この倶知安町情報セキュリティ基本方針(以下「基本方針」という。)は、本町が行政事務の実施のために保有する多種多様な情報を安全に使用し、またはその影響を低減するために、本町が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。

2　定義

この基本方針における用語の意義は、次のとおりとする。

(1)　ハードウェア

電子的にデータを処理する機能を持ち、事務処理のための基盤や端末として使用する機器をいう。

(2)　ソフトウェア

ハードウェア上で稼働するプログラム等をいう。

(3)　ネットワーク

コンピュータ等を相互に接続するための通信網及びその構成機器(ハードウェア及びソフトウェア)をいう。

(4)　記録媒体

文書、図画、写真、フィルム及びその他の情報記録に用いられるあらゆる媒体をいう。

(5)　電磁的記録媒体

記録媒体のうち、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られた記録を保存するものをいう。

(6)　個人情報

倶知安町個人情報保護条例(平成27年倶知安町条例第19号)第2条第1項第1号に定義する個人に関する情報をいう。

(7)　特定個人情報

倶知安町個人情報保護条例第2条第1項第5号に定義する個人情報をいう。

(8)　職員等

常勤職員、臨時職員、非常勤職員、再任用職員、任期付職員等の任用形態、職位を問わず、本町の全ての職員をいう。

(9)　外部委託事業者

本町が情報資産の取扱いを含む業務を委託するものをいう。

(10)　行政情報

職員等が職務上作成又は取得した情報で、その記録媒体の形態にかかわらず本町が保有しているものをいう。

(11)　情報システム

ハードウェア、ソフトウェア、ネットワーク、電磁的記録媒体等で構成され、これら一部又は全体で業務処理を行う仕組みをいう。

(12)　情報資産

行政情報、情報システム及び情報システムの運用に必要な設備をいう。

(13)　アクセス権限

情報システムの利用者に許可される、一定範囲の情報資産のみを利用することができる権限をいう。

(14)　情報セキュリティ

情報資産の機密性、完全性及び可用性を確保し、維持することをいう。

(15)　機密性

情報をアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。

(16)　完全性

情報が破壊、改ざん又は消去されていない状態を確保することをいう。

(17)　可用性

情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。

(18)　情報セキュリティポリシー

基本方針及び情報セキュリティ対策基準をいう。以下「ポリシー」という。

3　対象範囲

(1)　対象組織

ポリシーが対象とする組織は、本町の全ての執行機関(町長、教育委員会、選挙管理委員会、監査委員、農業委員会、固定資産評価審査委員会及び水道事業管理者)及び議会事務局とする。

(2)　対象情報資産

ポリシーが対象とする情報資産は、本町の行政事務を処理するために取り扱う全ての情報資産とする。

(3)　対象者

ポリシーが対象とする者は、職員等及び外部委託事業者とする。

4　職員等及び外部委託事業者の責務

職員等及び外部委託事業者は、情報セキュリティの重要度について共通の認識を持つとともに、業務の遂行に当たってポリシーを遵守する責務を負う。

5　情報セキュリティ対策

(1)　情報セキュリティ管理体制

本町の情報資産に関する情報セキュリティ対策を組織として統一された意思の下に継続的に実施するため、幹部職員が率先して推進、管理する体制を確立する。

(2)　情報資産の分類

本町の情報資産を、その内容に応じて分類し、その重要度に応じた情報セキュリティ対策を行う。

(3)　情報資産への脅威

本町の情報資産に関する情報セキュリティを維持する上で、特に認識すべき脅威は次のとおりである。

①　不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等

②　情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、監査機能の不備、外部委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等

③　地震、落雷、火災等の災害によるサービス及び業務の停止等

④　大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等

⑤　電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等

(4)　情報セキュリティ対策

本町の情報資産を(3)で示した脅威から保護するため、次の情報セキュリティ対策を実施する。

①　物理的セキュリティ対策

情報システムを設置する施設への不正な立入り、情報資産への損傷、妨害等から保護するため、物理的な対策を実施する。

②　人的セキュリティ対策

情報セキュリティに関する権限や責任を定め、全ての職員等及び外部委託事業者にポリシーの内容を周知徹底する等、十分な教育及び啓発が行われるよう必要な対策を実施する。

③　技術的セキュリティ対策

情報資産を適切に保護するため、ハードウェア管理、アクセス制御、ネットワーク管理、不正プログラム対策、不正アクセス対策等の技術面の対策を実施する。

④　運用におけるセキュリティ対策

情報資産を適切に保護するため、外部委託を行う際のセキュリティ確保、情報システムの監視、ポリシー遵守状況の確認等、運用面の対策を実施する。

また、情報資産に対するセキュリティ侵害が発生した際に迅速かつ適切な対応を可能とするための危機管理対策を実施する。

6　情報セキュリティに関する文書の整備

(1)　情報セキュリティ対策基準の策定

情報セキュリティ基本方針に基づく情報セキュリティ対策を実施するために、本町において遵守すべき行為及び判断等の基準を統一的なレベルで定め、情報セキュリティ対策の基本的な要件を明記した情報セキュリティ対策基準を策定する。

(2)　情報セキュリティ実施手順の策定

情報セキュリティ対策基準を遵守して情報セキュリティ対策を実施するために、本町が所管する個々の情報資産の管理、利用等に関する具体的な取扱い手順を定めた情報セキュリティ実施手順を策定する。

なお、情報セキュリティ実施手順は、公にすることにより本町の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。

7　ポリシー違反時の対応

ポリシー違反に対しては、その重大性、発生した事件、事故等の状況等に応じて各関連法令の罰則の対象となり得る。

8　情報セキュリティ監査及び自己点検の実施

ポリシーが遵守され、情報セキュリティが維持されていることを検証するため、定期的に、又は必要に応じて情報セキュリティ監査及び自己点検を実施する。

9　評価及び見直しの実施

情報セキュリティ監査及び自己点検の結果等により、ポリシーに定める事項及び情報セキュリティ対策の有効性等について評価するとともに、情報セキュリティを取り巻く状況の変化に対応するため、適宜ポリシーの見直しを実施する。