別添４－７

別添４ 政府機関等における情報セキュリティ対策に関する統一的な取組
③リスク対策-2
独立行政法人、指定法人及び国立大学法人等における情報セキュリティ対策の調査結果の概要

0%

20%

40%

60%

80%

100%

教室、研究室、事務室、会議室、サーバ室等の情報を取り扱う区域において、区域の明示、施錠、
入退室管理等の対策を講じ、当該区域で取り扱う情報や情報システム等のセキュリティを確保するとと
もに、重要な書類や外部記録媒体、ノートパソコン等の備品、その他毒物、劇物等の化学物質等を
含む適正な管理が必要な物品等について、管理を徹底し、紛失・盗難の対策を講じている。
テレワーク環境等の機関外での端末利用についても、リスク評価に応じて、適切な情報セキュリティ対
策を講じている。

クラウド上でのシステム構築、データの保存・管理が増加していることを前提とし、大学等の自組織内情
報システムに加え、外部のサービスプロバイダーを利用するシステムやデータについてもデータ保護につい
て検討を行っている。

構成管理ソフトウェアの導入による脆弱性情報の収集自動化、適応自動化を行っている。

サイバー攻撃やその他大規模システム障害等を踏まえた、可用性の維持に係るサイバーセキュリティ対
策等の記載があるかどうか確認している。

全構成員に対する情報セキュリティ教育を受講させている。

新たに構成員になるものに対しての情報セキュリティ教育を実施している。

行っている

一部行っている

行っていない

該当なし

・テレワーク環境等の機関外での端末の利用について、リスク評価に応じて適切な情報セキュリティ対
策を行っている機関は 78 機関（約 86％）である。
・構成管理ソフトウェアの導入による脆弱性情報の収集自動化、適用自動化を行っている機関は 20 機関
（約 22％）である。
・全構成員に対する情報セキュリティ教育を受講させている機関は 79 機関（約 87％）であり、また、全
ての新たな構成員に対して情報セキュリティ教育を実施している機関は 73 機関（約 80％）である。

④

サプライチェーン・リスクへの対応
④サプライチェーンリスクへの対応
0%

20%

40%

60%

80%

100%

情報システム調達を情報システム部門およびセキュリティ部門、CSIRT 等で必ず確認する仕組みを構
築している。

外部委託先において必要なセキュリティ対策が確実に実施されるよう、外部委託先に求めるセキュリ
ティ要件を各大学等内で統一的に整備し、調達仕様書等へ記載するとともに、外部委託先における
対策の履行状況を確認している。

情報システム・機器・役務・サービス（外部ホスティングサービスやクラウド等を利用している場合を含
む）等の調達に当たっては、サプライチェーンリスクを軽減するための要求要件を調達仕様書に記載し
ている。
共同研究など外部機関が保有する情報を管理する場合は、産業競争力強化法（平成二十五年

法律第九十八号）第二条第二十四項第一号の規定に基づき定められた「技術及びこれに関する研
究開発の成果、生産方法その他の事業活動に有用な情報の漏えいを防止するために必要な措置に
関する基準」も参考に対応を行っている。
行っている
一部行っている
行っていない
該当なし
・情報システム調達を情報システム部門等で必ず確認する仕組みを構築している機関は
48 機関（約 53％）
である。
・外部委託先において必要なセキュリティ対策が確実に実施されるようセキュリティ要件を統一的に整備
し、調達仕様書等へ記載し、履行状況を確認している機関は 28 機関（約 31％）であり、統一的に整備し
ているものの履行状況の確認等を行っていない機関は 35 機関（約 38％）である。
・情報システムや機器等の調達に当たっては、サプライチェーン・リスクを軽減するための要求要件を仕
様書に記載している機関は 50 機関（約 55％）である。

別添４

- 42 -