ベンダーに確認すべき項目をまとめたセキュリティ質問票

2026年4月22日2026年8月20日

1. ツール概要

本チェックリストは、教育委員会等の各組織体が新たなクラウド機能、校務支援システム、学習アプリケーション等を調達・導入する事前フェーズ（または既存契約の更新時）において、「情報セキュリティおよび個人情報保護基準に関する事前監査（アセスメント）」の標準指標として活用するための質問項目リストです。以下に掲載している設問がすべてで、ファイルの配布は行っていません。

システム提供者（ベンダー）に対して本リストを用いた書面での回答提出を要件化することで、対象システムが「教育情報セキュリティポリシーに関するガイドライン」等の水準を充足しているかを、客観的かつ網羅的にスクリーニング評価（適格性審査）することが可能となります。

同じ課題を実際にどう減らしたかは、次のページで説明しています。
RFP作成と補助金の解説を見る

2. コンプライアンス管理における「質問票」運用の重要性

教育機関において「機能的利便性が高いから」という判断のみで、十分なセキュリティ機能を持たない無償ツール等が一部の現場主導で導入され、結果的に「クラウド上のサーバーで個人データ（児童生徒の顔写真等）が不適切に送受信されていた」「サードパーティによりデータが広告等に流用されていた」等の重大なインシデントへ発展する事例が存在します（※1）。
本機能を「システム導入段階の必須アセスメントプロセス」として定着させることで、情報漏洩リスクを抱えるシステムを事前にブロックできる効果に加え、万一のセキュリティインシデント発生時における「組織（教育委員会等）としての管理・監督義務（合理的な事業者選定基準を用いたか等）を果たしていたこと」を対外的に証明する記録・エビデンスとして機能します。

3. セキュリティ・監査評価チェックリスト（必須設問）

以下の項目群をExcel等の「評価シート（質問列）」へマッピングし、ベンダーに対し客観的なステータス（「Yes / No」等）および「具体的な実装仕様等の証跡（エビデンス）」の回答を要求します。これらの項目は、文部科学省「教育情報セキュリティポリシーに関するガイドライン（※1）」および、政府が推奨する安全対策基準（※2, ※3）に基づき最低限求められる基準を抽出したものです。

I. 組織的・人的な管理・ガバナンス体制

[ ] ISMS（ISO27001）などの情報セキュリティマネジメント認証、またはプライバシーマーク（Pマーク）等、客観的な第三者認証を取得し維持しているか。（根拠：※1、※2）
[ ] 社内従業員および委託先に対する、個人情報保護およびインシデント事例等のセキュリティ研修を定期的に（年1回以上）実施しているか。
[ ] 万が一のインシデント（個人情報の漏えい、システム障害）発生時の社内エスカレーション手順が明文化され、迅速に教育委員会等の発注者へ一次報告（例：24時間以内）が行われる体制が確約できるか。（根拠：※1 インシデント対応体制の整備）

II. 物理的・技術的な安全管理措置

[ ] サーバー等のデータセンター環境は、国内に設置されているか。海外の場合は、その国の法令によるデータ差し押さえ等のリスクに対する法務見解があるか。（根拠：※2 クラウド・セキュリティ・ガイドライン）
[ ] パブリッククラウドを利用している場合、ISMAP（政府情報システムのためのセキュリティ評価制度）に登録されている基盤（AWS, Google Cloud, Azure等）を利用しているか。（根拠：※3 クラウド・バイ・デフォルト原則とISMAP）
[ ] 教育委員会や学校が通信する際のデータ経路、およびサーバー上の保存データ（データベース・ファイル）は、適切に暗号化（SSL/TLS, AES-256等）されているか。
[ ] システム管理者の特権IDアクセスには、多要素認証（MFA）が義務付けられているか。（根拠：※1 ゼロトラストに基づくアクセス制御）

III. 教育データの取り扱いとプライバシー保護

[ ] 収集する学習指導データや個人履歴情報について、「広告目的での利用（サードパーティークッキー等によるトラッキング）」に流用しない旨が利用規約等に明記されているか。
[ ] 「教育データ標準」等への準拠や、LTI連携・API・CSV出力など、特定ベンダーにデータが囲い込まれない（ベンダーロックイン回避）ための出力・連携システムを備えているか。
[ ] 自治体との契約終了（または解約）時、当該自治体の蓄積データを適法かつ完全に削除・返還し、事業者側に残存させないフローが確立しているか（データ消去証明の提出など）。

4. 提出された回答の非機能要件評価（スコアリング）ロジック

この質問票を表計算ソフトに落として運用する場合は、「必須基準項目（例えば上記IIIにおけるデータの目的外利用禁止等）」に対してベンダー回答が「No」となったときに、条件付き書式などで要件未達（調達対象外の候補）であることが一目で分かる表示になるよう組んでおくと確認しやすくなります。
当該フラグ判定の対象となる「ベース必須項目」の定義範囲については、各自治体がそれぞれに定める「情報セキュリティポリシー」および組織のリテラシー基準等に基づき、導入前にパラメータのチューニング（調整）を行ってから運用してください。

ヒント
管理者、管理職、自治体の情報担当者の皆様へ
この質問票は「チェックが1つでも欠けていたら即座にNG」とするものではなく、「Noの場合はどのような代替措置、あるいは補完策を講じているか」を事業者に文章で説明させるためのヒアリング基盤としてご活用いただくことが推奨されます。また、システムの初期調達・契約時だけでなく、最低でも年次の定点報告としてベンダーに対し「運用状況の再報告と質問票の再提出」を義務付け、継続的に運用状況を把握できる体制にしておくと、契約後の変化に気づきやすくなります。

【活用推奨の公的チェックリスト事例】

IPA（情報処理推進機構）中小企業の情報セキュリティ対策ガイドライン（クラウドサービス安全利用の手引き・チェックリストを含む）

MEXT：教育情報セキュリティポリシーに関するガイドライン各種ひな形