○甲賀市情報セキュリティポリシー

平成28年2月10日

告示第4号

甲賀市情報セキュリティポリシー(平成19年甲賀市告示第76号)の全部を改正する。

第1章 情報セキュリティ基本方針

(目的)

第1条 この基本方針は、本市が保有する情報資産の機密性、完全性及び可用性を維持するため、本市が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。

(定義)

第2条 この告示において、次の各号に掲げる用語の意義は、当該各号の定めるところによる。

(1) ネットワーク コンピュータ等を相互に接続するための通信網、その構成機器(ハードウェア及びソフトウェア)をいう。

(2) 情報システム コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。

(3) 情報セキュリティ 情報資産の機密性、完全性及び可用性を維持することをいう。

(4) 情報セキュリティポリシー この基本方針及び情報セキュリティ対策基準をいう。

(5) 機密性 情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。

(6) 完全性 情報が破壊、改ざん又は消去されていない状態を確保することをいう。

(7) 可用性 情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。

(8) 情報セキュリティインシデント 情報セキュリティを脅かす事件や事故のことをいう。

(対象とする脅威)

第3条 情報資産に対する脅威として、次に掲げる脅威を想定し、情報セキュリティ対策を実施する。

(1) 不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃及び部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等

(2) 情報資産の無断持ち出し、無許可ソフトウェアの使用等の規程違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、外部委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等

(3) 地震、落雷、火災等の災害によるサービス及び業務の停止等

(4) 大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等

(5) 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等

(対象範囲)

第4条 このポリシーの適用範囲となる組織は、甲賀市個人情報保護条例(平成16年甲賀市条例第16号)第2条第2号に定める実施機関とする。

2 このポリシーの対象となる情報資産は、次に掲げる情報資産とする。

(1) ネットワーク、情報システム及びこれらに関する設備並びに電磁的記録媒体

(2) ネットワーク及び情報システムで取り扱う情報(これらを印刷した文書を含む。)

(3) 情報システムの仕様書及びネットワーク図等のシステム関連文書

(職員等の遵守義務)

第5条 甲賀市職員定数条例(平成16年甲賀市条例第18号)第1条に規定する職員、地方公務員法(昭和25年法律第261号)第22条の2第1項に規定する会計年度任用職員及び同法第28条の5第1項に規定する再任用短時間勤務職員(以下「職員等」という。)は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。

(情報セキュリティ対策)

第6条 第3条の脅威から情報資産を保護するために、次に掲げる情報セキュリティ対策を講じる。

(1) 組織体制 本市の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確立する。

(2) 情報資産の分類と管理 本市の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を行う。

(3) 物理的セキュリティ サーバ等、情報システム室等、通信回線等及び職員等のパソコン等の管理について、物理的な対策を講じる。

(4) 人的セキュリティ 情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。

(5) 技術的セキュリティ コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。

(6) 運用 情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産への侵害が発生した場合等に迅速、かつ、適切に対応するため、緊急時対応計画を策定する。

(情報セキュリティ監査及び自己点検の実施)

第7条 情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。

(情報セキュリティポリシーの見直し)

第8条 情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直す。

(情報セキュリティ対策基準の策定)

第9条 第6条から前条までに規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。

(情報セキュリティ実施手順の策定)

第10条 情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定するものとする。なお、情報セキュリティ実施手順は、公にすることにより本市の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。

第2章 情報セキュリティ対策基準

第1節 組織体制

(最高セキュリティ責任者)

第11条 副市長を、最高情報セキュリティ責任者(CISO:Chief Infomation Security Officer。以下「CISO」という。)とする。CISOは、本市における全てのネットワーク、情報システム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。

2 CISOは、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとして置き、その業務内容を定めるものとする。

(統括情報セキュリティ責任者)

第12条 総合政策部長を、CISO直属の統括情報セキュリティ責任者とする。統括情報セキュリティ責任者は、CISOを補佐しなければならない。

2 統括情報セキュリティ責任者は、本市の全てのネットワークにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。

3 統括情報セキュリティ責任者は、本市の全てのネットワークにおける情報セキュリティ対策に関する権限及び責任を有する。

4 統括情報セキュリティ責任者は、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者及び情報システム担当者に対して、情報セキュリティに関する指導及び助言を行う権限を有する。

5 統括情報セキュリティ責任者は、本市の情報資産に対する侵害が発生した場合又は侵害のおそれがある場合に、CISOの指示に従い、CISOが不在の場合には自らの判断に基づき、必要、かつ、十分な措置を行う権限及び責任を有する。

6 統括情報セキュリティ責任者は、本市の共通的なネットワーク、情報システム及び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任を有する。

7 統括情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者及び情報システム担当者を網羅する連絡体制を整備しなければならない。

(情報セキュリティ責任者)

第13条 内部部局の長、行政委員会事務局の長、議会事務局の長及び地方公営企業の長を、情報セキュリティ責任者とする。

2 情報セキュリティ責任者は、当該部局等の情報セキュリティ対策に関する統括的な権限及び責任を有する。

3 情報セキュリティ責任者は、その所管する部局等において所有している情報システムにおける開発、設定の変更、運用、見直し等を行う統括的な権限及び責任を有する。

4 情報セキュリティ責任者は、その所管する部局等において所有している情報システムについて、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約及び職員等に対する教育、訓練、助言及び指示を行う。

(情報セキュリティ管理者)

第14条 内部部局の課室長、内部部局の出先機関の長、行政委員会事務局の課室長、議会事務局の課室長、地方公営企業の課室長及び学校・その他教育機関の長を、情報セキュリティ管理者とする。

2 情報セキュリティ管理者は、その所管する課室等の情報セキュリティ対策に関する権限及び責任を有する。

3 情報セキュリティ管理者は、その所掌する課室等において情報資産に対する侵害が発生した場合又は侵害のおそれがある場合には、情報セキュリティ責任者、統括情報セキュリティ責任者及びCISOへ速やかに報告を行い、指示を仰がなければならない。

(情報システム管理者)

第15条 各情報システムの担当課室長等を、当該情報システムに関する情報システム管理者とする。

2 情報システム管理者は、所管する情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。

3 情報システム管理者は、所管する情報システムにおける情報セキュリティに関する権限及び責任を有する。

4 情報システム管理者は、所管する情報システムに係る情報セキュリティ実施手順の維持・管理を行う。

(情報システム担当者)

第16条 情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、見直し等の作業を行う者を、情報システム担当者とする。

(情報セキュリティ委員会)

第17条 本市の情報セキュリティ対策を統一的に行うため、情報セキュリティ委員会において、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。

2 情報セキュリティ委員会は、本市における情報セキュリティ対策の改善計画を策定し、その実施状況を確認しなければならない。

(兼務の禁止)

第18条 情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。

2 監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。

(情報セキュリティに関する統一的な窓口の設置)

第19条 CISOは、情報セキュリティインシデントの統一的な窓口の機能を有する組織を整備し、情報セキュリティインシデントについて部局等より報告を受けた場合には、その状況を確認し、自らへの報告が行われる体制を整備する。

2 CISOによる情報セキュリティ戦略の意思決定が行われた際には、その内容を関係部局等に提供する。

3 情報セキュリティインシデントを認知した場合には、その重要度や影響範囲等を勘案し、報道機関への通知・公表対応を行わなければならない。

4 情報セキュリティに関して、関係機関や他の地方公共団体の情報セキュリティに関する統一的な窓口の機能を有する部署、外部の事業者等との情報共有を行う。

第2節 情報資産の分類と管理方法

(情報資産の分類及び管理方法)

第20条 本市における情報資産は、機密性、完全性及び可用性により次のとおり分類し、必要に応じ取扱い制限を行うものとする。

(1) 機密性による情報資産の分類

分類

分類基準

取扱い制限

機密性3

行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性を要する情報資産

・支給以外の端末での作業の原則禁止(機密性3の情報資産に対して)

・必要以上の複製及び配布禁止

・保管場所の制限、保管場所への必要以上の電磁的記録媒体の持込み禁止

・情報の送信、情報資産の運搬・提供時における暗号化・パスワード設定や鍵付きケースへの格納

・復元不可能な処理を施しての廃棄

・信頼のできるネットワーク回線の選択

・外部で情報処理を行う際の安全管理措置の規定

・電磁的記録媒体の施錠可能な場所への保管

機密性2

行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報資産

機密性1

機密性3又は機密性2の情報資産以外の情報資産


(2) 完全性による情報資産の分類

分類

分類基準

取扱い制限

完全性2

行政事務で取り扱う情報資産のうち、改ざん、誤り又は破損により、住民の権利が侵害される、又は行政事務の適確な遂行に支障(軽微なものを除く。)を及ぼすおそれがある情報資産

・バックアップ、電子署名付与

・外部で情報処理を行う際の安全管理措置の規定

・電磁的記録媒体の施錠可能な場所への保管

完全性1

完全性2の情報資産以外の情報資産


(3) 可用性による情報資産の分類

分類

分類基準

取扱い制限

可用性2

行政事務で取り扱う情報資産のうち、滅失、紛失又は当該情報資産が利用不可能であることにより、住民の権利が侵害される、又は行政事務の安定的な遂行に支障(軽微なものを除く。)を及ぼすおそれがある情報資産

・バックアップ、指定する時間以内の復旧

・電磁的記録媒体の施錠可能な場所への保管

可用性1

可用性2の情報資産以外の情報資産


(情報資産の管理)

第21条 情報セキュリティ管理者は、その所管する情報資産について管理責任を有する。

2 情報資産が複製又は伝送された場合には、当該複製等された情報資産も前条の分類に基づき管理しなければならない。

(情報資産の分類の表示)

第22条 職員等は、情報資産についてファイル(ファイル名、ファイルの属性(プロパティ)、ヘッダー・フッター等)、格納する電磁的記録媒体(CD―Rのラベル等)、文書の隅等に情報資産の分類を表示し、必要に応じて取扱い制限についても明示する等、適切な管理を行わなければならない。

(情報の作成)

第23条 職員等は、業務上必要のない情報を作成してはならない。

2 情報を作成する者は、情報の作成時に第20条の分類に基づき、当該情報の分類と取扱い制限を定めなければならない。

3 情報を作成する者は、作成途上の情報についても、紛失や流失等を防止しなければならない。また、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。

(情報資産の入手)

第24条 内部の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。

2 外部の者が作成した情報資産を入手した者は、第20条の分類に基づき、当該情報の分類と取扱い制限を定めなければならない。

3 情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュリティ管理者に判断を仰がなければならない。

(情報資産の利用)

第25条 情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。

2 情報資産を利用する者は、情報資産の分類に応じ、適切な取扱いをしなければならない。

3 情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体を取り扱わなければならない。

(情報資産の保管)

第26条 情報セキュリティ管理者又は情報システム管理者は、情報資産の分類に従って、情報資産を適切に保管しなければならない。

2 情報セキュリティ管理者又は情報システム管理者は、情報資産を記録した電磁的記録媒体を長期保管する場合、書込禁止の措置を講じなければならない。

3 情報セキュリティ管理者又は情報システム管理者は、利用頻度が低い電磁的記録媒体や情報システムのバックアップで取得したデータを記録する電磁的記録媒体を長期保管する場合、自然災害を被る可能性が低い地域に保管しなければならない。

4 情報セキュリティ管理者又は情報システム管理者は、機密性2以上、完全性2又は可用性2の情報を記録した電磁的記録媒体を保管する場合、耐火、耐熱、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。

(情報の送信)

第27条 電子メール等により機密性2以上の情報を送信する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。

(情報資産の運搬)

第28条 車両等により機密性2以上の情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。

2 機密性2以上の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。

(情報資産の提供・公表)

第29条 機密性2以上の情報資産を外部に提供する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。

2 機密性2以上の情報資産を外部に提供する者は、情報セキュリティ管理者に許可を得なければならない。

3 情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。

(情報資産の廃棄)

第30条 機密性2以上の情報資産を廃棄する者は、情報を記録している電磁的記録媒体が不要になった場合、電磁的記録媒体の初期化等、情報を復元できないように処置した上で廃棄しなければならない。

2 情報資産の廃棄を行う者は、行った処理について日時、担当者及び処理内容を記録しなければならない。

3 情報資産の廃棄を行う者は、情報セキュリティ管理者の許可を得なければならない。

第3章 物理的セキュリティ

第1節 サーバ等の管理

(機器の取付け)

第31条 情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適切に固定する等、必要な措置を講じなければならない。

(サーバの冗長化)

第32条 情報システム管理者は、重要情報を格納しているサーバ、セキュリティサーバ、住民サービスに関するサーバ及びその他の基幹サーバを冗長化し、同一データを保持しなければならない。

2 情報システム管理者は、メインサーバに障害が発生した場合、速やかにセカンダリサーバを起動し、システムの運用停止時間を最小限にしなければならない。

(機器の電源)

第33条 情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適切に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。

2 情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

(通信ケーブル等の配線)

第34条 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等、必要な措置を講じなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、主要な箇所の通信ケーブル及び電源ケーブルについて、施設管理部門から損傷等の報告があった場合、連携して対応しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク接続口(ハブのポート等)を他者が容易に接続できない場所に設置する等、適切に管理しなければならない。

4 統括情報セキュリティ責任者及び情報システム管理者は、自ら又は情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を施さなければならない。

(機器の定期保守及び修理)

第35条 情報システム管理者は、可用性2のサーバ等の機器の定期保守を実施しなければならない。

2 情報システム管理者は、電磁的記憶媒体を内蔵する機器を外部の事業者に修理させる場合、内容を消去した状態で行わせなければならない。内容を消去できない場合、情報システム管理者は、外部の事業者に故障を修理させるに当たり、修理を委託する事業者との間で守秘義務契約を締結するほか、秘密保守体制の確認などを行わなければならない。

(敷地外への機器の設置)

第36条 統括情報セキュリティ責任者及び情報システム管理者は、庁舎の敷地外にサーバ等の機器を設置する場合、CISOの承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。

(機器の廃棄等)

第37条 情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。

第2節 管理区域(情報システム室等)の管理

(管理区域の構造等)

第38条 管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋(以下「情報システム室」という。)や電磁的記録媒体の保管庫をいう。

2 統括情報セキュリティ責任者及び情報システム管理者は、管理区域を地階又は1階に設けてはならない。また、外部からの進入が容易にできないような対策を講じなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機能、警報装置等によって許可されていない立入りを防止しなければならない。

4 統括情報セキュリティ責任者及び情報システム管理者は、情報システム室内の機器等に、転倒及び落下防止等の耐震対策、防火措置、防水措置等を講じなければならない。

5 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域を囲む外壁等の床下開口部を全て塞がなければならない。

6 統括情報セキュリティ責任者及び情報システム管理者は、管理区域に配置する消火薬剤や消防用設備等が機器等及び電磁的記録媒体に影響を与えないようにしなければならない。

(管理区域の入退室管理等)

第39条 情報システム管理者は、管理区域への入退室を許可された者のみに制限し、ICカード、指紋認証等の生体認証又は入退室管理簿の記載による入退室管理を行わなければならない。

2 職員等及び外部委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。

3 情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立入り区域を制限した上で、管理区域への入退室を許可された職員等が付き添うものとし、外見上職員等と区別できる措置を講じなければならない。

4 情報システム管理者は、機密性2以上の情報資産を扱うシステムを設置している管理区域について、当該情報システムに関連しないコンピュータ、モバイル端末、通信回線装置、電磁的記録媒体を持ち込ませないようにしなければならない。ただし、情報システム管理者の許可を得たものについては、この限りでない。

(機器等の搬入出)

第40条 情報システム管理者は、搬入する機器等が既存の情報システムに与える影響について、あらかじめ職員又は委託した業者に確認を行わせなければならない。

2 情報システム管理者は、情報システム室の機器等の搬入出について、職員を立ち会わせなければならない。

第3節 通信回線及び通信回線装置の管理

(通信回線及び通信回線装置の管理)

第41条 統括情報セキュリティ責任者は、庁内の通信回線及び通信回線装置を施設管理部門と連携し、適切に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適切に保管しなければならない。

2 統括情報セキュリティ責任者は、外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。

3 統括情報セキュリティ責任者は、行政系のネットワークを総合行政ネットワーク(LGWAN)に集約するように努めなければならない。

4 統括情報セキュリティ責任者は、機密性2以上の情報資産を取り扱う情報システムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適切な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化を行わなければならない。

5 統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施しなければならない。

6 統括情報セキュリティ責任者は、可用性2の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。また、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

第4節 職員等の利用する端末及び電磁的記録媒体等の管理

(職員等の利用する端末及び電磁的記録媒体等の管理)

第42条 情報システム管理者は、盗難防止のため、執務室等で利用するパソコンのワイヤーによる固定、モバイル端末の使用時以外の施錠保管等の物理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。

2 情報システム管理者は、情報システムへのログインパスワードの入力を必要とするように設定しなければならない。

3 情報システム管理者は、端末の電源起動時のパスワード(BIOSパスワード、ハードディスクパスワード等)を併用しなければならない。

4 情報システム管理者は、取り扱う情報の重要度に応じてパスワード以外に指紋認証等の二要素認証を併用しなければならない。

5 情報システム管理者は、パソコンやモバイル端末等におけるデータの暗号化等の機能を有効に利用しなければならない。端末にセキュリティチップが搭載されている場合、その機能を有効に活用しなければならない。同様に、電磁的記録媒体についてもデータ暗号化機能を備える媒体を使用しなければならない。

6 情報システム管理者は、モバイル端末の庁外での業務利用の際は、上記対策に加え、遠隔消去機能を利用する等の措置を講じなければならない。

第4章 人的セキュリティ

第1節 職員等の遵守事項

(職員等の遵守事項)

第43条 職員等は、情報セキュリティポリシー及び実施手順を遵守しなければならない。また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報セキュリティ管理者に相談し、指示を仰がなければならない。

2 職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。

3 職員等は、本市のパソコン等の端末、電磁的記録媒体、情報資産及びソフトウェアを外部に持ち出す場合には、情報セキュリティ管理者の許可を得なければならない。

4 職員等は、外部で情報処理業務を行う場合には、情報セキュリティ管理者の許可を得なければならない。

5 職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、情報セキュリティ管理者の許可を得て利用することができる。

6 職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を用いる場合には、情報セキュリティ管理者の許可を得た上で、外部で情報処理作業を行う際に安全管理措置を遵守しなければならない。

7 情報セキュリティ管理者は、端末等の持ち出し及び持込みについて、記録を作成し、保管しなければならない。

8 職員等は、パソコン等の端末のソフトウェアに関するセキュリティ機能の設定を情報システム管理者の許可なく変更してはならない。

9 職員等は、パソコン等の端末や電磁的記録媒体、情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ管理者の許可なく情報を閲覧されることがないように、離席時の端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適切な措置を講じなければならない。

10 職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。

(会計年度任用職員への対応)

第44条 情報セキュリティ管理者は、会計年度任用職員に対し、採用時に情報セキュリティポリシー等のうち、会計年度任用職員が守るべき内容を理解させ、また実施及び遵守させなければならない。

2 情報セキュリティ管理者は、会計年度任用職員の採用の際、必要に応じ情報セキュリティポリシー等を遵守する旨の同意書への署名を求めるものとする。

3 情報セキュリティ管理者は、会計年度任用職員にパソコン等の端末による作業を行わせる場合において、インターネットへの接続及び電子メールの使用等が不要の場合、これを利用できないようにしなければならない。

4 情報セキュリティ管理者は、職員等が常に情報セキュリティポリシー及び実施手順を閲覧できるよう掲示しなければならない。

(外部委託事業者に対する説明)

第45条 情報システム管理者は、ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、情報セキュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

第2節 研修及び訓練

(研修及び訓練)

第46条 CISOは、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。

2 CISOは、幹部を含め全ての職員等に対する情報セキュリティに関する研修計画を定期的に立案し、情報セキュリティ委員会の承認を得なければならない。

3 CISOは、研修計画において、職員等は毎年度最低1回、情報セキュリティ研修を受講できるようにしなければならない。

4 CISOは、新規採用の職員等を対象とする情報セキュリティに関する研修を実施しなければならない。

5 研修は、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、情報システム担当者及びその他職員等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。

6 CISOは、毎年度1回、情報セキュリティ委員会に対して、職員等の情報セキュリティ研修の実施状況について報告しなければならない。

7 CISOは、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の範囲等を定め、効果的に実施できるようにしなければならない。

8 幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならない。

第3節 情報セキュリティインシデントの報告

(庁内からの情報セキュリティインシデントの報告)

第47条 職員等は、情報セキュリティインシデントを認知した場合、速やかに情報セキュリティ管理者に報告しなければならない。

2 報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者及び情報システム管理者に報告しなければならない。

3 情報セキュリティ管理者は、報告のあった情報セキュリティインシデントについて、必要に応じてCISO及び情報セキュリティ責任者に報告しなければならない。

(住民等外部からの情報セキュリティインシデントの報告)

第48条 職員等は、本市が管理するネットワーク及び情報システム等の情報資産に関する情報セキュリティインシデントについて、住民等外部から報告を受けた場合、情報セキュリティ管理者に報告しなければならない。

2 報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者及び情報システム管理者に報告しなければならない。

3 情報セキュリティ管理者は、当該情報セキュリティインシデントについて、必要に応じてCISO及び情報セキュリティ責任者に報告しなければならない。

(情報セキュリティインシデント原因の究明・記録等)

第49条 統括情報セキュリティ責任者は、情報セキュリティインシデントを引き起こした部門の情報セキュリティ管理者及び情報システム管理者と連携し、これらの情報セキュリティインシデント原因を究明し、記録を保存しなければならない。また、情報セキュリティインシデントの原因究明の結果から、再発防止策を検討し、CISOに報告しなければならない。

2 CISOは、統括情報セキュリティ責任者から、情報セキュリティインシデントについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなければならない。

第4節 ID及びパスワード等の管理

(ICカード等の取扱い)

第50条 職員等は、自己の管理するICカード等に関し、次に掲げる事項を遵守しなければならない。

(1) 認証に用いるICカード等を、職員等間で共有してはならない。

(2) 業務上必要のないときは、ICカード等をカードリーダ又はパソコン等の端末のスロット等から抜いておかなければならない。

(3) ICカード等を紛失した場合には、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報し、指示に従わなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、ICカード等の紛失等の通報があり次第、当該ICカード等を使用したアクセス等を速やかに停止しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、ICカード等を切り替える場合、切り替え前のカードを回収し破砕するなど復元不可能な処理を行った上で廃棄しなければならない。

(IDの取扱い)

第51条 職員等は、自己の管理するIDに関し、次に掲げる事項を遵守しなければならない。

(1) 自己が利用しているIDは、他人に利用させてはならない。

(2) 共用IDを利用する場合は、共用IDの利用者以外に利用させてはならない。

(パスワードの取扱い)

第52条 職員等は、自己の管理するパスワードに関し、次に掲げる事項を遵守しなければならない。

(1) パスワードは、他者に知られないように管理しなければならない。

(2) パスワードを秘密にし、パスワードの照会等には一切応じてはならない。

(3) パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。

(4) パスワードが流出したおそれがある場合には、情報セキュリティ管理者に速やかに報告し、パスワードを速やかに変更しなければならない。

(5) パスワードを変更する際は、古いパスワードを再利用してはならない。

(6) 複数の情報システムを扱う職員等は、同一のパスワードをシステム間で用いてはならない。ただし、シングルサインオンを利用したシステムはこの限りでない。

(7) 仮のパスワードは、最初のログイン時点で変更しなければならない。

(8) パソコン等の端末のパスワードの記憶機能を利用してはならない。

(9) 職員等間でパスワードを共有してはならない。

第5章 技術的セキュリティ

第1節 コンピュータ及びネットワークの管理

(文書サーバの設定等)

第53条 情報システム管理者は、職員等が使用できる文書サーバの容量を設定し、職員等に周知しなければならない。

2 情報システム管理者は、文書サーバを課室等の単位で構成し、職員等が他の課室等のフォルダ及びファイルを閲覧及び使用できないように設定しなければならない。

3 情報システム管理者は、住民の個人情報、人事記録等、特定の職員等しか取り扱えないデータについて、別途ディレクトリを作成する等の措置を講じ、同一の課室等であっても担当職員以外の職員等が閲覧及び使用できないようにしなければならない。

(バックアップの実施)

第54条 統括情報セキュリティ責任者及び情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの二重化対策に関わらず、必要に応じて定期的にバックアップを実施しなければならない。

(他の団体との情報システムに関する情報等の交換)

第55条 情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュリティ責任者及び情報セキュリティ責任者の許可を得なければならない。

(システム管理記録及び作業の確認)

第56条 情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、所管するシステムにおいて、システム変更等の作業を行った場合は、作業内容について記録を作成し、窃取、改ざん等をされないように適切に管理しなければならない。

3 統括情報セキュリティ責任者、情報システム管理者又は情報システム担当者及び契約により操作を認められた外部委託事業者がシステム変更等の作業を行う場合は、2人以上で作業し、互いにその作業を確認しなければならない。

(情報システム仕様書等の管理)

第57条 統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク構成図、情報システム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者が閲覧したり、紛失がないよう、適切に管理しなければならない。

(ログの取得等)

第58条 統括情報セキュリティ責任者及び情報システム管理者は、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、適切にログを管理しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。

(障害記録)

第59条 統括情報セキュリティ責任者及び情報システム管理者は、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適切に保存しなければならない。

(ネットワークの接続制御、経路制御等)

第60条 統括情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアーウォール、ルータ等の通信ソフトウェア等を設定しなければならない。

2 統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに適切なアクセス制御を施さなければならない。

(外部の者が利用できるシステムの分離等)

第61条 情報システム管理者は、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。

(外部ネットワークとの接続制限等)

第62条 情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISO及び統括情報セキュリティ責任者の許可を得なければならない。

2 情報システム管理者は、接続しようとする外部ネットワークに係るネットワーク構成、機器構成、セキュリティ技術等を詳細に調査し、庁内全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。

3 情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。

4 統括情報セキュリティ責任者及び情報システム管理者は、ウェブサーバ等をインターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイアーウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。

5 情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括情報セキュリティ責任者の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければならない。

(複合機のセキュリティ管理)

第63条 統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切なセキュリティ要件を策定しなければならない。

2 統括情報セキュリティ責任者は、複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。

3 統括情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。

(特定用途機器のセキュリティ管理)

第64条 統括情報セキュリティ責任者は、特定用途機器について、全て利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を実施しなければならない。

(無線LAN及びネットワークの盗聴対策)

第65条 統括情報セキュリティ責任者は、無線LANの利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。

2 統括情報セキュリティ責任者は、機密性の高い情報を扱うネットワークについて、情報の盗聴等を防ぐため、暗号化等の措置を講じなければならない。

(電子メールのセキュリティ管理)

第66条 統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理)が行われることを不可能とするよう、電子メールサーバの設定を行わなければならない。

2 統括情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した場合は、メールサーバの運用を停止しなければならない。

3 統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。

4 統括情報セキュリティ責任者は、職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。

5 統括情報セキュリティ責任者は、システム開発や運用等のため庁舎内に常駐している外部委託事業者の作業員による電子メールアドレス利用について、委託先との間で利用方法を取り決めなければならない。

6 統括情報セキュリティ責任者は、職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことが不可能となるように添付ファイルの監視等によりシステム上措置しなければならない。

(電子メールの利用制限)

第67条 職員等は、自動転送機能を用いて、電子メールを転送してはならない。

2 職員等は、業務上必要のない送信先に電子メールを送信してはならない。

3 職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。

4 職員等は、重要な電子メールを誤送信した場合、情報セキュリティ管理者に報告しなければならない。

5 職員等は、ウェブで利用できるフリーメール、ネットワークストレージサービス等を使用してはならない。

(電子署名・暗号化)

第68条 職員等は、情報資産の分類により定められた取扱い制限に従い、外部に送るデータの機密性又は安全性を確保することが必要な場合には、CISOが定めた電子署名、暗号化又はパスワード設定の方法を使用して、送信しなければならない。

2 職員等は、暗号化を行う場合にCISOが定める以外の方法を用いてはならない。また、CISOが定めた方法で暗号のための鍵を管理しなければならない。

3 CISOは、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全に提供しなければならない。

(無許可ソフトウェアの導入等の禁止)

第69条 職員等は、パソコン等の端末に無断でソフトウェアを導入してはならない。

2 職員等は、業務上の必要がある場合、統括情報セキュリティ責任者及び情報システム管理者の許可を得て、ソフトウェアを導入することができる。なお、導入する際は、情報セキュリティ管理者又は情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。

3 職員等は、不正にコピーしたソフトウェアを利用してはならない。

(機器構成の変更の制限)

第70条 職員等は、パソコン等の端末に対し機器の改造及び増設・交換を行ってはならない。

2 職員等は、業務上パソコン等の端末に対し機器の改造及び増設・交換を行う必要がある場合には、統括情報セキュリティ責任者及び情報システム管理者の許可を得なければならない。

(無許可でのネットワーク接続の禁止)

第71条 職員等は、統括情報セキュリティ責任者の許可なくパソコン等の端末をネットワークに接続してはならない。

(業務以外の目的でのウェブ閲覧の禁止)

第72条 職員等は、業務以外の目的でウェブを閲覧してはならない。

2 統括情報セキュリティ責任者は、職員等のウェブ利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合、情報セキュリティ管理者に通知し、適切な措置を求めなければならない。

第2節 アクセス制御

(アクセス制御)

第73条 統括情報セキュリティ責任者又は情報システム管理者は、所管するネットワーク又は情報システムごとにアクセスする権限のない職員等がアクセスできないように、システム上制限しなければならない。

(利用者IDの取扱い)

第74条 統括情報セキュリティ責任者及び情報システム管理者は、利用者の登録、変更、抹消等の情報管理、職員等の異動、出向、退職者等に伴う利用者IDの取扱い等の方法を定めなければならない。

2 情報セキュリティ管理者は、業務上必要がなくなった職員等の利用者登録を抹消するよう、統括情報セキュリティ責任者又は情報システム管理者に通知しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、利用されていないIDが放置されないよう、人事管理部門と連携し、点検しなければならない。

(特権を付与されたIDの管理等)

第75条 統括情報セキュリティ責任者及び情報システム管理者は、管理者権限等の特権を付与されたIDを利用する者を必要最小限にし、当該IDのパスワードの漏えい等が発生しないよう、当該ID及びパスワードを厳重に管理しなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者の特権を代行する者は、統括情報セキュリティ責任者及び情報システム管理者が指名し、最高情報統括責任者が認めた者でなければならない。

3 CISOは、代行者を認めた場合、速やかに統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者及び情報システム管理者に通知しなければならない。

4 統括情報セキュリティ責任者及び情報システム管理者は、特権を付与されたID及びパスワードの変更について、外部委託事業者に行わせてはならない。

5 統括情報セキュリティ責任者及び情報システム管理者は、特権を付与されたID及びパスワードについて、職員等の端末等のパスワードよりも入力回数制限等のセキュリティ機能を強化しなければならない。

6 統括情報セキュリティ責任者及び情報システム管理者は、特権を付与されたIDを初期設定以外のものに変更しなければならない。

(職員等による外部からのアクセス等の制限)

第76条 職員等が外部から内部のネットワーク又は情報システムにアクセスする場合は、統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得なければならない。

2 統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。

3 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上利用者の本人確認を行う機能を確保しなければならない。

4 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。

5 統括情報セキュリティ責任者及び情報システム管理者は、外部からのアクセスに利用するパソコン等の端末を職員等に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。

6 職員等は、持ち込んだ又は外部から持ち帰ったパソコン等の端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。

7 統括情報セキュリティ責任者は、公衆通信回線(公衆無線LAN等)の庁外通信回線を庁内ネットワークに接続することは原則として禁止しなければならない。ただし、やむを得ず接続を許可する場合は、利用者のID及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体(ICカード等)による認証に加えて通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならない。

(ログイン時の表示等)

第77条 情報システム管理者は、ログイン時におけるメッセージ及びログイン試行回数の制限、アクセスタイムアウトの設定、ログイン・ログアウト時刻の表示等により、正当なアクセス権を持つ職員等がログインしたことを確認することができるようシステムを設定しなければならない。

(パスワードに関する情報の管理)

第78条 統括情報セキュリティ責任者又は情報システム管理者は、職員等のパスワードに関する情報を厳重に管理しなければならない。パスワードファイルを不正利用から保護するため、オペレーティングシステム等でパスワード設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。

2 統括情報セキュリティ責任者又は情報システム管理者は、職員等に対してパスワードを発行する場合、仮のパスワードを発行し、ログイン後直ちに仮のパスワードを変更させなければならない。

(特権による接続時間の制限)

第79条 情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

第3節 システム開発、導入、保守等

(情報システムの調達)

第80条 統括情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、機器及びソフトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを確認しなければならない。

(情報システムの開発)

第81条 情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。

2 情報システム管理者は、システム開発の責任者及び作業者が使用するIDを管理し、開発完了後、開発用IDを削除しなければならない。

3 情報システム管理者は、システム開発の責任者及び作業者のアクセス権限を設定しなければならない。

4 情報システム管理者は、システム開発の責任者及び作業者が使用するハードウェア及びソフトウェアを特定しなければならない。

5 情報システム管理者は、利用を認めたソフトウェア以外のソフトウェアが導入されている場合、当該ソフトウェアをシステムから削除しなければならない。

(情報システムの導入)

第82条 情報システム管理者は、システム開発、保守及びテスト環境とシステム運用環境を分離しなければならない。

2 情報システム管理者は、システム開発、保守及びテスト環境からシステム運用環境への移行について、システム開発、保守計画の策定時に手順を明確にしなければならない。

3 情報システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。

(導入するシステムのテスト)

第83条 情報システム管理者は、新たに情報システムを導入する場合、既に稼動している情報システムに接続する前に十分な試験を行わなければならない。

2 情報システム管理者は、運用テストを行う場合、あらかじめ擬似環境による操作確認を行わなければならない。

3 情報システム管理者は、個人情報等の機密性の高い生データをテストデータに使用してはならない。

(システム開発・保守に関連する資料等の保管)

第84条 情報システム管理者は、システム開発・保守に関連する資料及び文書を適切な方法で保管しなければならない。

2 情報システム管理者は、テスト結果を一定期間保管しなければならない。

3 情報システム管理者は、情報システムに係るソースコードを適切な方法で保管しなければならない。

(情報システムにおける入出力データの正確性の確保)

第85条 情報システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。

2 情報システム管理者は、故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合に、これを検出するチェック機能を組み込むように情報システムを設計しなければならない。

3 情報システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。

(情報システムの変更管理)

第86条 情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変更履歴を作成しなければならない。

(開発・保守用のソフトウェアの更新等)

第87条 情報システム管理者は、開発・保守用のソフトウェア等を更新、又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。

第4節 不正プログラム対策

(統括情報セキュリティ責任者の措置事項)

第88条 統括情報セキュリティ責任者は、不正プログラム対策として、次に掲げる措置をしなければならない。

(1) 外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。

(2) 外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等不正プログラムのチェックを行い、不正プログラムの外部への拡散を防止しなければならない。

(3) コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起しなければならない。

(4) 所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラム対策ソフトウェアを常駐させなければならない。

(5) 不正プログラム対策ソフトウェア及びそのパターンファイルは、常に最新の状態に保たなければならない。

(情報システム管理者の措置事項)

第89条 情報システム管理者は、不正プログラム対策に関し、次に掲げる措置をしなければならない。

(1) 情報システム管理者は、その所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラム対策ソフトウェアをシステムに常駐させなければならない。

(2) 不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。

(3) 不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。

(4) インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場合、コンピュータウイルス等の感染を防止するために、市が管理している媒体以外を職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。

(職員等の遵守事項)

第90条 職員等は、不正プログラム対策に関し、次に掲げる事項を遵守しなければならない。

(1) パソコン等の端末において、不正プログラム対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。

(2) 外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム対策ソフトウェアによるチェックを行わなければならない。

(3) 差出人が不明又は不自然に添付されたファイルを受信した場合は、速やかに削除しなければならない。

(4) 端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。

(5) 添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフトウェアでチェックを行わなければならない。

(6) 統括情報セキュリティ責任者が提供するウイルス情報を、常に確認しなければならない。

(7) コンピュータウイルス等の不正プログラムに感染した場合、又は、感染が疑われる場合は、直ちに利用を中止し、LANケーブルの即時取り外し又は通信を行わない設定への変更を行わなければならない。

(専門家の支援体制)

第91条 統括情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければならない。

第5節 不正アクセス対策

(統括情報セキュリティ責任者の措置事項)

第92条 統括情報セキュリティ責任者は、不正アクセス対策として、次に掲げる措置をしなければならない。

(1) 使用されていないポートを閉鎖しなければならない。

(2) 不要なサービスについて、機能を削除又は停止しなければならない。

(3) 不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括情報セキュリティ責任者及び情報システム管理者へ通報するよう設定しなければならない。

(4) 重要なシステムの設定を行ったファイル等について、定期的に当該ファイルの改ざんの有無を検査しなければならない。

(攻撃の予告)

第93条 CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けることが明確になった場合、システムの停止を含む必要な措置を講じなければならない。また、関係機関との連絡を密にして情報の収集に努めなければならない。

(記録の保存)

第94条 CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

(内部からの攻撃)

第95条 統括情報セキュリティ責任者及び情報システム管理者は、職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。

(職員等による不正アクセス)

第96条 統括情報セキュリティ責任者及び情報システム管理者は、職員等による不正アクセスを発見した場合、当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な処置を求めなければならない。

(サービス不能攻撃)

第97条 統括情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

(標的型攻撃)

第98条 統括情報セキュリティ責任者及び情報システム管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育、自動再生無効化等の人的対策及び入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。

(セキュリティ情報の収集)

第99条 統括情報セキュリティ責任者及び情報システム管理者は、セキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

2 統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュリティに関する社会環境、技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

第6章 運用

第1節 情報システムの監視

(情報システムの監視)

第100条 統括情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。

2 統括情報セキュリティ責任者及び情報システム管理者は、重要なアクセスログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、外部と常時接続するシステムを常時監視しなければならない。

第2節 情報セキュリティポリシーの遵守状況の確認

(遵守状況の確認及び対処)

第101条 情報セキュリティ責任者及び情報セキュリティ管理者は、情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかに最高情報統括責任者及び統括情報セキュリティ責任者に報告しなければならない。

2 CISOは、発生した問題について、適切、かつ、速やかに対処しなければならない。

3 統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク及びサーバ等のシステム設定等における情報セキュリティポリシーの遵守状況について、定期的に確認を行い、問題が発生していた場合には適切、かつ、速やかに対処しなければならない。

(端末及び電磁的記録媒体等の利用状況調査)

第102条 CISO及びCISOが指名した者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン等の端末、電磁的記録媒体のアクセス記録、電子メールの送受信記録等の利用状況を調査することができる。

(職員等の報告義務)

第103条 職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括情報セキュリティ責任者及び情報セキュリティ管理者に報告を行わなければならない。

第3節 侵害時の対応

(緊急時対応計画の策定)

第104条 CISO又は情報セキュリティ委員会は、情報セキュリティインシデント、情報セキュリティポリシーの違反等により情報資産の侵害が発生した場合又は発生するおそれがある場合において、連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速、かつ、適切に実施するために、緊急時対応計画を定めておき、侵害時には当該計画に従って適切に対処しなければならない。

(緊急時対応計画に盛り込むべき内容)

第105条 緊急時対応計画には、次の内容を定めなければならない。

(1) 関係者の連絡先

(2) 発生した事案に係る報告すべき事項

(3) 発生した事案への対応措置

(4) 再発防止措置の策定

(事業継続計画との整合性確保)

第106条 本市が自然災害等に備えて事業継続計画を策定する場合、情報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなければならない。

(緊急時対応計画の見直し)

第107条 CISO又は情報セキュリティ委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。

第4節 例外措置

(例外措置の許可)

第108条 情報セキュリティ管理者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISOの許可を得て、例外措置を取ることができる。

(緊急時の例外措置)

第109条 情報セキュリティ管理者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、事後速やかにCISOに報告しなければならない。

(例外措置の申請書の管理)

第110条 CISOは、例外措置の申請書及び審査結果を適切に保管し、定期的に申請状況を確認しなければならない。

第5節 法令遵守

(法令遵守)

第111条 職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。

(1) 地方公務員法(昭和25年法律第261号)

(2) 著作権法(昭和45年法律第48号)

(3) 不正アクセス行為の禁止等に関する法律(平成11年法律第128号)

(4) 個人情報の保護に関する法律(平成15年法律第57号)

(5) 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)

第6節 懲戒処分等

(懲戒処分)

第112条 情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。

(違反時の対応)

第113条 職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。

(1) 統括情報セキュリティ責任者が違反を確認した場合は、統括情報セキュリティ責任者は当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。

(2) 情報システム管理者等が違反を確認した場合は、違反を確認した者は速やかに統括情報セキュリティ責任者及び当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。

(3) 情報セキュリティ管理者の指導によっても改善されない場合、統括情報セキュリティ責任者は、当該職員等のネットワーク又は情報システムを使用する権利を停止又は剥奪することができる。その後速やかに、統括情報セキュリティ責任者は、職員等の権利を停止又は剥奪した旨をCISO及び当該職員等が所属する課室等の情報セキュリティ管理者に通知しなければならない。

第7章 外部サービスの利用

第1節 外部委託

(外部委託事業者の選定基準)

第114条 情報システム管理者は、外部委託事業者の選定に当たり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。

2 情報システム管理者は、情報セキュリティマネジメントシステムの国際規格の認証取得状況、情報セキュリティ監査の実施状況等を参考にして、事業者を選定しなければならない。

3 情報セキュリティ管理者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。

(契約項目)

第115条 情報システムの運用、保守等を外部委託する場合には、委託委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。

(1) 情報セキュリティポリシー及び情報セキュリティ実施手順の遵守

(2) 外部委託事業者の責任者、委託内容、作業者、作業場所の特定

(3) 提供されるサービスレベルの保証

(4) 外部委託事業者の従業員に対する教育の実施

(5) 提供された情報の目的外利用及び受託者以外の者への提供の禁止

(6) 業務上知り得た情報の守秘義務

(7) 再委託に関する制限事項の遵守

(8) 委託業務終了時の情報資産の返還、廃棄等

(9) 委託業務の定期報告及び緊急時報告義務

(10) 市による監査、検査

(11) 市による情報セキュリティインシデント発生時の公表

(12) 情報セキュリティポリシーが遵守されなかった場合の規定(損害賠償等)

(確認・措置等)

第116条 情報システム管理者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、前条の契約に基づき措置しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じてCISOに報告しなければならない。

第2節 約款による外部サービスの利用

(約款による外部サービスの利用に係る規定の整備)

第117条 情報セキュリティ管理者は、次の事項を含む約款により、外部サービスの利用に関する規程を整備しなければならない。また、当該サービスの利用において、機密性2以上の情報が取り扱われないように規定しなければならない。

(1) 約款によるサービスを利用してよい範囲

(2) 業務により利用する約款による外部サービス

(3) 利用手続及び運用手順

(約款による外部サービスの利用における対策の実施)

第118条 職員等は、利用するサービスの約款、その他提供条件から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適切な措置を講じた上で利用しなければならない。

第3節 ソーシャルメディアサービスの利用

(ソーシャルメディアサービスの利用)

第119条 情報セキュリティ管理者は、本市が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。

(1) 本市のアカウントによる情報発信が、実際の本市のものであることを明らかにするために、本市の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自己記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を行うこと。

(2) パスワードや認証のためのコード等の認証情報及びこれを記録した媒体(ICカード等)等を適切に管理するなどの方法で、不正アクセス対策を行うこと。

2 機密性2以上の情報はソーシャルメディアサービスで発信してはならない。

3 利用するソーシャルメディアサービスごとの責任者を定めなければならない。

第8章 評価・見直し

第1節 監査

(実施方法)

第120条 CISOは、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、定期的に又は必要に応じて監査を行わせなければならない。

(監査を行う者の要件)

第121条 情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。

2 監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。

(監査実施計画の立案及び実施への協力)

第122条 情報セキュリティ監査統括責任者は、監査を行うに当たって、監査実施計画を立案し、情報セキュリティ委員会の承認を得なければならない。

2 被監査部門は、監査の実施に協力しなければならない。

(外部委託事業者に対する監査)

第123条 外部委託事業者に委託している場合、情報セキュリティ監査統括責任者は外部委託事業者から下請として受託している事業者も含めて、情報セキュリティポリシーの遵守について監査を定期的に又は必要に応じて行わなければならない。

(報告)

第124条 情報セキュリティ監査統括責任者は、監査結果を取りまとめ、情報セキュリティ委員会に報告する。

(保管)

第125条 情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書作成のための監査調書を、紛失等が発生しないように適切に保管しなければならない。

(監査結果への対応)

第126条 最高情報統括責任者は、監査結果を踏まえ、指摘事項を所管する情報セキュリティ管理者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報セキュリティ管理者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。

(情報セキュリティポリシーの見直し等への活用)

第127条 情報セキュリティ委員会は、監査結果を情報セキュリティポリシーの見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

第2節 自己点検

(実施方法)

第128条 統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報システムについて、定期的に又は必要に応じ自己点検を実施しなければならない。

2 情報セキュリティ責任者は、情報セキュリティ管理者と連携して、所管する部局における情報セキュリティポリシーに沿った情報セキュリティ対策状況について、毎年度又は必要に応じ自己点検を行わなければならない。

(報告)

第129条 統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ責任者は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、情報セキュリティ委員会に報告しなければならない。

(自己点検結果の活用)

第130条 職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。

2 情報セキュリティ委員会は、この点検結果を情報セキュリティポリシーの見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

第3節 情報セキュリティポリシーの見直し

(情報セキュリティポリシーの見直し)

第131条 情報セキュリティ委員会は、情報セキュリティポリシーについて情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等をふまえ、必要があると認めた場合、その見直しを行うものとする。

付 則

この告示は、告示の日から施行する。

付 則(令和2年告示第41号)

この告示は、令和2年4月1日から施行する。

甲賀市情報セキュリティポリシー

平成28年2月10日 告示第4号

(令和2年4月1日施行)

体系情報
第4編 行政組織/第7章 情報公開・個人情報保護
沿革情報
平成28年2月10日 告示第4号
令和2年4月1日 告示第41号