【本省】令和８年度経済産業省情報セキュリティ監査等業務役務請負

【取得文書: public-notice__（資料番号１）入札公告.pdf】区分：総合評価落札方式入札件名：令和８年度経済産業省情報セキュリティ監査等業務役務請負本件に係る資料は、以下記載の資料番号１～１６から構成されており、紙配付は行っていないため、調達ポータルサイト及び経済産業省ホームページから必ずダウンロードすること。なお、入札説明会に参加の際は、各自、持参すること。【調達ポータルサイトからダウンロードする資料】資料番号資料名１ 入札公告２仕様書３ 評価項目一覧４契約書案【経済産業省ホームページ（※）からダウンロードする資料】資料番号資料名経済産業省入札心得（総合評価落札方式電子調達システム対応版）６予算決算及び会計令（抜粋）７応札資料作成要領８評価手順書（加算方式）９ （様式１）質問状（様式２）入札参加表明書【提案書等を電子調達システムにて提出しない場合】１１ （様式３）入札書［紙による入札の場合］１２ （様式４）理由書［紙による入札の場合］１３ （様式５）委任状［紙による入札の場合］１４ （様式６）提案書ひな型１５ （様式７）見積書(様式８)従業員への賃金引き上げ計画の表明書【表明する意思がある場合】（中小企業等）※https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo資料番号１入札公告次のとおり一般競争入札に付す。本公告に基づく入札については、関係法令、経済産業省入札心得（資料番号５、以下「入札心得」という。）及び電子調達システムを利用する場合における「調達ポータル・電 子 調 達 シ ス テ ム 利 用 規 約」 （ https://www.p-portal.go.jp/pps-web-biz/resources/app/pdf/riyoukiyaku.pdf）に定めるもののほか下記に定めるところによる。また、入開札手続は、原則、電子調達システムを利用するものとし、システム障害等が発生し電子調達システムが利用できない場合には、別途通知する日時に変更する場合がある。令和４年度から政府として、「コロナ克服・新時代開拓のための経済対策」（令和３年11月19日閣議決定）及び「緊急提言～未来を切り拓く「新しい資本主義」とその起動に向けて～」（令和３年11月８日新しい資本主義実現会議）において、賃金引上げを行う企業から優先的に調達を行う措置などを検討するとされたことを受け、全省庁統一の取組として総合評価落札方式の評価項目に賃上げに関する項目を設けることにより、賃上げを実施する企業に対して技術点の加点を行う。「資料番号１６」の内容を承知の上で、入札をすること。令和８年９月１６日支出負担行為担当官経済産業省大臣官房会計課長玉井優子１．競争入札に付する事項（１） 件名令和８年度経済産業省情報セキュリティ監査等業務役務請負（２）仕様、履行期限及び納入場所等別紙仕様書（資料番号２）のとおり。（３）入札方法入札金額は、本件に関する総価で行うこととし、入札金額の積算は以下ア、イに掲げる事項について考慮1すること。ア．入札金額に人件費（労務費）に相当する経費が含まれる場合契約期間　中に最低賃金額、自社の給与額の改定が見込まれる場合にはその改定見込を考慮した単価により積算する（契約期間　中の改定見込額の算出が困難な場合には直近の改定実績を踏まえた積算も可とする）。イ．入札金額に原材料費、エネルギーコストの上昇の影響を受ける経費が含まれる場合契約期間　中に原材料費、エネルギーコストの高騰により、経費の増額が見込まれる場合にはその増加見込を考慮した単価により積算する（契約期間　中の増加見込額の算出が困難な場合には直近の増加実績を踏まえた積算も可とする）。なお、本件については入札に併せて提案書を提出し、技術審査を受けなければならない。落札決定に当たっては、入札書に記載された金額に当該金額の１０パーセントに相当する額を加算した金額（当該金額に１円未満の端数が生じたときは、その端数金額を切り捨てるものとする。）をもって落1積算方法等については中小企業庁が公表している価格交渉・転嫁の支援ツール（https://www.chusho.meti.go.jp/keiei/torihiki/shien_tool.html）、公正取引委員会が公表している労務費の適切な転嫁のための価格交渉に関する指針（https://www.jftc.go.jp/dk/guideline/unyoukijun/romuhitenka.html）を参照すること。札価格とするので、入札者は消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約金額の１１０分の１００に相当する金額を入札書に記載すること。２．競争参加資格（１）予算決算及び会計令（資料番号６、以下「予決令」という。）第７０条及び第７１条の規定に該当しない者であること。なお、未成年者、被保佐人又は被補助人であって、契約締結のために必要な同意を得ている者は、予決令第７０条中、特別の理由がある場合に該当する。（２）令和７・８・９年度経済産業省競争参加資格　（全省庁統一資格）「役務の提供等」の「Ａ」、「Ｂ」、「Ｃ」又は「Ｄ」の等級に格付されている者であって、「情報処理」の営業品目を選択した者であること。（３）経済産業省からの補助金交付等停止措置又は指名停止措置が講じられている者ではないこと。なお、経済産業省から補助金交付等停止措置又は指名停止措置が講じられている事業者に再請負させる場合は注文者の承諾が必要となる。（事業者一覧はこちら）https://www.meti.go.jp/information_2/publicoffer/shimeiteishi.html（４）過去３年以内に情報管理の不備を理由に経済産業省との契約を解除されている者ではないこと。３．契約条項を示す場所等（１）契約条項を示す場所資料番号１～１６のとおり。本件に係る資料は以下の方法により入手することとし、入札説明会等での紙配付は行わないので注意すること。ア．表紙及び資料番号１～４調達ポータルサイトの「調達情報の検索調達種別の選択」から「一般競争入札の入札公示（ＷＴＯ対象外）」を選択し、必要な情報を入力又は選択し本件を検索の上、本件の「調達資料」を必ずダウンロードすること。https://www.p-portal.go.jp/pps-web-biz/UAA01/OAA0101イ．資料番号５～１６経済産業省ホームページから必ずダウンロードすること。https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo（２）入札説明会の日時及び場所入札説明会に代えて、メールで質問を受け付けることとする。質問がない場合でも寄せられた質問及び回答を共有するので、本公告末尾に記載の担当者に対し、連絡先（社名、担当者名、電話番号、メールアドレス）を登録すること。登録期限は（３）質問期限と同じ日時とする。（３）質問期限令和８年１０月１日（木）１２時００分仕様書、提案書、評価項目一覧表等本件について質問等がある場合は、（様式１）質問状（資料番号９）へ記載し、本公告末尾に記載の担当者宛てメールにて提出すること。なお、電子調達システムを使用しての質問は不可とする。（４）提案書等・入札書の提出期限、提出場所及び提出方法等ア．提案書等・入札書の提出期限令和８年１０月１３日（火）１２時００分イ．提案書等の提出場所及び提出方法【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、「証明書・提案書等提出」画面から以下に示す提案書等の［提出資料］を送信すること。なお、電子調達システムの仕様により、電子ファイル添付の容量等に制約があることから、送信困難な場合には、本公告末尾に記載する担当者が指定する方法等により適宜提出すること。【その他の方法による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、以下に示す提案書等の［提出資料］を本公告末尾に記載の担当者へ、次の方法により提出すること。a郵送による提出配達記録が残る形でア.の提出期限までに必着とし、入札書を同封しないよう留意すること。ｂ電子メールによる提出ア.の提出期限までに受信を完了するよう送信することとし、入札書を送信しないよう留意すること。ｃ持参による提出ア.の提出期限までに本公告末尾に記載する担当者宛て持参すること。［提出資料］〈紙による提出の場合の部数〉・提案書〈紙媒体1部、電子媒体（CD-R等）１部〉・評価項目一覧（資料番号３）の提案書ページ番号欄に必要事項を記入したもの〈提案書と同一部数〉・（様式８）従業員への賃金引上げ計画の表明書（資料番号１６）（表明する意思がある者のみ提出すること）〈提案書と同一部数〉・令和７・８・９年度競争参加資格　審査結果通知書（全省庁統一資格）の写し〈１部〉・参考見積書（1部）ウ．入札書の提出場所及び提出方法入札書の提出は、以下の方法のみであり、メール等その他の方法による場合は無効とする。【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、次に「入札（見積）書提出」画面にて必要情報を入力し、「入札書提出内容確認」画面にて入札内容を確認し、「提出」ボタンを押下すること。なお、個人事業主に加えて、入札参加者から委任等を受けた者のマイナンバーカードを用いて電子入札を行うことができるものとする。※電子調達システムにより入札書を提出するためには、先に「証明書・提案書等提出」画面にて［提出資料］又は（様式２）入札参加表明書（資料番号１０）を提出しなければならないことに注意する。【紙による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、本公告末尾に記載の担当者へ、（様式３）入札書（資料番号１１）及び（様式４）理由書（資料番号１２）を紙により提出（持参又は郵送）すること。※入札書を入れる封筒には入札書のみを入れ、密封し、その封筒の表に入札者の氏名（法人の場合はその名称又は商号）及び件名を記載して提出すること。提案書等の他の資料は同封しない。エ．留意点・代理人による入札の場合、電子調達システムにより入札書を提出する者は同システムで定める委任手続を行い、紙により入札書を提出する者は（様式５）委任状（資料番号１３）を提出すること。・提案書等は、応札資料作成要領（資料番号７）及び（様式６）提案書ひな型（資料番号１４）を確認の上作成すること。・提出した提案書等・入札書は、変更及び取消しをすることができず、また、返却は行わない。・提案書等の作成に要する費用は入札者の負担とする。・提出した提案書等について経済産業省から説明を求められた場合は、入札者の責任において速やかに説明しなければならない。・提案書等は、本入札に関する審査以外の目的には使用しない。（５）入札者による提案書等の説明（プレゼンテーション）プレゼンテーションは実施しない。（６）開札の日時及び場所令和８年１０月２０日（火）１５時００分経済産業省本館１階入札会議室開札を行った結果、予定価格の制限に達した価格の入札がないときは、直ちに再度の入札を行う。その場合、紙により入札書を提出した者は上記の開札場所において、電子調達システムにより入札書を提出した者は同システムにおいて再度の入札を行うこと。なお、再度入札の提出期限までに入札のない場合は、再度入札を辞退したものとみなす。※電子調達システムにより入札書を提出した者は、同システムの『入札（見積、落札）状況確認』画面及び『開札結果確認』画面にて、開札の状況を確認できる。（７）電子調達システムの利用　範囲電子調達システムは、上記（４）、（６）にてのみ利用するものとし、それ以外の機能については利用不可とする。４．入札の無効入札心得第１１条に該当する入札は無効とする。５．落札者の決定方法入札心得第１４条から第１６条に基づき落札者を決定する。なお、総合評価点の点数配分は以下のとおり。評価方法の詳細については評価手順書（加算方式）（資料番号８）を参照のこと。総合評価点＝技術点（２００点）＋価格点（２００点）６．入札保証金及び契約保証金　全額免除７．見積書及び契約書等（１）見積書の提出落札者は、見積書を直ちに提出すること。作成に当たっては、（様式７）見積書（資料番号１５）を参考とすること。※様式中の「確定契約」は委託事業における契約を指す。本件は事業内容に応じた内訳を適宜作成とする。（２）契約書落札者は、契約書案（資料番号４）をもとに契約を締結することとなるため、契約条項の内容を承知の上入札すること。落札者に対して、電子調達システムを利用した電子契約締結の可否（否の場合その理由の回答を含む。）を確認する場合があるので、承知の上入札すること。○契約書（役務請負契約条項）https://www.meti.go.jp/information_2/downloadfiles/r8ukeoi_format.pdf８．支払の条件契約代金は、契約書記載の条件により、適法な支払請求書を受理した日から３０日以内に支払うものとする。９．その他（１）本入札では、中小企業等が、「給与総額」を対前年度（又は対前年）に比べ増加率２．５％以上とする旨を様式８(資料１６)により表明した（※１）場合、加点することとしている。また、様式８（資料１６）で表明した賃上げが実行されているか、事業年度等終了後、「法人事業概況説明書」等により確認することとしているため、確認のため必要な書類は速やかに本公告末尾に記載の担当者へ提出すること。なお、確認の結果、表明した賃上げが実行されていない場合等においては、当該事実判明後の総合評価落札方式において所定の点数を減点するものとする。詳細は様式８（資料１６）裏面の（留意事項）を確認すること。※１対前年度又は対前年のいずれかを選択して表明すること。当該選択に応じて表明に用いる様式が異なるので留意すること。注）「様式８（資料１６）」は表明書（別紙１）を指す。（２）「ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議」（令和５年４月３日決定）において、政府の実施する公共調達においては、入札する企業における人権尊重の確保に努めるとされたことを受け、当該事業の落札者に対しては「責任あるサプライチェーン等における人権尊重のためのガイドライン」（令和４年９月１３日ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議決定）を踏まえて人権尊重に取り組むよう努めることを求めている。当該ガイドラインの内容を承知の上で、入札をすること。https://www.meti.go.jp/press/2022/09/20220913003/20220913003-a.pdf（３）「中小企業者に関する国等の契約の基本方針について」において、最低賃金額の改定に伴う契約金額の見直し及び労務費、材料費、エネルギーコスト等の上昇への対応について定められていることを踏まえ、以下の措置を実施する。ア．入札者においては、１．（３）入札方法に記載のとおり、入札金額に労務費、原材料費、エネルギーコスト等（以下「労務費等」という。）の改定、増加をあらかじめ反映する。イ．経済産業省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。ウ．単年度の契約については、契約締結後の状況変更により契約金額の見直しが必要となった場合には、協議を行い、見直しを行うこととする。中小企業者に関する国等の契約の基本方針についてhttps://www.chusho.meti.go.jp/keiei/torihiki/kankoju.html#K01１０．問合せ先（１）電子調達システムに関する照会先（操作方法等）調達ポータル・電子調達システムヘルプデスク電話０５７０－０００－６８３（ナビダイヤル）０３－４３３２－７８０３（ＩＰ電話等を御利用の場合）ＦＡＸ ０１７－７３１－３３５２受付時間平日９時００分～１７時３０分（国民の祝日・休日、１２月２９日から１月３日までの年始年末を除く。）ＵＲＬ https://www.p-portal.go.jp/pps-web-biz/UZA02/OZA0201（２）その他、本件に関する連絡先（メール等による提案書等、紙による入札書、質問状等の提出先）〒１００－８９０１東京都千代田区霞が関１－３－１経済産業省大臣官房会計課契約担当（本館１０階東１）担当者：永田電話０３―３５０１―１６１６（ダイヤルイン）Ｅ－ｍａｉｌ [email protected]【取得文書: specifications__（資料番号２）仕様書.pdf】仕 様 書１. 契約件名令和８年度経済産業省情報セキュリティ監査等業務役務請負２. 目的近年、政府機関や重要インフラ関連企業等に対する不審メール攻撃や DDoS 攻撃、ネットワークを介した個人情報等重要情報漏えい事案及び国民生活・経済活動を支える重要インフラにおける情報システム障害事案の発生等、情報セキュリティに対する脅威は、日々増大する傾向にある。また、情報セキュリティの確保は、権利権益の保護、経済活動や行政機能の維持、更には安全保障に至る様々な分野において益々重要な課題となっている。このような中、経済産業省（以下「当省」という。）では、「経済産業省情報セキュリティ管理規程」及び「経済産業省情報セキュリティ対策基準」（以下「情報セキュリティポリシー」という。）を制定し、情報セキュリティの確保に取り組んでいるところであるが、情報セキュリティ対策の適切な実施に当たり、客観的な視点から情報セキュリティポリシーに基づいた対策の実施状況を監査、評価する必要がある。このため、経済産業省情報セキュリティ監査等業務（以下「本業務」という。）は、経済産業省情報セキュリティ対策基準第１７条第１項の規定に基づき策定した経済産業省情報セキュリティ監査計画に従い、システム運用時における情報セキュリティ対策実施状況の監査等を実施する。３. 業務内容受注者は、以下に示す（１） 当省内各課室にて策定している課室ルールに対する監査及び、（２）システム運用時における情報セキュリティ対策実施状況の監査を公正かつ客観的な立場で実施すること。なお、監査は、助言型監査とする。本業務で使用するチェックリスト等は、当省担当者と協議のうえで作成すること。チェックリスト等に変更の必要性が生じた場合には、その内容及び代替となる手続きの案を当省と協議等を行った上で、本業務を実施すること。（１）当省内各課室にて策定している課室ルールに対する監査下記①、②の監査を実施すること。① 書面による監査監査対象課室に対して、監査項目を記載したチェックリスト（各課室で保有する情報の利用・管理において、当省の情報セキュリティ関係規定上、守らなければ情報漏えい等のリスクが大きい事項を10項目程度でチェックリスト化したもの）を用いて、以下の作業を行うこと。また、『①書面による監査』は、『②対面による監査』の監査対象も含まれることから、『②対面による監査』の前に実施する。・作業内容(ア) 根拠となる規程類・専門的知見から、インシデントが発生していた場合は再発防止策等が適切に実施されているかといった観点を含めて、監査を実施するために必要なチェックリストを10項目程度で作成する。チェックリストは前年度のチェックリストを参考にし、経済産業省大臣官房業務改革課情報システム室の担当職員（以下、「担当職員」という。）と調整のうえ重点化するべき事項を重点的に監査できるチェックリストとする。(イ) 作成したチェックリストを監査対象課室に配布し回答依頼、質問対応、回答の督促、取りまとめを行う。（なお、監査対象課室がチェックリストへの回答をする際に、自社のアンケートシステムを利用するか、当省システム（Microsoft Forms）を利用することができる。）(ウ) 回収したチェックリストから、受注者が予め設定した客観的な判断基準に基づき、適合・不適合の判定を行う。(エ) ウの適合・不適合の結果を監査結果として分析し、以下｢４．監査手順｣に則り、報告書に取りまとめること。・監査対象対象課室：51課室を予定しているが、数課室程度減少する可能性がある。② 対面による監査監査対象課室に対して、以下の作業を行うこと。なお、本監査は、担当職員の了承を得た上で、必要に応じて改善を実施し、監査を実施することができる。また、本監査の実施にあたって必要になる事前の監査確認事項については、監査を実施する前に、『①書面による監査』に加えて、別途、書面を用いて情報の提供を求めることができる。また、監査対象課室が当省及び特許庁に所属する場合は対面又はオンライン会議で実施し、地方支分部局の場合は原則オンライン会議で実施する。なお、オンライン会議は原則Microsoft Teamsを用いて行うこととし、受注者は自社等において会議の招待・参加できる機器・環境等を用意すること。・作業内容(ア) 各課室で保有している情報の利用・管理状況が、当省の情報セキュリティ関係規定に準拠し、適切な運用がなされているか確認すること。対面監査1回あたり最大で60分とし、①（書面監査）の回答内容や前年度のインシデント対応結果、情報セキュリティリスクを踏まえて実施すること。対面による監査の場で被監査課室へ証跡等の提示を求める可能性のあるものは、可能な限り事前に通知すること。(イ) 監査の実施にあたって、事前に必要となる確認事項がある場合は、インタビュー法による監査を実施する前に、対象課室に対して書面による情報の提供を求めること。(ウ) 監査対象課室に対してインタビュー法を用いて、監査を実施すること。(エ) 監査結果については以下｢４．監査手順｣に則り、報告書に取りまとめること。・監査対象対象課室：8課室を予定しているが、数課室程度減少する可能性がある。（２）情報システム運用時における情報セキュリティ対策実施状況の監査① 書面による監査監査対象システムを管理・運用する課室の職員等に対して、監査項目を記載したチェックリスト（情報システムの管理・運用において、当省の情報セキュリティ関係規定や委託契約書上、特に守らなければならない基礎的な事項や運用方法により情報漏えい等のリスクが大きくなる事項を15項目程度でチェックリスト化したもの）を用いて以下の作業を行うこと。また、『①書面による監査』は、『②対面による監査』の監査対象も含まれることから、『②対面による監査』の前に実施する。・作業内容(ア) 根拠となる規程類・専門的知見から、監査を実施するために必要なチェックリストを、担当職員と調整のうえ重点化するべき事項を15項目程度で重点的に監査できるチェックリストとする。監査対象のリスクに応じて、チェック項目を限定（リスクの低い情報システムはチェック項目が減ることを想定）できるようにし、チェックリストは前年度に担当職員で作成したチェックリストを参考にしてもよい。(イ) 作成したチェックリストを監査対象システムの担当者に配布し回答依頼、質問対応、回答の督促、取りまとめを行う。（なお、監査対象システムの担当者がチェックリストへの回答をする際に、自社のアンケートシステムを利用するか、当省システム（Microsoft Forms）を利用することができる。）(ウ) 回収したチェックリストから、受注者が予め設定した客観的な判断基準に基づき、適合・不適合の判定を行う。(エ) ウの適合・不適合の結果を監査結果として分析し、以下｢４．監査手順｣に則り、報告書に取りまとめること。・監査対象対象システム数：154システムを予定しているが、数システム程度減少する可能性がある。② 対面による監査対面による監査の対象となるシステムが、当省の情報セキュリティに関する規程類や調達仕様書で定められた運用をおこなっているか等を対面で確認すること。対面監査１回あたり最大で60分とし、監査対象システムを担当する課室（当該システムの運用・保守等を委託等されている事業者の同席も可）に対してインタビュー法を用いて、以下のア及びイの監査を行うこと。なお、本監査は、担当職員の了承を得た上で、必要に応じて改善を実施し、監査を実施することができる。本監査の実施にあたって必要になる事前の監査確認事項については、監査を実施する前に、『①書面による監査』に加えて、別途、書面を用いて情報の提供を求めることができる。また、監査対象システムの担当者が当省及び特許庁に所属する場合は対面又はオンライン会議で実施し、地方支分部局の場合は原則オンライン会議で実施する。なお、オンライン会議は原則Microsoft Teamsを用いて行うこととし、受注者は自社等において会議の招待・参加できる機器・環境等を用意すること。・作業内容(ア) 当省の情報セキュリティに関する規定類に定められた運用を行っているか、委託先へは調達仕様書で定められた運用を行うよう具体的にどのような周知や指示を行い実施しているか、仕様等に準拠したシステムとなっているか、システム担当者（必要に応じて、システムの運用・保守等を担当する委託・請負事業者）に対してインタビューし、確認すること。監査項目については①のチェックリストを用いてもよい。(イ) サービスの重要性や取り扱う情報に応じたシステム運用・体制構築がなされているか確認を行うこと。具体的な重要性の判断基準例は以下のとおり。・監査対象システムの規模（運用・管理に係る経費、利用ユーザ数）、取扱う情報（要機密情報や個人情報の取扱いの有無）、サービスの形態（外部に公開している電子申請システムであるか等）、運用基盤（オンプレ、IaaS、PaaS、SaaS 等）等の特性を把握した上で、リスクを踏まえた運用がなされているかを監査すること。(ウ) 監査の実施にあたって、事前に必要となる確認事項がある場合は、インタビュー法による監査を実施する前に、対象課室に対して書面による情報の提供を求めること。(エ) 監査結果については以下｢４．監査手順｣に則り、報告書に取りまとめること。・監査対象対象システム数：5システムを予定うち経済産業省4システムを予定うち特許庁1システム※を予定※：特許庁のシステムについては大規模システムであり、構成する全要素システムをサーバ等ごとに分類し、このうち最大5つのサーバ等を選抜して対応予定（３）本事業の実施に当たって・ 原 則 と し て 「デ ジ タ ル・ ガ バ メ ン ト 推 進 標 準 ガ イ ド ラ イ ン」（https://www.digital.go.jp/resources/standard_guidelines/）等に記載された事項を遵守すること。また、今後契約期間　中に当該文書が改定された場合には、それに従うこととする。・効率的な作業の進め方や専門的知見に基づく提案等がある場合には、担当職員と協議の上、当該提案等に基づき実施すること。・受注者は、監査計画書に基づき、監査全体の工程管理を行うこと。・インタビュー法による監査実施時、および担当職員との打合せ時は、受注者が議事概要を作成すること。また、監査実施終了時及び担当職員との打合せの最後に、受注者が会議の決定事項を共有すること。決定事項の追記・変更は参加者の合意でのみ行うこと。（４）契約金額内訳について受注者は、デジタル・ガバメント推進標準ガイドライン「別紙２情報システム経費区分」に基づき区分等した契約金額の内訳が記載されたエクセルの電子データを契約締結後速やかに提出すること。４. 監査手順監査の実施に当たっては、以下の手順により行うこと。（１）監査計画書の作成受注者は、各監査手順の実施日程及び監査の概要等を定めた監査計画書を契約締結後速やかに作成し、担当職員の了承を得ること。なお、以下の（２）から（７）まで以外に監査人が監査を遂行するために必要と考える手順等がある場合は、担当職員と協議の上、監査計画書に含めた上で実施すること。（２）監査実施前の予備知識の確認① 政府機関等の情報セキュリティ対策のための統一基準群、情報セキュリティポリシー及び実施手順書等を把握すること。② 前述①に係る当省内体制の概要を把握すること。③ 監査対象の概要を把握し、関与する当省内組織の概要、関係する書面類及び規程類を把握すること。（３）監査手続書の作成監査手続書を作成し、本調査における監査手法の決定、被監査対象（監査する項目）の選定、本調査実施スケジュール等について、担当者と調整を行うこと。なお、監査手続書には以下の項目を含むこと。監査手続書の提出期限は、担当職員と調整して決めること。① 件名、作成日、監査責任者名② 監査実施予定日、監査予定項目③ 被監査部門名④ 監査詳細項目、必要資料名及び監査手法（４）本調査の実施監査手続書に基づき、監査を実施すること。（５）監査結果速報の作成本調査実施後、１週間目途で結果概要等を速報として書面で作成し、担当職員へ報告すること。（６）監査調書監査調書の作成に当たっては、担当職員と協議の上、遅滞なく監査調書を作成すること。なお、監査調書には以下の項目を含むこと。① 件名、作成日、監査責任者名② 監査実施日③ 被監査部門名及び被監査部門対応者④ 監査資料名⑤ 監査項目及び監査結果（課題の有無及び内容）⑥ 検出事項とその影響度、改善提言の有無及び内容⑦ 所見（７）監査報告書について監査報告書の作成に当たっては、担当職員と協議のうえ作成すること。その際、監査報告書を要約した概要版を併せて作成すること。また、監査報告書の提出に先んじて、報告会を開催すること。報告会の開催時期については、担当職員と調整して決めること。なお、監査報告書には以下の項目を含むこと。① 監査内容について監査項目、監査方法及び監査実施状況（被監査部門、監査実施場所、監査実施日及び被監査部門対応者名）② 監査結果について被監査部門の現状、監査結果の詳細、指摘事項、想定されるリスク及び改善提言③ 指摘事項の根拠となる資料５.納入期限令和９年３月２６日（金）６. 納入物品本業務における納入物品は、以下のとおり。納入物品ごとの各項に提出期限が記載されている場合は期限までに担当職員による確認を受け提出するとともに、最終版を契約期間　中に納入しなければならない。（１）監査計画書 （４．（１）参照）（２）監査手続書 （４．（３）参照）（３）監査結果速報 （４．（５）参照）（４）監査調書 （４．（６）参照）（５）監査報告書 （４．（７）参照）（６）監査報告書概要版 （４．（７）参照）上述の（１）～（６）の納入物品については、日本語で作成された電子媒体（Microsoft Word 365、Microsoft Excel 365又はMicrosoft Power Point 365等でレイアウトの崩れなく読み取れるように作成されたファイル、及び当該ファイルを PDF形式で保存したファイルを提出すること。納入方法は、メール提出やファイル交換サイト等の手段を用いること。なお、具体的な納入方法は担当職員と協議の上、決定すること。７.納入場所経済産業省大臣官房業務改革課情報システム室８. 受注者の要件（１）受注者は、独立行政法人情報処理推進機構が公開している「情報セキュリティサービス基準適合サービスリスト」のうち「情報セキュリティ監査サービス」リストに登録されていること。（２）受注者は、「システム監査企業台帳に関する規則(平成３年通商産業省告示第７２号)」に基づく「令和７年度システム監査企業台帳」に登録されており、かつ「令和８年度システム監査企業台帳」を申告していること。（３）受注者は、令和５年度以降において、自社以外の情報セキュリティ監査の実績を１件以上、かつ、システム監査の実績を１件以上有すること。（４）受注者は、「政府機関等のサイバーセキュリティ対策のための統一基準群に基づく情報セキュリティ監査の実施手引書（令和７年７月内閣官房国家サイバー統括室）」の「第３部1.2.(8)」に記載する「独立性」を満たしていること。（５）受注者は本作業における体制図を作成すること。また２名以上の監査人の全てを受注者内から選任し、監査人のうち１名を監査責任者とすること。（６）監査責任者は、次の①から④のうち二つ以上（①の中での二つ以上は除く。）の資格を有すること。また、監査責任者を除く監査人の半数以上は、次のいずれかの資格を有する、又は当該資格者と同等以上の能力を有することを証明すること。① 経済産業大臣が認定する情報処理安全確保支援士（旧情報セキュリティスペシャリスト）若しくはシステム監査技術者又は国際情報システムセキュリティ認証コンソーシアム（(ISC)² （International Information SystemsSecurity Certification Consortium））が認定する CISSP（CertifiedInformation Systems Security Professional）の資格② 情報システムコントロール協会（ISACA）が認定する公認情報システム監査人（CISA）の資格③ 特定非営利活動法人日本システム監査人協会（SAAJ）が認定する公認システム監査人の資格④ ISO/IEC 27001に関する審査員以上の資格（７）監査人は、令和５年度以降において、自社以外の情報セキュリティ監査の実績を１件以上、かつ、システム監査の実績を１件以上有すること。９.その他（１）情報管理体制① 受注者は本事業で知り得た情報を適切に管理するため、次の履行体制を確保し、注文者に対し「情報取扱者名簿」（氏名、住所、生年月日、所属部署、役職等が記載されたもの）及び「情報セキュリティを確保するための体制を定めた書面（情報管理体制図）」（別添様式）を契約前に提出し、担当課室の同意を得ること。（住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。）なお、情報取扱者名簿は、契約業務の遂行のため最低限必要な範囲で情報取扱者を掲載すること。（確保すべき履行体制）契約を履行する一環として契約相手方が収集、整理、作成等した一切の情報が、経済産業省が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること。② 本事業で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならないものとする。ただし、担当課室の承認を得た場合は、この限りではない。③ ①の情報セキュリティを確保するための体制を定めた書面又は情報取扱者名簿に変更がある場合は、予め担当課室へ届出を行い、同意を得なければならない。（２）履行完了後の情報の取扱い国から提供した資料又は国が指定した資料の取扱い（返却・削除等）については、担当職員の指示に従うこと。業務日誌を始めとする経理処理に関する資料については適切に保管すること。（３）納入物品に関する著作権は、原則として、当省に帰属するものとする。なお、既に受注者又は第三者が所有する著作権を使用するときは、受注者はその使用に関する一切の責任を負うものとする。また、国が公共の利益のために特に必要があるとしてその理由を明らかにして求める場合には、無償で当該著作権を利用する権利を国に許諾することを受注者が約すること。（４）契約期間　中及び契約期間　終了後において、本業務により知り得た当省の各システムの情報等について、受注者が選任した監査人のみが適切に管理し、いかなる場合においても他者には漏えいしないこと。また、他の目的に使用しないこと。（５）監査の実施に当たっては、監査人をあらかじめ登録し、担当職員の了承を得ること。（６）監査人は、担当職員及び被監査部門の担当者と日本語でコミュニケーションが可能で、かつ、良好な関係が保てること。（７）業務上不明な事項が生じた場合は、担当職員の指示に従うこと。（８）監査人は、事実の認定、影響度の判断、意見の表明等を行う場合は、公正・不偏の態度を保持すること。（９）監査の実施に際して、緊急に対応を要する事項が明らかになったときは、直ちに口頭をもって担当職員に報告し、後日、書面による報告を行うこと。なお、報告に基づく対応については、担当職員の指示に従うこと。（１０）監査の実施に際しては、被監査部門に対し、業務の手順、システムの運用方法等について直接指揮・命令を行わないこと。（１１）監査は、被監査部門の通常業務に支障を来さないように十分留意の上実施すること。（１２）監査責任者は、監査計画に基づく進ちょく状況について常に把握し、担当職員からの問い合わせに対して迅速に対応できるようにすること。（１３）受注者は、別記の情報セキュリティに関する事項を遵守すること。（１４）入札予定者は、仕様書の３．（１）（２）に記載された前年度に利用したチェックリストを提案書提出締切日の前日までに担当職員により提示を受け、閲覧することができる。閲覧を希望する場合は、連絡先（部署名、担当者名、電話番号及びメールアドレス）と希望日時、閲覧希望者全員の氏名・部署名を記入のうえ、メールで問い合わせること。後日、担当職員から返信される電子メールの指示に従い閲覧を行うこと。（１５）「中小企業者に関する国等の契約の基本方針について」において、最低賃金額の改定に伴う契約金額の見直し及び労務費、材料費、エネルギーコスト等の上昇への対応について定められていることを踏まえ、以下の措置を実施する。ア．受注者においては、契約金額に労務費、原材料費、エネルギーコスト等（以下「労務費等」という。）の改定、増加をあらかじめ反映する。イ．経済産業省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。ウ．単年度の契約については、契約締結後の状況変更により契約金額の見直しが必要となった場合には、協議を行い見直しを行うこととする。中小企業者に関する国等の契約の基本方針についてhttps://www.chusho.meti.go.jp/keiei/torihiki/kankoju.html#K01R8-U-2（別記）情報セキュリティに関する事項以下の事項について遵守すること。【情報セキュリティ関連事項の確保体制及び遵守状況の報告】1) 受注者（委託契約の場合には、受託者。以下同じ。）は、契約締結後速やかに、情報セキュリティを確保するための体制並びに以下2)～19)に記載する事項の遵守の方法及び提出を求める情報、書類等（以下「情報セキュリティを確保するための体制等」という。）について、経済産業省（以下「当省」という。）の担当職員（以下「担当職員」という。）に提示し了承を得た上で確認書類として提出すること。ただし、別途契約締結前に、情報セキュリティを確保するための体制等について担当職員に提示し了承を得た上で提出したときは、この限りでない。また、定期的に、情報セキュリティを確保するための体制等及び対策に係る実施状況（「情報セキュリティに関する事項の遵守の方法の実施状況報告書」（別紙））を紙媒体又は電子媒体により報告すること。加えて、これらに変更が生じる場合は、事前に担当職員へ案を提出し、同意を得ること。なお、報告の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。【情報セキュリティ関連規程等の遵守】2) 受注者は、「経済産業省情報セキュリティ管理規程（平成18･03･22シ第1号）」、「経済産業省情報セキュリティ対策基準（平成18･03･24シ第1号）」及び「政府機関等のサイバーセキュリティ対策のための統一基準群（令和７年度版）」(以下「規程等」と総称する。)を遵守すること。また、契約締結時に規程等が改正されている場合は、改正後の規程等を遵守すること。3) 受注者は、当省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行うこと。【情報セキュリティを確保するための体制】4) 受注者は、本業務に従事する者を限定すること。また、受注者の資本関係・役員の情報、本業務の実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示すること。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示すること。5) 受注者は、本業務を再委託（業務の一部を第三者に委託することをいい、外注及び請負を含む。以下同じ。）する場合は、再委託されることにより生ずる脅威に対してR8-U-2情報セキュリティが十分に確保されるよう、上記1)から19)までの措置の実施を契約等により再委託先に担保させること。また、1)の確認書類には再委託先に係るものも含むこと。【情報の取扱い】6) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）の取扱いには十分注意を払い、当省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に担当職員の許可を得ること。なお、この場合であっても、担当職員の許可なく複製してはならない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明すること。7) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく当省外で複製してはならない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明すること。8) 受注者は、本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当職員に返却し、又は廃棄し、若しくは消去すること。その際、担当職員の確認を必ず受けること。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。9) 受注者は、契約期間　中及び契約終了後においても、本業務に関して知り得た当省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。なお、当省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供すること。【情報セキュリティに係る対策、教育、侵害時の対処】10) 受注者は、本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約期間　中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施すること。R8-U-211) 受注者は、本業務の遂行において、情報セキュリティが侵害され、又はそのおそれがある場合の対処方法について担当職員に提示すること。また、情報セキュリティが侵害され、又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従うこと。【クラウドサービス】12) 受注者は、本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する場合には、これらのサービスで要機密情報を取り扱ってはならず、2)に掲げる規程等で定める不正アクセス対策を実施するなど規程等を遵守すること。13）受注者は、本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドサービスを調達する際は、「政府情報システムのためのセキュリティ評価制度（ISMAP）」の ISMAP クラウドサービスリスト又は ISMAP-LIU クラウドサービスリストから調達することを原則とすること。14）受注者は、前２項におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。【セキュアな情報システム（外部公開ウェブサイトを含む）の構築・運用・閉鎖】15) 受注者は、情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施すること。①各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。②情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。③不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、R8-U-2以下を含む対策を行うこと。（a）不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。（b）不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。（c）不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。（d）不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。（e）EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。④情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。⑤ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IP アドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。⑥外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。なお、必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。⑦電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication,Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTPによR8-U-2るサーバ間通信の TLS（SSL）化や S/MIME 等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARC ポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。⑧ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNS や CDN 情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNS や CDN 情報の削除、ドメインへのリンクの削除、SNS を利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。⑨情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。⑩ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT 資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期R8-U-2⑪機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT 機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムの IoT 機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムの IoT 機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。【アプリケーション・コンテンツの情報セキュリティ対策】16) 受注者は、アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリティ水準の低下を招かぬよう、以下の内容も含めて行うこと。①提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。（a）アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。（b）アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。（c）提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。②提供するアプリケーション・コンテンツが脆弱性を含まないこと。③実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。④電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。⑤提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンR8-U-2のＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。⑥当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。17) 受注者は、外部に公開するウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以下「作り方」という。）に基づくこと。また、ウェブアプリケーションの構築又は更改時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施すること。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出すること。なお、チェックリストの結果に基づき、担当職員から指示があった場合は、それに従うこと。【アカウントの運用・管理】18) 主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。19) 情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリティインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。R8-U-2別紙令和 年 月 日経済産業省○○○課長 殿住 所名 称代 表 者 氏 名情報セキュリティに関する事項の遵守の方法の実施状況報告書情報セキュリティに関する事項１）の規定に基づき、下記のとおり報告します。記１．契約件名等契約締結日契約件名２．報告事項項目確認事項実施状況情 報セキュリ本業務全体における情報セキュリティの確保のため、「政府機関等のサイバーセティに関する事キュリティ対策のための統一基準」（令和７年度版）、「経済産業省情報セキュリ項ティ管理規程」（平成１８・０３・２２シ第１号）及び「経済産業省情報セキュリ２） ティ対策基準」（平成１８･０３･２４シ第１号）（以下「規程等」と総称する。）に基づく、情報セキュリティ対策を講じる。情 報セキュリ経済産業省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリティに関する事ティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、項指摘事項への対応を行う。３）情 報セキュリ本業務に従事する者を限定する。また、受注者の資本関係・役員の情報、本業務のティに関する事実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・項研修実績等）、実績及び国籍に関する情報を担当職員に提示する。なお、本業務の４） 実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示する。情 報セキュリ本業務の一部を再委託する場合には、再委託することにより生ずる脅威に対して情ティに関する事報セキュリティに関する事項１）から１９）までの規定に基づく情報セキュリティ項対策が十分に確保される措置を講じる。５）情 報セキュリ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複ティに関する事製を含む。）の取扱いには十分注意を払い、経済産業省内に複製が可能な電子計算項機等の機器を持ち込んで作業を行う必要がある場合には、事前に経済産業省の担当６） 職員（以下「担当職員」という。）の許可を得る。なお、この場合であっても、担当職員の許可なく複製しない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明する。R8-U-2情 報セキュリ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職ティに関する事員の許可なく経済産業省外で複製しない。また、作業終了後には、複製した情報が項電子計算機等から消去されていることを担当職員が確認できる方法で証明する。７）情 報セキュリ本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業ティに関する事務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに項担当職員に返却し、又は廃棄し、若しくは消去する。その際、担当職員の確認を必８） ず受ける。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。情 報セキュリ契約期間　中及び契約終了後においても、本業務に関して知り得た経済産業省の業務ティに関する事上の内容について、他に漏らし、又は他の目的に利用してはならない。項 なお、経済産業省の業務上の内容を外部に提供する必要が生じた場合は、提供先で９） 当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供する。情 報セキュリ本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラムティに関する事対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対項策を講じるとともに、契約期間　中にこれらの対策や情報セキュリティインシデント１０） 等に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施する。情 報セキュリ本業務の遂行において、情報セキュリティが侵害され又はそのおそれがある場合のティに関する事対処方法について担当職員に提示する。また、情報セキュリティが侵害され又はそ項のおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究１１） 明及びその対処等について担当職員と協議の上、その指示に従う。情 報セキュリ本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供すティに関する事る、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用項する場合には、これらのサービスで要機密情報を取り扱ってはならず、「情報セ１２） キュリティに関する事項２）」に定める不正アクセス対策を実施するなど規程等を遵守する。情 報セキュリ本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウティに関する事ドサービスを調達する際は、「政府情報システムのためのセキュリティ評価制度項 （ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリス１３） トから調達することを原則とすること。情 報セキュリ情報セキュリティに関する事項１２）及び１３）におけるクラウドサービスの利用ティに関する事の際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密項情報を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リ１４） スクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。情 報セキュリ情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃ティに関する事棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒項体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場１５） 合には、その製造工程を含む。）を行う場合には、以下を実施する。（１）各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。（２）情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。（３）不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。①不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。②不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、そのR8-U-2定義ファイルが常に最新の状態となるように構成すること。③不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。④不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。⑤EDR ソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。（４）情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。（５）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IP アドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。（６）外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。・必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。（７）電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC （Domain-based MessageAuthentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTPによるサーバ間通信のTLS（SSL）化やS/MIME等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARC ポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。（８）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNS を利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。（９）情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。（１０）ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性R8-U-2b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期（１１）機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムの IoT 機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムの IoT 機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。情 報セキュリアプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツティに関する事等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュ項リティ水準の低下を招かぬよう、以下の内容も含めて行う。１６） （１）提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。①アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。②アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。③提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。（２）提供するアプリケーション・コンテンツが脆弱性を含まないこと。（３）実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。（４）電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。（５）提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。（６）当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びR8-U-2これらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。情 報セキュリ外部公開ウェブサイト上のウェブアプリケーションの構築又は改修を行う場合にティに関する事は、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り項 方」（以下「作り方」という。）に従う。また、ウェブアプリケーションの構築又１７） は改修時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施する。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出する。なお、チェックリストの結果に基づき、担当職員から指示があった場合には、その指示に従う。情 報セキュリ主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、ティに関する事第三者等によって窃取された際の被害を最小化するため、また、管理者による権限項１８） の濫用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。情 報セキュリ情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要ティに関する事素主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュ項１９） リティインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。記載要領１．「実施状況」は、情報セキュリティに関する事項２）から１９）までに規定した事項について、情報セキュリティに関する事項１）に基づき提出した確認書類で示された遵守の方法の実施状況をチェックするものであり、「実施」、「未実施」又は「該当なし」のいずれか一つを記載すること。「未実施」又は「該当なし」と記載した項目については、別葉にて理由も報告すること。２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。（この報告書の提出時期：定期的（契約期間における半期を目処（複数年の契約においては年１回以上））。）（別添様式）情報取扱者名簿及び情報管理体制図① 情報取扱者名簿氏名個人住所生年月日所属部署役職パスポート番号及び国籍（※４）情報管理責 Ａ任者（※１）情報取扱管 Ｂ理者（※２） Ｃ業務従事者 Ｄ（※３） Ｅ再委託先 Ｆ（※１）受託事業者としての情報取扱の全ての責任を有する者。必ず明記すること。（※２）本事業の遂行にあたって主に保護すべき情報を取り扱う者ではないが、本事業の進捗状況などの管理を行うもので、保護すべき情報を取り扱う可能性のある者。（※３）本事業の遂行にあたって保護すべき情報を取り扱う可能性のある者。（※４）日本国籍を有する者及び法務大臣から永住の許可を受けた者（入管特例法の「特別永住者」を除く。）以外の者は、パスポート番号等及び国籍を記載。（※５）住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。②情報管理体制図（例）情報取扱者情報管理責任者 AB C情報取扱管理者（進捗状況管理） （経費情報管理）業務従事者 D E再委託先F【情報管理体制図に記載すべき事項】・本事業の遂行にあたって保護すべき情報を取り扱う全ての者。（再委託先も含む。）・本事業の遂行のため最低限必要な範囲で情報取扱者を設定し記載すること。【取得文書: contract-draft__（資料番号４）契約書（案）.pdf】資料番号４契約書（役務）案 件 令和８年度経済産業省情報セキュリティ監査等業務役務請負案件内容・仕仕様書及び提案書のとおり様契 約 金 額○，○○○円（消費税及び地方消費税○，○○○円を含む。）納 入 期 限 令和９年３月２６日（履行期限）契約期間　仕様書のとおり納入場所　仕様書のとおり（履行場所）契約保証金　全額免除その他支払時期：納入後その他、契約条項のとおりこの契約を証するため、本契約書を２通作成し、双方記名押印の上、甲、乙それぞれ各１通を保有する。令和 年 月 日甲東京都千代田区霞が関一丁目３番１号支出負担行為担当官経済産業省大臣官房会計課長名乙 [所在地][相手方名称][代表者氏名]※契約条項は入札説明書７．（２）に記載のURLからダウンロードすること。