FY2026 Study of Industrial Cybersecurity Policy Frameworks

【取得文書: public-notice__（施行文）（資料番号１）_公告・公募書類_r4.pdf】R8-O3区分：総合評価落札方式入札件名：令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（先端技術の発展を踏まえたサイバーセキュリティ制度の在り方に関する調査等）本件に係る資料は、以下記載の資料番号１～１６から構成されており、紙配付は行っていないため、調達ポータルサイト及び経済産業省ホームページから必ずダウンロードすること。なお、入札説明会に参加の際は、各自、持参すること。【調達ポータルサイトからダウンロードする資料】資料番号資料名１ 入札公告２仕様書３ 評価項目一覧４契約書案【経済産業省ホームページ（※）からダウンロードする資料】資料番号資料名経済産業省入札心得（総合評価落札方式電子調達システム対応版）６予算決算及び会計令（抜粋）７応札資料作成要領８評価手順書（加算方式）【委託事業の場合】９ （様式１）質問状１０ （様式２）入札参加表明書【電子入札の場合】１１ （様式３）入札書［紙による入札の場合］１２ （様式４）理由書［紙による入札の場合］１３ （様式５）委任状［紙による入札の場合］１４ （様式６）提案書ひな型１５ （様式７）見積書(様式８)従業員への賃金引き上げ計画の表明書【表明する意思がある場合】（中小企業等）※https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogoR8-O3（資料番号１）入札公告次のとおり一般競争入札に付す。本公告に基づく入札については、関係法令、経済産業省入札心得（資料番号５、以下「入札心得」という。）及び電子調達システムを利用する場合における「調達ポータル・電 子 調 達 シ ス テ ム 利 用 規 約」 （ https://www.p-portal.go.jp/pps-web-biz/resources/app/pdf/riyoukiyaku.pdf）に定めるもののほか下記に定めるところによる。また、入開札手続は、原則、電子調達システムを利用するものとし、システム障害等が発生し電子調達システムが利用できない場合には、別途通知する日時に変更する場合がある。令和８年９月２９日支出負担行為担当官経済産業省大臣官房会計課長玉井優子１．競争入札に付する事項（１） 件名令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（先端技術の発展を踏まえたサイバーセキュリティ制度の在り方に関する調査等）（２）仕様、履行期限及び納入場所等別紙仕様書（資料番号２）のとおり。（３）入札方法入札金額は、本件に関する総価で行う。なお、本件については入札に併せて提案書を提出し、技術審査を受けなければならない。落札決定に当たっては、入札書に記載された金額に当該金額の１０パーセントに相当する額を加算した金額（当該金額に１円未満の端数が生じたときは、その端数金額を切り捨てるものとする。）をもって落札価格とするので、入札者は消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約金額の１１０分の１００に相当する金額を入札書に記載すること。２．競争参加資格（１）予算決算及び会計令（資料番号６、以下「予決令」という。）第７０条及び第７１条の規定に該当しない者であること。なお、未成年者、被保佐人又は被補助人であって、契約締結のために必要な同意を得ている者は、予決令第７０条中、特別の理由がある場合に該当する。（２）令和７・８・９年度経済産業省競争参加資格　（全省庁統一資格）「役務の提供等」の「Ａ」、「Ｂ」、「Ｃ」又は「Ｄ」の等級に格付されている者であること。（３）経済産業省からの補助金交付等停止措置又は指名停止措置が講じられている者ではないこと。（４）過去３年以内に情報管理の不備を理由に経済産業省との契約を解除されている者ではないこと。R8-O3３．契約条項を示す場所等（１）契約条項を示す場所資料番号１～１６のとおり。本件に係る資料は以下の方法により入手することとし、入札説明会等での紙配付は行わないので注意すること。ア．表紙及び資料番号１～４調達ポータルサイトの「調達情報の検索調達種別の選択」から「一般競争入札の入札公示（ＷＴＯ対象外）」を選択し、必要な情報を入力又は選択し本件を検索の上、本件の「調達資料」を必ずダウンロードすること。https://www.p-portal.go.jp/pps-web-biz/UAA01/OAA0101イ．資料番号５～１６経済産業省ホームページから必ずダウンロードすること。https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo（２）入札説明会の日時及び場所以下日時に「Microsoft Teams」を用いて行うので、本説明書末尾に記載の担当者に対し、連絡先（社名、担当者氏名、電話番号、メールアドレス）を令和８年１０月５日（月）８時００分までに登録すること。（事前にテスト連絡をさせていただく場合がある。）「Microsoft Teams」が利用できない場合は、概要を共有するのでその旨を連絡するとともに連絡先を登録すること。令和８年１０月５日（月）１０時００分（３）質問期限令和８年１０月１３日（火）１２時００分仕様書、提案書、評価項目一覧表等について質問等がある場合は、本公告末尾に記載の連絡先へ、様式１ 質問状（資料番号９）へ記載し、メールにて提出すること。なお、電子調達システムを使用しての質問は不可とする。（４）提案書等・入札書の提出期限、提出場所及び提出方法等ア．提案書等・入札書の提出期限令和８年１０月２１日（水）１２時００分イ．提案書等の提出場所及び提出方法提案書等の提出は、原則、本公告末尾に記載の連絡先へ、以下に示す提案書等の資料をメールで提出すること。（容量が10MBを超過する場合は分割して提出すること。）なお、電子調達システムを使用しての提出は無効とする場合があります。・提案書・評価項目一覧（資料番号３）の提案書ページ番号欄に必要事項を記入したもの・従業員への賃金引上げ計画の表明書（様式８(資料１６)）（表明する意思がある者のみ提出すること）・令和７・８・９年度競争参加資格　審査結果通知書（全省庁統一）の写しウ．入札書の提出場所及び提出方法入札書の提出は、以下の方法のみであり、メール等その他の方法による場合は無効とします。【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、まず「証明書・提案書等提出」画面にて様式２入札参加表明書（資料番号１０、以下「表明書」という。）を提出し、次に「入札（見積）書提出」画面にて必要情報を入力し、「入札書提出内容確認」画面にて入札内容を確認し、「提出」ボタンを押下すること。※電子調達システムにより入札書を提出するためには、先に「証明書・提案書等提出」画面R8-O3にて表明書を提出しなければならないことに注意する。※「内訳書」ボタンは原則利用しないこと。【紙による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、本公告末尾に記載の連絡先へ、様式３ 入札書（資料番号１１）及び様式４理由書（資料番号１２）を紙により提出（持参）すること。※入札書を入れる封筒には入札書のみを入れ、密封し、その封筒の表に入札者の氏名（法人の場合はその名称又は商号）及び件名を記載して提出すること。提案書等の他の資料は同封しない。エ．留意点・代理人による入札の場合、電子調達システムにより入札書を提出する者は同システムで定める委任手続を行い、紙により入札書を提出する者は様式５委任状（資料番号１３）を提出すること。・提案書等は、応札資料作成要領（資料番号７）及び様式６ 提案書ひな型（資料番号１４）を確認の上作成すること。・提出した提案書等・入札書は、変更及び取消しをすることができず、また、返却は行わない。・提案書等の作成に要する費用は入札者の負担とする。・提出した提案書等について経済産業省から説明を求められた場合は、入札者の責任において速やかに説明しなければならない。・提案書等は、本入札に関する審査以外の目的には使用しない。（５）入札者による提案書等の説明（プレゼンテーション）プレゼンテーションは実施しない。（６）開札の日時及び場所令和８年１０月２３日（金）１７時００分経済産業省大臣官房会計課入札室（本館１階財務省側入館ゲート外）開札を行った結果、予定価格の制限に達した価格の入札がないときは、直ちに再度の入札を行う。その場合、紙により入札書を提出した者は上記の開札場所において、電子調達システムにより入札書を提出した者は同システムにおいて再度の入札を行うこと。なお、再度入札の提出期限までに入札のない場合は、再度入札を辞退したものとみなす。※電子調達システムにより入札書を提出した者は、同システムの『入札（見積、落札）状況確認』画面及び『開札結果確認』画面にて、開札の状況を確認できる。（７）電子調達システムの利用　範囲電子調達システムは、上記（４）ウ．入札書の提出場所及び提出方法並びに（６）開札の日時及び場所のみ利用するものとし、それ以外の機能については利用不可とする。４．入札の無効入札心得第１１条に該当する入札は無効とする。５．落札者の決定方法入札心得第１４条から第１６条に基づき落札者を決定する。なお、総合評価点の点数配分は以下のとおり。評価方法の詳細については評価手順書（加算方式）（資料番号８）を参照のこと。総合評価点＝技術点（２００点）＋価格点（１００点）６．入札保証金及び契約保証金　全額免除R8-O3７．見積書及び契約書等（１）見積書の提出落札者は、見積書及び単価設定の根拠資料を直ちに提出すること。作成に当たっては、様式７見積書（資料番号１５）を参考とすること。（２）契約書落札者は、契約書案（資料番号４）をもとに契約を締結することとなるため、契約条項の内容を承知の上入札すること。落札者に対して、電子調達システムを利用した電子契約締結の可否（否の場合その理由の回答を含む。）を確認する場合があるので、承知の上入札すること。○概算契約書https://www.meti.go.jp/information_2/downloadfiles/r8gaisan-1_format.pdf（３）再委託費率が５０％を超える場合提案書等において再委託費率が５０％を超える理由書を添付した場合には、経済産業省で再委託内容の適切性などを確認し、落札者に対して、契約締結までに履行体制を含め再委託内容の見直しを指示する場合がある。なお、本事業は再委託費率が高くなる傾向となる事業類型には該当しないため、個別事業の事情に応じて適切性を確認する。＜事業類型＞Ⅰ．多数の事業者を管理し、その成果を取りまとめる事業（主に海外法人等を活用した標準化や実証事業の取りまとめ事業）Ⅱ．現地・現場での作業に要する工数の割合が高い事業（主に海外の展示会出展支援やシステム開発事業）Ⅲ．多数の事業者の協力が必要となるオープン・イノベーション事業（主に特定分野における専門性が極めて高い事業）８．支払の条件契約代金は、契約書記載の条件により、適法な支払請求書を受理した日から３０日以内に支払うものとする。９．その他（１）本事業の事務処理・経理処理については、「委託事業事務処理マニュアル」に従って処理することとなるため、内容を承知の上入札すること。○委託事業事務処理マニュアル（Ｒ３．１）https://www.meti.go.jp/information_2/publicoffer/jimusyori_manual.htmlなお、「委託事業事務処理マニュアル」上で明示している、本事業における再委託を禁止している「事業全体の企画及び立案並びに根幹に関わる執行管理業務」については以下の通り。【事業全体の企画及び立案並びに根幹に関わる執行管理業務】・事業内容の決定（実施手段・方法、対象者、スケジュール、実施体制）・再委託・外注先の業務執行管理（再委託・外注内容の決定、進捗状況の管理方法及び確認、成果及び結果のとりまとめ方法、とりまとめ）・調査報告書の構成及び作成、再委託・外注先の内容とりまとめ（２）本入札では、中小企業等が、「給与総額」を対前年度（又は対前年）に比べ増加率２．５％以上とする旨を様式８(資料１６)により表明した（※１）場合、加点することとしている。また、様式８R8-O3（資料１６）で表明した賃上げが実行されているか、事業年度等終了後、「法人事業概況説明書」等により確認することとしているため、確認のため必要な書類は速やかに本公告末尾に記載の担当者へ提出すること。なお、確認の結果、表明した賃上げが実行されていない場合等においては、当該事実判明後の総合評価落札方式において所定の点数を減点するものとする。詳細は様式８（資料１６）裏面の（留意事項）を確認すること。※１対前年度又は対前年のいずれかを選択して表明すること。当該選択に応じて表明に用いる様式が異なるので留意すること。注）「様式８（資料１６）」は賃金引上げ計画の表明書（別紙１）を指します。（３）委託費を不正に使用した疑いがある場合には、経済産業省より落札者に対し必要に応じて現地調査等を実施する。また、事業に係る取引先（再委託先、外注（請負）先以降も含む）に対しても、必要に応じ現地調査等を実施するため、あらかじめ落札者から取引先に対して現地調査が可能となるよう措置を講じておくこと。調査の結果、不正行為が認められたときは、当該委託事業に係る契約の取消しを行うとともに、経済産業省から新たな補助金の交付と契約の締結を一定期間（最大３６か月）行わないこと等の措置を執るとともに当該事業者の名称及び不正の内容を公表する。具体的な措置要領は、以下のURLの通り。https://www.meti.go.jp/information_2/publicoffer/shimeiteishi.html（４）「ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議」（令和５年４月３日決定）において、政府の実施する公共調達においては、入札する企業における人権尊重の確保に努めるとされたことを受け、当該事業の落札者に対しては「責任あるサプライチェーン等における人権尊重のためのガイドライン」（令和４年９月１３日ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議決定）を踏まえて人権尊重に取り組むよう努めることを求めている。当該ガイドラインの内容を承知の上で、入札をすること。https://www.meti.go.jp/files/900012240.pdf（５）提案書及び委託契約書の規定に基づき提出された実績報告書等については、「行政機関の保有する情報の公開に関する法律」（平成１１年５月１４日法律第４２号）に基づき、不開示情報（個人情報及び法人等又は個人の権利、競争上の地位その他正当な利益を害するおそれがあるもの等）を除いて、情報公開の対象となる。なお、開示請求があった場合は、以下に掲げる書類は調整を行わずとも原則開示とし、その他の書類の不開示とする情報の範囲について経済産業省との調整を経て決定することとする。○原則開示とする書類・提案書等に添付された「再委託費率が５０％を超える理由書」※不開示情報に該当すると想定される情報が含まれる場合は、当該部分を別紙として分けて作成すること。別紙について開示請求があった場合には、不開示とする情報の範囲については経済産業省と調整を経て決定することとする。（６）入札・契約金額については、労務費等上昇に適切に対応するため、以下の措置を実施する。ア．人件費単価について、「委託事業事務処理マニュアル」３．人件費に関する経理処理に記載している手法に応じて以下のとおり計上してもよい。・「健保等級単価計算」「実績単価計算」「コスト実績単価計算」を用いる場合、労務費等の上昇見込みが確認できる適切な根拠1を契約締結時に提示することを条件とし、当該上昇を見込んだ単価で計上することができる。なお、当該上昇を見込んだ場合においても、確定時には事業期間中の実績等1積算方法等については中小企業庁が公表している価格交渉・転嫁の支援ツール（https://www.chusho.meti.go.jp/keiei/torihiki/shien_tool.html）、公正取引委員会が公表している労務費の適切な転嫁のための価格交渉に関する指針（https://www.jftc.go.jp/dk/guideline/unyoukijun/romuhitenka.html）を参照すること。R8-O3に応じた人件費単価を決定する。・「受託単価計算」を用いる場合、労務費等上昇の影響により受託単価規程等の改定が行われ、改定前の単価では「委託事業事務処理マニュアル」で求める要件※を満たしているが、改定後の単価では満たしていない場合、労務費等上昇の見込みが確認できる適切な根拠1を契約締結時に提示することを条件とし、改定後の単価で計上することができる。なお、確定時において改めて「委託事業事務処理マニュアル」で求める要件を満たしているか確認を行う。要件を満たしていない場合且つ労務費等上昇が行われなかった場合には、人件費単価の見直しなどの減額を行った上で確定する場合がある。※受託単価計算の場合、いずれかを満たすこと。（「委託事業事務処理マニュアル３．人件費に関する経理処理」より抜粋）1)当該単価規程等が公表されていること2)他の官公庁で当該単価の受託実績があること3)官公庁以外で当該単価での複数の受託実績があることイ．経済産業省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。ウ．受託者においては、単年度の契約について、契約締結後の状況変化により金額の見直しが必要となった場合には、計画変更申請を行うことができる。１０．問合せ先（１）電子調達システムに関する照会先（操作方法等）調達ポータル・電子調達システムヘルプデスク電話０５７０－０００－６８３（ナビダイヤル）０３－４３３２－７８０３（ＩＰ電話等を御利用の場合）ＦＡＸ ０１７－７３１－３３５２受付時間平日９時００分～１７時３０分（国民の祝日・休日、１２月２９日から１月３日までの年始年末を除く。）ＵＲＬ https://www.p-portal.go.jp/pps-web-biz/UZA02/OZA0201（２）その他、本件に関する連絡先（提案書等、紙による入札書、質問状等の提出先）〒１００－８９０１東京都千代田区霞が関一丁目３番１号経済産業省商務情報政策局サイバーセキュリティ課（本館３階西３）担当者：薄羽、川井、棚橋電話０３―３５０１―１２５３ （ダイヤルイン）Ｅ－ｍａｉｌ [email protected]【取得文書: specifications__（施行文）（資料番号２）_仕様書_r５(1).pdf】（資料番号２）仕様書１．件名令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（先端技術の発展を踏まえたサイバーセキュリティ制度の在り方に関する調査等）２．事業の背景・目的近年、我が国の企業・組織を取り巻くサイバー脅威は一層高度化・複雑化しており、サイバーセキュリティの確保は、経済社会活動の基盤を支える重要な政策課題となっている。こうした中、経済産業省では、情報セキュリティサービスの品質の維持・向上を図り、利用者が安心してサービスを選定・活用できる環境を整備するため、「情報セキュリティサービス基準」を策定し、当該基準に適合するサービスの審査・登録及びリスト公開を行う「情報セキュリティサービス審査登録制度」を通じて、信頼できる情報セキュリティサービスの普及を推進してきた。一方で、近年、生成ＡＩ、高性能ＡＩ、ＰＱＣ等の先端技術が急速に発展しており、サイバーセキュリティを取り巻く環境は大きな転換点を迎えている。生成ＡＩやＡＩエージェントに関する技術進展により、脆弱性診断をはじめとする情報セキュリティサービスにおいて、従来は高度な専門人材が担っていた分析、判断及び作業の一部が、ＡＩによって補完又は代替される可能性が高まっている。また、高性能ＡＩ等の技術進展により、脆弱性の探索、検証及び悪用コードの生成等が高度化・自動化され、脆弱性の発見から悪用に至るまでの期間が短期化されたり、発見・報告される脆弱性の件数が大幅に増加したりする可能性がある。こうした変化は、脆弱性情報の受付、分析、調整、公表及び対処からなる現行の脆弱性情報ハンドリング体制における処理能力、役割分担及び運用の在り方にも影響を及ぼし得る。このような先端技術の発展を踏まえると、これまで構築してきた情報セキュリティサービス審査登録制度等の制度について、将来的な技術進展及び市場動向に即した形で、制度の対象、評価項目、審査基準等を継続的に見直していく必要がある。あわせて、高性能ＡＩ等の更なる進展を見据え、脆弱性の大量発見・大量報告や、発見から悪用までの期間の短期化にも対応できる持続可能な脆弱性情報ハンドリング体制について、関係主体の役割分担及び連携並びに制度面、運用面、技術面及び人材面から、その将来像を検討する必要がある。本調査では、生成ＡＩ、高性能ＡＩ、ＰＱＣ等の先端技術の進展動向を調査するとともに、これらが情報セキュリティサービスの市場構造及び提供方法に与える影響を整理する。また、高性能ＡＩ技術等の進展が脆弱性の発見、報告、悪用及び対処に与える影響を整理し、国内外における脆弱性情報ハンドリング体制の現状及び課題を分析した上で、我が国における今後の体制の在り方を検討する。これにより、情報セキュリティサービス審査登録制度等の既存制度について、将来的な改良、対象範囲の拡張等の方向性を検討するとともに、高性能ＡＩ等の進展に対応した脆弱性ハンドリング体制の将来像及びその実現に向けた対応の方向性を検討するための基礎資料を得ることを目的とする。３．事業内容本調査では、生成ＡＩ・高性能ＡＩ、ＰＱＣ等の先端技術の進展が、情報セキュリティサービスの市場構造及び提供方法並びに製品・システムのセキュリティ確保に与える影響を整理する。あわせて、技術進展を踏まえた国内既存制度の適用可能性及び課題を検討する。さらに、生成ＡＩ・高性能ＡＩ等の進展により、脆弱性の発見、報告及び悪用が高度化・自動化する可能性を踏まえ、現行の脆弱性情報ハンドリング体制の課題及び将来の在り方を整理する。想定する調査項目、調査対象及び調査方法の例を以下に示す。詳細方法については、サイバーセキュリティ課担当者と協議の上で決定する。（１）情報セキュリティサービスに係る調査等① 情報セキュリティサービス市場の現状及び技術進展による構造変化以下で上げた事項の調査を行う。調査に当たっては、文献調査を基本としつつ、必要に応じて情報セキュリティサービス事業者や情報セキュリティサービス市場に通じる有識者等にヒアリング（２者程度）を実施する。ヒアリングは、オンライン形式で行うこととし、必要に応じて謝金等の支払うこと。 国内の情報セキュリティサービス市場の規模及び構造 サイバーセキュリティ産業振興戦略に掲げる市場規模３兆円の目標との比較及び進捗状況 生成ＡＩ・高性能ＡＩ等の進展に伴う情報セキュリティサービスの市場規模、需要構造、競争環境及び提供形態の変化 先端技術の進展に伴い、新たに創出又は拡大することが見込まれる情報セキュリティサービスの整理② 生成ＡＩ・高性能ＡＩ等を活用した情報セキュリティサービスの実態生成ＡＩ・高性能ＡＩ等を活用して提供される情報セキュリティサービスについて、国内外の事例を調査する。対象とするサービスとしては、以下を想定する。 情報セキュリティ監査サービス 脆弱性診断サービス及びペネトレーションテストサービス デジタルフォレンジックサービス セキュリティ監視・運用サービス 機器検証サービス調査に当たっては、文献調査に加え、対象とする情報セキュリティサービスについて、当該サービスを提供する情報セキュリティサービス事業者等へのヒアリング（各サービスにつき２社～４社程度）を実施する。ヒアリングは、オンライン形式で行うこととし、必要に応じて謝金等を支払うこと。調査結果を踏まえ、特に、以下の観点から、ＡＩの活用がサービスの提供工程、業務実施体制及び品質管理に与える影響を整理する。 サービスの提供工程のうち、ＡＩが補完又は代替する工程及び作業の範囲 ＡＩの活用を前提として整備された業務実施体制及び人員配置 ＡＩの活用に伴い新設又は変更された品質管理基準及び業務手順 ＡＩによる分析、評価又は判断の結果について、その妥当性を確認するための方法及び体制 ＡＩの誤判定、出力の不確実性、機密情報の取扱いその他のＡＩ利用に伴うリスクへの対応 サービスの品質、生産性、提供価格、人材要件等に生じた変化③ 技術進展を踏まえた国内既存制度の適用可能性及び課題①及び②における調査結果を踏まえ、情報セキュリティサービス審査登録制度について、生成ＡＩ・高性能ＡＩ、ＰＱＣ等の技術進展を考慮し、以下の事項を整理する。なお、情報整理に当たって不足する情報がある場合には、必要に応じて文献調査や情報セキュリティサービス事業者・有識者等へのオンライン形式でのヒアリングを行うことし、必要に応じて謝金等の支払いを行うこと。 先端技術の進展を踏まえた新たなサービス類型の創設の必要性及び具体的な分類案（利用者ニーズ含む）及び現行の情報セキュリティサービス審査登録制度におけるサービス分類との比較（現行の制度区分、対象範囲及び評価基準では対応が困難な事項） 制度の対象範囲、サービス分類、評価基準等の見直しの必要性 制度の見直し又は新設に当たって想定される課題及び対応の方向性（２）生成ＡＩ・高性能ＡＩ等の進展を踏まえた脆弱性情報ハンドリング体制の課題及び将来像の検討に係る調査等生成ＡＩ・高性能ＡＩ等の技術進展により、脆弱性の探索、検証、悪用コードの生成等が高度化・自動化され、脆弱性の発見から悪用に至るまでの期間が短期化されたり、発見・報告される脆弱性の件数が増加したりする可能性を踏まえ、国内・諸外国（米国・欧州など）における脆弱性ハンドリング体制の現状及び課題を調査する。調査に当たっては、文献調査に加え、関連事業者や有識者（６者以上）・関係機関（独立行政法人情報処理推進機構（ＩＰＡ）、ＪＰＣＥＲＴ／ＣＣ）を候補にヒアリングを実施する。ヒアリングは、オンライン形式で行うこととし、必要に応じて謝金等の支払うこと。 その上で、脆弱性情報の発見、受付、分析、調整、公表及び対処の各段階において、今後求められる体制、役割分担及び制度的・技術的対応の方向性を整理する。生成ＡＩ・高性能ＡＩ等の技術進展に伴う脆弱性の探索、検証、悪用及び報告等に与える影響、脆弱性の自動探索及び悪用コード生成等の普及に伴う脅威、並びにそれらに対する防御側でのＡＩ活用の可能性 脆弱性情報の大量化・悪用の高速化に対応する持続可能なハンドリング体制、脆弱性の評価方法（真正性、再現性、深刻度及び悪用可能性）や優先順位付けの在り方と課題 脆弱性情報の取り扱いに係る国内外の政府機関やその他組織における取り組みの状況、関係主体（脆弱性情報の発見者、開発者及び提供者、調整機関、政府機関、セキュリティ事業者等）に求められる役割並びに主体間の連携の在り方、脆弱性情報の公表や情報共有、修正プログラムの開発・提供に係る調整の在り方 大量の脆弱性が発見された際、利用者側が迅速かつ適切に対処するための手順及び実施体制、利用者による脆弱性対応を円滑に促進するために求められる情報提供の在り方（３）定例報告事業の進捗を報告する観点から、最低２週間に一度、オンライン（Teamsを想定）にてサイバーセキュリティ課（以下、担当課室という）と３０分程度のオンライン会議を行う。会議終了後、当該会議にて決まった方針及び対応事項等について簡単な議事メモを作成し、当該会議から３営業日を目途に担当課室宛てに電子媒体を送付すること。なお、定例会議に限らず、事業の進捗を報告する観点から、別途オンライン等での会議を行うことは妨げない。（４）調査報告書の作成上記（１）から（３）の内容を踏まえ、調査報告書を作成する。報告書案については事業完了の１か月前までに担当課室へ提出し、内容の確認を受けること。また、修正が必要と判断された場合は、事業完了７日前までに修正版の報告書案を担当課室へ提出し、再度の確認を受けること。（５）その他調査結果、報告資料、議事録（議事概要を含む）等は日本語で作成すること。４．実施期間委託契約締結日から令和９年３月３１日まで５．納入物（１）調査報告書等一式 調査報告書、報告書骨子（様式１）、調査で得られた元データ、委託調査報告書公表用書誌情報（様式２）、二次利用未承諾リスト（様式３）を納入すること。 調査報告書については、ＰＤＦ形式に加え、機械判読可能1な形式のファイルも納入すること。なお、報告書のデータ量が１２８ＭＢ、ページ数が１，０００ページ又は文字数が４００万文字を超過する場合には、いずれの制限も超えないようファイルを分割して提出すること。 調査で得られた元データについては、機械判読可能な形式のファイルで納入することとし、特に図表・グラフに係るデータ（以下「図表等データ」という。）については、構造化されたＥｘｃｅｌやＣＳＶ形式等により納入すること。（２）調査報告書等一式（公表用） 調査報告書及び様式３（該当がある場合のみ）を一つのＰＤＦファイル（透明テキスト付）に統合したもの、並びに公開可能かつ二次利用可能2な図表等データを納入すること。 セキュリティ等の観点から、経済産業省と協議の上、非公開とするべき部分については、特に以下の点に注意し、削除するなどの適切な処置を講ずること。 報告書・Ｅｘｃｅｌデータ等に個人情報や不適切な企業情報が存在しないか。（プロパティの情報も漏れなく確認すること） 報告書（ＰＤＦ）に目視では確認できない埋め込みデータ等が存在しないか。1コンピュータプログラムがデータ構造を識別し、データを処理（加工、編集等）できること。例えばHTML, txt, csv, xhtml, epub,gml, kml等のほか、Word, Excel, PowerPoint等のデータが該当する（スキャンデータのようなものは該当しない）。2営利目的を含む、自由な利用（転載・コピー共有等）を行うこと。 Ｅｘｃｅｌデータ等に目視では確認できない非表示情報が存在しないか。 Ｅｘｃｅｌデータ等に非表示の行・列が存在しないか。 公開可能かつ二次利用可能な図表等データが複数ファイルにわたる場合、１つのフォルダに格納した上で納入すること。 各データのファイル名については、調査報告書の図表名と整合をとること。 図表等データは、オープンデータとして公開されることを前提とし、経済産業省以外の第三者の知的財産権が関与する内容を含まないものとすること。（３）様式１～様式３について （様式１）委託調査報告書骨子3 レイアウト（余白、フォント等）に従い、３枚以内にまとめた上でＷｏｒｄ形式にて納入すること。 図表は挿入せずテキスト形式で作成すること。 見出しについては記載された項目のとおりとすること。 （様式２）委託調査報告書公表用書誌情報4 ファイル形式はＥｘｃｅｌ形式で納入すること。 報告書の英語版や概要版等、公表用の報告書と同一のＰＤＦファイルとすることが適当でない公表用の納入物がある場合には１つのＰＤＦファイルごとに作成すること。 （様式３）二次利用未承諾リスト 調査報告書は、オープンデータ（二次利用可能な状態）として公開されることが前提だが、二次利用の了承を得ることが困難な場合又は了承を得ることが報告書の内容に大きな悪影響を与える場合は、報告書の当該箇所に出典等を明示し、知的財産権の所在を明らかにした上で、当該データを様式３に記載すること（知的財産権の所在が不明なものも含む）。 ファイル形式はＥｘｃｅｌ形式で納入すること。 様式１～３ダウンロード先 委託調査報告書 （METI/経済産業省）６．納入方法 メール提出やファイル交換サイト等の手段を用いること。なお、具体的な納入方法は担当課室と協議の上、決定すること。 公表用資料一式と非公表資料一式が紛れないように整理して納入すること。７．納入場所経済産業省商務情報政策局サイバーセキュリティ課８．情報管理体制3委託調査報告書のデータ利活用を促進するため、報告書の概要を骨子としてまとめるもの。4本事業の報告書のオープンデータとしての公表に際し、データとしての検索性を高めるため、当該データの属性情報に関するデータを作成するもの。① 受託者は本事業で知り得た情報を適切に管理するため、次の履行体制を確保し、発注者に対し「情報セキュリティを確保するための体制を定めた書面（情報管理体制図）」及び「情報取扱者名簿」（氏名、個人住所、生年月日、所属部署、役職等が記載されたもの）様式４を契約前に提出し、担当課室の同意を得ること（住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。）。なお、情報取扱者名簿は、委託業務の遂行のため最低限必要な範囲で情報取扱者を掲載すること。（確保すべき履行体制）契約を履行する一環として契約相手方が収集、整理、作成等した一切の情報が、経済産業省が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること。② 本事業で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならないものとする。ただし、担当課室の承認を得た場合は、この限りではない。③ ①の情報セキュリティを確保するための体制を定めた書面又は情報取扱者名簿に変更がある場合は、あらかじめ担当課室へ届出を行い、同意を得なければならない。９．履行完了後の情報の取扱い国から提供した資料又は国が指定した資料の取扱い（返却・削除等）については、担当課室の職員の指示に従うこと。業務日誌を始めとする経理処理に関する資料については適切に保管すること。１０．情報セキュリティに関する事項業務情報を取り扱う場合又は業務情報を取り扱う情報システムやウェブサイトの構築・運用等を行う場合、別記「情報セキュリティに関する事項」を遵守し、情報セキュリティ対策を実施すること。１１．その他（１）担当課室の担当者に対して、調査等の進捗状況の報告を適宜行うとともに、調査の進め方、調査実施スケジュールについても十分に協議した上で決定する。（２）その他、担当課室の担当者からの本調査及び関連したテーマに関する問合せ等に対してはレポート提出等の対応を行う。（様式４）情報取扱者名簿及び情報管理体制図情報取扱者名簿パスポート①氏名個人住所生年月日所属部署役職番号及び国籍（※４）情報管理責 Ａ任者（※１）情報取扱管 Ｂ理者（※２） Ｃ業務従事者 Ｄ（※３） Ｅ再委託先 Ｆ（※１）受託者としての情報取扱の全ての責任を有する者。必ず明記すること。（※２）本事業の遂行に当たって主に保護すべき情報を取り扱う者ではないが、本事業の進捗状況などの管理を行うもので、保護すべき情報を取り扱う可能性のある者。（※３）本事業の遂行に当たって保護すべき情報を取り扱う可能性のある者。（※４）日本国籍を有する者及び法務大臣から永住の許可を受けた者（入管特例法の「特別永住者」を除く。）以外の者は、パスポート番号等及び国籍を記載。（※５）住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。情報管理体制図（例）②情報取扱者情報管理責任者 AB C情報取扱管理者（進捗状況管理） （経費情報管理）業務従事者 D E再委託先F【情報管理体制図に記載すべき事項】・本事業の遂行に当たって保護すべき情報を取り扱う全ての者。（再委託先も含む。）・本事業の遂行のため最低限必要な範囲で情報取扱者を設定し記載すること。（別記）情報セキュリティに関する事項以下の事項について遵守すること。【情報セキュリティ関連事項の確保体制及び遵守状況の報告】1) 受注者（委託契約の場合には、受託者。以下同じ。）は、契約締結後速やかに、情報セキュリティを確保するための体制並びに以下2)～19)に記載する事項の遵守の方法及び提出を求める情報、書類等（以下「情報セキュリティを確保するための体制等」という。）について、経済産業省（以下「当省」という。）の担当職員（以下「担当職員」という。）に提示し了承を得た上で確認書類として提出すること。ただし、別途契約締結前に、情報セキュリティを確保するための体制等について担当職員に提示し了承を得た上で提出したときは、この限りでない。また、定期的に、情報セキュリティを確保するための体制等及び対策に係る実施状況（「情報セキュリティに関する事項の遵守の方法の実施状況報告書」（別紙））を紙媒体又は電子媒体により報告すること。加えて、これらに変更が生じる場合は、事前に担当職員へ案を提出し、同意を得ること。なお、報告の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。【情報セキュリティ関連規程等の遵守】2) 受注者は、「経済産業省情報セキュリティ管理規程（平成18･03･22シ第1号）」、「経済産業省情報セキュリティ対策基準（平成18･03･24シ第1号）」及び「政府機関等のサイバーセキュリティ対策のための統一基準群（令和７年度版）」(以下「規程等」と総称する。)を遵守すること。また、契約締結時に規程等が改正されている場合は、改正後の規程等を遵守すること。3) 受注者は、当省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行うこと。【情報セキュリティを確保するための体制】4) 受注者は、本業務に従事する者を限定すること。また、受注者の資本関係・役員の情報、本業務の実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示すること。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示すること。5) 受注者は、本業務を再委託（業務の一部を第三者に委託することをいい、外注及び請負を含む。以下同じ。）する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、上記1)から19)までの措置の実施を契約等により再委託先に担保させること。また、1)の確認書類には再委託先に係るものも含むこと。【情報の取扱い】6) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）の取扱いには十分注意を払い、当省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に担当職員の許可を得ること。なお、この場合であっても、担当職員の許可なく複製してはならない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明すること。7) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく当省外で複製してはならない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明すること。8) 受注者は、本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当職員に返却し、又は廃棄し、若しくは消去すること。その際、担当職員の確認を必ず受けること。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。9) 受注者は、契約期間　中及び契約終了後においても、本業務に関して知り得た当省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。なお、当省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供すること。【情報セキュリティに係る対策、教育、侵害時の対処】10) 受注者は、本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約期間中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施すること。11) 受注者は、本業務の遂行において、情報セキュリティが侵害され、又はそのおそれがある場合の対処方法について担当職員に提示すること。また、情報セキュリティが侵害され、又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従うこと。【クラウドサービス】12) 受注者は、本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する場合には、これらのサービスで要機密情報を取り扱ってはならず、2)に掲げる規程等で定める不正アクセス対策を実施するなど規程等を遵守すること。13）受注者は、本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドサービスを調達する際は、「政府情報システムのためのセキュリティ評価制度（ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。14）受注者は、前２項におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。【セキュアな情報システム（外部公開ウェブサイトを含む）の構築・運用・閉鎖】15) 受注者は、情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施すること。①各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。②情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。③不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。（a）不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。（b）不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。（c）不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。（d）不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。（e）EDR ソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。④情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。⑤ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IP アドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。⑥外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。なお、必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。⑦電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeysIdentified Mail）、DMARC（Domain-based Message Authentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTP によるサーバ間通信のTLS（SSL）化やS/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARC ポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。⑧ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNSを利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。⑨情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。⑩ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有するIT資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期⑪機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。【アプリケーション・コンテンツの情報セキュリティ対策】16) 受注者は、アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリティ水準の低下を招かぬよう、以下の内容も含めて行うこと。①提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。（a）アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。（b）アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。（c）提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。②提供するアプリケーション・コンテンツが脆弱性を含まないこと。③実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。④電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。⑤提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。⑥当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。17) 受注者は、外部に公開するウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以下「作り方」という。）に基づくこと。また、ウェブアプリケーションの構築又は更改時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施すること。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出すること。なお、チェックリストの結果に基づき、担当職員から指示があった場合は、それに従うこと。【アカウントの運用・管理】18) 主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。19) 情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリティインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。別紙令和 年 月 日経済産業省○○○課長 殿住 所名 称代 表 者 氏 名情報セキュリティに関する事項の遵守の方法の実施状況報告書情報セキュリティに関する事項１）の規定に基づき、下記のとおり報告します。記１．契約件名等契約締結日契約件名２．報告事項項目確認事項実施状況情報セキュリテ本業務全体における情報セキュリティの確保のため、「政府機関等のサイバーセキュィに関する事項リティ対策のための統一基準」（令和７年度版）、「経済産業省情報セキュリティ管理２） 規程」（平成１８・０３・２２シ第１号）及び「経済産業省情報セキュリティ対策基準」（平成１８･０３･２４シ第１号）（以下「規程等」と総称する。）に基づく、情報セキュリティ対策を講じる。情報セキュリテ経済産業省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリィに関する事項ティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指３） 摘事項への対応を行う。情報セキュリテ本業務に従事する者を限定する。また、受注者の資本関係・役員の情報、本業務の実ィに関する事項施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修４） 実績等）、実績及び国籍に関する情報を担当職員に提示する。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示する。情報セキュリテ本業務の一部を再委託する場合には、再委託することにより生ずる脅威に対して情報ィに関する事項セキュリティに関する事項１）から１９）までの規定に基づく情報セキュリティ対策５） が十分に確保される措置を講じる。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製ィに関する事項を含む。）の取扱いには十分注意を払い、経済産業省内に複製が可能な電子計算機等６） の機器を持ち込んで作業を行う必要がある場合には、事前に経済産業省の担当職員（以下「担当職員」という。）の許可を得る。なお、この場合であっても、担当職員の許可なく複製しない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明する。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員ィに関する事項の許可なく経済産業省外で複製しない。また、作業終了後には、複製した情報が電子７） 計算機等から消去されていることを担当職員が確認できる方法で証明する。情報セキュリテ本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務ィに関する事項に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当８） 職員に返却し、又は廃棄し、若しくは消去する。その際、担当職員の確認を必ず受ける。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。情報セキュリテ契約期間　中及び契約終了後においても、本業務に関して知り得た経済産業省の業務上ィに関する事項の内容について、他に漏らし、又は他の目的に利用してはならない。９） なお、経済産業省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供する。情報セキュリテ本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対ィに関する事項策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を１０） 講じるとともに、契約期間　中にこれらの対策や情報セキュリティインシデント等に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施する。情報セキュリテ本業務の遂行において、情報セキュリティが侵害され又はそのおそれがある場合の対ィに関する事項処方法について担当職員に提示する。また、情報セキュリティが侵害され又はそのお１１） それがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従う。情報セキュリテ本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、ィに関する事項定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する１２） 場合には、これらのサービスで要機密情報を取り扱ってはならず、「情報セキュリティに関する事項２）」に定める不正アクセス対策を実施するなど規程等を遵守する。情報セキュリテ本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドィに関する事項サービスを調達する際は、「政府情報システムのためのセキュリティ評価制度１３） （ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。情報セキュリテ情報セキュリティに関する事項１２）及び１３）におけるクラウドサービスの利用のィに関する事項際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報１４） を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。情報セキュリテ情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等ィに関する事項 （電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等の１５） ハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施する。（１）各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。（２）情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。（３）不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。①不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。②不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。③不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。④不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。⑤EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。（４）情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。（５）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IPアドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。（６）外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。・必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。（７）電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（ DomainKeys Identified Mail ）、 DMARC （ Domain-based MessageAuthentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTP によるサーバ間通信のTLS（SSL）化やS/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARCポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。（８）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNS を利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。（９）情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。（１０）ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT 資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期（１１）機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。情報セキュリテアプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等ィに関する事項の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリテ１６） ィ水準の低下を招かぬよう、以下の内容も含めて行う。（１）提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。①アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。②アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。③提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。（２）提供するアプリケーション・コンテンツが脆弱性を含まないこと。（３）実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。（４）電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。（５）提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。（６）当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。情報セキュリテ外部公開ウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、ィに関する事項独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以１７） 下「作り方」という。）に従う。また、ウェブアプリケーションの構築又は改修時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施する。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出する。なお、チェックリストの結果に基づき、担当職員から指示があった場合には、その指示に従う。情報セキュリテ主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第ィに関する事項三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫１８） 用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。情報セキュリテ情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素ィに関する事項主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリテ１９） ィインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。記載要領１．「実施状況」は、情報セキュリティに関する事項２）から１９）までに規定した事項について、情報セキュリティに関する事項１）に基づき提出した確認書類で示された遵守の方法の実施状況をチェックするものであり、「実施」、「未実施」又は「該当なし」のいずれか一つを記載すること。「未実施」又は「該当なし」と記載した項目については、別葉にて理由も報告すること。２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。（この報告書の提出時期：定期的（契約期間における半期を目処（複数年の契約においては年１回以上））。）【取得文書: contract-draft__（施行文）（資料番号４）_契約書（案）_ 契約書表紙（概算契約用）r2.pdf】R8-G-1（資料番号４）契約書案番 号支出負担行為担当官　経済産業省大臣官房会計課長名（以下「甲」という。）は、相手方名称代表者氏名（以下「乙」という。）と、件名（以下「委託業務」という。）について、以下により委託契約を締結する。目 的 甲は、委託業務の実施を乙に委託し、乙はこれを受託する。委託金委託業務の実施に要した経費の額。ただし、○○○，○○○，○○○円（消費税及び地方消費税額○，○○○，○○○円を含む。）を上限とする。完了期限実施計画書（仕様書）に記載のとおり実 績 告書の提出委託業務完了の日の翌日から１０日以内の日期限納入物実施計画書（仕様書）に記載のとおり納入場所　指示の場所その他約定のとおりこの契約を証するため、本契約書を２通作成し、双方記名押印の上、甲、乙それぞれ１通を保有する。年月日甲東京都千代田区霞が関一丁目３番１号支出負担行為担当官経済産業省大臣官房会計課長名乙 [所在地][相手方名称][代表者氏名]※契約書の条項は、入札公告７．（２）記載の内容となります。