公共・官公庁業界の案件で気をつけたい規制とセキュリティのルール｜政府統一基準・ISMAP・自治体ガイドライン

公共・官公庁の案件では、国の機関は「政府機関等のサイバーセキュリティ対策のための統一基準群」、クラウドは「ガバメントクラウドが原則、それ以外はISMAP等のリストから選ぶ」という方針、自治体は総務省の「情報セキュリティポリシーに関するガイドライン」と三層の対策が、ルールの土台になっています。加えて、行政機関等から個人情報の取扱いを委託された業務には、個人情報保護法の安全管理の義務が委託先にも及びます。

フリーランスが現場で直接従うのは、発注者や契約先が定めた規程や手順です。ただ、その規程の元になっている基準を知っていると、なぜその決まりがあるのかが分かり、設計や運用の提案もしやすくなります。この記事では2026年10月時点の公式資料をもとに整理します。案件の種類は公共のIT案件の記事、調達の流れは業務知識の記事で扱います。

公共案件のルールは「国・クラウド・自治体・個人情報」の4層

国の機関：政府統一基準群

国家サイバー統括室のページでは、統一基準群は、国の行政機関と独立行政法人等（政府機関等）の情報セキュリティ水準を高めるための統一的な枠組みとされています。情報セキュリティの基本的な水準（ベースライン）と、より高い水準を確保するための対策事項を定めています。

2026年10月時点の最新版は令和7年度版で、2025年6月27日に決定されています。構成は次の3つです。

• 統一規範：基本的な枠組み
• 統一基準：各機関が守る事項（遵守事項）
• 対策基準策定のためのガイドライン：遵守事項を満たすための対策の例と考え方。2026年6月に一部改定されている

あわせて、「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」や「外部委託等における情報セキュリティ上のサプライチェーン・リスク対応のための仕様書策定手引書」などの個別マニュアルも公開されています。府省の案件では、こうした資料を元にしたセキュリティ要件が調達仕様書に入り、受注した事業者を通じて作業者にも求められます。

クラウド：ガバメントクラウドとISMAP

デジタル庁の基本方針（DS-310、2025年5月27日決定）は、政府情報システムでクラウドサービスの利用はガバメントクラウドを原則とし、使わない場合は、セキュリティの観点からISMAPクラウドサービスリストまたはISMAP-LIUクラウドサービスリストに登録されたものを原則として選定するとしています。

ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録し、政府のクラウドサービス調達のセキュリティ水準を確保して、円滑な導入に役立てる制度です。総務省の報道資料によると、2020年に運用が始まりました。ISMAP-LIUは、リスクの小さな業務・情報の処理に使うSaaSを対象にした仕組みで、ISMAPとは評価・登録の方法が異なります。

作業者として気をつけたいのは、業務で使うツールを自分で選ばないことです。ファイル共有、チャット、生成AIなどのサービスを、使い慣れているからと業務の情報に使うと、こうした方針から外れるおそれがあります。使ってよいサービスは、契約先の指示で確かめてください。

自治体：総務省ガイドラインと三層の対策

ガイドラインの位置づけ

総務省の概要資料（令和8年度）によると、「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、自治体のセキュリティ対策の指針として総務省が策定し、年度ごとに改定しているものです。政府統一基準の改定内容も反映されています。各自治体は、これを参考に自分の情報セキュリティポリシーを定めます。そのため、実際に守るルールは自治体ごとに違います。

2026年3月の改定では、2024年の地方自治法の改正（令和6年法律第65号）で総務大臣が指針を示すことになったのに伴う見直し、機器の廃棄・データ消去の規定の見直し、USBメモリ等の利用のリスクへの対処などが反映されています。

三層の対策

自治体の情報システムは、「三層の対策」で強靱性を高めるとされています。

1. マイナンバー利用事務系：社会保障、地方税、防災、戸籍事務などのシステムとデータ。端末からの情報の持ち出しを不可にする設定などで、住民情報の流出を防ぐ。他の領域との通信は原則としてできないようにする
2. LGWAN接続系：インターネット接続系と分割して、LGWANの環境の安全を確保する
3. インターネット接続系：都道府県と市区町村が協力して構築した自治体情報セキュリティクラウドで、高度な対策を行う

作業者にとっては、どの領域で作業するかによって、使える端末、持ち込める機器、データの受け渡しの方法が大きく変わります。たとえばマイナンバー利用事務系での作業では、データを持ち出せない前提で作業の段取りを組む必要があります。

業務委託とクラウドの扱い

ガイドラインは、システムの開発・運用・保守を外部の事業者に委託する場合、要求事項を調達仕様書等に明記して契約条件とすること、委託業務特有の対策も契約で明確にすることを示しています。委託先のセキュリティ要件の遵守状況を「外部委託先に関するセキュリティ要件のチェックシート」で確かめることや、委託先への監査が行われる場合があることも書かれています。

また、住民の個人情報は自治体機密性3に分類されており、不特定多数向けに画一的な規約だけで提供されるクラウドサービスでは、原則として自治体機密性2以上の情報を扱えないとされています。

個人情報：委託先にも及ぶ義務

個人情報保護法第66条第1項は、行政機関の長等に、保有個人情報の安全管理のために必要かつ適切な措置を講じる義務を定めています。同条第2項は、この規定を、行政機関等から個人情報の取扱いの委託を受けた者が行う業務にも準用し、二以上の段階にわたる委託を受けた者も対象に含めています。

第67条は、こうした委託業務に従事している者や従事していた者が、業務で知り得た個人情報の内容をみだりに他人に知らせたり、不当な目的に利用したりしてはならないとしています。第176条には、正当な理由なく個人の秘密に属する事項が記録された個人情報ファイルを提供した場合の罰則（2年以下の拘禁刑または100万円以下の罰金）があります。

再委託の先で働くフリーランスも、業務の内容によってはこれらの対象になりえます。自分が対象になるかどうかの判断は契約や業務の内容によるため、個別のケースは契約先や専門家にご確認ください。民間の案件も含めた委託契約の条項の見方は個人情報を扱う業務の記事で解説しています。

作業者として確かめておくこと

参画の前後に、次の点を契約先に確かめておくと安心です。

• 作業する領域（府省のネットワーク、自治体の三層のどこか、受注事業者の環境か）
• 使ってよい端末・ツール・クラウドサービス
• 作業場所と、リモートで作業できる範囲
• データの受け渡しと持ち出しの手順、持ち込める機器
• 秘密保持と個人情報の取扱いの条項、再委託に関する承認の手続き
• 事故や漏えいの疑いがあったときの報告先

取引先の規程に従う必要があるかどうかの考え方は取引先のセキュリティ規程の記事、秘密保持契約の確認点はNDAの記事、自宅で作業する場合の対策は自宅の情報セキュリティの記事で扱います。

よくある質問

政府統一基準は、受注した事業者やフリーランスにも直接適用されますか？

統一基準群の対象は、国の行政機関と独立行政法人等です。ただし、その内容は調達仕様書のセキュリティ要件や契約の条件として、受注した事業者に求められ、作業者にも契約先の規程として求められます。どの要件が自分の作業に関わるかは、契約先にご確認ください。

ISMAPに登録されていないツールは、公共の案件では一切使えませんか？

一律には言えません。DS-310はガバメントクラウドを原則とし、使わない場合はISMAP等のリストに登録されたものを原則として選ぶとしていますが、例外の扱いも定めています。案件で使うツールは発注者側が判断するため、自分で選ばず、契約先の指示に従ってください。

自治体ごとにセキュリティのルールは違いますか？

違います。総務省のガイドラインは指針で、各自治体はそれを参考に自分の情報セキュリティポリシーを定めます。同じ標準化の案件でも、自治体によって作業場所や手順が変わることがあるため、参画先ごとに確かめてください。