沖縄県自治体セキュリティクラウドの導入にかかる要件(案) Ⅰ. 業務名沖縄県自治体情報セキュリティクラウドの構築及びインターネット接続環境の移行 Ⅱ. 業務の目的―解決したい課題総務省要領に従い、自治体情報セキュリティクラウドを構築する。 Ⅲ. 履行場所沖縄県内のデータセンター（以下、「県ハブセンター」という）を想定している。 Ⅳ. 業務スケジュール平成 28 年 10 月末までに構築を終え、平成 29 年 3 月末までに各自治体の移行を完了し、移行が完了したところから運用を開始する。ただし、監視機能の運用開始は平成 29 年 4 月以降とする。運用期間は 5 年間とする。 Ⅴ. 利用者 1 団体県市町村 41 団体利用者数 22,000 ユーザー端末数 22,000 台自治体ごとに参加するタイミングが異なることが予想されるためシステムの拡充やライセンスの増減について柔軟に対応できることが望ましい。複数の自治体が共同利用するため、使用許諾契約の範囲を協議により調整できること。 Ⅵ. 業務内容 ※以下の連番は「自治体情報セキュリティ強化対策事業実施要領(案)(その２)(自治体情報セキュリティクラウド事業)のとおり ( 上記資料外の項目は ( ア、イ… の連番の体系とする ) ) 1. 監視(集約)対象 ① Web サーバー(ホームページ公開用) ホームページ公開用の Web サーバーを設けるが、各自治体ごとにホームページの仕様や運用ルールが異なると考えられるため、全自治体の公開 Web サーバーを自治体情報セキュリティクラウドに集約することは必須の要件とはしない。 Web サーバーを自庁もしくは外部のデータセンター等に置いたままとする自治体に関しては、各自治体のホームページへのアクセスが、自治体情報セキュリティクラウド -1- 上のリバースプロキシサーバーを必ず経由するよう、設定の変更を行うこととする。 ②メールリレーサーバー各自治体が受信するメールはこのサーバー経由とし、添付ファイルを下記振る舞い検知にかけて、安全と判断されたもののみを受信できるようにする。送受信ファイルサイズは現在最も大きい自治体の値に合わせる。各自治体のメールサーバー(メールボックス)はそのまま既存機器を使用する。また、添付ファイルを別取得とし、HTML メールをテキスト変換する等のいわゆる「メール無害化」の機能はここでは提供しない。 (「メール無害化」は各自治体の「強靱性向上」にて対応することを想定) ③プロキシサーバー(インターネット閲覧用) 自治体情報セキュリティクラウド上のプロキシサーバーにおいては、自治体ごとの個別ルール（フィルタリングルール等）は設定せず、統一ルールとする。個別ルール適用のために各自治体内のプロキシサーバーを残し、自治体情報セキュリティクラウドと多段構成を組むことについては、各自治体のプロキシサーバーにて各端末からのアクセスが辿れるように自治体情報セキュリティクラウドのルールと同じ水準でログを取得することを条件とする。 ④外部 DNS サーバー各自治体がインターネットに公開している外部 DNS サーバーを集約する。各自治体の DNS サーバーを下位の DNS サーバーとして残すことも可とする。 ⑤ LGWAN 接続ファイアウォール(LGWAN 接続セグメント) 各自治体の庁内 LAN と LGWAN 接続ルータとの間にある LGWAN 接続ファイアウォールのログをセキュリティクラウド上のログ分析システムへ特定通信として転送する。 LGWAN の接続口は集約しない。アリバースプロキシ公開 Web ページに対する通信を記録、不正な通信を検知し遮断するため、リバースプロキシサーバーを設置する。既に各自治体内で導入されている場合もセキュリティクラウド側に集約する。イ NTP サーバー自治体情報セキュリティクラウド内にて使用する NTP サーバーを各自治体のインターネット接続系 NW 内部でも使えるようにする。 2. セキュリティ対策のツール ①ファイアウォール通信容量を 2Gbps 以上とする。 -2- 「許可／拒絶ルール」は個別ルールは設定せず、統一ルールとする。 ② IDS/IPS 基本的に攻撃と思われる通信を自動的に遮断する機能を備えた IPS の導入とするが、 IDS とファイアウォールの組み合わせでもよい。 ③振る舞い検知機能(Web・メール) インターネット受信メールの添付ファイルに含まれる不正なプログラム等を検知し、それらが端末で実行されることを未然に防ぐ。不正なプログラム等が検知された場合は、検知された内容について通知し、メールそのものはメールリレーサーバーから転送しない。メールは１日あたり 10 万通と想定する。 Web サイトからダウンロードしたファイルも同様に振る舞い検知にかけ、不正なプログラム等が検知された場合はダウンロードさせない。 ④マルウェア/スパム対策機器他のセキュリティ強化対策機器との機器レベルでの共通化も許容する(ソフトウェアでの対応等)。ただしその場合は、他のセキュリティ強化対策機器と当該機能との費用区分について説明が出来る形で区分すること。 ⑤ URL フィルタ機器他のセキュリティ強化対策機器との機器レベルでの共通化も許容する(ソフトウェアでの対応等)。ただしその場合は、他のセキュリティ強化対策機器と当該機能との費用区分について説明が出来る形で区分すること。 ⑥ログ分析システム(収集・分析) 1 年以上のログを蓄積できること、直近 2 ヶ月のログに関してはすぐに取り出せる状態とすることを最低限の要件とし、ログの運用(ローテーション等)に関しては提案によるものとする。また、不正な通信の検知をアラートとして受けてから対応する際にその通信の内容を後から確認できること、それがインシデントに発展した際に、その証跡が辿れるようにすることを同様に最低限の要件とする。 ⑦コンテンツ改竄検知ツール他のセキュリティ強化対策機器との機器レベルでの共通化も許容する(ソフトウェアでの対応等)。ただしその場合は、他のセキュリティ強化対策機器と当該機能との費用区分について説明が出来る形で区分すること。 -3- 自動修復は必須要件とはせず提案の範囲とする。 ⑧イベント監視ツール他のセキュリティ強化対策機器との機器レベルでの共通化も許容する(ソフトウェアでの対応等)。ただしその場合は、他のセキュリティ強化対策機器と当該機能との費用区分について説明が出来る形で区分すること。各自治体の庁舎内や外部のデータセンターに設置された Web サーバーに関しても可能な限り監視対象とする。 ⑨ WAF( Web Application Firewall ) 個人情報等機微情報をデータベースとして保有する住民向け Web サービスにおいて、 SQL インジェクションやクロスサイトスクリプティング等の脆弱性を狙った不正な通信をアプリケーションレベルで検知・遮断する。 Ⅶ. 回線・セキュリティクラウドの回線について、各自治体～県ハブセンター及び県ハブセンター～監視センターは IP-VPN の利用を想定する。県ハブセンター～インターネットは一般の商用回線の利用を想定する。 Ⅷ. 納品物 (1) 共通・本業務の設計、構築、導入及び運用に伴い必要となる全てのハードウェア、ソフトウェア等の物品（以下、「納入物品」という。）の取得、設置、設定を行うこと。・納入物品は、買い取りで提供すること。また、中古品であってはならない。・納入物品のすべてを保守対象とし、一つの窓口で対応すること。 (2) ハードウェア・すべての機器は県ハブセンターに設置することを前提とする。・障害等に備えて、適宜機器もしくは部品の多重化を行うこと。また、アプライアンス製品以外の汎用性をもった機器でハードディスクを内蔵しているものについては、ハードディスクを RAID 化し、１つのハードディスクに障害が発生してもサービスを継続できるような構成とすること。・納入物品の設置に伴って必然的に必要となる物品（ラック取り付け金具や、ケーブル等の接続部品等）についても提供すること。 (3) ソフトウェア・原則買取とすること。・複数の自治体が共同利用できること。・納入したソフトウェアは原則、契約期間後も本県にて利用できるものとすること。 -4- ・新規に納入するソフトウェアは、契約時の最新バージョンの使用権を確保すること。なお、最新バージョンを使用しない場合は、最新バージョンの使用権を確保したままダウングレードを行うこと。・使用するソフトウェアはシステムへの影響がない限り、最新のセキュリティパッチの適用を行ったうえで納入すること。・全てのソフトウェアは対応する機器に紐付けること(機器の費用として計上する)。・必要なライセンスは機器購入費と併せて予め 5 年分を購入する形とすること(機器の費用として計上する)。ライセンス形態として 5 年分まとめて購入することができないものは、運用費用の中にこれを含めること。 Ⅸ. 運用要件・運用業務に関しては、本業務と別途公募にて業者を決定することを想定している。・運用業務にて想定している項目は以下の通りである。日常運用業務（ユーザの登録削除等）データバックアップ、リストア稼働監視性能・構成管理ログ管理バージョンアップ、パッチによる影響等の情報提供バージョンアップ、パッチインストール作業障害対応及び障害後是正措置・予防措置運用マニュアルの改訂・インシデント対応に関しては、365 日 24 時間を原則とする。・それ以外に必要な運用業務に関しては提案によるものとする。・インシデント対応のフロー等に関しても提案によるものとする。 Ⅹ. 保守要件 (1) 保守対応時間・土日祝日を除く平日の 8:00 ～ 20:00 とする。 (2) 障害対応要件・対応依頼から初期対応を開始するまでの時間を、概ね 30 分以内とすること。ただし、大規模災害発生時はこの限りではない。なお初期対応とは、障害発生箇所・原因の確認作業への着手、本県などの関係者への連絡等を指す。 (3) 保守部品・消耗品・オンサイトでの保守対応が不可能な部位がある場合については、予備品の保有等により迅速な復旧を実現すること。・保守部品（付属品、ソフトウェアを含む。）を常時保有するとともに、契約期間における供給が可能なこと。 -5- ・製造会社のサポートやサービスの終了（EOSL：End of Service Life）等により前項の対応ができなくなった場合は、同等以上の性能を持った代替品等による提供も可とする。その場合、それぞれの機器が EOSL を迎える前に、本県に代替品の承認を受けること。／以上 -6-