No. 用語 説明 1 医薬品・医療機器相談業務 PMDA 医薬品・医療機器相談室にて受付けている一般消費者からの電話相談を行う業務。 2 くすりきき相談システム 医薬品・医療機器相談業務のための情報システム。 3 データセンタ 現在医薬品・医療機器相談業務を行っているくすりきき相談システムを設置予定の施設。 4 統合基盤 PMDA が運用する複数の業務システムを運用するためにデータセンタに構築した環境 5 SLCP-JCF2013...
消費者くすりきき相談室情報支援システムの運用支援業務
調達仕様書
令和6年2月
独立行政法人 医薬品医療機器総合機構
目 次
１. 調達案件の概要に関する事項 調達案件名
消費者くすりきき相談室情報支援システムの運用支援業務
独立行政法人医薬品医療機器総合機構（以下「PMDA」という。）医薬品・医療機器相談室では、医師から処方されたくすり（医療用医薬品）や薬局などで購入するくすり、販売店で購入し家庭で使用する医療機器
（コンタクトレンズ、マッサージ機、補聴器など）に関する一般消費者からの相談を電話にて受付けている。これらの相談事例に関する情報を「消費者くすりきき相談室情報支援システム（以下「くすりきき相談システム」という。）」を使用してデータベース化（データ入力、蓄積、集計、解析等処理の支援のための各種出力）し、蓄積したデータの相談業務への活用を支援している。
本システムの安定稼働と機能の維持管理のため、運用支援業務を外部委託することを目的とする。
表 １-１ 用語の定義
No. | 用語 | 説明 |
1 | 医薬品・医療機器相談業務 | PMDA 医薬品・医療機器相談室にて受付けている一般消費者か らの電話相談を行う業務。 |
2 | くすりきき相談システム | 医薬品・医療機器相談業務のための情報システム。 |
3 | データセンタ | 現在医薬品・医療機器相談業務を行っているくすりきき相談シス テムを設置予定の施設。 |
4 | 統合基盤 | PMDA が運用する複数の業務システムを運用するためにデータ センタに構築した環境 |
5 | SLCP-JCF2013 | ソフトウェアを中心としたシステムの開発及び取引のための共通 フレーム体系（2013 年版）のこと。 |
6 | SLA | サービスレベル合意書（Service Level Agreement）の略称。サービスを提供する側とその利用者の間に結ばれるサービスのレベ ル（定義、範囲、内容、達成目標等）に関する合意書のこと。 |
本システムのシステム構成は、「図 1.1 くすりきき相談システム概念図」に示すとおりである。
図 １.１ くすりきき相談システム概念図
ア くすりきき相談システム
PMDA では、医師から処方されたくすり（医療用医薬品）や薬局などで購入するくすり、販売店で購入し家庭で使用する医療機器（コンタクトレンズ、マッサージ機、補聴器など）に関する一般消費者からの相談を電話にて受付けている。これらの相談事例に関する情報をくすりきき相談システムを使用してデータベース化（データ入力、蓄積、集計、解析等処理の支援各種出力）し、蓄積したデータの相談業務への活用を支援している。
イ PMDA 統合基盤
PMDA が運用する複数の業務システムを運用するためにデータセンタに構築した環境。PMDA が契約したデータセンタ内にハードウェア、ソフトウェア、ネットワークを搬入、設置、設定して全業務システムが利用可能な共用部分である PMDA 統合基盤を構築し、運用及び保守サービスを提供している。各業務システムは同データセンタ内に独自に導入するハードウェア、ソフトウェア、ネットワークと共通基盤を組み合わせて業務システムを運用することができる。本システムは、PMDA 統合基盤の仮想サーバ上に構築し、統合基盤のネットワーク、セキュリティ装 置、セキュリティ対策ソフトウェア、バックアップソフトウェア、運用監視ソフトウェア及び管理サーバを利用して稼働している。なお、2024 年度中に新 PMDA 統合基盤への移行を予定している。
ア 契約期間
契約締結日から 2029 年 3 月 31 日まで。
イ 契約形態
請負契約形態とし、検収や支払方法等は契約書にて定める。
受注者は、契約締結日から運用業務の開始までに本情報システムの運用業務を実施するための準備を実施し、必要な情報について PMDA（または前受注者）より引継ぎを受けること。
本業務に係る想定スケジュールの概要は、別紙２「作業スケジュール」のとおりとする。なお、このスケジュールはあくまで想定のスケジュールであり、詳細な実施スケジュールは受注者が検討の上、実施計画書に記載すること。
x調達仕様書に関する問い合わせ先は以下のとおり。
〒100-0013
xxxxxxxxxx 0-0-0 x霞が関ビル独立行政法人 医薬品医療機器総合機構
安全性情報・企画管理部 リスクコミュニケーション推進課 医薬品・医療機器相談室
03（3506）9482
Email：xxxxxx-xxxxxxxxxxxx.xx.xx
※●を＠（半角）に置き換えて下さい。
２. 当該調達及び関連調達に関する事項 調達の単位、調達の方式、実施時期
関連する調達案件の調達単位、調達の方式、実施時期は次の表のとおりである。
表 ２-１ 関連する調達案件の調達単位、調達の方式、実施時期
No | 調達案件名 | 調達の方式 | 実施時期 | 補足 |
1 | 消費者くすりきき相談室情報支援システムの運用 支援業務 | 一般競争入札 （最低価格落 札方式） | 契約期間：2020 年 11 月から 2024 年 3 月引継期間：2020 年 11 月 運用期間：2020 年 12 月から 2024 年 3 月 | 契約済 |
2 | 業務システム統合基盤の構築及び保守 | 一般競争入札 （総合評価方式） | 契約期間：2023 年 4 月から 2028 年 10 月 | 契約済 |
なし
３. 情報システムに求める要件に関する事項
本調達の実施に当たっては、別紙 1 から 5 の各要件を満たすこと。
４. 作業の実施内容に関する事項 作業の内容
ア 運用・保守に係る作業の内容
受注者は、本調達仕様書に記載された作業内容や各要件（「別紙 3 業務要件」等）を参照の上、以下に関し必要な作業を実施すること。
準備作業
受注者は、運用・保守業務の開始までに、本情報システムの円滑な運用・保守業務の実施に必要な準備作業として、運用・保守業務に必要な什器等の準備、回線引込等を行うこと。
受注者は、運用・保守業務の開始までに、運用・保守準備作業に関する準備計画書を作成し、PMDA の承認を受けること。
受注者は、運用・保守準備作業が完了した後、準備完了報告書を作成し、PMDA の承認を受けること。
実施計画書及び実施要領の作成
受注者は、別紙 1 から 5 に基づき、実施計画書を作成し、PMDA の承認を受けること。
定常時対応
受注者は、「別紙 3 業務要件」に示す運用・保守業務を行うこと。具体的な実施内容・手順は実施計画書等に基づいて行うこと。
受注者は、後日、同様、もしくは、関連する作業等を効率的に実施できるように作業や調査結果等を資料にまとめて報告すること。報告内容は受注者内でレビューのうえ提出すること。
受注者は、「別紙4 システム運用管理基準」を参照のうえ、以下の内容について月次で運用・保守作業報 告書を取りまとめること。
（１） 運用・保守業務の内容や工数、作業時間等の作業実績状況
（２） サービスレベルの達成状況
（３） サービスレベル関連実績データと分析・評価及び対策
（４） 情報システムの構成と運転状況（情報セキュリティ監視状況を含む）
（５） 情報システムの定期点検状況（別紙 2、4、5 参照）
（６） 情報システムの利用者サポート、教育・訓練状況
（７） リスク・課題の把握・対応状況
（８） 問合せ管理運用状況（サービスデスク稼働状況）（「別紙 4 システム運用管理基準」参照）
（９） インシデント管理状況（「別紙 4 システム運用管理基準」参照）
（１０） 問題管理状況（「別紙 4 システム運用管理基準」参照）
（１１） 変更管理状況（「別紙 4 システム運用管理基準」参照）
（１２） 脆弱性管理（「別紙 4 システム運用管理基準」参照）
受注者は、月間の運用・保守実績を評価し、達成状況が目標に満たない場合はその要因の分析を行うとともに、達成状況の改善に向けた対応策を提案すること。
受注者は、運用・保守作業報告書の内容について、月例の定期運用会議に出席し、その内容を報告すること。但し、PMDA が認める場合は、書面による報告のみとする。
受注者は、ソフトウェア製品の保守の実施において、ソフトウェア製品の構成に変更が生じる場合には、
PMDA にその旨を報告し、変更後の環境がライセンスの許諾条件に合致するか否かの確認を受けること。
障害・情報セキュリティインシデント発生時及び大規模災害等の発災時の対応
受注者は、インシデントについて、発生日、内容、対応状況等と記録・整理すること。
受注者は、インシデント発生時の 1 次切り分け業務（検知、発生箇所の特定及び運用・保守に関係する事業者との連携による原因調査）を速やかに行うこと。
受注者は、情報システムの障害等インシデント発生時（又は発生が見込まれる時）には、速やかに PMDA
に報告するとともに、その緊急度及び影響度を判断の上、「別紙 4 システム運用管理基準 ４．２インシデ
ント管理」に示す「インシデント✲告書(ひな型)」を参照の上、インシデント発生時運用業務（検知、障害発生箇所及び原因調査、応急措置、復旧確認、✲告等）を行う❦と。なお、インシデントには、情✲セキュリティインシデントを含めるものとする。具体的な実施内容・手順は情✲システムごとのインシデント管理プロセス手順書に基づいて行う❦と。（インシデント管理プロセス手順書がない場合は、作成する❦と） また、情✲セキュリティインシデントの場合は、「PMDA 情✲セキュリティインシデント対処手順書」を参照の上、インシデント発生対応を実施の❦と。
受注者は、情✲システムのインシデントに関して事象の分析（発生原因、影響度、過去の発生実績、再発可能性等）を行い、同様の事象が将来にわたって発生する可能性がある場合には、xx的な対応策を提案及び対応策の実施をする❦と。
受注者は、運用業務に従事する要員に対して、年１回以上のセキュリティの定期教育を実施する❦と。また、新たに要員が参画する場合は、参画時にセキュリティ教育を実施する❦と
受注者は、大規模災害等の発災時には、PMDA の指示を受けて、必要な対応を実施する❦と。また定常時においても、運用継続計画（情✲システム用 BCP）を参照し、PMDA と協議の上、大規模災害時の手順書見直し・整備等の必要な対応を実施する❦と。
情✲システムの現況確認
受注者は、年１回、PMDA の指示に基づき、システム資産簿と情✲システムの現況との突合・確認（以下
「現況確認」という。）を支援する❦と。
受注者は、現況確認の結果、システム資産簿と情✲システムの現況との間に差異がみられる場合は、
「別紙 4 システム運用管理基準」に定める変更管理方法に従い、差異を解消する❦と
受注者は、現況確認の結果、ライセンス許諾条件に合致しない状況が認められる場合は、当該条件への適合可否、条件等を調査の上 PMDA に✲告する❦と。
受注者は、現況確認において IPA の MyJVN バージョンチェッカを用いる等により、ソフトウェア製品のバージョンを確認し、その結果、サポート切れのソフトウェア製品の使用が明らかとなった場合は、当該製品の更新の可否、更新した場合の影響の有無等を調査の上、PMDA に✲告する❦と。
受注者は、４における PMDA への✲告後、サポート切れのソフトウェア製品を更新した場合は、改めて
PMDA に✲告する❦と。
運用・保守作業の改善提案
受注者は、年度末までに年間の運用・保守実績を取りまとめるとともに、実施計画書、運用・保守手順書に対する改善提案を行う❦と。
引継ぎ
受注者は、現行運用・保守事業者から運用・保守に必要な事項の引継ぎとして、運用監視作業エリアの引継、サービスデスクの引継、システム資源及びデータの引継を受け、現行事業者から提供される資料
（運用・保守作業の計画書や✲告書、運用・保守設計書及び運用・保守手順書等の一覧）を基に自主的に業務習熟を行う❦と。
現行運用・保守事業者からの引継作業は受注者の負担と責任において実施する❦と。
受注者は、本調達に係る契約期間終了後、受注者と異なる事業者が本情✲システムの運用・保守業務を受託した場合には、次期運用・保守事業者に対し、作業経緯、残存課題等下記項目についての引継ぎを
行う❦と。
・問合せ、障害等の対応及び管理に関する手法・手順
・システム運用・保守マニュアル、運用・保守業務マニュアル
・仕掛中の項目一覧及びその進捗状況
・過去の問合せ、障害等の実績及びその対応方法
・バックログ・未対応作業一覧及びその対応(案)
・その他業務を引継ぐ上で必要と思われる事項
受注者は、PMDA が本システムの更改を行う際には、次期の情✲システムにおける要件定義支援事業者及び設計・開発事業者等に対し、作業経緯、残存課題等に関する情✲やデータの提供及び質疑応答等の協力を行う❦と。
受注者は、移行日までに設計・開発事業者等からの引継ぎを受け、本業務への影響を調査し、手順書の見直し・整備、教育等の必要な対応を実施する❦と。準備作業が完了した後、完了を✲告し、PMDA の承認を受ける❦と。
設計・開発事業者等からの引継及び準備作業は受注者の負担と責任において実施する❦と。
受注者は、PMDA が本システムの改修を行う際には、要件定義支援事業者及び設計・開発事業者等に対し、作業経緯、残存課題等に関する情✲やデータの提供及び質疑応答等の協力を行う❦と。
受注者は、移行日までに設計・開発事業者等からの引継ぎを受け、本業務への影響を調査し、手順書の見直し・整備、教育等の必要な対応を実施する❦と。準備作業が完了した後、完了を✲告し、PMDA の承認を受ける❦と。
設計・開発事業者等からの引継及び準備作業は受注者の負担と責任において実施する❦と。
システム資産簿登録に係る作業
PMDA においては、システムのインベントリ情✲をxx管理するシステム資産簿を作成している。受注者は、本システムで利用する機器、ソフトウェア、ネットワーク等の構成情✲を PMDA へ✲告し、xx管理するシステム資産簿の管理情✲について常に最新の状態を保つ❦と。なお、以下に示す事項以外に管理が必要と考えられる事項があれば PMDA と協議の上、合わせて管理する❦と。
受注者は対象システムに更新等が発生した場合、下記のインベントリ情✲に関し、PMDA が指定するシステム資産簿登録用シートを、PMDA が指示する時期に提出する❦と。
(ア) ハードウェア管理台帳（ハードウェア名称、システムモデル、シリアル番号、サポート内容・期間等）
(イ) ソフトウェア管理台帳（ソフトウェア名称、エディション・バージョン、ソフトウェアの搭載機器、サポート内容・期間等）
(ウ) ライセンス管理台帳（ソフトウェア名称、エディション・バージョン、ライセンス番号（シリアル番号）、提供形態、有効期限、保有ライセンス数等）
(エ) その他 PMDA が指定する項目
受注者は、本システムを構成する機器・ソフトウェアの変更、業務アプリケーションの変更、仕様書、設計書等の本システムにかかる各種ドキュメントの変更について、変更理由、変更内容、影響範囲、対応状況、責任者、対応者等と記録し、xx管理を行う❦と。
イ 契約金額内訳及び情✲資産管理標準シートの提出に係るその他の作業の内容
受注者は、契約金額の内訳を記載したエクセルの電子データを契約締結後速やかに提出する❦と。
本業務の成果物を次の表に示す。ただし、納入成果物の構成、詳細、スケジュールについては、受注後、
PMDA と協議し取り決める❦と。
なお、設計・開発によって納品されるドキュメントについては、記載レベル、記載内容等を明らかにし、メンテナンス性を考慮したものとする❦と。
表 ４-１ 工程と成果物
項番 | 工程 | 納入成果物 （注 1） | 納入期日 |
1 | 準備作業 | ・準備計画書 ・準備完了✲告書 | 運用開始日 |
2 | 計画 | ・実施計画書（注 2） ・情✲セキュリティ管理計画書（注 3） ・契約金額内訳 | 契約締結日から 2 週間以内 |
3 | 運用・保守 （ 定常時及び障害・情✲セキュリティインシデント発生時） | ・運用・保守作業✲告書（月次・年次・スポット等） ・改善提案書 ・システム運用マニュアル(注４) ・運用業務マニュアル(注５) ・システム関連ドキュメント ・プログラム・ツール等 | 2029 年 3 月 23 日 （※必要に応じて随時提出） |
4 | 引継ぎ | ・引継計画書 ・引継資料 ・引継結果✲告書 | 2029 年 3 月 23 日 |
5 | その他 | ・実施要領に基づく管理資料 ・打合せ資料 ・議事録 ・機密情✲受理管理簿 ・データ消去証明書 ・契約不適合責任に係る保有情✲の一覧 ・成果物一覧 ・最終✲告書 | 2029 年 3 月 23 日 （※必要に応じて随時提出） |
注1 納入成果物の作成にあたっては、SLCP-JCF2013（共通フレーム 2013）を参考とする❦と。注2 実施計画書に記載する事項
(ア) プロジェクトの目標
(イ) プロジェクトのスコープ
(ウ) 体制図（責任者・契約担当・再委託の有無、情✲セキュリティ責任者・情✲セキュリティ技術担当窓口を含む）
(エ) 作業分担（PMDA との役割分担を含む）
(オ) SLA
(カ) 年間作業スケジュール
(キ) 納入成果物
(ク) 提案事項・改善計画 (ケ) 前提条件・制約事項 (コ) 実施要領
① コミュニケーション管理要領（会議体、議事録作成ルール、通常時・緊急時の連絡方法）
② 進捗管理要領・リスク管理要領（✲告頻度、✲告様式、管理方法）
③ 課題管理要領・変更管理要領（様式、承認フロー、管理方法）
④ 構成管理要領、文書管理要領（マスターライブラリ、リリース、受領資料の管理方法）
⑤ 品質管理要領（レビュー計画、トレーサビリティ・マトリクス等）注3 情✲セキュリティ管理計画書に記載する事項
(ア) ISMS 等認証取得
(イ) 情✲管理に関するルール（社内規程明示等）
(ウ) 情✲管理体制
(エ) 情✲セキュリティインシデント対処方法
(オ) PMDA 情✲の取扱い（目的外使用・意図しない変更を防止する方法を含む）
(カ) メンバのスキル・資格等
(キ) 自主点検の実施
(ク) 業務環境のセキュリティ
(ケ) レポート体制
(コ) 再委託による履行保証措置
(サ) 緊急連絡方法
(シ) 教育・研修の実施
注4 システム運用上、運用支援要員の行うべき業務内容及び操作手順に関するマニュアルとし、全対象システムについて次の内容を盛り込んだものとする。
(ｱ)ジョブ一覧、(ｲ)起動・停止手順、(ｳ)バックアップ手順、(ｴ)リカバリ手順、(ｵ)障害監視手順、(ｶ)障害対応手順、 (ｷ)ログ確認手順、(ｸ)性能監視手順、(ｹ)設定変更手順、(ｺ)ユーザ管理手順、(ｻ)マスタの更新及びそれに伴うデータ修正手順、(ｼ) (ｱ)～(ｻ)の他、本業務の適切な履行のために運用支援要員が準拠すべき内容を網羅した手順書等
注5 システム運用上の業務プロセスを定めた「業務フロー及び手順書」とし、次のシステム運用業務について作成･更新するものとする。
(ｱ)問合せ管理プロセス (ｲ)インシデント管理プロセス (ｳ)変更管理プロセス (ｴ)リリース管理プロセス (ｵ)構成管理プロセス (ｶ)問題管理プロセス (ｷ)各定期点検プロセス (ｸ)リスク管理プロセス (ｹ)課題管理プロセス (ｺ)情✲セキュリティ管理プロセス。
イ 納品方法
成果物は、全て日本語で作成する❦と。ただし、日本国においても、英字で表記される❦とが一般的な文言については、そのまま記載しても構わないものとする。
用字・用語・記述符号の表記については、「公用文作成の考え方（建議）（令和４年１月７日文化審議会）」に準拠する❦と。
情✲処理に関する用語の表記については、原則、日本産業規格（JIS）の規定に準拠する❦と。
成果物は電磁的記録媒体（CD-R 等）により作成する❦と。また、PMDA が要求する場合は紙媒体でも納品する❦と。紙媒体の納品部数については、PMDA と協議する❦と。ただし、ソフトウェア、ソースコード等はxx電磁的記録媒体（CDーR など）のみとする。
紙媒体での納品を求める場合の用紙のサイズは、原則として日本産業規格Ａ列４番とするが、必要に応じて日本産業規格Ａ列３番を使用する❦と。
厚さ 15 ㎜程度のバインダー1 部に磁気媒体 2 部と成果物一覧（紙）を綴り、背表紙 に案件名、受注業者
名、納入年月日を記載する❦と。
電磁的記録媒体による納品について、ファイルは Microsoft 365 で読み込みが可能なファイル形式で作成する❦と。 ただし、左記ファイル形式で納品が困難な場合は、PMDA と事前に協議の上、PDF のファイル形式で作成する❦と。ただし、PMDA が他の形式による提出を求める場合は、協議の上、❦れに応じる❦と。なお、受注者側で他の形式を用いて提出したいファイルがある場合は、協議に応じるものとする。
現存するドキュメント等を変更する必要がある場合はそれらを修正する❦ととし、修正点が分かるように表記する❦と。
納品したドキュメントに修正等があった場合は、紙については、それまでの変更内容を表示するとともに変更履歴と修正ページ、外部電磁的記録媒体については、それまでの変更内容及び修正後の全編を速やかに提出する❦と。
納品後、PMDA において改変が可能となるよう、図表等の元データも併せて納品する❦と。成果物の作成に当たって、特別なツールを使用する場合は、PMDA の承認を得る❦と。
一般に市販されているツール、パッケージ類の使用は PMDA と協議の上、必要であれば使用を認める❦ととするが、特定ベンダーに依存する（著作権、著作者人格権を有する）ツール等は極力使用しない❦と。新規の開発ツール等を使用する場合、又はライセンスの追加が必要となる場合は、本稼働後５年間のライセンス及びメディアを納入する❦と。
成果物が外部に不正に使用されたり、納品過程において改ざんされたりする❦とのないよう、安全な納品方法を提案し、成果物の情✲セキュリティの確保に留意する❦と。
電磁的記録媒体により納品する場合は、不正プログラム対策ソフトウェアによる確認を行う等して、成果物に不正プログラムが混入する❦とのないよう、適切に対処する❦と。なお、対策ソフトウェアに関する情
✲（対策ソフトウェア名称、定義パターンバージョン、確認年月日）を記載したラベルを貼り付ける❦と。各工程の中間成果物も含め、本調達に係る全ての資料を納品する❦と。
✲告書、計画書等の成果物の記載様式については、記載様式案を PMDA に提示する❦と。PMDA は、案について受注者と協議の上、決定する。
成果物の作成及び納品に当たり、内容、構成等について PMDA が指摘した場合には、指摘事項に対応する❦と。
ウ 納品場所
原則として、成果物は次の場所において引渡しを行う❦と。ただし、PMDA が納品場所を別途指示する場合は❦の限りではない。
〒100-0013
xxxxxxxxxx 0-0-0 x霞が関ビル独立行政法人 医薬品医療機器総合機構
安全性情✲・企画管理部
５. 作業の実施体制・方法に関する事項 作業実施体制
受注者は、本業務に係る要員の役割分担、責任分担、体制図等を実施計画書の一部として作成し、PMDA に
✲告するとともに、承認を得る❦と。また、受注者は、必要な要員の調達を遅滞なく実施し、体制図等の要員配置関連資料を確定する❦と。
プロジェクトマネジメントに係る、品質管理・進捗管理・セキュリティ管理・リスク管理等の必要な機能を、体制に組み込む❦と。
作業体制の品質確保のため、本業務の運用責任者・リーダーは業務開始から業務終了まで継続して遂行する❦と。交代する場合は同等以上の要員が担当するものとし、事前に PMDA の承認を得る❦と。
受注者は、PMDA 側やその他関連事業者を含めた全体の体制・役割を示した上で、プロジェクトの推進体制及び本件受注者に求める作業実施体制を PMDA と協議の上定める❦と。また、受注者の情✲セキュリティ対策の管理体制については、作業実施体制とは別に作成する❦と。
受注者は、インシデント発生時などの連絡体制図を PMDA と協議の上定める❦と。
本業務の実施に当たり、PMDA の意図しない変更が行われない❦とを保証する管理が、一貫した品質保証体制の下でなされている❦と。また、当該品質保証体制が書類等で確認できる❦と。
本システムに PMDA の意図しない変更が行われる等の不正が見つかった時（不正が行われていると疑わしい時も含む）に、追跡調査や立入検査等、PMDA と受注者が連携して原因を調査・排除できる体制を整備している❦と。また、当該体制が書類等で確認できる❦と。
当該管理体制を確認する際の参照情✲として、資本関係・役員等の情✲、本業務の実施場所、本業務従事者の所属・専門性（情✲セキュリティに係る資格・研修実績等）・実績に関する情✲提供を行う❦と。
受注者は、本業務で知り得た情✲を適切に管理するため、次に掲げる体制を確保し、当該体制を確保している❦とを証明するため、PMDA に対し「情✲取扱者名簿」（当該業務に従事する者のうち、保護を要する情
✲を取り扱う可能性のある者の名簿をいう。業務の一部を再委託する場合は再委託先も含む。）、「情✲セキュリティを確保するための体制を定めた書面（情✲管理体制図、情✲管理に関する社内規則等）」（業務の一部を再委託する場合は再委託先も含む。）及び「業務従事者名簿」（当該業務に従事する者の名簿をいう。）を提出する❦と。
（確保すべき体制）
∙ 情✲取扱者は、本業務の遂行のために最低限必要な範囲の者とする❦と。
∙ 受注者が本業務で知り得た情✲について、PMDA が承認した場合を除き、受注者の役員等を含め、情✲取扱者名簿に記載のある者以外の者に伝達又は漏えいされない❦とを保証する履行体制を有している❦と。
∙ 受注者が本業務で知り得た情✲について、PMDA が承認した場合を除き、受注者の親会社、地域統括会社、ブランド・ライセンサー、フランチャイザー、コンサルタントその他の受注者に対して指導、監督、業務支援、助言、監査等を行う者を含め、受注者以外の者に伝達又は漏えいされない❦とを保証する履行体制を有している❦と。
※ 「情✲取扱者名簿」には、情✲管理責任者（当該業務の情✲取扱いの全てに責任を有する者）、情✲取扱管理者（当該業務の進捗管理等を行い、保護を要する情✲を取り扱う可能性のある者）、その他保護を要する情✲を取り扱う可能性のある者について、氏名、住所、生年月日、所属部署、役職等を、業務の一部を再委託する場合は再委託先も含めて、記載する❦と。なお、情✲管理責任者は、情✲の取扱いに関して、情✲セキュリティが侵害され又はそのおそれがある場合等の非常時における対策を定めるとともに、その内容を従事者に徹底する❦と。また、情✲取扱管理者を指定する❦と。
※ 「業務従事者名簿」には、当該業務に従事する者について、氏名、所属部署、役職、研修実績、専門的知識その他の知見等を記載する❦と。
受注者は、4 の「情✲取扱者名簿」、「情✲セキュリティを確保するための体制を定めた書面（情✲管理体制図、情✲管理に関する社内規則等）」及び「業務従事者名簿」に変更がある場合は、あらかじめ PMDA に申請を行い、承認を得なければならない❦と。
受注者は、本業務で知り得た情✲について、PMDA が承認した場合を除き、受注者の役員等を含め、情✲取扱者以外の者に伝達又は漏えいしてはならない❦と。受注者は、本業務で知り得た情✲について、 PMDA が承認した場合を除き、受注者の親会社、地域統括会社、ブランド・ライセンサー、フランチャイザー、コンサルタントその他の受注者に対して指導、監督、業務支援、助言、監査等を行う者を含め、受注者以外の者に伝達又は漏えいしてはならない❦と。
作業要員に求める資格等の要件 共通の必要スキル
PMDA と日本語により円滑なコミュニケーションを行う能力を有している❦と。
情✲システムの専門家ではない人に分かるように説明できる能力を有している❦と。
運用責任者・リーダの必要スキル
システム運用保守業務経験が 5 年以上
システム運用保守業務のマネジメント経験が 3 年以上
類似のシステムの構築経験有りまたは運用保守経験が 3 年以上
専門分野の必要スキル
Web システムの運用・保守に関する専門的な知識を有している❦と。
Web システムの運用・保守に関して取扱い経験及び専門的な技術知識を有し、現場担当者に対して適切な応答速度で、有効な助言、指示を与える者を配置する❦と。
本業務の作業場所及び作業に当たり必要となる設備、備品及び消耗品等については、受注者の責任において用意する❦と。また、必要に応じて PMDA が現地確認を実施する❦とができるものとする。
本業務の作業場所及びデータの保管場所は、日本国内でPMDA が承認した場所とする❦と。
PMDA 内での作業は、必要な規定の手続を実施し承認を得る❦と。
PMDA が緊急招集した場合は PMDA が指定する場所に 2 時間以内に参集できる❦と。
受注者は、PMDA が承認した運用実施計画書に基づき、運用・保守業務に係るコミュニケーション管理、体制管理、作業管理、リスク管理、課題管理、システム構成管理、変更管理、情✲セキュリティ対策を行う❦と。受注者は作業の進捗状況等を✲告するため、PMDA の担当職員と会議を定期的に行う❦と。また、当該会議の開催を実施計画書に記載する❦と。但し、PMDA が認める場合は、書面による✲告のみとする。
当該会議の開催の都度、原則 1 営業日前までに資料（ドラフト版も可とする）を送付し、3 営業日以内に議事録を作成、関係者に内容の確認を行った上で、PMDA の担当職員の承認を得る❦と。
情✲漏えい及び作業計画の大幅な遅延等の問題が生じた場合は、PMDA のプロジェクト責任者又は窓口担当者にその問題の内容について✲告する❦と。
６. 作業の実施に当たっての遵守事項 機密保持、情✲・資料の取扱い
受注者は、受注業務の実施の過程で PMDA が提供した情✲・資料(公知の情✲を除く。以下同じ。)、他の受注者が提示及び作成した情✲・資料を、本受注業務の目的以外に使用又は第三者に開示若しくは漏えいしてはならないものとし、そのために必要な措置を講ずる❦と。なお、PMDA が提供した情✲、資料を第三者に開示する必要がある場合は、事前に協議の上、承認を得る❦と。
受注者は、本受注業務を実施するに当たり、PMDA が提供した情✲・資料については管理台帳等により適切に管理し、かつ、以下の事項に従う❦と。
∙ 複製はしない❦と。
∙ 受注者組織内に移送する際は、暗号化や施錠等適切な方法により、情✲セキュリティを確保する❦と。また、PMDA との調整等に必要な場合及び返却時以外は原則として、受注者組織外に持ち出さない❦と。
∙ 個人情✲等の重要な情✲が記載された情✲・資料に関しては、原則として社外に持ち出さない❦と。
∙ 受注者組織内で作業を行う場合には、作業を行う施設は、IC カード等電磁的管理による入退館管理がなされている❦と。
∙ 作業を行う施設内の作業実施場所は、IC カード等電磁的管理による入退室管理がなされている❦と。
∙ 電磁的に情✲・資料を保管する場合には、当該業務に係る体制以外の者がアクセスできないようアクセス制限を行う❦と。また、アクセスログにより不審なアクセスがないかの確認を行う❦と。
∙ 情✲・資料を保管する端末やサーバ装置等は、受注者の情✲セキュリティポリシー等により、サイバー攻撃に備え、ウイルス対策ソフト、脆弱性対策及び検知・監視等の技術的対策が講じられ、適切に管理・運用される必要があるため、政府機関等のサイバーセキュリティ対策のための統一基準や PMDAサイバーセキュリティポリシーに準拠し、管理等する❦ととし、準拠した対応ができない場合は、代替のリスク軽減策を講じ、PMDA の承認を得る❦と。
∙ 用務に必要がなくなり次第、速やかに PMDA に返却する❦と。
∙ 受注業務完了後、PMDA が提供した情✲・資料を返却し、受注者において該当情✲を保持しない❦とを誓約する旨の書類を PMDA へ提出する❦と。
応札希望者についても上記に準ずる❦と。
「独立行政法人 医薬品医療機器総合機構 情✲システム管理利用規程」の第 52 条に従う❦と。
「秘密保持等に関する誓約書」を別途提出し、❦れを遵守しなければならない。機密保持の期間は、当該情✲が公知の情✲になるまでの期間とする。
機密保持及び情✲・資料の取扱いについて、適切な措置が講じられている❦とを確認するため、PMDA が遵守状況の✲告や実地調査を求めた場合には応じる❦と。
本業務で作成したデータ等については、業務の終了に伴い不要となった場合又は PMDA から廃棄又は抹消の指示があった場合には、回復が困難な方法により速やかに廃棄又は抹消する❦と。なお、受注者が用意するヘルプデスク機材や開発・運用機材等のうち、個人情✲を取り扱う場合を含むものとする。PMDA の承認を得た上で速やかに実施し、実施後においては作業完了✲告書を PMDA に速やかに提出する❦と。
次の文書の最新版を遵守する❦と。遵守すべき文書が変更された場合は変更後の文書を遵守する❦と。
独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー独立行政法人 医薬品医療機器総合機構 情✲システム管理利用規程独立行政法人 医薬品医療機器総合機構 個人情✲管理規程
なお、「独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー」は非公表であるが、「政府
機関等のサイバーセキュリティ対策のための統一基準」に準拠しているので、必要に応じ参照する❦と。「独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー」の開示については、契約締結後、受注者が担当職員に守秘義務の誓約書を提出した際に開示する。
受注業務の実施において、現行情✲システムの設計書等を参照する必要がある場合は、作業方法等について PMDA の指示に従い、秘密保持契約を締結する等した上で、作業する❦と。
受注者は、受注業務の実施において、民法、刑法、著作xx、不正アクセス行為の禁止等に関する法律、個人情✲の保護に関する法律等の関連する法令等を遵守する❦と。
本調達案件の受注者は、情✲セキュリティ対策として、以下を含む情✲セキュリティ管理計画書を契約締結後速やかに提出し、PMDA の承認を受けた上で、それに基づき情✲セキュリティ対策を実施する❦と。なお、PMDAは実施状況について、随時、実地調査できるものとする。
PMDA から提供する情✲の目的外利用を禁止する❦と。
本業務の実施に当たり、受注者又はその従業員、本調達の役務の内容の一部を再委託する先、若しくはその他の者による意図せざる不正な変更が情✲システムのハードウェアやソフトウェア等に加えられないための管理体制が整備されている❦と。
受注者の資本関係・役員等の情✲、本業務の実施場所、本業務従事者の所属・専門性（情✲セキュリティに係る資格・研修実績等）・実績に関する情✲提供を行う❦と。具体的な情✲提供内容については PMDA と協議の上、決定するものとする。
情✲セキュリティインシデントへの対処方法（対処手順、責任分界、対処体制、対応時間、情✲伝達時間・手段等）が確立されている❦と。
情✲セキュリティ対策その他の契約の履行状況を定期的に確認し、PMDA へ✲告する❦と。
情✲セキュリティ対策の履行が不十分である場合、速やかに改善策を提出し、PMDA の承認を受けた上で実施する❦と。
PMDA が求めた場合に、速やかに情✲セキュリティ監査を受入れる❦と。
本調達の役務内容を一部再委託する場合は、再委託される❦とにより生ずる脅威に対して情✲セキュリティが十分に確保されるように情✲セキュリティ管理計画書に記載された措置の実施を担保する❦と。
PMDA から要保護情✲を受領する場合は、情✲セキュリティに配慮した受領方法にて行う❦と。
PMDA から受領した要保護情✲が不要になった場合は、❦れを確実に返却、又は抹消し、書面にて✲告する❦と。
本業務において、情✲セキュリティインシデントの発生又は情✲の目的外利用等を認知した場合は、速やかに PMDA に✲告する❦と。
本調達に係る業務の遂行における情✲セキュリティ対策の履行状況を確認するために、PMDA が情✲セキ
ュリティ監査の実施を必要と判断した場合は、PMDA がその実施内容（監査内容、対象範囲、実施者等）を定めて、情✲セキュリティ監査を行う（PMDA が選定した事業者による外部監査を含む。）。
受注者は、PMDA から監査等の求めがあった場合に、速やかに情✲セキュリティ監査を受け入れる部門、場所、時期、条件等を「情✲セキュリティ監査対応計画書」等により提示し、監査を受け入れる❦と。なお、実施計画書に付記する❦とでもよい。
受注者は自ら実施した外部監査についても PMDA へ✲告する❦と。
情✲セキュリティ監査の実施については、❦れらに記載した内容を上回る措置を講ずる❦とを妨げるものではない。
業務履行後において当該業務に関する情✲漏えい等が発生した場合であっても、監査を受け入れる❦と。 PMDA において本調達に関する監査等が実施される場合、受注者は、技術支援及び情✲提供を行う❦と。受注者は、PMDA における監査の指摘や指摘対応の進捗等把握のための資料提出依頼等があった場合は、PMDA と協議の上、内容に沿って適切な対応を行う❦と。
受注者は、PMDA から提供した資料又は PMDA が指定した資料の履行完了後の取扱い（返却、削除等）について、本仕様書の定めの他、PMDA の指示に従う❦と。
７. 成果物の取扱いに関する事項 知的財産権の帰属
調達に係り作成・変更・更新されるドキュメント類及びプログラムの著作権（著作xx第 21 条から第 28 条までに定める全ての権利を含む。）は、受注者が調達の情✲システム開発の従前から権利を保有していた等の明確な理由により、あらかじめ書面にて権利譲渡不可能と示されたもの以外、PMDA が所有する現有資産を移行等して発生した権利を含めて全て PMDA に帰属するものとする❦と。また、PMDA は、納品された当該プログラムの複製物を、著作xx第 47 条の 3 の規定に基づき、複製、翻案する❦と及び当該作業を第三者に委託し、当該者に行わせる❦とができるものとする。
本件に係り発生した権利については、受注者は著作者人格権を行使しないものとする❦と。
調達に係り発生した権利については、今後、二次的著作物が作成された場合等であっても、受注者は原著作物の著作権者としての権利を行使しないものとする❦と。
調達に係り作成・変更・修正されるドキュメント類及びプログラム等に第三者が権利を有する著作物（以下、
「既存著作物等」という。）が含まれる場合、受注者は当該既存著作物等の使用に必要な費用負担や使用許諾契約等に係る一切の手続を行う❦と。❦の場合、受注者は、事前に当該既存著作物の内容について PMDA の承認を得る❦ととし、PMDA は、既存著作物等について当該許諾条件の範囲で使用するものとする。
調達に係り第三者との間に著作権に係る権利侵害の紛争が生じた場合には、当該紛争の原因が専ら PMDA の責めに帰す場合を除き、受注者の責任、負担において一切を処理する❦と。❦の場合、PMDA は係る紛争の事実を知った時は、受注者に通知し、必要な範囲で訴訟上の防衛を受注者に委ねる等の協力措置を講ずる。
なお、受注者の著作又は一般に公開されている著作について、引用する場合は出典を明示するとともに、受注者の責任において著作者等の承認を得るものとし、PMDA に提出する際は、その旨併せて✲告するものとする。
本調達仕様書「４．（２）ア 成果物」に則って、成果物を提出する❦と。その際、PMDA の指示により、別途、品質保証が確認できる資料を作成し、成果物と併せて提出する❦と。
検査の結果、成果物の全部又は一部に不合格品を生じた場合には、受注者は直ちに引き取り、必要な修復を行った後、指定した日時までに修正が反映された全ての成果物を納品する❦と。
本調達仕様書「４．（２）ア 成果物」に依る以外にも、必要に応じて成果物の提出を求める場合があるので、作成資料は常に管理し、最新状態に保っておく❦と。
特段の事情がない限り、受注者においても全数検査又はサンプル検査を行う❦と。
受注者は本業務の成果物に対する契約不適合責任を負うものとする。本業務の最終検収後において、委託業務の納入成果物に関して仕様書と異なる、または契約目的に照らして通常期待される条件を満たしていない等本システムの正常な稼動等に関わる契約不適合の疑いが生じた場合であって、PMDA が検収後 1 年以内に調査を求めた場合は、受注者は速やかに契約不適合の疑いに関して調査し回答する❦と。調査の結果、納入成果物に関して契約不適合等が認められた場合には、受注者の責任及び負担において速やかに修正を行う❦と。なお、修正を実施する場合においては、修正方法等について、事前に PMDA の承認を得てから着手すると共に、修正結果等について、PMDA の承認を受ける❦と。
受注者は、契約不適合責任を果たす上で必要な情✲を整理し、その一覧を PMDA に提出する❦と。契約不適合責任の期間が終了するまで、それら情✲が漏洩しないように、ISO/IEC27001 認証（国際標準規格）又はJISQ27001 認証（日本産業規格）に従い、また個人情✲を取り扱う場合には JISQ15001（日本産業規格）に従い、厳重に管理をする❦と。また、契約不適合責任の期間が終了した後は、速やかにそれら情✲をデータ復元ソフトウェア等を利用してもデータが復元されないように完全に消去する❦と。データ消去作業終了後、受注者は消去完了を明記した証明書を作業xxとともに PMDA に対して提出する❦と。なお、データ消去作業に必要な機器等については、受注者の負担で用意する❦と。
８. 入札参加資格に関する事項 入札参加要件
ア 公的な資格や認証等の取得
品質管理体制について ISO9001:2015、組織としての能力成熟度について CMMI レベル 3 以上のうち、いずれかの認証を受けている❦と。
プライバシーマーク付与認定、JIS Q 15001 認証（日本産業規格）、ISO/IEC27701 認証（国際規格）、 ISO/IEC27001 認証（国際規格）、JIS Q 27001 認証（日本産業規格）のうち、いずれかを取得している❦と。本調達仕様書「１１．（３）応札希望者が閲覧できる資料一覧」を指定期間内に閲覧する❦と。
イ 受注実績
過去に本事業と同等規模以上の類似業務の実績を有している❦と。
情✲システムの調達のxx性を確保するため、応札希望者は、以下に挙げる事業者並びに❦の事業者の「財
務諸表等の用語、様式及び作成方法に関する規則」（昭和 38 年大蔵省令第 59 号）第 8 条に規定する親会社及び子会社、同一の親会社を持つ会社並びに委託先事業者等の緊密な利害関係を有する事業者でない❦と。
①PMDA の CIO 補佐が現に属する、又は過去 2 年間に属していた事業者等
②各工程の調達仕様書の作成に直接関与した事業者等
③設計・開発等の工程管理支援業者等
９. 再委託に関する事項
受注者は、受注業務の全部又は受注業務における総合的な企画及び判断並びに業務遂行管理部分を第三者
（受注者の子会社（会社法第 2 条第 3 号に規定する子会社をいう。）を含む。）に再委託する❦とはできない。ま
た、本事業の契約金額に占める再委託契約金額の割合は、原則 2 分の 1 未満とする❦と。
受注者は、知的財産権、情✲セキュリティ（機密保持及び遵守事項）、ガバナンス等に関して本調達仕様書が定める受注者の債務を、再委託先事業者も負うよう必要な処置を実施する❦と。
また、再委託先事業者の対応について最終的な責任を受注者が負う❦と。
受注業務の一部を再委託する場合は、あらかじめ再委託の相手方の商号又は名称及び住所並びに再委託を行う業務の範囲、再委託の必要性及び契約金額について記載した「再委託に係る承認申請書」を提出し、承認を受ける❦と。なお、再委託の相手方は本調達仕様書「８．（２）入札制限」の対象となる事業者でない❦と。
再委託先が「６（３）情✲セキュリティ管理」の要件を満たしている❦とを証明する書面※及び受注者と再委託先との委託契約書の写し及び委託要領等の写しを、「再委託に関する承認申請書」に添付して提出する
❦と。
※情✲セキュリティに関する管理体制と管理基準、社内規程が整備されている事実を証明する書面。（例：管理体制図、社内規程、ISO 認証、外部監査実績、等）
受注者は、機密保持、知的財産権等に関して本仕様書が定める受注者の責務を再委託先業者も負うよう、必要な処置を実施し、PMDA に✲告し、承認を受ける❦と。
受注者は再委託先の資本関係・役員等の情✲、委託事業の実施場所、委託事業従事者の所属・専門性
（情✲セキュリティに係る資格・研修実績等）・実績に関して、PMDA から求めがあった場合には情✲提供を行う❦と。
当初申請内容に変更が生じた場合は「再委託に係る変更承認申請書」を提出する❦と。
再委託の相手方から更に第三者に委託が行われる場合は、当該第三者の商号又は名称及び住所並びに委託を行う業務の範囲等を記載した「履行体制図」を提出する❦と。
再委託先において、本調達仕様書の遵守事項に定める事項に関する義務違反又は義務を怠った場合には、受注者が一切の責任を負うとともに、PMDA は、当該再委託先への再委託の中止を請求する❦とができる。
１０. その他特記事項
本件受注後に調達仕様書（別紙を含む）の内容の一部について変更を行おうとする場合、その変更の内容、理由等を明記した書面をもって PMDA に申し入れを行う❦と。
調達に係る納品物については、国等による環境物品等の調達の推進等に関する法律（グリーン購入法）第
６条に基づく環境物品等の調達の推進に関する基本方針に定める判断の基準を満たす❦と。
導入する機器については、性能や機能の低下を招かない範囲で、消費電力節減、発熱対策、騒音対策等の環境配慮を行う❦と。
PMDA 全体管理組織(PMO)が担当課室に対して指導、助言等を行った場合には、受注者もその方針に従う
❦と。
受注者は、デジタル・ガバメント推進に係る政府の各種施策・方針等(今後出されるものを含む)に従う❦と。
１１. 附属文書
別紙１ SLA（Service Level Agreement）項目別紙２ 作業スケジュール
別紙３ 業務要件
別紙４ システム運用管理基準
別紙５ 情✲セキュリティ対策の運用要件
なし
閲覧資料１ PMDA 情✲セキュリティインシデント対処手順書閲覧資料２ セキュリティ管理要件書(ひな型)
閲覧資料３ システム設計書閲覧資料４ 運用・保守手順書
閲覧資料５ 前年度運用支援業務納品資料閲覧資料６ 新統合基盤移行参考資料
応札希望者が資料の閲覧を希望する場合は、公告期間中に本調達仕様書「１．（８）担当課室・連絡先」に事前に連絡し了承を得た上で、「秘密保持等に関する誓約書」（PDF）を提出した場合に閲覧を許可する。なお、「秘密保持等に関する誓約書」（PDF）の提出は閲覧当日でよい。閲覧資料は CD/DVD にて提供する。貸し出した CD/DVD は開札日までに返却する❦と。
・閲覧申込期間 公告日から開札の 7 日前まで
契約締結後に受注者が閲覧を希望する場合に開示する資料は以下のとおり。
∙ 独立行政法人 医薬品医療機器総合機構 サイバーセキュリティポリシー
別紙１ 「SLA（Service Level Agreement）項目」
指標の種類 | 指標名 | 計算式 | 単位 | 目標値 | 計測方法 | 計測周期 |
問い合わせ への一次回答 | 一次回答の応答時間 | 応答時刻－問い合わせ受付時刻＜1 営業日の件数 ／問い合わせ件数 | ％ | 100% | 問い合わせ一覧表に受付と応答日時の記録 | 毎月 |
セキュリティ対策 | セキュリティ事故発生件数 | セキュリティ事故発生件数 | 件 | 0 件 | セキュリティ対策ソフトウェアおよび人手により検知されたセキュリティ事故(防御されたものは除 く)の発生件数の集計 | 毎月 |
運用業務サービス | サービス提供時間 | 9:00～18:00 のサービスを 提供できなかった日数／営業日数×100 | ％ | 0% | 勤務実績の提出 | 毎月 |
報告書類の提出期限 | 期限までに提出した報告書類の件数／報告書類の件数×100 | ％ | 100% | 提出期日と報告日の比較 | 都度 | |
ヘルプデスク業務 | サービス提供時間 | 9:00～18:00 のサービスを提供できなかった日数／営業日数×100 | ％ | 0% | 勤務実績の提出 | 毎月 |
障害発生 | 自責障害の発生 | オペレーション作業・保守作業領域にて発生した自責障害の件数 | 件数 | ０ | インシデント一覧の提出 | 毎月 |
アプリケーション領域・自責障害の再発防止策実施件数／アプリケーション領 域・自責障害件数 | ％ | 100% | インシデント一覧の提出 | 毎月 | ||
障害対応 | 初動対応の開始 | 異常の発見から 1 時間以 内に初動対応を行った障害件数／障害件数×100 | ％ | 100% | 障害発見日時と初動対 応開始日時の障害報告書への記録 | 毎月 |
障害発生の連絡 | 異常の発見から 1 時間以 内に PMDA に連絡した障害件数／障害件数×100 | ％ | 100% | 障害発見日時と障害発 生連絡日時の障害報告書への記録 | 毎月 | |
障害報告書の提出期限 | 期限までに提出した障害報告書の件数／障害報告書の件数×100 | ％ | 100% | 提出期日と報告日の比較 | 都度 | |
システム稼働 | システム稼働率 | (計画サービス時間－計画外サービス停止時間)／計画サービス時間×100 ※1 分未満のサービス停止時間は切り捨て) ※共通基盤の障害に起因するサービス停止時間は含めないものとする。 ※サービス提供時間をシ ステム稼働率の計算対象とする。 | ％ | 99.9% | サービス停止開始・終了日時の記録 | 毎月 |
No | 実施 区分 | 3月 | 4月 | 5月 | 6月 | 7月 | 8月 | 9月 | 10月 | 11月 | 12月 | 1月 | 2月 | 3月 | 実施内容 | ||
マイルストン | |||||||||||||||||
1-1 | キックオフ（初年度のみ） | 実施 ◎ | ▲ 報告 | 実施計画書に基づくキックオフを実施 | |||||||||||||
1-2 | 前業者からの引継ぎ（初年度のみ） | 実施 ◎ | 実施 | 運用・保守準備作業に関する準備計画書を作成し、PMDAの承認を受けた後、前事 業者からの引継ぎを行う。 | |||||||||||||
1-3 | 月次定例 | 実施 ◎ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | |||
1-4 | 次年度（新業者）への引継ぎ （最終年度の み） | 実施 ◎ | 準備 | 実施 | |||||||||||||
運用 | |||||||||||||||||
2-1 | インシデント一覧報告（システム障害、情報セキュ リティインシデントを含む） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」⇒インシデント管理：インシデント一覧による月次報告を 翌月第3金曜の2営業日前までに提出 | ||
2-2 | システム変更作業報告 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」⇒変更管理：変更作業一覧による月次報告を翌月第3金曜の 2営業日前までに提出（DA-1-1）（SC-1-1） | ||
2-3 | 特権ID使用状況報告 （台帳を含む） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」⇒特権ID管理台帳・特権ID使用管理簿による月次報告を翌 月第3金曜の2営業日前までに提出（AC-2-3） | ||
2-4 | データ保全（バックアップ）状況の点検 （回復の机上訓練は５月） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」⇒バックアップと回復：遵守状況の月次報告、机上訓練 （DA-2-1） | ||
2-5 | 情報セキュリティ：遵守状況の報告 | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 「システム運用標準」⇒情報セキュリティ：遵守状況の報告 | ||
2-6 | 脆弱性対策の実施状況の点検 | 報告 ○ | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ▲報告 | ⇒情報セキュリティ管理： 脆弱性対策管理簿・脆弱性管理対象ソフトウェア一覧による月次報告を翌月第3金曜の2営業日前までに提出（AT-3-2） | ||
権限管理 | |||||||||||||||||
3-1 | 各業務データアクセス権限再検証 | 支援 △ | 準備 | 実施 | ▲ 報告 | 不要なアクセス権限の洗い出しと削除。 | |||||||||||
3-2 | ユーザーID棚卸し （各業務システム） | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 不要IDの洗い出しと削除・無効化。不要なID、権限があれば削除する。（AC-2- 1）（AC-2-2） （PR-1-2） | |||||||||||
3-3 | 特権ID検証（棚卸し） | 実施 ◎ | 準備 | 実施 | ▲報告 | 【システム運用標準】”システム運用管理(要件書）”に基づく運用 ⇒特権ID管理台帳と特権ID使用管理簿の相関チェック（AC-2-1）（AC-2-2） | |||||||||||
3-4 | パソコン等搭載ソフトウェアの定期的な調査、不要 ソフトウェアの削除 | 実施 ◎ | 準備 | 実施 | ▲ 報告 | 使用するソフトウェア・バージョン、ソフトウェアの利用可否基準を整理し、棚 卸を実施する | |||||||||||
点検 | |||||||||||||||||
4-1 | 情報資産棚卸し・リスク評価 | 支援 △ | 準備 | 実施 | ▲ 報告 | ⇒ 厚労省のガイドラインに従って実施：「情報資産台帳」「情報資産ライフサ イクル確認様式」「リスク評価チェックシート様式」の作成・更新 | |||||||||||
4-2 | パソコン等情報資産棚卸し | 支援 △ | 準備 | 実施 | ▲ 報告 | システム資産簿と現物との照合(照合結果に基づく「台帳｣の作成) | |||||||||||
4-3 | システム台帳の最新化 | 支援 △ | 準備 | 実施 | ▲ 報告 | ⇒システム資産簿を更新する。 | |||||||||||
4-4 | ログ取得状況の点検 | 実施 ○ | 準備 | 実施 | ▲報告 | ログが所定の要件通り、取得・蓄積されていることを確認する。（AU-1-1） 取得・蓄積されたログが不正な改ざんや削除が行われていなことを確認すること。（AU-1-2） | |||||||||||
4-7 | 情報システム開発・運用資料確認 | 実施 ○ | 準備 | 実施 | ▲ 報告 | 情報システムの開発・運用・保守に必要な各種ドキュメント（各種設計書、手順 書等）と実装（システムの構成・設定、プログラム等）が一致していることを確 | |||||||||||
教育・訓練 | |||||||||||||||||
5-1 | システム運用担当者 | 実施 ○ | 受講 | 年次及び新任者参画時に実施する | |||||||||||||
No | 実施 区分 | 3月 | 4月 | 5月 | 6月 | 7月 | 8月 | 9月 | 10月 | 11月 | 12月 | 1月 | 2月 | 3月 | 実施内容 | ||
内部監査 | |||||||||||||||||
6-1 | 委託先における情報セキュリティ対策の履行状況 の確認 | 受査 ◎ | 準備 | 受査 | 初年度及びPMDAが必要と判断した際に実施する | ||||||||||||
PMDA監査受査への支援 | |||||||||||||||||
7-1 | 厚労省・NISC等情報セキュリティ監査 | 支援 △ | 監査支援 | 監査対象システム及びスケジュールは各年度で決定する | |||||||||||||
7-2 | 調達による第3者情報セキュリティ監査 | 支援 △ | 監査支援 | PMDAが監査業者を調達して行う自己点検の対応 監査対象システム及びスケジュールは各年度で決定する | |||||||||||||
7-3 | 監査指摘対応フォロー | 支援 △ | ▲ 報告 | ･････････・・・・・・・・運用フォロー････････････・・・・ | ▲ 報告 | ・・・運用フォロー・・・ | 過去及び契約期間中の7-1、7-2の監査指摘事項に対する改❹活動及び改❹状況の 報告 | ||||||||||
別紙５ 情報セキュリティ対策の運用要件 | |||||||||||||||||
通信経路の分離 （ＡＴ－１－１） | No.4-5参照 | ||||||||||||||||
通信のなりすまし防止 （ＡＴ－１－３） | No.4-5参照 | ||||||||||||||||
運用時の脆弱性対策 （ＡＴ－３－２） | No.2-6参照 | ||||||||||||||||
ログの蓄積・管理 （ＡＵ－１－１） | No.4-4参照 | ||||||||||||||||
ログの保護 （ＡＵ－１－２） | No.4-4参照 | ||||||||||||||||
時刻の正確性確保 （ＡＵ－１－３） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | 時刻同期に問題ないことを月次で確認する。もしくは、差異がある場合に検知す る仕組みを構築する。 | |||
ライフサイクル管理 （ＡＣ－２－１） | No.3-2参照 | ||||||||||||||||
アクセス権管理 （ＡＣ－２－２） | No.3-1参照 | ||||||||||||||||
管理者権限の保護 （ＡＣ－２－３） | No.2-3参照 | ||||||||||||||||
通信経路上の盗聴防止 （ＰＲ－１－１） | No.4-5参照 | ||||||||||||||||
保存情報の機密性確保 （ＰＲ－１－２） | No.3-2参照 | ||||||||||||||||
業務データへのアクセス管理 | No.3-2参照 | ||||||||||||||||
受託者によるアクセス | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ||||
情報の物理的保護 （ＰＨ－１－１） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ||||
侵入の物理的対策 （ＰＨ－１－２） | 報告 ○ | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ▲ 報告 | ||||
システムの構成管理 （ＤＡ－１－１） | No.2-2参照 | ||||||||||||||||
システムの可用性確保 （ＤＡ－２－１） 情報のバックアップの取得 | No.2-4参照 | ||||||||||||||||
委託先において不正プログラム等が組み込まれるこ とへの対策（ＳＣ－１－１） | No.2-2参照 | ||||||||||||||||
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケジュー ル | 実施 ◎ | 1回/年 | マイルストン | 1-1 キックオフ | 実施計画書に基づくキックオフを実施 | |
2 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | マイルストン | 1-2 前業者からの引継ぎ | 契約後２週間以内に運用準備作業に関する実施計画書（運用準備作業）を作成し、PMDAの承認を受けた後、前事業者からの引継ぎを行う。 | |
3 | 別紙2_作業スケジュー ル | 実施 ◎ | 1回/月 | マイルストン | 1-3 月次定例 | - | |
4 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | マイルストン | 1-4 次年度(新業者)への引継ぎ (最終年度のみ) | - |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケ ジュール | 実施 〇 | 1回/月 | 運用 | 2-1 インシデント一覧報告 | 「システム運用標準」⇒インシデント管理：インシデント一覧による 月次報告 | |
2 | 別紙2_作業スケ ジュール | 実施 〇 | 1回/月 | 運用 | 2-2 システム変更作業報告 | 「システム運用標準」⇒変更管理：変更作業一覧による月次報告（DA- 1-1）（SC-1-1） | |
3 | 別紙2_作業スケジュール | 実施 〇 | 1回/月 | 運用 | 2-3 特権ＩＤ使用状況報告 | 「システム運用標準」⇒特権ID管理台帳・特権ID使用管理簿による月次報告（AC-2-3） 補足： 月次定例の「特権ID管理簿」にて報告を行う。 | |
4 | 別紙2_作業スケジュール | 実施 〇 | 1回/月 | 運用 | 2-4 データ保全（バックアップ）状況の点検 | 「システム運用標準」⇒バックアップと回復：遵守状況の月次報告 | |
1回/年 | 「システム運用標準」⇒バックアップと回復：遵守状況の月次報告、机上訓練（DA-2-1） 手順： | ||||||
5 | 別紙2_作業スケ ジュール | 実施 〇 | 1回/月 | 運用 | 2-5 情報セキュリティ：遵守状況の報告 | 「システム運用標準」⇒情報セキュリティ：遵守状況の報告 | |
6 | 別紙2_作業スケ ジュール | 実施 〇 | 1回/月 | 運用 | 2-6 脆弱性対策の実施状況の点検 | ⇒情報セキュリティ管理：脆弱性対策管理簿・脆弱性管理対象ソフト ウェア一覧による月次報告（AT-3-2） |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケ ジュール | 支援 △ | 不定期 ※支援のため | 権限管理 | 3-1 各業務データアクセス権限再検証 | 不要なアクセス権限の洗い出しと削除。 補足： 手順： | |
2 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | 権限管理 | 3-2 ユーザーＩＤ棚卸し （各業務システム） | 不要IDの洗い出しと削除・無効化。不要なID、権限があれば削除する。（AC-2-1）（AC-2-2） （PR-1-2） 補足： 各サーバのID及び権限の見直しを行い、2回目以降は、ユーザ情報に変更がないか差分比較を実施する。 手順： | |
3 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | 権限管理 | 3-3 特権ＩＤ検証 (棚卸し) | 【システム運用標準】”システム運用管理(要件書）”に基づく運用 ⇒特権ID管理台帳と特権ID使用管理簿の相関チェック（AC-2-1） （AC-2-2） 補足： 特権ID管理簿の見直しを実施する。 手順： | |
4 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | 権限管理 | 3-4 パソコン等搭載ソフトウェアの定期的な調査、不要ソフトウェアの削除 | 使用するソフトウェア・バージョン、ソフトウェアの利用可否基準を整理し、棚卸を実施する。 補足： 不要なソフトウェアがある場合は見直しを行う。2回目以降は、差分情報を確認する。 手順： |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケジュール | 支援 △ | 不定期 ※支援のため | 点検 | 4-1 情報資産棚卸し・リスク評価 | 厚労省のガイドラインに従って実施：「情報資産台帳」「情報資産ライフサイクル確認様式」「リスク評価チェックシート様式」の作成・更新 | |
2 | 別紙2_作業スケジュー ル | 支援 △ | 不定期 ※支援のため | 点検 | 4-2 パソコン等情報資産棚卸し | システム資産簿と現物との照合(照合結果に基づく「台帳｣の作成) | |
3 | 別紙2_作業スケジュー ル | 支援 △ | 不定期 ※支援のため | 点検 | 4-3 システム台帳の最新化 | システム資産簿を更新する。 | |
4 | 別紙2_作業スケジュール | 実施 〇 | 1回/年 | 点検 | 4-4 ログ取得状況の点検 (システム・リプレース後に開始) | ログが所定の要件通り、取得・蓄積されていることを確認する。（AU- 1-1） 取得・蓄積されたログが不正な改ざんや削除が行われていなことを確認すること。（AU-1-2） 補足： | |
5 | 別紙2_作業スケジュール | 実施 〇 | 1回/年 | 点検 | 4-5 セキュリティヘルスチェック（不正プログラム及び不正な設定変更の有無確認） | 本システムのFW、運用支援業者が本システムにリモート接続するために設置したVPN装置やFWについて、セキュリティヘルスチェック（構成管理資料の原本と実際の設定状況を目視にて突合せチェックすることにより各種セキュリティ設定の不正変更の有無をチェックする）と合わせて実施し報告すること。（AT-1-1）（AT-1-3）（PR-1-1） 補足： | |
6 | 別紙2_作業スケジュール | 実施 〇 | 1回/年 | 点検 | 4-6 情報セキュリティ：遵守状況の自己点検 | 「システム運用標準」⇒情報セキュリティ：遵守状況の報告 4-5を年次自己点検とする。 | 4-5に同じ |
7 | 別紙2_作業スケジュール | 実施 ◎ | 1回/年 | 点検 | 4-7 情報システム開発・運用資料確認 | 前回以降の改修（運用支援業務による改修及び運用支援業務以外による改修）が全て反映されており、情報システムの開発・運用・保守に必要な各種ドキュメント（各種設計書、手順書等）と実装（システムの構 成・設定、プログラム等）が一致していることを確認して報告する。 |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケジュール | 受講 △ | 1回/年 | システム運用担当者 | 5-1 情報システム開発・運用資料確認 | 年次及び新任者参画時に実施する １月に２回開催予定 補足：前方支援担当者及び後方支援担当者に教育を行うこと。また、新しい担当者が参画した場合は、セキュリティ教育を実施すること。 |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケジュール | 受査 ◎ | 初年度及びPMDAが必要と判断した際 | 内部監査 | 6-1 委託先における情報セキュリティ対策の履行状況の確認 | 初年度及びPMDAが必要と判断した際に実施する |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙2_作業スケジュール | 支援 △ | 1回/年 | ＰＭＤＡ監査受査への支援 | 7-1 厚労省・情報セキュリティ監査 | 監査対象システム及びスケジュールは各年度で決定する | |
2 | 別紙2_作業スケジュール | 支援 △ | 1回/年 | ＰＭＤＡ監査受査への支援 | 7-2 調達による第3者情報セキュリティ監査 | PMDAが監査業者を調達して行う自己点検の対応 監査対象システム及びスケジュールは各年度で決定する | |
3 | 別紙2_作業スケジュール | 支援 △ | 1回/年 | ＰＭＤＡ監査受査への支援 | 7-3 監査指摘対応フォロー | 過去及び契約期間中の7-1、7-2の監査指摘事項に対する改❹活動及び改❹状況の報告 |
情報セキュリティ履行状況作業計画
No | 引用元資料 | 実施区分 | 実施頻度 | 項目 | 詳細項目 | 実施内容 | 実施状況 |
1 | 別紙５ 情報セキュリ ティ対策の運用要件 | 実施 〇 | 1回/年 | 通信回線対策（AT-1） | 通信経路の分離 （AT-1-1） | ||
2 | 別紙５ 情報セキュリ ティ対策の運用要件 | 実施 〇 | 1回/年 | 通信のなりすまし防止 （AT-1-3） | |||
3 | 別紙５ 情報セキュリ ティ対策の運用要件 | 実施 〇 | 1回/月 | ログ管理 （AU-1） | 時刻の正確性確保 （AU-1-3） | 時刻同期に問題ないことを月次で確認する。もしくは、差異がある場合 に検知する仕組みを構築する。 | |
4 | 別紙５ 情報セキュリティ対策の運用要件 | 実施 〇 | 1回/月 | 機 密 性 ・完 全性の確保 （PR-1） | 受託者によるアクセス | 託者は受託した業務以外の情報へアクセスしないこと。 ⇒情報セキュリティ遵守状況は月次で報告すること。 | |
5 | 別紙５ 情報セキュリティ対策の運用要件 | 実施 〇 | 1回/月 | 情報窃取・侵入対策 （PH-1） | 情報の物理的保護 （PH-1-1） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、情報の漏えいを防止するため、物理的な手段による情報窃取行為を防止・検知するための機能を備えること。 ⇒情報セキュリティ遵守状況は月次で報告すること。 | |
6 | 別紙５ 情報セキュリティ対策の運用要件 | 実施 〇 | 1回/月 | 情報窃取・侵入対策 （PH-1） | 侵入の物理的対策 （PH-1-2） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、物理的な手段によるセキュリティ侵害に対抗するため、外部からの侵入対策が講じられた場所に設置すること。 ⇒情報セキュリティ遵守状況は月次で報告すること。 |
実施時期・期間 | 実施・提供時間 | 補足 | |
通年 | 2024 年 4 月１日 ～2029 年 3 月 31 日 ※業務を行う日（平日）と は、本仕様書で別途定められている業務の他は、行政機関 の休日（「行政機関の休日に関する法律」（昭和 63 年法律第 91 号）第 1 条第 1 項に掲げる 日をいう。）を除く日とする。 | 9:00～18:00 ※12:00～13:00 は休憩時間とする。 | ただし、本仕様書で別途定めるものの他、緊急作業及び本業務を実施するために必要な作業がある場合は、この限りではない。 |
統合基盤の運用業務は、統合基盤の管理者が行い、受注者は仮想サーバ上に構築された本システム部分を運用業務の対象範囲とする。統合基盤の運用作業に伴い、本システムの運用作業が必要な場合は、統合基盤の管理者と協力して実施すること。
No | 名称 | 内容 | 受託者の役割 |
１ | 【システム監視 - 稼動監視】 | 本システムのハードウェア、ソフトウェア、ネットワークに対して、以下の稼動状況（パフォーマンス）を監視し、監視実績を記録・管理すること。 ※本システムへのリモート接続及び常駐作業は行わないため、 Zabbix などのアラート通知メールを常時監視の対象とし、その他は月次確認とする。 ※本システムのハードウェア、ソフトウェア、ネットワークに対し、死活監視、障害監視、エラー出力監視を行い、異常を発見した場合は障害対応手順に沿って対応すること。監視に当たっては事前に PMDA と協議の上、必要に応じてツール等を用いた常時監視の仕組みを構築すること。 ※各機器の稼働監視、ログ監視、性能監視、サーバやネットワーク機器等の稼働監視やメンテナンス業務等はサーバ等提供業者により実施される場合がある。それらの役割分担については別途 PMDAへ確認すること。 (1) ソフトウェア及び開発アプリケーションの稼動状況 (2) ハードウェアの各種状況（性能、容量、故障、縮退） (3) バックアップなどの定期起動ジョブの実行結果 (4) セキュリティアラートの発生状況 (5) 時刻同期の状況 | 実施者 |
２ | 【システム監視 - | 本システムを構成する機器及びソフトウェア上で入手可能なログの | 実施者 |
No | 名称 | 内容 | 受託者の役割 |
ログ監視】 | 収集・監視を行うこと。 収集したログについては、必要に応じて抽出、分析を行い、適宜バックアップを取得の上、必要に応じて外部環境に保管すること。 ※本システムへのリモート接続及び常駐作業は行わないため、 Zabbix などのアラート通知メールを常時監視の対象とし、その他は月次確認とする。 | ||
規定（保管対象、保管頻度、保管期間、保管場所、権限設定）どおり にログが保管されていることを年１回以上確認すること。 | 実施者 | ||
ログイン・ログから特権 ID のログイン履歴を抽出し、承認された作業 以外の不正なアクセスがなかったことを月次で検証すること。 | 実施者 | ||
３ | 【システム監視 – 構成管理】 | サーバにインストールされたソフトウェアを抽出し、承認されたソフト ウェア以外がインストールされていないことを年１回以上確認し、不要なソフトウェアはアンインストールすること。 | 実施者 |
ソフトウェアとハードウェア（仮想サーバのみ）の棚卸しを行い、 PMDA 所定様式のシステム資産登録簿を更新すること。 | 実施者 | ||
４ | 【システム設定・操作 - ジョブ管理】 | 操作ミスの防止や無人化を目的とした操作の自動化を行う場合、必要となるジョブスケジュールの設定等を行うこと。また、ジョブの登録 ／変更／削除が必要となる場合には PMDA に提案し、PMDA の了 解の下、当該作業を実施すること。 | 実施者 |
５ | 【システム設定・操作 - 容量・能力管理】 | 本システムの性能を計測する指標（CPU 負荷、メモリ使用量、ディスク使用量など）を PMDA と協議の上で確定し、指標データを常時収集し、閾値を超えるなどの異常を発見した場合は障害対応について PMDA に提案し、PMDA の了解の下、当該作業を実施すること。 | 実施者 |
６ | 【ヘルプデスク業務 - 問い合わせ対応】 | PMDA 執務室内において、ヘルプデスク業務の時間は、PMDA 営業日の９時 00 分から 18 時 00 分までとする。なお、問合せは電子メールの他、電話、もしくは直接口頭によるものとするが、それらの内容 は記録し報告すること。 | 実施者 |
７ | 【ユーザ管理】 | (ア) PMDA から提出されるユーザ登録・削除依頼に基づき、OS 上、及びアプリケーション上のユーザを登録・削除すること。作業内容はすべて作業ログとして蓄積し、PMDA に報告すること。（随時／適宜） (イ) システムを構成する機器やアプリケーション等のユーザ管理 システムを構成する機器やアプリケーション、リモートアクセス機器及びリモートアクセスユーザを管理の対象とすること。 (ウ) アクセス権限管理 管理対象となる各種ユーザのアクセス権限の管理を行うこと。 (エ) アカウントの棚卸しを年１回以上行うこと。（業務用アカウントは、PMDA が行う棚卸しを支援すること。アカウントの権限が規定通りに設定されていない場合は、権限設定を是正すること。 | 実施者 |
８ | 【サービスレベル管理】 | 別紙１ 「SLA（Service Level Agreement）項目」参照 運用業務については、受託者と PMDA との間で協議の上、SLA （Service Level Agreement）を締結する。サービスレベル評価項目と | 実施者 |
No | 名称 | 内容 | 受託者の役割 |
要求水準については、別紙１「ＳＬＡ項目」を参照すること。ただし、サービスレベル評価項目と要求水準については、協議の上、見直すこととする。 | |||
９ | 【バックアップ/リカバリ】 | 重大な障害が発生し、復旧が必要になる場合に備え、運用手順としてバックアップ並びにリカバリ計画及び手順を確立し、それに基づき 実行すること。 | 実施者 |
規定（保管対象、保管頻度、世代数、保管期間、保管場所）どおりにバックアップが保管されていることの確認及び、リストア手順に従ってリストアできることを確認する机上確認を年１回以上実施するこ と。 | 実施者 | ||
バックアップデータのリカバリを行う必要があると考えられる場合に は、PMDA の判断に従いリカバリ手順に沿って作業すること。 | 実施者 | ||
１０ | 【各種データ管理】 | 業務アプリケーションに起因する障害復旧に伴い、過去のデータを含め、不整合データの存在が明らかになった場合、不整合データの修正箇所の特定、報告を行い、PMDA と協議の上、修正、削除の実施、確認、記録業務への対応を行うこと。また PMDA の依頼に基づ いて軽微なデータ変更作業を実施すること。 | 実施者 |
１１ | 【データベース運用支援】 | データベースの性能劣化を防止するため、テーブル再構成やインデ ックス再構成等の性能劣化防止作業を計画し、PMDA の承認を得た上で定期的に実施すること。 | 実施者 |
１２ | 【その他】 | 運用・保守業務で使用しているドキュメント（システム資産簿、実施計画書、運用マニュアル等）を管理すること。また修正･改定の必要がある場合には、PMDA のレビューを受けて修正･改定を実施するこ と。 | 実施者 |
統合基盤の保守業務は、統合基盤の管理者が行い、受注者は仮想サーバ上に構築された本システム部分を保守業務の対象範囲とする。統合基盤の保守作業に伴い、本システムの保守作業が必要な場合は、統合基盤の管理者と協力して実施すること。
No | 名称 | 内容 | 受託者の役割 |
１ | 【システム設定・操作 - 設定変更】 | ハードウェア、OS、ミドルウェア等を正常に稼動させるために設定の変更が必要となる場合には PMDA に提案し、PMDA の了解の 下、当該作業を実施すること。 | 実施者 |
２ | 【統合基盤保守】 | 本システムが利用する統合基盤のハードウェア、ソフトウェア（仮想サーバ上のソフトウェア以外）、ネットワークの保守作業は、統合基盤の管理者が行うものとする。その際、統合基盤の管理者と協力し、仮想サーバ上に構築された本システムの停止・再起動、 設定変更などの必要な保守作業を実施すること。 | 実施者 |
３ | 【不具合修正、軽微 な改修】 | 運用を継続するにあたって、業務の効率化、利便性の向上に資す るために、PMDA の指示の下、軽微なプログラム改修を実施する | 実施者 |
No | 名称 | 内容 | 受託者の役割 |
こと。必要な設計書の改訂・作成及びプログラム入替え作業も含むものとする。（50 人日程度の作業とし、改修のスケジュールは、 PMDA と協議のうえ決定するものとする。） 別途、改修案件が調達された場合、当該受注業者との連携、調整を密にし、当該受注業者による改修作業が円滑に進むよう支援をすること。その際にはソースプログラムのデグレード等が発生しないよう、構成管理に留意すること。 本システムの開発方法に適合させること。 | |||
４ | 新統合基盤への移行 | 本システムが稼働する統合基盤から新統合基盤に2024 年度に移転すること。詳細なスケジュールは、受注後に新統合基盤側から提示されたスケジュールと調整のうえ決定するものとする。 新統合基盤の Windows Server は、Windows Sever 2019 以上が要件のため、Windows Server 2022 にバージョン・アップすること。 ※移転作業の統合基盤担当者との作業分担は、「閲覧資料６ 新 統合基盤移行参考資料」を参照すること。 | 実施者 |
５ | ソフトウェアのバージョン・アップ | 本システムにインストールされたソフトウェアを 2025 年 11 月末までに最新化すること。新統合基盤への移行と同時に実施してもよい。 原則として現行と同じソフトウェアの最新のバージョンを採用すること。現行ソフトウェアは、「閲覧資料３システム設計書」を参照すること。但し、設計書が現況と異なる場合、現況を優先するものとする。 「サポート期間が終了する」「安定性の問題がある」等で現行と同一製品の最新版を選択しない場合には、導入実績、安定性、サポート期間など総合的な観点から最新版を選択しないことが妥当と判断する根拠を明確にしたうえで、代替策（別製品や別バージョン 等）を提案すること。 | 実施者 |
システム運用管理基準
2020 年 12 月
独立行政法人 医薬品医療機器総合機構
【資料の見方】
⯎ システム運用業務を「１３の領域」に分けている。
それぞれの業務プロセスは、標準化対象外。各情報システムの体制･特性・リスク等により、最適なプロセスを設計し、運用する。
⯎ システム運用の標準化（要件）は、システム運用者（委託先）から当機構への報告書式（情報提供も含む）を統一し、各システムの運用状況を定期的に収集して、全体状況の把握と情報共有等を可能とすることにある。
• 当資料においては「標準化」のタイトル等にて報告を記載している。
• 標準化（要件）は、「報告書式を統一する領域」と「報告内容を統一（書式任意）」の 2 タイプに分かれる。
• 「報告書式を統一する領域」は、インシデント管理、変更管理、構成管理、脆弱性管理、アクセス権管理の領域となっている。
改訂履歴
改定日 | 改定理由 |
2018 年 6 月 8 日 | 初版発行 |
2018 年 7 月 20 日 | 情報セキュリティ遵守状況報告内容を追記 |
2018 年 9 月 10 日 | 脆弱性管理を追記 |
2019 年 8 月 15 日 | 2. システム運用管理業務の概要に「【参考】システム運用管理業務の全体像」を追加 4.5 構成管理 最新情報をPMDA に報告する標準書式を定義 4.9 脆弱性管理 管理状況を報告する PMDA 標準書式を定義 |
2019 年 12 月 20 日 | |
2020 年 12 月 10 日 | 4.6 運行管理 ログ取得・保存、イベント検知対応の報告を標準化 4.9 脆弱性管理 管理要件を追加 4.10 アクセス管理 アカウント管理要件の追加、アカウント台帳作成と棚卸を標準化項目に追記 |
１．はじめに
独立行政法人医薬品医療機器総合PMDA（Pharmaceuticals and Medical Devices Agency）（以下、「PMDA」という。）が調達し、又は、開発した情報システムの運用管理を確実かつ円滑に行い、利用者が要求するサービス品質を、安定的、継続的かつ効率的に提供するために、情報システムの運用管理に関する業務内容を明確化・標準化するために定めるものである。
PMDA が調達し、又は開発・構築した全ての情報システムの運用保守を担当する組織（情報システムの運用保守業務を外部委託する場合における委託先事業者を含む）に適用する。
システム運用管理業務は、既に開発・構築しサービスイン（本番稼動）している情報システムの運用・保守業務の実行と管理に係る業務を対象とする。
情報システムの運用・保守を外部委託する場合は、本資料をもとに委託先事業者において、当該情報システムの種類・規模・用途を踏まえた適切な運用手順を策定のうえ、運用サービスを提供するものとする。
本基準で使用する用語は情報システムの「ＩＴＩＬ（IT Infrastructure Library）」のガイドラインを踏まえた運用プロセス定義に準拠するものとする。
上位規程 ： 「情報セキュリティポリシー」
関連文書 ： 「情報システム管理利用規程」
２．システム運用管理業務の概要
PMDA においては情報システムの運用保守を外部委託している状況を踏まえ、運用管理に必要なプロセスのあるべき姿から主要なプロセスを運用管理業務として選定し、以下の１３の管理業務について、明確化・標準化を行う。
管理業務 | 概要 |
問合せ管理 （サービスデスク） | システムの利用者からの問合せ窓口として、利用者からの各種問合せについて一括受付することにより 問合せに対する早期回答、障害対応への早期エスカレーションを図るとともに、ユーザからの 要望を適切に吸い上げる。 |
インシデント管理 | 問い合わせに含まれるインシデント、あるいはハードウェア、アプリケーションなどからのインシデント発生の警告／報告を受け、サービスの中断を最小限に抑えながら、可能な限り迅速に通常サービ スを回復するよう努める。 |
問題管理 （再発防止策） | 障害（インシデント）の根本的な原因となっている不具合が、ビジネ スに与える悪影響を最小化するため、問題を分析し抜本的解決策や回避策を立案する。 |
変更管理 （課題管理） | 情報システムに対する変更の許可と実装を確実に行うための管理をいう。本番環境に対する変更要求を適正な基準で評価・承認を行い、標準化された変更方法、手順が実施されることを確実にする。また、変更による影響とリスクを最小化し、障害を未然に防止することで、サービス品質の維持・向上に努める。 なお、本基準においては、変更要求の必要性、効果、リスクなど変更の妥当性の評価と承認（変更管理）に加えて、本番環境に対してどのような準備・実行・見直しを行って変更を加えるかの決定（リリ ース管理）を含めるものとする。 |
構成管理 | 情報システムを構成する物理資源・論理資源とその環境を常に把握するための管理をいう。運用・保守業務やそのサービスに含まれる全てのＩＴ資産や構成を明確にし、正確な構成情報と関連文書を提供することで、他のサービスマネジメント・プロセス（インシデント管理、問題管理、変更管理、情報セキュリティ管理等）に信頼できる 管理基盤を提供する。 |
運行管理 （稼動管理） | 情報システム全体を予定通り安定的に稼動させるために、システムのスケジュール、稼働監視、オペレーションなど一連の運行を管理する。 ・スケジュール管理 ・オペレーション管理（定型業務、非定型業務） ・稼動監視 ・障害対応 ・ジョブ運用 ・媒体管理 ・本番システム導入・移行時の支援 等 |
管理業務 | 概要 |
バックアップと回復管理 | 必要なバックアップを定期的に取得、管理し、障害が発生した場合は、速やかな回復ができるよう、回復要件に基づき必要な回復手 順、仕組みを計画、作成、維持する。 |
情報セキュリティ管理 | 情報セキュリティポリシーに規定されたセキュリティ対策を実施するために必要な管理要件に基づき、情報セキュリティ管理基準・手順 等を作成し、情報セキュリティ管理を行う。 |
脆弱性管理 | 情報システムのソフトウェアおよびアプリケーションにおける脆弱性を特定、評価、解消するための管理業務を行う。システム構成を把握した上で、構成要素ごとに関連する脆弱性情報をいち早く「収集」し、影響範囲の特定とリスクの分析によって適用の緊急性と対応要 否を「判断」し、判断結果をもとに迅速に「対応」を行う。 |
アクセス権管理 | アクセス方針を定め、アクセス制御の仕組みを構築・維持し、システム・アカウントの申請受付け・登録・変更・削除など管理業務を行う。 ・アプリケーション・システムのアカウント ・サーバのＯＳアカウント ・ＤＢＭＳアカウント ・運用支援システムのアカウント ・各種特権アカウント 等 |
キャパシティ管理 | サービス提供に必要となるシステム資源の利用状況の測定・監視を実施し、現在の業務要求（既存の提供サービス量）と将来の業務要求（要求される提供サービス量）とを把握した上で、システム資源 がコスト効率よく供給されるように調整・改善策の立案を行う。 |
可用性管理 | ＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させることで、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供する。 可用性管理の活動は、既存のＩＴサービスの可用性を日常的に監視・管理する「リアクティブ」なプロセスと、リスク分析や可用性計画の策定や可用性設計基準などの作成を行う「プロアクティブ」なプロ セスに分けられる。 |
サービスレベル管理 | 「サービスレベル合意書」で定める各種サービスレベル値の達成、維持作業として、管理項目に対する実績データの収集、分析、評価、及び改善策を策定する。 また、運用管理業務における報告デ ータを収集、管理し、月次にユーザへの報告を実施する。 |
３．運用管理業務の基本プロセス
（運用管理業務プロセスのＰＤＣＡマネジメントサイクル）
他のマネジメント・システムと同様に、運用管理業務プロセスも手順書等を策定して終わりではなく、実際に手順書等に準拠した運用を実施し、定期的に又はシステムの変更やメンバーの入れ替わりなどに合わせて都度、管理プロセスを見直し、必要に応じて改善・是正を行う必要がある。
そのために、運用管理業務プロセスに、個別管理基準の「策定（Ｐｌａｎ）」、「実施（Ｄｏ）」、「点検・監査
（Ｃｈｅｃｋ）」、「評価と改善（Ａｃｔ）」の４つの基本プロセスからなるＰＤＣＡマネジメントサイクルを導入し、継続的改善を実施することが重要である。
(1) 個別管理基準の策定（Ｐｌａｎ）
・各管理プロセスの導入時、見直し時に実施
(2) 個別管理業務の実施（Ｄｏ）
・各運用管理基準に従い、定常業務として実施
(3) 個別管理業務の点検・監査（Ｃｈｅｃｋ）
・定期的に実施
(4) 個別運用管理業務の評価と改善（Ａｃｔ）
・定期的に実施
各基本プロセスの概要は、以下のとおりである。
(1) 個別管理基準の策定 （Ｐｌａｎ）
各運用管理業務の実施方針、実施範囲、管理プロセス、業務の管理指標等を含めた管理基準書ならびに管理手順を定める。
(2) 個別管理業務の実施 （Ｄｏ）
各運用管理業務の実作業を行うとともに、業務遂行に必要な関連情報の蓄積、実績情報の収集保管、およびに評価指標の実績測定を行う。
(3) 個別管理業務の点検・監査 （Ｃｈｅｃｋ）
各運用管理業務に対し、個別運用管理基準に遵守した運用がなされているか定期的に点検・監査を行い、その結果を分析･評価する。
(4) 個別運用管理業務の評価と改善 （Ａｃｔ）
各運用管理業務に対する評価指標に対する実績管理を行うと共に、品質向上に向けた改善計画を立案し、改善実施を行う。
４．システム運用管理業務の明確化・標準化
４．１ 問合せ管理
ユーザ及び各業務プロセスオーナからの問合せや依頼に対する受付窓口を一元化することで、各業務の利用ユーザの業務効率性を向上させる。
問合せ対応では、問合せの受付、クローズ、一次回答、管理プロセスの評価・改善の一連のプロセスを実施する。
本番システム環境で稼動している全てのシステムに係る以下の問合せについて対応する。
⮚ アプリケーション仕様、操作、機能、内容に関する問合せ
⮚ ハードウェア／ソフトウェアに関する問合せ
⮚ 要望
⮚ アプリケーション修繕に対する依頼
⮚ その他の依頼作業
(4) 業務の管理指標＆標準化
問合せ対応業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
①問合せ発生件数（日次集計･月次集計を含む）
②問合せ区分別件数
③問合せ一次回答期限遵守率
④問合せ完了率（一定期間経過後(10 営業日経過後)の完了率）
※報告内容は、各システムの状況に応じて変更しても構わない。
【補足】
問合せにより「システム障害」｢セキュリティインシデント｣が発覚した場合は、該当問合せは一次回答に てクローズとし、その後は「インシデント管理」にて対応する。
問合せにより「変更」実施が必要となった場合は、対応予定日を回答することでクローズとし、その後は
「変更管理（課題管理）」にて対応する。
４．２ インシデント管理
インシデント管理は、ユーザからの問合せ・連絡、あるいはオペレータや監視システム等によるインシデントの検知を受け、ＩＴサービスの中断を最小限に抑えながら、可能な限り迅速に正常なサービスを回復することを目的とする。
①インシデントの定義
インシデントとは、ユーザや監視システム等の検知により判明したハードウェアやソフトウェアに関する一般的な障害（システム・ダウン、バグによるアプリケーションの機能停止等）だけでなく、ユーザが日常の操作手順によってＩＴサービスを利用する上で支障がある事象は全てインシデントに包含される。
【注】このインシデントには、情報セキュリティインシデント（不正アクセス・マルウェア検知等）を含む。
また、まだＩＴサービスに影響を与えていない構成アイテムの障害もインシデントとして扱う。
例えば、(i) 二重化されたデータベース・システムの一方がダウンした場合で、まだサービス自体が正常に稼働している場合、(ii) 本番環境のバックアップを検証環境にリストアできない場合、これらをインシデントとして扱う。
②インシデント管理の主な活動
インシデント管理は、インシデントの 4 つのライフサイクル（発見－判別－回復－解決）の内、発見－判別－回復（解決）までをカバーする。 （再発防止については、次節の「問題管理」で扱う。）
インシデント管理のプロセスでは、主に次の活動を実施する。
・インシデントの検知
・インシデントの記録
・インシデントの通知
・インシデントの分類
・インシデントの優先度付け
・インシデントの初期診断
・エスカレーション
・インシデントの調査と診断
・復旧(解決)策の実施
・インシデントのクローズ
本番システム環境で稼動している全てのシステムのインシデントを管理対象とする。
インシデント管理の管理業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 当月インシデント発生件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）
② 優先度又は緊急度毎に分類されたインシデントの解決までに要した時間（平均時間）
③ ステータス（記録済み、対応中、クローズ済み等）毎のインシデントの内訳
④ 長期間（発生から 1 カ月以上）未解決のインシデントの件数と理由および業務影響
⑤ 新規に発生したインシデントの件数とその傾向
⑥ ユーザのトレーニングなど、ＩＴテクノロジーに関連しないで解決されたインシデントの件数
⑦ 解決に要したコスト
⑧ インシデント発生件数の削減率（対前年比）
(5) 標準化
インシデント管理は、PMDA 標準書式を適用する。
①インシデント発生(判明)時
インシデントごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「インシデント報告書（ひな型）」を使用する。また「インシデント一覧記載要領」を参照し、 対応すること。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、必須項目の変 更・削除は認めない。
②定期的(月次)報告時
インシデントごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用 する。
※添付「インシデント一覧」を使用する。
４．３ 問題管理（再発防止策）
サービスの信頼性を維持・向上するためには、システムの利用・運用上発生した問題（障害を引き起こす根本的な原因）を確実に解決し、同一障害・類似障害の再発防止のための是正を実施することを目的とする。
本番サービスに影響を与えた障害を分析し、それらの共通の根本原因を取り除く是正策を実施するまでの一連のプロセスを管理する。 問題管理(再発防止)では、以下を実施する。
・問題の傾向分析と課題点の抽出
・是正策の検討
・是正策の実施
本番システム環境で稼動している全てのシステムの問題を管理対象とする。
(4) 業務の管理指標＆標準化
問題管理(再発防止)業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。
① 再発防止策が策定された問題件数（総件数、障害ランク別・原因別・システム別件数・解決 責任部門別）
② ステータス（記録済み、対応中、クローズ済み等）毎の再発防止策の内訳
③ 再発防止に要したコスト
④ 長期間（策定から 1 カ月以上）未実施の再発防止策件数と理由
⑤ 再発防止の実施率（対前年比）
※報告内容は、各システムの状況に応じて変更しても構わない。
４．４ 変更管理
サービスの信頼性を維持・向上するためには、システムに対する変更について、その妥当性を検証し、変更によるユーザへの影響を最小限にすることが重要である。 変更管理プロセスは、システムに対する変更を一元的に管理することを目的とする。
変更管理では、変更の申請から変更内容の審査、変更の承認または却下、変更の実施、変更実施結果の報告までの一連のプロセスを管理する。
緊急の場合、対応を優先し所定のプロセスを適宜省略することを可能とするが、事後的に対応できるものについては、事後速やかに対応することとする。
システム運用者（委託先）が運用し本番サービスを提供するシステムの全て又はその一部に対して影響を与える全ての変更を管理対象とする。
本番環境 | 構成要素（主な要素） |
ハードウェア | CPU、DASD・DISK、サーバ、ワークステーション、周辺装置 |
システム・ソフトウェア | OS、サブシステム、サーバ及びワークステーション OS |
ミドルウェア | ＤＢＭＳ、ネットワーク OS |
アプリケーション・ソフトウェア | ソース、モジュール、シェル、JCL |
ネットワーク・ハードウェア | スイッチ、ルータ、ブリッジ |
ネットワーク・サービス | 基幹ネットワーク、ＬＡＮ、インターネット 等 |
データ | データベース及びファイル内のデータ（に対する直接修正） |
変更管理業務を評価するための評価指標として以下を定義する。
① 変更実施件数（総件数、領域別・原因別・システム別件数・解決責任部門別）
② 変更の実装が失敗した件数
③ 変更のバックログの件数
④ 予定期間でクローズされなかった変更の件数
⑤ 変更が原因で発生した変更の件数
⑥ 緊急の変更の件数
(5) 標準化
変更管理は、PMDA 標準書式を適用する。
①変更案件発生時
課題管理表に記入し、変更管理のステイタス（未着手（対応予定日記入）～着手(対応中)～完了） を管理する。
※課題管理表の書式は、各情報システムの任意とする。
②変更実施着手時
変更の着手ごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。
※添付「変更作業申請書（ひな型）」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、PMDA 側の確
認･承認欄の削除は認めない。
※個票は、「単純な定常作業」に関しては使用しなくても良い。
• 「単純な定常作業」は、各システムにて定義する。
• ただし、定期的（月次）報告には、記載する。
※個票は委託先にて保管し、監査等にて提示要求があった場合は、速やかに提示できるよう対 応する
③定期的(月次)報告時
変更実施ごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。
※添付「変更作業一覧」を使用する。また「変更作業一覧記載要領」を参照し、対応すること。
※「単純な定常作業」に関しては、「変更作業一覧」の「変更申請」欄及び「完了確認」欄に関す る内容を記入し、報告する。
４．５ 構成管理
システムの構成要素（構成情報）を正確に把握し、常に最新状態にあることを保証する事で、他の運用管理プロセス（障害管理や変更管理等）に対して必要な構成情報を提供できるようにする。
構成管理では、ＩＴサービス開始時より構成情報を一元管理し、他の運用管理プロセスから最新の構成情報を参照可能にする。
本管理プロセスの開始前に、立案した計画に沿って対象とするＩＴサービスやＩＴコンポーネントの範囲、詳細度のポリシーを策定し、開始時のベースラインを把握する。 次に、構成情報の収集と分類を行った上で構成情報を参照可能な状態に維持する。
本管理プロセスの開始後は、変更管理プロセスと連携し、構成情報が常に最新状態として維持されるようにコントロールを行う。 また、定期的に構成情報の点検を行うことにより、課題や問題点を洗い出し、評価・改善を行う。
構成管理が対象とする構成情報は以下の通りとする。
カテゴリー | 管理対象の種類 |
システム運用管理 | 各種管理プロセス定義書、手順書、依頼書、ＣＩ一覧 |
システム運用 | ・ハードウェア、ネットワーク・ハードウェアの一覧、構成図 ・ネットワーク・サービス (WAN、インターネット等)の一覧、構成図 ・システム運用各種手順書（障害対応手順書等） |
システム保守 | ・システム・ソフトウェア、ミドルウェアの一覧、構成図 ・アプリケーション・ソフトウェア(ライブラリ、データ、環境設定情報) |
ハウジング | 環境設備 (空調設備、電源設備、配線室、配線、管理室)の一覧、 構成図 |
アプリケーション 保守 | ・設計ドキュメント、プログラムソース ・アプリケーション保守用各種手順書（定型作業手順書等） |
構成管理業務を評価するための評価指標として以下を定義する。
① 承認されていない構成の件数
② 不正確な構成情報が原因で失敗した変更及び発生した障害の件数
③ ＣＩ（管理対象の項目数）の正確さ率
・構成アイテムの管理情報と実態（H/W、S/W、M/W、機器）との整合性の確認
(5) 標準化
○PMDA では、「システム資産簿」を作成してシステムのインベントリ情報を一元管理している。各 システムのインベントリ情報を各システムの実装状況を反映した最新状況に更新するとともに、
「システム資産簿」を最新の状況に保つため、最新のインベントリ情報をPMDA 標準書式「システ ム資産簿登録用シート」を使用して、PMDA へ報告する。
４．６ 運行管理
運行管理の目的は、開発部門より引き継いだ業務アプリケーション・システムを、あらかじめ定められた運行計画に基づき、定められた手順に従ってシステム運用を行うことにより、システム運用の品質の維持・向上を図ることにある。
運用引継ぎから、システムのスケジュール計画、稼働監視、オペレーションなど一連の運行を管理する。 以下のサブプロセスから構成される。
① 運用引継ぎ
② 運用スケジュールの計画・管理
③ オペレーション実施
④ 稼動監視と障害対応（一次対応）
⑤ セキュリティ監視（対象イベントの検知への対応）
⑥ ジョブ実行管理
⑦ 帳票管理
⑧ 報告管理
本番システム環境で稼動している全ての情報システムの運行を管理対象とする。
運行管理業務を評価するための評価指標として以下を定義する。
① 重要バッチ処理終了時間遵守率
② 重要帳票の配布時間遵守率
③ システムの運行業務に起因した障害の発生件数
・プログラム・ＪＣＬ等の本番移送のミス、ジョブのスケジュール誤り、操作ミス、監視項目の見落とし／発見遅延、等。
④ 非定型依頼業務の実施件数と正常終了率
(5) 標準化
○情報システムの運行状況を報告する（月次）（書式任意）
情報システムの稼働状況に加えて、以下の項目の報告を必須とする。
・情報システム及びネットワーク内で発生するイベント（事象）の記録である「ログ」の取得・保存の プロセスの状況を監視し、報告する。
・情報システムの稼働により発生する 各種検知メッセージへの対処を記録し、報告する。
４．７ バックアップと回復管理
障害発生時等において、速やかに正確な回復処置が行えるようにバックアップの取得・リストアの手順を明確にし、安定したサービスの提供を図る。
アプリケーションオーナーとのサービスレベルまたは管理目標の合意に基づき、システムの回復要件（＊）に見合ったバックアップ・リストア方針を定め、バックアップ対象の選定、手順の明確化を実施する。
日常運用においては、バックアップ取得、バックアップ媒体の保管を行う。
また、定期的に、バックアップ・リストア実績報告を行い、バックアップ・リストアにおける体制、役割、手順の見直しを図る。
（＊）業務の優先度を勘案して有事の際に稼動させるシステムのサービスレベルを定めて、データのバックアップと復旧方法を決定する。
RLO （Recovery Level Objective）：どの範囲、レベルで業務を継続するか RTO （Recovery Time Objective）：いつまでにシステムを復旧するか RPO （Recovery Point Objective）：どの時点にデータが戻るか
本番システム環境で稼動している全てのシステムのバックアップとリストアを管理対象とする。
本基準の適用システムに関するＯＳ、データベース、テーブル類、ユーザデータなどのバックアップ計画、バックアップ取得、バックアップ媒体の保管、リストア実施および定期的な実績報告の手続きを対象とする。
各情報システムを構成するサーバや通信回線装置等については、運用状態を復元するために必要な重要な設計書や設定情報等のバックアップについても適切な場所に保管する。
要保全情報(完全性２）又は要安定情報（可用性２）である電磁的記録若しくは重要な設計書は、バックアップを取得する。
① データベースやファイルサーバのバックアップは、インターネットに接点を有する情報システムに接続しないディスク装置、テープライブラリ装置等に保存する。
② 一般継続重要業務で使用するシステムについては、大規模災害やテロ等による設備・機器の破損を想定し、情報システムの復元に必要な電磁的記録については LTO 等の可搬記憶媒体による遠隔地保管を行う。
③ バックアップの取得方法、頻度、世代等は各システムの方式設計、運用要件に応じて定める。
バックアップと回復管理業務を評価するための評価指標として以下を定義する。
① 当月で計画された定期バックアップの内、バックアップに失敗した件数と理由。
② 当月実施されたリストア件数と内訳（障害対応、調査目的、帳票再作成・出力等）。
③ 当月実施されたリストアの内、リストアに失敗した件数と理由。
(7) 標準化
○定期的なバックアップが取得されていることを報告する（月次）（書式任意）
○PMDA では、「リストアの机上訓練」を定期的に実施することを推奨している。
各情報システムにおいては、必要に応じて定期的な訓練実施を行い、結果報告を行う。
４．８ 情報セキュリティ管理
情報セキュリティ管理は、「情報セキュリティ対策の運用要件」に定める情報セキュリティ対策の運用要件に則り、情報システムのセキュリティを維持・管理し、情報資産を適切に保護することを目的とする。
情報セキュリティ管理プロセスは、PMDA のリスク管理活動の一環として、ＩＴサービス及びサービスマネジメント活動における全ての情報のセキュリティを、首尾一貫した方針に基づき効果的に管理する。
具体的には、「情報セキュリティ対策の運用要件」に則って、適切にセキュリティ管理策が導入され、維持されていることを確実にするために、情報セキュリティ管理計画の維持・管理を行う。合わせて、情報セキュリティ対策が適切に運用されているかを定期的に点検するとともに、コンプライアンス等の観点からのシステム監査の実施対応をおこなう。
ＩＴサービス及びサービスマネジメント活動における全ての情報セキュリティの管理を対象とする。
情報セキュリティ管理業務を評価するための評価指標として以下を定義する。
① 情報セキュリティ違反・事件・事故の発生件数とその内容
② 発生した情報セキュリティ違反・事件・事故への対策の実施状況
③ 情報セキュリティ監査（内部・外部）及び自己点検で検出された不適合の件数
④ 前回の情報セキュリティ監査及び自己点検で検出された不適合の是正状況
(5) 標準化
〇情報セキュリティ遵守状況の報告
・情報セキュリティを遵守していることを定期的(月次)にて報告する
※報告内容の詳細は後述の【補足説明】を参照
・委託先における自己点検を定期的(年 2 回程度)に実施し、点検結果を報告する。
（点検内容は委託先の任意とするが、各情報システムの運用保守業務に携わる要員等が自らの役割に応じて実施すべき対策事項を実際に実施しているか否かを確認するだけではなく、運用保守のプロジェクト体制全体の情報セキュリティ水準を確認する内容とすること。）
【補足説明】
情報セキュリティ遵守状況の報告は、以下の内容を確認し、報告すること
① 情報の目的外利用の禁止
② 情報セキュリティ対策の実施および管理体制（プロジェクト計画書記載内容の遵守）
※委託先において実施するセキュリティ研修や委託先の情報セキュリティポリシー遵守のため取組み内容を含む
※責任者による情報セキュリティの履行状況の確認を含む
③ 体制変更の場合の速やかな報告
④ 体制に記載された者以外が委託業務にアクセスできない（していない）ことの確認
⑤ ※発生した場合は、すぐに検知でき、報告される
⑥ 要員の所属・専門性（資格や研修実績）・実績および国籍に関する情報提供
※変更があれば、その都度情報提供される。
⑦ 秘密保持契約（誓約書）の提出（要員全員が提出）
※委託業務を離れた者の一定期間の機密遵守を含む
※体制変更があった場合の追加提出も含む
⑧ 情報セキュリティインシデントへの対処方法の明確化され、要員に周知されている
⑨ 再委託がある場合は、上記内容を再委託先においても遵守していることが確認されている
４．９ 脆弱性管理
サーバ装置、端末及び通信回線装置上で利用するソフトウェア（含むファームウェア）やアプリケーションに関連する脆弱性情報の収集とその影響評価に基づく適切な対策を実施するための標準的管理要件を定め、脆弱性によりもたらされる情報セキュリティの脅威について迅速かつ適切に対処することを目的とする。
脆弱性管理では、システム構成を把握したうえで、管理対象とするソフトウェアのバージョン等の確認から、脆弱性情報の収集、影響評価と対策の要否判定、脆弱性対策計画の策定、脆弱性対策の実施、結果の確認、対策の実施状況のモニタリングまでの一連のプロセスを管理する。
①管理対象ソフトウェアの把握 （管理すべきソフトウェアを特定）
②管理対象ソフトウェアの脆弱性対策の状況確認
②脆弱性情報の収集と識別（当該脆弱性が管理対象ソフトウェアに該当するかの確認）
③影響・リスクの評価と対応要否の判断及び記録
④脆弱性対策計画の策定と承認（変更管理手続きに拠る）
⑤脆弱性対策の検証 （検証環境での稼動確認）
⑥脆弱性対策の実施
⑦脆弱性対策の記録・報告
⑧脆弱性対策の実施状況のモニタリングと継続的改善
本番システム環境で稼動しているサーバ装置、端末及び通信回線装置上で利用するソフトウェアやアプリケーションに関する全ての脆弱性を管理対象とする。
脆弱性管理業務を評価するための評価指標として以下を定義する。
① 管理対象プロダクツ、バージョンに該当する脆弱性情報件数（通常／緊急）
② 脆弱性対策の評価件数（対策要、対策不要）
③ 対策計画の策定・実施状況（セキュリティパッチ適用、またはその代替策）／予定・実績
・定期報告=脆弱性管理の実施報告
・変更管理＝システム変更作業報告（セキュリティパッチ適用状況報告を含む）
④ 実施可能な脆弱性対策を実施しなかったことによる情報セキュリティインシデントが 1 件も発生しないこと。
脆弱性対策について、以下の管理を行う。
① 対象プロダクト・バージョンの把握
・各情報システムにおいて管理対象とするプロダクトとバージョンを特定するとともに脆弱性情報の収集及びパッチの取得方法を（事前に）整備する。
② 脆弱性情報の収集及び対策の要否判断
・管理対象のプロダクトに係る脆弱性情報の公開状況を定期的に収集する。
・収集した脆弱性情報をもとに影響・緊急度、対策の必要性、情報システムへ与える影響・リスクを考慮し、対策の要否を判断する。
③ 脆弱性対策計画の策定と実施
・対策が必要と判断した場合は、セキュリティパッチの適用計画、または、その代替策
（回避方法）の実施計画を策定する。
・対策が情報システムに与える影響について事前検証を行った上、実施する。
対策が情報システムの構成変更を伴う場合は、「4.4 変更管理」に拠るものとする。
・対策計画の策定及び実施状況の管理
① 管理状況については PMDA 標準書式を使用する。
・管理対象とするソフトウェアのプロダクトとバージョンについては、各情報システムの 設計書等のソフトウェア関連項目を基に、「脆弱性管理対象ソフトウェア一覧」を使用し管理する。
・管理対象とするソフトウェアの脆弱性の有無、対策の要否、対策の実施概要につい ては、「脆弱性対策管理簿」を使用し管理する。
② 定期的（月次）報告
・各情報システムにおける管理対象とするプロダクト・バージョンについて内容に更新が あった際は、「脆弱性管理対象ソフトウェア一覧」を使用し速やかに報告する。
・脆弱性対策の要否及び対策の実施状況について、「脆弱性対策管理簿」を使用し、 定時（月次）で報告する。
※「脆弱性対策管理簿」の作成にあたっては「脆弱性対策管理簿記載要領」を参照すること。
参考 脆弱性情報収集時の参考 URL 一覧 (「IPA 脆弱性対策の効果的な進め方（実践編）」より)
種別 | URL |
脆弱性関連情報データベース | ■国内 ・JVN (Japan Vulnerability Notes) https://jvn.jp/ ・脆弱性対策情報データベース JVN iPedia https://jvndb.jvn.jp/ ■海外 ・NVD(National Vulnerability Database) https://nvd.nist.gov/ ・Vulnerability Notes Database |
・Metasploit (攻撃情報あり) https://www.metasploit.com/ ・Exploit Database (攻撃情報あり) https://www.exploit-db.com/ | |
ニュースサイト | ■国内 ・CNET ニュース：セキュリティ https://japan.cnet.com/news/sec/ ・ITmedia エンタープライズ セキュリティ http://www.itmedia.co.jp/enterprise/subtop/security/index.html ・ITpro セキュリティ https://tech.nikkeibp.co.jp/genre/security/ ■海外 ・ComputerWorld Security （米国中心） https://www.computerworld.com/category/security/ ・The Register Security （英国・欧州中心） |
注意喚起サイト | ■国内 ・IPA：重要なセキュリティ情報一覧 https://www.ipa.go.jp/security/announce/alert.html ・JPCERT/CC 注意喚起 |
・警察庁：警察庁セキュリティポータルサイト https://www.npa.go.jp/cyberpolice/ ■海外 ・米国：US-CERT ・米国：ICS-CERT | |
製品ベンダー | ■定例アップデート ・マイクロソフト セキュリティ更新プログラム ガイド https://portal.msrc.microsoft.com/ja-jp/security-guidance ・オラクル Critical Patch Update と Security Alerts https://www.oracle.com/technetwork/jp/topics/security/alerts-082677-ja.html |
■クライアント製品など ・Apple セキュリティアップデート https://support.apple.com/ja-jp/HT201222 ・Adobe セキュリティ速報およびセキュリティ情報 https://helpx.adobe.com/jp/security.html ・Mozilla サポートの検索 | |
■サーバ、ネットワーク製品など ・シスコ – セキュリティアドバイザリ https://www.cisco.com/c/ja_jp/support/docs/csa/psirt-index.html ・HP - サポートホーム ・日立 –セキュリティ情報 https://www.hitachi.co.jp/hirt/security/index.html ・富士通 - セキュリティ情報 ・NEC - NEC 製品セキュリティ情報 https://jpn.nec.com/security-info/ ・IBM – IBM Support https://www.ibm.com/support/home/?lnk=ushpv18hcwh1&lnk2=support ・Red Hat – Red Hat Product Errata https://access.redhat.com/errata/#/ | |
■セキュリティ製品など ・シマンテック –セキュリティアップデート https://www.symantec.com/ja/jp/security_response/securityupdates/list.jsp?fid=sec urity_advisory | |
■オープンソースなど ・Apache Foundation https://httpd.apache.org/ （Apache HTTP サーバ） https://tomcat.apache.org/ （Apache Tomcat） https://struts.apache.org/ （Apache Struts） ・ISC （Internet Systems Consortium） https://www.isc.org/downloads/bind/ （BIND） https://www.isc.org/downloads/dhcp/ （DHCP） |
４．１０ アクセス権管理
システムを利用するユーザ・アカウントを保護するため、及び、なりすましによる不正ログインの可能性を低減するために、ユーザ・アカウントを役割権限別に分類した上で管理方法を取決めてセキュリティレベルを維持する。
システムを利用するサーバ OS、ミドルウェア、アプリケーション・ソフトウェア、及びネットワーク機器のアカウントを対象にアクセス権の管理を行う。
本番システム環境での全てのアカウント（社外の取引先等に提供しているアカウントを含む）のアクセス権を管理対象とする。
本番環境 | アクセス権管理の対象 |
システム・ソフトウェア | OS ユーザＩＤ |
ミドルウェア | ＤＢＭＳユーザＩＤ、ジョブスケジューラ・ユーザＩＤ、他 |
アプリケーション・ソフトウェア | アプリケーション・ユーザＩＤ |
ネットワーク機器 | 各ネットワーク機器の管理者用ＩＤ |
アクセス権管理業務を評価するための評価指標として以下を定義する。
① 期間内に発生したユーザＩＤ登録・変更・削除の件数
② 特権（高権限）ユーザＩＤ別の貸出し件数と用途
③ アカウントおよびアクセス権の定期棚卸しで、発見された不備項目
④ 不適切／不正なアクセス権限の設定によって発生したインシデントの件数
⑤ アクセス権限の再設定が必要となったインシデントの件数
⑥ 間違ったアクセス権限の設定によって提供不能になったサービスの件数
⑦ 間違ったアクセス権限の設定によって生じた不正アクセスの件数
・【アカウント（ID）の付与】
①情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を付与（発行、更新及び変更を含む）する。
②識別コードの付与に当たっては、.単一の情報システムにおいて、ある主体に付与した識別コードを別の主体に対して付与することを禁止する
③主体以外の者が識別コード又は主体認証情報を設定する場合に、主体へ安全な方法で主体認証情報を配布する。
④識別コード及び知識による主体認証情報を付与された主体に対し、初期設定の主体認証情報を速やかに変更するよう、促す。
⑤知識による主体認証方式を用いる場合には、他の情報システムで利用している主体認証情報を設定しないよう主体に注意を促す。
⑥情報システムを利用する主体ごとに識別コードを個別に付与する。ただし、判断の下やむ
を得ず共用識別コード（共有 ID）を付与する必要がある場合には、利用者を特定できる仕組みを設けた上で、共用識別コードの取扱いに関するルールを定め、そのルールに従って利用者に付与する。
⑤主体認証情報の不正な利用を防止するために、主体が情報システムを利用する必要がなくなった場合には、当該主体の識別コードを無効にする。
・【特権 ID と使用者の限定】
①使用者限定の保証
・パスワードの堅牢性
できだけ長い桁数、推測困難かつ記憶が容易となる工夫
・パスワードの厳正管理
業務で使用する必要がある者しか知ることができないようにするパスワード情報へのアクセス制限
ID 使用者の離任時はパスワード変更を必須
②利用時の承認と記録
・特権 ID を利用して作業を行った結果の記録 （特権 ID 使用管理簿の記載）
・利用状況のモニタリング
サーバのログイン・ログアウトログの出力リストと特権 ID 使用管理簿の作業実績に記載されている日時を照合し、記載されている日時から逸脱する時間帯のログデータがないことをチェック
※工数の許す範囲で、重要サーバに絞り、無作為に抽出した数件のログインに該当する作業のチェック等工夫する
・全てのアカウント（ＩＤ）について、以下の管理を行う。
①アカウント（ＩＤ）管理台帳の作成
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
②定期(月次)報告
ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。
③ＩＤ棚卸し
全てのＩＤの棚卸しを以下の手順を参考にし、定期的（最低１回／年）に実施し、 報告を行う。
（棚卸し手順）
a. 登録ID 抽出リスト出力
b. ID 管理台帳突合
c. 棚卸しリスト作成
d. ID 使用者の確認、権限の妥当性の検証
e. 不要ID(初期登録（ビルドイン）ID を含む）削除と不適切権限の修正
f. ID 管理台帳更新
g. 棚卸実施報告書の作成
※アカウント（ID）管理用資料は、「参考資料_ID 管理用各書式ひな型」を参考に各情報システムにおいて適宜定める。
・特権ＩＤについて、以下の管理を行う。
①特権ＩＤ台帳の作成
※添付「特権ＩＤ管理台帳」を使用する。
※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※監査等にて提示要求があった場合は、速やかに提示できるよう保管する
②特権ＩＤ(システムＩＤ)使用管理簿の作成（またはログ抽出）
※添付「特権ID 使用管理簿」を使用する。各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。
※ログイン・ログアウトのログ(または画面コピー)を必ず保管（または添付）し、監査等にて提示要求があった場合は、速やかに提示できるよう保管する
③定期(月次)報告
特権ＩＤ(システムＩＤ)台帳ならびに特権ＩＤ(システムＩＤ)使用状況を、定期(月次)報告する。
（ログまたは画面コピーは、月次報告不要）
④特権ＩＤ棚卸し
特権ＩＤの棚卸しを定期的（年 2 回程度）に実施し、報告を行う。（報告書式任意）棚卸し点検内容は以下の通り
○台帳は、本当に使用する者を登録しているか？（体制図と一致しているか？）
・体制から外れた者が削除されずに残っていないか？
・使用予定がない者が登録されていないか？
○台帳と使用管理簿の相関は一致しているか？
○使用管理簿とログ(または画面コピー)保管の相関は一致しているか？
４．１１ キャパシティ管理
キャパシティ管理の目的は、ビジネスが必要とするときに、必要なキャパシティを適正なコストで提供することである。 すなわち、
① ビジネスの需要に対する供給
ビジネスの変化に合わせて、ＩＴサービスの対応にもスピードが要求される。 キャパシティ管理は、現在から将来にわたるビジネス需要・要件に合わせて、ＩＴインフラストラクチャーのキャパシティを最大限に活用できるようにすることを目的とする。
② キャパシティに対するコスト
一方、必要以上のキャパシティを確保すると購入や運用のための費用が膨らみ、ビジネスの観点からコストを正当化できない。 キャパシティを最適化し、費用対効果が高いＩＴサービスを提供することもキャパシティ管理の目的である
このプロセスは、次の３つのサブプロセスから構成される。
① ビジネスキャパシティ管理
ＩＴサービスに対する将来のビジネス需要・要件を収集・検討し、それによって、ＩＴサービスのキャパシティを確実に実装させるための計画の立案、予算化、構築がタイムリーに実施されるようにする。
② サービスキャパシティ管理
実際のサービスの利用と稼働のパターン、山と谷を理解して、運用中のＩＴサービスのパフォーマンスを監視し、それによって、ＳＬＡの目標値を達成し、ＩＴサービスを要求どおりに機能させる。
③ コンポーネントキャパシティ管理
ＩＴインフラストラクチャーの個々のコンポーネントのパフォーマンスとキャパシティ、使用状況を監視し、それによって、ＳＬＡの目標値を達成・維持するために、コンポーネントの利用を最適化する。
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、アプリケーション、及び人的リソースを対象とする。
キャパシティ管理業務を評価するための評価指標として以下を定義する。
① ＣＰＵ、ディスク、メモリ、ネットワーク容量などの閾値に対する需要の割合
② ＩＴサービスのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
③ ＩＴコンポーネントのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数
④ 正規の購入計画に含まれていなかった、パフォーマンスの問題解決のために急きょ行った購入の数又は金額
４．１２ 可用性管理
可用性管理の目的は、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供することであり、そのためにＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させる。
可用性管理の活動は大きく、１）可用性要件の把握、２）可用性の設計、及び３）可用性の改善活動の３つに分けられる。
具体的には、以下の可用性管理の３要素の目標値を設定し、設定した可用性のレベルを達成・維持・向上させることである。
① 可用性
可用性とは、ＩＴサービスが必要なときに使用できる割合のことで、一般的には稼働率という指標を用いて表される。
稼働率（％）＝（サービス提供時間－停止時間）÷サービス提供時間
② 信頼性
提供されるＩＴサービスにおける、不具合の発生しにくさ／故障しずらさを表す。平均故障間隔＝（使用可能な時間－総停止時間）÷（サービス中断の回数－１）
③ 保守性
ＩＴサービスが停止又は品質低下した際に、いかに早く復旧できるかを示す指標。平均修理時間＝修理時間の合計÷サービス中断の回数
可用性について極めて重要なことは、ユーザの求めるシステムの可用性レベルをどのように達成するかについて、システム設計時に真剣に検討し、システム構築時に実現し、システムの運用において継続的に改善することである。
本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、及びアプリケーションを対象とする。
可用性管理業務を評価するための評価指標として以下を定義する。
① 可用性の割合
② 平均故障間隔
③ 平均修理時間
④ サービスの中断回数
⑤ 定期的なリスク分析、及びレビューの完了の件数
４．１３ サービスレベル管理
ユーザニーズを満足する適正なサービスレベルおよび管理指標を設定し、これを実績管理することにより質の高いサービスの提供を図る。
サービスレベルおよび各個別管理業務での管理指標の実績データを定期的に把握し、サービスレベル指標と実績の差異や傾向を継続的に分析することにより、改善策を立案し実施する。
IT 部門が提供する全ての IT サービスに関するサービスレベルおよび各個別管理業務での管理指標を管理対象とする。
サービスレベル管理業務を評価するための評価指標として以下を定義する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
(5) 標準化
サービスレベル管理業務を定期的(月次)に報告する。
①「サービスレベル合意書」の各サービスレベル項目の達成率
②各個別管理業務での管理指標の達成率
以上
別紙５ 情報セキュリティ対策の運用要件
情報システムの運用・保守の業務遂行にあたっては、調達・構築時に決定した情報セキュリティ要件が適切に運用されるように、人的な運用体制を整備するとともに、機器等のパラメータが正しく設定されていることの定期的な確認、運用・保守に係る作業記録の管理等を確実に実施すること。
対策区分 | 対策方針 | 対策要件 | 運用要件 | 定期点検 |
侵害対策 | 通信回線対策 | 通信経路の分離 | 不正の防止及び発生時の影響範囲を限定するため、外部との通信を行う | セキュリティヘルスチェック（構成管理資料の原本と |
（AT： Attack） | （AT-1） | （AT-1-1） | サーバ装置及び通信回線装置のネットワークと、内部のサーバ装置、端末等のネットワークを通信回線上で分離すること。ネットワーク構成情 報と実際の設定を照合し、所定の要件通りに設定されていることを定期 | 実際の設定状況を目視にて突合せチェックすることにより各種セキュリティ設定の不正変更の有無をチェッ クする）と合わせて実施し報告すること。 |
的に確認すること。 | ||||
不正通信の遮断 | 通信に不正プログラムが含まれていることを検知したときに、その通信 | |||
（AT-1-2） | をネットワークから遮断すること。 | |||
通信のなりすまし防止 （AT-1-3） | 通信回線を介した不正を防止するため、不正アクセス及び許可されていない通信プロトコルを通信回線上にて遮断する機能について、有効に機能していることを定期的に確認すること。 | セキュリティヘルスチェック（構成管理資料の原本と実際の設定状況を目視にて突合せチェックすることに より各種セキュリティ設定の不正変更の有無をチェッ | ||
クする）と合わせて実施し報告すること。 | ||||
サービス不能化の防止 （AT-1-4） | サービス不能攻撃を受けているかを監視できるよう、稼動中か否かの状態把握や、システムの構成要素に対する負荷を定量的(CPU 使用率、プ | |||
ロセス数、ディスク I/O 量、ネットワークトラフィック量等)に把握す | ||||
ること。監視方法はシステムの特性に応じて適切な方法を選択するこ | ||||
と。 | ||||
不正プログラム対策 （AT-2） | 不正プログラムの感染防止 （AT-2- 1） | 不正プログラム対策ソフトウェア等に係るアプリケーション及び不正プログラム定義ファイル等について、これを常に 最新の状態に維持すること。不正プログラム対策ソフトウェア等により定期的に全てのファイルに対して、不正プログラムの検査を実施すること。 | ||
不正プログラム対 | 不正プログラム対策ソフトウェア等の定義ファイルの更新状況を把握 | |||
策の管理 （AT-2- | し、不正プログラム対策ソフトウェア等が常に有効に機能するよう必要 | |||
2） | な対処を行うこと。 |
セキュリティホ ー ル 対 策 （AT-3） | 運用時の脆弱性対策 （AT-3-2） | 情報システムを構成するソフトウェア及びハードウェアのバージョン等を把握して、製品ベンダや脆弱性情報提供サイト等を通じて脆弱性の有無及び対策の状況を定期的に確認すること。脆弱性情報を確認した場合は情報システムへの影響を考慮した上でセキュリティパッチの適用等必要な対策を実施すること。 対策が適用されるまでの間にセキュリティ侵害が懸念される場合には、当該情報システムの停止やネットワーク環境の見直し等情報セキュリティを確保するための運用面での対策を講ずること。 | 脆弱性対策の実施状況は、月次で報告すること。 | |
不正監視・追跡 （AU: Audit） | ログ管理（AU- 1） | ログの蓄積・管理 （AU-1-1） | 情報システムにおいて、情報システムが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行うために必要なログ（システムへのログオンや資源へのアクセスのロギング等）を取得すること。 | ログが所定の要件通り、取得・蓄積されていることを確認すること。（年 1 回以上） |
ログの保護 （AU- 1-2） | 取得・蓄積されたログが不正な改ざんや削除が行われないようログの格納ファイルのアクセス権を制限する等必要な対策を講じること。 | 取得・蓄積されたログが不正な改ざんや削除が行われていなことを確認すること。（年１回以上） | ||
時刻の正確性確保 （AU-1-3） | システム内の機器の時刻同期の状況を確認すること。 | 時刻同期に問題ないことを月次で確認する。もしくは、差異がある場合に検知する仕組みを構築する。 | ||
不正監視（AU- 2） | 侵入検知 （AU-2- 1） | 不正行為に迅速に対処するため、通信回線を介して所属するＰＭＤＡ外と送受信される通信内容を監視し、不正アクセスや不正侵入を検知した場合は通信の遮断等必要な対処を行うこと。 | ||
アクセス・利用制限 （AC: Access） | 主体認証（AC- 1） | 主体認証 （AC-1- 1） | 主体認証情報（ＩＤ、パスワード）は不正に読み取りできないよう保護すること。 | |
アカウント管理（AC-2） | ライフサイクル管理 （AC-2-1） | 主体が用いるアカウント（識別コード、主体認証情報、権限等）は、主体の担当業務に必要な範囲において設定すること。 また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 アカウント棚卸を定期的に実施し、不要なアカウントを削除すること。 | アカウント棚卸を定期的（年１回以上）に実施すること。 | |
アクセス権管理 （AC-2-2） | 主体が用いるアカウント（識別コード、主体認証情報、権限等）は、主体の担当業務に必要な範囲において設定すること。また、アカウント管理（登録、更新、停止、削除等）の作業内容は記録し、証跡を保管すること。 権限の再検証を定期的に実施し、不要な権限を削除すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 |
管理者権限の保護 （AC-2-3） | システム特権を付与されたアカウント及び使用者を特定し、アカウントの使用状況を記録し、アカウントの不正使用がないことを定常的に確認すること。 | 管理状況を「特権ＩＤ台帳」及び「特権ＩＤ使用管理簿」により、月次で報告すること。 本番稼働に直接影響するサーバの中から毎月２台のサーバを選定して全量の１/５程度をサンプリング検査することとする。ただし、サンプリングの対象範囲は PMDA と協議のうえ決定するものとする。 | ||
データ保護 （PR: Protect） | 機密性・完全性の確保 （PR-1） | 通信経路上の盗聴防止 （PR-1-1） | 通信回線に対する盗聴行為による情報の漏えいを防止するため、通信回線を暗号化する機能について、有効に機能していることを定期的に確認すること。 | セキュリティヘルスチェック（各種セキュリティ設定の不正変更の有無、および不正操作の痕跡の有無の確認）と合わせて実施し報告すること。 |
保存情報の機密性確保 （PR-1-2） | 情報システムに蓄積された情報の窃取や漏えいを防止するため、情報へのアクセスを制限すること。構成情報と実際の設定を照合し、所定の要件通りに設定されていることを定期的に確認すること。 また、業務データへのアクセス権限の付与状況を点検し、不要なアクセス権限が付与されていないことを確認すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
業務データへのアクセス管理 | 情報の格付の見直し及び再決定が行われた際や、当該情報システムに係る職員等の異動や職制変更等が生じた際には、情報に対するアクセス制御の設定や職務に応じて与えられている情報システム上の権限が適切に変更されていることを確認すること。 | ユーザーＩＤの棚卸と合わせて実施すること。 | ||
受託者によるアクセス | 受託者は受託した業務以外の情報へアクセスしないこと。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
物理対策 （PH: Physical） | 情報窃取・侵入対策 （PH-1） | 情報の物理的保護 （PH-1-1） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、情報の漏えいを防止するため、物理的な手段による情報窃取行為を防止・検知するための機能を備えること。 | 情報セキュリティ遵守状況は月次で報告すること。 |
侵入の物理的対策 （PH-1-2） | 受託者の管理区域において、受託者がＰＭＤＡより提供された情報を格納する機器は、物理的な手段によるセキュリティ侵害に対抗するため、外部からの侵入対策が講じられた場所に設置すること。 | 情報セキュリティ遵守状況は月次で報告すること。 | ||
入退室管理の履行 | ＰＭＤＡが管理するサーバ室、事務室等の管理区域への入退出については、ＰＭＤＡ入退室管理規程を遵守すること。 ＰＭＤＡの管理区域内での作業は、原則として、ＰＭＤＡ職員の立会いのもとで行うこと。 |
障害対策 （事業継続対応） （DA: Damage） | 構成管理（DA- 1） | システムの構成管理 （DA-1-1） | 情報セキュリティインシデントの発生要因を減らすとともに、情報セキュリティインシデントの発生時には迅速に対処するため、情報システムの構成（ハードウェア、ソフトウェア及びサービス構成に関する詳細情報）が記載された文書を実際のシステム構成と合致するように維持・管理すること。 | 変更作業時の構成管理資料の更新については、「変更作業一覧」により、月次で報告すること。 |
可用性確保 （DA-2） | システムの可用性確保 （DA-2-1） 情報のバックアップの取得 | システム及びデータの保全が確実に実施されるため、システム及びデータのバックアップが所定の要件通りに取得されていることを定期的に確認すること。 また、回復手順について机上訓練を実施し、バックアップや回復手順が適切に機能することを確認する。 | バックアップの実施状況は、月次で報告すること。 バックアップによるリストア等回復手順については、机上訓練を年 1 回以上実施すること。 | |
サプライチェーン・リスク対策 （SC: Supply Chain） | 情報システムの構築等の外部委託における対策（SC- 1） | 委託先において不正プログラム等が組み込まれることへの対策 （SC-1-1） | 情報システムの運用保守において、ＰＭＤＡが意図しない変更や機密情報の窃取等が行われないことを保証するため、構成管理・変更管理を適切に実施すること。 | 変更管理の状況は「変更作業一覧」により、月次で報告すること。 |