אבחון פגיעויות בקוד מקור באמצעות AI גנרטיבי

令和８年１０月１６日国土交通省総合政策局情報政策課長中野晶子次のとおり、参加意思確認書の提出を招請します。１.当該招請の主旨本業務は、国土交通省総合政策局情報政策課が管理・運用する情報システムについて、既存の商用AIを活用したソースコードの脆弱性診断を実施するものである。本業務は、生成AIを活用したソースコードの脆弱性診断を実施し、その診断結果、リスク評価、対応優先度、推奨する対応内容及び修正案等をまとめた診断結果報告書を作成するものであり、本業務の目的を達成するためには、AIを活用したソースコードの静的・動的診断に係る知識や技術に加え、ソースコードの保存場所が日本国内リージョンであること等の要件を満たしていることが必要である。特定予定者以外の者で４．の応募要件を満たし、本業務の実施を希望する者の有無を確認する目的で、参加意思確認書の提出を招請する公募を実施するものである。なお、参加意思確認書の提出者がいない場合及び提出者の中に４．の応募要件を満たすと認められる者がいない場合にあっては、本業務に必要な要件を有している特定予定者との契約手続きに移行する。参加意思確認書の提出者に「４.応募要件」を示す要件を満たすと認められる者がいる場合、特定法人等と当該応募者に対して企画競争による提案書の提出を要請する予定である。２.業務概要(１)業務名生成AIを用いた脆弱性診断実施業務 (２) 履行期限令和8年12月18日(金)(３)業務内容生成AIを活用したソースコードの脆弱性診断を実施し、その診断結果、リスク評価、対応優先度、推奨する対応内容及び修正案等を整理した脆弱性候補一覧、検出箇所、想定影響範囲等をまとめた診断結果報告書を作成する。３.業務目的本業務は、国土交通省総合政策局情報政策課が管理・運用する情報システムについて、既存の商用AIを活用したソースコードの脆弱性診断を実施し、脆弱性の発見・修正等を行うことにより、サイバー対処能力の更なる強化を図ることを目的としている。４.応募要件（１）～（５）の要件を満たすこと。なお提出する資料等は、次の要領に従い作成すること。ア作成様式は任意だが、簡潔かつ明瞭に記載すること。イ提出部数は２部とする。ウ提出期間、場所及び方法は「５．(３)参加意思確認書等の提出期限、場所及び方法」に記載されている内容と同じ。(１)基本的要件ア予算決算及び会計令(昭和22年勅令165号)第70条及び71条の規定に該当しない者であること。イ国土交通省大臣官房会計課長から指名停止を受けている期間中でないこと。ウ警察当局から、暴力団員が実質的に経営を支配する者又はこれに準ずるものとして、国土交通省公共事業等からの排除要請があり、当該状態が継続している者でないこと。(２)技術力に関する要件本請負業務の実施にあたり、GPT-5.5-Cyber又はそれと同等以上の生成AIを用いた脆弱性診断を、直近１年間に累計100システム以上に対して実施した実績を有すること。また、実施した実績が確認できる資料を提出すること。(３)業務執行体制に関する要件本業務の実施に必要な体制について、業務管理責任者については、情報セキュリティに関するコンサルティング業務又は監査業務の経験年数を5年以上有し、かつ情報セキュリティに関するコンサルティング業務又は監査業務の責任者としての経験を有することに加え、下記ア又はイの資格を保有し、かつ、ウ、エ、オ又はカいずれかの資格を保有している者を配置すること。また、満たすことを示す認定機関の登録証等の原本の写しを提出すること。ア情報処理安全確保支援士イ Certified Information Systems Security Professional（CISSP）ウ Certified Information Security Manager (CISM)エ Certified Information Systems Auditor (CISA)オ Offensive Security Certified Professional (OSCP)カ Global Information Assurance Certification (GIAC）また、業務管理責任者の指揮監督の下で作業に従事する者（以下、「業務担当者という。）については、情報セキュリティに関するコンサルティング業務、業務・システム分析に関するコンサルティング業務又は監査業務の経験を２年以上有すること。(４)情報セキュリティ対策に関する要件情報セキュリティ対策の実施に係る以下の事項について資料を提出すること。ア提供する情報の委託先における目的外利用の禁止イ情報セキュリティ対策の実施内容及び管理体制ウ情報セキュリティインシデントへの対処方法（対処手順、責任分界、連絡体制等）エ情報セキュリティ対策その他の契約の履行状況の確認方法オ情報セキュリティ対策の履行が不十分な場合の対処方法カ本業務に携わる者が実施する具体的な情報セキュリティ対策の内容(５)参加制限に関する要件以下の参加制限に該当しないこと。また該当しない旨を記載した書類を提出すること。・受注者、受注者の親会社及び子会社（「財務諸表等の用語、様式及び作成方法に関する規則」（昭和38年大蔵省令第59号）第８条による。以下同じ）、同一の親会社を持つ会社並びに委託先等緊密な利害関係を有する事業者は、最適化の企画、実施、評価に係る支援を行う場合に、より一層の透明性、公平性を図るため、支援したことにより競争上の不公正な利益を享受すると認められる場合には、本業務の契約期間　中、国土交通省（外局等を含む）における、標準ガイドラインに基づくシステム設計・開発の工程管理支援及びシステム設計・開発、システム運用、システムに係るシステム監査等業務の入札に参加することができない。５.手続等(１)担当部局〒100－8918　東京都千代田区霞が関2-1-2国土交通省総合政策局情報政策課(電話) 03-5253-8111（内線28-113）（E-mail）[email protected](２)説明書の交付期間、場所及び方法令和8年10月16日(金)～令和8年11月5日(木)まで、 (１)に同じ。説明書の交付を希望する場合は、予め（１）の担当部局まで事前連絡を行うこと。(３)参加意思確認書等の提出期限、場所及び方法令和8年11月6日17時00分、 (１)に同じ。原則として電子メールにより提出すること。６.その他(１)手続きにおいて使用する言語及び通貨は、日本語及び日本通貨に限る。(２)関連情報を入手するための照会窓口は、 ５(１)にて対応する。(３)当該応募者に対しての企画競争のための企画提案書の提出を要請する際の提出予定期限： 令和8年11月13日18時00分(４)令和7・8・9年度国土交通省における役務の提供等に係る一般競争(指名競争)参加資格(全省庁統一資格)の役務の提供等(関東・甲信越)の認定を受けていない場合も５(３)により参加意思確認書を提出することができるが、企画提案書の提出の時において、当該資格の認定を受けていなければならない。(５)詳細は説明書による。