情報セキュリティマネジメント 2016年 春期 午前（科目A） 問48

提案依頼書（RFP）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 図の流れを確認する（上から下へ a → b → c → d）。
2. 各段階の説明を短く言い換える：
   • a：まず情報提供を求める（何が必要かの漠然とした情報収集）
   • b：条件を示して具体的な提案を求める
   • c：提案を比較して調達先を決める
   • d：役割・責任を文書で確認して合意する（契約）
3. 「提案を求める」段階に該当する文書・用語を選ぶ → RFPを選ぶ。

選択肢別の誤答解説

• ア: RFI
  • RFIは Request for Information（情報提供依頼書）で、検討段階でベンダから一般的な情報や能力を聞くためのものです。質問のaに相当するフェーズで使われ、価格や具体提案を求める段階ではありません。よってbには不適切です。
• イ: RFP
  • RFP（Request for Proposal：提案依頼書）は、要求事項や調達条件を示してベンダに提案書の提出を求める文書です。問題文のbの説明と一致します。評価基準や回答期限も明記して、ベンダから具体的な解決案と見積りを受け取ります。
• ウ: 供給者の選定
  • これは行為（誰を採用するか決めること）であり、図のcに当たります。bは選定前に提案を集める段階なので選定そのものではありません。
• エ: 契約の締結
  • これは発注者と調達先が役割や責任を文書で確認して合意する段階であり、図のdに対応します。bの「提案を依頼する」段階とは別です。

よくある誤解

1. RFIとRFPを混同する
   • 「情報を集める＝RFI」と「提案・見積りを求める＝RFP」は目的が違います。RFIはまだ候補を絞る前の探索段階、RFPは具体的な比較検討のための提案収集段階です。
2. RFPを出しただけで契約になると思う
   • RFPは提案を得るための文書であり、契約書ではありません。提案受領→評価→交渉→契約締結、という流れが必要です。
3. RFPに価格だけ書けばよいと思いがち
   • RFPには機能要件、非機能要件（性能・可用性・セキュリティ）、評価基準、納期なども明記します。価格だけでは比較できません。

補足コラム

• 調達の目的・背景（何を解決したいか）
• 提案対象の範囲（含む・除外する事項）
• 機能要件（業務フロー、必要な機能）
• 非機能要件（性能、可用性、拡張性）
• セキュリティ要件（データ分類、アクセス制御、暗号化、インシデント対応）
• 運用・保守の要件（SLA：Service Level Agreementの目標値）
• 評価基準と配点（技術、コスト、納期、保守など）
• 回答フォーマットと期限、問い合わせ窓口
• NDA（秘密保持契約）の有無

FAQ