官公庁におけるシステム運用規準例

P.25「III． ポリシーのガイドライン」-「２． 策定手続」-「(5) 対策基準の策定」-「⑥技術的セキュリティ」-「(ⅴ) セキュリティ情報の収集」に明記されています。

セキュリティホールは、日々発見される性質のものであることから、積極的に情報収集を行う必要がある。このため、情報収集の体制、分析の手順、情報収集先等を定める。深刻なセキュリティホールが発見された場合、直ちに対応できるよう留意する必要がある。

P.55～56「2.1.2 情報セキュリティについての脅威」「2.1.2.1 セキュリティホール対策」に明記。

P.71～74「4.2.1 セキュリティホール対策」に明記。

趣旨（必要性）
セキュリティホールは、情報システムを構成する電子計算機及び通信回線装置上で利用しているソフトウェアに存在する可能性があり、そのセキュリティホールを攻撃者に悪用されることにより、サーバ装置への不正侵入、サービス不能攻撃、ウイルス感染等の脅威の発生原因になるなど、情報システム全体のセキュリティの大きな脅威となる。特に、サーバ装置へ不正侵入された場合、踏み台、情報漏えい等の更なるリスクにつながり、独立行政法人Ａ機構の社会的な信用が失われるおそれがある。これらのリスクを回避するため、セキュリティホールへの対応は迅速かつ適切に行わなければならない。これらのことを勘案し、本項では、セキュリティホールに関する対策基準を定める。
（以下、省略しますが、上記の例2の「政府機関の情報セキュリティ対策のための統一基準」を準用する形となっています。）

P.3 「3.委託目的と委託範囲」-「(6) 情報セキュリティ対策業務」に明記。

予算編成支援システムのセキュリティ確保に向けて、脆弱性情報の収集からセキュリティパッチの精査、最新パターン適用状況の確認及び不正アクセス監視を実施する。
その他は、上記の例2の「政府機関の情報セキュリティ対策のための統一基準」を準用する形となっています。

P.85 に情報セキュリティ監査項目として明記

(1) セキュリティホールや不正プログラム等の情報収集に関わる基準
統括情報セキュリティ責任者及び情報システム管理者によって、セキュリティホールや不正プログラム等の情報収集に関わる基準が定められ、文書化されている。システム監査では、承認された「セキュリティ情報収集基準」文書の証拠が求められます。 (2) セキュリティホールの情報収集及び共有に関わる基準
統括情報セキュリティ責任者及び情報システム管理者によって、セキュリティホールに関する情報が収集され、関係者間で共有されている。システム監査では、セキュリティホール関連情報の通知記録が求められます。 (3) ソフトウェアの更新に関わる基準
統括情報セキュリティ責任者及び情報システム管理者によって、セキュリティホールの緊急度に応じてパッチが適用され、ソフトウエアが更新されている。システム監査では、パッチ適用情報とパッチ適用記録が求められます。