第 1 章 情報セキュリティ基本方針
1．目的
本基本方針は、本市が保有するネットワーク、情報システム及びこれらに関する設備並びに情報資産について、機密性、完全性及び可用性を維持するため、本市が実施する情報セキ
ュリティに関する基本的な事項を定めることにより、行政の適正かつ円滑な運営を図り、もって市政に対する市民の信頼を確保することを目的とする。
2．定義
本基本方針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
（１）ネットワーク
コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をいう。
（２）情報システム
コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
（３）情報セキュリティ
情報の機密性、完全性及び可用性を維持することをいう。
（４）情報セキュリティポリシー
本基本方針及び情報セキュリティ対策基準をいう。
（５）機密性
情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
（６）完全性
情報が破壊、改ざん又は消去されていない状態を確保することをいう。
（７）可用性
情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
（８）特定個人情報
行政手続における特定の個人を識別するための番号の利用等に関する法律(以下1「番号法」という。)第２条に規定する、個人番号をその内容に含む個人情報をいう。
（９）マイナンバー利用事務系（個人番号利用事務系）
個人番号利用事務（社会保障、地方税若しくは防災に関する事務）又は戸籍事務等に関わる情報システム及びデータをいう。
（１０）LGWAN 接続系
LGWAN に接続された情報システム及びその情報システムで取り扱うデータをいう（マイナンバー利用事務系を除く。
）。
（１１）インターネット接続系
インターネットメール、ホームページ管理システム等に関わるインターネットに接続された情報システム及びその情報システムで取り扱うデータをいう。
（１２）通信経路の分割
LGWAN 接続系とインターネット接続系の両環境間の通信環境を分離した上で、安全が確保された通信だけを許可できるようにすることをいう。
（１３）無害化通信
インターネットメール本文のテキスト化や端末への画面転送等により、コンピュータウイルス等の不正プログラムの付着が無い等、安全が確保された通信をいう。
3.対象とする脅威
情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。
本基本方針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
（１）人による脅威（故意）不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等（２）人による脅威（過失）
情報の無断持ち出し、無許可ソフトウェアの使用等の規程違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、外部委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報の漏えい・破壊・消去等（３）災害による脅威
地震、落雷、火災等の災害によるサービス及び業務の停止、情報の消失等
2

（４）必要資源の不足、故障等による脅威
災害の影響又はその他の原因による電力供給の途絶、通信の途絶、水道供給の途絶、交通機能の麻痺や大規模・広範囲にわたる疾病の蔓延による要員の不足、機器の故障等によるサービスや業務の停止、システム運用の機能不全等
4.適用範囲（１）行政機関及び職員の範囲
本基本方針の適用範囲は、内部部局、教育委員会、選挙管理委員会、公平委員会、監査委員会、農業委員会、固定資産評価審査委員会、上下水道局及び議会事務局（以下「天理市」という。
）が保有する情報、その情報に関する事務に携わる全ての職員、会計年度任用職員、労働者派遣事業により本市の事務に携わる者（以下「職員等」という。
）及び委託事業者とする。
（２）情報資産の範囲
本基本方針が対象とする情報資産は、次のとおりとする。
①ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体②ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。
）③情報システムの仕様書及びネットワーク図等のシステム関連文書④職員が職務上作成又は取得し、保有している文書、図面及び電磁的記録⑤情報資産のうち、学校の用に供する教育財産は除く
5.職員等の遵守義務
上記 4 に規定する者は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。
6.情報セキュリティ対策
上記 3 の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じるものとする。
（１）組織体制
本市の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制の確立する。
（２）情報資産の分類と管理
本市の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。

3

（３）情報システム全体の強靭性の向上
情報セキュリティの強化を目的とし、業務の効率性・利便性の観点を踏まえ、情報システム全体に対し、次の三段階の対策を講じる。
①マイナンバー利用事務系においては、原則として、他の領域との通信をできないようにした上で、端末からの情報持ち出し不可設定や端末への多要素認証の導入等により、住民情報の流出を防ぐ。
②LGWAN 接続系においては、LGWAN と接続する業務用システムと、インターネット接続系の情報システムとの通信経路を分割する。なお、両システム間で通信する場合には、原則、無害化処理を実施する。
③インターネット接続系においては、不正通信の監視機能の強化等の強度な情報セキュリティ対策を実施する。高度な情報セキュリティ対策として、都道府県及び市区町村のインターネットとの通信を集約した上で、自治体情報セキュリティクラウドの導入等を実施する。
（４）物理的セキュリティ
保管施設、通信回線及び職員等のパソコン等の管理について物理的な対策を講じる。
（５）人的セキュリティ
情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。
（６）技術的セキュリティ
コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。
（７）運用
情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際の情報セキュリティの確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適切に対応するため、緊急時対応計画を策定する。
（８）業務委託と外部サービスの利用
業務委託を行う場合には、委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、委託事業者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じる。
外部サービスを利用する場合には、利用にかかる規定を整備し対策を講じる。
ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービス
4

の運用手順を定め、ソーシャルメディアサービスで発信できる情報を規定し、利用するソーシャルメディアサービスごとの責任者を定める。
（９）評価・見直し
情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施し、運用改善を行い、情報セキュリティの向上を図る。情報セキュリティポリシーの見直しが必要な場合は、適宜情報セキュリティポリシーの見直しを行う。
7.情報セキュリティ監査及び自己点検の実施
情報セキュリティポリシーの遵守情報を検証するため、必要に応じて情報セキュリティに関する監査及び自己点検を実施する。
8.情報セキュリティポリシーの見直し
情報セキュリティに関する監査及び自己点検の結果又は情報セキュリティに関する状況の変化に対応するため、定期的に情報セキュリティポリシーを見直す。
9.情報セキュリティ対策基準の策定
上記 6、7 及び 8 に規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。
10.情報セキュリティ実施手順の策定
情報セキュリティ対策基準に基づき、情報セキュリティに関する対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定する。
なお、情報セキュリティ実施手順は、セキュリティ確保のため非公開とする。
11.違反規定
情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法第 29 条に規定する懲戒処分の対象となるほか、情報資産の利用に制限を加えることができる。

5附 則
本基本方針は、平成 16 年 7 月 1 日から施行する。
本基本方針は、平成 20 年 6 月 1 日から施行する。
本基本方針は、平成 23 年 3 月 2 日から施行する。
本基本方針は、平成 27 年 12 月 28 日から施行する。
本基本方針は、令和 3 年 7 月 8 日から施行する。
本基本方針は、令和 6 年 7 月 1 日から施行する。

6