令和８年度ペネトレーションテストによる厚生労働省関係情報システムのセキュリティ対策状況調査一式

厚生労働省が保有する情報システムを対象としてペネトレーションテスト（侵入テスト）を実施し、情報セキュリティ対策上の問題点の評価、改善点の報告および助言等を行うことで、同省における情報セキュリティ水準の向上を図る業務である。 対象は3システムで、IPアドレス数は3システム全体で30以内を目安とする。対象システム、実施内容および実施時期は、厚生労働省担当部署および対象システム担当組織と協議して決定する。クラウド環境を利用して構築されたシステムも対象に含む。 各システムの特性やリスクを踏まえて攻撃シナリオを選定し、システム情報・脆弱性情報等の収集、侵入可否の調査・分析、攻撃の実行、侵入後の活動を実施する。少なくとも1システムでは、侵入後の権限昇格および横展開を含む一連の攻撃プロセスを実施する。自動スキャンの結果だけで評価することは認められず、侵入・権限昇格・横展開の各工程は手動による検証を主体とする。 業務には、対象システムの選定、事前情報収集、全体・個別テスト実施計画書の作成、事前説明会・ヒアリング、ペネトレーションテストの実施、結果分析・評価、システムごとの報告および全体テスト結果報告書の作成・報告を含む。契約期間は契約日から2027年3月31日まで。

令和7・8・9年度厚生労働省競争参加資格（全省庁統一資格）において、厚生労働省大臣官房会計課長から「役務の提供等」のA、BまたはC等級に格付けされ、関東・甲信越地域の競争参加資格を有する者であること。 本調達を担当する組織（会社全体または所属部門）において、ISO/IEC 27001認証またはJIS Q 27001認証のいずれかを取得していること。 また、経済産業省の「情報セキュリティサービスに関する審査登録機関基準」における「脆弱性診断サービス」の認定を取得し、同認定基準の技術要件および品質管理要件を満たす人員を1名以上本業務に参画させること。あるいは、同基準が求めるペネトレーションテスト（侵入試験）サービスの技術要件・品質管理要件と同等以上の水準であることを判断できる具体的な理由を提示すること。 過去3年以内に、上場企業または政府機関に対して、本調達仕様書1.4（2）と同種のペネトレーションテストを実施した実績を有すること。当該実績には、Active Directory環境を対象とした、侵入後の権限昇格または横展開を含むペネトレーションテストが含まれていなければならない。 テストの独立性・客観性を確保するため、現在稼働中の厚生労働省情報システムの設計開発、運用保守、調達・工程管理等の支援業務に係る契約中の事業者（再委託等を含む）は入札に参加できない。 競争参加資格確認書類等の提出期限は2026年11月5日11時。資格審査結果通知書の写し、申立書・自己申告書、会社概要等、上記の資格・認証・実績・入札制限要件を満たすことを確認できる書類、暴力団等に該当しない旨の誓約書等を提出すること。