PMDAウェブサイトの運用支援及び保守業務調達仕様書
PMDAウェブサイトの運用支援及び保守業務調達仕様書
令和６年１月
独立行政法人 医薬品医療機器総合機構
目 次
調達案件名 3
用語の定義 3
契約期間 4
調達の単位、調達の方式、実施時期 5
調達案件間の入札制限 6
作業の内容 6
作業実施体制 12
管理体制 13
作業場所 15
履行完了後の資料の取扱い 19
知的財産権の帰属 19
検査 20
契約不適合責任 20
入札参加要件 21
入札制限 21
再委託の制限及び再委託を認める場合の条件 21
承認手続 22
再委託先の契約違反 22
環境への配慮 23
調達仕様書 別紙 23
参考資料 24
閲覧要領 24
技術提案書等の審査要領 24
１. 調達案件の概要に関する事項 調達案件名
PMDA ウェブサイトの運用支援及び保守業務
調達の背景と目的
独立行政法人医薬品医療機器総合機構（以下「PMDA」という。）では、以前、PMDA ウェブサイト （xxxxx://xxx.xxxx.xx.xx/）及び info サイトの２つのウェブサイトを主に運用していたが、ユーザビリティのxxxを目的に、平成 27 年３月に 2 つのウェブサイトの統合を行い、現行の PMDA ウェブサイトを運営している。
PMDA ウェブサイトの運営にあたっては、国民や医療従事者等に医薬品等の安全性情報等を的確かつ迅速に提供すること、PMDA 業務に関連する情報を国内外に適切に情報発信すること等が必要であり、その円滑な稼働に際しては、運用支援及び保守業務を外部委託することが最も適切かつ合理的である。したがって、平成 27 年３月に 2 つのウェブサイトの統合を行って以降、毎年度外部委託を行っている。なお、軽微な改修に関しては、改修すべき案件を整理し、適宜工数の増減を毎年度行っている。本調達においては、より安定した運用を行うために５年契約を行うこととする。
用語の定義
表 １-１ 用語の定義
No. | 用語 | 説明 |
1 | 添付文書 | 医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律 （昭和 35 年法律第 145 号）の規定に基づき、医薬品、医療機器及び再生医療等製品（以下「医薬品等」という。）の適用を受ける患者の安全を確保し適正使用を図るために必要な情報を提供する目的で、医薬品等の製造販売業者が用法、用量、使用方法その他使用及び取扱い上の必要な注意等の定められた事項を記載し、作成する文書。 |
2 | クラウド | ソフトウェアやハードウェアの利用権などをネットワーク越しにサービスとして利用者に提供する方式を「クラウドコンピューティング」（cloud computing）と呼び、データセンターや、その中で運用されているサーバ群のことをクラ ウドという。 |
3 | Infrastructure as a Service （IaaS） | 情報システムの稼働に必要な機材や回線などの基盤を、クラウドサービス として遠隔から利用できるようにしたもの。 |
4 | Info サイト | |
5 | 医薬品医療機器情報提供シ ステム | Info サイトを管理するシステム |
業務・情報システムの概要
PMDA の中心業務である、審査関連業務、安全対策業務、健康被害救済業務では、それぞれ
の業務上、広範囲への発信が必要な情報は PMDA ウェブサイトに掲載しているが、一部はinfo サイトにも掲載しており、また、PMDA ウェブサイトの情報検索機能（医療用医薬品、医療機器、一般用・要指導医薬品、体外診断用医薬品、再生医療等製品）で表示される添付文書やインタビューフォーム等の一部の文書については、info サイトで管理しているデータベースと連携バッチを行ってデータ取得を行っている。なお、本調達の対象となるPMDA ウェブサイトは経営企画部広報課が運営しており、info サイトは安全性情報・企画管理部にて運営を行っている。
本システムのシステム構成は図 1－1 を参照のこと。
図 １-１ 全体構成図
契約期間
ア 契約期間
契約開始日から令和 11 年３月末日まで
イ 契約形態
請負契約形態とし、検収や支払方法等は契約書にて定める。
作業スケジュール
受注者は、契約締結日から運用業務の開始までに本情報システムの運用業務を実施するための準備を実施し、必要な情報について PMDA（または前受注者）より引継ぎを受けること。
本業務に係る想定スケジュールの概要は、別紙２「作業スケジュール」のとおりとする。なお、このスケジュールはあくまで想定のスケジュールであり、詳細な実施スケジュールは受注者が検討の上、実施計画書に記載すること。
担当課室・連絡先
本調達仕様書に関する問い合わせ先は以下のとおり。
〒100-0013
xxxxxxxxxx 0-0-0 x霞が関ビル独立行政法人 医薬品医療機器総合機構
経営企画部広報課
03（3506）9454
Email：hp2015-hoshu●xxxx.xx.xx
※●を＠（半角）に置き換えて下さい。
２. 当該調達及び関連調達に関する事項 調達の単位、調達の方式、実施時期
関連する調達案件の調達単位、調達の方式、実施時期は次の表のとおりである。
表 ２-１ 関連する調達案件の調達単位、調達の方式、実施時期（既存契約）
No | 調達案件名 | 調達の方式 | 実施時期 | 補足 | 役割 |
1 | 医薬品医療機器情報提供システム及び PMDA ウェブサイトの機材更新、システム移行業務及びデータ センター調達 | 一般競争入札 （総合評価方式） | 令和 3 年 5 月から令 和 10 年 7 月 | BIPROGY 株式 会社 | 基盤更改、データセンター、 製品保守 |
2 | PMDA ウェブサイトリニューアル | 一般競争入札 （ 最低価格落札方式） | 令和 4 年 11 月から 令和 6 年 6 月 | xx情報システムサービス株 式会社 | サイトリニューアル |
3 | 業務システム統合基盤の構築及び保守 | 一般競争入札 （総合評価方式） | 令和 5 年 4 月 17 日 から令和 10 年 10 月 31 日 | 株式会社インターネットイニシ アティブ | 基盤移行 |
4 | 電子版おくすり手帳を介した患者向け医薬品情報提 供への対応業務 | 一般競争入札 （ 最低価格落札方式） | 令和 5 年 10 月 6 日 から令和6 年3 月31 日 | 日本ソフトウエア株式会社 | 機能追加 |
表 ２-２ 関連する調達案件の調達単位、調達の方式、実施時期等（契約予定）
No | 調達案件名 | 調達の方式 | 実施時期 | 補足 | 役割 |
1 | PMDA ウェブサイト医療機器添付文書 XML 化等 | 一般競争入札 （ 最低価格落札方式） | 令和 6 年 4 月から令 和 7 年 3 月 | ウェブサイト設計・改修 | 機能追加 |
調達案件間の入札制限
なし
３. 情報システムに求める要件に関する事項
本調達の実施に当たっては、別紙 1 から 7 の各要件を満たすこと。
４. 作業の実施内容に関する事項 作業の内容
ア 運用・保守に係る作業の内容
受注者は、本調達仕様書に記載された作業内容や各要件（「別紙 3 業務要件」等）を参照の上、以下に関し必要な作業を実施すること。
受注者は、運用・保守業務の開始までに、本情報システムの円滑な運用・保守業務の実施に必要な準備作業として、運用・保守業務に必要な什器等の準備、回線引込等を行うこと。
受注者は、運用・保守業務の開始までに、運用・保守準備作業に関する準備計画書を作成し、PMDA の承認を受けること。
受注者は、運用・保守準備作業が完了した後、準備完了報告書を作成し、PMDA の承認を受けること。
受注者は、別紙 1 から 7 に基づき、実施計画書を作成し、PMDA の承認を受けること。
受注者は、「別紙 3 業務要件」に示す運用・保守業務を行うこと。具体的な実施内容・手順は実施計画書等に基づいて行うこと。
受注者は、「別紙 4 システム運用管理基準」を参照のうえ、以下の内容について月次で運用・保守作業報告書を取りまとめること。
（１） 運用・保守業務の内容や工数、作業時間等の作業実績状況
（２） サービスレベルの達成状況
（３） サービスレベル関連実績データと分析・評価及び対策
（４） 情報システムの構成と運転状況（情報セキュリティ監視状況を含む）
（５） 情報システムの定期点検状況（別紙 2、4、5 参照）
（６） 情報システムの利用者サポート、教育・訓練状況
（７） リスク・課題の把握・対応状況
（８） 問合せ管理運用状況（サービスデスク稼働状況）（「別紙 4 システム運用管理基準」参照）
（９） インシデント管理状況（「別紙 4 システム運用管理基準」参照）
（１０） 問題管理状況（「別紙 4 システム運用管理基準」参照）
（１１） 変更管理状況（「別紙 4 システム運用管理基準」参照）
（１２） 脆弱性管理状況（「別紙 4 システム運用管理基準」参照）
（１３） 受注者は、月間の運用・保守実績を評価し、達成状況が目標に満たない場合はその要因の分析を行うとともに、達成状況の改善に向けた対応策を提案すること。
受注者は、運用・保守作業報告書の内容について、月例の定期運用会議に出席し、その内容を報告すること。但し、PMDA が認める場合は、書面による報告のみとする。
受注者は、ソフトウェア製品の保守の実施において、ソフトウェア製品の構成に変更が生じる場合には、PMDA にその旨を報告し、変更後の環境がライセンスの許諾条件に合致するか否かの確認を受けること。
障害・情報セキュリティインシデント発生時及び大規模災害等の発災時の対応
受注者は、インシデントについて、発生日、内容、対応状況等と記録・整理すること。
受注者は、インシデント発生時の 1 次切り分け業務（検知、発生箇所の特定及び運用・保守に関係する事業者との連携による原因調査）を速やかに行うこと。
受注者は、情報システムの障害等インシデント発生時（又は発生が見込まれる時）には、速やかに PMDA に報告するとともに、その緊急度及び影響度を判断の上、「別紙 4 システム運用管理基準 ４．２インシデント管理」及び PMDA が提供するひな形を参照の上、インシデント発生時運用業務（検知、障害発生箇所及び原因調査、応急措置、復旧確認、報告等）を行うこと。なお、インシデントには、情報セキュリティインシデントを含めるものとする。具体的な実施内容・手順は情報システムごとのインシデント管理プロセス手順書に基づいて行うこと。（インシデント管理プロセス手順書がない場合は、作成すること） また、情報セキュリティインシデントの場合は、「PMDA 情報セキュリティインシデント対処手順書」を参照の上、インシデント発生対応を実施のこと。
受注者は、情報システムのインシデントに関して事象の分析（発生原因、影響度、過去の発生実績、再発可能性等）を行い、同様の事象が将来にわたって発生する可能性がある場合には、xx的な対応策を提案及び対応策の実施をすること。
受注者は、運用業務に従事する要員に対して、年１回以上のセキュリティの定期教育を実施すること。また、新たに要員が参画する場合は、参画時にセキュリティ教育を実施すること
受注者は、大規模災害等の発災時には、PMDA の指示を受けて、必要な対応を実施すること。また定常時においても、運用継続計画（情報システム用 BCP）を参照し、PMDA と協議の上、大規模災害時の手順書見直し・整備等の必要な対応を実施すること。
受注者は、年１回、PMDA の指示に基づき、システム資産簿と情報システムの現況との突合・確認（以下「現況確認」という。）を支援すること。
受注者は、現況確認の結果、システム資産簿と情報システムの現況との間に差異がみられる場合は、「別紙 4 システム運用管理基準」に定める変更管理方法に従い、差異を解消すること
受注者は、現況確認の結果、ライセンス許諾条件に合致しない状況が認められる場合は、当該条件への適合可否、条件等を調査の上 PMDA に報告すること。
受注者は、現況確認において IPA の MyJVN バージョンチェッカを用いる等により、ソフトウェア製品のバージョンを確認し、その結果、サポート切れのソフトウェア製品の使用が明らかとなった場合は、当該製品の更新の可否、更新した場合の影響の有無等を調査の上、PMDA に報告すること。
受注者は、4 における PMDA への報告後、サポート切れのソフトウェア製品を更新した場合は、改めて PMDA に報告すること。
受注者は、年度末までに年間の運用・保守実績を取りまとめるとともに、実施計画書、運用・保守手順書に対する改善提案を行うこと。
受注者は、現行運用・保守事業者から運用・保守に必要な事項の引継ぎとして、運用監視作業エリアの引継、サービスデスクの引継、システム資源及びデータの引継を受け、現行事業者から提供される資料（運用・保守作業の計画書や報告書、運用・保守設計書及び運用・保守手順書等の一覧）を基に自主的に業務習熟を行うこと。
現行運用・保守事業者からの引継作業は受注者の負担と責任において実施すること。
受注者は、本調達に係る契約期間終了後、受注者と異なる事業者が本情報システムの運用・保守業務を受注した場合には、次期運用・保守事業者に対し、作業経緯、残存課題等下記項目についての引継ぎを行うこと。
・問合せ、障害等の対応及び管理に関する手法・手順
・システム運用・保守マニュアル、運用・保守業務マニュアル
・仕掛中の項目一覧及びその進捗状況
・過去の問合せ、障害等の実績及びその対応方法
・バックログ・未対応作業一覧及びその対応(案)
・その他業務を引継ぐ上で必要と思われる事項
受注者は、PMDA が本システムの更改を行う際には、次期の情報システムにおける要件定義支援事業者及び設計・開発事業者等に対し、作業経緯、残存課題等に関する情報やデータの提供及び質疑応答等の協力を行うこと。
受注者は、移行日までに設計・開発事業者等からの引継ぎを受け、本業務への影響を調査し、手順書の見直し・整備、教育等の必要な対応を実施すること。準備作業が完了した
後、完了を報告し、PMDA の承認を受けること。
設計・開発事業者等からの引継及び準備作業は受注者の負担と責任において実施すること。
受注者は、PMDA が本システムの改修（本業務開始時に既に着手しているものを含む）を行う際には、要件定義支援事業者及び設計・開発事業者等に対し、作業経緯、残存課題等に関する情報やデータの提供及び質疑応答等の協力を行うこと。
受注者は、移行日までに設計・開発事業者等からの引継ぎを受け、本業務への影響を調査し、手順書の見直し・整備、教育等の必要な対応を実施すること。準備作業が完了した後、完了を報告し、PMDA の承認を受けること。
設計・開発事業者等からの引継及び準備作業は受注者の負担と責任において実施すること。
PMDA においては、システムのインベントリ情報をxx管理するシステム資産簿を作成している。受注者は、本システムで利用する機器、ソフトウェア、ネットワーク等の構成情報を PMDA へ報告し、xx管理するシステム資産簿の管理情報について常に最新の状態を保つこと。なお、以下に示す事項以外に管理が必要と考えられる事項があれば PMDAと協議の上、合わせて管理すること。
受注者は対象システムに更新等が発生した場合、下記のインベントリ情報に関し、PMDAが指定するシステム資産簿登録用シートを、PMDA が指示する時期に提出すること。
・ハードウェア管理台帳（ハードウェア名称、システムモデル、シリアル番号、サポート内容・期間等）
・ソフトウェア管理台帳（ソフトウェア名称、エディション・バージョン、ソフトウェアの搭載機器、サポート内容・期間等）
・ライセンス管理台帳（ソフトウェア名称、エディション・バージョン、ライセンス番号（シリアル番号）、提供形態、有効期限、保有ライセンス数等）
・その他 PMDA が指定する項目
受注者は、本システムを構成する機器・ソフトウェアの変更、業務アプリケーションの変更、仕様書、設計書等の本システムにかかる各種ドキュメントの変更について、変更理由、変更内容、影響範囲、対応状況、責任者、対応者等と記録し、xx管理を行うこと。
イ 契約金額内訳及び情報資産管理標準シートの提出に係るその他の作業の内容
受注者は、契約金額の内訳を記載したエクセルの電子データを契約締結後速やかに提出すること。
成果物の範囲、納品期限等ア 成果物
本業務の成果物を次の表に示す。ただし、納入成果物の構成、詳細、スケジュールについては、受注後、PMDA と協議し取り決めること。
なお、設計・開発によって納品されるドキュメントについては、記載レベル、記載内容等を明らかにし、メンテナンス性を考慮したものとすること。
表 ４-１ 工程と成果物
項番 | 工程 | 納入成果物 （注 1） | 納入期日 |
1 | 準備作業 | ・準備計画書 ・準備完了報告書 | 運用開始日 |
2 | 計画 | ・実施計画書（注 2） ・情報セキュリティ管理計画書（注 3） ・契約金額内訳 | 契約締結日から 2 週間以内 |
3 | 運用・保守 （ 定常時及び障害・情報セキュリティインシデント発生時） | ・運用・保守作業報告書（月次・年次・スポット等） ・改善提案書 ・システム運用マニュアル ・運用業務マニュアル ・システム関連ドキュメント ・プログラム・ツール等 | 令和 11 年 3 月 23 日 (※必要に応じて随時提出) |
4 | 引継ぎ | ・引継計画書 ・引継資料 ・引継結果報告書 | 令和 11 年 3 月 23 日 |
5 | その他 | ・実施要領に基づく管理資料 ・打合せ資料 ・議事録 ・機密情報受理管理簿 ・データ消去証明書 ・契約不適合責任に係る保有情報の一覧 ・成果物一覧 ・最終報告書 | 令和 11 年 3 月 23 日 （※必要に応じて随時提出） |
注1 納入成果物の作成にあたっては、SLCP-JCF2013（共通フレーム 2013）を参考とすること。注2 実施計画書に記載する事項
(ア) プロジェクトの目標
(イ) プロジェクトのスコープ
(ウ) 体制図（責任者・契約担当・再委託の有無、情報セキュリティ責任者・情報セキュリティ技術担当窓口を含む）
(エ) 作業分担（PMDA との役割分担を含む）
(オ) SLA
(カ) 年間作業スケジュール
(キ) 納入成果物
(ク) 提案事項・改善計画 (ケ) 前提条件・制約事項 (コ) 実施要領
① コミュニケーション管理要領（会議体、議事録作成ルール、通常時・緊急時の連絡
方法）
② 進捗管理要領・リスク管理要領（報告頻度、報告様式、管理方法）
③ 課題管理要領・変更管理要領（様式、承認フロー、管理方法）
④ 構成管理要領、文書管理要領（マスターライブラリ、リリース、受領資料の管理方法）
⑤ 品質管理要領（レビュー計画、トレーサビリティ・マトリクス等）注3 情報セキュリティ管理計画書に記載する事項
(ア) ISMS 等認証取得
(イ) 情報管理に関するルール（社内規程明示等）
(ウ) 情報管理体制
(エ) 情報セキュリティインシデント対処方法
(オ) PMDA 情報の取扱い（目的外使用・意図しない変更を防止する方法を含む）
(カ) メンバのスキル・資格等
(キ) 自主点検の実施
(ク) 業務環境のセキュリティ
(ケ) レポート体制
(コ) 再委託による履行保証措置
(サ) 緊急連絡方法
(シ) 教育・研修の実施
イ 納品方法
成果物は、全て日本語で作成すること。ただし、日本国においても、英字で表記されることが一般的な文言については、そのまま記載しても構わないものとする。
用字・用語・記述符号の表記については、「公用文作成の考え方（建議）（令和４年１月７日文化審議会）」に準拠すること。
情報処理に関する用語の表記については、原則、日本産業規格（JIS）の規定に準拠すること。
成果物は電磁的記録媒体（CD-R 等）により作成すること。また、PMDA が要求する場合は紙媒体でも納品すること。紙媒体の納品部数については、PMDA と協議すること。ただし、ソフトウェア、ソースコード等は外部電磁的記録媒体（CDーR 等）のみとする。
紙媒体での納品を求める場合の用紙のサイズは、原則として日本産業規格Ａ列 4 番とす
るが、必要に応じて日本産業規格Ａ列 3 番を使用すること。
厚さ 15 ㎜程度のバインダー1 部に磁気媒体 2 部と成果物一覧（紙）を綴り、背表紙 に案件名、受注業者名、納入年月日を記載すること。
電磁的記録媒体による納品について、ファイルは Microsoft 365 で読み込みが可能なファイル形式で作成すること。 ただし、当該ファイル形式で納品が困難な場合は、PMDA と事前に協議の上、PDF のファイル形式で作成すること。また、PMDA が他の形式による提出を求める場合は、協議の上、これに応じること。なお、受注者側で他の形式を用いて提出
したいファイルがある場合は、協議に応じるものとする。
現存するドキュメント等を変更する必要がある場合はそれらを修正することとし、修正点が分かるように表記すること。
納品したドキュメントに修正等があった場合は、紙については、それまでの変更内容を表示するとともに変更履歴と修正ページ、外部電磁的記録媒体については、それまでの変更内容及び修正後の全編を速やかに提出すること。
納品後、PMDA において改変が可能となるよう、図表等の元データも併せて納品すること。 成果物の作成に当たって、特別なツールを使用する場合は、PMDA の承認を得ること。
一般に市販されているツール、パッケージ類の使用は PMDA と協議の上、必要であれば使用を認めることとするが、特定ベンダーに依存する（著作権、著作者人格権を有する）ツール等は極力使用しないこと。新規の開発ツール等を使用する場合、又はライセンスの追加が必要となる場合は、本稼働後 5 年間のライセンス及びメディアを納入すること。
成果物が外部に不正に使用されたり、納品過程において改ざんされたりすることのないよう、安全な納品方法を提案し、成果物の情報セキュリティの確保に留意すること。
電磁的記録媒体により納品する場合は、不正プログラム対策ソフトウェアによる確認を行 う等して、成果物に不正プログラムが混入することのないよう、適切に対処すること。なお、対策ソフトウェアに関する情報（対策ソフトウェア名称、定義パターンバージョン、確認年月日）を記載したラベルを貼り付けること。
各工程の中間成果物も含め、本調達に係る全ての資料を納品すること。
報告書、計画書等の成果物の記載様式については、記載様式案を PMDA に提示すること。PMDA は、案について受注者と協議の上、決定する。
成果物の作成及び納品に当たり、内容、構成等について PMDA が指摘した場合には、指摘事項に対応すること。
ウ 納品場所
原則として、成果物は次の場所において引渡しを行うこと。ただし、PMDA が納品場所を別途指示する場合はこの限りではない。
〒100-0013
東京都千代田区霞が関 3-3-2 新霞が関ビル独立行政法人 医薬品医療機器総合機構
経営企画部広報課
５. 作業の実施体制・方法に関する事項 作業実施体制
受注者は、本業務に係る要員の役割分担、責任分担、体制図等を実施計画書の一部として作成し、PMDA に報告するとともに、承認を得ること。また、受注者は、必要な要員の調達を遅滞なく実施し、体制図等の要員配置関連資料を確定すること。
プロジェクトマネジメントに係る、品質管理・進捗管理・セキュリティ管理・リスク管理等の必要な機能を、体制に組み込むこと。
作業体制の品質確保のため、本業務の運用責任者は業務開始から業務終了まで継続して遂行すること。交代する場合は同等以上の要員が担当するものとし、事前に PMDA の承認を得ること。
受注者は、PMDA 側やその他関連事業者を含めた全体の体制・役割を示した上で、プロジェクトの推進体制及び本件受注者に求める作業実施体制を PMDA と協議の上定めること。また、受注者の情報セキュリティ対策の管理体制については、作業実施体制とは別に作成すること。
受注者は、インシデント発生時などの連絡体制図を PMDA と協議の上定めること。
管理体制
本業務の実施に当たり、PMDA の意図しない変更が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、当該品質保証体制が書類等で確認できること。
本システムに PMDA の意図しない変更が行われる等の不正が見つかった時（不正が行われていると疑わしい時も含む）に、追跡調査や立入検査等、PMDA と受注者が連携して原因を調査・排除できる体制を整備していること。また、当該体制が書類等で確認できること。
当該管理体制を確認する際の参照情報として、資本関係・役員等の情報、本業務の実施場所、本業務従事者の所属・専門性（情報セキュリティに係る資格・研修実績等）・実績に関する情報提供を行うこと。
受注者は、本業務で知り得た情報を適切に管理するため、次に掲げる体制を確保し、当該体制を確保していることを証明するため、PMDA に対し「情報取扱者名簿」（当該業務に従事する者のうち、保護を要する情報を取り扱う可能性のある者の名簿をいう。業務の一部を再委託する場合は再委託先も含む。）、「情報セキュリティを確保するための体制を定めた書面（情報管理体制図、情報管理に関する社内規則等）」（業務の一部を再委託する場合は再委託先も含む。）及び「業務従事者名簿」（当該業務に従事する者の名簿をいう。）を提出すること。
（確保すべき体制）
∙ 情報取扱者は、本業務の遂行のために最低限必要な範囲の者とすること。
∙ 受注者が本業務で知り得た情報について、PMDA が承認した場合を除き、受注者の役員等を含め、情報取扱者名簿に記載のある者以外の者に伝達又は漏えいされないことを保証する履行体制を有していること。
∙ 受注者が本業務で知り得た情報について、PMDA が承認した場合を除き、受注者の親会社、地域統括会社、ブランド・ライセンサー、フランチャイザー、コンサルタントその他の受注者に対して指導、監督、業務支援、助言、監査等を行う者を含め、受注者以外の者に伝達又は漏えいされないことを保証する履行体制を有していること。
※ 「情報取扱者名簿」には、情報管理責任者（当該業務の情報取扱いの全てに責任を
有する者）、情報取扱管理者（当該業務の進捗管理等を行い、保護を要する情報を取り扱う可能性のある者）、その他保護を要する情報を取り扱う可能性のある者について、氏名、住所、生年月日、所属部署、役職等を、業務の一部を再委託する場合は再委託先も含めて、記載すること。なお、情報管理責任者は、情報の取扱いに関して、情報セキュリティが侵害され又はそのおそれがある場合等の非常時における対策を定めるとともに、その内容を従事者に徹底すること。また、情報取扱管理者を指定すること。
※ 「業務従事者名簿」には、当該業務に従事する者について、氏名、所属部署、役職、務経験、研修実績その他の経歴、専門的知識その他の知見等を記載すること。
受注者は、4 の「情報取扱者名簿」、「情報セキュリティを確保するための体制を定めた書面
（情報管理体制図、情報管理に関する社内規則等）」及び「業務従事者名簿」に変更がある場合は、あらかじめPMDA に申請を行い、承認を得なければならないこと。
受注者は、本業務で知り得た情報について、PMDA が承認した場合を除き、受注者の役員等を含め、情報取扱者以外の者に伝達又は漏えいしてはならないこと。受注者は、本業務で知り得た情報について、PMDA が承認した場合を除き、受注者の親会社、地域統括会社、ブランド・ライセンサー、フランチャイザー、コンサルタントその他の受注者に対して指導、監督、業務支援、助言、監査等を行う者を含め、受注者以外の者に伝達又は漏えいしてはならないこと。
作業要員に求める資格等の要件ア 運用責任者の必要スキル
以下のいずれかであること。
・ PMP(Project Management Professional)の認定者。
・ 情報処理の促進に関する法律に基づき実施される情報処理技術者試験のうちプロジェクトマネージャ試験の合格者。
・ 技術士（情報工学部門又は総合技術監理部門（情報工学を選択科目とする者））の資格を有する者。
・ 「IT スキル標準 V3 2011」（平成 24 年 3 月 26 日 独立行政法人 情報処理推進機構）における「プロジェクトマネジメント」のいずれかの専門分野で達成度指標及びスキル熟達度ともにレベル 4 以上に相当する知識・経験を有する者。
システム運用保守業務のマネジメント経験が 3 年以上あること。
類似のシステムの構築経験有りまたは運用保守経験が 3 年以上あること。
※ただし、当該資格保有者等と同等の能力を有することが経歴等において明らかな者については、これを認める場合がある（その根拠を明確に示し、PMDA の了承を得ること）
イ ヘルプデスクの必要スキル
Windows OS/Linux 等の上に構築されたウェブサイト及び CMS（ALAYA）の取扱い経験が 1
年以上あること（ヘルプデスクを複数名体制にする場合は、本条件を満たす人員を常時 1
名配置すること）
一定規模の組織において、一般の社員等から問合せを受けるヘルプデスク経験が 1 年以
上あること（ヘルプデスクを複数名体制にする場合は、本条件を満たす人員を常時 1 名配置すること）
業務管理・処理を適切に実施することができ、問合せに対して関係者との調整や返答を適切な応答速度で確実に実施することができる
ヘルプデスクを複数名体制にする場合は、上記 1～3 の条件を満たす人員を常時 1 名配置すること
ウ 専門分野のスキル
企業または官公庁・独立行政法人等の複数の拠点を結ぶネットワークインフラの運用経験を 5 年以上有すること。
Web ページ制作技術に関する専門的な知識、及び CMS や ASP、サイト内検索サービス、アクセスログ解析サービス、Java 言語等に関する専門的な知識を有していること。
Oracle Database のチューニングとログ分析の経験を 5 年以上有すること。
CMS ALAYA に関して取扱い経験及び専門的な技術知識を有し、ヘルプデスクに対して適切な応答速度で、有効な助言、指示を与える者を配置すること。
情報処理安全確保支援士試験又は情報セキュリティマネジメント試験の合格者、又は、試験に合格した者と同等の能力・業務経験を有することを証明できる者を１名以上配置すること。
Web サーバ、ネットワークインフラに関する専門的な技術知識を有し、現場担当者に対して適切な応答速度で有効な助言、指示を与えられる者を配置すること。
本システムの業務を理解しており、本システムの運用・保守にあたり、PMDA に逐次業務の説明を求めることなく担当者とスムーズな会話ができる知識を有していること。
作業場所
ヘルプデスクは、新霞が関ビルの PMDA 執務室内に設置する HP ヘルプデスク室に常駐すること。PMDA 執務室内にて業務を行う範囲においては、光熱費、通信費並びに作業用端末は無償貸与するものとする。
ヘルプデスク以外の受注業務の作業場所及びデータの保管場所は、日本国内とすること。 作業場所及びデータの保管場所における情報漏えいを防ぐため入退室管理等の対策が講
じられていること。
本業務で使用する機器に対し必要なセキュリティ対策等が講じられていること。
本業務の作業場所及び作業に当たり必要となる設備、備品及び消耗品等については、受注者の責任において用意すること。
本業務の履行状況を監督するため、必要に応じて PMDA 担当者が、履行開始時（契約後約 1 月以内を目安に PMDA と協議して実施時期を決定する）に受注者の作業場所やデータ保管場所の立入調査を行えることとする。ただし、データの保管にクラウドサービスを利
用している等の理由により、データの保管場所への立入調査が困難な場合については、クラウドサービス業者との契約内容にセキュリティ上の問題がないことの説明の聴取をもって、立入調査に代えることができることとする。
PMDA 内での作業は、必要な規定の手続を実施し承認を得ること。
PMDA が緊急招集した場合は PMDA が指定する場所に 2 時間以内に参集できること。
作業の管理に関する要領
受注者は、PMDA が承認した運用実施計画書に基づき、運用・保守業務に係るコミュニケーション管理、体制管理、作業管理、リスク管理、課題管理、システム構成管理、変更管理、情報セキュリティ対策を行うこと。
受注者は作業の進捗状況等を報告するため、PMDA の担当職員と会議を定期的に行うこと。また、当該会議の開催を実施計画書に記載すること。
当該会議の開催の都度、原則 1 営業日前までに資料（ドラフト版も可とする）を送付し、3 営業日以内に議事録を作成、関係者に内容の確認を行った上で、PMDA の担当職員の承認を得ること。
情報漏えい及び作業計画の大幅な遅延等の問題が生じた場合は、PMDA のプロジェクト責任者又は窓口担当者にその問題の内容について報告すること。
６. 作業の実施に当たっての遵守事項 機密保持、情報・資料の取扱い
受注者は、受注業務の実施の過程で PMDA が提供した情報・資料(公知の情報を除く。以下同じ。)、他の受注者が提示及び作成した情報・資料を、本受注業務の目的以外に使用又は第三者に開示若しくは漏えいしてはならないものとし、そのために必要な措置を講ずること。なお、PMDA が提供した情報、資料を第三者に開示する必要がある場合は、事前に協議の上、承認を得ること。
受注者は、本受注業務を実施するに当たり、PMDA が提供した情報・資料については管理台帳等により適切に管理し、かつ、以下の事項に従うこと。
∙ 複製はしないこと。
∙ 受注者組織内に移送する際は、暗号化や施錠等適切な方法により、情報セキュリティを確保すること。また、PMDA との調整等に必要な場合及び返却時以外は原則として、受注者組織外に持ち出さないこと。
∙ 個人情報等の重要な情報が記載された情報・資料に関しては、原則として社外に持ち出さないこと。
∙ 受注者組織内で作業を行う場合には、作業を行う施設は、IC カード等電磁的管理による入退館管理がなされていること。
∙ 作業を行う施設内の作業実施場所は、IC カード等電磁的管理による入退室管理がなされていること。
∙ 電磁的に情報・資料を保管する場合には、当該業務に係る体制以外の者がアクセスできないようアクセス制限を行うこと。また、アクセスログにより不審なアクセスがないかの確認を行うこと。
∙ 情報・資料を保管する端末やサーバ装置等は、受注者の情報セキュリティポリシー等により、サイバー攻撃に備え、ウイルス対策ソフト、脆弱性対策及び検知・監視等の技術的対策が講じられ、適切に管理・運用される必要があるため、政府機関等のサイバーセキュリティ対策のための統一基準や PMDA サイバーセキュリティポリシーに準拠し、管理等することとし、準拠した対応ができない場合は、代替のリスク軽減策を講じ、 PMDA の承認を得ること。
∙ 用務に必要がなくなり次第、速やかに PMDA に返却すること。
∙ 業務完了後、PMDA が提供した情報・資料を返却し、受注者において該当情報を保持しないことを誓約する旨の書類を PMDA へ提出すること。
応札希望者についても上記に準ずること。
「独立行政法人 医薬品医療機器総合機構 情報システム管理利用規程」の第 52 条に従うこと。
「秘密保持等に関する誓約書」を別途提出し、これを遵守しなければならない。 機密保持の期間は、当該情報が公知の情報になるまでの期間とする。
機密保持及び情報・資料の取扱いについて、適切な措置が講じられていることを確認するため、PMDA が遵守状況の報告や実地調査を求めた場合には応じること。
本業務で作成したデータ等については、業務の終了に伴い不要となった場合又は PMDAから廃棄若しくは抹消の指示があった場合には、回復が困難な方法により速やかに廃棄又は抹消すること。なお、受注者が用意するヘルプデスク機材や開発・運用機材等のうち、個人情報を取り扱う場合を含むものとする。実施方法等については、PMDA の承認を得た上で速やかに実施し、実施後においては作業完了報告書を PMDA に速やかに提出すること。
遵守する法令等ア 法令等の遵守
次の文書の最新版を遵守すること。遵守すべき文書が変更された場合は変更後の文書を遵守すること。
独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー独立行政法人 医薬品医療機器総合機構 情報システム管理利用規程独立行政法人 医薬品医療機器総合機構 個人情報管理規程
なお、「独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー」は非公
表であるが、「政府機関等のサイバーセキュリティ対策のための統一基準」に準拠しているので、必要に応じ参照すること。「独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー」の開示については、契約締結後、受注者が担当職員に守秘義務の誓約書を提出した際に開示する。
受注業務の実施において、現行情報システムの設計書等を参照する必要がある場合は、作業方法等について PMDA の指示に従い、秘密保持契約を締結する等した上で、作業すること。
受注者は、受注業務の実施において、民法、刑法、著作権法、不正アクセス行為の禁止等に関する法律、個人情報の保護に関する法律等の関連する法令等を遵守すること。
情報セキュリティ管理
本調達案件の受注者は、情報セキュリティ対策として、以下を含む情報セキュリティ管理計画書を契約締結後速やかに提出し、PMDA の承認を受けた上で、それに基づき情報セキュリティ対策を実施すること。なお、PMDA は実施状況について、随時、実地調査できるものとする。
PMDA から提供する情報の目的外利用を禁止すること。
本業務の実施に当たり、受注者又はその従業員、本調達の役務の内容の一部を再委託する先、若しくはその他の者による意図せざる不正な変更が情報システムのハードウェアやソフトウェア等に加えられないための管理体制が整備されていること。
受注者の資本関係・役員等の情報、本業務の実施場所、本業務従事者の所属・専門性
（情報セキュリティに係る資格・研修実績等）・実績に関する情報提供を行うこと。具体的な情報提供内容については PMDA と協議の上、決定するものとする。
情報セキュリティインシデントへの対処方法（対処手順、責任分界、対処体制、対応時間、情報伝達時間・手段等）が確立されていること。
情報セキュリティ対策その他の契約の履行状況を定期的に確認し、PMDA へ報告すること。 情報セキュリティ対策の履行が不十分である場合、速やかに改善策を提出し、PMDA の承
認を受けた上で実施すること。
PMDA が求めた場合に、速やかに情報セキュリティ監査を受入れること。
本調達の役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるように情報セキュリティ管理計画書に記載された措置の実施を担保すること。
PMDA から要保護情報を受領する場合は、情報セキュリティに配慮した受領方法にて行うこと。
PMDA から受領した要保護情報が不要になった場合は、これを確実に返却、又は抹消し、書面にて報告すること。
本業務において、情報セキュリティインシデントの発生又は情報の目的外利用等を認知した場合は、速やかに PMDA に報告すること。
情報セキュリティ監査
本調達に係る業務の遂行における情報セキュリティ対策の履行状況を確認するために、
PMDA が情報セキュリティ監査の実施を必要と判断した場合は、PMDA がその実施内容
（監査内容、対象範囲、実施者等）を定めて、情報セキュリティ監査を行う（PMDA が選定し
た事業者による外部監査を含む。）。
受注者は、PMDA から監査等の求めがあった場合に、速やかに情報セキュリティ監査を受け入れる部門、場所、時期、条件等を「情報セキュリティ監査対応計画書」等により提示し、監査を受け入れること。なお、実施計画書に付記することでもよい。
受注者は自ら実施した外部監査についても PMDA へ報告すること。
情報セキュリティ監査の実施については、これらに記載した内容を上回る措置を講ずることを妨げるものではない。
業務履行後において当該業務に関する情報漏えい等が発生した場合であっても、監査を受け入れること。
PMDA において本調達に関する監査等が実施される場合、受注者は、技術支援及び情報提供を行うこと。
受注者は、PMDA における監査の指摘や指摘対応の進捗等把握のための資料提出依頼等があった場合は、PMDA と協議の上、内容に沿って適切な対応を行うこと。
履行完了後の資料の取扱い
受注者は、PMDA から提供した資料又は PMDA が指定した資料の履行完了後の取扱い（返却、削除等）について、本仕様書の定めの他、PMDA の指示に従うこと。
７. 成果物の取扱いに関する事項 知的財産権の帰属
調達に係り作成・変更・更新されるドキュメント類及びプログラムの著作権（著作権法第 21
条から第 28 条までに定める全ての権利を含む。）は、受注者が調達の情報システム開発の従前から権利を保有していた等の明確な理由により、あらかじめ技術提案書にて権利譲渡不可能と示されたもの以外、PMDA が所有する現有資産を移行等して発生した権利を含めて全て PMDA に帰属するものとすること。また、PMDA は、納品された当該プログラムの複製物を、著作権法第 47 条の 3 の規定に基づき、複製、翻案すること及び当該作業を第三者に委託し、当該者に行わせることができるものとする。
本件に係り発生した権利については、受注者は著作者人格権を行使しないものとすること。 調達に係り発生した権利については、今後、二次的著作物が作成された場合等であっても、
受注者は原著作物の著作権者としての権利を行使しないものとすること。
調達に係り作成・変更・修正されるドキュメント類及びプログラム等に第三者が権利を有する著作物（以下、「既存著作物等」という。）が含まれる場合、受注者は当該既存著作物等の使用に必要な費用負担や使用許諾契約等に係る一切の手続を行うこと。この場合、受注者は、事前に当該既存著作物の内容について PMDA の承認を得ることとし、PMDA は、既存著作物等について当該許諾条件の範囲で使用するものとする。
調達に係り第三者との間に著作権に係る権利侵害の紛争が生じた場合には、当該紛争の原因が専ら PMDA の責めに帰す場合を除き、受注者の責任、負担において一切を処理す
ること。この場合、PMDA は係る紛争の事実を知った時は、受注者に通知し、必要な範囲で訴訟上の防衛を受注者に委ねる等の協力措置を講ずる。
なお、受注者の著作又は一般に公開されている著作について、引用する場合は出典を明示するとともに、受注者の責任において著作者等の承認を得るものとし、PMDA に提出する際は、その旨併せて報告するものとする。
検査
本調達仕様書「４．（２）ア 成果物」に則って、成果物を提出すること。その際、PMDA の指示により、別途、品質保証が確認できる資料を作成し、成果物と併せて提出すること。
検査の結果、成果物の全部又は一部に不合格品を生じた場合には、受注者は直ちに引き取り、必要な修復を行った後、指定した日時までに修正が反映された全ての成果物を納品すること。
本調達仕様書「４．（２）ア 成果物」に依る以外にも、必要に応じて成果物の提出を求める場合があるので、作成資料は常に管理し、最新状態に保っておくこと。
特段の事情がない限り、受注者においても全数検査又はサンプル検査を行うこと。
契約不適合責任
受注者は本業務の成果物に対する契約不適合責任を負うものとする。本業務の最終検収後において、受注業務の納入成果物に関して仕様書と異なる、または契約目的に照らして通常期待される条件を満たしていない等本システムの正常な稼動等に関わる契約不適合の疑いが生じた場合であって、PMDA が検収後 1 年以内に調査を求めた場合は、受注者は速やかに契約不適合の疑いに関して調査し回答すること。調査の結果、納入成果物に関して契約不適合等が認められた場合には、受注者の責任及び負担において速やかに修正を行うこと。なお、修正を実施する場合においては、修正方法等について、事前に PMDAの承認を得てから着手すると共に、修正結果等について、PMDA の承認を受けること。
受注者は、契約不適合責任を果たす上で必要な情報を整理し、その一覧を PMDA に提出すること。契約不適合責任の期間が終了するまで、それら情報が漏洩しないように、 ISO/IEC27001 認証（国際標準規格）又は JISQ27001 認証（日本産業規格）に従い、また個人情報を取り扱う場合には JISQ15001（日本産業規格）に従い、厳重に管理をすること。また、契約不適合責任の期間が終了した後は、速やかにそれら情報をデータ復元ソフトウェア等を利用してもデータが復元されないように完全に消去すること。データ消去作業終了後、受注者は消去完了を明記した証明書を作業ログとともに PMDA に対して提出すること。なお、データ消去作業に必要な機器等については、受注者の負担で用意すること。
８. 入札参加資格に関する事項 入札参加要件
ア 公的な資格や認証等の取得
品質管理体制について ISO9001:2015、組織としての能力成熟度について CMMI レベル 3
以上のうち、いずれかの認証を受けていること。
プライバシーマーク付与認定、JIS Q 15001 認証（日本産業規格）、ISO/IEC27701 認証
（国際規格）、ISO/IEC27001 認証（国際規格）、JIS Q 27001 認証（日本産業規格）のうち、いずれかを取得していること。
本調達仕様書「１１．（３）応札希望者が閲覧できる資料一覧」を指定期間内に閲覧すること。
イ 受注実績
多数のユーザ（1,000 人以上）が複数ブラウザで使用するウェブサイト（ウェブシステムも含む）に対して、ウェブサイト及び CMS の運用保守を実施した実績が過去３年間で１件以上あること。
ウ 履行可能性審査に関する要件
本調達仕様書「６．（３）情報セキュリティ管理」に基づいた情報セキュリティ管理計画書
（案）を作成し提出すること。また、情報セキュリティ管理計画書(案)は本業務で取り扱う情報等の特性を十分に踏まえて作成したものであること。なお、提出された情報セキュリティ管理計画書（案）において履行可能性を認めることができないと PMDA が判断した場合は、入札に参加することはできない。
入札制限
情報システムの調達の公平性を確保するため、応札希望者は、以下に挙げる事業者並びにこの事業者の「財務諸表等の用語、様式及び作成方法に関する規則」（昭和 38 年大蔵省令第 59
号）第 8 条に規定する親会社及び子会社、同一の親会社を持つ会社並びに委託先事業者等の緊密な利害関係を有する事業者でないこと。
① PMDA の CIO 補佐が現に属する、又は過去 2 年間に属していた事業者等
② 各工程の調達仕様書の作成に直接関与した事業者等
③ 設計・開発等の工程管理支援業者等
９. 再委託に関する事項
再委託の制限及び再委託を認める場合の条件
受注者は、受注業務の全部又は受注業務における総合的な企画及び判断並びに業務遂行管理部分を第三者（受注者の子会社（会社法第 2 条第 3 号に規定する子会社をいう。）を含む。）に
再委託することはできない。また、本事業の契約金額に占める再委託契約金額の割合は、原則 2
分の 1 未満とすること。
受注者は、知的財産権、情報セキュリティ（機密保持及び遵守事項）、ガバナンス等に関して本調達仕様書が定める受注者の債務を、再委託先事業者も負うよう必要な処置を実施すること。
また、再委託先事業者の対応について最終的な責任を受注者が負うこと。
承認手続
受注業務の一部を再委託する場合は、あらかじめ再委託の相手方の商号又は名称及び住所並びに再委託を行う業務の範囲、再委託の必要性及び契約金額について記載した
「再委託に係る承認申請書」を提出し、承認を受けること。なお、再委託の相手方は本調達仕様書「８．（２）入札制限」の対象となる事業者でないこと。
再委託先が「６（３）情報セキュリティ管理」の要件を満たしていることを証明する書面※及び受注者と再委託先との委託契約書の写し及び委託要領等の写しを、「再委託に関する承認申請書」に添付して提出すること。
※情報セキュリティに関する管理体制と管理基準、社内規程が整備されている事実を証明する書面。（例：管理体制図、社内規程、ISO 認証、外部監査実績、等）
受注者は、機密保持、知的財産権等に関して本仕様書が定める受注者の責務を再委託先業者も負うよう、必要な処置を実施し、PMDA に報告し、承認を受けること。
受注者は再委託先の資本関係・役員等の情報、委託事業の実施場所、委託事業従事者の所属・専門性（情報セキュリティに係る資格・研修実績等）・実績に関して、PMDA から求めがあった場合には情報提供を行うこと。
当初申請内容に変更が生じた場合は「再委託に係る変更承認申請書」を提出すること。
再委託の相手方から更に第三者に委託が行われる場合は、当該第三者の商号又は名称及び住所並びに委託を行う業務の範囲等を記載した「履行体制図」を提出すること。
再委託先の契約違反
再委託先において、本調達仕様書の遵守事項に定める事項に関する義務違反又は義務を怠った場合には、受注者が一切の責任を負うとともに、PMDA は、当該再委託先への再委託の中止を請求することができる。
１０. その他特記事項
前提条件及び制約条件
表 2‐1 の項番 2 に掲げる PMDA ウェブサイトリニューアルが令和 6 年 3 月にリリース予定であることから、その後、一定期間はヘルプデスクに対する問合せが増加する見込みである。また当該期間は、本業務の引継期間及び業務開始時期とも重複することから、少なくとも令和 6 年 4 月 1 日よりから 3 カ月間程度は、必要に応じヘルプデスクを複数名とする等、円滑な対応が可能となる体制を講じること。
2 また月末及び月初や年度末及び年度当初については掲載件数が多く、掲載作業を行う担
当者の変更により不慣れな職員からの問合せも増加することから、上記 1 に準じて弾力的な対応が可能となるようにすること。
3 本件受注後に調達仕様書（別紙を含む）の内容の一部について変更を行おうとする場合、その変更の内容、理由等を明記した書面をもって PMDA に申し入れを行うこと。
環境への配慮
調達に係る納品物については、国等による環境物品等の調達の推進等に関する法律（グリーン購入法）第６条に基づく環境物品等の調達の推進に関する基本方針に定める判断の基準を満たすこと。
導入する機器については、性能や機能の低下を招かない範囲で、消費電力節減、発熱対策、騒音対策等の環境配慮を行うこと。
リモートアクセス環境構築要件
本調達に係る業務の遂行にあたりリモートアクセス環境を構築してデータセンターのサーバ機器類等に接続し、メンテナンス等を実施する場合には、「別紙 7 リモート接続要件」を満たすための環境及び手順書等を準備し、利用開始前に PMDA の許可を得ること。なお、
「別紙 7 リモート接続要件」を満たしていなくても代替策等により同等以上の情報セキュリティを確保していることを PMDA が確認できた場合は、利用を許可するものとする。
PMDA が遵守状況を確認するための現地調査を行う場合は対応すること。
その他
PMDA 全体管理組織(PMO)が担当課室に対して指導、助言等を行った場合には、受注者もその方針に従うこと。
受注者は、デジタル・ガバメント推進に係る政府の各種施策・方針等(今後出されるものを含む)に従うこと。
１１. 附属文書
調達仕様書 別紙
別紙１ SLA（Service Level Agreement）項目別紙２ 作業スケジュール
別紙３ 業務要件
別紙４ システム運用管理基準
別紙５ 情報セキュリティ対策の運用要件別紙６ 運用監視・保守方針と役割分担別紙７ リモート接続要件
参考資料
なし
応札希望者が閲覧できる資料一覧表
閲覧資料１ 独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー閲覧資料２ PMDA 情報セキュリティインシデント対処手順書
閲覧資料３ セキュリティ管理要件書(ひな型)
閲覧資料４ システム設計書(PMDA ウェブサイト／情報提供システム)閲覧資料５ 運用・保守手順書
閲覧資料６ 前年度運用支援業務納品資料
閲覧要領
応札希望者が資料の閲覧を希望する場合は、公告期間中に本調達仕様書「１．（７）担当課室・連絡先」に事前に連絡し了承を得た上で、「秘密保持等に関する誓約書」（PDF）を提出した場合に閲覧を許可する。なお、「秘密保持等に関する誓約書」（PDF）の提出は閲覧当日でよい。閲覧資料は CD/DVD にて提供する。貸し出した CD/DVD は開札日までに返却すること。
・閲覧申込期間 公告日から企画書提出期限日の 7 日前まで
技術提案書等の審査要領
技術提案書等の審査要領については、「『PMDA ウェブサイトの運用支援及び保守業務』参加要項」を参照すること。
契約締結後に開示する資料
契約締結後に受注者が閲覧を希望する場合に開示する資料は以下のとおり。
∙ 独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー
別紙１ 「ＳＬＡ（Service Level Agreement）項目」
指標の種類 | 指標名 | 計算式 | 単位 | 目標値 | 計測方法 | 計測周期 |
問い合わせへの一次回答 | 一次回答 の応答時 間 | 応答時刻－問い合わせ受付時刻＜60 分の件数／問い合わせ件数 | ％ | 100% | 問い合わせ一覧表に受付と応答日時の記録 | 毎月 |
セキュリティ対策 | セキュリティ 事 故 発 生件数 | セキュリティ事故発生件数 | 件 | 0 件 | セキュリティ対策ソフトウェアおよび人手により検知されたセキュリティ事故(防御されたものは除 く)の発生件数の集計 | 毎月 |
運用業務サービス | サ ー ビ ス提供時間 | 9:00～18:00 のサービスを提供できなかった日数／営業日数×100 | ％ | 0% | 勤務実績の提出 | 毎月 |
報告書類 の提出期 限 | 期限までに提出した報告書類の件数／報告書類の 件数×100 | ％ | 100% | 提出期日と報告日の比較 | 都度 | |
ヘルプデスク業務 | サ ー ビ ス提供時間 | 9:00～18:00 のサービスを提供できなかった日数／営 業日数×100 | ％ | 0% | 勤務実績の提出 | 毎月 |
HP 公開作業の期日 | HP 公開予定日に公開した HP の件数／公開した HP の件数×100 | ％ | 100% | HP 公開予定日と HP 公開日の比較 | 都度 | |
障害発生 | 自責障害 の発生 | オペレーション作業・保守 作業領域にて発生した自責障害の件数 | 件数 | 0 件 | インシデント一覧の提出 | 毎月 |
アプリケーション領域・自責障害の再発防止策実施件数／アプリケーション領域・ 自責障害件数 | ％ | 100% | インシデント一覧の提出 | 毎月 | ||
障害対応 | 初動対応 の開始 | 異常の発見から 15 分以内に初動対応を行った障害 件数／障害件数×100 | ％ | 100% | 障害発見日時と初動対応開始日時の障害報告 書への記録 | 毎月 |
障害発生 の連絡 | 異常の発見から 1 時間以 内に PMDA に連絡した障害件数／障害件数×100 | ％ | 100% | 障害発見日時と障害発 生連絡日時の障害報告書への記録 | 毎月 | |
障害報告 書の提出 期限 | 期限までに提出した障害 報告書の件数／障害報告書の件数×100 | ％ | 100% | 提出期日と報告日の比較 | 都度 | |
シ ス テ ム稼働 | シ ス テ ム稼働率 | (計画サービス時間－計画外サービス停止時間)／計画サービス時間×100 ※1 分未満のサービス停止 時間は切り捨て) | ％ | 99.9% | サービス停止開始・終了日時の記録 | 毎月 |
No | 情報セキュリティ対策 | 実施 区分 | 4⽉ | 5⽉ | 6⽉ | 7⽉ | 8⽉ | 9⽉ | 10⽉ | 11⽉ | 12⽉ | 1⽉ | 2⽉ | 3⽉ | 実施内容 | |
マイルストン | ||||||||||||||||
1-1 | キックオフ（初年度のみ） | 実施 ◎ | ▲ 報告 | 実施計画書に基づくキックオフを実施 | ||||||||||||
1-2 | 前業者からの引継ぎ（初年度のみ） | 実施 ◎ | 実施 | 運⽤・保守準備作業に関する準備計画書を作成し、PMDAの承認を受けた後、前事 業者からの引継ぎを⾏う。 | ||||||||||||
1-3 | ⽉次定例 | 実施 ◎ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ||
1-4 | 次年度（新業者）への引継ぎ （最終年度の み） | 実施 ◎ | 準備 | 実施 | ||||||||||||
運⽤ | ||||||||||||||||
2-1 | インシデント⼀覧報告（システム障害、情報セキュ リティインシデントを含む） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運⽤標準」⇒インシデント管理：インシデント⼀覧による⽉次報告を 翌⽉第3⾦曜の2営業⽇前までに提出 | |
2-2 | システム変更作業報告 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運⽤標準」⇒変更管理：変更作業⼀覧による⽉次報告を翌⽉第3⾦曜の 2営業⽇前までに提出（DA-1-1）（SC-1-1） | |
2-3 | 特権ID使⽤状況報告 （台帳を含む） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運⽤標準」⇒特権ID管理台帳・特権ID使⽤管理簿による⽉次報告を翌 ⽉第3⾦曜の2営業⽇前までに提出（AC-2-3） | |
2-4 | データ保全（バックアップ）状況の点検 （回復の机上訓練は５⽉） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運⽤標準」⇒バックアップと回復：遵守状況の⽉次報告、机上訓練 （DA-2-1） | |
2-5 | 情報セキュリティ︓遵守状況の報告 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運⽤標準」⇒情報セキュリティ：遵守状況の報告 | |
2-6 | 脆弱性対策の実施状況の点検 | 報告 ○ | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ⇒情報セキュリティ管理： 脆弱性対策管理簿・脆弱性管理対象ソフトウェア⼀覧による⽉次報告を翌⽉第3⾦曜の2営業⽇前までに提出（AT-3-2） | |
権限管理 | ||||||||||||||||
3-1 | 各業務データアクセス権限再検証 | ⽀援 △ | 準備 | 実施 | ▲ 報告 | 不要なアクセス権限の洗い出しと削除。 | ||||||||||
3-2 | ユーザーID棚卸し （各業務システム） | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 不要IDの洗い出しと削除・無効化。不要なID、権限があれば削除する。（AC-2- 1）（AC-2-2） （PR-1-2） | ||||||||||
3-3 | 特権ID検証（棚卸し） | 実施 ◎ | 準備 | 実施 | ▲報告 | 【システム運⽤標準】”システム運⽤管理(要件書）”に基づく運⽤ ⇒特権ID管理台帳と特権ID使⽤管理簿の相関チェック（AC-2-1）（AC-2-2） | ||||||||||
3-4 | パソコン等搭載ソフトウェアの定期的な調査、不要 ソフトウェアの削除 | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 使⽤するソフトウェア・バージョン、ソフトウェアの利⽤可否基準を整理し、棚 卸を実施する | ||||||||||
点検 | ||||||||||||||||
4-1 | 情報資産棚卸し・リスク評価 | ⽀援 △ | 準備 | 実施 | ▲ 報告 | ⇒ 厚労省のガイドラインに従って実施：「情報資産台帳」「情報資産ライフサ イクル確認様式」「リスク評価チェックシート様式」の作成・更新 | ||||||||||
4-2 | パソコン等情報資産棚卸し | ⽀援 △ | 準備 | 実施 | ▲ 報告 | システム資産簿と現物との照合(照合結果に基づく「台帳｣の作成) | ||||||||||
4-3 | システム台帳の最新化 | ⽀援 △ | 準備 | 実施 | ▲ 報告 | ⇒システム資産簿を更新する。 | ||||||||||
4-4 | ログ取得状況の点検 | 実施 ○ | 準備 | 実施 | ▲報告 | ログが所定の要件通り、取得・蓄積されていることを確認する。（AU-1-1） 取得・蓄積されたログが不正な改ざんや削除が⾏われていなことを確認すること。（AU-1-2） | ||||||||||
4-5 | セキュリティヘルスチェック（不正プログラム）及び不正な設定変更の有無確認） | 実施 ○ | 準備 | 実施 | ▲報告 | 本システムのFW、運⽤⽀援業者が本システムにリモート接続するために設置した VPN装置やFWについて、セキュリティヘルスチェック（構成管理資料の原本と実際の設定状況を⽬視にて突合せチェックすることにより各種セキュリティ設定の不正変更の有無をチェックする）と合わせて実施し報告すること。（AT-1-1） （AT-1-3）（PR-1-1） | ||||||||||
4-6 | 情報セキュリティ︓遵守状況の⾃⼰点検 | 実施 ○ | 準備 | 実施 | ▲ 報告 | 「システム運⽤標準」⇒情報セキュリティ：遵守状況の報告 | ||||||||||
4-7 | 情報システム開発・運⽤資料確認 | 実施 ○ | 準備 | 実施 | ▲ 報告 | 情報システムの開発・運⽤・保守に必要な各種ドキュメント（各種設計書、⼿順 書等）と実装（システムの構成・設定、プログラム等）が⼀致していることを確 | ||||||||||
教育・訓練 | ||||||||||||||||
5-1 | システム運⽤担当者 | 実施 ○ | 受講 | 年次及び新任者参画時に実施する | ||||||||||||
No | 情報セキュリティ対策 | 実施 区分 | 4⽉ | 5⽉ | 6⽉ | 7⽉ | 8⽉ | 9⽉ | 10⽉ | 11⽉ | 12⽉ | 1⽉ | 2⽉ | 3⽉ | 実施内容 | |
内部監 | ||||||||||||||||
6-1 | 委託先における情報セキュリティ対策の履⾏状況 の確認 | 受査 ◎ | 準備 | 受査 | 初年度及びPMDAが必要と判断した際に実施する | |||||||||||
PMDA監 受 への⽀援 | ||||||||||||||||
7-1 | 厚労省・NISC等情報セキュリティ監査 | ⽀援 △ | 監査⽀援 | 監査対象システム及びスケジュールは各年度で決定する | ||||||||||||
7-2 | 調達による第3者情報セキュリティ監査 | ⽀援 △ | 監査⽀援 | PMDAが監査業者を調達して⾏う⾃⼰点検の対応 監査対象システム及びスケジュールは各年度で決定する | ||||||||||||
7-3 | 監査指摘対応フォロー | ⽀援 △ | ▲ 報告 | ･････････・・・・・・・・運⽤フォロー････････････・・・・ | ▲ 報告 | ・・・運⽤フォロー・・・ | 過去及び契約期間中の7-1、7-2の監査指摘事項に対する改❹活動及び改❹状況の 報告 | |||||||||
別紙５ 情報セキュリティ対策の運⽤要件 | ||||||||||||||||
通信経路の分離 （ＡＴ－１－１） | ||||||||||||||||
通信のなりすまし防⽌ （ＡＴ－１－３） | ||||||||||||||||
運⽤時の脆弱性対策 （ＡＴ－３－２） | ||||||||||||||||
ログの蓄積・管理 （ＡＵ－１－１） | ||||||||||||||||
ログの保護 （ＡＵ－１－２） | ||||||||||||||||
時刻の正確性確保 （ＡＵ－１－３） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 時刻同期に問題ないことを⽉次で確認する。もしくは、差異がある場合に検知す る仕組みを構築する。 | ||
ライフサイクル管理 （ＡＣ－２－１） | ||||||||||||||||
アクセス権管理 （ＡＣ－２－２） | ||||||||||||||||
管理者権限の保護 （ＡＣ－２－３） | ||||||||||||||||
通信経路上の盗聴防⽌ （ＰＲ－１－１） | ||||||||||||||||
保存情報の機密性確保 （ＰＲ－１－２） | ||||||||||||||||
業務データへのアクセス管理 | ||||||||||||||||
受注者によるアクセス | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | |||
情報の物理的保護 （ＰＨ－１－１） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | |||
侵⼊の物理的対策 （ＰＨ－１－２） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | |||
システムの構成管理 （ＤＡ－１－１） | ||||||||||||||||
システムの可⽤性確保 （ＤＡ－２－１） 情報のバックアップの取得 | ||||||||||||||||
委託先において不正プログラム等が組み込まれるこ とへの対策（ＳＣ－１－１） | ||||||||||||||||
業務の時期・時間の定義
実施時期・期間 | 実施・提供時間 | 補足 | |
通年 | 2024 年 4 月 1 日 ～2029 年 3 月 31 日 ※業務を行う日（平日） とは、本仕様書で別途定められている業務の他は、行政機関の休日（「行政機関の休日に関する法律」（昭和 63 年法律第 91 号）第 1 条 第 1 項に掲げる日をいう。） を除く日とする。 | 9:00～18:00 ※12:00～13:00 は休憩時間とする。 | ただし、本仕様書で別途定めるものの他、緊急作業及び本業務を実施するために必要な作業がある場合は、この限りではない。 |
運用業務の範囲定義
No | 名称 | 内容 | 受注者の役割 |
１ | 【システム監視 - 稼動監視】 | 本システムのハードウェア、ソフトウェア、ネットワークに対して、以下の稼動状況（パフォーマンス）を監視し、監視実績を記録・管理すること。 ※本システムのハードウェア、ソフトウェア、ネットワークに対し、死活監視、障害監視、エラー出力監視を行い、異常を発見した場合は障害対応手順に沿って対応すること。監視に当たっては事前に PMDA と協議の上、必要に応じてツール等を用いた常時監視の仕組みを構築すること。 ※統合基盤を利用している部分のネットワーク及び セキュリティ装置での監視は、統合基盤担当側で実施する。 ※各機器のランプチェック（日次）については、現行システムが稼働する 2028 年 7 月までデータセンタにより実施される。 (1) ソフトウェア及び開発アプリケーションの稼動状況 (2) ハードウェアの各種状況（性能、容量、故障、縮退） (3) バックアップなどの定期起動ジョブの実行結果 (4) セキュリティアラートの発生状況 | 別紙 6 運用監視・保守方針と役割分担を参照 |
No | 名称 | 内容 | 受注者の役割 |
２ | 【システム監視 - ログ監視】 | 本システムを構成する機器及びソフトウェア上で入手可能なログの収集・監視を行うこと。 収集したログについては、必要に応じて抽出、分析を行い、適宜バックアップを取得の上、必要に応じて保管する こと。 | 実施者 |
３ | 【システム監視 - 情報セキュリティ監視】 | 本システムへの不正侵入、不正改ざん検知、ウイルスチェック、なりすましサイトのチェックなど、本システムに関するセキュリティ監視を行うこと。なお、ウィルス定義ファイルは常に最新の定義ファイルを使用すること。 本システムの機器およびソフトウェア等に対し、セキュリティパッチやアップデートに関する情報を入手し適用の可否を検討し、検討結果を PMDA に報告の後、適用の必要がある場合には、更新作業を行うこと。 セキュリティ対策上の設定変更の必要が生じた場合に、 PMDA の了解を得て設定の変更を行うこと。 | 実施者 |
４ | 【システム設定・操作 - ジョブ管理】 | 操作ミスの防止や無人化を目的とした操作の自動化を行う場合、必要となるジョブスケジュールの設定等を行うこと。また、ジョブの登録／変更／削除が必要となる場合には PMDA に提案し、PMDA の了解の下、当該作業を実施 すること。 | 実施者 |
５ | 【システム設定・操作 - 容量・能力管理】 | 本システムの性能を計測する指標（CPU 負荷、メモリ使用量、ディスク使用量など）を PMDA と協議の上で確定し、指標データを常時収集し、閾値を超えるなどの異常を発見した場合は障害対応について PMDA に提案し、PMDA の了解の下、当該作業を実施すること。 | 実施者 |
６ | 【システム設定・操作 - CMS 管 理】 | CMS 用ワークフロー、テンプレート等の新規作成や修正、外部 ASP が提供する各種サービスの設定・操作を実施 すること。 | 実施者 |
７ | 【ヘルプデスク業務 - 問い合わせ対応】 | PMDA 執務室内において、ヘルプデスク業務の時間は、 PMDA の業務の時期・時間の定義と同じとする。一般的な HTML ページ作成に関する問い合わせ対応、CMS の操作方法やユーザ管理に関する問い合わせ対応等を実施すること。また、作成されたプロジェクトの進捗を管理し、公開前に技術的な確認およびウェブアクセシビリティ対応（JIS X 8341-3:2016（改定があった場合は当該時点で最新のもの。以下、同じ。）適合レベル AA への準拠）状 況を確認し、ウェブアクセシビリティ対応（JIS X 8341- | 実施者 |
No | 名称 | 内容 | 受注者の役割 |
3:2016 適合レベル AA への準拠）に必要な技術支援 （PMDA から提供するマニュアルに沿った作業）をすること。なお、問合せは電子メールの他、電話、もしくは直接口頭によるものとするが、それらの内容は記録し日報として 1 日分をまとめて報告すること。 | |||
８ | 【運用管理】 | 操作ログ管理、CMS やASP の履歴情報管理等を含む。システム運用上の業務プロセスを定めた「業務フロー及び手順書」について、次のシステム運用業務について作成･更新するものとする。 (ｱ)問合せ管理プロセス (ｲ)インシデント管理プロセス (ｳ)変更管理プロセス (ｴ)リリース管理プロセス (ｵ)構成管理プロセス (ｶ)問題管理プロセス (ｷ)各定期点検プロセス (ｸ)リスク管理プロセス (ｹ)課題管理プロセス (ｺ)情報セキュリティ管理プロセス (ｻ)ヘルプデスクの 支援 | 実施者 |
９ | 【ユーザ管理】 | (ア) PMDA から提出されるユーザ登録・削除依頼に基づき、OS 上、及びアプリケーション上のユーザを登録・削除すること。作業内容はすべて作業ログとして蓄積し、 PMDA に報告すること。（随時／適宜） (イ) システムを構成する機器やアプリケーション等のユーザ管理 システムを構成する機器やアプリケーション、リモートアクセス機器及びリモートアクセスユーザを管理の対象とすること。 (ウ) アクセス権限管理 管理対象となる各種ユーザのアクセス権限の管理を行うこと。 | 実施者 |
１０ | 【サービスレベル管理】 | 別紙１ 「ＳＬＡ（Service Level Agreement）項目」参照 運用業務については、受注者とＰＭＤＡとの間で協議の上、ＳＬＡ（Service Level Agreement）を締結する。サービスレベル評価項目と要求水準については、別紙１「ＳＬＡ項目」を参照すること。ただし、サービスレベル評価項目と要求水準については、協議の上、見直すこととする。 | 実施者 |
１１ | 【バックアップ/リカバリ】 | 重大な障害が発生し、復旧が必要になる場合に備え、運用手順としてバックアップ並びにリカバリ計画及び手順を 確立し、それに基づき実行すること。 | 実施者 |
バックアップデータのリカバリを行う必要があると考えられ | 実施者 |
No | 名称 | 内容 | 受注者の役割 |
る場合には、PMDA の判断に従いリカバリ手順に沿って 作業すること。 | |||
１２ | 【各種データ管理】 | 定期的に取得が必要な運用データ、各種帳票・レポート 類、ASP の設定データ等のデータ管理。 | |
(1) データ保守 業務アプリケーションに起因する障害復旧に伴い、過去のデータを含め、不整合データの存在が明らかになった場合、不整合データの修正箇所の特定、報告を行い、 PMDA と協議の上、修正、削除の実施、確認、記録業務への対応を行うこと。また関連文書検索用紐付けデータのデータベースへの一括登録、更には登録された紐付けデータに不整合等が判明した場合には、その修復も行うこと。 | 実施者 | ||
(2) データ集計 データベースからの条件指定によるデータ検索、抽出、集計を行うこと。（月 4 回程度） その他、Google Analytics からアクセスデータを提供する こと（月 2 回程度） | 実施者 | ||
１３ | 【データベース運用支援】 | データベースの性能劣化を防止するため、テーブル再構成やインデックス再構成等の性能劣化防止作業を計画 し、PMDA の承認を得た上で定期的に実施すること。 | 実施者 |
14 | 【情報セキュリティ対策】 | 「別紙２ 作業スケジュール」および「別紙５ 情報セキュリティ対策の運用要件」に従って運用すること。過去及び契約期間中の監査指摘について、手順を整備して実施すること。手順の整備および運用の開始時期は、PMDA と協 議のうえ決定するものとする。 | 実施者 |
15 | 【AWS DNS サービス】 | PMDA ウェブサイトの名前解決及びシステムメンテナンスあるいは予期しないシステム障害時にバックアップサイトにリダイレクトするため、調達仕様書図１－１全体構成図に示す AWS の以下のサービスを提供すること。 （１） Route53（DNS サービス） （２） Cloudwatch（監視サービス） （３） S3（Cloudwatch ログ保存用ストレージ） 過去１年間は、約４００万ページビュー前後で推移している。AWS DNS サービスを利用した運用を開始していないが、１０，０００万クエリ／月と推定しているが、将来のクエリ数を約束するものではない。 | 実施者 |
No | 名称 | 内容 | 受注者の役割 |
16 | 【新システムへの移行対応】 | 2028 年 7 月末に PMDA の次期統合基盤上に構築する新システムに移行を予定している。 以下を含む計画を作成のうえ、移行日までに引継ぎを完了すること。 ・構築業者から新システムのシステム構成、運用手順などの引継ぎ ・新システム環境を用いた運用に関する手順の確認及び動作確認 ・運用手順書の改訂 ・新システムの運用に関する不具合の指摘 ・新システムへの自社からのリモート接続環境の設計と構築、動作確認（自社からリモート接続する場合） | 実施者 |
１7 | 【その他】 | 運用・保守業務で使用しているドキュメント（システム資産簿、実施計画書、運用マニュアル等）を管理すること。また修正･改定の必要がある場合には、PMDA のレビューを 受けて修正･改定を実施すること。 | 実施者 |
保守業務の範囲定義
No | 名称 | 内容 | 受注者の役割 |
１ | 【システム設定・操作 - 設定変更】 | ハードウェア、OS、ミドルウェア等を正常に稼動させるために設定の変更が必要となる場合には PMDA に提案し、 PMDA の了解の下、当該作業を実施すること。 統合基盤の設定変更を行う場合は、変更内容を記載し た資料を作成して PMDA に提出すること。PMDA 内で統合基盤担当者に申請して変更を実施する。 | 実施者 |
２ | 【ソフトウェア保守 - ソフトウェア更新】 | 運用対象システムのソフトウェア資源について、以下の作業を実施する。なお、(3)～(4)に係る、公表されている脆弱性情報を漏れなく把握すること。ソフトウェアの更新作業については、PMDA と協議の上、検証テストを実施の上で 本番環境に反映させること。 | |
(1) パッチの提供に関する情報及び脆弱性情報の収集 「脆弱性管理対象ソフトウェア一覧」に定める全てのソフトウェアに関して月次で収集した脆弱性、及び、PMDA や IPA、NISC 等から情報提供が脆弱性について、脆弱性の内容、想定される脅威、セキュリティパッチ、本システムへの影響・リスクを「脆弱性対策管理簿」記載して報告すること。 ソフトウェアごとの情報収集の方法を「脆弱性管理対象ソ フトウェア一覧」に記載すること。 | 実施者 | ||
(2) 脆弱性対応計画の作成 脆弱性情報又はセキュリティパッチの提供に関する情報を入手した場合、当該 脆弱性の本システムへの影響・リスク、対策の要否、代替策の有無を「脆弱性対策管理簿」に記載し、対応計画を PMDA に提案すること。対応計画は、以下の内容を含むこと。 ・対策の必要性 ・対策方法又は対策方法が存在しない場合の一時的な回避方法 ・対策方法又は回避方法が情報システムに与える影響 ・直ちにはパッチ適用できないと判断される場合のリスクと当面の回避策（案） ・対策の実施予定 ・テストの内容 ・本番環境への適用手順とスケジュール | 実施者 | ||
(3) OS・ミドルウェア・ファームウェアのパッチ適用 | 実施者 |
No | 名称 | 内容 | 受注者の役割 |
ソフトウェアベンダ及びハードウェアベンダから提供されるパッチを適用する計画を作成し、PMDA の承認を得た上で適用を実施すること。 OS のパッチ適用時の適用手順及びリグレッション・テストのテストケースを整備した。OS 以外の定型的なパッチ適用について適用手順及びリグレッション・テストを整備すること。 リグレッション・テストを自動化すること。自動化に要する工数、自動化による工数や所要期間の削減効果を勘案し、自動化の時期及び範囲を PMDA と協議のうえ決定す るものとする。 | |||
(4) ウィルスパターンファイルの更新 本システムに導入されているアンチウィルスソフトウェアのうち、パターンファイルの自動更新が行われていないものについては、1 日ごとにウィルスパターンファイル資源を適用すること。 | 実施者 | ||
３ | 【ハードウェア保守】 | ハードウェア及びファームウェアの不具合、ファームウェア更新等のハードウェア保守に関してサーバ等保守業者と協力し、分担の役割に応じて対応すること。作業の分担において抜け、漏れが出ないよう充分留意し、別紙 6 において本調達事業者が担うと定められている範囲について は、本件受注業者の責任において実施すること。 | 別紙 6 運用監視・保守方針と役割分担を参照 |
４ | 【不具合修正、軽微な改修】 | 運用を継続するにあたって、業務の効率化、利便性の向上に資するために、PMDA の指示の下、画面・帳票レイアウトの変更、検索条件及び検索処理の修正、小規模ツールの作成といった軽微なプログラム改修を実施すること。必要な設計書の改訂・作成及びプログラム入替え作業も含むものとする。（年間 7 人月程度の作業とする） また、本項に関連する業務として、添付文書検索機能に、審査報告書の概要を表示するためのデータ（過去データ 等）の入力対応を行うこと。 | 実施者 |
５ | 【改修業務対応】 | 改修案件や基盤更改が計画された場合、技術的な問い合わせに対応すること。 改修案件や基盤更改が実施された場合、当該業者との連携、調整を密にし、当該受注業者による改修作業が円滑に進むよう支援をすること。その際にはソースプログラ ムのデグレード等が発生しないよう、構成管理に留意する | 実施者 |
No | 名称 | 内容 | 受注者の役割 |
こと。改修業者へ設計書やソースプログラムを提供後に修正を行う場合は、原則として受注者が設計書やソースプログラムのマージを行うこととするが、状況に応じて PMDA と協議のうえ調整するものとする。 本システムの開発方法に適合させること。 | |||
６ | 【ウェブページ作成支援】 | 静的コンテンツの作成・更新、及び動的コンテンツのスクリプト修正（CGI、PHP）、画像や動画コンテンツの作成・更 新、整備等を含む。 | 実施者 |
７ | 統合基盤の移行対応 | PMDA ウェブサイトは、統合基盤（PMDA 共用のインフラ）のネットワーク、セキュリティ装置、管理サーバを利用しており、同じデータセンタで稼働している。統合基盤は 2024年に新データセンタに移転を予定している。本システム側の変更は予定していないが、影響確認、変更が必要になった場合のネットワーク等の設定変更、移転及び切り戻し 時のスタンバイ及び動作確認等の対応をすること。 | 実施者 |
８ | 【新システムへの移行対応】 | 2028 年 7 月末に PMDA の次期統合基盤上に構築する新システムに移行を予定している。 以下を含む計画を作成のうえ、移行日までに引継ぎを完了すること。 ・構築業者から新システムのシステム構成、保守手順などの引継ぎ ・新システム環境を用いた保守に関する手順の確認及び動作確認 ・保守手順書の改訂 ・新システムの保守に関する不具合の指摘 | 実施者 |
システム運用管理基準
2020 年 12 月
独立行政法人 医薬品医療機器総合機構
【資料の見方】
⯎ システム運用業務を「１３の領域」に分けている。
それぞれの業務プロセスは、標準化対象外。各情報システムの体制･特性・リスク等により、最適なプロセスを設計し、運用する。
⯎ システム運用の標準化（要件）は、システム運用者（委託先）から当機構への報告書式（情報提供も含む）を統一し、各システムの運用状況を定期的に収集して、全体状況の把握と情報共有等を可能とすることにある。
• 当資料においては「標準化」のタイトル等にて報告を記載している。
• 標準化（要件）は、「報告書式を統一する領域」と「報告内容を統一（書式任意）」の 2 タイプに分かれる。
• 「報告書式を統一する領域」は、インシデント管理、変更管理、構成管理、脆弱性管理、アクセス権管理の領域となっている。
改訂履歴
改定日 | 改定理由 |
2018 年 6 月 8 日 | 初版発行 |
2018 年 7 月 20 日 | 情報セキュリティ遵守状況報告内容を追記 |
2018 年 9 月 10 日 | 脆弱性管理を追記 |
2019 年 8 月 15 日 | 2. システム運用管理業務の概要に「【参考】システム運用管理業務の全体像」を追加 4.5 構成管理 最新情報を PMDA に報告する標準書式を定義 4.9 脆弱性管理 管理状況を報告する PMDA 標準書式を定義 |
2019 年 12 月 20 日 | |
2020 年 12 月 10 日 | 4.6 運行管理 ログ取得・保存、イベント検知対応の報告を標準化 4.9 脆弱性管理 管理要件を追加 4.10 アクセス管理 アカウント管理要件の追加、アカウント台帳作成と 棚卸を標準化項目に追記 |
１．はじめに
独立行政法人医薬品医療機器総合 PMDA（Pharmaceuticals and Medical Devices Agency）（以下、「PMDA」という。）が調達し、又は、開発した情報システムの運用管理を確実かつ円滑に行い、利用者が要求するサービス品質を、安定的、継続的かつ効率的に提供するために、情報システムの運用管理に関する業務内容を明確化・標準化するために定めるものである。
PMDA が調達し、又は開発・構築した全ての情報システムの運用保守を担当する組織（情報システムの運用保守業務を外部委託する場合における委託先事業者を含む）に適用する。
システム運用管理業務は、既に開発・構築しサービスイン（本番稼動）している情報システムの運用・保守業務の実行と管理に係る業務を対象とする。
情報システムの運用・保守を外部委託する場合は、本資料をもとに委託先事業者において、当該情報システムの種類・規模・用途を踏まえた適切な運用手順を策定のうえ、運用サービスを提供するものとする。
本基準で使用する用語は情報システムの「ＩＴＩＬ（IT Infrastructure Library）」のガイドラインを踏まえた運用プロセス定義に準拠するものとする。
上位規程 ： 「情報セキュリティポリシー」
関連文書 ： 「情報システム管理利用規程」
２．システム運用管理業務の概要
PMDA においては情報システムの運用保守を外部委託している状況を踏まえ、運用管理に必要なプロセスのあるべき姿から主要なプロセスを運用管理業務として選定し、以下の１３の管理業務について、明確化・標準化を行う。
管理業務 | 概要 |
問合せ管理 （サービスデスク） | システムの利用者からの問合せ窓口として、利用者からの各種問合せについて一括受付することにより 問合せに対する早期回答、障害対応への早期エスカレーションを図るとともに、ユーザからの 要望を適切に吸い上げる。 |
インシデント管理 | 問い合わせに含まれるインシデント、あるいはハードウェア、アプリケーションなどからのインシデント発生の警告／報告を受け、サービスの中断を最小限に抑えながら、可能な限り迅速に通常サービ スを回復するよう努める。 |
問題管理 （再発防止策） | 障害（インシデント）の根本的な原因となっている不具合が、ビジネスに与える悪影響を最小化するため、問題を分析し抜本的解決策 や回避策を立案する。 |
変更管理 （課題管理） | 情報システムに対する変更の許可と実装を確実に行うための管理をいう。本番環境に対する変更要求を適正な基準で評価・承認を行い、標準化された変更方法、手順が実施されることを確実にする。また、変更による影響とリスクを最小化し、障害を未然に防止することで、サービス品質の維持・向上に努める。 なお、本基準においては、変更要求の必要性、効果、リスクなど変更の妥当性の評価と承認（変更管理）に加えて、本番環境に対してどのような準備・実行・見直しを行って変更を加えるかの決定（リリ ース管理）を含めるものとする。 |
構成管理 | 情報システムを構成する物理資源・論理資源とその環境を常に把握するための管理をいう。運用・保守業務やそのサービスに含まれる全てのＩＴ資産や構成を明確にし、正確な構成情報と関連文書を提供することで、他のサービスマネジメント・プロセス（インシデント管理、問題管理、変更管理、情報セキュリティ管理等）に信頼できる 管理基盤を提供する。 |
運行管理 （稼動管理） | 情報システム全体を予定通り安定的に稼動させるために、システムのスケジュール、稼働監視、オペレーションなど一連の運行を管理する。 ・スケジュール管理 ・オペレーション管理（定型業務、非定型業務） ・稼動監視 ・障害対応 ・ジョブ運用 ・媒体管理 ・本番システム導入・移行時の支援 等 |
管理業務 | 概要 |
バックアップと回復管理 | 必要なバックアップを定期的に取得、管理し、障害が発生した場合は、速やかな回復ができるよう、回復要件に基づき必要な回復手 順、仕組みを計画、作成、維持する。 |
情報セキュリティ管理 | 情報セキュリティポリシーに規定されたセキュリティ対策を実施する ために必要な管理要件に基づき、情報セキュリティ管理基準・手順等を作成し、情報セキュリティ管理を行う。 |
脆弱性管理 | 情報システムのソフトウェアおよびアプリケーションにおける脆弱性を特定、評価、解消するための管理業務を行う。システム構成を把握した上で、構成要素ごとに関連する脆弱性情報をいち早く「収集」し、影響範囲の特定とリスクの分析によって適用の緊急性と対応要 否を「判断」し、判断結果をもとに迅速に「対応」を行う。 |
アクセス権管理 | アクセス方針を定め、アクセス制御の仕組みを構築・維持し、システム・アカウントの申請受付け・登録・変更・削除など管理業務を行う。 ・アプリケーション・システムのアカウント ・サーバのＯＳアカウント ・ＤＢＭＳアカウント ・運用支援システムのアカウント ・各種特権アカウント 等 |
キャパシティ管理 | サービス提供に必要となるシステム資源の利用状況の測定・監視を実施し、現在の業務要求（既存の提供サービス量）と将来の業務要求（要求される提供サービス量）とを把握した上で、システム資源 がコスト効率よく供給されるように調整・改善策の立案を行う。 |
可用性管理 | ＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させることで、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供する。 可用性管理の活動は、既存のＩＴサービスの可用性を日常的に監視・管理する「リアクティブ」なプロセスと、リスク分析や可用性計画の策定や可用性設計基準などの作成を行う「プロアクティブ」なプロ セスに分けられる。 |
サービスレベル管理 | 「サービスレベル合意書」で定める各種サービスレベル値の達成、維持作業として、管理項目に対する実績データの収集、分析、評価、及び改善策を策定する。 また、運用管理業務における報告デ ータを収集、管理し、月次にユーザへの報告を実施する。 |
３．運用管理業務の基本プロセス
（運用管理業務プロセスのＰＤＣＡマネジメントサイクル）
他のマネジメント・システムと同様に、運用管理業務プロセスも手順書等を策定して終わりではなく、実際に手順書等に準拠した運用を実施し、定期的に又はシステムの変更やメンバーの入れ替わりなどに合わせて都度、管理プロセスを見直し、必要に応じて改善・是正を行う必要がある。
そのために、運用管理業務プロセスに、個別管理基準の「策定（Ｐｌａｎ）」、「実施（Ｄｏ）」、「点検・監査
（Ｃｈｅｃｋ）」、「評価と改善（Ａｃｔ）」の４つの基本プロセスからなるＰＤＣＡマネジメントサイクルを導入し、継続的改善を実施することが重要である。
(1) 個別管理基準の策定（Ｐｌａｎ）
・各管理プロセスの導入時、見直し時に実施
(2) 個別管理業務の実施（Ｄｏ）
・各運用管理基準に従い、定常業務として実施
(3) 個別管理業務の点検・監査（Ｃｈｅｃｋ）
・定期的に実施
(4) 個別運用管理業務の評価と改善（Ａｃｔ）
・定期的に実施
各基本プロセスの概要は、以下のとおりである。
(1) 個別管理基準の策定 （Ｐｌａｎ）
各運用管理業務の実施方針、実施範囲、管理プロセス、業務の管理指標等を含めた管理基準書ならびに管理手順を定める。
(2) 個別管理業務の実施 （Ｄｏ）
各運用管理業務の実作業を行うとともに、業務遂行に必要な関連情報の蓄積、実績情報の収集保管、およびに評価指標の実績測定を行う。
(3) 個別管理業務の点検・監査 （Ｃｈｅｃｋ）
各運用管理業務に対し、個別運用管理基準に遵守した運用がなされているか定期的に点検・監査を行い、その結果を分析･評価する。
(4) 個別運用管理業務の評価と改善 （Ａｃｔ）
各運用管理業務に対する評価指標に対する実績管理を行うと共に、品質向上に向けた改善計画を立案し、改善実施を行う。
４．システム運用管理業務の明確化・標準化
４．１ 問合せ管理
ユーザ及び各業務プロセスオーナからの問合せや依頼に対する受付窓口を一元化することで、各業務の利用ユーザの業務効率性を向上させる。
問合せ対応では、問合せの受付、クローズ、一次回答、管理プロセスの評価・改善の一連のプロセスを実施する。
本番システム環境で稼動している全てのシステムに係る以下の問合せについて対応する。
⮚ アプリケーション仕様、操作、機能、内容に関する問合せ
⮚ ハードウェア／ソフトウェアに関する問合せ
⮚ 要望
⮚ アプリケーション修繕に対する依頼
⮚ その他の依頼作業
(4) 業務の管理指標＆標準化
問合せ対応業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
①問合せ発生件数（日次集計･月次集計を含む）
②問合せ区分別件数
③問合せ一次回答期限遵守率
④問合せ完了率（一定期間経過後(10 営業日経過後)の完了率）
※報告内容は、各システムの状況に応じて変更しても構わない。
【補足】
問合せにより「システム障害」｢セキュリティインシデント｣が発覚した場合は、該当問合せは一次回答に てクローズとし、その後は「インシデント管理」にて対応する。
問合せにより「変更」実施が必要となった場合は、対応予定日を回答することでクローズとし、その後は
「変更管理（課題管理）」にて対応する。
４．２ インシデント管理
インシデント管理は、ユーザからの問合せ・連絡、あるいはオペレータや監視システム等によるインシデントの検知を受け、ＩＴサービスの中断を最小限に抑えながら、可能な限り迅速に正常なサービスを回復することを目的とする。
①インシデントの定義
インシデントとは、ユーザや監視システム等の検知により判明したハードウェアやソフトウェアに関する一般的な障害（システム・ダウン、バグによるアプリケーションの機能停止等）だけでなく、ユーザが日常の操作手順によってＩＴサービスを利用する上で支障がある事象は全てインシデントに包含される。
【注】このインシデントには、情報セキュリティインシデント（不正アクセス・マルウェア検知等）を含む。
また、まだＩＴサービスに影響を与えていない構成アイテムの障害もインシデントとして扱う。
例えば、(i) 二重化されたデータベース・システムの一方がダウンした場合で、まだサービス自体が正常に稼働している場合、(ii) 本番環境のバックアップを検証環境にリストアできない場合、これらをインシデントとして扱う。
②インシデント管理の主な活動
インシデント管理は、インシデントの 4 つのライフサイクル（発見－判別－回復－解決）の内、発見－判別－回復（解決）までをカバーする。 （再発防止については、次節の「問題管理」で扱う。）
インシデント管理のプロセスでは、主に次の活動を実施する。
・インシデントの検知
・インシデントの記録
・インシデントの通知
・インシデントの分類
・インシデントの優先度付け
・インシデントの初期診断
・エスカレーション
・インシデントの調査と診断
・復旧(解決)策の実施
・インシデントのクローズ
本番システム環境で稼動している全てのシステムのインシデントを管理対象とする。
インシデント管理の管理業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 当月インシデント発生件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）
② 優先度又は緊急度毎に分類されたインシデントの解決までに要した時間（平均時間）
③ ステータス（記録済み、対応中、クローズ済み等）毎のインシデントの内訳
④ 長期間（発生から 1 カ月以上）未解決のインシデントの件数と理由および業務影響
⑤ 新規に発生したインシデントの件数とその傾向
⑥ ユーザのトレーニングなど、ＩＴテクノロジーに関連しないで解決されたインシデントの件数
⑦ 解決に要したコスト
⑧ インシデント発生件数の削減率（対前年比）
(5) 標準化
インシデント管理は、PMDA 標準書式を適用する。
①インシデント発生(判明)時
インシデントごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「インシデント報告書（ひな型）」を使用する。また「インシデント一覧記載要領」を参照し、 対応すること。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、必須項目の変 更・削除は認めない。
②定期的(月次)報告時
インシデントごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用 する。
※添付「インシデント一覧」を使用する。
４．３ 問題管理（再発防止策）
サービスの信頼性を維持・向上するためには、システムの利用・運用上発生した問題（障害を引き起こす根本的な原因）を確実に解決し、同一障害・類似障害の再発防止のための是正を実施することを目的とする。
本番サービスに影響を与えた障害を分析し、それらの共通の根本原因を取り除く是正策を実施するまでの一連のプロセスを管理する。 問題管理(再発防止)では、以下を実施する。
・問題の傾向分析と課題点の抽出
・是正策の検討
・是正策の実施
本番システム環境で稼動している全てのシステムの問題を管理対象とする。
(4) 業務の管理指標＆標準化
問題管理(再発防止)業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 再発防止策が策定された問題件数（総件数、障害ランク別・原因別・システム別件数・解決 責任部門別）
② ステータス（記録済み、対応中、クローズ済み等）毎の再発防止策の内訳
③ 再発防止に要したコスト
④ 長期間（策定から 1 カ月以上）未実施の再発防止策件数と理由
⑤ 再発防止の実施率（対前年比）
※報告内容は、各システムの状況に応じて変更しても構わない。
４．４ 変更管理
サービスの信頼性を維持・向上するためには、システムに対する変更について、その妥当性を検証し、変更によるユーザへの影響を最小限にすることが重要である。 変更管理プロセスは、システムに対する変更を一元的に管理することを目的とする。
変更管理では、変更の申請から変更内容の審査、変更の承認または却下、変更の実施、変更実施結果の報告までの一連のプロセスを管理する。
緊急の場合、対応を優先し所定のプロセスを適宜省略することを可能とするが、事後的に対応できるものについては、事後速やかに対応することとする。
システム運用者（委託先）が運用し本番サービスを提供するシステムの全て又はその一部に対して影響を与える全ての変更を管理対象とする。
本番環境 | 構成要素（主な要素） |
ハードウェア | CPU、DASD・DISK、サーバ、ワークステーション、周辺装置 |
システム・ソフトウェア | OS、サブシステム、サーバ及びワークステーション OS |
ミドルウェア | ＤＢＭＳ、ネットワーク OS |
アプリケーション・ソフトウェア | ソース、モジュール、シェル、JCL |
ネットワーク・ハードウェア | スイッチ、ルータ、ブリッジ |
ネットワーク・サービス | 基幹ネットワーク、ＬＡＮ、インターネット 等 |
データ | データベース及びファイル内のデータ（に対する直接修正） |
変更管理業務を評価するための評価指標として以下を定義する。
① 変更実施件数（総件数、領域別・原因別・システム別件数・解決責任部門別）
② 変更の実装が失敗した件数
③ 変更のバックログの件数
④ 予定期間でクローズされなかった変更の件数
⑤ 変更が原因で発生した変更の件数
⑥ 緊急の変更の件数
(5) 標準化
変更管理は、PMDA 標準書式を適用する。
①変更案件発生時
課題管理表に記入し、変更管理のステイタス（未着手（対応予定日記入）～着手(対応中)～完了） を管理する。
※課題管理表の書式は、各情報システムの任意とする。
②変更実施着手時
変更の着手ごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「変更作業申請書（ひな型）」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、PMDA 側の確
認･承認欄の削除は認めない。
※個票は、「単純な定常作業」に関しては使用しなくても良い。
• 「単純な定常作業」は、各システムにて定義する。
• ただし、定期的（月次）報告には、記載する。
※個票は委託先にて保管し、監査等にて提示要求があった場合は、速やかに提示できるよう対 応する
③定期的(月次)報告時
変更実施ごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。
※添付「変更作業一覧」を使用する。また「変更作業一覧記載要領」を参照し、対応すること。
※「単純な定常作業」に関しては、「変更作業一覧」の「変更申請」欄及び「完了確認」欄に関す る内容を記入し、報告する。
４．５ 構成管理
システムの構成要素（構成情報）を正確に把握し、常に最新状態にあることを保証する事で、他の運用管理プロセス（障害管理や変更管理等）に対して必要な構成情報を提供できるようにする。
構成管理では、ＩＴサービス開始時より構成情報を一元管理し、他の運用管理プロセスから最新の構成情報を参照可能にする。
本管理プロセスの開始前に、立案した計画に沿って対象とするＩＴサービスやＩＴコンポーネントの範囲、詳細度のポリシーを策定し、開始時のベースラインを把握する。 次に、構成情報の収集と分類を行った上で構成情報を参照可能な状態に維持する。
本管理プロセスの開始後は、変更管理プロセスと連携し、構成情報が常に最新状態として維持されるようにコントロールを行う。 また、定期的に構成情報の点検を行うことにより、課題や問題点を洗い出し、評価・改善を行う。
構成管理が対象とする構成情報は以下の通りとする。
カテゴリー | 管理対象の種類 |
システム運用管理 | 各種管理プロセス定義書、手順書、依頼書、ＣＩ一覧 |
システム運用 | ・ハードウェア、ネットワーク・ハードウェアの一覧、構成図 ・ネットワーク・サービス (WAN、インターネット等)の一覧、構成図 ・システム運用各種手順書（障害対応手順書等） |
システム保守 | ・システム・ソフトウェア、ミドルウェアの一覧、構成図 ・アプリケーション・ソフトウェア(ライブラリ、データ、環境設定情報) |
ハウジング | 環境設備 (空調設備、電源設備、配線室、配線、管理室)の一覧、 構成図 |
アプリケーション 保守 | ・設計ドキュメント、プログラムソース ・アプリケーション保守用各種手順書（定型作業手順書等） |
構成管理業務を評価するための評価指標として以下を定義する。
① 承認されていない構成の件数
② 不正確な構成情報が原因で失敗した変更及び発生した障害の件数
③ ＣＩ（管理対象の項目数）の正確さ率
・構成アイテムの管理情報と実態（H/W、S/W、M/W、機器）との整合性の確認
(5) 標準化
○PMDA では、「システム資産簿」を作成してシステムのインベントリ情報を一元管理している。各 システムのインベントリ情報を各システムの実装状況を反映した最新状況に更新するとともに、
「システム資産簿」を最新の状況に保つため、最新のインベントリ情報をPMDA 標準書式「システ ム資産簿登録用シート」を使用して、PMDA へ報告する。
４．６ 運行管理
運行管理の目的は、開発部門より引き継いだ業務アプリケーション・システムを、あらかじめ定められた運行計画に基づき、定められた手順に従ってシステム運用を行うことにより、システム運用の品質の維持・向上を図ることにある。
運用引継ぎから、システムのスケジュール計画、稼働監視、オペレーションなど一連の運行を管理する。 以下のサブプロセスから構成される。
① 運用引継ぎ
② 運用スケジュールの計画・管理
③ オペレーション実施
④ 稼動監視と障害対応（一次対応）
⑤ セキュリティ監視（対象イベントの検知への対応）
⑥ ジョブ実行管理
⑦ 帳票管理
⑧ 報告管理
本番システム環境で稼動している全ての情報システムの運行を管理対象とする。
運行管理業務を評価するための評価指標として以下を定義する。
① 重要バッチ処理終了時間遵守率
② 重要帳票の配布時間遵守率
③ システムの運行業務に起因した障害の発生件数
・プログラム・ＪＣＬ等の本番移送のミス、ジョブのスケジュール誤り、操作ミス、監視項目の見落とし／発見遅延、等。
④ 非定型依頼業務の実施件数と正常終了率
(1) 標準化
○情報システムの運行状況を報告する（月次）（書式任意）
情報システムの稼働状況に加えて、以下の項目の報告を必須とする。
・情報システム及びネットワーク内で発生するイベント（事象）の記録である「ログ」の取得・保存の プロセスの状況を監視し、報告する。
・情報システムの稼働により発生する各種検知メッセージへの対処を記録し、報告する。
４．７ バックアップと回復管理
障害発生時等において、速やかに正確な回復処置が行えるようにバックアップの取得・リストアの手順を明確にし、安定したサービスの提供を図る。
アプリケーションオーナーとのサービスレベルまたは管理目標の合意に基づき、システムの回復要件（＊）に見合ったバックアップ・リストア方針を定め、バックアップ対象の選定、手順の明確化を実施する。
日常運用においては、バックアップ取得、バックアップ媒体の保管を行う。
また、定期的に、バックアップ・リストア実績報告を行い、バックアップ・リストアにおける体制、役割、手順の見直しを図る。
（＊）業務の優先度を勘案して有事の際に稼動させるシステムのサービスレベルを定めて、データのバックアップと復旧方法を決定する。
RLO （Recovery Level Objective）：どの範囲、レベルで業務を継続するか RTO （Recovery Time Objective）：いつまでにシステムを復旧するか RPO （Recovery Point Objective）：どの時点にデータが戻るか
本番システム環境で稼動している全てのシステムのバックアップとリストアを管理対象とする。
本基準の適用システムに関するＯＳ、データベース、テーブル類、ユーザデータなどのバックアップ計画、バックアップ取得、バックアップ媒体の保管、リストア実施および定期的な実績報告の手続きを対象とする。
各情報システムを構成するサーバや通信回線装置等については、運用状態を復元するために必要な重要な設計書や設定情報等のバックアップについても適切な場所に保管する。
要保全情報(完全性２）又は要安定情報（可用性２）である電磁的記録若しくは重要な設計書は、バックアップを取得する。
① データベースやファイルサーバのバックアップは、インターネットに接点を有する情報システムに接続しないディスク装置、テープライブラリ装置等に保存する。
② 一般継続重要業務で使用するシステムについては、大規模災害やテロ等による設備・機器の破損を想定し、情報システムの復元に必要な電磁的記録については LTO 等の可搬記憶媒体による遠隔地保管を行う。
③ バックアップの取得方法、頻度、世代等は各システムの方式設計、運用要件に応じて定める。
バックアップと回復管理業務を評価するための評価指標として以下を定義する。
① 当月で計画された定期バックアップの内、バックアップに失敗した件数と理由。
② 当月実施されたリストア件数と内訳（障害対応、調査目的、帳票再作成・出力等）。
③ 当月実施されたリストアの内、リストアに失敗した件数と理由。
(6) 標準化
○定期的なバックアップが取得されていることを報告する（月次）（書式任意）
○PMDA では、「リストアの机上訓練」を定期的に実施することを推奨している。
各情報システムにおいては、必要に応じて定期的な訓練実施を行い、結果報告を行う。
４．８ 情報セキュリティ管理
情報セキュリティ管理は、「情報セキュリティ対策の運用要件」に定める情報セキュリティ対策の運用要件に則り、情報システムのセキュリティを維持・管理し、情報資産を適切に保護することを目的とする。
情報セキュリティ管理プロセスは、PMDA のリスク管理活動の一環として、ＩＴサービス及びサービスマネジメント活動における全ての情報のセキュリティを、首尾一貫した方針に基づき効果的に管理する。
具体的には、「情報セキュリティ対策の運用要件」に則って、適切にセキュリティ管理策が導入され、維持されていることを確実にするために、情報セキュリティ管理計画の維持・管理を行う。合わせて、情報セキュリティ対策が適切に運用されているかを定期的に点検するとともに、コンプライアンス等の観点からのシステム監査の実施対応をおこなう。
ＩＴサービス及びサービスマネジメント活動における全ての情報セキュリティの管理を対象とする。
情報セキュリティ管理業務を評価するための評価指標として以下を定義する。
① 情報セキュリティ違反・事件・事故の発生件数とその内容
② 発生した情報セキュリティ違反・事件・事故への対策の実施状況
③ 情報セキュリティ監査（内部・外部）及び自己点検で検出された不適合の件数
④ 前回の情報セキュリティ監査及び自己点検で検出された不適合の是正状況
(5) 標準化
〇情報セキュリティ遵守状況の報告
・情報セキュリティを遵守していることを定期的(月次)にて報告する
※報告内容の詳細は後述の【補足説明】を参照
・委託先における自己点検を定期的(年 2 回程度)に実施し、点検結果を報告する。
（点検内容は委託先の任意とするが、各情報システムの運用保守業務に携わる要員等が自らの役割に応じて実施すべき対策事項を実際に実施しているか否かを確認するだけではなく、運用保守のプロジェクト体制全体の情報セキュリティ水準を確認する内容とすること。）
【補足説明】
情報セキュリティ遵守状況の報告は、以下の内容を確認し、報告すること
① 情報の目的外利用の禁止
② 情報セキュリティ対策の実施および管理体制（プロジェクト計画書記載内容の遵守）
※委託先において実施するセキュリティ研修や委託先の情報セキュリティポリシー遵守のため取組み内容を含む
※責任者による情報セキュリティの履行状況の確認を含む
③ 体制変更の場合の速やかな報告
④ 体制に記載された者以外が委託業務にアクセスできない（していない）ことの確認
⑤ ※発生した場合は、すぐに検知でき、報告される
⑥ 要員の所属・専門性（資格や研修実績）・実績および国籍に関する情報提供
※変更があれば、その都度情報提供される。
⑦ 秘密保持契約（誓約書）の提出（要員全員が提出）
※委託業務を離れた者の一定期間の機密遵守を含む
※体制変更があった場合の追加提出も含む
⑧ 情報セキュリティインシデントへの対処方法の明確化され、要員に周知されている
⑨ 再委託がある場合は、上記内容を再委託先においても遵守していることが確認されている
４．９ 脆弱性管理
サーバ装置、端末及び通信回線装置上で利用するソフトウェア（含むファームウェア）やアプリケーションに関連する脆弱性情報の収集とその影響評価に基づく適切な対策を実施するための標準的管理要件を定め、脆弱性によりもたらされる情報セキュリティの脅威について迅速かつ適切に対処することを目的とする。
脆弱性管理では、システム構成を把握したうえで、管理対象とするソフトウェアのバージョン等の確認から、脆弱性情報の収集、影響評価と対策の要否判定、脆弱性対策計画の策定、脆弱性対策の実施、結果の確認、対策の実施状況のモニタリングまでの一連のプロセスを管理する。
①管理対象ソフトウェアの把握 （管理すべきソフトウェアを特定）
②管理対象ソフトウェアの脆弱性対策の状況確認
②脆弱性情報の収集と識別（当該脆弱性が管理対象ソフトウェアに該当するかの確認）
③影響・リスクの評価と対応要否の判断及び記録
④脆弱性対策計画の策定と承認（変更管理手続きに拠る）
⑤脆弱性対策の検証 （検証環境での稼動確認）
⑥脆弱性対策の実施
⑦脆弱性対策の記録・報告
⑧脆弱性対策の実施状況のモニタリングと継続的改善
本番システム環境で稼動しているサーバ装置、端末及び通信回線装置上で利用するソフトウェアやアプリケーションに関する全ての脆弱性を管理対象とする。
脆弱性管理業務を評価するための評価指標として以下を定義する。
① 管理対象プロダクツ、バージョンに該当する脆弱性情報件数（通常／緊急）
② 脆弱性対策の評価件数（対策要、対策不要）
③ 対策計画の策定・実施状況（セキュリティパッチ適用、またはその代替策）／予定・実績
・定期報告=脆弱性管理の実施報告
・変更管理＝システム変更作業報告（セキュリティパッチ適用状況報告を含む）
④ 実施可能な脆弱性対策を実施しなかったことによる情報セキュリティインシデントが 1 件も発生しないこと。
脆弱性対策について、以下の管理を行う。
① 対象プロダクト・バージョンの把握
・各情報システムにおいて管理対象とするプロダクトとバージョンを特定するとともに脆弱性情報の収集及びパッチの取得方法を（事前に）整備する。
② 脆弱性情報の収集及び対策の要否判断
・管理対象のプロダクトに係る脆弱性情報の公開状況を定期的に収集する。
・収集した脆弱性情報をもとに影響・緊急度、対策の必要性、情報システムへ与える影響・リスクを考慮し、対策の要否を判断する。
③ 脆弱性対策計画の策定と実施
・対策が必要と判断した場合は、セキュリティパッチの適用計画、または、その代替策
（回避方法）の実施計画を策定する。
・対策が情報システムに与える影響について事前検証を行った上、実施する。
対策が情報システムの構成変更を伴う場合は、「4.4 変更管理」に拠るものとする。
・対策計画の策定及び実施状況の管理
① 管理状況については PMDA 標準書式を使用する。
・管理対象とするソフトウェアのプロダクトとバージョンについては、各情報システムの 設計書等のソフトウェア関連項目を基に、「脆弱性管理対象ソフトウェア一覧」を使用し管理する。
・管理対象とするソフトウェアの脆弱性の有無、対策の要否、対策の実施概要につい ては、「脆弱性対策管理簿」を使用し管理する。
② 定期的（月次）報告
・各情報システムにおける管理対象とするプロダクト・バージョンについて内容に更新が あった際は、「脆弱性管理対象ソフトウェア一覧」を使用し速やかに報告する。
・脆弱性対策の要否及び対策の実施状況について、「脆弱性対策管理簿」を使用し、 定時（月次）で報告する。
※「脆弱性対策管理簿」の作成にあたっては「脆弱性対策管理簿記載要領」を参照すること。
参考 脆弱性情報収集時の参考 URL 一覧 (「IPA 脆弱性対策の効果的な進め方（実践編）」より)
種別 | URL |
脆弱性関連情報データベース | ■国内 ・JVN (Japan Vulnerability Notes) https://jvn.jp/ ・脆弱性対策情報データベース JVN iPedia https://jvndb.jvn.jp/ ■海外 ・NVD(National Vulnerability Database) https://nvd.nist.gov/ ・Vulnerability Notes Database |
・Metasploit (攻撃情報あり) https://www.metasploit.com/ ・Exploit Database (攻撃情報あり) https://www.exploit-db.com/ | |
ニュースサイト | ■国内 ・CNET ニュース：セキュリティ https://japan.cnet.com/news/sec/ ・ITmedia エンタープライズ セキュリティ http://www.itmedia.co.jp/enterprise/subtop/security/index.html ・ITpro セキュリティ https://tech.nikkeibp.co.jp/genre/security/ ■海外 ・ComputerWorld Security （米国中心） https://www.computerworld.com/category/security/ ・The Register Security （英国・欧州中心） |
注意喚起サイト | ■国内 ・IPA：重要なセキュリティ情報一覧 https://www.ipa.go.jp/security/announce/alert.html ・JPCERT/CC 注意喚起 |
・警察庁：警察庁セキュリティポータルサイト https://www.npa.go.jp/cyberpolice/ ■海外 ・米国：US-CERT ・米国：ICS-CERT | |
製品ベンダー | ■定例アップデート ・マイクロソフト セキュリティ更新プログラム ガイド https://portal.msrc.microsoft.com/ja-jp/security-guidance ・オラクル Critical Patch Update と Security Alerts https://www.oracle.com/technetwork/jp/topics/security/alerts-082677-ja.html |
■クライアント製品など ・Apple セキュリティアップデート https://support.apple.com/ja-jp/HT201222 ・Adobe セキュリティ速報およびセキュリティ情報 https://helpx.adobe.com/jp/security.html ・Mozilla サポートの検索 | |
■サーバ、ネットワーク製品など ・シスコ – セキュリティアドバイザリ https://www.cisco.com/c/ja_jp/support/docs/csa/psirt-index.html ・HP - サポートホーム ・日立 –セキュリティ情報 https://www.hitachi.co.jp/hirt/security/index.html ・富士通 - セキュリティ情報 ・NEC - NEC 製品セキュリティ情報 https://jpn.nec.com/security-info/ ・IBM – IBM Support https://www.ibm.com/support/home/?lnk=ushpv18hcwh1&lnk2=support ・Red Hat – Red Hat Product Errata https://access.redhat.com/errata/#/ | |
■セキュリティ製品など ・シマンテック –セキュリティアップデート https://www.symantec.com/ja/jp/security_response/securityupdates/list.jsp?fid=sec urity_advisory | |
■オープンソースなど ・Apache Foundation https://httpd.apache.org/ （Apache HTTP サーバ） https://tomcat.apache.org/ （Apache Tomcat） https://struts.apache.org/ （Apache Struts） ・ISC （Internet Systems Consortium） https://www.isc.org/downloads/bind/ （BIND） https://www.isc.org/downloads/dhcp/ （DHCP） |
４．１０ アクセス権管理
システムを利用するユーザ・アカウントを保護するため、及び、なりすましによる不正ログインの可能性を低減するために、ユーザ・アカウントを役割権限別に分類した上で管理方法を取決めてセキュリティレベルを維持する。
システムを利用するサーバ OS、ミドルウェア、アプリケーション・ソフトウェア、及びネットワーク機器のアカウントを対象にアクセス権の管理を行う。
本番システム環境での全てのアカウント（社外の取引先等に提供しているアカウントを含む）のアクセス権を管理対象とする。
本番環境 | アクセス権管理の対象 |
システム・ソフトウェア | OS ユーザＩＤ |
ミドルウェア | ＤＢＭＳユーザＩＤ、ジョブスケジューラ・ユーザＩＤ、他 |
アプリケーション・ソフトウェア | アプリケーション・ユーザＩＤ |
ネットワーク機器 | 各ネットワーク機器の管理者用ＩＤ |
アクセス権管理業務を評価するための評価指標として以下を定義する。
① 期間内に発生したユーザＩＤ登録・変更・削除の件数
② 特権（高権限）ユーザＩＤ別の貸出し件数と用途
③ アカウントおよびアクセス権の定期棚卸しで、発見された不備項目
④ 不適切／不正なアクセス権限の設定によって発生したインシデントの件数
⑤ アクセス権限の再設定が必要となったインシデントの件数
⑥ 間違ったアクセス権限の設定によって提供不能になったサービスの件数
⑦ 間違ったアクセス権限の設定によって生じた不正アクセスの件数
・【アカウント（ID）の付与】
①情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を付与（発行、更新及び変更を含む）する。
②識別コードの付与に当たっては、.単一の情報システムにおいて、ある主体に付与した識別コードを別の主体に対して付与することを禁止する
③主体以外の者が識別コード又は主体認証情報を設定する場合に、主体へ安全な方法で主体認証情報を配布する。
④識別コード及び知識による主体認証情報を付与された主体に対し、初期設定の主体認証情報を速やかに変更するよう、促す。
⑤知識による主体認証方式を用いる場合には、他の情報システムで利用している主体認証情報を設定しないよう主体に注意を促す。
⑥情報システムを利用する主体ごとに識別コードを個別に付与する。ただし、判断の下やむ
を得ず共用識別コード（共有 ID）を付与する必要がある場合には、利用者を特定できる仕組みを設けた上で、共用識別コードの取扱いに関するルールを定め、そのルールに従って利用者に付与する。
⑦主体認証情報の不正な利用を防止するために、主体が情報システムを利用する必要がなくなった場合には、当該主体の識別コードを無効にする。
・【特権 ID と使用者の限定】
①使用者限定の保証
・パスワードの堅牢性
できだけ長い桁数、推測困難かつ記憶が容易となる工夫
・パスワードの厳正管理
業務で使用する必要がある者しか知ることができないようにするパスワード情報へのアクセス制限
ID 使用者の離任時はパスワード変更を必須
②利用時の承認と記録
・特権 ID を利用して作業を行った結果の記録 （特権 ID 使用管理簿の記載）
・利用状況のモニタリング
サーバのログイン・ログアウトログの出力リストと特権 ID 使用管理簿の作業実績に記載されている日時を照合し、記載されている日時から逸脱する時間帯のログデータがないことをチェック
※工数の許す範囲で、重要サーバに絞り、無作為に抽出した数件のログインに該当する作業のチェック等工夫する
・全てのアカウント（ＩＤ）について、以下の管理を行う。
①アカウント（ＩＤ）管理台帳の作成
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
②定期(月次)報告
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
③ＩＤ棚卸し
全てのＩＤの棚卸しを以下の手順を参考にし、定期的（最低１回／年）に実施し、 報告を行う。
（棚卸し手順）
a. 登録 ID 抽出リスト出力
b. ID 管理台帳突合
c. 棚卸しリスト作成
d. ID 使用者の確認、権限の妥当性の検証
e. 不要 ID(初期登録（ビルドイン）ID を含む）削除と不適切権限の修正
f. ID 管理台帳更新
g. 棚卸実施報告書の作成
※アカウント（ID）管理用資料は、「参考資料_ID 管理用各書式ひな型」を参考に各情報システムにおいて適宜定める。
・特権ＩＤについて、以下の管理を行う。
①特権ＩＤ台帳の作成
※添付「特権ＩＤ管理台帳」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※監査等にて提示要求があった場合は、速やかに提示できるよう保管する
②特権ＩＤ(システムＩＤ)使用管理簿の作成（またはログ抽出）
※添付「特権 ID 使用管理簿」を使用する。各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※ログイン・ログアウトのログ(または画面コピー)を必ず保管（または添付）し、監査等にて提示要求があった場合は、速やかに提示できるよう保管する
③定期(月次)報告
特権ＩＤ(システムＩＤ)台帳ならびに特権ＩＤ(システムＩＤ)使用状況を、定期(月次)報告する。
（ログまたは画面コピーは、月次報告不要）
④特権ＩＤ棚卸し
特権ＩＤの棚卸しを定期的（年 2 回程度）に実施し、報告を行う。（報告書式任意）棚卸し点検内容は以下の通り
○台帳は、本当に使用する者を登録しているか？（体制図と一致しているか？）
・体制から外れた者が削除されずに残っていないか？
・使用予定がない者が登録されていないか？
○台帳と使用管理簿の相関は一致しているか？
○使用管理簿とログ(または画面コピー)保管の相関は一致しているか？
４．１１ キャパシティ管理
キャパシティ管理の目的は、ビジネスが必要とするときに、必要なキャパシティを適正なコストで提供することである。 すなわち、
① ビジネスの需要に対する供給
ビジネスの変化に合わせて、ＩＴサービスの対応にもスピードが要求される。 キャパシティ管理は、現在から将来にわたるビジネス需要・要件に合わせて、ＩＴインフラストラクチャーのキャパシティを最大限に活用できるようにすることを目的とする。
② キャパシティに対するコスト
一方、必要以上のキャパシティを確保すると購入や運用のための費用が膨らみ、ビジネスの観点からコストを正当化できない。 キャパシティを最適化し、費用対効果が高いＩＴサービスを提供することもキャパシティ管理の目的である
このプロセスは、次の３つのサブプロセスから構成される。
① ビジネスキャパシティ管理
ＩＴサービスに対する将来のビジネス需要・要件を収集・検討し、それによって、ＩＴサービスのキャパシティを確実に実装させるための計画の立案、予算化、構築がタイムリーに実施されるようにする。
② サービスキャパシティ管理
実際のサービスの利用と稼働のパターン、山と谷を理解して、運用中のＩＴサービスのパフォーマンスを監視し、それによって、ＳＬＡの目標値を達成し、ＩＴサービスを要求どおりに機能させる。
③ コンポーネントキャパシティ管理
ＩＴインフラストラクチャーの個々のコンポーネントのパフォーマンスとキャパシティ、使用状況を監視し、それによって、ＳＬＡの目標値を達成・維持するために、コンポーネントの利用を最適化する。
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、アプリケーション、及び人的リソースを対象とする。
キャパシティ管理業務を評価するための評価指標として以下を定義する。
① ＣＰＵ、ディスク、メモリ、ネットワーク容量などの閾値に対する需要の割合
② ＩＴサービスのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
③ ＩＴコンポーネントのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
④ 正規の購入計画に含まれていなかった、パフォーマンスの問題解決のために急きょ行った購入の数又は金額
４．１２ 可用性管理
可用性管理の目的は、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供することであり、そのためにＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させる。
可用性管理の活動は大きく、１）可用性要件の把握、２）可用性の設計、及び３）可用性の改善活動の３つに分けられる。
具体的には、以下の可用性管理の３要素の目標値を設定し、設定した可用性のレベルを達成・維持・向上させることである。
① 可用性
可用性とは、ＩＴサービスが必要なときに使用できる割合のことで、一般的には稼働率という指標を用いて表される。
稼働率（％）＝（サービス提供時間－停止時間）÷サービス提供時間
② 信頼性
提供されるＩＴサービスにおける、不具合の発生しにくさ／故障しずらさを表す。 平均故障間隔＝（使用可能な時間－総停止時間）÷（サービス中断の回数－１）
③ 保守性
ＩＴサービスが停止又は品質低下した際に、いかに早く復旧できるかを示す指標。平均修理時間＝修理時間の合計÷サービス中断の回数
可用性について極めて重要なことは、ユーザの求めるシステムの可用性レベルをどのように達成するかについて、システム設計時に真剣に検討し、システム構築時に実現し、システムの運用において継続的に改善することである。
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、及びアプリケーションを対象とする。
可用性管理業務を評価するための評価指標として以下を定義する。
① 可用性の割合
② 平均故障間隔
③ 平均修理時間
④ サービスの中断回数
⑤ 定期的なリスク分析、及びレビューの完了の件数
４．１３ サービスレベル管理
ユーザニーズを満足する適正なサービスレベルおよび管理指標を設定し、これを実績管理することにより質の高いサービスの提供を図る。
サービスレベルおよび各個別管理業務での管理指標の実績データを定期的に把握し、サービスレベル指標と実績の差異や傾向を継続的に分析することにより、改善策を立案し実施する。
IT 部門が提供する全ての IT サービスに関するサービスレベルおよび各個別管理業務での管理指標を管理対象とする。
サービスレベル管理業務を評価するための評価指標として以下を定義する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
(5) 標準化
サービスレベル管理業務を定期的(月次)に報告する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
以上
別紙５ 情報セキュリティ対策の運用要件
情報システムの運用・保守の業務遂行にあたっては、調達・構築時に決定した情報セキュリティ要件が適切に運用されるように、人的な運用体制を整備するとともに、機器等のパラメータが正しく設定されていることの定期的な確認、運用・保守に係る作業記録の管理等を確実に実施すること。
対策区分 | 対策方針 | 対策要件 | 運用要件 | 定期点検 |
侵害対策 | 通信回線対策 | 通信経路の分離 | 不正の防止及び発生時の影響範囲を限定するため、外部との通 | セキュリティヘルスチェック（構成管理資料の原本と |
（AT： | （AT-1） | （AT-1-1） | 信を行うサーバ装置及び通信回線装置のネットワークと、内部 | 実際の設定状況を目視にて突合せチェックすることに |
Attack） | のサーバ装置、端末等のネットワークを通信回線上で分離する | より各種セキュリティ設定の不正変更の有無をチェッ | ||
こと。ネットワーク構成情報と実際の設定を照合し、所定の要 | クする）と合わせて実施し報告すること。 | |||
件通りに設定されていることを定期的に確認すること。 | ||||
不正通信の遮断 | 通信に不正プログラムが含まれていることを検知したときに、 | |||
（AT-1-2） | その通信をネットワークから遮断すること。 | |||
通信のなりすまし | 通信回線を介した不正を防止するため、不正アクセス及び許可 | セキュリティヘルスチェック（構成管理資料の原本と | ||
防止 （AT-1-3） | されていない通信プロトコルを通信回線上にて遮断する機能に | 実際の設定状況を目視にて突合せチェックすることに | ||
ついて、有効に機能していることを定期的に確認すること。 | より各種セキュリティ設定の不正変更の有無をチェッ | |||
クする）と合わせて実施し報告すること。 | ||||
サービス不能化の | サービス不能攻撃を受けているかを監視できるよう、稼動中か | |||
防止 （AT-1-4） | 否かの状態把握や、システムの構成要素に対する負荷を定量的 | |||
(CPU 使用率、プロセス数、ディスク I/O 量、ネットワークトラ | ||||
フィック量等)に把握すること。監視方法はシステムの特性に | ||||
応じて適切な方法を選択すること。 | ||||
不正プログラム対策 （AT-2） | 不正プログラムの感染防止 （AT-2- 1） | 不正プログラム対策ソフトウェア等に係るアプリケーション及び不正プログラム定義ファイル等について、これを常に最新の状態に維持すること。不正プログラム対策ソフトウェア等により定期的に全てのファイルに対して、不正プログラムの検査を実施すること。 |
不正プログラム対策の管理 （AT-2- 2） | 不正プログラム対策ソフトウェア等の定義ファイルの更新状況を把握し、不正プログラム対策ソフトウェア等が常に有効に機能するよう必要な対処を行うこと。 | |||
セキュリティホ ー ル 対 策 （AT-3） | 運用時の脆弱性対策 （AT-3-2） | 情報システムを構成するソフトウェア及びハードウェアのバージョン等を把握して、製品ベンダや脆弱性情報提供サイト等を通じて脆弱性の有無及び対策の状況を定期的に確認すること。脆弱性情報を確認した場合は情報システムへの影響を考慮した上でセキュリティパッチの適用等必要な対策を実施すること。対策が適用されるまでの間にセキュリティ侵害が懸念される場合には、当該情報システムの停止やネットワーク環境の見直し等情報セキュリティを確保するための運用面での対策を講ずること。 | 脆弱性対策の実施状況は、月次で報告すること。 | |
不正監視・追跡 （AU: Audit） | ログ管理（AU- 1） | ログの蓄積・管理 （AU-1-1） | 情報システムにおいて、情報システムが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行うために必要なログ（システムへのログオンや資源へのアクセスのロギング等）を取得すること。 | ログが所定の要件通り、取得・蓄積されていることを確認すること。（年 1 回以上） |
ログの保護 （AU- 1-2） | 取得・蓄積されたログが不正な改ざんや削除が行われないようログの格納ファイルのアクセス権を制限する等必要な対策を講じること。 | 取得・蓄積されたログが不正な改ざんや削除が行われていなことを確認すること。（年１回以上） | ||
時刻の正確性確保 （AU-1-3） | システム内の機器の時刻同期の状況を確認すること。 | 時刻同期に問題ないことを月次で確認する。もしくは、差異がある場合に検知する仕組みを構築する。 | ||
不正監視（AU- 2） | 侵入検知 （AU-2- 1） | 不正行為に迅速に対処するため、通信回線を介して所属するＰ ＭＤＡ外と送受信される通信内容を監視し、不正アクセスや不正侵入を検知した場合は通信の遮断等必要な対処を行うこと。 | ||
アクセス・利用制限 （AC: Access） | 主体認証（AC- 1） | 主体認証 （AC-1- 1） | 主体認証情報（ＩＤ、パスワード）は不正に読み取りできないよう保護すること。 | |
アカウント管理（AC-2） | ライフサイクル管理 （AC-2-1） | 主体が用いるアカウント（識別コード、主体認証情報、権限 等）は、主体の担当業務に必要な範囲において設定すること。 | アカウント棚卸を定期的（年１回以上）に実施すること。 |
また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 アカウント棚卸を定期的に実施し、不要なアカウントを削除すること。 | ||||
アクセス権管理 （AC-2-2） | 主体が用いるアカウント（識別コード、主体認証情報、権限 等）は、主体の担当業務に必要な範囲において設定すること。また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 権限の再検証を定期的に実施し、不要な権限を削除すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
管理者権限の保護 （AC-2-3） | システム特権を付与されたアカウント及び使用者を特定し、アカウントの使用状況を記録し、アカウントの不正使用がないことを定常的に確認すること。 | 管理状況を「特権ＩＤ台帳」及び「特権ＩＤ使用管理簿」により、月次で報告すること。 本番稼働に直接影響するサーバの中から毎月２台のサーバを選定して全量の１/５程度をサンプリング検査することとする。ただし、サンプリングの対象範囲は PMDA と協議のうえ決定するものとする。 | ||
データ保護 （PR: Protect） | 機密性・完全性の確保 （PR-1） | 通信経路上の盗聴防止 （PR-1-1） | 通信回線に対する盗聴行為による情報の漏えいを防止するため、通信回線を暗号化する機能について、有効に機能していることを定期的に確認すること。 | セキュリティヘルスチェック（各種セキュリティ設定の不正変更の有無、および不正操作の痕跡の有無の確認）と合わせて実施し報告すること。 |
保存情報の機密性確保 （PR-1-2） | 情報システムに蓄積された情報の窃取や漏えいを防止するた め、情報へのアクセスを制限すること。構成情報と実際の設定を照合し、所定の要件通りに設定されていることを定期的に確認すること。 また、業務データへのアクセス権限の付与状況を点検し、不要なアクセス権限が付与されていないことを確認すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 |
業務データへのアクセス管理 | 情報の格付の見直し及び再決定が行われた際や、当該情報システムに係る職員等の異動や職制変更等が生じた際には、情報に対するアクセス制御の設定や職務に応じて与えられている情報システム上の権限が適切に変更されていることを確認するこ と。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
受託者によるアクセス | 受託者は受託した業務以外の情報へアクセスしないこと。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
物理対策 （PH: Physical） | 情報窃取・侵入対策 （PH-1） | 情報の物理的保護 （PH-1-1） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、情報の漏えいを防止するため、物理的な手段による情報窃取行為を防止・検知するための機能を備えること。 | 情報セキュリティ遵守状況は月次で報告すること。 |
侵入の物理的対策 （PH-1-2） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、物理的な手段によるセキュリティ侵害に対抗するため、外部からの侵入対策が講じられた場所に設置すること。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
入退室管理の履行 | ＰＭＤＡが管理するサーバ室、事務室等の管理区域への入退出については、ＰＭＤＡ入退室管理規程を遵守すること。 ＰＭＤＡの管理区域内での作業は、原則として、ＰＭＤＡ職員の立会いのもとで行うこと。 | |||
障害対策 （事業継続対応） （DA: Damage） | 構成管理（DA- 1） | システムの構成管理 （DA-1-1） | 情報セキュリティインシデントの発生要因を減らすとともに、情報セキュリティインシデントの発生時には迅速に対処するため、情報システムの構成（ハードウェア、ソフトウェア及びサービス構成に関する詳細情報）が記載された文書を実際のシステム構成と合致するように維持・管理すること。 | 変更作業時の構成管理資料の更新については、「変更作業一覧」により、月次で報告すること。 |
可用性確保 （DA-2） | システムの可用性確保 （DA-2-1） | システム及びデータの保全が確実に実施されるため、システム及びデータのバックアップが所定の要件通りに取得されていることを定期的に確認すること。 | バックアップの実施状況は、月次で報告すること。 バックアップによるリストア等回復手順については、机上訓練を年 1 回以上実施すること。 |
情報のバックアップの取得 | また、回復手順について机上訓練を実施し、バックアップや回復手順が適切に機能することを確認する。 | |||
ｻﾌﾟﾗｲﾁｪｰﾝ･ﾘｽ ｸ対策（SC: Supply Chain) | 情報システムの構築等の外部委託における対策 （SC-1） | 委託先において不正プログラム等が組み込まれることへの対策(SC-1-1） | 情報システムの運用保守において、ＰＭＤＡが意図しない変更や機密情報の窃取等が行われないことを保証するため、構成管理・変更管理を適切に実施すること。 | 変更管理の状況は「変更作業一覧」により、月次で報告すること。 |
作業区分 | 作業項目 | 作業内容 | 実施者 | |
サーバ等 保守業者 | 本調達 受注業者 | |||
稼働状況管理 | サービス管理 | 機器の電源ON/OFF、仮想基盤サーバ・サーバOSへのログイン/ログアウト | ○ | ‐ |
仮想サーバ、サービスの起動・停止・再起動のオペレータ作業の実施 | ‐ | ○ | ||
ストレージ管理 | バックアップ | バックアップ媒体の交換及び外部倉庫への搬出/外部倉庫からの搬入 | ○ | ‐ |
バックアップ設計・自動データバックアップ設定 | ‐ | ○ | ||
運用マニュアルに基づくデータおよびシステムイメージのバックアップの実施 | ‐ | ○ | ||
バックアップ取得状況の確認 | ‐ | ○ | ||
リストア | リストアの机上訓練 | ‐ | ○ | |
保守マニュアルに基づくデータ及びシステムイメージリストアの実施 | ‐ | ○ | ||
リストア結果の報告 | ‐ | ○ | ||
ログ管理 | ログチェック | OSログ、ミドルウェアログの運用監視設定 | ‐ | ○ |
監視対象ログの確認 | ‐ | ○ | ||
ユーザ管理 | OS ID管理 | 管理者・運用担当者のログインID、パスワードの発行 | ‐ | ○ |
管理者等の権限変更への対応 | ‐ | ○ | ||
管理者・運用担当者の登録情報変更への対応 | ‐ | ○ | ||
問合わせ管理 | 照会対応 | システムの稼働状況、障害、改修等に関する問い合わせ対応、保守窓口への問い合わせ | ‐ | ○ |
セキュリティ管理 | パッチ適用 | セキュリティパッチ（OS）の適用 | ‐ | ○ |
セキュリティパッチ（ミドルウェア）の適用 | ‐ | ○ | ||
セキュリティパッチ（ファームウェア）の適用 | ‐ | ○ | ||
パッチの適用状況管理 | ‐ | ○ | ||
ウイルスパターンファイル更新 | パターンファイルの更新状況管理 | ‐ | ○ | |
侵入検知 | 外部からの侵入に対するセキュリティ監視 | ‐ | ○ | |
ウイルス監視 | ウイルス除去・検知に対する監視 | ‐ | ○ | |
稼働状況管理 | 死活監視 | サーバの死活監視 | ‐ | ○ |
閾値監視 | CPU/メモリ/ディスクの閾値監視 | ‐ | ○ | |
データーベースの空き容量監視 | ‐ | ○ | ||
サービス・プロセス稼働監視 | サービス稼働監視（ポート番号単位） | ‐ | ○ | |
アプリケーション稼働上必要なプロセスの監視 | ‐ | ○ | ||
ログ監視 | 本システムを構成する各サーバに導入された各種OS／ミドルウェアについて、運用中の異常メッセージを監視 | ‐ | ○ | |
SNMPトラップ監視 | 本システムを構成する各種機器（サーバ、ネットワーク機器、外部ストレージ、FCスイッチ）について、運用中の異常メッセージを監視 | ‐ | ○ | |
データベース監視 | 本システムで運用するDBMS（Oracle, PostgreSQL）の稼動状態と、データベース運用中に発生する各種異常メッセージを監視 | ‐ | ○ | |
通知・閲覧 | アラート通知（日次のランプチェック） | ○ | ‐ | |
構成管理 | ハードウェア・ソフトウェア構成管理 | システムを構成するサーバ一覧、サーバ導入ソフトウェア構成等をまとめ、変更が生じた場合は反映させる | ‐ | ○ |
作業区分 | 作業項目 | 作業内容 | 実施者 | |
サーバ等 保守業者 | 本調達 受注業者 | |||
保全管理 | 障害対応/運用・保守対応 | 保守窓口への問い合わせ、各担当ベンダーから提供されるサービス等に関するインシデント情報の取り纏め管理 | ‐ | ○ |
運用・保守手順書で定められた手順、及び、保守窓口から案内された手順に従った運用・保守対応 | ‐ | ○ | ||
保守ベンダーによるデータセンターでの作業時の立会い、ラックの解錠・施錠 | ‐ | ○ | ||
物品管理 | ドキュメント管理 | 設計書、マニュアル等のドキュメントを保管 | ‐ | ○ |
報告関連 | システム運用報告 （月次） | システム運用報告書（月次）に、当月の業務実施状況について取りまとめ、提出する | ‐ | ○ |
保守窓口 | 保守窓口 | ソフトウェア、ハードウェア、クラウドサービスの製品保守サービスの取得 | ○ | ‐ |
システム運用支援期間中の各種製品、クラウドサービスの保守サービスベンダーとの一括窓口対応 | ○ | ‐ | ||
保守サービスの更新 | ○ | ‐ | ||
ヘルプデスク窓口 | ヘルプデスク窓口 | CMS及び、検索アプリケーションの使い方を含む問合せ全般に対する問合せを受け付ける。機構内ユーザからの問合せが前提。 ・CMS及び検索アプリケーションに対する利用方法の問合せ ・障害受付、原因の一次切り分けの実施 | - | ○ |
業務運用 | CMS/アプリケーション/ASPに係る運用業務 | ・ユーザ登録、ワークフロー登録等、CMSの運用に必要な管理作業を実施 ・検索アプリが仕様するデータ登録作業 ・ログ解析ツールを使った各種集計データ作成（ユーザからのリクエスト対応含む） ・サイト内検索への設定作業 ・etc | - | ○ |
別紙7 リモート接続要件
1 情報を取り扱う区域の管理について
No. | セキュリティ要件 |
1 | ⽴⼊りを許可されていない者の⽴⼊り等を防⽌するために、壁、常時施錠された扉、固定式のパーティション等強固な境界で他の区域と明確に区分する。 |
2 | 許可されていない者が⽴ち⼊らないように、⽴ち⼊る者が許可された者であることの確認を⾏うための措置を講 ずる。 |
3 | ⽴⼊りを許可されていない者に、不必要に情報を与えないために、区域の外側から内部の重要な情報や情報システムが⾒えないようにする。 |
4 | ⼀時的に⽴ち⼊った者が不正な⾏為を⾏うことを防⽌するために、⼀時的に⽴ち⼊った者を放置しないなどの措置を講ずる。⽴会いや監視カメラ等により監視するための措置を講ずる。 |
5 | 情報の持ち出し等を防⽌するため、私⽤のＰＣ、携帯電話、スマートフォン及びタブレット端末の区域内への持ち込みを制限する。 |
No. | セキュリティ要件 |
1 | a) 容易に切断できないセキュリティワイヤを⽤いて固定物⼜は搬出が困難な物体に固定する。もしくは、 b) モバイル端末を保管するための設備（利⽤者が施錠できる袖机やキャビネット等）を⽤意する。 ※セキュリティポリシーの【 基本対策事項 】7.1.1(1)-2の記載に合わせてb)を追加 |
2 | シンクライアント等の仮想デスクトップ技術を活⽤した、端末に情報を保存させないリモートアクセス環境を構築する。利⽤者は専⽤のシンクライアントアプリケーションを利⽤端末にインストールし、業務⽤システムへリモートア クセスする。 |
3 | 端末に情報を保存する場合は、 a) ファイル暗号化等のセキュリティ機能を持つアプリケーションを導⼊する。 b) 端末に、ハードディスク等の電磁的記録媒体全体を⾃動的に暗号化する機能を設ける。 c) 上記の各号のいずれの機能も使⽤できない場合は、端末にファイルを暗号化する機能を設ける。 d) ハードディスク等の電磁的記録媒体に保存されている情報を遠隔からの命令等により消去する機能を設ける。ただし、この場合はa)〜c)を例とする暗号化の機能を組み合わせる。但し、「情報を取り扱う区域の管理」の対象区域から持ち出しを認めない場合は除く。 |
4 | パスワード等による端末ロックの常時設定 |
5 | OSやアプリケーションの最新化 |
6 | 不正プログラム対策ソフトウェアの導⼊及び定期的な不正プログラム検査の実施 |
7 | 定期的な不正プログラム対策ソフトウェア及び不正プログラム定義ファイルの更新 |
8 | 端末内の要機密情報の外部サーバ等へのバックアップの禁⽌ |
9 | 安全性が確認できないアプリケーションのインストール及び利⽤ |
10 | 許可されない通信回線サービスの利⽤ |
11 | 第三者への端末の貸与 |
3 通信回線について
No. | セキュリティ要件 |
1 | (通信内容の暗号化) 通信経路における盗聴及び情報の改ざん等の脅威への対策として、通信内容の秘匿性を確保するための機能を設ける。通信回線の秘匿性確保の⽅法として、TLS（SSL）、IPsec等による暗号化を⾏う。また、その際に使⽤する暗号アルゴリズムについては、「電⼦政府推奨暗号リスト」を参照し決定する。 |
2 | (通信を⾏う端末の識別⼜は認証) 「情報を取り扱う区域の管理」の対象区域外から接続する場合は、無許可の情報システムの接続を拒否するため、以下のいずれかの対策を講ずる。 a) 情報システムの機器番号等により接続機器を識別する。 b) クライアント証明書により接続機器の認証を⾏う。 |
3 | 第三者による通信回線及び通信回線装置の破壊、不正操作等への対策として、以下の措置を講ずる。 a) 通信回線装置を施錠可能なラック等に設置する。 b) 敷設した通信ケーブルを物理的に保護する。 c) 通信回線装置の操作ログを取得する。 |
4 | (アクセス可能な情報システムの制限) ファイアウォール（ステートフルインスペクションやそれと同等の機能を含む）、WAF（Web Application Firewall）、リバースプロキシ等により通信制御を⾏う。 |
5 | (リモートアクセスにおいて利⽤可能な公衆通信網の制限) 通信回線装置による特定の通信プロトコルの利⽤を制限する。 |
6 | (利⽤者の認証) 主体認証によりアクセス制御する。 |
7 | 主体認証ログの取得及び管理 |
8 | リモートアクセス中の他の通信回線との接続禁⽌ |