大阪広域環境施設組合監査委員告示第３号
地方自治法（昭和 22 年法律第 67 号）第 199 条第 14 項の規定により、監査の結果に基づき措置を講じた旨通知があったので、同項の規定により次のとおり公表する。
令和６年３月 28 日
大阪広域環境施設組合
監査委員

阪 井 千鶴子

同金 子 恵 美

監査の結果に基づき講じた措置の通知の公表

１ 通知を行った者の氏名
大阪広域環境施設組合管理者 横山 英幸
２ 通知を受けた日及び講じた措置の内容(1) 通知を受けた日：令和６年２月 29 日
対象：令和２年度定期監査等
指摘
No.
４(2)

指摘等の概要情報セキュリティ関係規程上の定期的な実施事項について改善を求めるもの

措置内容又は措置方針等
１
・受注者から毎月報告のある「セキュリティ及びウイルスに関する情報」を庁内ポータルサイト

各種情報システムの保守に関に掲載して環境施設組合内で情しては、大阪広域環境施設組合報共有を図ることとし、令和３

情報セキュリティ対策基準及び年７月実績の報告分から庁内ポ

大阪広域環境施設組合情報セキータルサイトに掲載し、月ごとュリティ実施手順には、情報セにデータを追加している。

キュリティの確保のため、定期的にＩＴ管理者又は課情報セキ

・また、攻撃型メールの受信など

ュリティ責任者が実施すべき事緊急に全職員への周知を要する項が多数規定されている。

情報については、庁内ポータル

しかしながら、今回、情報セサイトのトップ画面（インフォ

1

措置分類

措置日措置済令和３年８月26日

キュリティの確保に関して定期メーション）に掲載することと的に実施すべき事項（以下「定し、不審なメールを受信した事期的な実施事項」という。
）の実について、令和３年４月16日

実施状況について調査したとこに初めて掲載した。

ろ、以下の実態が見受けられた。

・なお、全職員への定期的な啓発については、４(1)の２同様、毎・セキュリティ及びウイルスに関する情報については、ネッ

年の情報セキュリティ研修の機会を活用していく。

トワークシステム管理業務の受注者から定期的に報告を受２

措置済

けているものの、ＩＴ管理者・定期的な実施事項について、現及び課情報セキュリティ責任在の状況を確認し、「情報セキュ者から各課職員への情報周知リティ関係規定に基づき定期的等は実施されていなかった。に実施が必要な項目リスト」に・上記以外の定期的な実施事項取りまとめた。その結果、「情報については、実施中のものがセキュリティ検査」が実施でき大半であったが、実施スケジていないことを確認した。情報

ュールが未整理のものも見受セキュリティ検査の実施についけられた。て、課題抽出や事前準備作業を行ったところ、検査実施のため現状では、セキュリティ及びウの関係規程の整備が必要である

イルスに関する最新の必要な情ことが判明した。

報が職員間に行き届かず、ウイルスの侵入等を防止できずに情・令和４年度中の検査実施に向け報セキュリティインシデントがて規程の整備を開始し、「情報セ発生するリスク、定期的な実施キュリティ検査実施要綱（案）」

事項が定期的に行われず、セキ（以下「要綱（案）」という。
）をュリティ確保が不十分となった作成した。

ことで情報セキュリティインシ

2

令和５年12月20日

デントが発生するリスクがあ・令和５年３月10日付で「情報セる。

キュリティ検査の実施について(通知)」を各所属に通知し、情報［改善勧告］

セキュリティ検査を実施した。

１ 課情報セキュリティ責任者

なお、この検査では「要綱（案）」は、ＩＴ管理者と調整の上、セを暫定的に運用し、ハードウェ

キュリティ及びウイルスに関すア等の管理状況について、検査る情報について、注意喚起も含を実施した。

め、全職員を対象に定期的に周知及び啓発を行う仕組みを整・検査結果を踏まえて、「情報セキえ、実行すること。
２

ュリティ検査実施要綱」を制定

課情報セキュリティ責任者

し、令和５年度の情報セキュリは、令和２年度満了後、それぞれティ検査を実施するために必要定期的な実施事項の実施状況にとなる「情報セキュリティ検査ついてＩＴ管理者を中心に集約基本計画」を令和５年12月20日した上で、ＩＴ管理者との調整に定め、令和５年度情報セキュのもとでこれらの実施状況を検リティ検査を実施している。

証し、課題のある場合は必要な措置を講じること。

・令和６年度以降についても、継続的に情報セキュリティ検査を実施していく。

(2) 通知を受けた日：令和６年２月 29 日
対象：令和３年度定期監査等
指摘
No.
２(1)

指摘等の概要情報セキュリティ検査の実施について改善を求めるもの

措置内容又は措置方針等
１
・令和４年度中に情報セキュリテ
ィ検査を実施するべく、課題整

環境施設組合では、庁内通信理や関係規程の整備を行い、「情ネットワークにおける情報等の報セキュリティ検査実施要綱

3

措置分類

措置日

措置済

令和５年12月20日

セキュリティの保持を目的とす（案）」を作成した。

る大阪広域環境施設組合情報セキュリティ管理規程（以下「情・令和５年３月10日付で「情報セ報管理規程」という。
）第11条

キュリティ検査の実施についてにおいて、情報セキュリティ対(通知)」を各所属に通知し、情報策の実施状況の検証を目的としセキュリティ検査を実施した。て、統括情報セキュリティ責任

なお、この検査では「要綱（案）」者（事務局長）による定期的なを暫定的に運用し、情報実施手検査（以下「情報セキュリティ順により提出されるチェックシ検査」という。
）の実施が規定ートの内容を基にハードウェアされており、情報セキュリティ等の管理状況を検査した。

検査を実施する必要がある。
しかしながら、今回の監査に・令和５年３月に実施した情報セおいて、情報セキュリティ検査キュリティ検査結果を踏まえの実施状況を確認したところ、て、令和５年12月20日付で「情報次のとおりであった。

セキュリティ検査実施要綱」と
令和５年度情報セキュリティ検・令和３年10月末の時点では、査を実施するために必要な「情情報セキュリティ検査は実施報セキュリティ検査基本計画」されたことがなく、実施に向を策定した。

けての具体的な計画も作成されていなかった。

・令和６年２月22日に「庁内情報・情報セキュリティ検査の実施

ネットワークシステムにかかるに際しては、情報管理規程第情報セキュリティに関する点検11条第４項に基づき、統括情の実施について（依頼）」を全所報セキュリティ責任者が情報属に送付し、令和５年度情報セセキュリティ検査の実施方法キュリティ検査を実施していその他必要な事項（以下「実る。

施方法等」という。
）を定める必要があるが、実施方法等

・令和６年度以降についても、継4が定められていなかった。
・なお、情報セキュリティ検査続的に情報セキュリティ検査を実施する。に近い取組みとしては、 平
成30年度の監査指摘を受けて令和２年６月に作成された大阪広域環境施設組合 情報セキュリティ実施手順（以下「情報実施手順」という。
）に、課情報セキュリティ責任者が所定のチェックシートによる点検結果を統括情報セキ
ュリティ責任者あて報告する制度が設けられているが、この制度は、課情報セキュリティ責任者が自己点検を行うものであるため、統括情報セキ
ュリティ責任者の判断により課情報セキュリティ責任者の管理状況を検査する情報セキ
ュリティ検査には該当するものではない。

［指摘事項］
１ 総務課は、情報管理規程の趣旨に沿った内容の情報セキュリティ検査を定期的に実施すること。なお、実施に当たっては、実施方法等を定める規程を新たに定めるほか、情報実施手順により提出されるチェックシート

5

の精査等を行い、実情に応じた内容とすること。
２(2)

情報実施手順に定める様式及び関係規程の検証について改善を求めるもの

１

措置済

・情報実施手順に定める様式につ

令和５年
12月27日いては、様式の利用状況の把握や実際の記入手順等の自己検証

環境施設組合の庁内情報ネッ等を行い、その結果を基に令和

トワークにおける情報セキュリ

５年12月19日付で情報実地手順ティの確保については、情報管を改定した。

理規程並びに情報管理規程に基づく定められた大阪広域環境施・改定した情報実施手順につい設組合情報セキュリティ対策基て、令和５年12月27日に「大阪準（以下「情報対策基準」とい広域環境施設組合情報セキュリう。
）及び情報実施手順等の情ティ実施手順の改定について報セキュリティ関係規程が設け（通知）」を各所属に送付し、られているが、これらの制定状改定した「情報実施手順」を庁

況及び運用状況については、こ内ポータルサイトへ掲載した旨

れまでも定期監査の対象としての周知を行った。また、情報実きたところである。

施手順の改定箇所や内容等を丁しかしながら、今回の監査に寧に記載した「主な改定」資料

おいて、情報セキュリティ関係についても庁内ポータルサイト規程の運用状況を確認したとこへ掲載し、その旨も周知した。

ろ、次のとおりであった。
２

措置済・ 情報実施手順に規定する様式・それぞれの情報関係規定の内容を用いて、庁内情報端末や記の妥当性を検証し、令和５年３録媒体の管理等が行われてい月24日付で「大阪広域環境施設るが、課情報セキュリティ責組合情報セキュリティ対策基任者が確認すべき時点との間準」を、令和５年３月27日付での齟齬等が見受けられる。な「大阪広域環境施設組合情報セ6

令和５年12月27日

お、一部では、様式の取扱いキュリティ管理規程」をそれぞの誤認も見られた。

れ改定し、本組合ホームぺージ

・ 情報実施手順については、そに掲載した。の内容上、年度ごとに更新す上記の改定内容を踏まえつるべき部分が更新されていな

つ、令和５年12月19日付で情かったほか、文言の不備や関報実施手順を改定し、12月27係規程間の齟齬と思われる箇日付で各所属に対して改定し所も見受けられた。

た情報実施手順を庁内ポータルサイトへ掲載した旨の周知［指摘事項］
１ 総務課は、情報実施手順に定を行った。
また、これらの改定に際しめる様式について、その利用状ては「主な改定歴」を作成

況を改めて把握した上で、適正し、情報関係規定の改定箇所な手続のために必要な実務上のの内容の整理し、保管してい手順を整理し、その結果を様式る。に反映させた見直しを行うこ

今後も情報関係規定の妥当と。なお、見直した場合は、様性を含めた内容の検証を継続式の利用手順について、その目的に実施していく。

的に沿って丁寧に説明して周知すること。
２ 総務課は、情報実施手順に定める様式に限らず、これまでの定期監査でも指摘したとおり、情報セキュリティ関係規程については、ＩＣＴに関する状況の急速な進歩や変化等も踏まえつ
つ、その内容の今日的妥当性を含め、内容の点検整理や関係資料の整理保管、さらには検証の継続的な実施を行うこと。

7