各府省庁等の情報システムに係る情報セキュリティ対策等の状況について

会計法（昭和22年法律第35号）、予算決算及び会計令（昭和22年勅令第165号）等によれば、国が契約を締結する場合、原則として競争に付さなければならないこととされている。ただし、契約に係る予定価格が少額である場合のほか、契約の性質又は目的が競争を許さない場合等は随意契約によることができるとされている（以下、予定価格が少額であることを理由とした随意契約を「少額随契」という。）。そして、「予算決算及び会計令及び予算決算及び会計令臨時特例の一部を改正する政令」（令和7年政令第93号。以下「改正令」という。）による改正前は、①予定価格が250万円を超えない工事又は製造をさせるとき、②予定価格が160万円を超えない財産を買い入れるとき、③工事又は製造の請負、財産の売買及び物件の貸借以外の契約でその予定価格が100万円を超えないものであるときなどは少額随契によることができるとされていた。

そこで、本府省庁等24機関が3年度から5年度までに契約の締結及び経費の支払を行っている契約のうち、契約額（単価契約の場合は、調達時の想定数量に契約単価を乗じた額）が少額随契によることができる予定価格の額を超えている契約2,089件（契約額計9061億4351万余円）の契約方式について確認した。その結果、特定の者でなければ履行することができないことから、契約の性質又は目的が競争を許さない場合に該当するなどとして随意契約により締結していた契約は、図表1-2のとおり、1,042件（2,089件の49.8%）で、契約額は2820億6029万余円（9061億4351万余円の31.1%）となっていた。

図表1-2　契約方式別の契約件数及び契約額（令和3年度～5年度）

競争契約に当たっては、できるだけ多くの入札者の参加により実質的な競争性が確保されていることが重要である。

そこで、本府省庁等24機関が3年度から5年度までに契約の締結及び経費の支払を行っている契約のうち競争契約により締結された契約1,047件における応札者数を確認したところ、図表1-3のとおり、応札者が1者であった契約（以下「1者応札」という。）の件数は762件（1,047件の72.7%）となっていた（競争契約の応札者数別の契約件数及び契約額については別図表4参照）。

図表1-3　競争契約の応札者数別の契約件数（令和3年度～5年度）

また、5年度の1者応札208件のうち、当該契約の受注者が3年度及び4年度にも同様の内容の契約を1者応札により受注しているもの（以下「継続受注」という。）は、図表1-4のとおり、69件（208件の33.1%）となっていた。そして、整備経費に係る契約と運用等経費に係る契約を比較すると、運用等経費に係る契約の方が継続受注となっている件数の割合が高くなっていた。

図表1-4　継続受注の状況

（単位：件）

• 注(1)　年度の途中で契約が分かれている場合（令和3年度前期分と同年度後期分等）には、同一の者が当該年度の全ての契約を1者応札により受注していれば、集計の対象としている。
• 注(2)　更改前のシステムに係る保守契約と更改後のシステムに係る保守契約については、同様の内容の契約として集計している。
• 注(3)　ソフトウェアのライセンス等の購入や年度の途中で発注する追加業務に係る契約、及び国庫債務負担行為により契約期間が複数年度にわたる契約は、集計の対象としていない。

統一基準群によれば、統括情報セキュリティ責任者は、情報システム台帳を整備することとされている。また、情報システムセキュリティ責任者は、情報システムを新たに整備する際等には、当該情報システムのセキュリティ要件に係る内容を情報システム台帳に記載して、統括情報セキュリティ責任者に報告することとされている。そして、情報システム台帳に記載するセキュリティ要件に係る内容として、情報システムで取り扱う情報の格付（注22）等に関する事項等の12事項が定められている（情報システム台帳に記載する12事項については、別図表5参照）。

a　情報システム台帳による管理

b　セキュリティ要件に係る記載

統一基準群によれば、国の行政機関等において、情報システムの情報セキュリティ水準を維持し、情報セキュリティインシデントに適切かつ迅速に対処するためには、情報セキュリティ対策に係る情報を一元的に把握することが重要であるとされている。

したがって、情報システム台帳による管理を行っていない機関や、情報システム台帳に記載することとされている12事項のうち一部の事項を記載していない機関においては、統一基準群に基づき情報システム台帳を整備する必要がある。

統一基準群によれば、国の行政機関等はポリシーを定めなければならないこととされており、ポリシーには、統一基準群において定められている遵守事項等の規定を満たすように具体的な対策事項を規定することとされている。

3年7月に改定された統一基準群においては、国の行政機関等を標的としたサイバー攻撃や情報セキュリティインシデント等を踏まえて、より強固な情報セキュリティ対策が定められるなどしており、「政府機関等の情報セキュリティ対策のための統一基準群の改定について（通知）」（令和3年7月内閣官房内閣サイバーセキュリティセンター内閣参事官（政府機関総合対策担当）事務連絡）によれば、国の行政機関等のポリシーが、3年7月に改定された統一基準群に準拠したものとなるよう、ポリシーの改定等の対応を3年度中に行うように努めることとされていた。

本府省庁等24機関及び地方支分部局16機関のうち、ポリシーを策定しているのは、統括情報セキュリティ責任者が設置されている本府省庁等19機関であり（注23）、このうち3年7月より前からポリシーを策定していたのは18機関となっていた。

そこで、18機関におけるポリシーの改定状況を確認したところ、図表2-4のとおり、11機関は3年7月に改定された統一基準群に準拠させるためのポリシーの改定を3年度中に完了していなかった。そして、11機関のうち1機関は、ポリシーの改定を要する事項が多岐にわたり精査に時間を要しているとして、6年3月末時点においても、ポリシーの改定を完了していなかった。

図表2-4　統一基準群に準拠させるためのポリシーの改定状況（令和6年3月末時点）

統一基準群では、第三者が情報システムに侵入して国の行政機関等の重要な情報を窃取し、破壊するなどの外部からの攻撃に際して、サーバ装置等で利用するソフトウェアのぜい弱性が悪用されることが想定されている。そして、統一基準群によれば、情報システムセキュリティ責任者は、ソフトウェアのぜい弱性の有無について適宜調査を行い、ソフトウェアのぜい弱性に関する情報を入手するなどした場合は、情報システムへの影響を考慮した上で、セキュリティパッチ（注24）を適用するなどのぜい弱性対策を迅速かつ適切に講ずることとされている。

そこで、対象システムにおけるソフトウェアに関するぜい弱性対策の実施状況を確認したところ、12機関の58システムについては、統一基準群に準拠したソフトウェアに関するぜい弱性対策が講じられていなかった。

ソフトウェアに関するぜい弱性が悪用された場合には、外部からの攻撃により対象システムが有効に機能しなくなるおそれがあることから、上記の12機関においては、統一基準群に準拠したソフトウェアに関するぜい弱性対策を講ずる必要がある。

統一基準群によれば、情報システム等にアクセスする者等（以下「主体」という。）の権限の管理が適切でない場合、情報システム等への不正アクセスが生ずるおそれがあるため、権限を適切に管理することが必要であるとされている。

そこで、対象システムにおけるアクセスの権限の管理状況を確認したところ、16機関の26システムについては、アクセスの権限の管理が統一基準群に準拠しておらず、適切に行われていなかった。

アクセスの権限の管理が適切でない場合には、本来権限を有しない者が対象システムや情報にアクセスし、情報の漏えいや改ざんが行われるなどして、対象システムが有効に機能しなくなるおそれがあることから、上記の16機関においては、統一基準群に準拠したアクセスの権限の管理を行う必要がある。

統一基準群によれば、情報システム等にアクセス可能な主体を制限するためには、主体認証機能の導入が必要であるとされ、その際には、アクセス権限のある主体へのなりすましやぜい弱性を悪用した攻撃による不正アクセス行為を防止するための対策を講ずることが重要となるとされている。そして、主体認証機能を設けるに当たっては、知識による認証（注25）、所有による認証（注26）、生体による認証（注27）等の主体認証方式を決定し、導入することとされている。また、情報システムにアクセスする全ての主体に対して、主体認証情報（注28）を適切に付与し、管理するための措置を講ずることとされている。

そこで、対象システムにおける主体認証情報の管理状況を確認したところ、18機関の55システムについては、主体認証情報の管理が統一基準群に準拠しておらず、適切に行われていなかった。

主体認証情報の管理が適切でない場合には、主体になりすました者が対象システムや情報に不正にアクセスし、情報の漏えいや改ざんが行われるなどして、対象システムが有効に機能しなくなるおそれがあることから、上記の18機関においては、統一基準群に準拠した主体認証情報の管理を行う必要がある。

統一基準群によれば、ログは、悪意のある第三者による不正侵入や不正操作等の情報セキュリティインシデントに係る事後の調査過程での問題解決、及びその予兆を検知するための重要な材料であるなどとされている。そして、情報システムの特性に応じて、ログを取得する目的を設定した上で、ログとして取得する情報項目を定めることとされており、当該情報項目の例として、ログイン及びログアウト等の事象の種類が示されている。また、取得したログの点検又は分析を定期的に実施する機能を情報システムに設けることにより、第三者による不正侵入や不正操作等の有無について点検又は分析を実施することとされている。

そこで、対象システムにおけるログの取得状況等を確認したところ、19機関の102システムについては、統一基準群に例として示されている情報項目のログ（以下「点検対象ログ」という。）が全く取得されていなかった。また、12機関の38システムについては、点検対象ログは取得されていたものの、ログの点検又は分析が実施されていなかった。

点検対象ログの取得、点検又は分析が適切に実施されていない場合には、情報セキュリティインシデントの発生が検知できずに対処が遅れるなどして、対象システムが有効に機能しなくなるおそれがあることから、上記の19機関及び12機関においては、統一基準群に準拠したログの取得・管理を行う必要がある。

a　IT-BCPの策定等

b　IT-BCPの運用

デジタル庁は、標準ガイドライン群に基づき、政府情報システムの整備及び管理に関する事業を特定して、より適切な管理等を実施するために、各政府情報システムに情報システムIDを付番している。また、デジタル庁は、4年度に、各府省庁等に対して情報システムIDの付番状況について確認を求めて棚卸調査を実施し、情報システムIDが付番されていない既存の情報システムに付番するなどの整理を行っている。

デジタル庁は、5年4月に「情報システムIDの取得等実施要領（3.0版）」（以下「ID取得要領」という。）を定めて、各府省庁等のPJMOがPMOを通じてデジタル庁から情報システムIDを取得する際の手続等を示している。4年度に棚卸調査が実施されていることから、ID取得要領は、基本的に、新たに整備する情報システムに係る情報システムIDを取得する場合を想定した内容となっており、既存の情報システムに係る情報システムIDを取得する場合の手続等については明確に記載されていない。

また、標準ガイドライン群によれば、PMOは、各府省庁等内の政府情報システムに係る情報資産の状態及び所在を明らかにして、迅速な課題対応等が可能となるようにすることとされている。そして、PMOは、政府情報システムの整備等に係るプロジェクトのうち社会的重要度の高いプロジェクト等を指定して、当該プロジェクトに係る調達仕様書の作成段階において情報セキュリティ対策が適正なものとなっているか確認し、PJMOに対して指導等を行うこととされている。

a　情報システムIDの付番

b　情報システムIDの付番状況別の情報セキュリティ対策の実施状況

このように、対象システムのうち本府省庁等13機関の42システム及び地方支分部局10機関の95システムの計23機関の137システムはID無しシステムとなっており、ID無しシステムは、ID付きシステムよりも情報セキュリティ対策の実施割合が低くなっていた。

一方で、対象システムは、いずれも重要な業務を実施するための情報システムであることから、情報システムIDを取得することにより、政府情報システムとしてデジタル庁による監理等が実施され、情報セキュリティ対策についてPMOによる確認、指導等が行われることが望ましい。

したがって、ID無しシステムの整備、運用等を行っている23機関においては、必要に応じてデジタル庁と協議するなどして、情報システムIDの取得について検討するとともに、デジタル庁においては、ID取得要領を改定するなどして、既存の情報システムに係る情報システムIDを取得する場合の手続等を明確にすることについて検討することが重要である。

a　業務の委託先における情報セキュリティ対策

b　業務の再委託先における情報セキュリティ対策

情報システム等の開発、運用等の業務を外部の業者に委託した際に、委託先又は再委託先において情報セキュリティ対策が適切に講じられていない場合には、第三者が委託先又は再委託先を経由して対象システムや情報に不正にアクセスし、情報の漏えい、改ざんが行われるなどして、対象システムが有効に機能しなくなるおそれがある。

したがって、委託先において実施する情報セキュリティ対策に関する事項及び再委託先に係る事項を適切に調達仕様書等に定めていない機関や、委託先における情報セキュリティ対策等の実施状況に係る確認を実施していない、又は再委託先における情報セキュリティ対策の実施状況を確認するために必要な情報の提供を受けていない機関においては、統一基準群に準拠した業務委託に係る情報セキュリティ対策を講ずる必要がある。

a　クラウドサービスの利用申請等

b　クラウドサービスのセキュリティ要件

クラウドサービスの利用について許可権限者から承認を受けていない場合や、クラウドサービスのセキュリティ要件が管理策水準となるように調達仕様書等を定めずに、ISMAPのクラウドサービスリストに登録されていないクラウドサービスを利用している場合には、セキュリティ要件を満たしていないクラウドサービスにおいて情報セキュリティインシデントが発生して、対象システムが有効に機能しなくなるおそれがある。

したがって、許可権限者から承認を受けていない機関や、セキュリティ要件が管理策水準となるように調達仕様書等を定めずに、クラウドサービスリストに登録されていないクラウドサービスを利用している機関においては、統一基準群に準拠した外部サービスの利用に係る情報セキュリティ対策を講ずる必要がある。

ポリシー及び情報セキュリティ関係規程が適切に整備されていても、その内容が職員等に認知されていなければ、適切な情報セキュリティ対策が講じられないおそれがある。

統一基準群によれば、統括情報セキュリティ責任者は、情報セキュリティ対策に関する教育について、対策推進計画（注36）に基づき、次のことを実施することとされている。

①　職員等が毎年度最低1回は教育を受けることができるように教育実施計画を策定すること

②　職員等の異動又は着任後3か月以内に教育を受けることができるように体制を整備すること

③　職員等の役割に応じて、最新の脅威の動向、各機関の実状等を踏まえて教育すべき内容を検討し、教育のための資料を整備すること

そこで、情報セキュリティ対策に関する教育実施計画が策定されているか確認したところ、図表3-1のとおり、3年度から5年度までの各年度に、19府省庁等（注37）のうち1府省庁等においては、教育実施計画が策定されていなかった。

また、教育実施計画に基づき実施された教育の内容を確認したところ、3、4両年度に、1府省庁等においては、ポリシーの内容に関する教育が実施されていなかった。

図表3-1　教育実施計画の策定及び教育の実施状況（令和3年度～5年度）

• 注(1)　令和3年度については、関係書類が保存されていなかった1府省庁等を集計から除いている。
• 注(2)　令和5年4月に設置された府省庁等については、5年度のみに計上している。

また、業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等は、3年度11府省庁等、4年度12府省庁等、5年度15府省庁等となっていた。

一方、(2)のとおり、各機関において情報セキュリティ対策が適切に講じられていないなどの状況が見受けられており、特に、業務の委託先において実施する情報セキュリティ対策に関する7事項が調達仕様書等に適切に定められていない状況が多数の契約において見受けられた。

そこで、業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等の機関の契約（12機関の768件）を抽出して、調達仕様書等における記載状況を確認した。その結果、図表3-2のとおり、7事項のうち一部の事項が定められていなかった契約（11機関の633件）の割合が82.4％となるなどしており、業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等においても、業務委託に係る情報セキュリティ対策は必ずしも適切に講じられていない状況となっていた。

図表3-2　委託先において実施する情報セキュリティ対策に関する7事項の調達仕様書等における記載状況（業務委託に係る情報セキュリティ対策に関する教育が実施されていた府省庁等の機関の契約、令和3年度～5年度）

（単位：件）

• 注(1)　国庫債務負担行為による複数年度契約の件数は、契約期間が含まれる全ての年度に計上しているため、各年度の件数を集計しても計欄と一致しない。
• 注(2)　計欄の〔 〕書きは、当該契約を締結していた機関数である。

教育実施計画が策定されていない場合には、統一基準群に準拠した教育が実施されないおそれがある。また、情報セキュリティ対策に関する教育を実施していても、情報セキュリティ対策が適切に講じられていない場合には、教育の内容が十分なものとなっていないおそれがある。

したがって、教育実施計画を策定していない機関においては、統一基準群に基づき教育実施計画を策定する必要がある。また、各機関においては、情報セキュリティ対策が適切に講じられるよう、ポリシーやセキュリティ関係規程の内容、情報セキュリティ対策の必要性等に関する教育を充実させるための方策について検討する必要がある。

NISCは、NISC勉強会として、国の行政機関等の情報セキュリティ対策推進体制に属する職員や情報システム担当者等を対象として、統一基準群やマネジメント監査の結果等についての講義を実施している。NISCによると、NISC勉強会の参加者は、5年度に延べ約2,300名に上っており、講義後に実施するアンケートにより、当該講義が情報セキュリティ対策の理解に資するものとなっていることを確認しているとしていた。

一方、(2)のとおり、各機関において統一基準群に準拠した運用を行う必要があることについての認識が欠けていたなどのため、情報セキュリティ対策が適切に講じられていないなどの状況が見受けられた。

したがって、NISCを改組して設置された国家サイバー統括室においては、これらの状況を踏まえて、対策基準策定ガイドライン等の改定に当たり、情報セキュリティ対策がより確実に講じられるよう記載内容を工夫するとともに、統一基準群の内容や情報セキュリティ対策の必要性についての理解が更に深まるように引き続き教育等の取組を進める必要がある。

1(3)のとおり、重点計画によれば、各府省庁等は、情報システムの適切な開発・運用やサイバーセキュリティ対策等の担い手となる人材を充実させるなどの政府デジタル人材の確保・育成等の取組を推進することとされている。また、各府省庁等が作成するデジタル人材確保・育成計画の一環として、研修の受講、デジタル人材のスキル認定等に係る具体的な目標を設定することとされている。そして、「政府デジタル人材のスキル認定の基準」によれば、スキル認定は、デジタル庁が実施する情報システム統一研修の修了等の要件を満たした者に対して行うこととされている。

また、標準ガイドラインによれば、PMOは、各府省庁等内におけるデジタル人材の育成と管理について、重点分野に人材が配分され、順調に育成されるよう、①デジタル人材確保・育成計画に係る企画立案等、②デジタル人材のスキル認定及びスキル認定を受けた者の配置状況の把握等の機能を担うこととされている。

a　デジタル人材のスキル認定を受けた者の配置状況の把握等

b　研修の受講に係る目標の設定及び受講状況の把握

19府省庁等（注41）における計画監査の実施状況等を確認したところ、図表3-5のとおり、3年度は3府省庁等、4年度は2府省庁等、5年度は1府省庁等において監査実施計画が策定されていなかった。また、3年度は1府省庁等において監査実施計画は策定されていたものの、計画監査が実施されていなかった。

図表3-5　計画監査の実施状況等（令和3年度～5年度）

• 注(1)　令和3年度については、関係書類が保存されていなかった1府省庁等を集計から除いている。
• 注(2)　令和5年4月に設置された府省庁等については、5年度のみに計上している。
• 注(3)　「計画監査が実施されていた府省庁等数」の〔　〕書きは監査の対象となった情報システム数であり、「対象システムが監査対象となっていた府省庁等数」の〔　〕書きは監査の対象となった対象システム数である。

19府省庁等のうち4府省庁等においては、計画監査以外に、情報システム担当部局が情報セキュリティ監査を業務委託により実施していた（以下、これらの監査を「計画外監査」という。）。

情報セキュリティ監査の結果には組織内で横断的に改善が必要な事項が含まれる場合があることから、計画外監査の結果についても、組織内で情報共有を図ることにより、情報セキュリティ監査責任者等が計画監査の実施方法等を検討する際の参考にするなどして組織全体の情報セキュリティ対策に活用することが有効である。

そこで、計画外監査の結果が情報セキュリティ監査責任者等に情報共有されているか確認したところ、図表3-6のとおり、4府省庁等の計画外監査に係る委託契約17件のうち14件（これらの契約により監査の対象となった対象システムは11システム）については、監査結果が情報セキュリティ監査責任者等に情報共有されていなかった。

図表3-6　計画外監査の結果に係る情報共有の状況（令和3年度～5年度）

• 注(1)　国庫債務負担行為による複数年度契約は、契約期間に含まれる全ての年度の契約件数に計上しているため、各年度の件数を集計しても計欄と一致しないものがある。
• 注(2)　同一の対象システムについて複数の年度で計画外監査を実施している場合、各年度の対象システム数に計上しているため、各年度の対象システム数を集計しても計欄と一致しないものがある。
• 注(3)　監査結果が情報共有されていた年度とされていなかった年度がある対象システムがあるため、「監査結果が情報セキュリティ監査責任者等に情報共有されていたもの」と「監査結果が情報セキュリティ監査責任者等に情報共有されていなかったもの」の対象システム数の計欄を集計しても「業務委託により実施されていた計画外監査」の対象システム数の計欄と一致しない。

上記について、事例を示すと次のとおりである。

＜事例2＞　計画外監査の結果が情報セキュリティ監査責任者等に情報共有されていなかったもの