# 1 総則 Government Cloud Assistant Service（以下「GCAS」という。）は、ガバメントクラウド固有の技術サポート、手続及び改善に向けた前向きなコミュニケーションを行う基盤の提供、データの自動収集及び加工並びにダッシュボードでの可視化基盤の提供を通じ、ガバメントクラウド自体の目標である、政府情報システム、地方公共団体情報システム等のスマートなクラウド利用を促すためのサービスを指す。 ## 1.1 目的 Government Cloud Assistant Service運用管理・利用規程（以下「本規程」という。）は、GCASの整備、運用管理、サービス提供、利用及び調整に関し、必要な事項を定めることにより、GCASの適正かつ安全な運用を確保し、行政事務の効率的な実施及び情報資産の保全に資することを目的とする。 ## 1.2 用語の定義本規程における用語の定義は、本規程で以下に定義するもののほか、「デジタル社会の実現に向けた重点計画」（デジタル社会形成基本法第38条第１項、情報通信技術を活用した行政の推進等に関する法律第４条第１項並びに官民データ活用推進基本法第８条第１項の規定に基づき作成される、デジタル社会の形成に関する重点計画、情報システム整備計画並びに官民データ活用推進基本計画のことであって、最新のものをいう。以下「重点計画」という。）、「デジタル・ガバメント推進標準ガイドライン」（デジタル社会推進会議幹事会において決定されるものであって、最新のものをいう。以下「標準ガイドライン」という。）及び「政府機関等のサイバーセキュリティ対策のための統一基準群」（サイバーセキュリティ基本法（平成26 年法律第104 号）第26 条第１項第２号の規定に基づき決定される、国の行政機関等のサイバーセキュリティに関する対策の一連の基準のうち、最新のものをいう。以下「統一基準群」という。）等の国の情報システムに関する文書のほか、法律、政令その他の国の規程及び政府の決定等において定義しているものとする。 **1.2 用語の定義** | 分類 | 用語 | 定義 | | --- | --- | --- | | 概念 | GCAS
（Government Cloud Assistant Service） | GCASは、ガバメントクラウド固有の技術サポートや手続及び改善に向けた前向きなコミュ
ニケーションを行う基盤の提供及びデータの自動収集及び加工並びにダッシュボードでの
可視化基盤の提供を通じ、ガバメントクラウド自体の目標である、政府情報システム及び
地方公共団体情報システム等のスマートなクラウド利用を促すためのサービスを指す。
GCASは統一基準群に定める「政府共通利用型システム」に該当する。
また、GCASは、ガバメントクラウドのうちGoogle Cloudをその情報システム基盤としている。 | | | ガバメントクラウド | デジタル庁が所管する、政府及び地方公共団体共通のクラウドサービスの利用環境を指す。 | | | CSP | ガバメントクラウドの契約するクラウドサービスプロバイダを指す。 | | | 統一基準ガイドライン | 「政府機関等の対策基準策定のためのガイドライン」（サイバーセキュリティ基本法（平成26
年法律第104 号）第26 条第１項第２号の規定に基づき決定される、国の行政機関等のサイ
バーセキュリティに関する対策の一連の基準のうち、最新のものをいう。）を指す。 | | | 標準ガイドライン | 「デジタル・ガバメント推進標準ガイドライン」（デジタル社会推進会議幹事会において決定
されるものであって、最新のものをいう。）を指す。 | | | デジタル庁情報セキュリティポリシー | 統一基準群を踏まえて作成されたデジタル庁の情報セキュリティを確保するための対策の
統一的なポリシー（デジタル庁デジタル監において決定されるものであって、最新のものを
いう。）を指す。 | | | GCASアカウント | GCASを利用する際に払い出されるGoogleアカウントを指す。GCAS固有ドメインのメール
アドレス（ログイン時のユーザIDとして使用される）及びパスワード並びにGCASの提供する
各サービスへのアクセス権限情報からなる。 | | | 情報セキュリティインシデント | 本規程においては(※1)、JIS Q27000:2019 における「情報セキュリティインシデント」を指す
ものとする。なお、JIS Q27000:2019 が更新された場合、最新版に読み替えるものとする。
JIS Q27000:2019 において、情報セキュリティインシデントは「望まない単独若しくは一連の
情報セキュリティ事象、又は予期しない単独若しくは一連の情報セキュリティ事象であって、
事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの。」と定義されて
いる。例えば、以下に示すような事象がここでの情報セキュリティインシデントに含まれる。
・不正プログラムの感染、サービス不能攻撃によるシステムの停止
・異常処理等、予期せぬ長時間のシステム停止
・情報システムやファイル等への不正アクセス
・公開されていない個人情報等の要機密情報の漏えい
・外部委託先において発生した、委託元が提供又は当該委託先からアクセスを認める委託元
の情報に係る不正アクセスや不正プログラムの感染などの情報セキュリティを侵害する事象
・調達した機器等における意図しない不正な変更
・情報システムや情報等の盗難及び紛失
・情報システムや情報等の破壊（不正に暗号化され利用ができなくなる場合等も含む） | | 組織の
属性 | デジタル庁 | GCASの整備及び運用管理を担当する。統一基準ガイドライン上の「政府共通利用型システム
管理機関」に該当する。 | | | 省庁業務サービスグループ（デジタル庁） | GCASの運用管理を統括する。 | | | ガバメントクラウドチーム | GCASの運用管理を実施する。 | | | GCAS運用管理組織 | デジタル庁省庁業務サービスグループガバメントクラウドチームのことをいう。 | | | GCAS利用機関 | GCAS利用者の所属する機関をいう。 | | | プロジェクトチーム | GCASを活用してガバメントクラウドを利用するプロジェクト単位をいう。GCASシステム情報
登録に登録されているプロジェクト単位と一対一となることを想定している。 | | | 委託業者 | プロジェクトチームがガバメントクラウドの利用を検討又は既に利用している政府情報システ
ムや地方公共団体情報システム等において業務委託を行う事業者をいう。なお、二以上の段
階にわたる委託を受けた事業者を含む。 | | | GCAS利用者 | 以下の人物の属性の総称をGCAS利用者という。 | | 人物の
属性 | 利用機関GCAS責任者 | GCAS利用機関における情報政策主管課室の責任者をいう。各府省庁においては、各府省庁
のPMOの責任者を想定している。地方公共団体においては、情報システムの管理・企画に
責任を持つ課室の責任者を想定している。 | | | 利用機関GCAS担当者 | GCAS利用機関における情報政策主管課室のGCAS利用者のうち、利用機関GCAS責任者以外
の者をいう。各府省庁においては、各府省庁のPMOの責任者以外の者を想定している。地方
公共団体においては、情報システムの管理・企画に責任を持つ課室の責任者以外の者を想定
している。 | | | プロジェクトチームGCAS責任者 | プロジェクトチームにおける責任者をいう。各府省庁においては、各府省庁のPJMOの責任者
を想定している。地方公共団体においては、基幹業務システム等の業務所管課室における
責任者を想定している。 | | | プロジェクトチームGCAS担当者 | プロジェクトチームにおけるGCAS利用者のうち、プロジェクトチームGCAS責任者以外の者を
いう。各府省庁においては、各府省庁のPJMOの責任者以外の者であって、委託業者ではない
者を想定している。地方公共団体においては、基幹業務システム等の業務所管課室における
責任者以外の者を想定している。 | | | 開発運用委託業者GCAS責任者 | 委託業者における責任者をいう。 | | | 開発運用委託業者GCAS担当者 | 委託業者におけるGCAS利用者のうち、開発運用委託業者GCAS責任者以外の者をいう。 | | | 情報システム責任者 | 標準ガイドライン第２編第２章２．4)アに置くこととされている情報システム責任者を指し、ガ
バメントクラウドチームを統括する統括官付参事官が担うものとする。GCAS運用管理組織に
属する。 | | | プロジェクト推進責任者 | 標準ガイドライン第二編第二章２．3)アに置くこととされているプロジェクト推進責任者を指
し、ガバメントクラウドチームを統括する統括官付参事官が担うものとする。GCAS運用管理
組織に属する。 | ※1 GCASはデジタル庁所管の情報システムであるため、「情報セキュリティインシデント」の定義はデジタル庁情報セキュリティポリシーにおける「情報セキュリティインシデント」を基に、本規程ではGCAS利用者の属性を踏まえて、事象例を再定義し、利用者に示すものとする。 # 2 体制に関する事項 ## 2.1 GCAS運用管理組織 GCAS運用管理組織は、GCASの整備及び運用を行うものとし、プロジェクト推進責任者の指示の下、関係する全ての事務を行う。 ## 2.2 GCAS利用者 ### 2.2.1 GCAS利用者の対象範囲 GCASは、原則、ガバメントクラウドの利用を検討又は既に利用している政府情報システム及び地方公共団体情報システム等の管理者並びに当該システムに係る開発、運用又は保守等の委託を受け、守秘義務契約を交わした事業者において、当該システムに係る開発、運用又は保守等の作業に従事する者に限り利用できるものとする。なお、上記以外の者が利用を希望する場合は、GCAS運用管理組織との協議の上、利用の可否を決定するものとする。 ### 2.2.2 利用機関に必要な体制本規程中の GCAS利用者がGCASの利用に際して確保すべき管理体制、運用規程及びその実施手順については、GCAS利用者の属性に応じて定めるものとし、原則として以下のとおりとする。想定される具体的な体制を別図1に、想定される具体的な対応手順を別表１に示す。 (1) GCAS利用に際して確保すべき管理体制 - GCAS利用機関は、GCASの利用において必要な管理を行うため、利用機関GCAS責任者を置くものとする。 - 利用機関GCAS責任者は、利用機関GCAS担当者及びプロジェクトチームGCAS責任者を認証及び管理するものとする。なお、GCAS利用機関における情報政策主管課室の長又は情報政策主管課室の長が指名する者が担うものとする。 - プロジェクトチームは、GCASの利用において必要な管理を行うため、プロジェクトチームGCAS責任者を置くものとする。 - プロジェクトチームGCAS責任者は、プロジェクトチームに所属するプロジェクトチームGCAS担当者を管理し、GCAS利用に際して委託業者を認証及び管理するものとする。また、開発運用委託業者GCAS責任者を認証及び管理するものとする。 - プロジェクトチームGCAS責任者は、委託業者に対し、GCASの利用において必要な管理を行うため、開発運用委託業者GCAS責任者を置くことを求めるものとする。 - 開発運用委託業者GCAS責任者は、開発運用委託業者GCAS担当者を認証及び管理するものとする。 - GCAS運用管理組織は、利用機関GCAS責任者を認証及び管理するものとする。
(2) 利用に際し想定されるセキュリティ対策本規程2.2.2(1)で定める体制により行うべき認証及び管理とは、クラウドサービスの特性及び責任分界点に係る考え方を踏まえ、GCASの提供するサービスの利用に際し、以下に関するセキュリティ対策を行うことを指す。 - GCAS利用開始時における本人確認 - GCAS利用時における権限に対する定期的な確認による見直し - 職責に変更があった場合のアカウントの取扱い - GCAS利用終了時のアカウントの取扱い - GCASの利用を終了する場合の情報の取扱い - 意図しないデータ送出を防止するための対策 ### 2.2.3 GCAS利用機関横断的な重要な事項に係る体制大規模障害対応や災害対応等、GCASと複数のGCAS利用機関に特に大きな影響が及ぶGCAS利用機関横断的な重要事項に係る体制については、統一基準群の趣旨を踏まえつつ、5.4に定める体制に準ずるものとする。なお、災害時の対応手順については5.5において定める。 ### 2.2.4 そのほかの体制 2.2.2及び2.2.3で定める体制のほか、GCAS利用機関は、所属する機関の情報セキュリティポリシー等に基づき、必要に応じて、管理体制、運用規程及びその実施手順を整備する。なお、整備を行った内容について、3.2.4により、GCAS利用者は、利用機関GCAS責任者又は利用機関GCAS担当者の取りまとめるところにより、GCAS運用管理組織に対し、本規程への反映意見又は要望を述べることができる。 ## 2.3 体制の全体像体制の全体像については、別図１に掲げるものを基本とする。 ## 2.4 情報連絡体制・情報連絡手段 GCASの提供するサービス及び利用に係る情報連絡体制については、別図１のとおりとする。 GCAS運用管理組織から各GCAS利用者への連絡は、GCASアカウントに紐づく職場メールアドレスに対して行うこととする。なお、職場メールアドレスの利用に際し想定されるセキュリティ対策については、別表１に掲げるものを基本とする。 GCAS利用者からGCAS運用管理組織への連絡は、GCASヘルプデスクを用いて行うこととする。なお、GCASヘルプデスクの提供時間は別表３に定めるとおりとする。 # 3 サービスの内容及び利用に関する事項 ## 3.1 サービスの内容等 ### 3.1.1 サービスの提供概要、範囲 GCASの提供するサービス概要については、別表２に示す。 ### 3.1.2 サービスにおけるGCAS運用管理組織及びGCAS利用者の責任分界 GCASの運用管理及び利用におけるGCAS運用管理組織及びGCAS利用者の責任範囲は、別図２のとおりとする。なお、GCASはその情報システム基盤にクラウドサービスを採用しているが、CSPが提供するマネージドサービスを、GCAS運用管理組織が改変を行うことなくGCASのアプリケーションとして提供する場合、その責任分界点はCSPの提供する各サービスの責任共有モデルに依拠する。 GCAS運用管理組織が管理しないサービスの責任範囲は、本規程の対象外かつ責任分界外とする。 ### 3.1.3 サービスの整備及び運用 GCAS運用管理組織は、重点計画その他の関係する規程等の記載及び趣旨に基づき、GCAS利用者に提供するサービスについて企画し、設計及び整備するとともに、適切な運用を行う。 ### 3.1.4 サービス内容の取りまとめ及び掲示 GCAS運用管理組織は、GCAS利用者の円滑なサービスの利用に資するよう、サービスの利用に当たり、利用の開始、変更及び停止の手続を定めるとともに、これらの手続の手順、様式、サービスの概要、サービスの品質、利用に際しての制限、GCAS運用管理組織及びGCAS利用者の定義並びにその他留意事項について文書として取りまとめ、GCAS利用者が常時容易に確認できるよう必要な措置を講じる。原則として、当該文書に基づき、GCAS運用管理組織はサービスを提供し、GCAS利用者はサービスを利用する。 ### 3.1.5 サービス内容の変更 GCAS運用管理組織は、デジタル技術の進展、GCAS利用者における利用状況、情報セキュリティの確保の観点及び3.2.4 に基づき、提供するサービスの内容について、見直しを行い、必要に応じて変更する。GCAS運用管理組織は、GCAS利用者の円滑な業務継続に十分に配慮するため、変更によるGCAS利用者への影響の規模及び範囲について勘案した上、必要に応じて、GCAS利用者への意見聴取、変更の事前通知又は変更内容の説明措置を講じる。 ### 3.1.6 サービス利用手順の作成及び配布 GCAS運用管理組織は、サービスの標準的な利用手順について文書又はWEBアプリケーションとして取りまとめ、GCAS利用者が容易に確認できるよう必要な措置を講じる。サービスの内容が変更された場合、GCAS運用管理組織は、当該利用手順の修正を速やかに行う。 ### 3.1.7 サービス内容の説明等 GCAS運用管理組織は、GCAS利用者がより一層効率的、効果的又は容易にGCASの提供するサービスを利用できるよう、GCASの提供するサービスの内容及び操作方法について、当該サービスの複雑さ又は認知度の状況に応じて、説明会の実施等に努める。 ## 3.2 サービスの利用等 ### 3.2.1 標準的な利用以外の利用 GCAS運用管理組織又はGCAS利用者は、3.1.1に規定されるサービスの範囲内において、標準的な利用以外の利用について必要と認められる場合、一方が申し立て、双方の協議により決する。また、GCASアカウントを、GCASの利用その他GCASの利用に関連して必要と認められる目的以外の目的のために利用してはならない。 ### 3.2.2 注意義務 GCAS利用者は、GCAS利用機関における統一基準群に基づく情報セキュリティポリシー等及び本規程を含むGCAS運用管理組織が作成し、周知する文書の記載及び趣旨に基づき、善良な管理者の注意をもって、GCASの提供するサービスを利用する。 ### 3.2.3 報告義務 GCAS利用者は、以下に掲げる事象の兆候又は発生が認められた場合、GCAS運用管理組織の定めるところにより、GCAS運用管理組織へ速やかに報告する。報告を受けたGCAS運用管理組織は、必要に応じ、5.4.2の連絡手順を準用し、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し連絡を行う。なお、GCAS運用管理組織又はGCAS利用者は、報告に関して、本規程その他の規程により手順が定められている場合又はGCAS運用管理組織の指示若しくは決定等がある場合は、当該内容に基づき対応する。 - 3.2.2 注意義務の違反であって、GCASの提供するサービスの運用上、GCAS運用管理組織又はGCAS利用者に重大な影響が生じる事象 - サービス上における想定外の挙動 - 5.4に基づく情報セキュリティインシデント - その他GCAS利用者が報告を要すると判断する事象 ### 3.2.4 意見、要望 GCAS利用者は、利用機関GCAS責任者又は利用機関GCAS担当者の取りまとめるところにより、GCAS運用管理組織に対し、GCASの提供するサービスの内容についての意見又は要望を述べることができる。GCAS運用管理組織は、3.1.5に基づき、当該意見又は要望に適切に対応する。 ### 3.2.5 円滑かつ適切な利用についての努力義務利用機関GCAS責任者は、GCASの提供するサービスが円滑かつ適切に利用されるよう、利用の状況の把握及び利用機関全体の支援、指導に努める。 # 4 運用に関する事項 ## 4.1 運用に関する手順の整備、情報提供等 GCAS運用管理組織は、3.1 に基づくGCASのサービスの円滑な提供を継続するとともに、GCAS全体を安全かつ効率的に運用するため、定常時及び緊急時の運用手順等を整備する。 GCAS運用管理組織は、当該手順等に基づき、GCASのサービス提供状況、計画的な停止の内容及び緊急時の保守の状況を取りまとめ、GCAS利用者が常時容易に確認できるよう必要な措置を講じる。GCAS運用管理組織は、これらの情報について変更があった場合、速やかに更新する。 ## 4.2 サービス提供及び運用に関する品質目標 GCASにおける主要なサービスに係る品質目標（以下「GCAS サービス品質目標」という。）は、3.1.2に規定する責任分界のうちGCAS運用管理組織に責任が及ぶ範囲内において、別表３のとおりとする。別表３に掲げるGCASサービス品質目標の達成状況について、GCAS運用管理組織は、随時評価を行う。 GCAS運用管理組織は、GCASサービス品質目標が未達成の場合、達成に向けた改善方策を検討の上必要な品質改善を行い、継続的にGCASサービス品質目標を維持するものとする。なお、GCASはその情報システム基盤にクラウドサービスを採用しているが、CSPが提供するサービスを、GCAS運用管理組織が改変を行うことなくGCASの機能として提供する場合、その提供水準やサービス品質目標の達成状況に係る評価及び維持については、各CSPに依拠する。 ## 4.3 GCAS利用者による運用状況等の確認 GCAS利用者は、4.1 に基づき提供されている情報の把握に努める。 ## 4.4 利用に対するサポート GCAS運用管理組織は、利用者の円滑なサービス利用に対するサポート及び問題発生時の解決のため、原則としてGCAS運用管理組織において整備しているヘルプデスクを活用する。ヘルプデスクは、GCAS運用管理組織の定めるところにより、GCAS運用管理組織が想定する標準的なサポートのほか、GCAS利用者の実情に応じたサポートを行うことができる。サポートの実施に伴い、GCAS運用管理組織とGCAS利用機関との間において、互いの財産等の利用及び関係者との調整が必要となる場合は、両者の合意及び協力の下、サポートの目的を合理的に達成する。 ## 4.5 運用状況の関係者への報告 GCAS運用管理組織は、GCAS利用機関におけるGCASの利用状況の確認、分析及び検討の作業に資するよう、定期又はGCAS利用機関の特段の依頼に基づき、GCASの各サービスの稼働状況、障害及び不具合の対応状況、サービスの提供水準の達成状況並びに各GCAS利用者の利用に関する統計情報等の提供に努める。 ## 4.6 監査 GCAS運用管理組織は、原則、毎年度情報セキュリティ監査を受けるとともに、必要に応じて、GCASの整備、運用管理、サービス提供、利用及び調整について、適切に実施しているか、また、改善が必要な点の有無について客観的に評価、点検するため、システム監査を受ける。監査は、独立性及び客観性を確保するため、原則として、GCAS運用管理組織及び監査対象の業務を支援する事業者以外の者が行う。 GCAS運用管理組織は、監査の結果に基づき明らかとなった課題や改善が必要な点について、対応に必要となる期間、経費等を勘案し、対応方針の決定及び対応の実施を行う。 # 5 情報セキュリティに関する事項 ## 5.1 事項総則 GCASの整備、運用管理、サービス提供、利用及び調整に当たっては、統一基準群の各規定の趣旨を踏まえるものとする。加えて、GCAS運用管理組織はデジタル庁情報セキュリティポリシーに基づき、適切にGCASの整備、運用管理、サービス提供及び調整を行う。 GCAS利用者は、GCASの利用の範囲や方法等について決定、変更する際及びGCASの提供するサービスの具体的な利用に際し、GCAS利用機関の関係規程等に基づき適切に検討、判断及び利用する。 ## 5.2 情報の取扱い ### 5.2.1 情報に関する権利 GCASに関する情報のうち、情報の格付け及び個人情報の該当性並びに情報の保存場所に依らず、GCAS利用者がGCASの提供するサービスの利用に際し、提出及び作成した情報（以下「GCAS利用者情報」という。）について、利用、提供及び削除することができる権利並びに当該権利に基づき発生する責任は、以下の場合を除き、複製又は加工された情報を含め、原則として当該GCAS利用機関に帰属する。 - GCAS運用管理組織による、情報セキュリティの確保を目的として作成するバックアップ、ログ等の情報及び基礎となった情報の利用又は提供 - GCAS運用管理組織による、権利を有する者を特定できない形で集計等した統計情報の利用又は提供 - GCAS運用管理組織による、インシデント対応又はアカウントの廃棄など情報セキュリティの確保を目的とした削除なお、GCASに関する情報のうち、GCAS利用者情報以外の情報についての権利及び責任は、GCAS運用管理組織に帰属する。 ### 5.2.2 GCAS運用管理組織によるGCAS利用者情報の取扱い GCAS利用者情報について、GCAS運用管理組織は、厳に必要な場合に限り利用、閲覧、加工等するとともに、以下の情報を除き、当該GCAS利用者の所属するプロジェクトチーム又はその所属するGCAS利用機関の利用機関GCAS責任者、利用機関GCAS担当者以外の全ての者に対して、媒体、範囲及び形式を問わず一切の提供を行わない。 - GCASの整備、運用管理、サービス提供及び調整に必要な情報 - 法律又は政令に基づく開示義務が発生した情報 - あらかじめGCAS運用管理組織において目的、対象及び提供先について具体的に明示して開示することとしている情報 - GCAS利用者と提供先との間で提供を認める合意がある旨を当該GCAS利用機関から意思表示された情報 - 内閣、デジタル庁又は法執行機関から情報セキュリティの確保を目的として開示が必要不可欠とされた情報 ### 5.2.3 GCAS利用者における情報の取扱い GCAS利用者は、5.2.1に定めるGCAS利用者情報について、GCAS運用管理組織がGCASの提供するサービスとして可能としている手段に基づく限りGCAS利用者の判断で取り扱うことができる。ただし、情報の開示において、開示によりGCAS又はガバメントクラウドの情報セキュリティの脅威となることが想定される情報は除く。 GCAS利用者は、GCASの提供するサービスの範囲外にある手段に基づく情報の提供、変更及び削除について必要が生じた場合、3.2.1に定める手続に基づき、取扱いを決定する。GCAS利用者がGCASの提供するサービスの利用等の過程で知り得たGCAS運用管理組織が権利を有する情報については、あらかじめ特に利用を認められた情報又は法律若しくは政令に基づく開示義務が発生した情報を除き、変更、削除、提供等をしてはならない。 ### 5.2.4 情報の保管 GCAS運用管理組織は、5.3 に基づく対策の実施により、適切かつ厳格に、アクセス権限の設定、改ざん等の不正なアクセスの防止、被災時の破損及び滅失対策等を行い、GCASに関する全ての情報について、GCAS利用者が意図しない利用、変更を行わないよう、適切な保全に努める。 ## 5.3 情報セキュリティ対策 ### 5.3.1 GCAS運用管理組織による対策の実施 GCASの運用管理は、標準ガイドライン及び標準ガイドラインに関する指針類等に基づき実施するものとする。また、GCASの運用管理に伴う情報セキュリティ対策は、統一基準群に基づき実施するものとする。 ### 5.3.2 GCAS利用者における対策の実施 GCAS利用者は、GCASにアクセスする端末、セキュリティキーの管理及び個別の認証情報の管理等、GCAS利用機関での実施が妥当な対策について3.1.2に定められた責任分界に応じて適切に実施するとともに、各GCAS利用機関の関係規程等に照らし、GCAS運用管理組織が定める対策以外の対策の実施の要否について検討を行い、独自又はGCAS運用管理組織と協力して必要な対策を実施する。 ### 5.3.3 情報セキュリティ対策実施の整理及び制約事項・留意事項 GCAS運用管理組織は、GCASの整備及び運用並びにGCAS利用者のサービスの利用の検討及び確認に資するため、GCASにおいて実施する情報セキュリティ対策について、想定する脅威、対策の項目、対策の内容、対策に用いるソフトウェア、設定情報等の事項について整理する。また、GCAS運用管理組織は、情報資産へのアクセス要求ごとに、アクセスする主体、接続端末、ソフトウェア、サービス、ネットワーク等の状況を、継続的に認証及び認可する仕組みを実現する動的なアクセス制御の仕組みについて、事前に時期及びサービス利用における制限事項をGCAS利用者に通知した上で、GCASで提供するサービスの性質を考慮し、必要に応じて導入することとする。 GCAS利用者は、アクセス制御におけるセキュリティ要件の変更等によりGCASの利用に支障が生じた際は、GCAS運用管理組織に対し、アクセス要件の見直しについて意見又は要望することができる。 ## 5.4 情報セキュリティインシデント ### 5.4.1 体制 GCAS運用管理組織又はGCAS利用者は情報セキュリティインシデントが発生した場合に備え、それぞれのGCASの利用の範囲や責務の内容に基づき、情報セキュリティインシデントに対応するための体制を整備できるよう、それぞれの組織内において、必要な調整、準備を行う。なお、既存のインシデント対応体制を充てることを妨げない。 ### 5.4.2 認知時の対処手順等 GCAS運用管理組織は、5.3 に基づく対策の実施により、情報セキュリティインシデント発生のリスク及び兆候を監視し、適切にGCAS運用管理組織又はGCAS利用機関の関係者に警告することができる仕組みを整備する。GCAS利用機関は、警告の状況に関してGCAS運用管理組織から確認の依頼があった場合、警告の状況を確認し、GCAS運用管理組織へ報告する。認知時の具体の対処手順については、各情報セキュリティポリシー等に基づく運用のほか、情報セキュリティインシデントが発生した場合の対応は、次のとおりとする。
(1) 情報セキュリティインシデント発生箇所の切り分け（一次切り分け） (ｱ) GCAS運用管理組織の対応 GCAS運用管理組織は、情報セキュリティインシデントを検知した場合には、情報セキュリティインシデント発生箇所の切り分け（一次切り分け）を速やかに行う。一次切り分けに当たっては、本規程3.1.2又は別図２で定める責任分界と、デジタル庁における情報セキュリティインシデント対応手順書等に基づき、特定のGCAS利用機関に影響がある情報セキュリティインシデントと複数のGCAS利用機関に影響がある情報セキュリティインシデントを区分する。 (ｲ) GCAS利用者の対応 GCAS利用者は、情報セキュリティインシデントを検知した場合には、本規程3.1.2又は別図２で定める責任分界に基づき、情報セキュリティインシデント発生箇所の切り分け（一次切り分け）を行う（当該時点で情報セキュリティインシデント発生箇所が明らかとなっている場合を除く。）。一次切り分けに当たっては、自機関のみに影響がある情報セキュリティインシデントと複数のGCAS利用機関に影響がある情報セキュリティインシデントを区分する。GCAS利用者はGCAS運用管理組織へ複数のGCAS利用機関に影響がある情報セキュリティインシデントであるかの判断を仰ぐ。
(2) 一次切り分けの結果、特定のGCAS利用機関に影響がある情報セキュリティインシデントが発生した場合の対応 (ｱ) GCAS運用管理組織の対応 GCAS運用管理組織は、GCAS運用管理組織の責任範囲の情報セキュリティインシデントである場合には復旧のための対応を速やかに実施するとともに、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し、速やかに連絡を行う。さらに、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し復旧した旨の連絡を行い、情報セキュリティインシデントの原因と再発防止策を取りまとめの上、影響の及んだGCAS利用機関の利用機関GCAS責任者及び利用機関GCAS担当者に報告する。また、GCAS利用機関の責任範囲の情報セキュリティインシデントである場合にはGCAS運用管理組織から影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先へ速やかに連絡し、復旧のための対応を依頼する。 (ｲ) GCAS利用機関の対応 GCAS利用機関は、GCAS利用機関の責任範囲に係る情報セキュリティインシデントの復旧後、利用機関GCAS責任者又は利用機関GCAS担当者からGCAS運用管理組織の連絡先に対し、復旧した旨の連絡を行い、GCAS運用管理組織から、情報セキュリティインシデントの原因と再発防止策の報告を求められた場合には、必要な対応を行う。
(3) 一次切り分けの結果、複数のGCAS利用機関に影響がある情報セキュリティインシデントが発生した場合の対応複数のGCAS利用機関に影響がある情報セキュリティインシデントの発生をGCAS運用管理組織が検知及び判断した場合、GCAS運用管理組織は、復旧のための対応を速やかに実施するとともに、少なくとも影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先へ、速やかに連絡を行う。複数のGCAS利用機関に影響がある情報セキュリティインシデントの発生をGCAS利用機関が検知及び判断した場合には、GCAS運用管理組織の連絡先に対し、速やかに連絡を行い、共同して復旧のための対応を速やかに実施するなど、その対処方針を相談すること。 GCAS運用管理組織は、情報セキュリティインシデント復旧後、GCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先のうち、少なくとも影響の及んだ利用機関GCAS責任者又は利用機関GCAS担当者に対し、復旧した旨の連絡を行い、情報セキュリティインシデントの原因と再発防止策を取りまとめの上、利用機関GCAS責任者又は利用機関GCAS担当者へ報告する。
(4) GCAS運用管理組織の内部報告体制 GCAS運用管理組織は、5.4.2(1)～(3)に定める対応手順のほかに、GCASに関する情報セキュリティインシデントについて、デジタル庁における情報セキュリティインシデント対応手順書に従い、必要なデジタル庁内の情報共有を行う。なお、報告基準は、デジタル庁内で定められた「情報セキュリティインシデント報告に係る報告基準」に従うこととし、これに定められた情報セキュリティインシデントを覚知した場合には、メールによる手段を活用し、デジタル庁CSIRT責任者が定める報告先・報告様式に従い、「情報セキュリティインシデント連絡先名簿」に記載されているデジタル庁幹部に速やかに報告を行う。また、内部エスカレーションと並行して、以下の処置を行う。 - 対応者による影響範囲の特定／応急処置 - 対応者による対応策（復旧措置・連絡）の決定・実施 - インシデント収束後の対応 - 対応結果の分析・評価 - 再発防止策の実施・対応体制／手順の見直し ### 5.4.3 緊急措置 GCAS運用管理組織は、情報セキュリティインシデント発生のリスク及び兆候の状況から、GCAS全体又は基盤であるガバメントクラウド全体に影響を及ぼす事象など、緊急の必要が認められる場合に限り、GCAS利用者におけるGCASの提供するサービスの利用等を制限できるものとする。GCAS運用管理組織は、制限に関する情報について、関係するGCAS利用者又はGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先に速やかに通知する。 ## 5.5 大規模災害 GCAS運用管理組織は、首都直下型地震といった大規模災害時の業務の継続性に対して深刻な影響を与える重大な事象の発生を想定し、「政府機関等における情報システム運用継続計画ガイドライン」（「第二次情報セキュリティ基本計画（平成21年2月3日情報セキュリティ政策会議決定）」を踏まえ、内閣官房内閣サイバーセキュリティセンターが策定したもののうち、最新のものをいう。）等の政府の関連文書に基づき、必要な対応について準備し、実施する。 ## 5.6 BCP（事業継続性計画） GCAS運用管理組織は、5.4及び5.5で想定する事象の発生に際し、GCASの提供するサービスのうち別表２のサービス番号⑧に掲げるサービスがシステム障害等の理由で利用できない状況に陥った場合は、当該サービスを利用せずにガバメントクラウド環境へのアクセスが可能な例外経路をGCAS利用者のBCPのため、回避策として提供する。なお、当該手順の詳細については「別紙1 管理GUI SSOを利用しない緊急アクセス」を参照のこと。 ## 5.7 情報セキュリティの確保に関する説明、研修等 GCAS運用管理組織は、GCASの整備、運用管理、サービス提供、利用及び調整における情報セキュリティの確保と質の向上を目的として、GCAS利用者を対象に、サービスの利用における情報セキュリティに係る注意点、情報セキュリティインシデントに関する実例研究及び情報セキュリティインシデントを認知した場合の対応手順について、必要に応じて教材の作成及び配布並びに説明会や研修の実施等に努める。 GCAS利用機関は、利用者の理解や習熟の状況を踏まえ、前段の教材の利用又は研修及び説明会への参加並びにその他当該利用機関における情報セキュリティに関する教育の活動を通じ、GCAS利用者及びGCAS利用機関全体の情報セキュリティの確保に努める。 # 6 雑則 ## 6.1 規程の決定及び改定 GCAS運用管理組織は、本規程について、GCASの整備、運用管理、サービス提供、利用及び調整の実績並びに重点計画及び統一基準群その他関係する規程及び決定等の作成又は変更を踏まえて適宜見直しを行い、必要に応じて、情報政策主管課の長等により構成される会合（デジタル社会推進会議関係課長等連絡会議を想定。）の下で、決定及び改定を行う。 GCAS利用機関は、3.2.4の一環として、本規程への意見及び要望をGCAS運用管理組織へ提出することができる。 ## 6.2 規程の通知等の措置本規程について、GCAS運用管理組織は、GCAS利用者が常時容易に確認できるようWEBアプリケーション上への掲示等の必要な措置を講じるとともに、改定が行われた際は、当該措置を通じて改定内容の概要及びGCAS利用者への影響について、速やかに通知する。 ## 6.3 下位規程等 GCAS運用管理組織は、本規程に定めるもののほか、本規程の実施に際し具体化のために必要な規程等について、別に定めることができる。 ## 6.4 例外等の取扱い GCAS運用管理組織又はGCAS利用者において、本規程の記載内容、内容の具体化その他ガバメントクラウドに関することについて、疑義及び対応困難な事象が発生した場合は、関係者と協議及び調整を通じて解決を図るものとする。また、本規程に定めのない事項については、GCAS運用管理組織又はGCAS利用者は、原則として、それぞれが従う規程等に基づきGCASの整備、運用管理、サービス提供、利用及び調整を行う。 **別表 1　利用に際し想定されるセキュリティ対策** | セキュリティ対策 | 想定される具体的な対応手順 | | -- | -- | | GCAS利用開始時
における本人確認 | GCASの提供するサービスを利用するためにアカウント払出し及び登録を行う際には、GCAS運用管理組織、利用機関
GCAS責任者及びプロジェクトチームGCAS責任者並びに開発運用委託業者GCAS責任者については、2.2.2において
認証・管理を行うものとされている払い出し対象者に対し、GCAS運用管理組織が提供する所定の様式等を用い、マイ
ナンバーカードで払出し対象者本人であることの確認（以下「本人確認」という。）を行う。
加えて、 GCAS運用管理組織、利用機関GCAS責任者及びプロジェクトチームGCAS責任者並びに開発運用委託業者
GCAS責任者は、2.2.1の対象範囲に当該払出し対象者が含まれているのかどうかの確認を行う。なお、範囲に含まれて
いるかが明らかではない場合は、体制表の確認や人事担当への確認などを行う。
上記2点を確認した後、利用機関GCAS責任者及びプロジェクトチームGCAS責任者並びに開発運用委託業者GCAS責任
者は、所定の様式等にて、確認した旨を記載し申告を行うこと。
なお、所定の様式等を用いて上記2点の確認を行った場合、本人確認に用いた情報の取扱いについては、各GCAS利用
機関の定める関連規程に従い適切に管理を行う。 | | GCAS利用時における
権限に対する定期的な
確認による見直し | 利用機関GCAS責任者及びプロジェクトチームGCAS責任者並びに開発運用委託業者GCAS責任者は、GCAS運用管理
組織が提供する手順による定期的な設定の確認、アカウントの精査（必要性、妥当性、利用期間、権限の範囲など）、
GCASの提供するサービスの追加に係る権限の確認による見直しを行う。
なお、90日以上利用されていないアカウントは、GCAS運用管理組織で無効化する。無効化されたアカウントを再度利
用する場合は、利用機関GCAS責任者、プロジェクトチームGCAS責任者又は開発運用委託業者GCAS責任者がGCASヘ
ルプデスクに無効化解除を申請する。
（開発運用委託業者GCAS責任者が申請を行う場合は、利用機関GCAS責任者又はプロジェクトチームGCAS責任者の
承認を経る必要がある。） | | 職責に変更があった
場合のアカウントの
取扱い | 利用機関GCAS責任者、プロジェクトチームGCAS責任者又は開発運用委託業者GCAS責任者がGCASの「メンバー管理」
サービスによりグループメンバーの変更及びアカウントの権限変更を行う。 | | GCAS利用終了時の
アカウントの取扱い | 利用機関GCAS責任者、プロジェクトチームGCAS責任者又は開発運用委託業者GCAS責任者がGCASの「メンバー管理」
サービスによりグループメンバーの削除を行った後、離任5営業日前までにGCASヘルプデスクに該当アカウントの削除
を申請する。（開発運用委託業者GCAS責任者が申請を行う場合、利用機関GCAS責任者又はプロジェクトチームGCAS
責任者の承認を経る必要がある。） | | GCASの利用を終了
する場合の情報の
取扱い | GCAS利用機関の情報政策主管課室、プロジェクトチームのいずれかの組織がGCASの利用を終了する場合は、GCAS上
の情報を削除するよう GCAS運用管理組織へ終了日以前に申請する。 | | 意図しないデータ送出
を防止するための対策 | GCASアカウントに紐づく職場メールアドレスには、個人を識別可能なメールアドレスの登録に限る。
職場メールアドレスには、個人を認証するためのメール等が送付される場合もあるため、メーリングリスト等の紐づけに
ついて、禁止する。 | ※用語の定義や想定されるユーザーについては1.2又は2.2.2(1)を参照。 **別図1 体制の全体像** ![別図1 体制の全体像](/images/general_gcas-operation-management-usage-regulations-01.png) **別表2 GCASの提供するサービス概要** | サービス
番号 | サービス名 | サービスの概要 | サービス提供対象 | | -- | -- | -- | -- | | ① | GCASアカウント
（作成・変更・削除）
申請・認証 | GCASアカウントの新規作成、登録情報の変更及び削除の申請並びに
申請内容の確認及び承認を行う（開発運用委託業者GCAS責任者が
申請を行う場合、利用機関GCAS責任者又はプロジェクトチームGCAS
責任者の承認を経る必要がある） | ・利用機関GCAS責任者
・プロジェクトチームGCAS責任者
・開発運用委託業者GCAS責任者 | | ② | メンバー管理 | 自らが管理するグループ（PMOグループ及びシステムグループ）に
おけるメンバーの管理 | ・利用機関GCAS責任者
・プロジェクトチームGCAS責任者
・開発運用委託業者GCAS責任者 | | ③ | GCASガイド | 利用ガイドの閲覧 | ・GCAS利用者 | | ④ | GCASヘルプデスク
・FAQ | ヘルプデスク問い合わせ | ・GCAS利用者 | | ⑤ | GCASシステム情報
登録 | GCAS上で自らが従事するプロジェクト（システム）の情報を登録する。 | ・利用機関GCAS責任者
・プロジェクトチームGCAS責任者
・開発運用委託業者GCAS責任者 | | ⑥ | CSP環境（作成・削除）
申請 | クラウド環境の作成及び削除申請を行う | ・利用機関GCAS責任者
・プロジェクトチームGCAS責任者 | | ⑦ | CSPユーザー作成
・管理 | GCASアカウントの情報に基づいた、CSPユーザーの作成及びSSO設定
CSPユーザーの管理 | ・利用機関GCAS責任者
・プロジェクトチームGCAS責任者
・開発運用委託業者GCAS責任者 | | ⑧ | 管理GUI SSO | 1. 各クラウド環境のコンソールへの管理者権限でのアクセス
2. 各クラウド環境のコンソールへの一般権限でのアクセス | ・GCAS利用者 | GUI：Graphical User Interface / コンピュータの操作をマウス等で視覚的に行うことができるインタフェース SSO：Single Sign On / 1ユーザーアカウントで、複数システムで認証が可能な機能 **別表 3　サービス品質目標** | サービス名 | GCASサービス品質目標 | | -- | -- | | GCASアカウント
（作成・変更・削除）
申請・認証 | ① GCASアカウント（作成・変更・削除）申請アプリケーション
SLO：24時間365日
※計画停止及び大規模災害発生時を除く。
② GCASアカウント認証
Google CloudのGoogle Cloud IdentityをIdPとして利用するため、SLO、RTO、RLOはGoogle Cloudの定めに依拠する。
※なお、サービス停止時においては、5.6で別途定義する回避策で当該サービスを経由せずに業務継続が可能としている。 | | メンバー管理 | SLO：24時間365日
※計画停止及び大規模災害発生時を除く。 | | GCASガイド | SLO：24時間365日
※計画停止及び大規模災害発生時を除く。 | | GCASヘルプデスク
・FAQ | 別途ガバメントクラウド概要文書群「ヘルプデスク利用方法（共通編）」
（ [https://guide.gcas.cloud.go.jp/general/how-to-ask-helpdesk/](https://guide.gcas.cloud.go.jp/general/how-to-ask-helpdesk/)）に定める。 | | GCASシステム情報
登録 | SLO：24時間365日
※計画停止及び大規模災害発生時を除く。 | | CSP環境（作成・削除）
申請 | SLO：24時間365日
※計画停止及び大規模災害発生時を除く。 | | CSPユーザー作成
・管理 | SLO：24時間365日
※計画停止及び大規模災害発生時を除く。 | | 管理GUI SSO | 管理GUI SSOに入る際の画面遷移については、「GCASアカウント払出し・メンバー管理・認証」に準ずる。
なお、管理GUI SSOが可能なURLを直接入力した場合は、Google CloudのGoogle Cloud Identityの、RTO、RLOに依拠する。 | | 以下は暫定的に手動
にて行うもの | ー | | GCAS運用管理組織
によるGCASアカウント
の払出し | SLO：5営業日以内 | | GCAS運用管理組織
によるGCASアカウント
の削除 | SLO：5営業日以内 | | ヘルプデスク回答 | 別途ガバメントクラウド概要文書群「ヘルプデスク利用方法（共通編）」
（ [https://guide.gcas.cloud.go.jp/general/how-to-ask-helpdesk/](https://guide.gcas.cloud.go.jp/general/how-to-ask-helpdesk/)）に定める。 | | CSPアカウントの払出し | SLO：5営業日以内 | | CSPアカウントの削除 | SLO：5営業日以内 | RTO ：Recovery Time Objective 目標復旧時間 RLO ：Recovery Level Objective 目標復旧レベル IdP ：Identify Provider ユーザー認証情報保存・管理サービス SLO ：Service Level Objective 目標サービスレベル **別図2 サービスにおけるGCAS運用管理組織とGCAS利用者の責任分界** ![別図2 サービスにおけるGCAS運用管理組織とGCAS利用者の責任分界](/images/general_gcas-operation-management-usage-regulations-02.png) ## 改定履歴以下に、「Government Cloud Assistant Service 運用管理・利用規程」の改定履歴を記載する。 | 改定年月日 | 版数 | 改定内容 | | --- | --- | --- | | 2023年12月8日 | 1.0 | 初版発行 | | 2024年2月14日 | 2.0 | 主に地方公共団体の利用に関する記載を追加 | | 2024年4月8日 | 3.0 | BCPに関する運用フローの作成及び、GCASアカウント管理運用の具体化に伴う記載の見直し | | 2024年7月19日 | 3.1 | GCASと連携してサービス提供する外部サービスについて責任範囲を明記 | | 2024年9月2日 | 3.2 | GCASアカウントの目的外利用に関する規定を追加 |

GCAS運用管理・利用規程