別紙４

電算処理の外部委託基準

20120104

別紙

電算処理の業務委託契約の特記事項（兼電算処理の個人情報を取り扱う業務委託契約の特記事項）（秘密保持義務）
１ 乙は、当該委託契約（業務内容に保守委託を伴う賃貸借契約等を含む。以下同じ。）に係る電算処理業務（以下「委託業務」という。）により知り得た個人情報その他の情報（以下「情報」という。）を、いかなる理由があっても第三者に漏らしてはならず、この旨を委託業務に従事する者（以下「従事者」という。）へ周知徹底しなければならない。また、契約期間満了後も、同様とする。
（書面主義の原則）
２ 乙は、本特記事項により通知、報告、提出等が求められている事項については、特段の定めがない限り、書面により行うものとする。
（管理体制等の通知）
３ 乙は、当該委託契約の締結後直ちに、以下の文書を甲に提出しなければならない。
提出後に内容の変更があった場合も、同様とする。
(1) 情報セキュリティ及び個人情報保護に関する社内規程又は基準(2) 以下の内容を含む従事者名簿① 電算処理の責任者及び電算処理を行う者の氏名、責任、役割及び業務執行場
所② 委託業務において個人情報を取り扱う者及び個人情報に係る記録媒体の授受に携わる者の氏名並びに業務執行場所③ 委託業務に関する緊急時連絡先一覧(3) 委託業務に係る実施スケジュールを明記した文書（再委託の禁止）
４ 乙は、委託業務の全部又は一部を、他の者に再委託してはならない。ただし、附属業務でやむを得ず再委託する必要があるときは、乙は、再受託者に当該委託契約及び本特記事項を遵守させ、かつ、再受託者の氏名、再委託の内容及び業務執行場所を、甲に事前に通知し、その承認を得なければならない。
（目的外使用等及び複写等の禁止）
５ 乙は、委託業務で取り扱う情報を委託業務の目的以外に使用してはならない。また、第三者に提供してはならない。
６ 乙は、甲が委託業務での使用を目的として乙に提供し、又は貸与する情報及び情報資産（世田谷区電子計算組織の運営に関する規則（平成１６年世田谷区規則第４７号）第２条第９号に規定する情報資産をいう。以下同じ。）を、委託業務以外の目的に使用してはならない。
1

別紙４

７

乙は、委託業務で取り扱う情報及び情報資産について、業務上必要なバックアップを取得する場合を除き、甲の承認を得ずに複写してはならない。委託業務を実施する上でやむを得ず複写するときは、あらかじめ甲に通知し、その承認を得なければならない。この場合において、委託業務の終了後、乙は、直ちに複写した情報及び情報資産を消去し、再生又は再使用できない状態にするとともに、情報及び情報資産を消去した日時、担当者及び処理内容を甲に報告しなければならない。

（物的セキュリティ対策）
８ 乙は、委託業務に使用する情報システムに係る装置の取付けを行う場合は、できる限り、火災、水害、埃、振動、温度、湿度等の影響を受けない場所に設置するものとし、施錠等容易に取り外すことができないよう必要な措置を講じなければならない。
９ 乙は、委託業務に係る甲が運用する情報システムのサーバ等を区庁舎外に設置する場合は、甲の承認を得なければならない。また、定期的に当該サーバ等への情報セキュリティ対策状況について確認するとともに、甲から要請があった場合は、その結果を甲に報告しなければならない。
10 乙は、その従事者に名札等の着用及び身分証明書等の携帯を義務付け、甲の情報システム室その他の甲の管理区域に立ち入る場合において甲から求められたときは、身分証明書等を提示するよう指導しなければならない。
11 乙は、委託業務で使用するパソコン等の盗難を防止するため、当該パソコン等をセキュリティワイヤーで固定し、又は従事者が業務執行場所を離れる間において施錠可能なロッカー等に収納させるなどの措置を講じなければならない。
（人的セキュリティ対策）
12 乙は、委託業務において、甲に提出した情報セキュリティ及び個人情報保護に関する社内規程又は基準を遵守しなければならない。また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに甲に報告し、代替策について協議しなければならない。
13 乙は、情報資産を適切に保管するものとし、パソコン等により情報資産を使用する場合は、第三者に使用され、又は閲覧されることがないように、離席時にパスワードロック又はログオフ等を行わなければならない。
14 乙は、従事者に情報システムの保守又は運用業務に関し、次の事項を遵守させなければならない。
(1) 自己が利用している ID は、他人に利用させないこと（ID の共用を指定されている場合は除く。）。
(2) 共用 ID を利用する場合は、共用 ID の利用者以外の者に利用させないこと。
(3) パスワードを秘密にし、パスワードの照会等には一切応じないこと（パスワード発行業務を除く。）。
(4) パスワードのメモの不用意な作成等により、パスワード流出の機会を作らないこと。
(5) パスワードは、十分な長さとし、想像し難い文字列とすること。
(6) 複数の情報システムを取り扱う場合は、パスワードを情報システム間で共有しないこと。
2

別紙４(7) パソコン等のパスワードの記憶機能を利用しないこと。
(8) 社員間でパスワードを共有しないこと（ID の共用を指定されている場合を除く。）。
15 乙は、従事者に対して、情報セキュリティに関する教育及び緊急時対応のための訓練を計画的に実施しなければならない。
（技術的及び運用におけるセキュリティ対策）
16 乙は、情報システムの保守又は運用業務を遂行するに当たり、情報システムの変更記録、作業日時及び実施者を記録するとともに、各種アクセス記録及び情報セキ
ュリティの確保に必要な記録を全て取得し、一定期間保存しなければならない。
17 乙は、アクセスログ等を取得するサーバについて、正確な時刻設定を行わなければならない。自動的にサーバ間の時刻同期が可能な場合は、その措置を講じなければならない。
18 乙は、情報システム等に記録された重要性の高い情報について、定期的にバックアップを取得しなければならない。また、バックアップの取得前にその手法を甲に通知し、承認を得なければならない。
19 乙は、情報システムの開発及び導入に当たり、開発及び導入前に甲と協議の上、情報セキュリティに係る検証事項を定め、検証を実施しなければならない。
20 乙は、委託業務に使用する情報システムがネットワークに接続されている場合は、不正アクセスを防ぐため、常にセキュリティホールの発見に努め、メーカー等からのセキュリティ修正プログラムの提供があり次第、情報システムへの影響を確認し、甲と協議の上、修正プログラムを適用しなければならない。また、ウィルスチェックを行い、ウィルスの情報システムへの侵入及び拡散を防止しなければならない。
21 乙は、情報システムを開発する場合は、システム開発及びテスト環境と、本番運用環境を分離しなければならない。
（情報セキュリティ対策）
22 乙は、委託業務に関し、甲より情報資産を受領した場合は、預かり証を甲に対して交付しなければならない。また、当該情報資産を適切に管理するため、情報資産の受領日時、受領者名、受領した情報資産の種類等の記録簿を作成するとともに、甲から要請があった場合は、速やかに当該記録簿を甲に提示しなければならない。
23 乙は、委託業務に係る重要度の高い情報資産を運搬する場合は、可能な限り暗号化、パスワード設定等の保護対策を行い、鍵付きのケース等に格納する等、情報資産の紛失や不正利用を防止するための処置を講じなければならない。また、重要度の高い情報を電子メール等で送受信する場合は、暗号化、パスワード設定等の保護対策を行わなければならない。
24 乙は、委託業務で取り扱う情報資産を施錠可能な金庫、ロッカー等に適切に保管する等善良な管理者の注意をもって当たり、情報資産の取扱いには十分注意し、情報資産の紛失並びに情報の改ざん、漏えい等の防止に努めなければならない。
25 乙は、委託業務が終了したときは、甲より受領した情報及び情報資産を速やかに甲に返却しなければならない。また、返却が不可能な情報及び情報資産は、甲の了承のもと、バックアップデータを含め、情報及び情報資産を復元できないように処置した上で廃棄し、日時、担当者及び処理内容を甲に報告しなければならない。
3別紙４

26乙は、情報資産の作成業務を終了したときは、直ちに当該情報資産を甲があらかじめ指定した職員に引き渡さなければならない。

（電算処理機器の修理又は廃棄）
27 乙は、委託業務で使用しているサーバ、パソコン等の機器（以下これらを「電算処理機器」という。）を廃棄する場合は、事前に当該電算処理機器に保存されている情報を消去しなければならない。
（委託業務の報告）
28 乙は、甲に対し、委託業務の状況を定期的に報告するものとする。ただし、必要があるときは、その都度報告するものとする。
（監査、施設への立入検査の受入れ）
29 乙は、情報資産の情報セキュリティ管理状況について、甲の求めに応じて報告するものとする。また、甲が必要に応じて監査又は検査を実施する場合は受け入れなければならない。
30 乙は、甲が必要とする場合は、業務執行場所へ甲の職員の立入りを認めるものとする。
（緊急時の対応）
31 乙は、委託業務において、業務上のトラブル、災害、事故、電算処理機器の不良、故障及び破損等が発生した場合は、速やかに甲にその状況について報告し、甲の指示に従わなければならない。
32 乙は、委託業務について次に掲げる事象が発生した場合は、速やかに、甲にその状況を具体的に報告しなければならない。
(1) 情報及び情報資産の紛失(2) 情報の改ざん(3) 情報の漏えい(4) 不正アクセス(5) 情報セキュリティポリシーの違反(6) 前各号に掲げるもののほか、情報セキュリティに悪影響を及ぼす事象（サービスレベルの保証）
33 乙は、委託業務のサービスレベルについて、事前に甲と合意している場合は、そのサービスレベルを保証するものとする。
（損害賠償）
34 乙は、本特記事項に違反し、又は本特記事項を履行しなかったことにより、甲に損害が生じた場合には、甲に対しこれを賠償するものとする。

4