恩納村情報セキュリティポリシー

第２章

情報セキュリティ対策基準

本対策基準は、情報セキュリティ基本方針を実行に移すための、本村における情報資産に関する情報セキュリティ対策の基準を定めたものである。

１． 組織体制（１） 最高情報セキュリティ責任者（CISO:ChiefInformationSecurityOfficer、以下「CISO」という。
）（a） 副村長を CISO とする。CISO は、本村における全てのネットワーク、情報システ
ム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。
（b） CISO は、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとしておき、その業務内容を定めるものとする。
（c） CISO は、情報セキュリティンシデントに対処するための体制（CSIRT：
ComputerSecurityIncidentResponseTeam、以下「CSIRT」という。）を整備し、役割を明確化する。
（２） 統括情報セキュリティ責任者（a） 総務課長を CISO 直属の統括情報セキュリティ責任者とする。統括情報セキュリ
ティ責任者は、CISO を補佐しなければならない。
（b） 統括情報セキュリティ責任者は、本村の全てのネットワークにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
（c） 統括情報セキュリティ責任者は、本村の全てのネットワークにおける情報セキュ
リティ対策に関する権限及び責任を有する。
（d） 統括情報セキュリティ責任者は、情報セキュリティ管理者、情報システム管理者
及び情報システム担当者に対して、情報セキュリティに関する指導及び助言を行う権限を有する。
（e） 統括情報セキュリティ責任者は、本村の情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に、CISO の指示に従い、CISO が不在の場合には自らの判断に基づき、必要かつ十分な措置を実施する権限及び責任を有する。
（f） 統括情報セキュリティ責任者は、本村の共通的なネットワーク、情報システム及11恩納村情報セキュリティポリシー

び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任を有する。
（g） 統括情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、
統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、情報システム担当者を網羅する連絡体制を含めた緊急連絡網を整備しなければならない。
（h） 統括情報セキュリティ責任者は、緊急時には CISO に早急に報告を行うとともに、回復のための対策を講じなければならない。
（３） 統括情報セキュリティ担当
統括情報セキュリティ担当は統括情報セキュリティ責任者の指示の下で、前項（２）ａ～ｈの管理実務を行うものとする。総務課行政係が統括情報セキュリテ
ィ担当を担うものとする。
（４） 情報セキュリティ管理者（a） 村長部局の課室長、教育委員会の課長、公営企業の課長を情報セキュリティ管理者とする。
（b） 情報セキュリティ管理者は、その所管する課室等の情報セキュリティ対策に関する権限及び責任を有する。
（c） 情報セキュリティ管理者は、その所掌する課室等において、情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、
統括情報セキュリティ責任者及び CISO へ速やかに報告を行い、指示を仰がなければならない。
（５） 情報システム管理者（a） 各情報システムの担当課室長等を当該情報システムに関する情報システム管理者とする。
（b） 情報システム管理者は、所管する情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
（c） 情報システム管理者は、所管する情報システムにおける情報セキュリティに関する権限及び責任を有する。
（d） 情報システム管理者は、所管する情報システムに係る情報セキュリティ実施手順の維持・管理を行う。
（６） 情報システム担当者
情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、
12

恩納村情報セキュリティポリシー

更新等の作業を行う者を情報システム担当者とする。
（７） 情報セキュリティ委員会
本村の情報セキュリティ対策を統一的に実施するため、情報セキュリティ委員会において、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。
（８） 兼務の禁止（a） 情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。
（b） 監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。
（９） CSIRT の設置・役割（a） CISO は、CSIRT を整備し、その役割を明確化すること。
（b） CISO は、CSIRT に所属する職員を選任し、その中から CSIRT 責任者を置くこと。
また、CSIRT 内の業務統括及び外部との連携等を行う職員を定めること。
（c） CISO は、情報セキュリティの統一的な窓口を整備し、情報セキュリティンシデン
トについて課室等より報告を受けた場合には、その状況を確認し、自らへの報告が行われる体制を整備すること。
（d） CISO による情報セキュリティ戦略の意思決定が行われた際には、その内容を関係課室等に提供すること。
（e） 情報セキュリティンシデントを認知した場合には、CISO、総務省、沖縄県等へ報告すること。
（f） 情報セキュリティンシデントを認知した場合には、その重要度や影響範囲等を勘案し、報道機関への通知・公表対応を行わなければならない。
（g） 情報セキュリティに関して、関係機関や他の地方公共団体の情報セキュリティに関する統一的な窓口の機能を有する部署、外部の事業者等との情報共有を行うこと。

13

恩納村情報セキュリティポリシー

ＣＩＳＯ：最高情報セキュリティ責任者（副村長）

情報セキュリティ管理者（各課長等）

統括情報セキュリティ責任者（総務課⾧）

統括情報セキュリティ担当者（総務課行政係）

情報セキュリティ管理者（各課長等）

情報システム管理者（総務課長）
情報システム担当者（総務課行政係）

図１情報セキュリティ対策の組織体制

14

恩納村情報セキュリティポリシー

２． 情報資産の分類と管理（１） 情報資産の分類
本村における情報資産は、機密性、完全性及び可用性により、次のとおり分類
し、必要に応じ取扱制限を行うものとする。
表２－１機密性による情報資産の分類
分類
機密性３

機密性２

機密性１

分類基準
行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性を要する情報資産
行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報
資産

機密性２又は機密性３の情報資産以外の情報資産15

取扱制限・支給以外の端末での作業の原則禁止（機密性３の情報資産に対して）・必要以上の複製及び配付禁止・保管場所の制限、保管場所への必要以上の電磁的記録媒体
等の持ち込み禁止
・情報の送信、情報資産の運搬・提供時における暗号化・パスワード設定や鍵付きケースへの格納・復元不可能な処理を施しての廃棄・信頼のできるネットワーク回
線の選択
・外部で情報処理を行う際の安全管理措置の規定
・電磁的記録媒体の施錠可能な場所への保管

恩納村情報セキュリティポリシー

表２－２完全性による情報資産の分類
分類
完全性２

完全性１

分類基準
取扱制限
行政事務で取り扱う情報資産の ・バックアップ、電子署名付与
うち、改ざん、誤びゅう又は破損 ・外部で情報処理を行う際の安により、住民の権利が侵害される
全管理措置の規定
又は行政事務の適確な遂行に支障 ・電磁的記録媒体の施錠可能な（軽微なものを除く。）を及ぼす
場所への保管
おそれがある情報資産
完全性２情報資産以外の情報資産表２－３可用性による情報資産の分類
分類
可用性２

可用性１

分類基準
行政事務で取り扱う情報資産のうち、滅失、紛失又は当該情報資産が利用不可能であることにより、住民の権利が侵害される又は行政事務の安定的な遂行に支障（軽微なものを除く。）を及ぼす
おそれがある情報資産
可用性２の情報資産以外の情報
資産

取扱制限
・バックアップ、指定する時間以内の復旧・電磁的記録媒体の施錠可能な場所への保管（２） 情報資産の管理① 管理責任(ア)情報セキュリティ管理者は、その所管する情報資産について管理責任を有す
る。
(イ)情報資産が複製又は伝送された場合には、複製等された情報資産も（１）の分類に基づき管理しなければならない。
② 情報資産の分類の表示
職員等は、情報資産について、ファイル（ファイル名、ファイルの属性（プロパティ）、ヘッダー・フッター等）、格納する電磁的記録媒体のラベル、文書の隅等に、情報資産の分類を表示し、必要に応じて取扱制限についても明示する等適正な管理を行わなければならない。
③ 情報の作成(ア)職員等は、業務上必要のない情報を作成してはならない。
(イ)情報を作成する者は、情報の作成時に（１）の分類に基づき、当該情報の分
16

恩納村情報セキュリティポリシー

類と取扱制限を定めなければならない。
(ウ)情報を作成する者は、作成途上の情報についても、紛失や流出等を防止しなければならない。また、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。
④ 情報資産の入手(ア)庁内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。
(イ)庁外の者が作成した情報資産を入手した者は、（１）の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
(ウ)情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキ
ュリティ管理者に判断を仰がなければならない。
⑤ 情報資産の利用(ア)情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。
(イ)情報資産を利用する者は、情報資産の分類に応じ、適正な取扱いをしなければならない。
(ウ)情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体を取り扱わなければならない。
⑥ 情報資産の保管(ア)情報セキュリティ管理者又は情報システム管理者は、情報資産の分類に従って、情報資産を適正に保管しなければならない。
(イ)情報セキュリティ管理者又は情報システム管理者は、情報資産を記録した電磁的記録媒体を長期保管する場合は、書込禁止の措置を講じなければならない。
(ウ)情報セキュリティ管理者又は情報システム管理者は、利用頻度が低い電磁的記録媒体や情報システムのバックアップで取得したデータを記録する電磁的記録媒体を長期保管する場合は、自然災害を被る可能性が低い地域に保管しなければならない。
(エ)情報セキュリティ管理者又は情報システム管理者は、機密性２以上、完全性
２又は可用性２の情報を記録した電磁的記録媒体を保管する場合、耐火、耐熱、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。

17

恩納村情報セキュリティポリシー

⑦ 情報の送信
電子メール等により機密性２以上の情報を送信する者は、必要に応じ、暗号化
又はパスワード設定を行わなければならない。
⑧ 情報資産の運搬(ア)車両等により機密性２以上の情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。
(イ)機密性２以上の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。
⑨ 情報資産の提供・公表(ア)機密性２以上の情報資産を外部に提供する者は、必要に応じ暗号化又はパス
ワードの設定を行わなければならない。
(イ)機密性２以上の情報資産を外部に提供する者は、情報セキュリティ管理者に許可を得なければならない。
(ウ)情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。
⑩ 情報資産の廃棄(ア)機密性２以上の情報資産を廃棄する者は、情報を記録している電磁的記録媒体が不要になった場合、電磁的記録媒体の初期化等、情報を復元できないよ
うに処置した上で廃棄しなければならない。
(イ)情報資産の廃棄を行う者は、行った処理について、日時、担当者及び処理内容を記録しなければならない。
(ウ)情報資産の廃棄を行う者は、情報セキュリティ管理者の許可を得なければな
らない。

18

恩納村情報セキュリティポリシー

３． 情報システム全体の強靭性の向上（１） マイナンバー利用事務系① マイナンバー利用事務系と他の領域との分離
マイナンバー利用事務系と他の領域を通信できないようにしなければならない。ただし、マイナンバー利用事務系と外部との通信をする必要がある場合は、通信経路の限定（MAC アドレス、IP アドレス）及びアプリケーションプロトコル（ポート番号）のレベルでの限定を行わなければならない。なお、外部接続先もインターネット等と接続してはならない。ただし、国等の公的機関が構築したシステム等、十分に安全性が確保された外部接続先については、この限りではなく、インターネット等から LGWAN-ASP を経由してマイナンバー利用事務系にデータの取り込みを可能とする。
② 情報のアクセス及び持ち出しにおける対策(ア)情報のアクセス対策
情報システムが正規の利用者かどうかを判断する認証手段のうち、二つ以上を併用する認証（多要素認証）を利用しなければならない。また、業務毎に専用端末を設置することが望ましい。
(イ)情報の持ち出し附加設定
情報の持ち出し不可設定原則として、USB メモリ等の電磁的記録媒体による端末からの情報持ち出しができないように設定しなければならない。
（２） LGWAN 接続系① LGWAN 接続系とインターネット接続系の分割
LGWA 接続系とインターネット接続系は両環境間の通信環境を分離した上で、必要な通信だけを許可できるようにしなければならない。なお、メールやデー
タを LGWAN 接続系に取り込む場合は、次の実現方法等により、無害化通信を図らなければならない。
(ア)インターネット環境で受信したインターネットメールの本文のみを LGWAN 接続系に転送する方式(イ)インターネット接続系の端末から、LGWAN 接続系の端末へ画面を転送する方式(ウ)危険因子をファイルから除去し、又は危険因子がファイルに含まれていないことを確認し、インターネット接続系から取り込む方式（３） インターネット接続系① インターネット接続系においては、通信パケットの監視、ふるまい検知等の不19

恩納村情報セキュリティポリシー

正通信の監視機能の強化により、情報セキュリティンシデントの早期発見と対処及び LGWAN への不適切なアクセス等の監視等の情報セキュリティ対策を講じなければならない。
② 市区町村のインターネット接続口を集約する自治体情報セキュリティクラウド
に参加するとともに、関係省庁や都道府県等と連携しながら、情報セキュリテ
ィ対策を推進しなければならない。
③ （β モデルを採用する場合）業務の効率性・利便性の向上を目的として、インターネット接続系に主たる業務端末を置き、入札情報や職員の情報等重要な情報資産を LGWAN 接続系に配置する場合、必要な情報セキュリティ対策を講じた上で、対策の実施について事前に外部による確認を実施し、配置後も定期的に外部監査を実施しなければならない。
（β´モデルを採用する場合）業務の効率性・利便性の向上を目的として、インターネット接続系に主たる業務端末と入札情報や職員の情報等重要な情報資産を配置する場合、必要な情報セキュリティ対策を講じた上で、対策の実施について事前に外部による確認を実施し、配置後も定期的に外部監査を実施しなければならない。

20

恩納村情報セキュリティポリシー

４． 物理的セキュリティ
４．１サーバ等の管理（１） 機器の取付け
情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、
振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適切に固定する等、必要な処置を講じなければならない。
（２） サーバの冗長化① 情報システム管理者は、重要情報を格納しているサーバ、セキュリティサーバ、
住民サービスに関するサーバ及びその他の基幹サーバを冗長化するように努めなければならない。
② 情報システム管理者は、メインサーバに障害が発生した場合に、速やかにセカン
ダリサーバを起動し、システムの運用停止時間を最小限にしなければならない。
（３） 機器の電源① 情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適切に停止すまでの間に十分な電力を供給する容量の予備電源を備え付けなけ
ればならない。
② 情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。
（４） 通信ケーブル等の配線① 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、主要な個所の通信ケー
ブル及び電源ケーブルについて、施設管理部門から損傷等の報告があった場合、連携して対応しなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク接続口（ハブのポート等）を他者が容易に接続できない場所に設置する等、適切に管理しなければならない。
④ 統括情報セキュリティ責任者及び情報システム管理者は、自ら又は情報システム
担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を施さなければならない。
21

恩納村情報セキュリティポリシー

（５） 機器の定期保守及び修理① 情報システム管理者は、可用性２のサーバ等の機器の定期保守を実施しなければならない。
② 情報システム管理者は、電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合、内容を消去した状態で行わせなければならない。内容を消去できない
場合、情報システム管理者は、外部の業者に故障を修理させるにあたり、修理を委託する事業者との間で、守秘義務契約を締結するほか、秘密保守体制の確認等を行わなければならない。
（６） 庁外への機器の設置
統括情報セキュリティ責任者及び情報システム管理者は、庁外にサーバ等の機器を設置する場合、CISO の承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。
（７） 機器の廃棄等情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。

４.２管理区域（情報システム室等）の管理（１） 管理区域の構造等① 管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋（以下「情報システム室」という。）
や電磁的記録媒体の保管庫をいう。
② 統括情報セキュリティ責任者及び情報システム管理者は、管理区域を地階又は１階に設けてはならない。また、外部からの侵入が容易にできないように無窓の外壁にしなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機能、警報装置
等によって許可されていない立入りを防止しなければならない。
④ 統括情報セキュリティ責任者及び情報システム管理者は、情報システム室内の機器等に、転倒及び落下防止等の耐震対策、防火装置、防水装置等を講じなければならない。
⑤ 統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域を含む外壁等の床下開口部をすべて塞がなければならない。
⑥ 統括情報セキュリティ責任者及び情報システム管理者は、管理区域に配置する消22

恩納村情報セキュリティポリシー

火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。
（２） 管理区域の入退室管理等① 情報システム管理者は、管理区域への入退室を許可された者のみに制限し、IC カード、指紋認証等の生体認証や入退室管理簿の記載による入退室管理を行わなければならない。
② 職員等及び外部委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。
③ 情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立ち入り区域を制限した上で、管理区域への入退室を許可された職員等が付き添うものとし、外見上職員等と区別できる措置を講じなければならない。
④ 情報システム管理者は、機密性２以上の情報資産を扱うシステムを設置している管理区域について、当該情報システムに関連しないコンピュータ、モバイル端末、
通信回線装置、電磁的記録媒体等を持ち込ませないようにしなければならない。
（３） 機器等の搬入出① 情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ職員又は委託した業者に確認を行わせなければならない。
② 情報システム管理者は、情報システム室の機器等の搬入出について、職員を立ち会わせなければならない。

４.３通信回線及び通信回線装置の管理① 統括情報セキュリティ責任者は、庁内の通信回線及び通信回線装置を、施設管理部門と連携し、適切に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適切に管理しなければならない。
② 統括情報セキュリティ責任者は、外部へのネットワーク接続を必要最小限に限定
し、できる限り接続ポイントを減らさなければならない。
③ 統括情報セキュリティ責任者は、行政系のネットワークを総合行政ネットワーク（LGWAN）に集約するように努めなければならない。
④ 統括情報セキュリティ責任者は、機密性２以上の情報資産を取り扱う情報システ
ムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適切な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化を行わなければならない。
⑤ 統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途
上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対23

恩納村情報セキュリティポリシー

策を実施しなければならない。
⑥ 統括情報セキュリティ責任者は、可用性２の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。また、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

４．４職員等のパソコン等の管理① 情報システム管理者は、盗難防止のため、執務室等で利用するパソコンのワイヤーによる固定、モバイル端末の使用時以外の施錠管理等の物理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった
時点で速やかに記録した情報を消去しなければならない。
② 情報システム管理者は、情報システムへのログインパスワードの入力を必要とす
るように設定しなければならない。
③ 情報システム管理者は、端末の電源起動時のパスワード（BIOS パスワード、ハードディスクパスワード等）を併用しなければならない。
④ 情報システム管理者は、マイナンバー利用事務系では「知識」、「所持」、「存在」を利用する認証手段のうち二つ以上を併用する認証（多要素認証等）を行うよう設定しなければならない。

24

恩納村情報セキュリティポリシー

５． 人的セキュリティ
５．１職員等の遵守事項（１） 職員等の遵守事項① 情報セキュリティポリシー等の遵守
職員等は、情報セキュリティポリシー及び実施手順を遵守しなければならない。
また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報セキュリティ管理者に相談し、指示を仰がなければならない。
② 業務以外の目的での使用の禁止
職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。
③ モバイル端末や電磁的記録媒体等の持ち出し及び外部における情報処理作業の制限(ア)CISO は、機密性２以上、可用性２、完全性２の情報資産を外部で処理する場合における安全管理措置を定めなければならない。
(イ)職員等は、本村のモバイル端末、電磁的記録媒体、記録媒体、情報資産及びソフトウェアを外部に持ち出す場合には、情報セキュリティ管理者の許可を得なければならない。
(ウ)職員等は、外部で情報処理作業を行う場合には、情報セキュリティ管理者の許可を得なければならない。
④ 支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用(ア)職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、情報セキュリティ管理者の許可を得て利用することができる。
(イ)職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を用いる場
合には、情報セキュリティ管理者の許可を得た上で、外部で情報処理作業を行う
際に安全管理措置を遵守しなければならない。
⑤ 持ち出し及び持ち込みの記録
情報システム管理者は、端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。
⑥ パソコンやモバイル端末におけるセキュリティ設定変更の禁止
職員等は、パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を情報システム管理者の許可なく変更してはならない。
⑦ 机上の端末等の管理職員等は、パソコン、モバイル端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ管理者の許可なく
25

恩納村情報セキュリティポリシー

情報を閲覧されることがないように、離席時のパソコン、モバイル端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適切な措置を講じなければならない。
⑧ 退職時等の遵守事項
職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。
（２） 非常勤及び会計年度任用職員への対応① 情報セキュリティポリシー等の遵守
情報セキュリティ管理者は、非常勤及び会計年度任用職員に対し、採用時に情報セキュリティポリシー等のうち、非常勤及び会計年度任用職員が守るべき内容を理解させ、また実施及び遵守させなければならない。
② 情報セキュリティポリシー等の遵守に対する同意
情報セキュリティ管理者は、非常勤及び会計年度任用職員の採用の際、必要に応じ、情報セキュリティポリシー等を遵守する旨の同意書への署名を求めるものとする。
③ インターネット接続及び電子メール使用等の制限
情報セキュリティ管理者は、非常勤及び会計年度任用職員にパソコンやモバイ
ル端末による作業を行わせる場合おいて、インターネットへの接続及び電子メー
ルの使用等が不要の場合、これを利用できないようにしなければならない。
（３） 情報セキュリティポリシー等の掲示
情報セキュリティ管理者は、職員等が常に情報セキュリティポリシー及び実施
手順を閲覧できるように掲示しなければならない。
（４） 外部委託事業者に対する説明
情報セキュリティ管理者は、ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける場合も含めて、情報セキュリティポリシー等の外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

５．２研修・訓練（１） 情報セキュリティに関する研修・訓練
CISO は、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
26

恩納村情報セキュリティポリシー

（２） 研修計画の立案及び実施① CISO は、幹部を含め全ての職員等に対する情報セキュリティに関する研修計画を立案し、恩納村情報セキュリティ委員会の承認を得なければならない。
② 研修計画において、職員等は情報セキュリティ研修を受講できるようにしなければならない。
③ 新規採用の職員等を対象とする情報セキュリティに関する研修を実施しなければならない。
④ 研修は、統括セキュリティ責任者、情報システム管理者、情報システム担当者及びその他職員等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。
⑤ 情報セキュリティ管理者は、所管する課室等の研修の実施状況を記録し、統括情報セキュリティ責任者及び情報セキュリティ責任者に対して、報告しなければならない。
⑥ 統括情報セキュリティ責任者は、研修の実施状況を分析、評価し、CISO に情報セ
キュリティ対策に関する研修の実施状況について報告しなければならない。
⑦ CISO は、毎年度１回、情報セキュリティ委員会に対して、職員等の情報セキュリ
ティ研修の実施状況について報告しなければならない。
（３） 緊急時対応訓練
CISO は、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練
計画は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、また、効果的に実施できるようにしなければならない。
（４） 研修・訓練への参加
幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならな
い。

５．３情報セキュリティンシデントの報告（１） 庁内での情報セキュリティンシデントの報告① 職員等は、情報セキュリティンシデントを認知した場合、速やかに情報セキュリ
ティ管理者及び情報セキュリティに関する統一的な窓口に報告しなければならない。
② 報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者
及び情報システム管理者に報告しなければならない。
③ 情報セキュリティ管理者は、報告のあった事故等について、CISO 及び統括情報セ27

恩納村情報セキュリティポリシー

キュリティ責任者に報告しなければならない。
（２） 住民等外部からの情報セキュリティンシデントの報告① 職員等は、本村が管理するネットワーク及び情報システム等の情報資産に関する情報セキュリティンシデントについて、住民等外部から報告を受けた場合、情報セキュリティ管理者に報告しなければならない。
② 報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者
及び情報システム管理者に報告しなければならない。
③ 情報セキュリティ管理者は、当該情報セキュリティンシデントについて、必要に応じて CISO に報告しなければならない。
（３） 情報セキュリティンシデント原因の究明・記録、再発防止等① CSIRT は、報告された情報セキュリティンシデントの可能性について状況を確認
し、情報セキュリティンシデントであるかの評価を行わなければならない。
② CSIRT は、情報セキュリティンシデントであると評価した場合、CISO に速やかに報告しなければならない。
③ CSIRT は、情報セキュリティンシデントに関係する情報セキュリティ管理者に対し、被害の拡大防止等を図るための応急措置の実施及び復旧に係る指示を行わなければならない。
④ CSIRT は、これらの情報セキュリティンシデント原因を究明し、記録を保存しなければならない。また、情報セキュリティンシデントの原因究明の結果から、再発防止策を検討し、CISO に報告しなければならない。
⑤ CISO は、CSIRT から、情報セキュリティンシデントについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなければならない。

５．４ID 及びパスワード等の管理（１） IC カード等の取扱い① 職員等は、自己の管理する IC カード等に関し、次の事項を遵守しなければならない。
(ア)認証に用いる IC カード等を、職員等間で共有してはならない。
(イ)業務上必要ないときは、IC カード等をカードリーダー若しくはパソコン等の端末スロット等から抜いておかなければならない。
(ウ)IC カード等を紛失した場合には、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報し、指示に従わなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、IC カード等の紛失等の28

恩納村情報セキュリティポリシー

通報があり次第、当該 IC カード等を使用したアクセス等を速やかに停止しなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、IC カード等を切り替える場合、切替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。
（２） ID の取扱い
職員等は、自己の管理する ID に関し、次の事項を遵守しなければならない。
① 自己が利用している ID は、他人に利用させてはならない。
② 共有 ID を利用する場合は、共有 ID の利用者以外に利用させてはならない。
（３） パスワードの取扱い
職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。
① パスワードは、他人に知られないように管理しなければならない。
② パスワードを秘密にし、パスワードの照会等には一切応じてはならない。
③ パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。
④ パスワードが流出したおそれがある場合には、情報資産セキュリティ管理者に速やかに報告し、パスワードを速やかに変更しなければならない。
⑤ 仮のパスワード（初期パスワード含む）は、最初のログイン時点で変更しなければならない。
⑥ パソコン等の端末にパスワードを記憶させてはならない。
⑦ 職員等間でパスワードを共有してはならない。

29

恩納村情報セキュリティポリシー

６． 技術的セキュリティ
６．１コンピュータ及びネットワークの管理（１） 文書サーバの設定等① 情報システム管理者は、職員等が使用できる文書サーバの容量を設定し、職員等に周知しなければならない。
② 情報システム管理者は、文書サーバを課等の単位で構成し、職員等が他課等のフォルダ及びファイルを閲覧及び使用できないように、設定しなければならない。
③ 情報システム管理者は、住民の個人情報、人事記録等、特定の職員等しか取り扱えないデータについて、別途ディレクトリを作成するなどの措置を講じ、同一課等であっても、担当職員以外の職員等が閲覧及び使用できないようにしなければならない。
（２） バックアップの実施
統括情報セキュリティ責任者及び情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの冗長化対策に関わらず、必要に応じて定期的にバックアップを実施しなければならない。
（３） 他団体との情報システムに関する情報等の交換
情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェ
アを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュ
リティ責任者の許可を得なければならない。
（４） システム管理記録及び作業の確認① 情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、所管するシステムにおいて、システム変更等の作業を行った場合は、作業内容について記録を作成し、搾取、改ざん等をされないように適切に管理しなければならない。
③ 統括情報セキュリティ責任者、情報システム管理者又は情報システム担当者及び契約により操作を認められた外部委託事業者がシステム変更等の作業を行う場合
は、２名以上で作業し、互いにその作業を確認しなければならない。
（５） 情報システム仕様書等の管理
統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク構成図、
情報システム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者の閲覧や紛失等がないよう、適切に管理しなければならない。
30

恩納村情報セキュリティポリシー

（６） ログの取得等① 統括情報セキュリティ責任者及び情報システム管理者は、各種ログ及び情報セキ
ュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、ログとして取得する項
目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定
め、適切にログを管理しなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意ある第三者からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。
（７） 障害記録
統括情報セキュリティ責任者及び情報システム管理者は、職員等からシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適切に保存しなければならない。
（８） ネットワークの接続制御、経路制御等① 統括情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェ
ア等を設定しなければならない。
② 統括情報資産セキュリティ責任者は、不正アクセスを防止するため、ネットワー
クに適切なアクセス制御を施さなければならない。
（９） 外部の者が利用できるシステムの分離等
情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。
（１０）

外部ネットワークとの接続制限等① 情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISO 及び統括情報セキュリティ責任者の許可を得なければならない。
② 情報システム管理者は、接続しようとする外部ネットワークに係るネットワーク
構成、機器構成、セキュリティ技術等を詳細に調査し、庁内の全てのネットワー
ク、情報システム等の情報資産に影響が生じないことを確認しなければならない。
③ 情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処する
31

恩納村情報セキュリティポリシー

ため、当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
④ 統括情報セキュリティ責任者及び情報システム管理者は、ウェブサーバ等をイン
ターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
⑤ 情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括情報セキュリテ
ィ責任者の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければならない。
（１１） 複合機のセキュリティ管理① 統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機
能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切なセキュリティ要件を策定しなければならない。
② 統括情報セキュリティ責任者は、複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティンシデントへの対策を講じなければならない。
③ 統括情報セキュリティ責任者は、複合機の運用を流量する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。
（１２） 特定用途機器のセキュリティ管理① 統括情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方
法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を実施しなければならない。
（１３） 無線 LAN 及びネットワークの盗聴対策① 統括情報セキュリティ責任者は、無線 LAN の利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。
② 統括情報セキュリティ責任者は、機密性の高い情報を扱うネットワークについて、情報の盗聴等を防ぐため、暗号化等の措置を講じなければならない。
（１４） 電子メールのセキュリティ管理① 統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送（電子メールの中継処理）が行われることを不可能とするよう、電32

恩納村情報セキュリティポリシー

子メールサーバの設定を行なわなければならない。
② 統括情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した場合は、メールサーバの運用を停止しなければならない。
③ 統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。
④ 統括情報セキュリティ責任者は、職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。
⑤ 統括情報セキュリティ責任者は、システム開発や運用、保守等のため庁舎内に常駐している外部委託事業者の作業員による電子メールアドレス利用について、外部委託事業者との間で利用方法を取り決めなければならない。
（１５） 電子メールの利用制限① 職員等は、自動転送機能を用いて、電子メールを転送してはならない。
② 職員等は、業務上必要のない送信先に電子メールを送信してはならない。
③ 職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。
④ 職員等は、重要な電子メールを誤送信した場合、情報資産セキュリティ管理者に報告しなければならない。
⑤ 職員等は、ウェブで利用できるフリーメール、ネットワークストレージサービス
等を使用してはならない。
（１６） 電子署名・暗号化① 職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機
密性又は完全性を確保することが必要な場合には、CISO が定めた電子署名、暗号化又はパスワード設定等、セキュリティを考慮して、送信しなければならない。
② 職員等は、暗号化を行う場合に CISO が定める以外の方法を用いてはならない。また、CISO が定めた方法で暗号のための鍵を管理しなければならない。
③ CISO は、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全に提供しなければならない。
（１７） 無許可ソフトウェアの導入等の禁止① 職員等は、パソコンやモバイル端末に無断でソフトウェアを導入してはならない。
② 職員等は、業務上の必要がある場合には、統括情報セキュリティ責任者及び情報システム管理者の許可を得て、ソフトウェアを導入することができる。なお、導入する際は、情報セキュリティ管理者又は情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。
33

恩納村情報セキュリティポリシー

③ 職員等は、不正にコピーしたソフトウェアを利用してはならない。
（１８） 機器構成の変更の制限① 職員等は、パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。
② 職員等は、業務上、パソコンやモバイル端末に対し機器の改造及び増設・交換を行う必要がある場合には、統括情報資産セキュリティ責任者及び情報資産システム管理者の許可を得なければならない。
（１９） 無許可でのネットワーク接続の禁止
職員等は、統括情報資産セキュリティ責任者の許可なくパソコンやモバイル端末をネットワークに接続してはならない。
（２０） 業務以外の目的でのウェブ閲覧の禁止① 職員等は、業務以外の目的でウェブを閲覧してはならない。
② 統括情報セキュリティ責任者は、職員等のウェブ利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合は、情報セキュリティ管理者に通知し適切な措置を求めなければならない。
（２１） Web 会議サービスの利用時の対策① 統括情報セキュリティ責任者は、Web 会議を適切に利用するための利用手順を定めなければならない。
② 職員等は、本村の定める利用手順に従い、Web 会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施すること。
③ 職員等は、Web 会議を主催する場合、会議に無関係の者が参加できないよう対策を講ずること。
④ 職員等は、外部から Web 会議に招待される場合は、本村の定める利用手順に従い、必要に応じて利用申請を行い、承認を得なければならない。
（２２） ソーシャルメディアサービスの利用① 情報セキュリティ管理者は、本村が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。
(ア)本村のアカウントによる情報発信が、実際の本村のものであることを明らかにするために、本村の自己管理 Web サイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方
34

恩納村情報セキュリティポリシー

法でなりすまし対策を実施すること。
(イ)パスワードや認証のためのコード等の認証情報及びこれを記録した媒体（ハードディスク、USB メモリ、紙等）等を適正に管理するなどの方法で、不正アクセス対策を実施すること。
② 機密性２以上の情報はソーシャルメディアサービスで発信してはならない。
③ 利用するソーシャルメディアサービスごとの責任者を定めなければならない。
④ アカウント乗っ取りを確認した場合には、被害を最小限にするための措置を講じなければならない。
⑤ 可用性２の情報の提供にソーシャルメディアサービスを用いる場合は、本村の自己管理 Web サイトに当該

６．２アクセス制御（１） アクセス制御① アクセス制御
統括情報セキュリティ責任者又は情報システム管理者は、所管するネットワー
ク又は情報システムごとにアクセスする権限のない職員等がアクセスできないよ
うに、システム上制限しなければならない。
② 利用者 ID の取扱い
(ア)統括情報セキュリティ責任者及び情報システム管理者は、利用者の登録、変更、抹消等の情報管理、職員等の異動、出向、退職者に伴う利用者 ID の取扱い等の方
法を定めなければならない。
(イ)職員等は、業務上必要がなくなった場合は、利用者登録を抹消するよう、統括情報セキュリティ責任者又は情報システム管理者に通知しなければならない。
(ウ)統括情報セキュリティ責任者及び情報システム管理者は、利用されていない ID が放置されないよう、人事管理部門と連携し、点検しなければならない。
③ 特権を付与された ID の管理等
(ア)統括情報セキュリティ責任者及び情報システム管理者は、管理者権限等の特権を付与された ID を利用する者を必要最小限にし、当該 ID のパスワードの漏えい等が発生しないよう、当該 ID 及びパスワードを厳重に管理しなければならない。
(イ)統括情報セキュリティ責任者及び情報システム管理者の特権を代行する者は、統括情報セキュリティ責任者及び情報システム管理者が指名し、CISO が認めたものでなければならない。
(ウ)CISO は、代行者を認めた場合、速やかに統括情報セキュリティ責任者、情報セキ
ュリティ管理者及び情報システム管理者に通知しなければならない。
(エ)統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID 及
びパスワードの変更について、外部委託事業者に行わせてはならない。
35

恩納村情報セキュリティポリシー（オ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID
及びパスワードについて、職員等の端末等のパスワードよりも定期変更、入力回数制限等のセキュリティ機能を強化しなければならない。
統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID を
初期設定以外のものに変更しなければならない。
（２） 職員等による外部からのアクセス等の制限① 職員等が外部から内部のネットワーク又は情報システムにアクセスする場合は、
統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得なければならない。
② 統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する
外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
③ 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上
利用者の本人確認を行う機能を確保しなければならない。
④ 統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。
⑤ 統括情報セキュリティ責任者及び情報システム管理者は、外部からのアクセスに利用するモバイル端末を職員等に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。
⑥ 職員等は、持ち込んだ又は外部から持ち帰ったモバイル端末を庁内のネットワー
クに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。
⑦ 統括情報セキュリティ責任者は、公衆通信回線（公衆無線 LAN 等）の庁外通信回線を庁内ネットワークに接続することは原則として禁止しなければならない。ただし、やむを得ず接続を許可する場合は、利用者の ID 及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体（IC カード等）による認証に加えて通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならない。
（３） ログイン時の表示等
情報システム管理者は、ログイン時におけるメッセージ、ログイン試行回数の制限、アクセスタイムアウトの設定及びログイン・ログアウト時刻の表示等により、正当なアクセス権を持つ職員等がログインしたことを確認することができる
ようシステムを設定しなければならない。

36

恩納村情報セキュリティポリシー

（４） 認証情報の管理① 統括情報セキュリティ責任者又は情報システム管理者は、職員等の認証情報を厳重に管理しなければならない。認証情報ファイルを不正利用から保護するため、オペレーティングシステム等で認証情報設定のセキュリティ強化機能がある場合
は、これを有効に活用しなければならない。
② 統括情報セキュリティ責任者又は情報システム管理者は、職員等に対してパスワードを発行する場合は、仮のパスワードを発行し、ログイン後直ちに仮のパスワ
ードを変更させなければならない。
（５） 特権による接続時間の制限
情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

６．３システム開発、導入、保守等（１） 情報システムの調達① 統括情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ
機能を明記しなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、機器及びソフトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ
上問題のないことを確認しなければならない。
（２） 情報システムの開発① システム開発における責任者及び作業者の特定
情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。
（３） 情報システムの導入② 開発環境と運用環境の分離及び移行手順の明確化(ア)情報システム管理者は、システム開発・保守及びテスト環境からシステム運用環境への移行について、システム開発・保守計画の策定時に手順を明確にしなければならない。
(イ)情報システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。
(ウ)情報システム管理者は、導入するシステムやサービスの可用性が確保されている
37

恩納村情報セキュリティポリシー

ことを確認した上で導入しなければならない。
③ テスト（ア） 情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報システムに接続する前に十分な試験を行わなければならない。
（イ） 情報システム管理者は、運用テストを行う場合、あらかじめ疑似環境による操作確認を行わなければならない。
（ウ） 情報システム管理者は、個人情報及び機密性の高い生データを、テストデータに使用してはならない。
（４） システム開発・保守に関連する資料等の保管
情報資産システム管理者は、システム開発・保守に関連する資料及び文書を適切な方法で保管しなければならない。
（５） 情報システムにおける入出力データの正確性の確保① 情報資産システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。
② 情報資産システム管理者は、故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合に、これを検出するチェック機能を組み込むように情報シ
ステムを設計しなければならない。
③ 情報資産システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。
（６） 情報システムの変更管理
情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変更履歴を作成しなければならない。
（７） 開発・保守用のソフトウェアの更新等
情報システム管理者は、開発・保守用のソフトウェア等を更新又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。
（８） システム更新又は統合時の検証等
情報システム管理者は、システム更新・統合時に伴うリスク管理体制の構築、移行基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。
38

恩納村情報セキュリティポリシー

６．４不正プログラム対策（１） 統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正プログラム対策として、次の事項を措置しなければならない。
① 外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。
② 外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等不正プログラムのチェックを行い、不正プログラムの
外部への拡散を防止しなければならない。
③ コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起しなければならない。
④ 掌握するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログ
ラム対策ソフトウェアを常駐させなければならない。
⑤ 不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
⑥ 不正プログラム対策ソフトウェアは、常に最新の状態に保たなければならない。
⑦ 業務で利用するソフトウェアは、パッチやバージョンアップなどの開発元のサポートが終了したソフトウェアを利用してはならない。
（２） 情報システム管理者の措置事項
情報システム管理者は、不正プログラム対策に関し、次の事項を措置しなければならない。
① 情報システム管理者は、その所掌するサーバ及びパソコン等の端末に、コンピュ
ータウイルス等の不正プログラム対策ソフトウェアをシステムに常駐させなければならない。
② 不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
③ 不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
④ インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場合、
コンピュータウイルス等の感染を防止するために、村が管理している媒体以外を職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。

39

恩納村情報セキュリティポリシー

（３） 職員等の遵守事項
職員等は、不正プログラム対策に関し、次の事項を遵守しなければならい。
① パソコンやモバイル端末において、不正プログラム対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。
② 外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム対策ソフトウェアによるチェックを行わなければならない。
③ 差出人が不明又は不自然に添付されたファイルを受信した場合は、速やかに削除しなければならない。
④ 端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。
⑤ 添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフ
トウェアでチェックを行わなければならない。インターネット接続系で受信した
インターネットメール又はインターネット経由で入手したファイルを LGWAN 接続
系に取込む場合は無害化しなければならない。
⑥ 統括情報セキュリティ責任者が提供するウイルス情報を、常に確認しなければならない。
⑦ コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる場
合は、以下の対応を行わなければならない。
(ア)パソコン等の端末の場合
LAN ケーブルの即時取り外しを行わなければならない。
(イ)モバイル端末の場合直ちに利用を中止し、通信を行わない設定への変更を行わなければならない。

６．５不正アクセス対策（１） 統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正アクセス対策として、以下の事項を措置しなければならない。
① 使用されていないポートを閉鎖しなければならない。
② 不要なサービスについて、機能を削除又は停止しなければならない。
③ 不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括情報セキュリティ責任者及び情報システム管理者へ通報するよう、設定しなければならない。
④ 統括情報セキュリティ責任者は、情報セキュリティに関する統一的な窓口と連携し、監視、通知、外部連絡窓口及び適切な対応などを実施できる体制並びに連絡網を構築しなければならない。

40

恩納村情報セキュリティポリシー

（２） 攻撃への対処
CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けた場合又は攻撃を受けるリスクがある場合は、システムの停止を含む必要な措置を講じなければならない。また、総務省、県等と連絡を密にして情報の収集に努めなければならない。
（３） 記録の保存
CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。
（４） 内部からの攻撃
統括情報セキュリティ責任者及び情報システム管理者は、職員等及び外部委託
事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。
（５） 職員等による不正アクセス
統括情報セキュリティ責任者及び情報システム管理者は、職員等による不正ア
クセスを発見した場合は、当該職員等が所属する課等の情報セキュリティ管理者に通知し、適切に処理を求めなければならない。
（６） サービス不能攻撃
統括情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する
対策を講じなければならない。
（７） 標的型攻撃
統括情報セキュリティ責任者及び情報システム管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければな
らない。

41

恩納村情報セキュリティポリシー

６．６セキュリティ情報の収集（１） セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等
統括情報セキュリティ責任者及び情報システム管理者は、セキュリティホール
に関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、
当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。
（２） 不正プログラム等のセキュリティ情報の収集・周知
統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。
（３） 情報セキュリティに関する情報の収集および共有
統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、
情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

42

恩納村情報セキュリティポリシー

７． 運用
７．１情報システムの監視① 統括情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。
② 統括情報セキュリティ責任者及び情報システム管理者は、重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、外部と常時接続するシステムを常時監視しなければならない。

７．２情報セキュリティポリシーの遵守状況の確認（１） 遵守事項の確認及び対処① 情報セキュリティ管理者は、情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかに CISO 及び統括情報セキュリティ責任者に報告しなければならない。
② CISO は、発生した問題について、適切に速やかに対処しなければならない。
③ 統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク及びサー
バ等のシステム設定等における情報セキュリティポリシーの遵守状況について、問題が発生していた場合には適切かつ速やかに対処しなければならない。
（２） パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査
CISO 及び CISO が指名した者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のロ
グ、電子メールの送受信記録等の利用状況を調査することができる。
（３） 職員等の報告義務① 職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに
統括情報セキュリティ責任者及び情報セキュリティ管理者に報告を行わなければならない。
② 当該違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報セキュリティ責任者が判断した場合においては、職員等は、緊急時対応計画に従って適切に対処しなければならない。

７．３侵害時の対応等（１） 緊急時対応計画の策定
CISO 又は情報セキュリティ委員会は、情報セキュリティンシデント、情報セキ
43

恩納村情報セキュリティポリシー

ュリティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した
場合又は発生する恐れがある場合において連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適切に実施するために、緊急時対応計画を定めておき、セキュリティ侵害時には当該計画に従って適切に対処しなければならない。
（２） 緊急時対応計画に盛り込むべき内容
緊急時対応計画には、以下の内容を定めなければならない。
① 関係者の連絡先② 発生した事案に係る報告すべき事項③ 発生した事案への対応措置④ 再発防止措置の策定（３） 業務継続計画との整合性確保
自然災害、大規模・広範囲にわたる疾病等に備えて別途業務継続計画を策定し、恩納村情報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなければならない。
（４） 緊急時対応計画の見直し
CISO 又は恩納村情報セキュリティ委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。

７．４例外措置（１） 例外措置の許可
情報セキュリティ管理者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISO の許可を得て、例外措置を取ることができる。
（２） 緊急時の例外措置
情報セキュリティ管理者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避の時は、事後速やかに CISO に報告しなければならない。
（３） 例外措置の申請書の管理
CISO は、例外措置の申請書及び審査結果を適切に保管し、定期的に申請状況を
44

恩納村情報セキュリティポリシー

確認しなければならない。

７．５法令遵守
職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。
① 地方公務員法（昭和２５年法律第２６１号）② 著作権法（昭和４５年法律第４８号）③ 不正アクセス行為の禁止等に関する法律（平成１１年法律第１２８号）④ 個人情報の保護に関する法律（平成１５年法律第５７号）⑤ 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号）⑥ サイバーセキュリティ基本法（平成２８年法律第３１号）⑦ 恩納村個人情報保護条例（平成１５年条例第２２号）

７．６懲戒処分等（１） 懲戒処分
情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。
（２） 違反時の対応
職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。
① 統括情報セキュリティ責任者が違反を確認した場合は、統括情報セキュリティ責任者は当該職員等が所属する課等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
② 情報システム管理者等が違反を確認した場合は、違反を確認した者は速やかに統括情報セキュリティ責任者及び当該職員等が所属する課等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
③ 情報セキュリティ管理者の指導によっても改善されない場合、統括情報セキュリ
ティ責任者は、当該職員等のネットワーク又は情報システムを使用する権利を停止あるいは剥奪することができる。その後速やかに、統括情報セキュリティ責任者は、職員等の権利を停止あるいは剥奪した旨を CISO 及び当該職員等が所属する課等の情報セキュリティ管理者に通知しなければならない。

45

恩納村情報セキュリティポリシー

８． 外部サービスの利用
８．１外部委託（１） 外部委託事業者の選定基準① 情報セキュリティ管理者は、外部委託事業者の選定に当たり、委託内容に応じた
情報セキュリティ対策が確保されることを確認しなければならない。
② 情報セキュリティ管理者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。
（２） 契約項目
情報システムの運用、保守等を外部委託する場合には、外部委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。
・情報セキュリティポリシー及び情報セキュリティ実施手順の遵守
・外部委託事業者の責任者、委託内容、作業者、作業場所の特定・提供されるサービスレベルの保証
・外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
・外部委託事業者の従業員に対する教育の実施・提供された情報の目的外利用及び受託者以外の者への提供の禁止
・業務上知り得た情報の守秘義務・再委託に関する制限事項の遵守
・委託業務終了時の情報資産の返還、廃棄等・委託業務の定期報告及び緊急時報告義務
・村による監査、検査・村による情報セキュリティンシデント発生時の公表
・情報セキュリティポリシーが遵守されなかった場合の規定（損害賠償）（３） 確認・措置等
情報セキュリティ管理者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、（２）の契約に基づき措置しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じて CISO に報告しなければならない。

８．２外部サービス（機密性２以上の情報を取り扱う場合）の利用（１） 外部サービスの利用に係る規定の整備
統括情報セキュリティ責任者は、以下を含む外部サービス（機密性２以上の情
46

恩納村情報セキュリティポリシー

報を取り扱う場合）の利用に関する規定を整備すること。
① 外部サービスを利用可能な業務及び情報システムの範囲並びに情報の取扱いを許可する場所を判断する基準（以下８.２節において「外部サービス利用判断基準」という。
）② 外部サービス提供者の選定基準③ 外部サービスの利用申請の許可権限者と利用手続④ 外部サービス管理者の指名と外部サービスの利用状況の管理（２） 外部サービスの選定①情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限を踏まえ、外部サー
ビス利用判断基準に従って外部サービスの利用を検討すること。
②情報セキュリティ責任者は、外部サービスで取り扱う情報の格付及び取扱制限を踏
まえ、サービス提供者の選定基準に従って外部サービス提供者を選定すること。また、以下の内容を含む情報セキュリティ対策を外部サービス提供者の選定条件に含めること。
(ア)外部サービスの利用を通じて本村が取り扱う情報の外部サービス提供者における目的外利用の禁止(イ)外部サービス提供者における情報セキュリティ対策の実施内容及び管理体制(ウ)外部サービスの提供に当たり、外部サービス提供者若しくはその従業員、再委託先又はその他の者によって、本村の意図しない変更が加えられないための管理体
制(エ)外部サービス提供者の資本関係・役員等の情報、外部サービス提供に従事する者の所属・専門性（情報セキュリティに係る資格・研修実績等）・実績及び国籍に関する情報提供並びに調達仕様書による施設の場所やリージョンの指定(オ)情報セキュリティインシデントへの対処方法(カ)情報セキュリティ対策その他の契約の履行状況の確認方法(キ)情報セキュリティ対策の履行が不十分な場合の対処方法③ 情報セキュリティ責任者は、外部サービスの中断や終了時に円滑に業務を移行するための対策を検討し、外部サービス提供者の選定条件に含めること。
④情報セキュリティ責任者は、外部サービスの利用を通じて本村が取り扱う情報の格付等を勘案し、必要に応じて以下の内容を外部サービス提供者の選定条件に含めること。
(ア)情報セキュリティ監査の受入れ(イ)サービスレベルの保証⑤ 情報セキュリティ責任者は、外部サービスの利用を通じて本村が取り扱う情報に対して国内法以外の法令及び規制が適用されるリスクを評価して外部サービス提47

恩納村情報セキュリティポリシー

供者を選定し、必要に応じて本村の情報が取り扱われる場所及び契約に定める準拠法・裁判管轄を選定条件に含めること。
⑥情報セキュリティ責任者は、外部サービス提供者がその役務内容を一部再委託する
場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、外部サービス提供者の選定条件で求める内容を外部サービス提供者に担保させるともに、再委託先の情報セキュリティ対策の実施状況を確認するために必要な情報を本村に提供し、本村の承認を受けるよう、外部サービス提供者の選定条件に含めること。また、外部サービス利用判断基準及び外部サービス提供者の選定基準に従って再委託の承認の可否を判断すること。
⑦情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限に応じてセキュリテ
ィ要件を定め、外部サービスを選定すること。また、外部サービスのセキュリティ要件としてセキュリティに係る国際規格等と同等以上の水準を求めること。
⑧情報セキュリティ責任者は、外部サービスの特性を考慮した上で、外部サービスが提供する部分を含む情報の流通経路全般にわたるセキュリティが適切に確保される
よう、情報の流通経路全般を見渡した形でセキュリティ設計を行った上で、情報セキュリティに関する役割及び責任の範囲を踏まえて、セキュリティ要件を定めること。
⑨統括情報セキュリティ責任者は、情報セキュリティ監査による報告書の内容、各種の認定・認証制度の適用状況等から、外部サービス提供者の信頼性が十分であることを総合的・客観的に評価し判断すること。
（３） 外部サービスの利用に係る調達・契約①情報セキュリティ責任者は、外部サービスを調達する場合は、外部サービス提供者の選定基準及び選定条件並びに外部サービスの選定時に定めたセキュリティ要件を調達仕様に含めること。
②情報セキュリティ責任者は、外部サービスを調達する場合は、外部サービス提供者
及び外部サービスが調達仕様を満たすことを契約までに確認し、調達仕様の内容を契約に含めること。
（４） 外部サービスの利用承認① 情報セキュリティ責任者は、外部サービスを利用する場合には、利用申請の許可権限者へ外部サービスの利用申請を行うこと。
②利用申請の許可権限者は、職員等による外部サービスの利用申請を審査し、利用の可否を決定すること。
③利用申請の許可権限者は、外部サービスの利用申請を承認した場合は、承認済み外部サービスとして記録し、外部サービス管理者を指名すること。
48

恩納村情報セキュリティポリシー

（５） 外部サービスを利用した情報システムの導入・構築時の対策①統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方等を踏まえ、以下を含む外部サービスを利用して情報システムを構築する際のセキュリティ対策を規定すること。
(ア)不正なアクセスを防止するためのアクセス制御(イ)取り扱う情報の機密性保護のための暗号化(ウ)開発時におけるセキュリティ対策(エ)設計・設定時の誤りの防止②外部サービス管理者は、前項において定める規定に対し、構築時に実施状況を確認・記録すること。
（６） 外部サービスを利用した情報システムの運用・保守時の対策①統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方を踏まえ、以下を含む外部サービスを利用して情報システムを運用する際のセキュリ
ティ対策を規定すること。
(ア)外部サービス利用方針の規定(イ)外部サービス利用に必要な教育(ウ)取り扱う資産の管理(エ)不正アクセスを防止するためのアクセス制御(オ)取り扱う情報の機密性保護のための暗号化(カ)外部サービス内の通信の制御(キ)設計・設定時の誤りの防止(ク)外部サービスを利用した情報システムの事業継続②情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方を踏まえ、外部サービスで発生したインシデントを認知した際の対処手順を整備すること。
③外部サービス管理者は、前各項において定める規定に対し、運用・保守時に実施状
況を定期的に確認・記録すること。
（７） 外部サービスを利用した情報システムの更改・廃棄時の対策①統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方を踏まえ、以下を含む外部サービスの利用を終了する際のセキュリティ対策を規定すること。
(ア)外部サービスの利用終了時における対策(イ)外部サービスで取り扱った情報の廃棄(ウ)外部サービスの利用のために作成したアカウントの廃棄②外部サービス管理者は、前項において定める規定に対し、外部サービスの利用終了
49

恩納村情報セキュリティポリシー

時に実施状況を確認・記録すること。

８．３外部サービスの利用（機密性２以上の情報を取り扱わない場合）（１） 外部サービスの利用に係る規定の整備
統括情報セキュリティ責任者は、以下を含む外部サービス（機密性２以上の情報を取り扱わない場合）の利用に関する規定を整備すること。
(ア)外部サービスを利用可能な業務の範囲(イ)外部サービスの利用申請の許可権限者と利用手続(ウ)外部サービス管理者の指名と外部サービスの利用状況の管理(エ)外部サービスの利用の運用手順（２） 外部サービスの利用における対策の実施①職員等は、利用するサービスの約款、その他の提供条件等から、利用に当たってのリスクが許容できることを確認した上で機密性２以上の情報を取り扱わない場合の
外部サービスの利用を申請すること。また、承認時に指名された外部サービス管理者は、当該外部サービスの利用において適切な措置を講ずること。
②情報セキュリティ責任者は、職員等による外部サービスの利用申請を審査し、利用の可否を決定すること。また、承認した外部サービスを記録すること。

50

恩納村情報セキュリティポリシー

９． 評価・見直し
９．１監査（１） 実施方法
CISO は、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報シ
ステム等の情報資産における情報セキュリティ対策状況について、毎年度又は必要に応じて監査を行わせなければならない。
（２） 監査を行う者の要件① 情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。
② 監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。
（３） 監査実施計画の立案及び実施への協力① 情報セキュリティ監査統括責任者は、監査を行うに当たって、監査実施計画を立案し、恩納村情報セキュリティ委員会の承認を得なければならない。
② 被監査部門は、監査の実施に協力しなければならない。
（４） 外部委託事業者に対する監査
外部委託事業者に委託している場合、情報セキュリティ監査統括責任者は外部委託事業者から下請けとして受託している事業者も含めて、情報セキュリティポ
リシーの遵守について監査を定期的に又は必要に応じて行わなければならない。
（５） 報告情報セキュリティ監査統括責任者は、監査結果を取りまとめ、恩納村情報セキ
ュリティ委員会に報告する。
（６） 保管
情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、
監査報告書の作成のための監査調書を、紛失等が発生しないように適切に保管しなければならない。
（７） 監査結果への対応
CISO は、監査結果を踏まえ、指摘事項を所管する情報資産セキュリティ管理者
に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報資産セキュリティ管理者に対しても、同種の課題及び問題点がある
51

恩納村情報セキュリティポリシー

可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。
（８） 情報セキュリティポリシー及び関係規程等の見直し等への活用
恩納村情報セキュリティ委員会は、監査結果を情報セキュリティポリシー及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

９．２自己点検（１） 実施方法① 統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク
及び情報システムについて、必要に応じて自己点検を実施しなければならない。
② 情報セキュリティ管理者は、所管する部局における情報セキュリティポリシーに沿った情報セキュリティ対策状況について、必要に応じて自己点検を行わなければならない。
（２） 報告統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ管理者は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、恩納村情報セ
キュリティ委員会に報告しなければならない。
（３） 自己点検結果の活用① 職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。
② 恩納村情報セキュリティ委員会は、この点検結果を情報セキュリティポリシー及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

９．３情報セキュリティの見直し
恩納村情報セキュリティ委員会は、情報セキュリティポリシーについて情報セキュリティ監査及び自己点検の結果及びに情報セキュリティに関する状況の変化等を踏まえ、情報セキュリティポリシー及び関係規程等について重大な変化が発生した場合に評価を行い、必要があると認めた場合、改善を行うものとする。

52