「外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託」公募型プロポーザルの実施について

「外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託」公募型プロポーザルの実施について 公募型プロポーザルに係る手続開始のお知らせ次のとおり、提案書の提出を求めます。 令和８年１０月１日世田谷区１ 業務概要(１) 件名外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託(２) 業務内容等事業者は、区の外部公開システム及び内部ネットワーク環境に対し、外部からの疑似的な攻撃及びマルウェア感染を模した端末を起点とする疑似的な攻撃を実施し、外部からの侵入可能性並びに内部ネットワークにおける被害拡大の可能性について、攻撃的手法による検証及び評価(以下「侵入テスト」という。)を行う。 ペネトレーションテスト実施業務を委託するため、その委託先を公募型プロポーザル方式により選定する。 ① 侵入テスト内容テストについては、以下の観点で検証・評価する。 ※ 本業務は、外部からの侵入可能性及び内部ネットワークにおける被害拡大可能性の評価を目的とするものであり、管理者権限の取得又は情報の持出しを必須の検証対象とするものではない。 ※ ソーシャルエンジニアリングを用いた手法は実施しないこと。 ア 外部公開システムに対する侵入テスト・外部から対象システムへ侵入できる可能性・公開設定、アクセス制御その他の設定不備の有無・既知の脆弱性等を悪用できる可能性・重要な情報又は機能へ到達できる可能性・検知、防御等のセキュリティ対策の有効性イ 感染端末を起点とする内部横展開テスト・他の端末又はサーバーへ横展開できる可能性・ネットワークの分離、通信制御及びアクセス制御の有効性・認証情報その他の端末内の情報の取得可能性及びそれらを利用した内部システムへのアクセス可能性・内部ネットワークにおける被害の拡大可能範囲・検知、防御及び遮断の有効性② 実施時期(予定)令和９年２月(３) 履行期間契約日から令和９年３月３１日まで２ 参加資格要件参加表明書提出時において、次に掲げる条件を全て満たすこと。 (１) 参加表明書の提出期限までに世田谷区の競争入札参加資格者名簿に登録されていること。 (２) 地方自治法施行令(昭和 22 年政令第 16 号)第 167 条の 4 第 1 項(同令第 167 条の11 第 1 項において準用する場合も含む)の規定に該当しないこと。 (３) 世田谷区から入札参加禁止又は指名停止の措置を受けている期間中ではないこと。 (４) 会社更生法(昭和 27 年法律第 172 号)に基づく更生手続き開始の申し立て、又は民事再 生法(平成 11 年法律第 225 号)に基づく再生手続き開始の申し立てがなされていないこと。 (５) 都道府県民税・市町村民税に滞納がないこと。 (６) (一財)日本情報経済社会推進協会 「プイイバシーマーク」の認定または ISO／IEC27001、または JIS Q 27001 の評価基準である「情報セキュリティマネジメントシステム(ISMS)適合性評価制度」認証を受けていること(更新・変更申請中を含む) 。 (７) 暴力団員による不当な行為の防止等に関する法律(平成 3 年法律第 77 号)第 2 条第 2号に規定する暴力団、同条第 6 号に規定する暴力団員及びそれらの者と関係を有する者でないこと。 (８) 過去５年以内に、参加事業者又は本業務の実施体制に参画する協力事業者が、ペネトレーションテスト又はTLPT(Threat-Led Penetration Testing)の実績を有すること。 なお、当該実績については、公的機関(国、地方公共団体、独立行政法人等)に限らず、同等のセキュリティ要件及び規模を有する情報システム又はネットワーク環境に対するものを含む。 また、協力事業者の実績をもって参加資格を満たす場合は、当該協力事業者が本業務の実施に参画することを前提とし、その役割及び担当範囲を提案書に明記すること。 (９) 「外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託事業者審査委員会」の委員が主宰、役員、顧問及び所属をしている事業者でないこと。 委員会の構成は以下のとおりとする。 委員長：ＤＸ推進担当部長 相馬 正信委 員：ＤＸ推進担当課長 日髙 雄三委 員：ＤＸ推進担当課 副参事(共通基盤担当) 中澤 正範※なお、 (５)、(６)及び(８)を満たしていることを示す資料を添付すること。 協力事業者の実績をもって(８)を満たす場合は、当該協力事業者の業務実績及び本業務における役割が確認できる資料を併せて提出すること。 ３ 提案書の提出者を選定するための基準本件では提案提出者の選定は行わず、参加資格の確認のみ行う。 ４ 提案書を特定するための評価基準(１) 技術提案(攻撃シナリオ・手法)(２) 実績(類似案件の内容)(３) 体制(人のスキル)(４) 実施計画(安全・現実性)(５) 成果物(報告・改善)(６) 価格５ 手続等(１) 担当課〒154-0016世田谷区弦巻２丁目23番１号(事務センター)ＤＸ推進担当部ＤＸ推進担当課電話：03-3439-1511 FAX：03-3439-2541(土日祝日を除く。午前９時～午後５時まで)(２) 説明書の交付期間、場所及び方法① 期間令和８年１０月１日(木)から令和８年１０月１５日(木)午後５時② 場所５(１)に同じ。 ③ 方法５(１)の窓口にて交付もしくは区ホームページからダウンロード。 (ページＩＤ：36049)トップページ→区政情報→契約・入札情報→発注情報→現在実施中のプロポーザル情報→その他・区政に関すること(３) 参加表明書の提出期限、提出先及び方法① 提出期限令和８年１０月１５日(木)午後５時(必着)② 提出先５(１)に同じ。 ③ 提出方法事前連絡のうえ窓口への持参、または郵送のいずれかにより提出すること。 (郵送の場合は、提出期限内に事務局必着とし、配達完了が確認できる書留郵便または宅配業者等による信書便に限る)。 (４) 提案書の提出期限、提出先及び方法① 提出期限令和８年１１月１９日(木)午後５時(必着)② 提出先５(１)に同じ。 ③ 提出方法電子メールにより提出すること。 電子メールアドレスについては、参加資格確認及び招請通知の発送と合わせて、別途、区より通知する。 ６ その他(１) 手続きにおいて使用する言語及び通貨日本語及び日本国通貨に限る(２) 契約保証金免除(３) 契約書作成の要否要(４) 当該業務に直接関連する他の業務の委託契約を当該業務の委託契約の相手方との随意契約により締結する予定の有無無(５) 関連情報を入手するための照会窓口５(１)に同じ。 (６) 費用負担参加表明書及び提案書の作成並びに提出にかかる事業者の費用については、 世田谷区では一切負担しない。 (７) 提出物の取り扱い本選定の過程において事業者から提出された資料等については返却しない。 (８) 透明性・公平性の確保透明性、公平性を確保する観点から、本案件に参加を表明した者及び提案書を提出した者の称号・名称、並びに提案書を特定した理由(審査経過等)については、世田谷区情報公開条例(平成１３年３月１３日、世田谷区条例第６号)の規定に基づき第三者に開示する場合がある。 (９) 契約事業者選定後、区と選定者の協議により、最終的な仕様を決定し、後日契約する。 (１０)労働報酬下限額区との契約では単年度で予定価格 2,000 万円以上の業務委託契約は、世田谷区公契約条例の定める労働報酬下限額の対象となる。 本件は対象案件となるので詳細は別紙を確認すること。 (１１)事業詳細詳細は説明書による。 1外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託説明書 兼 実施要領１ 趣旨近年、標的型攻撃やランサムウェア等のサイバー攻撃は高度化・巧妙化しており、外部公開システムの脆弱性や設定不備を起点とした不正侵入や、マルウェアに感染した端末を起点とした内部ネットワークへの被害拡大により、情報漏えいや業務停止等、自治体運営に重大な支障を及ぼすおそれがある。 本業務は、区が運用する外部公開システム及び内部ネットワーク環境を対象として、攻撃者の視点に立ったペネトレーションテストを実施し、次の事項を検証することを目的とする。 (１)外部公開システムに対する疑似的な攻撃により、公開設定の不備や既知の脆弱性等を悪用した侵入の可否及び重要な情報又は機能への到達可能性を確認すること。 (２)マルウェアに感染した状態を模した端末を起点として、認証情報その他の端末内の情報の取得可能性、それらを利用した内部システムへのアクセス可能性、並びに他の端末又はサーバーへの横展開の可能性を確認するとともに、ネットワーク分離及び通信制御等の有効性を評価すること。 これらの検証を通じて、現行のセキュリティ対策の有効性を評価し、課題の明確化及び改善に資する具体的な提案を得るものとする。 本業務の実施に当たっては、単なる脆弱性の洗い出しにとどまらず、実際の攻撃シナリオを踏まえた高度な技術力及び専門的知見が求められることから、価格のみならず、技術力、実施体制、実績等を総合的に評価し、本業務を最も適切に履行できる事業者を選定するため、公募型プロポーザル方式により受託候補者を決定するものである。 なお、本プロポーザルにおいては、提案内容の実現性、具体性及び有効性を重視し、区の業務に与える影響を最小限に抑えつつ、安全かつ確実に業務を遂行できる提案を求める。 ２ 業務の名称外部公開システム及び内部ネットワークを対象としたペネトレーションテスト実施業務委託３ 業務の概要区の外部公開システム及び内部ネットワーク環境に対し、外部からの疑似的な攻撃及びマルウェア感染を模した端末を起点とする疑似的な攻撃を実施し、外部からの侵入可能性並びに内部ネットワークにおける被害拡大の可能性について、攻撃的手法による検証及び評価(以下「侵入テスト」という。)を行う。 侵入テスト内容テストについては、以下の観点で検証・評価する。 ※ 本業務は、外部からの侵入可能性及び内部ネットワークにおける被害拡大可能性の評価を目的とするものであり、管理者権限の取得又は情報の持出しを必須の検証対象と2するものではない。 ※ ソーシャルエンジニアリングを用いた手法は実施しないこと。 (１)外部公開システムに対する侵入テストインターネットからアクセス可能な区のシステムを対象として、疑似的な攻撃を実施し、主に次の事項を検証及び評価する。 ① 外部から対象システムへ侵入できる可能性② 公開設定、アクセス制御その他の設定不備の有無③ 既知の脆弱性等を悪用できる可能性④ 侵入又は脆弱性等の悪用により、重要な情報又は重要な機能へ到達できる可能性⑤ 検知、防御等のセキュリティ対策の有効性(２)感染端末を起点とする内部横展開テスト区が用意する検証用端末について、マルウェアに感染した状態を模した上で、当該端末を起点として疑似的な攻撃を実施し、主に次の事項を検証及び評価する。 ① 他の端末又はサーバーへ横展開できる可能性② ネットワークの分離、通信制御及びアクセス制御の有効性③ 認証情報その他の端末内の情報の取得可能性及びそれらを利用した内部システムへのアクセス可能性④ 内部ネットワークにおける被害の拡大可能範囲⑤ 横展開その他の攻撃に対する検知、防御及び遮断の有効性※詳細は参加表明後に送付する仕様書を参照４ プロポーザル方式を採用する具体的理由本業務は、外部公開システムに対する侵入テスト及び感染端末を起点とする内部横展開テストを実施し、区のセキュリティ対策の有効性を検証するものである。 本業務の実施に当たっては、単なる脆弱性診断ではなく、攻撃者の視点に立った攻撃シナリオの策定、侵入テストの実施手法、業務影響を考慮した安全管理、検知状況の評価及び改善提案など、高度な技術的知見及び専門的な実務経験が求められる。 また、同一の目的を達成する場合であっても、事業者ごとに攻撃シナリオ、検証手法、実施体制、安全管理措置及び成果物の内容に大きな差が生じるため、価格のみで事業者を選定することは適当ではない。 このため、本業務の受託候補者の選定に当たっては、価格のみによらず、技術力、実績、実施体制、実施計画及び成果物の有効性等を総合的に評価し、最も優れた提案を行った事業者を選定するため、公募型プロポーザル方式を採用する。 ５ 履行期間契約日から令和９年３月３１日まで3６ 参加資格要件参加表明書提出時において、次に掲げる条件を全て満たすこと。 (１) 参加表明書の提出期限までに世田谷区の競争入札参加資格者名簿に登録されていること。 (２) 地方自治法施行令(昭和22年政令第16号)第167条の4第1項(同令第167条の 11第1項において準用する場合も含む)の規定に該当しないこと。 (３) 世田谷区から入札参加禁止又は指名停止の措置を受けている期間中ではないこと。 (４) 会社更生法(昭和27年法律第172号)に基づく更生手続き開始の申し立て、又は民事再生法(平成11年法律第225号)に基づく再生手続き開始の申し立てがなされていないこと。 (５) 都道府県民税・市町村民税に滞納がないこと。 (６) (一財)日本情報経済社会推進協会 「プライバシーマーク」の認定または ISO／IEC27001、または JIS Q 27001 の評価基準である 「情報セキュリティマネジメントシステム(ISMS)適合性評価制度」認証を受けていること(更新・変更申請中を含む)。 (７) 暴力団員による不当な行為の防止等に関する法律(平成3年法律第77号)第2条第2号に規定する暴力団、同条第6号に規定する暴力団員及びそれらの者と関係を有する者でないこと。 (８) 過去５年以内に、参加事業者又は本業務の実施体制に参画する協力事業者が、ペネトレーションテスト又はTLPT(Threat-Led Penetration Testing)の実績を有すること。 なお、当該実績については、公的機関(国、地方公共団体、独立行政法人等)に限らず、同等のセキュリティ要件及び規模を有する情報システム又はネットワーク環境に対するものを含む。