重要情報を扱うシステムの要求策定ガイド

独立行政法人情報処理推進機構（IPA）は、経済産業省からの要請を受けて、重要情報を扱うシステムにおけるサービスの安定供給にあたって、そのシステムのオーナーである管理者が、必要な対策を策定できる「重要情報を扱うシステムの要求策定ガイド」を公開しました。

概要

通信や電力などをはじめとした重要情報を扱うシステムには、サービスの安定供給が強く求められ、非平常時でも自らの統制力を確保する「自律性」が要求されます。一方で、ビジネス環境や技術環境がめまぐるしく変化する今日では、変化への対応力など「利便性」を備えたクラウドサービスなどへの要求も高まっています。そこでIPAは、重要情報を扱うシステムの構築・調達・運用時に、管理者が「自律性」と「利便性」の双方を両立したシステムの要求仕様を策定できるようガイドを定めました。

本ガイドは管理者が環境の変化を捉え、それに伴う問題・リスクや利便性の要素を整理し、対策を検討しながら要求項目を取捨選択できるよう、次の3ステップ（下図参照）でシステムの要求策定を支援します。

1．システムの特性評価

まず、システムの特性を9つの項目で評価し、優先すべき「享受したい内容」を見極めます。9つの項目は「自律性」確保と「利便性」確保の2つに大別され、自律性の観点では「データの漏洩・改ざんなどの防止」を優先すべきか、「データの利用不可・システム停止などの防止」を優先すべきか、または両方なのかを見極めます。利便性の観点では変化し続ける「ビジネス環境への対応」と「技術環境への対応」のどちらを優先すべきか、または両方なのかを見極めます。

2．問題・リスク／利便性要素の選定

次に、1で整理した「享受したい内容」をもとに、自律性の観点では「問題・リスク」を、利便性の観点では「利便性の要素」を、樹形図を使って明確にしていきます。
樹形図を俯瞰することで、どの問題・リスクに対策を講じるべきか、どの利便性の要素をどの対策で得るべきかを検討しやすくなります。

3．必要な対策の選定

最後に、明確化された「問題・リスク」「利便性の要素」に紐づく「対策」を樹形図で選定します。
「対策」ごとの目的と詳細内容（要求項目）を表で一覧として示し、目的を理解しながら要求項目を選定できるようにしています。

ダウンロード

重要情報を扱うシステムの要求策定ガイドは、以下からダウンロードできます。

• 重要情報を扱うシステムの要求策定ガイド Ver.1.0（全47ページ）(PDF:1.9 MB)

  

本ガイド内の要求項目に対する補足説明

本ガイドに記載したいくつかの要求項目については、技術的に発展途上のものや、業界全体での取り組み途上のものを含んでいるため、それらの取り組み状況を本サイトにて共有いたします。

計算途上のデータ暗号化

計算途上のデータ暗号化のためには、特殊なハードウェアやソフトウェアに限定されるなど、現時点では課題があります。本件については、以下のサイトが参考になります。

• 国立研究開発法人科学技術振興機構　研究開発の俯瞰報告書　システム・情報科学技術分野（2023年）
• コンフィデンシャルコンピューティングコンソーシアム

ソフトウェアの部品表管理

全てのソフトウェアを網羅した部品表の整備には、業界内のすべてのサプライヤーが部品表による管理を行い、それぞれの部品表を統合することが求められますが、部品表フォーマットの標準化・互換性などについて課題があり、業界全体での取り組みが必要となります。経済産業省の進めるタスクフォースの取り組みが参考になります。
なお、ハードウェアにおける部品表についてもソフトウェアと同様に取り組みが求められます。

• 経済産業省　サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース

ご意見、ご要望などの受付