６－５

一般社団法人練馬区産業振興公社の情報セキュリティ対策に関する規程（平成26年4月1日規程第31号）
第１章

総則

（目的）
第１条

この規程は、一般社団法人練馬区産業振興公社情報セキュリティポリシー（以下「セキュリティポリシー」という。）に基づき、一般社団法人練馬区産業振興公社（以下「公社」という。）における情報セキュリティに関する対策（以下「情報セキュリティ対策」という。）の実施に関し、必要な事項を定めることを目的とする。
（定義）
第２条
⑴

つぎに掲げる用語の定義は、当該各号に定めるとおりとする。
情報システム公社が管理する情報機器、ソフトウェア、情報ネットワークによって構成されるシステムの総称をいう。
⑵

情報機器
電子データを処理し、保管することが可能な機器のうち、職員が使用するパソコン、他の情報機器が利用するデータ等を蓄積したサーバをいう。

⑶

ソフトウェアオペレーティングシステムやアプリケーションソフト等、端末が動作するプログラムの総称をいう。

⑷

ネットワーク
情報機器間で電子データを送受信するネットワークをいう。

⑸

帳票
公社において事務処理上の必要から紙に出力したもの、または職務上管理を要するものをいう。

⑹

記録媒体
フロッピーディスク、ＣＤ、ＭＯ、磁気テープ、ＵＳＢフラッシュメモリ等の移動が容易な各種外部記憶媒体をいう。

第２章

組織・体制

（情報セキュリティ統括責任者）
第３条

公 社 に お ける 情 報 セ キ ュ リ テ ィ に関 す る 最 終 的 な 権 限 およ び 責 任 を 有 す る ものとして、情報セキュリティ統括責任者を置く。
２

情報セキュリティ統括責任者は、常務理事をもって充てる。

３

情報セキュリティ統括責任者は、情報セキュリティ責任者に対し、情報システムおよび情報セキュリティの状況等について報告を求め、または助言することができる。

1

６－５（情報セキュリティ責任者）
第４条

公 社 に お ける 情 報 シ ス テ ム お よ び情 報 セ キ ュ リ テ ィ に 関す る 権 限 お よ び 責 任を有するものとして、情報セキュリティ責任者を置く。
２

情報セキュリティ責任者は、事務局長をもって充てる。

３

情 報 セ キ ュ リ テ ィ 責 任 者 は 、 公 社 に お け る 情 報 セ キ ュ リ テ ィ 対 策 に 関 し て 、 職 員に対する教育や研修、助言および指示を行うものとする。

４

公社における情報システムの運用管理ならびに情報セキュリティ対策の実務等については、情報セキュリティ責任者があらかじめ指名するものに行わせることができる。

（職員の責務）
第５条

職 員 は 、 情報 セ キ ュ リ テ ィ の 重 要性 に つ い て 共 通 の 認 識を 持 ち 、 業 務 の 遂 行に当たっては、セキュリティポリシーを遵守し、必要な情報セキュリティ対策を講じなければならない。
２

職員は、情報セキュリティ責任者が実施する教育や研修を受講しなければならない。

（外部への委託）第６条

情 報 シ ス テム に 関 わ る 業 務 を 外 部事 業 者 に 委 託 す る 場 合は 、 次 に 掲 げ る 事 項を契約書等に明記しなければならない。
⑴

権利および義務の譲渡禁止に関する事項⑵

第三者への提供および再委託の禁止、制限に関する事項⑶

漏えいおよび盗用の防止に関する事項⑷

秘密の保持に関する事項⑸

事故発生時の報告義務に関する事項
第３章
第１節

情報システムの管理
ネットワーク管理（ネットワークの原則）
第７条

公社は、インターネットと公社内ネットワークの境界にファイアウォールを設置し、外部からの不正なアクセスを防止しなければならない。
２

公 社 は 、 オ ー プ ン エ リ ア か ら 、 許 可 さ れ て い な い 端 末 が 公 社 内 ネ ッ ト ワ ー ク に 接続することを防止する措置を講じる。
第２節

アクセス管理（アクセス制御の原則）
第８条

情報セキュリティ責任者は、情報システムの取り扱いにあたり、アクセス制限を実施する。
（アカウントの発行）
第９条

情報システムのユーザアカウントは、業務の遂行に必要な範囲で発行するものとし、共有は禁止とする。
２

情報セキュリティ責任者は、情報システムのユーザアカウントを適切な方法で職員に発行し、ユーザアカウントの発行状況およびアクセス権限の範囲等を職員別に作成する「システムユーザ管理簿」に記録する。
2

６－５
３

情 報 セ キ ュ リ テ ィ 責 任 者 は 、 職 員 が 、 異 動 や 退 職 等 に よ っ て 担 当 す る 業 務 の 変 更が生じた場合は、速やかに当該職員が有していたアカウントＩＤを無効化または変更を行い、当該職員の「システムユーザ管理簿」を更新する。

（パスワードの管理）
第10条
２

ユーザアカウントの認証は、原則としてパスワード認証とする。

前項のパスワードは、英字、数字、記号のうち少なくとも２種類を使用した、６文字以上の文字列とする。

３

情 報 セ キ ュ リ テ ィ 責 任 者 は 、 Ｏ Ｓ の ロ グ イ ン 認 証 に 用 い る パ ス ワ ー ド の 付 与 お よびパスワードのリセットを少なくとも６か月に１回行う。

４

職員は、他人に自らのパスワードを教えてはならない。

５職 員 は 、 他 人 に パ ス ワ ー ド を 知 ら れ た 場 合 は 、 速 や か に 情 報 セ キ ュ リ テ ィ 責 任 者にその旨を通知し、新たなパスワードの付与を受ける。
第３節

情報機器の管理（情報機器の把握）
第11条

情報セキュリティ責任者は、公社が保有する情報機器の導入・利用・処分状況を管理するため、次の事項を記載した「情報機器管理台帳」を作成する。
⑴

情報機器の管理番号もしくは情報機器名（型番）⑵

利用部門もしくは設置場所

⑶

導入日

⑷

廃棄日（リースの場合は返却日）⑸

ウイルス対策ソフトウェアの有無⑹

公社外への持ち出しの可否

２

情報セキュリティ責任者は、情報機器の導入、処分等の変更が発生した場合は、「情報機器管理台帳」を更新する。

（情報機器の接続の制限）
第12条
２

公社外の情報機器を公社内ネットワークに接続することは原則禁止とする。

職員は、業務上止むを得ず、外部の情報機器を公社内ネットワークに接続する場合は、次の事項を記載した「ネットワーク接続申請書（第1号様式）」を起票し、情報セキュリティ責任者の承認を得るものとする。
⑴

情報システムに接続する情報機器⑵

情報システムに接続する目的⑶

情報システムへの接続に際し確認すべき事項（接続期間、個人情報の取扱いなど）（情報機器の持ち出しの管理）第 13条

情 報 セ キ ュ リ テ ィ 責 任 者 は 、公 社 外 へ 持 ち 出 す ノ ート パ ソ コ ン 等 の 情 報 機器 について、「情報機器管理台帳」により明確にする。
２

職員は、「情報機器管理台帳」により持ち出しを許可されていない情報機器は、持ち出してはならない。

３

職 員 は 、 業 務 上 や む を 得 ず 、 許 可 さ れ て い な い 情 報 機 器 を 持 ち 出 す 場 合 は 、 「 情報機器外部使用届（第２号様式）」を作成し、情報セキュリティ責任者の承認を得るもの
3６－５とする。
（不正操作の防止措置）
第14条

職員は、情報機器の不正操作等を防止するため、離席時に、パスワード付スクリーンセーバを起動させるか、画面をロック（ログオフ含む）する。
２

職員は、パスワード付スクリーンセーバを１０分以内で起動するように設定する。

（情報機器の盗難防止）
第15条

職員は、ノートパソコンの紛失・盗難を防止するため、チェーンロック等により所定の位置に固定するか、業務終了後に施錠可能な場所で保管する。
（情報機器の廃棄処理）
第16条

情報セキュリティ責任者は、情報機器を廃棄する場合には、ハードディスク内の情報を完全に消去することができるソフトウェアを利用して、情報機器内の情報を消去する又はハードディスクを物理的に破壊し、ハードディスク内の情報が復元不可能な状態で廃棄する。
（サーバの設置）第17条

情報セキュリティ責任者は、ラック内に施錠して格納する等の方法により、サーバの盗難防止措置、倒壊防止措置を講じる。
２

情報セキュリティ責任者は、サーバには無停電電源装置（ＵＰＳ）を設置するなどし、停電対策を講じるものとする。
第４節

バックアップの管理（サーバ内のデータのバックアップ）
第 18条

情 報 セ キ ュ リ テ ィ 責 任 者 は 、サ ー バ に 保 存 さ れ た デー タ に つ い て は 、 定 期的 にバックアップを行うものとする。
第５節

ソフトウェアの管理およびウイルス対策（ソフトウェアの利用制限）
第19条
２

職員は、業務に不要なソフトウェアをインストールし、利用してはならない。

職員は、ＯＳのセキュリティ設定を変更してはならない。

（セキュリティパッチの適用）
第 20条

情 報 セ キ ュ リ テ ィ 責 任 者 は 、ソ フ ト ウ ェ ア に 関 す るセ キ ュ リ テ ィ パ ッ チ が公 開された場合は、職員に通知して導入を指導し、利用するソフトウェアを常に最新の状態であるように保つものとする。
（ウイルス対策ソフトの導入）
第 21条

情 報 セ キ ュ リ テ ィ 責 任 者 は 、公 社 内 ネ ッ ト ワ ー ク また は イ ン タ ー ネ ッ ト に接 続するすべての情報機器に、ウイルス対策ソフトを導入する。
（ウイルス対策ソフトの稼働）
第22条

職員は、ウイルス対策ソフトの定義ファイルを常に最新の状態に維持する。

２

職員は、ウイルス対策ソフトを常に稼働させる。

３

職員は、少なくとも１か月に１度、ウイルス対策ソフトによりハードディスクを完全スキャンする。
4

６－５
４

職員は、ウイルス対策ソフトの設定を許可なく変更してはならない。
第６節

インターネット、電子メールの利用（インターネットの閲覧制限）
第23条

職員は、インターネットブラウザを利用して業務とは明らかに関係のないページを閲覧してはならない。
２

職員は、業務上知り得た機密情報をインターネット上の掲示板、ブログ等に書き込んではならない。

（電子メールの利用）
第 24条

職 員 は 、 公 社 が 管 理 す る 端 末以 外 で 、 公 社 が 発 行 する メ ー ル ア カ ウ ン ト を許 可なく利用してはならない。
２

職 員 は 、 受 信 し た 電 子 メ ー ル を 許 可 な く 個 人 の 情 報 機 器 や 携 帯 電 話 等 に 転 送 し てはならない。

３

職 員 は 、 電 子 メ ー ル を 送 信 す る 場 合 、 送 信 先 の 電 子 メ ー ル ア ド レ ス の 誤 入 力 に 注意する。

４

職員は、個人情報および機密性の高いデータファイルを電子メールによって送信する
場合には、データの暗号化やパスワード設定により、第三者による盗聴を防止する。

５

前項について、職員は、送信先にデータの復号のためのパスワード等を伝える場合は、電話もしくは当該データの送信メールとは異なるメールにより行うものとする。
第４章

媒体の管理

（媒体の保管）第25条

職員は、個人情報などの重要情報を含む帳票および記録媒体（以下「媒体」という。）について、適切な保管期間を定めた上で、キャビネット等で施錠保管する。
（帳票の使用）第26条

職員は、個人情報などの重要情報を含む帳票については、紛失や盗難を防止するため、以下の事項を実施する。
⑴

帳票を机の上や出力したままプリンタ上に放置しないようにする。

⑵

一時的に使用した帳票は、速やかに保管場所へ戻す。

⑶

帳票を公社外へ持ち出す場合は、鞄や箱などに入れ、手元から離さないようにする。

⑷

帳票を持って直帰しない。

⑸

車内に帳票を保管し、車を離れる場合は車を施錠する。

⑹

帳票を閲覧する場合は、第三者に閲覧されないように注意する。

（記録媒体の利用）
第27条

職員は、職務上記録媒体を利用する必要がある場合は、情報セキュリティ責任者が許可をした記録媒体を利用しなければならない。
２

情報セキュリティ責任者は、許可をした記録媒体については、「記録媒体管理台帳」に記録し、定められた保管場所にて管理を行う。

３

職員は、記録媒体を利用する場合は、公社の内外に関わらず、「記録媒体利用管理簿」に次の事項を記録し、情報セキュリティ責任者の承認を得なければならない。
⑴

記録媒体の利用開始日
5６－５⑵

記録媒体の管理番号

⑶

利用者

⑷

利用目的

⑸

記録媒体の返却日

４

職員は、記録媒体を公社外へ持ち出す場合は、盗難、紛失に十分注意するとともに、個人情報などの重要情報を書き込む場合は、パスワード設定やデータの暗号化を行い、情報漏えい策を講ずる。

５

職員は、記録媒体の利用終了後は、バックアップなどで長期保管する必要がある場合を除き、速やかに書き込んだ情報を削除し、保管場所に返却する。

（媒体の処分）第28条

職員は、保管期間が経過した媒体について、シュレッダー等を用いて廃棄もしくは消去（データフォーマット）する。
２

職員は、一時的にコピー又はプリントアウトした資料、メモ類や誤複写等の帳票は、業務終了後、速やかに廃棄する。
第５章

公社内の安全性の確保

第１節

総則

（エリアのゾーニング）
第29条

情報セキュリティ責任者は、個人情報の安全性を確保するため、施設のエリアを次の２区分とし、入室者を制限する。

２⑴

オープンエリア⑵

ワーキングエリア
情 報 セ キ ュ リ テ ィ 責 任 者 は 、 前 項 の エ リ ア 区 分 お よ び 出 入 り 口 の 位 置 を 明 確 に した「フロア見取り図」を作成する。
（オープンエリアのセキュリティ基準）
第 30条

オ ー プ ン エ リ ア は 、 営 業 時 間中 は 、 一 般 に 開 放 し 、特 段 の 入 室 制 限 は 設 けな いものとする。ただし、不審者を発見した場合は、この限りでない。
（ワーキングエリアのセキュリティ基準）
第31条

ワーキングエリアは、原則として職員のみが入室できるエリアとし、許可された者以外の入室を制限する。
２

ワーキングエリアに、職員以外の者が立ち入る場合は、原則として職員の同行を必要とする。

（施錠の原則）第32条

職員は、退勤時またはその他の外出時にキャビネット等のある執務室を施錠する。
第２節

入退室の管理（職員の入室）第33条
２

当日最初に出勤した職員は、解錠して入室し、不正侵入等の有無を確認する。

前項において、不正侵入等の異常を発見した場合は、速やかに情報セキュリティ責任者に連絡する。
6６－５（職員の退室）第34条

当日最後に執務室から退勤する職員は、キャビネット、窓の施錠状況、パソコンのシャットダウンの実施状況、ノートパソコン放置の有無を確認する。
２

当日最後に執務室から退勤する職員は、出入り口を施錠して退室する。

（入退記録の管理）
第35条

情報セキュリティ責任者は、公社の設備に応じてタイムカード等により、以下の記録を保管する。
⑴

当日最初の入室者および入室時刻⑵

当日最後の退室者および退室時刻

２

情報セキュリティ責任者は、前項により徴収した記録を１か月に１度確認し、不正な入退室の有無を確認する。

（来訪者の入退室）
第 36条

職 員 は 、 来 訪 者 を 執 務 室 内 に入 室 さ せ る 場 合 は 、 原則 と し て オ ー プ ン エ リア に限定する。
２

職 員 は 、 や む を 得 ず 来 訪 者 を ワ ー キ ン グ エ リ ア に 入 室 さ せ る 場 合 は 、 当 該 来 訪 者に常時同行するものとし、必要に応じて、以下の事項について記録する。
⑴

来訪者の氏名、所属（会社名等）および来訪人数

⑵

来訪目的

⑶

対応した職員名⑷

来社および辞去時刻
第３節

施錠鍵の管理（施錠鍵の貸与）
第 37条

各 部 署 に お け る 担 当 者 は 、 公社 の 施 錠 鍵 、 セ キ ュ リテ ィ カ ー ド 、 キ ャ ビ ネッ ト

およびサーバラック等に備わる施錠鍵を用意し、施錠鍵を必要とする職員に限定して使用する。
第６章

緊急時対応

（緊急時対応手順の策定）
第38条

情報セキュリティ責任者は、情報システムの障害や情報セキュリティの事件および事故の発生時における対応手順を定めるものとする。
２

情報セキュリティ責任者は、前項の緊急時対応手順を職員に周知徹底するものとし、必要に応じて、事件や事故の発生を想定した訓練を行う。

（緊急時対応）第39条

情報セキュリティ責任者は、セキュリティ事故等が発生した場合は、前条の対応手順に基づき、被害拡大の防止、早期復旧を図らなければならない。
２

セキュリティ事故等を発見もしくは発生連絡を受けた職員は、速やかに障害状況等の把握を行うとともに、情報セキュリティ責任者への状況報告および関係者への連絡を行う。

３

情 報 セ キ ュ リ テ ィ 責 任 者 は 、 職 員 か ら セ キ ュ リ テ ィ 事 故 等 の 報 告 を 受 け た 場 合 は、
7

６－５
速やかに情報セキュリティ統括責任者に報告する。
（緊急連絡網の整備）
第40条

情報セキュリティ責任者は、緊急時の初動対応を迅速に行うため、内部組織および関連事業者との緊急連絡網を整備する。

付則

この規程は、平成26年4月1日から施行する。

8

６－５

第 1 号様式（第 12 条関係）
年
事務局長

月日総務係長

一般社団法人練馬区産業振興公社
情報セキュリティ責任者

殿
利用者

所

属氏

名

ネットワーク接続申請書
一般社団法人練馬区産業振興公社情報システムに、下記のとおり接続の承認をお願いいたします。
記
１

接続機器

２

接続期間

３

接続目的

４

その他（個人情報の取扱いなど）

５担当

9

６－５

第 2 号様式（第 13 条関係）
年
事務局長

月日

総務係長

一般社団法人練馬区産業振興公社
情報セキュリティ責任者

殿

使用者

所

属氏

名

情報機器外部使用届
一般社団法人練馬区産業振興公社の情報機器を下記のとおり、公社外にて使用いたします。
記
１

情報機器

２

使用期間

３

使用場所

４

その他（個人情報の取扱いなど）

５

担当

10