東京都財務会計システム外１件に対するサイバーセキュリティ監査実施委託

東京都財務会計システム及び住民税納付事務システムの2システムを対象として、第三者の独立かつ専門的な立場からサイバーセキュリティ監査を実施する業務。東京都サイバーセキュリティ基本方針及び東京都サイバーセキュリティ対策基準等への準拠状況を点検・評価し、問題点の確認、改善方法の検討及び助言を行うことで、サイバーセキュリティ対策の向上を図る。 主な業務は、対象システムの運用体制・システム構成の把握、監査質問書の作成、システム担当者及び運用委託事業者へのヒアリング、サーバ室・データセンター等の視察、サーバ脆弱性診断、監査報告書の作成及び報告会の実施。 東京都財務会計システムについては、都庁舎内の業務運用室、庁外執務室、外部システム基盤運用室及びデータセンター2か所の計5か所を視察する想定。ヒアリング及び視察は2027年1月から2月までを予定し、サーバ脆弱性診断では4IPを対象に、TCPの全ポート及び一般的に利用される主要なUDPポートを調査する。Webアプリケーションについては10画面程度を対象とし、クロスサイトスクリプティング、各種インジェクション、認証上の不備、SSL証明書の利用状況、セッション終了処理の不備等を診断する。 住民税納付事務システムについては、システム担当者及び運用委託事業者等へのヒアリング、サーバ室等の視察、OS・ミドルウェアの脆弱性診断及びユーザ権限設定の検証等を実施する。ヒアリング・視察及び脆弱性診断は2027年2月上旬を目途とする。 各システムの監査結果は、サイバーセキュリティポリシーの運用体制・運用状況及びサーバ脆弱性の有無等の観点から分析する。問題点は「重大な不適合」「軽微な不適合」「観察事項」の3段階に分類し、根拠を含む指摘事項及び具体的な改善提案を報告書に記載する。2027年2月までに報告会を実施し、被監査部門に報告内容を説明する。 納入物件は、監査実施計画書、監査体制図、対象システムごとの監査報告書、打合せ・報告会の議事録、委託完了届等。電子データはDVD-Rに記録して提出する。作成物及び委託作業に付随する成果物は東京都に帰属し、委託料は納入物件の検収後に一括で支払われる。

受託者は、監査対象システムの管理、企画、開発、運用、保守等に関わっていないこと。加えて、次のいずれかを満たす必要がある。 ・情報セキュリティサービス基準適合サービスリスト（IPA作成）の情報セキュリティ監査サービス分野の最新版に掲載されていること。 ・ISMS認証基準に基づいてコンサルティング業務を行い、ISMS認証を取得させた実績があること。 監査チームには、サイバーセキュリティ監査、サイバーセキュリティに関するコンサルティング、又はサイバーセキュリティポリシーの作成支援等の実績を有する専門家を1名以上含めること。 また、次のいずれかの資格を有する専門家を1名以上含めること。 ・システム監査技術者 ・公認システム監査人 ・公認情報システム監査人（CISA） ・ISMS主任審査員 ・ISMS審査員 ・情報処理安全確保支援士（旧情報セキュリティスペシャリスト） ・公認情報セキュリティ主任監査人 ・公認情報セキュリティ監査人 監査実績及び資格等の要件は適合証明書に記載し、資格証明書の写しを提出すること。監査チーム全体として、サイバーセキュリティ監査、情報システムの企画・開発・運用・保守、リスクマネジメント、ISMS取得のマネジメント及びサイバーセキュリティ技術に関する知識・技能を備える必要がある。 監査対象システムの管理・企画・開発・運用・保守等に関与した者など、独立性に抵触する者や独立性に疑義のある者は監査チームに含めてはならない。 なお、仕様書には東京都の競争入札参加資格に関する具体的な業種・等級の記載は確認できないため、入札公告及び入札説明書で別途確認する必要がある。