1　目的

厚真町情報セキュリティポリシー(以下「本ポリシー」という。)は、町が保有する情報資産に係る機密性、完全性、可用性を維持するための対策を総合的・体系的かつ具体的に定めることにより、町民の財産、プライバシー等の保護及び安定的な行政事務の運営を図ることを目的とする。

2　定義

(1)　ネットワーク

ハードウエア(コンピュータを構成している電子回路、周辺機器等の物理的実態をいう。)を相互に接続しデータなどを電送するための通信網をいう。

(2)　情報システム

ハードウエア、ソフトウエア(コンピュータを動作させる手順及び命令をコンピュータが理解できる形式で記述したものをいう。)及びネットワークにより業務処理を行う仕組みをいう。

(3)　電子情報

情報システム並びに情報システムの開発、保守及び運用に係る全ての電子情報(電子的、磁気的、その他人の知覚によって認識することができない方式で作られた記録をいい、プログラム等のソフトウエアを含む。)をいう。

(4)　情報資産

ネットワーク並びに情報システム(情報システムの仕様書及びネットワーク図等のシステム関連文書を含む)、それらに関する設備及び記録媒体並びにそれらで取り扱う電子情報(これらを印刷した文書を含む。)をいう。

(5)　記録媒体

電子情報を保管する記録装置のうち、取りはずして使用することが可能なフロッピーディスク、光磁気ディスク、磁気テープその他これらに類するものをいう。

(6)　アクセス

磁気ディスクなどの記録装置に対して、データの書き込み、読み出しを行うこと。

(7)　機密性

情報にアクセスすることが認可された者だけがアクセスできることを確実にすること。

(8)　完全性

情報及び処理方法の正確さ及び完全である状態を安全防護すること。

(9)　可用性

許可された利用者が、必要なときに情報にアクセスできることを確実にすること。

(10)　情報セキュリティ

情報資産の機密性、完全性、可用性を維持すること。

3　対象(適用)範囲

この基本方針が対象とする町機関の範囲は、町長部局、教育委員会事務局、選挙管理委員会事務局、監査委員事務局、議会事務局、農業委員会事務局をいう。

4　職員等の責務

職員及び外部委託者は、情報セキュリティの重要性を認識するとともに、業務の遂行に当たっては、本ポリシーを遵守するものとする。

5　情報セキュリティポリシーの体系

情報セキュリティに関する文書は、以下の3つの階層に分けて策定、管理するものとし、本ポリシーは、情報セキュリティ基本方針及び情報セキュリティ対策基準から構成される。

(1)　情報セキュリティ基本方針

情報セキュリティ基本方針(以下「基本方針」という。)は、本ポリシーの最上位に位置し、情報セキュリティ対策に関する基本的な方針を定めるものとする。

(2)　情報セキュリティ対策基準

情報セキュリティ対策基準(以下「対策基準」という。)は、基本方針に基づき、全ての情報システムで遵守すべき事項や、判断等の基本的な基準を定めるものとする。

(3)　情報セキュリティ実施手順

情報セキュリティ実施手順(以下「実施手順」という。)は、基本方針及び対策基準に基づき、情報セキュリティ対策を実施するため、各情報システムについて具体的な実施手順を定めるものとし、情報システムを所管する課・局等において策定するものとする。なお、実施手順は、公開によって町行政運営に支障を及ぼす可能性がある情報であることから非公開とする。

6　情報セキュリティ管理体制

情報セキュリティ対策を推進・管理するための体制を確立するものとする。

7　情報資産の分類

情報資産はその重要度に応じて分類し、その分類に応じた情報セキュリティ対策を行うものとする。

8　情報資産への脅威

情報資産に対して想定される脅威は次のとおりとする。

(1)　部外者による故意の不正アクセス又は不正操作による情報資産の持ち出し、盗聴、改ざん、消去、盗難、漏えい及び破損

(2)　職員及び外部委託者による意図しない操作、故意の不正アクセス又は不正操作による情報資産の持ち出し、盗聴、改ざん、消去、盗難、漏えい及び破損

(3)　地震、落雷、火災等の災害、事故及び故障、コンピュータウイルスによる業務及び行政サービスの停止

9　情報セキュリティ対策

上記8で示した脅威から情報資産を保護するため、次の情報セキュリティ対策を講じるものとする。

(1)　物理的情報セキュリティ対策

情報資産を有する施設への不正な立ち入り、損傷、盗難等の事故及び災害から情報資産を保護するための物理的な対策を講ずる。

(2)　人的情報セキュリティ対策

情報セキュリティに関する職員の権限、責務及び遵守すべき事項を定め、職員に対する本ポリシーの周知及び徹底を図るとともに、十分な教育啓発が行われるよう必要な人的対策を講ずる。

(3)　技術的セキュリティ対策

情報資産を不正アクセス等やウイルスから保護するため、情報資産へのアクセス制御、ウイルス対策等の技術的対策を講ずる。

(4)　運用による情報セキュリティ対策

情報資産の管理、情報セキュリティ対策の遵守状況の確認、緊急事態発生時の機器管理対策等、セキュリティ対策の運用面の対策を講ずる。

10　関連法規の遵守

職員及び外部委託者は、本ポリシーに定めのない事項については、厚真町個人情報保護条例(平成13年条例第14号)等の関連法令及び本町条例等に従うものとする。

11　監査

本ポリシーが遵守されていることを検証するために、定期的に監査を実施する。

12　評価及び見直し

監査の結果や本ポリシーを取り巻く状況の変化に対応するため、本ポリシーの評価及び見直しを実施する。

第2章　情報セキュリティ対策基準

情報セキュリティ対策基準は、基本方針に基づき、全ての情報システムで遵守すべき事項や、判断等の基本的な基準を定めるものとする。

第1節　組織・体制

組織・体制に関する基準は、町が所有する情報資産に対する適切な情報セキュリティを確保するため、組織・体制のあり方を定めたものである。

情報セキュリティの管理は、以下の組織・体制で行う。

(1)　最高情報統括責任者

最高情報統括責任者は、町の全ての情報セキュリティを統括する責任者とする。また、統括情報管理者、情報セキュリティ管理者及び情報システム管理者を指導し、監督する権限を有する。最高情報統括責任者は副町長をもって充てる。

(2)　統括情報管理者

統括情報管理者は、最高情報統括責任者を補佐し、また全庁的な情報システムに関する情報セキュリティを統括する責任者とする。また、最高情報統括責任者に事故があるときは、その職務を代理し、情報セキュリティ管理者及び情報システム管理者を指導し、監督する権限を有する。統括情報管理者は総務課長をもって充てる。

(3)　ネットワーク管理者

ネットワーク管理者は、所管するネットワークにおける設定の変更、管理運用等を行う責任者とする。また、ネットワーク管理者は、所管するネットワークを利用する情報システム管理者及び情報セキュリティ管理者に情報セキュリティ上の助言を行う権限を有する。ネットワーク管理者は総務課担当主幹をもって充てる

(4)　情報システム管理者

情報システム管理者(以下「システム管理者」という。)は、所管する情報システムの開発、設定の変更、運用及び更新等を行う管理者とする。システム管理者は、情報資産を利用する職員を指導し、監督する。また、各情報システムに係る実施手順の作成、維持、管理を行うものとする。システム管理者は、情報システムの開発、設定の変更、運用及び更新等に係る業務を所管する課・局・室等(以下「システム所管課」という。)の長をもって充てる。

(5)　情報セキュリティ管理者

情報セキュリティ管理者(以下「セキュリティ管理者」という。)は、情報資産を利用する課・局・室等(以下「システム利用課」という。)における情報セキュリティを管理する責任者とする。セキュリティ管理者は、情報資産を利用する職員を指導し、及び監督する。セキュリティ管理者はシステム利用課の長をもって充てる。

(6)　情報システム担当者

情報システム担当者(以下「システム担当者」という。)は、情報システムを開発、管理及び運用する者とする。システム担当者は、担当する情報システムに関して、システム管理者の指示に従い開発、管理及び運用を行う。

(7)　厚真町情報化推進会議

厚真町の情報化の推進について総合的に検討する組織として、情報セキュリティの定期的な監査、評価、計画の見直し等の審議を実施する。

第2節　情報資産の分類と管理

情報資産の分類と管理は、町が保有する情報資産を適切に分類し、かつ適正な管理を行うための責任の所在及び管理方法の明確化について定めたものである。

(1)　情報資産の分類

システム管理者は、所管する情報資産について、別表の基準により、情報資産に係る機密性及び完全性並びに可用性の分類を行う。

(2)　電子情報の分類の表示

システム管理者は、情報システムで扱う電子情報について、第三者が重要性の識別を容易に認識できないように留意しつつ、記録媒体等に電子情報の分類がわかるように表示する等適切な管理を行わなければならない。

(3)　重要性の効力

既に分類された情報資産が複製された場合、あるいは伝送された場合には、当該複製等も、その分類に従い管理する。

(4)　情報資産の保護及び管理

(ア)　システム管理者は、所管する情報資産について、それぞれの分類に従いアクセス権限を定めるなど適切に保護し、及び管理する責任を有する。また、複数の情報システムで使用される電子情報を作成したシステム所管課のシステム管理者は、当該電子情報を適切に保護し、及び管理する責任を有する。

(イ)　セキュリティ管理者は、所掌するシステム利用課で作成された電子情報を適切に管理する責任を有する。

(5)　電子情報の取り扱い

(ア)　職員は、電子情報が記録された記録媒体を保管する場合は、耐火、耐熱、耐水及び耐湿対策を講じた施錠可能な場所に保管するなど、適切な措置を行った上で保管しなければならない。

(イ)　職員は、電子情報が記録された記録媒体を搬送する場合は、当該記録媒体を硬質のケースに入れるなど、記録媒体を物理的に保護するための対策を講じなければならない。

(ウ)　職員は、電子情報が記録された記録媒体、情報資産及びソフトウェアを、外部へ持ち出し又は送付してはならない。ただし、業務上、外部への持ち出し又は送付が必要な場合は、セキュリティ管理者又はシステム管理者の許可を得なければならない。

(エ)　職員は、電子情報が記録された記録媒体が不要となった場合は、当該記録媒体に保存された電子情報が復元されることがないように消去し破棄しなければならない。

(オ)　職員は、業務上必要のない電子情報を作成してはならない。

(カ)　電子情報を作成する者は、作成途上の電子情報についても、紛失や流出等を防止しなければならない。また、電子情報の作成途上で不要になった場合は、当該電子情報を消去しなければならない。

(6)　情報資産の入手

(ア)　庁内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。

(イ)　情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュリティ管理者に判断を仰がなければならない。

(7)　情報資産の利用

(ア)　情報資産を利用する者は、情報資産の分類に応じ、適切な取扱いをしなければならない。

(イ)　情報資産を利用する者は、記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該記録媒体を取り扱わなければならない。

(8)　情報資産の保管

(ア)　情報セキュリティ管理者又はシステム管理者は、情報資産の分類に従って、情報資産を適切に保管しなければならない。

(イ)　情報セキュリティ管理者又はシステム管理者は、情報資産を記録した記録媒体を長期保管する場合は、書込禁止の措置を講じなければならない。

(9)　情報の送信

電子メール等により機密性第1種又は第2種の情報を送信する者は、必要に応じ暗号化又はパスワード設定を行わなければならない。

(10)　情報資産の運搬

(ア)　車両等により機密性第1種又は第2種の情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。

(イ)　機密性第1種又は第2種の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。

(11)　情報資産の提供・公表

(ア)　機密性第1種又は第2種の情報資産を外部に提供する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。

(イ)　機密性第1種又は第2種の情報資産を外部に提供する者は、情報セキュリティ管理者に許可を得なければならない。

(ウ)　情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。

(12)　情報資産の廃棄

(ア)　機密性第1種又は第2種の情報資産を廃棄する者は、電子情報を記録している記録媒体が不要になった場合、記録媒体の初期化等、電子情報を復元できないように処置した上で廃棄しなければならない。

(イ)　情報資産の廃棄を行う者は、行った処理について、日時、担当者及び処理内容を記録しなければならない。

(ウ)　情報資産の廃棄を行う者は、情報セキュリティ管理者の許可を得なければならない。

第3節　物理的セキュリティ対策

物理的セキュリティに関する基準は、建物、設備、電算室や事務室等の関連設備等について、各種自然災害、不法侵入、破壊等の不法行為、機器故障等から保護するための予防、応急対策等の管理策を定めたものである。

1　ハードウエアの設置環境

(1)　設置環境等

(ア)　ネットワーク管理者及びシステム管理者は、情報システムのハードウエア等を、火災、水害、ほこり、電界、磁界、振動、温度、湿度等の影響を可能な範囲で排除した場所に設置しなければならない。特に別表の情報システムに係る可用性の基準中第1種に分類した情報システムのハードウエア等の設置環境について、情報システム安全対策基準(平成7年8月29日通商産業省告示第518号)の五設置基準を考慮するものとする。

(イ)　ネットワーク管理者及びシステム管理者は、ハードウエア等の盗難を防止するため、ハードウエア等が容易に取り外しできないよう固定する等の必要な対策を講じなければならない。

(2)　障害対策

(ア)　ネットワーク管理者及びシステム管理者は、別表の情報システムに係る可用性の基準中第1種に分類したシステムの継続的な運用を確保するため、交代運転が可能な構成にするなど、必要な対策を講じるよう努めなければならない。

(イ)　ネットワーク管理者及びシステム管理者は、サーバ等の重要な機器の電源については、非常時においても無停電電源装置を設置する等の方法により、当該機器を適切に停止するまでの間に十分な電力を供給することが可能な機器構成にしなければならない。

(ウ)　ネットワーク管理者及びシステム管理者は、情報システムの配線について、傍受を受けず、又損傷がないように必要な措置を考慮しなければならない。

(エ)　システム管理者は、統括情報管理者と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

(3)　通信ケーブル等の配線

(ア)　統括情報管理者、ネットワーク管理者及びシステム管理者は、主要な箇所の通信ケーブル及び電源ケーブルについて、損傷等の報告があった場合、連携して対応しなければならない。

(イ)　統括情報管理者、ネットワーク管理者及びシステム管理者は、ネットワーク接続口(ハブのポート等)を他者が容易に接続できない場所に設置する等適切に管理しなければならない。

(ウ)　統括情報管理者、ネットワーク管理者及びシステム管理者は、自ら又は情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を施さなければならない。

(4)　庁外への機器の設置

統括情報管理者及びシステム管理者は、庁外にサーバ等の機器を設置する場合、最高情報統括責任者の承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。

2　管理区域

(1)　管理区域

(ア)　ネットワーク管理者及びシステム管理者は、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理及び運用を行うための部屋(以下「電算室」という。)について、必要に応じて災害対策及び入退室管理を行わなければならない。また外部からの侵入が容易に出来ないような管理区域としなければならない。

(イ)　電算室から外部に通じるドアは必要最小限として、鍵等によって、許可のない者の立入を防止しなければならない。

(ウ)　統括情報管理者及びシステム管理者は、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。

(2)　電算室の入退室管理

電算室への入退室を行えるのは、原則としてシステム管理者又はネットワーク管理者より許可された者のみに認めることとする。また、許可された者は、入退室の際には身分証明書等を携帯し、求めに応じて提示できるようにしなければならない。

(3)　機器等の搬入出

(ア)　システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ職員又は委託した業者に確認を行わせなければならない。

(イ)　システム管理者は、情報システム室の機器等の搬入出について、職員を立ち会わせなければならない。

3　ネットワーク

(1)　接続

外部へのネットワーク接続は必要最小限のものに限定し、可能な限り接続ポイントを減らさなければならない。

(2)　回線等

(ア)　ネットワークに使用する回線は光ファイバ、無線、専用線による常時接続サービスのほか、使用する地理的条件等の理由によって前述の伝送路が敷設できない場合は、総合デジタル通信網(ISDN)や非対称デジタル加入者線(ADSL)による回線も使用できるものとする。

(イ)　統括情報管理者及びネットワーク管理者は、庁内の回線及び回線装置を、適切に管理しなければならない。また、回線及び回線装置に関連する文書を適切に保管しなければならない。

(ウ)　統括情報管理者及びネットワーク管理者は、行政系のネットワークを総合行政ネットワーク(LGWAN)に集約するように努めなければならない。

(エ)　統括情報管理者及びネットワーク管理者は、機密性第1種又は第2種の情報資産を取り扱う情報システムに回線を接続する場合、必要なセキュリティ水準を検討の上、適切な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化を行わなければならない。

(オ)　統括情報管理者及びネットワーク管理者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施しなければならない。

(カ)　統括情報管理者及びネットワーク管理者は、可用性第1種又は第2種の情報を取り扱う情報システムが接続される回線について、継続的な運用を可能とする回線を選択しなければならない。また、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

4　職員の端末等の管理

(1)　システム管理者は、端末等の盗難防止のため、物理的措置を講じなければならない。記録媒体については、電子情報が保存される必要がなくなった時点で速やかに記録した電子情報を消去しなければならない。

(2)　システム管理者は、情報システムへのログインパスワードの入力を必要とするように設定しなければならない。

第4節　人的セキュリティ対策

人的セキュリティ対策に関する基準は、情報セキュリティ管理策の適切な実施、セキュリティ事故等への意識高揚、セキュリティ管理の周知徹底、セキュリティに関する知識・技術向上等のための管理策を定めたものである。

1　職員の責務

(1)　遵守すべき事項

(ア)　職員は、本ポリシー及び情報セキュリティ実施手順に定められている事項を遵守しなければならない。

(イ)　職員は、本ポリシー及び実施手順に定められている事項に疑問、遵守することが困難な点等がある場合は、速やかにシステム管理者及びセキュリティ管理者に相談し、指示等を受けなければならない。

(ウ)　職員は、情報資産を業務上の目的以外で使用してはならない。

(2)　端末の使用

(ア)　職員は、オフコン端末装置及びパソコン(以下「端末」という。)を原則として配置された執務室等の中でのみ使用するものとする。

(イ)　職員は、業務上やむを得ない理由により執務室等の外に端末を持ち出す場合には、端末を所管するシステム管理者の承認を受けなければならない。承認を受けた場合も、盗難、破損等に十分留意し業務に必要な時間のみ使用することとする。また、重要性が高いと分類された情報資産を含む端末は、持ち出してはならない。

(ウ)　職員は、端末、記録媒体及び電子情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ管理者の許可なく情報を閲覧されることがないように、離席時の端末のロックや記録媒体、文書等の容易に閲覧されない場所への保管等、適切な措置を講じなければならない。

(エ)　職員は、端末を長時間にわたり使用しない場合は、端末の電源を切るなどの方法により、意図しない利用を防がなければならない。

(オ)　職員は、ネットワーク管理者の許可を受けずに個人が所有する端末を執務室等に持ち込み、あるいはネットワークに接続し使用してはならない。

(カ)　職員は、外部で情報処理業務を行う場合には、情報セキュリティ管理者の許可を得なければならない。

(キ)　機密性第1種又は第2種、可用性第1種又は第2種、完全性第1種又は第2種の情報資産については原則、外部で処理してはならない。やむを得ず外部で処理する場合は、その安全管理措置をあらかじめ定めなければならない。

(ク)　職員は、外部で情報処理作業を行う際、個人が所有する端末を用いる場合には、情報セキュリティ管理者の許可を得た上で、安全管理措置を遵守しなければならない。また、機密性第1種の情報資産については、個人が所有する端末による情報処理を行ってはならない。

(ケ)　職員は、支給以外の端末及び記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、情報セキュリティ管理者の許可を得て利用することができる。

(コ)　情報セキュリティ管理者は、端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。

(サ)　職員は、端末のソフトウェアに関するセキュリティ機能の設定を情報セキュリティ管理者の許可なく変更してはならない。

(3)　情報資産の守秘義務

(ア)　職員は異動、退職等によって業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を他に漏えいしてはならない。

(4)　事故、欠陥に対する報告

(ア)　職員は、情報セキュリティに関する事故、情報システム上の欠陥及び誤作動を発見した場合には、個人的な判断によって処理を行わず、速やかにネットワーク管理者及びシステム管理者に報告し、指示に従い適切な措置を講じなければならない。

(5)　情報セキュリティポリシー等の掲示

統括情報管理者は、職員が常に本ポリシーを閲覧できるようにしなければならない。

(6)　外部委託事業者に対する説明

情報セキュリティ管理者は、ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、本ポリシー等のうち外部委託事業者が守るべき内容の遵守を求め、及びその機密事項を説明しなければならない。

2　教育・訓練

(1)　最高情報統括責任者は、全ての職員に対し、基本方針及び対策基準について普及啓発しなければならない。

(2)　統括情報管理者は、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。

(3)　新規採用の職員等を対象とする情報セキュリティに関する研修を実施しなければならない。

(4)　システム管理者及びシステム担当者は、必要に応じてシステム管理者及びシステム担当者向けの教育を受け、常に資質向上を図られるよう努めなければならない。

(5)　職員は、定められた研修に参加し、基本方針、対策基準及び実施基準を理解し、情報セキュリティ上の問題が生じないよう努めなければならない。

3　パスワード等の管理

(1)　パスワードの管理

職員は、付与されたユーザID(情報システムを利用する権利を有する者であることを、識別するために割り当てる文字列をいう。以下同じ。)及びパスワード(情報システムを利用する者が本人であることを識別するための暗証文字列をいう。以下同じ。)に関して、次の事項を遵守しなければならない。

(ア)　パスワードの長さは十分な長さとして、文字列は推測されにくいもの又は解読されにくいものとしなければならない。

(イ)　パスワードは秘密として、照会等に一切応じてはならない。

(ウ)　パスワードを記録したメモ等を第三者が容易に発見することができる場所に保管してはならない。

(エ)　異動等により仮のパスワードを付与された場合は、最初のログイン(情報システムを使用可能な状態にする手続をいう。)の時点で当該パスワードを変更しなければならない。

(オ)　パスワードは適時変更し、漏えい等を防がなければならない。

(カ)　機密性第1種、完全性第1種又は可用性第1種の情報資産については、パスワードは定期的に又はアクセス回数に基づいて変更し、古いパスワードを再利用してはならない。

(キ)　機密性第1種、完全性第1種又は可用性第1種の複数の情報システムを扱う職員は、同一のパスワードをシステム間で用いてはならない。

(ク)　機密性第1種、完全性第1種又は可用性第1種の情報資産については、端末にパスワードを記憶させてはならない。

(ケ)　機密性第1種、完全性第1種又は可用性第1種の情報資産については、職員間でパスワードを共有してはならない。

(コ)　パスワードの秘密が守れなくなった場合、又はその恐れがある場合は、速やかに変更しなければならない。その場合、当該パスワードを所管するシステム管理者にその事実を報告し、その指示を受けなければならない。

(サ)　システム管理者は上記の通報があり次第、速やかに当該パスワードを使用不可能にしなければならない。

(シ)　自己が利用しているIDは、他人に利用させてはならない。

(ス)　共用IDを利用する場合は、共用IDの利用者以外に利用させてはならない。

(セ)　管理者権限(情報システムの保守及び運用を行うことができる者に与えられる特別の権限をいう。以下同じ。)を有する者として識別されるユーザIDによる情報システムの使用は、業務上必要最小限の範囲としなければならない。

(2)　ICカード等の管理

職員は、自己の管理する認証等に用いるICカード等に関し、次の事項を遵守しなければならない。

(ア)　ICカード等を共有又は貸し借りをして使用してはならない。

(イ)　業務上必要のないときは、ICカード等をカードリーダ若しくは端末のスロット等から抜いておかなければならない。

(ウ)　ICカード等を紛失した場合には、速やかに当該ICカード等を所管するシステム管理者に報告し、その指示を受けなければならない。

(エ)　システム管理者は、紛失の通報があり次第速やかに当該ICカード等の使用を不可能にするなど、不正使用の未然防止の措置を行わなければならない。

(オ)　システム管理者は、ICカード等を切り替える場合、切替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。

4　非常勤及び臨時職員等の雇用及び契約

(1)　情報セキュリティ管理者は、非常勤及び臨時職員等に対し、採用時に本ポリシー等のうち、非常勤及び臨時職員が守るべき内容を理解させ、また実施及び遵守させなければならない。

(2)　非常勤及び臨時職員等には、雇用及び契約の際、必要に応じて本ポリシーを遵守する旨の同意書に署名を求めるものとする。

(3)　非常勤及び臨時職員等に端末による作業を行わせる場合、インターネット及び庁内ネットワークへの接続については、必要最小限にとどめるよう設定に配慮するものとする。

第5節　技術的セキュリティ対策

技術的セキュリティに関する基準は、庁内ネットワークやインターネット等の公衆ネットワークに接続する場合の遵守すべき事項を定め、それによって発生し得るコンピュータウイルス対策や不正アクセス対策等の管理策を定めたものである。

1　コンピュータ及びネットワークの管理

(1)　アクセス記録の監視等

重要な情報を扱う情報システムについて、ネットワーク管理者は、定期的にアクセス記録等を監視しなければならない。

(2)　システム管理記録

(ア)　情報システム管理者は、所管する機密性第1種、完全性第1種又は可用性第1種の情報システムの運用において実施した作業について、作業記録を作成しなければならない。

(イ)　ネットワーク管理者及びシステム管理者は、担当するシステムにおいて行ったシステム変更等の処理について記録を作成し、作業記録は適切に管理を行わなければならない。

(3)　管理記録

ネットワーク管理者及びシステム管理者は、職員から報告のあった情報システムの障害に対する処理又は問題等を障害記録として体系的に記録し、常に活用できるようにしなければならない。

(4)　情報システム仕様書等の管理

(ア)　ネットワーク管理者及びシステム管理者は、所管する情報システム及びネットワークの構成図、仕様書等については、記録媒体に関わらず業務上必要とする者のみが閲覧できる場所に保管しなければならない。

(イ)　情報システムの構築に際して事業者に外部委託した場合又は必要により外部委託事業者に閲覧させる場合には、守秘義務を課さなければならない。

(5)　バックアップ

ネットワーク管理者及びシステム管理者は、情報資産についてその重要度に応じて期間を設定し、定期的にバックアップ用の複製をとらなければならない。

(6)　電子メール

(ア)　ネットワーク管理者は、町の所管する情報システム、ネットワーク及び外部ネットワークに悪影響を与えないように設定を施さなければならない。

(イ)　特に重要な情報資産であり、漏えい等が重大な問題となり得る場合には電子メールによる送付を控えることを考慮するものとする。

(ウ)　業務に必要な場合にのみ、町のメールアドレスを使用するものとする。

(エ)　送付する電子メールは容量を控えた使用を行うとともに、不要な電子メールは適時削除するなど、電子メールシステムに過大な負荷をかけないよう配慮するものとする。

(オ)　統括情報管理者及びネットワーク管理者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理)が行われることを不可能とするよう、電子メールサーバの設定を行わなければならない。

(カ)　統括情報管理者及びネットワーク管理者は、大量のスパムメール等の受信又は送信を検知した場合は、メールサーバの運用を停止しなければならない。

(キ)　統括情報管理者及びネットワーク管理者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。

(ク)　職員は、自動転送機能を用いて、電子メールを転送してはならない。

(ケ)　職員は、業務上必要のない送信先に電子メールを送信してはならない。

(コ)　職員は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。

(サ)　職員は、重要な電子メールを誤送信した場合、情報セキュリティ管理者に報告しなければならない。

(シ)　職員は、ウェブで利用できるフリーメール、ネットワークストレージサービス等を使用する場合は、事前に統括情報管理者の許可を受けなければならない。

(7)　文書サーバの設定等

(ア)　情報システム管理者は、職員が使用できる文書サーバの容量を設定し、職員に周知しなければならない。

(イ)　情報システム管理者は、文書サーバを課室等の単位で構成し、職員が他課室等のフォルダ及びファイルを閲覧及び使用できないように、設定しなければならない。

(ウ)　情報システム管理者は、住民の個人情報、人事記録等、特定の職員しか取扱えないデータについて、別途ディレクトリを作成する等の措置を講じ、同一課室等であっても、担当職員以外の職員が閲覧及び使用できないようにしなければならない。

(8)　標準実装以外のソフトウエアの導入

(ア)　原則として、標準実装以外のソフトウエアを端末でインストール(導入)してはならない。業務上の必要からやむを得ず標準実装以外のソフトウエアを端末へインストールする場合には、事前にネットワーク管理者及びシステム管理者の許可を受けなければならない。また、その際にはインストールするソフトウエアの安全性を十分に考慮した上で使用することとし、情報セキュリティ管理者又は情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。

(イ)　職員は、不正にコピーしたソフトウェアを利用してはならない。

(9)　業務目的以外の使用の禁止

職員は、業務目的以外での情報システムへのアクセス及び電子メールの使用を行ってはならない。また、職員は業務目的以外でウェブページを閲覧してはならない。職員が業務目的以外でウェブページを閲覧した場合、ネットワーク管理者は当該職員が所属する課・局等のセキュリティ管理者に通知し、適切な措置を求めなければならない。

(10)　機器構成の変更

既存の情報システムに、業務上の必要から機器構成の追加及び変更を行う場合は、事前にネットワーク管理者及びシステム管理者の許可を受けなければならない。

(11)　ネットワークの接続制御、経路制御等

(ア)　統括情報管理者及びネットワーク管理者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。

(イ)　統括情報管理者及びネットワーク管理者は、不正アクセスを防止するため、ネットワークに適切なアクセス制御を施さなければならない。

(12)　外部の者が利用できるシステムの分離等

情報システム管理者及びネットワーク管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。

(13)　複合機のセキュリティ管理

(ア)　統括情報管理者は、複合機を調達する場合、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切なセキュリティ要件を策定しなければならない。

(イ)　統括情報管理者は、複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。

(ウ)　統括情報管理者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。

(14)　特定用途機器のセキュリティ管理

統括情報管理者は、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を実施しなければならない。

(15)　無線LANの盗聴対策

統括情報管理者及びネットワーク管理者は、無線LANの利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。

(16)　電子署名・暗号化

(ア)　職員は、外部に送るデータの機密性又は完全性を確保することが必要な場合には、暗号化又はパスワード設定、統括情報管理者が定めた電子署名等、セキュリティを考慮して、送信しなければならない。

(イ)　職員は、暗号化を行う場合には、暗号のための鍵を他者に知られないように管理しなければならない。

(ウ)　統括情報管理者は、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全に提供しなければならない。

(17)　無許可でのネットワーク接続の禁止

職員は、統括情報管理者及びネットワーク管理者の許可なく端末をネットワークに接続してはならない。

(18)　他団体との情報システムに関する情報等の交換

システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報管理者及び情報セキュリティ責任者の許可を得なければならない。

2　アクセス制御

(1)　利用者登録等

(ア)　ネットワーク管理者及びシステム管理者は、情報システムの利用者の登録、変更、抹消等、登録情報の管理についてはあらかじめ方法を定めて行い、使用権限のない者が情報システムを利用できないようにしなければならない。

(イ)　職員は、業務上必要がなくなった場合は、利用者登録を抹消するよう、統括情報管理者又はシステム管理者に通知しなければならない。

(ウ)　統括情報管理者及びシステム管理者は、利用されていないIDが放置されないよう、点検しなければならない。

(2)　管理者権限

(ア)　システム管理者は、情報システムの管理者権限をシステム管理者以外の者に与える場合は、必要最小限のシステム担当者に与え、これを厳重に管理しなければならない。

(イ)　システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

(ウ)　機密性第1種、完全性第1種又は可用性第1種の情報システムについては、システム管理者の特権を代行する者は、統括情報管理者が認めた者でなければならない。

(エ)　統括情報管理者は、代行者を認めた場合、速やかに情報セキュリティ管理者及びシステム管理者に通知しなければならない。

(オ)　機密性第1種、完全性第1種又は可用性第1種の情報システムについては、統括情報管理者及びシステム管理者は、特権を付与されたID及びパスワードについて、職員の端末等のパスワードよりもセキュリティ機能を強化しなければならない。

(カ)　機密性第1種、完全性第1種又は可用性第1種の情報システムについては、統括情報管理者及びシステム管理者は、特権を付与されたIDを初期設定以外のものに変更しなければならない。

(3)　外部ネットワークとの接続

(ア)　外部ネットワークとの接続は、業務上必要がある場合にのみ認めるものとする。

(イ)　業務上、町の所管する情報システムと外部ネットワークとの接続が必要な場合は当該外部ネットワークのネットワーク構成、機器構成、セキュリティレベル等を詳細に検討し、町の保有する情報資産に影響を及ぼす可能性がないことを明確に確認した上で、統括情報管理者及びネットワーク管理者の許可に基づき接続しなければならない。その場合でも、システム管理者の適切な管理下で接続を行い、情報セキュリティに留意した上で必要最小限に留めなければならない。

(ウ)　システム管理者及びネットワーク管理者は、ウェブサーバ等をインターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。

(エ)　接続した外部ネットワークのセキュリティに問題が認められ、町の保有する情報資産に脅威を及ぼす可能性が生じた場合には、システム管理者又はネットワーク管理者の判断に従い速やかに当該外部ネットワークを遮断しなければならない。

(4)　外部からの町の所管する情報システムへのアクセス

(ア)　システム管理者は、外部から町の所管する情報システムへのアクセスを認める場合は、セキュリティに留意し、あらかじめ定めた経路によるものとし、意図しない情報システムへの接続ができないようにしなければならない。

(イ)　職員が外部から内部のネットワーク又は情報システムにアクセスする場合は、統括情報管理者、ネットワーク管理者及び当該情報システムを管理するシステム管理者の許可を得なければならない。

(ウ)　システム管理者及びネットワーク管理者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。

(エ)　システム管理者及びネットワーク管理者は、外部からのアクセスを認める場合、システム上利用者の本人確認を行う機能を確保しなければならない。

(オ)　システム管理者及びネットワーク管理者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。

(カ)　システム管理者及びネットワーク管理者は、外部からのアクセスに利用する端末を職員に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。

(キ)　職員は、持ち込んだ又は外部から持ち帰った端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。

(ク)　システム管理者及びネットワーク管理者は、公衆通信回線(公衆無線LAN等)の庁外通信回線を庁内ネットワークに接続することは原則として禁止しなければならない。ただし、やむを得ず接続を許可する場合は、利用者のID及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体(ICカード等)による認証に加えて通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならない。

(5)　利用者の識別とパスワード管理

ネットワーク管理者及びシステム管理者は、利用者を一意に識別できるユーザIDを設定し、職員のパスワードに関する情報を厳重に管理しなければならない。パスワードファイルを不正利用から保護するため、オペレーティングシステム等でパスワード設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。また、職員のパスワードについて、その妥当性について調査し必要あれば是正を指示するなど、適切なパスワードの管理に努めるものとする。

3　システム開発、導入、保守等

(1)　情報システムの調達

システム管理者は、情報システムの導入にあたっては、一般に公開する調達仕様書が情報セキュリティ確保の上で問題にならないようにしなければならない。また調達仕様書に必要とする技術的なセキュリティ機能を明記し、当該調達品が情報セキュリティ上問題にならないかどうか確認しなければならない。

(2)　情報システムの変更管理

システム管理者は、情報システムを追加、変更、廃棄等した場合は、その際の設定、構成等の履歴を記録し、保存しなければならない。

(3)　情報システムの開発

システム管理者は、システム開発にあたり、事故及び不正行為対策として次の事項を必要に応じて実施しなければならない。

(ア)　責任者及び監督者の選定

(イ)　作業者及び作業範囲の確定

(ウ)　保守時の事故・不正行為対策に係るリスク分析

(エ)　セキュリティ上問題となるおそれのあるOS、ソフトウエア等の使用禁止

(オ)　対象外の情報システムへのアクセス制限

(カ)　作業記録の作成

(キ)　機器の搬出入の際の許可及び確認

(ク)　開発・保守記録の提出義務

(ケ)　マニュアル等の定められた場所への保管

(コ)　開発・保守を行った者のユーザID、パスワード等の当該開発・保守終了後に不要となった時点での速やかな抹消

(4)　情報システムの導入

(ア)　システム管理者は、新しい情報システムを開発する際には、開発するシステムと稼働しているシステムを分離した上で開発を行うものとする。また、新たに情報システムを導入する際には、既に稼働しているシステムに接続する前に十分な試験を行い、既に稼働しているシステムに影響を与えることなく導入しなければならない。

(イ)　システム管理者は、新しい情報システムを開発・導入する際には、将来の需要状況や傾向を考慮した上で処理能力や記憶容量等を予測し、将来の運用に支障が生じないよう計画的に行うものとする。

(ウ)　システム管理者は、システム開発・保守及びテスト環境からシステム運用環境への移行について、システム開発・保守計画時に手順を明確にしなければならない。

(エ)　システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。

(オ)　システム管理者は、導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。

(カ)　システム管理者は、個人情報及び機密性の高い生データを、テストデータに使用してはならない。

(5)　情報システムにおける入出力データの正確性の確保

(ア)　システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。

(イ)　システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。

(6)　情報システムの保守及び点検

(ア)　システム管理者は、所管する情報システムの保守及び点検を定期的に実施し、その結果を記録し、適切に保管しなければならない。

(イ)　システム管理者は、所管する情報システムの保守及び点検を外部に委託する場合は、委託を受けた者に対し、適切に作業の指示を行い、その作業内容を報告させなければならない。

(7)　ソフトウエアの保守等

(ア)　システム管理者は、ソフトウエア等を更新又は修正プログラムを導入するなどの場合、不具合及び他のシステムとの適合性の確認を行い、計画的に更新し導入しなければならない。

(イ)　システム管理者は、情報セキュリティに重大な影響を及ぼす不具合に対する修正プログラムについて、速やかな対応を行うこととし、その他のソフトウエアの更新等については、計画的に実施しなければならない。

(8)　システム開発・保守に関連する資料等の整備・保管

(ア)　システム管理者は、システム開発・保守に関連する資料及びシステム関連文書を適切に整備・保管しなければならない。

(イ)　システム管理者は、テスト結果を一定期間保管しなければならない。

(9)　機器の修理及び廃棄

(ア)　システム管理者は、記録装置の含まれる機器について外部の業者等に修理させる場合には、当該記録装置に記録された電子情報が消去された状態で行うものとする。ただし、当該電子情報を消去することが困難な場合、修理に係る契約において守秘義務に関する規定を設けているときは、この限りではない。

(イ)　システム管理者は、記録装置の含まれる機器について廃棄する場合には、当該記録装置に記録されている電子情報の消去又は記録装置の破砕等を行い、当該電子情報が復元不可能な状態にしなければならない。

(ウ)　システム管理者は、記録装置の含まれる機器を賃貸借期間満了により賃借人に返却する場合には、当該記録装置に記録されている電子情報を消去しなければならない。ただし、賃貸借契約等において、守秘義務が明記されており、かつ、返却後には当該機器の破砕等を行い、当該機器を再利用しないことが明記されている場合は、この限りではない。

4　コンピュータウイルス対策

(1)　職員の責務

(ア)　業務上やむを得ず外部からデータ又はソフトウエアを取り入れる場合は、必ずウイルスチェックを行うこと。

(イ)　差出人が不明又は不審なファイルが添付された電子メールは、みだりに開いてはならない。また、電子メールの添付ファイルについては、安全であることを確認した上で保存・開封・起動等を行うこととする。

(ウ)　受信した電子メールにウイルスが添付されている疑いがある場合には、ウイルスの感染及び拡散を防止しなければならない。

(エ)　ネットワーク管理者が提供するウイルス情報を常に確認し、ウイルスに関する知識の向上に努めなければならない。

(オ)　使用する端末がウイルスに感染されている疑いがある場合には、ただちに使用する端末をネットワークの接続から外し、感染の拡大を防ぐものとする。また、速やかにネットワーク管理者に報告し指示を受けるとともに、ウイルスの駆除が終了したことが確認されるまで、当該端末は使用してはならない。

(カ)　端末において、ウイルス対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。

(キ)　端末に対して、ウイルス対策ソフトウェアによるフルチェックを定期的に実施しなければならない。

(2)　ネットワーク管理者及びシステム管理者の責務

(ア)　ウイルスに関する情報の収集に努め、その情報(ウイルスの特徴、感染経路、対策方法等)を職員に伝え、注意を喚起しなければならない。

(イ)　情報システム及び端末にウイルス対策のソフトウェアを常駐させ、ソフトウェアを常に最新の状態に保つ等、適切なウイルス対策を施すとともに、職員に提供するウイルスチェック用のパターンファイルは、常に最新のものに更新しなければならない。

(ウ)　外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてウイルスのチェックを行い、ウイルスのシステムへの侵入を防止しなければならない。

(エ)　外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてウイルスのチェックを行い、ウイルスの外部への拡散を防止しなければならない。

(オ)　インターネットに接続している環境において業務で利用するソフトウェアは、パッチやバージョンアップなどの開発元のサポートが終了したソフトウェアを利用してはならない。

(カ)　インターネットに接続していないシステムにおいて、記録媒体を使う場合、ウイルスの感染を防止するために、町が管理している媒体以外を職員に利用させてはならない。また、ウイルスの感染、侵入が生じる可能性が著しく低い場合を除き、ウイルス対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。

5　不正アクセス対策

(1)　統括情報管理者、ネットワーク管理者及びシステム管理者の措置事項

統括情報管理者、ネットワーク管理者及びシステム管理者は、不正アクセス対策として、以下の事項を措置しなければならない。

(ア)　使用されていないポートを閉鎖しなければならない。

(イ)　不要なサービスについて、機能を削除又は停止しなければならない。

(ウ)　統括情報管理者は、情報セキュリティに関する監視、通知、外部連絡窓口及び適切な対応などを実施できる体制並びに連絡網を構築しなければならない。

(2)　攻撃の予告

最高情報統括責任者及び統括情報管理者は、サーバ等に攻撃を受けることが明確になった場合、システムの停止を含む必要な措置を講じなければならない。また、関係機関と連絡を密にして情報の収集に努めなければならない。

(3)　記録の保存

最高情報統括責任者及び統括情報管理者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

(4)　内部からの攻撃

統括情報管理者、ネットワーク管理者及びシステム管理者は、職員及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。

(5)　職員等による不正アクセス

統括情報管理者、ネットワーク管理者及びシステム管理者は、職員による不正アクセスを発見した場合は、当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な処置を求めなければならない。

(6)　サービス不能攻撃

統括情報管理者、ネットワーク管理者及びシステム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

(7)　標的型攻撃

統括情報管理者、ネットワーク管理者及びシステム管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。

6　セキュリティ情報の収集

(1)　統括情報管理者及びネットワーク管理者は、情報セキュリティに関する技術的情報を収集し、全てのシステム管理者に対してセキュリティ対策上必要な措置を伝えなければならない。

(2)　システム管理者は、これら情報セキュリティに関する技術的情報を確認し、所管する情報システムの状況に応じて、必要な対策を講じなければならない。

第6節　運用

運用に関する基準は、情報システム及び本ポリシーの運用上の留意点や、情報セキュリティの侵害時における対応策を定めたものである。

1　情報システムの監視及びポリシーの遵守状況の確認(運用管理)

(1)　情報システムの監視

(ア)　ネットワーク管理者及びシステム管理者は、常に情報システムの監視を行い、必要に応じ、アクセス記録等、情報セキュリティの確保に必要な記録を取得し、一定期間保存した上で当該記録を定期的に監視及び分析しなければならない。

(イ)　監視によって得られた結果については、消去や改ざんされないために必要な措置を施さなければならない。

(ウ)　ネットワーク管理者及びシステム管理者は、重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。

(エ)　ネットワーク管理者及びシステム管理者は、外部と常時接続するシステムを常時監視しなければならない。

(オ)　ネットワーク管理者及びシステム管理者は、必要に応じて監視によって取得する項目、保存期間、取扱方法及び記録が取得できなくなった場合の対処等について定め、適切に記録を管理しなければならない。

(カ)　ネットワーク管理者及びシステム管理者は、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。

(2)　情報セキュリティポリシー遵守の確認

(ア)　ネットワーク管理者及びシステム管理者は、基本方針、対策基準及び実施手順が遵守されているか常に確認を行い、遵守しない職員に対しては、指導しなければならない。

(イ)　指導をもってしてもなお遵守されない場合は、統括情報管理者に報告するものとする。

2　運用管理における留意点

(1)　最高情報統括責任者は、必要に応じて、アクセス記録、電子メール等個人のプライバシーに係る情報を閲覧できる権限を有する職員を実施手順に定めるものとする。

(2)　法令等で定められた個人情報の保護に関係する情報の閲覧に関しては、当該法令等に定められた手続に従うものとする。

(3)　職員は、本ポリシーに対する違反行為を発見した場合、直ちに統括情報管理者及び情報セキュリティ管理者に報告を行わなければならない。

(4)　違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報管理者が判断した場合は、緊急時対応計画に従って適切に対処しなければならない。

3　侵害時の対応策

(1)　緊急時対応計画

(ア)　ネットワーク管理者及びシステム管理者は、情報資産への侵害が発生した場合における連絡、証拠保全、被害拡大の防止、復旧等の必要な措置を迅速かつ円滑に実施し、再発防止の措置を講ずるために、緊急時対応計画を定めるものとする。

(イ)　緊急時対応計画は、それぞれの情報システムごとの実施手順において定めるものとする。

(ウ)　これらの緊急時対応計画は、必要に応じてテスト、評価及び見直しを行うものとする。

(2)　連絡先

緊急時対応計画の中の具体的な連絡先は、下記を例としてそれぞれの情報システムの実施手順に明記するものとする。

(ア)　厚真町長

(イ)　最高情報統括責任者

(ウ)　統括情報管理者

(エ)　ネットワーク管理者

(オ)　システム管理者

(カ)　セキュリティ管理者

(キ)　当該情報システムに係る外部委託事業者

(ク)　警察

(ケ)　影響が考えられる個人及び法人

(3)　侵害時の報告

情報セキュリティに対する侵害の発生を認めた又は住民等外部から報告を受けた職員は、次の項目について速やかにネットワーク管理者及びシステム管理者に報告しなければならない。

(ア)　侵害の内容

(イ)　侵害の発生原因(判明しない場合は、原因として想定される行為)

(ウ)　確認した被害及び影響範囲

(エ)　予測される被害及び影響範囲

ネットワーク管理者及びシステム管理者は、侵害の詳細な調査を行うとともに、最高情報統括責任者への報告を行わなければならない。

(4)　侵害への対処

ネットワーク管理者及びシステム管理者は、情報セキュリティに対する侵害に対処するため、あらかじめ定めた緊急時対応計画に沿って、次の項目のうち、必要がある事項を実施しなければならない。

(ア)　定められた連絡先への連絡

(イ)　情報システムの停止

(ウ)　個々の端末の情報システムからの切断

(エ)　外部ネットワークとの接続の切断

(オ)　情報システムのアクセス記録及び現状の保存

(カ)　対処の経過の保存

(キ)　証拠保全の実施及び再発防止の暫定措置の検討

(ク)　再発防止の暫定措置を講じた後の復旧措置

(ケ)　その他状況によって必要と考えられる措置

(5)　再発防止の措置

関係するネットワーク管理者及びシステム管理者は、当該情報セキュリティに対する侵害の原因分析及び被害分析を実施した上で、記録を保存しなければならない。また、情報セキュリティ対策の改善に資する再発防止のための措置を検討し、最高情報統括責任者及び統括情報管理者に報告しなければならない。最高情報統括責任者及び統括情報管理者は、報告の内容を確認し、再発防止策を実施するために必要な措置の指示を行うものとする。

4　外部委託による運用契約

(1)　システム管理者は、その所管する情報システムの構築及び管理運用等を外部委託する場合は、委託に関する責任を有する部署を明確にするとともに、委託事業者に対し必要な情報セキュリティの要件を記載した契約書による契約を締結しなければならない。

(2)　情報システムの運用、保守等を外部委託する場合には、委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。

(ア)　本ポリシーの遵守

(イ)　委託事業者の責任者、委託内容、作業者、作業場所の特定

(ウ)　提供されるサービスレベルの保証

(エ)　委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法

(オ)　委託事業者の従業員に対する教育の実施

(カ)　提供された情報の目的外利用及び受託者以外の者への提供の禁止

(キ)　業務上知り得た情報の守秘義務

(ク)　再委託に関する制限事項の遵守

(ケ)　委託業務終了時の情報資産の返還、廃棄等

(コ)　委託業務の定期報告及び緊急時報告義務

(サ)　町による監査、検査

(シ)　町による情報セキュリティ侵害発生時の公表

(ス)　本ポリシーが遵守されなかった場合の規定(損害賠償等)

(3)　委託に関する責任を有するシステム管理者は、委託先において必要な情報セキュリティ対策が確保されていることを確認し、その内容を統括情報管理者に報告しなければならない。

(4)　統括情報管理者は、その委託業務の内容を検討の上、情報セキュリティ上の問題が存在すると判断した場合には、当該問題の是正をシステム管理者に求めるものとする。

(5)　情報セキュリティ管理者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。

5　ソーシャルメディアサービスの利用

(1)　情報セキュリティ管理者は、本町が管理するアカウントでソーシャルメディアサービスを利用する場合、本町のアカウントによる情報発信が、実際の本町のものであることを明らかにするために、本町の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を行うこと。

(2)　パスワードや認証のためのコード等の認証情報及びこれを記録した媒体(ICカード等)等を適切に管理するなどの方法で、不正アクセス対策を行うこと。

(3)　機密性第2種以上の情報はソーシャルメディアサービスで発信してはならない。

(4)　利用するソーシャルメディアサービスごとの責任者を定めなければならない。

6　約款による外部サービスの利用

(1)　情報セキュリティ管理者は、約款による外部サービスの利用において、機密性第2種以上の情報が取扱われないように規定しなければならない。

(2)　職員は、利用するサービスの約款、その他提供条件から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適切な措置を講じた上で利用しなければならない。

7　例外措置

(1)　情報セキュリティ管理者及びシステム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、最高情報統括責任者及び統括情報管理者の許可を得て、例外措置を取ることができる。

(2)　情報セキュリティ管理者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、事後速やかに最高情報統括責任者及び統括情報管理者に報告しなければならない。

(3)　統括情報管理者は、例外措置の申請書及び審査結果を適切に保管しなければならない。

第7節　法令遵守

職員は、職務の遂行において情報資産を利用する場合は、次の法令等を遵守しなければならない。

(1)　不正アクセス行為の禁止等に関する法律(平成11年法律第128号)

(2)　著作権法(昭和45年法律第48号)

(3)　厚真町個人情報保護条例(平成13年条例第14号)

(4)　行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)

第8節　情報セキュリティに関する違反に対する対応

システム管理者及びセキュリティ管理者は、その管理監督に服する職員が本ポリシーに違反したときは、統括情報管理者へ報告するものとする。

統括情報管理者は、システム管理者及びセキュリティ管理者に対し、本ポリシーに違反した職員に是正を命じるよう指示するものとする。またシステム管理者及びセキュリティ管理者は、当該職員に対し、本ポリシーを遵守するよう是正を命じるものとする。

是正されない場合は、システム管理者及びセキュリティ管理者は、統括情報管理者の同意を得て、当該職員のネットワーク又は情報システムの使用を停止することができる。その後速やかに、統括情報管理者は、職員の使用を停止した旨を最高情報統括責任者に報告しなければならない。

第9節　評価・見直し

(1)　監査

(ア)　ネットワーク管理者及びシステム管理者は、情報システムの情報セキュリティについて監査を定期的に行うものとする。また、この監査は外部の者を交えて実施することも考慮するものとする。

(イ)　ネットワーク管理者は、監査結果を取りまとめ厚真町情報化推進会議へ報告しなければならない。

(ウ)　統括情報管理者は、監査結果を踏まえ、指摘事項を所管する情報セキュリティ管理者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報セキュリティ管理者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。

(エ)　ネットワーク管理者及びシステム管理者は、監査の実施に使用した資料等を、紛失等が発生しないように適切に保管しなければならない。

(2)　点検

ネットワーク管理者及びシステム管理者は、本ポリシーに沿った情報セキュリティ対策が実施されているか職員にアンケート調査等を実施し、この調査等の結果を厚真町情報化推進会議へ報告しなければならない。

(3)　自己点検結果の活用

職員は、アンケート調査等による自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。

(4)　情報セキュリティポリシーの更新

(ア)　厚真町情報化推進会議は、監査結果及びアンケート調査等を評価し、これを根拠として基本方針及び対策基準の見直しを行うものとする。

(イ)　上記の場合以外であっても、厚真町情報化推進会議は状況に応じて基本方針及び対策基準の見直しを行うものとする。

(ウ)　厚真町情報化推進会議は、基本方針及び対策基準の見直しにあたっては、最高情報統括責任者にその内容を報告するものとする。

(エ)　システム管理者は、上記の基本方針及び対策基準の見直しがあった場合には必要に応じて実施手順の見直しを行うものとする。

附則

附則(平成19年3月30日訓令第7号)

附則(平成29年8月7日告示第50号)

情報資産の重要性に関する基準

機密性の基準

完全性の基準

可用性の基準