約款による外部サービス利用実施手順書

作成者
作成日
最終更新日

恩納村

総務課

平成 29 年 11 月 30 日

目次

１．目的 .................................................................... 1
２．対象範囲 ................................................................ 1
３．利用責任者 .............................................................. 1
４．代表的な約款による外部サービス ........................................... 1
５．利用手続き .............................................................. 1
６．利用中の運用手順......................................................... 2
７．終了時 .................................................................. 3
８．その他 .................................................................. 3

１．目的本手順書は、約款による外部サービス（有料、無料に関わらず、約款への同意及び簡易なアカウントの登録により当該機能を利用可能なサービスのこと。）の利用における情報セキュリティ対策を実施するための具体的な手順を定めることを目的とする。

２．対象範囲本手順書は、約款による外部サービスにおいて取り扱う情報資産及び約款による外部サービスを利用する課の職員等を対象とする。

３．利用責任者
情報セキュリティ管理者を、各課における約款による外部サービスの利用責任者とする。
ただし、各課において利用する約款による外部サービスが複数存在する可能性もあることから、情報セキュリティ管理者は、利用するサービスごとにサービス管理担当者を指定することができる。

４．代表的な約款による外部サービス
約款による外部サービスの代表的なものは、電子メール、ファイルストレージ、グループウェア等のクラウドサービスである。利用期間中は、「６．利用中の運用手順」の事項を遵守しなければならない。原則として、業務上必要なサービスであり、重要性分類Ⅲ以下の情報についての利用に限るが、利用責任者の許可（決裁行為）があれば、この限りではない。

５．利用手続き
職員等は、業務により利用する場合には、次の手順に従う。
（１）利用しようとする職員等は、様式「約款による外部サービス利用申請書」に基づき、次に掲げる内容を利用責任者に申請する。
①

利用するサービス及び利用する組織名②

利用目的、利用期間及びサービス管理担当者③

利用するサービスで取り扱う情報の種類④

利用申請時の申請内容（画面コピー等でも可）⑤

サービス約款及び（２）に記載する情報セキュリティ対策が実施されていることの証明（画面コピー等でも可）（２）利用責任者は、申請された様式「約款による外部サービス利用申請書」の内容をについて、次に掲げる対策が実施されていることを確認し、様式にチェックしなければならない。
1

①

村とサービス事業者間の通信方式は、HTTPS 等の暗号化が施されていること。

②

保存されるデータは、パスワード又は暗号化等の対策がとられていること。

③

個人情報を扱う場合、プライバシーポリシーが制定されていること。

④

利用後のデータの扱いについて、廃棄方法が明確に定められており、廃棄証明が発行できること。

⑤

責任の所在が明確になっていること（無償サービスについては、特に注意すること。）。

⑥

過去３年間、情報セキュリティインシデントが発生していないこと。

⑦

情報セキュリティインシデント発生時の対応が明確になっていること。

⑧

サービス提供事業者の従事者に対する守秘義務、目的外でのデータ利用の禁止、罰則規定が明確になっていること。

（３）利用責任者は、様式「約款による外部サービス利用申請書」に問題がなく、利用を認める場合は、承認するとともに、約款による外部サービスの利用に特有のリスクがあることをサービス管理担当者に理解させる。
（４）利用を許可されたサービス管理担当者は、様式を少なくともサービス利用終了後３年間は保管する。

６．利用中の運用手順
サービス管理担当者は、約款による外部サービスを利用している場合、次に掲げる運用管理を実施する。
（１）サービス管理担当者は、提供されるサービス内容について、四半期に１度程度、定期的に内容確認を行う。もし、サービス内容に変更があった場合は、利用責任者に連絡するとともに、サービスの継続可否について検討する。
（２）サービス管理担当者は、提供されるサービスが、海外のサーバ及びネットワークを経由する場合、国内法の適用外となる可能性があるため、直ちにサービスの利用を停止する。
（３）サービス管理担当者は、利用するサービスの突然の停止に備え、あらかじめ代替サービスを確認し、確保しておく。
（４）サービス管理担当者は、約款や利用規約が予告なく一方的に変更され、セキュリティ対策が変更される場合や、一度保存された情報が確実に消去できない場合に備え、サービスで取り扱っている情報を把握しておく。
2

（５）サービス管理担当者は、情報の滅失、破壊等に備え、定期的に、少なくとも１か月に１度はバックアップを行う。
（６）サービス管理担当者は、情報の利用目的や取り扱う情報の種類が申請した内容と異なっていないか、利用者に対し毎月１回は確認しなければならない。
（７）利用責任者は、他組織で外部サービス利用に関する情報セキュリティインシデントが発生した場合、利用者への注意喚起を行う。
（８）職員等は、情報セキュリティインシデントが発生した場合、情報セキュリティ対策基準に基づき、速やかに対処する。

７．終了時
サービス管理担当者は、約款による外部サービスを終了する場合、次の手順に従う。
（１）サービス管理担当者は、様式「約款による外部サービス終了確認書」に基づき、次に掲げる内容を利用責任者に申請する。
①

終了するサービス及び利用する組織名②

終了する理由③

サービスで取り扱った情報の種類④

終了時の承諾内容（画面コピー等でも可）⑤

データ廃棄に関する証明（画面コピー等でも可）（２）サービス管理担当者は、様式「約款による外部サービス終了確認書」に基づき、次に掲げる内容を利用責任者に申請する。
①

利用していたデータが確実に消去されていること。

②

廃棄証明を受け取っていること。

③

利用者に対し、サービス終了が伝わっていること。

④

サービス提供事業者の従事者に対する守秘義務、目的外でのデータ利用の禁止、罰則規定等が明確になっていること。

８．その他
上記内容に違反した場合は、地方公務員法に基づき、処罰の対象となる。

3

［改定履歴］
版

更新年月日

1.0 版

平成 29 年 11 月 30 日

改定理由及び内容
新規制定

承認

審査担当

＜様式＞

約款による外部サービス利用申請書
以下の通り、申請しますので利用を許可願います。
申請日

平成年

月日

申請者

利用サービス

提供会社名
提供サービス名※詳しく記載のこと

サービス内容利用目的・取り扱う情報の種類

・
利用者（合計人数：
利用期間

平成年

月日 ～

サービス管理担当者

平成年月）

日

所属長名

※利用申請時の申請内容及びサービス約款を添付のこと（画面コピー等で可）■確認事項（申請者がチェックすること。申請後、利用責任者（所属長ではない）がダブルチェックすること）
NO

確認内容 （凡例：可→○、不可→×、該当なし→／）

１

本村とサービス事業者間の通信方式はHTTPS等の暗号化が施されているか？

２

保存されるデータは、パスワード又は暗号化等の対策がとられているか？

３

個人情報を扱う場合、プライバシーポリシーが制定されているか？

４

責任者

契約終了後、情報資産の廃棄方法について明確に定められており、廃棄証明が発行できるか？

５

責任の所在が明確になっているか？（無償サービス時は、特に注意すること）

６

過去3年間、情報セキュリティインシデントが発生していないか？

７

情報セキュリティインシデント発生時の対応が明確になっているか？

８

申請者

サービス提供事業者の従事者に対する守秘義務、目的外でのデータ利用の禁止、罰則規定等が明確になっているか？

※確認できる資料を添付のこと（画面コピー等でも可）
約款による外部サービスには特有のリスクが存在する。これを理解したうえで利用すること。
・サービス提供者は、保存された情報を自由に利用することが可能である。
・情報が意に反して公開されてしまった場合や、情報が改ざんされた場合でも、サービス提供者は一切の責任を負わない。
・突然サービス停止に陥ることがある。その際に預けた情報の取扱いは保障される、損害賠償も行われない場合がある。
・利用上の不都合、不利益等が発生してもサービス提供者が個々の対応には応じない場合が多く、万が一対応を承諾された場合にでも、その対応には時間を要することが多い。

利用責任者の承認

＜様式＞

約款による外部サービス終了確認書
以下の通り、利用中のサービスを終了します。
申請日

平成年月日

申請者

終了サービス

提供会社名
提供サービス名※詳しく記載のこと

サービス内容終了理由

・取り扱っていた情報の種類
・
利用者（合計人数：終了日

平成年月）

日

サービス管理担当者

所属長名※終了時の申請内容を添付のこと（画面コピー等で可）■確認事項（申請者がチェックすること。申請後、利用責任者（所属長ではない）がダブルチェックすること）
NO

確認内容 （凡例：可→○、不可→×、該当なし→／）

１

利用していたデータは確実に消去されているか？

２

廃棄証明を受け取っているか？

３

利用者に対し、サービス終了が伝わっているか？

４

申請者

責任者

サービス提供事業者の従事者に対する守秘義務、目的外でのデータ利用の禁止等
再度、サービス提供事業者に確認しているか？

※確認できる資料を添付のこと（画面コピー等でも可）

利用責任者の承認