別紙ＮＩＴＥ化審法連絡システムの改修及び保守運用仕様書独立行政法人製品評価技術基盤機構化学物質管理センター安全審査課平成 25 年 12 月１．調達件名ＮＩＴＥ化審法連絡システムの改修及び保守運用仕様書２．目的独立行政法人製品評価技術基盤機構（以下「機構」という。）化学物質管理センター安全審査課（以下「当課」という。）では、化学物質の審査及び製造等の規制に関する法律（以下「化審法」という。）の新規化学物質届出等の法施行支援業務を行っている。当該業務では、化審法に基づく新規化学物質の届出に関わる資料等の確認や、事業者からの新規化学物質の事前審査に関わる技術的相談等の問い合せ対応を行っており、企業の機密情報を多く取り扱っている。当該業務におけるＦＡＸやＥメールによる誤送信を防止するため、当課では、平成 24 年度に「企業情報等を扱う連絡システム委託業務」の中で、ＮＩＴＥ化審法連絡システム（以下「連絡システム」という。）の開発を委託し、平成 25 年 5 月より、事業者からの問い合せ対応や新規化学物質に関わる機密情報の連絡等、業務において使用している。また、化審法の新規化学物質届出システムとして化審法新規化学物質届出マニュアルにも記載され、利用が推奨されていることから、届出事業者から広く利用されている。このため、ユーザーの利便性の確保及び業務の効率化を図るために、これまで事業者及び機構の業務担当者から寄せられた要望等を反映し、連絡システムを改修する。さらに、事業者等から広く利用されているために、平成 26 年度以降も引き続き、現行の連絡システム又は同等の機能をもつシステムの継続使用が見込まれる。したがって、連絡システムの改修を行うとともに、平成 26 年度以降の連絡システムの適切な運用・保守を行うことによって、業務の円滑な運営を行う。３．用語の定義及びシステム概要（１）用語の定義本役務に係る用語の定義を次のとおりとする。使用される用語定義等新お問い合わせ対応シ現行のお問い合わせ対応システムの機能を改修したシステム又は同等の機能を持つシステムステム新連絡システム公開用サーバテナント開発検証用サーバ担当職員新お問い合わせ対応システムを組み込んだ連絡システム、又は同等の機能を持つシステムインターネットを通じて閲覧できる公開システムを導入しているサーバお問い合わせ対応システムにおける、3 つ（一般問い合わせ業務、化審法新規届出業務、技術相談業務）の業務に応じた Web ページ公開前に受け入れテストを行う際に用いるサーバ独立行政法人製品評価技術基盤機構化学物質管理センター安全審査課担当職員 1 (ア)不正プログラムの感染 (イ)電子計算機への不正アクセスによるデータの改ざん (ウ)システム及びその提供するサービスの停止緊急の対処が必要な事 (エ)情報の漏えい象 (オ)データセンターへの不正侵入等及びそれによる電子計算機の不正利用平日請負者の既存著作物第三者の既存著作物 (カ)その他、運用担当者の判断で緊急性が高いと判断された場合機構の「職員の勤務時間、休暇等に関する規程（平成 24 年 3 月 28 日改正、平成 24･03･28 評基第 005 号）」の第１０条に指定する休日を除く日とする。本役務の契約前から請負者が権利を有する著作物。ただし、請負者がその著作物の権利の範囲について機構の承認を得たものに限る。機構及び請負者を除く第三者が権利を有する著作物（２）システム概要連絡システムは既存のクラウドサービスをベースにソフトウェア部分を機構独自にカスタマイズしているものであり、お問い合わせ対応システム、本人認証システム及び機密ファイル交換システムの 3 つのシステムから構成されている。お問い合わせ対応システムは、事業者と機構の業務担当者間との連絡をセキュアに行うためのシステムであり、一般問い合わせ業務、化審法新規届出業務、技術相談業務の 3 つのテナントで構成されている。本人認証システムは、事業者が初回連絡時に登録したメールアドレスあてに「本人確認」のメールを送ることによって、連絡に使用する事業者のメールアドレスが正しいことを確認するためのシステムである。機密ファイル交換システムは、インターネット上でファイル保管用のディスクスペースを貸し出すオンラインストレージサービスで、機密性の高い情報を機構の業務担当者と特定の相手との間で交換する際に使用している。＜参考：現行のお問い合わせ対応システムの各テナントトップページ（現行システム）＞システムトップページ URL http://www.safe.nite.go.jp/ お問い合一般問い合わせ https://www.kashinrenraku.nite.go.jp/sn/web/oshiete/top.html わせ対応新規届出 https://www.kashinrenraku.nite.go.jp/sn/web/todokede/top.html システム https://www.kashinrenraku.nite.go.jp/sn/web/soudan/top.html 技術相談なお、応募者があり競争入札する場合に本システムの詳細について公開する。４．作業内容４．１．お問い合わせ対応システムの改修に係る作業（１）現行のお問い合わせ対応システムの機能に、別添１に示す機能を追加した新お問い 2 合わせ対応システムを構築すること。改修作業は担当職員と協議を行い、合意した作業内容で、実施すること。また、各内容に応じて必要な範囲の要件定義、設計、開発、単体・結合・総合テスト、ドキュメントの追加、更新を行うこと。なお、要件定義、設計を行う際は打ち合わせを行い、担当職員の承認を得ること。（２）新連絡システムについて、以下の環境で正常に動作することを確認すること。 ①Microsoft Windows Vista 以降の OS で稼働し、提供元がサポートする Microsoft Internet Explorer ②Java Runtime Environment 7 以降の最新リビジョン（３）公開用サーバに新連絡システムを導入すること。また、導入する際には、現行の連絡システムに登録されている既存のデータを新連絡システムへ移行すること。（４）公開用サーバへ新連絡システムを導入する前に、開発検証用サーバにアプリケーションを導入し、新連絡システムが正常に動作することを確認すること。ただし、開発検証用サーバは請負者が用意すること。（５）新連絡システムの担当職員による受け入れテストの結果、システムに不具合が見つかった場合は修正を行うこと。なお、修正後のアプリケーションについては、再度開発検証用サーバに導入し、新連絡システムが正常に動作することを確認した後、担当職員の承認を得てから、公開用サーバへ導入すること。（６）開発検証用サーバに導入した新連絡システムに対して、次のとおりセキュリティ診断を行うこと。 ①セキュリティ診断は本役務により追加、変更した機能に対してだけではなく、アプリケーション全体に対して実施すること。 ②脆弱性等が顕在化した場合には、担当職員の指示に従い対処し、再度セキュリティ診断を実施すること。また、再度診断した結果、脆弱性等が残存する場合には、担当職員の指示に従い対処すること。セキュリティ診断の結果、対処したものに関して対処方法、対処しなかったものに関してその理由、代替措置及び影響等を報告書としてまとめ、対処後速やかに提出すること。 ③セキュリティ診断に関わる一切の費用を請負者がまかなうこと。また、セキュリティ診断は、請負者及び請負者の親会社、子会社、グループ会社、系列会社以外の第三者が実施すること。４．２運用・保守に関する作業（１）サービス稼働時間 ①サービス稼働時間は、24 時間 365 日。 ②システムメンテナンスによる計画停止は、必要に応じて行い、原則、平日（ 9:00～ 19:00）に、4 時間以内に実施すること。計画停止は、担当職員に事前にアナウンスして実施すること。計画的な工事、又は定期的な保守等に伴うサービスを計画停止する場合は、少なくともその 2 週間前までに担当職員に連絡し、了承を得ること。 3 なお、運用を続けると明らかに障害に至ることがわかっている場合の緊急停止については、担当職員と別途協議の上、対応を決めることとし、緊急停止中は稼働率の停止時間として扱うものとする。 ③サービス稼働率目標は、サービス稼働時間において 99.9%（3 か月単位）とすること。この目標値を下回った際には、原因及び調査結果並びに改善報告書を提出すること。（２）定期メンテナンス ①お問い合わせ対応システムのメンテナンス作業について、下記のとおり行うこと。 (ア) お問い合わせ対応システムは、下記日程で定期メンテナンスを行うこと。 2 月、5 月、8 月、11 月の第 3 木曜日 AM 2:00～5:00 (イ) 必要性に応じて、臨時でメンテナンスを行うこと。 (ウ) システム停止を伴う場合は、担当職員に事前に連絡して実施すること。 ②本人認証システム・機密ファイル交換システムのメンテナンス作業について、下記のとおり行うこと。 (ア) 定期メンテナンス作業を月 1 回実施すること。 (イ) 必要に応じて不定期にメンテナンスを行う。日程は担当職員と協議の上決定すること。 (ウ) メンテナンス作業の実施時間は、平日（9:00～19:00）の範囲とし、担当職員と協議の上、決定すること。 (エ) システム停止がある場合、停止時間を原則 4 時間以内とし、担当職員に事前に連絡して実施すること。（３）バックアップとリストア ①別添 2 に示したデータのバックアップを取得すること。 ②毎日 1 回バックアップを自動実行し、7 世代（1 週間分）のデータを保管すること。 ③お問い合わせ対応システム・本人認証システムのバックアップとリストアについては、システム障害時の復旧時のみ実施すること。機密ファイル交換システムのバックアップとリストアについては、保管中のバックアップデータを用いて、担当職員の指示に基づき、実施すること。また、バックアップとリストアを行った際の作業内容を記録すること。（４）監視と障害対応 ①お問い合わせ対応システム・本人認証システム・機密ファイル交換システムの監視について、下記のとおり行うこと。 (ア) システム稼動の監視は 24 時間自動監視とすること。 (イ) 稼働時間中、システム監視を自動実行し、サービス停止などを検知すること。 (ウ) 監視内容は、別添 2 とすること。 (エ) 警告及びエラーが検知された場合は、その内容を請負者より、担当職員へ連絡すること。 (オ) 通常連絡の場合、通常連絡先の連絡可能時間内であれば連絡し、時間外であれば翌営業日に連絡すること。 (カ) 緊急の対処が必要な事象を発見または検知した場合には、速やかに担当職 4 員の緊急連絡先へ連絡すること。 ②お問い合わせ対応システム・本人認証システム・機密ファイル交換システムの障害対応について、下記のとおり行うこと。ただし、対応時間は、平日（9:00～18:00）の範囲とし、時間外であれば翌営業日に対応してよいこととする。 (ア) 障害が発生した場合、障害対応作業を行い、適宜、担当職員へ報告を行うこと。ただし、該当するシステムがクラウドサービスの場合、連絡システムの利用に直接影響しない障害については、必要に応じて対応作業を行い、その作業内容を報告しなくてよいこととする。 (イ) 利用者が連絡システムに著しくアクセスしにくいまたは連絡システムを利用できない等、継続的な運用に支障がある障害が発生した場合状況の調査・確認及び障害の切り分けを行い、障害の原因の調査を行うとともに、速やかに障害を復旧させること。 (ウ) 緊急の対処が必要な事象が発生し、緊急措置として、外部からのアクセス停止やサービス停止を行う場合には、速やかに担当職員へ連絡し、担当職員の承諾後、被害の拡大を防止するために必要な措置を実施すること。ただし、緊急の場合で担当職員と連絡がつかない場合は、請負者の判断で実施してもよい。 ③緊急の対応が必要な事象が発生した場合、障害の復旧に必要となる作業の報告を行うこと。報告事項には、以下を含むこと。 (ア) 障害等が発生した時刻 (イ) 障害が発生したシステム (ウ) 起きた現象及びその原因 (エ) 情報漏えいの有無及びその内容 (オ) 対処方法及び対処にかかる時間 ④担当職員の指示に基づき、障害対応のために必要となる設定変更の作業を行うこと。実施した対処内容を記録し、担当職員に報告すること。 ⑤担当職員からの要請があった場合、遅くとも 2 時間以内に連絡システムを停止すること。 ⑥原則、障害等が発生した日から 1 週間以内に、生じた障害等、実施した対処及び再発防止策を含めた報告書を担当職員に提出すること。（５）緊急時対応 ①障害発生時には、速やかに故障修理・復旧対応を行える体制を有すること。ただし、対応時間は、平日（9:00～18:00）の範囲とし、時間外であれば翌営業日に対応してよいこととする。 ②24 時間 365 日において、担当職員からの要請があった場合、遅くとも２時間以内に連絡システムを停止できる体制を確保すること。（６）ソフトウェアのアップデート等の対応 ①お問い合わせ対応システムのソフトウェアのアップデート及びパッチ適用作業とその報告については、下記のとおり行うこと。 (ア) 緊急度の高い脆弱性と認めたとき、不定期で実施すること。 5 (イ) 通常は、システム停止しないで実施するが、システム停止を伴う場合は、担当職員に事前に連絡して実施すること。 ②本人認証システム・機密ファイル交換システムのソフトウェアのアップデート及びパッチ適用作業についての報告については、下記のとおり行うこと。 (ア) 導入しているソフトウェアの脆弱性に関する情報を適宜提供すること。 (イ) 導入しているソフトウェアのバージョンアップ及びリビジョンアッププログラムに関する情報を適宜提供すること。 (ウ) セキュリティパッチが出された場合には、パッチを適用した時の影響を確認し、適用すべきかどうかの意見を速やかに報告すること。 (エ) 担当職員の指示に基づき、ソフトウェアのバージョンアップ、リビジョンアップ及びその他のパッチ適用の作業を行うこと。また、開発検証用サーバにより動作確認を行い、担当職員に報告すること。 (オ) 連絡システムの運用に重大なリスクがあると考えられる脆弱性が見つかった場合には、その情報及び対処方針を作成し、速やかに担当職員に報告すること。（７）ソフトウェアサポート連絡システムに関わるソフトウェアサポートは毎年度保守サポートを更新すること。（８）稼働確認と月次報告 ①システムの時刻同期の機能及び稼働状況の確認を月１回以上行うこと。（ただし、該当するシステムがクラウドサービスかつ、正常に稼働している場合には、定期的な稼働報告は行わなくてもよいこととする。） ②アクセスログ、システムログ（システム障害に関するログを含む）、アップデート対応、監視及び稼働状況に関するレポートを毎月、原則として、月上旬に担当職員に報告すること。提出可能なログは、CD または DVD メディアに暗号化して収録し、毎月 1 回提出すること。（９）一元窓口を通じた問い合わせサポート担当職員からの問い合わせに対しては、一元窓口を設けるとともに電話・メールで対応すること。電話での受付は、平日 9:00～18:00 とし、メールの受付は、原則常時可能とすること。また、問い合わせの回答については速やかに行うものとするが、必ずしも即答する必要はない。ただし、緊急時の連絡受付に関しては、24 時間 365 日対応すること。５．作業スケジュール５．１改修スケジュール平成 26 年 7 月 31 日（木）までに公開用サーバに｢４．１｣の作業を全て終了したアプリケーションを導入すること。５．２運用・保守スケジュール連絡システムの運用、保守期間は、平成 26 年 4 月 1 日（火）から平成 29 年 3 月 31 日（金）までとする。ただし、本役務で改修した新連絡システムを公開した時点より、改修後 6 のシステムを保守対象とすること。６．実施方法及び進捗管理（１）請負者は、契約後 5 営業日以内に、初回打ち合わせを行い、本役務における詳細なスケジュール、進捗管理に係る実施体制、実施方法、報告内容等について、書面にて説明し、担当職員の承認を得ること。ただし、担当職員から打ち合わせ時期延期の承認を得られた場合はこの限りではない。（２）（１）で承認を得た事項について、やむを得ず変更する場合は、担当職員と事前に協議すること。（３）原則として改修期間中は、週 1 回、担当職員と打ち合わせを行い、進捗状況を報告すること。保守に関しては、書面（電子メールも含む。）で報告し、担当職員が求める場合は面会にて進捗報告をすること。（４）改修期間中の進捗報告では、計画と実際の進捗状況の差を明らかにし、スケジュールに対する遅れ等問題がある場合には、その原因を明らかにするとともに、対処方針を報告すること。（５）打ち合わせを行った場合、請負者は打ち合わせ議事録を提出し、担当職員の承認を得ること。（６）この章で定める文書は、請負者が規定する手順、書式に基づいて作成すること。ただし、いずれの文書についても、作成者（または作成した組織名）、作成日を必ず記載すること。７．情報セキュリティ対策（１）請負者は、本役務の実施において情報セキュリティ（機構の提供した情報の保護）を確保するための体制を整備すること。（２）本役務の実施のために機構から提供する情報、またはその他当該役務の実施において知り得た情報については、当該役務の目的以外に利用しないこと。また、当該情報は、第三者に漏らしてはならない。ただし、あらかじめ知り得ている事項について、あらかじめ知り得ていることを公的に立証できる場合においては、この限りではない。（３）担当職員から提供されたデータ等を担当職員の同意なく複製しないこと。（４）連絡システムにおける以下の脆弱性に対するセキュリティ上の対策を十分考慮して、作業を行うこと。 ① SQL インジェクション ② OS コマンド・インジェクション ③ パス名パラメータの未チェック／ディレクトリ・トラバーサル ④ セッション管理の不備 ⑤ クロスサイト・スクリプティング ⑥ CSRF（クロスサイト・リクエスト・フォージェリ） ⑦ HTTP ヘッダ・インジェクション ⑧ メールヘッダ・インジェクション ⑨ アクセス制御や認可制御の欠落 7 ⑩ その他、使用するソフトウェアの既知の脆弱性（５）本役務の遂行における情報セキュリティ対策の履行状況を確認するために、機構は請負者に対して、取り扱わせる機構の情報の秘密保持等に係る管理状況の報告を求める場合がある。（６）本役務の遂行において、請負者における情報セキュリティ対策の履行が不十分であると機構が指摘した場合には、請負者の責任者は、機構の求めに応じて協議を行い、合意した対応をとることとする。（７）請負者は、機構が請負者に求めるものと同水準の情報セキュリティを確保するための対策を契約に基づき再請負先である第三者にも行わせること。再請負先に行わせた情報セキュリティ対策及びこれを行わせた結果に関する報告を、請負者に求める場合がある。（８）運用期間中は毎年度、サーバ 3 台分（2 種類の URL）の有償のサーバ証明書（1 年分）を調達し導入すること。連絡システムは、シマンテック（旧ベリサイン）のサーバ証明書を利用しているが、同等程度の信頼性のあるサーバ証明書とすること。（９）機構が連絡システムにおけるセキュリティ診断の実施の可否を判断した場合は、担当職員の指示に従い、機構が指定する第三者に対して、セキュリティ診断を実施するために必要な情報を提供し、協力すること。８．特記事項８．１．責任の所在（１）納入日から起算して 1 年以内に新連絡システムに障害が発生した場合、速やかにその原因を調査し、明らかにすること。また、障害の原因がアプリケーションに起因する場合は、請負者はシステムの正常稼働に必要な対応を実施すること。（２）障害対応を実施した際は、担当職員に報告書を提出し、説明を行うこと。報告書には原因、その分析及び再発防止策を必ず含めること。また、必要な場合、納品成果物の更新も行うこと。障害対応に係る報告書及び更新した納品成果物については、担当職員の了承を得ること。（３）瑕疵担保責任を果たすために生じる一切の費用は、請負者がまかなうこと。８．２．成果の取扱い（１）調達における納品成果物に関する権利（著作権法（昭和 45 年法律第 48 号）第 21 条から第 28 条までに定める全ての権利を含む。）は、次の場合を除いて機構に帰属するものとする。また、請負者は機構に対して著作人格権を行使しないものとする。 ①納入成果物に、「請負者の既存著作物」が含まれる場合。 ②納入成果物に、「第三者の既存著作物」が含まれる場合。 ③請負者が譲渡不能の非独占的使用の許諾権を有するものに関しては、機構は対価を請負者に本仕様に基づく契約に含めて支払うことにより、請負者からその非独占的使用権を許諾されるものとする。（２）上記（１）の「第三者の既存著作物」については、当該既存著作物の使用に必要な費用の負担及び使用許諾契約に係る一切の手続きを請負者が行うこと。この場合、請負者は当該契約の内容について、機構の承認を得ることとし、機構は当該既存著作 8 物について、当該許諾契約の範囲内で使用するものとする。なお、第三者との間に著作権に係る権利侵害の紛争が生じたときは、当該紛争の原因が機構の責に帰する場合を除き、請負者の責任、負担において一切処理すること。８．３．必要な資料、データ等の請求アプリケーションの改修に関する作業を行う為に必要な資料の収集については、原則として請負者が行うものとするが、入手が困難な資料、データ等については、担当職員に相談すること。８．４．再委託について本役務の一部を第三者に行わせる必要がある場合、業務の大部分（契約金額に対して 50%以上）を第三者に行わせないこと。また、確実に業務が実施できるように、第三者に対して適切な管理等を行わせること。９．納入成果物、期日及び納入場所９．１．納入成果物（１）納入場所東京都渋谷区西原 2-49-10 独立行政法人製品評価技術基盤機構化学物質管理センター安全審査課（２）運用・保守及び改修対象ＮＩＴＥ化審法連絡システム一式 ①改修にかかる納入成果物納入物納入期日数量 ①更新したドキュメント ②テスト結果報告書平成 26 年 7 月 31 日 ③作業報告書、打ち合わせ議事録（木）電子媒体 1 部及び打ち合わせ関係資料 ④セキュリティ診断報告書（再診断セキュリティ診断結果を実施した場合にはその結果を含への対処後速やかにむ。）提出 ②保守にかかる納入成果物納入成果物納入期日数量 ①利用記録の月別集計結果翌月の運用実施日電子媒体 1 部 ②1 年間の利用記録を取り纏めた報毎年度末（平成 26、紙・電子媒体告書 27、28 年 3 月 31 日各1部 ③打ち合わせ議事録及び打ち合わ平成 29 年 3 月 31 日電子媒体 1 部せ関係資料（金） ④更新したドキュメント担当職員が指定した電子媒体各 1 日部 9 ⑤障害等調査報告書担当職員が指定した電子媒体各 1 日部９．２．納入成果物に関する注意事項（１）提出されるすべての文書及び記録は、少なくとも作成者、作成日及び承認者を明記すること。（２）９．１．において納品する電子ファイルの形式については、事前に担当職員の了承を得ること。（３）データの取扱については、当該役務作業を行う際に、個人情報を含む連絡システム上のデータの提供を、機構から受ける必要がある場合は、担当職員の指示に従うこと。（４）連絡システムに関わるアプリケーションの納品については、担当職員の指示に従うこと。１０．改修及び契約期間（１）改修期間は、契約締結日から平成 26 年 7 月 31 日（木）までとする。（２）保守及び運用期間は、平成 26 年 4 月 1 日（火）から平成 29 年 3 月 31 日（金）までとする。なお、上記期間内であっても機構側の都合により年度をもって契約を終了する場合がある。途中解約する場合にあっては契約解約日の 60 日前までに機構から事前連絡を行うものとする。また、解約する場合に別途費用が発生しないこと。１１．作業内容の報告作業終了後、作業内容等を記載した作業報告書を担当職員に提出すること。なお、様式は任意とする。１２．その他（１）メールアドレスの変更やその他重要な事項について、事前に、担当職員に通知すること。（２）本件に関して知り得た情報は第三者に漏洩してはならない。（３）当該仕様において不明な点がある場合は、担当職員に確認するものとする。 10