共⽤ LAN システムに係る運⽤⽀援業務調達仕様書
共⽤ LAN システムに係る運⽤⽀援業務調達仕様書
令和 5年7⽉
独⽴⾏政法⼈ 医薬品医療機器総合機構
⽬次
共⽤ LAN システムに係る運⽤⽀援業務 調達仕様書 1
1. 調達案件の概要に関する事項 2
1.1 調達件名 2
1.2 ⽤語の定義 2
1.3 調達の背景 2
1.4 調達の⽬的 2
1.5 契約期間 2
2. 関連調達案件に関する事項 3
3. 運⽤⽀援対象のシステムに関する事項 3
3.1 共⽤ LAN システム概要 3
3.2 共⽤ LAN システムの利⽤者規模 3
4. プロジェクト管理に関する事項 4
4.1 プロジェクト実施計画 4
4.2 スケジュール. 4
4.3 ⽂書管理要領. 4
4.4 変更管理要領. 4
5. 運⽤⽀援業務の実施内容に関する事項 4
5.1 運⽤⽀援業務. 4
5.1.1 ヘルプデスク業務 4
5.1.2 随時運⽤業務 5
5.1.3 定例運⽤業務 5
6. 引継ぎに関する事項 5
6.1 現⾏運⽤⽀援事業者からの引継ぎ 5
6.2 次期運⽤⽀援事業者への引継ぎ 5
7. 情報セキュリティ対策に関する事項 6
7.1.1 情報セキュリティ監査の実施 6
8. 成果物に関する事項 7
8.1 納⼊成果物 7
8.2 納⼊成果物要件 8
8.3 知的財産権の帰属 9
8.4 契約不適合責任 10
8.5 検収 10
9. 作業の実施体制・⽅法に関する事項 11
9.1 基本事項 11
9.2 機密保持、資料の取扱い 12
9.3 遵守する法令等 12
9.4 実施体制 13
9.5 常駐作業者の設置 14
9.6 受注者に求めるスキルや資格等の要件 14
9.6.1 プロジェクト責任者に求める要件 14
9.6.2 作業管理者に求める要件 15
9.6.3 常駐作業者に求める要件 15
9.6.4 受注者に求める要件 15
9.7 履⾏場所、常駐場所 16
9.8 作業の管理に関する要領 16
9.9 他の落札者との相互協⼒ 17
10. ⼊札参加資格に関する事項 17
10.1 ⼊札参加要件 17
10.2 ⼊札制限 17
11. 再委託に関する事項 18
11.1 再委託 18
12. その他特記事項. 20
12.1 環境への配慮 20
12.2 その他 20
12.3 附属⽂書 20
12.4 窓⼝連絡先. 20
1. 調達案件の概要に関する事項
1.1 調達件名
共⽤ LAN システムに係る運⽤⽀援業務
1.2 ⽤語の定義
表 1-1 ⽤語の定義
⽤語 | 概要 |
共⽤ LAN システム | PMDA の業務に必要な基本インフラ環境。メールサーバやグル ープウェアサーバ、クライアント端末、ネットワーク機器等で構成されている。 |
共⽤ LAN アカウント | PMDA で業務を⾏うにあたり職員が利⽤している Active Directory ドメインのアカウント。 |
共⽤ LAN PC | PMDA で業務を⾏うにあたり職員が使⽤しているクライアント PC。 |
1.3 調達の背景
独⽴⾏政法⼈ 医薬品医療機器総合機構(以下「PMDA」という。)の情報基盤として、共
⽤ LAN システムが稼働している。本システムを円滑に運⽤するため⼀部の作業を外部業者へ委託する運⽤⽀援業務を契約しており、この運⽤⽀援業務の契約が令和 5 年 9 ⽉ 30 ⽇をもって満了となる。
1.4 調達の⽬的
本調達は、現契約満了後も共⽤ LAN システムの円滑な運⽤を維持するため、作業実⾏体制を新たに⽤意することを⽬的とする。
1.5 契約期間
本調達における契約期間は、令和 5 年 9 ⽉ 1 ⽇〜令和 7 年 9 ⽉ 30 ⽇とする。
2. 関連調達案件に関する事項
関連調達として、以下とおり共⽤ LAN システムのリプレースを含む基盤更改が実施される。共⽤ LAN システムは令和 6 年 3 ⽉頃を⽬途に、xx新基盤に置き換わる。
本調達にて要件とする作業内容に⼤きな変更は発⽣しない⾒込みだが、導⼊製品の変更が発⽣するため、操作対象の管理画⾯や⼿順書内容が本⽀援業務運⽤途中で変更となる。
表 2-1 関連調達案件情報
調達案件名 | 実施期間 | 概要 |
業務システム統合基盤の構築及び保守 | 令和 5 年 4 ⽉〜令和 10 年 10 ⽉ 31 ⽇ | 共⽤ LAN システムを含む、 PMDA 内システムの基盤統合、および更改。 |
3. 運⽤⽀援対象のシステムに関する事項
3.1 共⽤ LAN システム概要
本システムは主に、新霞ヶ関ビル、データセンタ、関⻄⽀部に設置された機器から構成される。業務認証基盤システム(Active Directory、プライベート認証局)やメール、ファイル共有システム等の複数のサブシステムから成り⽴ち、PMDA 職員が⽇々の業務を⾏う上で必要となる基幹システムとなる。
稼働中の機器類については、「秘密保持等に関する誓約書」を提出した希望者に対して PMDA 内にて資料を開⽰する。
3.2 共⽤ LAN システムの利⽤者規模
共⽤ LAN システムの利⽤対象者は PMDA 職員となる。利⽤者規模は以下のとおり。
表 3-1 共⽤ LAN システム利⽤者規模
種類 | 個数 |
職員数 | 約 1700 |
共⽤ LAN アカウント数 | 約 3300 |
メールアドレス数 | 約 4300 |
共⽤ LAN PC 数 | 約 1700 |
4. プロジェクト管理に関する事項
4.1 プロジェクト実施計画
受注者は、契約開始⽇から令和 5 年 10 ⽉ 1 ⽇(予定)の運⽤⽀援業務開始までに、プロジェクトスコープ、体制図、⽂書管理要領、変更管理要領、情報セキュリティ対策要領、スケジュール概要を記載したプロジェクト実施計画書を作成、PMDA の承認を得ること。
4.2 スケジュール
「別紙 1 スケジュール概要」を参考に、プロジェクトキックオフや現⾏業者との引継ぎ、週次、⽉次のような事前に確定しているイベントのスケジュールを作成すること。
4.3 ⽂書管理要領
「8.1 納⼊成果物」に記載される⽂書や、本⽀援業務中に作成、または PMDA から提供される⽂書に関して管理⽅針を記載すること。
4.4 変更管理要領
「別紙 4_システム運⽤管理基準」における変更管理の⽬的や概要を参照し、本調達における管理⽅針を記載すること。
5. 運⽤⽀援業務の実施内容に関する事項
5.1 運⽤⽀援業務
本調達における⽀援業務では、システムの運⽤にあたり PMDA が踏襲することと定めている運⽤管理基準、セキュリティ対策の運⽤要件を共⽤ LAN システムにおいても充⾜させることを⽬的とした要件を定義している。受注者においても次のドキュメントに記載されている規準、規則を把握すること。
∙ 別紙 4_システム運⽤管理基準
∙ 別紙 5_情報セキュリティ対策の運⽤要件
以下に細分化した運⽤⽀援業務の概要を記載する。各業務の詳細な要件は「別紙 2 運⽤
⽀援業務要件」を参照すること。
5.1.1 ヘルプデスク業務
新霞ヶ関ビルに常駐作業者を配置し、PMDA 職員からの共⽤ LAN システムに関する問い合わせ窓⼝となり⼀次受付業務を⾏う。
5.1.2 随時運⽤業務
常駐作業者が PMDA 職員からの要求に従い共⽤ LAN アカウントや共⽤ LAN PC 等 の設定変更を⾏う。
5.1.3 定例運⽤業務
常駐作業者が週次、⽉次、年次で予定された作業を定期的に⾏う。
6. 引継ぎに関する事項
6.1 現⾏運⽤⽀援事業者からの引継ぎ
受注者は、現⾏運⽤⽀援事業者から本調達における業務に必要な事項の引継ぎとして、作業場所、資源及びデータの説明を受け、提供される資料（運⽤作業の計画書や報告書、運⽤設計書及び運⽤⼿順書等の⼀覧）を基に、契約開始から運⽤業務開始までの期間内に
⾃主的に業務習熟を⾏うこと。
6.2 次期運⽤⽀援事業者への引継ぎ
次期運⽤⽀援業務の調達において本件受注者とは異なる事業者が受注した場合、現⾏運
⽤⽀援事業者は作業経緯、残存課題や下記資源及びデータについての引継ぎ資料を作成し、次期運⽤⽀援事業者に対して説明を⾏うこと。
∙ 問合せ、障害等の対応及び管理に関する⼿法・⼿順
∙ システム運⽤マニュアル、運⽤業務マニュアル
∙ 仕掛中の項⽬⼀覧及びその進捗状況
∙ 過去の問合せ、障害等の実績及びその対応⽅法
∙ 未対応作業⼀覧及びその対応(案)
∙ その他業務を引継ぐ上で必要と思われる事項
なお、契約期間終了後に発⽣する引き継ぎ作業について、その費⽤は本件受注者の⾃⼰負担とする。
7. 情報セキュリティ対策に関する事項
受注者は、以下の情報セキュリティ対策を実施すること。また実施⽅法、管理体制について情報セキュリティ要領としてまとめ、プロジェクト実施計画へ記載、提出すること。
① PMDA から提供する情報の⽬的xx⽤を禁⽌すること。
② 本業務の実施に当たり、受注者⼜はその従業員、本調達の役務内容の⼀部を再委託する先、若しくはその他の者による意図せざる変更が加えられないための管理体制が整備されていること。
③ 受注者の資本関係・役員等の情報、本業務の実施場所、本業務従事者の所属・専⾨性
（情報セキュリティに係る資格・研修実績等）・実績及び国籍に関する情報提供を⾏うこと。具体的な提供内容については PMDA と協議の上、決定するものとする。
④ 情報セキュリティインシデントへの対処⽅法が確⽴されていること。
⑤ 情報セキュリティ対策その他の契約の履⾏状況を定期的に確認し、⽉次報告書の中で PMDA へ報告すること。
⑥ 情報セキュリティ対策の履⾏が不⼗分である場合、速やかに改❹策を提出し、PMDAの承認を受けた上で実施すること。
⑦ PMDA が求めた場合に、速やかに情報セキュリティ監査を受⼊れること。
⑧ 本調達の役務内容を⼀部再委託する場合は、再委託されることにより⽣ずる脅威に対して情報セキュリティが⼗分に確保されるようにプロジェクト実施計画書に記載された措置の実施を担保すること。
⑨ PMDA から要保護情報を受領する場合は、情報セキュリティに配慮した受領及び管理
⽅法にて⾏うこと。
⑩ PMDA から受領した要保護情報が不要になった場合は、これを確実に返却、⼜は抹消し、書⾯にて報告すること。
⑪ 本業務において、情報セキュリティインシデントの発⽣⼜は情報の⽬的xx⽤等を認知した場合は、速やかに PMDA に報告すること。
7.1.1 情報セキュリティ監査の実施
① PMDA がその実施内容（監査内容、対象範囲、実施等）を定めて、情報セキュリティ監査等を⾏う（PMDA が選定した事業者による監査を含む。）ものとする。受注者
は、あらかじめ情報セキュリティ監査等を受け⼊れる部⾨を「プロジェクト実施計画書」に付記し提⽰すること。場所、次期、監査条件は PMDA と協議し決定すること。
② 受注者は⾃ら実施した外部監査についても PMDA へ報告すること。
③ 受注者は、情報セキュリティ監査の結果、本調達における情報セキュリティ対策の履
⾏状況について PMDA が改❹を求めた場合には、PMDA と協議の上、必要な改❹策を⽴案して速やかに改❹を実施するものとする。
④ 本調達に関する監査が実施される場合、受注者は技術⽀援及び情報提供を⾏うこと。
⑤ 受注者は、指摘や進捗等把握のための資料提出依頼等があった場合、PMDA と協議の上で内容に沿って適切な対応を⾏うこと。
情報セキュリティ監査の実施については、本項に記載した内容を上回る措置を講ずることを妨げるものではない。
8. 成果物に関する事項
8.1 納⼊成果物
作業⼯程毎の成果物、PMDA への納⼊時期を以下に記す。成果物の内容や構成、詳細については受注後に PMDA と協議し決定すること。
表 8-1 納⼊成果物⼀覧
⼯程 | 成果物名 | 納⼊時期 |
準備 | プロジェクト実施計画書 | 契約締結から 3 週間以 内に納⼊ |
運⽤ | システム運⽤マニュアル運⽤業務マニュアル ⼿順書 主に Windows 標準コマンドを⽤いたスクリプト、プログラム、ツール等 | 変更が発⽣した場合、随時更新し提出。また契約終了 2 週間前に最終版を納⼊ |
その他 | 週次報告資料 ⽉次報告資料 その他打ち合わせ事項打ち合わせ議事録 | 変更が発⽣した場合、随時更新し提出。また契約終了 2 週間前に最 終版を納⼊ |
システム運⽤マニュアルについては、システム運⽤上、運⽤⽀援要員の⾏うべき業務内容及び操作⼿順に関する資料とする。
運⽤業務マニュアルについては、運⽤⽀援業務における業務プロセスを定めた「業務フロー」とし、次のプロセス関しての対応⽅法について作成、更新するものとする。
∙ 問合せ管理プロセス
∙ インシデント管理プロセス
∙ 変更管理プロセス
∙ リリース管理プロセス
∙ 構成管理プロセス
∙ 問題管理プロセス
∙ 各定期点検プロセス
∙ リスク管理プロセス
∙ 課題管理プロセス
∙ 情報セキュリティ管理プロセス
8.2 納⼊成果物要件
① 成果物はすべて⽇本語で作成すること。ただし、⽇本国においても、英字で表記されることが⼀般的な⽂⾔については、そのまま記載しても構わないものとする。
② ⽤字・⽤語・記述符号の表記については、「公⽤⽂作成の要領」に準拠すること。
③ 情報処理に関する⽤語の表記については⽇本⼯業規格（JIS）の規定に準拠すること。
④ 受注者は、指定のドキュメントを外部電磁的記録媒体（CD-R/DVD-R 等)により納品すること。また、PMDA が要求する場合は紙媒体でも納品すること。
⑤ 納品部数については、PMDA と協議すること。ただしソフトウェア、ソースコード等は外部電磁的記録媒体（CD-R 等）のみとする。
⑥ 紙媒体のサイズは、⽇本⼯業規格Ａ列４番を原則とする。図表については、必要に応じてＡ列３番を使⽤することができる。また、バージョンアップ時等に差替えが可能なようにバインダ⽅式とする。
⑦ 外部電磁的記録媒体に保存する形式は Microsoft 365 Apps for Enterprise で読み込み可能な形式及び PDF 形式とすること。ただし、PMDA が他の形式による提出を求めた場合は、これに応じること。なお、受注者側で他の形式を⽤いて提出したいファイルがある場合は、協議に応じるものとする。 また契約期間中に Microsoft Office 製品のバージョンアップデートが発⽣する可能性があるので注意すること。
⑧ 納品したドキュメントに修正等があった場合は、紙については、それまでの変更内容を表⽰するとともに変更履歴と修正ページ、外部電磁的記録媒体については、それまでの変更内容及び修正後の全編を速やかに提出すること。
⑨ 外部電磁的記録媒体は、2 部納品すること。
⑩ 納品後、PMDA において改変が可能となるよう、図表等の元データも併せて納品すること。
⑪ 成果物の作成に当たって、CAD 等の上記以外の特別なツールを使⽤する場合は、 PMDA の承認を得ること。
⑫ 成果物が外部に不正に使⽤されたり、納品過程において改ざんされたりすることのないよう安全な納品⽅法を提案し、成果物の情報セキュリティの確保に留意すること。
⑬ 外部電磁的記録媒体により納品する場合は、不正プログラム対策ソフトウェアによる確認を⾏う等して、成果物に不正プログラムが混⼊することのないよう、適切に対処すること。
⑭ 成果物の作成及び納品に当たり、内容、構成等について PMDA が指摘した場合には、指摘事項に対応すること。
⑮ 納品に当たっては、現存するドキュメント等を変更する必要がある場合はそれらを修正することとし、修正点が分かるように表記すること。
報告書、計画書等の成果物の記載様式については、記載様式案を PMDA に提⽰すること。PMDA は、案について受注者と協議の上、決定する。
8.3 知的財産権の帰属
① 本件に係り作成・変更・更新されるドキュメント類及びプログラムの著作権（著作xx第 21 条から第 28 条に定めるすべての権利を含む。）は、受注者が本件のシステム導⼊の従前より権利を保有していた等の明確な理由により、あらかじめ書⾯にて権利譲渡不可能と⽰されたもの以外、PMDA が所有する等現有資産を移⾏等して発⽣した権利を含めてすべて PMDA に帰属するものとする。
② 本件に係り発⽣した権利については、受注者は著作者⼈格権（著作xx第 18 条から第 20 条までに規定する権利をいう。）を⾏使しないものとする。
③ 本件に係り発⽣した権利については、今後、⼆次的著作物が作成された場合等であっても、受注者は原著作物の著作権者としての権利を⾏使しないものとする。
④ 本件に係り作成・変更・修正されるドキュメント類及びプログラム等に第三者が権利を有する著作物が含まれる場合、受注者は当該著作物の使⽤に必要な費⽤負担や使⽤許諾契約に係る⼀切の⼿続きを⾏うこと。この場合は事前に PMDA に報告し、承認を得ること。
⑤ 本件に係り第三者との間に著作権に係る権利侵害の紛争が⽣じた場合には、当該紛争の原因が専ら PMDA の責めに帰す場合を除き、受注者の責任、負担において⼀切を処理すること。この場合、PMDA は係る紛争の事実を知ったときは、受注者に通知し、必要な範囲で訴訟上の防衛を受注者にゆだねる等の協⼒措置を講ずる。
なお、受注者の著作⼜は⼀般に公開されている著作について、引⽤する場合は出典を明
⽰するとともに、受注者の責任において著作者等の承認を得るものとし、PMDA に提出する際は、その旨併せて報告するものとする。
8.4 契約不適合責任
① 本業務の最終検収後 1 年以内の期間において、委託業務の納⼊成果物に関して本システムの安定稼動等に関わる契約不適合の疑いが⽣じた場合であって、PMDA が必要と認めた場合は、受注者は速やかに契約不適合の疑いに関して調査し回答すること。調査の結果、納⼊成果物に関して契約不適合等が認められた場合には、受注者の責任及び負担において速やかに修正を⾏うこと。
② なお、修正を実施する場合においては、修正⽅法等について、事前に PMDA の承認を得てから着⼿すると共に、修正結果等について、PMDA の承認を受けること。
③ 受注者は、契約不適合責任を果たす上で必要な情報を整理し、その⼀覧を PMDA に提出すること。契約不適合責任の期間が終了するまで、それら情報が漏洩しないよう
に、ISO/IEC27001 認証（国際標準）⼜は JISQ27001 認証（⽇本産業標準）に従い、また個⼈情報を取り扱う場合には JISQ15001（⽇本産業標準）に従い、厳重に管理をすること。
また、契約不適合責任の期間が終了した後は、速やかにそれら情報がデータ復元ソフトウェア等を利⽤してもデータが復元されないように完全に消去すること。データ消去作業終了後、受注者は消去完了を明記した証明書を作業xxとともに PMDA に対して提出すること。なお、データ消去作業に必要な機器等については、受注者の負担で⽤意すること。
8.5 検収
納⼊成果物については、適宜、PMDA に進捗状況の報告を⾏うとともに、レビューを受けること。最終的な納⼊成果物については、納⼊成果物が揃っていること及びレビュー後
の改訂事項等が反映されていることを、PMDA が確認し、これらが確認され次第、検収終了とする。
なお、以下についても遵守すること。
① 検査の結果、納⼊成果物の全部⼜は⼀部に不合格品を⽣じた場合には、受注者は直ちに引き取り、必要な修復を⾏った後、PMDA の承認を得て指定した⽇時までに修正が反映されたすべての納⼊成果物を納⼊すること。
② 納⼊成果物に規定されたもの以外にも、必要に応じて提出を求める場合があるので、作成資料等を常に管理し、最新状態に保っておくこと。
③ PMDA の品質管理担当者が検査を⾏った結果、不適切と判断した場合は、品質管理担当者の指⽰に従い対応を⾏うこと。
9. 作業の実施体制・⽅法に関する事項
9.1 基本事項
受注者は、次に掲げる事項を遵守すること。
① 本業務の遂⾏に当たり、業務の継続を第⼀に考え、❹良な管理者の注意義務をもって誠実に⾏うこと。
② 本業務に従事する要員は、PMDA と⽇本語により円滑なコミュニケーションを⾏う能
⼒と意思を有していること。
③ 本業務の履⾏場所を他の⽬的のために使⽤しないこと。
④ 本業務に従事する要員は、履⾏場所での所定の名札の着⽤等、従事に関する所定の規則に従うこと。
⑤ 受注者は要員の資質、規律保持、⾵紀及び衛⽣・健康に関すること等の⼈事管理並びに要員の責めに起因して発⽣した⽕災・盗難等不祥事が発⽣した場合の⼀切の責任を負うこと。
⑥ 受注者は、本業務の履⾏に際し、PMDA からの質問、検査及び資料の提⽰等の指⽰に応じること。また、修正及び改❹要求があった場合には、別途協議の場を設けて対応すること。
⑦ 次回の本業務調達に向けた現状調査、PMDA が依頼する技術的⽀援に対する回答、助
⾔を⾏うこと。
⑧ 受注者は、本調達契約期間終了後の運⽤⽀援業務を、本件受注者によらずこれを⾏うことが可能となるよう、詳細にドキュメント類の整備を⾏うこと。
9.2 機密保持、資料の取扱い
① 受注者は、運⽤⽀援業務実施の過程で PMDA が開⽰した情報（公知の情報を除く。以下同じ。）、他の受注者が提⽰した情報及び本件受注者が作成した情報を、本受託業務の⽬的以外に使⽤⼜は第三者に開⽰若しくは漏洩してはならないものとし、そのために必要な措置を講ずること。
② 受注者は、本受託業務を実施するにあたり、上記①の資料等について管理簿等により適切に管理し、かつ、以下の事項に従うこと。
∙ 複製しないこと。
∙ 必要がなくなり次第、速やかに PMDA に返却⼜は消去すること。
∙ 本調達契約期間終了後、上記①に記載される情報を削除⼜は返却し、本件受注者において該当情報を保持しないことを誓約する旨の書類を、PMDA に提出すること。
③ 応札希望者についても上記①及び②に準ずること。
④ 「独⽴⾏政法⼈ 医薬品医療機器総合機構 情報システム管理利⽤規程」の第 52 条に従うこと。
⑤ 「秘密保持等に関する誓約書」を別途提出し、これを遵守しなければならない。
⑥ 機密保持の期間は、当該情報が公知の情報になるまでの期間とする。
9.3 遵守する法令等
① 受注者は、最新の「政府機関のサイバーセキュリティ対策のための統⼀基準」、「府省庁対策基準策定のためのガイドライン」、「医療情報システムの安全管理に関するガイドライン」及び「独⽴⾏政法⼈ 医薬品医療機器総合機構サイバーセキュリティポリシー」（以下、「セキュリティポリシー」という。）に遵守すること。
② セキュリティポリシーは⾮公表であるが、「政府機関のサイバーセキュリティ対策のための統⼀基準群（令和３年度版）」に準拠しているので、必要に応じ参照するこ
と。セキュリティポリシーの開⽰については、契約締結後、受注者が担当職員に「秘密保持等に関する誓約書」を提出した際に開⽰する。
③ PMDA へ提⽰する電⼦ファイルは事前にウイルスチェック等を⾏い、悪意のあるソフトウェア等が混⼊していないことを確認すること。
④ ⺠法、刑法、著作xx、不正アクセス禁⽌法、個⼈情報保護法等の関連法規を遵守することはもとより、下記の PMDA 内規程を遵守すること。
∙ 独⽴⾏政法⼈ 医薬品医療機器総合機構 情報システム管理利⽤規程
∙ 独⽴⾏政法⼈ 医薬品医療機器総合機構 個⼈情報管理規程
⑤ 受注者は、本業務において取り扱う情報の漏洩、改ざん、滅失等が発⽣することを防
⽌する観点から、情報の適正な保護・管理対策を実施するとともに、これらの実施状況について、PMDA が定期⼜は不定期の検査を⾏う場合においてこれに応じること。万⼀、情報の漏洩、改ざん、滅失等が発⽣した場合に実施すべき事項及び⼿順等を明確にするとともに、事前に PMDA に提出すること。
また、そのような事態が発⽣した場合は、PMDA に報告するとともに、当該⼿順等に基づき可及的速やかに修復すること。
9.4 実施体制
① 受注者は、本業務における体制や課題等のプロジェクト管理、調整を⾏うプロジェクト責任者を確保すること。本要員は⾮常駐型での参画としてもよい。
② 受注者は、常駐要員の中に最低 1 名以上、作業管理者を確保すること。
③ 受注者は、本業務に係る要員の役割分担、責任分担、体制図等をプロジェクト実施計画書の⼀部として作成し、PMDA に報告するとともに、承認を得ること。また、受注者は、必要な要員の調達を遅滞なく実施し、体制を確定すること。また履⾏期間中を通して維持すること。
④ 体制構築においては費⽤対効果の観点を踏まえ、管理者及び作業実施者を適切に配置すること。
⑤ 本業務の実施に当たり、PMDA の意図しない変更が⾏われないことを保証する管理が、⼀貫した品質保証体制の下でなされていること。また、当該品質保証体制が書類等で確認できること。
⑥ 本システムに PMDA の意図しない変更が⾏われるなどの不正が⾒つかった時（不正が
⾏われていると疑わしい時も含む）に、追跡調査や⽴⼊検査等、PMDA と受注者が連携して原因を調査・排除できる体制を整備し、維持すること。また、当該体制が書類等で確認できること。
⑦ 当該管理体制を確認する際の参照情報として、資本関係・役員等の情報、本業務の実施場所、本業務従事者の所属・専⾨性（情報セキュリティに係る資格・研修実績
等）・実績及び国籍に関する情報提供を⾏うこと。具体的な情報提供内容については PMDA と協議の上、決定するものとする。
⑧ 受注者は、PMDA 側やその他関連事業者を含めた全体の体制・役割を⽰した上で、プロジェクトの推進体制及び本件受注者に求める作業実施体制を PMDA と協議の上定めること。また、受注者の情報セキュリティ対策の管理体制については、作業実施体制とは別に作成すること。
⑨ 受注者は、インシデント発⽣時などの連絡体制図を PMDA と協議の上定めること。
9.5 常駐作業者の設置
① 常駐作業者の⼈数は作業量に合わせて適切に配置すること。
② IT スキルに関する⼀般的知識を有し、「別紙 2 運⽤⽀援業務要件」に掲げる作業を⾃ら遂⾏⼜は他常駐作業者に指⽰ができるとともに、保守作業の⽀援が出来る者を確保し、作業管理者として常駐作業者に含めること。
③ 課題の棚卸や担当者の配分、進捗管理が可能な能⼒を有した者を確保し、常駐作業者に含めること。
④ 問合せや障害等が輻輳した場合でも対応がとれる体制であること。また、常駐作業者が休暇等で不在の場合は代替要員を確保するか、他の常駐者間で分担し作業に⽀障がない体制をとること。
⑤ 常駐作業者の交代が発⽣する場合、可能な限り事前に PMDA へ報告すること。また交代後の要員に対する引継ぎや教育を⼗分に⾏うこと。
9.6 受注者に求めるスキルや資格等の要件
9.6.1 プロジェクト責任者に求める要件
① 実務経験年数が 7 年以上であること。
② 類似する運⽤⽀援業務に対してのマネジメント実績を有すること。
③ 下記の資格、もしくは同等の資格を 1 つ以上保有していること。
∙ PMI 主催のプロジェクトマネジメントプロフェッショナル経験(PMP）
∙ 情報技術者試験(PM)
∙ ITIL 認定資格(インターミディエイト以上）
9.6.2 作業管理者に求める要件
① 実務経験年数が 5 年以上であること。
② 類似する運⽤⽀援業務での作業管理実績を有すること。
③ 下記の資格、もしくは同等の資格を 1 つ以上保有していること。
∙ 情報技術者試験(PM)
∙ 情報技術者試験(FE、または AP)
∙ 情報セキュリティスペシャリスト試験(SC)
∙ ITIL 認定資格(ファンデーション以上)
9.6.3 常駐作業者に求める要件
① 類似する運⽤⽀援業務での作業実績を有すること。
② 下記、もしくは同等の資格を 1 つ以上保有している要員を 1 ⼈以上確保すること。
∙ 情報技術者試験(FE、または AP)
∙ IT パスポート試験
9.6.4 受注者に求める要件
① 要員交代時に⼀時的に資格保有者が不⾜する場合は PMDA にその旨を報告し、速やかに要員交代を完了すること。
② 以下の運⽤経験を有した作業者を体制に含むこと。ただし同⼀者が全ての経験を有している必要はなく、すべての経験を常駐者のみで満たす必要はないが、少なくとも作業にあたり⾮常駐者がサポートすることでスムーズに作業が⾏えるような体制とすること。
∙ Windows Server（リモートデスクトップ接続や基本的な OS 操作、）
∙ Windows Server 2016 以降の Active Directory 環境（1,000 ユーザー以上）
∙ Microsoft SharePoint Server 2016（基本的なページ編集、標準の Sharepoint 内アプリケーションの設定）
∙ Linux（基本的な OS 操作（「LPIC2」相当）、Bash を使⽤したxxxxxxxxによる操作）
∙ Microsoft Windows10
∙ Microsoft Office 製品(Word、Excel、PowerPoint、Teams、OneDrive)
∙ Microsoft Office365 及び Microsoft AzureAD(GUI 及び Powershell での設定変更)
∙ Windows 系ファイル共有（DFS 設定、クオータ設定、アクセス権設定）
∙ Symantec Ghost Solution Suite(OS イメージの展開)
∙ SKYSEA Client View（アプリケーション配布、USB デバイス制御）
9.7 履⾏場所、常駐場所
① 履⾏場所、常駐場所は新霞が関ビル（xxxxxxxxxx 0-0-0）内とする。
② 常駐業務以外の作業のためにその他の場所を⽤いる場合は、再委託も含めて PMDA内、⼜は⽇本国内で PMDA の承認した場所にて実施すること。
③ 業務で⽤いる機器、データ等は⽇本国外に持ち出さないこと。
④ PMDA 内での作業においては、必要な規定の⼿続を実施し承認を得ること。
⑤ 必要に応じて PMDA 職員は現地確認を実施できることとする。
9.8 作業の管理に関する要領
① 受注者は、PMDA の指⽰に従って運⽤業務に係るコミュニケーション管理、体制管理、作業管理、リスク管理、課題管理、変更管理、情報セキュリティ対策を実施すること。
② PMDA が管理するエリアからの情報の持ち出しは許可しない。持ち出しが必要な場合は事前に PMDA に対し、持ち出し⽬的、対象情報の範囲、情報利⽤端末、情報の利⽤者等に関し申請を⾏うこと。また受注者は、持ち出した情報を台帳等により管理すること。さらに受注者は、持ち出した情報は使⽤後に確実に消去し、そのエビデンスを提出すること。
③ 受注者は本作業全体の総括として作業指⽰、進捗管理及び取りまとめ等総合調整を⾏う者として常駐作業者の中から作業管理者を 1 名選任すること。
④ PMDA 担当者から常駐作業者及び現地作業者に対する作業指⽰及び協議事項は、原則作業管理者を通じて⾏う。
⑤ 常駐作業者及び現地作業者から PMDA 担当者に対する依頼及び協議事項は、原則作業管理者を通じて⾏うこと。
⑥ 作業管理者が休暇等で不在の場合は、代理者を充て、PMDA に報告すること。
9.9 他の落札者との相互協⼒
① 運⽤⽀援業務において、共⽤ LAN システム、共⽤ LAN システム以外の関連業者等と連携が必要となった場合、共⽤ LAN システム担当者の指⽰のもと協⼒すること。
② ハードウェア障害により部品、機器交換作業が発⽣し、該当するハードウェアの保守業者と連携が必要となった場合、共⽤ LAN システム担当者の指⽰のもと協⼒すること。本作業は新霞ヶ関ビル設置の機器に限る。
10. ⼊札参加資格に関する事項
10.1 ⼊札参加要件
応札希望者は、以下の条件を満たしていること。
① 担当部署が ISO9001 ⼜は CMMI レベル 3 以上の認定を取得していること。
② 担当部署が ISO/IEC27001 認証（国際標準）⼜は JISQ27001 認証（⽇本⼯業標準）のいずれかを取得していること。
③ プライバシーマーク付与認定を取得していること。
④ PMDA と同程度の組織(約 1500 ユーザ)において運⽤⽀援業務の実績があること。
⑤ プロジェクト責任者、管理者の能⼒、経歴等を具体的かつ詳細に記載したドキュメントを提出すること。（⽒名、職位、マネジメント経験年数、経験業種、経験業務、経験システム経験年数及び経験内容等）
⑥ プロジェクト責任者、管理者が保有する資格について記載し、客観的に証明できる証明書等の写しを資格毎に添付したドキュメントを提出すること。
⑦ 応札時には、従事する作業毎に⼗分に細分化された⼯数、概算スケジュールを含む⾒積り根拠資料の即時提出が可能であること。なお、応札後に PMDA が⾒積り根拠資料の提出を求めた際、即時に提出されなかった場合には、契約を締結しないことがあ
る。
10.2 ⼊札制限
情報システムの調達のxx性を確保するために、以下に⽰す事業者は本調達に参加できない。
① PMDA の CIO 補佐が現に属する、⼜は過去 2 年間に属していた事業者等
② 各⼯程の⾒積依頼書の作成に直接関与した事業者等
③ 設計・開発等の⼯程管理⽀援業者等
④ ①〜③の親会社及び⼦会社（「財務諸表等の⽤語、様式及び作成⽅法に関する規則」
（昭和 38 年⼤蔵省令第 59 号）第 8 条に規定する親会社及び⼦会社をいう。以下同じ。）
⑤ ①〜③と同⼀の親会社を持つ事業者
⑥ ①〜③から委託を請ける等緊密な利害関係を有する事業者
11. 再委託に関する事項
11.1 再委託
① 受注者は、受注業務の全部⼜は主要部分を第三者に再委託することはできない。
② 「主要部分」とは、以下に掲げるものをいう。
∙ 総合的企画、業務遂⾏管理、⼿法の決定及び技術的判断等。
∙ SLCP-JCF2013 の 2.3 開発プロセス、及び 2.4 ソフトウェア実装プロセスで定める各プロセスで、以下に⽰す要件定義・基本設計⼯程に相当するもの。
⮚ 2.3.1 プロセス開始の準備
⮚ 2.3.2 システム要件定義プロセス
⮚ 2.3.3 システム⽅式設計プロセス
⮚ 2.4.2 ソフトウェア要件定義プロセス
⮚ 2.4.3 ソフトウェア⽅式設計プロセスただし、以下の場合には再委託を可能とする。
∙ 補⾜説明資料作成⽀援等の補助的業務
∙ 機能毎の⼯数⾒積において、⼯数が⽐較的⼩規模であった機能に係るソフトウェア要件定義等業務
③ 受注者は、再委託する場合、事前に再委託する業務、再委託先等を PMDA に申請し、承認を受けること。申請にあたっては、「再委託に関する承認申請書」の書⾯を作成 の上、受注者と再委託先との委託契約書の写し及び委託要領等の写しを PMDA に提出すること。
④ 受注者は、機密保持、知的財産xxに関して本仕様書が定める受注者の責務を再委託先業者も負うよう、必要な処置を実施し、PMDA に報告し、承認を受けること。な お、第三者に再委託する場合は、その最終的な責任は受注者が負うこと。
⑤ 再委託先が「10.⼊札参加資格に関する事項」の要件を満たすこと。
⑥ 受注者の責任において、サプライチェーンリスクの発⽣を未然に防⽌するための体制を確⽴すること。
⑦ 再委託先において、本⾒積依頼書に定める事項に関する義務違反、義務を怠った場合には、受注者が⼀切の責任を負うとともに、PMDA は当該再委託先への再委託の中⽌を請求することができる。
⑧ 再委託における情報セキュリティ要件については以下のとおり。
∙ 再委託先が「7 情報セキュリティ対策に関する事項」の要件を満たすこと
∙ PMDA から提供する情報の⽬的xx⽤を禁⽌すること。
∙ 受注者は再委託先における情報セキュリティ対策の実施内容を管理し PMDA に報告すること。
∙ 受注者は業務の⼀部を委託する場合、本業務にて扱うデータ等について、再委託先またはその従業員、若しくはその他の者により意図せざる変更が加えられないための管理体制を整備し、PMDA に報告すること。
∙ 受注者は再委託先の資本関係・役員等の情報、委託事業の実施場所、委託事業従事者の所属・専⾨性（情報セキュリティに係る資格・研修実績等）・実績及び国籍に関して、PMDA から求めがあった場合には情報提供を⾏うこと。
∙ 受注者は再委託先にて情報セキュリティインシデントが発⽣した場合の再委託先における対処⽅法を確認し、PMDA に報告すること。
∙ 受注者は、再委託先における情報セキュリティ対策、及びその他の契約の履⾏状況の確認⽅法を整備し、PMDA へ報告すること。
∙ 受注者は再委託先における情報セキュリティ対策の履⾏状況を定期的に確認すること。また、情報セキュリティ対策の履⾏が不⼗分な場合の対処⽅法を検討し、 PMDA へ報告すること。
∙ 受注者は、情報セキュリティ監査を実施する場合、再委託先も対象とするものとする。
∙ 受注者は、再委託先が⾃ら実施した外部監査についても PMDA へ報告すること。
∙ 受注者は、委託した業務の終了時に、再委託先において取り扱われた情報が確実に返却、⼜は抹消されたことを確認すること。
⑨ 上記①〜⑧について再委託先が、さらに再委託を⾏う場合も同様とする。
12. その他特記事項
12.1 環境への配慮
① 環境への負荷を低減するため、以下に準拠すること。
② 本件に係る納⼊成果物については、最新の「国等による環境物品等の調達の推進等に関する法律（グリーン購⼊法）」に基づいた製品を可能な限り導⼊すること。
③ 導⼊する機器等がある場合は、性能や機能の低下を招かない範囲で、消費電⼒節減、発熱対策、騒⾳対策等の環境配慮を⾏うこと。
12.2 その他
① PMDA 全体管理組織（PMO）が担当課に対して指導、助⾔等を⾏った場合には、受注者もその⽅針に従うこと。
12.3 附属⽂書
① 別紙 1 スケジュール概要
② 別紙 2 運⽤⽀援業務要件
③ 別紙 3 Service Level Agreement
④ 別紙 4_システム運⽤管理基準
⑤ 別紙 5_情報セキュリティ対策の運⽤要件
12.4 窓⼝連絡先
独⽴⾏政法⼈ 医薬品医療機器総合機構 情報化統括推進室共⽤ LAN システム担当者
電話：03 (3506) 9485
Email：cm-kyoyolan●xxxx.xx.xx
※迷惑メール防⽌対策をしているため、●を半⾓のアットマークに置き換えること。
【別紙１】 共用LANシステム等に係る運用支援業務
作業スケジュール案
作業事項(案)については、受注後にPMDAと協議の上、決定する。
Ｎｏ | 作業事項(案) | 実施区分 | 2023 年 | 2024年 | 2025年 | 実施内容 | |||||||||||||||||||||||
9月 | 10月 | 11月 | 12月 | 1月 | 2月 | 3月 | 4月 | 5月 | 6月 | 7月 | 8月 | 9月 | 10月 | 11月 | 12月 | 1月 | 2月 | 3月 | 4月 | 5月 | 6月 | 7月 | 8月 | 9月 | |||||
マイルストーン | |||||||||||||||||||||||||||||
1-1 | キックオフ | 実施 ◎ | ▲ | 実施計画書に基づくキックオフを実施 | |||||||||||||||||||||||||
1-2 | 前業者からの引継ぎ | 実施 ◎ | 実施 | 契約後２週間以内に運用準備作業に関するプロジェクト実施計画書を作成し、ＰＭＤＡの承認を受けた 後、前事業者からの引継ぎを行う。 | |||||||||||||||||||||||||
1-3 | 週次定例 | 実施 ◎ | |||||||||||||||||||||||||||
1-4 | 月次定例 | 実施 ◎ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | ▲ | |||
1-5 | 次年度(新業者)への引継ぎ | 実施 ◎ | 実施 | ||||||||||||||||||||||||||
運用 | |||||||||||||||||||||||||||||
2-1 | インシデント一覧報告(ｼｽﾃﾑ障害、情報ｾｷｭﾘﾃｨｲﾝｼﾃﾞﾝﾄを含む) | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」 ⇒インシデント管理：インシデント一覧による月次報告 | ||
2-2 | システム変更作業報告(パッチ適用状況報告を含む) | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」 ⇒変更管理：変更作業一覧による月次報告 | ||
2-3 | 特権ＩＤ使用状況報告 (台帳を含む) | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」 ⇒特権ID管理台帳・特権ID使用管理簿による月次報告 | ||
2-4 | 情報セキュリティ：遵守状況の報告 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」 ⇒情報セキュリティ：遵守状況の報告 | ||
2-5 | 脆弱性対策の実施状況の点検 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ⇒情報セキュリティ管理：セキュリティパッチ適用状況の報告 脆弱性に関し関する新着情報、影響度・適用要否、適用予定と実績 | ||
権限管理 | |||||||||||||||||||||||||||||
3-1 | 各業務データアクセス権限再検証 | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 不要なアクセス権限の洗い出しと削除。 | ||||||||||||||||||||
3-2 | ユーザーＩＤ棚卸し(各業務システム) | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 不要ＩＤの洗い出しと削除・無効化。不要なＩＤ、権限があれば削除する。 | ||||||||||||||||||||
3-3 | 特権ＩＤ検証(棚卸し) | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 【システム運用標準】”システム運用管理(要件書)”に基づく運用。 ⇒台帳と使用管理簿の相関チェック、使用管理簿とログの相関チェック | ||||||||||||||||||||
3-4 | パソコン等搭載ソフトウェアの定期的な調査、不要ソフトウェアの削除 | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 使用するソフトウェア・バージョン、ソフトウェアの利用可否基準を整理し、棚卸を実施する(パソコン 更改時に対応し「台帳｣を整備する) | ||||||||||||||||||||
点検 | |||||||||||||||||||||||||||||
4-1 | 情報資産棚卸し・リスク評価 | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | ⇒ 厚労省のガイドラインに従って実施：「情報資産台帳」「情報資産ライフサイクル確認様式」「リ スク評価チェックシート様式」の作成・更新 | ||||||||||||||||||||
4-2 | パソコン等情報資産棚卸し | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 台帳と現物との照合(照合結果に基づく「台帳｣の作成) | ||||||||||||||||||||
4-3 | システム台帳の最新化 | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | ⇒資産台帳・管理簿(システム台帳)を更新する。 ⇒ネットワーク機器ソフトウェア資産台帳を更新する。 | ||||||||||||||||||||
4-4 | ログ取得状況の点検 | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | ⇒情報資産の重要度に応じて、監視対象となるイベントを絞り込み、ファイル抽出した上で、セキュリ ティ違反を示す証跡がないかを定期的に確認する。 | ||||||||||||||||||||
4-5 | セキュリティヘルスチェック(不正プログラム及び不正な設定変更の有無確認) | 支援 △ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | |||||||||||||||||||||
4-6 | 情報セキュリティ：遵守状況の自己点検 | 実施 ○ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 「システム運用標準」 ⇒情報セキュリティ：遵守状況の報告 | ||||||||||||||||||||
4-7 | 情報システム開発・運用資料確認 | 実施 ○ | 準備 | 実施 | ▲ 報告 | 準備 | 実施 | ▲ 報告 | 情報システムの開発・運用・保守に必要な各種ドキュメント(各種設計書、手順書等)と実装(システムの 構成・設定、プログラム等)が一致していることを確認する。 | ||||||||||||||||||||
教育・訓練 | |||||||||||||||||||||||||||||
5-1 | システム運用担当者 (サービスデスク)向け研修 | 受講 △ | 受講 | 受講 | １月に２回開催予定。 | ||||||||||||||||||||||||
内部監査 | |||||||||||||||||||||||||||||
6-1 | 委託先における情報セキュリティ対策の履行状況の確認 | 受査 ◎ | 準備 | 受査 | 準備 | 受査 | ⇒H29の実施手順を参考に対象システムを選定の上、ＰＭＤＡ内部検査を実施。 | ||||||||||||||||||||||
ＰＭＤＡ監査受査への支援 | |||||||||||||||||||||||||||||
7-1 | 厚労省・情報セキュリティ監査 | 支援 △ | 監査支援 | 監査支援 | 左記スケジュールは仮 | ||||||||||||||||||||||||
7-2 | 調達による第3者情報セキュリティ監査 | 支援 △ | 監査支援 | 監査支援 | 左記スケジュールは仮 | ||||||||||||||||||||||||
7-4 | 監査指摘対応フォロー | 支援 △ | ･･･運用フォロー・・・・ | ▲ 報告 | ･・・・・・・・・運用フォロー･･･････････ | ▲ 報告 | ･・・・・・・・・運用フォロー･･･････････ | ▲ 報告 | ･・・・・・・・・運用フォロー･･･････････ | ▲ 報告 | ・・運用フォロー･ | 「過去(平成27･28･29年度)の監査対応状況について」に基づく進捗管理、半期毎に報告 | |||||||||||||||||
別紙 2 運⽤⽀援業務要件
1. 運⽤⽀援業務構成要件
1.1 運⽤⽀援対象機器の設置場所
運⽤⽀援対象となる共⽤ LAN システムは主に、新霞ヶ関ビル、データセンタ、関⻄⽀部に設置された機器から構成される。各拠点住所は以下のとおり。
表 1-1 機器設置場所
名称 | 住所 | 備考 |
新霞ヶ関ビル | 東京都千代⽥区霞が関 3-3-2 | |
関⻄⽀部 | グランフロント⼤阪 北館タワーＢ（⼤阪市北区 ⼤深町 3 番 1 号） | |
データセンタ A | 受注後開⽰ | |
データセンタ B | 受注後開⽰ |
1.2 運⽤⽀援対象ユーザの配置場所
運⽤⽀援対象ユーザは共⽤ LAN システムを利⽤している全ての PMDA 職員となる。共
⽤ LAN システム利⽤ユーザは、⼀部のテレワーク業務を前提とした雇⽤形態の職員を除き新霞ヶ関ビル、関⻄⽀部にそれぞれ配置される。
1.3 運⽤⽀援作業者の配置場所
運⽤⽀援作業者(以下「常駐作業者」という。)は新霞ヶ関ビルの 10 階フロアに⽤意されたヘルプデスク専⽤室に常駐すること。机、椅⼦、運⽤⽀援業務の遂⾏に必要な機材 (PC、ディスプレイ、電話等)は PMDA が準備する。
1.4 PMDA 職員との連絡⼿段
共⽤ LAN システムに関する問い合わせや作業依頼はメール、電話、ヘルプデスク専⽤室に来訪しての⼝頭、チケット管理システムである ManageEngine 社 ServiceDesk Plus(以下「SDP」という。)を利⽤して⾏われる。これらを⽤いて対応すること。
メール、電話、SDP の利⽤に必要な機材やアカウントは PMDA が準備し常駐作業者へ払い出す。
1.5 運⽤⽀援業務の作業範囲
運⽤⽀援業務は、常駐作業者が直接、機器設置場所もしくは問い合わせ元ユーザの座席に赴き作業対応(以下「現地作業」という。)を⾏うか、端末管理システムである SKYSEA社 SKYSEA Client View やリモートデスクトップ接続、SSH 接続による作業対応(以下
「リモート作業」という。)を⾏う。
現地作業については新霞ヶ関ビル内のみとし、関⻄⽀部、データセンタにおける対応はリモート作業にて実施する。
2. 運⽤⽀援業務作業要件
運⽤⽀援業務の作業要件を以下に記す。なお、各業務は「別紙 3 Service Level Agreement」に定めたService Level Agreement(以下、「SLA」という。)を満たすよう取り組むこと。
2.1 ヘルプデスク業務
① 常駐作業者は、PMDA 職員からの共⽤ LAN システムに関する問い合わせ対応窓⼝となり⼀次受付を⾏うこと。
② 常駐作業者は、問い合わせの詳細な事象内容、発⽣時期、エラー画⾯出⼒の有無、再現性の確認等、基本的な⼀次切り分けとしてユーザヒアリングを⾏うこと。
③ ⼀次切り分けの結果、対処⽅法が不明な事象に対しては速やかに共⽤ LAN システム担当者へエスカレーションすること。
④ 明確な対応⽅針や⼿順が⽰された場合、以後同様の事象に対しては解決までを常駐作業者が対応すること。判断がつかないものは即座にエスカレーションすること。
⑤ 常駐作業者が作成した⼿順書をヘルプデスク業務に活⽤する場合、⼿順書の内容を共
⽤ LAN システム担当者と事前に共有すること。⼿順書の改版を⾏う場合も同様に修正内容を事前に共有すること。
⑥ 対応作業において設定変更を伴う作業が発⽣した場合、変更申請管理台帳に作業の概要を記載し、共⽤ LAN システム担当と事前に共有し作業許可を得ること。管理台帳は PMDA が⽤意する。
⑦ 対応作業において管理者権限を有する操作が発⽣した場合、特権 ID を使⽤すること。特権 ID は PMDA が⽤意する。
⑧ 特権 ID を使⽤する際は特権 ID 利⽤申請管理台帳に作業の概要を記載し、共⽤ LANシステム担当と事前に共有し作業許可を得ること。管理台帳は PMDA が⽤意する。
⑨ メール、電話、⼝頭で受けた問い合わせは全て SDP へ登録し、初回受付⽇時、対応状況や結果を常時参照できるようにすること。
2.2 随時運⽤業務
常駐作業者は、随時、PMDA 職員から依頼された共⽤ LAN システムの変更作業を実施すること。作業に必要な⼿順書は PMDA が⽤意する。主な作業内容は以下のとおり。
① 共⽤ LAN PC の払い出し(PMDA が⽤意したマスターイメージからのキッティング、依頼元への引き渡し)
② 共⽤ LAN PC 周辺機器の払い出し
③ 故障した共⽤ LAN PC、周辺機器の引き取り
④ SKYSEA Client View による、共⽤ LAN PC に対する外付け CD/DVD ドライブ、USBメモリの使⽤許可、拒否
⑤ 共⽤ LAN PC に対するソフトウェアインストール
⑥ 共⽤ LAN アカウントの作成、削除、変更
⑦ 共⽤ LAN セキュリティグループの作成、削除、変更
⑧ Office365 ライセンスの付与、削除
⑨ Exchange Online メールボックス(ユーザ、リソース)作成、削除、変更
⑩ Exchange Online メールボックス予定表アクセス権付与、削除
⑪ Microsoft Azure Active Directory アカウント作成、削除、変更
⑫ On-Premise SharePoint サイトアクセス権付与、削除
⑬ 共有フォルダ作成、削除
⑭ 共有フォルダアクセス権の付与、削除
⑮ SDP アカウントの作成、削除
⑯ 共⽤ LAN PC の在庫・払い出し状況を管理すること。管理⽅法や状況の定義は PMDAと協議し決定する。
⑰ 対応作業において設定変更を伴う作業が発⽣した場合、変更申請管理台帳に作業の概要を記載し、共⽤ LAN システム担当と事前に共有し作業許可を得ること。管理台帳は PMDA が⽤意する。
⑱ 対応作業において管理者権限を有する操作が発⽣した場合、特権 ID を使⽤すること。特権 ID は PMDA が⽤意する。
⑲ 特権 ID を使⽤する際は特権 ID 利⽤申請管理台帳に作業の概要を記載し、共⽤ LANシステム担当と事前に共有し作業許可を得ること。管理台帳は PMDA が⽤意する。
⑳ 受付けた依頼は全て SDP へ登録し、初回受付⽇時、対応状況や結果を常時参照できるようにすること。
2.3 定例運⽤業務
2.3.1 週次運⽤業務
① 常駐作業者は、ヘルプデスク業務、随時業務の進捗状況や発⽣した課題をまとめ、週次報告資料を作成し、共⽤ LAN システム担当者まで共有すること。
② 共有⽅法はメールか、対⾯が必要であれば打ち合わせの場を設けること。
③ 打ち合わせの形式はオンライン/オフラインどちらでも対応可能とすること。オンラインの場合、PMDA が⽤意し常駐作業者に払い出す Office365 アカウントを利⽤してもよい。オフラインの場合、新霞ヶ関ビル内の会議室を利⽤すること。
④ 緊急を要する課題は随時共有すること。
2.3.2 ⽉次運⽤業務
⑤ 常駐作業者は、毎⽉の営業⽇初⽇に特定の作業を実施すること。作業に必要な⼿順書は PMDA が⽤意する。作業内容は以下のとおり。
⑥ 共⽤ LAN システムにて稼働するミドルウェアの前⽉分の⽉次レポートを各管理画⾯より出⼒し、所定の場所へ保存すること。出⼒対象のミドルウェアや対象レポートは PMDA と協議し決定する。
⑦ SKYSEA Client View から管理中の全共⽤ LAN PC の前⽉分のログイン/ログオフ記録を出⼒し、所定の場所へ保存すること。
⑧ SKYSEA Client View から管理中の全共⽤ LAN PC 上に現時点でインストールされている各ソフトウェアの数量を出⼒し、所定の場所へ保存すること。
⑨ 前⽉分のヘルプデスク業務、随時業務の発⽣件数を集計すること。
⑩ 前⽉分の SLA 達成状況を集計すること。
⑪ ⽉次報告資料を作成し、PMDA に提出すること。⽉次報告書の内容には以下をまとめること。
∙ ミドルウェアの⽉次レポート
∙ 共⽤ LAN PC 上で稼働するソフトウェア数量
∙ ヘルプデスク、随時運⽤業務発⽣件数
∙ SLA 達成状況
∙ SLA ⽬標未達項⽬(発⽣した場合)内容の詳細、原因の分析、改❹案
∙ 変更申請管理台帳(前⽉分)
∙ 特権 ID 利⽤申請管理台帳(前⽉分)
∙ 情報セキュリティ対策その他の契約の履⾏状況
⑫ ⽉次報告書のフォーマットは受注者が検討すること。
⑬ 当⽉の第 3 週⽬までに⽉次報告資料の内容を共⽤ LAN システム担当者まで共有すること。⽇程は都度 PMDA と協議し決定する。
⑭ 共有⽅法はメールか、対⾯が必要であれば打ち合わせの場を設けること。
⑮ 打ち合わせの形式はオンライン/オフラインどちらでも対応可能とすること。オンラインの場合、PMDA が⽤意し常駐作業者に払い出す Office365 アカウントを利⽤してもよい。オフラインの場合、新霞ヶ関ビル内の会議室を利⽤すること。
別紙 3 Service Level Agreement
1. 要件
本調達の運⽤⽀援業務における Service Level Agreement(以下、SLA とする。)を定義する。受注者は SLA ⽬標値を達成するよう努め、達成しなかった場合は対応⽅針を改❹すること。
1.1 SLA 要件
表 1-1 SLA ⼀覧
指標名 | 計算式 | ⽬標値 |
問い合わせ応答時間 | 初回受付応答時刻−問い合わせ受付時刻＜60 分の 件数／⽉の問い合わせ件数 | 95%以上 |
問い合わせ対応時間 | 問い合わせ受付時刻＜10 営業⽇以内のクローズ件 数／⽉の問い合わせ件数 | 95％以上 |
セキュリティ事故発⽣ 件数 | ⽉のセキュリティ事故発⽣件数 | 0 件 |
ヘルプデスク業務提供 時間 | 9:00〜18:00 のサービスを提供できなかった⽇数／ ⽉の営業⽇数×100 | 100％ |
報告書類提出期限 | ⽉の報告書類期限遅延発⽣件数 | 0 件 |
1.1.1 問い合わせ応答時間
PMDA 職員からの問い合わせに対して原則 60 分以内に初回の受付応答を返すこととし、毎⽉の問い合わせ総件数に対して 95％以上の達成を⽬標値とする。
1.1.2 問い合わせ対応時間
問い合わせを受け付けてから 10 営業⽇以内にクローズすることとし、毎⽉の問い合わせ総件数に対して 95％以上の達成を⽬標値とする。なお以下種類の問い合わせについては集計対象外とする。
∙ 共⽤ LAN システム担当者にエスカレーションし、対応することとなったもの。
∙ 年度末⼈事異動等、対応に時間を要することが明確な作業依頼。
1.1.3 セキュリティ事故発⽣件数
常駐作業者によるメール誤送信や、オペレーションミスによるセキュリティインシデントの発⽣件数を 0 件にすること。 発⽣した場合、⾃責、他責問わず発⽣⽇時、発⾒⽇
時、内容を記録すること。
1.1.4 ヘルプデスク業務提供時間
⼟⽇・祝⽇を除く機構営業⽇の 9:00〜18:00 にヘルプデスク業務を提供することとし、毎⽉の営業⽇に対して 100％の達成を⽬標値とする。
1.1.5 報告書類提出期限
SLA 達成状況の集計報告等、PMDA が求めた提出書類の期限遅延を 0 件にすること。
別紙４
システム運用管理基準
2020 年 12 月
独立行政法人 医薬品医療機器総合機構
【資料の見方】
⯎ システム運用業務を「１３の領域」に分けている。
それぞれの業務プロセスは、標準化対象外。各情報システムの体制･特性・リスク等により、最適なプロセスを設計し、運用する。
⯎ システム運用の標準化（要件）は、システム運用者（委託先）から当機構への報告書式（情 報提供も含む）を統一し、各システムの運用状況を定期的に収集して、全体状況の把握と情報共有等を可能とすることにある。
• 当資料においては「標準化」のタイトル等にて報告を記載している。
• 標準化（要件）は、「報告書式を統一する領域」と「報告内容を統一（書式任意）」の 2 タイプに分かれる。
• 「報告書式を統一する領域」は、インシデント管理、変更管理、構成管理、脆弱性管理、アクセス権管理の領域となっている。
１．はじめに
１．１ 目的
独立行政法人医薬品医療機器総合 PMDA（Pharmaceuticals and Medical Devices Agency）（以 下、「PMDA」という。）が調達し、又は、開発した情報システムの運用管理を確実かつ円滑に行い、利用者が要求するサービス品質を、安定的、継続的かつ効率的に提供するために、情報システムの運用管理に関する業務内容を明確化・標準化するために定めるものである。
１．２ 対象範囲
PMDA が調達し、又は開発・構築した全ての情報システムの運用保守を担当する組織（情報システムの運用保守業務を外部委託する場合における委託先事業者を含む）に適用する。
１．３ 適用の考え方
システム運用管理業務は、既に開発・構築しサービスイン（本番稼動）している情報システムの運用・保守業務の実行と管理に係る業務を対象とする。
情報システムの運用・保守を外部委託する場合は、本資料をもとに委託先事業者において、当該情報システムの種類・規模・用途を踏まえた適切な運用手順を策定のうえ、運用サービスを提供するものとする。
１．４ 用語の定義
本基準で使用する用語は情報システムの「ＩＴＩＬ（IT Infrastructure Library）」のガイドラインを踏まえた運用プロセス定義に準拠するものとする。
１．５ 準拠および関連文書
上位規程 ： 「情報セキュリティポリシー」
関連文書 ： 「情報システム管理利用規程」
２．システム運用管理業務の概要
PMDA においては情報システムの運用保守を外部委託している状況を踏まえ、運用管理に必要なプロセスのあるべき姿から主要なプロセスを運用管理業務として選定し、以下の１３の管理業務について、明確化・標準化を行う。
管理業務 概要
問合せ管理
（サービスデスク）
システムの利用者からの問合せ窓口として、利用者からの各種問合せについて一括受付することにより 問合せに対する早期回答、障害対応への早期エスカレーションを図るとともに、ユーザからの要望を適切に吸い上げる。
インシデント管理 問い合わせに含まれるインシデント、あるいはハードウェア、アプリケーションなどからのインシデント発生の警告／報告を受け、サービスの中断を最小限に抑えながら、可能な限り迅速に通常サービスを回復するよう努める。
問題管理
（再発防止策）
変更管理
（課題管理）
障害（インシデント）の根本的な原因となっている不具合が、ビジネスに与える悪影響を最小化するため、問題を分析し抜本的解決策や回避策を立案する。
情報システムに対する変更の許可と実装を確実に行うための管理をいう。本番環境に対する変更要求を適正な基準で評価・承認を行い、標準化された変更方法、手順が実施されることを確実にする。また、変更による影響とリスクを最小化し、障害を未然に防止することで、サービス品質の維持・向上に努める。
なお、本基準においては、変更要求の必要性、効果、リスクなど変更の妥当性の評価と承認（変更管理）に加えて、本番環境に対してどのような準備・実行・見直しを行って変更を加えるかの決定（リリース管理）を含めるものとする。
構成管理 情報システムを構成する物理資源・論理資源とその環境を常に把握するための管理をいう。運用・保守業務やそのサービスに含まれる全てのＩＴ資産や構成を明確にし、正確な構成情報と関連文書を提供することで、他のサービスマネジメント・プロセス（インシデント管理、問題管理、変更管理、情報セキュリティ管理等）に信頼できる管理基盤を提供する。
運行管理
（稼動管理）
情報システム全体を予定通り安定的に稼動させるために、システムのスケジュール、稼働監視、オペレーションなど一連の運行を管理する。
・スケジュール管理
・オペレーション管理（定型業務、非定型業務）
・稼動監視 ・障害対応 ・ジョブ運用 ・媒体管理
・本番システム導入・移行時の支援 等
管理業務 概要
バックアップと回復管理
必要なバックアップを定期的に取得、管理し、障害が発生した場合は、速やかな回復ができるよう、回復要件に基づき必要な回復手順、仕組みを計画、作成、維持する。
情報セキュリティ管理 情報セキュリティポリシーに規定されたセキュリティ対策を実施するために必要な管理要件に基づき、情報セキュリティ管理基準・手順等を作成し、情報セキュリティ管理を行う。
脆弱性管理 情報システムのソフトウェアおよびアプリケーションにおける脆弱性を特定、評価、解消するための管理業務を行う。システム構成を把握した上で、構成要素ごとに関連する脆弱性情報をいち早く「収集」し、影響範囲の特定とリスクの分析によって適用の緊急性と対応要否を「判断」し、判断結果をもとに迅速に「対応」を行う。
アクセス権管理 アクセス方針を定め、アクセス制御の仕組みを構築・維持し、システム・アカウントの申請受付け・登録・変更・削除など管理業務を行う。
・アプリケーション・システムのアカウント
・サーバのＯＳアカウント
・ＤＢＭＳアカウント
・運用支援システムのアカウント
・各種特権アカウント 等
キャパシティ管理 サービス提供に必要となるシステム資源の利用状況の測定・監視を実施し、現在の業務要求（既存の提供サービス量）と将来の業務要求（要求される提供サービス量）とを把握した上で、システム資源がコスト効率よく供給されるように調整・改善策の立案を行う。
可用性管理 ＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させることで、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供する。
可用性管理の活動は、既存のＩＴサービスの可用性を日常的に監視・管理する「リアクティブ」なプロセスと、リスク分析や可用性計画の策定や可用性設計基準などの作成を行う「プロアクティブ」なプロセスに分けられる。
サービスレベル管理 「サービスレベル合意書」で定める各種サービスレベル値の達成、維持作業として、管理項目に対する実績データの収集、分析、評価、及び改善策を策定する。 また、運用管理業務における報告データを収集、管理し、月次にユーザへの報告を実施する。
【参考】システム運用管理業務の全体像
３．運用管理業務の基本プロセス
（運用管理業務プロセスのＰＤＣＡマネジメントサイクル）
他のマネジメント・システムと同様に、運用管理業務プロセスも手順書等を策定して終わりではなく、実際に手順書等に準拠した運用を実施し、定期的に又はシステムの変更やメンバーの入れ替わりなどに合わせて都度、管理プロセスを見直し、必要に応じて改善・是正を行う必要がある。
そのために、運用管理業務プロセスに、個別管理基準の「策定（Ｐｌａｎ）」、「実施（Ｄｏ）」、「点検・監査
（Ｃｈｅｃｋ）」、「評価と改善（Ａｃｔ）」の４つの基本プロセスからなるＰＤＣＡマネジメントサイクルを導入し、継続的改善を実施することが重要である。
(1) 個別管理基準の
策定（Ｐｌａｎ）
(2) 個別管理業務の
実施（Ｄｏ）
(3) 個別管理業務の
点検・監査（Ｃｈｅｃｋ）
(4) 個別運用管理業務の
評価と改善（Ａｃｔ）
・各管理プロセスの導入時、見直し時に実施
・各運用管理基準に従い、定常業務として実施
・定期的に実施
・定期的に実施
各基本プロセスの概要は、以下のとおりである。
(1) 個別管理基準の策定 （Ｐｌａｎ）
各運用管理業務の実施方針、実施範囲、管理プロセス、業務の管理指標等を含めた管理基準書ならびに管理手順を定める。
(2) 個別管理業務の実施 （Ｄｏ）
各運用管理業務の実作業を行うとともに、業務遂行に必要な関連情報の蓄積、実績情報の収集保管、およびに評価指標の実績測定を行う。
(3) 個別管理業務の点検・監査 （Ｃｈｅｃｋ）
各運用管理業務に対し、個別運用管理基準に遵守した運用がなされているか定期的に点検・監査を行い、その結果を分析･評価する。
(4) 個別運用管理業務の評価と改善 （Ａｃｔ）
各運用管理業務に対する評価指標に対する実績管理を行うと共に、品質向上に向けた改善計画を立案し、改善実施を行う。
４．システム運用管理業務の明確化・標準化
４．１ 問合せ管理
(1) 目的
ユーザ及び各業務プロセスオーナからの問合せや依頼に対する受付窓口を一元化することで、各業務の利用ユーザの業務効率性を向上させる。
(2) 業務の概要
問合せ対応では、問合せの受付、クローズ、一次回答、管理プロセスの評価・改善の一連のプロセスを実施する。
(3) 管理対象
本番システム環境で稼動している全てのシステムに係る以下の問合せについて対応する。
⮚ アプリケーション仕様、操作、機能、内容に関する問合せ
⮚ ハードウェア／ソフトウェアに関する問合せ
⮚ 要望
⮚ アプリケーション修繕に対する依頼
⮚ その他の依頼作業
(4) 業務の管理指標＆標準化
問合せ対応業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
①問合せ発生件数（日次集計･月次集計を含む）
②問合せ区分別件数
③問合せ一次回答期限遵守率
④問合せ完了率（一定期間経過後(10 営業日経過後)の完了率）
※報告内容は、各システムの状況に応じて変更しても構わない。
【補足】
問合せにより「システム障害」｢セキュリティインシデント｣が発覚した場合は、該当問合せは一次回答にてクローズとし、その後は「インシデント管理」にて対応する。
問合せにより「変更」実施が必要となった場合は、対応予定日を回答することでクローズとし、その後は
「変更管理（課題管理）」にて対応する。
４．２ インシデント管理
(1) 目的
インシデント管理は、ユーザからの問合せ・連絡、あるいはオペレータや監視システム等によるインシデントの検知を受け、ＩＴサービスの中断を最小限に抑えながら、可能な限り迅速に正常なサービスを回復することを目的とする。
(2) 業務の概要
①インシデントの定義
インシデントとは、ユーザや監視システム等の検知により判明したハードウェアやソフトウェアに関する一般的な障害（システム・ダウン、バグによるアプリケーションの機能停止等）だけでなく、ユーザが日常の操作手順によってＩＴサービスを利用する上で支障がある事象は全てインシデントに包含される。
【注】このインシデントには、情報セキュリティインシデント（不正アクセス・マルウェア検知等）を含む。
また、まだＩＴサービスに影響を与えていない構成アイテムの障害もインシデントとして扱う。
例えば、(i) 二重化されたデータベース・システムの一方がダウンした場合で、まだサービス自体が正常に稼働している場合、(ii) 本番環境のバックアップを検証環境にリストアできない場合、これらをインシデントとして扱う。
②インシデント管理の主な活動
インシデント管理は、インシデントの 4 つのライフサイクル（発見－判別－回復－解決）の内、発見－判別－回復（解決）までをカバーする。 （再発防止については、次節の「問題管理」で扱う。）
インシデント管理のプロセスでは、主に次の活動を実施する。
・インシデントの検知
・インシデントの記録
・インシデントの通知
・インシデントの分類
・インシデントの優先度付け
・インシデントの初期診断
・エスカレーション
・インシデントの調査と診断
・復旧(解決)策の実施
・インシデントのクローズ
(3) 管理対象
本番システム環境で稼動している全てのシステムのインシデントを管理対象とする。
(4) 業務の管理指標
インシデント管理の管理業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 当月インシデント発生件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）
② 優先度又は緊急度毎に分類されたインシデントの解決までに要した時間（平均時間）
③ ステータス（記録済み、対応中、クローズ済み等）毎のインシデントの内訳
④ 長期間（発生から 1 カ月以上）未解決のインシデントの件数と理由および業務影響
⑤ 新規に発生したインシデントの件数とその傾向
⑥ ユーザのトレーニングなど、ＩＴテクノロジーに関連しないで解決されたインシデントの件数
⑦ 解決に要したコスト
⑧ インシデント発生件数の削減率（対前年比）
(5) 標準化
インシデント管理は、PMDA 標準書式を適用する。
①インシデント発生(判明)時
インシデントごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「インシデント報告書（ひな型）」を使用する。また「インシデント一覧記載要領」を参照し、対応すること。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、必須項目の変更・削除は認めない。
②定期的(月次)報告時
インシデントごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。
※添付「インシデント一覧」を使用する。
４．３ 問題管理（再発防止策）
(1) 目的
サービスの信頼性を維持・向上するためには、システムの利用・運用上発生した問題（障害を引き起こす根本的な原因）を確実に解決し、同一障害・類似障害の再発防止のための是正を実施することを目的とする。
(2) 業務の概要
本番サービスに影響を与えた障害を分析し、それらの共通の根本原因を取り除く是正策を実施するまでの一連のプロセスを管理する。 問題管理(再発防止)では、以下を実施する。
・問題の傾向分析と課題点の抽出
・是正策の検討
・是正策の実施
(3) 管理対象
本番システム環境で稼動している全てのシステムの問題を管理対象とする。
(4) 業務の管理指標＆標準化
問題管理(再発防止)業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 再発防止策が策定された問題件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）
② ステータス（記録済み、対応中、クローズ済み等）毎の再発防止策の内訳
③ 再発防止に要したコスト
④ 長期間（策定から 1 カ月以上）未実施の再発防止策件数と理由
⑤ 再発防止の実施率（対前年比）
※報告内容は、各システムの状況に応じて変更しても構わない。
４．４ 変更管理
(1) 目的
サービスの信頼性を維持・向上するためには、システムに対する変更について、その妥当性を検証し、変更によるユーザへの影響を最小限にすることが重要である。 変更管理プロセスは、システムに対する変更を一元的に管理することを目的とする。
(2) 業務の概要
変更管理では、変更の申請から変更内容の審査、変更の承認または却下、変更の実施、変更実施結果の報告までの一連のプロセスを管理する。
緊急の場合、対応を優先し所定のプロセスを適宜省略することを可能とするが、事後的に対応できるものについては、事後速やかに対応することとする。
(3) 管理対象
システム運用者（委託先）が運用し本番サービスを提供するシステムの全て又はその一部に対して影響を与える全ての変更を管理対象とする。
本番環境 | 構成要素（主な要素） |
ハードウェア | CPU、DASD・DISK、サーバ、ワークステーション、周辺装置 |
システム・ソフトウェア | OS、サブシステム、サーバ及びワークステーション OS |
ミドルウェア | ＤＢＭＳ、ネットワーク OS |
アプリケーション・ソフトウェア | ソース、モジュール、シェル、JCL |
ネットワーク・ハードウェア | スイッチ、ルータ、ブリッジ |
ネットワーク・サービス | 基幹ネットワーク、ＬＡＮ、インターネット 等 |
データ | データベース及びファイル内のデータ（に対する直接修正） |
(4) 業務の管理指標
変更管理業務を評価するための評価指標として以下を定義する。
① 変更実施件数（総件数、領域別・原因別・システム別件数・解決責任部門別）
② 変更の実装が失敗した件数
③ 変更のバックログの件数
④ 予定期間でクローズされなかった変更の件数
⑤ 変更が原因で発生した変更の件数
⑥ 緊急の変更の件数
(5) 標準化
変更管理は、PMDA 標準書式を適用する。
①変更案件発生時
課題管理表に記入し、変更管理のステイタス（未着手（対応予定日記入）～着手(対応中)～完了）を管理する。
※課題管理表の書式は、各情報システムの任意とする。
②変更実施着手時
変更の着手ごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「変更作業申請書（ひな型）」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、PMDA 側の確
認･承認欄の削除は認めない。
※個票は、「単純な定常作業」に関しては使用しなくても良い。
• 「単純な定常作業」は、各システムにて定義する。
• ただし、定期的（月次）報告には、記載する。
※個票は委託先にて保管し、監査等にて提示要求があった場合は、速やかに提示できるよう対応する
③定期的(月次)報告時
変更実施ごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。
※添付「変更作業一覧」を使用する。また「変更作業一覧記載要領」を参照し、対応すること。
※「単純な定常作業」に関しては、「変更作業一覧」の「変更申請」欄及び「完了確認」欄に関する内容を記入し、報告する。
４．５ 構成管理
(1) 目的
システムの構成要素（構成情報）を正確に把握し、常に最新状態にあることを保証する事で、他の運用管理プロセス（障害管理や変更管理等）に対して必要な構成情報を提供できるようにする。
(2) 業務の概要
構成管理では、ＩＴサービス開始時より構成情報を一元管理し、他の運用管理プロセスから最新の構成情報を参照可能にする。
本管理プロセスの開始前に、立案した計画に沿って対象とするＩＴサービスやＩＴコンポーネントの範囲、詳細度のポリシーを策定し、開始時のベースラインを把握する。 次に、構成情報の収集と分類を行った上で構成情報を参照可能な状態に維持する。
本管理プロセスの開始後は、変更管理プロセスと連携し、構成情報が常に最新状態として維持されるようにコントロールを行う。 また、定期的に構成情報の点検を行うことにより、課題や問題点を洗い出し、評価・改善を行う。
(3) 管理対象
構成管理が対象とする構成情報は以下の通りとする。
カテゴリー | 管理対象の種類 |
システム運用管理 | 各種管理プロセス定義書、手順書、依頼書、ＣＩ一覧 |
システム運用 | ・ハードウェア、ネットワーク・ハードウェアの一覧、構成図 ・ネットワーク・サービス (WAN、インターネット等)の一覧、構成図 ・システム運用各種手順書（障害対応手順書等） |
システム保守 | ・システム・ソフトウェア、ミドルウェアの一覧、構成図 ・アプリケーション・ソフトウェア(ライブラリ、データ、環境設定情報) |
ハウジング | 環境設備 (空調設備、電源設備、配線室、配線、管理室)の一覧、 構成図 |
アプリケーション 保守 | ・設計ドキュメント、プログラムソース ・アプリケーション保守用各種手順書（定型作業手順書等） |
(4) 業務の管理指標
構成管理業務を評価するための評価指標として以下を定義する。
① 承認されていない構成の件数
② 不正確な構成情報が原因で失敗した変更及び発生した障害の件数
③ ＣＩ（管理対象の項目数）の正確さ率
・構成アイテムの管理情報と実態（H/W、S/W、M/W、機器）との整合性の確認
(5) 標準化
○PMDA では、「システム資産簿」を作成してシステムのインベントリ情報を一元管理している。各システムのインベントリ情報を各システムの実装状況を反映した最新状況に更新するとともに、
「システム資産簿」を最新の状況に保つため、最新のインベントリ情報を PMDA 標準書式「システム資産簿登録用シート」を使用して、PMDA へ報告する。
４．６ 運行管理
(1) 目的
運行管理の目的は、開発部門より引き継いだ業務アプリケーション・システムを、あらかじめ定められた運行計画に基づき、定められた手順に従ってシステム運用を行うことにより、システム運用の品質の維持・向上を図ることにある。
(2) 業務の概要
運用引継ぎから、システムのスケジュール計画、稼働監視、オペレーションなど一連の運行を管理する。 以下のサブプロセスから構成される。
① 運用引継ぎ
② 運用スケジュールの計画・管理
③ オペレーション実施
④ 稼動監視と障害対応（一次対応）
⑤ セキュリティ監視（対象イベントの検知への対応）
⑥ ジョブ実行管理
⑦ 帳票管理
⑧ 報告管理
(3) 管理対象
本番システム環境で稼動している全ての情報システムの運行を管理対象とする。
(4) 業務の管理指標
運行管理業務を評価するための評価指標として以下を定義する。
① 重要バッチ処理終了時間遵守率
② 重要帳票の配布時間遵守率
③ システムの運行業務に起因した障害の発生件数
・プログラム・ＪＣＬ等の本番移送のミス、ジョブのスケジュール誤り、操作ミス、監視項目の見落とし／発見遅延、等。
④ 非定型依頼業務の実施件数と正常終了率
(5) 標準化
○情報システムの運行状況を報告する（月次）（書式任意）
情報システムの稼働状況に加えて、以下の項目の報告を必須とする。
・情報システム及びネットワーク内で発生するイベント（事象）の記録である「ログ」の取得・保存のプロセスの状況を監視し、報告する。
・情報システムの稼働により発生する各種検知メッセージへの対処を記録し、報告する。
４．７ バックアップと回復管理
(1) 目的
障害発生時等において、速やかに正確な回復処置が行えるようにバックアップの取得・リストアの手順を明確にし、安定したサービスの提供を図る。
(2) 業務の概要
アプリケーションオーナーとのサービスレベルまたは管理目標の合意に基づき、システムの回復要件（＊）に見合ったバックアップ・リストア方針を定め、バックアップ対象の選定、手順の明確化を実施する。
日常運用においては、バックアップ取得、バックアップ媒体の保管を行う。
また、定期的に、バックアップ・リストア実績報告を行い、バックアップ・リストアにおける体制、役割、手順の見直しを図る。
（＊）業務の優先度を勘案して有事の際に稼動させるシステムのサービスレベルを定めて、データのバックアップと復旧方法を決定する。
RLO （Recovery Level Objective）：どの範囲、レベルで業務を継続するか RTO （Recovery Time Objective）：いつまでにシステムを復旧するか RPO （Recovery Point Objective）：どの時点にデータが戻るか
(3) 管理対象
本番システム環境で稼動している全てのシステムのバックアップとリストアを管理対象とする。
本基準の適用システムに関するＯＳ、データベース、テーブル類、ユーザデータなどのバックアップ計画、バックアップ取得、バックアップ媒体の保管、リストア実施および定期的な実績報告の手続きを対象とする。
各情報システムを構成するサーバや通信回線装置等については、運用状態を復元するために必要な重要な設計書や設定情報等のバックアップについても適切な場所に保管する。
(4) バックアップデータの保管方法
要保全情報(完全性２）又は要安定情報（可用性２）である電磁的記録若しくは重要な設計書は、バックアップを取得する。
① データベースやファイルサーバのバックアップは、インターネットに接点を有する情報システムに接続しないディスク装置、テープライブラリ装置等に保存する。
② 一般継続重要業務で使用するシステムについては、大規模災害やテロ等による設備・機器の破損を想定し、情報システムの復元に必要な電磁的記録については LTO 等の可搬記憶媒体による遠隔地保管を行う。
③ バックアップの取得方法、頻度、世代等は各システムの方式設計、運用要件に応じて定める。
(6) 業務の管理指標
バックアップと回復管理業務を評価するための評価指標として以下を定義する。
① 当月で計画された定期バックアップの内、バックアップに失敗した件数と理由。
② 当月実施されたリストア件数と内訳（障害対応、調査目的、帳票再作成・出力等）。
③ 当月実施されたリストアの内、リストアに失敗した件数と理由。
(7) 標準化
○定期的なバックアップが取得されていることを報告する（月次）（書式任意）
○PMDA では、「リストアの机上訓練」を定期的に実施することを推奨している。
各情報システムにおいては、必要に応じて定期的な訓練実施を行い、結果報告を行う。
４．８ 情報セキュリティ管理
(1) 目的
情報セキュリティ管理は、「情報セキュリティ対策の運用要件」に定める情報セキュリティ対策の運用要件に則り、情報システムのセキュリティを維持・管理し、情報資産を適切に保護することを目的とする。
(2) 業務の概要
情報セキュリティ管理プロセスは、PMDA のリスク管理活動の一環として、ＩＴサービス及びサービスマネジメント活動における全ての情報のセキュリティを、首尾一貫した方針に基づき効果的に管理する。
具体的には、「情報セキュリティ対策の運用要件」に則って、適切にセキュリティ管理策が導入され、維持されていることを確実にするために、情報セキュリティ管理計画の維持・管理を行う。合わせて、情報セキュリティ対策が適切に運用されているかを定期的に点検するとともに、コンプライアンス等の観点からのシステム監査の実施対応をおこなう。
(3) 管理対象
ＩＴサービス及びサービスマネジメント活動における全ての情報セキュリティの管理を対象とする。
(4) 業務の管理指標
情報セキュリティ管理業務を評価するための評価指標として以下を定義する。
① 情報セキュリティ違反・事件・事故の発生件数とその内容
② 発生した情報セキュリティ違反・事件・事故への対策の実施状況
③ 情報セキュリティ監査（内部・外部）及び自己点検で検出された不適合の件数
④ 前回の情報セキュリティ監査及び自己点検で検出された不適合の是正状況
(5) 標準化
〇情報セキュリティ遵守状況の報告
・情報セキュリティを遵守していることを定期的(月次)にて報告する
※報告内容の詳細は後述の【補足説明】を参照
・委託先における自己点検を定期的(年 2 回程度)に実施し、点検結果を報告する。
（点検内容は委託先の任意とするが、各情報システムの運用保守業務に携わる要員等が自らの役割に応じて実施すべき対策事項を実際に実施しているか否かを確認するだけではなく、運用保守のプロジェクト体制全体の情報セキュリティ水準を確認する内容とすること。）
【補足説明】
情報セキュリティ遵守状況の報告は、以下の内容を確認し、報告すること
① 情報の目的外利用の禁止
② 情報セキュリティ対策の実施および管理体制（プロジェクト計画書記載内容の遵守）
※委託先において実施するセキュリティ研修や委託先の情報セキュリティポリシー遵守のため取組み内容を含む
※責任者による情報セキュリティの履行状況の確認を含む
③ 体制変更の場合の速やかな報告
④ 体制に記載された者以外が委託業務にアクセスできない（していない）ことの確認
⑤ ※発生した場合は、すぐに検知でき、報告される
⑥ 要員の所属・専門性（資格や研修実績）・実績および国籍に関する情報提供
※変更があれば、その都度情報提供される。
⑦ 秘密保持契約（誓約書）の提出（要員全員が提出）
※委託業務を離れた者の一定期間の機密遵守を含む
※体制変更があった場合の追加提出も含む
⑧ 情報セキュリティインシデントへの対処方法の明確化され、要員に周知されている
⑨ 再委託がある場合は、上記内容を再委託先においても遵守していることが確認されている
４．９ 脆弱性管理
(1) 目的
サーバ装置、端末及び通信回線装置上で利用するソフトウェア（含むファームウェア）やアプリケーションに関連する脆弱性情報の収集とその影響評価に基づく適切な対策を実施するための標準的管理要件を定め、脆弱性によりもたらされる情報セキュリティの脅威について迅速かつ適切に対処することを目的とする。
(2) 業務の概要
脆弱性管理では、システム構成を把握したうえで、管理対象とするソフトウェアのバージョン等の確認から、脆弱性情報の収集、影響評価と対策の要否判定、脆弱性対策計画の策定、脆弱性対策の実施、結果の確認、対策の実施状況のモニタリングまでの一連のプロセスを管理する。
①管理対象ソフトウェアの把握 （管理すべきソフトウェアを特定）
②管理対象ソフトウェアの脆弱性対策の状況確認
②脆弱性情報の収集と識別（当該脆弱性が管理対象ソフトウェアに該当するかの確認）
③影響・リスクの評価と対応要否の判断及び記録
④脆弱性対策計画の策定と承認（変更管理手続きに拠る）
⑤脆弱性対策の検証 （検証環境での稼動確認）
⑥脆弱性対策の実施
⑦脆弱性対策の記録・報告
⑧脆弱性対策の実施状況のモニタリングと継続的改善
(3) 管理の対象
本番システム環境で稼動しているサーバ装置、端末及び通信回線装置上で利用するソフトウェアやアプリケーションに関する全ての脆弱性を管理対象とする。
(4) 業務の管理指標
脆弱性管理業務を評価するための評価指標として以下を定義する。
① 管理対象プロダクツ、バージョンに該当する脆弱性情報件数（通常／緊急）
② 脆弱性対策の評価件数（対策要、対策不要）
③ 対策計画の策定・実施状況（セキュリティパッチ適用、またはその代替策）／予定・実績
・定期報告=脆弱性管理の実施報告
・変更管理＝システム変更作業報告（セキュリティパッチ適用状況報告を含む）
④ 実施可能な脆弱性対策を実施しなかったことによる情報セキュリティインシデントが 1 件も発生しないこと。
(5) 脆弱性管理の要件
脆弱性対策について、以下の管理を行う。
① 対象プロダクト・バージョンの把握
・各情報システムにおいて管理対象とするプロダクトとバージョンを特定するとともに脆弱性情報の収集及びパッチの取得方法を（事前に）整備する。
② 脆弱性情報の収集及び対策の要否判断
・管理対象のプロダクトに係る脆弱性情報の公開状況を定期的に収集する。
・収集した脆弱性情報をもとに影響・緊急度、対策の必要性、情報システムへ与える影響・リスクを考慮し、対策の要否を判断する。
③ 脆弱性対策計画の策定と実施
・対策が必要と判断した場合は、セキュリティパッチの適用計画、または、その代替策
（回避方法）の実施計画を策定する。
・対策が情報システムに与える影響について事前検証を行った上、実施する。
対策が情報システムの構成変更を伴う場合は、「4.4 変更管理」に拠るものとする。
・対策計画の策定及び実施状況の管理
(6) 標準化
① 管理状況については PMDA 標準書式を使用する。
・管理対象とするソフトウェアのプロダクトとバージョンについては、各情報システムの設計書等のソフトウェア関連項目を基に、「脆弱性管理対象ソフトウェア一覧」を使用し管理する。
・管理対象とするソフトウェアの脆弱性の有無、対策の要否、対策の実施概要については、「脆弱性対策管理簿」を使用し管理する。
② 定期的（月次）報告
・各情報システムにおける管理対象とするプロダクト・バージョンについて内容に更新があった際は、「脆弱性管理対象ソフトウェア一覧」を使用し速やかに報告する。
・脆弱性対策の要否及び対策の実施状況について、「脆弱性対策管理簿」を使用し、定時（月次）で報告する。
※「脆弱性対策管理簿」の作成にあたっては「脆弱性対策管理簿記載要領」を参照すること。
参考 脆弱性情報収集時の参考 URL 一覧 (「IPA 脆弱性対策の効果的な進め方（実践編）」より)
種別 | URL |
脆弱性関連情報データベース | ■国内 ・JVN (Japan Vulnerability Notes) https://jvn.jp/ ・脆弱性対策情報データベース JVN iPedia https://jvndb.jvn.jp/ ■海外 ・NVD(National Vulnerability Database) https://nvd.nist.gov/ ・Vulnerability Notes Database |
https://www.kb.cert.org/vuls/ ・Metasploit (攻撃情報あり) https://www.metasploit.com/ ・Exploit Database (攻撃情報あり) | |
ニュースサイト | ■国内 ・CNET ニュース：セキュリティ https://japan.cnet.com/news/sec/ ・ITmedia エンタープライズ セキュリティ http://www.itmedia.co.jp/enterprise/subtop/security/index.html ・ITpro セキュリティ https://tech.nikkeibp.co.jp/genre/security/ ■海外 ・ComputerWorld Security （米国中心） https://www.computerworld.com/category/security/ ・The Register Security （英国・欧州中心） |
注意喚起サイト | ■国内 ・IPA：重要なセキュリティ情報一覧 https://www.ipa.go.jp/security/announce/alert.html ・JPCERT/CC 注意喚起 |
・警察庁：警察庁セキュリティポータルサイト https://www.npa.go.jp/cyberpolice/ ■海外 ・米国：US-CERT ・米国：ICS-CERT https://ics-cert.us-cert.gov/ | |
製品ベンダー | ■定例アップデート ・マイクロソフト セキュリティ更新プログラム ガイド https://portal.msrc.microsoft.com/ja-jp/security-guidance ・オラクル Critical Patch Update と Security Alerts https://www.oracle.com/technetwork/jp/topics/security/alerts-082677-ja.html |
■クライアント製品など ・Apple セキュリティアップデート https://support.apple.com/ja-jp/HT201222 ・Adobe セキュリティ速報およびセキュリティ情報 https://helpx.adobe.com/jp/security.html ・Mozilla サポートの検索 https://support.mozilla.org/ja/ | |
■サーバ、ネットワーク製品など ・シスコ – セキュリティアドバイザリ https://www.cisco.com/c/ja_jp/support/docs/csa/psirt-index.html ・HP - サポートホーム https://support.hp.com/jp-ja ・日立 –セキュリティ情報 https://www.hitachi.co.jp/hirt/security/index.html ・富士通 - セキュリティ情報 https://www.fujitsu.com/jp/support/security/ https://www.fujitsu.com/jp/products/software/resources/condition/security/ ・NEC - NEC 製品セキュリティ情報 https://jpn.nec.com/security-info/ ・IBM – IBM Support https://www.ibm.com/support/home/?lnk=ushpv18hcwh1&lnk2=support ・Red Hat – Red Hat Product Errata https://access.redhat.com/errata/#/ | |
■セキュリティ製品など ・シマンテック –セキュリティアップデート https://www.symantec.com/ja/jp/security_response/securityupdates/list.jsp?fid=sec urity_advisory | |
■オープンソースなど ・Apache Foundation https://httpd.apache.org/ （Apache HTTP サーバ） https://tomcat.apache.org/ （Apache Tomcat） https://struts.apache.org/ （Apache Struts） ・ISC （Internet Systems Consortium） https://www.isc.org/downloads/bind/ （BIND） https://www.isc.org/downloads/dhcp/ （DHCP） ・OpenSSL |
４．１０ アクセス権管理
(1) 目的
システムを利用するユーザ・アカウントを保護するため、及び、なりすましによる不正ログインの可能性を低減するために、ユーザ・アカウントを役割権限別に分類した上で管理方法を取決めてセキュリティレベルを維持する。
(2) 業務の概要
システムを利用するサーバ OS、ミドルウェア、アプリケーション・ソフトウェア、及びネットワーク機器のアカウントを対象にアクセス権の管理を行う。
(3) 管理対象
本番システム環境での全てのアカウント（社外の取引先等に提供しているアカウントを含む）のアクセス権を管理対象とする。
本番環境 | アクセス権管理の対象 |
システム・ソフトウェア | OS ユーザＩＤ |
ミドルウェア | ＤＢＭＳユーザＩＤ、ジョブスケジューラ・ユーザＩＤ、他 |
アプリケーション・ソフトウェア | アプリケーション・ユーザＩＤ |
ネットワーク機器 | 各ネットワーク機器の管理者用ＩＤ |
(4) 業務の管理指標
アクセス権管理業務を評価するための評価指標として以下を定義する。
① 期間内に発生したユーザＩＤ登録・変更・削除の件数
② 特権（高権限）ユーザＩＤ別の貸出し件数と用途
③ アカウントおよびアクセス権の定期棚卸しで、発見された不備項目
④ 不適切／不正なアクセス権限の設定によって発生したインシデントの件数
⑤ アクセス権限の再設定が必要となったインシデントの件数
⑥ 間違ったアクセス権限の設定によって提供不能になったサービスの件数
⑦ 間違ったアクセス権限の設定によって生じた不正アクセスの件数
(5) アカウント管理の要件
・【アカウント（ID）の付与】
①情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を付与（発行、更新及び変更を含む）する。
②識別コードの付与に当たっては、.単一の情報システムにおいて、ある主体に付与した識別コードを別の主体に対して付与することを禁止する
③主体以外の者が識別コード又は主体認証情報を設定する場合に、主体へ安全な方法で主体認証情報を配布する。
④識別コード及び知識による主体認証情報を付与された主体に対し、初期設定の主体認証情報を速やかに変更するよう、促す。
⑤知識による主体認証方式を用いる場合には、他の情報システムで利用している主体認証情報を設定しないよう主体に注意を促す。
⑥情報システムを利用する主体ごとに識別コードを個別に付与する。ただし、判断の下やむ
を得ず共用識別コード（共有 ID）を付与する必要がある場合には、利用者を特定できる仕組みを設けた上で、共用識別コードの取扱いに関するルールを定め、そのルールに従って利用者に付与する。
⑤主体認証情報の不正な利用を防止するために、主体が情報システムを利用する必要がなくなった場合には、当該主体の識別コードを無効にする。
・【特権 ID と使用者の限定】
①使用者限定の保証
・パスワードの堅牢性
できだけ長い桁数、推測困難かつ記憶が容易となる工夫
・パスワードの厳正管理
業務で使用する必要がある者しか知ることができないようにするパスワード情報へのアクセス制限
ID 使用者の離任時はパスワード変更を必須
②利用時の承認と記録
・特権 ID を利用して作業を行った結果の記録 （特権 ID 使用管理簿の記載）
・利用状況のモニタリング
サーバのログイン・ログアウトログの出力リストと特権 ID 使用管理簿の作業実績に記載されている日時を照合し、記載されている日時から逸脱する時間帯のログデータがないことをチェック
※工数の許す範囲で、重要サーバに絞り、無作為に抽出した数件のログインに該当する作業のチェック等工夫する
(6) 標準化
・全てのアカウント（ＩＤ）について、以下の管理を行う。
①アカウント（ＩＤ）管理台帳の作成
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
②定期(月次)報告
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
③ＩＤ棚卸し
全てのＩＤの棚卸しを以下の手順を参考にし、定期的（最低１回／年）に実施し、報告を行う。
（棚卸し手順）
a. 登録 ID 抽出リスト出力
b. ID 管理台帳突合
c. 棚卸しリスト作成
d. ID 使用者の確認、権限の妥当性の検証
e. 不要 ID(初期登録（ビルドイン）ID を含む）削除と不適切権限の修正
f. ID 管理台帳更新
g. 棚卸実施報告書の作成
※アカウント（ID）管理用資料は、「参考資料_ID 管理用各書式ひな型」を参考に各情報システムにおいて適宜定める。
・特権ＩＤについて、以下の管理を行う。
①特権ＩＤ台帳の作成
※添付「特権ＩＤ管理台帳」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※監査等にて提示要求があった場合は、速やかに提示できるよう保管する
②特権ＩＤ(システムＩＤ)使用管理簿の作成（またはログ抽出）
※添付「特権 ID 使用管理簿」を使用する。各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※ログイン・ログアウトのログ(または画面コピー)を必ず保管（または添付）し、監査等にて提示要求があった場合は、速やかに提示できるよう保管する
③定期(月次)報告
特権ＩＤ(システムＩＤ)台帳ならびに特権ＩＤ(システムＩＤ)使用状況を、定期(月次)報告する。
（ログまたは画面コピーは、月次報告不要）
④特権ＩＤ棚卸し
特権ＩＤの棚卸しを定期的（年 2 回程度）に実施し、報告を行う。（報告書式任意）棚卸し点検内容は以下の通り
○台帳は、本当に使用する者を登録しているか？（体制図と一致しているか？）
・体制から外れた者が削除されずに残っていないか？
・使用予定がない者が登録されていないか？
○台帳と使用管理簿の相関は一致しているか？
○使用管理簿とログ(または画面コピー)保管の相関は一致しているか？
４．１１ キャパシティ管理
(1) 目的
キャパシティ管理の目的は、ビジネスが必要とするときに、必要なキャパシティを適正なコストで提供することである。 すなわち、
① ビジネスの需要に対する供給
ビジネスの変化に合わせて、ＩＴサービスの対応にもスピードが要求される。 キャパシティ管理は、現在から将来にわたるビジネス需要・要件に合わせて、ＩＴインフラストラクチャーのキャパシティを最大限に活用できるようにすることを目的とする。
② キャパシティに対するコスト
一方、必要以上のキャパシティを確保すると購入や運用のための費用が膨らみ、ビジネスの観点からコストを正当化できない。 キャパシティを最適化し、費用対効果が高いＩＴサービスを提供することもキャパシティ管理の目的である
(2) 業務の概要
このプロセスは、次の３つのサブプロセスから構成される。
① ビジネスキャパシティ管理
ＩＴサービスに対する将来のビジネス需要・要件を収集・検討し、それによって、ＩＴサービスのキャパシティを確実に実装させるための計画の立案、予算化、構築がタイムリーに実施されるようにする。
② サービスキャパシティ管理
実際のサービスの利用と稼働のパターン、山と谷を理解して、運用中のＩＴサービスのパフォーマンスを監視し、それによって、ＳＬＡの目標値を達成し、ＩＴサービスを要求どおりに機能させる。
③ コンポーネントキャパシティ管理
ＩＴインフラストラクチャーの個々のコンポーネントのパフォーマンスとキャパシティ、使用状況を監視し、それによって、ＳＬＡの目標値を達成・維持するために、コンポーネントの利用を最適化する。
(3) 管理対象
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、アプリケーション、及び人的リソースを対象とする。
(4) 業務の管理指標
キャパシティ管理業務を評価するための評価指標として以下を定義する。
① ＣＰＵ、ディスク、メモリ、ネットワーク容量などの閾値に対する需要の割合
② ＩＴサービスのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
③ ＩＴコンポーネントのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
④ 正規の購入計画に含まれていなかった、パフォーマンスの問題解決のために急きょ行った購入の数又は金額
４．１２ 可用性管理
(1) 目的
可用性管理の目的は、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供することであり、そのためにＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させる。
(2) 業務の概要
可用性管理の活動は大きく、１）可用性要件の把握、２）可用性の設計、及び３）可用性の改善活動の３つに分けられる。
具体的には、以下の可用性管理の３要素の目標値を設定し、設定した可用性のレベルを達成・維持・向上させることである。
① 可用性
可用性とは、ＩＴサービスが必要なときに使用できる割合のことで、一般的には稼働率という指標を用いて表される。
稼働率（％）＝（サービス提供時間－停止時間）÷サービス提供時間
② 信頼性
提供されるＩＴサービスにおける、不具合の発生しにくさ／故障しずらさを表す。 平均故障間隔＝（使用可能な時間－総停止時間）÷（サービス中断の回数－１）
③ 保守性
ＩＴサービスが停止又は品質低下した際に、いかに早く復旧できるかを示す指標。平均修理時間＝修理時間の合計÷サービス中断の回数
可用性について極めて重要なことは、ユーザの求めるシステムの可用性レベルをどのように達成するかについて、システム設計時に真剣に検討し、システム構築時に実現し、システムの運用において継続的に改善することである。
(3) 管理対象
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、及びアプリケーションを対象とする。
(4) 業務の管理指標
可用性管理業務を評価するための評価指標として以下を定義する。
① 可用性の割合
② 平均故障間隔
③ 平均修理時間
④ サービスの中断回数
⑤ 定期的なリスク分析、及びレビューの完了の件数
４．１３ サービスレベル管理
(1) 目的
ユーザニーズを満足する適正なサービスレベルおよび管理指標を設定し、これを実績管理することにより質の高いサービスの提供を図る。
(2) 業務の概要
サービスレベルおよび各個別管理業務での管理指標の実績データを定期的に把握し、サービスレベル指標と実績の差異や傾向を継続的に分析することにより、改善策を立案し実施する。
(3) 管理対象
IT 部門が提供する全ての IT サービスに関するサービスレベルおよび各個別管理業務での管理指標を管理対象とする。
(4) 業務の管理指標
サービスレベル管理業務を評価するための評価指標として以下を定義する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
(5) 標準化
サービスレベル管理業務を定期的(月次)に報告する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
以上
別紙５ 情報セキュリティ対策の運用要件
情報システムの運用・保守の業務遂行にあたっては、調達・構築時に決定した情報セキュリティ要件が適切に運用されるように、人的な運用体制を整備するとともに、機器等のパラメータが正しく設定されていることの定期的な確認、運用・保守に係る作業記録の管理等を確実に実施すること。
対策区分 | 対策方針 | 対策要件 | 運用要件 | 定期点検 |
侵害対策 | 通信回線対策 | 通信経路の分離 | 不正の防止及び発生時の影響範囲を限定するため、外部との通信を行う | セキュリティヘルスチェック（構成管理資料の原本と |
（AT： Attack） | （AT-1） | （AT-1-1） | サーバ装置及び通信回線装置のネットワークと、内部のサーバ装置、端末等のネットワークを通信回線上で分離すること。ネットワーク構成情 報と実際の設定を照合し、所定の要件通りに設定されていることを定期 | 実際の設定状況を目視にて突合せチェックすることにより各種セキュリティ設定の不正変更の有無をチェッ クする）と合わせて実施し報告すること。 |
的に確認すること。 | ||||
不正通信の遮断 | 通信に不正プログラムが含まれていることを検知したときに、その通信 | |||
（AT-1-2） | をネットワークから遮断すること。 | |||
通信のなりすまし防止 （AT-1-3） | 通信回線を介した不正を防止するため、不正アクセス及び許可されていない通信プロトコルを通信回線上にて遮断する機能について、有効に機能していることを定期的に確認すること。 | セキュリティヘルスチェック（構成管理資料の原本と実際の設定状況を目視にて突合せチェックすることにより各種セキュリティ設定の不正変更の有無をチェッ | ||
クする）と合わせて実施し報告すること。 | ||||
サービス不能化の防止 （AT-1-4） | サービス不能攻撃を受けているかを監視できるよう、稼動中か否かの状態把握や、システムの構成要素に対する負荷を定量的(CPU 使用率、プ | |||
ロセス数、ディスクI/O 量、ネットワークトラフィック量等)に把握す | ||||
ること。監視方法はシステムの特性に応じて適切な方法を選択するこ | ||||
と。 | ||||
不正プログラム対策 （AT-2） | 不正プログラムの感染防止 （AT-2- 1） | 不正プログラム対策ソフトウェア等に係るアプリケーション及び不正プログラム定義ファイル等について、これを常に最新の状態に維持すること。不正プログラム対策ソフトウェア等により定期的に全てのファイルに対して、不正プログラムの検査を実施すること。 | ||
不正プログラム対 | 不正プログラム対策ソフトウェア等の定義ファイルの更新状況を把握 | |||
策の管理 （AT-2- | し、不正プログラム対策ソフトウェア等が常に有効に機能するよう必要 | |||
2） | な対処を行うこと。 |
セキュリティホ ー ル 対 策 （AT-3） | 運用時の脆弱性対策 （AT-3-2） | 情報システムを構成するソフトウェア及びハードウェアのバージョン等を把握して、製品ベンダや脆弱性情報提供サイト等を通じて脆弱性の有無及び対策の状況を定期的に確認すること。脆弱性情報を確認した場合は情報システムへの影響を考慮した上でセキュリティパッチの適用等必要な対策を実施すること。 | 脆弱性対策の実施状況は、月次で報告すること。 | |
対策が適用されるまでの間にセキュリティ侵害が懸念される場合には、当該情報システムの停止やネットワーク環境の見直し等情報セキュリティを確保するための運用面での対策を講ずること。 | ||||
不正監視・追跡 （AU: Audit） | ログ管理（AU- 1） | ログの蓄積・管理 （AU-1-1） | 情報システムにおいて、情報システムが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行うために必要なログ（システムへのログオンや資源へのアクセスのロギング等）を取得すること。 | ログが所定の要件通り、取得・蓄積されていることを確認すること。（年 1 回以上） |
ログの保護 （AU- 1-2） | 取得・蓄積されたログが不正な改ざんや削除が行われないようログの格納ファイルのアクセス権を制限する等必要な対策を講じること。 | 取得・蓄積されたログが不正な改ざんや削除が行われていなことを確認すること。（年１回以上） | ||
時刻の正確性確保 （AU-1-3） | システム内の機器の時刻同期の状況を確認すること。 | |||
不正監視（AU- 2） | 侵入検知 （AU-2- 1） | 不正行為に迅速に対処するため、通信回線を介して所属するＰＭＤＡ外と送受信される通信内容を監視し、不正アクセスや不正侵入を検知した場合は通信の遮断等必要な対処を行うこと。 | ||
アクセス・利用制限 （AC: Access） | 主体認証（AC- 1） | 主体認証 （AC-1- 1） | 主体認証情報（ＩＤ、パスワード）は不正に読み取りできないよう保護すること。 | |
アカウント管理（AC-2） | ライフサイクル管理 （AC-2-1） | 主体が用いるアカウント（識別コード、主体認証情報、権限等）は、主体の担当業務に必要な範囲において設定すること。 また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 アカウント棚卸を定期的に実施し、不要なアカウントを削除すること。 | アカウント棚卸を定期的（年１回以上）に実施すること。 | |
アクセス権管理 （AC-2-2） | 主体が用いるアカウント（識別コード、主体認証情報、権限等）は、主体の担当業務に必要な範囲において設定すること。また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 権限の再検証を定期的に実施し、不要な権限を削除すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 |
管理者権限の保護 （AC-2-3） | システム特権を付与されたアカウント及び使用者を特定し、アカウントの使用状況を記録し、アカウントの不正使用がないことを定常的に確認すること。 | 管理状況を「特権ＩＤ台帳」及び「特権ＩＤ使用管理簿」により、月次で報告すること。 | ||
データ保護 （PR: Protect） | 機密性・完全性の確保 （PR-1） | 通信経路上の盗聴防止 （PR-1-1） | 通信回線に対する盗聴行為による情報の漏えいを防止するため、通信回線を暗号化する機能について、有効に機能していることを定期的に確認すること。 | セキュリティヘルスチェック（各種セキュリティ設定の不正変更の有無、および不正操作の痕跡の有無の確認）と合わせて実施し報告すること。 |
保存情報の機密性確保 （PR-1-2） | 情報システムに蓄積された情報の窃取や漏えいを防止するため、情報へのアクセスを制限すること。構成情報と実際の設定を照合し、所定の要件通りに設定されていることを定期的に確認すること。 また、業務データへのアクセス権限の付与状況を点検し、不要なアクセス権限が付与されていないことを確認すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
業務データへのアクセス管理 | 情報の格付の見直し及び再決定が行われた際や、当該情報システムに係る職員等の異動や職制変更等が生じた際には、情報に対するアクセス制御の設定や職務に応じて与えられている情報システム上の権限が適切に変更されていることを確認すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
受託者によるアクセス | 受託者は受託した業務以外の情報へアクセスしないこと。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
物理対策 （PH: Physical） | 情報窃取・侵入対策 （PH-1） | 情報の物理的保護 （PH-1-1） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、情報の漏えいを防止するため、物理的な手段による情報窃取行為を防止・検知するための機能を備えること。 | 情報セキュリティ遵守状況は月次で報告すること。 |
侵入の物理的対策 （PH-1-2） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、物理的な手段によるセキュリティ侵害に対抗するため、外部からの侵入対策が講じられた場所に設置すること。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
入退室管理の履行 | ＰＭＤＡが管理するサーバ室、事務室等の管理区域への入退出については、ＰＭＤＡ入退室管理規程を遵守すること。 ＰＭＤＡの管理区域内での作業は、原則として、ＰＭＤＡ職員の立会い のもとで行うこと。 |
障害対策 （事業継続対応） （DA: Damage） | 構成管理（DA- 1） | システムの構成管理 （DA-1-1） | 情報セキュリティインシデントの発生要因を減らすとともに、情報セキュリティインシデントの発生時には迅速に対処するため、情報システムの構成（ハードウェア、ソフトウェア及びサービス構成に関する詳細情報）が記載された文書を実際のシステム構成と合致するように維持・管理すること。 | 変更作業時の構成管理資料の更新については、「変更作業一覧」により、月次で報告すること。 |
可用性確保 （DA-2） | システムの可用性確保 （DA-2-1） 情報のバックアップの取得 | システム及びデータの保全が確実に実施されるため、システム及びデータのバックアップが所定の要件通りに取得されていることを定期的に確認すること。 また、回復手順について机上訓練を実施し、バックアップや回復手順が適切に機能することを確認する。 | バックアップの実施状況は、月次で報告すること。 バックアップによるリストア等回復手順については、机上訓練を年 1 回以上実施すること。 | |
サプライチェーン・リスク対策 （SC: Supply Chain） | 情報システムの構築等の外部委託における対策（SC- 1） | 委託先において不正プログラム等が組み込まれることへの対策 （SC-1-1） | 情報システムの運用保守において、ＰＭＤＡが意図しない変更や機密情報の窃取等が行われないことを保証するため、構成管理・変更管理を適切に実施すること。 | 変更管理の状況は「変更作業一覧」により、月次で報告すること。 |