64項目の要求リストは、全部書く表ではない

システムを新しくするとき、決めることはいくつもあります。クラウドにするかオンプレミスにするかも、その一つです。

どちらにするかを決めるために、クラウドサービスや機器を並べて、機能と価格を比べます。その表を作る前に、導入する条件を決める順番が、公のガイドに書いてあります。

この記事で扱う範囲

IPAが「重要情報を扱うシステムの要求策定ガイド」を出しています。2026年7月27日にVer.1.1へ改訂されました（IPA、要求策定ガイドのページの更新履歴）。

ガイドが名指ししている対象は、通信や電力のように、止まると社会に影響が及ぶシステムです。例として挙がっているのは、通信網と付帯設備、電力供給に係わるシステム、災害影響予測システム、鉄道運行管理システムです（同ガイド、4.1 対象システムの例）。

導入する条件を、ガイドは「要求」と呼びます。調達先に指示するものが要求で、自社で構築・運用する場合は「ベンダーに指示する要求を自らが行う要件として読み替えが必要となる」と書いてあります（同ガイド、1.3 本ガイドの利用シーンとステークホルダー）。ここから先は、ガイドの言葉に合わせて要求と書きます。

要求項目の中身は、上の対象を前提に書かれています。そのまま自社の調達仕様書に写すものではありません。ここで扱うのは、条件を決める順番のほうです。止まったときに何が困るかを先に決めて、それから項目を選ぶ。この順番は、ガイドの対象でないシステムでも参考になると思います。

要求項目は64、問題・リスクは56

ガイドは項目に番号を振っています。「関係者間で問題・リスクや対策に対して会話しやすくするように、「問題・リスク」項目ごとに番号(P1~U8)を、「対策(要求項目)」項目ごとに番号（A1~F-7)付与している」と書かれています（同ガイド、2.1.3 問題・リスクの選定方法）。

番号を数えると、対策（要求項目）が64、問題・リスクが56ありました（同ガイド、2.2 自律性確保のための要求項目一覧と2.3 利便性確保のための要求項目一覧の番号を当社が数えた。欠番なし）。

上の五つを合わせた57が自律性の確保で、残る7が利便性の確保です（同ガイド、2.2と2.3の番号を当社が合計）。問題・リスクの56も同じ五つと利便性に分かれ、自律性が48、利便性の要素が8です（同ガイド、2.2と2.3の樹形図の番号を当社が数えた）。

ガイドは、全部書くことを求めていない

64項目は一覧ですが、そのまま調達仕様書に写す表ではありません。ガイドは「要求項目は、システムの特性により異なり一律とならないため、管理者自らが必要な項目を取捨選択し、要求項目を策定できるものとした」と書いています（同ガイド、1.2 本ガイドの目的と位置づけ）。

選ぶ手順は、三つのステップに分かれています（同ガイド、2.1.1 要求項目の策定ステップ）。

• システムの特性を評価する
• 問題・リスクと、利便性の要素を選ぶ
• 必要な対策を選ぶ

64項目に手を付けるのは、三つ目のステップです。一つ目と二つ目を飛ばして項目を選ぶと、何を落としたかを説明できなくなります。

先に決めるのは、九つの評価

一つ目のステップの特性評価は、九つの項目です（同ガイド、2.1.2 システムの特性評価方法）。自律性に五つ。

• データの内容・種類
• データ数（≒データの漏洩による影響）
• 漏洩・改ざん後、取返しがつく/つかない
• データの利用不可・システムの停止などによる影響
• 即時的な代替手段の有無

利便性に四つ。

• 新機能のリリース頻度（≒システム構成の変更頻度）
• 業務のピーク特性
• 先進標準技術への追随（≒レガシー化のリスク）
• ポータビリティの確保（≒ベンダーロックインのリスク）

この九つで決めるのは、優先することです。「データの漏洩・改ざんなどの防止」を優先するのか、「データの利用不可・システム停止などの防止」を優先するのか、または両方なのかを見極める、とガイドは書いています（同ガイド、2.1.1）。

九つは、どれも自社の状況を答えるものです。自社のデータが何件あるか、止まったときに代わりの手があるか、繁忙期に業務量が何倍になるか。答えられるのは自社だけです。

対策は、単品では選べない

三つ目のステップでも、項目を一つずつ拾う形になっていません。ガイドは「対策の項目間で関連性があるものに対しては、関連性を踏まえたうえで対策を選定する」と書いています（同ガイド、2.1.4 必要な対策の選定方法）。

例に挙がっているのは、データの暗号化にまつわる四つです（同ガイド、2.1.4）。

• A-3 データの暗号化の確保
• A-4 暗号鍵の安全・分離保存
• A-5 暗号鍵のハードウェア分離
• A-6 暗号鍵管理の組織分離

ガイドの書き方はこうです。「A-3を前提としてA-4も実施すべきか、さらに、A-3、A-4を前提としてA-5やA-6まで実施すべきかは、対策の目的を踏まえたうえで判断する」（同ガイド、2.1.4）。

暗号化していますという答えは、この四つのどこまでかを言っていません。下から積み上げるほど、要求も費用も変わります。

11項目は、サービスや機器ではなく契約と体制で決まる

64項目のうち、対策の目的か要求項目の本文に「日本法」または「日本国内」が出てくるものを数えると、11項目ありました（同ガイド、2.2の対策一覧で語の有無を当社が数えた）。運用にB-1からB-5の五つ、ソフトウェアにC-7とC-9、データセンター・通信にE-1、E-2、E-3、E-8です。

中身は、たとえばこうです（同ガイド、2.2 自律性確保のための要求項目一覧）。

• B-1 運用体制への国内法の強制 ──「運用者は日本法によって設立された法人であること」
• E-8 通信経路の信頼性確保 ──「日本国内に閉じた通信路が少なくとも1経路確保されていること」

これらは契約と体制の話です。サービスや機器の機能と価格を比べる表を作っても、この11項目は空欄のまま残ります。埋めるには、契約書に何と書くか、運用をどこに置くかを決めることになります。

明日からできること

決めるのは、九つの評価のうち二つです。

止まったときに、代わりの手があるか。そして、漏れることと止まることのどちらを先に防ぐか。

この二つは、一つ目のステップにある「即時的な代替手段の有無」と、優先する内容の見極めに当たります（同ガイド、2.1.1と2.1.2）。どちらも、サービスや機器を調べて出る答えではありません。

決まっていれば、64項目のうちどれを要求し、どれを落とすかを説明できます。決まっていないと、選ぶ材料がベンダーの出した一覧だけになります。

ガイドは、要求仕様を誰が書くかについても三つの場合を挙げています。そのうちの一つが「委託先(コンサルなど)が調達仕様書を策定する場合」です（同ガイド、1.3 本ガイドの利用シーンとステークホルダー）。ただし九つの評価に答えるのは、どの場合でも自社です。