公共調達で求められる情報セキュリティ要件とサイバーセキュリティ対策の実務ポイント
官公庁や地方自治体が発注するIT関連業務や情報処理系委託では、情報セキュリティに関する要件が年々厳しくなっています。「セキュリティ要件が仕様書に記載されていたが、何を準備すればよいかわからなかった」という事業者の声は少なくありません。本記事では、公共調達における情報セキュリティ要件の背景と、受注者として整備しておくべき対策のポイントを解説します。
公共調達における情報セキュリティ要件が厳しくなっている背景#
政府・自治体の情報システムは、住民の個人情報や行政機密情報を扱うため、情報漏えいやサイバー攻撃による被害は社会的な影響が大きくなります。近年、行政機関の情報システムを狙ったサイバー攻撃の事例が国内外で報告されており、調達を通じて接続するサプライヤー側のセキュリティ水準も重視されるようになっています。
こうした背景から、政府はサプライチェーン全体のセキュリティ強化を調達ポリシーに反映させており、情報セキュリティに関する要件を仕様書に盛り込む発注機関が増えています。
調達仕様書に盛り込まれる主な情報セキュリティ要件#
発注機関によって内容は異なりますが、よく見られる要件には次のようなものがあります。
- 情報セキュリティ認証の保有：ISO/IEC 27001や政府の定める評価制度などに基づく認証を取得・維持していること
- 機密情報の取り扱い制限：業務で取得した情報を目的外に使用・提供しないこと、再委託先の管理義務
- データの保管・処理場所の制限：個人情報・機密情報を国内のサーバーで保管・処理すること
- インシデント報告義務：セキュリティ事故が発生した際に速やかに発注機関に報告すること
- セキュリティ監査への協力：発注機関または第三者機関によるセキュリティ監査・検査に応じること
- 退職者・離職後のアクセス管理：業務終了後のアカウント削除・情報持ち出し防止策の実施
これらの要件は、契約書の特記事項として記載されるケースも多く、受注後に「知らなかった」では対処が難しくなります。入札書類の段階で仕様書を精読し、自社が要件を満たせるかどうかを事前に確認することが重要です。
受注者が整備しておくべきサイバーセキュリティ対策#
要件に対応するための体制整備として、一般に有効とされる取り組みは以下のとおりです。
組織面での整備：情報セキュリティの責任者を明確にし、インシデント発生時の対応手順（エスカレーションフロー・連絡体制）をあらかじめ定めておきます。従業員への定期的なセキュリティ教育も求められることが多いです。
技術面での対策：不正アクセス防止のためのアクセス制御（最小権限の原則）、通信の暗号化、ウイルス対策・EDRの導入、ログの取得・保管が基本的な対策として挙げられます。
文書化：実施しているセキュリティ対策を文書化し、発注機関から確認を求められた際に提示できるようにしておきます。ISMS認証の取得は、こうした対策を第三者が確認した証明となり、調達参加の際の説明資料としても有効です。
認証取得が入札参加や評価に与える影響#
ISMSなどの情報セキュリティ認証は、入札参加の必須要件として設定されることもあれば、総合評価方式における評価加点の対象となることもあります。認証の取得・維持にはコストと時間がかかりますが、参加できる案件の幅が広がるという点では有効な投資と言えます。
一方で、認証を取得していない中小事業者がすべての案件から排除されるわけではありません。認証を必須としない案件も多くあるため、自社が参加を検討する発注機関・案件の傾向を事前に把握することが現実的なアプローチです。
まとめ#
公共調達における情報セキュリティ要件は、IT系に限らず個人情報を扱う業務委託全般に広がっています。要件への対応は一朝一夕には難しいため、参加を検討している発注機関の仕様書を定期的に確認しながら、自社の体制整備を段階的に進めることをお勧めします。
