IPA、重要情報を扱うシステムの要求策定ガイドを改訂

独立行政法人情報処理推進機構（IPA）は、経済産業省からの要請を受け、重要情報を扱うシステムの管理者が必要な対策を策定できるガイドを公開した。対象には通信や電力などの重要情報を扱うシステムが含まれる。

重要情報を扱うシステムでは、サービスの安定供給のため、非平常時にも自らの統制力を保つ自律性が求められる。同時に、変化するビジネス環境や技術環境に対応するクラウドサービスなどの利便性も重視されている。ガイドはこの二つを要求仕様の策定時に両立させる考え方を整理する。

要求策定は、システムの特性評価、問題・リスク／利便性要素の選定、必要な対策の選定という3ステップで構成される。

システムのオーナーである管理者は、構築・調達・運用の各段階で、安定供給を妨げる要因と、変化への対応に必要な機能を同じ枠組みで比較しやすくなる。要求項目の目的を確認しながら、対象システムに必要な範囲を判断できる。

通信、電力などの重要情報を扱う事業者や関係企業にとっては、情報漏洩・改ざんへの備えと、データ利用不可・システム停止への備えを、システム特性に応じて優先順位付けする際の実務的な整理材料となる。

業界横断でソフトウェアやハードウェアの部品表を統合するには、サプライヤー間の管理とフォーマットの標準化・互換性が必要であり、個別組織だけでは完結しない取り組みが残る。

第1ステップでは、システムの特性を9つの項目で評価し、優先して享受したい内容を見極める。自律性では、データの漏洩・改ざんなどの防止と、データの利用不可・システム停止などの防止のどちらを重視するか、または双方を重視するかを整理する。利便性では、ビジネス環境への対応と技術環境への対応の優先度を検討する。

第2ステップでは、第1ステップで整理した内容をもとに、自律性に関わる問題・リスクと、利便性に関わる要素を樹形図で明確化する。樹形図を俯瞰することで、対策を講じる問題や、対策によって得る利便性を検討しやすくする。

第3ステップでは、明確化した問題・リスクや利便性の要素に紐づく対策を樹形図から選定する。対策ごとの目的と詳細内容である要求項目は表で一覧化され、目的を理解したうえで要求項目を選べる構成になっている。

ガイドは「重要情報を扱うシステムの要求策定ガイド Ver.1.1」として、全48ページ、PDF 2.7 MBで提供される。一部の要求項目には業界全体で取り組み途上のものがあり、IPAは本サイトで取り組み状況を共有している。

ソフトウェアの部品表管理では、すべてのソフトウェアを網羅するため、各サプライヤーが部品表を整備し、それらを統合する必要がある。部品表フォーマットの標準化や互換性には課題があり、経済産業省が進めるSBOMに関する手引きが参考として示される。ハードウェアの部品表も同様の取り組みが求められる。

更新履歴では、2024年7月29日に別冊の活用の手引きの説明ページ追加とソフトウェア部品表管理の補足説明更新が行われた。2026年7月27日の改訂では、計算途上のデータ暗号化技術の実用化進展を受け、同技術に関する注意事項と本ページの関連記述が削除された。今後も最新の技術動向と利用者の意見を踏まえた改版が想定されている。