南国市情報セキュリティポリシー

令和元年８月１５日 改定

南

国

市

目次
情報セキュリティ基本方針 ............................................................... 2
１ 目的 ................................................................................ 2
２ 定義 ................................................................................ 2（１）情報セキュリティ ............................................................. 2（２）情報セキュリティポリシー .................................................... 2（３）情報セキュリティ管理......................................................... 2（４）情報システム ................................................................. 2（５）ネットワーク ................................................................. 2（６）機密性 ....................................................................... 3（７）完全性 ....................................................................... 3（８）可用性 ....................................................................... 3（９）マイナンバー利用事務系（個人番号利用事務系） ............................... 3（１０）ＬＧＷＡＮ接続系 ........................................................... 3（１１）インターネット接続系....................................................... 3（１２）通信経路の分割 ............................................................. 3（１３）無害化通信 ................................................................. 3（１４）情報セキュリティ基本方針 .................................................. 3（１５）情報セキュリティ対策基準 .................................................. 4
３

対象とする脅威 .................................................................... 4（１）意図的な人的脅威 ............................................................. 4（２）偶発的な人的脅威 ............................................................. 4（３）技術的脅威 ................................................................... 4（４）物理的脅威等 ................................................................. 4（５）災害.......................................................................... 4（６）パンデミック ................................................................. 4（７）インフラ障害 ................................................................. 5（８）情報システム、ネットワークの不具合 .......................................... 5４ 適用範囲.......................................................................... 5（１）対象範囲 ..................................................................... 5（２）情報資産の範囲 ............................................................... 5５ ポリシーの位置付け ............................................................... 5６ 職員の義務 ....................................................................... 5
７ 情報セキュリティ対策 ............................................................. 5（１）組織体制 ..................................................................... 5（２）情報資産の管理 ............................................................... 6（３）情報システム全体の強靭性の向上 .............................................. 6（４）人的セキュリティ ............................................................. 6（５）物理的セキュリティ ........................................................... 6

（６）技術的セキュリティ ........................................................... 6（７）運用.......................................................................... 6（８）緊急時における対応 ........................................................... 7（９）外部サービスの利用 ........................................................... 7（１０）評価・見直し ............................................................... 7
８ 情報セキュリティ監査及び自己点検の実施 .......................................... 7
９ 情報セキュリティポリシーの見直し ................................................ 7
１０ 情報セキュリティ対策基準の策定 ................................................ 7
１１ 情報セキュリティ実施手順の策定 ................................................ 7
１２ 法令の遵守 ..................................................................... 8
１３ 違反に対する対応 ............................................................... 8
１４ 公開方針 ....................................................................... 8（１）情報セキュリティ基本方針及び情報セキュリティ対策基準 ....................... 8（２）情報セキュリティ実施手順 .................................................... 8
情報セキュリティ対策基準 .............................................................. 10
１ 趣旨 ............................................................................... 10
２ 定義 ............................................................................... 10
３ 対象範囲........................................................................... 10
３．１ 行政機関の範囲 .............................................................. 10
３．２ 情報資産の範囲 .............................................................. 10
４ 組織体制........................................................................... 11（１）最高情報セキュリティ責任者 ................................................. 11（２）統括情報セキュリティ責任者 ................................................. 11（３）情報セキュリティ責任者...................................................... 11（４）情報システム管理者 .......................................................... 12（５）情報システム担当者 .......................................................... 12（６）情報セキュリティ委員会...................................................... 12（７）兼務の禁止 .................................................................. 12（８）情報セキュリティに関する統一的な窓口の設置 ................................ 13
５ 情報資産の分類と管理 .............................................................. 13
５．１ 情報資産の分類 .............................................................. 14
５．２ 情報資産の管理 .............................................................. 15（１）情報の管理責任 .............................................................. 15（２）情報資産の分類の表示........................................................ 15（３）情報の作成 .................................................................. 15（４）情報資産の入手 .............................................................. 15（５）情報資産の利用 .............................................................. 15（６）情報資産の保管 .............................................................. 16（７）情報の送信 .................................................................. 16（８）情報資産の運搬 .............................................................. 16（９）情報資産の提供 .............................................................. 16（１０）情報資産の廃棄 ............................................................ 171

６ 情報システム全体の強靭性の向上 ................................................... 17（１）マイナンバー利用事務系...................................................... 17（２）LGWAN 接続系 ................................................................ 17（３）インターネット接続系........................................................ 18
７ 物理的セキュリティ ................................................................ 18
７．１ サーバ等の管理 .............................................................. 18（１）機器の取付け ................................................................ 18（２）サーバの冗長化 .............................................................. 18（３）機器の電源 .................................................................. 18（４）通信ケーブル等の配線........................................................ 19（５）機器の定期保守及び修理...................................................... 19（６）庁外への機器の設置 .......................................................... 19（７）機器の廃棄等 ................................................................ 19
７．２ 管理区域の管理 .............................................................. 19（１）管理区域の構造等 ............................................................ 20（２）管理区域の入退室管理等...................................................... 20（３）機器等の搬入出 .............................................................. 20
７．３ 通信回線及び通信回線装置の管理 ............................................. 20（１）庁内の通信回線及び通信回線装置の管理....................................... 21（２）外部へのネットワーク接続 ................................................... 21（３）行政系のネットワーク........................................................ 21（４）情報システムへの通信回線の接続 ............................................. 21（５）完全性の確保 ................................................................ 21（６）可用性の確保 ................................................................ 21
７．４ 職員等のパソコン等の管理 ................................................... 21（１）盗難防止措置 ................................................................ 22（２）情報システムへのログイン ................................................... 22（３）端末へのログイン ............................................................ 22（４）マイナンバー利用事務系へのログイン ......................................... 22（５）データの暗号化 .............................................................. 22（６）遠隔消去機能 ................................................................ 22
８ 人的セキュリティ .................................................................. 22
８．１ 職員等の遵守事項 ............................................................ 23（１）情報セキュリティポリシー等の遵守 ........................................... 23（２）業務以外の目的での使用の禁止 ............................................... 23（３）モバイル端末等の持ち出し及び外部における情報処理作業の制限 ............... 23（４）支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用 ........... 23（５）持ち出し及び持ち込みの記録 ................................................. 23（６）パソコンやモバイル端末におけるセキュリティ設定変更の禁止.................. 23（７）机上の端末等の管理 .......................................................... 24（８）退職時等の遵守事項 .......................................................... 24
８．２ 非常勤及び臨時職員への対応 ................................................. 24

2

（１）情報セキュリティポリシー等の遵守 ........................................... 24（２）情報セキュリティポリシー等の遵守に対する同意 .............................. 24（３）インターネット接続及び電子メール使用等の制限 .............................. 24
８．３ 情報セキュリティポリシー等の掲示 ........................................... 24
８．４ 外部委託事業者に対する説明 ................................................. 24
８．５ 研修・訓練 .................................................................. 25（１）研修計画の策定及び実施...................................................... 25（２）緊急時対応訓練 .............................................................. 25（３）研修・訓練への参加 .......................................................... 25
８．６ 情報セキュリティインシデントの報告 ......................................... 25（１）庁内での情報セキュリティインシデントの報告 ................................ 25（２）住民等外部からの情報セキュリティインシデントの報告 ........................ 26（３）情報セキュリティインシデント原因の究明・記録、再発防止等.................. 26
８．７ ID 及びパスワード等の管理 ................................................... 26（１）IC カード等の取扱い ......................................................... 26（２）ID の取扱い .................................................................. 27（３）パスワードの取扱い .......................................................... 27
９ 技術的セキュリティ ................................................................ 27
９．１ コンピュータ及びネットワークの管理 ......................................... 27（１）ファイルサーバの設定等...................................................... 27（２）バックアップの実施 .......................................................... 28（３）他団体との情報システムに関する情報等の交換 ................................ 28（４）システム管理記録及び作業の確認 ............................................. 28（５）情報システム仕様書等の管理 ................................................. 28（６）ログの取得等 ................................................................ 28（７）障害記録 .................................................................... 29（８）ネットワークの接続制御、経路制御等 ......................................... 29（９）外部の者が利用できるシステムの分離等....................................... 29（１０）外部ネットワークとの接続制限等 ........................................... 29（１１）複合機のセキュリティ管理 ................................................. 30（１２）特定用途機器のセキュリティ管理 ........................................... 30（１３）無線 LAN 及びネットワークの盗聴対策 ....................................... 30（１４）電子メールのセキュリティ管理 ............................................. 30（１５）電子メールの利用制限...................................................... 31（１６）電子署名・暗号化 .......................................................... 31（１７）無許可ソフトウェアの導入等の禁止 ......................................... 31（１８）機器構成の変更の制限...................................................... 31（１９）無許可でのネットワーク接続の禁止 ......................................... 32（２０）業務以外の目的でのウェブ閲覧の禁止....................................... 32
９．２ アクセス制御 ................................................................ 32（１）アクセス制御 ................................................................ 32（２）職員等による外部からのアクセス等の制限..................................... 33

3

（３）自動識別の設定 .............................................................. 33（４）ログイン時の表示等 .......................................................... 34（５）認証情報の管理 .............................................................. 34（６）特権による接続時間の制限 ................................................... 34
９．３ システム開発、導入、保守等 ................................................. 34（１）情報システムの調達 .......................................................... 34（２）情報システムの開発 .......................................................... 34（３）情報システムの導入 .......................................................... 35（４）システム開発・保守に関連する資料等の整備・保管 ............................ 35（５）情報システムにおける入出力データの正確性の確保 ............................ 36（６）情報システムの変更管理...................................................... 36（７）開発・保守用のソフトウェアの更新等 ......................................... 36（８）システム更新又は統合時の検証等 ............................................. 36
９．４ 不正プログラム対策 .......................................................... 36（１）統括情報セキュリティ責任者の措置事項....................................... 36（２）情報システム管理者の措置事項 ............................................... 37（３）職員等の遵守事項 ............................................................ 37（４）専門家の支援体制 ............................................................ 38
９．５ 不正アクセス対策 ............................................................ 38（１）統括情報セキュリティ責任者の措置事項....................................... 38（２）攻撃への対処 ................................................................ 38（３）記録の保存 .................................................................. 38（４）内部からの攻撃 .............................................................. 39（５）職員等による不正アクセス ................................................... 39（６）サービス不能攻撃 ............................................................ 39（７）標的型攻撃 .................................................................. 39
９．６ セキュリティ情報の収集...................................................... 39（１）セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等 ....... 39（２）不正プログラム等のセキュリティ情報の収集・周知 ............................ 39（３）情報セキュリティに関する情報の収集及び共有 ................................ 39
１０ 運用 ............................................................................. 40
１０．１ 情報システムの監視........................................................ 40（１）情報システムの監視 .......................................................... 40（２）時刻同期 .................................................................... 40（３）外部と接続するシステムの監視 ............................................... 40
１０．２ 情報セキュリティポリシーの遵守状況の確認 ................................ 40（１）遵守状況の確認及び対処...................................................... 40（２）パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査.................. 40（３）職員等の報告義務 ............................................................ 40
１０．３ 侵害時の対応等 ............................................................ 41（１）緊急時対応計画の策定........................................................ 41（２）緊急時対応計画に盛り込むべき内容 ........................................... 41

4

（３）業務継続計画との整合性確保 ................................................. 41（４）緊急時対応計画の見直し...................................................... 41
１０．４ 例外措置 .................................................................. 41（１）例外措置の許可 .............................................................. 41（２）緊急時の例外措置 ............................................................ 41（３）例外措置の申請書の管理...................................................... 42
１０．５ 法令遵守 .................................................................. 42
１０．６ 懲戒処分等 ................................................................ 42（１）懲戒処分 .................................................................... 42（２）違反時の対応 ................................................................ 42
１１ 外部サービスの利用 .............................................................. 43
１１．１ 外部委託 .................................................................. 43（１）外部委託事業者の選定基準 ................................................... 43（２）契約項目 .................................................................... 43（３）確認・措置等 ................................................................ 43
１１．２ 約款による外部サービスの利用 ............................................. 44（１）約款による外部サービスの利用に係る規定の整備 .............................. 44（２）約款による外部サービスの利用における対策の実施 ............................ 44
１１．３ ソーシャルメディアサービスの利用 ......................................... 44（１）運用手順の策定 .............................................................. 44（２）発信の制限 .................................................................. 44（３）責任者の決定 ................................................................ 44
１２ 評価・見直し .................................................................... 44
１２．１ 監査 ...................................................................... 45（１）実施方法 .................................................................... 45（２）監査を行う者の要件 .......................................................... 45（３）監査実施計画の立案及び実施への協力 ......................................... 45（４）外部委託事業者に対する監査 ................................................. 45（５）報告......................................................................... 45（６）保管......................................................................... 45（７）監査結果への対応 ............................................................ 45（８）情報セキュリティポリシー及び関係規程等の見直し等への活用.................. 46
１２．２ 自己点検 .................................................................. 46（１）実施方法 .................................................................... 46（２）報告......................................................................... 46（３）自己点検結果の活用 .......................................................... 46
１２．３ 情報セキュリティポリシー及び関係規程等の見直し .......................... 46
１３ 情報セキュリティ実施手順の策定 ................................................. 46
１３．１ ネットワーク及び情報システムに関する実施手順 ............................ 46
１３．２ 各部署における実施手順 ................................................... 47
１３．３ 標準 ...................................................................... 47
１４ 法令の遵守 ...................................................................... 47

5

１５ ポリシーに関する違反への対応 ................................................... 47

6

南国市
情報セキュリティ
基本方針

1

情報セキュリティ基本方針

１ 目的
本市が取り扱う情報資産には、住民の個人情報をはじめとする行政運営上重要な情報が多数含まれている。これらの情報を漏えい、事故等から防御することは、市民の財産、プライバシー等を守るためにも、また、継続的かつ安定的な行政事務の実施を確保するためにも必要不可
欠である。
本基本方針は、本市が保有する情報資産の機密性、完全性及び可用性を維持するため、本市が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。

２ 定義
この基本方針において、使用する用語の意義は、南国市個人情報保護条例（平成8年3月27日
条例第11号）及び南国市情報公開条例（平成13年12月25日条例第39号）で使用する用語の例によるほか、次の各号に定めるところによる。

（１） 情報セキュリティ
情報資産の機密性、完全性及び可用性を維持することをいう。

（２） 情報セキュリティポリシー
本基本方針及び情報セキュリティ対策基準をいう。

（３）情報セキュリティ管理
情報セキュリティを維持するために、全庁的にポリシーを策定し（計画）、ポリシーの周知、責任の割当て、対策の実施を行い（実施）、監査や日々の業務を通じた問題点を報告し（評価）、対策の追加・改善を行い（改善）、組織として必要な情報セキュリティレベルを維持し続ける取り組みをいう。

（４）情報システム
コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組をいう。
みをいう。

（５）ネットワーク
コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をいう。

2

（６）機密性
情報にアクセスすることを認可された者だけが、許された範囲内においてのみ当該情報を利用できる状態を確保することをいう。

（７） 完全性
情報が破壊、改ざん又は消去されていない状態を確保することをいう。

（８） 可用性
情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。

（９） マイナンバー利用事務系（個人番号利用事務系）
個人番号利用事務（社会保障、地方税若しくは防災に関する事務）又は戸籍事務等に関わる情報システム及びデータをいう。

（１０） ＬＧＷＡＮ接続系
人事給与、財務会計及び文書管理等LGWAN に接続された情報システム及びその情報システムで取り扱うデータをいう。

（１１） インターネット接続系
インターネットメール、ホームページ管理システム等に関わるインターネットに接続された情報システム及びその情報システムで取り扱うデータをいう。

（１２） 通信経路の分割
LGWAN 接続系とインターネット接続系の両環境間の通信環境を分離した上で、安全が確保された通信だけを許可できるようにすることをいう。

（１３） 無害化通信
インターネットメール本文のテキスト化や端末への画面転送等により、コンピュー
タウイルス等の不正プログラムの付着が無い等、安全が確保された通信をいう。

（１４）情報セキュリティ基本方針
情報セキュリティ対策に関する統一的かつ基本的な方針をいう。

3

（１５）情報セキュリティ対策基準
情報セキュリティ基本方針を実行に移すための、すべての情報資産に共通の情報セキュリ
ティ対策の基準をいう。

３

対象とする脅威

情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。

（１）意図的な人的脅威①職員、委託事業者又は外部の権限外の者（以下「職員等」という。）による情報資産の漏えい（口頭によるものを含む。）②職員等による故意の不正アクセス及び不正操作③職員等による機器及び記録媒体の盗難④職員等によるサービス停止攻撃などの情報サービスへの妨害⑤職員等によるデータ及びプログラムの持ち出し・盗聴・改ざん・消去（２）偶発的な人的脅威①職員又は委託事業者の誤操作による機器の破壊又はデータ及びプログラムの消去又は破壊②職員等による情報資産の持ち出し又は紛失③職員等の誤操作による不正アクセス（３） 技術的脅威
不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取等（４） 物理的脅威等
情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プ
ログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、外部委
託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等（５） 災害
地震、落雷、火災等の災害によるサービス及び業務の停止等（６） パンデミック
大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等

4

（７）インフラ障害
電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等（８）情報システム、ネットワークの不具合

４ 適用範囲（１）対象範囲
本基本方針の対象範囲は、本市のすべての実施機関における情報資産に接するすべての職員とする。

（２）情報資産の範囲
本基本方針が対象とする情報資産は、次のとおりとする。
①ネットワーク、情報システム及びこれらに関する設備、電磁的記録媒体②ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む）③情報システムの仕様書及びネットワーク図等のシステム関連文書

５ ポリシーの位置付け
ポリシーは、本市の情報資産に関する情報セキュリティ対策について、総合的、体系的かつ具体的に取りまとめたものであり、情報セキュリティ対策の最高位に位置するものである。したがって、職員は、情報セキュリティの重要性について共通の認識を持つとともに、情報セキ
ュリティに関係する法令等及びポリシーを遵守し、これに基づいた情報資産の取扱いをしなけ
ればならない。

６ 職員の義務
職員、非常勤職員及び臨時職員（以下「職員等」という。）は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュ
リティ実施手順を遵守しなければならない。

７ 情報セキュリティ対策
上記３の脅威について、情報資産に対する脅威の大きさや発生頻度、適切性（利便性）、経済合理性（コスト）を考慮して、情報資産を保護するために、以下の情報セキュリティ対策を講じるものとする。

（１）組織体制
本市の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確立する。

5

（２）情報資産の管理
本市の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。

（３） 情報システム全体の強靭性の向上
情報システム全体に対し、次の三段階の対策を講じる。
①マイナンバー利用事務系においては、原則として、他の領域との通信をできないようにした上で、端末からの情報持ち出し不可設定や端末への多要素認証の導入等により、住民情報の流出を防ぐ。
②LGWAN 接続系においては、LGWAN と接続する業務用システムと、インターネット接続系の情報システムとの通信経路を分割する。なお、両システム間で通信する場合には、無害化通信を実施する。
③インターネット接続系においては、不正通信の監視機能の強化等の高度な情報
セキュリティ対策を実施する。高度な情報セキュリティ対策として、都道府県と市区町村のインターネット接続口を集約した上で、自治体情報セキュリティ
クラウドの導入等を実施する。

（４）人的セキュリティ
情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。

（５）物理的セキュリティ
サーバ等、情報システム室等、通信回線等及び職員等のパソコン等の管理について、不正侵入や盗難から情報資産を保護するため、情報資産への物理的なアクセスを制御するための対策を講じる。

（６）技術的セキュリティ
情報資産を外部及び内部からの不正アクセス等から保護するため、コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。

（７）運用
情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。

6

（８）緊急時における対応
情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適切に対応するため、緊急時対応計画を策定する。

（９） 外部サービスの利用
外部委託する場合には、外部委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、外部委託事業者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じる。
約款による外部サービスを利用する場合には、利用にかかる規定を整備し対策を講じる。
ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービスの運用手順を定め、ソーシャルメディアサービスで発信できる情報を規定し、利用する
ソーシャルメディアサービスごとの責任者を定める。

（１０） 評価・見直し
情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施し、運用改善を行い情報セキュリティの向上を図る。情報セキュリティポリシーの見直しが必要な場合は、情報セキュリティポリ
シーの見直しを行う。

８ 情報セキュリティ監査及び自己点検の実施
情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュ
リティ監査及び自己点検を実施する。

９ 情報セキュリティポリシーの見直し
情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった
場合には、情報セキュリティポリシーを見直す。

１０ 情報セキュリティ対策基準の策定
上記７、８及び９に規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。

１１ 情報セキュリティ実施手順の策定
情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定する。

7

１２ 法令の遵守
関連する法令等の遵守について定める。

１３ 違反に対する対応
情報セキュリティポリシーに違反した者への対応を定める。

１４ 公開方針
住民の信頼と安心を得た住民サービスを実現するためには、本市の情報資産に対する取扱い方法を公開することが望ましいが、情報セキュリティ実施手順は、公にすることにより本市の行政運営に重大な支障を及ぼすおそれがあることから、公開については、次のとおりとする。

（１）情報セキュリティ基本方針及び情報セキュリティ対策基準
情報セキュリティ基本方針及び情報セキュリティ対策基準は公開する。

（２）情報セキュリティ実施手順
情報セキュリティ実施手順は非公開とする。

8

南国市
情報セキュリティ対策基準

9

情報セキュリティ対策基準
１ 趣旨
南国市情報セキュリティ基本方針（以下「基本方針」という。）に基づき、本市のすべての実施機関において情報資産に接するすべての職員が遵守すべき情報セキュリティ対策基準（以下「対策基準」という。）を定める。

２ 定義
対策基準において使用する用語の意義は、基本方針の例による。

３ 対象範囲対策基準の対象範囲は次のとおりとする。

３．１ 行政機関の範囲
本対策基準が適用される機関は、市長部局、行政委員会、議会事務局、消防本部及び地方公営企業とする。

３．２ 情報資産の範囲
本対策基準が対象とする情報資産は、次のとおりとする。
①ネットワーク、情報システム、これらに関する設備、電磁的記録媒体②ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。）③情報システムの仕様書及びネットワーク図等のシステム関連文書

図表 1 情報資産の種類
情報資産の種類
ネットワーク情報システムこれらに関する施設・設備
電磁的記録媒体

ネットワーク及び情報システム
で取り扱う情報システム関連文書

情報資産
通信回線、ルータ等の通信機器
サーバ、パソコン、モバイル端末、汎用機、オペレーティ
ングシステム、ソフトウェア等
コンピュータ室、通信分岐盤、配電盤、電源ケーブル、通信ケーブル
サーバ装置、端末、通信回線装置等に内蔵される内蔵電磁的記録媒体と、USB メモリ、外付けハードディスクドライ
ブ、DVD-R、磁気テープ等の外部電磁的記録媒体
ネットワーク、情報システムで取り扱うデータ（これらを印刷した文書を含む）
システム設計書、プログラム仕様書、オペレーションマニ
ュアル、ネットワーク構成図等

10

４ 組織体制
情報セキュリティ対策を実施するため、情報セキュリティに関する役割・権限・責任を次のとおり定める。

（１）最高情報セキュリティ責任者①副市長を最高情報セキュリティ責任者（CISO: Chief Information Security Officer、以下「CISO」という。） とする。CISO は、本市における全てのネットワーク、情報システム
等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。
②CISO は、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有した専門家
を最高情報セキュリティアドバイザーとして置き、その業務内容を定めるものとする。

（２） 統括情報セキュリティ責任者①情報政策担当課長を CISO 直属の統括情報セキュリティ責任者とする。統括情報セキュリ
ティ責任者は CISO を補佐しなければならない。
②統括情報セキュリティ責任者は、本市の全てのネットワークにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
③統括情報セキュリティ責任者は、本市の全てのネットワークにおける情報セキュリティ対策に関する権限及び責任を有する。
④統括情報セキュリティ責任者は、情報セキュリティ責任者、情報システム管理者及び情報システム担当者に対して、情報セキュリティに関する指導及び助言を行う権限を有する。
⑤統括情報セキュリティ責任者は、本市の情報資産に対するセキュリティ侵害が発生した場
合又はセキュリティ侵害のおそれがある場合に、CISO の指示に従い、CISO が不在の場合には自らの判断に基づき、必要かつ十分な措置を実施する権限及び責任を有する。
⑥統括情報セキュリティ責任者は、本市の共通的なネットワーク、情報システム及び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任を有する。
⑦統括情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、統括情報セキュリティ責任者、情報セキュリティ責任者、情報システム管理者、情報システム担
当者を網羅する連絡体制を含めた緊急連絡網を整備しなければならない。
⑧統括情報セキュリティ責任者は、緊急時には CISO に早急に報告を行うとともに、回復のための対策を講じなければならない。

（３） 情報セキュリティ責任者①市長部局の所属長、教育長、教育委員会以外の行政委員会事務局の長、消防長及び地方公営企業の局長を情報セキュリティ責任者とする。
②情報セキュリティ責任者は、当該部局等の情報セキュリティ対策に関する統括的な権限及び責任を有する。

11

③情報セキュリティ責任者は、その所管する部局等において所有している情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
④情報セキュリティ責任者は、その所管する部局等において所有している情報システムについて、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約及び並びに職員、非常勤職員及び臨時職員（以下「職員等」という。）に対する教育、訓練、助言及び指示を行う。
⑤情報セキュリティ責任者は、その所掌する課室等において、情報資産に対するセキュリテ
ィ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、統括情報セキュリ
ティ責任者及び CISO へ速やかに報告を行い、指示を仰がなければならない。
（４）情報システム管理者①各情報システムの担当課室長等を当該情報システムに関する情報システム管理者とする。
②情報システム管理者は、所管する情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
③情報システム管理者は、所管する情報システムにおける情報セキュリティに関する権限及び責任を有する。
④情報システム管理者は、所管する情報システムに係る情報セキュリティ実施手順の維持・管理を行う。

（５） 情報システム担当者
情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、更新等の作業を行う者を、情報システム担当者とする。

（６） 情報セキュリティ委員会①本市の情報セキュリティ対策を統一的に実施するため、情報セキュリティ委員会において、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。
②情報セキュリティ委員会は、毎年度、本市における情報セキュリティ対策の改善計画を策定し、その実施状況を確認しなければならない。

（７） 兼務の禁止①情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。
②監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務しては
ならない。

12

（８） 情報セキュリティに関する統一的な窓口の設置①CISO は、情報セキュリティインシデントの統一的な窓口の機能を有する組織を整備し、情報セキュリティインシデントについて部局等より報告を受けた場合には、その状況を確認し、自らへの報告が行われる体制を整備すること。
②情報セキュリティに関する統一的な窓口（以下、「庁内の CSIRT」という。）は、庁内外の専門家で構成する。
③庁内の CSIRT は、CISO による情報セキュリティ戦略の意思決定が行われた際には、その内容を関係部局等に提供する。
④庁内の CSIRT は、情報セキュリティインシデントを認知した場合には、その重要度や影響範囲等を勘案し、報道機関への通知・公表対応を行わなければならない。
⑤庁内の CSIRT は、情報セキュリティに関して、関係機関や他の地方公共団体の情報セキュ
リティに関する統一的な窓口の機能を有する部署、外部の事業者等との情報共有を行う。

図表２ 情報セキュリティ推進の組織体制
情報セキュリティ委員会
最高情報統括責任者（CIO）
最高情報セキュリティ責任者（CISO）

統括情報セキュリティ責任者

情報セキュリティ責任者

職員等

情報セキュリティ責任者

職員等

情報システム管理者

情報システム担当者

外部委託業者

５ 情報資産の分類と管理
情報資産を適切に保護するため、情報資産を分類し、分類に応じた管理体制を定める。

13

５．１

情報資産の分類

本市における情報資産は、機密性、完全性及び可用性により、次のとおり分類し、必要に応じ取扱制限を行うものとする。

機密性による情報資産の分類
分類
機密３

機密２

機密１

分類基準
行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性を要する情報資産行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報資産

取扱制限・支給以外の端末での作業の原則禁止（機密性３の情報資産に対して）
・必要以上の複製及び配付禁止
・保管場所の制限、保管場所への必要以上の電磁的記録媒体等の持ち込み禁止
・情報の送信、情報資産の運搬・提供時における暗号化・パスワード設定
や鍵付きケースへの格納
・復元不可能な処理を施しての廃棄・
信頼のできるネットワーク回線の選
択・外部で情報処理を行う際の安全管理措置の規定
・電磁的記録媒体の施錠可能な場所への保管

機密性２又は機密性３の情報資産以外の情報資産完全性による情報資産の分類
分類
完全性２

完全性１

分類基準
行政事務で取り扱う情報資産のうち、改ざん、誤謬又は破損により、住民の権利が侵害される又は行政事務の適確な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情
報資産
完全性２情報資産以外の情報資産取扱制限
・バックアップ
・外部で情報処理を行う際の安全管理措置の規定
・電磁的記録媒体の施錠可能な場所への保管

可用性による情報資産の分類
分類
可用性２

可用性１

分類基準
行政事務で取り扱う情報資産のうち、滅失、紛失又は当該情報資産が利用不可能であることにより、住民の権利が侵害される又は行政事務の安定的な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報
資産
可用性２情報資産以外の情報資産

14

取扱制限
・バックアップ（指定する時間以内の復旧が可能）
・電磁的記録媒体の施錠可能な場所への保管

５．２ 情報資産の管理
情報を適切に保護し、管理するための方法を次のとおり定める。

（１）情報の管理責任①情報セキュリティ責任者は、その所管する情報資産について管理責任を有する。
②情報セキュリティ責任者は、その所管する情報資産について情報資産台帳を作成しなければならない。
③情報資産が複製又は伝送された場合には、複製等された情報資産も５．１の分類に基づき管理しなければならない。

（２）情報資産の分類の表示
職員等は、情報資産について、情報資産の名称、保管場所、５．１の分類、セキュリティ
リスク等を記載した情報資産台帳を作成し、格納する電磁的記録媒体のラベル、文書の隅等に、情報資産の分類を表示し、必要に応じて取扱制限についても明示する等適正な管理を行わなければならない。

（３）情報の作成①職員等は、業務上必要のない情報を作成してはならない。
②情報を作成する者は、情報の作成時に５．１の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
③情報を作成する者は、作成途上の情報についても、紛失や流出等を防止しなければならない。また、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。

（４）情報資産の入手①庁内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。
②庁外の者が作成した情報資産を入手した者は、５．１の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
③情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュリティ責任者に判断を仰がなければならない。

（５）情報資産の利用①情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。
②情報資産を利用する者は、情報資産の分類に応じ、適正な取扱いをしなければならない。

15

③情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体を取り扱わなければならない。

（６）情報資産の保管①情報セキュリティ責任者又は情報システム管理者は、情報資産の分類に従って、情報資産を適切適正に保管しなければならない。
②情報セキュリティ責任者又は情報システム管理者は、情報資産を記録した電磁的記録媒体
を長期保管する場合は、書込禁止の措置を講じなければならない。
③情報セキュリティ責任者又は情報システム管理者は、利用頻度が低い電磁的記録媒体や情報システムのバックアップで取得したデータを記録する電磁的記録媒体を長期保管する場
合は、自然災害を被る可能性が低い場所に保管しなければならない。
④情報セキュリティ責任者又は情報システム管理者は、機密性２以上、完全性２又は可用性
２の情報を記録した電磁的記録媒体を保管する場合、耐火、耐熱、耐震、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。

（７）情報の送信
電子メール等により機密性２以上の情報を送信する者は、必要に応じ暗号化又はパスワー
ド設定を行わなければならない。

（８）情報資産の運搬①車両等により機密性２以上の情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。
②機密性２以上の情報資産を運搬する者は、情報セキュリティ責任者に許可を得なければならない。

（９）情報資産の提供①機密性２以上の情報資産を外部に提供する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。
②機密性２以上の情報資産を外部に提供する者は、情報セキュリティ責任者に許可を得なければならない。
③情報セキュリティ責任者は、住民に公開する情報資産について、完全性を確保しなければ
ならない。

16

（１０）情報資産の廃棄①機密性２以上の情報資産を廃棄する者は、情報を記録している電磁的記録媒体が不要になった場合、電磁的記録媒体の破壊等、情報を復元できないように処置した上で廃棄しなけ
ればならない。
②情報資産の廃棄を行う者は、行った処理について、日時、担当者及び処理内容を記録しなければならない。
③情報資産の廃棄を行う者は、情報セキュリティ責任者の許可を得なければならない。

６ 情報システム全体の強靭性の向上（１）マイナンバー利用事務系①マイナンバー利用事務系と他の領域との分離
マイナンバー利用事務系と他の領域を通信できないようにしなければならない。ただし、マイナンバー利用事務系と外部との通信をする必要がある場合は、通信経路の限定(MAC アドレス、IP アドレス)及びアプリケーションプロトコル（ポート番号）のレベルでの限定を行わなければならない。なお、外部接続先もインターネット等と接続してはならない。
②情報のアクセス及び持ち出しにおける対策（ア）情報のアクセス対策
情報システムが正規の利用者かどうかを判断する認証手段のうち、二つ以上を併用する認証（多要素認証）を利用しなければならない。また、業務毎に専用端末を設置することが望ましい。
（イ）情報の持ち出し不可設定
原則として、USB メモリ等の電磁的記録媒体による端末からの情報持ち出しができないように設定しなければならない。

（２） LGWAN 接続系①LGWAN 接続系とインターネット接続系の分割
LGWAN 接続系とインターネット接続系は両環境間の通信環境を分離した上で、必要な通信だけを許可できるようにしなければならない。なお、メールやデータを
LGWAN 接続系に取り込む場合は、次の実現方法等により、無害化通信を図らなければならない。
（ア）インターネット環境で受信したインターネットメールの本文のみをLGWAN
接続系に転送する方式（イ）インターネット接続系の端末から、LGWAN 接続系の端末へ画面を転送する
方式

17

（３） インターネット接続系①インターネット接続系においては、通信パケットの監視、ふるまい検知等の不正通信の監視機能の強化により、情報セキュリティインシデントの早期発見と対処及び
LGWAN への不適切なアクセス等の監視等の情報セキュリティ対策を講じなければならない。
②市区町村のインターネット接続口を集約する自治体情報セキュリティクラウドに参加するとともに、関係省庁や都道府県等と連携しながら、情報セキュリティ対策を推進しなければならない。

７ 物理的セキュリティ
情報資産を保護するために、情報資産の管理及び設置場所について、入退室管理等の物理的な対策を定める。

７．１ サーバ等の管理
情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、次のとおりサーバ等の管理を行うものとする。

（１）機器の取付け
情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適正に固定する等、必要な措置を講じなければならない。

（２）サーバの冗長化①情報システム管理者は、重要情報を格納しているサーバ、セキュリティサーバ、住民サービスに関するサーバ及びその他の基幹サーバを冗長化し、同一データを保持しなければならない。
②情報システム管理者は、メインサーバに障害が発生した場合に、速やかにセカンダリサー
バを起動し、システムの運用停止時間を最小限にしなければならない。

（３）機器の電源①情報システム管理者は、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適正に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。
②情報システム管理者は、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

18

（４）通信ケーブル等の配線①統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、主要な箇所の通信ケーブル及び電源ケーブルについて、施設管理部門から損傷等の報告があった場合、連携して対応しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク接続口（ハブのポート等）に他者が容易に接続できないように必要な措置を施さなければならない。
④統括情報セキュリティ責任者、情報システム管理者は、自ら又は情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を講じなければならない。

（５）機器の定期保守及び修理①情報システム管理者は、サーバ等の機器の定期保守を実施しなければならない。
②情報システム管理者は、電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合、内容を消去した状態で行わせなければならない。内容を消去できない場合、情報システム管理者は、外部の事業者に故障を修理させるにあたり、修理を委託する事業者との間で、守秘義務契約を締結するほか、秘密保持体制の確認を行わなければならない。

（６）庁外への機器の設置
統括情報セキュリティ責任者及び情報システム管理者は、庁外にサーバ等の機器を設置する場合、CISO の承認を得なければならない。また、定期的に当該機器への情報セキュリテ
ィ対策状況について確認しなければならない。

（７）機器の廃棄等
情報システム管理者は、機器を廃棄、返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。

７．２ 管理区域の管理
統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携し、管理区域（情報システム室等）に次の措置を講じなければならない。

19

（１）管理区域の構造等①管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋（以下「情報システム室」という。）や電磁的記録媒体の保管庫をいう。
②統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域を地階又は１階に設けてはならない。また、外部からの侵入が容易にできないような措置を講じなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機能、警報装置等によって許可されていない立入りを防止しなければならない。
④統括情報セキュリティ責任者及び情報システム管理者は、情報システム室内の機器等に、転倒及び落下防止等の耐震対策、防火措置、防水措置等を講じなければならない。
⑤統括情報セキュリティ責任者及び情報システム管理者は、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。

（２）管理区域の入退室管理等①情報システム管理者は、管理区域への入退室を許可された者のみに制限し、IC カード、指紋認証等の生体認証や入退室管理簿の記載による入退室管理を行わなければならない。
②職員等及び外部委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。
③情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立ち入り区域を制限した上で、管理区域への入退室を許可された職員等が付き添うものとし、
外見上職員等と区別できる措置を講じなければならない。
④情報システム管理者は、機密性２以上の情報資産を扱うシステムを設置している管理区域について、当該情報システムに関連しない、また個人所有であるコンピュータ、モバイル
端末、通信回線装置、電磁的記録媒体等を持ち込ませてはならない。

（３）機器等の搬入出①情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、
あらかじめ職員等又は委託した業者に確認を行わせなければならない。
②情報システム管理者は、管理区域の機器等の搬入出について、職員を立ち会わせなければならない。

７．３ 通信回線及び通信回線装置の管理
統括情報セキュリティ責任者は、通信回線及び通信回線装置について、次の措置を講じなければならない。

20

（１）庁内の通信回線及び通信回線装置の管理
統括情報セキュリティ責任者は、施設管理部門と連携し、通信回線及び通信回線装置を適正に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適正に保管しなければならない。情報セキュリティ責任者は、管理する課室においてネットワークを構築する場合は、統括情報セキュリティ責任者の許可を受けなければならない。

（２）外部へのネットワーク接続
統括情報セキュリティ責任者は、 外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。

（３）行政系のネットワーク
統括情報セキュリティ責任者は、行政系のネットワークを総合行政ネットワーク（LGWAN）に集約するように努めなければならない。

（４）情報システムへの通信回線の接続
統括情報セキュリティ責任者は、機密性２以上の情報資産を取り扱う情報システムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適正な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化を行わなければならない。

（５）完全性の確保
統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施しなければならない。

（６）可用性の確保
統括情報セキュリティ責任者は、可用性２の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。また、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

７．４ 職員等のパソコン等の管理
情報セキュリティ責任者は、職員等が使用するパソコンについて、次の管理を行わなければ
ならない。

21

（１）盗難防止措置
情報セキュリティ責任者は、盗難防止のため、執務室等で利用するパソコンのワイヤーによる固定、モバイル端末及び電磁的記録媒体の使用時以外の施錠管理等の物理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。

（２）情報システムへのログイン
情報システム管理者は、情報システムへのログインに際し、パスワード、スマートカード、
或いは生体認証等複数の認証情報の入力を必要とするように設定しなければならない。

（３）端末へのログイン
統括情報セキュリティ責任者は、端末の電源起動時のパスワード（BIOS パスワード、ハードディスクパスワード等）を設定しなければならない。

（４）マイナンバー利用事務系へのログイン
情報システム管理者は、マイナンバー利用事務系では「知識」、「所持」、「存在」を利用する認証手段のうち二つ以上を併用する認証（多要素認証等）を行うよう設定しなければならない。

（５）データの暗号化
統括情報セキュリティ責任者は、パソコンやモバイル端末等におけるデータの暗号化等の機能を有効に利用しなければならない。また、電磁的記録媒体についてもデータ暗号化機能を備える媒体を使用しなければならない。

（６）遠隔消去機能
情報システム管理者は、モバイル端末の庁外での業務利用の際は、上記対策に加え、遠隔消去機能を利用する等の措置を講じなければならない。

８ 人的セキュリティ
情報資産を情報セキュリティに対する脅威から保護し、住民の信頼と安心を得るために、すべての職員及び委託事業者が、ポリシーを遵守するように、採用、教育、事故報告及び一般的な義
務等について必要な対策を定める。

22

８．１ 職員等の遵守事項（１）情報セキュリティポリシー等の遵守
職員等は、情報セキュリティポリシー及び実施手順を遵守しなければならない。また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報
セキュリティ責任者に相談し、指示を仰がなければならない。

（２）業務以外の目的での使用の禁止
職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。

（３）モバイル端末等の持ち出し及び外部における情報処理作業の制限①CISO は、機密性２以上、可用性２、完全性２の情報資産を外部で処理する場合における安全管理措置を定めなければならない。
②職員等は、本市のモバイル端末、電磁的記録媒体、情報資産及びソフトウェアを外部に持ち出す場合には、情報セキュリティ責任者の許可を得なければならない。
③職員等は、外部で情報処理業務を行う場合には、情報セキュリティ責任者の許可を得なければならない。
④職員等は、外部で情報処理作業を行う際、私物パソコンを用いる場合には、情報セキュリテ
ィ責任者の許可を得た上で、安全管理措置を遵守しなければならない。また、機密性３の情報資産については、私物パソコンによる情報処理を行ってはならない。

（４）支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用①職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、情報セキュリティ責任者の許可を得てインター
ネット端末としてのみ利用することができる。
②職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を用いる場合には、情報セキュリティ責任者の許可を得た上で、外部で情報処理作業を行う際に安全管理措置に関する規定を遵守しなければならない。

（５）持ち出し及び持ち込みの記録
情報セキュリティ責任者は、端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。

（６）パソコンやモバイル端末におけるセキュリティ設定変更の禁止
職員等は、支給パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を変更してはならない。

23

（７）机上の端末等の管理職員等は、パソコン、モバイル端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ責任者の許可なく情報を閲覧されることがない
ように、離席時のパソコン、モバイル端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適正な措置を講じなければならない。

（８）退職時等の遵守事項
職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。

８．２ 非常勤及び臨時職員への対応（１）情報セキュリティポリシー等の遵守
情報セキュリティ責任者は、非常勤及び臨時職員に対し、採用時に情報セキュリティポリシ
ー等のうち、非常勤及び臨時職員が守るべき内容を理解させ、また実施及び遵守させなければならない。

（２）情報セキュリティポリシー等の遵守に対する同意
情報セキュリティ責任者は、非常勤及び臨時職員の採用の際、必要に応じ、情報セキュリティポリシー等を遵守する旨の同意書への署名を求めるものとする。

（３）インターネット接続及び電子メール使用等の制限
情報セキュリティ責任者は、非常勤及び臨時職員にパソコンやモバイル端末による作業を行わせる場合において、電子メールの使用等が不要の場合、これを利用できないようにしなければならない。

８．３ 情報セキュリティポリシー等の掲示
情報セキュリティ責任者は、職員等が常に情報セキュリティポリシー及び実施手順を閲覧できるように掲示しなければならない。

８．４ 外部委託事業者に対する説明
情報セキュリティ責任者は、市の業務を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、情報セキュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

24

８．５ 研修・訓練
CISO は、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
（１）研修計画の策定及び実施①CISO は、幹部を含め全ての職員等に対する情報セキュリティに関する研修計画の策定とその実施体制の構築を定期的に行い、情報セキュリティ委員会の承認を得なければならない。
②CISO は、研修計画において、職員等が毎年度最低１回は情報セキュリティ研修を受講できるようにしなければならない。
③CISO は、新規採用の職員等を対象とする情報セキュリティに関する研修を実施しなければならない。
④研修は、統括情報セキュリティ責任者、情報セキュリティ責任者、情報システム管理者、情報システム担当者及びその他職員等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。
⑤CISO は、毎年度１回、情報セキュリティ委員会に対して、職員等の情報セキュリティ研修の実施状況について報告しなければならない。

（２）緊急時対応訓練
CISO は、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、また、効果的に実施できるようにしなければならない。

（３）研修・訓練への参加
幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならない。

８．６ 情報セキュリティインシデントの報告（１）庁内での情報セキュリティインシデントの報告①職員等は、情報セキュリティインシデントを認知した場合、速やかに情報セキュリティ責任者に報告しなければならない。
②報告を受けた情報セキュリティ責任者は、速やかに統括情報セキュリティ責任者及び情報シ
ステム管理者、情報セキュリティに関する統一的な窓口に報告しなければならない。
③情報セキュリティに関する統一的な窓口は、報告のあった情報セキュリティインシデントについて、CISO に報告しなければならない。

25

（２）住民等外部からの情報セキュリティインシデントの報告①職員等は、本市が管理するネットワーク及び情報システム等の情報資産に関する情報セキュ
リティインシデントについて、住民等外部から報告を受けた場合、情報セキュリティ責任者に報告しなければならない。
②報告を受けた情報セキュリティ責任者は、速やかに統括情報セキュリティ責任者及び情報シ
ステム管理者、情報セキュリティに関する統一的な窓口に報告しなければならない。
③情報セキュリティに関する統一的な窓口は、当該情報セキュリティインシデントについて、
CISO に報告しなければならない。
④CISO は、情報システム等の情報資産に関する情報セキュリティインシデントについて、住民等外部から報告を受けるための窓口を設置し、当該窓口への連絡手段を公表しなければならない。

（３）情報セキュリティインシデント原因の究明・記録、再発防止等①統括情報セキュリティ責任者は、情報セキュリティインシデントを引き起こした部門の情報
セキュリティ責任者、情報システム管理者及び情報セキュリティに関する統一的な窓口と連携し、これらの情報セキュリティインシデント原因を究明し、記録を保存しなければならない。また、情報セキュリティインシデントの原因究明結果から、再発防止策を検討し、CISO に報告しなければならない。
②CISO は、統括情報セキュリティ責任者から、情報セキュリティインシデントについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなけ
ればならない。

８．７ ID 及びパスワード等の管理（１）IC カード等の取扱い①職員等は、自己の管理する IC カード等に関し、次の事項を遵守しなければならない。
（ア）認証に用いる IC カード等を、職員等間で共有してはならない。
（イ）業務上必要のないときは、IC カード等は当該 IC カード等を管理する情報セキュリティ
責任者に返却しなければならない。
（ウ）IC カード等を紛失した場合には、速やかに当該カード等を管理する情報セキュリティ
責任者に通報し、指示に従わなければならない。
②情報セキュリティ責任者及び情報システム管理者は、IC カード等の紛失等の通報があり次第、当該 IC カード等を使用したアクセス等を速やかに停止しなければならない。
③情報セキュリティ責任者及び情報システム管理者は、IC カード等を切り替える場合、切替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。

26

（２）ID の取扱い
職員等は、自己の管理する ID に関し、次の事項を遵守しなければならない。
①自己が利用している ID は、他人に利用させてはならない。
②共用 ID を利用する場合は、共用 ID の利用者以外に利用させてはならない。
（３）パスワードの取扱い
職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。
①パスワードは、他者に知られないように管理しなければならない。
②パスワードを秘密にし、パスワードの照会等には一切応じてはならない。
③パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。
④パスワードが流出したおそれがある場合には、情報セキュリティ責任者に速やかに報告しなければならない。
⑤情報セキュリティ責任者は、④の報告を受けた場合は、速やかにパスワードを変更する措置を講じなければならない。
⑥職員等は、付与されたパスワードを業務以外の目的で用いてはならない。
⑦仮のパスワード（初期パスワード含む）は、最初のログイン時点で変更しなければならない。
⑧サーバ、ネットワーク機器及びパソコン等の端末にパスワードを記憶させてはならない。
⑨職員等間でパスワードを共有してはならない。（ただし共有 ID に対するパスワードは除く）。

９ 技術的セキュリティ
情報資産を外部及び内部からの不正アクセス等から保護するために、統括情報セキュリティ責
任者及び情報システム管理者が行うアクセス制御、ネットワーク管理、コンピュータウイルス対策等の技術的な対策を定める。

９．１ コンピュータ及びネットワークの管理（１）ファイルサーバの設定等①情報システム管理者は、職員等が使用できるファイルサーバの容量を設定し、職員等に周知しなければならない。
②情報システム管理者は、ファイルサーバを課室等の単位で構成し、職員等が他課室等のフォ
ルダ及びファイルを閲覧及び使用できないように、設定しなければならない。
③情報システム管理者は、住民の個人情報、人事記録等、特定の職員等しか取扱えないデータ
について、別途ディレクトリを作成する等の措置を講じ、同一課室等であっても、担当職員
以外の職員等が閲覧及び使用できないようにしなければならない。

27

（２）バックアップの実施
情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの冗長化対策に関わらず、必要に応じて定期的にバックアップを実施しなければならない。

（３）他団体との情報システムに関する情報等の交換
情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する
場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュリティ責任者の許可を得なければならない。

（４）システム管理記録及び作業の確認①情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、所管するシステムにおいて、シス
テム変更等の作業を行った場合は、作業内容について記録を作成し、詐取、改ざん等をされないように適正に管理しなければならない。
③情報システム担当者及び契約により操作を認められた外部委託事業者がシステム変更等の作業を行う場合は、統括情報セキュリティ責任者及び情報システム管理者に、あらかじめ作業
日時、作業内容等について届出を行わなければならない。また、作業は 2 名以上で実施し、互いにその作業を確認しなければならない。

（５）情報システム仕様書等の管理
統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク構成図、情報システ
ム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者の閲覧、紛失等がない
よう、適正に管理しなければならない。

（６）ログの取得等①統括情報セキュリティ責任者及び情報システム管理者は、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、適正にログを管理しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。

28

（７）障害記録
統括情報セキュリティ責任者及び情報システム管理者は、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適正に保存しなければならない。

（８）ネットワークの接続制御、経路制御等①統括情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。
②統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに適正なアクセス制御を施さなければならない。

（９）外部の者が利用できるシステムの分離等
情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと分離する等の措置を講じなければならない。

（１０）外部ネットワークとの接続制限等①統括情報セキュリティ責任者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISO の許可を得なければならない。
②統括情報セキュリティ責任者は、接続しようとする外部ネットワークに係るネットワーク構
成、機器構成、セキュリティ技術等を詳細に調査し、庁内の全てのネットワーク、情報シス
テム等の情報資産に影響が生じないことを確認しなければならない。
③統括情報セキュリティ責任者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、当該
外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
④統括情報セキュリティ責任者は、ウェブサーバ等をインターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
⑤統括情報セキュリティ責任者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、速やかに当該外部ネットワークを物理的に遮断しなければならない。

29

（１１） 複合機のセキュリティ管理①統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能、設置環
境並びに取り扱う情報資産の分類及び管理方法に応じ、適正なセキュリティ要件を策定しなければならない。
②統括情報セキュリティ責任者は、複合機が備える機能について適正な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。
③統括情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。

（１２） 特定用途機器のセキュリティ管理
統括情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を講じなければならない。

（１３）無線 LAN 及びネットワークの盗聴対策①統括情報セキュリティ責任者は、無線 LAN の利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。
②統括情報セキュリティ責任者は、機密性の高い情報を取り扱うネットワークについて、情報の盗聴等を防ぐため、暗号化等の措置を講じなければならない。

（１４）電子メールのセキュリティ管理①統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送（電子メールの中継処理）が行われることを不可能とするよう、電子メールサーバの設定を行わなければならない。
②職員等は､情報セキュリティに対する脅威の恐れがある電子メールを受け取った場合は､直ちに統括情報セキュリティ責任者に報告しなければならない｡③統括情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した場合は、
メールサーバの運用を停止しなければならない。
④統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電
子メールの送受信を不可能にしなければならない。
⑤統括情報セキュリティ責任者は、職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。
⑥統括情報セキュリティ責任者は、システム開発や運用、保守等のため庁舎内に常駐している
外部委託事業者の作業員による電子メールアドレス利用について、外部委託事業者との間で利用方法を取り決めなければならない。

30

⑦統括情報セキュリティ責任者は、職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことが不可能となるように添付ファイルの監視等の措置を講じなければならない。

（１５）電子メールの利用制限①職員等は、自動転送機能を用いて、電子メールを転送してはならない。
②職員等は、業務上必要のない送信先に電子メールを送信してはならない。
③職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子
メールアドレスが分からないようにしなければならない。
④職員等は、重要な電子メールを誤送信した場合、情報セキュリティ責任者に報告しなければならない。
⑤職員等は、ウェブで利用できる電子メール、ネットワークストレージサービス、ファイル共
有サービス等を使用してはならない。機密性 1 の情報に限り、制限を超える容量のファイルを業務上授受する必要が生じた場合で、他の方法によることが困難な場合は、情報セキュリ
ティ責任者の許可を得てネットワークストレージサービスを利用することができる。

（１６）電子署名・暗号化①職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機密性又は完全性を確保することが必要な場合には、CISO が定めた電子署名、暗号化又はパスワード設
定等、セキュリティを考慮して、送信しなければならない。
②職員等は、暗号化を行う場合に CISO が定める以外の方法を用いてはならない。また、CISO
が定めた方法で暗号のための鍵を管理しなければならない。
③CISO は、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全に提供しなければならない。

（１７）無許可ソフトウェアの導入等の禁止①職員等は、パソコンやモバイル端末に無断でソフトウェアを導入してはならない。
②職員等は、業務上の必要がある場合は、統括情報セキュリティ責任者及び情報セキュリティ
責任者の許可を得て、ソフトウェアを導入することができる。なお、導入する際は、情報セ
キュリティ責任者は、ソフトウェアのライセンスを管理しなければならない。
③職員等は、不正にコピーしたソフトウェアを利用してはならない。

（１８）機器構成の変更の制限①職員等は、パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。
②職員等は、業務上、パソコンやモバイル端末に対し機器の改造及び増設・交換を行う必要がある場合には、統括情報セキュリティ責任者及び情報セキュリティ責任者の許可を得なければならない。

31

（１９）無許可でのネットワーク接続の禁止
職員等は、統括情報セキュリティ責任者の許可なくパソコンやモバイル端末をネットワークに接続してはならない。

（２０）業務以外の目的でのウェブ閲覧の禁止①職員等は、業務以外の目的でウェブを閲覧してはならない。
②統括情報セキュリティ責任者は、職員等のウェブ利用について、明らかに業務に関係のない
サイトを閲覧していることを発見した場合は、情報セキュリティ責任者に通知し適正な措置を求めなければならない。

９．２ アクセス制御（１）アクセス制御①アクセス制御等
統括情報セキュリティ責任者又は情報システム管理者は、所管するネットワーク又は情報システムごとにアクセスする権限のない職員等がアクセスできないように、システム上制限
しなければならない。
②利用者 ID の取扱い
（ア）統括情報セキュリティ責任者及び情報システム管理者は、利用者の登録、変更、抹消等の情報管理、職員等の異動、出向、退職者に伴う利用者 ID の取扱い等の方法を定めなければならない。
（イ）職員等は、業務上必要がなくなった場合は、利用者登録を抹消するよう、統括情報セキ
ュリティ責任者又は情報システム管理者に通知しなければならない。
（ウ）統括情報セキュリティ責任者及び情報システム管理者は、利用されていない ID が放置されないよう、人事管理部門と連携し、点検しなければならない。
③特権を付与された ID の管理等
（ア）統括情報セキュリティ責任者及び情報システム管理者は、管理者権限等の特権を付与された ID を利用する者を必要最小限にし、当該 ID のパスワードの漏えい等が発生しないよう、当該 ID 及びパスワードを厳重に管理しなければならない。
（イ）統括情報セキュリティ責任者及び情報システム管理者の特権を代行する者は、統括情報
セキュリティ責任者及び情報システム管理者が指名し、CISO が認めた者でなければならない。
（ウ）CISO は、代行者を認めた場合、速やかに統括情報セキュリティ責任者、情報セキュリ
ティ責任者及び情報システム管理者に通知しなければならない。
（エ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID 及びパ
スワードの変更について、外部委託事業者に行わせてはならない。

32

（オ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID 及びパスワードについて、職員等の端末等のパスワードよりも定期変更、入力回数制限等のセキ
ュリティ機能を強化しなければならない。
（カ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID を初期設定以外のものに変更しなければならない。

（２）職員等による外部からのアクセス等の制限①職員等又は外部委託事業者が外部から内部のネットワーク又は情報システムにアクセスする
場合は、統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得なければならない。
②統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
③統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上利用者の本
人確認を行う機能を確保しなければならない。
④統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。
⑤統括情報セキュリティ責任者及び情報システム管理者は、外部からのアクセスに利用するモバイル端末を職員等に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。
⑥職員等は、持ち込んだ又は外部から持ち帰ったモバイル端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。
⑦統括情報セキュリティ責任者及び情報システム管理者は、外部委託事業者が端末を持ち込み、サーバ等に接続する場合は、事前にコンピュータウイルスに感染していないこと、パッチの適用状況等について確認しなければならない。
⑧統括情報セキュリティ責任者は、公衆通信回線（公衆無線 LAN 等）の庁外通信回線を庁内
ネットワークに接続することは原則として禁止しなければならない。ただし、やむを得ず接続を許可する場合は、利用者の ID 及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体（IC カード等）による認証に加えて通信内容の暗号化等、情報セキュ
リティ確保のために必要な措置を講じなければならない。

（３）自動識別の設定
統括情報セキュリティ責任者は、ネットワークで使用される機器について、機器固有情報に
よって端末とネットワークとの接続の可否が自動的に識別されるようシステムを設定しなければならない。

33

（４）ログイン時の表示等
情報システム管理者は、ログイン時におけるメッセージ、ログイン試行回数の制限、アクセ
スタイムアウトの設定及びログイン・ログアウト時刻の表示等により、正当なアクセス権を持
つ職員等がログインしたことを確認することができるようシステムを設定しなければならない。

（５）認証情報の管理①統括情報セキュリティ責任者又は情報システム管理者は、職員等の認証情報を厳重に管理しなければならない。認証情報ファイルを不正利用から保護するため、オペレーティングシス
テム等で認証情報設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。
②情報システム管理者は、職員等に対して仮のパスワードを発行した場合は、初回ログイン後直ちに仮のパスワードを変更させなければならない。

（６）特権による接続時間の制限
統括情報セキュリティ責任者及び情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

９．３ システム開発、導入、保守等（１）情報システムの調達①統括情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に、必要とする技術的なセキュリティ機能を明記しなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、機器及びソフトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを確認しなければならない。

（２）情報システムの開発①システム開発における責任者及び作業者の特定
情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。また、システム開発のための規則を確立しなければならない。
②システム開発における責任者、作業者のＩＤの管理（ア）情報システム管理者は、システム開発の責任者及び作業者が使用するＩＤを管理し、開発完了後、開発用ＩＤを削除しなければならない。
（イ）情報システム管理者は、システム開発の責任者及び作業者のアクセス権限を設定しなけ
ればならならない。

34

③システム開発に用いるハードウェア及びソフトウェアの管理（ア）情報システム管理者は、システム開発の責任者及び作業者が使用するハードウェア及びソフトウェアを特定しなければならない。
（イ）情報システム管理者は、利用を認めたソフトウェア以外のソフトウェアが導入されている場合、当該ソフトウェアをシステムから削除しなければならない。

（３）情報システムの導入①開発環境と運用環境の分離及び移行手順の明確化（ア）情報システム管理者は、システム開発、保守及びテスト環境とシステム運用環境を分離しなければならない。
（イ）情報システム管理者は、システム開発・保守及びテスト環境からシステム運用環境への移行について、システム開発・保守計画の策定時に手順を明確にしなければならない。
（ウ）情報システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。
（エ）情報システム管理者は、導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。
②テスト（ア）情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報シ
ステムに接続する前に十分な試験を行わなければならない。
（イ）情報システム管理者は、運用テストを行う場合、あらかじめ擬似環境による操作確認を行わなければならない。
（ウ）情報システム管理者は、個人情報及び機密性の高い生データを使用しないテストデータを準備するものとする。それによることができない場合は、南国市情報セキュリティポリ
シーに則った管理の下で実施し、テスト終了後速やかにテストデータ及びテストによる生成データを消去しなければならない。
（エ）情報システム管理者は、開発したシステムについて、導入に際し、開発した組織とは独立したテストを行わなければならない。

（４）システム開発・保守に関連する資料等の整備・保管①情報システム管理者は、システム開発・保守に関連する資料及びシステム関連文書を適正に整備・保管しなければならない。
②情報システム管理者は、テスト結果を一定期間保管しなければならない。
③情報システム管理者は、情報システムに係るソースコードを適正な方法で保管しなければな
らない。

35

（５）情報システムにおける入出力データの正確性の確保①情報システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。
②情報システム管理者は、故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合に、これを検出するチェック機能を組み込むように情報システムを設計しなければならない。
③情報システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。

（６）情報システムの変更管理
情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変更履歴を作成しなければならない。

（７）開発・保守用のソフトウェアの更新等
情報システム管理者は、開発・保守用のソフトウェア等を更新、又はパッチの適用をする場
合、他の情報システムとの整合性を確認しなければならない。

（８）システム更新又は統合時の検証等
情報システム管理者は、システム更新・統合時に伴うリスク管理体制の構築、移行基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。

９．４ 不正プログラム対策（１）統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正プログラム対策として、次の事項を措置しなければならない。
①外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。
②外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュ
ータウイルス等不正プログラムのチェックを行い、不正プログラムの外部への拡散を防止しなければならない。
③コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起しなければならない。
④所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラム対策ソ
フトウェアを常駐させなければならない。

36

⑤不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
⑥不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
⑦業務で利用するソフトウェアは、パッチやバージョンアップなどの開発元のサポートが終了
したソフトウェアを利用してはならない。

（２）情報システム管理者の措置事項
情報システム管理者は、不正プログラム対策に関し、次の事項を措置しなければならない。
①情報システム管理者は、その所掌するサーバ及びパソコン等の端末に、コンピュータウイル
ス等の不正プログラム対策ソフトウェアをシステムに常駐させなければならない。
②不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
③不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
④インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場合、コンピュ
ータウイルス等の感染を防止するために、市が管理している媒体以外を職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、
不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイ
ルの更新を実施しなければならない。

（３）職員等の遵守事項
職員等は、不正プログラム対策に関し、次の事項を遵守しなければならない。
①パソコンやモバイル端末において、不正プログラム対策ソフトウェアが導入されている場合
は、当該ソフトウェアの設定を変更してはならない。
②外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム対策ソフトウ
ェアによるチェックを行わなければならない。
③差出人が不明又は不自然に添付されたファイルを受信した場合は、速やかに削除しなければならない。
④端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなけ
ればならない。
⑤添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフトウェア
でチェックを行わなければならない。インターネット接続系で受信したインターネットメ
ール又はインターネット経由で入手したファイルをLGWAN 接続系に取込む場合は無害化
しなければならない。
⑥統括情報セキュリティ責任者が提供するウイルス情報を、常に確認しなければならない。
⑦コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる場合は、以下の対応を行わなければならない。

37

（ア）パソコン等の端末の場合
LAN ケーブルの即時取り外しを行わなければならない。
（イ）モバイル端末の場合直ちに利用を中止し、通信を行わない設定への変更を行わなければならない。

（４）専門家の支援体制
統括情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければならない。

９．５ 不正アクセス対策（１）統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正アクセス対策として、以下の事項を措置しなければならない。
①使用されていないポートを閉鎖しなければならない。
②不要なサービスについて、機能を削除又は停止しなければならない。
③不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括情報セキュリティ責任者及び情報システム管理者へ通報するよう、設定しなければならない。
④重要なシステムの設定を行ったファイル等について、当該ファイルの改ざんの有無を検査しなければならない。
⑤統括情報セキュリティ責任者は、情報セキュリティに関する統一的な窓口と連携し、監視、通知、外部連絡窓口及び適切な対応などを実施できる体制並びに連絡網を構築しなければならない。

（２）攻撃への対処
CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けた場合又は攻撃を受ける
リスクがある場合は、システムの停止を含む必要な措置を講じなければならない。また、総務省、都道府県等と連絡を密にして情報の収集に努めなければならない。

（３）記録の保存
CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

38

（４）内部からの攻撃
統括情報セキュリティ責任者及び情報システム管理者は、職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。

（５）職員等による不正アクセス
統括情報セキュリティ責任者及び情報システム管理者は、職員等による不正アクセスを発見した場合は、当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な処置を求めなければならない。

（６）サービス不能攻撃
統括情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる情報シス
テムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

（７）標的型攻撃
統括情報セキュリティ責任者及び情報システム管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。

９．６ セキュリティ情報の収集（１）セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等
統括情報セキュリティ責任者及び情報システム管理者は、セキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

（２）不正プログラム等のセキュリティ情報の収集・周知
統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。

（３）情報セキュリティに関する情報の収集及び共有
統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

39

１０ 運用１０．１ 情報システムの監視（１）情報システムの監視
統括情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。

（２）時刻同期
統括情報セキュリティ責任者及び情報システム管理者は、重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。

（３）外部と接続するシステムの監視
統括情報セキュリティ責任者及び情報システム管理者は、外部と常時接続するシステムを常時監視しなければならない。

１０．２ 情報セキュリティポリシーの遵守状況の確認（１）遵守状況の確認及び対処①情報セキュリティ責任者は、情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかに CISO 及び統括情報セキュリティ責任者に報告しなければならない。
②CISO は、発生した問題について、適正かつ速やかに対処しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク及びサーバ等のシス
テム設定等における情報セキュリティポリシーの遵守状況について、定期的に確認を行い、問題が発生していた場合には適正かつ速やかに対処しなければならない。

（２）パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査
CISO 及び CISO が指名した者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のログ、電子メールの送受信記録等の利用状況を調査することができる。

（３）職員等の報告義務①職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括情報セキュリティ責任者に報告を行わなければならない。
②当該違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報セキ
ュリティ責任者が判断した場合において、職員等は、緊急時対応計画に従って適正に対処しなければならない。

40

１０．３ 侵害時の対応等（１）緊急時対応計画の策定
CISO 又は情報セキュリティ委員会は、情報セキュリティインシデント、情報セキュリティ
ポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において、連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適正に実施するために、緊急時対応計画を定め、セキュリティ侵害時には当該計画に従って適正に対処しなければならない。

（２）緊急時対応計画に盛り込むべき内容
緊急時対応計画には、以下の内容について定めなければならない。
・関係者の連絡先・発生した事案に係る報告すべき事項
・発生した事案への対応措置
・再発防止措置の策定（３）業務継続計画との整合性確保
自然災害、大規模・広範囲にわたる疾病等に備えて別途業務継続計画を策定し、情報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなければならない。

（４）緊急時対応計画の見直し
CISO 又は情報セキュリティ委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。

１０．４ 例外措置（１）例外措置の許可
情報セキュリティ責任者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用
し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISO の許可を得て、例外措置を講じることができる。

（２）緊急時の例外措置
情報セキュリティ責任者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場
合であって、例外措置を実施することが不可避のときは、事後速やかに CISO に報告しなければならない。

41

（３）例外措置の申請書の管理
CISO は、例外措置の申請書及び審査結果を適正に保管し、定期的に申請状況を確認しなけ
ればならない。

１０．５ 法令遵守
職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。
・地方公務員法(昭和二十五年十二月十三日法律第二百六十一号）
・著作権法（昭和四十五年法律第四十八号）
・不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）
・個人情報の保護に関する法律（平成十五年五月三十日法律第五十七号）
・行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）
・サイバーセキュリティ基本法（平成 28 年法律第 31 号）
・南国市個人情報保護条例（平成 8 年 3 月 27 日条例第 11 号）
１０．６ 懲戒処分等（１）懲戒処分情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。

（２）違反時の対応
職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。
① 統括情報セキュリティ責任者が違反を確認した場合は、統括情報セキュリティ責任者は当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な措置を求めなければならない。
② 情報システム責任者等が違反を確認した場合は、違反を確認した者は速やかに統括情報セキュリティ責任者及び当該職員等が所属する課室等の情報セキュリティ責任者に通知し、適正な措置を求めなければならない。
③ 情報セキュリティ責任者の指導によっても改善されない場合、統括情報セキュリティ責任者は、当該職員等のネットワーク又は情報システムを使用する権利を停止あるいは剥奪することができる。その後速やかに、統括情報セキュリティ責任者は、職員等の権利を停止
あるいは剥奪した旨を CISO 及び当該職員等が所属する課室等の情報セキュリティ責任者に通知しなければならない。

42

１１ 外部サービスの利用
１１．１ 外部委託（１）外部委託事業者の選定基準①情報セキュリティ責任者は、外部委託事業者の選定にあたり、委託内容に応じた情報セキュ
リティ対策が確保されることを確認しなければならない。
②情報セキュリティ責任者は、情報セキュリティマネジメントシステムの国際規格の認証取得
状況、情報セキュリティ監査の実施状況等を参考にして、事業者を選定しなければならない。
③情報セキュリティ責任者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。

（２）契約項目
情報システム管理者は、情報システムの構築、運用、保守等を外部委託する場合には、外部委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。
・情報セキュリティポリシー及び情報セキュリティ実施手順の遵守
・外部委託事業者の責任者、委託内容、作業者の所属、作業場所の特定・提供されるサービスレベルの保証
・外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
・外部委託事業者の従業員に対する教育の実施・提供された情報の目的外利用及び受託者以外の者への提供の禁止
・業務上知り得た情報の守秘義務・再委託に関する制限事項の遵守
・委託業務終了時の情報資産の返還、廃棄等・委託業務の定期報告及び緊急時報告義務
・市による監査、検査・市による情報セキュリティインシデント発生時の公表
・情報セキュリティポリシーが遵守されなかった場合の規定(損害賠償等)（３）確認・措置等
情報セキュリティ責任者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、（２）により締結した契約に基づき措置を実施しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じて CISO に報告しなければならない。

43

１１．２ 約款による外部サービスの利用（１）約款による外部サービスの利用に係る規定の整備
情報セキュリティ責任者は、以下を含む約款による外部サービスの利用に関する規定を整備しなければならない。また、当該サービスの利用において、機密性２以上の情報が取り扱われないように規定しなければならない。
・約款によるサービスを利用してよい範囲
・業務により利用する約款による外部サービス
・利用手続及び運用手順（２）約款による外部サービスの利用における対策の実施
職員等は、利用するサービスの約款、その他提供条件から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適正な措置を講じた上で利用しなければならない。

１１．３ ソーシャルメディアサービスの利用（１）運用手順の策定
情報セキュリティ責任者は、本市が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。
①本市のアカウントによる情報発信が、実際の本市のものであることを明らかにするために、本市の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウン
トの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を実施すること。
③ パスワードや認証のためのコード等の認証情報及びこれを記録した媒体（IC カード等）等
を適正に管理するなどの方法で、不正アクセス対策を実施すること（２）発信の制限
職員等は、機密性２以上の情報をソーシャルメディアサービスで発信してはならない。

（３）責任者の決定
情報セキュリティ責任者は、利用するソーシャルメディアサービスごとの責任者を定めなければならない。

１２ 評価・見直し
必要な情報セキュリティレベルを維持するために、セキュリティインシデントに関する報告及び対応の体制並びにポリシーの評価・改善の手続きについて定める。

44

１２．１ 監査（１）実施方法CISO は、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、毎年度及び必要に応じて監査を行わせなければならない。

（２）監査を行う者の要件①情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。
②監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。

（３）監査実施計画の立案及び実施への協力①情報セキュリティ監査統括責任者は、監査を行うに当たって、監査実施計画を立案し、情報セキュリティ委員会の承認を得なければならない。
②被監査部門は、監査の実施に協力しなければならない。

（４）外部委託事業者に対する監査
外部委託事業者に委託している場合、情報セキュリティ監査統括責任者は外部委託事業者から下請けとして受託している事業者も含めて、情報セキュリティポリシーの遵守について監査を定期的に又は必要に応じて行わなければならない。

（５）報告
情報セキュリティ監査統括責任者は、監査結果を取りまとめ、情報セキュリティ委員会に報告しなければならない。

（６）保管
情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を、紛失等が発生しないように適正に保管しなければならない。

（７）監査結果への対応
CISO は、監査結果を踏まえ、指摘事項を所管する情報セキュリティ責任者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報セキュリティ責任者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。

45

（８）情報セキュリティポリシー及び関係規程等の見直し等への活用
情報セキュリティ委員会は、監査結果を情報セキュリティポリシー及び関係規定等の見直し、
その他情報セキュリティ対策の見直し時に活用しなければならない。

１２．２ 自己点検（１）実施方法①統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報シ
ステムについて、毎年度及び必要に応じて自己点検を実施しなければならない。
②情報セキュリティ責任者は、所管する部署における情報セキュリティポリシーに沿った情報
セキュリティ対策状況について、毎年度及び必要に応じて自己点検を行わなければならない。

（２）報告
統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ責任者は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、情報セキュリティ委員会に報告しなければならない。

（３）自己点検結果の活用①職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。
②情報セキュリティ委員会は、この点検結果を情報セキュリティポリシー及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

１２．３ 情報セキュリティポリシー及び関係規程等の見直し
情報セキュリティ委員会は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリテ
ィに関する状況の変化等を踏まえ、情報セキュリティポリシー及び関係規程等について毎年度及び重大な変化が発生した場合に評価を行い、必要があると認めた場合、改善を行うものとする。

１３ 情報セキュリティ実施手順の策定
１３．１ ネットワーク及び情報システムに関する実施手順
統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報シ
ステムについて、情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定し、情報セキュリティ委員会に報告しなければならない。

46

１３．２ 各部署における実施手順
情報セキュリティ責任者は、所管する部署において、情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定し、情報セキュリティ委員会に報告しなければならない。

１３．３ 標準
統括情報セキュリティ責任者は、全部署に関わる実施手順について、標準を定め、情報セキ
ュリティ委員会に報告しなければならない。

１４ 法令の遵守
職員等は、職務の遂行において使用する情報資産について、地方公務員法（昭和二十五年十二月十三日法律第二百六十一号）及び個人情報の保護に関する法律 （平成十五年五月三十日法律第五十七号）のほか、職務遂行の根拠となる法令等に従わなければならない。

１５ ポリシーに関する違反への対応
CISO は、情報セキュリティポリシーに違反した職員等について、その重大性、発生した事案の状況などに応じて、地方公務員法等、関係法令の規定に基づき懲戒等の処分を行う。また、ポリシー違反を起因とする違法行為については、必要な措置を行う。

47