政府機関等のサイバーセキュリティ対策のための統一基準とは、国の行政機関や独立行政法人などが情報セキュリティ対策を実施するときに満たすべき、政府共通のベースライン（最低限満たすべき水準）を定めた文書です。各機関はこの水準に準拠して自組織のルールを定め、そこから調達仕様書のセキュリティ要件が組み立てられます。
この文書が読みにくいと言われるのは、内容が難解だからではありません。統一規範、統一基準、ガイドラインという3つの文書に情報が分散しており、しかも文書ごとに改定のタイミングが違うためです。どれを開けばよいかが分からないまま、100ページを超える文書を最初から読み始めてしまう状態に陥っています。
この記事では、3つの文書の役割分担、統一基準の8部構成、最新版の見分け方、そして担当箇所を絞り込む方法をお伝えします。
政府機関等のサイバーセキュリティ対策のための統一基準とは何か
政府機関等のサイバーセキュリティ対策のための統一基準とは、サイバーセキュリティ基本法を根拠とする政府共通のベースラインとなるものです。適用対象は国の行政機関、独立行政法人、指定法人であり、これらの機関と取引する民間事業者にも契約を通じて及びます。
ここから、ベースラインや対象となる機関等とその委託先について、詳しくお伝えします。
サイバーセキュリティ基本法に基づく政府共通のベースライン
統一基準を決定しているのは、内閣に置かれるサイバーセキュリティ戦略本部です。サイバーセキュリティ基本法第26条第1項第2号が、国の行政機関等のサイバーセキュリティに関する対策の基準を作成する事務を同本部に定めており、これに基づいて令和7年6月27日に令和7年度版が決定され、同年7月1日から施行されました（※1）。
原案を策定しているのは、内閣官房の国家サイバー統括室です。令和7年7月に内閣サイバーセキュリティセンターが改組されて発足しました（※2）。それ以前の資料では旧名称のNISCと記載されているため、規定を確認するときは国家サイバー統括室のサイトを見てください。
統一基準が定めるのは、全ての機関に共通して必要な水準です。各機関は自組織の特性を踏まえ、統一基準に準拠し、これと同等以上の情報セキュリティ対策が可能となるように対策基準を定めます（※1）。より高い水準を上乗せすることは各機関の判断で可能です。
対象となる機関等とその委託先である民間事業者
適用対象は、法令上「機関等」と呼ばれる組織です。国家サイバー統括室の資料では、政府機関26組織、独立行政法人86組織、指定法人10組織が対象と示されています（※3）。
見落とされやすいのが、その先の広がりです。機関等が発注する情報システムの調達仕様書や提案依頼書は、統一基準群の要求事項を土台に書かれます。委託先や調達先となる民間事業者は、契約を通じて同じ水準の対策を求められます。統一基準の第4部が外部委託に丸ごと1部を割いているのは、この構造があるためです。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
※2 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準群の概要」
※3 参考：内閣官房 国家サイバー統括室│「『政府機関等の対策基準策定のためのガイドライン（令和7年度版）』の一部改定（令和8年6月12日）のポイント」
統一基準群は3つの文書で構成される
統一基準群は、統一規範、統一基準、対策基準策定のためのガイドラインの3文書からできています。このうち実務で開くのはガイドラインです。ガイドラインが例示する基本対策事項は、基本セキュリティ対策と追加セキュリティ対策の2種類に分かれています。
統一規範と統一基準とガイドラインの役割分担
統一規範と統一基準とガイドラインの役割分担の文書の関係は、次の表のとおりです。
| 文書 | 記載されている内容 | 民間企業の文書に置き換えると |
|---|---|---|
| 統一規範 | 機関等がとるべき対策の統一的な枠組み | 情報セキュリティ基本方針 |
| 統一基準 | 対策項目ごとの目的、趣旨、遵守事項 | セキュリティ要件定義書 |
| 対策基準策定のためのガイドライン | 遵守事項を満たすための基本対策事項の例示と解説 | 実装ガイド |
遵守事項とは、機関等が守るべき事項として統一基準に定められた項目です。基本対策事項とは、その遵守事項を満たすためにとるべき基本的な対策事項の例示を指します（※1）。
なお、令和5年度の改定より前は「政府機関等のサイバーセキュリティ対策の運用等に関する指針」を加えた4文書の構成でした。この指針は同改定で廃止され、所管省庁による独立行政法人等への関与など、指針に記載されていた内容は統一規範ないし統一基準に取り込まれています（※2）。4文書構成として説明している資料は、改定前の情報に基づいています。
実務ではガイドラインを1冊読めば足りる
統一基準に書かれているのは、目的と趣旨、そして遵守事項までです。たとえば不正プログラム対策であれば、対策ソフトウェア等を導入することという方向性の指示にとどまり、その製品に求める機能や運用までは書かれていません（※1）。
具体的な水準はガイドライン側の基本対策事項にあります。統一基準だけを参照して対策を組み立てると、求められる水準に届かないおそれがあります。ガイドラインは、機関等が基本対策事項に例示される対策またはこれと同等以上の対策を講ずる必要があると定めているためです（※3）。
一方で、2冊を並べて読む必要はありません。ガイドラインは、統一基準が定める情報の格付や用語定義を再掲したうえで、各部の遵守事項に基本対策事項と解説を付す構成をとっています（※3）。実務で手元に置くのはガイドラインの最新版で足ります。
ただし、公開形式には注意が必要で、最新版は「表紙～第2部」と「第3部～付録」の2つのPDFに分割して配布されています。第4部以降を担当する場合は後者を取得してください。
基本セキュリティ対策と追加セキュリティ対策の違い
ガイドラインの基本対策事項には、追加セキュリティ対策に該当するものに【追加セキュリティ対策】と文頭表示を付す規則があります。両者が混在する場合は、それぞれの文頭に区分が示されます（※3）。巻末の付録には、どの基本対策事項がどちらに区分されるかの一覧も収録されています。
追加セキュリティ対策の対象となるのは、高度な情報セキュリティ対策が要求される情報システムです。どの情報システムが該当するかは、各機関が定める情報システムの分類基準で決まります。統一基準では、統括情報セキュリティ責任者が業務影響度などを踏まえて分類基準を定め、情報システムセキュリティ責任者に分類を実施させることとされています（※1）。
提案書や見積もりを作成する場面では、対象システムがどちらの区分に該当するかを最初に確認してください。ここを取り違えると、過剰な見積もりになるか、逆に必要な要件を落とすことになります。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
※2 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準群の概要」
※3 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和8年6月）表紙～第2部」
統一基準の全体像を8部構成でつかむ
令和7年度版の統一基準は、第1部から第8部までの8部構成です。第1部が定める情報の格付は、後続の遵守事項の適用条件になります。また、遵守事項の主語は、それが誰に宛てられたものかを示しています。
第1部から第8部までの内容
各部の内容は下表のとおりです（※1）。
| 部 | タイトル | 主な内容 |
|---|---|---|
| 第1部 | 総則 | 目的、適用範囲、情報の格付の区分、用語定義 |
| 第2部 | 情報セキュリティ対策の基本的枠組み | 組織体制、資産管理、教育、インシデント対処、自己点検、監査 |
| 第3部 | 情報の取扱い | 格付と取扱制限に応じた取扱い、区域の管理 |
| 第4部 | 外部委託 | 業務委託、クラウドサービス、機器等の調達 |
| 第5部 | 情報システムのライフサイクル | 分類、企画から更改廃棄まで、運用継続計画 |
| 第6部 | 情報システムの構成要素 | 端末、サーバ装置、通信回線、ソフトウェア、アプリケーション |
| 第7部 | 情報システムのセキュリティ要件 | 認証、アクセス制御、ログ、暗号、脅威への対策、ゼロトラスト |
| 第8部 | 情報システムの利用 | 利用時の遵守事項、ソーシャルメディア、テレワーク |
第2部から第4部が組織として横断的に取り組む領域、第5部から第8部が個々の情報システムに対する領域という区分になります。調達を担当するなら第4部と第5部、開発や運用を担当するなら第6部と第7部が中心になります。
情報の格付が遵守事項の適用条件になる
第1部で定義される情報の格付は、担当領域にかかわらず押さえておく必要があります。統一基準の遵守事項の多くが「要機密情報を取り扱う場合は」といった条件付きで書かれており、扱う情報の格付が決まらないと、どの遵守事項が自分に効いてくるのか判定できないためです。
格付は機密性、完全性、可用性の3つの観点で定義されます（※1）。
| 観点 | 区分 | 呼称の定義 |
|---|---|---|
| 機密性 | 機密性3情報、機密性2情報、機密性1情報 | 機密性2情報と機密性3情報を要機密情報という |
| 完全性 | 完全性2情報、完全性1情報 | 完全性2情報を要保全情報という |
| 可用性 | 可用性2情報、可用性1情報 | 可用性2情報を要安定情報という |
要機密情報、要保全情報、要安定情報のいずれかに1つでも該当する情報は、要保護情報と呼ばれます。最上位の機密性3情報は、国の行政機関では行政文書の管理に関するガイドラインに定める秘密文書としての取扱いを要する情報が該当します。独立行政法人および指定法人では、これに準ずる情報が該当します（※1）。
遵守事項の主語から自分の担当範囲を絞り込む
統一基準の遵守事項は、多くが主語から始まります。最高情報セキュリティ責任者、統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュリティ責任者、課室情報セキュリティ責任者、区域情報セキュリティ責任者、CSIRT、職員等といった役割名です。CSIRTとは、機関等で発生した情報セキュリティインシデントに対処するために設置される体制を指します（※1）。
この性質は、読む範囲を絞るときに使えます。個別システムの構築を担当しているなら、「情報システムセキュリティ責任者は」で始まる遵守事項を追えば守備範囲がほぼ揃います。組織のルールづくりに関わるなら「統括情報セキュリティ責任者は」を追う形になります。
民間事業者の立場でも同じ読み方ができます。仕様書の要件が統括情報セキュリティ責任者の整備する運用規程に紐づくものなら、それは委託元が定めるルールであり、自社はそれに従う立場です。情報システムセキュリティ責任者が講ずる措置であれば、実装や運用として自社の作業範囲に入る可能性が高くなります。主語を見るだけで、責任分界の見当がつきます。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
最新版はどれかを見分ける
統一規範と統一基準は令和7年度版のまま据え置かれ、ガイドラインだけが部分的に改定されています。直近の改定は令和8年6月12日で、5つの事項が強化されました。
統一基準は令和7年度版でガイドラインだけが更新される
直近の動きを時系列で示します。
| 時期 | 内容 |
|---|---|
| 令和7年6月27日 | サイバーセキュリティ戦略本部が令和7年度版を決定（※1） |
| 令和7年7月1日 | 令和7年度版が施行（※1） |
| 令和7年9月5日 | ガイドラインの一部改定（※2） |
| 令和8年6月12日 | ガイドラインの一部改定（※3） |
国家サイバー統括室のサイトでも、ガイドラインは「令和7年度版の一部改定（令和8年6月）」という名称で公開されています（※4）。年度版の表記だけを見ても最新かどうかは判断できません。
社内で共有しているPDFが令和7年6月時点のものであれば、基本対策事項は2世代前の内容です。令和7年9月の改定では、セキュリティ要件適合評価およびラベリング制度（JC-STAR）の運用開始を受けた機器等の選定基準への反映、情報セキュリティサービス審査登録制度でのペネトレーションテストサービスの開始、端末キッティングイメージの厳格な管理、多要素主体認証の導入促進、そしてドメイン乗っ取り攻撃を踏まえたDNS対策の見直しという5点が行われています（※2）。
調達要件を書く側も提案する側も、参照した文書の改定年月まで明記して合わせておくと、認識のずれを防げます。
令和8年6月の改定で強化された5つの事項
令和8年6月12日の改定で示された主な事項は、脆弱性対策の強化、情報システム運用継続計画（IT-BCP）の確実な整備、インシデント発生時の対処強化、多要素認証等の主体認証の強化、そしてDMARC対応によるフィッシング対策の強化です（※3）。
インシデント対処については、発生時に国家サイバー統括室へ連絡する事項に、IoCやログ、デジタルフォレンジックの結果といったサイバー脅威の分析に資する情報が追加されました（※3）。IoCとは、システムに対する攻撃の発生や使用されたツールを明らかにする手がかりとなる情報を指します（※5）。DMARCについては、政府機関等になりすました電子メールを受信した場合に迷惑メール扱いまたは受信拒否となるよう、政府機関等側のDMARCポリシー設定を強化する内容です（※3）。
このうち影響範囲が最も広いのが、脆弱性対策の強化です。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
※2 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和7年9月5日）のポイント」
※3 参考：内閣官房 国家サイバー統括室│「『政府機関等の対策基準策定のためのガイドライン（令和7年度版）』の一部改定（令和8年6月12日）のポイント」
※4 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準群」
※5 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和8年6月）表紙～第2部」
民間事業者に影響が大きい4つの要点
自社の作業範囲に直結しやすいのは、外部委託、クラウドサービス、脆弱性対策、そして主体認証とゼロトラストの4領域です。いずれも仕様書の記載として現れ、提案内容の評価に関わります。
外部委託では委託先に8分類のセキュリティ対策を担保させる
ガイドラインは、委託業務における情報の適正な取扱いを委託先に担保させるため、次の8分類のセキュリティ対策をあらかじめ契約に含め、委託期間を通じて情報の格付等に応じた実施を求めることとしています（※1）。
- 情報セキュリティインシデント等への対処能力の確立・維持
- 情報へアクセスする主体の識別とアクセスの制御
- ログの取得・監視
- 情報を取り扱う機器等の物理的保護
- 情報を取り扱う要員への周知と統制
- セキュリティ脅威に対処するための資産管理・リスク評価
- 委託先が取り扱う情報および当該情報を取り扱うシステムの完全性の保護
- セキュリティ対策の検証・評価・見直し
この8分類は、米国NISTが公表するSP800-171の内容を参考に構成されたものです。ガイドラインには、8分類とSP800-171の管理策群との対応表も示されています（※1）。なお、SP800-171の管理策ファミリー名をそのまま8項目として紹介している解説もありますが、ガイドラインが定めているのは上記の分類です。
各分類には、格付等を勘案して委託先に求めることが考えられる対策が例示されています。たとえば6の資産管理・リスク評価では、定期的および重大な脆弱性の公表時に脆弱性検査を実施し、適時な脆弱性対策を行うことが挙げられています（※1）。提案書で仕様書の項目をそのまま書き写すだけでは履行可能性が読み取れないため、自社のどの仕組みで担保するのかまで具体化してください。
なお、委託先の選定基準に関する解説では、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）が運用開始された際にこれを活用することも考えられると記載されています（※1）。制度の概要はSCS評価制度の解説記事を参照してください。
要機密情報を扱うクラウドはISMAPのリストから選ぶ
要機密情報を取り扱うクラウドサービスについて、統一基準は、選定基準に従い、定めたセキュリティ要件を踏まえて、原則としてISMAP等クラウドサービスリストから選定することを求めています（※2）。ISMAPとは、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価し登録する、政府情報システムのためのセキュリティ評価制度です。「ISMAP等クラウドサービスリスト」は、ISMAPクラウドサービスリストとISMAP-LIUクラウドサービスリストの総称を指します。
登録済みのサービスを選べば要件を満たすわけではありません。統一基準は、クラウドサービスで取り扱う情報が保存される国や地域、廃棄の方法、求めるサービスレベルまで含めてセキュリティ要件を定めることを求めています（※2）。設定や運用は利用する側の責任範囲に残ります。
脆弱性対策が全情報システムの運用設計に組み込まれる
令和8年6月の改定では、高性能AIの悪用などによるサイバー攻撃の高度化と自動化を踏まえ、全ての情報システムについてセキュリティパッチの適時の適用を前提とした運用設計、いわゆるパッチマネジメントを行うことが示されました（※3）。
求められる内容は次の4点です（※3）。
- 全ての情報システムで、パッチの適時適用を前提とした運用設計を行う
- 攻撃の高度化や自動化の状況を踏まえて、その運用設計を見直す
- 迅速な適用の要否を判断したうえで、脆弱性対策計画を策定し実施する
- 迅速な適用が必要な場合は、情報システムの運用の一時停止も検討する
最後の1点は、運用の設計に影響します。運用の一時停止が選択肢に入る以上、停止の判断基準、承認の取得、利用部門への通知の手順をあらかじめ定めておく必要があります。
統一基準側でも、脆弱性対策の状況を定期的および適時に確認し、対策が講じられていない状態や新たな脆弱性情報を把握した場合に、情報システムへの影響を考慮したうえで脆弱性対策計画を策定して措置を講ずることが遵守事項とされています（※2）。
主体認証の強化とゼロトラストへの対応
令和8年6月の改定では、基幹システム等において、インシデントにつながるおそれのある強い権限を持つ主体に対し、原則として多要素主体認証方式を導入することが示されました（※3）。多要素主体認証とは、指紋認証とパスワード認証のように、2つ以上の認証方式を組み合わせた認証を指します（※4）。
統一基準の第7部には、ゼロトラストアーキテクチャの節が置かれています。動的なアクセス制御を実装する場合の対策として、対象リソースの識別、導入方針の策定、アクセス制御ポリシーの作成が遵守事項に定められています（※2）。テレワークの節でも、リモートアクセスに対する多要素主体認証、接続できる端末の限定、脆弱性対策や不正プログラム対策が施された端末への限定が求められます（※2）。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和8年6月）第3部～付録」
※2 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
※3 参考：内閣官房 国家サイバー統括室│「『政府機関等の対策基準策定のためのガイドライン（令和7年度版）』の一部改定（令和8年6月12日）のポイント」
※4 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和7年9月5日）のポイント」
統一基準への対応で最初に着手すること
着手の順序は、学習資料での全体像の把握と担当部の精読、脆弱性対策が運用として機能しているかの確認、そして診断手法の選択です。全文を通読する必要はありません。
学習資料で全体像をつかんでから該当部を読む
国家サイバー統括室は、統一基準群学習資料を公開しています。文書体系や各部の内容を説明した教材で、新たに情報セキュリティ関係の業務に携わる担当者の理解を促す目的で作られています（※1）。遵守事項から入るより短時間で構造を把握できます。
そのうえで、ガイドラインの最新版を入手してください。ファイル名に改定年月を含めて社内で共有すると、版のずれを防げます。読む範囲は、第1部の格付の定義に加えて、調達なら第4部と第5部、開発や運用なら第6部と第7部に絞れます。
脆弱性対策が運用として機能しているかを確かめる
令和8年6月の改定で全情報システムに求められることになった脆弱性対策は、早めに現状との差を確認する価値があります。
ガイドラインは、情報システムセキュリティ責任者に求める脆弱性対策の状況の定期的な確認を支援するため、情報セキュリティ対策推進体制がソフトウェアの脆弱性情報の公開状況を確認し、情報システムセキュリティ責任者と情報共有を行うことを想定しています（※2）。脆弱性情報が届く経路と、届いた情報を判断する責任者が決まっているかが、まず確認すべき点になります。
そのうえで、統一基準が求める脆弱性対策計画の策定と措置が、実際に回っているかを見ます。規程が存在するかどうかではなく、この一連の流れが機能しているかどうかが問われます。統一基準は、自己点検と情報セキュリティ監査によって実施状況を確認し、結果を踏まえて対策を見直すPDCAを求めているためです（※3）。
診断は自動と手動を組み合わせて実施する
脆弱性の把握には、診断の実施が欠かせません。統一基準は、ウェブアプリケーションの開発において、セキュリティ要件として定めた仕様に加えて既知の種類の脆弱性を排除する対策を講ずること、運用中のアプリケーションやコンテンツについて定期的に脆弱性対策の状況を確認することを求めています（※3）。
脆弱性診断は、監査の手段にとどまらず、脆弱性対策そのものの基本対策事項としても規定されています。ガイドラインは、インターネット向けにサービスを公開しているサーバ装置や直接インターネットから到達可能なサーバ装置、端末、通信回線装置について、設置または運用開始時に脆弱性診断を実施することを基本セキュリティ対策としています。さらに追加セキュリティ対策として、運用時の定期的な診断や、ペネトレーションテスト、TLPT（脅威ベースのペネトレーションテスト）といった高度な診断の実施を検討することが示されています。
診断は、統一基準群のなかでは監査の手段としても位置づけられています。ガイドラインは、情報セキュリティ監査を実施するに当たっての監査技法の例として、情報システムに対する脆弱性診断またはペネトレーションテストを挙げています（※2）。ペネトレーションテストとは、情報システムに対して疑似的な攻撃を実施し、実際に侵入できるかどうかの観点で検証を行う脆弱性診断の手法です（※2）。手法の違いはペネトレーションテストの解説記事にまとめています。
内製と外部委託のいずれで実施する場合も、手法の選び方には注意が必要です。ツールによる自動診断は、既知のパターンに合致する脆弱性を短時間で網羅する用途に向いています。一方、認可制御の不備や業務ロジックの欠陥のように、そのシステムの仕様を理解しないと判断できない問題は、自動化された検査では見落とされやすい領域です。近年はAIを用いた自動診断も登場していますが、検出結果の妥当性や見落としの有無を評価する責任は利用する側に残ります。第三者へ説明責任を負う政府調達の場面では、この点が課題になります。
そのため、自動診断で網羅性を確保しつつ、技術者による手動の脆弱性診断やペネトレーションテストを組み合わせる形が現実的です。診断を外部に委託する場合は、経済産業省が策定した情報セキュリティサービス基準への適合状況が判断材料になります。同基準に適合したサービスはIPAが適合サービスリストとして公開しており、ペネトレーションテストサービスは脆弱性診断サービスのオプション区分として設けられています（※4）。ガイドラインでも、監査業務やデジタルフォレンジックを外部事業者に請け負わせる際に、この基準とリストを活用することが考えられると記載されています（※2）。
事業者を選ぶときは、リストへの登録状況に加えて、手動診断の実績と報告書の粒度を確認してください。検出した脆弱性の再現手順と影響範囲まで記載された報告書であれば、そのまま脆弱性対策計画の根拠として使えます。
※1 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準群」
※2 参考：内閣官房 国家サイバー統括室│「政府機関等の対策基準策定のためのガイドライン（令和7年度版）の一部改定（令和8年6月）表紙～第2部」
※3 参考：内閣官房 国家サイバー統括室│「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」
※4 参考：IPA│「情報セキュリティサービス基準適合サービスリスト」
まとめ：改定を追い脆弱性対策の運用を点検するのが大切
政府機関等のサイバーセキュリティ対策のための統一基準は、統一規範とガイドラインを含む3文書の体系のなかで、遵守事項を担う位置にあります。実務で手元に置くのはガイドラインの最新版で足り、統一基準の内容もあわせて確認できます。なお、ガイドラインは表紙〜第2部と第3部〜付録の2ファイルに分かれて配布されています。
最新版を確認するときは、年度版の表記だけでなく改定年月まで見てください。統一基準は令和7年度版のまま、ガイドラインが令和7年9月と令和8年6月に一部改定されています。とくに令和8年6月の改定で、全ての情報システムにセキュリティパッチの適時適用を前提とした運用設計が求められた点は、担当するシステムの区分を問わず関わってきます。
次の一歩として、担当する情報システムの脆弱性対策が、情報の入手から計画の策定、措置、検証まで一続きで回っているかを確認してください。差分が見つかった場合は、自動診断と手動の脆弱性診断やペネトレーションテストを組み合わせて実態を把握したうえで、対策計画に落とし込む進め方が確実です。
この記事を監修した人
成田 大輝
CEO
株式会社ウェヌシスのCEOとして、情シス向けのオンライン研修事業やオウンドメディアの発信を手がけている。 また、株式会社映せばのCIOとして、ベンチャー企業の情報整備やシステム開発、情報セキュリティ対策まで幅広く携わっている。
-1.png)
