【本省】令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（ＡＳＥＡＮ地域における日系サイバーセキュリティ企業の市場拡大に向けた調査）

【取得文書: public-notice__（資料番号１）入札公告（施行文）.pdf】R8-O3区分：総合評価落札方式入札件名：令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（ＡＳＥＡＮ地域における日系サイバーセキュリティ企業の市場拡大に向けた調査）本件に係る資料は、以下記載の資料番号１～１６から構成されており、紙配付は行っていないため、調達ポータルサイト及び経済産業省ホームページから必ずダウンロードすること。なお、入札説明会に参加の際は、各自、持参すること。【調達ポータルサイトからダウンロードする資料】資料番号資料名１ 入札公告２仕様書３ 評価項目一覧４契約書案【経済産業省ホームページ（※）からダウンロードする資料】資料番号資料名経済産業省入札心得（総合評価落札方式電子調達システム対応版）６予算決算及び会計令（抜粋）７応札資料作成要領８評価手順書（加算方式）【委託事業の場合】９ （様式１）質問状１０ （様式２）入札参加表明書【電子入札の場合】１１ （様式３）入札書［紙による入札の場合］１２ （様式４）理由書［紙による入札の場合］１３ （様式５）委任状［紙による入札の場合］１４ （様式６）提案書ひな型１５ （様式７）見積書(様式８)従業員への賃金引き上げ計画の表明書【表明する意思がある場合】（中小企業等）※https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogoR8-O3（資料番号１）入札公告次のとおり一般競争入札に付す。本公告に基づく入札については、関係法令、経済産業省入札心得（資料番号５、以下「入札心得」という。）及び電子調達システムを利用する場合における「調達ポータル・電 子 調 達 シ ス テ ム 利 用 規 約」 （ https://www.p-portal.go.jp/pps-web-biz/resources/app/pdf/riyoukiyaku.pdf）に定めるもののほか下記に定めるところによる。また、入開札手続は、原則、電子調達システムを利用するものとし、システム障害等が発生し電子調達システムが利用できない場合には、別途通知する日時に変更する場合がある。令和８年９月１６日支出負担行為担当官経済産業省大臣官房会計課長玉井優子１．競争入札に付する事項（１） 件名令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（ＡＳＥＡＮ地域における日系サイバーセキュリティ企業の市場拡大に向けた調査）（２）仕様、履行期限及び納入場所等別紙仕様書（資料番号２）のとおり。（３）入札方法入札金額は、本件に関する総価で行う。なお、本件については入札に併せて提案書を提出し、技術審査を受けなければならない。落札決定に当たっては、入札書に記載された金額に当該金額の１０パーセントに相当する額を加算した金額（当該金額に１円未満の端数が生じたときは、その端数金額を切り捨てるものとする。）をもって落札価格とするので、入札者は消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約金額の１１０分の１００に相当する金額を入札書に記載すること。２．競争参加資格（１）予算決算及び会計令（資料番号６、以下「予決令」という。）第７０条及び第７１条の規定に該当しない者であること。なお、未成年者、被保佐人又は被補助人であって、契約締結のために必要な同意を得ている者は、予決令第７０条中、特別の理由がある場合に該当する。（２）令和７・８・９年度経済産業省競争参加資格　（全省庁統一資格）「役務の提供等」の「Ａ」、「Ｂ」、「Ｃ」又は「Ｄ」の等級に格付されている者であること。（３）経済産業省からの補助金交付等停止措置又は指名停止措置が講じられている者ではないこと。（４）過去３年以内に情報管理の不備を理由に経済産業省との契約を解除されている者ではないこと。３．契約条項を示す場所等（１）契約条項を示す場所資料番号１～１６のとおり。本件に係る資料は以下の方法により入手することとし、入札説明会R8-O3等での紙配付は行わないので注意すること。ア．表紙及び資料番号１～４調達ポータルサイトの「調達情報の検索調達種別の選択」から「一般競争入札の入札公示（ＷＴＯ対象外）」を選択し、必要な情報を入力又は選択し本件を検索の上、本件の「調達資料」を必ずダウンロードすること。https://www.p-portal.go.jp/pps-web-biz/UAA01/OAA0101イ．資料番号５～１６経済産業省ホームページから必ずダウンロードすること。https://www.meti.go.jp/information_2/publicoffer/chotatsu_format.html#sogo（２）入札説明会の日時及び場所以下日時に「Microsoft Teams」を用いて行うので、本説明書末尾に記載の担当者に対し、連絡先（社名、担当者氏名、電話番号、メールアドレス）を令和８年９月２５日（金）１７時００分までに登録すること。（事前にテスト連絡をさせていただく場合がある。）「Microsoft Teams」が利用できない場合は、概要を共有するのでその旨を連絡するとともに連絡先を登録すること。令和８年９月２８日（月）１５時００分（３）質問期限令和８年１０月８日（木）１７時００分仕様書、提案書、評価項目一覧表等について質問等がある場合は、本公告末尾に記載の連絡先へ、様式１ 質問状（資料番号９）へ記載し、メールにて提出すること。なお、電子調達システムを使用しての質問は不可とする。（４）提案書等・入札書の提出期限、提出場所及び提出方法等ア．提案書等・入札書の提出期限令和８年１０月１４日（水）１３時００分イ．提案書等の提出場所及び提出方法提案書等の提出は、原則、本公告末尾に記載の連絡先へ、以下に示す提案書等の資料をメールで提出すること。（容量が10MBを超過する場合は分割して提出すること。）なお、電子調達システムを使用しての提出は無効とする場合があります。・提案書・評価項目一覧（資料番号３）の提案書ページ番号欄に必要事項を記入したもの・従業員への賃金引上げ計画の表明書（様式８(資料１６)）（表明する意思がある者のみ提出すること）・令和７・８・９年度競争参加資格　審査結果通知書（全省庁統一）の写しウ．入札書の提出場所及び提出方法入札書の提出は、以下の方法のみであり、メール等その他の方法による場合は無効とします。【電子調達システムによる提出】調達ポータル（https://www.p-portal.go.jp/pps-web-biz/）から「入札・契約を行う」メニューの「入札業務」へログイン後、「調達案件検索」から本件を検索し、まず「証明書・提案書等提出」画面にて様式２入札参加表明書（資料番号１０、以下「表明書」という。）を提出し、次に「入札（見積）書提出」画面にて必要情報を入力し、「入札書提出内容確認」画面にて入札内容を確認し、「提出」ボタンを押下すること。※電子調達システムにより入札書を提出するためには、先に「証明書・提案書等提出」画面にて表明書を提出しなければならないことに注意する。※「内訳書」ボタンは原則利用しないこと。R8-O3【紙による提出】やむを得ない理由により電子調達システムによる提出により難い場合には、本公告末尾に記載の連絡先へ、様式３ 入札書（資料番号１１）及び様式４理由書（資料番号１２）を紙により提出（持参）すること。※入札書を入れる封筒には入札書のみを入れ、密封し、その封筒の表に入札者の氏名（法人の場合はその名称又は商号）及び件名を記載して提出すること。提案書等の他の資料は同封しない。エ．留意点・代理人による入札の場合、電子調達システムにより入札書を提出する者は同システムで定める委任手続を行い、紙により入札書を提出する者は様式５委任状（資料番号１３）を提出すること。・提案書等は、応札資料作成要領（資料番号７）及び様式６ 提案書ひな型（資料番号１４）を確認の上作成すること。・提出した提案書等・入札書は、変更及び取消しをすることができず、また、返却は行わない。・提案書等の作成に要する費用は入札者の負担とする。・提出した提案書等について経済産業省から説明を求められた場合は、入札者の責任において速やかに説明しなければならない。・提案書等は、本入札に関する審査以外の目的には使用しない。（５）入札者による提案書等の説明（プレゼンテーション）プレゼンテーションは実施しない。（６）開札の日時及び場所令和８年１０月１６日（金）１６時００分経済産業省大臣官房会計課入札室（本館１階財務省側入館ゲート外）開札を行った結果、予定価格の制限に達した価格の入札がないときは、直ちに再度の入札を行う。その場合、紙により入札書を提出した者は上記の開札場所において、電子調達システムにより入札書を提出した者は同システムにおいて再度の入札を行うこと。なお、再度入札の提出期限までに入札のない場合は、再度入札を辞退したものとみなす。※電子調達システムにより入札書を提出した者は、同システムの『入札（見積、落札）状況確認』画面及び『開札結果確認』画面にて、開札の状況を確認できる。（７）電子調達システムの利用　範囲電子調達システムは、上記（４）ウ．入札書の提出場所及び提出方法並びに（６）開札の日時及び場所のみ利用するものとし、それ以外の機能については利用不可とする。４．入札の無効入札心得第１１条に該当する入札は無効とする。５．落札者の決定方法入札心得第１４条から第１６条に基づき落札者を決定する。なお、総合評価点の点数配分は以下のとおり。評価方法の詳細については評価手順書（加算方式）（資料番号８）を参照のこと。総合評価点＝技術点（２００点）＋価格点（１００点）６．入札保証金及び契約保証金　全額免除７．見積書及び契約書等（１）見積書の提出落札者は、見積書及び単価設定の根拠資料を直ちに提出すること。作成に当たっては、様式７見R8-O3積書（資料番号１５）を参考とすること。（２）契約書落札者は、契約書案（資料番号４）をもとに契約を締結することとなるため、契約条項の内容を承知の上入札すること。落札者に対して、電子調達システムを利用した電子契約締結の可否（否の場合その理由の回答を含む。）を確認する場合があるので、承知の上入札すること。○概算契約書https://www.meti.go.jp/information_2/downloadfiles/r8gaisan-1_format.pdf（３）再委託費率が５０％を超える場合提案書等において再委託費率が５０％を超える理由書を添付した場合には、経済産業省で再委託内容の適切性などを確認し、落札者に対して、契約締結までに履行体制を含め再委託内容の見直しを指示する場合がある。なお、本事業は再委託費率が高くなる傾向となる事業類型には該当しないため、個別事業の事情に応じて適切性を確認する。＜事業類型＞Ⅰ．多数の事業者を管理し、その成果を取りまとめる事業（主に海外法人等を活用した標準化や実証事業の取りまとめ事業）Ⅱ．現地・現場での作業に要する工数の割合が高い事業（主に海外の展示会出展支援やシステム開発事業）Ⅲ．多数の事業者の協力が必要となるオープン・イノベーション事業（主に特定分野における専門性が極めて高い事業）８．支払の条件契約代金は、契約書記載の条件により、適法な支払請求書を受理した日から３０日以内に支払うものとする。９．その他（１）本事業の事務処理・経理処理については、「委託事業事務処理マニュアル」に従って処理することとなるため、内容を承知の上入札すること。○委託事業事務処理マニュアル（Ｒ３．１）https://www.meti.go.jp/information_2/publicoffer/jimusyori_manual.htmlなお、「委託事業事務処理マニュアル」上で明示している、本事業における再委託を禁止している「事業全体の企画及び立案並びに根幹に関わる執行管理業務」については以下の通り。【事業全体の企画及び立案並びに根幹に関わる執行管理業務】・本事業に係る調査内容等の決定（実施手段・方法、対象者、スケジュール、実施体制）・再委託・外注先の業務執行管理（再委託・外注内容の決定、進捗状況の管理方法及び確認、成果及び結果のとりまとめ方法、とりまとめ）・調査報告書の構成及び作成、再委託・外注先の内容とりまとめ（２）本入札では、中小企業等が、「給与総額」を対前年度（又は対前年）に比べ増加率２．５％以上とする旨を様式８(資料１６)により表明した（※１）場合、加点することとしている。また、様式８（資料１６）で表明した賃上げが実行されているか、事業年度等終了後、「法人事業概況説明書」等により確認することとしているため、確認のため必要な書類は速やかに本公告末尾に記載の担当者R8-O3へ提出すること。なお、確認の結果、表明した賃上げが実行されていない場合等においては、当該事実判明後の総合評価落札方式において所定の点数を減点するものとする。詳細は様式８（資料１６）裏面の（留意事項）を確認すること。※１対前年度又は対前年のいずれかを選択して表明すること。当該選択に応じて表明に用いる様式が異なるので留意すること。注）「様式８（資料１６）」は賃金引上げ計画の表明書（別紙１）を指します。（３）委託費を不正に使用した疑いがある場合には、経済産業省より落札者に対し必要に応じて現地調査等を実施する。また、事業に係る取引先（再委託先、外注（請負）先以降も含む）に対しても、必要に応じ現地調査等を実施するため、あらかじめ落札者から取引先に対して現地調査が可能となるよう措置を講じておくこと。調査の結果、不正行為が認められたときは、当該委託事業に係る契約の取消しを行うとともに、経済産業省から新たな補助金の交付と契約の締結を一定期間（最大３６か月）行わないこと等の措置を執るとともに当該事業者の名称及び不正の内容を公表する。具体的な措置要領は、以下のURLの通り。https://www.meti.go.jp/information_2/publicoffer/shimeiteishi.html（４）「ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議」（令和５年４月３日決定）において、政府の実施する公共調達においては、入札する企業における人権尊重の確保に努めるとされたことを受け、当該事業の落札者に対しては「責任あるサプライチェーン等における人権尊重のためのガイドライン」（令和４年９月１３日ビジネスと人権に関する行動計画の実施に係る関係府省庁施策推進・連絡会議決定）を踏まえて人権尊重に取り組むよう努めることを求めている。当該ガイドラインの内容を承知の上で、入札をすること。https://www.meti.go.jp/files/900012240.pdf（５）提案書及び委託契約書の規定に基づき提出された実績報告書等については、「行政機関の保有する情報の公開に関する法律」（平成１１年５月１４日法律第４２号）に基づき、不開示情報（個人情報及び法人等又は個人の権利、競争上の地位その他正当な利益を害するおそれがあるもの等）を除いて、情報公開の対象となる。なお、開示請求があった場合は、以下に掲げる書類は調整を行わずとも原則開示とし、その他の書類の不開示とする情報の範囲について経済産業省との調整を経て決定することとする。○原則開示とする書類・提案書等に添付された「再委託費率が５０％を超える理由書」※不開示情報に該当すると想定される情報が含まれる場合は、当該部分を別紙として分けて作成すること。別紙について開示請求があった場合には、不開示とする情報の範囲については経済産業省と調整を経て決定することとする。（６）入札・契約金額については、労務費等上昇に適切に対応するため、以下の措置を実施する。ア．人件費単価について、「委託事業事務処理マニュアル」３．人件費に関する経理処理に記載している手法に応じて以下のとおり計上してもよい。・「健保等級単価計算」「実績単価計算」「コスト実績単価計算」を用いる場合、労務費等の上昇見込みが確認できる適切な根拠1を契約締結時に提示することを条件とし、当該上昇を見込んだ単価で計上することができる。なお、当該上昇を見込んだ場合においても、確定時には事業期間中の実績等に1積算方法等については中小企業庁が公表している価格交渉・転嫁の支援ツール（https://www.chusho.meti.go.jp/keiei/torihiki/shien_tool.html）、公正取引委員会が公表している労務費の適切な転嫁のための価格交渉に関する指針（https://www.jftc.go.jp/dk/guideline/unyoukijun/romuhitenka.html）を参照すること。R8-O3応じた人件費単価を決定する。・「受託単価計算」を用いる場合、労務費等上昇の影響により受託単価規程等の改定が行われ、改定前の単価では「委託事業事務処理マニュアル」で求める要件※を満たしているが、改定後の単価では満たしていない場合、労務費等上昇の見込みが確認できる適切な根拠1を契約締結時に提示することを条件とし、改定後の単価で計上することができる。なお、確定時において改めて「委託事業事務処理マニュアル」で求める要件を満たしているか確認を行う。要件を満たしていない場合且つ労務費等上昇が行われなかった場合には、人件費単価の見直しなどの減額を行った上で確定する場合がある。※受託単価計算の場合、いずれかを満たすこと。（「委託事業事務処理マニュアル３．人件費に関する経理処理」より抜粋）1)当該単価規程等が公表されていること2)他の官公庁で当該単価の受託実績があること3)官公庁以外で当該単価での複数の受託実績があることイ．経済産業省においては、複数年度にわたる契約について、労務費等の上昇による契約金額の見直しが必要かどうか、契約期間　中に定期的（年１回程度）に確認する。ウ．受託者においては、単年度の契約について、契約締結後の状況変化により金額の見直しが必要となった場合には、計画変更申請を行うことができる。１０．問合せ先（１）電子調達システムに関する照会先（操作方法等）調達ポータル・電子調達システムヘルプデスク電話０５７０－０００－６８３（ナビダイヤル）０３－４３３２－７８０３（ＩＰ電話等を御利用の場合）ＦＡＸ ０１７－７３１－３３５２受付時間平日９時００分～１７時３０分（国民の祝日・休日、１２月２９日から１月３日までの年始年末を除く。）ＵＲＬ https://www.p-portal.go.jp/pps-web-biz/UZA02/OZA0201（２）その他、本件に関する連絡先（提案書等、紙による入札書、質問状等の提出先）〒１００－８９０１東京都千代田区霞が関１－３－１経済産業省商務情報政策局サイバーセキュリティ課（本館３階西３）担当者：出口、酒井電話０３―３５０１―１２５３（ダイヤルイン）Ｅ－ｍａｉｌ [email protected]【取得文書: specifications__（資料番号２）仕様書（施行文）.pdf】（資料番号２）仕様書１．件名令和８年度産業サイバーセキュリティ対策の強化に向けた環境整備事業（ＡＳＥＡＮ地域における日系サイバーセキュリティ企業の市場拡大に向けた調査）２．事業の背景・目的我が国のサイバーセキュリティ産業振興のためには、国内市場のみならずグローバル市場で勝てる企業を育成する必要がある。製造業をはじめ日系企業のプレゼンスが高いＡＳＥＡＮは、日本のサイバーセキュリティ企業が実績や経験を積みやすく、また、過去の日本政府による現地政府への支援実績が豊富にあり、サイバーセキュリティ当局間の関係性が良好であるため、国策として製品・サービスの展開促進が行いやすい状況にある。このような状況を踏まえ、日本成長戦略デジタル・サイバーセキュリティ分野における「ＡＩ時代に対応した先進的なサイバーセキュリティ製品・サービス」の官民投資ロードマップにおいても、我が国サイバーセキュリティ製品・サービスの供給力を強化する観点から、我が国が強みを持つＯＴ(制御系セキュリティ)の実装をＡＳＥＡＮ等の海外サプライチェーンを含め展開してくことが「勝ち筋」であると明記されている。他方、サイバーセキュリティ産業振興戦略(２０２５年３月公表)で重視する有望な国産スタートアップのＡＳＥＡＮ進出に当たっては、以下の課題がある。① 我が国のセキュリティ製品・サービス提供事業者（とりわけスタートアップ事業者）においては、現地での営業サポート体制を有しておらず、信頼できる現地パートナー等との協業が不可欠② 我が国のセキュリティ製品・サービスは、欧米企業に比べ事業規模や単価が低いため、現地パートナーを見つけづらい状況（事業規模・単価の高い商材を取扱いたがる企業が多い）このため、有望な国産スタートアップ等が開発・提供するサイバーセキュリティ関連ツール（以下「日本国産ツール」という。）が、現地のＳＩｅｒ、サービス事業者、ディストリビューター等と連携し、官民の当該地域における資産を活用して、事業拡大可能なビジネスモデルについて調査検討を行う。ＡＳＥＡＮ諸国の中でも、特にタイ国は、日系製造業の集積地であるとともに、製造業におけるＩＴ・ＯＴ環境の混在、現地ＳＩｅｒの活用、日系・非日系企業が混在する市場構造等、ＡＳＥＡＮ地域に共通する論点を有していることから、本業務における主な調査対象国とする。また、タイにおける現地調査結果を基に、ＡＳＥＡＮ域内の主要国への横展開可能性についても整理し、ＡＳＥＡＮ全体への展開に向けた課題及び方策を検討する。３．事業内容（１）タイ現地製造業者及びＳＩｅｒへの課題ヒアリング調査受託者は、タイにおける日本国産ツールの市場性及び普及課題を把握するため、タイの日系及びローカルの製造業者それぞれ２社以上を含む合計５社以上を目安として、工場長又はＣＩＯ／ＣＩＳＯクラスの意思決定者に対して、日本国産ツールの製品デモ及びヒアリング調査を行い、現地におけるサイバーセキュリティ対策上の課題、日本国産ツール導入に向けた障壁及び導入判断における重視事項を把握し、整理すること。また、日系及びタイローカルの現地Ｓｉｅｒについて、それぞれ１社以上を含む合計３社以上を目安として、日本国産ツールの製品デモ及びヒアリング調査を行い、日本国産ツールの取り扱い意向、保守・運用サービス（マネージドサービス）としての提供可能性、及びその際の技術的・コスト的課題、ビジネスモデル、商流を把握すること。ヒアリングに当たっては、単なる販売代理店としての意向にとどまらず、現地製造業者に対しての販売後の継続的なサポート体制の構築可能性についても深掘りすること。さらに、現地製造業が想定するセキュリティ対策の予算規模並びに導入判断における重視項目について、定量的に把握すること。なお、前述のヒアリング調査の前提として、経済産業省が提示する企業情報を参考にタイにおいて販売可能な日本国産ツールを有する企業を５社以上をリストアップし、公開情報の収集及び必要に応じた電話調査等によりタイ市場における事業拡大可能性のあるツールの特徴を整理すること。あわせて、タイの製造業者向けに想定されるソリューション区分ごとに、日本国産ツールを分類した上で、異なるソリューション区分の日本国産ツールを２つ以上選定し、当該ツールの機能、導入条件、運用条件及び販売上の留意点等について詳細調査を行うこと。また、日本国産ツールの選定に当たっては、タイの個人情報保護（ＰＤＰＡ）その他の国内外法規制への適合性の観点を含めること。（２）日本国産ベンダーへのフィードバックと官民による必要施策の検討受託者は、前記（１）までの調査により把握した課題について、（１）において電話調査等を実施した日本国産ベンダー２社以上に対して共有し、日本国産ベンダー側における対応に向けた課題について深掘りするためのヒアリング調査を行うこと。また、上記を踏まえ、日本国産ツールを、効果的にタイを含むＡＳＥＡＮに販売するための日タイ企業による事業モデル案を、必要に応じて複数パターン提示すること。その際には、日本企業側が提供すべき技術支援及び教育プログラムや、現地ＳＩｅｒ側が担う一次保守・運用の役割分担並びに責任分担、商流を定義すること。さらに、前述の日タイ企業による事業モデルを民間主体で持続可能なものとするための課題及び必要な官民の施策について検討し、整理すること。政府側の施策案の検討に当たっては、政府機関による既存のスタートアップ企業向け海外進出支援策を調査した上で、当該体制による日本国産ツール販売拡大に向けて必要な支援策案を整理すること。（３）ＡＳＥＡＮ域内への横展開可能性の整理受託者は、タイをモデルケースとして３．（２）までの調査で得られた知見を基に、他のＡＳＥＡＮ中心国への横展開可能性について整理すること。具体的には、シンガポール、フィリピンの各国における製造業の市場環境、サイバーセキュリティに関する法規制、現地パートナーの活用可能性、価格受容性等を、机上調査にて比較し、ＡＳＥＡＮ全体への展開に向けた共通課題及び国別の留意点を整理すること。４．実施方法 調査を進めるに当たっては、経済産業省サイバーセキュリティ課と、週次又は隔週での定期的な会議を開催し、ヒアリング先等の進め方を合意の上、実施すること。 ３．（１）のヒアリング調査は海外現地での対面での実施とし、数週間程度の現地渡航を想定する。ただし、製品デモの実施については、Ｗｅｂ会議等を利用した遠隔でのデモも可能とする。 ３．（２）のヒアリング調査はWeb会議等を利用した遠隔での実施も可能とする。 ヒアリングに係る謝金、出張経費など、実施に係る経費については全て事業費に計上すること。５．実施期間委託契約締結日から令和９年３月１９日まで６．納入物（１）調査報告書等一式 調査報告書、報告書骨子（様式１）、調査で得られた元データ、委託調査報告書公表用書誌情報（様式２）、二次利用未承諾リスト（様式３）を納入すること。 調査報告書については、ＰＤＦ形式に加え、機械判読可能1な形式のファイルも納入すること。なお、報告書のデータ量が１２８ＭＢ、ページ数が１，０００ページ又は文字数が４００万文字を超過する場合には、いずれの制限も超えないようファイルを分割して提出すること。 調査で得られた元データについては、機械判読可能な形式のファイルで納入することとし、特に図表・グラフに係るデータ（以下「図表等データ」という。）については、構造化されたＥｘｃｅｌやＣＳＶ形式等により納入すること。（２）調査報告書等一式（公表用） 調査報告書及び様式３（該当がある場合のみ）を一つのＰＤＦファイル（透明テキスト付）に統合したもの、並びに公開可能かつ二次利用可能2な図表等データを納入すること。 セキュリティ等の観点から、経済産業省と協議の上、非公開とするべき部分については、特に以下の点に注意し、削除するなどの適切な処置を講ずること。➢ 報告書・Ｅｘｃｅｌデータ等に個人情報や不適切な企業情報が存在しないか。（プロパティの情報も漏れなく確認すること）➢ 報告書（ＰＤＦ）に目視では確認できない埋め込みデータ等が存在しないか。➢ Ｅｘｃｅｌデータ等に目視では確認できない非表示情報が存在しないか。➢ Ｅｘｃｅｌデータ等に非表示の行・列が存在しないか。 公開可能かつ二次利用可能な図表等データが複数ファイルにわたる場合、１つのフォルダに格納した上で納入すること。➢ 各データのファイル名については、調査報告書の図表名と整合をとること。➢ 図表等データは、オープンデータとして公開されることを前提とし、経済産業省以外の第三者の知的財産権が関与する内容を含まないものとすること。（３）様式１～様式３について （様式１）委託調査報告書骨子3➢ レイアウト（余白、フォント等）に従い、３枚以内にまとめた上でＷｏｒｄ形式にて納入すること。➢ 図表は挿入せずテキスト形式で作成すること。➢ 見出しについては記載された項目のとおりとすること。 （様式２）委託調査報告書公表用書誌情報4➢ ファイル形式はＥｘｃｅｌ形式で納入すること。➢ 報告書の英語版や概要版等、公表用の報告書と同一のＰＤＦファイルとすることが適当でない公表用の納入物がある場合には１つのＰＤＦファイルごとに作成すること。 （様式３）二次利用未承諾リスト➢ 調査報告書は、オープンデータ（二次利用可能な状態）として公開されることが前提だが、二次利用の了承を得ることが困難な場合又は了承を得ることが報告書の内容に大きな悪影響を与える場合は、報告書の当該箇所に出典等を明示し、知的財産権の所在を明らかにした上で、当該データを様式３に記載すること（知的財産権の所在が不明なものも含む）。1コンピュータプログラムがデータ構造を識別し、データを処理（加工、編集等）できること。例えばHTML, txt, csv, xhtml, epub, gml, kml等のほか、Word, Excel, PowerPoint等のデータが該当する（スキャンデータのようなものは該当しない）。2営利目的を含む、自由な利用（転載・コピー共有等）を行うこと。3委託調査報告書のデータ利活用を促進するため、報告書の概要を骨子としてまとめるもの。4本事業の報告書のオープンデータとしての公表に際し、データとしての検索性を高めるため、当該データの属性情報に関するデータを作成するもの。➢ ファイル形式はＥｘｃｅｌ形式で納入すること。 様式１～３ダウンロード先➢ 委託調査報告書 （METI/経済産業省）７．納入方法 メール提出やファイル交換サイト等の手段を用いること。なお、具体的な納入方法は担当課室と協議の上、決定すること。 公表用資料一式と非公表資料一式が紛れないように整理して納入すること。８．納入場所経済産業省商務情報政策局サイバーセキュリティ課９．情報管理体制① 受託者は本事業で知り得た情報を適切に管理するため、次の履行体制を確保し、発注者に対し「情報セキュリティを確保するための体制を定めた書面（情報管理体制図）」及び「情報取扱者名簿」（氏名、個人住所、生年月日、所属部署、役職等が記載されたもの）様式４を契約前に提出し、担当課室の同意を得ること（住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。）。なお、情報取扱者名簿は、委託業務の遂行のため最低限必要な範囲で情報取扱者を掲載すること。（確保すべき履行体制）契約を履行する一環として契約相手方が収集、整理、作成等した一切の情報が、経済産業省が保護を要さないと確認するまでは、情報取扱者名簿に記載のある者以外に伝達又は漏えいされないことを保証する履行体制を有していること。② 本事業で知り得た一切の情報について、情報取扱者以外の者に開示又は漏えいしてはならないものとする。ただし、担当課室の承認を得た場合は、この限りではない。③ ①の情報セキュリティを確保するための体制を定めた書面又は情報取扱者名簿に変更がある場合は、あらかじめ担当課室へ届出を行い、同意を得なければならない。１０．履行完了後の情報の取扱い国から提供した資料又は国が指定した資料の取扱い（返却・削除等）については、担当課室の職員の指示に従うこと。業務日誌を始めとする経理処理に関する資料については適切に保管すること。１１．情報セキュリティに関する事項業務情報を取り扱う場合又は業務情報を取り扱う情報システムやウェブサイトの構築・運用等を行う場合、別記「情報セキュリティに関する事項」を遵守し、情報セキュリティ対策を実施すること。（様式４）情報取扱者名簿及び情報管理体制図①情報取扱者名簿個パスポート人氏名生年月日所属部署役職番号及び国住籍（※４）所情報管理責 Ａ任者（※１）情報取扱管 Ｂ理者（※２） Ｃ業務従事者 Ｄ（※３） Ｅ再委託先 Ｆ（※１）受託者としての情報取扱の全ての責任を有する者。必ず明記すること。（※２）本事業の遂行に当たって主に保護すべき情報を取り扱う者ではないが、本事業の進捗状況などの管理を行うもので、保護すべき情報を取り扱う可能性のある者。（※３）本事業の遂行に当たって保護すべき情報を取り扱う可能性のある者。（※４）日本国籍を有する者及び法務大臣から永住の許可を受けた者（入管特例法の「特別永住者」を除く。）以外の者は、パスポート番号等及び国籍を記載。（※５）住所、生年月日については、必ずしも契約前に提出することを要しないが、その場合であっても担当課室から求められた場合は速やかに提出すること。②情報管理体制図（例）情報取扱者情報管理責任者 AB C情報取扱管理者（進捗状況管理） （経費情報管理）業務従事者 D E再委託先 F【情報管理体制図に記載すべき事項】・本事業の遂行に当たって保護すべき情報を取り扱う全ての者。（再委託先も含む。）・本事業の遂行のため最低限必要な範囲で情報取扱者を設定し記載すること。（別記）情報セキュリティに関する事項以下の事項について遵守すること。【情報セキュリティ関連事項の確保体制及び遵守状況の報告】1) 受注者（委託契約の場合には、受託者。以下同じ。）は、契約締結後速やかに、情報セキュリティを確保するための体制並びに以下2)～19)に記載する事項の遵守の方法及び提出を求める情報、書類等（以下「情報セキュリティを確保するための体制等」という。）について、経済産業省（以下「当省」という。）の担当職員（以下「担当職員」という。）に提示し了承を得た上で確認書類として提出すること。ただし、別途契約締結前に、情報セキュリティを確保するための体制等について担当職員に提示し了承を得た上で提出したときは、この限りでない。また、定期的に、情報セキュリティを確保するための体制等及び対策に係る実施状況（「情報セキュリティに関する事項の遵守の方法の実施状況報告書」（別紙））を紙媒体又は電子媒体により報告すること。加えて、これらに変更が生じる場合は、事前に担当職員へ案を提出し、同意を得ること。なお、報告の内容について、担当職員と受注者が協議し不十分であると認めた場合、受注者は、速やかに担当職員と協議し対策を講ずること。【情報セキュリティ関連規程等の遵守】2) 受注者は、「経済産業省情報セキュリティ管理規程（平成18･03･22シ第1号）」、「経済産業省情報セキュリティ対策基準（平成18･03･24シ第1号）」及び「政府機関等のサイバーセキュリティ対策のための統一基準群（令和７年度版）」(以下「規程等」と総称する。)を遵守すること。また、契約締結時に規程等が改正されている場合は、改正後の規程等を遵守すること。3) 受注者は、当省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指摘事項への対応を行うこと。【情報セキュリティを確保するための体制】4) 受注者は、本業務に従事する者を限定すること。また、受注者の資本関係・役員の情報、本業務の実施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修実績等）、実績及び国籍に関する情報を担当職員に提示すること。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示すること。5) 受注者は、本業務を再委託（業務の一部を第三者に委託することをいい、外注及び請負を含む。以下同じ。）する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、上記1)から19)までの措置の実施を契約等により再委託先に担保させること。また、1)の確認書類には再委託先に係るものも含むこと。【情報の取扱い】6) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）の取扱いには十分注意を払い、当省内に複製が可能な電子計算機等の機器を持ち込んで作業を行う必要がある場合には、事前に担当職員の許可を得ること。なお、この場合であっても、担当職員の許可なく複製してはならない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明すること。7) 受注者は、本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員の許可なく当省外で複製してはならない。また、作業終了後には、複製した情報が電子計算機等から消去されていることを担当職員が確認できる方法で証明すること。8) 受注者は、本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当職員に返却し、又は廃棄し、若しくは消去すること。その際、担当職員の確認を必ず受けること。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。9) 受注者は、契約期間　中及び契約終了後においても、本業務に関して知り得た当省の業務上の内容について、他に漏らし、又は他の目的に利用してはならない。なお、当省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供すること。【情報セキュリティに係る対策、教育、侵害時の対処】10) 受注者は、本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を講じるとともに、契約期間　中にこれらの対策に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施すること。11) 受注者は、本業務の遂行において、情報セキュリティが侵害され、又はそのおそれがある場合の対処方法について担当職員に提示すること。また、情報セキュリティが侵害され、又はそのおそれがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従うこと。【クラウドサービス】12) 受注者は、本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する場合には、これらのサービスで要機密情報を取り扱ってはならず、2)に掲げる規程等で定める不正アクセス対策を実施するなど規程等を遵守すること。13）受注者は、本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドサービスを調達する際は、「政府情報システムのためのセキュリティ評価制度（ISMAP）」の ISMAP クラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。14）受注者は、前２項におけるクラウドサービスの利用の際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。【セキュアな情報システム（外部公開ウェブサイトを含む）の構築・運用・閉鎖】15) 受注者は、情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等（電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等のハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施すること。①各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。②情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。③不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。（a）不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。（b）不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。（c）不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。（d）不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。（e）EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。④情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。⑤ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IP アドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。⑥外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び、運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。なお、必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。⑦電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeys IdentifiedMail）、DMARC（Domain-based Message Authentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTPによるサーバ間通信のTLS（SSL）化やS/MIME等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARCポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。⑧ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNSを利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。⑨情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。⑩ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT 資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期⑪機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT 機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムの IoT 機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムの IoT 機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。【アプリケーション・コンテンツの情報セキュリティ対策】16) 受注者は、アプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリティ水準の低下を招かぬよう、以下の内容も含めて行うこと。①提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。（a）アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。（b）アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。（c）提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。②提供するアプリケーション・コンテンツが脆弱性を含まないこと。③実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。④電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。⑤提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。⑥当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。17) 受注者は、外部に公開するウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以下「作り方」という。）に基づくこと。また、ウェブアプリケーションの構築又は更改時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施すること。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出すること。なお、チェックリストの結果に基づき、担当職員から指示があった場合は、それに従うこと。【アカウントの運用・管理】18) 主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。19) 情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリティインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。別紙令和 年 月 日経済産業省○○○課長 殿住 所名 称代 表 者 氏 名情報セキュリティに関する事項の遵守の方法の実施状況報告書情報セキュリティに関する事項１）の規定に基づき、下記のとおり報告します。記１．契約件名等契約締結日契約件名２．報告事項項目確認事項実施状況情報セキュリテ本業務全体における情報セキュリティの確保のため、「政府機関等のサイバーセキュィに関する事項リティ対策のための統一基準」（令和７年度版）、「経済産業省情報セキュリティ管理２） 規程」（平成１８・０３・２２シ第１号）及び「経済産業省情報セキュリティ対策基準」（平成１８･０３･２４シ第１号）（以下「規程等」と総称する。）に基づく、情報セキュリティ対策を講じる。情報セキュリテ経済産業省又は内閣官房国家サイバー統括室が必要に応じて実施する情報セキュリィに関する事項ティ監査、マネジメント監査又はペネトレーションテストを受け入れるとともに、指３） 摘事項への対応を行う。情報セキュリテ本業務に従事する者を限定する。また、受注者の資本関係・役員の情報、本業務の実ィに関する事項施場所、本業務の全ての従事者の所属、専門性（情報セキュリティに係る資格・研修４） 実績等）、実績及び国籍に関する情報を担当職員に提示する。なお、本業務の実施期間中に従事者を変更等する場合には、事前にこれらの情報を担当職員に再提示する。情報セキュリテ本業務の一部を再委託する場合には、再委託することにより生ずる脅威に対して情報ィに関する事項セキュリティに関する事項１）から１９）までの規定に基づく情報セキュリティ対策５） が十分に確保される措置を講じる。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体であってこれらの複製ィに関する事項を含む。）の取扱いには十分注意を払い、経済産業省内に複製が可能な電子計算機等６） の機器を持ち込んで作業を行う必要がある場合には、事前に経済産業省の担当職員（以下「担当職員」という。）の許可を得る。なお、この場合であっても、担当職員の許可なく複製しない。また、作業終了後には、持ち込んだ機器から情報が消去されていることを担当職員が確認できる方法で証明する。情報セキュリテ本業務遂行中に得た本業務に関する情報（紙媒体及び電子媒体）について、担当職員ィに関する事項の許可なく経済産業省外で複製しない。また、作業終了後には、複製した情報が電子７） 計算機等から消去されていることを担当職員が確認できる方法で証明する。情報セキュリテ本業務を終了又は契約解除する場合には、受注者において本業務遂行中に得た本業務ィに関する事項に関する情報（紙媒体及び電子媒体であってこれらの複製を含む。）を速やかに担当８） 職員に返却し、又は廃棄し、若しくは消去する。その際、担当職員の確認を必ず受ける。なお、端末やサーバ装置等を本業務のために調達した場合は、契約終了に伴う返却時の情報の抹消方法及び履行状況の確認手段について、以下を例とする対策を行うこと。a) 調達仕様書に記載し、契約内容にも含めること。b) 契約終了に伴う情報の抹消について、役務提供契約を別途締結すること。情報セキュリテ契約期間　中及び契約終了後においても、本業務に関して知り得た経済産業省の業務上ィに関する事項の内容について、他に漏らし、又は他の目的に利用してはならない。９） なお、経済産業省の業務上の内容を外部に提供する必要が生じた場合は、提供先で当該情報が適切に取り扱われないおそれがあることに留意し、提供の可否を十分に検討した上で、担当職員の承認を得るとともに、取扱上の注意点を示して提供する。情報セキュリテ本業務に使用するソフトウェア、電子計算機等に係る脆弱性対策、不正プログラム対ィに関する事項策、サービス不能攻撃対策、標的型攻撃対策、アクセス制御対策、情報漏えい対策を１０） 講じるとともに、契約期間　中にこれらの対策や情報セキュリティインシデント等に関する情報セキュリティ教育を本業務にかかわる従事者に対し実施する。情報セキュリテ本業務の遂行において、情報セキュリティが侵害され又はそのおそれがある場合の対ィに関する事項処方法について担当職員に提示する。また、情報セキュリティが侵害され又はそのお１１） それがあることを認知した場合には、速やかに担当職員に報告を行い、原因究明及びその対処等について担当職員と協議の上、その指示に従う。情報セキュリテ本業務を実施するに当たり、民間事業者等が不特定多数の利用者に対して提供する、ィに関する事項定型約款や利用規約等への同意のみで利用可能となるクラウドサービスを利用する１２） 場合には、これらのサービスで要機密情報を取り扱ってはならず、「情報セキュリティに関する事項２）」に定める不正アクセス対策を実施するなど規程等を遵守する。情報セキュリテ本業務を実施するに当たり、利用において要機密情報を取り扱うものとしてクラウドィに関する事項サービスを調達する際は、「政府情報システムのためのセキュリティ評価制度１３） （ISMAP）」のISMAPクラウドサービスリスト又はISMAP-LIUクラウドサービスリストから調達することを原則とすること。情報セキュリテ情報セキュリティに関する事項１２）及び１３）におけるクラウドサービスの利用のィに関する事項際は、提供条件等から、利用に当たってのリスクの評価を行うこと。特に要機密情報１４） を取り扱う場合は、リスクの評価にサプライチェーンも含めること。また、リスクが許容出来ることを確認して担当職員の利用承認を得るとともに、取扱上の注意点を示して提供し、その利用状況を管理すること。情報セキュリテ情報システム（ウェブサイトを含む。以下同じ。）の設計、構築、運用、保守、廃棄等ィに関する事項 （電子計算機、電子計算機が組み込まれた機器、通信回線装置、電磁的記録媒体等の１５） ハードウェア又はソフトウェア（以下「機器等」という。）の調達を含む場合には、その製造工程を含む。）を行う場合には、以下を実施する。（１）各工程において、当省の意図しない変更や機密情報の窃取等が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、具体的な管理手順や品質保証体制を証明する書類等を提出すること。（２）情報システムや機器等に意図しない変更が行われる等の不正が見つかったときに、追跡調査や立入検査等、当省と連携して原因を調査し、排除するための手順及び体制を整備していること。これらが妥当であることを証明するため書類を提出すること。（３）不正プログラム対策ソフトウェア等の導入に当たり、既知及び未知の不正プログラムの検知及びその実行の防止の機能を有するソフトウェアを導入すること。また、以下を含む対策を行うこと。①不正プログラム対策ソフトウェア等が常に最新の状態となるように構成すること。②不正プログラム対策ソフトウェア等に定義ファイルを用いる場合、その定義ファイルが常に最新の状態となるように構成すること。③不正プログラム対策ソフトウェア等の設定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。④不正プログラム対策ソフトウェア等を定期的に全てのファイルを対象としたスキャンを実施するように構成すること。⑤EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。（４）情報セキュリティ対策による情報システムの変更内容について、担当職員に速やかに報告すること。また、情報システムが構築段階から運用保守段階へ移行する際等、他の事業者へ引き継がれる項目に、情報セキュリティ対策に必要な内容を含めること。（５）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合には、政府機関のドメインであることが保証されるドメイン名「.go.jp」を使用すること。これらのシステム（関連するウェブサイトやテストサイト等も含む。）を構築した場合は、URL、ドメイン名、IPアドレス、利用するクラウドサービス又は設置場所等の情報を報告すること。内容に変更が生じた場合も同様とする。（６）外部に公開するウェブサイトを構築又は運用する場合には、以下の対策を実施すること。・サービス開始前及び運用中においては年１回以上、ポートスキャン、脆弱性検査を含むプラットフォーム診断を実施し、脆弱性を検出した場合には必要な対策を実施すること。・インターネットを介して通信する情報の盗聴及び改ざんの防止並びに正当なウェブサーバであることを利用者が確認できるようにするため、TLS(SSL)暗号化の実施等によりウェブサイトの暗号化の対策等を講じること。・必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いること。（７）電子メール送受信機能を含む場合には、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based MessageAuthentication, Reporting & Conformance）によるなりすましの防止策を講ずるとともにSMTPによるサーバ間通信のTLS（SSL）化やS/MIME等の電子メールにおける暗号化及び電子署名等により保護すること。なお、DMARCポリシーには、“p=quarantine”又は“p=reject”を設定すること。やむをえず、”p=none”を設定する場合は設定期間が可能な限り短くなるようにすること。（８）ウェブサイト又は電子メール送受信機能を含むシステム等の当省外向けシステムを構築又は運用する場合は、ドメインに関する情報が正確であることの定期的な確認、当省が指定する期日にドメインの抹消、DNSやCDN情報の削除、運用環境の削除を行える事業者を選定すること。また、運用を閉鎖する場合は、終了告知を一定期間行うこと。一定期間の終了告知を終えた後は、ドメインの抹消、DNSやCDN情報の削除、ドメインへのリンクの削除、SNSを利用していた場合はアカウント削除等、なりすましの防止策を漏れなく講ずること。なお、本事項は、「実施」の場合はその実施内容、「未実施」又は「該当なし」の場合はその理由等を必ず報告すること。（９）情報システムを構成する機器やソフトウェアの脆弱性対策については、サイバー攻撃の高度化・自動化などの技術や脅威の動向を踏まえ、必要に応じて、セキュリティパッチ等の対策用ファイルの適時の適用を前提とした運用設計（パッチマネジメント（管理））を行うこと。また、機器等で利用するソフトウェアに関する脆弱性情報を入手し脆弱性対策計画を策定し実施する場合においても、技術や脅威の動向を踏まえて、迅速な対策が必要であるかどうかを見極めたうえで実施の要否、実施時期を決定し記録をするとともに、必要に応じて担当者に報告を行うこと。（１０）ソフトウェアに関する脆弱性対策計画を策定する場合には、サイバー攻撃の高度化・自動化等の技術や脅威の動向を踏まえ、迅速な対策が必要であるかどうかを見極めた上で、以下の全ての事項について判断すること。a)対策の必要性b)対策方法。この際、自動でソフトウェアを更新する機能を有する IT 資産管理ソフトウェアを導入するなどにより、効率的に脆弱性対策を実施する手法をあらかじめ決定すること。c)対策方法が存在しないゼロデイと呼ばれる状態の場合又は対策が完了するまでの期間に対する一時的な回避方法d)対策方法又は回避方法が情報システムに与える影響。迅速な対策が必要である場合は情報システムの運用を一時停止することも検討すること。e)対策の実施予定時期f)対策試験の必要性g)対策試験の方法h)対策試験の実施予定時期（１１）機器等の選定の際は、機器等に必要なセキュリティ機能が適切に実装されていることを含めること。また、IoT機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。なお、以下に記載の重要度は、担当職員に確認すること。a)「重要度：低」に分類された情報システムのIoT機器等については、★１（レベル１）ラベルを取得した製品群からの選定等、当該制度の★１ラベル取得に求められるセキュリティ適合基準の機能が実装された機器等とすること。b)「重要度：中～高」に分類された情報システムのIoT機器等については、★１ラベル以上を取得した製品群から選定するなどして、当該制度の★１ラベル取得に求められるセキュリティ適合基準に加えて、情報システムの重要度に即したより高度なセキュリティ機能が実装された機器等とすること。情報セキュリテアプリケーション・コンテンツ（アプリケーションプログラム、ウェブコンテンツ等ィに関する事項の総称をいう。以下同じ。）の開発・作成を行う場合には、利用者の情報セキュリテ１６） ィ水準の低下を招かぬよう、以下の内容も含めて行う。（１）提供するアプリケーション・コンテンツが不正プログラムを含まないこと。また、そのために以下を含む対策を行うこと。①アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。②アプリケーションプログラムを提供する場合には、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認すること。③提供するアプリケーション・コンテンツにおいて、当省外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、ＨＴＭＬソースを表示させるなどして確認すること。（２）提供するアプリケーション・コンテンツが脆弱性を含まないこと。（３）実行プログラムの形式以外にコンテンツを提供する手段がない場合を除き、実行プログラム形式でコンテンツを提供しないこと。（４）電子証明書を用いた署名等、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。なお、電子証明書を用いた署名を用いるときに、政府認証基盤（ＧＰＫＩ）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。（５）提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンのＯＳ、ソフトウェア等の利用を強制するなどの情報セキュリティ水準を低下させる設定変更をＯＳ、ソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。（６）当省外へのアクセスを自動的に発生させる機能やサービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。ただし、必要があって当該機能をアプリケーション・コンテンツに組み込む場合は、当省外へのアクセスが情報セキュリティ上安全なものであることを確認した上で、他のウェブサイト等のサーバへ自動的にアクセスが発生すること、サービス利用者その他の者に関する情報が第三者に提供されること及びこれらを無効にする方法等が、サービス利用者において容易に確認ができるよう、担当職員が示すプライバシーポリシー等を当該アプリケーション・コンテンツに掲載すること。情報セキュリテ外部公開ウェブサイト上のウェブアプリケーションの構築又は改修を行う場合には、ィに関する事項独立行政法人情報処理推進機構が公開する最新の「安全なウェブサイトの作り方」（以１７） 下「作り方」という。）に従う。また、ウェブアプリケーションの構築又は改修時においてはサービス開始前に、運用中においてはウェブアプリケーションへ修正を加えた場合や新たな脅威が確認された場合に、「作り方」に記載されている脆弱性の検査等（ウェブアプリケーション診断）を実施し、脆弱性を検出した場合には必要な対策を実施する。併せて、「作り方」のチェックリストに従い対応状況を確認し、その結果を記入したチェックリストを担当職員に提出する。なお、チェックリストの結果に基づき、担当職員から指示があった場合には、その指示に従う。情報セキュリテ主体に対して管理者権限を付与する場合、主体の識別コード及び主体認証情報が、第ィに関する事項三者等によって窃取された際の被害を最小化するため、また、管理者による権限の濫１８） 用や作業ミスを防ぐため、以下を例とする措置を講ずること。a)業務上必要な場合に限定すること。b)必要最小限の権限のみ付与すること。c)同一の者が権限の付与と権限の執行を兼ねないようにすること。d)管理者権限を行使できる端末をシステム管理者等の専用の端末とすること。情報セキュリテ情報システムの主体認証方式として、２つ以上の主体認証方式を組み合わせる多要素ィに関する事項主体認証方式等の導入を検討すること。重要な情報システムにおいて情報セキュリテ１９） ィインシデントに繋がる恐れのある強い権限を有する主体など、厳格な主体認証が必要な場合は原則として多要素主体認証方式等の強固な認証技術を用いること。ウェブブラウザを介した主体認証機能を設けるに当たっては、主体認証方式として、フィッシング耐性を有する認証方式の導入を検討すること。記載要領１．「実施状況」は、情報セキュリティに関する事項２）から１９）までに規定した事項について、情報セキュリティに関する事項１）に基づき提出した確認書類で示された遵守の方法の実施状況をチェックするものであり、「実施」、「未実施」又は「該当なし」のいずれか一つを記載すること。「未実施」又は「該当なし」と記載した項目については、別葉にて理由も報告すること。２．上記に記載のない項目を追加することは妨げないが、事前に経済産業省と相談すること。（この報告書の提出時期：定期的（契約期間における半期を目処（複数年の契約においては年１回以上））。）【取得文書: contract-draft__（資料番号４）契約書表紙（概算契約用）（施行文）.pdf】R8-G-1（資料番号４）契約書案番 号支出負担行為担当官　経済産業省大臣官房会計課長名（以下「甲」という。）は、相手方名称代表者氏名（以下「乙」という。）と、件名（以下「委託業務」という。）について、以下により委託契約を締結する。目 的 甲は、委託業務の実施を乙に委託し、乙はこれを受託する。委託金委託業務の実施に要した経費の額。ただし、○○○，○○○，○○○円（消費税及び地方消費税額○，○○○，○○○円を含む。）を上限とする。完了期限実施計画書（仕様書）に記載のとおり実 績 告書の提出委託業務完了の日の翌日から１０日以内の日期限納入物実施計画書（仕様書）に記載のとおり納入場所　指示の場所その他約定のとおりこの契約を証するため、本契約書を２通作成し、双方記名押印の上、甲、乙それぞれ１通を保有する。年月日甲東京都千代田区霞が関一丁目３番１号支出負担行為担当官経済産業省大臣官房会計課長名乙 [所在地][相手方名称][代表者氏名]※契約書の条項は、入札公告７．（２）記載の内容となります。