中小規模製品開発者向けPSIRT構築支援に関する募集

本件の募集は締め切りました。

概要

中小規模の製品開発者においては、自社製品のセキュリティ上の問題への対応体制が未整備の場合が多く、問題発生時に迅速かつ適切に対処できず、被害の拡大や製品・企業の信用失墜につながるリスクがある状況が散見されます。サイバー攻撃の手法や脅威の高度化、また、顧客等からのセキュリティ対応に関する要求が強まるなか、PSIRT（Product Security Incident Response Team）を整備し、組織的な対応体制を確立することが肝要です。

こうした状況を改善するために、まずは問題発生時に迅速かつ的確に対応できるようにPSIRT体制の整備、次に、PSIRT体制の継続的な運用（運用体制・プロセスの現状確認・評価等、運用状況のレビュー、メンバーの育成等）が必要と考えており、独立行政法人情報処理推進機構(IPA)は、中小規模の製品開発者が自らの製品の安全性と信頼性を高め、顧客等のセキュリティ要求に応えられるようになることを目的とし、複数の中小規模の製品開発者を対象に、専門家によるPSIRTの体制整備及び運用に関する支援・助言を行う実証事業を実施することとしました。あわせて、本実証事業を通じて得られた知見をガイドラインとして公表し、幅広い中小規模事業者における製品セキュリティの向上に資することを目指します。

中小規模の製品開発者にとっては、専門家の助言を通じてPSIRT体制を整備及び運用することにより、セキュリティリスクの低減や企業価値の向上を実現することができます。ぜひ、この機会をご活用ください。

募集対象

以下の条件を全て満たす製品開発者（以下「支援先事業者」と記載します。）を対象とします。

1. 従業員数が50～300名の事業者とします。

2. 支援開始時においてPSIRTを有しておらず、かつ、支援期間を通じてPSIRTを整備及び運用するための担当要員や対応時間を確保できること。

3. 主たる事業として、ソフトウェア製品、IoT機器または制御産業分野製品を開発していること。

4. 支援先事業所が東京都、神奈川県、千葉県、埼玉県、茨城県、栃木県、群馬県のいずれかに所在すること。

5. 支援先事業者の経営層が本事業を通じてPSIRT体制の整備・運用に協力すること。

PSIRT体制整備及び運用の支援の流れ

以下の流れで実施します。

1. PSIRT体制の整備
   1. 現行の製品開発プロセスや脆弱性検査等を含む品質テストの状況、セキュリティ関連体制の調査・分析、また、PSIRT体制整備に関わる方（開発者、セキュリティ担当、品質管理部門など）に対する専門家によるヒアリング（原則、対面）等を実施。
   2. 調査やヒアリングの結果を踏まえたPSIRT体制を整備及び運用するに当たって有用な資料（PSIRT組織構成案、整備・運用手順書、教育・研修用資料等）をIPAから支援先事業者へ提供。
   3. 2.で提供する資料等を活用し、支援先事業者においてPSIRT体制を整備。なお、整備に際しては、専門家がフォローやサポートを実施するとともに、それらの活動を通じて明らかとなった課題や、その対策・改善の提案も併せて実施。
      なお、専門家による整備のフォローやサポートの期間は約4か月を想定。
2. PSIRT体制の運用
   1. 「1.PSIRT体制の整備」の3.で整備したPSIRT体制を製品開発者において運用。
   2. 「2.PSIRT体制の運用」の1.の運用に際し、専門家が運用体制・プロセスの現状確認、評価・分析や、定期的な運用状況のレビュー、改善提案を実施。
   3. 専門家が列挙した想定される自社製品のセキュリティ上の対応プロセスに係る問題について、問題のタイプごとに支援先事業者の担当要員が、対応シナリオ作成を作成し、PSIRT体制の要員を対象とした対応演習の企画を実施。なお、対応シナリオの作成や対応演習の企画に際しては、専門家がフォローやサポートを実施。
   4. 専門家がPSIRTメンバーのスキル・知識のギャップ分析や、継続的な運用に当たって必要となる教育・研修プログラムの設計・提案、ハンズオン支援やケーススタディを用いた実務指導等を実施。
   5. インシデント発生時の記録フォーマット・報告テンプレートの整備、定期報告書のフォーマット作成、エスカレーションルールや関係部署との連携体制強化について、専門家がフォローやサポートを実施。
      なお、専門家による運用のフォローやサポートの期間は約3か月を想定。
3. PSIRT体制の整備及び運用に関する簡易なヒアリング
   • 「1.PSIRT体制の整備」及び「2.PSIRT体制の運用」について、専門家による簡易なヒアリングを実施。

情報の取り扱い

本事業を通じて経済産業省、IPA及びPSIRT体制整備等を支援する事業者（以下「関係組織」と記載します。）が入手する情報は、関係組織のみが取り扱います。外部公開予定の本事業に係る調査報告書等への記載も含めて、関係組織以外に情報提供する場合、個社名等が分からないようにした上で統計情報として提供します。

お申込み方法

「中小規模製品開発者向けPSIRT構築支援 申込書」にご記入・添付の上、以下のメールアドレスまでお送りください。

応募を予定されている場合、早めのお申込みをお勧めします。

• 中小規模製品開発者向けPSIRT構築支援 申込書(Word:25 KB)

実施対象の選定方法と選定結果の連絡

「中小規模製品開発者向けPSIRT構築支援 申込書」の記載内容を踏まえ、開発している製品の種類や業種等の属性に偏りがないように選定します。選定結果の通知については、応募の状況にもよりますが5月頃を予定しています。なお、選定結果については、支援の可否のみを連絡し、選定基準についてはお答えいたしかねます。

また、選定後、「3.PSIRT体制の整備及び運用に関する簡易なヒアリング」に記載のヒアリングとは別にIPA及び専門家によるヒアリングを実施いたします。そのヒアリングの結果、支援が困難（例えば、選定させていただいた事業者様の経営層から、本支援を通じてPSIRT体制を整備及び運用することへのご協力を得られない等）と判断した場合、選定を取り消すことがあります。あらかじめご了承の程、お願い申し上げます。

免責事項

関係組織は、PSIRTの体制整備及び運用の支援・助言の効果や結果について、何ら保証いたしません。また、支援・助言に関連して発生した直接的又は間接的な損害（利益の損失、業務停止、事業機会の逸失等を含む）について、関係組織は一切の責任を負いません。