福島県情報セキュリティ外部監査業務（庁内α’モデル採用分）一式

福島県情報セキュリティ外部監査業務（庁内α’モデル採用分）一式 入 札 公 告福島県情報セキュリティ外部監査業務(庁内 α’モデル採用分)一式の取得について、次のとおり一般競争入札を行うので、地方自治法施行令(昭和22年政令第16号。以下「施行令」という。)第 167 条の６第１項及び福島県財務規則(昭和 39 年福島県規則第 17 号。 以下「財務規則」という。)第246条第１項の規定により公告する。令和８年８月７日福島県知事 内 堀 雅 雄１ 入札に付する事項(１)取得する物品の名称及び数量福島県情報セキュリティ外部監査業務(庁内α’モデル採用分) 一式(２)取得する物品の仕様等仕様書による。(３)取得する物品の業務委託期間契約締結日から令和８年１２月２５日まで(４)履行場所仕様書による。２ 入札に参加する者に必要な資格に関する事項次に掲げる条件を全て満足している者であり、かつ、当該入札に参加する者に必要な資格の確認を受けた者であること。(１)地方自治法施行令(昭和22年政令第16号)第167条の４の規定に該当しない者であること。(２)本件公告の日から開札の日までの間に福島県から入札参加資格制限措置又は指名停止を受けていないこと。(３)会社更生法(平成14年法律第154号)の規定による更生手続開始の申立てをしている者若しくは申立てがなされている者又は民事再生法(平成11年法律第225号)の規定による再生手続開始の申立てをしている者若しくは申立てがなされている者にあっては、当該手続開始の決定を受けた後に、この入札に参加することに支障がないと認められる者であること。(４)プライバシーマークの認定を受けていること、及び情報セキュリティマネジメントシステム(ISMS)適合性評価制度における審査登録機関から認定を受けていること。(５)独立行政法人情報処理推進機構がホームページにおいて公表している情報セキュリティサービス基準適合サービスリストの情報セキュリティ監査サービス分野に登録(記載)されていること。(６)県又は市町村に対しα’モデルに関する監査実績を有していること。 (７)第三者の観点から、本県のα“モデル構築に関わっていないこと。 (８)監査チームには情報セキュリティ監査に必要な知識及び経験(地方公共団体における情報セキュリティ監査の実績)を持ち、次に掲げるいずれかの資格を有する者が1人以上含まれていること。 (ア)システム監査技術者(イ)公認情報システム監査人(CISA)(ウ)公認情報セキュリティ主任監査人(エ)公認情報セキュリティ監査人(オ)公認システム監査人(カ)情報処理安全確保支援士３ 入札に参加する者に必要な資格の確認入札に参加を希望する者は、所定の一般競争入札参加資格確認申請書を、令和８年８月２６日(水)午後５時１５分までに次に掲げる場所に提出し、当該入札に参加する者に必要な資格の確認を受けること。 なお、郵送により提出する場合は、書留郵便により行うものとし、令和８年８月２６日(水)午後５時１５分まで必着とする。 郵便番号960-8670 福島県福島市杉妻町２番16号福島県企画調整部情報統計総室デジタル変革課電話024-521-7136４ 契約条項を示す場所及び期間３に掲げる場所において公告のあった日から令和８年８月２６日(水)まで(土曜日及び日曜日及び祝日を除く) の午前８時３０分から午後５時１５分までとする。 ５ 入札説明書等の配布次により、入札説明書、仕様書、申請書等を配布する。 (１)配布期間 ４に掲げる期間に同じ。 (２)配布場所 ３に掲げる場所に同じ。 ６ 入札及び開札の日時及び場所等(１)日時 令和８年９月２日(水)午前１１時００分(２)場所 福島県庁本庁舎５階 企画調整課分室１(福島県福島市杉妻町２番16号)７ 入札保証金及び契約保証金(１)入札保証金 この入札に参加を希望する者は、入札金額(消費税及び地方消費税を含む。)の100分の３以上の額の入札保証金を納付しなければならない。ただし、財務規則第 249 条第１項各号のいずれかに該当する場合においては、入札保証金の全部又は一部の納付を免除する。(２)契約保証金 落札者は、契約金額の 100 分の５以上の額の契約保証金を納付しなければならない。ただし、財務規則第 229 条第１項各号のいずれかに該当する場合においては、契約保証金の全部又は一部の納付を免除する。８ 入札に参加を希望する者に要求される事項この入札に参加を希望する者は、開札日の前日までの間において、提出した書類に関し、福島県知事から説明を求められた場合は、それに応じなければならない。９ 入札の無効２の入札に参加する者に必要な資格のない者のした入札及び入札説明書において示す入札に関する条件等に違反した入札は、無効とする。10 入札の効力本件入札は、その契約に係る予算が福島県議会で可決され、令和８年４月１日以降で予算の執行が可能となったときに、入札の効力が生じる。11 その他(１)契約手続において使用する言語及び通貨 日本語及び日本国通貨(２)入札方法 落札の決定に当たっては、入札書に記載された金額に当該金額の100分の10 に相当する額を加算した金額(当該金額に１円未満の端数があるときは、その端数金額を切り捨てた金額)をもって落札価格とするので、入札者は、消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約希望金額の110分の100に相当する金額を入札書に記載すること。(３)落札者の決定方法 予定価格の制限の範囲内で最低の価格をもって有効な入札を行った者を落札者とする。(４)契約書作成の要否 要(５)その他 詳細は、入札説明書による。 入 札 説 明 書この入札説明書は、福島県情報セキュリティ外部監査業務(庁内α’モデル採用分)一式の調達について、地方自治法施行令(昭和22年政令第16号。以下「施行令」という。)、福島県財務規則(昭和39年福島県規則第17号。以下「財務規則」という。)及び本件調達契約に係る一般競争入札(以下「入札」という。)の公告の規定に基づき、福島県が発注する調達契約に関し、入札に参加する者(以下「入札者」という。)が熟知し、かつ、遵守しなければならない一般的事項を定めたものである。１ 発注者(契約権者)福島県知事 内堀 雅雄２ 入札に付する事項公告に示すとおり。なお、取得する物品の仕様等については、別紙仕様書のとおり。３ 入札に参加する者に必要な資格に関する事項公告に示すとおり。４ 入札に参加する者に必要な資格の確認入札に参加を希望する者は、以下により一般競争入札参加資格確認に係る各種書類を提出し、資格の確認を受けること。なお、書類作成等に要する費用は、入札者の負担とし、一旦受領した書類は返却しないものとする。なお、提出期限までに当該申請を行わなかったときは、入札に参加できないので、十分に注意すること。(１)提出書類ア 一般競争入札参加資格確認申請書(様式１)イ 法人登記簿謄本(写し可。提出日より３ヶ月以内のものに限る。)ウ 印鑑証明書(写し可)エ 暴力団等反社会的勢力でないことの表明・確約に関する同意書(様式８)オ プライバシーマーク(Pマーク)の認定及び情報セキュリティマネジメントシステム(ISMS)適合性評価制度に基づく認証を受けていることを証明する書類(写し可)カ 過去に国または地方公共団体と契約を締結し誠実に履行(契約履行中のものは含まない。)したことを証明する実績証明書(国、地方公共団体が発注した契約については、証明書に代えて契約書の写を添付することができる。)キ 監査チーム内に、情報セキュリティ監査に必要な知識・経験及び地方公共団体における情報セキュリティ監査の実績を有し、次に掲げるいずれかの資格を有する者が在籍していることを証明する書類(写し可)(ア)システム監査技術者(イ)公認情報システム監査人(CISA)(ウ)公認情報セキュリティ主任監査人(エ)公認情報セキュリティ監査人(オ)公認システム監査人(カ)情報処理安全確保支援士※ 長３封筒を同封すること。封筒に110円切手を貼付し、入札参加資格確認通知書の送付先の宛名を記入すること。(２)提出期限令和８年８月２６日(水)午後５時１５分必着(３)提出場所郵便番号 ９６０－８６７０ 福島県福島市杉妻町２番１６号福島県企画調整部デジタル変革課(本庁舎５階)電話 ０２４－５２１－７１３６電子メール jouhou_system@pref.fukushima.lg.jp(４)提出方法郵送又は持参とする。ただし、郵送による場合は書留郵便とし、令和８年８月２６日(水)午後５時１５分必着とする。なお、持参による場合は、土曜日及び日曜日及び祝日を除く、午前８時３０分から午後５時１５分までの間とする。(５)提出部数各１部(６)資格確認の審査結果一般競争入札参加資格確認通知書(様式２)により、令和８年８月２８日(金)までに通知する。５ 入札説明会入札説明会は開催しない。６ 契約条項等を示す場所等(１)契約条項を示す場所、入札説明書の交付場所及び問い合わせ先４(３)に掲げる場所に同じ。なお、入札説明書等は、福島県企画調整部企画調整課のホームページからダウンロードすることができる。(URL https://www.pref.fukushima.lg.jp/sec/11015a/kikaku-nyuusatsu2.html )(２)入札説明書の交付期間公告の日から令和８年８月２６日(水)まで(土曜日及び日曜日及び祝日を除く)の午前８時３０分から午後５時１５分まで。７ 質問に関する事項仕様等に関して質問があるときは、下記の要領で行うこと。(１)入札仕様書等に関する質問書(様式６。以下「質問書」という。)により書面で行うこととし、電話など口頭による質問は受け付けない。(２)質問書の提出は、原則として４(３)に示す場所へ、郵送又は電子メールにより送付することとし、送付の後電話で確認を取ること。(３)質問書に対する回答は、福島県企画調整部企画調整課のホームページに掲載する。なお、質問者名は公開しない。(URL https://www.pref.fukushima.lg.jp/sec/11015a/kikaku-nyuusatsu2.html )(４)質問書の受付期間は、公告のあった日から令和８年８月１９日(水)午後５時１５分必着とし、令和８年８月２５日(火)までに回答する。８ 入札保証金(１)入札に参加を希望する者は、入札金額(消費税及び地方消費税を含む。)の100分の３以上の額の入札保証金を納付しなければならない。(２)入札保証金は、現金(現金に代えて納付する小切手にあっては、福島県指定金融機関又は福島県指定代理金融機関が振り出したもの又は支払保証をしたものに限る。)で納めるものとするが、福島県財務規則(昭和３９年福島県規則第１７号)(以下「財務規則」という。)第１６９条第１項各号に規定する有価証券の提供をもって入札保証金の納付に代えることができる。(３)入札保証金の納付又は有価証券の提出は、開札までに行うこととし、事前に４(３)に掲げる県の課の指示を受けるものとする。(４)財務規則第２４９条第１項(別記１)各号のいずれかに該当する場合、入札保証金の全部又は一部の納付を免除する。なお、入札保証金の免除を申請する者は、４(２)に掲げる期日までに、入札保証金納付免除申請書(様式３)により４(３)に掲げる場所まで申請するものとする。ただし、入札保証保険により免除申請をしようとする者は、令和８年８月２６日(水)午後５時１５分までに申請するものとし、事前に４(３)に掲げる県の課の指示を受けるものとする。(５)入札保証金の納付及び還付については、それぞれ財務規則第２５１条及び第２５３条に定めるところによる。９ 入札及び開札(１)本件入札は、一般競争入札により行う。(２)入札者は、入札説明書、仕様書等を熟知のうえ入札しなければならない。(３)入札及び開札の日時及び場所日時：令和８年９月２日(水)午前１１時００分から場所：福島県庁本庁舎５階 企画調整課分室１(福島県福島市杉妻町２番１６号)(４)入札書は、入札書(様式４)により作成、記載すること。(５)入札書には、次の事項が記載されていなければならない。 ア 落札の決定に当たっては、入札書に記載された金額に当該金額の100分の10に相当する額を加算した金額(当該金額に１円未満の端数があるときは、その端数金額を切り捨てた金額)をもって落札価格とするので、入札者は、消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約希望金額の110分の100に相当する金額を入札書に記載すること。イ 日付、入札者の住所、商号又は名称、代表者の職及び氏名の記載並びに代表者の押印(外国人の署名を含む。以下同じ。)をすること。ウ 代理人をして入札する場合の入札書には、日付、入札者の住所、商号又は名称、代表者の職及び氏名の記載のほかに、当該代理人の職及び氏名の記載並びに代理人の押印をすること。なお、代理人は委任状(様式５)を持参すること。(６)入札書の提出方法ア 入札書を持参して提出する場合は、９(３)に掲げる日時及び場所へ提出するものとし、入札書を封書に入れて密封し、かつ封皮に次の事項を記載すること。(ア)氏名(法人にあっては、商号又は名称。)(イ)「令和８年９月２日開札『福島県情報セキュリティ外部監査業務(庁内α’モデル採用分)』の入札書在中」イ 郵送により入札を行なう場合は書留郵便によることとし、令和８年８月３１日(月)午後５時１５分までに、４(３)に掲げる場所に必着のこと。郵送に当たっては、二重封筒の外封筒に入札書在中と朱書し、中封筒に入札書のみを入れて密封し、かつ封皮には９(６)アの必要事項を記載すること。外封筒に、中封筒と以下の書類を同封すること。(ア)一般競争入札参加資格確認通知書又はその写し(イ)入札保証金を納付した納入通知書の銀行領収印があるものの写し･･･入札保証金を納付した場合(ウ)入札保証金納付免除通知書又はその写し･･･入札保証金の免除を受けた場合ウ ９(６)ア又は９(６)イ以外の方法による入札は不可とする。(７)入札者又はその代理人は、入札に際し、他の入札者の代理人になることができない。(８)入札者は、次の各号のいずれかに該当する者を入札代理人にすることができない。ア 契約の履行に当たり故意に業務を粗雑にし、又は物件の品質若しくは数量に関して不正の行為をした者イ 競争入札の公正な執行を妨げた者又は公正な価格の成立を害し、若しくは不正の利益を得るために連合した者ウ 落札者が契約を結ぶこと又は契約者が契約を履行することを妨げた者エ 契約の適正な履行の確保又は給付の完了の確認をするための必要な監督又は検査の実施に当たり職員の職務の執行を妨げた者オ 正当な理由がなくて契約を履行しなかった者カ 前各号の一に該当する事実があった後２年を経過しない者を契約の履行に当たり代理人、支配人その他の使用人として使用した者(９)一度提出された入札書については、書き換え、引き換え又は撤回を認めない。(10)開札は、入札終了後直ちに９(３)に掲げる場所にて行う。(11)開札に先立ち、入札者は次の書類により確認を受けるものとする。ア 一般競争入札参加資格確認通知書又はその写しイ 委任状･･･代理人出席の場合ウ 入札保証金を納付した領収書･･･入札保証金を納付した場合エ 入札保証金納付免除通知書又はその写し･･･入札保証金の免除を受けた場合(12)開札は、入札者又はその代理人を立ち会わせて行うものとする。この場合において、入札者又はその代理人が立ち会わないときは、当該入札事務に関係のない県職員を立ち会わせて行う。(13)予定価格の制限の範囲内の価格の入札がない場合は、ただちに再度入札を行うものとする。入札者又はその代理人が開札に立ち会わない場合は、再度入札については棄権したものと見なす。(14)再度入札に付してもなお落札者が決定しない場合は、さらに入札に付すことができるものとする。(15)入札者が連合(談合)し、又は不穏の行動をなす等の場合において、入札を公正に執行することができないと認められるときは、当該入札者を入札に参加させず、又は入札の執行を延期し、若しくは取りやめることがある。(16)天災その他やむを得ない理由により、入札又は開札を行うことができないときには、これを中止する。なお、この場合における損害は入札者の負担とする。10 入札の無効次の各号に該当する入札は無効とする。(１)入札参加資格のない者がした入札(２)所定の入札保証金を納付しない者がした入札(３)委任状を持参しない代理人がした入札(４)同一事項の入札について他人の代理人を兼ね、又は２人以上の代理人をした者の入札(５)鉛筆書きによる入札(６)金額の記入がない、金額を訂正した又は金額が判読できない入札(７)記名、押印を欠く入札(８)日付がない又は公告日若しくは通知日から開札日までの期間内の日付となっていない入札(９)誤字、脱字等により意思表示が不明瞭な入札(10)同一人が同一事項に対して２通以上の入札をし、その前後を判別することができない入札又は後発の入札(11)９(６)イに規定する郵送方法によらない入札(郵送により入札を行なう場合)(12)明らかに不正によると認められる入札(13)その他この入札説明書において示す条件又は県において特に指定した事項に違反した入札11 落札者の決定(１)予定価格の制限の範囲内で最低の価格をもって有効な入札を行った者を落札者とする。(２)落札となるべき同額の入札をした者が二人以上あるときは、直ちに当該入札者にくじを引かせ、落札者を決定するものとする。(３)(２)の同価の入札をした者のうちくじを引かない者があるときは、入札執行事務に関係のない職員に代わってくじを引かせ、落札者を決定するものとする。(４)入札者がいないとき、又は再度入札を執行しても落札者がない場合は、施行令第１６７条の２第１項第８号の規定により随意契約とすることができる。12 契約保証金(１)落札者は、契約金額の１００分の５以上の額の契約保証金を納付しなければならない。(２)契約保証金は、現金(現金に代えて納付する小切手にあっては、福島県指定金融機関又は福島県指定代理金融機関が振り出したもの又は支払保証をしたものに限る。)で納めるものとするが、財務規則第２２８条第２項各号に規定する担保の提供をもって契約保証金の納付に代えることができる。(３)財務規則第２２９第１項各号(別記２)のいずれかに該当する場合においては、契約保証金の全部又は一部の納付を免除する。(４)契約保証金の減免については、落札者に別途通知する。(５)契約保証金の納付及び還付については、それぞれ財務規則第２３１条及び２３３条に定めるところによる。 13 契約書の作成(１)契約の手続きにおいて使用する言語及び通貨は、それぞれ日本語及び日本国通貨とする。(２)契約書等の作成は以下によるものとする。ア 落札者は、契約書を作成する場合において県が送付する契約書(案)に記名押印し、落札決定の日から県が指定した期日までに契約の取り交わしを行うこと。イ 契約は、地方自治法第２３４条第５項の規定により両者が契約書に記名押印したときに確定するものとする。ウ 落札者が、アに定める期間内に契約書(案)を提出しないときは、落札を取り消すことがある。(３)契約事項は、契約書(案)及び福島県財務規則による。14 電子契約による契約締結の意向確認(１)本契約案件は、県が調達した電子契約サービスを利用した契約締結を行うことができる。(２)落札者(随意契約の場合にあっては、契約の相手方)は、電子契約による契約締結を希望する場合は、すみやかに「電子契約利用申出書兼メールアドレス確認書」に必要事項を記載のうえ、発注機関の契約事務担当課宛に電子メールにより提出すること。(※電子契約を希望しない場合は従来の書面による契約とする。)なお、電子契約の詳細については、福島県ホームページの電子契約サービスのページを参照すること。(https://www.pref.fukushima.lg.jp/sec/01115c/nyusatsu-160.html)15 留意事項(１)入札に参加を希望する者は、開札日の前日までの間において、提出した書類に関し福島県から説明及び協議を求められた場合は、それに応じなければならない。説明及び協議の義務を履行しない者のした入札は、落札決定の対象としない。(２)一般競争入札参加資格確認申請等の作成及び提出に要する費用は、各事業者の負担とする。(３)一般競争入札参加資格確認結果通知書を受理した後、入札の完了までに入札を辞退する場合は、入札辞退届(様式９)を提出すること。(４)この入札説明書の交付を受けた者は、県から提供を受けた文書等を第三者に漏らしてはならず、また本件の入札手続き以外の目的に供してはならない。(５)入札から落札者の決定までに入札者が３に掲げる要件に該当しなくなったときは、当該入札者は落札者とはしない。(参考資料)別記１福島県財務規則(抜粋)(入札保証金の減免)第249 条 前条の規定にかかわらず、契約権者は、次に掲げる場合においては、入札保証金の全部又は一部の納付を免除することができる。(1) 一般競争入札に参加しようとする者が保険会社との間に県を被保険者とする入札保証保険契約を締結しているとき。(2) 一般競争入札に参加する資格を有し、過去２年間に官公署(予算決算及び会計令第99条第９号に掲げる沖縄振興開発金融公庫等を含む。)とその種類及び規模をほぼ同じくする契約を２回以上にわたり締結し、これらをすべて誠実に履行し、かつ、契約を締結しないおそれがないと認められるとき。(3) 試験研究、調査等の委託契約を締結する場合において、契約の相手方が契約を締結しないこととなるおそれがないと認められるとき。(4) その他別に定めるとき。２ (略)別記２福島県財務規則(抜粋)(契約保証金の減免)第229 条 前条の規定にかかわらず、契約権者は、次に掲げる場合においては、契約保証金の全部又は一部の納付を免除することができる。(1) 契約の相手方が官公署及び知事がこれに準ずるものと認める法人であるとき。(2) 契約の相手方が保険会社との間に県を被保険者とする履行保証保険契約を締結しているとき。(3) 契約の相手方から委託を受けた保険会社、銀行、農林中央金庫その他予算決算及び会計令(昭和22 年勅令第165 号)第100 条の３第２号の規定により財務大臣が指定する金融機関(次条第２項において「保険会社等」という。)と工事履行保証契約を締結したとき。(4) 過去２年間に官公署(予算決算及び会計令第99条第９号に掲げる沖縄振興開発金融公庫等を含む。)とその種類及び規模をほぼ同じくする契約を２回以上にわたり締結し、これらを全て誠実に履行し、かつ、契約を履行しないおそれがないと認められるとき。(5) 随意契約を締結する場合において、請負代金又は契約代金の額が50(100)万円未満であり、かつ、契約の相手方が契約を履行しないおそれがないと認められるとき。(平成25 年５月１日以降は、かっこ書の金額)(6) １件500 万円未満の物品の購入契約を締結する場合において、当該契約に係る物品が当該契約において定める期日までに確実に納入されるものと認められるとき。(7) １件500 万円未満の建設工事又は製造の請負契約を締結する場合において、契約の相手方が契約を履行しないおそれがないと認められるとき。(8) １件300 万円未満の工事(建設工事を除く。)の請負契約を締結する場合において、契約の相手方が契約を履行しないおそれがないと認められるとき。(9) 工事等の請負契約の締結後に当該工事等に係る請負代金の額を変更する場合において、変更後の請負代金の額に100 分の10(建設工事又は製造以外にあつては100 分の５)を乗じて得た額が既に納付された契約保証金の額の二倍未満の額であり、かつ、契約の相手方が契約を履行しないおそれがないと認められるとき。(10) 除染作業業務委託契約又は森林整備業務委託契約の締結後に当該業務委託に係る業務委託料を変更する場合において、変更後の業務委託料に100 分の５を乗じて得た額が既に納付された契約保証金の額の二倍未満の額であり、かつ、契約の相手方が契約を履行しないおそれがないと認められるとき。(11) 応急仮設住宅撤去業務の契約締結後に当該撤去業務に係る契約金額を変更する場合において、変更後の契約金額に100 分の５を乗じて得た額が既に納付された契約保証金の額の二倍未満の額であり、かつ、契約の相手方が契約を履行しないおそれがないと認められるとき。(12) １件の契約金額が500 万円未満の契約を締結する場合において、契約の相手方が第１号に掲げる公共団体以外の公共団体又は公共的団体で知事が指定するものであるとき。(13) 県において公用又は公共の用に供するため財産を購入する場合において、当該契約の締結と同時に登記義務者から登記をすることについての承諾書の提出があり、かつ、当該財産の引渡しが拒絶されるおそれがないと認められるとき。(14) 法令に基づき延納が認められる場合において確実な担保が提供されたとき。(15) 財産を売り払う契約を締結する場合において売払代金が即納されるとき。(16) 試験研究、調査等の委託契約を締結する場合において、契約の相手方が契約を履行しないおそれがないと認められるとき。 (17) 県において公用又は公共の用に供するため財産を借り入れる場合において、契約の相手方が契約を履行しないおそれがないと認められるとき。(18) 貸付契約、補償契約その他契約の性質上契約保証金を納付させることが適さない契約を締結する場合において、契約の相手方が契約を履行しないおそれがないと認められるとき。２ (略) 福島県情報セキュリティ外部監査業務(庁内α’モデル採用分)仕様書１ 委託業務名福島県情報セキュリティ外部監査業務(庁内α’モデル採用分)２ 業務の目的国が示す「地方公共団体における情報セキュリティ監査に関するガイドライン」に則り、専門的知識及び知見を有する外部事業者による独立的な立場からLGWAN接続系のローカルブレイクアウト環境構築に伴う監査を実施し、本県における情報資産及び事務の安全かつ安定的な管理・運用を継続し、情報セキュリティの強靭化に資することを目的とする。３ 委託期間契約締結日から令和8年12月25日(金)まで４ 発注部署福島県 企画調整部 デジタル変革課連絡先：〒960-8670 福島県福島市杉妻町2-16(本庁舎5階)電話番号：024-521-7136 電子メール：jouhou_system@pref.fukushima.lg.jp５ 履行場所福島県庁内６ 業務内容(１)監査及びフォローアップの実施適用基準に基づき別紙「監査項目一覧」に記載の項目を対象に助言型の監査を実施すること。(２)監査報告会監査報告書提出後、監査報告会を実施し、監査結果の説明を行うとともに、必要に応じて監査証拠に基づいた改善のための方策等の助言を行うこと。(３)監査対象国が示す「α’モデル採用自治体における監査項目一覧」のうち、α’モデルの対策(コミュニケーションツールを利用するが、ファイルを内部に取り込まない場合)に基づく部分とし、その監査項目は「地方公共団体における情報セキュリティ監査に関するガイドライン」記載の「3.11. α’モデルを採用する場合の追加監査項目」のとおりとする。【必須とする基準】・福島県情報セキュリティポリシー(情報セキュリティ基本方針)・福島県情報セキュリティポリシー(情報セキュリティ対策基準)【参考とする基準】・地方公共団体における情報セキュリティポリシーに関するガイドライン(総務省)・地方公共団体における情報セキュリティ監査に関するガイドライン(総務省)・上記のほか委託期間において情報セキュリティに関し有用な基準等で、本県と協議して採用するもの７ スケジュール以下に日程案を示す。１か月目 ２か月目 ３か月目監査計画立案キックオフミーティング▲予備調査(必要あれば)監査日程調整監査監査報告書作成及び監査報告会▲(１)監査計画立案監査計画を立案し、実施計画書として提出した上でキックオフ時に説明を行う。(２)キックオフミーティング原則対面形式とし、業務実施にあたり必要な事項に関する打ち合わせを行う。(３)予備調査(必要あれば)必要に応じて、監査前に明らかにすべき事項を確認するための予備調査を行う。(４)監査日程調整監査を実施する日時を調整する。また本県のデジタル変革課内以外に立ち入りが必要な場合は事前に申し出ること。(５)監査対面形式とし、監査資料のレビュー及び本県担当者へのヒアリングを実施する。本県委託先へのヒアリングが必要な場合は本県が質問を仲介する形式とする。(６)監査報告書作成及び監査報告会監査報告書を作成し、本県との協議を得た上で内容を確定する。また監査報告会は対面形式で行う。８ 納入成果物(１)納入成果物以下の成果物を納入期限内に納入すること。①業務実施計画書②監査報告書③打合せ記録(２)納入形態等成果物を印刷した紙媒体を指定された部数で納入すること。また、Microsoft Office製品及びPDF形式で読み取り可能な状態で成果物を保存した電磁的記録媒体(CD-R等)を1式納入すること。(３)監査報告書の提出先福島県企画調整部デジタル変革課とする。９ 留意事項(１)資料の提供等本業務の実施にあたり、必要な資料及びデータの提供は本県が妥当と判断する範囲内で提供する。なお、受託者は、本県から提供された資料は適切に保管し、特に個人情報に係るもの及び情報システムのセキュリティに係るものの保管は厳格に行うものとする。また、契約終了後は本件監査にあたり収集した一切の資料を速やかに本県に返還し、又は破棄するものとする。(２)技術的検証技術的検証については、対象情報システム等の運用に対し、支障及び損害を与えないように実施するものとする。(３)再委託受託者は、本業務の実施にあたり他の業者に再委託することを原則、禁止する。再委託が必要な場合は、本県と協議の上、事前に書面により本県の承認を得ることとする。(４)秘密保持等受託者は本業務の実施にあたり、知り得た情報及び成果品の内容を正当な理由なく他に開示し又は自らの利益のために利用してはならない。これは、契約終了後又は契約解除後においても同様とする。(５)打合せ記録の作成受託者は本業務の実施に必要な打合せを、本県主管課と随時に行い、指示に基づき業務を実施するとともに、円滑な業務遂行を図ること。本県との打合せ記録は受託者が作成し、5営業日以内に提出すること。(６)関係法令の遵守受託者は業務の実施にあたり、関係法令等を遵守し業務を円滑に進めなければならない。(７)報告等受託者は作業スケジュールに十分配慮し、本県と密接に連絡を取り業務の進捗状況を報告するものとする。以上 組織的・人的対策α’監査項目監査項目(組織的・人的対策),項目,No.,監査項目,監査資料の例,監査実施の例,情報セキュリティポリシーガイドラインの例文の番号,関連するJISQ27002番号,留意事項,１組織体制,(3)CSIRTの設置・役割,4,ⅲ)CSIRTの設置・役割の明確化CSIRTが設置され、部局の情報セキュリティインシデントについてCISOへの報告がされている。また、CISOによって、CSIRT及び構成する要員の役割が明確化されている。,□情報セキュリティポリシー□CSIRT設置要綱,監査資料のレビューと統括情報セキュリティ責任者へのインタビューにより、CSIRTが設置されており、規定された役割に応じて情報セキュリティインシデントのとりまとめやCISOへの報告、報道機関等への通知、関係機関との情報共有等を行う統一的な窓口が設置されているか確かめる。また、監査資料のレビューとCISO又は構成要員へのインタビューにより、CSIRTの要員構成、役割などが明確化されており、要員はそれぞれの役割を理解しているか確かめる。,1.(9),5.55.65.245.255.266.8,5人的セキュリティ,5.1職員等の遵守事項,(1)職員等の遵守事項①情報セキュリティポリシー等の遵守,85,ⅰ)情報セキュリティポリシー等遵守の明記統括情報セキュリティ責任者又は情報セキュリティ責任者によって、職員等が情報セキュリティポリシー及び実施手順を遵守しなければならないことが定められ、文書化されている。,□情報セキュリティポリシー□職員等への周知記録,監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者へのインタビューにより、職員等の情報セキュリティポリシー及び実施手順の遵守や、情報セキュリティ対策について不明な点及び遵守が困難な点等がある場合に職員等がとるべき手順について文書化され、正式に承認されているか確かめる。また、承認された文書が職員等に周知されているか確かめる。 ,5.1.(1)①,5,86,ⅱ)情報セキュリティポリシー等の遵守職員等は、情報セキュリティポリシー及び実施手順を遵守するとともに、情報セキュリティ対策について不明な点や遵守が困難な点等がある場合、速やかに情報セキュリティ管理者に相談し、指示を仰げる体制になっている。,□情報セキュリティポリシー□実施手順書,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビューにより、情報セキュリティポリシー及び実施手順の遵守状況を確かめる。また、情報セキュリティ対策について不明な点及び遵守が困難な点等がある場合、職員等が速やかに情報セキュリティ管理者に相談し、指示を仰げる体制が整備されているか確かめる。必要に応じて、職員等へのアンケート調査を実施し、周知状況を確かめる。 ,5.1.(1)①,5,(1)職員等の遵守事項②業務以外の目的での使用の禁止,88,ⅱ)情報資産等の業務以外の目的での使用禁止職員等による業務以外の目的での情報資産の持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスは行われていない。 ,□端末ログ□電子メール送受信ログ□ファイアウォールログ,監査資料のレビューと情報システム管理者及び職員等へのインタビューにより、業務以外の目的での情報資産の持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスが行われていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.1.(1)②,－,(1)職員等の遵守事項③モバイル端末や電磁的記録媒体の持ち出し及び外部における情報処理作業の制限,90,ⅱ)情報資産等の外部持出制限職員等がモバイル端末、電磁的記録媒体、情報資産及びソフトウェアを外部に持ち出す場合、情報セキュリティ管理者により許可を得ている。,□端末等持出・持込基準/手続□庁外での情報処理作業基準/手続□端末等持出・持込申請書/承認書,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビューにより、職員等がモバイル端末、電磁的記録媒体、情報資産及びソフトウェアを外部に持ち出す場合、情報セキュリティ管理者から許可を得ているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.1.(1)③(イ),8.16.77.9,・紛失、盗難による情報漏えいを防止するため、暗号化等の適切な処置をして持出すことが望ましい。,91,ⅲ)外部での情報処理業務の制限職員等が外部で情報処理作業を行う場合は、情報セキュリティ管理者による許可を得ている。 ,□庁外での情報処理作業基準/手続□庁外作業申請書/承認書,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビューにより、職員等が外部で情報処理作業を行う場合、情報セキュリティ管理者から許可を得ているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.1.(1)③(ウ),8.16.77.9,・情報漏えい事故を防止するため、業務終了後は速やかに勤務地に情報資産を返却することが望ましい。,(1)職員等の遵守事項④支給以外のパソコン、モバイル端末及び電磁的記録媒体の業務利用,92,ⅰ)支給以外のパソコン、モバイル端末及び電磁的記録媒体の業務利用基準及び手続統括情報セキュリティ責任者又は情報セキュリティ責任者によって、職員等が業務上支給以外のパソコン、モバイル端末及び電磁的記録媒体を利用する場合の基準及び手続について定められ、文書化されている。 ,□端末等持出・持込基準/手続□支給以外のパソコン等使用申請書/承認書,監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者へのインタビューにより、支給以外のパソコン、モバイル端末及び電磁的記録媒体利用手順が文書化され、正式に承認されているか確かめる。,5.1.(1)④,5.107.8,93,ⅱ)支給以外のパソコン、モバイル端末及び電磁的記録媒体の利用制限職員等が情報処理作業を行う際に支給以外のパソコン、モバイル端末及び電磁的記録媒体を用いる場合、当該端末の業務利用の可否判断をCISOが行った後に、業務上必要な場合は、統括情報セキュリティ責任者の定める実施手順に従い、情報セキュリティ管理者による許可を得ている。また、機密性の高い情報資産の支給以外のパソコン、モバイル端末及び電磁的記録媒体による情報処理作業は行われていない。 ,□支給以外のパソコン等使用申請書/承認書□支給以外のパソコン等使用基準/実施手順書,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビューにより、職員等が情報処理作業を行う際に支給以外のパソコン、モバイル端末及び電磁的記録媒体を用いる場合、情報セキュリティ管理者の許可を得ているか確かめる。また、端末のウイルスチェックが行われていることや、端末ロック機能及び遠隔消去機能が利用できること、機密性3の情報資産の情報処理作業を行っていないこと、支給以外の端末のセキュリティに関する教育を受けた者のみが利用しているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。また、手順書に基づいて許可や利用がされているか確かめる。 ,5.1.(1)④,8.16.77.87.9,94,ⅲ)支給以外のパソコン、モバイル端末及び電磁的記録媒体の庁内ネットワーク接続職員等が支給以外のパソコン、モバイル端末及び電磁的記録媒体を庁内ネットワークに接続することを許可する場合、統括情報セキュリティ責任者又は情報セキュリティ責任者によって、情報漏えい対策が講じられている。,□庁外での情報処理作業基準/手続□支給以外のパソコン等使用申請書/承認書□支給以外のパソコン等使用基準/実施手順書,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビューにより、支給以外のパソコン、モバイル端末及び電磁的記録媒体を庁内ネットワークに接続することを許可する場合は、シンクライアント環境やセキュアブラウザの使用、ファイル暗号化機能を持つアプリケーションでの接続のみを許可する等の情報漏えい対策が講じられているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.1.(1)④,8.208.21,(1)職員等の遵守事項⑤持ち出し及び持ち込みの記録,96,ⅱ)端末等の持出・持込記録の作成情報セキュリティ管理者によって、端末等の持ち出し及び持ち込みの記録が作成され、保管されている。 ,□端末等持出・持込基準/手続□端末等持出・持込申請書/承認書,監査資料のレビューと情報セキュリティ管理者へのインタビューにより、端末等の持ち出し及び持ち込みの記録が作成され、保管されているか確かめる。,5.1.(1)⑤,7,・記録を定期的に点検し、紛失、盗難が発生していないか確認することが望ましい。,(1)職員等の遵守事項⑦机上の端末等の管理,100,ⅱ)机上の端末等の取扱離席時には、パソコン、モバイル端末、電磁的記録媒体、文書等の第三者使用又は情報セキュリティ管理者の許可なく情報が閲覧されることを防止するための適切な措置が講じられている。,□クリアデスク・クリアスクリーン基準,監査資料のレビューと情報セキュリティ管理者及び職員等へのインタビュー、執務室の視察により、パソコン、モバイル端末の画面ロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管といった、情報資産の第三者使用又は情報セキュリティ管理者の許可なく情報が閲覧されることを防止するための適切な措置が講じられているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.1.(1)⑦,7,(3)情報セキュリティポリシー等の掲示,108,ⅱ)情報セキュリティポリシー等の掲示情報セキュリティ管理者によって、職員等が常に最新の情報セキュリティポリシー及び実施手順を閲覧できるように掲示されている。 ,□職員等への周知記録,監査資料のレビューと情報セキュリティ管理者へのインタビュー及び執務室の視察により、職員等が常に最新の情報セキュリティポリシー及び実施手順を閲覧できるよう、イントラネット等に掲示されているか確かめる。,5.1.(3),5,(4)外部委託事業者に対する説明,110,ⅱ)委託事業者に対する情報セキュリティポリシー等遵守の説明ネットワーク及び情報システムの開発・保守等を委託事業者に発注する場合、情報セキュリティ管理者によって、情報セキュリティポリシー等のうち、委託事業者及び再委託事業者が守るべき内容の遵守及びその機密事項が説明されている。,□業務委託契約書□委託管理基準,監査資料のレビューと情報セキュリティ管理者へのインタビューにより、ネットワーク及び情報システムの開発・保守等を発注する委託事業者及び再委託事業者に対して、情報セキュリティポリシー等のうち委託事業者等が守るべき内容の遵守及びその機密事項が説明されているか確かめる。,5.1.(4),5.195.20,・再委託は原則禁止であるが、例外的に再委託を認める場合には、再委託事業者における情報セキュリティ対策が十分取られており、委託事業者と同等の水準であることを確認した上で許可しなければならない。 ・委託事業者に対して、契約の遵守等について必要に応じ立ち入り検査を実施すること。 ,5.2研修・訓練,(1)情報セキュリティに関する研修・訓練,112,ⅱ)情報セキュリティ研修・訓練の実施CISOによって、定期的にセキュリティに関する研修・訓練が実施されている。 ,□研修・訓練実施基準□研修実施報告書□訓練実施報告書,監査資料のレビューと統括情報セキュリティ責任者へのインタビューにより、定期的に情報セキュリティに関する研修・訓練が実施されているか確かめる。,5.2.(1),6,5.3情報セキュリティインシデントの報告,123,ⅰ)情報セキュリティインシデントの報告手順統括情報セキュリティ責任者によって、情報セキュリティインシデントを認知した場合の報告手順が定められ、文書化されている。,□情報セキュリティインシデント報告手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者へのインタビューにより、職員等が情報セキュリティインシデントを認知した場合、又は住民等外部から情報セキュリティインシデントの報告を受けた場合の報告ルート及びその方法が文書化され、正式に承認されているか確かめる。 ,5.3.(1)～(3),6,・報告ルートは、団体の意思決定ルートと整合していることが重要である。,(1)庁内での情報セキュリティインシデントの報告,124,ⅰ)庁内での情報セキュリティインシデントの報告庁内で情報セキュリティインシデントが認知された場合、報告手順に従って関係者に報告されている。 ,□情報セキュリティインシデント報告手順書□情報セキュリティインシデント報告書,監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、職員等へのインタビューにより、報告手順に従って遅滞なく報告されているか確かめる。また、個人情報・特定個人情報の漏えい等が発生していた場合、必要に応じて個人情報保護委員会へ報告されていることを確かめる。,5.3.(1),6,5.4ID及びパスワード等の管理,(1)ICカード等の取扱い,130,ⅲ)認証用ICカード等の放置禁止認証用ICカード等を業務上必要としないときは、カードリーダーやパソコン等の端末のスロット等から抜かれている。,□ICカード等取扱基準,監査資料のレビューと情報システム管理者及び職員等へのインタビュー並びに執務室の視察により、業務上不要な場合にカードリーダーやパソコン等の端末のスロット等から認証用のICカードやUSBトークンが抜かれているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.4.(1)①(イ),5.165.18,131,ⅳ)認証用ICカード等の紛失時手続認証用ICカード等が紛失した場合は、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報され、指示に従わせている。 ,□ICカード等取扱基準□ICカード紛失届書,監査資料のレビューと統括情報セキュリティ責任者及び情報システム管理者へのインタビューにより、認証用のICカードやUSBトークンが紛失した場合は、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報され、指示に従わせているか確かめる。,5.4.(1)①(ウ),5.165.18,132,ⅴ)認証用ICカード等の紛失時対応認証用ICカード等の紛失連絡があった場合、統括情報セキュリティ責任者及び情報システム管理者によって、当該ICカード等の不正使用を防止する対応がとられている。 ,□ICカード等取扱基準□ICカード等管理台帳,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、紛失した認証用のICカードやUSBトークンを使用したアクセス等が速やかに停止されているか確かめる。,5.4.(1)②,5.165.18,133,ⅵ)認証用ICカード等の回収及び廃棄ICカード等を切り替える場合、統括情報セキュリティ責任者及び情報システム管理者によって、切替え前のカードが回収され、不正使用されないような措置が講じられている。 ,□ICカード等取扱基準□ICカード等管理台帳,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、認証用のICカードやUSBトークンを切り替える場合に切替え前のICカードやUSBトークンが回収され、破砕するなど復元不可能な処理を行った上で廃棄されているか確かめる。,5.4.(1)③,5.165.18,・回収時の個数を確認し、紛失・盗難が発生していないか確実に確認することが望ましい。,(3)パスワードの取扱い,138,ⅱ)パスワードの取扱い職員等のパスワードは当該本人以外に知られないように取扱われている。,□パスワード管理基準,監査資料のレビューと情報システム管理者及び職員等へのインタビューにより、職員等のパスワードについて照会等に応じたり、他人が容易に想像できるような文字列に設定したりしないように取り扱われているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。,5.4.(3)①～③,5,内閣サイバーセキュリティセンター(NISC)のハンドブックでは、「ログイン用パスワード」は、英大文字(26種類)小文字(26種類)＋数字(10種類)＋記号(26種類)の計88種類の文字をランダムに使って、10桁以上を安全圏として推奨している。,139,ⅲ)パスワードの不正使用防止パスワードが流出したおそれがある場合、不正使用されない措置が講じられている。,□パスワード管理基準,監査資料のレビューと情報システム管理者及び職員等へのインタビューにより、パスワードが流出したおそれがある場合、速やかに情報セキュリティ管理者に報告され、パスワードが変更されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.4.(3)④,5,142,ⅵ)パスワード記憶機能の利用禁止サーバ、ネットワーク機器及びパソコン等の端末にパスワードが記憶されていない。,□パスワード管理基準,監査資料のレビューと情報システム管理者及び職員等へのインタビュー、執務室の視察により、サーバ、ネットワーク機器及びパソコン等の端末にパスワードが記憶されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。 ,5.4.(3)⑦,5,α'モデルを採用する場合の追加監査項目,項目,No.,監査項目,監査資料の例,監査実施の例,情報セキュリティポリシーガイドラインの例文の番号,関連するJISQ27002番号,留意事項,3情報システム全体の強靭性の向上,技術的対策,1,ⅰ)接続先のクラウドサービスの証明書による認証統括情報セキュリティ責任者及び情報システム管理者により、以下の対策が実施されている。 ・接続先のクラウドサービスが本物であるか否か、正当性を確認する。 ,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、LGWAN接続系からパブリッククラウドサービスに接続する際、接続先が本物であるか否か、正当性を確認する対策が実施されているか確かめる。,－,－,2,ⅱ)マルウェア対策ソフト統括情報セキュリティ責任者及び情報システム管理者により、パターンマッチング方式や、不審な動作を行うコードが含まれていることを検出する振る舞い検知などにより、不正プログラム対策が実施されている。,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、パターンマッチング方式や、不審な動作を行うコードが含まれていることを検出する振る舞い検知などにより、不正プログラム対策が実施されているか確かめる。,－,－,3,ⅲ)パッチ適用統括情報セキュリティ責任者及び情報システム管理者により、脆弱性を修正するパッチを速やかに適用し、脆弱性を解消する対策が実施されている。 ,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、脆弱性を修正するパッチを速やかに適用し、脆弱性を解消する対策が実施されているか確かめる。,－,－,4,ⅳ)接続先制限統括情報セキュリティ責任者及び情報システム管理者により、LGWAN接続系から外部へのアクセス先をLGWAN-ASP及び利用が許可されたクラウドサービスのみに限定する対策が実施されている。,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、LGWAN接続系から外部へのアクセス先をLGWAN-ASP及び利用が許可されたクラウドサービスのみに限定する対策が実施されているか確かめる。,－,－,5,ⅴ)ローカルブレイクアウトテナントアクセス制御統括情報セキュリティ責任者又は情報システム管理者によって、団体専用テナントを利用時は、利用するクラウドサービスへのアクセスを自らの団体が利用するテナントのみに制限する対策が実施されている。 ,□システム構成図□アクセス制御方針□アクセス管理基準□システム設計書□機器等の設定指示書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、団体専用テナントを利用時は、利用するクラウドサービスへのアクセスを自らの団体が利用するテナントのみに制限していることを確かめる。,－,－,6,ⅵ)メール無害化/ファイル無害化CISO又は統括情報セキュリティ責任者によって、LGWAN接続系にインターネットからファイルを取り込む際に、以下の対策が実施されている。 ・ファイルからテキストのみを抽出・ファイルを画像ＰＤＦに変換・サニタイズ処理・未知の不正プログラム検知及びその実行を防止する機能を有するソフトウェアで危険因子の有無を確認,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューとCISO又は統括情報セキュリティ責任者へのインタビューにより、LGWAN接続系にインターネットからファイルを取り込む際に、ファイルからテキストのみを抽出、ファイルを画像ＰＤＦに変換、サニタイズ処理、未知の不正プログラム検知及びその実行を防止する機能を有するソフトウェアで危険因子の有無を確認するなどの対策が実施されているかを確かめる。,－,－,7,ⅶ)権限管理統括情報セキュリティ責任者又は情報システム管理者によって、不正行為(例：無許可の重要コマンド発行や重要データ読み書き)を防止するために、管理者、ユーザの権限関連する属性に応じて適切に管理する対策が実施されている。,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、不正行為(例：無許可の重要コマンド発行や重要データ読み書き)を防止するために、管理者、ユーザの権限関連する属性に応じて適切に管理していることを確かめる。,－,－,8,ⅷ)アクセス制御統括情報セキュリティ責任者又は情報システム管理者によって、不正アクセス(例：無許可の重要コマンド発行や重要データ読み書き)を防止するために、権限に応じた認可に基づき、アクセスの許可または拒否を行う対策が実施されている。,□アクセス制御方針□アクセス管理基準□システム設計書□機器等の設定指示書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、不正アクセス(例：無許可の重要コマンド発行や重要データ読み書き)を防止するために、権限に応じた認可に基づき、アクセスの許可または拒否が実施されていることを確かめる。,－,－,9,ⅸ)IDS/IPS統括情報セキュリティ責任者又は情報システム管理者によって、ネットワーク上の通信パケットを収集・解析し、不正な通信の検知及び遮断する対策が実施されている。,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、ネットワーク上の通信パケットを収集・解析し、不正な通信の検知及び遮断する対策が実施されていることを確かめる。,－,－,10,ⅹ)DDoS対策統括情報セキュリティ責任者又は情報システム管理者によって、サービス不能攻撃の一つであるDDoS(Distributed Denial of Service)攻撃による被害を最小化するために、以下の対策が実施されている。 ・DDoS対策機器の導入・DDoS対策サービスの利用によって、高負荷攻撃への耐性を向上・負荷分散装置(ロードバランサ)による耐性向上,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、DDoS対策として、DDoS対策機器の導入、DDoS対策サービスの利用による高負荷攻撃への耐性の向上、負荷分散装置(ロードバランサ)による耐性の向上などの対策が実施されているかを確かめる。,－,－,※1,11,ⅺ)通信路暗号化統括情報セキュリティ責任者又は情報システム管理者によって、通信路上の盗聴・改ざんによる被害を最小化するために、以下の対策が実施されている。 ・暗号技術を用いて通信路上のデータを暗号化する・通信路上のデータ漏えいが発生しても、暗号化により攻撃者にとって無意味なものとする,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、通信路上の盗聴・改ざんによる被害を最小化するため、暗号技術を用いて通信路上のデータを暗号化する、通信路上のデータ漏えいが発生しても、暗号化により攻撃者にとって無意味なものとする対策が実施されているかを確かめる。,－,－,12,ⅻ)クラウドサービスからファイルダウンロード制限統括情報セキュリティ責任者又は情報システム管理者によって、必要性に応じクラウドサービス上から業務端末へのファイルダウンロードを制限するする対策が実施されている。,□システム構成図□システム設計書□機器等の設定指示書□運用手順書,監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、必要性に応じ、クラウドサービス上から業務端末へのファイルダウンロードを制限するする対策が実施されているかを確かめる。,－,－,※2,組織的・人的対策,13,ⅰ)手続・規定クラウドサービスを利用開始する場合の申請、承認等に係る規定を整備するとともに、運用を徹底している。,□クラウドサービス事業者選定基準□実施手順書,監査資料のレビューと情報セキュリティ管理者へのインタビューにより、クラウドサービス事業者選定の際、利用するクラウドサービスのアプリケーションや、格納する情報資産などに応じた情報セキュリティ対策が確保されていることを確認しているか確かめる。,－,－,14,ⅱ)情報セキュリティ研修計画職員等が毎年度最低１回は情報セキュリティ研修を受講できるように計画されている。,□研修・訓練実施基準□研修・訓練実施計画,監査資料のレビュー又は統括情報セキュリティ責任者へのインタビューにより、研修計画において、職員等が毎年度最低１回は情報セキュリティ研修を受講できるように計画されているか確かめる。 ,5.2.(2),6,15,ⅲ)実践的サイバー防御演習(CYDER)の確実な受講CISOによって、実践的サイバー防御演習(CYDER)を受講しなければならないことが定められ、受講計画が策定されており、また、受講計画に従い、職員等が受講している。 ,□研修・訓練実施計画□研修・訓練受講記録□研修・訓練結果報告書,監査資料のレビュー又は統括情報セキュリティ責任者へのインタビューにより、実践的サイバー防御演習(CYDER)の受講計画について文書化され、正式に承認されているか確かめる。 また、職員等が適切に受講しており、その受講記録が取られていることを確かめる。,－,－,16,ⅳ)演習等を通じたサイバー攻撃情報やインシデント等への対策情報共有職員等が以下の演習やそれに準ずる演習を受講している。 ・インシデント対応訓練(基礎/高度)・分野横断的演習,□研修・訓練実施計画□研修・訓練受講記録□研修・訓練結果報告書,監査資料のレビュー又は統括情報セキュリティ責任者へのインタビューにより、職員等がインシデント対応訓練(基礎/高度)、分野横断的演習又はそれに準ずる演習を受講しているか確かめる。,5.2.(2),－,17,ⅴ)自治体情報セキュリティポリシーガイドライン等の見直しを踏まえた情報セキュリティポリシーの見直し自治体情報セキュリティポリシーガイドライン等の見直し踏まえて、適時適切に情報セキュリティポリシーの見直しがされている。,□情報セキュリティポリシー,監査資料のレビュー又は統括情報セキュリティ責任者へのインタビューにより、情報セキュリティポリシーが自治体情報セキュリティポリシーガイドライン等の見直しを踏まえて、適時適切に見直しがされていることを確かめる。 ,9,－,※J-LIS追記 1：推奨事項 2：α’モデル(ア)・α’モデル(ウ)においては推奨事項、α’モデル(イ)においては必須事項,