し」で記述してください。
委託先（再委託先）との守秘義務契約の有無について、「有り」または、「無し」で記述してください。
委託先（再委託先）の管理について、契約による管理、定期的な報告、再委託の原則禁止などの管理方法を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

（７）文書類①

情報セキュリティに関する規程等の整備（29 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 情報セキュリティに関する基本方針・規程・マニュアル等の状況と文書名【説明1】 情報セキュリティに関する基本方針・規程・マニュアル等の有無について、「有り」または、「無し」で記述してください。「有り」の場合には、文書名を記述してください。
未記入の場合もしくは情報セキュリティに関する基本方針・規程・マニュアル等の文書類が無い場合は非認定となります。

11なお、これらの情報セキュリティに関する基本方針・規程・マニュアル等とは、情報の漏洩や不必要な消失等を防止するための組織体制、管理のためのプロセス等が記述されている文書類です。

【記述内容2】 情報セキュリティに係る規程等に関する情報提供の可否と、可能な場合の条件等【説明2】 情報提供の可否について、「可」または、「否」で記述してください。また、情報提供が「可」の場合に、条件等がある場合は、その内容も記述してください。
未記入の場合は非認定となります。

②

事業継続に関する規程の整備（30：必須項目）【記述内容1】 事業継続に関する基本方針・規程・マニュアル等の有無と、「有り」の場
合は文書名【記述内容2】 ＢＣＰ対応計画及び運用手順書等の開示の可否と、可能な場合の条件等【説明】 事業継続に関する基本方針・規程・マニュアル等の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。
ＢＣＰ対応計画及び運用手順書等に関する情報開示の可否について、「可」または、「否」で記述してください。情報開示が「可」の場合に、条件等がある場合は、その内容を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

③

リスク管理に関する規程等の整備（31：必須項目）【記述内容】 リスク管理に関する基本方針・規程・マニュアル等の有無と、「有り」の場
合は文書名
【説明】

リスク管理に関する基本方針・規程・マニュアル等の文書類の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。
未記入の場合は非認定となります。

④

勧誘・販売・係争に関する規程等の整備（32: 必須開示項目）【記述内容1】 勧誘・販売に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名【記述内容2】 係争に関する規程・管轄裁判所等、係争が生じた際の対応に関する情報を含む文書類の有無と、「有り」の場合は文書名

12

【説明】 勧誘・販売に関する基本方針・規程・マニュアル等の文書類について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
係争が生じた際の対応や管轄裁判所等を記載した文書類について、「有り」または、「無し」を記述してください。また、「有り」の場合は、文書名を記述してください。 なお、勧誘・販売に関する基本方針・規程・マニュアル等とは、サービスに関する重大な付帯条件を説明せずに勧誘することの禁止、ユーザがサービスを十分に理解していない段階での強引な契約の禁止等、勧誘・販売の進め方の方針や禁止行為等が記述されている文書類です。また、係争に関する文書類とは、係争が生じた際にユーザとの係争を円滑に処理するための基本方針や管轄裁判所等が明記されている文書類です。
上記いずれかの記述内容が未記入の場合は非認定となります。

⑤

ASP･SaaSの苦情対応に関する規程等の整備（33: 必須開示項目）【記述内容1】 ASP･SaaSの苦情処理に関する基本方針・規程・マニュアル等の有無と、「有り」の場合は文書名【記述内容2】 ASP･SaaS事業者の事故責任の範囲と補償範囲が記述された文書の有無と、「有り」の場合は文書名【説明】 ASP･SaaSのサービスの苦情処理に関する基本方針・規程・マニュアル等について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
なお、ここでいうASP･SaaSのサービスの苦情処理に関する基本方針・規程・マ
ニュアル等とは、苦情処理部署の設置、苦情処理の手順（苦情の記録、苦情処理の担当部署への報告、サービス部門との事実確認等）の方針等が記述されている文書類です。苦情の範囲・レベルに関係なく、外部からの問合せ等に対してどのように対応するかを明文化した何らかの社内文書があるか否かを記述してください。
ASP･SaaS事業者の事故責任の範囲と補償範囲が記述された文書について、「有り」または、「無し」を記入してください。また、「有り」の場合は、文書名を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

13

３．「サービス」に関わる項目の説明
３．１ サービス基本特性（１）サービス内容①

サービス名称（34: 必須開示項目）【記述内容】 本ASP･SaaSのサービス名称【説明】 未記入の場合は非認定となります。

②

サービス開始時期（35: 必須開示項目）【記述内容1】 本ASP･SaaSのサービス開始年月日(西暦)【記述内容2】 サービス開始から申請時までの間の大規模改変等実施の有無と、「有り」の場合は改変年月日(西暦)【説明】本ASP･SaaSのサービス開始年月日を西暦で記述してください。
サービス開始から申請時までの間に大規模改変等実施の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、大規模改変の実施時期について年月日(西暦)で記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

③

サービスの内容・範囲（36: 必須開示項目）【記述内容1】 本ASP･SaaSのサービスの内容・特徴＜500字以内で記述＞【記述内容2】 他の事業者との間でサービス連携の有無と、「有り」の場合はその内容＜前記述と合せて500字以内で記述＞【説明】 本サービスの内容・特徴を記述してください。 他の事業が提供するサービスとの連携の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、内容について記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。

④

サービス提供時間（37：必須開示項目）【記述内容】 サービスの提供時間帯【説明】 サービスの提供時間帯を記述してください。
未記入の場合は非認定となります。

⑤

サービスのカスタマイズ範囲（38: 必須開示項目）14【記述内容】 アプリケーションのカスタマイズの範囲 （契約内容に依存する場合はその旨記述）＜200字以内で記述＞【説明】 顧客の要望に応じてアプリケーションのカスタマイズが可能な機能、内容、範囲等について200字以内でご記述してください。「特に決まっていない」、「個別相談に応じて決める」等の契約内容に依存する場合は、その旨を記述してください。
未記入の場合は非認定となります。

⑥

移行支援（39：必須開示項目）【記述内容】 本サービスを利用する際における既存システムからの移行支援の有無（契約内容に依存する場合はその旨記述）【説明】

当該サービスを利用する際に、既存システムからの移行作業の支援の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、内容について記述してください。契約内容に依存する場合はその旨を記述
してください。
未記入の場合は非認定となります。

⑦

ＩｏＴクラウドサービス基本事項（40：必須開示項目）【記述内容】 ＩｏＴクラウドサービスに対する基本的な考え方、安全性（セーフティ）、連携
内容、資産の管理方法、セキュリティ・バイデザイン、調達管理などを記述【説明】

IoTセキュリティガイドラインに準拠し、セキュリティだけでなくセーフティにも配慮、信頼できるパートナーと連携してサービスを提供、設計段階から安全性の作り込みなどのＩｏＴクラウドサービスに対する基本的な考え方を記述してください。
未記入の場合は非認定となります。

（２）データ① 利用（41：必須開示項目）【記述内容】

ＩｏＴクラウドサービスで収集したデータの利用の有無、内容、同意の取得方法などを記述【説明】

ＩｏＴクラウドサービスで収集したデータの利用の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、利用の内容、同意の取得方法を記述してください。例えば、「利用者の同意なく、収集したデータの二次利用を行わない。」「同意は書面による。」など
未記入の場合は非認定となります。

② 権利関係（42：選択開示項目）【記述内容】

ＩｏＴクラウドサービスで収集したデータの権利（所有権、使用権、著作権、肖
像権等）

【説明】

「業務目的内のデータの使用権はサービス提供者にも帰属」、「その他の権

15

利は利用者に帰属」など可能な範囲で記入ください。

（３）サービスの変更・終了① サービス（事業）変更・終了時の事前告知（43: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者への告知時期（事前告知の時期を1ヶ月前、3ヶ月前、6ヶ月前、12ヶ月前等の単位で記述）【記述内容2】 告知方法
【説明】 事業者側の何らかの理由により、申請したサービスの内容が大きく変更となった
場合、あるいは事業として停止・終了した場合、利用者へ事前に通知する時期及び通知方法について記述してください。
サービス（事業）変更・終了時の利用者への事前告知時期が1ヶ月未満となる場
合にも非認定となります。
また、上記いずれかの記述内容が未記入の場合は非認定となります。
② サービス（事業）変更・終了後の対応・代替措置（44: 必須開示項目）【記述内容】 対応・代替措置の基本方針の有無と、基本方針がある場合はその概略【説明】 事業者側の何らかの理由により、申請したサービスの内容が大きく変更となった
場合、あるいは事業として停止・終了した場合における、利用者へ対応・代替措置についての基本方針の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、概略について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
II.4.1.1「取り扱う各情報資産について、管理責任者を定めると共に、その利用の許容範囲（利用可能者、利用目
的、利用方法、返却方法等）を明確にし、文書化すること。」（４） 契約の終了等① 情報の返却・削除・廃棄（45: 必須開示項目）【記述内容1】 契約終了時等の情報資産（利用者データ等）の返却責任の有無と、受託情報の返却方法・ファイル形式・費用等【記述内容2】 情報の削除または廃棄方法の開示の可否と、可能な場合の条件等【記述内容3】 削除又は廃棄したことの証明書等の提供【説明】 契約終了時等において、利用者のデータ等の情報資産の返却責任の有無につ16

いて、「有り」または、「無し」を記述してください。 また、サービス開始時等において利用者から受託した情報の返却方法・ファイル形式・費用等について記述してください。
情報の削除または廃棄方法の開示の可否について、「可」または「否」を記述してください。また「可」の場合は、条件等について記述してください。
削除または廃棄した際の証明書の提供について「可」または「否」を記述してください。証明書の提供ができない場合は非認定となります。
上記いずれかの記述内容が未記入の場合は非認定となります。

（５）サービス料金① 料金体系・金額（46：必須開示項目）【記述内容】

初期費用額、月額利用額、最低利用契約期間【説明】

申請したサービスの料金体系について、契約に伴う初期費用額、契約以降継続的に発生する月次利用額、契約によって利用者に課せられる最低利用月額契約期間をご記入ください。
未記入の場合は非認定となります。

② 解約時違約金の支払いの有無（47：必須開示項目）【記述内容】

解約時違約金（ユーザ側）の有無、違約金がある場合はその額【説明】

利用者側の都合により契約を解約した場合の違約金の有無とその条件、違約金がある場合にはその金額もしくは算定条件をご記入ください。
未記入の場合は非認定となります。

③ 利用者からの解約事前受付期限（48：必須開示項目）【記述内容】

利用者からのサービス解約の申請時の受付期限の有無、ある場合はその期限（何日・何か月前かを記述）【説明】

未記入の場合は非認定となります。

（６）サービス品質① サービス稼働設定値（49：必須開示項目）【記述内容1】

サービス稼働率の目標値【記述内容2】

サービス稼働率の実績値【説明1,2】

申請したサービスについてのサービス稼働率について、次の式に17より算出しご記入ください。
○サービス提供時間＝[契約サービス時間]－[事前通知された定期保守によるサービス停止時間]○サービス稼働時間＝[サービス提供時間]－[事前通知のないサービス停止時間]○サービス稼働率＝[サービス稼働時間]／[サービス提供時間]
なお、事前通知のないサービス停止時間とは、システム障害等によってサービス提供が停止した時間を指します。
・新規申請時は、直近1年間（サービス開始から1年未満の場合
は、サービス開始後から申請日まで）の稼働率実績をご記入ください。
・更新申請時は、直近1年間の稼働率実績値をご記入ください。
未記入の場合は非認定となります。
【記述内容3】

サービス停止の事故歴【説明3】

サービス停止の事故歴については、申請時期や区分により以下のように記述してください。ここでいうサービス停止事故とは、大規模な性能劣化または何らかの障害によりサービスの停止と事業者が判断したものを指します。
・新規申請時は、直近1年間（サービス開始から1年未満の場合
は、サービス開始後から申請日まで）のサービス停止事故件
数と事故の概要をご記入ください。
・更新申請時は、直近1年間のサービス停止事故件数と概要についてご記入ください。
未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.1.1「ASP･SaaS サービスを利用者に提供する時間帯を定め、この時間帯における ASP･
SaaS サービスの稼働率を規定すること。また、アプリケーション、プラットフォーム、サーバ・
ストレージの定期保守時間を規定すること。

② サービスパフォーマンスの管理（50：選択開示項目）【記述内容1】

機器障害やシステム遅延の早期検知方法（検知の場所、検知のイ
ンタターバル、画面の表示チェック等の検知方法）18

【説明1】

可能な範囲でご記入ください。

【記述内容2】

サービスのパフォーマンス把握方法（検知の場所、検知のインタ
ーバル、画面の表示チェック等の把握方法）【説明2】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.1.1.3「ASP･SaaS サービスを利用者に提供に用いるアプリケーション、プラットファオーム、
サーバ、ストレージ、ネットワークに対し一定間隔でパフォーマンス監視（サービスのレスポン
ス時間の監視）を行うこと。
また、利用者との取決めに基づいて、監視結果を利用者に通知すること。
」③ IoT性能対策（51：必須開示項目）【記述内容】大量のIoT機器からの大容量のデータが送られてくる場合等の性能対策の内容（委託先による対策を含む）について記述してください。
【説明】

ロードバランサーの導入、ゲートウェイによるデータのフィルタリ
ングなどの性能対策の内容を記述してください。
未記入の場合は非認定となります。

④ 認証取得、監査実施（52：選択開示項目）【記述内容】

プライバシーマーク、ISMS（JIS Q 27001など）、ITSMS（JISQ 20000-1など）、18号監査（米ではSAS70や後継のSSAE16）の監査報告書作成の有無と、有りの場合は認証名あるいは監査の名称【説明】

可能な範囲でご記入ください。

⑤ 脆弱性診断（53：選択開示項目）【記述内容】

脆弱性診断の有無と、有りの場合は評価基準、対策手順の有無等の整備備状況、対策の実施状況などの概要【説明】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.1.4「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォイーム、サーバ・
ストレージについて定期的に脆弱性診断を行い、その結果に基づいて対策を行うこと。
」

19

⑥ バックアップ対策（54：必須開示項目）【記述内容】

バックアップ実施インターバル、及び世代バックアップ（何世代前までかを記述）【説明】

未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.2.3.1「利用者のサービスデータ、アプリケーションやサーバ・ストレージ等の管理情報及びシステム構成情報の定期的なバックアップを実施すること。」⑦ サービス継続（55：必須開示項目）【記述内容1】 サービスが停止しない仕組み（冗長化、負荷分散等）【記述内容2】 DR（ディザスターリカバリー）対策の有無と、「有り」の場合はその概要【説明】 冗長化、負荷分散等サービスが停止しない仕組みについて記述してください。
DR対策の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、その概要について記述してください。
ここでいうDR対策とは、自然災害やセキュリティインシデント等により、被害を受けたシステムを復旧・修復するための対策（システム面の備えや体制）をいいます。
上記いずれかの記述内容が未記入の場合は非認定となります。

⑧ 受賞・表彰歴（56：選択開示項目）【記述内容】

ASP･SaaS サービスに関連する各種アワード等の受賞歴【説明】

可能な範囲でご記入ください。

⑨ SLA（サービスレベル・アグリーメント）（57：必須開示項目）【記述内容】

当該サービスに係る SLA が契約書に添付されているか否か【説明】

SLA とは、「事業者が独自に顧客との間で取り決めるサービス水準に関する合意事項」を指します。
未記入の場合は非認定となります。

（７）契約者数

20

① 契約者数（58: 選択開示項目）【記述内容】 本ASP･SaaSのサービスの契約企業数等【説明】 本ASP･SaaSのサービスの契約企業数を記述してください。

３．２

アプリケーション、プラットフォーム、サーバ・ストレージ等（１）連携① 他のASP･SaaSとの連携状況に関する情報提供（59：必須開示項目）【記述内容】

他のサービス・事業との連携の有無と、「有り」の場合は技術情報提供の条件等【説明】 他のサービス・事業との連携状況についての情報提供の可否、及び可能な場合の条件等について記述してください。なお、連携するサービス・事業がない場合は、「連携サービスはない。」などと記述してください。
未記入の場合は非認定となります。
（2）セキュリティ
① 死活監視（60: 必須開示項目／一定の要件を考慮すべき項目）【記述内容】

死活監視の有無と、「有り」の場合は死活監視の対象（アプリケーション、
プラットフォーム、サーバ・ストレージ等）【説明】 死活監視の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、死活監視の対象（アプリケーション、プラットフォーム、サーバ・ストレージ等）と監視インターバル(何分ごとに監視を行っているかの数値（時間間隔）)を記述してください。
死活監視を実施していることが認定の条件であり、実施していない場合は非認定となります。
未記入の場合も非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージ、情報セキュリ
ティ対策機器、通信機器の稼働監視（応答確認等）を行うこと。稼働停止を検知した場合は、利用者に速報を通知すること。」② 時刻同期（61: 必須開示項目）【記述内容1】 時刻同期への対応の有無と、「有り」の場合は時刻同期方法【記述内容2】 時刻同期への対応方法に関する情報提供の可否と、可能な場合の条件等【説明】

時刻同期への対応の有無について「有り」または「無し」を記述してください。

21

「有り」の場合はシステムの時刻同期方法について記述してください。
情報提供の可否について、「可」または「否」を記述してください。また「可」の場
合は、

条件等について記述してください。

上記いずれかの記述内容が未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.1.1.5「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージ等（情報セキュリティ対策機器、通信機器等）の時刻同期の方法を規定し、実施すること。」③ ウイルス対策（62: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 ウイルス対策の有無【記述内容2】 ウイルス措置への対応状況に関する情報開示の可否と、可能な場合の条
件等【説明】

ウイルス対策の有無について、「有り」または、「無し」を記述してください。
情報提供の可否について、「可」または「否」を記述してください。また「可」の場
合は、条件等について記述してください。
ウイルス対策を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、上記いずれかの記述内容が未記入の場合も非認定となります。

④ 管理者権限の運用管理（63：必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 システム運用部門の管理者権限の登録・登録削除の手順の有無【説明1】 正式な手順の有無について、「有り」または、「無し」を記述してください。手手順が存在していない場合は非認定となります。
未記入の場合も非認定となります。
【記述内容2】 管理者認証に関する情報開示の可否、可能な場合の条件等【説明2】 情報開示の可否について、「可」または「否」を記述してください。また「可」の場
合は、条件等について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセス制御となりすまし対策を行うこと。また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。」

22

⑤ ID・パスワードの運用管理（64: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】事業者側にて、利用者のID・PWを付与する場合におけるIDやパスワードの運用管理方法の規程の有無【説明1】利用者のIDやパスワードの運用管理方法の規程の有無について、「有り」または、「無し」を記述してください。
規程が存在していない場合は非認定となります。
また、未記入の場合も非認定となります。

【記述内容2】ID・PW認証以外の認証方法の採用の有無【説明2】ID・PW認証の以外の認証方法の採用の有無について、「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
【記述内容3】 ID・PW認証採用の場合のポリシー等に関する情報開示の可否と、可能な場
合の条件等【説明3】 情報開示の可否について、「可」または「否」を記述してください。また「可」の場合
は、条件等について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。」⑥

記録（ログ等）（65:

必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者の利用状況の記録（ログ等）取得の有無と、その保存期間及び利用者への提供可否【記述内容2】 システム運用に関するログの取得の有無と、「有り」の場合は保存期間【記述内容3】 ログの改ざん防止措置の有無【説明】 利用者の利用状況の記録（ログ等）取得の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間、及び利用者への提供可否についても記述してください。
システム運用部門の管理者のログの取得の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間についても記述してください。

23

ログへの改ざん防止措置の有無について、「有り」または、「無し」を記述してください。
利用者の利用状況の記録（ログ等）取得及びログの改ざん防止措置を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、上記いずれかの記述項目が未記入の場合も非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.2.1.3「利用者の利用状況、例外処理及び情報セキュリティ事象の記録（ログ等）を取得し、記録（ログ等）の保存期間を明示すること。」⑦ セキュリティパッチ管理（66 必須開示項目／一定の要件を考慮すべき項目）【記述内容】 パッチ管理の状況とパッチ更新間隔等、パッチ適用方針【説明】 セキュリティパッチ管理の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、パッチ更新間隔等のパッチ適用方針について記述してください。
パッチ管理を実施していることが認定の条件であり、実施していない場合は非認定となります。
また、未記入の場合も非認定となります。

⑧ 暗号化対策（67：必須開示項目）【記述内容】暗号化措置（データベース）への対応の有無と、「有り」の場合はその概要【説明】データベースに対する暗号化処置の有無について、「有り」または、「無し」を記述
してください。また、「有り」の場合は、その概要について記述してください。
未記入の場合は非認定となります。

⑨ その他セキュリティ（68：選択開示項目）【記述内容】その他、特筆すべきセキュリティ対策を記述（情報漏洩対策等）【説明】情報漏洩対策等、その他の特筆すべきセキュリティ対策について記述して
ください。

３．３

ネットワーク（１）センター側ネットワーク① 回線（69: 必須開示項目）【記述内容】 専用線（VPNを含む）インターネット等の回線の種類を記述してください。

24

【説明】 未記入の場合は非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容
III.3.2.4「利用する全ての外部ネットワーク接続について、情報セキュリティ特性、サービスレベ
ル（特に、通信容量とトラヒック変動が重要）及び管理上の要求事項を特定すること。」② 帯域（70: 必須開示項目）【記述内容】 データ通信速度の範囲、帯域保証の有無を記述してください。
【説明】 未記入の場合は非認定となります。
（2）ＰＣ側ネットワーク① 推奨回線（71: 必須開示項目）【記述内容1】 専用線（VPNを含む）、インターネット等の回線の種類【記述内容2】 ユーザ接続回線について、ASP･SaaS事業者が負う責任範囲【記述内容3】 利用者が無線LANを利用する場合の仕様等の情報の提供の可否と、可能な場合の条件等【説明】 サービスを提供するに当たり推奨する回線の種類について記述してください。
回線に障害が発生した場合、事業者が負う責任範囲について記述してください。
仕様等の情報の提供の可否について、「可」または「否」を記述してください。また「可」の場合は、条件等について記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「利用する全ての外部ネットワーク接続について、情報セキュリティ特性、サービスレベル（特に、通信容量とトラヒック変動が重要）及び管理上の要求事項を特定すること。」② 推奨帯域（72: 必須開示項目）【記述内容】 推奨帯域の有無と、「有り」の場合はそのデータ通信速度の範囲【説明】 推奨帯域の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、データ通信速度の範囲について記述してください。
未記入の場合は非認定となります。

25

（3）IoT側ネットワーク① 推奨（提供）回線（73: 必須開示項目）【記述内容1】 LPWA（LoRaWAN）など推奨（提供）するインターネット、ＩｏＴ専用回線等の回線の種類【記述内容2】 ＩｏＴ機器接続回線について、ASP･SaaS事業者が負う責任範囲（「全責任を負う。」、「通信障害の場合には、迅速に通信事業者に対応を依頼」など）【説明】 サービスを提供するに当たり推奨する回線の種類について記述してください。
回線に障害が発生した場合、事業者が負う責任範囲について記述してください。
未記入の場合は非認定となります。
② 推奨（提供）帯域（74: 必須開示項目）【記述内容】 推奨（提供）帯域の有無と、「有り」の場合はそのデータ通信速度の範囲【説明】 推奨（提供）帯域の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、データ通信速度の範囲について記述してください。
未記入の場合は非認定となります。

（4）セキュリティ
① ファイアウォール設置等（75: 必須開示項目／一定の要件を考慮すべき項目）【記述内容】 ファイアウォール設置等の不正アクセスを防止する措置の有無【説明】 ファイアウォール設置等の不正アクセスを防止する措置の有無について、「有り」または、「無し」を記述してください。
ファイアウォール措置を実施していない場合も非認定となります。
未記入の場合は非認定となります。
（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.4「外部及び内部からの不正アクセスを防止する装置（ファイアウォール、リバースプロ
キシの導入等）を講じること。
」② ネットワーク不正侵入検知（76：必須開示項目）【記述内容】

不正パケット、非権限者による不正なサーバ侵入に対する検知の
有無

【説明】

未記入の場合は非認定となります。

26

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセ
ス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、
パスワードの有効期限を規定に含めること。
」
Ⅲ.3.1.5「不正な通貨パケットを自動的に発見する装置（IDS の導入等）を講じること。
」③ ネットワーク監視（77：選択開示項目）【記述内容】

事業者と契約利用者との間のネットワーク（専用線等）において障害が発生した際の通報時間【説明】

可能な範囲でご記入ください。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.5「外部ネットワークの障害を監視し、障害を検知した場合は管理責任者に通報すること。」④ ユーザ認証（78：必須開示項目／一定の要件を考慮すべき項目）【記述内容】

利用者に対する認証手段と方法（認証基盤を通じた個人認証、又はID、パスワード等）【説明】

利用者認証が無い場合及び未記入の場合は非認定となります。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.1.3「利用者及び管理者（情報システム管理者、ネットワーク管理者等）等のアクセスを管理するための適切な認証方法、特定の場所及び装置からの接続を認証する方法等により、アクセ
ス制御となりすまし対策を行うこと。
また、運用管理規定を作成すること。ID・パスワードを用いる場合は、その運用管理方法と、パスワードの有効期限を規定に含めること。
」⑤ IoT機器認証（79：必須開示項目目／一定の要件を考慮すべき項目）【記述内容】

IoT機器のアクセスを管理するための認証方法、特定の場所及び装27

置からの情報を認証する方法等
ID、パスワードによる認証、デジタル証明書による認証などIoT機器を認【説明】証する方法を記述してください。IoT機器認証が無い場合及び未記入の場合は非認定となります。

⑥ なりすまし対策（事業者サイド）（80：必須開示項目）【記述内容】

第三者による自社を装ったなりすましに関する対策の実施の有無、対策がある場合は認証の方法【説明】

未記入の場合は非認定となります。
対策例として、①専用ソフトによるアクセス監視、②他事業者による関連サービスの利用、③認証局が発行する証明書による確認、④ID・パスワード等運用規程の整備、等をご記入ください。
（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.3「第三社が当該事業者のサーバになりすますこと（フィッシング等）を防止するため、サーバ証明書の取得等の必要な対策を実施すること。
」⑦ 暗号化対策（81： 必須開示項目）【記述内容】 暗号化処置（ネットワーク）への対応の有無と、「有り」の場合はその概要【説明】 ネットワークに対する暗号化処置の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、その概要について記述してください。
未記入の場合は非認定となります。

⑧ その他セキュリティ対策（82：選択開示項目）【記述内容】

情報漏洩対策、データの暗号化等の対策について自由に記述【説明】

可能な範囲でご記入下さい。

（参考）「ASP･SaaS における情報セキュリティ対策ガイドライン」に記載されている対策内容

Ⅲ.3.2.2「外部ネットワークを利用し ASP･SaaS 情報交換において、情報を盗聴、改ざん、誤った経路での通信、破壊等から保護するため、通信の暗号化を行うこと。
」

３．４

提供端末
提供する端末が複数種類ある場合は、端末ごとに記述してください。

28

（１）ＩｏＴ機器（センサー、アクチュエータ）① 機器（83：必須開示項目）【記述内容1】 提供する機器の種類、製品名など【記述内容2】 提供する機器の主な機能【記述内容3】 提供する機器のセキュリティレベル、認証取得状況等【説明】 未記入の場合は非認定となります。
② 接続条件（84：必須開示項目）【記述内容】 接続数、設置条件などの制約【説明】 例えば「センサーとアクチュエータの同時接続数○万台まで」、「日本国内（北海道、沖縄を除く）」のように記述してください。
未記入の場合は非認定となります。
③ 使用条件（85：必須開示項目）【記述内容】 ＩｏＴ機器の目的外使用の禁止などの使用条件【説明】 例えば「目的外使用の免責」、「提供外機器使用の免責」などを記述してください。
未記入の場合は非認定となります。
④ ソフトウェア（86：必須開示項目）【記述内容】 提供するＩｏＴ機器組み込みソフト【説明】 未記入の場合は非認定となります。
⑤ 物理的セキュリティ（87：必須開示項目）【記述内容】 提供する盗難防止策など【説明】 例えば、「センサーは目隠し用カバーを設置」、「鍵のかかる部屋に設置」などのように記述してください。
未記入の場合は非認定となります。
⑥ 保守・管理（88：必須開示項目）【記述内容】 提供する保守体制、管理手法など【説明】 例えば、「全国に拠点を持つ保守会社と契約」、「契約更新時に保守状況を確認」などのように記述してください。
未記入の場合は非認定となります。

29

⑦ セキュリティ対策（89：必須開示項目）【記述内容】 提供するＩｏＴ機器のセキュリティ対策（初期パスワードの変更、ＯＳ等の最新化、エッジコンピュータ、ゲートウェイの導入等）【説明】 未記入の場合は非認定となります。
（２）ＧＷ／エッジコンピュータなど① 機器（90：必須開示項目）【記述内容1】 提供する機器の種類、製品名など【記述内容2】 提供する機器の主な機能【記述内容3】 提供する機器のセキュリティレベル、認証取得状況等【説明】 未記入の場合は非認定となります。
② 接続条件（91：必須開示項目）【記述内容】 接続数、設置条件などの制約【説明】 例えば「１サイトに１ゲートウェイ」、「ゲートウェイ１台あたり、センサー〇○○台まで」、「日本国内（北海道、沖縄を除く）」のように記述してください。
未記入の場合は非認定となります。
③ 使用条件（92：必須開示項目）【記述内容】 目的外使用の禁止などの使用条件【説明】 例えば「目的外使用の免責」などを記述してください。
未記入の場合は非認定となります。
④ 物理的セキュリティ（93：必須開示項目）【記述内容】 提供する盗難防止策など【説明】 例えば、「ゲートウェイは専用のマシン室に設置」、「入退室管理は利用者側で実施」などのように記述してください。
未記入の場合は非認定となります。
⑤ 保守・管理（94：必須開示項目）【記述内容】 提供する保守体制、管理手法など【説明】 例えば、「ゲートウェイのメーカと保守契約」、「契約更新時に保守状況を確認」などのように記述してください。
未記入の場合は非認定となります。

30

３．５

推奨端末

（１）端末
① ＰＣ等（操作端末）（95：必須開示項目）【記述内容1】 推奨するパソコン、スマホ、タブレット、シンクライアント等の操作端末の種類、ＯＳ等【記述内容2】 利用するブラウザの種類【説明】 例えば「Windows、Ａｎｄｒｏｉｄ、ｉＯＳが走行するＰＣ、タブレット、スマホ」、「ＩＥ、Ｃｒ
ｏｍｅ、Ｆｉｒｅｆｏｘ」など
未記入の場合は非認定となります。

② IoT機器(センサー、アクチュエータ) （96：必須開示項目）【記述内容1】 機器の種類、製品名など（例えば、温度センサー（Ｍ社製、空調機（Ｎ社製））【記述内容2】 主な機能(例えば、温度センサー：０．１℃単位での温度の測定、空調機：
冷暖房による室内の温度の調節)【記述内容3】 セキュリティレベル、認証取得状況など(例えば、○○認証取得済み)【説明】

未記入の場合は非認定となります。

③ GW／エッジコンピュータなど （９７：必須開示項目）【記述内容 1】 機器の種類、製品名など（例えば、Ｋ社製のゲートウェイ）【記述内容2】 主な機能（例えば、接続認証、データのフィルタリング、MQTTによるデータ
送受信）【記述内容3】 セキュリティレベル、認証取得状況など(例えば、○○認証取得済み)
【説明】

３．６

未記入の場合は非認定となります。

ハウジング（サーバ設置場所）（１）施設建築物① 建物形態（98: 必須開示項目）【記述内容】 データセンター専用建物か否か【説明】 データセンター専用建物か否かについて記述してください。
未記入の場合は非認定となります。

31

② 所在地（99: 必須開示項目（記述内容1）／選択開示項目（記述内容2）【記述内容1】 国名、日本の場合は地域ブロック名（例：関東、東北）【記述内容2】 特筆すべき立地上の優位性があれば記述（例：標高、地盤等）【説明】 サーバ設置場所について 国名を記述してください。設置場所が日本の場合には、
地域ブロック名（例：関東、東北）も記述してください。
特筆すべき立地上の優位性があれば記述してください。
記述内容1について未記入の場合は非認定となります。
③ 耐震・免震構造（100: 必須開示項目）【記述内容1】 耐震数値
【記述内容2】 免震構造や制震構造の有無【説明】 サーバが設置されている建物の耐震数値について記述してください。
サーバが設置されている建物の免震構造や制震構造の有無について、「有り」または、「無し」を記述してください。
上記いずれかの項目について未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムが設置されている建物（情報処理施設）については、地震・水害に対する対策が行われていること。」（２）非常用電源設備① 無停電電源（101: 必須開示項目）【記述内容】 無停電電源装置（UPS）の有無と、「有り」の場合は電力供給時間【説明】 無停電電源装置（UPS）の有無について「有り」または、「無し」を記述してください。
また、「有り」の場合は、電力供給時間について記述してください。
未記入の場合は非認定となります。
② 給電ルート（102: 必須開示項目）【記述内容】 異なる変電所を経由した給電ルート（系統）で２ルート以上が確保されているか否か （自家発電機、UPSを除く）【説明】 自家発電機やUPSを除き、異なる変電所を経由した２系統以上の給電ルートが確保されているか否かについて記述してください。
未記入の場合は非認定となります。
③ 非常用電源（103: 必須開示項目）【記述内容】 非常用電源（自家発電機）の有無と、「有り」の場合は連続稼働時間の数値32

【説明】 非常用電源（自家発電機）の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、連続稼働時間について記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置する場所には、停電や電力障害が生じた場合に電源を確保するための対策を講じること。」（３）消火設備① サーバルーム内消火設備（104: 必須開示項目）【記述内容】 自動消火設備の有無と、「有り」の場合はガス系消火設備か否か【説明】 自動消火設備の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、ガス系消火設備か否かについても記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「サーバルームに設置されている ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムについて、放水等の消火設備の使用に伴う汚損に対する対策を講じること。」② 災感知・報知システム（105: 必須開示項目）【記述内容】 火災検知システムの有無【説明】 火災検知システムの有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS 事業者は、サービス提供用機器を設置するサーバルームに火災検知・通報システム及び消火設備を備えること。ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置するサーバルームには、火災検知・通報システム及び消火設備を備えること。」（４）避雷対策設備① 直撃雷対策（106: 必須開示項目）【記述内容】【説明】

直撃雷対策の有無

直撃雷対策の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「情報処理施設に雷が直撃した場合を想定した対策を講じること。」

33

② 導雷対策（107: 必須開示項目）【記述内容】 誘導雷対策の有無【説明】 誘導雷対策の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「情報処理施設付近に誘導雷が発生した場合を想定した対策を講じること。」（５）空調設備① 空調設備（108: 必須開示項目）【記述内容】 空調設備（床吹き上げ空調、コンピュータ専用個別空調等）の内容【説明】 空調設備（床吹き上げ空調、コンピュータ専用個別空調等）の内容について記述
してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるサーバ・ストレージ、情報セキュリティ対策機器等の情報システムを設置する場所では、設置されている機器等による発熱を抑えるのに十分な容量の空調を提供すること。」（６）セキュリティ
① 入退館管理等（109: 必須開示項目）【記述内容1】 入退室記録の有無と、「有り」の場合はその保存期間【記述内容2】 監視カメラの有無【記述内容3】個人認証システムの有無【説明】 入退室記録の有無について「有り」または、「無し」を記述してください。また、「有り」の場合は、保存期間についても記述してください。
監視カメラの有無について「有り」または、「無し」を記述してください。
個人認証システムの有無「有り」または、「無し」を記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「重要な物理的セキュリティ境界（カード制御による出入口、有人の受付等）に対し、個人認証システムを用いて、従業員及び出入りを許可された外部組織等に対する入退室記録を作成し、適切な期間保存すること。」「重要な物理的セキュリティ境界に対して監視カメラを設置し、その稼働時間と監視範囲を定めて監視を行うこと。また、監視カメラの映像を予め定められた期間保存すること。」

34

② 媒体の保管（110: 選択開示項目）【記述内容1】 紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの有無【記述内容2】 保管管理手順書の有無【説明1、2】紙、磁気テープ、光メディア等の媒体の保管のための鍵付きキャビネットの有無について「有り」または、「無し」を記述してください。
保管管理手順書の有無について「有り」または、「無し」を記述してください。

（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「紙、磁気テープ、光メディア等の媒体の保管管理を適切に行うこと。」③ その他セキュリティ対策（111: 選択開示項目）【記述内容】 その他特筆すべきセキュリティ対策（破壊侵入防止対策、防犯監視対策等）【説明】 可能な範囲で記述してください。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「重要な物理的セキュリティ境界の出入口に破壊対策ドアを設置すること。」「重要な物理的セキュリティ境界に警備員を常駐させること。」

３．７

サービスサポート（１）サービス窓口（苦情受付・問合せ）① 連絡先（112: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 電話／FAX、Web、電子メール等の連絡先【記述内容2】 代理店連絡先の有無と、「有り」の場合は、代理店名称、代理店の本店の所在地と連絡先【記述内容3】 運用体制に係る問合せの可否【説明】 電話／FAX、Web、電子メール等の連絡先を記述してください。
代理店連絡先の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、代理店名称、代理店の本店の所在地と連絡先についても記述してください。窓口（連絡先）を設置していない場合は非認定となります。
運用体制に係る問合せの可否について、「可」または「否」を記述してください。
上記いずれかの項目について未記入の場合は非認定となります。
② 営業日・時間（113: 必須開示項目）35【記述内容】 営業曜日、営業時間（受付時間）【説明】 営業曜日、営業時間（受付時間）について記述してください。
未記入の場合は非認定となります。

③ サポート範囲・手段（114: 必須開示項目）【記述内容1】 サポート範囲【記述内容2】 サポート手段（電話、電子メールの返信等）【説明】 サポート範囲とその手段について記述してください。
上記いずれかの記述内容が未記入の場合は非認定となります。
（２）サービス通知・報告・インシデント対応① メンテナンス等の一時的サービス停止時の事前告知（115: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 利用者への告知時期（1ヵ月前、3ヵ月前、6ヵ月前、12ヵ月前等の単位で記
述）【記述内容2】 告知方法
【記述内容3】 保守業務実施における事前通知の有無【記述内容4】 保守業務実施中の緊急問合せの可否【説明】

メンテナンス等のために一時的にサービスを停止する場合、利用者への事前告知時期及び告知方法について記述してください。事前告知を実施していない場
合は非認定となります。
保守業務実施における事前通知の有無について、「有り」または、「無し」を記述してください。
保守業務実施中の緊急問合せの可否について、「可」または「否」を記述してください。
上記いずれかの記述内容が未記入の場合も非認定となります。

② 障害・災害発生時の通知（116: 必須開示項目／一定の要件を考慮すべき項目）【記述内容1】 障害発生時通知の有無と、「有り」の場合は通知方法、及び利用者への通知時間【説明1】 障害発生時通知の有無について、「有り」または、「無し」を記述してください。また、「有り」の場合は、通知方法、及び利用者への通知時間についても記述してください。
障害発生時の通知を実施していない場合は非認定となります。

36但し、サービス利用者への影響が無い障害に限り、通知を行わないことによって非認定にはなりません。
未記入の場合は非認定となります。
【記述内容2】 緊急時発生時の通知の通知の有無・方法【説明2】

緊急時発生時の通知の通知の有無について、「有り」または、「無し」を記述してくだい。また、「有り」の場合は通知方法について記述してください。
未記入の場合は非認定となります。

③ セキュリティ・インシデント対応（117: 必須開示項目）【記述内容】 セキュリティに関するインシデントが発生した場合の対応（通知、被害の拡大防止、暫定対策、本格対処など）【説明】

セキュリティ・インシデント発生の場合の対応の有無について「有り」または、「無し」を記述してください。「有り」の場合は、対応方法を記述してください。
未記入の場合は非認定となります。

④ 定期報告（118: 必須開示項目）【記述内容】 利用者への定期報告の有無（アプリケーション、サーバ、プラットフォーム、その他機器の監視結果、サービス稼働率、SLAの実施結果等）【説明】 利用者への定期報告の有無について「有り」または、「無し」を記述してください。
未記入の場合は非認定となります。
（参考）「ASP･SaaSにおける情報セキュリティ対策ガイドライン」に記載されている対策内容「ASP･SaaS サービスの提供に用いるアプリケーション、プラットフォーム、サーバ・ストレージ等（情報セキュリティ対策機器、通信機器等）の監視結果（障害監視、死活監視、パフォーマンス監視）について、
定期報告書を作成して利用者等に報告すること。」

37