【本省】令和8年度生成AIエージェントの利活用に関する調査・業務実証支援事業

【取得文書: public-notice__（資料番号１）入札公告.pdf】区分：総合評価落札方式入札件名：令和8年度生成AIエージェントの利活用に関する調査・業務実証支援事業本件に係る資料は、以下記載の資料番号１～１６から構成されており、紙配付は行っていないため、調達ポータルサイト及び経済産業省ホームページから必ずダウンロードすること。なお、入札説明会に参加の際は、各自、持参すること。【調達ポータルサイトからダウンロードする資料】資料番号資料名１ 入札公告２仕様書３ 評価項目一覧４契約書案【経済産業省ホームページ（※）からダウンロードする資料】資料番号資料名経済産業省入札心得（総合評価落札方式電子調達システム対応版）６予算決算及び会計令（抜粋）７応札資料作成要領８評価手順書（加算方式）９ （様式１）質問状（様式２）入札参加表明書【提案書等を電子調達システムにて提出しない場合】１１ （様式３）入札書［紙による入札の場合］１２ （様式４）理由書［紙による入札の場合］１３ （様式５）委任状［紙による入札の場合］１４ （様式６）提案書ひな型１５ （様式７）見積書(様式８)従業員への賃金引き上げ計画の表明書【表明する意思がある場合】（中小企業等）※https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo資料番号１入札公告次のとおり一般競争入札に付す。本公告に基づく入札については、関係法令、経済産業省入札心得（資料番号５、以下「入札心得」という。）及び電子調達システムを利用する場合における「調達ポータル・電 子 調 達 シ ス テ ム 利 用 規 約」 （ https://www.p-portal.go.jp/pps-web-biz/resources/app/pdf/riyoukiyaku.pdf）に定めるもののほか下記に定めるところによる。また、入開札手続は、原則、電子調達システムを利用するものとし、システム障害等が発生し電子調達システムが利用できない場合には、別途通知する日時に変更する場合がある。令和４年度から政府として、「コロナ克服・新時代開拓のための経済対策」（令和３年11月19日閣議決定）及び「緊急提言～未来を切り拓く「新しい資本主義」とその起動に向けて～」（令和３年11月８日新しい資本主義実現会議）において、賃金引上げを行う企業から優先的に調達を行う措置などを検討するとされたことを受け、全省庁統一の取組として総合評価落札方式の評価項目に賃上げに関する項目を設けることにより、賃上げを実施する企業に対して技術点の加点を行う。「資料番号１６」の内容を承知の上で、入札をすること。令和８年９月３日支出負担行為担当官経済産業省大臣官房会計課長玉井優子１．競争入札に付する事項（１） 件名令和8年度生成AIエージェントの利活用に関する調査・業務実証支援事業（２）仕様、履行期限及び納入場所等別紙仕様書（資料番号２）のとおり。（３）入札方法入札金額は、本件に関する総価で行うこととし、入札金額の積算は以下ア、イに掲げる事項について考慮1すること。ア．入札金額に人件費（労務費）に相当する経費が含まれる場合契約期間　中に最低賃金額、自社の給与額の改定が見込まれる場合にはその改定見込を考慮した単価により積算する（契約期間　中の改定見込額の算出が困難な場合には直近の改定実績を踏まえた積算も可とする）。イ．入札金額に原材料費、エネルギーコストの上昇の影響を受ける経費が含まれる場合契約期間　中に原材料費、エネルギーコストの高騰により、経費の増額が見込まれる場合にはその増加見込を考慮した単価により積算する（契約期間　中の増加見込額の算出が困難な場合には直近の増加実績を踏まえた積算も可とする）。なお、本件については入札に併せて提案書を提出し、技術審査を受けなければならない。落札決定に当たっては、入札書に記載された金額に当該金額の１０パーセントに相当する額を加算した金額（当該金額に１円未満の端数が生じたときは、その端数金額を切り捨てるものとする。）をもって落1積算方法等については中小企業庁が公表している価格交渉・転嫁の支援ツール（https://www.chusho.meti.go.jp/keiei/torihiki/shien_tool.html）、公正取引委員会が公表している労務費の適切な転嫁のための価格交渉に関する指針（https://www.jftc.go.jp/dk/guideline/unyoukijun/romuhitenka.html）を参照すること。札価格とするので、入札者は消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約金額の１１０分の１００に相当する金額を入札書に記載すること。２．競争参加資格（１）予算決算及び会計令（資料番号６、以下「予決令」という。）第７０条及び第７１条の規定に該当しない者であること。なお、未成年者、被保佐人又は被補助人であって、契約締結のために必要な同意を得ている者は、予決令第７０条中、特別の理由がある場合に該当する。（２）令和７・８・９年度経済産業省競争参加資格　（全省庁統一資格）「役務の提供等」の「Ａ」、「Ｂ」、「Ｃ」又は「Ｄ」の等級に格付されている者であること。（３）経済産業省からの補助金交付等停止措置又は指名停止措置が講じられている者ではないこと。なお、経済産業省から補助金交付等停止措置又は指名停止措置が講じられている事業者に再請負させる場合は注文者の承諾が必要となる。（事業者一覧はこちら）https://www.meti.go.jp/information_2/publicoffer/shimeiteishi.html（４）過去３年以内に情報管理の不備を理由に経済産業省との契約を解除されている者ではないこと。３．契約条項を示す場所等（１）契約条項を示す場所資料番号１～１６のとおり。本件に係る資料は以下の方法により入手することとし、入札説明会等での紙配付は行わないので注意すること。ア．表紙及び資料番号１～４調達ポータルサイトの「調達情報の検索調達種別の選択」から「一般競争入札の入札公示（ＷＴＯ対象外）」を選択し、必要な情報を入力又は選択し本件を検索の上、本件の「調達資料」を必ずダウンロードすること。https://www.p-portal.go.jp/pps-web-biz/UAA01/OAA0101イ．資料番号５～１６経済産業省ホームページから必ずダウンロードすること。https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo（２）入札説明会の日時及び場所以下日時に「Microsoft Teams」を用いて行うので、以下に記載の担当者に対し、連絡先（社名、担当者氏名、電話番号、メールアドレス）を令和８年９月９日（水）１２時００分までに登録すること。（事前にテスト連絡をさせていただく場合がある。）「Microsoft Teams」が利用できない場合は、概要を共有するのでその旨を連絡するとともに連絡先を登録すること。令和８年９月１０日（木）１１時００分【入札説明会に関する担当者連絡先】経済産業省大臣官房業務改革課担当者：猪股E-mail：[email protected]（３）質問期限令和８年９月１７日（木）１２時００分仕様書、提案書、評価項目一覧表等本件について質問等がある場合は、（様式１）質問状（資料番号９）へ記載し、本公告末尾に記載の担当者宛てメールにて提出すること。なお、電子調達システムを使用しての質問は不可とする。（４）提案書等・入札書の提出期限、提出場所及び提出方法等ア．提案書等・入札書の提出期限令和８年９月３０日（水）１２時００分イ．提案書等の提出場所及び提出方法【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、「証明書・提案書等提出」画面から以下に示す提案書等の［提出資料］を送信すること。なお、電子調達システムの仕様により、電子ファイル添付の容量等に制約があることから、送信困難な場合には、本公告末尾に記載する担当者が指定する方法等により適宜提出すること。【その他の方法による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、以下に示す提案書等の［提出資料］を本公告末尾に記載の担当者へ、次の方法により提出すること。a郵送による提出配達記録が残る形でア.の提出期限までに必着とし、入札書を同封しないよう留意すること。ｂ電子メールによる提出ア.の提出期限までに受信を完了するよう送信することとし、入札書を送信しないよう留意すること。ｃ持参による提出ア.の提出期限までに本公告末尾に記載する担当者宛て持参すること。［提出資料］〈紙による提出の場合の部数〉・提案書〈紙媒体1部、電子媒体（CD-R等）１部〉・評価項目一覧（資料番号３）の提案書ページ番号欄に必要事項を記入したもの〈提案書と同一部数〉・（様式８）従業員への賃金引上げ計画の表明書（資料番号１６）（表明する意思がある者のみ提出すること）〈提案書と同一部数〉・令和７・８・９年度競争参加資格　審査結果通知書（全省庁統一資格）の写し〈１部〉・参考見積書（1部）ウ．入札書の提出場所及び提出方法入札書の提出は、以下の方法のみであり、メール等その他の方法による場合は無効とする。【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、次に「入札（見積）書提出」画面にて必要情報を入力し、「入札書提出内容確認」画面にて入札内容を確認し、「提出」ボタンを押下すること。なお、個人事業主に加えて、入札参加者から委任等を受けた者のマイナンバーカードを用いて電子入札を行うことができるものとする。※電子調達システムにより入札書を提出するためには、先に「証明書・提案書等提出」画面にて［提出資料］又は（様式２）入札参加表明書（資料番号１０）を提出しなければならないことに注意する。【紙による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、本公告末尾に記載の担当者へ、（様式３）入札書（資料番号１１）及び（様式４）理由書（資料番号１２）を紙により提出（持参又は郵送）すること。※入札書を入れる封筒には入札書のみを入れ、密封し、その封筒の表に入札者の氏名（法人の場合はその名称又は商号）及び件名を記載して提出すること。提案書等の他の資料は同封しない。エ．留意点・代理人による入札の場合、電子調達システムにより入札書を提出する者は同システムで定める委任手続を行い、紙により入札書を提出する者は（様式５）委任状（資料番号１３）を提出すること。・提案書等は、応札資料作成要領（資料番号７）及び（様式６）提案書ひな型（資料番号１４）を確認の上作成すること。・提出した提案書等・入札書は、変更及び取消しをすることができず、また、返却は行わない。・提案書等の作成に要する費用は入札者の負担とする。・提出した提案書等について経済産業省から説明を求められた場合は、入札者の責任において速やかに説明しなければならない。・提案書等は、本入札に関する審査以外の目的には使用しない。（５）入札者による提案書等の説明（プレゼンテーション）プレゼンテーションは実施しない。（６）開札の日時及び場所令和８年１０月９日（金）１１時００分経済産業省本館１階入札会議室開札を行った結果、予定価格の制限に達した価格の入札がないときは、直ちに再度の入札を行う。その場合、紙により入札書を提出した者は上記の開札場所において、電子調達システムにより入札書を提出した者は同システムにおいて再度の入札を行うこと。なお、再度入札の提出期限までに入札のない場合は、再度入札を辞退したものとみなす。※電子調達システムにより入札書を提出した者は、同システムの『入札（見積、落札）状況確認』画面及び『開札結果確認』画面にて、開札の状況を確認できる。（７）電子調達システムの利用　範囲電子調達システムは、上記（４）、（６）にてのみ利用するものとし、それ以外の機能については利用不可とする。４．入札の無効入札心得第１１条に該当する入札は無効とする。５．落札者の決定方法入札心得第１４条から第１６条に基づき落札者を決定する。なお、総合評価点の点数配分は以下のとおり。評価方法の詳細については評価手順書（加算方式）（資料番号８）を参照のこと。総合評価点＝技術点（２００点）＋価格点（１００点）６．入札保証金及び契約保証金　全額免除７．見積書及び契約書等（１）見積書の提出落札者は、見積書を直ちに提出すること。作成に当たっては、（様式７）見積書（資料番号１５）を参考とすること。※様式中の「確定契約」は委託事業における契約を指す。本件は事業内容に応じた内訳を適宜作成とする。（２）契約書落札者は、契約書案（資料番号４）をもとに契約を締結することとなるため、契約条項の内容を承知の上入札すること。落札者に対して、電子調達システムを利用した電子契約締結の可否（否の場合その理由の回答を含む。）を確認する場合があるので、承知の上入札すること。○契約書（役務請負契約条項）https://www.meti.go.jp/information_2/downloadfiles/r8ukeoi_format.pdf８．支払の条件契約代金は、契約書記載の条件により、適法な支払請求書を受理した日から３０日以内に支払うものとする。９．その他（１）本入札では、中小企業等が、「給与総額」を対前年度（又は対前年）に比べ増加率２．５％以上とする旨を様式８(資料１６)により表明した（※１）場合、加点することとしている。また、様式８（資料１６）で表明した賃上げが実行されているか、事業年度等終了後、「法人事業概況説明書」等により確認することとしているため、確認のため必要な書類は速やかに本公告末尾に記載の担当者へ提出すること。なお、確認の結果、表明した賃上げが実行されていない場合等においては、当該事実判明後の総合評価落札方式において所定の点数を減点するものとする。詳細は様式８（資料１６）裏面の（留意事項）を確認すること。※１対前年度又は対前年のいずれかを選択して表明すること。当該選択に応じて表明に用いる様式が異なるので留意すること。注）「様式８（資料１６）」は表明書（別紙１）を指す。（２）「ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議」（令和５年４月３日決定）において、政府の実施する公共調達においては、入札する企業における人権尊重の確保に努めるとされたことを受け、当該事業の落札者に対しては「責任あるサプライチェーン等における人権尊重のためのガイドライン」（令和４年９月１３日ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議決定）を踏まえて人権尊重に取り組むよう努めることを求めている。当該ガイドラインの内容を承知の上で、入札をすること。https://www.meti.go.jp/press/2022/09/20220913003/20220913003-a.pdf（３）「中小企業者に関する国等の契約の基本方針について」において、最低賃金額の改定に伴う契約金額の見直し及び労務費、材料費、エネルギーコスト等の上昇への対応について定められていることを踏まえ、以下の措置を実施する。ア．入札者においては、１．（３）入札方法に記載のとおり、入札金額に労務費、原材料費、エネルギーコスト等（以下「労務費等」という。）の改定、増加をあらかじめ反映する。イ．経済産業省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。ウ．単年度の契約については、契約締結後の状況変更により契約金額の見直しが必要となった場合には、協議を行い、見直しを行うこととする。中小企業者に関する国等の契約の基本方針についてhttps://www.chusho.meti.go.jp/keiei/torihiki/kankoju.html#K01１０．問合せ先（１）電子調達システムに関する照会先（操作方法等）調達ポータル・電子調達システムヘルプデスク電話０５７０－０００－６８３（ナビダイヤル）０３－４３３２－７８０３（ＩＰ電話等を御利用の場合）ＦＡＸ ０１７－７３１－３３５２受付時間平日９時００分～１７時３０分（国民の祝日・休日、１２月２９日から１月３日までの年始年末を除く。）ＵＲＬ https://www.p-portal.go.jp/pps-web-biz/UZA02/OZA0201（２）その他、本件に関する連絡先（メール等による提案書等、紙による入札書、質問状等の提出先）〒１００－８９０１東京都千代田区霞が関１－３－１経済産業省大臣官房会計課契約担当（本館１０階東１）担当者：永田電話０３―３５０１―１６１６（ダイヤルイン）Ｅ－ｍａｉｌ [email protected]【取得文書: specifications__（資料番号２）仕様書.pdf】令和8年度生成AIエージェントの利活用に関する調査・業務実証支援事業仕様書１．目的行政需要の高度化・多様化が進む中、限られた人的資源の下で持続可能な業務運営を実現するためには、デジタル技術を用いて、業務の進め方を見直していくことが不可欠である。生成AIエージェントとは、生成AIを中核として、利用者の指示や目的に基づき、必要な情報源やツールを参照しながら、情報の収集、整理、分析、要約等のタスクを支援する仕組みである。あらかじめ業務に必要な情報源、参照先、手順等を設定することにより、職員が毎回詳細な指示を行わなくても、一定の業務目的に沿った調査、整理、分析等を効率的に実施できるようになる。また、作成した生成AIエージェントは、個人利用にとどまらず、関係職員間で共有し、共同利用することが可能である。しかし、大臣官房等で実施する業務（国会対応、閣議後記者会見対応、法令関係業務、総括業務、情報収集・分析、防災対応、行政文書管理等）及び各局における業務改革に取り組むチームによるAI活用において、Microsoft Copilot Studio 等を用いた生成 AI エージェントの作成・活用を進めるに当たっては、対象業務の内容、利用する情報、想定される利用者、運用上の留意点等を踏まえた設計・検証が必要である。また、取り扱う情報の範囲や業務への影響を踏まえ、実務に即した構成の検討、適切な設定、継続的な改善を行う必要がある。これらを円滑かつ効果的に実施するため、本事業においては、生成 AI エージェントの作成・改善に関する専門的知見及び実務経験を有する事業者に対し、他省庁及び民間企業等における生成 AI エージェントに関する優良事例に加え、その前提として業務データの整備・構造化等により生成AIを活用しやすい状態（以降、「AIレディ化」とする）を実現している取組事例についても調査・収集を依頼するものである。あわせて、当該調査により得られた知見を踏まえ、エージェント作成の準備として、当省の業務・データを対象とした生成 AI エージェントの試行的な作成及び業務への適用可能性の検証を行うものとする。生成 AI エージェントを活用し、業務の進め方を見直すことにより、職員の業務負担の軽減、手続の簡素化及び迅速化、業務運用の属人化の抑制を図り、限られた人的資源の下においても、安定的かつ持続可能に機能する業務体制の構築に資することを目的とする。２．作業内容本事業では下記（１）及び（２）の作業を実施する。（１）生成AIエージェントの利活用状況及び優良事例の調査・新規作成・改善業務経済産業省（以降、当省とする）におけるインフラ環境を踏まえた上で、大臣官房等の省内の基幹業務改革に有用であるMicrosoft Copilot Studioを用いた生成AIエージェントの新規作成および既存エージェントの効果的な改善を実施する。ア他省庁及び民間企業等における生成AIエージェントの利活用状況及び優良事例の調査・他省庁及び民間企業における生成 AI エージェントの作成状況を調査するとともに、合計３～5社程度の優良事例を収集する。その際、生成 AIエージェントの完成事例に加え、業務データの整備・構造化等によりAIレディな状態を実現している取組事例についても収集対象に含めること。・上記について、当省のインフラ環境においてどの程度再現可能であるかを確認し、技術的な限界を分析するとともに、最適な方法を検討する。・生成 AI エージェントを安全かつ継続的に業務で活用できるよう、組織内データの取扱いや管理方法について調査するとともに、省内LLMやMicrosoft Copilot Studioのほか、より適したAIツールの導入又は組合せの方法について検討する。イ 生成AIエージェントの作成及び改善・大臣官房等で実施する業務（国会・閣議後記者会見、法令、総括、情報収集や分析、防災、行政文書管理等）や各局における業務改革チームによるAI活用について、生成AIエージェントの新規作成および既存エージェントの改善を行う。なお、現時点では15件程度（新規作成5件、既存エージェント改善10件）を見込んでいるが、具体的な件数については必要に応じて受託者と協議の上、決定するものとする・大臣官房等で実施する業務や各局における業務改革チームによる AI 活用等の業務について、それぞれ令和9年2月末を期限と設定し、全体スケジュールを作成する。・各業務内容の詳細・課題・エージェントに必要な要件等について、各業務を主で担当する当省職員にヒアリングを行い、エージェントの構成を検討する。・なお、業務の中には、規程・法令類により業務プロセスが規定される複雑性の高い業務が含まれうる。・Copilot Studioを用いた生成AIの検証環境については、事業者において類似する環境を準備し、検証を行うこと。・生成AIエージェントのソースとして活用するデータ（国会答弁、法令関連資料等）については、貸与する GSS 端末内でのみ利用し、事業者の環境には持ち出さないこと。また、契約期間　終了後は、GSS 端末の返却に伴い、当該データを確実に削除すること。・生成 AI エージェントの作成および改善は、「５．作業上の留意点」に記載している【GSS 環境に関する情報】を前提に実施すること。ただし一部利用できない機能があるので、作業実施時に業務改革課の担当職員（以下、担当職員とする）に確認すること。・Copilot Credit Pack Subscriptionも利用可能。ただしクレジット消費が最小限となるようなエージェント設計を行うこと。・生成AIエージェントの改善のみでは回答精度が十分に高まらない場合は、組織内マスターデータの扱いや管理方法、Power Automate等のツール活用も含め、改善案を検討すること。ウ説明書の作成・新規作成・改善を行った生成AIエージェントについて、考え方や構成等にかかる説明書を作成する。・説明書の詳細度は、省内職員だけで生成AIエージェントの更新が可能となる程度以上とすること。（２）報告書の作成（１）の調査・検証結果を取りまとめるとともに、以下の内容を含む報告書を作成すること。・他省庁及び民間企業等における生成AIエージェントの利活用状況及び優良事例（AIレディな状態を実現している取組事例を含む。）の調査結果を整理・類型化し、当省の業務への応用可能性の観点から分析すること。・上記優良事例について、当省のインフラ環境における再現可能性の検証結果及び技術的な限界を明らかにするとともに、再現に当たっての課題及び対応の方向性を整理すること。・組織内データの取扱い・管理方法、並びに省内 LLM・Microsoft Copilot Studio 及びその他の AI ツールの導入・組合せに関する調査結果を比較整理し、当省における適用上の留意点をまとめること。・以上を踏まえ、当省の生成 AI エージェント利活用における最適な方法及び問題点（技術面・運用面・データ面等）を体系的に整理し、今後の改善・展開に向けた提言として報告書に取りまとめること。３．納入物及び納入期限以下を格納した電子媒体を作業完了日までに１式納入する。形式はpdf及び機械判読可能な形式※も納入すること。（１）全体スケジュール（２）報告書（完成版資料）（３）生成AIエージェント（説明書含む）※（１）（２）機械判読可能な形式：Word，Excel，PowerPoint等のデータを想定。（スキャンデータのようなものは該当しない）（３）Microsoft Copilot StudioまたはMicrosoft Agent Builderで利用可能な形で納品すること。納入期限　︓令和９年３月３１日（水）まで４．納入場所経済産業省大臣官房業務改革課５．作業上の留意点（１）当省の環境において、サイトの表示崩れや動作不備が生じないようにすること。また、本事業で作成したドキュメントは、当省の基盤情報システム（GSS環境）で正常に開くことができること。【GSS環境に関する情報】• 利用端末／利用ネットワーク︓GSS端末(windows11)／GSSネットワーク• Webブラウザー︓ Edge• Microsoft 365 E5利用対象者︓経済産業省・中小企業庁・資源エネルギー庁・特許庁・経済産業局・産業保安監督部・電力・ガス取引監視等委員会等の職員約11,000名• Microsoft 365 Copilot利用対象者︓2,800名（２）作業は、受注者の社内環境又は経済産業省内で行うものとし、受注者の社内環境で作業を行う場合に必要なシステム環境（ハードウェア、Microsoft製品等のソフトウェア等）は、受注者において準備すること。なお、受注者の社内環境からGSS環境にリモート接続して作業を行うことはできない。（３）受注者は、本業務の円滑な遂行のため、生成 AI エージェントの作成・改善、Microsoft CopilotStudio等の活用及び関係職員との調整に必要な知見を有する者を少なくとも１名配置し、常時相談を受けることが可能な体制を構築するとともに、必要に応じて経済産業省内で作業又は打合せに対応できる体制を確保すること。（４）当省と受注者の打合せ又は定例会を実施した場合、受注者は議事録を作成し、実施後5営業日以内に担当職員に提出すること。また、少なくとも２週間に１回、作業状況及び進捗状況を打合せ又は文書で報告すること。（５）受注者は、契約期間　中及び契約終了後において、本業務に関して知り得た当省の業務上の情報を、第三者に漏えいし、又は本業務以外の目的に使用してはならない。また、関係資料について、紛失、滅失、情報漏えい等が生じないよう、十分かつ適切に管理すること。（６）業務情報を取り扱う場合又は業務情報を取り扱う情報システムやウェブサイトの構築・運用等を行う場合、別記「情報セキュリティに関する事項」を遵守し、情報セキュリティ対策を実施すること。（７）生成AIを活用する場合、別添「生成AIに関する事項」を遵守し、実施状況を報告すること。（８）既存システムに破損、損傷を与えないよう、また、システムに登録されたデータを破壊することがないよう、十分注意して作業を行うこと。システム及びデータに破損、損傷、漏えい等のインシデントが発生し、又はそのおそれがある場合は、速やかに担当職員に連絡するとともに、担当職員の指示に従い、受注者の責任において必要な対応及び復旧を行うこと。（９）受注者は、日本語でコミュニケーションが可能であり、当省の職員と良好な関係を保てること。また、受注者は、Microsoft 365 Copilot及びCopilot Studioに関して、豊富な経験と技術力を有すること。６．情報管理体制（１）受注者は本事業で知り得た情報を適切に管理するため、次の履行体制を確保し、発注者に対し「情報取扱者名簿」（氏名、住所、生年月日、所属部署、役職等が記載されたもの）及び「情報セキュリティを確保するための体制を定めた書面（情報管理体制図）」（様式１）を契約前に提出し、業務改革課同意を得ること。（住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても業務改革課から求められた場合は速やかに提出すること。）なお、情報取扱者名簿は、契約業務の遂行のため最低限必要な範囲で情報取扱者を掲載すること。（確保すべき履行体制）契約を履行する一環として契約相手方が収集、整理、作成等した一切の情報が、経済産業省が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること（２）本事業で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならないものとする。ただし、担当課室の承認を得た場合は、この限りではない。（１）の情報セキュリティを確保するための体制を定めた書面又は情報取扱者名簿に変更がある場合は、予め担当課室へ届出を行い、同意を得なければならない。７．履行完了後の情報の取扱い国から提供した資料又は国が指定した資料の取扱い（返却・削除等）については、担当職員の指示に従うこと。８．その他の特記事項「中小企業者に関する国等の契約の基本方針について」において、最低賃金額の改定に伴う契約金額の見直し及び労務費、材料費、エネルギーコスト等の上昇への対応について定められていることを踏まえ、以下の措置を実施する。（１）受注者においては、契約金額に労務費、原材料費、エネルギーコスト等（以下「労務費等」という。）の改定、増加をあらかじめ反映する。（２）当省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。（３）単年度の契約については、契約締結後の状況変更により契約金額の見直しが必要となった場合には、協議を行い見直しを行うこととする。中小企業者に関する国等の契約の基本方針についてhttps://www.chusho.meti.go.jp/keiei/torihiki/kankoju.html#K01９．連絡先経済産業省大臣官房業務改革課猪股裕〒100-8901　東京都千代田区霞が関1-3-1電話03-3501-1042E-mail [email protected]【取得文書: contract-draft__（資料番号４）契約書（案）.pdf】資料番号４契約書（役務）案 件 令和8年度生成AIエージェントの利活用に関する調査・業務実証支援事業案件内容・仕仕様書及び提案書のとおり様契 約 金 額○，○○○円（消費税及び地方消費税○，○○○円を含む。）納 入 期 限 令和９年３月３１日（履行期限）契約期間　仕様書のとおり納入場所　仕様書のとおり（履行場所）契約保証金　全額免除その他支払時期：納入後その他、契約条項のとおりこの契約を証するため、本契約書を２通作成し、双方記名押印の上、甲、乙それぞれ各１通を保有する。令和 年 月 日甲東京都千代田区霞が関一丁目３番１号支出負担行為担当官経済産業省大臣官房会計課長名乙 [所在地][相手方名称][代表者氏名]※契約条項は入札説明書７．（２）に記載のURLからダウンロードすること。【取得文書: document__（別添）生成AIに関する事項.pdf】（別添）生成AIに関する事項本事項は、行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（2026年6月12日デジタル社会推進会議幹事会決定）（以下「生成AIガイドライン」という。）の「6.3.2生成AIシステムの調達時の対応事項」に則り、事業者及び調達予定の生成 AI を構成要素とする政府情報システム等について、調達の応募者・受注者（委託契約の場合には、受託者。以下同じ。）に対し、原則要求すべきと考えられる事項をまとめたものである。調達の応募者・受注者は以下の事項について遵守すること。【生成AIに関する事項の遵守状況の報告】1) 調達の応募者・受注者は、所定の時期に、経済産業省（以下「当省」という。）が求める2)~28)に記載する事項に係る実施状況（「生成AIに関する事項の実施状況報告書」（別添３－Ａ））を当省の担当職員（以下「担当職員」という。）に電子媒体により報告すること。なお、2)~28)の項目は、調達期間においてはすべて「実施予定」、契約期間においてはすべて「実施予定」または「実施」となっている必要がある。それぞれの項目の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。【組織要件】2) AI事業者ガイドライン共通の指針※１を理解・把握・対応していることの宣言が可能であること。具体的な対策例としては、AI 事業者ガイドライン「共通の指針」のチェックリストについて提出及び対応状況を説明可能とすることが挙げられる。※１：「AI事業者ガイドライン（第1.2版）」具体的なアプローチ検討のためのワークシート」（別添７A）3) 生成AIシステムの開発・運用に関して、AIガバナンス※２が適用されていること。具体的な対策例としては、「生成 AI システムの開発・運用に AI ガバナンスのゴールを考慮する※３」、「生成AIシステムの開発・運用において、AIガバナンスのゴールからの乖離やリスク評価を行い、是正対応を行う」、「生成AIシステムの開発・運用における管理について、説明可能性を確保する」、「生成AIシステムの開発・運用における管理について、その管理手法や機能そのものが適切であるか検証を行う」等が挙げられる。※２：AI にもたらされる正のインパクトを最大化しつつ、AI によるリスクを受容可能な水準で管理する統制の仕組み・業務。※３：AIガバナンスのゴールをプロジェクト内に周知し、乖離やリスクを定期的あるいは随時確認行うことがプロセスとして組織内で確立されているか、あるいは過去のプロジェクトでそうしたことが行われている実績を示せるか。4) 生成AIシステムの開発・運用において、品質や説明性を高めるため、AI業界や最新技術等の動向を把握していること。具体的な対策例としては、生成AIシステムの開発・運用に関係する、業界ガイドラインや法令、最新技術の把握が挙げられる。5) 情報セキュリティインシデント・生成AIシステム特有のリスクケース（事業者の責任の範囲に属するものに限る。）対応体制・手順を整備していること（開発・運用するサービスにおいて、ユーザーからインシデント報告を受け付け、対応の協力をすることを含む）。具体的な対策例としては、「情報セキュリティインシデント・生成AIシステム特有のリスクケース対応体制・手順を整備する」、「情報セキュリティインシデント・生成AIシステム特有のリスクケース対応に関する教育や訓練を実施する」等が挙げられる。なお、生成AIシステム特有のリスクケースは生成AIガイドライン「6.7生成AIシステム特有のリスクケースへの対応」に記載がある。6) 生成AIシステムの開発・運用に従事する者又は組織について、生成AIに関するリテラシー向上の取組を実施していること。具体的な対策例としては、生成AI開発・運用に従事する者が適切なリテラシー（生成AI関連の技術知識やリスク、倫理等）を具備できるよう、役割に応じた教育や訓練※４を実施するということが挙げられる。※４：生成 AI に関する最新の動向も含めてプロジェクトメンバーに教育や訓練が確実に行われ、必要なリテラシーを具備していると示せるか。【開発・運用工程要件】7) 生成AIシステムへの入出力又は処理されるデータの取扱いを適切に管理していること※５。具体的な対策例としては、「プロジェクトの目的に照らし、必要な範囲でインプット（プロンプト、学習用の生データ等）の利用目的や利用条件を定める」、「プロジェクトの目的に照らし、必要な範囲でインプット（プロンプト、学習用の生データ等）の管理・セキュリティ体制を定めており、問題が生じないよう対策を講じる」、「プロジェクトの目的に照らし、必要な範囲でインプット（プロンプト、学習用の生データ等）の保持期間及び消去を管理しており、問題が生じないよう対策を講じる」、「プロジェクトの目的に照らし、必要な範囲でインプット（プロンプト、学習用の生データ等）の外部提供管理として、生成AIシステムのユーザーに対して提供する義務を定めた上での管理をする」、「プロジェクトの目的に照らし、必要な範囲でインプット（プロンプト、学習用の生データ等）の外部提供管理として、第三者提供に関しての管理をする」、「プロジェクトの目的に照らし、必要な範囲でインプット処理結果（学習用データ、中間生成物、派生的知的財産等）の使用・利用に関しての管理をする」、「プロジェクトの目的に照らし、必要な範囲でインプット処理結果（学習用データ、中間生成物、派生的知的財産等）の外部提供に関しての管理をする」、「プロジェクトの目的に照らし、必要な範囲で学習前・学習全体を通じて、データのアクセスを管理するデータ管理・制限機能の導入検討を行う等、適切な保護措置を実施する」等が挙げられる。※５：生成 AI システムへの入出力または処理されるデータの取扱いをプロジェクト内に周知し、乖離やリスクを定期的あるいは随時確認行うことが組織としてプロセスが確立されているか。または、過去事例を元に、プロジェクトにおいて確実に実施することを示せるか。8) 生成AIシステムの期待品質を満たすための取組を行っていること。具体的な対策例としては、「生成AIをチャットで用いる場合、チャットでの利用の期待品質を定め、その基準を満たしているかの測定及び評価※６をする」、「生成AIの期待品質を満たしているか、テストケースを用いて評価する。その際テストケースは複数提案する（バッチ処理、情報検索、自然言語からのプログラム作成等）」、「マーケティング等で実施されるアンケートによる定性的な満足度評価手法を生成AIシステムの機能要求満足性の評価に用いて、機能要求満足性を満たしているか検証する」、「生成AI システム出力のサンプリング手法やそのパラメータを指定できる場合、システムプロンプトの設計のための試行錯誤の中で合わせて検討する」、「生成AIシステムの機能要求水準を満たすのに十分な検索精度を確保するよう対策を講じる（多くの場合、想定される問題領域のなるべく多くの範囲で、一定以上の精度が出ることがよいとされる）(RAG を利用した生成 AI システムのみ本項目の対象)」等が挙げられる。※６：評価尺度は客観的で、可能であれば定量的であることが望ましく、またユーザーにも一目で理解できるものであることが望ましい。9) 利用している生成AIモデルはバージョン情報を含めて明示可能であること。具体的な対策例としては、利用可能な生成AIモデル及びそのバージョン情報等の一覧を整理して公開することが挙げられる。10) 生成AIシステムのアーキテクチャ設計と実装において、ベンダーやシステムの移行の容易性も踏まえた開発や運用が可能であること。具体的な対策例としては、「標準化されたインタフェースやプロトコルを活用し、AIコンポーネントを疎結合に設計する」、「モデルやベンダーの切り替えを想定した抽象化レイヤー (アダプタ) を用意し、「出口戦略」をアーキテクチャレベルで組み込む」、「コンポーネントアーキテクチャを、再利用部品である生成AIモデルの置き換えが容易になるようにデザインする」、「保守性の向上のため、生成AIシステムのコンポーネントをモジュール性を考慮して開発、運用する」等が挙げられる。11) メジャーアップデート又は移行に関する生成AI固有の観点からリスク軽減していること。具体的な対策例としては、生成AIモデルのメジャーアップデートや移行時に、生成AIシステムのアウトプットの品質や安全性等について問題ない性能※７かを検証することが挙げられる。※７：応答速度や容量、入力したプロンプトへの的確な応答ができているか。【生成AIシステムの基本機能要件】12) テロや犯罪に関する情報や攻撃的な表現等、有害情報の出力制限等をしていること。具体的な対策例としては、「有害情報を入力あるいは想定出力に含むテストデータを入力した際、生成AIシステムの出力に当該情報が含まれない、若しくは出力を拒否できるような仕組みを具備する」、「生成AIシステムの出力の有害性スコア（攻撃的であるかどうか等の有害さを数値で表したもの）の測定及び評価をする」、「テキストの入力に、虚偽の情報や意味不明な内容、複雑な内容が含まれる場合、生成AIシステムの挙動が不安定になることがある。そのような入力に対しても、有害な出力を抑制できるような仕組みを具備する」等が挙げられる。13) 偽誤情報の出力の防止措置を取っていること。具体的な対策例としては、「調達対象の生成AIシステムにおいて利用予定の生成AIモデルと異なる生成AIモデルに対し、事実を問う内容の同一のテストデータを入力した際、生成AIシステムの出力と意味的に同様の内容が出力されるか検証を行う」、「偽誤情報の出力防止に関する評価項目のスコアを測定した結果、スコアに問題がないことを確認する」等が挙げられる。14) ユーザーに対し、生成AIシステムの出力を人間から発せられた情報と区別できるようにすること。具体的な対策例としては、ユーザーに対し、生成AIシステムの出力を人間から発せられた情報と区別できるような仕組みを提供する技術を有していることが挙げられる。15) 生成AIシステムによる、ユーザーの意思決定の不当な誘導を防止するよう制御等をしていること。具体的な対策例としては、「生成AIシステムの推奨や指示により、ユーザーが主観的又は客観的に不利益となる行動に誘導されることがないよう対策を講じる」、「生成AIシステムの出力において、生成AIシステムによる誘導（URLリンク等を含むメッセージ生成等）のオプトイン又はオプトアウト手段が出力に含まれる仕組みを具備する」等が挙げられる。16) 有害なバイアスや、不当な差別の出力制限等をしていること。具体的な対策例としては、「特定のグループ（人種、性別、国籍、年齢、政治的信念、宗教等の多様な背景に関する）に対する有害なバイアスの入力あるいは想定出力に含むテストデータを入力した際、生成AIシステムが回答を拒否できる仕組みを具備する」、「出力が人の属性に影響されないと想定されるテストデータを入力した際、出力結果が属性による影響を受けないことの対策を講じる」等が挙げられる。17) 出力が全てのユーザーにとって理解しやすいものとなるよう対策を講じていること。具体的な対策例としては、「生成AIシステムの出力の流暢性スコア（出力が文法的に適切かを数値で表したもの）の測定及び評価をする」、「生成AIシステムの出力の読み易さに関するスコアの測定及び評価をする」、「生成AIシステムに文法的に不適切なテストデータを入力した場合でも、出力は文法的に適切であり、人間が理解しやすいものとなるよう対策を講じる」等が挙げられる。18) 目的外利用の防止を行い、仮に目的外利用された場合にも危害・不利益を発生しにくくなるよう入出力制限等をしていること。具体的な対策例としては、「生成 AI システムに想定ユースケース以外の出力を想定したテストデータが入力された場合でも、ユーザーの生命・身体・財産等や各種の権利に危害を生じさせる出力がされない、あるいは、出力を拒否できる仕組みを具備する」、「想定された目的の範囲内の生成AIシステムのユースケースにおいて、ユーザーの生命・身体・財産等や各種の権利に危害を生じさせる出力がされない、あるいは、出力を拒否できる仕組みを具備する」、「ユーザーが生成AIシステムを安全かつ適正に利用するため、生成AIシステムの利用方法や利用上の留意点、想定利用環境、ガイドライン等が定められ、定期的に更新する」等が挙げられる。19) 生成AIシステムにおける個人情報の適切な取扱いと、プライバシーの保護が図られるよう対策していること。具体的な対策例としては、「RAGを利用した生成AIシステムを利用し、RAGによる検索先に個人に関する情報が含まれる場合、不適切な個人情報の出力を制御できる仕組みを具備する（RAGを利用した生成AI システムのみ本項目の対象）」、「プライバシー侵害を認識した場合等の対処方法について定める」、「個人情報保護法に準拠して、ユーザーからデータを収集する」、「特に国民等外部の者が利用する場合で、個人情報等が入力される可能性があるときには、原則として、ユーザーの入力情報は当該ユーザーへの回答の生成にのみ利用される仕組みとなるよう確保する」、「生成AIシステムにおいて個人情報を含むパーソナルデータを取り扱う場合、当該データの保護のため適切な加工等の対策を講じる」等が挙げられる。20) 生成段階において、知的財産権、肖像権、パブリシティ権の保護が図られるよう対策を講じていること。具体的な対策例としては、生成AIシステムにおいて知的財産権等の侵害等防止のための仕組みを具備することが挙げられる。21) 学習段階において、知的財産権等の保護が図られるよう対策を講じていること。具体的な対策例としては、知的財産権等の侵害等防止のため、適切なデータの学習を行う対策を講じることが挙げられる。22) 生成AIシステム全体の脆弱性に対処し、不正操作による影響の防止措置を取っていること。具体的な対策例としては、「生成 AI システム全体に関するセキュリティ確保の対策を講じる」、「生成AIモデルへのプロンプト入力に関するセキュリティ確保の対策を講じる（入力プロンプト全般）」、「生成AIモデルへのプロンプト入力に関するセキュリティ確保の対策を講じる（特にユーザーが入力するプロンプト）」、「生成AIモデルへのプロンプト入力に関するセキュリティ確保の対策を講じる（システムプロンプト）」、「生成AIモデルの出力に関するセキュリティ確保の対策を講じる」、「生成AIモデルが生成AIモデルの外のデータを参照する場合のセキュリティ確保の対策を講じる」等が挙げられる。23) 情報セキュリティインシデント・生成AIシステム特有のリスクケース発生を検知した後、その影響を最小限に抑えつつ、迅速な封じ込めと復旧能力を確保するための対策を講じていること。具体的な対策例としては、情報セキュリティインシデント・生成AIシステム特有のリスクケース発生時の対応のために、生成AIシステムの制御性を強化するための仕組みを具備することが挙げられる。24) 生成AIシステムの開発の過程を通じて、適切にセキュリティ対策を講じていること。具体的な対策例としては、生成AIシステムの開発の過程を通じて、採用する技術の特性に照らして適切なセキュリティ対策を講じることが挙げられる。25) 出力根拠が技術的に合理的な範囲で確認できる状態とするよう対策していること。具体的な対策例としては、「出力根拠（内部動作やその状態、出典等）が可視化される機能を備える生成AIシステムにおいて様々なテストデータを入力した際、出力根拠が表示される仕組みを具備する」、「段階的な推論を行う生成AIシステムにおいて、出力に至るまでの推論の過程をユーザーに提示することが可能となっているかを確認する」、「生成AIシステムの開発過程、意思決定に影響を与えるデータ収集及びラベリング、使用されたアルゴリズム、生成AIシステムのシステムアーキテクチャ、データの処理プロセス等について文書化を行う」等が挙げられる。26) 生成AIシステムが入力に対して安定した出力を行うよう制御等をしていること。具体的な対策例としては、「生成 AI システムに同一のテストデータを複数回入力した際の出力に一貫性があるよう対策を講じる」、「生成AIシステムに意味的に類似した複数のテストデータを入力した際、出力に一貫性があるよう対策を講じる」、「生成AIシステムに摂動したデータ（誤入力、敵対的プロンプト、文字化けデータ、表記ゆれを含むデータ等）を入力した際も安定動作するよう対策を講じる」等が挙げられる。27) 生成AIシステムがアクセスするデータを適切な状態に保つために対策していること。具体的な対策例としては、「学習データ、モデルの学習過程において、バイアス（学習データには現れない潜在的なバイアスを含む）が含まれうることに留意し、生成AIシステムに悪影響を及ぼすデータ（事前学習データ、ファインチューニングやInContext Learning等に向けた学習データやテストデータ等）の品質問題が生じていないことの対策を講じる」、「訓練データの量と質が十分で、実用的な水準まで学習されているかを検証する」、「機微情報を含むデータに対して、期待される保護強度を示すデータ加工（データ匿名加工）を施す技術を有していることや、データの利用目的との整合性からデータ匿名加工の方法を選定する」等が挙げられる。28) 生成AIシステムの開発・提供のプロセスを検証可能としていること。具体的な対策例としては、システムやモデル、データに関する概要や、なりたち、動作についてログや技術仕様等から検証可能にするための管理及び、問題が生じないよう対策を講じることが挙げられる。別添３－Ａ令和 年 月 日経済産業省〇〇〇課長 殿住 所名 称代 表 者 氏 名生成AIに関する事項の実施状況報告書生成AIに関する事項１）の規定に基づき、下記のとおり報告します。記１．契約件名等契約締結日契約件名２．報告事項項目確認事項実施状況生成 AI に関する AI事業者ガイドライン共通の指針を理解・把握・対応していることの宣言が可能である。事項２）生成 AI に関する生成AIシステムの開発・運用に関して、AIガバナンス（※）が適用されている。事項３） ※AIにもたらされる正のインパクトを最大化しつつ、AIによるリスクを受容可能な水準で管理する統制の仕組み・業務。生成 AI に関する生成AIシステムの開発・運用において、品質や説明性を高めるため、AI業界や最新技術事項４） 等の動向を把握している。生成 AI に関する情報セキュリティインシデント・生成AIシステム特有のリスクケース（事業者の責任の事項５） 範囲に属するものに限る。）対応体制・手順を整備している。（開発・運用するサービスにおいて、ユーザーからインシデント報告を受け付け、対応の協力をすることを含む。）生成 AI に関する生成AIシステムの開発・運用に従事する者又は組織について、生成AIに関するリテラ事項６） シー向上の取組を実施している。生成 AI に関する生成AIシステムへの入出力又は処理されるデータの取扱いを適切に管理している。事項７）生成 AI に関する生成AIシステムの期待品質を満たすための取組を行っている。事項８）生成 AI に関する利用している生成AIモデルはバージョン情報を含めて明示可能である。事項９）生成 AI に関する生成AIシステムのアーキテクチャ設計と実装において、ベンダーやシステムの移行の容事項１０） 易性も踏まえた開発や運用が可能である。生成 AI に関するメジャーアップデート又は移行に関する生成AI固有の観点からリスク軽減している。事項１１）生成 AI に関するテロや犯罪に関する情報や攻撃的な表現等、有害情報の出力制限等をしている。事項１２）生成 AI に関する偽誤情報の出力の防止措置を取っている。事項１３）生成 AI に関するユーザーに対し、生成AIシステムの出力を人間から発せられた情報と区別できるように事項１４） する。生成 AI に関する生成AIシステムによる、ユーザーの意思決定の不当な誘導を防止するよう制御等をして事項１５） いる。生成 AI に関する有害なバイアスや、不当な差別の出力制限等をしている。事項１６）生成 AI に関する出力が全てのユーザーにとって理解しやすいものとなるよう対策を講じている。事項１７）生成 AI に関する目的外利用の防止を行い、仮に目的外利用された場合にも危害・不利益を発生しにくく事項１８） なるよう入出力制限等をしている。生成 AI に関する生成AIシステムにおける個人情報の適切な取扱いと、プライバシーの保護が図られるよ事項１９） う対策している。生成 AI に関する生成段階において、知的財産権、肖像権、パブリシティ権の保護が図られるよう対策を事項２０） 講じている。生成 AI に関する学習段階において、知的財産権等の保護が図られるよう対策を講じている。事項２１）生成 AI に関する生成AIシステム全体の脆弱性に対処し、不正操作による影響の防止措置を取っている。事項２２）生成 AI に関する情報セキュリティインシデント・生成 AI システム特有のリスクケース発生を検知した事項２３） 後、その影響を最小限に抑えつつ、迅速な封じ込めと復旧能力を確保するための対策を講じている。生成 AI に関する生成AIシステムの開発の過程を通じて、適切にセキュリティ対策を講じている。事項２４）生成 AI に関する出力根拠が技術的に合理的な範囲で確認できる状態とするよう対策している。事項２５）生成 AI に関する生成AIシステムが入力に対して安定した出力を行うよう制御等をしている。事項２６）生成 AI に関する生成AIシステムがアクセスするデータを適切な状態に保つために対策している。事項２７）生成 AI に関する生成AIシステムの開発・提供のプロセスを検証可能としている。事項２８）記載要領１．「実施状況」は、生成AIに関する事項２）から２８）までに規定した事項について、実施状況をチェックするものであり、調達期間においては、各事項を予定として置き換え、「実施予定」と記載すること。契約期間においては、「実施予定」または「実施」と記載すること。２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。３．この報告書の提出時期：調達期間においては、提案書提出時。契約期間においては契約時に加え、半期を目処（複数年の契約においては年１回以上）。【取得文書: document__（別記）情報セキュリティに関する事項.pdf】R8-U-2（別記）情報セキュリティに関する事項以下の事項について遵守すること。【情報セキュリティ関連事項の確保体制及び遵守状況の報告】1) 受注者（委託契約の場合には、受託者。以下同じ。）は、契約締結後速やかに、情報セキュリティを確保するための体制並びに以下2)～19)に記載する事項の遵守の方法及び提出を求める情報、書類等（以下「情報セキュリティを確保するための体制等」という。）について、経済産業省（以下「当省」という。）の担当職員（以下「担当職員」という。）に提示し了承を得た上で確認書類として提出すること。ただし、別途契約締結前に、情報セキュリティを確保するための体制等について担当職員に提示し了承を得た上で提出したときは、この限りでない。また、定期的に、情報セキュリティを確保するための体制等及び対策に係る実施状況（「情報セキュリティに関する事項の遵守の方法の実施状況報告書」（別紙））を紙媒体又は電子媒体により報告すること。加えて、これらに変更が生じる場合は、事前に担当職員へ案を提出し、同意を得ること。なお、報告の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。【情報セキュリティ関連規程等の遵守】2) 受注者は、「経済産業省情報セキュリティ管理規程（平成18･03･22シ第1号）」、「経済産業省情報セキュリティ対策基準（平成18･03･24シ第1号）」及び「政府機関等のサイバーセキュリティ対策のための統一基準群（令和７年度版）」(以下「規程等」と総称する。)を遵守すること。また、契約締結時に規程等が改正されている場合は、改正後の規程等を遵守すること。3) 受注者は、当省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行うこと。【情報セキュリティを確保するための体制】4) 受注者は、本業務に従事する者を限定すること。また、受注者の資本関係・役員の情報、本業務の実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示すること。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示すること。5) 受注者は、本業務を再委託（業務の一部を第三者に委託することをいい、外注及び請負を含む。以下同じ。）する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、上記1)から19)までの措置の実施を契約等により再委託先に担保させること。また、1)の確認書類には再委託先に係るものも含むこと。【情報の取扱い】R8-U-26) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）の取扱いには十分注意を払い、当省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に担当職員の許可を得ること。なお、この場合であっても、担当職員の許可なく複製してはならない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明すること。7) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく当省外で複製してはならない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明すること。8) 受注者は、本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当職員に返却し、又は廃棄し、若しくは消去すること。その際、担当職員の確認を必ず受けること。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。9) 受注者は、契約期間　中及び契約終了後においても、本業務に関して知り得た当省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。なお、当省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供すること。【情報セキュリティに係る対策、教育、侵害時の対処】10) 受注者は、本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約期間中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施すること。11) 受注者は、本業務の遂行において、情報セキュリティが侵害され、又はそのおそれがある場合の対処方法について担当職員に提示すること。また、情報セキュリティが侵害され、又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従うこと。【クラウドサービス】12) 受注者は、本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する場合には、これらのサービスで要機密情報を取り扱ってはならず、2)に掲げる規程等で定める不正アクセス対策を実施するなど規程等を遵守すること。13）受注者は、本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドサーR8-U-2ビスを調達する際は、「政府情報システムのためのセキュリティ評価制度（ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。14）受注者は、前２項におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。【セキュアな情報システム（外部公開ウェブサイトを含む）の構築・運用・閉鎖】15) 受注者は、情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施すること。①各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。②情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。③不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。（a）不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。（b）不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。（c）不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。（d）不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。（e）EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。④情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。⑤ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメインR8-U-2名、IPアドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。⑥外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。なお、必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。⑦電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeys IdentifiedMail）、DMARC（Domain-based Message Authentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTPによるサーバ間通信のTLS（SSL）化やS/MIME等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARC ポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。⑧ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNSを利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。⑨情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。⑩ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有するIT資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。R8-U-2c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期⑪機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。【アプリケーション・コンテンツの情報セキュリティ対策】16) 受注者は、アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリティ水準の低下を招かぬよう、以下の内容も含めて行うこと。①提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。（a）アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。（b）アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。（c）提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。②提供するアプリケーション・コンテンツが脆弱性を含まないこと。③実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。④電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えるR8-U-2こと。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。⑤提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。⑥当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。17) 受注者は、外部に公開するウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以下「作り方」という。）に基づくこと。また、ウェブアプリケーションの構築又は更改時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施すること。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出すること。なお、チェックリストの結果に基づき、担当職員から指示があった場合は、それに従うこと。【アカウントの運用・管理】18) 主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。19) 情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリティインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。R8-U-2別紙令和 年 月 日経済産業省○○○課長 殿住 所名 称代 表 者 氏 名情報セキュリティに関する事項の遵守の方法の実施状況報告書情報セキュリティに関する事項１）の規定に基づき、下記のとおり報告します。記１．契約件名等契約締結日契約件名２．報告事項項目確認事項実施状況情報セキュリテ本業務全体における情報セキュリティの確保のため、「政府機関等のサイバーセキュィに関する事項リティ対策のための統一基準」（令和７年度版）、「経済産業省情報セキュリティ管理２） 規程」（平成１８・０３・２２シ第１号）及び「経済産業省情報セキュリティ対策基準」（平成１８･０３･２４シ第１号）（以下「規程等」と総称する。）に基づく、情報セキュリティ対策を講じる。情報セキュリテ経済産業省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリィに関する事項ティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指３） 摘事項への対応を行う。情報セキュリテ本業務に従事する者を限定する。また、受注者の資本関係・役員の情報、本業務の実ィに関する事項施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修４） 実績等）、実績及び国籍に関する情報を担当職員に提示する。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示する。情報セキュリテ本業務の一部を再委託する場合には、再委託することにより生ずる脅威に対して情報ィに関する事項セキュリティに関する事項１）から１９）までの規定に基づく情報セキュリティ対策５） が十分に確保される措置を講じる。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製ィに関する事項を含む。）の取扱いには十分注意を払い、経済産業省内に複製が可能な電子計算機等６） の機器を持ち込んで作業を行う必要がある場合には、事前に経済産業省の担当職員（以下「担当職員」という。）の許可を得る。なお、この場合であっても、担当職員の許可なく複製しない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明する。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員ィに関する事項の許可なく経済産業省外で複製しない。また、作業終了後には、複製した情報が電子７） 計算機等から消去されていることを担当職員が確認できる方法で証明する。R8-U-2情報セキュリテ本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務ィに関する事項に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当８） 職員に返却し、又は廃棄し、若しくは消去する。その際、担当職員の確認を必ず受ける。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。情報セキュリテ契約期間　中及び契約終了後においても、本業務に関して知り得た経済産業省の業務上ィに関する事項の内容について、他に漏らし、又は他の目的に利用してはならない。９） なお、経済産業省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供する。情報セキュリテ本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対ィに関する事項策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を１０） 講じるとともに、契約期間　中にこれらの対策や情報セキュリティインシデント等に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施する。情報セキュリテ本業務の遂行において、情報セキュリティが侵害され又はそのおそれがある場合の対ィに関する事項処方法について担当職員に提示する。また、情報セキュリティが侵害され又はそのお１１） それがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従う。情報セキュリテ本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、ィに関する事項定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する１２） 場合には、これらのサービスで要機密情報を取り扱ってはならず、「情報セキュリティに関する事項２）」に定める不正アクセス対策を実施するなど規程等を遵守する。情報セキュリテ本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドィに関する事項サービスを調達する際は、「政府情報システムのためのセキュリティ評価制度１３） （ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。情報セキュリテ情報セキュリティに関する事項１２）及び１３）におけるクラウドサービスの利用のィに関する事項際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報１４） を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。情報セキュリテ情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等ィに関する事項 （電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等の１５） ハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施する。（１）各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。（２）情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。（３）不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。①不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。②不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。③不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。④不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。⑤EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。（４）情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要なR8-U-2内容を含めること。（５）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IPアドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。（６）外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。・必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。（７）電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（ DomainKeys Identified Mail ）、 DMARC （ Domain-based MessageAuthentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともに SMTP によるサーバ間通信の TLS（SSL）化やS/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARCポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。（８）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNS を利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。（９）情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。（１０）ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT 資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期（１１）機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。R8-U-2a)「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。情報セキュリテアプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等ィに関する事項の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリテ１６） ィ水準の低下を招かぬよう、以下の内容も含めて行う。（１）提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。①アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。②アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。③提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。（２）提供するアプリケーション・コンテンツが脆弱性を含まないこと。（３）実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。（４）電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。（５）提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。（６）当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。情報セキュリテ外部公開ウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、ィに関する事項独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以１７） 下「作り方」という。）に従う。また、ウェブアプリケーションの構築又は改修時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施する。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出する。なお、チェックリストの結果に基づき、担当職員から指示があった場合には、その指示に従う。情報セキュリテ主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第ィに関する事項三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫１８） 用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。情報セキュリテ情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素ィに関する事項主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリテ１９） ィインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。R8-U-2ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。記載要領１．「実施状況」は、情報セキュリティに関する事項２）から１９）までに規定した事項について、情報セキュリティに関する事項１）に基づき提出した確認書類で示された遵守の方法の実施状況をチェックするものであり、「実施」、「未実施」又は「該当なし」のいずれか一つを記載すること。「未実施」又は「該当なし」と記載した項目については、別葉にて理由も報告すること。２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。（この報告書の提出時期：定期的（契約期間における半期を目処（複数年の契約においては年１回以上））。）【取得文書: document__（様式１）情報管理体制.pdf】（様式１）情報取扱者名簿及び情報管理体制図①情報取扱者名簿パスポート氏名個人住所生年月日所属部署役職番号及び国籍（※４）情報管理責 Ａ任者（※１）情報取扱管 Ｂ理者（※２） Ｃ業務従事者 Ｄ（※３） Ｅ再委託先 Ｆ（※１）受注事業者としての情報取扱の全ての責任を有する者。必ず明記すること。（※２）本事業の遂行にあたって主に保護すべき情報を取り扱う者ではないが、本事業の進捗状況などの管理を行うもので、保護すべき情報を取り扱う可能性のある者。（※３）本事業の遂行にあたって保護すべき情報を取り扱う可能性のある者。（※４）日本国籍を有する者及び法務大臣から永住の許可を受けた者（入管特例法の「特別永住者」を除く。）以外の者は、パスポート番号等を記載。（※５）住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。②情報管理体制図（例）情報取扱者情報管理責任者 AB C情報取扱管理者（進捗状況管理） （経費情報管理）業務従事者 D E再委託先 F【情報管理体制図に記載すべき事項】・本事業の遂行にあたって保護すべき情報を取り扱う全ての者。（再委託先も含む。）・本事業の遂行のため最低限必要な範囲で情報取扱者を設定し記載すること。