本院は、各府省庁等の情報システム（注1）に係る情報セキュリティ対策等の状況について、合規性、効率性、有効性等の観点から、①情報システムの整備、運用等に係る経費の支払状況及び契約の状況はどのようになっているか、②情報システムに係る情報セキュリティ対策は、「政府機関等のサイバーセキュリティ対策のための統一規範」（平成28年8月決定）、「政府機関等のサイバーセキュリティ対策のための統一基準」（平成17年12月決定）、「政府機関等のサイバーセキュリティ対策の運用等に関する指針」（平成28年8月決定）、「政府機関等の対策基準策定のためのガイドライン」（平成17年12月決定。以下「対策基準策定ガイドライン」といい、これらを合わせて「統一基準群」という。）等に基づき適切に講じられているか、③情報セキュリティ対策に係る教育等及び監査は、統一基準群等に基づき適切に実施されているかなどに着眼して検査した。
なお、サイバー安全保障分野の政策を一元的に総合調整している国家サイバー統括室（令和7年6月30日以前は内閣サイバーセキュリティセンター（以下「NISC」という。））は、様々な状況において重要な業務を実施するための情報システム（注2）（以下「対象システム」という。）に係る情報セキュリティ対策等の状況に関する詳細な事実関係や、本院が具体的にどのような情報システムを検査の対象としたのかなどの情報が公開された場合、特定の対象システムにおける情報セキュリティ対策等の問題点を狙い撃ちにした攻撃を誘発するなどのリスクがあるため、サイバーセキュリティ（注3）を確保する観点から公開すべきではないとしている。
上記を踏まえて、これらの情報については、記述しないこととした。
検査の状況の主な内容は次のとおりである。
本府省庁等16機関の41システム及び地方支分部局10機関の56システムについては、情報システム台帳に記載されておらず、情報システム台帳による管理が行われていなかった。また、本府省庁等13機関の109システム及び地方支分部局12機関の62システムについては、情報システム台帳に記載することとされている12事項のうち一部の事項が記載されていなかった。
12機関の58システムについては、統一基準群に準拠したソフトウェアに関するぜい弱性対策が講じられていなかった。
16機関の26システムについては、アクセスの権限の管理が統一基準群に準拠しておらず、適切に行われていなかった。
18機関の55システムについては、主体認証情報（注4）の管理が統一基準群に準拠しておらず、適切に行われていなかった。
19機関の102システムについては、統一基準群に例として示されている情報項目のログ（注5）（以下「点検対象ログ」という。）が全く取得されていなかった。また、12機関の38システムについては、点検対象ログは取得されていたものの、ログの点検又は分析が実施されていなかった。
本府省庁等24機関の146システム及び地方支分部局13機関の113システムの計37機関の259システムについては、「政府機関等における情報システム運用継続計画ガイドライン（第3版）」（令和3年4月内閣官房内閣サイバーセキュリティセンター作成。以下「IT―BCPガイドライン」という。）に基づき策定することとなっている情報システム運用継続計画（以下「IT―BCP」という。）が策定されていなかった。
また、10機関の統括情報セキュリティ責任者は、危機的事象（注6）発生時における情報セキュリティに係る対策事項を定めていなかった。
本府省庁等13機関の42システム及び地方支分部局10機関の95システムの計23機関の137システムは情報システムIDが付番されていない情報システム（以下「ID無しシステム」という。）となっており、ID無しシステムは、情報システムIDが付番されている情報システムよりも情報セキュリティ対策の実施割合が低くなっていた。
本府省庁等15機関の921件及び地方支分部局16機関の198件の契約においては、調達仕様書等に定めることとされている7事項のうち一部の事項が定められていなかった。また、情報セキュリティ対策その他の契約の履行状況の確認方法に係る事項が調達仕様書等に定められていた契約のうち、本府省庁等14機関の233件及び地方支分部局6機関の23件の契約については、情報システムセキュリティ責任者等において、委託先における情報セキュリティ対策等の実施状況に係る確認が実施されていなかった。
本府省庁等13機関の213件及び地方支分部局10機関の62件の契約においては、調達仕様書等に①委託先において実施することとされている情報セキュリティ対策が再委託先においても実施されるよう委託先に担保させること、及び②再委託先における情報セキュリティ対策の実施状況を確認するために必要な情報を委託先が国の行政機関等に提供して、再委託について承認を受けることのいずれか又は両方が定められていなかった。
本府省庁等11機関の68件及び地方支分部局4機関の10件の契約については、クラウド（注7）サービスの利用について許可権限者（注8）から承認を受けていなかった。
本府省庁等12機関の39件及び地方支分部局3機関の5件の契約においては、クラウドサービスのセキュリティ要件が政府情報システム（注9）のためのセキュリティ評価制度（以下「ISMAP」という。）管理基準（注10）の管理策基準が求める対策と同等以上の水準となるように調達仕様書等に定められていなかった。また、これらの契約のうち、本府省庁等4機関の8件の契約については、ISMAPのクラウドサービスリストに登録されていないクラウドサービスを利用していた。
3年度から5年度までの各年度に、1府省庁等においては、教育実施計画が策定されていなかった。
業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等の機関の契約のうち、業務の委託先において実施する情報セキュリティ対策に関する7事項のうち一部の事項が定められていなかった契約の割合が82.4％となるなどしており、業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等においても、業務委託に係る情報セキュリティ対策は必ずしも適切に講じられていない状況となっていた。
NISCによると、NISC勉強会（注11）の講義後に実施するアンケートにより、当該講義が情報セキュリティ対策の理解に資するものとなっていることを確認しているとしていた。一方、各機関において統一基準群に準拠した運用を行う必要があることについての認識が欠けていたなどのため、情報セキュリティ対策が適切に講じられていないなどの状況が見受けられた。
3年度は3府省庁等、4年度は2府省庁等、5年度は1府省庁等において監査実施計画が策定されていなかった。
また、4府省庁等において、監査実施計画に基づき実施する情報セキュリティ監査以外に情報システム担当部局が業務委託により実施していた情報セキュリティ監査（以下「計画外監査」という。）に係る委託契約17件のうち14件については、監査結果が情報セキュリティ監査責任者等に情報共有されていなかった。
国の行政機関等が実施する業務においては、情報システムの利用が拡大しており、情報システムの整備、運用等に係る経費は多額に上っている。
一方、サイバーセキュリティに対する脅威が世界規模で生じ、深刻化するなどしており、国民の安全・安心の根幹に関わる経済社会基盤を担う国の行政機関等が、サイバーセキュリティ対策を進めることにより情報セキュリティを確実に保証することが求められている。
ついては、国家サイバー統括室、デジタル庁及び各機関は、重要な業務を実施するための情報システムである対象システムに係る情報セキュリティ対策が適切に講じられ、対象システムが今後も有効に機能するよう、次の点に留意する必要がある。
ア 各機関において、統一基準群に基づき情報システム台帳を整備すること
イ 各機関において、統一基準群に準拠したソフトウェアに関するぜい弱性対策、アクセスの権限の管理、主体認証情報の管理及びログの取得・管理に係る情報セキュリティ対策を講ずること。また、「政府業務継続計画（首都直下地震対策）」（平成26年3月閣議決定）及びIT―BCPガイドラインに基づきIT―BCPの策定等を適切に実施すること
ウ ID無しシステムの整備、運用等を行っている各機関において、必要に応じてデジタル庁と協議するなどして、情報システムIDの取得について検討するとともに、デジタル庁において、「情報システムIDの取得等実施要領（3.0版）」を改定するなどして、既存の情報システムに係る情報システムIDを取得する場合の手続等を明確にすることについて検討すること
エ 各機関において、統一基準群に準拠した業務委託及び外部サービスの利用に係る情報セキュリティ対策を講ずること
オ 各機関において、統一基準群に基づき教育実施計画を策定するとともに、情報セキュリティ対策が適切に講じられるよう、情報セキュリティ対策の基本的な方針、情報セキュリティ対策の基準やセキュリティ関係規程の内容、情報セキュリティ対策の必要性等に関する教育を充実させるための方策について検討すること。また、国家サイバー統括室において、対策基準策定ガイドライン等の改定に当たり、情報セキュリティ対策がより確実に講じられるよう記載内容を工夫するとともに、統一基準群の内容や情報セキュリティ対策の必要性についての理解が更に深まるように引き続き教育等の取組を進めること
カ 各機関において、統一基準群に基づき監査実施計画を策定し、当該計画に基づき監査を実施すること。また、計画外監査の結果が情報セキュリティ監査責任者等に情報共有されるように対応を検討すること
本院としては、各府省庁等の情報システムに係る情報セキュリティ対策等の状況について、引き続き注視していくこととする。