令和8年度 国立医薬品食品衛生研究所ネットワークセキュリティ監査業務 一式

国立医薬品食品衛生研究所が管理するネットワークシステムを対象に、ネットワークセキュリティ監査を実施する。外部及び内部ネットワークからのプラットフォーム脆弱性診断、セキュリティログの取得状況・設定の確認、ネットワーク構成及び運用管理の確認を行い、検出事項の評価と具体的な改善策の助言を実施する。 **主な業務内容** 1. **外部ネットワークからの脆弱性診断** - 研究所が指定するインターネット公開システムを対象に、診断ツール、診断用スクリプト及び手動操作を組み合わせて診断する。 - 公開ポート、稼働サービス、OS・ミドルウェア等のバージョン、既知の脆弱性、アクセス制御、不要な情報開示、Webサービスの設定等を確認する。 - 重大・重要な検出事項や誤検知の可能性がある事項について、手動確認等により妥当性を検証する。 - 診断用データベースやプラグイン等は、診断実施時点で利用可能な最新状態に更新する。 2. **内部ネットワークからの脆弱性診断** - 研究所が指定する内部ネットワーク上の対象システムについて、プラットフォーム脆弱性診断等を実施する。 - 診断用機器は受注者が準備し、内部ネットワークへの接続環境は研究所と協議して指定を受ける。 - 対象システムに支障や損害を与えないよう、検証方法と実施条件に配慮する。 3. **セキュリティログの確認** - セキュリティインシデント発生時の原因究明や影響範囲の特定に必要なログが適切に取得・保存されているか確認する。 - ログの取得状況及び設定について確認・評価し、必要な改善策を助言する。 4. **ネットワーク構成・運用管理の確認** - ネットワーク構成及び運用管理に関する確認を行う。 - 過年度の脆弱性診断等で指摘された事項について、改善状況及び残存リスクを確認する。 - 検出事項の深刻度、悪用可能性、対象システムへの影響、既存の補完的対策等を踏まえ、対応の優先度を評価する。 5. **監査結果の報告・改善助言** - 診断・確認結果、検出事項、評価、改善方法及び過年度指摘事項の改善状況等をまとめた監査報告書を作成する。 - 全体報告書に加え、研究所が指定する管理単位ごとの個別報告書を作成する。 - 監査報告会を開催し、結果及び改善策を説明する。 6. **計画・進捗・品質管理** - 契約後速やかに監査実施計画書を提出し、研究所との協議により詳細な作業内容・実施時期を決定する。 - 定期的に進捗会議を開催し、会議の議事録は原則として開催後3日（休日を除く）以内に作成・提出する。 - 脆弱性診断の実施担当者以外によるレビュー等を通じて、診断結果及び成果物の品質を確保する。 **主な成果物** - ネットワークセキュリティ監査実施計画書：契約後速やかに提出 - ネットワークセキュリティ監査報告書：2027年3月31日まで - 議事録：各会議開催後、原則3日（休日を除く）以内 - 適合証明書、情報取扱者名簿、情報セキュリティ体制を定めた書面、業務従事者名簿等：応札時 - 情報セキュリティ管理計画書：応札時に案を提出し、契約時に確定 成果物は原則日本語で作成し、CD-R等の電磁的記録媒体で原則2部納品する。Office Open XML形式（docx、xlsx、pptx等）を基本とし、図表等の元データも納品する。 **実施期間：** 2026年11月下旬から2027年2月中旬までに監査を実施し、成果物提出及び監査報告会を契約期間内に完了する。契約期間は契約締結日から2027年3月31日まで。 **対象外となる作業：** 本業務は脆弱性診断を目的とし、対象システムへの侵入、権限昇格、データの取得・改変等、脆弱性の実証的な悪用を目的としたペネトレーションテストは実施しない。

**A. 全省庁統一資格** - 令和7・8・9年度厚生労働省競争参加資格（全省庁統一資格）において、「役務の提供等」のA・B・C・D等級に格付けされていること。 - 関東・甲信越地域の競争参加資格を有すること。 - 予算決算及び会計令第70条・第71条に該当しないこと。 - 厚生労働省から指名停止を受けていないこと。 - 所定の社会保険料・労働保険料の滞納要件等に該当しないこと。 **B. 会社としての資格・体制要件** 1. **情報セキュリティ認証：** ISO/IEC 27001又はJIS Q 27001の認証を取得していること。 2. **品質管理：** ISO 9001:2015又はその後継規格の認証を取得していること、又は本業務を適切に履行するために必要な品質管理体制を有していること。品質管理体制、レビュー体制及び品質確保の方法を応札時に示すこと。 3. **脆弱性診断サービス：** IPAの「情報セキュリティサービス基準適合サービスリスト」のうち、「脆弱性診断サービス」に掲載されたサービスを実施する部門が業務を遂行すること。 4. **脆弱性情報の収集：** 最新の脆弱性情報を継続的に収集・検証する体制を有すること。 5. **受注実績：** 過去3年以内に、研究所と同等規模以上の官公庁等で、プラットフォーム脆弱性診断を含む同種業務を3件以上実施した実績を有すること。 **C. 作業要員の資格・経験** - **監査責任者：** 官公庁等における情報セキュリティ監査、脆弱性診断等の経験が3件以上あり、そのうち少なくとも1件は責任者又は同等の立場で実施した経験があること。加えて、CISM、CISSP、ネットワークスペシャリスト、情報処理安全確保支援士、公認システム監査人（CSA）、公認情報システム監査人（CISA）、システム監査技術者のいずれかの資格等を有すること。 - **診断担当者：** プラットフォーム脆弱性診断又は類似する技術的なセキュリティ診断の実務経験を有し、CISM、CISSP、ネットワークスペシャリスト、情報処理安全確保支援士のいずれかの資格等を有する者を1名以上、監査チームに含めること。 - **評価者：** 診断担当者とは別の者とする。官公庁等における情報セキュリティ監査、脆弱性診断等の経験を有し、CSA、CISA、システム監査技術者、CISM、CISSP、ネットワークスペシャリスト、情報処理安全確保支援士、公認内部監査人（CIA）のいずれかの資格等を有すること。 - **独立性：** 監査チームには、監査対象システムの企画、開発、運用又は保守に直接従事している者を含めないこと。 - **コミュニケーション：** 監査責任者及び評価者は、研究所と日本語で円滑にコミュニケーションできること。 **D. 応札時の提出書類** - 全省庁統一資格の資格審査結果通知書の写し - 競争参加資格等に係る申立書及び自己申告書 - 会社概要等 - 上記要件を満たすことを証明する書類 - 適合証明書 - 情報取扱者名簿 - 情報セキュリティを確保するための体制を定めた書面 - 業務従事者名簿 - 情報セキュリティ管理計画書（案） - 暴力団等に該当しない旨の誓約書 - 入札書 提出された計画書（案）等について、研究所が履行可能性を認められないと判断した場合は、入札に参加できない。 **E. その他の制約** - 「令和6～8年度厚生労働省全体管理組織（PMO）支援【調達支援等】一式」の受注者及び、仕様書に記載された親会社・子会社・同一親会社を持つ会社・委託先等の緊密な利害関係を有する事業者は、入札制限の対象となる。 - 業務の全部、総合的な企画・判断及び業務遂行管理部分の再委託は禁止。 - 監査対象システムに関する情報を厳格に管理し、情報取扱者名簿や情報セキュリティ体制等を整備すること。