JPNICにおけるセキュリティ管理のあり方に関する調査委託企画コンペ実施要領

JPNICにおけるセキュリティ管理のあり方に関する調査委託
企画コンペ実施要領

１．委託業務名

JPNICにおけるセキュリティ管理のあり方に関する調査委託

２．業務の目的・内容等

別紙の通り。

３．提出書類

企画書	３部
概要見積書	１部
会社概要（すでに受領している場合には不要）	１部
認証関連のシステム開発、コンサルティングの実績一覧	１部

４．企画書の記載事項

企画書には、以下の事項を合計数ページ以内で記載することとする。

(1)基本方針

(2)アプローチ・分析方法

(3)スケジュール

(4)作業体制

(5)見積内訳

５．説明会

本件についての説明会を以下の日時にて執り行う。参加希望者は下記の要領にて、参加申し込みを事前に行っておくこと。

日時:	平成１０年１０月１２日（月）１５：００～１７：００
場所:	東京都千代田区神田小川町１－２風雲堂ビル３Ｆ JPNIC 事務局会議室Ａ
申込方法:	参加希望組織名、参加希望者人数を明記の上、「セキュリティ調査委託業務説明会参加希望」と記述した電子メールを koubo@nic.ad.jp 宛に送付する。

※ただし、説明会に出席しない場合でも応募は可とするが、その場合は連絡先を明記の上、「企画書提出希望」と記述した電子メールをkoubo@nic.ad.jp 宛に送付すること。

６．企画書提出方法

「セキュリティ業務企画書在中」と朱で表記のうえ、下記まで、郵送または宅急便にて送付（当日必着）。

101-0052東京都千代田区神田小川町１－２風雲堂ビル３Ｆ: 日本ネットワークインフォメーションセンター（JPNIC）事務局宛

７．企画書提出期限

平成１０年１０月２６日（月）

８．採用業者の選定

企画の内容を審査し、必要に応じてヒアリングを行った上で、採用業者を決定し、通知する。

９．その他

(1)提出期限までに企画書が提出されない場合は、棄権とみなす。

(2)提出された書類は返却しない。

(3)企画コンペの参加に係る費用は、参加者の負担とする。

別紙

JPNICにおけるセキュリティ関連業務のあり方に関する調査委託業務
委託仕様書

１．委託業務名

JPNICデータベースに関する認証業務のあり方に関する調査委託業務

２．背景

JPNICでは、インターネット・ユーザの利便性を図るため、JPNICがIP・ドメインネーム取得申請等において収集した各種データをデータベース化し、インターネット上で公開してきた。

しかし、情報の中には、個人の自宅電話番号等、個人情報に関わるものも含まれており、一部の情報は適切なアクセス管理が必要となっている。また現状では、各種データの更新（技術担当者の交代等）に関しては、プロバイダ等からの電子メールに基づいて行っているが、この際になりすましによる虚偽の申請を排除できるよう、適切な本人認証が必要となっている。

JPNICでは、このような状況を鑑み、IP、ドメイン等の情報のアクセス・更新に際し、何らかの方法で本人認証を行う方法を検討しているところである（現在、セキュアWeb を利用したJPNICデータベースへのアクセス・更新についてテストを実施中）。ただし、認証の対象となる機関は、JPNIC会員（約250組織）及びその他の登録者（約 8万5千組織または個人）と数多く、それらの本人確認をどのように行うかについては充分な検討が必要である。また、個人や企業の登録者の委託を受けたプロバイダが代行してデータ更新を行うことも可能とする必要がある。

そこで、JPNICが管理するIP、ドメイン等のデータベースへの既存登録者のアクセス・更新時における認証システムとしてどのような選択肢があるのか、またそれらをJPNIC の実情を基に評価した場合、それぞれどのようなメリット・デメリットがあるのかについて、検討を行うこととした。

３．委託業務の内容 (1)JPNICデータベースに対する認証技術の適用形態の検討 新規申請者及び既存の登録者の本人確認を行い、公開鍵証明書を発行し、JPNICデータベースの運用において認証を行う方式に関し、現状で考え得る方法を洗い出し、それぞれについて情報システム、体制を含めた運用イメージを作成する。 (2)各運用方式の比較評価 上記(1)で示された各運用方式に関し、それぞれの利点、欠点、想定コスト等の評価指標を設定し、比較評価を行う。 (3)会議への出席 JPNICが本件に関し、開催している検討会議（月１～２回程度開催）に担当者（１～２名）を出席させ、アドバイス等の支援（その場で対応できるレベル）を行う。 注）なお、JPNICデータベースの内容が変更されても整合性に問題が生じないように、本調査ではJPNICデータベースの詳細まで踏み込まないこととする。JPNICデータベースのデータを報告書の中で取り上げる場合には、特性に応じて下記４. の(5)～(7)の用語で代替、または必要に応じて定義した用語を使用することとする。

４．用語の定義

用語については統一し、必要があれば定義すること。ただし、以下の用語については以下の定義を使用すること。

(1)新規申請: ＩＰやドメインの新規取得に係る申請であり、プロバイダ等、既に登録を行っている者が第三者の委託を受けて、代行申請を行う場合もこれに含める。
(2)更新申請: 既に登録されているＩＰやドメイン等の情報の更新に係る申請であり、委託を受けた第三者のデータの更新も含まれる。
(3)代行申請／代行新規申請／代行更新申請: 第三者の委託を受けて行う、新規申請／更新申請。
(4)既存の登録者: 既にＩＰやドメインを登録している者（JPNICデータベースの自己のデータを参照する者を指す場合等に使用）。
(5)ユーザ更新データ: 既存の登録者が、直接、更新することができるデータ。
(6)JPNIC更新データ: 既存の登録者の更新申請内容をJPNIC担当者が確認を行った上で更新するデータ。なお、新規申請においては、全てのデータがこれに該当する。
(7)JPNIC管理データ: JPNIC担当者が管理する情報で、既存の登録者には更新権限がないデータ。

５．委託期間