ガバメントクラウドに係る情報セキュリティ監査業務（令和8年度）

ガバメントクラウドの運用管理組織における情報セキュリティ管理について、情報セキュリティ監査（助言型監査）を実施する業務。政府機関等のサイバーセキュリティ対策のための統一基準群及びデジタル庁情報セキュリティポリシーを基準として、ガバメントクラウドの情報システム及び関連資料の整合性、網羅性、妥当性等を検証し、問題点の抽出、改善方法の助言を行う。GCASの3サービスを監査対象とし、監査計画・チェックリストの作成、資料確認、インタビュー・観察等による監査、監査結果報告書の作成、定例会議への参加及び助言等を行う。 主な業務 ① 情報セキュリティ監査 GCASの3サービスを監査 対面またはオンラインで実施 統一基準群・デジタル庁情報セキュリティポリシーへの準拠状況を確認 規程、システム資料、リスク評価、技術的対策等を確認 インタビュー、資料閲覧、観察等による監査 問題点・リスク・改善事項を整理 改善方法を助言 ② 成果物 主な成果物は、 業務計画書 情報セキュリティ監査実施計画書 監査チェックリスト 情報セキュリティ監査結果報告書 会議議事録 業務引継書 最終納品は令和9年3月31日。 ③ 月次会議 最低月1回以上の定例会議を開催し、進捗報告・議事録作成を行う。

競争参加資格 以下のすべてを満たすこと。 予算決算及び会計令第70条に該当しない者であること。 予算決算及び会計令第71条に該当しない者であること。 競争の導入による公共サービスの改革に関する法律第15条において準用する同法第10条各号（第11号を除く。）に該当しない者であること。 法人税、地方法人税、消費税及び地方消費税の滞納がないこと。 労働保険、厚生年金保険等の適用を受けている場合、保険料等の滞納がないこと。 デジタル庁及び他府省等における物品等の契約に係る指名停止等措置要領等に基づく指名停止を受けている期間中の者でないこと。 本業務の実施に当たって関係する事業者等と協力して円滑に業務を行うことが可能であること。 公的資格・認証等 品質管理体制 以下のいずれかを満たすこと。 ISO 9001:2015を業務実施部門が取得していること。 JIS Q 9001:2015を業務実施部門が取得していること。 組織としての能力成熟度についてCMMIレベル3以上を業務実施部門が取得していること。 上記と同等の品質管理手順及び体制が明確化された品質マネジメントシステムを有していること。 情報セキュリティ管理体制 以下のいずれかを満たすこと。 ISO/IEC 27001:2013を業務実施部門が取得していること。 JIS Q 27001:2014を業務実施部門が取得していること。 一般財団法人日本情報経済社会推進協会のプライバシーマーク制度の認定を受けていること。 同等の個人情報保護のマネジメントシステムを確立していること。 個人情報を扱うシステムのセキュリティ体制が適切であることを第三者機関に認定された事業者であること。 従事者の資格・経験 受託者は、本業務に必要な経験、資格、業績等を有する従事者を確保すること。専任である必要はない。 統括責任者 本調達の遂行に当たり全責任を持つことができること。 本調達の遂行上で問題が発生した場合に、速やかにデジタル庁へ報告し、解決できること。 マイナンバーカードを所持していること。 監査責任者（プロジェクトリーダー） ガバナンスの整備やセキュリティ運用プロジェクトをリードした経験があること。 NIST CSF及びISMAPの知識を有し、これらの評価プロジェクトを経験したこと。 以下のいずれか、又は同等以上の資格を1つ以上有する者を配置すること。 公認情報システム監査人（CISA） 公認情報セキュリティマネージャー（CISM） システム監査技術者 公認システム監査人（CSA） 公認情報セキュリティ主任監査人 作業担当者 以下の要件のすべて又はいずれかに該当すること。複数の作業担当者で要件を分担して満たすことも可能。 ガバメントクラウドの目的、意義、提供サービス、作成ドキュメント等の内容を正しく理解していること。 クラウドでの自己点検・内部監査・外部監査に向けた準備、設計、対応経験があること。 情報セキュリティ（システム監査又は情報システム）に関するコンサルティング又は情報セキュリティポリシーの作成（支援を含む）経験があること。 以下のいずれか、又は同等以上の資格を1つ以上有する者を配置すること。 公認情報システム監査人（CISA） 公認情報セキュリティマネージャー（CISM） システム監査技術者 公認システム監査人（CSA） 公認情報セキュリティ主任監査人