1 総則

Government Cloud Assistant Service（以下「GCAS」という。）は、ガバメントクラウド固有の技術サポート、手続及び改善に向けた前向きなコミュニケーションを行う基盤の提供、データの自動収集及び加工並びにダッシュボードでの可視化基盤の提供を通じ、ガバメントクラウド自体の目標である、政府情報システム、地方公共団体情報システム等のスマートなクラウド利用を促すためのサービスを指す。

1.1 目的

Government Cloud Assistant Service運用管理・利用規程（以下「本規程」という。） は、GCASの整備、運用管理、サービス提供、利用及び調整に関し、必要な事項を定めることにより、GCASの適正かつ安全な運用を確保し、行政事務の効率的な実施及び情報資産の保全に資することを目的とする。

1.2 用語の定義

本規程における用語の定義は、本規程で以下に定義するもののほか、「デジタル社会の実現に向けた重点計画」（デジタル社会形成基本法第38条第１項、情報通信技術を活用した行政の推進等に関する法律第４条第１項並びに官民データ活用推進基本法第８条第１項の規定に基づき作成される、デジタル社会の形成に関する重点計画、情報システム整備計画並びに官民データ活用推進基本計画のことであって、最新のものをいう。以下「重点計画」という。）、「デジタル・ガバメント推進標準ガイドライン」（デジタル社会推進会議幹事会において決定されるものであって、最新のものをいう。以下「標準ガイドライン」という。）及び「政府機関等のサイバーセキュリティ対策のための統一基準群」（サイバーセキュリティ基本法（平成26 年法律第104 号）第26 条第１項第２号の規定に基づき決定される、国の行政機関等のサイバーセキュリティに関する対策の一連の基準のうち、最新のものをいう。以下「統一基準群」という。）等の国の情報システムに関する文書のほか、法律、政令その他の国の規程及び政府の決定等において定義しているものとする。

1.2 用語の定義

※1 GCASはデジタル庁所管の情報システムであるため、「情報セキュリティインシデント」の定義はデジタル庁情報セキュリティポリシーにおける「情報セキュリティインシデント」を基に、本規程ではGCAS利用者の属性を踏まえて、事象例を再定義し、利用者に示すものとする。

2 体制に関する事項

2.1 GCAS運用管理組織

GCAS運用管理組織は、GCASの整備及び運用を行うものとし、プロジェクト推進責任者の指示の下、関係する全ての事務を行う。

2.2 GCAS利用者

2.2.1 GCAS利用者の対象範囲

GCASは、原則、ガバメントクラウドの利用を検討又は既に利用している政府情報システム及び地方公共団体情報システム等の管理者並びに当該システムに係る開発、運用又は保守等の委託を受け、守秘義務契約を交わした事業者において、当該システムに係る開発、運用又は保守等の作業に従事する者に限り利用できるものとする。なお、上記以外の者が利用を希望する場合は、GCAS運用管理組織との協議の上、利用の可否を決定するものとする。

2.2.2 利用機関に必要な体制

本規程中の GCAS利用者がGCASの利用に際して確保すべき管理体制、運用規程及びその実施手順については、GCAS利用者の属性に応じて定めるものとし、原則として以下のとおりとする。想定される具体的な体制を別図1に、想定される具体的な対応手順を別表１に示す。
(1) GCAS利用に際して確保すべき管理体制

• GCAS利用機関は、GCASの利用において必要な管理を行うため、利用機関GCAS責任者を置くものとする。
• 利用機関GCAS責任者は、利用機関GCAS担当者及びプロジェクトチームGCAS責任者を認証及び管理するものとする。なお、GCAS利用機関における情報政策主管課室の長又は情報政策主管課室の長が指名する者が担うものとする。
• プロジェクトチームは、GCASの利用において必要な管理を行うため、プロジェクトチームGCAS責任者を置くものとする。
• プロジェクトチームGCAS責任者は、プロジェクトチームに所属するプロジェクトチームGCAS担当者を管理し、GCAS利用に際して委託業者を認証及び管理するものとする。また、開発運用委託業者GCAS責任者を認証及び管理するものとする。
• プロジェクトチームGCAS責任者は、委託業者に対し、GCASの利用において必要な管理を行うため、開発運用委託業者GCAS責任者を置くことを求めるものとする。
• 開発運用委託業者GCAS責任者は、開発運用委託業者GCAS担当者を認証及び管理するものとする。
• GCAS運用管理組織は、利用機関GCAS責任者を認証及び管理するものとする。

(2) 利用に際し想定されるセキュリティ対策

本規程2.2.2(1)で定める体制により行うべき認証及び管理とは、クラウドサービスの特性及び責任分界点に係る考え方を踏まえ、GCASの提供するサービスの利用に際し、以下に関するセキュリティ対策を行うことを指す。

• GCAS利用開始時における本人確認
• GCAS利用時における権限に対する定期的な確認による見直し
• 職責に変更があった場合のアカウントの取扱い
• GCAS利用終了時のアカウントの取扱い
• GCASの利用を終了する場合の情報の取扱い
• 意図しないデータ送出を防止するための対策

2.2.3 GCAS利用機関横断的な重要な事項に係る体制

大規模障害対応や災害対応等、GCASと複数のGCAS利用機関に特に大きな影響が及ぶGCAS利用機関横断的な重要事項に係る体制については、統一基準群の趣旨を踏まえつつ、5.4に定める体制に準ずるものとする。なお、災害時の対応手順については5.5において定める。

2.2.4 そのほかの体制

2.2.2及び2.2.3で定める体制のほか、GCAS利用機関は、所属する機関の情報セキュリティポリシー等に基づき、必要に応じて、管理体制、運用規程及びその実施手順を整備する。なお、整備を行った内容について、3.2.4により、GCAS利用者は、利用機関GCAS責任者又は利用機関GCAS担当者の取りまとめるところにより、GCAS運用管理組織に対し、本規程への反映意見又は要望を述べることができる。

2.3 体制の全体像

体制の全体像については、別図１に掲げるものを基本とする。

2.4 情報連絡体制・情報連絡手段

GCASの提供するサービス及び利用に係る情報連絡体制については、別図１のとおりとする。
GCAS運用管理組織から各GCAS利用者への連絡は、GCASアカウントに紐づく職場メールアドレスに対して行うこととする。なお、職場メールアドレスの利用に際し想定されるセキュリティ対策については、別表１に掲げるものを基本とする。
GCAS利用者からGCAS運用管理組織への連絡は、GCASヘルプデスクを用いて行うこととする。なお、GCASヘルプデスクの提供時間は別表３に定めるとおりとする。

3 サービスの内容及び利用に関する事項

3.1 サービスの内容等

3.1.1 サービスの提供概要、範囲

GCASの提供するサービス概要については、別表２に示す。

3.1.2 サービスにおけるGCAS運用管理組織及びGCAS利用者の責任分界

GCASの運用管理及び利用におけるGCAS運用管理組織及びGCAS利用者の責任範囲は、別図２のとおりとする。
なお、GCASはその情報システム基盤にクラウドサービスを採用しているが、CSPが提供するマネージドサービスを、GCAS運用管理組織が改変を行うことなくGCASのアプリケーションとして提供する場合、その責任分界点はCSPの提供する各サービスの責任共有モデルに依拠する。
GCAS運用管理組織が管理しないサービスの責任範囲は、本規程の対象外かつ責任分界外とする。

3.1.3 サービスの整備及び運用

GCAS運用管理組織は、重点計画その他の関係する規程等の記載及び趣旨に基づき、GCAS利用者に提供するサービスについて企画し、設計及び整備するとともに、適切な運用を行う。

3.1.4 サービス内容の取りまとめ及び掲示

GCAS運用管理組織は、GCAS利用者の円滑なサービスの利用に資するよう、サービスの利用に当たり、利用の開始、変更及び停止の手続を定めるとともに、これらの手続の手順、様式、サービスの概要、サービスの品質、利用に際しての制限、GCAS運用管理組織及びGCAS利用者の定義並びにその他留意事項について文書として取りまとめ、GCAS利用者が常時容易に確認できるよう必要な措置を講じる。
原則として、当該文書に基づき、GCAS運用管理組織はサービスを提供し、GCAS利用者はサービスを利用する。

3.1.5 サービス内容の変更

GCAS運用管理組織は、デジタル技術の進展、GCAS利用者における利用状況、情報セキュリティの確保の観点及び3.2.4 に基づき、提供するサービスの内容について、見直しを行い、必要に応じて変更する。GCAS運用管理組織は、GCAS利用者の円滑な業務継続に十分に配慮するため、変更によるGCAS利用者への影響の規模及び範囲について勘案した上、必要に応じて、GCAS利用者への意見聴取、変更の事前通知又は変更内容の説明措置を講じる。

3.1.6 サービス利用手順の作成及び配布

GCAS運用管理組織は、サービスの標準的な利用手順について文書又はWEBアプリケーションとして取りまとめ、GCAS利用者が容易に確認できるよう必要な措置を講じる。サービスの内容が変更された場合、GCAS運用管理組織は、当該利用手順の修正を速やかに行う。

3.1.7 サービス内容の説明等

GCAS運用管理組織は、GCAS利用者がより一層効率的、効果的又は容易にGCASの提供するサービスを利用できるよう、GCASの提供するサービスの内容及び操作方法について、当該サービスの複雑さ又は認知度の状況に応じて、説明会の実施等に努める。

3.2 サービスの利用等

3.2.1 標準的な利用以外の利用

GCAS運用管理組織又はGCAS利用者は、3.1.1に規定されるサービスの範囲内において、標準的な利用以外の利用について必要と認められる場合、一方が申し立て、双方の協議により決する。
また、GCASアカウントを、GCASの利用その他GCASの利用に関連して必要と認められる目的以外の目的のために利用してはならない。

3.2.2 注意義務

GCAS利用者は、GCAS利用機関における統一基準群に基づく情報セキュリティポリシー等及び本規程を含むGCAS運用管理組織が作成し、周知する文書の記載及び趣旨に基づき、善良な管理者の注意をもって、GCASの提供するサービスを利用する。

3.2.3 報告義務

GCAS利用者は、以下に掲げる事象の兆候又は発生が認められた場合、GCAS運用管理組織の定めるところにより、GCAS運用管理組織へ速やかに報告する。報告を受けたGCAS運用管理組織は、必要に応じ、5.4.2の連絡手順を準用し、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し連絡を行う。なお、GCAS運用管理組織又はGCAS利用者は、報告に関して、本規程その他の規程により手順が定められている場合又はGCAS運用管理組織の指示若しくは決定等がある場合は、当該内容に基づき対応する。

• 3.2.2 注意義務の違反であって、GCASの提供するサービスの運用上、GCAS運用管理組織又はGCAS利用者に重大な影響が生じる事象
• サービス上における想定外の挙動
• 5.4に基づく情報セキュリティインシデント
• その他GCAS利用者が報告を要すると判断する事象

3.2.4 意見、要望

GCAS利用者は、利用機関GCAS責任者又は利用機関GCAS担当者の取りまとめるところにより、GCAS運用管理組織に対し、GCASの提供するサービスの内容についての意見又は要望を述べることができる。GCAS運用管理組織は、3.1.5に基づき、当該意見又は要望に適切に対応する。

3.2.5 円滑かつ適切な利用についての努力義務

利用機関GCAS責任者は、GCASの提供するサービスが円滑かつ適切に利用されるよう、利用の状況の把握及び利用機関全体の支援、指導に努める。

4 運用に関する事項

4.1 運用に関する手順の整備、情報提供等

GCAS運用管理組織は、3.1 に基づくGCASのサービスの円滑な提供を継続するとともに、GCAS全体を安全かつ効率的に運用するため、定常時及び緊急時の運用手順等を整備する。
GCAS運用管理組織は、当該手順等に基づき、GCASのサービス提供状況、計画的な停止の内容及び緊急時の保守の状況を取りまとめ、GCAS利用者が常時容易に確認できるよう必要な措置を講じる。GCAS運用管理組織は、これらの情報について変更があった場合、速やかに更新する。

4.2 サービス提供及び運用に関する品質目標

GCASにおける主要なサービスに係る品質目標（以下「GCAS サービス品質目標」という。）は、3.1.2に規定する責任分界のうちGCAS運用管理組織に責任が及ぶ範囲内において、別表３のとおりとする。
別表３に掲げるGCASサービス品質目標の達成状況について、GCAS運用管理組織は、随時評価を行う。
GCAS運用管理組織は、GCASサービス品質目標が未達成の場合、達成に向けた改善方策を検討の上必要な品質改善を行い、継続的にGCASサービス品質目標を維持するものとする。
なお、GCASはその情報システム基盤にクラウドサービスを採用しているが、CSPが提供するサービスを、GCAS運用管理組織が改変を行うことなくGCASの機能として提供する場合、その提供水準やサービス品質目標の達成状況に係る評価及び維持については、各CSPに依拠する。

4.3 GCAS利用者による運用状況等の確認

GCAS利用者は、4.1 に基づき提供されている情報の把握に努める。

4.4 利用に対するサポート

GCAS運用管理組織は、利用者の円滑なサービス利用に対するサポート及び問題発生時の解決のため、原則としてGCAS運用管理組織において整備しているヘルプデスクを活用する。
ヘルプデスクは、GCAS運用管理組織の定めるところにより、GCAS運用管理組織が想定する標準的なサポートのほか、GCAS利用者の実情に応じたサポートを行うことができる。
サポートの実施に伴い、GCAS運用管理組織とGCAS利用機関との間において、互いの財産等の利用及び関係者との調整が必要となる場合は、両者の合意及び協力の下、サポートの目的を合理的に達成する。

4.5 運用状況の関係者への報告

GCAS運用管理組織は、GCAS利用機関におけるGCASの利用状況の確認、分析及び検討の作業に資するよう、定期又はGCAS利用機関の特段の依頼に基づき、GCASの各サービスの稼働状況、障害及び不具合の対応状況、サービスの提供水準の達成状況並びに各GCAS利用者の利用に関する統計情報等の提供に努める。

4.6 監査

GCAS運用管理組織は、原則、毎年度情報セキュリティ監査を受けるとともに、必要に応じて、GCASの整備、運用管理、サービス提供、利用及び調整について、適切に実施しているか、また、改善が必要な点の有無について客観的に評価、点検するため、システム監査を受ける。
監査は、独立性及び客観性を確保するため、原則として、GCAS運用管理組織及び監査対象の業務を支援する事業者以外の者が行う。
GCAS運用管理組織は、監査の結果に基づき明らかとなった課題や改善が必要な点について、対応に必要となる期間、経費等を勘案し、対応方針の決定及び対応の実施を行う。

5 情報セキュリティに関する事項

5.1 事項総則

GCASの整備、運用管理、サービス提供、利用及び調整に当たっては、統一基準群の各規定の趣旨を踏まえるものとする。
加えて、GCAS運用管理組織はデジタル庁情報セキュリティポリシーに基づき、適切にGCASの整備、運用管理、サービス提供及び調整を行う。
GCAS利用者は、GCASの利用の範囲や方法等について決定、変更する際及びGCASの提供するサービスの具体的な利用に際し、GCAS利用機関の関係規程等に基づき適切に検討、判断及び利用する。

5.2 情報の取扱い

5.2.1 情報に関する権利

GCASに関する情報のうち、情報の格付け及び個人情報の該当性並びに情報の保存場所に依らず、GCAS利用者がGCASの提供するサービスの利用に際し、提出及び作成した情報（以下「GCAS利用者情報」という。）について、利用、提供及び削除することができる権利並びに当該権利に基づき発生する責任は、以下の場合を除き、複製又は加工された情報を含め、原則として当該GCAS利用機関に帰属する。

• GCAS運用管理組織による、情報セキュリティの確保を目的として作成するバックアップ、ログ等の情報及び基礎となった情報の利用又は提供
• GCAS運用管理組織による、権利を有する者を特定できない形で集計等した統計情報の利用又は提供
• GCAS運用管理組織による、インシデント対応又はアカウントの廃棄など情報セキュリティの確保を目的とした削除

なお、GCASに関する情報のうち、GCAS利用者情報以外の情報についての権利及び責任は、GCAS運用管理組織に帰属する。

5.2.2 GCAS運用管理組織によるGCAS利用者情報の取扱い

GCAS利用者情報について、GCAS運用管理組織は、厳に必要な場合に限り利用、閲覧、加工等するとともに、以下の情報を除き、当該GCAS利用者の所属するプロジェクトチーム又はその所属するGCAS利用機関の利用機関GCAS責任者、利用機関GCAS担当者以外の全ての者に対して、媒体、範囲及び形式を問わず一切の提供を行わない。

• GCASの整備、運用管理、サービス提供及び調整に必要な情報
• 法律又は政令に基づく開示義務が発生した情報
• あらかじめGCAS運用管理組織において目的、対象及び提供先について具体的に明示して開示することとしている情報
• GCAS利用者と提供先との間で提供を認める合意がある旨を当該GCAS利用機関から意思表示された情報
• 内閣、デジタル庁又は法執行機関から情報セキュリティの確保を目的として開示が必要不可欠とされた情報

5.2.3 GCAS利用者における情報の取扱い

GCAS利用者は、5.2.1に定めるGCAS利用者情報について、GCAS運用管理組織がGCASの提供するサービスとして可能としている手段に基づく限りGCAS利用者の判断で取り扱うことができる。ただし、情報の開示において、開示によりGCAS又はガバメントクラウドの情報セキュリティの脅威となることが想定される情報は除く。
GCAS利用者は、GCASの提供するサービスの範囲外にある手段に基づく情報の提供、変更及び削除について必要が生じた場合、3.2.1に定める手続に基づき、取扱いを決定する。GCAS利用者がGCASの提供するサービスの利用等の過程で知り得たGCAS運用管理組織が権利を有する情報については、あらかじめ特に利用を認められた情報又は法律若しくは政令に基づく開示義務が発生した情報を除き、変更、削除、提供等をしてはならない。

5.2.4 情報の保管

GCAS運用管理組織は、5.3 に基づく対策の実施により、適切かつ厳格に、アクセス権限の設定、改ざん等の不正なアクセスの防止、被災時の破損及び滅失対策等を行い、GCASに関する全ての情報について、GCAS利用者が意図しない利用、変更を行わないよう、適切な保全に努める。

5.3 情報セキュリティ対策

5.3.1 GCAS運用管理組織による対策の実施

GCASの運用管理は、標準ガイドライン及び標準ガイドラインに関する指針類等に基づき実施するものとする。
また、GCASの運用管理に伴う情報セキュリティ対策は、統一基準群に基づき実施するものとする。

5.3.2 GCAS利用者における対策の実施

GCAS利用者は、GCASにアクセスする端末、セキュリティキーの管理及び個別の認証情報の管理等、GCAS利用機関での実施が妥当な対策について3.1.2に定められた責任分界に応じて適切に実施するとともに、各GCAS利用機関の関係規程等に照らし、GCAS運用管理組織が定める対策以外の対策の実施の要否について検討を行い、独自又はGCAS運用管理組織と協力して必要な対策を実施する。

5.3.3 情報セキュリティ対策実施の整理及び制約事項・留意事項

GCAS運用管理組織は、GCASの整備及び運用並びにGCAS利用者のサービスの利用の検討及び確認に資するため、GCASにおいて実施する情報セキュリティ対策について、想定する脅威、対策の項目、対策の内容、対策に用いるソフトウェア、設定情報等の事項について整理する。
また、GCAS運用管理組織は、情報資産へのアクセス要求ごとに、アクセスする主体、接続端末、ソフトウェア、サービス、ネットワーク等の状況を、継続的に認証及び認可する仕組みを実現する動的なアクセス制御の仕組みについて、事前に時期及びサービス利用における制限事項をGCAS利用者に通知した上で、GCASで提供するサービスの性質を考慮し、必要に応じて導入することとする。
GCAS利用者は、アクセス制御におけるセキュリティ要件の変更等によりGCASの利用に支障が生じた際は、GCAS運用管理組織に対し、アクセス要件の見直しについて意見又は要望することができる。

5.4 情報セキュリティインシデント

5.4.1 体制

GCAS運用管理組織又はGCAS利用者は情報セキュリティインシデントが発生した場合に備え、それぞれのGCASの利用の範囲や責務の内容に基づき、情報セキュリティインシデントに対応するための体制を整備できるよう、それぞれの組織内において、必要な調整、準備を行う。なお、既存のインシデント対応体制を充てることを妨げない。

5.4.2 認知時の対処手順等

GCAS運用管理組織は、5.3 に基づく対策の実施により、情報セキュリティインシデント発生のリスク及び兆候を監視し、適切にGCAS運用管理組織又はGCAS利用機関の関係者に警告することができる仕組みを整備する。GCAS利用機関は、警告の状況に関してGCAS運用管理組織から確認の依頼があった場合、警告の状況を確認し、GCAS運用管理組織へ報告する。
認知時の具体の対処手順については、各情報セキュリティポリシー等に基づく運用のほか、情報セキュリティインシデントが発生した場合の対応は、次のとおりとする。


(1) 情報セキュリティインシデント発生箇所の切り分け（一次切り分け）
(ｱ) GCAS運用管理組織の対応
GCAS運用管理組織は、情報セキュリティインシデントを検知した場合には、情報セキュリティインシデント発生箇所の切り分け（一次切り分け）を速やかに行う。
一次切り分けに当たっては、本規程3.1.2又は別図２で定める責任分界と、デジタル庁における情報セキュリティインシデント対応手順書等に基づき、特定のGCAS利用機関に影響がある情報セキュリティインシデントと複数のGCAS利用機関に影響がある情報セキュリティインシデントを区分する。
(ｲ) GCAS利用者の対応
GCAS利用者は、情報セキュリティインシデントを検知した場合には、本規程3.1.2又は別図２で定める責任分界に基づき、情報セキュリティインシデント発生箇所の切り分け（一次切り分け）を行う（当該時点で情報セキュリティインシデント発生箇所が明らかとなっている場合を除く。）。
一次切り分けに当たっては、自機関のみに影響がある情報セキュリティインシデントと複数のGCAS利用機関に影響がある情報セキュリティインシデントを区分する。GCAS利用者はGCAS運用管理組織へ複数のGCAS利用機関に影響がある情報セキュリティインシデントであるかの判断を仰ぐ。


(2) 一次切り分けの結果、特定のGCAS利用機関に影響がある情報セキュリティインシデントが発生した場合の対応
(ｱ) GCAS運用管理組織の対応
GCAS運用管理組織は、GCAS運用管理組織の責任範囲の情報セキュリティインシデントである場合には復旧のための対応を速やかに実施するとともに、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し、速やかに連絡を行う。
さらに、影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者に対し復旧した旨の連絡を行い、情報セキュリティインシデントの原因と再発防止策を取りまとめの上、影響の及んだGCAS利用機関の利用機関GCAS責任者及び利用機関GCAS担当者に報告する。
また、GCAS利用機関の責任範囲の情報セキュリティインシデントである場合にはGCAS運用管理組織から影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先へ速やかに連絡し、復旧のための対応を依頼する。
(ｲ) GCAS利用機関の対応
GCAS利用機関は、GCAS利用機関の責任範囲に係る情報セキュリティインシデントの復旧後、利用機関GCAS責任者又は利用機関GCAS担当者からGCAS運用管理組織の連絡先に対し、復旧した旨の連絡を行い、GCAS運用管理組織から、情報セキュリティインシデントの原因と再発防止策の報告を求められた場合には、必要な対応を行う。


(3) 一次切り分けの結果、複数のGCAS利用機関に影響がある情報セキュリティインシデントが発生した場合の対応
複数のGCAS利用機関に影響がある情報セキュリティインシデントの発生をGCAS運用管理組織が検知及び判断した場合、GCAS運用管理組織は、復旧のための対応を速やかに実施するとともに、少なくとも影響の及んだGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先へ、速やかに連絡を行う。
複数のGCAS利用機関に影響がある情報セキュリティインシデントの発生をGCAS利用機関が検知及び判断した場合には、GCAS運用管理組織の連絡先に対し、速やかに連絡を行い、共同して復旧のための対応を速やかに実施するなど、その対処方針を相談すること。
GCAS運用管理組織は、情報セキュリティインシデント復旧後、GCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先のうち、少なくとも影響の及んだ利用機関GCAS責任者又は利用機関GCAS担当者に対し、復旧した旨の連絡を行い、情報セキュリティインシデントの原因と再発防止策を取りまとめの上、利用機関GCAS責任者又は利用機関GCAS担当者へ報告する。


(4) GCAS運用管理組織の内部報告体制
GCAS運用管理組織は、5.4.2(1)～(3)に定める対応手順のほかに、GCASに関する情報セキュリティインシデントについて、デジタル庁における情報セキュリティインシデント対応手順書に従い、必要なデジタル庁内の情報共有を行う。
なお、報告基準は、デジタル庁内で定められた「情報セキュリティインシデント報告に係る報告基準」に従うこととし、これに定められた情報セキュリティインシデントを覚知した場合には、メールによる手段を活用し、デジタル庁CSIRT責任者が定める報告先・報告様式に従い、「情報セキュリティインシデント連絡先名簿」に記載されているデジタル庁幹部に速やかに報告を行う。
また、内部エスカレーションと並行して、以下の処置を行う。

• 対応者による影響範囲の特定／応急処置
• 対応者による対応策（復旧措置・連絡）の決定・実施
• インシデント収束後の対応
• 対応結果の分析・評価
• 再発防止策の実施・対応体制／手順の見直し

5.4.3 緊急措置

GCAS運用管理組織は、情報セキュリティインシデント発生のリスク及び兆候の状況から、GCAS全体又は基盤であるガバメントクラウド全体に影響を及ぼす事象など、緊急の必要が認められる場合に限り、GCAS利用者におけるGCASの提供するサービスの利用等を制限できるものとする。GCAS運用管理組織は、制限に関する情報について、関係するGCAS利用者又はGCAS利用機関の利用機関GCAS責任者又は利用機関GCAS担当者の連絡先に速やかに通知する。

5.5 大規模災害

GCAS運用管理組織は、首都直下型地震といった大規模災害時の業務の継続性に対して深刻な影響を与える重大な事象の発生を想定し、「政府機関等における情報システム運用継続計画ガイドライン」（「第二次情報セキュリティ基本計画（平成21年2月3日情報セキュリティ政策会議決定）」を踏まえ、内閣官房内閣サイバーセキュリティセンターが策定したもののうち、最新のものをいう。）等の政府の関連文書に基づき、必要な対応について準備し、実施する。

5.6 BCP（事業継続性計画）

GCAS運用管理組織は、5.4及び5.5で想定する事象の発生に際し、GCASの提供するサービスのうち別表２のサービス番号⑧に掲げるサービスがシステム障害等の理由で利用できない状況に陥った場合は、当該サービスを利用せずにガバメントクラウド環境へのアクセスが可能な例外経路をGCAS利用者のBCPのため、回避策として提供する。なお、当該手順の詳細については「別紙1 管理GUI SSOを利用しない緊急アクセス」を参照のこと。

5.7 情報セキュリティの確保に関する説明、研修等

GCAS運用管理組織は、GCASの整備、運用管理、サービス提供、利用及び調整における情報セキュリティの確保と質の向上を目的として、GCAS利用者を対象に、サービスの利用における情報セキュリティに係る注意点、情報セキュリティインシデントに関する実例研究及び情報セキュリティインシデントを認知した場合の対応手順について、必要に応じて教材の作成及び配布並びに説明会や研修の実施等に努める。
GCAS利用機関は、利用者の理解や習熟の状況を踏まえ、前段の教材の利用又は研修及び説明会への参加並びにその他当該利用機関における情報セキュリティに関する教育の活動を通じ、GCAS利用者及びGCAS利用機関全体の情報セキュリティの確保に努める。

6 雑則

6.1 規程の決定及び改定

GCAS運用管理組織は、本規程について、GCASの整備、運用管理、サービス提供、利用及び調整の実績並びに重点計画及び統一基準群その他関係する規程及び決定等の作成又は変更を踏まえて適宜見直しを行い、必要に応じて、情報政策主管課の長等により構成される会合（デジタル社会推進会議関係課長等連絡会議を想定。）の下で、決定及び改定を行う。
GCAS利用機関は、3.2.4の一環として、本規程への意見及び要望をGCAS運用管理組織へ提出することができる。

6.2 規程の通知等の措置

本規程について、GCAS運用管理組織は、GCAS利用者が常時容易に確認できるようWEBアプリケーション上への掲示等の必要な措置を講じるとともに、改定が行われた際は、当該措置を通じて改定内容の概要及びGCAS利用者への影響について、速やかに通知する。

6.3 下位規程等

GCAS運用管理組織は、本規程に定めるもののほか、本規程の実施に際し具体化のために必要な規程等について、別に定めることができる。

6.4 例外等の取扱い

GCAS運用管理組織又はGCAS利用者において、本規程の記載内容、内容の具体化その他ガバメントクラウドに関することについて、疑義及び対応困難な事象が発生した場合は、関係者と協議及び調整を通じて解決を図るものとする。
また、本規程に定めのない事項については、GCAS運用管理組織又はGCAS利用者は、原則として、それぞれが従う規程等に基づきGCASの整備、運用管理、サービス提供、利用及び調整を行う。

別表 1　利用に際し想定されるセキュリティ対策

※用語の定義や想定されるユーザーについては1.2又は2.2.2(1)を参照。

別図1 体制の全体像

別表2 GCASの提供するサービス概要

GUI：Graphical User Interface / コンピュータの操作をマウス等で視覚的に行うことができるインタフェース
SSO：Single Sign On / 1ユーザーアカウントで、複数システムで認証が可能な機能

別表 3　サービス品質目標

RTO ：Recovery Time Objective 目標復旧時間
RLO ：Recovery Level Objective 目標復旧レベル
IdP ：Identify Provider ユーザー認証情報保存・管理サービス
SLO ：Service Level Objective 目標サービスレベル

別図2 サービスにおけるGCAS運用管理組織とGCAS利用者の責任分界

改定履歴

以下に、「Government Cloud Assistant Service 運用管理・利用規程」の改定履歴を記載する。