国際規格ISO／IEC27001認証維持に係る支援業務

国際規格ISO／IEC27001認証維持に係る支援業務 (別紙)仕様書国立研究開発法人新エネルギー・産業技術総合開発機構1目次１．件名.. 2２．目的.. 2３．業務の概要.. 2４．履行期間.. 2５．認証対象範囲.. 2(１)審査対象組織.. 2(２)審査対象者.. 2(３)審査対象人数.. 3(４)審査対象場所.. 3６．ISMS支援業務管理要件.. 3(１)支援業務計画書の作成.. 3(２)会議体等.. 3(３)その他ISMS支援業務管理要件.. 4７．業務内容(2025年～2027度業務).. 4(１)支援業務計画書の策定.. 4(２)ISMS文書及び関連する規程、法令等の把握.. 4(３)現状確認及びリスク分析プロセスにおける作業内容の解説、並びに助言及び作業支援.. 4(４)リスク対応計画・その他計画の立案に対する助言及び作業支援.. 5(５)ISMS研修に関する助言及び作業支援.. 5(６)ISMS内部監査実施に関する助言及び作業支援.. 5(７)ISMS外部審査(2025年度のみ更新審査)に関する助言及び作業支援.. 6(８)課題・不適合等発生時の助言及び作業支援.. 6(９)ISMS文書等の作成、改訂等に関する助言及び作業支援.. 6(１０)今後の活動に向けた助言又は提言の提供.. 6(１１)支援業務実施報告書の作成.. 6８．納入成果物等.. 6(１)納入成果物及び納入期限.. 6(２)納入方法.. 7(３)納入場所.. 7９．情報管理体制.. 7１０．履行完了後の情報の取扱い.. 7１１．業務完了報告.. 8１２．その他.. 8(別図).. 92１．件名国際規格ISO/IEC27001認証維持に係る支援業務２．目的発注者は2016年12月に情報セキュリティマネジメントシステムの国際規格である ISO/IEC27001の認証を取得し、以降対象範囲を拡大し、現在は海外事務所を除く国内全拠点を対象範囲として、ISMS推進活動を行ってきている。 2024 年 11 月には新たな規格(ISO/IEC27001:2022)に対応するための移行審査を受審し、引き続きISMS推進活動を行っている。 2025年度は認証の有効期限更新に向けて、更新審査を受ける必要がある。 加えて、発注者は近年、事業拡大に伴い職員の増員を図るとともに、2024年度から組織再編やオフィス改革(2026年春頃まで)を実施している。 このため、新体制下で引き続き、PDCAサイクルを基本とした情報セキュリティマネジメントシステムを維持するために、2025年度からの３年間にわたり発注者のISMS活動を支援し、ISMS認証の維持継続を目指す。 発注者の状況を踏まえた的確でタイムリーな支援を得るため、専門的な知見とノウハウを持ち、情報セキュリティ管理及び技術の専門家を有する事業者(受注者)から支援を受けることとする。 なお、発注者は国立研究開発法人として「政府機関等のサイバーセキュリティ対策のための統一基準群」に準拠した情報セキュリティ管理規程を整備したうえで、ISMS規格に準拠するための施策を行っている。 ３．業務の概要受注者は、発注者が整備しているISMS文書に基づき、発注者が実施するISMS推進活動の各プロセスにおいて、必要な助言及び作業支援を行うこと。 なお、発注者が現在保持しているISMS認証は以下のとおり。 (１)認証登録番号：IC22J0547(２)有効期限：2025年12月14日４．履行期間契約締結日から2028年3月31日まで５．認証対象範囲2025年2月1日時点における、ISMS認証の対象範囲は以下のとおり。 ただし、法令等の改正又は発注者の都合により、業務プロセスの変更、組織改正等が発生した場合は、変更部分に対する審査工数が加算される可能性がある。 (１)審査対象組織審査対象組織は、発注者のホームページ「組織図」(2024年7月1日以降)に示される、海外事務所を除く全ての部門。 なお、入札時点の組織図は別図に示すとおり。 (２)審査対象者「５．(１)審査対象組織」における職員とし、詳細については発注者のISMS事務局員と調整3すること。 (３)審査対象人数約1,700名(４)審査対象場所(ａ)本部神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー(ｂ)NEDO分室東京都千代田区霞が関一丁目4番2号 大同生命霞が関ビル(ｃ)革新蓄電池開発センター京都府宇治市五ケ庄 京都大学宇治地区キャンパス 先端イノベーション拠点施設309号室６．ISMS支援業務管理要件(１)支援業務計画書の作成受注者は、本業務開始から発注者の５営業日以内に2025年度分の「ISMS支援業務計画書」(案)を作成し、発注者に提出し、発注者の了承を得ること。 「ISMS支援業務計画書」(案)においては、業務責任者、業務管理者、その他各チームの役割、作業分担等を明記した支援体制図及び秘密保持体制の案を包含すること。 また、具体的なリスク、課題管理方法を含む支援業務管理要領の案を包含すること。 なお、2026年度及び2027年度分の「ISMS支援業務計画書」(案)については、発注者が作成した ISMS推進計画を受領した日から５営業日以内に、「ISMS支援業務計画書」(案)を作成し、発注者に提出し、発注者の了承を得ること。 加えて支援体制には、ISMS主任審査員、ISMS審査員又は ISMS審査員補の資格を持つ要員を1名以上含むこと。 また、その他の要員は全て、以下の資格のうち1つ以上を保持していること、または同等のスキル及び経験を有することを提示すること。 (ａ)ISMS主任審査員、ISMS審査員又はISMS審査員補(ｂ)情報処理安全確保支援士(ｃ)CISSP(ｄ)公認情報セキュリティ監査人又は情報セキュリティ監査人補(ｅ)情報セキュリティスペシャリスト(ｆ)CompTIA Security＋(２)会議体等(ａ)月1回(原則、第3又は第4水曜日午後)、全体のとりまとめを行う発注者のISMS事務局を構成する職員(以下「ISMS事務局員」という。)及び部門内の ISMS推進担当となる職員(以下「ISMS推進担当者」という。)が出席するISMS推進WGに参加すること。 また、リスク分析手順解説等専門知識を要する議事内容の説明、出席者からの質問に対する回答等の ISMS 事務局員のサポート等を行うこと。 4(ｂ)ISMS推進WGの議事内容及び資料、研修・内部監査等の計画及び資料等、その他課題等について検討するため、月2回程度、ISMS事務局員とのISMS事務局打合せに参加すること。 また、当該打合せの議事録を作成すること。 議事録は打合せ開催後、1週間以内に発注者に提出し、発注者の了承を得ること。 (ｃ)発注者から要請がある場合、発注者が開催する臨時の会議体へ参加すること。 上記会議体は原則として以下の場所において対面で行う。 なお、場合によってはオンライン会議を実施する場合もある。 神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー国立研究開発法人新エネルギー・産業技術総合開発機構(３)その他ISMS支援業務管理要件(ａ)電子メールを本支援業務で使用する場合は、電子メールを識別するため、ISMS支援業務計画書でメール送受信ルールを規定すること。 電子メールを利用して電子ファイルを送付又は受領する場合は、パスワードにより暗号化した圧縮形式のファイル(ZIP)又は発注者が用意するファイル転送用ストレージサービスを用いること。 パスワードについては発注者と協議のうえ別途決定すること。 また、電話によるコミュニケーションについては、別途電子メール又は文書を用いて決定事項等を記録し、共有すること。 (ｂ)送付又は受領した資料等については授受管理表を作成すること。 業務終了後は受領した資料等を確実に消去又は廃棄し、発注者に報告すること。 ７．業務内容(2025年～2027度業務)(１)支援業務計画書の策定受注者は、年度毎に「ISMS支援業務計画書」(案)を作成し、発注者の了承を得ること。 計画内容には、発注者が作成したISMS推進計画に沿って作業時期及び工数(目安)を記載すること。 計画書の詳細については、「６．(１)支援業務計画書の作成」を参照のこと。 (２)ISMS文書及び関連する規程、法令等の把握受注者は、発注者が現在までに整備したISMS活動に係る文書を確認し、必要な助言及び作業支援を行うための情報を収集、整理すること。 また、発注者は公的機関として、内閣サイバーセキュリティセンターが発行する「政府機関等のサイバーセキュリティ対策のための統一基準群」に準拠する情報セキュリティ関連規程を整備する必要があり、ISMS文書は規程類の細則として整備していることを踏まえ、統一基準及び関連する法令等についても、内容を把握すること。 (３)現状確認及びリスク分析プロセスにおける作業内容の解説、並びに助言及び作業支援受注者は、「５．認証対象範囲」に示す ISMS 対象範囲において、ISMS事務局員及び ISMS推進担当者が情報セキュリティに係る現状確認及びリスク分析を行うにあたり、ISMS事務局員及びISMS推進担当者に対してリスク分析プロセスの解説を行うこと。 また、分析結果に対する助言及びISMS事務局員の作業支援を行うこと。 ただし、2025年度分については、契約開始時期を鑑みリスク分析プロセスの支援は行なわない。 5(４)リスク対応計画・その他計画の立案に対する助言及び作業支援受注者は、発注者がリスク分析結果に基づきリスク対応計画を作成するにあたり、必要な助言及び作業支援を行うこと。 また、情報セキュリティ目標、有効性測定等のPlanフェーズで作成する各種計画に対して、必要な助言及び作業支援を行うこと。 (５)ISMS研修に関する助言及び作業支援受注者は、発注者が計画する以下のISMSに関する研修において、内容の検討に対する支援、研修資料案作成、研修実施及び講師用原稿の作成を行うこと。 (ａ)ISMS対象範囲全職員向けISMS研修最新のセキュリティ事件事故事例、ISMS活動の概要等の知識を得ることを目的としたeラーニング用の研修資料(理解度確認テスト5問程度を含む)を作成すること。 また、一斉研修終了後の新規入構者には動画形式で研修を実施するため、研修資料には講師用原稿を含めること(講師は発注者の職員が務める)。 (ｂ)ISMS内部監査員養成研修ISMS内部監査員候補者に対して、内部監査員として必要な力量を得ることを目的とした集合形式の研修資料(講師用原稿を含む)を作成し、受注者は講師を務めること。 研修は基礎編及び応用編の 2 部構成とし、基礎編は自習、応用編は原則対面開催とし合計 5 回(1.5 時間程度／回)実施すること。 実施時期は発注者と協議すること。 (ｃ)ISMS事務局向け研修ISMS事務局員に対して、事務局として必要な知識を得ることを目的とした集合形式の研修資料(講師用原稿を含む)を作成し、受注者は講師を務めること。 研修は年1回1時間程度とし、実施時期は発注者と協議すること。 全ての研修資料案は、発注者が過去に実施した研修内容を踏襲したオリジナルの内容とし、発注者が作成する研修実施計画に合わせて、研修実施の 2 週間前までに発注者に提出し、発注者の了承を得ること。 (６)ISMS内部監査実施に関する助言及び作業支援受注者は、発注者が計画するISMS内部監査(年1回)において、監査計画に対する助言、監査で使用するチェックシート改訂等の作業支援、監査員として全ての監査への参加及び監査結果に対する助言を行うこと。 また、監査終了後に実施する「ISMS内部監査報告会」の資料作成に対し助言を行い、ISMS事務局員の作業支援を行うこと。 なお、ISMS内部監査は以下の実施内容を予定している。 ・国内拠点19部門及び ISMS事務局の計20部門を対象とする。 ただし、総務部については、情報システム部門を別途、実施することとする。 ・監査にかかる時間は以下を想定している。 ISMS事務局及び総務部の情報システムを管轄する部門…3.5時間以内「５．(４)審査対象場所」に示す(ｂ)及び(ｃ)…1時間以内その他の部門…2.5時間以内・7月後半～9月上旬に実施する。 ・同時に最大 2 部門を実施し、午前１部門、午後２部門ずつ、1 日最大６部門の実施を可能とす6る。 (７)ISMS外部審査(2025年度のみ更新審査)に関する助言及び作業支援受注者は、発注者が ISMS 審査登録機関から審査を受ける際にオブザーバーとし全ての審査に同席し、審査内容の記録、指摘内容への助言と、審査準備等の作業支援を行うこと。 なお、現時点で2025年度の外部審査(更新審査)について、発注者が想定している審査工数等は以下のとおり。 ・実施時期：10月中旬・審査工数：5日間 × 審査員3名(更新審査)・審査場所：「５．(４)審査対象場所」に記載のとおり。 2026年度及び2027年度の外部審査(サーベイランス審査)の審査工数等は2年合計で2025年度相当の審査が行われることを前提として対応すること。 なお、外部審査会社の都合により、審査工数は変動する可能性がある。 (８)課題・不適合等発生時の助言及び作業支援ISMS内部監査、外部審査及びその他の活動にて発生した課題及び不適合の対応において、原因分析及び是正処置等に対する助言を行い、ISMS事務局員の作業支援を行うこと。 (９)ISMS文書等の作成、改訂等に関する助言及び作業支援課題及び不適合への対応として発生する、又は定期的に発生するISMS文書の作成、改訂等の作業に対する助言を行い、ISMS事務局員の作業支援を行うこと。 (１０)今後の活動に向けた助言又は提言の提供専門家としての観点から、今後考慮すべき管理策、改訂すべきルール、ISMS推進活動全体に対する懸念等と、それに対する対策案としての助言又は提言を提示すること。 (１１)支援業務実施報告書の作成2025年度及び2026年度分の実施分については、本業務の実施分の内容をまとめた「ISMS支援業務年度末実施報告書」を作成し、発注者に報告し、発注者の了承を得ること。 また、2027年度分の実施分については、本業務の2025年度～2027年度全ての実施分の内容をまとめた「ISMS支援業務実施報告書」を作成し、発注者に報告し、発注者の了承を得ること。 実施報告書には実施した業務内容、作成した資料等及び業務ごとの作業工数を含むものとする。 ８．納入成果物等(１)納入成果物及び納入期限以下の「表1 納入成果物一覧」に示す提出書類一式を作成し、納入すること。 表 1 納入成果物一覧項番 納入成果物 掲載場所 納入期限※1 議事録 ６．(２)(ｂ) 打合せ終了後1週間以内2 ISMS支援業務計画書７．(１)支援業務計画書の策定・2025年度分：2025年6月30日・2026年度分：2026年4月30日・2027年度分：2027年4月30日3 ISMS 支援業務年度末実施 ７．(１１)支援業務実施報告 ・2025年度分：2026年3月31日7報告書 書の作成 ・2026年度分：2027年3月31日４ ISMS支援業務実施報告書７．(１１)支援業務実施報告書の作成・2025年度～2027年度分：2028年3月31日※項番３及び４は納入期日とする。 (２)納入方法納入成果物を納入する際は以下の条件を満たすこと。 (ａ)全ての納入成果物は、改ざんできない電子ファイル及び書面を各1部ずつ納入すること。 (ｂ)全ての納入成果物は、日本語で記載すること。 ただし、固有名詞については日本語以外での記載も可とする。 また、専門用語には説明を付すこと。 (ｃ)書面はA4判(A3判を用いる場合は、織り込んでA4判に収まる形態)とすること。 (ｄ)電子媒体のデータの形式は、PDF形式及びMicrosoft365で扱える形式とし、電子ファイルの場合はＣＤ-Ｒ等に格納したもの、またはメールその他の電磁的通信手段にて納品すること。 (３)納入場所神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー国立研究開発法人新エネルギー・産業技術総合開発機構 法務部９．情報管理体制(１)受注者は、本業務で知り得た情報を適切に管理するため、次の履行体制を確保し、発注者に対し「情報取扱者名簿」(氏名、所属部署、役職、国籍等が記載されたもの)及び「情報管理体制図」(情報セキュリティを確保するための体制を定めた書面)を契約前に提出し、発注者の同意を得ること。 また、情報取扱者の個人住所、生年月日、パスポート番号を発注者から求められた場合は速やかに提出すること。 なお、情報取扱者は、本業務の遂行のために最低限必要な範囲で設定すること。 (確保すべき履行体制)契約を履行する一環として受注者が収集、整理、作成等を行った一切の情報が、発注者が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること。 (２)本業務で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならない。 併せて授受管理表に基づき、受領した資料等を確実に消去又は廃棄し、発注者に報告すること。 １２．その他(１)受注者は発注者の情報セキュリティ管理規程等を遵守すること。 (２)受注者は、本業務の実施にあたり、情報に対する不正アクセス、情報漏えい及び改ざんを防止するため、機密性、完全性及び可用性の観点で対策を行うこと。 (３)契約期間中及び契約期間終了後において、本業務により知り得た発注者の関連文書や対象システムの情報等については、受注者が適切に管理し、いかなる場合においても他者には漏えいしないこと。 また、本業務以外の目的に使用しないこと。 (４)実施責任者は、全体計画書に基づく進ちょく状況について常に把握し、発注者からの問合せに対し、迅速に対応できるようにすること。 (５)発注者の職員と日本語でコミュニケーションが可能で、かつ、良好な関係が保てること。 (６)本業務の実施に伴い発生する交通費、印刷費、通信費等については本調達の範囲内とする。 (７)本業務の実施に際しては、発注者の関係部門の通常業務に支障を来さないよう十分留意のうえ実施すること。 (８)受注者が適格請求書発行事業者である場合、発注者に対し適格請求書を交付すること。 (９)本業務の実施にあたり、疑義を生じた場合又は本仕様書に記載のない事項については、発注者と協議のうえ解決すること。 9(別図)組織図(2024年７月１日現在) 1入札公告2025年4月10日国立研究開発法人新エネルギー・産業技術総合開発機構契約担当職理事 吉岡 正嗣次のとおり一般競争入札(最低価格落札方式)に付します。 1. 競争入札に付する事項(1) 件名国際規格ISO/IEC27001認証維持に係る支援業務(2) 仕様等入札説明書によります。 (3) 履行期間契約締結日から2028年3月31日まで(4) 入札方法入札金額は総価で行います。 なお、本件については入札の際に適合証明書を提出し、適合審査を受けなければなりません。 落札決定に当たっては、入札書に記載された金額に当該金額の 100 分の 10 に相当する額を加算した金額(当該金額に1円未満の端数があるときは、その端数金額を切り捨てるものとする。)をもって落札価格としますので、入札者は消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった金額の110分の100に相当する金額を入札書に記載してください。 ただし、その金額に1円未満の端数があるときは、その端数金額を切り捨てるものとします。 2. 競争参加資格(1) 当該契約を締結する能力を有しない者及び破産者で復権を得ない者は競争参加資格を有しません。 (2) 次の各号のいずれかに該当し、かつ、その事実があった後 2 年を経過していない者は競争参加資格を有しません(これを代理人、支配人、その他の使用人として使用する者についても同様とする。)。 (a) 契約の履行に当たり故意に工事若しくは製造等を粗雑にし、又は物件の品質若しくは数量に関し2て不正の行為をした者。 (b) 公正な競争の執行を妨げた者又は公正な価格を害し若しくは不正の利益を得るために連合した者。 (c) 落札者が契約を結ぶこと又は契約者が契約を履行することを妨げた者。 (d) 監督又は検査の実施に当たり職員の職務の執行を妨げた者。 (e) 正当な事由がなくて契約を履行しなかった者。 (f) 競争に参加するための手続又は契約の履行に関する手続に際し、虚偽の申告をした者。 (g) 前各号のいずれかに該当する事実があった後2年を経過しない者を、契約の履行に当たり代理人、支配人、その他の使用人として使用した者。 (3) 令和07・08・09年度の国の競争参加資格(全省庁統一資格)において「役務の提供等」の「A」、「B」又は「C」等級に格付けされている者であること。 (4) 提出した適合証明書が当機構により採用し得ると判断された者であること。 (5) 入札説明会に参加した者であること。 (6) 各省各庁、政府関係法人等からの補助金交付等停止措置又は指名停止措置が講じられている者ではないこと。 3. 契約条項を示す場所等(1) 契約条項を示す場所等(a) 契約条項を示す場所神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー国立研究開発法人新エネルギー・産業技術総合開発機構(b) 入札説明書の交付入札説明書は入札説明会参加希望者に対して交付します。 (c) 入札説明会当該業務の内容、入札に当たっての具体的な手続、提出する書面等について説明会をオンライン(Microsoft Teams)で開催しますので、説明の内容を理解できる方の御参加をお願いします。 説明会は日本語で行います。 参加希望者は、申込期限までに以下のURLから会社名、参加者の氏名、E-mail アドレス及び携帯電話番号を御登録ください。 御登録いただいた方に、専用のリンク及びIDを送付します。 参加者は各社２名以内とします。 なお、途中参加は認められません。 また、申込期限までに以下のURLから入札説明書をダウンロードください。 開催日時: 2025年4月17日(木)11時参加登録URL: https://app23.infoc.nedo.go.jp/qa/enquetes/xdd8wvsllnwe申込期限: 2025年4月16日(水)12時3(2) 入札書・適合証明書等の提出期限及び提出先2025年5月12日(月)12時必着(郵送・持参共通)〒212-8554神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー国立研究開発法人新エネルギー・産業技術総合開発機構 法務部調達契約課 竹田郵送の場合は書留、特定記録等の記録の残る方法に限ります。 持参の場合は 16 階「総合案内」で受付を行い、指示に従ってください。 「総合案内」の受付時間は10時から17時まで(12時から13時まで、土曜日、日曜日、国民の祝日を除く。)とします。 (3) 開札の日時及び場所2025年5月20日(火)11時神奈川県川崎市幸区大宮町1310番 ミューザ川崎セントラルタワー16階国立研究開発法人新エネルギー・産業技術総合開発機構 会議室Aただし、公正な競争性を確保できないと判断された場合は、開札を延期又は中止とすることがあります。 4. その他(1) 入札保証金及び契約保証金全額免除(2) 入札の無効本公告に示した競争参加資格のない者による入札及び入札に関する条件に違反した入札。 (3) 契約書作成の要否要(4) 落札者の決定方法有効な入札を行った者のうち、当機構の作成した予定価格の制限の範囲内で最低価格をもって入札した者を落札者とします。 ただし、落札者となるべき者の入札価格によっては、その者により当該契約の内容に適合した履行がなされないおそれがあると認められるとき、又はその者と契約することが公正な取引の秩序を乱すこととなるおそれがあって著しく不適当であると認められるときは、予定価格の制限の範囲内の価格をもって入札した他の者のうち、最低価格をもって入札した者を落札者とすることがあります。 (5) 問合せ先問合せはE-mail で受け付けます。 E-mailには入札件名、会社名、氏名、電話番号、E-mailアドレスを明記してください。 (a) 入札・契約等に関する問合せ4件名: 【問合せ】国際規格ISO/IEC27001認証維持に係る支援業務宛先: 法務部調達契約課 竹田E-mail: keiyakuka_tender@ml.nedo.go.jp(b) 仕様・適合証明書等に関する問合せ件名: 【問合せ】国際規格ISO/IEC27001認証維持に係る支援業務宛先: 法務部ISMS課 木村、島田、高島E-mail: info-kikaku@nedo.go.jp(c) 問合せ期限2025年4月30日(水)12時(6) 契約に係る情報の公表「独立行政法人の事務・事業の見直しの基本方針」(平成22年12月7日閣議決定)において、独立行政法人と一定の関係を有する法人と契約をする場合には、当該法人への再就職の状況、当該法人との間の取引等の状況について情報を公開するなどの取組を進めるとされているところです。 本入札の落札者については、当機構との関係に係る情報を当機構のホームページで公表します。 詳細については、以下のURLを御参照ください。 https://www.nedo.go.jp/content/100431960.pdfまた、本入札の件名、落札者の商号又は名称、住所、落札金額又は契約金額、入札方法及びその他必要な事項について、別途、当機構のホームページで公表します。 これらの公表事項については、本入札への応札又は応募をもって同意されたものとみなします。 (7) NEDO公式X(旧Twitter)の御案内入札情報に関するお知らせはNEDO公式 X(旧Twitter)で随時発信しています。 是非フォローいただき、御活用ください。 https://www.nedo.go.jp/nedomail/index.html