政府機関向け契約に基づくActive Directory保守

課題の背景

本件は、機関がすでに使用しているActive Directoryシステムの保守業務であり、新規システムの導入ではありません。利用者は、コンピューターへのログインや、連携する業務システムでの本人認証の際に、このシステムを経由する必要があります。

要件と制約

本件の主な制約は、各期に機関が検収するための証拠が必要であること、そしてシステム情報を機密にする必要があることです。保守業務には検査できる成果物がないため、報告書が各期の業務を検収するための手段となります。

• 各期の業務には、検収の資料とするため、契約で定められた形式の報告書が必要です。
• 問題の修復は契約範囲内で行う必要があります。
• ユーザーアカウント管理ソフトウェアのライセンス更新は、期限までに完了する必要があります。
• 機関のデータとシステム設定は、報告書内でも外部とのコミュニケーションでも機密にする必要があります。

なぜ保守契約ではPM業務とCM業務を分ける必要があるのか

契約でPM業務とCM業務を分ける必要があるのは、両者の開始のきっかけと成果の測り方が異なるためです。PM（Preventive Maintenance、予防保全）は事前に計画した周期で行う点検業務です。一方、CM（Corrective Maintenance、問題発生時の修復）は機関から問題の連絡があった時点で始まります。両者を分けることで、各期の報告書で、計画に沿って何を点検し、連絡を受けて何を修復したかを明確に示せます。

システム設定の見直しとソフトウェアライセンス更新は、点検のたびに発生するものではありません。そのため、業務範囲ではこれらを独立した項目として分けています。以下の手順は、契約範囲に基づく主要業務です。

1. 1

   定期システム点検（PM）

   契約で定められた周期でユーザーアカウントシステムの動作を点検し、結果を報告書に記録します。

2. 2

   連絡を受けて行う修復（CM）

   機関から問題の連絡を受け、契約範囲に基づいて修復し、修復作業を報告書に記録します。

3. 3

   システム設定の見直し

   業務範囲に基づいてユーザーアカウントシステムの設定を見直し、結果を機関に報告します。

4. 4

   ソフトウェアライセンス更新

   契約の定めに従い、ユーザーアカウント管理ソフトウェアのライセンスを更新します。

納入物

契約範囲に基づく納品物は、保守サービスと期ごとの報告書で、内容は次のとおりです。

• 定期システム点検サービス（PM）
• 契約範囲に基づく、連絡を受けて行う修復サービス（CM）
• システム設定の見直しと結果報告
• ユーザーアカウント管理ソフトウェアのライセンス更新
• 契約の期ごとのPM・CM報告書

これらは契約に基づく範囲です。各期に提出する報告書の詳細は確認待ちです。

確認できた成果

書類から確認できるのは、契約の期ごとの請求です。当社は各期の業務に関する請求書と領収書を保有しています。機関の契約情報は機密とする必要があるため、このページでは金額と書類番号を表示していません。

当社が保有する書類には、システムの稼働時間や修復した問題の件数といった測定値は含まれていません。そのため、当社は業務範囲と納品状況のみを報告します。

私たちが学んだこと

本件から得られた重要な原則は、業務範囲で定期業務と修復業務を分けること、そして各期に合意した納品の証拠を用意することです。原則の全体は次のとおりです。

• 業務範囲では、定期業務、連絡を受けて行う修復業務、そしてシステム設定の見直しやソフトウェアライセンス更新のように毎回は発生しない業務を分ける必要があります。報告書は各期の業務の証拠となるため、それぞれに独自の報告形式を設けるべきです。
• 各期の納品の証拠を契約で定めておきます。たとえばPM・CM報告書や検収書類です。保守業務には後から検査できる成果物がないためです。
• セキュリティ関連の業務では、どの情報を公開できるかを最初に合意しておく必要があります。外部向けの報告や実績紹介で伝えるのはサービス範囲までとし、システムの構成や設定には触れないようにすべきです。

このアプローチを貴組織のユーザーアカウントシステムにどう適用できるか

貴組織がActive Directoryを使用していて保守契約を必要とする場合、本事例の主要業務の分け方を出発点として利用できます。調整が必要なのは、点検周期、範囲に含めるシステムの一覧、貴組織で必要な報告形式です。

• 範囲に含めたいシステムとソフトウェアの一覧を、ライセンスの期限とあわせて準備します。
• 作業開始前に、サービス提供者によるシステムとデータへのアクセス条件を合意します。
• 各期の報告形式と検収書類を、契約の段階で明確に定めます。