○蘭越町情報セキュリティポリシーに関する規程
令和2年3月23日
訓令第2号
蘭越町情報セキュリティポリシーに関する規程(平成16年規程第1号)の全部を改正する。
目次
第1章 総則(第1条～第2条)
第2章 情報セキュリティ基本方針(第3条～第10条)
第3章 情報セキュリティ対策基準(第11条～第134条)
第1節 組織及び体制(第11条～第18条)
第2節 情報資産分類と管理(第19条～第29条)
第3節 情報システム強靭性の向上(第30条～第32条)
第4節 物理的セキュリティ(第33条～第48条)
第5節 人的セキュリティ(第49条～第68条)
第1款 職員等の遵守事項(第49条～第58条)
第2款 研修・訓練(第59条～第62条)
第3款 情報セキュリティインシデントの報告(第63条～第65条)
第4款 ID及びパスワード等の管理(第66条～第68条)
第6節 技術的セキュリティ(第69条～第110条)
第1款 コンピュータ及びネットワークの管理(第69条～第87条)
第2款 アクセス制御(第88条～第92条)
第3款 システムの導入及び保守等(第93条～第97条)
第4款 不正プログラム対策(第98条～第100条)
第5款 不正アクセス対策(第101条～第107条)
第6款 セキュリティ情報の収集(第108条～第110条)
第7節 運用(第111条～第134条)
附則
第1章 総則
(目的)
第1条 蘭越町情報セキュリティポリシー(以下「情報セキュリティポリシー」という。)は、蘭越町(以下「町」という。)が保有する情報資産並びに情報資産を取り扱うネットワーク及び情報システムをさまざまな脅威から防御することにより、町民の財産及びプライバシーを守り、並びに事務の安定的な運営を図り、もつて行政に対する町民からの信頼の維持向上に資するとともに、電子自治体の構築に不可欠なネットワーク及び情報システムの安定性を保持することを目的とする。
(情報セキュリティポリシーの位置付けと構成)
第2条 情報セキュリティポリシーは、町が所掌する情報資産に関する情報セキュリティ対策について総合的、体系的かつ具体的にまとめたものとして、町の情報セキュリティ対策の頂点に位置するものとする。
2 情報セキュリティポリシーは、町が保有する情報資産の機密性、完全性及び可用性を維持するため、町が実施する情報セキュリティ対策について基本的な事項を定める「情報セキュリティ基本方針」及び町における情報セキュリティ対策において遵守すべき事項並びに判断の基準を統一的に定める「情報セキュリティ対策基準」で構成する。
第2章 情報セキュリティ基本方針
(1) ハードウェア 電子的にデータを処理する機能を持ち、事務処理のための基盤や端末として使用する機器をいう。
(2) ソフトウェア ハードウェア上で稼働するプログラム等をいう。
(3) ネットワーク コンピュータ等を相互に接続するための通信網、その構成機器(ハードウェア及びソフトウェア)をいう。
(4) 記録媒体 文書、図画、写真、フィルム及びその他の情報記録に用いられるあらゆる媒体をいう。
(5) 電磁的記録媒体 記録媒体のうち、電子的方式、磁気的方式その他人の知覚によつては認識することができない方式で作られた記録を保存するものをいう。
(6) 個人情報 蘭越町個人情報保護法施行条例(令和5年蘭越町条例第1号)第2条第1項に定義する個人に関する情報をいう。
(7) 特定個人情報 行政の手続きにおける特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)。以下「番号法」という。)第2条第8項に定義する個人情報をいう。
(8) 職員等 常勤職員、定年前再任用短時間勤務職員、臨時的任用職員、会計年度任用職員、非常勤職員任期付職員等の任用形態、職位を問わず、町の全ての職員をいう。
(9) 外部委託事業者 町が情報資産の取扱いを含む業務を委託するものをいう。
(10) 行政情報 職員等が職務上作成又は取得した情報で、その記録媒体の形態にかかわらず町が保有しているものをいう。
(11) 情報システム コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
(12) 情報資産 行政情報、情報システム及び情報システムの運用に必要な設備をいう。
(13) アクセス権限 情報システムの利用者に許可される、一定範囲の情報資産のみを利用することができる権限をいう。
(14) 情報セキュリティ 情報資産の機密性、完全性及び可用性を維持することをいう。
(15) 機密性 情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
(16) 完全性 情報が破壊、改ざん又は消去されていない状態を確保することをいう。
(17) 可用性 情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
(18) マイナンバー利用事務系(個人番号利用事務系) 個人番号利用事務(社会保障、地方税若しくは防災に関する事務)又は戸籍事務等に関わる情報システム及びデータをいう。
(19) LGWAN接続系 人事給与、財務会計及び文書管理等LGWANに接続された情報システム及びその情報システムで取り扱うデータをいう。
(20) インターネット接続系 インターネットメール、ホームページ管理システム等に関わるインターネットに接続された情報システム及びその情報システムで取り扱うデータをいう。
(21) 通信経路の分割 LGWAN接続系とインターネット接続系の両環境間の通信環境を分離した上で、安全が確保された通信だけを許可できるようにすることをいう。
(22) 無害化通信 インターネットメール本文のテキスト化や端末への画面転送等により、コンピュータウイルス等の不正プログラムの付着が無い等、安全が確保された通信をいう。
(情報資産に対する脅威)
第4条 情報セキュリティ対策を講ずべき情報資産に対する脅威は、次の各号に掲げるものとする。
(1) 不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等
(2) 情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、外部委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等
(3) 地震、落雷、火災等の災害によるサービス及び業務の停止等
(4) 大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等
(5) 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等
(行政機関の範囲)
第5条 この情報セキュリティポリシーが適用される行政機関は、町長、議会、教育委員会、農業委員会、選挙管理委員会、監査委員及び公平委員会とする。
(情報資産の範囲)
第6条 この情報セキュリティポリシーが対象とする情報資産は、次の各号に掲げるもとする。
(1) ネットワーク、情報システム、これらに関する設備、電磁的記録媒体
(2) ネットワーク及び情報システムで取り扱う情報、また、これらを印刷した文書
(3) 情報システムの仕様書及びネットワーク図等のシステム関連文書
(情報セキュリティポリシーの遵守義務)
第7条 町が所掌する情報資産に関する業務に携わる職員等及び外部委託事業者は、情報セキュリティの重要性について共通の認識を持つとともに、業務の遂行に当たつて、情報セキュリティポリシーを遵守する義務を負うものとする。
(情報セキュリティ対策)
第8条 情報資産の脅威に対し、次の各号に掲げる情報セキュリティ対策を実施しなければならない。
(1) 組織体制 町の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確立する。
(2) 情報資産の分類と管理 町の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。
(3) 情報システム全体の強靭性の向上 情報システム全体に対し、次の三段階の対策を講じる。
ア マイナンバー利用事務系においては、原則として、他の領域との通信をできないようにした上で、端末からの情報持ち出し不可設定や端末への多要素認証の導入等により、住民情報の流出を防ぐ。
イ LGWAN接続系においては、LGWANと接続する業務用システムと、インターネット接続系の情報システムとの通信経路を分割する。なお、両システム間で通信する場合には、無害化通信を実施する。
ウ インターネット接続系においては、不正通信の監視機能の強化等の高度な情報セキュリティ対策を実施する。
(4) 物理的セキュリティ サーバ等、情報システム室等、通信回線等及び職員等のパソコン等の管理について、物理的な対策を講じる。
(5) 人的セキュリティ 情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。
(6) 技術的セキュリティ コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。
(7) 運用におけるセキュリティ対策 情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正に対応するため、緊急時対応計画を策定する。
(8) 外部サービスの利用 外部委託する場合には、外部委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、外部委託事業者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じる。約款による外部サービスを利用する場合には、利用にかかる規定を整備し対策を講じる。ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービスの運用手順を定め、ソーシャルメディアサービスで発信できる情報を規定し、利用するソーシャルメディアサービスごとの責任者を定める。
(情報セキュリティ監査及び自己点検の実施)
第9条 情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施するものとする。
(情報セキュリティポリシーの見直し)
第10条 情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となつた場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になつた場合には、情報セキュリティポリシーを見直すものとする。
第3章 情報セキュリティ対策基準
第1節 組織及び体制
(最高情報セキュリティ責任者)
第11条 町に最高情報セキュリティ責任者(CISO：Chief Information Security Officer、以下「CISO」という。)を置く。
2 CISOは、副町長とし、町における全てのネットワーク、情報システム等の情報資産の管理並びに情報セキュリティ対策に関する最終決定権限及び責任を有するものとする。
(統括情報セキュリティ責任者)
第12条 CISOの補佐として統括情報セキュリティ責任者を置き、総務課長の職にある者をもつて充てる。
2 統括情報セキュリティ責任者は、次の各号に掲げる権限及び責任を有するものとする。
(1) 町における全てのネットワークの設置、設定の変更、運用、見直し等を行う権限及び責任
(2) 町における全てのネットワークのセキュリティ対策に関する権限及び責任
(3) 情報セキュリティ責任者、情報セキュリティ管理部門、情報システム管理者及び職員等に対して、情報セキュリティに関する指導及び助言を行う権限
(4) 町の情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に、CISOの指示に従い、CISOが不在の場合には自らの判断に基づき、必要かつ十分な措置を実施する権限及び責任
(5) 町の共通的なネットワーク、情報システム及びその他の情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任
3 統括情報セキュリティ責任者は、前項各号の権限と責任に基づき、緊急時にはCISOに早急に報告を行うとともに、回復のための対策を講じるものとする。
(情報セキュリティ責任者)
第13条 各課等における情報セキュリティを統括する責任者として、情報セキュリティ責任者を置き、各課の課長、会計管理者、議会事務局長、農業委員会事務局長及び教育委員会教育次長の職にある者をもつて充てる。
2 情報セキュリティ責任者は、次の各号に掲げる権限及び責任を有するものとする。
(1) 当該部局等の情報セキュリティ対策に関する統括的な権限及び責任
(2) 当該部局等の所管する情報システムにおける導入、設定の変更、運用、見直し等を行う統括的な権限及び責任
(3) 配下の職員等に対する情報セキュリティポリシー遵守徹底の指導
3 情報セキュリティ責任者は、業務において別の情報セキュリティ責任者の所管する情報資産を使用する場合、双方協議の上、管理責任の範囲を明確にし、職員等に周知、徹底を図るものとする。
4 情報セキュリティ責任者は、その所掌する部局等において、情報資産の機密性、完全性及び可用性が脅かされる情報セキュリティ事件や事故が発生した場合又はそのおそれがある場合には、統括情報セキュリティ責任者及びCISOへ速やかに報告を行い、指示を仰ぐものとする。
(情報セキュリティ委員会)
第14条 CISOを長とした情報セキュリティに関する最高機関として、情報セキュリティ委員会(以下「委員会」という。)を置く。
2 委員会は、CISO、統括情報セキュリティ責任者及び情報セキュリティ責任者をもつて構成する。
3 委員会は、町の情報セキュリティの維持管理を、組織として統一された意思の下に継続的に実施するため、情報セキュリティに関する重要な事項を協議し、決定する。
4 委員会は次の各号に掲げる職務を所管する。
(1) 委員会、情報セキュリティ管理部門、情報システム管理者等を網羅する連絡体制を含めた緊急連絡網の整備
(2) 職員等が情報セキュリティの重要度を認識して、情報セキュリティポリシーを理解し、実践するために必要な研修、訓練等の計画の策定
(3) 緊急時対応計画の策定及び見直し、緊急時対応計画に基づく訓練等の計画の策定、実際に情報資産の漏洩等の事故が発生した場合に即応できる体制の整備
5 委員会は前項にある職務を果たすために、必要に応じて専門的知識及び経験を有する第三者から情報セキュリティに関する助言を求め、庁内全体を調整するものとする。
(情報セキュリティ管理部門)
第15条 委員会の補助機関として、情報セキュリティ管理部門(以下「管理部門」という。)を置き、庁内の情報管理を行う管理職及び担当職員をもつて充てる。
2 管理部門は、次の各号に掲げる職務を所管する。
(1) 委員会の所掌事項の調査、検討及び庁内調整
(2) 情報セキュリティ上の重大な事象が発生した際の取りまとめ、CISO及び委員会への報告、報道機関等への通知や公表に係る調整、関係機関への報告
(3) 管理区域の管理
(4) 庁内ネットワークや情報システム等の基盤として全庁共通で使用する機器等の設置、管理
(5) 委員会の策定した計画に基づく研修、訓練等の実施に係る連絡、調整
(6) 全ての情報システムにおける情報セキュリティ向上のための協力、助言
(7) 情報セキュリティに関する最新情報の入手と、各関連部門への周知
(情報システム管理者)
第16条 各情報システムの情報セキュリティを統括する責任者として、情報システム管理者を置く。
2 情報システム管理者は、情報システムを所管する課等の長とし、情報セキュリティ責任者を兼務する。ただし、複数の課等において共同で使用する情報システムの情報システム管理者は、当該情報システムの調達や使用に関わる課等の長が相互に協議して決定し、管理部門に報告するものとする。
3 情報システム管理者は、次の各号に掲げる職務を所管する。
(1) 所管する情報システムの導入、設定の変更、運用、更新等
(2) 所管する情報システムにおける情報セキュリティ対策の実施
(3) 所管する情報システムに関する実施手順の策定、維持及び管理
(兼務の禁止)
第17条 情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。
2 情報セキュリティに係る監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。
(情報セキュリティに関する統一的な窓口の設置)
第18条 CISOは、情報セキュリティインシデントの統一的な窓口を整備し、情報セキュリティインシデントについて報告を受けた場合には、その状況を確認し、自らへの報告が行われる体制を整備するものとする。
第2節 情報資産分類と管理
(情報資産の管理責任)
第19条 情報資産は、その情報資産を作成あるいは構築した課等の情報セキュリティ責任者が管理責任を負う。
(情報資産の分類)
第20条 情報資産は、機密性、完全性及び可用性により、次の重要度分類に従つて分類し、その分類に応じた取扱制限を行うものとする。
(1) 情報資産の重要度分類
分類 | 内容 |
Ⅰ | 漏洩、改ざん、破壊等の事件、事故の被害にあつた場合に、町民生活や企業活動に大きな影響を与える可能性のある情報資産及び特定個人情報を含む情報資産 |
Ⅱ | 漏洩、改ざん、破壊等の事件、事故の被害にあつた場合に、町の内務管理に大きな影響を与える可能性のある情報資産 |
Ⅲ | 上記以外の情報資産等。(漏洩、改ざん、破壊等の事件、事故の被害にあつた場合でも影響が小さいか、容易に復旧可能である情報資産) |
(2) 情報資産の取扱制限
分類 | 制限内容 |
Ⅰ | ・インターネットを経由するメール及びインターネット上の汎用的な外部サービスを使用した情報の送信の禁止 ・セキュリティケースの使用やデータの暗号化等、情報の運搬・提供時における安全対策の徹底 ・必要以上の複製の禁止 ・保管場所の制限の実施 ・使用できる職員等を限定する措置の実施 ・重要度分類Ⅱに対する制限内容 |
Ⅱ | ・情報の送信・提供時における暗号化や電子署名付与の実施 ・情報セキュリティ責任者の許可のない外部への送信及び持ち出しの禁止 ・物理的な破壊等、復元不可能な処理を施しての廃棄の実施 ・内容の改ざんや盗難、消失等を防ぐ措置の実施 ・副本・バックアップ等の作成・管理 ・重要度分類Ⅲに対する制限内容 |
Ⅲ | ・業務以外の目的での利用の禁止 |
(分類表示)
第21条 情報セキュリティ責任者は、情報資産の取扱方法を識別できるよう、重要度分類Ⅰ及びⅡの情報資産について必要に応じて分類表示を実施するものとする。ただし、分類表示の際には、部外者による不正使用等を防止するための対策を行うものとする。
(複製等における効力)
第22条 情報資産が複製又は送信・伝送された場合、複製等がされた情報資産についての重要度分類は、原本に準ずるものとする。
(情報の作成)
第23条 職員等は、業務上必要のない情報を作成してはならない。
2 情報を作成する者は、情報の作成時に第20条の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
3 情報を作成する者は、作成途上の情報についても、紛失や流出等を防止しなければならない。また、情報の作成途上で不要になつた場合は、当該情報を消去しなければならない。
(情報資産の入手)
第24条 庁内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。
2 庁外の者が作成した情報資産を入手した者は、第20条の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
3 情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュリティ責任者に判断を仰がなければならない。
(情報資産の利用)
第25条 情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。
2 情報資産を利用する者は、情報資産の分類に応じ、適正な取扱いをしなければならない。
3 情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従つて、当該電磁的記録媒体を取り扱わなければならない。
(情報資産の保管)
第26条 情報セキュリティ責任者は、情報資産の分類に従つて、情報資産を適正に保管しなければならない。
2 情報セキュリティ責任者は、情報資産を記録した電磁的記録媒体を長期保管する場合は、必要に応じて書込禁止の措置を講じて保存しなければならない。
(情報資産の運搬)
第27条 車両等により重要度分類Ⅰ及びⅡの情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。
2 重要度分類Ⅰ及びⅡの情報資産を運搬する者は、統括情報セキュリティ責任者に許可を得なければならない。
(情報資産の提供・公表)
第28条 重要度分類Ⅰ及びⅡの情報資産を外部に提供する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。
2 重要度分類Ⅰ及びⅡの情報資産を外部に提供する者は、統括情報セキュリティ責任者に許可を得なければならない。
3 統括情報セキュリティ責任者は、住民に公開する情報資産について、完全性を確保しなければならない。
(情報資産の廃棄)
第29条 重要度分類Ⅰ及びⅡの情報資産を廃棄する者は、情報を記録している電磁的記録媒体が不要になつた場合、電磁的記録媒体の初期化等、情報を復元できないように処置した上で廃棄しなければならない。
2 情報資産の廃棄を行う者は、行つた処理について、日時、担当者及び処理内容を記録しなければならない。
3 情報資産の廃棄を行う者は、情報セキュリティ責任者の許可を得なければならない。
第3節 情報システム強靭性の向上
(マイナンバー利用事務系)
第30条 マイナンバー利用事務系と他の領域を通信できないようにしなければならない。ただし、マイナンバー利用事務系と外部との通信をする場合は、通信経路の限定等を行わなければならない。
2 マイナンバー利用事務系においては情報システムが正規の利用者かどうかを判断する認証手段のうち、二つ以上を併用する認証を利用しなければならない。
3 マイナンバー利用事務系においては原則として、USBメモリ等の電磁的記録媒体による端末からの情報持ち出しができないように設定しなければならない。
4 納付書など大量帳票のアウトソージングや指定金融機関に対する口座振替情報の提供等の電磁的記録媒体の利用がやむを得ない場合においては、管理者権限を持つ職員によってその都度限定を解除する又は管理者権限を持つ職員のみに許可する設定とすることを例外として取り扱わなければならない。ただし、町長が特に認めたときは、この限りでない。
5 USBメモリ等の電磁的記録媒体による端末からの情報持ち出しを行う場合は、次の手段により実施しなければならない。
(1) 端末には利用許可された媒体のみ接続可能とすること。
(2) データは暗号化しパスワードを設定すること。
(3) 利用媒体は、全て管理し利用履歴を残せること。
(4) データの受渡しには、必ず情報セキュリティ管理者の承認と承認記録を残せること。
(LGWAN接続系)
第31条 LGWAN接続系とインターネット接続系は両環境間の通信環境を分離した上で、必要な通信だけを許可できるようにしなければならない。なお、メールやデータをLGWAN接続系に取り込む場合は、次の実現方法等により、無害化通信を図らなければならない。
(1) インターネット環境で受信したインターネットメールの本文のみをLGWAN接続系に転送する方式
(2) インターネット接続系の端末から、LGWAN接続系の端末へ画面を転送する方式
(インターネット接続系)
第32条 インターネット接続系においては、通信パケットの監視、ふるまい検知等の不正通信の監視機能の強化により、情報セキュリティインシデントの早期発見と対処及びLGWANへの不適切なアクセス等の監視等の情報セキュリティ対策を講じなければならない。
2 市区町村のインターネット接続口を集約する自治体情報セキュリティクラウドに参加するとともに、関係機関と連携しながら、情報セキュリティ対策を推進しなければならない。
第4節 物理的セキュリティ
(管理区域の指定)
第33条 統括情報セキュリティ責任者は、ネットワークの基幹機器及び重要な情報システムを設置して当該機器等の管理及び運用を行うための部屋を管理区域として指定し、情報資産の物理的セキュリティの維持のための対策を行うものとする。
(管理区域の要件)
第34条 管理区域は、次の各号に掲げる条件を満たさなければならない。
(1) 外部からの侵入が容易にできないよう、無窓の外壁等で囲まれていること。
(2) 外部に通じる出入口は必要最小限とし、鍵、監視機能、警報装置等によつて無許可の立入りを制限可能な十分な強度の扉が設置してあること。
(3) 室内に設置する機器等に、耐震対策、防火措置等を講じること。
(管理区域の統括及び管理)
第35条 管理区域の物理的セキュリティ対策は、統括情報セキュリティ責任者及び管理部門がこれを統括する。
2 管理部門は、管理区域への入退室及び機器等の搬出入について、次の各号に掲げる管理策を行うものとする。
(1) 管理区域への入退室を許可された者のみに制限し、入退室管理簿の記載による入退室管理を行う。また、入退室管理の記録については、一定期間、適正に保管する。
(2) 入退室する職員等及び外部委託事業者の作業内容及び搬出入する機器について事前に確認し、外部委託事業者による作業及び搬出入の場合は原則として職員等立会いの下で実施する。また、作業及び搬出入中の行動を適正に把握、管理する。
(3) 入退室する職員等及び外部委託事業者に対して身分証明書等を携行させ、必要に応じて提示を求める。
(4) 管理区域内での保守等の作業に必要のない、または個人所有であるパソコン等の端末、モバイル端末、通信回線装置、電磁的記録媒体等を持ち込ませない。
(5) 機器等の搬出入においては、あらかじめ搬出入する装置等の既存情報システムに及ぼす影響を考慮し、安全を確認する。
(サーバ・ネットワークの管理)
第36条 サーバ及びネットワークのための各ハードウェアは、原則として管理区域内に設置しなければならない。管理区域内への設置が難しい固有の事情がある場合は、管理部門が設置場所を指定し、次の各号に掲げる条件を満たすよう努めるものとする。
(1) 地震、火災、水害、爆発等の災害の影響や、煙、埃、振動、温度、湿度、電波障害等の影響を受けるおそれが少ない場所であること。
(2) 侵入、盗難、破壊等を防止するため外部から容易に入れない場所であること。
(3) 職員が不在の間、施錠管理が可能であり、防犯措置を取れること。
(4) 保守に必要な空間を確保できること。
(5) 装置等を設置した場所を非表示とすること。
(機器の取り付け)
第37条 サーバ及びネットワークのための各ハードウェアの取付けにあたつては、取り外しや転倒等を防ぐため適正に固定するなど必要な措置を講じなければならない。
(サーバの冗長化)
第38条 情報システム管理者は、重要情報を格納しているサーバ、セキュリティサーバ、住民サービスに関するサーバ及びその他の基幹サーバの冗長化に努めなければならない。
(機器の電源)
第39条 管理部門は、統括情報セキュリティ責任者の指示に基づいて施設管理部門と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適正に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。また、仮想化技術を用いた情報基盤(以下「仮想化基盤」という。)の構成機器を含む重要なハードウェアについては、継続運用のために必要な措置を講じなければならない。
2 管理部門は、統括セキュリティ責任者及び施設管理部と連携し、落雷等による過電流の発生に備え、防護対策に努めなければならない。
(設定情報等の保管・管理)
第40条 管理部門は、仮想化基盤に係る設定情報等を確実に保管し、機器の故障、災害等による機器の遺失等にあたつて再構築が確実に行えるよう適正に管理しなければならない。また、各サーバ等の管理者ID及びパスワード等については、必要に応じて各情報システム管理者から情報収集し適正に保管、管理を実施しなければならない。
(機器等の定期保守)
第41条 仮想化基盤を構成するハードウェアやソフトウェア、各サーバ等を構成するハードウェアやソフトウェア及び各情報システムの運用に必要なその他の機器等については、管理部門及び各情報システム管理者は、定期保守を実施し、正常に運用されていることの確認と障害発生の未然防止に努めなければならない。
(機器等の修理)
第42条 電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合は、原則として当該電磁的記録媒体を取り外すか、内容を消去した状態で行わせなければならない。
2 修理のために電磁的記録媒体の取り外しや内容の消去ができない場合は、当該事業者との保守契約等における守秘義務・秘密保持に係る項目を確認し、保守契約等が無い場合は、当該電磁的記録媒体上の情報に対する守秘義務・秘密保持に係る宣誓等の文書提出を求めた上で、これらを遵守さなければならない。
(機器等の廃棄等)
第43条 電磁的記録媒体を内蔵する機器を廃棄又はリース終了により返却等する場合は、当該電磁的記録媒体から全ての情報を消去の上、復元不可能な状態にする措置を講じることとする。
(庁内のネットワークの要件)
第44条 統括情報セキュリティ責任者は、庁内のネットワークの構築と運用について次の各号に掲げる条件を満たすものとし、管理部門に対して具体的な対策等の実施を指示すること。
(1) 庁舎・出先機関間の接続に商用回線を使用する場合は、ネットワーク上で扱われる情報資産の重要度分類に鑑み、必要なセキュリティ水準やサービス維持水準等を検討の上、適正な回線を選択すること。また、セキュリティ向上のため、必要に応じて通信経路や通信内容の暗号化を併用すること。
(2) ネットワークを用いる業務の重要性に鑑み、継続的な運用を可能とする回線の選択に努め、必要に応じて回線の冗長化を検討、実施すること。
(3) ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施すること。
(4) 外部の者が利用できるシステムを設置する場合は、必要に応じて他のネットワーク及び情報システムと論理的に分離すること。
(外部ネットワークとの接続)
第45条 管理部門及び情報セキュリティ責任者は、庁内のネットワークを外部ネットワークと接続する必要が生じた場合は、次の各号に掲げる条件を満たした上で接続しなければならない。
(1) 接続先の外部ネットワークについて、接続の目的、ネットワーク構成、機器構成、セキュリティレベル等を調査し、庁内の全てのネットワーク、情報システム等に影響が生じないことを確認の上、接続前に統括情報セキュリティ責任者へ報告し、接続への承認を得ること。
(2) 外部ネットワークにおいて、伝送経路上における盗聴、改ざん、破壊、消去等が生じないよう、配慮した構成とすること。
(3) 外部ネットワークとの接続は必要最低限に限定し、できる限り接続ポイントを減らすこと。
(4) 庁外との各接続ポイントの通信は、原則として、それぞれ論理的に独立しているファイヤーウォールの機能を通過させる構成とし、必要のない通信を遮断する設定とすること。
(5) 接続先の外部ネットワーク上の瑕疵によつて、行政情報の漏えい、改ざん、破壊又はシステムダウン等、業務への影響が生じる場合に対処するため、必要に応じて外部ネットワークの管理責任者による損害賠償責任を契約上担保すること。
(外部施設・外部サーバ等の利用)
第46条 情報システム管理者が、商用データセンター等の外部施設へのサーバの設置や、サービスとして提供される外部サーバの利用等を行う場合は、事前に管理部門との協議により当該外部施設又は外部サーバが以下の条件を満たしていることを確認し、統括情報セキュリティ責任者の了解を得た上で実施しなければならない。また、利用中は定期的に、次の各号に掲げる条件を満たしていることを確認しなければならない。
(1) 対象となるサーバの設置場所が日本国内であること。
(2) サーバの安定稼働のために必要な機能・能力が十分に提供されること。
(3) 災害や障害の発生、外部からの侵入や破壊、情報持ち出しのおそれ、不測の事態による電源、機器又はネットワークの停止等に対して、管理区域と同等以上のセキュリティ対策が実現できること。
(4) 接続する回線について、利用する情報資産の重要度分類に応じた十分なセキュリティ水準を持つ回線を2種類以上選択可能なこと。
(構内のネットワーク配線)
第47条 統括情報セキュリティ責任者及び管理部門は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの適正な維持管理のため、必要に応じて次の各号に掲げる対策を実施しなければならない。
(1) 損傷等を防止するための配線収納管の使用等の措置
(2) 損傷等が生じた場合、迅速に対応できる連携体制の構築
(3) 管理部門以外の職員や契約により操作を認められた外部委託事業者以外の者による配線の変更及び追加や、ネットワーク接続口(ハブのポート等)への接続を防ぐための措置
(職員等の利用する端末や電磁的記録媒体等の管理)
第48条 業務のために使用するパソコン等の端末及び電磁的記録媒体については、必要に応じて盗難防止のための措置を講じなければならない。
2 電磁的記録媒体は、情報が保存される必要がなくなつた時点で速やかに記録した情報を消去しなければならない。
3 情報システム管理者は、情報システムへのログインに際し、パスワード、スマートカード、或いは生体認証等複数の認証情報の入力を必要とするように設定しなければならない。
4 情報システム管理者は、マイナンバー利用事務系では「知識」、「所持」、「存在」を利用する認証手段のうち二つ以上を併用する認証(多要素認証等)を行うよう設定しなければならない。
第5節 人的セキュリティ
第1款 職員等の遵守事項
(情報セキュリティポリシー等の遵守)
第49条 職員等は、情報セキュリティポリシー遵守しなければならない。なお、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報セキュリティ責任者に相談し、指示を仰がなければならない。
(業務以外の目的での使用の禁止)
第50条 職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行つてはならない。
(パソコン等の端末の持ち出し及び外部における情報処理作業の制限)
第51条 CISOは、重要度分類Ⅰ及びⅡの情報資産を外部で処理する場合における安全管理措置を定めなければならない。
2 職員等は、町のモバイル端末、電磁的記録媒体、情報資産及びソフトウェアを外部に持ち出す場合には、情報セキュリティ責任者の許可を得なければならない。
3 職員等は、外部で情報処理業務を行う場合には、情報セキュリティ責任者の許可を得なければならない。
(支給以外のパソコン等の端末及び電磁的記録媒体等の業務利用)
第52条 職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、統括情報セキュリティ責任者の許可を得て利用することができる。
2 職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を用いる場合には、統括情報セキュリティ責任者の許可を得た上で、外部で情報処理作業を行う際に安全管理措置に関する規定を遵守しなければならない。また、重要度分類Ⅰ及びⅡの情報資産の情報処理を行つてはならない。
(持ち出し及び持ち込みの記録)
第53条 統括情報セキュリティ責任者は、端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。
(パソコン等の端末におけるセキュリティ設定変更の禁止)
第54条 職員等は、パソコン等の端末のソフトウェアに関するセキュリティ機能の設定を統括情報セキュリティ責任者の許可なく変更してはならない。
(机上の端末等の管理)
第55条 職員等はパソコン等の端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は統括情報セキュリティ責任者の許可なく情報を閲覧されることがないように、離席時のパソコン、モバイル端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適正な措置を講じなければならない。
(退職時等の遵守事項)
第56条 職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。
(情報セキュリティポリシー等の掲示)
第57条 管理部門は、職員等が常に情報セキュリティポリシー及び実施手順を閲覧できるように掲示しなければならない。
(外部委託事業者に対する説明)
第58条 情報セキュリティ責任者は、ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、情報セキュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。
第2款 研修・訓練
(情報セキュリティに関する研修・訓練)
第59条 CISOは、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
(研修計画の策定及び実施)
第60条 CISOは、全ての職員等に対する情報セキュリティに関する研修計画の策定とその実施体制の構築を定期的に行なわなければならない。なお、研修計画には次の各号に掲げる内容を含めるものとする。
(1) 新規採用の職員等を対象とする研修
(2) 受講する職員等の役割に応じた研修
(3) 情報セキュリティに関する事故等を想定した緊急対応訓練
2 CISOは、毎年度1回、委員会に対して、職員等の情報セキュリティ研修の実施状況について報告しなければならない。
(緊急時対応訓練)
第61条 CISOは、緊急時対応を想定した訓練を年1回以上実施するよう努めなめればならない。
(研修・訓練への参加)
第62条 幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならない。
第3款 情報セキュリティインシデントの報告
(庁内での情報セキュリティインシデントの報告)
第63条 職員等は、情報セキュリティインシデントを認知した場合、速やかに情報セキュリティ責任者及び管理部門に報告しなければならない。
2 報告を受けた情報セキュリティ責任者は、速やかに統括情報セキュリティ責任者及びCISOに報告しなければならない。
(住民等外部からの情報セキュリティインシデントの報告)
第64条 職員等は、町が管理するネットワーク及び情報システム等の情報資産に関する情報セキュリティインシデントについて、住民等外部から報告を受けた場合、情報セキュリティ責任者及び管理部門に報告しなければならない。
2 報告を受けた情報セキュリティ責任者は、速やかに統括情報セキュリティ責任者及びCISOに報告しなければならない。
(情報セキュリティインシデント原因の究明・記録、再発防止等)
第65条 管理部門は、報告された情報セキュリティインシデントの可能性について状況を確認し、情報セキュリティインシデントであるかの評価を行わなければならない。
2 管理部門は、情報セキュリティインシデントであると評価した場合、統括情報セキュリティ責任者に速やかに報告しなければならない。
3 統括情報セキュリティ責任者は、情報セキュリティインシデントに関係する情報セキュリティ責任者に対し、被害の拡大防止等を図るための応急措置の実施及び復旧に係る指示を行わなければならない。
4 統括情報セキュリティ責任者は、管理部門及び情報セキュリティインシデントを引き起こした部門の情報セキュリティ責任者と連携し、これらの情報セキュリティインシデント原因を究明し、記録を保存しなければならない。また、情報セキュリティインシデントの原因究明結果から、再発防止策を検討し、CISOに報告しなければならない。
5 CISOは、統括情報セキュリティ責任者から、情報セキュリティインシデントについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなければならない。
第4款 ID及びパスワード等の管理
(ICカード等の取扱い)
第66条 職員等は、自己の管理するICカード等に関し、次の各号に掲げる事項を遵守しなければならない。
(1) 認証に用いるICカード等を、職員等間で共有してはならない。
(2) 業務上必要のないときは、ICカード等をカードリーダ若しくはパソコン等の端末のスロット等から抜いておかなければならない。
(3) ICカード等は破損、紛失、盗難等を防ぐために適正に保管しなければならない。
(4) ICカード等を紛失した場合には、速やかに統括情報セキュリティ責任者及び管理部門に通報し、指示に従わなければならない。
(5) 人事異動や退職等の理由によりICカード等の利用が不要となつた場合は、貸与元の管理部門等へ返却しなければならない。
2 統括情報セキュリティ責任者及び管理部門は、ICカード等の紛失等の通報があり次第、当該ICカード等を使用したアクセス等を速やかに停止しなければならない。
3 統括情報セキュリティ責任者及び情報システム管理者は、ICカード等を切り替える場合、切替え前のカードを回収し、再利用が可能な場合は施錠可能な場所に保管し、破棄する場合は破砕するなど復元不可能な処理を行わなければならない。
(IDの取扱い)
第67条 職員等は、自己の管理するIDに関し、次の各号に掲げる事項を遵守しなければならない。
(1) 自己が利用しているIDは、他人に利用させてはならない。
(2) 共用IDを利用する場合は、共用IDの利用者以外に利用させてはならない。
(パスワードの取扱い)
第68条 職員等は、自己の管理するパスワードに関し、次の各号に掲げる事項を遵守しなければならない。
(1) パスワードは、他者に知られないように管理しなければならない。
(2) パスワードを秘密にし、パスワードの照会等には一切応じてはならない。
(3) パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。
(4) パスワードが流出したおそれがある場合には、情報セキュリティ責任者及び管理部門に速やかに報告し、パスワードを速やかに変更しなければならない。
(5) 複数の情報システムを扱う職員等は、同一のパスワードをシステム間で用いてはならない。
(6) 仮のパスワード(初期パスワード含む)は、最初のログイン時点で変更しなけばばならない。
(7) サーバ、ネットワーク機器及びパソコン等の端末にパスワードを記憶させてはならない。
(8) 職員等間でパスワードを共有してはならない。ただし、共有IDに対するパスワードはこの限りではない。
第6節 技術的セキュリティ
第1款 コンピュータ及びネットワークの管理
(ファイルサーバの設定等)
第69条 管理部門は、行政情報を集中的に保存、管理するためのファイルサーバを設置し、適正に管理しなければならない。
2 管理部門は、ファイルサーバを課室等の単位で構成し、職員等が他課室等のフォルダ及びファイルを閲覧及び使用できないように、設定しなければならない。
3 管理部門は、住民の個人情報、人事記録等、特定の職員等しか取り扱えないデータについて、別途ディレクトリを作成する等の措置を講じ、同一課室等であつても、担当職員以外の職員等が閲覧及び使用できないようにしなければならない。
(バックアップの実施)
第70条 統括情報セキュリティ責任者及び管理部門は、ファイルサーバ等に記録された情報について、必要に応じて定期的にバックアップを実施しなければならない。
(他団体との情報システムに関する情報等の交換)
第71条 情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュリティ責任者及び管理部門の許可を得なければならない。
(システム管理記録及び作業の確認)
第72条 情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。
2 統括情報セキュリティ責任者及び情報システム管理者は、所管するシステムにおいて、システム変更等の作業を行つた場合は、作業内容について記録を作成し、詐取、改ざん等をされないように適正に管理しなければならない。
(情報システム仕様書等の管理)
第73条 統括情報セキュリティ責任者、管理部門及び情報システム管理者は、ネットワーク構成図、情報システム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者が閲覧したり、紛失等がないよう、適正に管理しなければならない。
(ログの管理)
第74条 統括情報セキュリティ責任者及び管理部門は、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。
2 統括情報セキュリティ責任者及び管理部門は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなつた場合の対処等について定め、適正にログを管理しなければならない。
3 統括情報セキュリティ責任者及び管理部門は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。
(障害記録)
第75条 統括情報セキュリティ責任者及び管理部門は、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適正に保存しなければならない。
(ネットワークの接続制御、経路制御等)
第76条 統括情報セキュリティ責任者及び管理部門は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。
2 統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに適正なアクセス制御を施さなければならない。
(外部の者が利用できるシステムの分離)
第77条 情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。
(外部ネットワークとの接続制限)
第78条 情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、統括情報セキュリティ責任者及び管理部門の許可を得なければならない。
2 情報システム管理者は、接続しようとする外部ネットワークに係るネットワーク構成、機器構成、セキュリティ技術等を詳細に調査し、庁内の全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。
3 情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、必要に応じて当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
4 統括情報セキュリティ責任者及び情報システム管理者は、ウェブサーバ等をインターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
5 情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括情報セキュリティ責任者及び管理部門の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければならない。
(複合機のセキュリティ管理)
第79条 統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適正なセキュリティ要件を策定しなければならない。
2 統括情報セキュリティ責任者は、複合機が備える機能について適正な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。
3 統括情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。
(特定用途機器のセキュリティ管理)
第80条 統括情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を講じなければならない。
(無線LAN及びネットワークの盗聴対策)
第81条 統括情報セキュリティ責任者は、無線LANの利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。
(電子メールのセキュリティ管理)
第82条 統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理)が行われることを不可能とするよう、電子メールサーバの設定を行わなければならない。
2 統括情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した場合は、メールサーバの運用を停止しなければならない。
3 統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。
4 統括情報セキュリティ責任者は、必要に応じて職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。
(電子メールの利用)
第83条 職員等は、電子メールの利用に関し、次の各号に掲げる事項を遵守しなければならない。
(1) 職員等は、自動転送機能を用いて、電子メールを転送してはならない。
(2) 職員等は、業務上必要のない送信先に電子メールを送信してはならない。
(3) 職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。
(4) 職員等は、重要な電子メールを誤送信した場合、情報セキュリティ責任者に報告しなければならない。
(5) 職員等は、ウェブで利用できる電子メール、ネットワークストレージサービス等を使用してはならない。なお、統括情報セキュリティ責任者が許可したものはこの限りではない。
(6) 職員等は重要度分類Ⅱの情報資産を含む内容を電子メールで送信する場合は、パスワードを設定して暗号化の上、送信しなければならない。また、設定したパスワードについては、当該情報資産を含むメールには記載せず、別途送信しなければならない。
(7) 職員等は重要度分類Ⅰの情報資産を含む内容については、暗号化の有無にかかわらず、電子メールで送信してはならない。
(無許可ソフトウェアの導入等の禁止)
第84条 職員等は、パソコン等の端末に無断でソフトウェアを導入してはならない。
2 職員等は、業務上の必要がある場合は、情報システム管理者に確認の上、統括情報セキュリティ責任者及び管理部門の許可を得て、ソフトウェアを導入することができる。なお、導入する際は、管理部門又は情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。
3 職員等は、不正にコピーしたソフトウェアを利用してはならない。
(機器構成の変更の制限)
第85条 職員等は、パソコン等の端末に対し機器の改造及び増設・交換を行つてはならない。
2 職員等は、業務上、パソコン等の端末に対し機器の改造及び増設・交換を行う必要がある場合には、情報システム管理者に確認の上、統括情報セキュリティ責任者及び情報管理部門の許可を得なければならない。
(無許可でのネットワーク接続の禁止)
第86条 職員等は、統括情報セキュリティ責任者及び管理部門の許可なくパソコン等の端末をネットワークに接続してはならない。
(業務以外の目的でのウェブ閲覧の禁止)
第87条 職員等は、業務以外の目的でウェブを閲覧してはならない。
2 統括情報セキュリティ責任者は、職員等のウェブ利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合は、情報セキュリティ責任者に通知し適正な措置を求めなければならない。
第2款 アクセス制御
(アクセス制御等)
第88条 情報システム管理者及び管理部門は、所管するネットワーク又は情報システムごとにアクセスする権限のない職員等がアクセスできないように、システム上制限しなければならない。
(利用者IDの取扱い)
第89条 情報システム管理者及び管理部門は、職員等の採用、退職、異動、出向、職務変更等が発生した場合、あらかじめ定めたIDの取扱方法及び情報セキュリティ責任者の要請に基づき、情報システムに対するアクセス権限の登録、変更、抹消等の処理を速やかに実施しなければならない。
2 情報システム管理者及び管理部門は、職員等の情報システムに対するアクセス権限が適正に付与されていることを確実にするため、次の各号に掲げる事項を定期的に確認しなければならない。
(1) アクセス権限が付与されている職員等の人数が必要最小限であること。
(2) それぞれの職員等に付与されているアクセス権限が、業務上必要な権限のみであること。
(特権を付与されたIDの管理等)
第90条 情報システム管理者及び管理部門は、管理者権限等の特権を付与されたIDを利用する者を必要最小限にし、当該IDのパスワードの漏えい等が発生しないよう、当該ID及びパスワードを厳重に管理しなければならない。
2 情報システム管理者及び管理部門は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。
(職員等による外部からのアクセス等の制限)
第91条 職員等が外部から内部のネットワーク又は情報システムにアクセスする場合は、管理部門に確認の上、統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得なければならない。
2 統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
3 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上利用者の本人確認を行う機能を確保しなければならない。
4 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。
5 職員等は、持ち込んだ又は外部から持ち帰つたモバイル端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。
(認証情報の管理)
第92条 統括情報セキュリティ責任者又は管理部門は、職員等の認証情報を厳重に管理しなければならない。
2 統括情報セキュリティ責任者又は管理部門は、職員等に対してパスワードを発行する場合は、仮のパスワードを発行し、初回ログイン後直ちに仮のパスワードを変更させなければならない。
3 統括情報セキュリティ責任者又は管理部門は、認証情報の不正利用を防止するための措置を講じなければならない。
第3款 システムの導入及び保守等
(情報システムの調達)
第93条 情報システム管理者は、情報システム開発、導入、保守等の調達に当たつては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。
2 情報システム管理者は、機器及びソフトウェアの調達に当たつては、管理部門と協議の上、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを確認しなければならない。
(情報システムの導入、移行)
第94条 情報システム管理者及び管理部門は、新たに情報システムを導入する際、事前に十分な試験を行い、既存の情報システムに影響が発生しないことを確認しなければならない。また、必要に応じて事前に擬似環境による動作確認を行うなど、可用性が確保されていることの確認を行わなければならない。
2 情報システムの移行は、移行前の情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるように配慮しなければならない。
(情報システムの保守、更新)
第95条 情報システム管理者及び管理部門は、情報システムのセキュリティ水準維持のため、ソフトウェア等の更新又は修正プログラムの導入を計画的に実施しなければならない。
(入出力情報の正確性の確保)
第96条 情報システム管理者及び管理部門は、情報システムにおける入出力情報の正確性の確保のために、情報を改ざんされにくい情報システムの構成や、誤入力等を起こしにくい情報システムの設定に努めるとともに、出力される情報が正確であることの確認を実施しなければならない。
(管理記録等)
第97条 情報システム管理者及び管理部門は、所管する情報システムの調達、導入、保守等に関連するネットワーク構成図、情報システム仕様書及びその他の資料を適正に保管、管理しなければならない。
第4款 不正プログラム対策
(不正プログラムに対する統括情報セキュリティ責任者の措置事項)
第98条 統括情報セキュリティ責任者及び管理部門は、不正プログラム対策として、次の各号に掲げる事項を措置しなければならない。
(1) 外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。
(2) 外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等不正プログラムのチェックを行い、不正プログラムの外部への拡散を防止しなければならない。
(3) コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起しなければならない。
(4) 所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラム対策ソフトウェアを常駐させなければならない。
(5) 不正プログラム対策のソフトウェア及びそのパターンファイルは、常に最新の状態に保たなければならない。
(6) インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場合、コンピュータウイルス等の感染を防止するために、町が管理している媒体以外を職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。
(不正プログラムに対する職員等の遵守事項)
第99条 職員等は、不正プログラム対策に関し、次の各号に掲げる事項を遵守しなければならない。
(1) パソコン等の端末において、不正プログラム対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。
(2) 外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム対策ソフトウェアによるチェックを行わなければならない。
(3) 差出人が不明又は不自然に添付されたファイルを受信した場合は、速やかに削除しなければならない。
(4) 端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。
(5) 添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフトウェアでチェックを行わなければならない。
(6) インターネット接続系で受信したインターネットメール又はインターネット経由で入手したファイルをLGWAN接続系に取込む場合は無害化しなければならない。
(7) 統括情報セキュリティ責任者が提供するウイルス情報を、常に確認しなければならない。
(8) コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる場合は、直ちにパソコン等の端末の利用を中止し、LANケーブルの取り外し等により通信が行えない状態とした上で、管理部門等へ直ちに報告すること。
(不正プログラム被害に関する履歴の記録)
第100条 管理部門等は、職員等からの不正プログラム被害に関する報告及び不正プログラムによつて引き起こされた情報システムの障害に対する対処履歴等を記録し、常に活用できるよう分類、保存しなければならない。
第5款 不正アクセス対策
(不正アクセスに対する統括情報セキュリティ責任者の措置事項)
第101条 統括情報セキュリティ責任者は、不正アクセス対策として、次の各号に掲げる事項を措置しなければならない。
(1) 使用されていないポートを閉鎖しなければならない。
(2) 不要なサービスについて、機能を削除又は停止しなければならない。
(3) 不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括情報セキュリティ責任者及び情報システム管理者へ通報するよう、設定しなければならない。
(4) 統括情報セキュリティ責任者は管理部門と連携し、監視、通知、外部連絡窓口及び適正な対応などを実施できる体制並びに連絡網を構築しなければならない。
(攻撃への対処)
第102条 CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けた場合又は攻撃を受けるリスクがある場合は、システムの停止を含む必要な措置を講じなければならない。また、関係機関と連絡を密にして情報の収集に努めなければならない。
(記録の保存)
第103条 CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。
(内部からの攻撃)
第104条 統括情報セキュリティ責任者及び管理部門は、職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。
(職員等による不正アクセス)
第105条 統括情報セキュリティ責任者及び管理部門は、職員等による不正アクセスを発見した場合は、当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な処置を求めなければならない。
(サービス不能攻撃)
第106条 統括情報セキュリティ責任者及び管理部門は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。
(標的型攻撃)
第107条 統括情報セキュリティ責任者及び管理部門は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。
第6款 セキュリティ情報の収集
(セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等)
第108条 統括情報セキュリティ責任者及び管理部門は、セキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。
(不正プログラム等のセキュリティ情報の収集・周知)
第109条 統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。
(情報セキュリティに関する情報の収集及び共有)
第110条 統括情報セキュリティ責任者及び管理部門は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュリティに関する社会環境や技術環境等の変化によつて新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。
第7節 運用
(情報システムの監視)
第111条 統括情報セキュリティ責任者及び管理部門は、セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。
2 統括情報セキュリティ責任者及び管理部門は、重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。
3 統括情報セキュリティ責任者及び情報システム管理者は、外部と常時接続するシステムを常時監視しなければならない。
(遵守状況の確認及び対処)
第112条 管理部門及び情報セキュリティ責任者は、情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかにCISO及び統括情報セキュリティ責任者に報告しなければならない。
2 CISOは、発生した問題について、適正かつ速やかに対処しなければならない。
3 統括情報セキュリティ責任者及び管理部門は、ネットワーク及びサーバ等のシステム設定等における情報セキュリティポリシーの遵守状況について、定期的に確認を行い、問題が発生していた場合には適正かつ速やかに対処しなければならない。
(パソコン等の端末及び電磁的記録媒体等の利用状況調査)
第113条 CISO及びCISOが指名した者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のログ、電子メールの送受信記録等の利用状況を調査することができる。
(職員等の報告義務)
第114条 職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括情報セキュリティ責任者及び情報セキュリティ責任者に報告を行わなければならない。
2 前項の違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報セキュリティ責任者が判断した場合において、職員等は緊急時対応計画に従つて適正に対処しなければならない。
(緊急時対応計画)
第115条 CISO又は委員会は、情報セキュリティインシデント、情報セキュリティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適正に実施するために、緊急時対応計画を定めておき、セキュリティ侵害時には当該計画に従つて適正に対処しなければならない。
2 CISO又は委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。
(例外措置)
第116条 情報セキュリティ責任者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISOの許可を得て、例外措置を講じることができる。
2 情報セキュリティ責任者は、行政事務の遂行に緊急を要する等の場合であつて、例外措置を実施することが不可避のときは、事後速やかにCISOに報告しなければならない。
3 CISOは、例外措置の申請書及び審査結果を適正に保管し、定期的に申請状況を確認しなければならない。
(法令遵守)
第117条 職員等は、職務の遂行において使用する情報資産を保護するために、次の各号に掲げる法令のほか関係法令を遵守し、これに従わなければならない。
(1) 地方公務員法(昭和25年法律第261号)
(2) 著作権法(昭和45年法律第48号)
(3) 不正アクセス行為の禁止等に関する法律(平成11年法律第128号)
(4) 個人情報の保護に関する法律(平成15年5月30日法律第57号)
(5) 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)
(6) サイバーセキュリティ基本法(平成28年法律第31号)
(7) 蘭越町個人情報保護条例(平成13年条例第5号)
(懲戒処分)
第118条 情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。
(違反時の対応)
第119条 職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の各号に掲げる措置を講じなければならない。
(1) 統括情報セキュリティ責任者が違反を確認した場合は、統括情報セキュリティ責任者は当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な措置を求めなければならない。
(2) 職員等が違反を確認した場合は、違反を確認した者は速やかに統括情報セキュリティ責任者及び当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な措置を求めなければならない。
(3) 情報セキュリティ責任者の指導によつても改善されない場合、統括情報セキュリティ責任者は、当該職員等のネットワーク又は情報システムを使用する権利を停止あるいは剥奪することができる。その後速やかに、統括情報セキュリティ責任者は、職員等の権利を停止あるいは剥奪した旨をCISO及び当該職員等が所属する課室等の情報セキュリティ責任者に通知しなければならない。
(外部委託)
第120条 情報セキュリティ責任者は、外部委託事業者の選定にあたり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。
2 情報セキュリティ責任者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。
3 情報システムの運用、保守等を外部委託する場合には、外部委託事業者との間で必要に応じて次の各号に掲げる情報セキュリティ要件を明記した契約を締結しなければならない。
(1) 情報セキュリティポリシー及び情報セキュリティ実施手順の遵守
(2) 外部委託事業者の責任者、委託内容、作業者の所属、作業場所の特定
(3) 提供されるサービスレベルの保証
(4) 外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
(5) 外部委託事業者の従業員に対する教育の実施
(6) 提供された情報の目的外利用及び受託者以外の者への提供の禁止
(7) 業務上知り得た情報の守秘義務
(8) 再委託に関する制限事項の遵守
(9) 委託業務終了時の情報資産の返還、廃棄等
(10) 委託業務の定期報告及び緊急時報告義務
(11) 町による監査、検査
(12) 町による情報セキュリティインシデント発生時の公表
(13) 情報セキュリティポリシーが遵守されなかつた場合の規定(損害賠償等)
4 情報セキュリティ責任者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、前項の契約に基づき措置を実施しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じてCISOに報告しなければならない。
(約款による外部サービスの利用)
第121条 情報セキュリティ責任者は、次の各号に掲げる事項を含む約款による外部サービスの利用に関する規定を整備しなければならない。また、当該サービスの利用において、重要度分類Ⅰ及びⅡの情報が取り扱われないように規定しなければならない。
(1) 約款によるサービスを利用して良い範囲
(2) 業務により利用する約款による外部サービス
(3) 利用手続及び運用手順
2 職員等は、利用するサービスの約款、その他提供条件から、利用に当たつてのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適正な措置を講じた上で利用しなければならない。
(ソーシャルメディアサービスの利用)
第122条 情報セキュリティ責任者は、町が管理するアカウントでソーシャルメディアサービスを利用する場合、次の各号に掲げる情報セキュリティ対策に関する事項を含めたソーシャルメディアサービス運用手順を定めなければならない。
(1) 町のアカウントによる情報発信が、実際の町のものであることを明らかにするために、町の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自己記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を実施すること。
(2) パスワードや認証のためのコード等を適正に管理するなどの方法で、不正アクセス対策を実施すること。
2 ソーシャルメディアサービスでは重要度分類Ⅰ及びⅡの情報は発信してはならない。
3 情報セキュリティ責任者は、利用するソーシャルメディアサービスごとの責任者を定めなければならない。
(監査の実施)
第123条 CISOは、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、必要に応じて監査を行わせなければならない。
(監査を行う者の要件)
第124条 情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。
2 監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。
(監査実施計画の立案及び実施への協力)
第125条 情報セキュリティ監査統括責任者は、監査を行うに当たつて、監査実施計画を立案し、委員会の承認を得なければならない。
2 被監査部門は、監査の実施に協力しなければならない。
(外部委託事業者に対する監査)
第126条 外部委託事業者に委託している場合、情報セキュリティ監査統括責任者は外部委託事業者から下請けとして受託している事業者も含めて、情報セキュリティポリシーの遵守について監査を必要に応じて行わなければならない。
(監査結果の報告)
第127条 情報セキュリティ監査統括責任者は、監査結果を取りまとめ、委員会に報告する。
(監査結果の保管)
第128条 情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を、紛失等が発生しないように適正に保管しなければならない。
(監査結果への対応)
第129条 CISOは、監査結果を踏まえ、指摘事項を所管する情報セキュリティ責任者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報セキュリティ責任者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。
(監査結果の活用)
第130条 委員会は、監査結果を情報セキュリティポリシー及び関係規定等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。
(自己点検の実施)
第131条 情報セキュリティ責任者及び管理部門は、所管するネットワーク及び情報システムについて、毎年度及び必要に応じて自己点検を実施しなければならない。
2 情報セキュリティ責任者は、所管する部局における情報セキュリティポリシーに沿つた情報セキュリティ対策状況について、毎年度及び必要に応じて自己点検を行わなければならない。
(自己点検の報告)
第132条 情報セキュリティ責任者及び管理部門は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、委員会に報告しなければならない。
(自己点検結果の活用)
第133条 職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。
2 委員会は、前項の点検結果を情報セキュリティポリシー及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。
(情報セキュリティポリシー及び関係規程等の見直し)
第134条 委員会は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等を踏まえ、情報セキュリティポリシー及び関係規程等について毎年度及び重大な変化が発生した場合に評価を行い、必要があると認めた場合、改善を行うものとする。
附則
この規程は、令和2年4月1日から施行する。
附則(令和5年3月27日訓令第2号)
この訓令は、令和5年4月1日から施行する。
附則(令和5年11月17日訓令第3号)
この訓令は、公布の日から施行する。