地方公共団体における情報セキュリティ監査に関するガイドライン(平成 30 年 9 月版)

平 成 15年 12月 25日
平 成 30年 9月 25日

策
改

定
定

総

務

省

目 次
第 1 章 総則...................................................................................2
1.1. 本ガイドラインの目的 ............................................................................ 2
1.2. 本ガイドライン策定の経緯 ..................................................................... 3
1.3. 情報セキュリティ監査の意義と種類 ....................................................... 5
1.4. 本ガイドラインとポリシーガイドラインの関係 ..................................... 7
1.5. 本ガイドラインの構成 ............................................................................ 8

第 2 章 情報セキュリティ監査手順 .............................................. 11
2.1. 監査手順の概要 ..................................................................................... 112.2. 監査手順 ................................................................................................ 122.2.1. 準備 .................................................................................................................... 122.2.2. 監査計画 ............................................................................................................. 16
2.2.3. 監査実施 ............................................................................................................. 18
2.2.4. 監査報告 ............................................................................................................. 22
2.2.5. 監査結果への対応等 ........................................................................................... 24
2.2.6. 監査結果の公開 .................................................................................................. 25
2.2.7. フォローアップ監査 ........................................................................................... 26

2.3. 外部監査人の調達 .................................................................................. 27

第 3 章 情報セキュリティ監査項目 .............................................. 32
3.1. 組織体制 ................................................................................................ 34
3.2. 情報資産の分類と管理 ........................................................................ 35
3.3. 情報システム全体の強靭性の向上 ....................................................... 37
3.4. 物理的セキュリティ ........................................................................... 39
3.4.1. サーバ等の管理 ................................................................................................... 39
3.4.2. 管理区域（情報システム室等）の管理 ............................................................... 44
3.4.3. 通信回線及び通信回線装置の管理 ......................................................................47
3.4.4. 職員等の利用する端末や電磁的記録媒体等の管理 ............................................ 49

3.5. 人的セキュリティ ............................................................................... 51
3.5.1. 職員等の遵守事項................................................................................................ 51
3.5.2. 研修・訓練........................................................................................................... 57
3.5.3. 情報セキュリティインシデントの報告 ............................................................... 59i

3.5.4. ID 及びパスワード等の管理 ............................................................................... 60

3.6. 技術的セキュリティ ........................................................................... 63
3.6.1. コンピュータ及びネットワークの管理 ............................................................... 63
3.6.2. アクセス制御 ....................................................................................................... 73
3.6.3. システム開発、導入、保守等 ............................................................................. 77
3.6.4. 不正プログラム対策 ............................................................................................ 82
3.6.5. 不正アクセス対策................................................................................................ 86
3.6.6. セキュリティ情報の収集..................................................................................... 88

3.7. 運用 .................................................................................................... 89
3.7.1. 情報システムの監視 ............................................................................................ 89
3.7.2. 情報セキュリティポリシーの遵守状況の確認 .................................................... 90
3.7.3. 侵害時の対応等 ................................................................................................... 92
3.7.4. 例外措置 .............................................................................................................. 93
3.7.5. 法令遵守 .............................................................................................................. 94
3.7.6. 懲戒処分等........................................................................................................... 95

3.8. 外部サービスの利用 ........................................................................... 96
3.8.1. 外部委託 .............................................................................................................. 96
3.8.2. 約款による外部サービスの利用 ............................................................................98
3.8.3. ソーシャルメディアサービスの利用 .................................................................. 98

3.9. 評価・見直し ...................................................................................... 99
3.9.1. 監査 ..................................................................................................................... 99
3.9.2. 自己点検 ............................................................................................................ 100
3.9.3. 情報セキュリティポリシー及び関係規程等の見直し .......................................102【付録】
監査資料例一覧／索引
情報セキュリティ監査実施要綱（例）
情報セキュリティ監査実施計画書（例）
情報セキュリティ監査報告書（例）
情報セキュリティ監査業務委託仕様書（例）
情報セキュリティ監査業務委託契約書（例）

ii

第1章
総則

第1章 総則
1.1. 本ガイドラインの目的
現在、ほとんどの地方公共団体は、組織内の情報セキュリティを確保するための方
針、体制、対策等を包括的に定めた文書である情報セキュリティポリシーを策定している。
地方公共団体の情報セキュリティ対策は、情報セキュリティポリシーに従って実施され、また情報システムの変更や新たな脅威の出現等を踏まえて、対策の見直しを行うことで、情報セキュリティ対策の水準が向上していく。このため、情報セキュリ
ティ対策全般の実効性を確保するとともに、情報セキュリティポリシーの見直しを行うことが重要であるが、そのための有効な手法となるのが「情報セキュリティ監査」
である。
「地方自治情報管理概要」（平成 30 年 3 月公表）によれば、情報セキュリティ監
査を実施している地方公共団体は、都道府県においては 42 団体（89.4%）、市区町
村では 774 団体（44.5%）であり、今後もさらに多くの地方公共団体で情報セキュリ
ティ監査が実施されるよう、推進していく必要がある。
本ガイドラインは、情報セキュリティ監査の標準的な監査項目と監査手順を示すものであり、地方公共団体が情報セキュリティ監査を実施する際に活用されることを期待して作成している。
もとより、本ガイドラインに記述した構成や項目等は参考として示したものであり、各地方公共団体が必要に応じて独自の情報セキュリティ監査項目を追加設定したり、監査方法を修正するなど各団体の実情に応じた変更を加えて、情報セキュリ
ティ監査を実施することを妨げるものではない。

2

1.2. 本ガイドライン策定の経緯
総務省では、地方公共団体における情報セキュリティ対策について、これまでも、
情報セキュリティポリシーの策定や情報セキュリティ監査の実施を要請するとともに、その参考としてガイドライン等を策定してきた。平成 13 年 3 月に「地方公共団
体における情報セキュリティポリシーに関するガイドライン」（以下「ポリシーガイ
ドライン」という。）を、また、平成 15 年 12 月に「地方公共団体における情報セキュ
リティ監査に関するガイドライン」（以下「監査ガイドライン」という。）を策定した。
平成 18 年 2 月に政府の情報セキュリティ政策会議は「第 1 次情報セキュリティ基本計画」を決定し、地方公共団体向けの重点施策として、地方公共団体における情報
セキュリティ確保に係るガイドラインの見直しや情報セキュリティ監査実施の推進が掲げられた。これを踏まえ、総務省では、地方公共団体の情報セキュリティ水準の向上を推進するため、平成 18 年 9 月にポリシーガイドラインを、平成 19 年 7 月に監査ガイドラインを全部改定した。
平成 21 年 2 月に情報セキュリティ政策会議によって「第 2 次情報セキュリティ基本計画」が決定され、地方公共団体に関して、小規模な地方公共団体も含め、全ての地方公共団体において、望ましい情報セキュリティ対策が実施されることを目指し、対策の促進を行うこととされたこと、平成 22 年 5 月に情報セキュリティ政策会議によって「国民を守る情報セキュリティ戦略」及び「重要インフラにおける情報セキュ
リティ確保に係る『安全基準等』策定にあたっての指針（第 3 版）」が決定されたこと、平成 22 年 7 月に「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針 対策編」が策定されたこと等を踏まえ、平成 22 年 11月にポリシーガイドラインと監査ガイドラインを一部改定した。
前回の改定においては、平成 25 年 6 月に政府の IT 総合戦略本部が策定した「世界最先端 IT 国家創造宣言」（平成 25 年 6 月 14 日閣議決定、平成 26 年 6 月 24 日改定）や、平成 25 年 5 月 24 日に成立し、平成 25 年 5 月 31 日に公布された社会保
障・税の分野における給付と負担の公平化や各種行政事務の効率化のための「行政手続における特定の個人を識別するための番号の利用等に関する法律」、平成 26 年 11
月 6 日に成立し、平成 26 年 11 月 12 日に公布されたサイバーセキュリティに関する施策を総合的かつ効果的に推進することを目的とした「サイバーセキュリティ基本法」等の新たに成立した法令等を踏まえ、平成 27 年 3 月 27 日にポリシーガイドラ
イン、監査ガイドラインの一部改定を行った。また、平成 27 年度には、自治体情報
セキュリティ対策検討チームを構成し、地方公共団体の情報セキュリティに関わる
抜本的な対策の検討が行われた。
「新たな自治体情報セキュリティ対策の抜本的強化について（平成 27 年 12 月 25 日総行情第 77 号 総務大臣通知）にて、地方公共団
体でのセキュリティ対策の抜本的強化への取り組みが示された。

3

政府機関の情報セキュリティ対策のための統一基準、自治体情報セキュリティ対策検討チーム報告等を踏まえて、地方公共団体の情報セキュリティ水準の向上及び情報セキュリティ対策の抜本的強化が実施されたため、今般、ポリシーガイドライン
及び監査ガイドラインを改定したものである。

4

1.3. 情報セキュリティ監査の意義と種類(１) 情報セキュリティ監査の意義
情報セキュリティ監査とは、情報セキュリティを維持・管理する仕組みが組織において適切に整備・運用されているか否かを点検・評価することである。
また、監査の結果は、情報セキュリティに関する管理及び対策が適切であるか否かを示すとともに、情報セキュリティ上の問題点の指摘と改善の方向性の提言をまとめたものである。ただし、監査業務は、あくまで改善の方向性を示すものであり、具体的な解決策を提示するコンサルティング業務とは異なる。
なお、監査業務には、改善を勧告した事項について、後日、フォローアップする業務も含まれる。
(２) 内部監査と外部監査
情報セキュリティ監査には、地方公共団体内の職員自らが監査を行う内部監査と外部に委託して監査を行う外部監査がある。なお、内部監査の場合も被監査部門から独立した監査人等が監査を行うことが必要であり、情報システム等を運用する者自らによる検証を行う場合は、監査ではなく自己点検になる。
内部監査は、外部に委託する経費を要しないほか、監査の実施を通じて内部職員の情報セキュリティに対する意識を高めることができるという長所がある。他方、外部監査は、第三者の視点による客観性や専門性を確保できるという長所がある。
地方公共団体の業務は公共性が高く、住民の権利等を守るという目的があることから、内部監査に加え、外部監査を行うことが望ましい。
外部監査を行う場合、監査実施の全部を外部監査するほか、特定の監査テーマについてのみ外部監査とし、それ以外は内部監査とすることも考えられる。
本ガイドラインは、自己点検、内部監査、外部監査を実施する際の点検項目や監査項目を検討する上で参照できる内容となっている（図表 1.1）。
(３) 助言型監査と保証型監査
外部監査の形態には、当該地方公共団体に対し、情報セキュリティ対策の改善の方向性を助言することを目的とする助言型監査と、住民や議会等に対し、情報セキュリティの水準を保証することを目的とする保証型監査がある。
どちらの型の外部監査を行うかは地方公共団体の判断次第であるが、一般的には、情報セキュリティ対策の向上を図るため、最初は継続的な内部監査と併せて助言型監査を行い、必要に応じて保証型監査を行うことが考えられる。
(４) 準拠性監査と妥当性監査
情報セキュリティ監査では、準拠性監査と妥当性監査がある。

5

準拠性監査においては、当該団体の情報セキュリティポリシーというルールに従って情報セキュリティ対策が実施されているか否かを点検・評価する。
一方、妥当性監査においては、当該団体の情報セキュリティポリシーというルー
ルそのものが、ポリシーガイドラインをはじめ、JIS Q 27002 等の基準や当該団体の情報セキュリティを取り巻く状況等に照らし妥当なものかどうかを点検・評価する。
どちらの型の外部監査を行うかは地方公共団体の判断次第であるが、一般的には、最初は点検・評価のしやすい準拠性監査を行い、必要に応じて妥当性監査を行うことが多いと考えられる。
図表 1.1 情報セキュリティ監査の種類

6

1.4. 本ガイドラインとポリシーガイドラインの関係
総務省では、監査ガイドラインとポリシーガイドラインを策定しているが、両者は内容的に整合性を図っている。特に、監査ガイドラインの情報セキュリティ監査項目
は、ポリシーガイドラインにおける対策基準に即して構成している。
地方公共団体は、ポリシーガイドラインを参考にして、情報セキュリティポリシー
（情報セキュリティ基本方針及び情報セキュリティ対策基準）や実施手順書を策定
して、情報セキュリティ対策を実施している。
情報セキュリティ監査は、情報セキュリティポリシーの実施状況を点検･評価するものであり、各地方公共団体は、監査ガイドラインを参考にして、情報セキュリティ
監査を実施する。この際、監査項目の設定においては、当該団体の情報セキュリティ
ポリシーを踏まえて、監査テーマに応じた監査項目を情報セキュリティ監査項目から抽出することで、各地方公共団体が策定している情報セキュリティポリシーの内
容と情報セキュリティ監査項目の対応付けや読み替えなどの工数を削減することができるようになっている。
なお、情報セキュリティ監査の実施においては、監査ガイドライン以外に、必要に応じて、JIS Q 27002 等も参考にするとよい（図表 1.2）。

図表 1.2 監査ガイドラインとポリシーガイドラインの関係
ポリシーガイドライン

監査ガイドライン

整合性
情報セキュリティ
監査手順

参考

情報セキュリティ
基本方針

情報セキュリティ
監査項目

参考

抽出
参考
参考

情報セキュリティ
監査項目

情報セキュリティ
対策基準

JIS Q 27002等

情報セキュリティ
基本方針

当該団体に
あわせて修正情報セキュリティ
対策基準

実施
実施
手順書
実施
手順書
手順書

点検・評価

情報セキュリティ対策の実施

情報セキュリティ監査の実施

地方公共団体の取組範囲

7

1.5. 本ガイドラインの構成
次章より、情報セキュリティ監査の具体的内容を扱うが、第 2 章の「情報セキュリ
ティ監査手順」においては、情報セキュリティ監査の標準的な手順を、第 3 章の「情報セキュリティ監査項目」においては、352 項目の監査項目と項目毎に確認すべき内容や方法を記載している。また、「付録」として、監査資料一覧など情報セキュリティ
監査を実施する際に参考となる資料をつけている（図表 1.3）。
監査資料例一覧は、情報セキュリティ監査項目に挙げた監査資料の例を 50 音順に一覧にしたものであり、それぞれの監査資料の内容について解説を記載している。
図表 1.3 監査ガイドラインの構成

なお、監査を効率的に行えるよう、情報セキュリティ監査項目に監査結果や確認した監査資料、指摘事項、改善案の記入欄を追加した監査チェックリストの例を電子データで作成しているので、監査を実施する際に各団体の実情に応じて加工して活用頂きたい（図表 1.4）。

8

図表 1.4 情報セキュリティ監査チェックリストの例
項目

No.

4.
4.1.
(1)機器の物理的 サーバ 取付け
セキュ 等の管
リティ 理

必須

29

30

○

(2)サーバの冗長化

監査項目

監査資料の例

監査実施の例

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号ⅰ） 機器の設置に関わる基準及び手続 □機器設置基準/手続統括情報セキュリティ責任者又は情報シス
テム管理者によって、サーバ等の機器の取付けを行う場合の基準及び手続が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(1)報システム管理者へのインタビューにより、機器の設置に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

11.1.411.2.1□機器設置基準/手続ⅱ） 機器の取付け
情報システム管理者によって、サーバ等の機 □建物フロアレイアウト図
器の取付けを行う場合、火災、水害、埃、振 □管理区域（情報システム
動、温度等の影響を可能な限り排除した場 室等）のレイアウト図所に設置し、容易に取外せないように固定す □機器設置記録□情報資産管理台帳るなどの対策が講じられている。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(1)及び管理区域の視察により、サーバ等の機器が設置されているか確かめる。

11.1.411.2.1ⅰ） サーバ冗長化基準□サーバ冗長化基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、サーバを冗長化する基準が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(2)①
報システム管理者へのインタビューにより、サーバの冗長化に関する基準が文書化され、正式に承認されているか確か
める。

12.3.1・サーバの冗長化には、ハー※注意
ドウェア・ソフトウェアが二重にJISQ27002 必要となる等、多額の費用をでは、広義 要する。冗長化にかかる費用の意味でとサーバ等の停止による損失
バックアップ の影響度合いを十分に検討し全般を規定 たうえで、冗長化を行うか否かしている。
を判断することが望ましい。

ⅱ） 基幹サーバの冗長化□サーバ冗長化基準
情報システム管理者によって、基幹サーバ □システム構成図（重要情報を格納しているサーバ、セキュリ
ティサーバ、住民サービスに関するサーバ及びその他の基幹サーバ）が冗長化されている。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(2)①
により、基幹サーバが冗長化され、同一データが保持されているか確かめる。

12.3.1※注意
JISQ27002
では、広義
の意味で
バックアップ全般を規定している。

ⅲ） サーバ障害対策基準□サーバ障害対策基準
統括情報セキュリティ責任者又は情報シス □サーバ障害対応実施手テム管理者によって、メインサーバに障害が 順発生した場合の対策基準及び実施手順が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(2)②
報システム管理者へのインタビューにより、サーバに障害が発生した場合の対策基準及び実施手順が文書化され、正式に承認されているか確かめる。

12.3.116.1.2

31

32

33

○

留意事項

9

・情報資産管理台帳などに、機器の設置場所や設置状態などを明記しておくことが望ま
しい。

第2章
情報セキュリティ監査手順

第2章 情報セキュリティ監査手順
2.1. 監査手順の概要
情報セキュリティ監査は、基本的に「準備」、「監査計画」、「監査実施」、「監査報告」、「監査結果の公開」及び監査結果への対応等に対する「フォローアップ監査」の手順により実施される。内部監査の場合は、この手順に基づいて実施されるが、外部監査の場合は、この手順に「外部監査人の調達」が加わる（図表 2.1）。
本章では、｢2.2 監査手順｣において、監査の基本的な手順を、｢2.3 外部監査人の調達｣において、外部監査人に委託する場合の手順について記述する。
図表 2.1 情報セキュリティ監査手順
【準備】
【準備】

①体制の整備①体制の整備②実施要綱の策定②実施要綱の策定③協力体制の整備③協力体制の整備【監査計画】【監査計画】

外部監査①中期計画の策定と承認①中期計画の策定と承認②年度計画の策定と承認②年度計画の策定と承認

【調達】
【調達】

①外部監査人の調達方式①外部監査人の調達方式②企画提案書の書式作成②企画提案書の書式作成③業務委託仕様書の作成③業務委託仕様書の作成④契約部門等との調整④契約部門等との調整⑤委託業者との契約締結⑤委託業者との契約締結

内部監査【監査実施】【監査実施】【フォローアップ監査】【フォローアップ監査】①監査実施計画の策定と承認①監査実施計画の策定と承認②監査の実施②監査の実施【監査報告】【監査報告】【監査結果への対応等】【監査結果への対応等】①監査報告書の作成①監査報告書の作成②監査結果の報告②監査結果の報告【監査結果の公開】【監査結果の公開】

11

2.2. 監査手順
2.2.1. 準備(１) 体制の整備
情報セキュリティ監査を実施するにあたり、まず、最高情報セキュリティ責任者（CISO: Chief Information Security Officer、以下「CISO」という。）は、｢情報セキュリティ監査統括責任者｣を指名し、情報セキュリティ監査を実施する責任者を明確にする（図表 2.2）
。情報セキュリティ監査統括責任者は、情報セキュリティ
監査に関わる責任と権限を有する。情報セキュリティ監査統括責任者は、組織の監査全体に責任を負うため、地方公共団体の長に準じる権限と責任を有する者とすることが望ましい。情報セキュリティ監査統括責任者は、監査計画及びそれに付随するリスクを効果的かつ効率的に管理するのに必要な資質並びに次の領域における知識及び技能を有することが望ましい。ただし、必要な資質、知識及び技能を有することが困難な場合は、外部の専門家をあてて能力を補完することも考えられる。
・監査の原則、手順及び方法に関する知識・マネジメントシステム規格及び基準文書に関する知識・被監査部門の活動、製品及びプロセスに関する知識・被監査部門の活動及び製品に関し適用される法的並びにその他の要求事項に関する知識・該当する場合には、被監査部門の利害関係者に関する知識
また、情報セキュリティ監査統括責任者は、監査計画を管理するのに必要な知識及び技能を維持するために適切な専門能力の継続的開発・維持活動に積極的に関わることが望ましい。
情報セキュリティ監査統括責任者は、内部監査人を指名して内部監査チームの編成や、外部監査人への委託により、情報セキュリティ監査の体制を整備する。
内部監査人は、公平な立場で客観的に監査を行うことができるように、被監査部
門（監査を受ける部門）から独立した者を指名しなければならない。また、監査及び情報セキュリティについて、専門的知識を有する者でなければならない。そのため、必要に応じ内部監査人として必要な知識について研修を実施したり、外部で行われる研修に派遣することが適当である。さらに、監査プロセスや目的を達成する
ための能力は、内部監査人の資質に依存する（図表 2.3）
。そのため、内部監査人としての資質を満たしているかを評価することが求められる。
なお、内部監査人には、通常監査担当部門の職員をあてるが、情報システムを所管する課の職員に他の情報システム所管課の内部監査を行わせる方法（相互監査）も有効である。
内部監査人の評価の方法については、以下のような方法から複数を組み合わせ

12

て行うことが望ましい。
・記録のレビュー：教育等の記録を確認し、監査人の経歴を検証する・フィードバック：監査パフォーマンスに関する苦情等の情報を与える

・面接：監査人と面接し、監査人の情報を得る

・観察：立ち合い監査等により、知識及び技能を評価する

・試験：筆記試験を行い、行動、知識及び技能を評価する

・監査後のレビュー ：監査報告書等をレビューし、強み、弱みを特定する
なお、小規模の地方公共団体等においては、CISO が情報セキュリティ監査統括
責任者を兼務したり、内部監査チームの職員等も他の業務と兼務せざるを得ないことも考えられる。この場合においても、監査を実施する者は、自らが直接担当する業務やシステムの監査を実施させないなど、監査における客観性の確保を図る
必要がある。
その他、外部監査人に監査を依頼する場合は、適切な監査が実施できることをあらかじめ確認しておく必要がある。具体的には以下の事項が考えられる。
・外部監査人の過去の実績、経歴及び保有資格の確認
・過去の監査報告書の構成及び報告内容の確認 など
図表 2.2 情報セキュリティ監査の実施体制（例）

図表 2.3 内部監査人に必要な資質
項目

内容

1

倫理的である

公正であり、正直である

2

心が広い

別の考え方や視点を取り入れることができる

13

項目

内容

3

外交的である人と上手に接することができる

4

観察力がある周囲の状況や活動を積極的に観察する

5

知覚が鋭い

状況を察知し、理解できる

6

適応性がある異なる状況に容易に合わせることができる

7

粘り強い

根気があり、目的の達成に集中する

8

決断力がある

論理的な理由付けや分析により、結論に到達することができる9

自立的である

他人とやりとりしながらも独立して行動し、役割を果たすことができる

10
11
12

不屈の精神をもって行意見の相違や対立があっても、進んで責任を動する

もち、倫理的に行動できる改善に対して前向きで進んで状況から学び、よりよい監査結果のたあるめに努力する文化に対して敏感であ

被監査者の文化を観察し、尊重する

る
13

協働的である他人と共に効果的に活動する(２) 実施要綱の策定
情報セキュリティ監査統括責任者は、情報セキュリティ委員会の承認を得て監査に関する基本的事項を定めた｢情報セキュリティ監査実施要綱｣を策定する（図表 2.4）。
なお、｢情報セキュリティ監査実施要綱｣に基づき、内部監査人が監査を実施する
際の具体的な手順を記述した｢情報セキュリティ監査実施マニュアル｣や｢情報セキュリティ監査実施の手引き｣等を作成し、要綱にこれらを位置付けることもある。
図表 2.4 情報セキュリティ監査実施要綱に記載する事項（例）区分
1.総則

2.監査計画項目(1)目的(2)監査対象(3)監査実施体制(4)監査の権限(5)監査人の責務(6)監査関係文書の管理(1)監査計画(2)中期計画及び年度計画(3)監査実施計画

14

区分
3.監査実施4.監査報告5.フォローアップ

項目(1)監査実施通知(2)監査実施(3)監査調書(4)監査結果の意見交換(1)監査結果の報告(2)監査結果の通知と改善措置(1)フォローアップ監査の実施(３) 協力体制の整備
被監査部門は、情報セキュリティ監査に協力する義務を負うが、監査を円滑に実施するとともに、監査の効果をあげるためには、組織内の理解を得ておくことが重要である。とりわけ、被監査部門に対して監査資料の提示や担当者へのインタ
ビュー、執務室の視察等を求めることを考えると、監査の実施に被監査部門の担当者の理解と協力が必要である。また、外部の専門家の支援を受けたり、外部監査人に委託する場合には予算措置が必要となるので、幹部、財政担当部門等の理解を得ておく必要がある。

15

2.2.2. 監査計画
情報セキュリティ監査を効率的かつ効果的に行うために、情報セキュリティ監
査を実施する計画を策定する。一般に、監査計画には、｢中期計画｣、｢年度計画｣、
及び個々の｢監査実施計画｣がある。計画段階では、中期計画及び年度計画を策定す
る（図表 2.5）。
図表 2.5 情報セキュリティ監査計画策定の流れ
計画段階

実施段階

中期計画

年度計画

監査実施計画３年程度の期間の監査方針や活動計画

中期計画に基づく
年度の計画

個別の監査業務についての実施計画(１) 中期計画の策定と承認
情報セキュリティ監査の対象は広範囲に及ぶことから、一回の監査や単年度内で全てを網羅することはできない。したがって、一定の期間（例えば、３年程度）を見据えた計画が必要となる。中期計画は、この期間における情報セキュリティ監
査の方針や実施目標、監査範囲、大まかな実施時期等の項目を記述した文書であり、情報セキュリティ監査に関する中期的な方針を示すものである。この計画には、一定の期間内での監査の頻度についても記述しておく。
なお、期間中であっても、地方公共団体の置かれている環境の変化や監査実施
計画自体の進捗状況により、見直しを行う必要がある。中期計画は策定・見直しの都度、情報セキュリティ委員会の承認を得る必要がある。
また、小規模の地方公共団体等においては、監査の対象規模が相対的に大きくないことから、年度計画のみを作成するなど簡素化することも考えられる。
(２) 年度計画の策定と承認
年度計画は、中期計画に基づいて年度当初に策定されるものであり、各年度の監査重点テーマや実施回数、監査対象、実施時期等を記述した文書である。年度計画
は、当該年度の監査目標を遂行するための計画なので、誰が（実行責任者）、いつ（実施時期）、何を（実施内容）、いくら（予算）で実施するのかを明確に定める必要がある。監査テーマの選定においては、情報資産やネットワーク及び情報システ
ム等の重要度や脆弱性、情報システムの変更等の視点から検討し、より重要性、緊16

急性、リスク等の高いものから選定する。
年度計画についても、中期計画同様、情報セキュリティ委員会の承認を得る必要
がある。

17

2.2.3. 監査実施
(１) 監査実施計画の策定と承認
情報セキュリティ監査統括責任者は、年度計画に基づいて、内部監査人又は外部監査人に指示して具体的な監査実施計画を策定する（図表 2.6）。
内部監査の場合、内部監査人の資質や業務負荷を考慮した監査実施時期に配慮して実施計画を立てることが望ましい。
監査実施計画書中、監査項目は、例えば、本ガイドライン「第 3 章 情報セキュ
リティ監査項目」の大分類や中分類のレベルを記載するとよい。また、適用基準には、例えば、付録の「情報セキュリティ監査業務委託仕様書（例）」の適用基準を参考に記載するとよい。
図表 2.6 情報セキュリティ監査実施計画書に記載する事項（例）
項目
1
2
3
4
5
6
7
8
9

監査目的
監査テーマ
監査範囲
被監査部門
監査方法
監査実施日程監査実施体制
監査項目
適用基準

内容
監査を実施する目的
監査の具体的なテーマや重点監査事項
監査対象の業務、情報システム等の範囲
監査の対象となる部門
監査で適用する監査技法
監査の計画から報告までの日程
監査担当者
監査で確認する大項目
監査で適用する基準等

情報セキュリティ監査統括責任者は、監査実施計画書を、組織として受け入れ、監査実施の責任と権限を明確にするため、情報セキュリティ委員会による承認を得る。また、情報セキュリティ委員会の承認を得た後に、被監査部門に対して十分に説明する機会を設け、監査スケジュールを被監査部門へ伝え、担当者の選出、監査資料の準備等の事項の依頼など、効率的に監査を実施するための調整を行う。
(２) 監査の実施①監査チェックリストの作成
監査人は、監査を効率的かつ効果的に実施するため、次の手順を参考にして、確認すべき具体的な項目を事前に選定して、監査チェックリストを作成する。
ⅰ）監査項目の選定
監査テーマに該当する項目を本ガイドライン「第 3 章 情報セキュリ
ティ監査項目」から選定する。なお、「第 3 章 情報セキュリティ監査項目」で必須項目となっているものは、監査において基本的な項目又は必要性の高い項目であることから、極力、監査項目に含めることが望まれる。
必須項目は、はじめて情報セキュリティ監査を行う場合等の初期段階用

18に選定したものであり、これで満足することなく、より高いレベルを目指した必須項目以外も対象とする監査を実施する必要がある。
監査項目の選定後は、当該地方公共団体の情報セキュリティポリシー
に合わせた表現とするなど、必要に応じて項目中の文言を当該団体にとって適切な表現に修正する。なお、本ガイドラインの監査項目はポリシーガイドラインに準拠しているので、ポリシーガイドラインに対する妥当性を監査する場合には表現の修正は行わなくてもよい。
ⅱ）当該地方公共団体に必要と思われる項目の追加
監査項目を選定し、適宜表現を修正した後、当該地方公共団体にとって必要と考えられる項目を追加する。特に、監査範囲内において非常に重要な情報資産が存在し、脅威の発生頻度が高く、脅威が発生した場合の被害が大きい場合には、通常の情報セキュリティ対策に加えて、より厳格な対策を追加することを検討すべきである。
ⅲ）当該地方公共団体が定める条例、規則、規程等との整合性の確保
当該地方公共団体が定める条例、規則、規程等との整合性を図り、矛盾が生じないように監査項目を修正する。
ⅳ）関連法令の参照
関連する法令の要求する事項の中で特に重要と考えられる事項について追加する。
関連する主な法令としては、例えば、以下のようなものが考えられる。
・地方公務員法
・著作権法
・不正アクセス行為の禁止等に関する法律
・個人情報の保護に関する法律
・個人情報保護条例ⅴ）他の基準・規程類の参照
その他、JIS Q 27002、ISO/IEC TR 13335（GMITS）、情報システム
安全対策基準（通商産業省告示第 536 号）、コンピュータウイルス対策基
準（平成 9 年通商産業省告示第 952 号）、コンピュータ不正アクセス対策
基準（平成 12 年通商産業省告示第 950 号）等、情報セキュリティ対策の実施に参考となる基準を適時参照して、必要があれば、項目の追加、修正をする。
②監査の実施監査人は、監査チェックリストに基づいて情報セキュリティ監査を実施し、監査調書を作成する。主な監査技法には、レビュー、インタビュー、視察、ア19

ンケートがある。これらの監査技法は、被監査部門の所在場所にて実施する現地監査のほか、被監査部門の所在場所に行かずに行うリモート監査でも用いることができる。
・レビュー：文書や記録等の監査資料を入手し、内容を確認する

・インタビュー ：担当者等に質問し、状況を確認する
・視察：業務を行っている場所や状況を見て確認する・アンケート：質問書への回答から実態を確認する

具体的な監査方法については、本ガイドラインの「第 3 章 情報セキュリ
ティ監査項目」の監査チェックリストにおいて、監査項目毎に、監査資料の例、
監査実施の例を示している。また、レビューで確認すべき文書や記録等については、付録に｢監査資料例一覧／索引｣としてとりまとめているので、参考にされたい。
情報セキュリティ監査の実施中、情報セキュリティ監査統括責任者は、監査人による監査業務の実施状況について随時報告を求める等、適切な管理を行う必要がある。また、監査人が作成した監査調書は、脆弱性の情報などが漏えいした場合には、当該地方公共団体の情報セキュリティに脅威となる情報も含むことから、情報セキュリティ監査統括責任者は、紛失等が生じないように適切に保管する必要がある。
また、監査人は、監査業務上知り得た情報や監査内容について、その情報が関係者以外に漏えいしないように、対策をとる必要がある。
③監査結果の取りまとめ
情報セキュリティ監査統括責任者は、実施した監査の内容を踏まえて、監査
結果、確認した監査証拠、指摘事項、改善案等の監査結果を取りまとめる。具
体的には、例えば、図表 1.5 の監査チェックリストに記入する。
また、監査結果については、必要に応じ、事実誤認がないかどうかを被監査部門に確認する。
④監査結果の評価
情報セキュリティ監査統括責任者は、監査基準に照らして監査結果を評価する。監査結果では、監査基準に対して適合又は指摘事項のいずれかを示すことができる。個々の監査結果には、根拠となる証拠及び改善の機会並びに被監
査部門に対する提言とともに適合性及び優れた実践を含めることが望ましい。
指摘事項については、監査証拠が正確であること及び指摘事項の内容が理解されたかどうか、被監査部門に確認することが望ましい。
また、指摘事項がある場合、個々のセキュリティ対策の有効性のほか、監査20におけるマネジメントシステム全体の有効性についても考察した上で監査結論を作成することが望ましい。

21

2.2.4. 監査報告
(１) 監査報告書の作成
情報セキュリティ監査統括責任者は、監査調書に基づいて、被監査部門に対する指摘事項や改善案を含む監査報告書を作成する（図表 2.7）。
また、詳細な監査結果や補足資料等がある場合は、監査報告書の添付資料としてもよい。監査報告書では、監査項目への適合の程度や、図表 2.1 にあるセキュリ
ティ監査手順の運用サイクルが有効に機能しているかの観点を取り入れることが望ましい。
図表 2.7 情報セキュリティ監査報告書に記載する事項（例）
項目

内容

1
2
3
4
5
6
7
8
9
10
11
12
13

監査目的
監査テーマ
監査範囲
被監査部門
監査方法
監査実施日程監査実施体制
監査項目
適用基準
監査結果概要（総括）
監査結果
指摘事項
改善勧告

14

特記事項

監査を実施した目的
監査の具体的なテーマや重点監査事項
監査対象の業務、情報システムなどの範囲
監査の対象とした部門
監査で適用した監査技法
監査の計画から報告までの日程
監査を実施した担当者
監査で確認した大項目監査で適用した基準等
監査結果の総括
監査で確認した事実（評価できる事項を含む）
監査結果に基づき、問題点として指摘する事項
指摘事項を踏まえて、改善すべき事項（緊急改善事項、一般的改善事項）
その他記載すべき事項(２) 監査結果の報告
情報セキュリティ監査統括責任者は、監査結果を情報セキュリティ委員会に報告する。
また、被監査部門に対して監査報告会を開催し、監査人から直接、監査結果の説明を行う。監査報告会では、被監査部門に対して次の事項を説明することが望ましい。
・集められた監査証拠は入手可能な情報のサンプルによること。
・監査報告の方法
・監査後の活動について（是正処置の実施、監査結果に対する意見対応等）
監査人は、指摘事項をより具体的に分かりやすく説明し、必要に応じて｢監査調書｣の内容等、監査証拠に基づいた改善のための方策等を助言する。

22

また、指摘事項の説明だけではなく、被監査部門において、優れた実践活動が認められる場合は、報告会で評価することが望ましい。

23

2.2.5. 監査結果への対応等
情報セキュリティ監査は、その結果を今後の情報セキュリティ対策に反映させることが必要である。情報セキュリティ対策に反映することで、情報セキュリティ対策の実施サイクル（PDCA サイクル）がはじめて回転していくことになる。
このため、CISO は、監査結果を踏まえ、監査の指摘事項を所管する被監査部門に対し、改善計画書の作成などの対処を指示する。また、その他の部門に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。
指示を受けた部門は、監査結果の指摘事項について、緊急性、重要性、費用等も考慮して、必要な改善措置を検討し、CISO に対して、対応措置を報告する。
なお、緊急性が高いと判断される指摘事項については、速やかに改善措置を検討・実施するとともに、その実施状況を報告するものとし、それ以外の指摘事項については、監査終了後、半年から１年毎に実施されるフォローアップ監査で確認する。
また、情報セキュリティ委員会においては、監査結果を情報セキュリティポリ
シーの見直しやその他情報セキュリティ対策の見直し時に活用する。

24

2.2.6. 監査結果の公開
情報セキュリティ監査の結果については、行政の透明性確保、住民に対する説明
責任遂行の観点からは積極的に公開することが望まれる。特に、行政は住民の個人情報を含め、大量の情報を扱っていること、電子自治体の取組を進めていく上で住民の信頼が必要であることに鑑みれば、情報セキュリティ監査の結果を住民に示すことは重要である。
他方、情報セキュリティ監査の成果物には、情報資産やネットワーク及び情報シ
ステム等の脆弱性に関する情報が含まれており、情報セキュリティ確保の観点か
らは、全てを公開することは適当ではない場合もある。
したがって、一律に公開、非公開とすることはいずれも適当ではなく、各地方公共団体の制定する情報公開条例の「不開示情報」の取扱いなどを踏まえ、適切な範囲で公開していく必要がある。

25

2.2.7. フォローアップ監査
監査報告書で指摘した改善事項について、被監査部門の対応状況を確かめるた
め、監査終了後、半年から 1 年毎にフォローアップ監査を実施する。フォローアッ
プ監査は個別の監査として実施してもよいし、次回の監査の中で実施してもよい。
個別の監査として実施する場合、改善事項に対する被監査部門の対応措置が、対象監査項目を満たすものになっていることの確認及び対応措置の有効性の検証を行う必要がある。
次回の監査の中で実施する場合は、通常の監査項目に加え、前回監査における改善事項のフォローアップを行う場を設け、個別のフォローアップ監査の場合と同様、対応措置の確認と有効性の検証を行う。
なお、情報セキュリティ監査では、セキュリティ監査手順の運用サイクルが有効に機能するためにも、指摘された改善事項への対応が非常に重要となるため、フォローアップ監査を確実に実施する必要がある。

26

2.3. 外部監査人の調達
ここでは、外部監査を行う場合における外部監査人の調達方法について説明する。
なお、県と県内市町村など、複数の地方公共団体が共同で外部監査人の調達を行うことによって、調達を効率化する方法もあり、実際にこのような取り組みも行われている。
(１) 外部監査人の調達方式
外部監査人の調達は、当該地方公共団体の調達基準や手続にしたがって行われるが、特に、監査の客観性、公正性等の観点から、外部委託事業者の決定の透明性と公平性の確保には特に留意する必要がある。
外部監査の外部委託事業者の調達方式には、次のような方式があり得る。
・ 公募型プロポーザル方式（企画提案書を評価して判断して事業者を選定）
・ 総合評価入札方式（価格と技術的要素を総合的に判断して事業者を選定）
・ 一般競争入札方式（最も安価な価格を提示した事業者と契約）
・ 条件付き一般競争入札方式（一定の条件を満たす事業者の中で、最も安価な価格を提示した事業者と契約）(２) 企画提案書の書式作成
公募型プロポーザル方式により情報セキュリティ監査に関する企画提案を求める場合は、｢企画提案書｣を作成する。企画提案書には、情報セキュリティ監査業務の受託を希望する提案者が、業務委託仕様書に基づいて、当該監査に関する考え方、
実施方法、実施体制等の具体的な内容を記述する（図表 2.8）
。また、委託業務内容に加えて、費用の見積りに必要となる事項も併せて記載する。例えば、ネットワー
クへの侵入検査を行う場合には、対象サーバ数や IP アドレス数などの対象、範囲、実施の程度等の詳細な記載があれば、企画提案者の費用積算は精緻なものになり、より正確な見積りが期待できる。
情報セキュリティ監査統括責任者は、外部委託事業者による監査に責任を持つ必要がある。外部委託事業者による監査を情報セキュリティポリシーの見直しにつなげていくためにも、企画提案書の内容を確認し、監査の品質を担保できる外部
委託事業者を選定することが求められる。
図表 2.8 企画提案書に記載する事項（例）

27

1
2

3

4
5

6

7

8

9
10

項目
監査期間
監査実施内容内容委託する監査の期間委託する監査業務の内容
ⅰ)目的ⅱ)本業務の対象範囲ⅲ)準拠する基準ⅳ)監査のポイント
等
監査内容ⅰ)事前打合せⅱ)事前準備依頼事項
・事前の提出資料
・アンケート等の有無 等ⅲ)監査実施計画書作成ⅳ)予備調査ⅴ)本調査※機器又は情報システムに対して情報システム監査ツールを使用する場合はその名称も記載
ⅵ)監査報告書作成ⅶ)監査報告会
監査スケ ジュー 上記 3 の概略スケジュール
ル※詳細は監査人決定後に求める。
監査実施体制ⅰ)監査責任者・監査人・監査補助者・アドバイザ等の役割、氏名を含む監査体制図ⅱ)当該団体との役割分担
監査品質 を確保 ⅰ）監査品質管理責任者・監査品質管理者等の役割、氏名をするための体制
含む監査品質管理体制図ⅱ）監査品質管理に関する規程 等
監査人の実績等
ⅰ)組織としての認証資格等※例えば、ISMS 認証やプライバシーマーク認証、情報セ
キュリティサービス基準適合サービスリスト（うちセキュリティ監査サービスに係る部分）、情報セキュリティ
監査企業台帳への登録等ⅱ)監査メンバの保有資格・技術スキル・地方公共団体を含む
実務経験等
監査報告 書の目 監査報告書の目次体系（章立て）
次体系ⅰ)総括ⅱ)情報セキュリティ監査の実施の概要ⅲ)評価できる事項ⅳ)改善すべき事項(緊急改善事項・一般的改善事項のまとめ)
ⅴ)監査結果の詳細ⅵ)添付資料（補足資料等）
成果物
最終成果物（納品物）一覧
その他
会社案内、パンフレット等必要な添付書類

28

(３) 業務委託仕様書の作成
入札方式による場合、事前に業務委託の内容を業務委託仕様書としてまとめ、入札に応じる民間事業者、団体等に提示する。また、業務委託仕様書の添付資料に選定基準の概要や提案書の評価基準を開示するとよい。
業務委託仕様書には、監査目的、監査対象、適用基準等の記載に加えて、当該地方公共団体が実施する情報セキュリティ監査に関する方針、実施条件等、どのような監査を実施したいかを正確かつ具体的に記載することが重要である（図表 2.9）。
なお、付録に｢情報セキュリティ監査業務委託仕様書｣の例を挙げているので参照されたい。
図表 2.9 業務委託仕様書に記載する事項（例）
項目

内容

1
2
3
4
5
6

業務名
監査目的
発注部署
監査対象
業務内容
適用基準

7
8
9
10
11
12
13
14
15

監査人の要件
監査期間
監査報告書の様式
監査報告書の提出先
監査報告会
監査成果物と納入方法
成果物の帰属
委託業務の留意事項
その他

委託する業務の名称監査を実施する目的
監査を委託する部署名
監査対象の業務、情報システムなどの範囲委託する監査業務の内容監査を行う際、準拠すべき基準や参考とする基準を記載受託者及び監査人の要件
委託する監査の期間
監査報告書の作成様式、宛名
監査報告書を提出する部署
監査結果を報告する会議等の内容委託した監査業務の成果物と納入の方法
成果物及びこれに付随する資料の帰属
再委託、資料の提供、秘密保持等の留意事項
その他の事項(４) 契約部門等との調整
外部委託事業者の決定までの間に、調達事務を行う契約部門、出納部門等と調整し、委託業務契約書に盛り込む事項や個人情報保護に関する措置等を検討する。
特に、外部監査人は、地方公共団体の情報セキュリティにおける脆弱性を知ることになるので、情報資産に関する守秘義務等を契約書上どのように規定するか十分な検討が必要である。
なお、外部監査人が個人情報を扱うことが想定される場合には、個人情報保護条
例に従い、個人情報の適切な管理のため必要な措置を講じなければならない。

29

(５) 外部委託事業者との契約締結
外部委託事業者が決定すれば、地方公共団体と外部委託事業者との間で契約を締結することになる。外部委託事業者は、監査対象と直接の利害関係がないことを確認して選定する必要がある。
契約に当たっての主な合意事項は下記のとおりである。業務委託契約書の記載例については、付録の｢情報セキュリティ監査業務委託契約書(例)｣を参照されたい。
・目的、対象、範囲を含む監査内容に関する事項
・成果物（納品物）に関する事項
・監査報告書の記載内容に関する事項
契約には、監査人が監査業務上知り得た情報や監査内容を関係者以外に開示したり、監査人から情報が漏えいしないよう、監査人の守秘義務に係る規定や監査人
における監査結果の管理方法についても規定を明記しなければならない。
また、契約の適正な履行を確保するため、監査目的、監査対象、監査方針、実施
条件、計画、実施、報告を含む主たる実施手順、準拠規範、監査技法、収集すべき
監査証拠の範囲等の監査品質、対価の決定方法、金額と支払の時期、支払方法、中途終了時の精算、負担すべき責任の範囲等を明確に定め、監督、検査の判断基準を明確にすることが必要である。なお、地方公共団体が契約保証金の納付を求めた場
合、｢契約の相手方が契約上の義務を履行しないとき｣、すなわち、監査品質が所定の水準に達しないときは、契約において別段の定めをしない限り契約保証金は地方公共団体に帰属する。
付録の｢情報セキュリティ監査業務委託契約書（例）｣では、情報セキュリティ監
査特有の部分のみを取り上げている。その他の事項である履行方法、契約保証人、保証契約、前払い金、損害賠償、権利義務の譲渡禁止、再委託、一括下請けの禁止、監督員、貸与品の処理、作業の変更中止、履行期間の延長、成果物の納品と検査、所有権の移転時期、請負代金の支払時期や支払方法、瑕疵担保、委託完成保証人の責任、甲乙の解除権、解除に伴う措置、秘密保持、その他は、既に各地方公共団体にある請負契約約款（準委任とするときは準委任契約約款）を用いることができる。
監査を継続的に行うときは、毎回業務委託契約を締結する方法と、業務委託基本
契約と業務委託個別契約に分けて契約を締結する方法がある。毎回契約を締結する方法が一般的であると考えられ、付録の契約書例もこの形態を想定している。後者の基本契約と個別契約に分けて契約を締結する方法によるときは、契約書例の中から、毎回共通する事項を抜き出して基本契約として締結し、毎回定めるべき事
項を個別契約で合意する。

30

第3章
情報セキュリティ監査項目

第3章 情報セキュリティ監査項目
情報セキュリティ監査項目は、以下の構成となっている。

（注）監査項目の趣旨や運用上の留意点を理解するため、総務省が平成 30 年 X 月に一部改定した「地方公共団体における情報セキュリティポリシーに関するガ
イドライン」の解説を併せて確認されたい。

実際の情報セキュリティ監査項目を、次頁以降に記載する。

32

33

１.
組織体
制

項目

(2)情報セ
キュリティ
委員会(1)組織体
制、権限及
び責任

4

3

2

1

No.

○

○

○

必須

監査資料の例

監査実施の例ⅲ） C SIRT の設置□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者へのイン 1.(9)CSIRTが設置され、部局の情報セキュリティ □CSIRT設置要綱
タビューにより、CSIRTが設置されており、情報セキュリティ
インシデントについてCISOへの報告がされインシデントのとりまとめやCISOへの報告、報道機関等へのている。
通知、関係機関との情報共有等を行う統一的な窓口が設置されているか確かめる。

ⅱ） 情報セキュ リテ ィ委員会の開催□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者又は情 1.(7)②
情報セキュリティ委員会が毎年度開催され、 □情報セキュリティ委員会設 報セキュリティ責任者へのインタビューにより、情報セキュリ
情報セキュリティ対策の改善計画を策定し、 置要綱
ティ委員会が毎年度開催され、リスク情報の共有や情報セ
その実施状況が確認されている。
□情報セキュリティ委員会議 キュリティ対策の改善計画を策定し、その実施状況が確認さ事録れているか確かめる。

ⅰ） 情報セキュ リテ ィ委員会の設置□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者へのイン 1.(7)①
CISOによって、情報セキュリティポリシー等、 □情報セキュリティ委員会設 タビューにより、情報セキュリティポリシー等、情報セキュリ
情報セキュリティに関する重要な事項を決定 置要綱
ティに関する重要な事項を決定する機関（情報セキュリティする機関（情報セキュリティ委員会）が設置さ委員会）が設置されているか確かめる。
れている。

6.1.3
6.1.4
16.1.116.1.2
16.1.316.1.416.1.5－－ⅰ） 組織体制、 権限及び責任□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者へのイン 1.(1)～(6)、(8) 6.1.1
CISOによって、情報セキュリティ対策のため □権限・責任等一覧
タビューにより、情報セキュリティ対策に係る権限、責任、連
7.2.1の組織体制、権限及び責任が定められ、文絡体制、兼務の禁止が文書化され、正式に承認されている
書化されている。
か確かめる。

監査項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・情報セキュリティに関する意
思決定機関として情報セキュリティ委員会以外に庁議や幹部会議等を位置づけることも可能である。

留意事項

34

2.
情報資
産の分
類と管
理

項目

(2)情報資産の管理(1)情報資産の分類○

7

監査資料の例

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)④へのインタビューにより、情報資産を入手した場合、情報資産の分類に基づき情報資産が取扱われているか確かめる。
また、情報資産の分類が不明な場合は、情報セキュリティ
管理者に判断を仰いでいるか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)⑤へのインタビューにより、情報資産は、情報資産の分類に応じて適切に取り扱われており、業務以外の目的に利用されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅴ） 情報資産の入手□情報資産管理基準
情報資産を入手した場合、情報資産の分類 □情報資産管理台帳に基づき情報資産が取扱われている。また、情報資産の分類が不明な場合は、情報セ
キュリティ管理者に判断を仰いでいる。

ⅵ） 情報資産の利用□情報資産管理基準
情報資産は、情報資産の分類に応じて適切 □情報資産管理台帳に取り扱われており、業務以外の目的に利用されていない。

1011

監査資料のレビューと情報セキュリティ管理者及び職員へ 2.(2)②のインタビュー、執務室及び管理区域の視察により、情報資産に分類が表示されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

9□情報資産管理基準□情報資産管理台帳

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)③へのインタビューにより、情報の作成時に情報資産の分類に基づき、当該情報の分類と取扱制限が定められているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ） 情報資産の分類の表示
情報資産に分類が表示されている。

監査資料のレビューと情報セキュリティ管理者へのインタ
2.(2)①
ビューにより、重要な情報資産について台帳（情報資産管理台帳）が作成され、定期的に見直されているか確かめる。

ⅱ） 情報資産管理台帳の作成
情報セキュリティ管理者によって、重要な情報資産について台帳（情報資産管理台帳）が作成されている。

□情報資産管理基準□情報資産管理台帳

監査資料のレビューと統括情報セキュリティ責任者又は情 2.(2)報セキュリティ責任者へのインタビューにより、情報資産の管理に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 2.(1)報セキュリティ責任者へのインタビューにより、機密性・完全性・可用性に基づく情報資産の分類と分類に応じた取扱いが文書化され、正式に承認されているか確かめる。

監査実施の例ⅰ） 情報資産の管理に関わる基準□情報セキュリティポリシー
統括情報セキュリティ責任者及び情報セキュ □情報資産管理基準
リティ責任者によって、情報資産の管理に関わる基準が定められ、文書化されている。

ⅰ） 情報資産の分類に関わる基準□情報セキュリティポリシー
統括情報セキュリティ責任者及び情報セキュ □情報資産分類基準
リティ責任者によって、機密性・完全性・可用性に基づく情報資産の分類と分類に応じた取扱いが定められ、文書化されている。

監査項目ⅳ） 情報の作成□情報資産管理基準
情報の作成時に情報資産の分類に基づき、 □情報資産管理台帳
当該情報の分類と取扱制限が定められてい
る。

8

○

○

必須

6

5

No.

8.2.3

8.2.3

8.2.3

8.2.2

8.1.1

8.1.2
8.1.3

8.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号・分類の表示について、情報システムに記録される情報の分類をあらかじめ規定する方
法や、表示の有無によって分類する方法などもありうる。

留意事項

35

2.
情報資
産の分
類と管
理方法

項目

(2)情報資産の管理

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)⑨へのインタビューにより、機密性の高い情報資産を外部に提 (ア)～(イ)
供する場合、情報セキュリティ管理者の許可を得た上で、必要に応じ暗号化又はパスワードの設定が行われているか確
かめる。

監査資料のレビューと情報セキュリティ管理者へのインタ
ビューにより、住民に公開する情報資産について、完全性が確保されているか確かめる。

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)⑩へのインタビューにより、情報資産を廃棄する場合、情報セ
キュリティ管理者の許可を得た上で廃棄され、行った処理について、日時、担当者及び処理内容が記録されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅹ） 情報資産の提供□情報資産管理基準
機密性の高い情報資産を外部に提供する場 □情報資産管理台帳
合、情報セキュリティ管理者の許可を得た上で、必要に応じ暗号化又はパスワードの設定が行われている。

xi） 情報資産の公表□情報資産管理基準
情報セキュリティ管理者によって、住民に公 □情報資産管理台帳
開する情報資産について、完全性が確保されている。
xii） 情報資産の廃棄□情報資産管理基準
情報資産を廃棄する場合、情報セキュリティ □情報資産管理台帳
管理者の許可を得た上で廃棄され、行った □情報資産廃棄記録
処理について、日時、担当者及び処理内容が記録されている。

17

16

15

2.(2)⑨(ウ)

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)⑧へのインタビュー、情報資産の運搬元の視察により、機密性の高い情報資産を外部に提供する場合、情報セキュリティ
管理者の許可を得た上で、必要に応じ暗号化又はパスワードの設定が行われているか確かめる。

ⅸ） 情報資産の運搬□情報資産管理基準
車両等により機密性の高い情報資産を運搬 □情報資産管理台帳する場合、情報セキュリティ管理者の許可を得た上で、必要に応じ鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う
等、情報資産の不正利用を防止するための措置がとられている。

13

14

監査資料のレビューと情報セキュリティ管理者及び職員等 2.(2)⑦へのインタビューにより、機密性の高い情報を送信する場
合、必要に応じ暗号化又はパスワード設定等、情報の漏えいを防止するための措置が講じられているか確かめる。

監査実施の例ⅷ） 情報の送信□情報資産管理基準
機密性の高い情報を送信する場合、必要に □情報資産管理台帳
応じ暗号化又はパスワード設定が行われている。

監査資料の例

12

監査項目

監査資料のレビューと情報セキュリティ管理者、情報システ 2.(2)⑥
ム管理者及び職員等へのインタビュー及び情報資産の保管場所の視察により、情報資産の分類に従い、情報資産が適切に保管されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

必須ⅶ） 情報資産の保管□情報資産管理基準
情報セキュリティ管理者又は情報システム管 □情報資産管理台帳
理者によって、情報資産の分類に従い、情報資産が適切に保管されている。

No.

8.2.3
8.3.2

8.2.3

8.2.3

8.2.3
8.3.3

8.2.3
13.2.38.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・完全性とは、情報が破壊、改ざん又は消去されていない状態を確保することをいう。

留意事項

36

3.
情報シ
ステム
全体の
強靭性
の向上

項目

(1)マイナン
バー利用
事務系

○

20

22

○

○

19

21

○

必須

18

No.

監査資料のレビューと情報システム管理者へのインタビュー 3.(1)②
及び執務室等のパソコン等のサンプリング確認により、マイナンバー利用事務系の端末が専用端末であるか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 3.(1)②
及び執務室等のパソコン等のサンプリング確認により、電磁的記録媒体により情報を持ち出すことができないように設定がされているか確かめる。

ⅳ） 電磁的記録媒体による情報持ち出し □パソコン等管理基準の不可設定
職員等がマイナンバー利用事務系の端末から電磁的記録媒体により情報を持ち出すことができないように設定がされている。

監査資料のレビューと情報システム管理者へのインタビュー 3.(1)②
及び執務室等のパソコン等のサンプリング確認により、パス
ワード以外に指紋認証等の生体認証が併用されているか確
かめる。

ⅲ） 端末における情報アクセス対策□パソコン等管理基準
職員等がマイナンバー利用事務系の端末を利用する際に、多要素認証が導入されている。
ⅲ） 業務毎の専用端末化□パソコン等管理基準
マイナンバー利用事務系の端末は業務毎に専用端末化されている。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(1)①者へのインタビューにより、マイナンバー利用事務系と外部との通信は、通信経路の限定及びアプリケーションプロトコ
ルレベルでの限定を行っており、かつ外部接続先はインター
ネットへ接続していないか確かめる。

ⅱ） マイナンバー利用事務系と外部との □ネットワーク管理基準
接続□通信回線敷設図
CISO又は統括情報セキュリティ責任者に□結線図
よって、マイナンバー利用事務系と外部との通信は、通信経路の限定及びアプリケーショ
ンプロトコルレベルでの限定を行っており、かつ外部接続先はインターネットへ接続していない。

監査実施の例

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(1)①者へのインタビューにより、マイナンバー利用事務系と他の領域が分離されており、通信できないようになっているか確
かめる。

監査資料の例ⅰ） マイナンバー利用事務系と他の領域 □ネットワーク管理基準との分離□通信回線敷設図
CISO又は統括情報セキュリティ責任者に□結線図
よって、マイナンバー利用事務系と他の領域が分離されており、通信できないようになって
いる。

監査項目

11.2.5

－

9.2.4
9.4.2

13.1.313.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

マイナンバー利用事務系と他の領域を通信できないようにしなければならない。ただし、マイナンバー利用事務系と外部との通信をする必要がある場
合に限りは、通信経路の限定
及びアプリケーションプロトコ
ルのレベルでの限定を行わなければならない。

留意事項

37

3.
情報シ
ステム
全体の
強靭性
の向上

項目

(3)インター
ネット接続系(2)LGWAN
接続系

○

26

28

27

○

○

24

25

○

必須

23

No.

監査資料の例□保守体制図□作業報告書□システム構成図□システム構成図ⅳ） 自治体情報セキュ リテ ィクラウドとの □システム構成図
接続□通信回線敷設図
CISO又は統括情報セキュリティ責任者に□結線図
よって、庁内のインターネット接続口を集約した上で、自治体情報セキュリティクラウドと接続している。

ⅲ） 情報セキュ リテ ィ運用監視
CISO又は統括情報セキュリティ責任者によって、情報セキュリティ専門人材による高水準な運用監視を行っている。

ⅱ） 情報セキュ リテ ィ機器の導入
CISO又は統括情報セキュリティ責任者によって、インターネット接続系に高度な情報
セキュリティ機器を導入している。

ⅰ） 監視対象の集約化
CISO又は統括情報セキュリティ責任者によって、インターネット接続系の監視対象を集約化している。

ⅰ） LGW AN接続系とインターネッ ト接続 □ネットワーク管理基準
系の分割①□通信回線敷設図
CISO又は統括情報セキュリティ責任者に□結線図
よって、LGWAN接続系とインターネット接続
系の通信環境は分離され、必要な通信のみ許可するようになっている。
ⅱ） LGW AN接続系とインターネッ ト接続 □システム構成図
系の分割②□ネットワーク管理基準
CISO又は統括情報セキュリティ責任者によって、インターネット接続系のメールやデー
タをLGWAN接続系に取り込む場合は無害化通信を行っている。

監査項目

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(3)②
者へのインタビューにより、庁内のインターネット接続口を集約した上で、自治体情報セキュリティクラウドと接続しているかを確かめる。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(3)①者へのインタビューにより、インターネット接続系は情報セ
キュリティ専門人材による運用監視が行われているか確かめる。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(3)①者へのインタビューにより、インターネット接続系に高度な情報セキュリティ機器が導入されているか確かめる。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(3)①者へのインタビューにより、インターネット接続系の監視対象が集約されているか確かめる。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(2)①
者へのインタビューにより、インターネット接続系のメールやデータをLGWAN接続系に取り込む場合は無害化通信を行っているか確かめる。

監査資料のレビューとCISO又は統括情報セキュリティ責任 3.(2)①
者へのインタビューにより、LGWAN接続系とインターネット
接続系の通信環境は分離され、必要な通信のみ許可するようにしているか確かめる。

監査実施の例

13.1.313.1.113.1.212.4.112.4.212.4.312.6.113.1.113.1.213.1.113.1.213.1.313.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

高水準な運用監視とは、予兆を含めた早期検知、常駐する専門人材による早期判断、及び運用委託先による２４時間３
６５日有人での集中監視のことを指す。

高度なセキュリティ機器とは、
通信パケットの監視及び破棄、通信ポートの制御、不正なプログラムの検知、不審なメールの検知及び遮断、不審なＵＲＬへのアクセス遮断、ロ
グ監視、コンテンツの改ざん検知等の機能を持った機器のことを指す。

留意事項38(2)サーバ
の冗長化

29

4.
4.1.
(1)機器の物理的 サーバ 取付け
セキュ 等の管
リティ 理

33

32

31

30

No.

項目

○

○

必須

ⅲ） サーバ障害対策基準□サーバ障害対策基準
統括情報セキュリティ責任者又は情報シス □サーバ障害対応実施手テム管理者によって、メインサーバに障害が 順発生した場合の対策基準及び実施手順が定められ、文書化されている。

ⅱ） 基幹サーバの冗長化□サーバ冗長化基準
情報システム管理者によって、基幹サーバ □システム構成図（重要情報を格納しているサーバ、セキュリ
ティサーバ、住民サービスに関するサーバ及びその他の基幹サーバ）が冗長化されている。

ⅰ） サーバ冗長化基準□サーバ冗長化基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、サーバを冗長化する基準が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(2)②
報システム管理者へのインタビューにより、サーバに障害が発生した場合の対策基準及び実施手順が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 3.4.1.(2)①
により、基幹サーバが冗長化され、同一データが保持されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(2)①
報システム管理者へのインタビューにより、サーバの冗長化に関する基準が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(1)及び管理区域の視察により、サーバ等の機器が設置されているか確かめる。

□機器設置基準/手続ⅱ） 機器の取付け
情報システム管理者によって、サーバ等の機 □建物フロアレイアウト図
器の取付けを行う場合、火災、水害、埃、振 □管理区域（情報システム
動、温度等の影響を可能な限り排除した場 室等）のレイアウト図所に設置し、容易に取外せないように固定す □機器設置記録□情報資産管理台帳るなどの対策が講じられている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(1)報システム管理者へのインタビューにより、機器の設置に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 機器の設置に関わる基準及び手続 □機器設置基準/手続統括情報セキュリティ責任者又は情報シス
テム管理者によって、サーバ等の機器の取付けを行う場合の基準及び手続が定められ、文書化されている。

監査項目

・情報資産管理台帳などに、機器の設置場所や設置状態などを明記しておくことが望ま
しい。

留意事項

12.3.116.1.212.3.1※注意
JISQ27002
では、広義
の意味で
バックアップ全般を規定している。

12.3.1・サーバの冗長化には、ハー※注意
ドウェア・ソフトウェアが二重にJISQ27002 必要となる等、多額の費用をでは、広義 要する。冗長化にかかる費用の意味でとサーバ等の停止による損失
バックアップ の影響度合いを十分に検討し全般を規定 たうえで、冗長化を行うか否かしている。
を判断することが望ましい。

11.1.411.2.111.1.411.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

39

(3)機器の
電源

4.
4.1.
(2)サーバ
物理的 サーバ の冗長化
セキュ 等の管
リティ 理

項目

37

36

35

34

No.

○

必須

ⅲ） 過電流対策
情報システム管理者によって、落雷等による過電流からサーバ等の機器を保護する設備が備えられている。

□機器電源基準□システム構成図□機器設置記録□障害報告書

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(3)②
及び管理区域の視察により、落雷等による過電流からサーバ等の機器を保護するために、避雷設備やCVCF（定電圧定周波装置）を設置するなどの措置が講じられているか確
かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(3)①
及び管理区域の視察により、UPS（無停電電源装置）などの予備電源が設置されているか確かめる。また、停電時や瞬断時に起動し、当該機器が適切に停止するまでの間に十分な電力を供給できる容量があるかなど、定期的に点検されているか確かめる。

□機器電源基準□システム構成図□機器設置記録□機器保守点検記録□障害報告書ⅱ） 予備電源装置の設置及び点検
情報システム管理者によって、停電等による電源供給の停止に備えた予備電源が備え付けられ、定期的に点検されている。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(2)②により、サーバ障害時にセカンダリサーバが起動され、システムの運用停止時間が最小限になるような対策が講じられているか確かめる。実際にサーバ障害が発生している場合
は、対策が有効に機能しているか確かめる。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(3)①
報システム管理者へのインタビューにより、停電等に備えた予備電源の設置基準や、落雷等の電源異常からサーバ等の機器を保護するための基準が文書化され、正式に承認されているか確かめる。

□サーバ障害対策基準□サーバ障害対応実施手順□障害報告書

監査資料の例ⅰ） 機器の電源に関わる基準□機器電源基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、停電や落雷等からサーバ等の機器を保護する基準が定められ、文書化されている。

ⅳ） サーバ障害対策
情報システム管理者によって、メインサーバに障害が発生した場合に、システムの運用
停止時間を最小限にする対策が講じられて
いる。

監査項目

11.2.111.2.2
16.1.211.2.111.2.2
16.1.211.2.111.2.212.3.116.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ 設置した予備電源が、サーバ等の増設に対して十分な電力供給能力があるのかを定期的に確認しておくことが望ましい。

・定期保守等で予備機への切替試験等を実施し、その記録を確認することが望ましい。
・定期保守については、
No.34～35も関連する項目であることから参考にすること。

留意事項

40

38

4.
4.1.
(4)通信
物理的 サーバ ケーブル等
セキュ 等の管 の配線
リティ 理

42

41

40

39

No.

項目

○

必須

監査資料の例

監査実施の例ⅴ） 配線変更・ 追加の制限
統括情報セキュリティ責任者及び情報シス
テム管理者によって、配線の変更及び追加が許可された者だけに制限されている。

□通信ケーブル等配線基準 監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(4)④/手続
報システム管理者へのインタビューにより、統括情報セキュ□作業報告書
リティ責任者、情報システム管理者、情報システム担当者
及び契約した外部委託者だけが配線の変更及び追加の作業を行っていることを確かめる。

ⅳ） ネッ トワーク接続口の設置場所□通信ケーブル等配線基準 監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(4)③
統括情報セキュリティ責任者及び情報シス /手続報システム管理者へのインタビュー及び執務室や管理区域
テム管理者によって、ネットワーク接続口（ハ □通信回線敷設図の視察により、ネットワーク接続口（ハブのポート等）が他者
ブのポート等）が他者が容易に接続できないの容易に接続できない場所に設置されているか確かめる。
場所に設置されている。

ⅲ） ケーブル障害対策□通信ケーブル等配線基準 監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(4)②
統括情報セキュリティ責任者及び情報シス /手続報システム管理者へのインタビューにより、通信ケーブルやテム管理者によって、通信ケーブル及び電 □障害報告書
電源ケーブルの損傷等に対し、施設管理部門と連携して対源ケーブルの損傷等への対応が行われてい応しているか確かめる。
る。

ⅱ） 通信ケーブル等の保護□通信ケーブル等配線基準 監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(4)①
統括情報セキュリティ責任者及び情報シス /手続報システム管理者へのインタビュー及び執務室や管理区域
テム管理者によって、通信ケーブルや電源の視察により、通信ケーブルや電源ケーブルが配線収納管
ケーブルの損傷等を防止するための対策がに収納されるなど、損傷から保護されているか確かめる。
講じられている。

ⅰ） 通信ケーブル等の配線に関わる基準 □通信ケーブル等配線基準 監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(4)①
及び手続/手続報システム管理者へのインタビューにより、通信ケーブルや
統括情報セキュリティ責任者及び情報シス
電源ケーブルの配線基準やネットワーク接続口（ハブのテム管理者によって、通信ケーブル等の配線
ポート等）設置基準、配線申請・変更・追加等の手続が文に関わる基準及び手続が定められ、文書化書化され、正式に承認されているか確かめる。
されている。

監査項目

11.2.312.1.211.2.111.2.311.2.316.1.211.2.311.2.411.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・情報処理設備に接続する通信ケーブル及び電源ケーブ
ルは、可能ならば施設内の地下に埋設するか又はそれに代わる十分な保護手段を施すことが望ましい。
・ ケーブルの損傷等を防止するために、配線収納管を使用することが望ましい。
・ケーブル用途（電源、通信等）で分離して配線することが望ましい。また、通信ケーブルを二重化している場合は、それぞれを別ルートで配線することが望ましい。

留意事項

41

(6)庁外への機器の設置

47□機器設置基準/手続□庁外機器設置申請書／
承認書□情報資産管理台帳ⅱ） 庁外への機器の設置の承認
統括情報セキュリティ責任者及び情報シス
テム管理者は、庁外にサーバ等の機器を設置する場合､CISOの承認を得ている。

監査資料のレビューと統括情報セキュリティ責任者又は情 3.4.1.(6)報システム管理者へのインタビューにより、庁外に設置しているサーバ等の機器が､CISOに承認されているか確かめる。
また、情報資産管理台帳を確認し、庁外に設置していることが記載されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(6)報システム管理者へのインタビューにより、庁外にサーバ等の機器を設置する場合の基準及び手続が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(5)②
により、電磁的記録媒体を内蔵する機器を外部委託の事業者に修理させる場合にデータを消去した状態で行わせているか確かめる。データを消去できない場合は、修理を委託する事業者との間で守秘義務契約を締結し、秘密保持体制等を確認しているか確かめる。

ⅲ） 電磁的記録媒体を内蔵する機器の修 □機器保守・修理基準/手理続
電磁的記録媒体を内蔵する機器を外部の事 □保守機器管理表
業者に修理させる場合、情報システム管理 □保守体制図者によって、情報が漏えいしない対策が講じ □作業報告書
られている。
□機密保持契約書

46

○

45

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(5)①
により、保守対象機器、保守実施時期、保守内容、保守担
当が明確になっているか、保守が適切に行われているか確
かめる。また、実際にサーバ等機器の障害が発生している
場合は、保守に問題がなかったか確かめる。

ⅱ） サーバ等の機器の定期保守□機器保守・修理基準/手情報システム管理者によって、サーバ等の機 続
器の定期保守が実施されている。
□保守機器管理表□保守体制図□作業報告書□障害報告書□機器保守点検記録

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(5)報システム管理者へのインタビューにより、サーバ等の機器の保守・修理に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 機器の保守・ 修理に関わる基準及び □機器保守・修理基準/手手続
続統括情報セキュリティ責任者又は情報シス
テム管理者によって、サーバ等の機器の定期保守・修理に関わる基準及び手続が定められ、文書化されている。

監査項目ⅰ） 庁外への機器設置に関わる基準及 □機器設置基準/手続
び手続
統括情報セキュリティ責任者及び情報シス
テム管理者により、庁外にサーバ等の機器を設置する場合の基準及び手続が定められ、文書化されている。

○

43

4.
4.1.
(5)機器の物理的 サーバ 定期保守
セキュ 等の管 及び修理
リティ 理

必須

44

No.

項目

11.2.511.2.611.2.511.2.615.1.211.2.418.1.118.2.211.2.411.2.4

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ 地方公共団体の庁外の装置を保護するために、十分な措置が取られていることが望ましい。
・ 損傷、盗難、傍受といった
セキュリティリスクを考慮し、それぞれの場所に応じた最も適切な管理策を導入することが
望ましい。

留意事項

42

(7)機器の廃棄等

4.
4.1.
(6)庁外へ
物理的 サーバ の機器のセキュ 等の管 設置
リティ 理

項目

50

49

48

No.

○

必須

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(7)報システム管理者へのインタビューにより、機器を廃棄又はリース返却する場合の基準及び手続が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.1.(7)により、機器内部の記憶装置からすべてのデータが復元が不可能なように消去されているか確かめる。

ⅱ） 記憶装置の情報消去□機器廃棄・リース返却基
情報システム管理者によって、廃棄又はリー 準
ス返却する機器内部の記憶装置からすべて □機器廃棄・リース返却手の情報が消去され、復元が不可能な状態に 続されている。
□情報資産管理台帳□記憶装置廃棄記録□機器設置基準/手続
監査資料のレビューと統括情報セキュリティ責任者又は情 4.1.(6)□外部委託事業者訪問記 報システム管理者へのインタビューにより、庁外に設置され録た機器への情報セキュリティ対策状況が、定期的に確認さ□外部委託事業者監査報 れているか確かめる。
告書□外部委託事業者におけるISO/IEC27001認証取得状
況

監査資料の例ⅰ） 機器の廃棄等に関わる基準及び手 □機器廃棄・リース返却基続準
統括情報セキュリティ責任者又は情報シス □機器廃棄・リース返却手
テム管理者によって、機器の廃棄又はリース 続
返却等を行う場合の基準及び手続が定められ、文書化されている。

ⅲ） 庁外の機器の設置状況確認
統括情報セキュリティ責任者及び情報シス
テム管理者によって、庁外に設置しているサーバ等の機器への情報セキュリティ対策
状況が定期的に確認されている。

監査項目

11.2.711.2.711.2.511.2.618.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・委託契約等により、サービス提供を受けている業務においても留意する必要がある。

・委託契約等により、サービス提供を受けている業務においても留意する必要がある。

留意事項

43

51

4.
4.2.
(1)
物理的 管理区 管理区域
セキュ 域（情 の構造等
リティ 報シス
テム室
等）の
管理

56

55

54

53

52

No.

項目

○

○

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(1)③
報システム管理者へのインタビュー及び管理区域の視察により、外部へ通じるドアを必要最低限とし、鍵、監視機能、警報装置等が設けられているか確かめる。

□建物フロアレイアウト図ⅲ） 管理区域への立ち入り制限機能
統括情報セキュリティ責任者及び情報シス □敷地図面
テム管理者によって、管理区域への許可さ □管理区域（情報システム
れていない立ち入りを防止するための対策が 室等）のレイアウト図
講じられている。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビュー及び情報システム室の視察により、機器等に耐震、防火、防水等の対策が実施されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(1)⑤
報システム管理者へのインタビュー及び管理区域の視察により、管理区域を囲む外壁等の床下開口部がすべて塞がれているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(1)⑥
報システム管理者へのインタビュー及び管理区域の視察により、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないように配慮されているか確かめる。

ⅳ） 情報シ ステ ム室内の機器の耐震、 防 □建物フロアレイアウト図□敷地図面
火、 防水対策
統括情報セキュリティ責任者又は情報シス □管理区域（情報システム
テム管理者によって、情報システム室内の機 室等）のレイアウト図
器等に耐震、防火、防水等の対策が施されている。

ⅴ） 管理区域の構造□建物フロアレイアウト図
統括情報セキュリティ責任者及び情報セキュ □敷地図面
リティ管理者によって、管理区域を囲む外壁 □管理区域（情報システム
等の床下開口部が塞がれている。
室等）のレイアウト図ⅵ） 管理区域の消火機器□建物フロアレイアウト図
統括情報セキュリティ責任者及び情報セキュ □敷地図面
リティ管理者によって、管理区域に配置する □管理区域（情報システム
消火薬剤や消防用設備等が、機器等及び 室等）のレイアウト図
電磁的記録媒体に影響を与えないようにされている。

4.2.(1)④

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(1)②
報システム管理者へのインタビュー及び管理区域の視察により、管理区域が地階又は1階に設けられていないか、外壁が無窓になっているか確かめる。

□建物フロアレイアウト図ⅱ） 管理区域の配置
統括情報セキュリティ責任者及び情報シス □敷地図面
テム管理者によって、管理区域が自然災害 □管理区域（情報システムの被害から考慮された場所であって、かつ外 室等）のレイアウト図部からの侵入が容易にできない場所に設けられている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(1)①
報システム管理者へのインタビューにより、管理区域の構造基準が文書化され、正式に承認されているか確かめる。
また、情報システム室や電磁的記録媒体の保管庫が管理区域に指定されているか確かめる。

監査資料の例□管理区域構造基準□建物フロアレイアウト図□敷地図面□管理区域（情報システム
室等）のレイアウト図ⅰ） 管理区域の構造基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、管理区域の構造についての基準が定められ、文書化されている。

監査項目

11.1.411.1.111.1.411.1.111.1.411.1.111.1.111.1.411.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・管理区域に配置する消火薬
剤は、発泡性のものを避けるべきである。また、情報システ
ム機器等に水がかかる位置にスプリンクラーを設置してはならない。

・外部へ通じるドアを必要最小限とするにあたり、消防法に違反しないよう留意する必要がある。

･管理区域の存在そのもを外部の者から分からないように表示等を明示しないことが望ましい。

・管理区域の中に特にセキュリティ要求事項の高い領域が存在するときは、他の領域との間に、物理的アクセスを管理するための障壁及び境界を追加することが望ましい。

留意事項

44

57

(2)
4.2.
4.
物理的 管理区 管理区域
セキュ 域（情 の入退室
リティ 報シス 管理等
テム室
等）の
管理

61

60

59

58

No.

項目

○

○

必須

監査資料の例

監査実施の例

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(2)③
及び管理区域の視察により、外部からの訪問者が管理区域に入る場合、立ち入り区域の制限や、当該区域への入退室を許可されている職員の同行、ネームプレート等の着用を行っているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(2)④により、機密性2以上の情報資産を扱うシステムを設置している管理区域への入室の際、当該情報システムに関連しない、または個人所有であるコンピュータ、モバイル端末、通信回線装置、電磁的記録媒体等を持ち込ませていないか確かめる。

ⅳ） 外部訪問者の立ち入り区域制限及び □管理区域入退室基準/手続
区別
外部訪問者が管理区域に入る場合、情報シ □管理区域入退室記録
ステム管理者によって、必要に応じて立ち入り区域が制限され、当該区域への入退室を許可されている職員が同行するとともに外見
上職員等と区別できる対策が講じられている。

ⅴ） 管理区域への機器等の持込み制限 □管理区域入退室基準/手情報システム管理者によって、機密性の高い 続
情報資産を扱うシステムを設置している管理 □管理区域入退室記録
区域に当該情報システムに関連しない、または個人所有である機器等を持ち込ませていない。

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(2)①
及び管理区域の視察により、入退室管理基準に従って管理区域への入退室を制限しているか確かめる。
また、ICカード、指紋認証等の生体認証や入退室管理簿への記録による入退室管理を行っているか、及びICカード等の認証用カードが管理・保管されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(2)②
及び管理区域の視察により、職員等及び外部委託事業者の身分証明書の携帯状況や、身分証明書等を携帯していない者への身分証明書等の提示を促しているか確かめる。

□管理区域入退室基準/手続□管理区域入退室記録□認証用カード管理記録□管理区域入退室基準/手ⅲ） 身分証明書等の携帯情報システム管理者によって、職員等及び 続
外部委託事業者が管理区域に入室する際は、身分証明書等を携帯させ、求めに応じて提示させている。

ⅱ） 管理区域への入退室制限
情報システム管理者によって、管理区域への入退室が制限され管理されている。

ⅰ） 管理区域への入退室に関わる基準 □管理区域入退室基準/手 監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(2)報システム管理者へのインタビューにより、管理区域への入続及び手続退室の基準及び手続が文書化され、正式に承認されている
統括情報セキュリティ責任者又は情報シスか確かめる。
テム管理者によって、管理区域への入退室に関わる基準及び手続が定められ、文書化されている。

監査項目

11.1.511.1.2

11.1.2

11.1.2

11.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ 入退室手続に業者名、訪問者名等の個人情報を記述しているような場合は紛失、覗き見等が生じないように管理する。
・ICカードや指紋等生体認証の入退管理システムを導入した場合、故障等により入退に支障が生じるのを未然に防止するため、定期的に保守点検することが望ましい。
・必要以上の入退室や通常時間外の入退室など、不信な入退室を確認する必要があ
る。

留意事項

45

62

4.
4.2.
(3)
物理的 管理区 機器等のセキュ 域（情 搬入出
リティ 報シス
テム室
等）の
管理

64

63

No.

項目

○

必須

□機器搬入出基準/手続

監査資料の例ⅲ） 機器等の搬入出時の立会い□機器搬入出基準/手続
情報システム管理者によって、管理区域へ □管理区域入退室記録の機器の搬入出の際は、職員を立ち合わせ □機器搬入出記録ている。

ⅱ） 機器等の搬入□機器搬入出基準/手続
情報システム管理者によって、機器等の搬入の際は、あらかじめ職員又は委託した業者に既存の情報システムに与える影響について確認させている。

ⅰ） 管理区域への機器等の搬入出に関わる基準及び手続
統括情報セキュリティ責任者又は情報シス
テム管理者によって、管理区域に機器等を搬入出する場合の基準及び手続が定められ、文書化されている。

監査項目

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(3)②により、機器等の搬入出の際に職員が立会っているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 4.2.(3)①
により、職員又は委託した業者が搬入する機器等が既存の情報システムに影響を与えないか確認しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.2.(3)報システム管理者へのインタビューにより、管理区域への機器等の搬入出に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

監査実施の例

11.1.511.1.611.1.511.1.611.1.511.1.6

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号・ 可能であれば許可されていないアクセスを避けるために、搬入口は管理区域から離すことが望ましい。

留意事項

46

4.
4.3.
物理的 通信回セキュ 線及び
リティ 通信回
線装置
の管理

項目

70

69

68

67

66

65

No.

○

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.①
報システム管理者へのインタビュー及び文書保管場所の視察により、通信回線及び通信回線装置に関連する文書が適切に保管されていることを確かめる。

ⅲ） 通信回線及び通信回線装置に関する文書の保管
統括情報セキュリティ責任者又は情報シス
テム管理者によって、庁内の通信回線及び通信回線装置に関連する文書が適切に保管されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.③
報システム管理者へのインタビューにより、行政系のネット
ワークが総合行政ネットワーク（LGWAN）に集約されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.④
報システム管理者へのインタビューにより、機密性２以上の情報資産を取り扱う情報システムに通信回線を接続する場
合、セキュリティ水準に見合った適切な回線が選択されているか確かめる。

ⅴ） 行政系ネッ トワークの集約□ネットワーク管理基準
統括情報セキュリティ責任者又は情報シス □通信回線敷設図
テム管理者によって、行政系のネットワーク □結線図
が総合行政ネットワーク（LGWAN）に集約されている。

ⅵ） 通信回線の選択
統括情報セキュリティ責任者又は情報シス
テム管理者によって、機密性の高い情報資産を取り扱う情報システムに接続している通信回線がある場合、適切な回線が選択されている。

□ネットワーク管理基準□通信回線敷設図□結線図

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.②
報システム管理者へのインタビューにより、必要以上に外部ネットワークへの接続ポイントが設けられていないか確かめる。

ⅳ） 外部ネッ トワーク接続ポイントの制限 □ネットワーク管理基準
統括情報セキュリティ責任者又は情報シス □通信回線敷設図
テム管理者によって、外部ネットワークへの □結線図
接続ポイントが必要最低限に限定されている。

□ネットワーク管理基準□通信回線敷設図□結線図

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.①
報システム管理者へのインタビューにより、通信回線及び通信回線装置、管理状況について確かめる。
また、執務室や管理区域の視察により、ネットワークの配線
状況を確かめる。

ⅱ） 通信回線及び通信回線装置の管理 □ネットワーク管理基準
統括情報セキュリティ責任者又は情報シス □通信回線敷設図
テム管理者によって、庁内の通信回線及び □結線図
通信回線装置が管理基準に従って管理されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.
報システム管理者へのインタビューにより、庁内の通信回線
及び通信回線装置の管理基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 通信回線及び通信回線装置に関わ □ネットワーク管理基準
る基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、庁内の通信回線及び通信回線装置の管理基準が定められ、文書化されている。

監査項目

9.1.2
13.1.1－

9.1.2
13.1.1

9.1.2
13.1.1

9.1.2
13.1.1

9.1.2
13.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・例えば、機密性の高い情報資産を扱う場合には、専用線
かVPN回線等を用いること。

・合理的な理由がある場合
は、集約されないこともありうる。

・通信回線敷設図、結線図の電子ファイルについてもアクセス制限やパスワード設定など、外部への漏えい防止対策を講じる必要がある。

留意事項

47

71

4.
4.3.
物理的 通信回セキュ 線及び
リティ 通信回
線装置
の管理

73

72

No.

項目

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.⑤
報システム管理者へのインタビューにより、伝送途上の情報が破壊、盗聴、改ざん、消去等が生じないように保護されているか確かめる。また、適切なアクセス制御が実施されているか、及び業務遂行に必要な回線が確保されているか確認する。

監査資料のレビューと統括情報セキュリティ責任者へのイン 4.3.⑥
タビューにより、可用性２以上の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線が選択されているか確かめる。また、必要に応じ、回線を冗長構成にする等の措置が講じられているか確かめる。

ⅷ） 通信回線のセキュ リテ ィ対策□ネットワーク管理基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、伝送途上の情報が破壊、盗聴、改ざん、消去等が生じないよう、通信回線として利用する回線に対策が実施されている。

ⅸ） 通信回線の可用性□ネットワーク管理基準
統括情報セキュリティ責任者によって、可用
性２以上の情報を取り扱う情報システムが接続される通信回線は、継続的な運用を可能とする回線が選択されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.3.④
報システム管理者へのインタビューにより、機密性２以上の情報を送受信する場合、必要に応じ、情報の暗号化が行われているか確かめる。

監査資料の例ⅶ） 送受信情報の暗号化□ネットワーク管理基準
統括情報セキュリティ責任者又は情報シス □システム運用基準
テム管理者によって、機密性の高い情報を送受信する場合、必要に応じ、情報の暗号化が行われている。

監査項目

13.1.217.2.113.1.113.1.2

9.1.2
13.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・通信回線の断線、通信機器の故障のための装置、ケーブ
ル類の予備在庫をもつことが望ましい。
・可用性の観点から必要な通信回線を確保することが望ましい。

・暗号化については、No.184～186も関連する項目であることから参考にすること。

留意事項

48

4.
4.4.
物理的 職員等
セキュ の利用
リティ する端
末や電
磁的記
録媒体
等の管
理

項目

監査資料のレビューと情報システム管理者へのインタビュー 4.4.⑤
及び執務室等のパソコン等のサンプリング確認により、データの暗号化機能又は端末に搭載されているセキュリティチッ
プの機能が有効に利用されているか確かめる。

ⅶ） 暗号化機能の利用□パソコン等管理基準
情報システム管理者によって、パソコン等の端末の暗号化機能又は端末に搭載されているセキュリティチップの機能が有効に利用さ
れている。

80

監査資料のレビューと情報システム管理者へのインタビュー 4.4.④
及び執務室等のパソコン等のサンプリング確認により、多要素認証が行われているか確かめる。

□パソコン等管理基準ⅵ） 多要素認証の利用
情報システム管理者によって、多要素認証が行われている。

○

79

監査資料のレビューと情報システム管理者へのインタビュー 4.4.②
及び執務室等のパソコン等のサンプリング確認により、パソコン等にログインする時に認証情報を入力をするよう設定されているか確かめる。

ⅳ） ログイン認証設定□パソコン等管理基準
情報システム管理者によって、情報システム
へのログイン時に認証情報を入力をするよう設定されている。

78

監査資料のレビューと情報システム管理者へのインタビュー 4.4.①
及び執務室等の視察により、電磁的記録媒体について、情報が保存される必要がなくなった時点で記録した情報が消去されているか確かめる。

□パソコン等管理基準ⅲ） 電磁的記録媒体の盗難防止対策
情報システム管理者によって、電磁的記録
媒体の盗難防止対策が講じられている。

監査資料のレビューと情報システム管理者へのインタビュー 4.4.①
及び執務室等の視察により、パソコン等の端末のワイヤー固定、モバイル端末及び電磁的記憶媒体の使用時以外の施錠保管等の盗難防止の対策が講じられているか確かめる。

□パソコン等管理基準ⅱ） パソコン等の端末の盗難防止対策
情報システム管理者によって、執務室等のパソコン等の端末に盗難防止対策が講じられている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 4.4.
報システム管理者へのインタビューにより、執務室等のパソ
コン等の端末の管理基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） パソコン等の端末の管理基準□パソコン等管理基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、執務室等のパソコン等の端末の管理基準が定められ、文書化され
ている。

監査項目

監査資料のレビューと情報システム管理者へのインタビュー 4.4.③
及び執務室等のパソコン等のサンプリング確認により、BIOS
パスワード、ハードディスクパスワード等が併用されているか
確かめる。

○

必須

ⅴ） パスワードの併用□パソコン等管理基準
情報システム管理者によって、端末の電源
起動時のパスワード（BIOSパスワード、ハードディスクパスワード等）の併用が行われてい
る。

77

76

75

74

No.

10.1.1

9.2.1
9.2.2

9.2.4

9.2.1
9.2.2
9.4.2
9.4.3

11.2.111.2.111.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・多要素認証はマイナンバー
利用事務系では必須事項、
LGWAN接続系では推奨事項とする。

・管理用パスワードは必要最小限の者で管理されること。
・担当変更等が実施された場
合は、同時にパスワードを変更することが望ましい。

・パスワードの管理及び取扱いについては、No.124～
131、219～220も関連する項目であることから参考にすること。
・ログイン時のシステム設定については、No.218も関連する項目であることから参考にすること。

・定期的に端末管理台帳と実数を点検し、紛失、盗難等の情報セキュリティインシデントの早期発見に努めることが望
ましい。

留意事項

49

4.
4.4.
物理的 職員等
セキュ の利用
リティ する端
末や電
磁的記
録媒体
等の管
理

項目

監査資料のレビューと情報システム管理者へのインタビュー 4.4.⑥
及びモバイル端末のサンプリング確認により、遠隔消去機能が利用されているか確かめる。

82

監査実施の例ⅸ） 遠隔消去機能の利用□パソコン等管理基準
情報システム管理者によって、モバイル端末の庁外での業務利用の際に、遠隔消去機能等の措置が講じられている。

監査資料の例81

監査項目

監査資料のレビューと情報システム管理者へのインタビュー 4.4.⑤
及び執務室等の電磁的記録媒体のサンプリング確認により、データ暗号化機能を備える電磁的記録媒体が利用されているか確かめる。

必須ⅷ） 電磁的記録媒体の暗号化□パソコン等管理基準
情報システム管理者によって、データ暗号化機能を備える電磁的記録媒体が利用されて
いる。

No.

8.3.1
8.3.2
11.2.610.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

50

86

85

○

○

84

（1）
職員等の
遵守事項
②
業務以外
の目的で
の使用の
禁止

○

83

5.
5.1.
（1）
人的セ 職員等 職員等のキュリ の遵守 遵守事項
ティ
事項 ①
情報セキュ
リティポリ
シー等の
遵守

必須

No.

項目

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)②
報システム管理者へのインタビューにより、職員等の業務以外の目的での情報資産の持ち出し、情報システムへのアク
セス、電子メールアドレスの使用及びインターネットへのアク
セスの禁止について文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者及び職員等への 5.1.(1)②
インタビューにより、業務以外の目的での情報資産の持ち出し、情報システムへのアクセス、電子メールアドレスの使用
及びインターネットへのアクセスが行われていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅰ） 情報資産等の利用基準□情報セキュリティポリシー
統括情報セキュリティ責任者又は情報シス □情報資産取扱基準
テム管理者によって、職員等の業務以外の □ネットワーク利用基準
目的での情報資産の持ち出し、情報システ □電子メール利用基準
ムへのアクセス、電子メールアドレスの使用
及びインターネットへのアクセスを禁止することが定められ、文書化されている。

ⅱ） 情報資産等の業務以外の目的での □端末ログ
使用禁止□電子メール送受信ログ
職員等による業務以外の目的での情報資産 □ファイアウォールログ
の持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネット
へのアクセスは行われていない。

監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)①へのインタビューにより、情報セキュリティポリシー及び実施
手順の遵守状況を確かめる。また、情報セキュリティ対策について不明な点及び遵守が困難な点等がある場合、職員等が速やかに情報セキュリティ管理者に相談し、指示を仰げる体制が整備されているか確かめる。必要に応じて、職員等へのアンケート調査を実施し、周知状況を確かめる。

ⅱ） 情報セキュ リテ ィポリシー等の遵守 □情報セキュリティポリシー
職員等は、情報セキュリティポリシー及び実 □実施手順
施手順を遵守するとともに、情報セキュリティ対策について不明な点や遵守が困難な点等がある場合、速やかに情報セキュリティ管理者に相談し、指示を仰げる体制になっている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)①
報セキュリティ責任者へのインタビューにより、職員等の情報セキュリティポリシー及び実施手順の遵守や、情報セキュ
リティ対策について不明な点及び遵守が困難な点等がある
場合に職員等がとるべき手順について文書化され、正式に承認されているか確かめる。また、承認された文書が職員等に周知されているか確かめる。

監査資料の例ⅰ） 情報セキュ リテ ィポリシー等遵守の □情報セキュリティポリシー
明記□職員等への周知記録
統括情報セキュリティ責任者又は情報セキュ
リティ責任者によって、職員等が情報セキュリ
ティポリシー及び実施手順を遵守しなければならないことが定められ、文書化されている。

監査項目

－

－

5.1.1

5.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・職員等の情報セキュリティポ
リシーの遵守状況の確認及び対処については、No.292～300も関連する項目であることから参考にすること。

留意事項

51

（1）
職員等の
遵守事項
④
支給以外
のパソコ
ン、モバイ
ル端末及
び電磁的
記録媒体
の業務利
用

87

5.
5.1.
（1）
人的セ 職員等 職員等のキュリ の遵守 遵守事項
ティ
事項 ③
モバイル端
末や電磁
的記録媒
体の持ち
出し及び
外部にお
ける情報処
理作業の
制限

90

89

88

No.

項目

○

○

○

必須

監査資料の例

監査実施の例

5.1.(1)③

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)④
報セキュリティ責任者へのインタビューにより、支給以外のパソコン、モバイル端末及び電磁的記録媒体利用手順が文書化され、正式に承認されているか確かめる。

□庁外での情報処理作業基 監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)③
準/手続へのインタビューにより、職員等が外部で情報処理作業を行 (ウ)□庁外作業申請書/承認書 う場合、情報セキュリティ管理者から許可を得ているか確か
める。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅰ） 支給以外のパソコン、 モ バイル端末 □端末等持出・持込基準/
及び電磁的記録媒体の業務利用基準及 手続
び手続□支給以外のパソコン等使
統括情報セキュリティ責任者又は情報セキュ 用申請書/承認書
リティ責任者によって、職員等が業務上支給以外のパソコン、モバイル端末及び電磁的記録媒体を利用する場合の基準及び手続について定められ、文書化されている。

ⅲ） 外部での情報処理業務の制限
職員等が外部で情報処理作業を行う場合
は、情報セキュリティ管理者による許可を得ている。

ⅱ） 情報資産等の外部持出制限□端末等持出・持込基準/ 監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)③
職員等がモバイル端末、電磁的記録媒体、 手続へのインタビューにより、職員等がモバイル端末、電磁的記 (イ)
情報資産及びソフトウェアを外部に持ち出す □庁外での情報処理作業基 録媒体、情報資産及びソフトウェアを外部に持ち出す場
場合、情報セキュリティ管理者により許可を 準/手続合、情報セキュリティ管理者から許可を得ているか確かめ得ている。
□端末等持出・持込申請書 る。必要に応じて、職員等へのアンケート調査を実施して確
/承認書
かめる。

ⅰ） モ バイル端末や電磁的記録媒体の □端末等持出・持込基準/ 監査資料のレビューと統括情報セキュリティ責任者又は情持ち出し及び外部における情報処理作 手続
報セキュリティ責任者へのインタビューにより、機密性2以業の基準及び手続□庁外での情報処理作業基 上、可用性2、完全性2の情報資産を外部で処理する場合
CISOによって、機密性、可用性、完全性の 準/手続の安全管理措置について文書化され、正式に承認されて高い情報資産を外部で処理する場合の安全いるか確かめる。
管理措置の基準及び手続が定められ、文書化されている。

監査項目

8.2.3
11.2.1

6.2.1
6.2.2
11.2.66.2.1
6.2.2
11.2.66.2.1
6.2.2
11.2.6

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・情報漏えい事故を防止するため、業務終了後は速やかに勤務地に情報資産を返却することが望ましい。

・紛失、盗難による情報漏えいを防止するため、暗号化等の適切な処置をして持出すことが望ましい。

・損傷・盗難・傍受といったセキュリティリスクを考慮し、作業場所に応じた最も適切な管理策を導入することが望ましい。
・外部で業務を行うために端末等を使用する場合の情報
セキュリティ対策は、庁内の安全対策に加え、安全管理に関する追加的な措置をとることが望ましい。

留意事項

52

（1）
職員等の
遵守事項
⑤
持ち出し及
び持ち込
みの記録

5.
5.1.
（1）
人的セ 職員等 職員等のキュリ の遵守 遵守事項
ティ
事項 ④
支給以外
のパソコ
ン、モバイ
ル端末及
び電磁的
記録媒体
の業務利
用

項目

94

○

○

92

93

○

必須

91

No.

監査資料の例

監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)④へのインタビューにより、職員等が情報処理作業を行う際に支給以外のパソコン、モバイル端末及び電磁的記録媒体を用いる場合、あるいは庁内ネットワークに接続する場合、情報セキュリティ管理者の許可を得ているか確かめる。また、端末のウイルスチェックが行われていることや、端末ロック機
能並びに遠隔消去機能が利用できること、機密性3の情報
資産の情報処理作業を行っていないこと、支給以外の端末のセキュリティに関する教育を受けた者のみが利用しているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査実施の例ⅱ） 端末等の持出・ 持込記録の作成
情報セキュリティ管理者によって、端末等の持ち出し及び持ち込みの記録が作成され、保管されている。

5.1.(1)⑤

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)⑤
報セキュリティ責任者へのインタビューにより、端末等の持ち出し及び持ち込みに関わる基準及び手続が文書化され、正式に承認されているか確かめる。

□端末等持出・持込基準/ 監査資料のレビューと情報セキュリティ管理者へのインタ
手続
ビューにより、端末等の持ち出し及び持ち込みの記録が作□端末等持出・持込申請書 成され、保管されているか確かめる。
/承認書ⅰ） 端末等の持出・ 持込基準及び手続□端末等持出・持込基準/
統括情報セキュリティ責任者又は情報セキュ 手続
リティ管理者によって、端末等の持ち出し及び持ち込みに関わる基準及び手続が定められ、文書化されている。

ⅲ） 支給以外のパソコン、 モバイル端末 □庁外での情報処理作業基 監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)④及び電磁的記録媒体の庁内ネッ トワーク 準/手続へのインタビューにより、支給以外のパソコン、モバイル端末
接続□支給以外のパソコン等使 及び電磁的記録媒体を庁内ネットワークに接続することを許職員等が支給以外のパソコン、モバイル端 用申請書/承認書
可する場合は、シンクライアント環境やセキュアブラウザの末及び電磁的記録媒体を庁内ネットワーク □支給以外のパソコン等使 使用、ファイル暗号化機能を持つアプリケーションでの接続に接続することを許可する場合、統括情報セ 用基準のみを許可する等の情報漏えい対策が講じられているか確
キュリティ責任者又は情報セキュリティ責任
かめる。必要に応じて、職員等へのアンケート調査を実施し者によって、情報漏えい対策が講じられていて確かめる。
る。

ⅱ） 支給以外のパソコン、 モバイル端末 □支給以外のパソコン等使及び電磁的記録媒体の利用制限
用申請書/承認書
職員等が情報処理作業を行う際に支給以外 □支給以外のパソコン等使のパソコン、モバイル端末及び電磁的記録 用基準
媒体を用いる場合、あるいは庁内ネットワー
クに接続する場合、情報セキュリティ管理者
による許可を得ている。また、機密性の高い情報資産の支給以外のパソコン、モバイル
端末及び電磁的記録媒体による情報処理作業は行われていない。

監査項目

11.2.511.2.513.1.113.1.2

6.2.1
6.2.2
11.2.111.2.6

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・記録を定期的に点検し、紛
失、盗難が発生していないか
確認することが望ましい。

留意事項

53

（1）
職員等の
遵守事項
⑧
退職時等
の遵守事
項

（1）
職員等の
遵守事項
⑦
机上の端
末等の管
理

95

（1）
5.1.
5.
人的セ 職員等 職員等のキュリ の遵守 遵守事項
事項 ⑥
ティ
パソコンや
モバイル端
末における
セキュリ
ティ設定変
更の禁止

100

99

98

97

96

No.

項目

○

必須

監査資料の例

監査実施の例

監査資料のレビューと情報セキュリティ管理者及び職員等 3.5.1.(1)⑦へのインタビュー、執務室の視察により、パソコン、モバイル
端末の画面ロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管といった、情報資産の第三者使用又は情報セキュリティ管理者の許可なく情報が閲覧されることを防止するための適切な措置が講じられているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)⑧
報セキュリティ責任者へのインタビューにより、異動、退職等により業務を離れる場合の遵守事項が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)⑧へのインタビューにより、異動、退職等により業務を離れる場
合に情報資産が返却されているか確認する。また、異動、退職後も業務上知り得た情報を漏らさないように周知されているか確かめる。

□職務規程ⅰ） 退職時等の遵守事項
統括情報セキュリティ責任者又は情報セキュ
リティ責任者によって、異動、退職等により業務を離れる場合の遵守事項が定められ、文書化されている。

□職務規程ⅱ） 退職時等の情報資産の取扱い
職員等が、異動、退職等により業務を離れる
場合、利用していた情報資産が返却されている。また、異動、退職後も業務上知り得た情報を漏らさないよう職員等へ周知されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)⑦
報セキュリティ責任者へのインタビューにより、離席時のパソ
コン、モバイル端末、電磁的記録媒体、文書等の取扱基準が文書化され、正式に承認されているか確かめる。

□クリアデスク・クリアスクⅱ） 机上の端末等の取扱
離席時には、パソコン、モバイル端末、電磁 リーン基準
的記録媒体、文書等の第三者使用又は情報セキュリティ管理者の許可なく情報が閲覧されることを防止するための適切な措置が講じられている。

□クリアデスク・クリアスクⅰ） 机上の端末等の取扱基準
統括情報セキュリティ責任者又は情報セキュ リーン基準
リティ責任者によって、離席時のパソコン、モバイル端末、電磁的記録媒体、文書等の取扱基準が文書化されている。

ⅱ） パソコンやモ バイル端末におけるセ □セキュリティ設定変更申請 監査資料のレビューと情報セキュリティ管理者及び職員等 5.1.(1)⑥へのインタビューにより、パソコンやモバイル端末におけるセ書/承認書
キュ リテ ィ設定変更制限
キュリティ設定の変更が必要な場合は、情報セキュリティ管情報セキュリティ管理者による許可なく、パソ
理者の許可を得ているか確かめる。必要に応じて、職員等
コンやモバイル端末におけるセキュリティ設
へのアンケート調査を実施して確かめる。
定は変更されていない。

ⅰ） パソコンやモ バイル端末におけるセ □端末等セキュリティ設定変 監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(1)⑥
報セキュリティ責任者へのインタビューにより、パソコンやモ
更基準/手続キュ リテ ィ設定変更基準及び手続
バイル端末におけるセキュリティ設定を変更する場合の基準
統括情報セキュリティ責任者又は情報セキュ及び手続が文書化され、正式に承認されているか確かめ
リティ責任者によって、パソコンやモバイル端る。
末におけるセキュリティ設定変更に関わる基準及び手続について定められ、文書化され
ている。

監査項目

7.3.1
8.1.4

7.3.1
8.1.4

11.2.911.2.912.1.212.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・退職時等には、認証用のICカード等を確実に返還させる。その他の法令遵守については、No.309～310も関連する項目であることから参考に
すること。

留意事項

54

（2）
非常勤及
び臨時職
員への対
応
③
インター
ネット接続
及び電子
メール使用
等の制限

（2）
非常勤及
び臨時職
員への対
応
②
情報セキュ
リティポリ
シー等の
遵守に対
する同意

104

103

102

101

5.
5.1.
（2）
人的セ 職員等 非常勤及
キュリ の遵守 び臨時職
ティ
事項 員への対
応

（2）
非常勤及
び臨時職
員への対
応
①
情報セキュ
リティポリ
シー等の
遵守

No.

項目

必須

監査資料の例ⅰ） 非常勤及び臨時職員のインターネッ □ネットワーク管理基準
ト及び電子メール使用制限□電子メール利用基準
情報セキュリティ管理者によって、非常勤及び臨時職員のインターネット及び電子メールの使用が必要最小限に制限されている。

ⅰ） 非常勤及び臨時職員の情報セキュ リ □同意書
テ ィポリシ ー等の遵守に対する同意
情報セキュリティ管理者によって、非常勤及び臨時職員採用時に、業務の内容に応じて、情報セキュリティポリシー等を遵守する旨の同意書への署名を求めている。

ⅰ） 非常勤及び臨時職員の情報セキュ リ □研修・訓練実施基準
テ ィポリシ ー等の遵守□研修実施報告書
情報セキュリティ管理者によって、非常勤及び臨時職員を採用する際、情報セキュリティ
ポリシー等のうち当該職員が遵守すべき事
項を理解させ、実施、遵守させている。

ⅰ） 非常勤及び臨時職員への対応基準 □非常勤及び臨時職員へ
統括情報セキュリティ責任者又は情報セキュ の対応基準
リティ責任者によって、情報セキュリティに関し非常勤及び臨時職員への対応に関わる基準が定められ、文書化されている。

監査項目

5.1.(2)①～③

監査資料のレビューと情報セキュリティ管理者へのインタ
5.1.(2)③
ビュー及び執務室の視察により、インターネット及び電子メールの使用が業務上必要ない非常勤及び臨時職員には使用できないように制限されているか確かめる。

監査資料のレビューと情報セキュリティ管理者へのインタ
5.1.(2)②
ビューにより、非常勤及び臨時職員採用時に、業務の内容に応じて、情報セキュリティポリシー等を遵守する旨の同意書への署名を求ているか確かめる。

監査資料のレビューと情報セキュリティ管理者へのインタ
5.1.(2)①
ビューにより、情報セキュリティポリシー等のうち、採用時に非常勤及び臨時職員に理解させた事項が、非常勤及び臨時職員によって実施、遵守されているか確かめる。必要に応じて、非常勤及び臨時職員へのアンケート調査を実施して確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者へのインタビューにより、情報セキュリ
ティに関し非常勤及び臨時職員への対応に関わる基準が文書化され、正式に承認されているか確かめる。

監査実施の例

9.2.2

7.1.2

7.1.2
7.2.2

6.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・同意書への署名は必須ではなく、業務の内容に応じて、必要と判断される場合に行う。

・情報セキュリティに関する研修・訓練については、No.100～109も関連する項目であることから参考にすること。

留意事項

55

（4）
外部委託
事業者に
対する説
明

105

5.
5.1.
（3）
人的セ 職員等 情報セキュ
キュリ の遵守 リティポリ
ティ
事項 シー等の
掲示

108

107

106

No.

項目

○

○

必須

ⅱ） 外部委託事業者に対する情報セキュ □業務委託契約書
リテ ィポリシ ー等遵守の説明□外部委託管理基準
ネットワーク及び情報システムの開発・保守等を外部委託業者に発注する場合、情報セ
キュリティ管理者によって、情報セキュリティ
ポリシー等のうち、外部委託事業者及び外部委託事業者から再委託を受ける事業者が守るべき内容の遵守及びその機密事項が説明されている。

ⅰ） 外部委託事業者の情報セキュ リテ ィ □情報セキュリティポリシー
ポリシ ー等遵守の説明義務□外部委託管理基準
ネットワーク及び情報システムの開発・保守等を外部委託業者に発注する場合、統括情報セキュリティ責任者又は情報セキュリティ
責任者によって、外部委託事業者及び外部委託事業者から再委託を受ける事業者に対して、情報セキュリティポリシー等のうち外部委託事業者等が守るべき内容の遵守及びその機密事項を説明しなければならないことが定められ、文書化されている。

監査資料のレビューと情報セキュリティ管理者へのインタ
5.1.(4)
ビューにより、ネットワーク及び情報システムの開発・保守等を発注する外部委託事業者及び外部委託事業者から再委託を受ける事業者に対して、情報セキュリティポリシー等のうち外部委託事業者等が守るべき内容の遵守及びその機密事項が説明されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(4)報セキュリティ責任者、情報システム管理者へのインタ
ビューにより、ネットワーク及び情報システムの開発・保守等を発注する外部委託事業者及び外部委託事業者から再委託を受ける事業者に対して、情報セキュリティポリシー等のうち外部委託事業者等が守るべき内容の遵守及びその機密事項を説明しなければならないことが文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報セキュリティ管理者へのインタ
5.1.(3)
ビュー及び執務室の視察により、職員等が常に最新の情報
セキュリティポリシー及び実施手順を閲覧できるよう、イントラ
ネット等に掲示されているか確かめる。

ⅱ） 情報セキュ リテ ィポリシ ー等の掲示 □職員等への周知記録
情報セキュリティ管理者によって、職員等が常に最新の情報セキュリティポリシー及び実
施手順を閲覧できるように掲示されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 5.1.(3)報セキュリティ責任者へのインタビューにより、職員等が常に情報セキュリティポリシー及び実施手順を閲覧できるように掲示することが文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 情報セキュ リテ ィポリシ ー等の公表 □情報セキュリティポリシー
統括情報セキュリティ責任者又は情報セキュ
リティ責任者によって、職員等が常に情報セ
キュリティポリシー及び実施手順を閲覧できるように掲示することが定められ、文書化され
ている。

監査項目

15.1.115.1.215.1.115.1.2

5.1.1

5.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・再委託は原則禁止であるが、例外的に再委託を認める
場合には、再委託事業者における情報セキュリティ対策
が十分取られており、外部委
託事業者と同等の水準である
ことを確認した上で許可しなければならない。
・外部委託事業者に対して、契約の遵守等について必要に応じ立ち入り検査を実施すること。
・外部委託に関する事項ついては、No.315～318も関連する項目であることから参考に
すること。

留意事項

56

5.
5.2.
人的セ 研修・キュリ 訓練
ティ

項目

（2）
研修計画
の策定及
び実施

（1）
情報セキュ
リティに関
する研修・
訓練

監査資料の例

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(1)
タビューにより、定期的に情報セキュリティに関する研修・訓練が実施されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(1)～(4)
タビューにより、情報セキュリティに関する研修・訓練の実施について文書化され、正式に承認されているか確かめる。

監査実施の例

115ⅴ） 情報セキュ リテ ィ研修の実施報告□研修・訓練実施基準
監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(2)⑤
CISOによって、情報セキュリティ研修の実施 □研修実施報告書
タビューにより、職員等の情報セキュリティ研修の実施状況
状況について、情報セキュリティ委員会に報 □情報セキュリティ委員会議 について、毎年度1回、情報セキュリティ委員会に報告され告されている。
事録ているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(2)④
タビューにより、研修の内容が、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、情報システム担当者及びその他職員等に対して、自己の責任・義務・権限を理解できるように、それぞれの役割、情報セキュリティに関する理解度等に応じたものになっているか確かめる。

ⅳ） 情報セキュ リテ ィ研修の内容の設定 □研修・訓練実施基準
研修の内容は、職員等の役割、情報セキュリ □研修・訓練実施計画
ティに関する理解度等に応じたものになって
いる。

113

114

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(2)③
タビューにより、新規採用の職員等を対象に、情報セキュリ
ティに関する研修が実施されているか確かめる。

□研修・訓練実施基準□研修実施報告書ⅲ） 採用時の情報セキュ リテ ィ研修の実
施
新規採用の職員等を対象に、情報セキュリ
ティに関する研修が実施されている。

112ⅰ） 研修計画の策定及び承認□研修・訓練実施基準
監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(2)①
CISOによって、情報セキュリティに関する研 □研修・訓練実施計画
タビューにより、情報セキュリティに関する研修計画の策定と修計画の策定と実施体制の構築が定期的に □情報セキュリティ委員会議 実施体制の構築が定期的に行われているか確かめる。ま行われ、情報セキュリティ委員会で承認され 事録
た、情報セキュリティ委員会に承認されているか確かめる。
ている。

ⅱ） 情報セキュ リテ ィ研修・ 訓練の実施 □研修・訓練実施基準
CISOによって、定期的にセキュリティに関す □研修実施報告書
る研修・訓練が実施されている。
□訓練実施報告書ⅰ） 情報セキュ リテ ィに関する研修・ 訓練 □研修・訓練実施基準の実施基準
CISOによって、定期的にセキュリティに関する研修・訓練を実施しなければならないことが定められ、文書化されている。

監査項目

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(2)②
タビューにより、研修計画において、職員等が毎年度最低１
回は情報セキュリティ研修を受講できるように計画されているか確かめる。

○

必須ⅱ） 情報セキュ リテ ィ研修計画□研修・訓練実施基準
職員等が毎年度最低１回は情報セキュリティ □研修・訓練実施計画
研修を受講できるように計画されている。

111

110

109

No.

7.2.2

7.2.2

7.2.2

7.2.2

7.2.2

7.2.2

7.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・幹部を含めた全ての職員等が参加しているかの確認が必要である。

・研修内容は、毎回同じ内容
ではなく、内部監査の結果や庁内外での情報セキュリティ
インシデントの発生状況等を踏まえ、継続的に更新することや、職員等が具体的に行動すべき事項を考慮することが望ましい。

・研修計画には情報セキュリ
ティ人材の育成も含まれていることが望ましい。

留意事項

57

（4）
研修・訓練
への参加

116

5.
5.2.
（3）
人的セ 研修・ 緊急時対キュリ 訓練 応訓練
ティ

118

117

No.

項目

必須

ⅰ） 研修・ 訓練への参加□研修・訓練実施基準
すべての職員等が定められた研修・訓練に □研修実施報告書
参加している。
□訓練実施報告書

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(4)タビューにより、幹部を含めたすべての職員等が定められた研修・訓練に参加しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(3)
タビューにより、緊急時対応を想定した訓練計画が定期的かつ効果的に実施されているか確かめる。

□研修・訓練実施基準□訓練実施報告書ⅱ） 緊急時対応訓練の実施
CISOによって、緊急時対応を想定した訓練が実施されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.2.(3)
タビューにより、緊急時対応を想定した訓練計画について文書化され、正式に承認されているか確かめる。また、訓練計
画には、ネットワークや各情報システムの規模等を考慮して実施体制、実施範囲等が定められているか確かめる。

監査資料の例ⅰ） 緊急時対応訓練の実施計画□研修・訓練実施基準
CISOによって、緊急時対応を想定した訓練 □研修・訓練実施計画
計画について定められ、文書化されている。

監査項目

7.2.2

7.2.2

7.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ 緊急時対応計画について
は、No.301～304も関連する項目であることから参考にす
ること。

留意事項

58

（3）
情報セキュ
リティイン
シデントの
原因究明・
記録、再発
防止等

121

（2）
住民等外
部からの情
報セキュリ
ティインシ
デントの報
告

123

122

120

119

5.3.
5.
人的セ 情報セ
キュリ キュリ
ティイ
ティ
ンシデ
ントの
報告

（1）
庁内での
情報セキュ
リティイン
シデントの
報告

No.

項目

○

○

必須

監査資料の例ⅰ） 情報セキュ リテ ィインシ デントの原因 □情報セキュリティインシデ
ント報告手順究明・ 記録、 再発防止等
統括情報セキュリティ責任者及び情報セキュ □情報セキュリティインシデ
リティインシデントを引き起こした部門の当該 ント報告書
責任者によって、情報セキュリティインシデン
トの発生から対応までの記録が作成、保存されている。

監査資料のレビューと統括情報セキュリティ責任者へのイン 5.3.(3)タビューにより、情報セキュリティインシデントの原因究明が行われ、発生から対応までの記録が作成、保存されているか確かめる。
また、情報セキュリティインシデントが起きたときに迅速に行動したか、報告内容等は適切であったかどうかを確かめる。
原因究明結果から、再発防止策が検討され、CISOに報告されているか確かめる。

ⅱ） 情報セキュ リテ ィインシ デントの窓口 □情報セキュリティインシデ 監査資料のレビューと統括情報セキュリティ責任者又は情 5.3.(2)④
報セキュリティ責任者へのインタビューにより、情報システム
ント報告手順
設置等の情報セキュリティインシデントについて住民等外部からCISOによって、情報システムの情報セキュリ □住民に対する広報記録
報告を受けるための窓口設置及び、当該窓口への連絡手
ティインシデントについて住民等外部から報段について文書化され、公表されているか確かめる。
告を受けるための窓口設置及び、当該窓口への連絡手段について定められ、公表されている。

16.1.2
16.1.316.1.416.1.516.1.2
16.1.3

監査資料のレビューと統括情報セキュリティ責任者又は情 5.3.(2)①～③ 16.1.2
16.1.3
報セキュリティ責任者、情報セキュリティ管理者、情報シス
テム管理者、職員等へのインタビューにより、住民等外部からネットワーク及び情報システム等の情報資産に関する情報セキュリティインシデントについて報告を受けた場合、報告手順に従って遅滞なく報告されているか確かめる。

ⅰ） 住民等外部からの情報セキュ リテ ィ □情報セキュリティインシデ
ント報告手順インシ デントの報告
住民等外部からネットワーク及び情報システ □情報セキュリティインシデ
ム等の情報資産に関する情報セキュリティイ ント報告書
ンシデントについて報告を受けた場合、報告手順に従って関係者に報告されている。

16.1.2
16.1.316.1.2
16.1.3

監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者、情報セキュリティ管理者、情報シス
テム管理者、職員等へのインタビューにより、報告手順に従って遅滞なく報告されているか確かめる。

5.3.(1)

監査資料のレビューと統括情報セキュリティ責任者又は情 5.3.(1)～(3)報セキュリティ責任者へのインタビューにより、職員等が情報セキュリティインシデントを認知した場合、又は住民等外部から情報セキュリティインシデントの報告を受けた場合の報告ルート及びその方法が文書化され、正式に承認されているか確かめる。

監査実施の例ⅰ） 庁内での情報セキュ リテ ィインシ デン □情報セキュリティインシデ
ント報告手順トの報告
庁内で情報セキュリティインシデントが認知さ □情報セキュリティインシデ
れた場合、報告手順に従って関係者に報告 ント報告書されている。

ⅰ） 情報セキュ リテ ィインシ デントの報告 □情報セキュリティインシデ
ント報告手順手順
統括情報セキュリティ責任者によって、情報セキュリティインシデントを認知した場合の報告手順が定められ、文書化されている。

監査項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・情報セキュリティインシデン
トの分析結果は、情報セキュ
リティポリシー等の見直しに活用されることが望ましい。
・他部門も含めて同様の情報
セキュリティインシデントの再発を防止するために全庁横断的に再発防止策を検討する必要がある。

・報告ルートは、団体の意思決定ルートと整合していることが重要である。

留意事項

59

5.
5.4.
（1）
人的セ ID及び ICカード等
キュリ パス
の取扱い
ティ
ワード
等の管
理

項目

○

○

○

127

128

129

監査資料のレビューと統括情報セキュリティ責任者及び情 5.4.(1)①
報システム管理者へのインタビューにより、認証用のICカー (ウ)ドやUSBトークンが紛失した場合は、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報され、指示に従わせているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 5.4.(1)②
報システム管理者へのインタビューにより、紛失した認証用のICカードやUSBトークンを使用したアクセス等が速やかに停止されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 5.4.(1)③
報システム管理者へのインタビューにより、認証用のICカー
ドやUSBトークンを切り替える場合に切替え前のICカードやUSBトークンが回収され、破砕するなど復元不可能な処理を行った上で廃棄されているか確かめる。

□ICカード等取扱基準□ICカード紛失届書ⅴ） 認証用IC カード等の紛失時対応□ICカード等取扱基準
認証用ICカード等の紛失連絡があった場□ICカード等管理台帳
合、統括情報セキュリティ責任者及び情報シ
ステム管理者によって、当該ICカード等の不正使用を防止する対応がとられている。

ⅵ） 認証用IC カード等の回収及び廃棄□ICカード等取扱基準
ICカード等を切り替える場合、統括情報セ□ICカード等管理台帳
キュリティ責任者及び情報システム管理者によって、切替え前のカードが回収され、不正使用されないような措置が講じられている。

ⅳ） 認証用IC カード等の紛失時手続
認証用ICカード等が紛失した場合は、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報され、指示に従わせ
ている。

126

○

監査資料のレビューと情報システム管理者及び職員等への 5.4.(1)①
インタビュー及び執務室の視察により、業務上不要な場合 (イ)にカードリーダーやパソコン等の端末のスロット等から認証用のICカードやUSBトークンが抜かれているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ） 認証用IC カード等の放置禁止□ICカード等取扱基準
認証用ICカード等を業務上必要としないとき
は、カードリーダーやパソコン等の端末のス
ロット等から抜かれている。

125

監査実施の例

監査資料のレビューと情報システム管理者及び職員等への 5.4.(1)①
インタビューにより、認証用のICカードやUSBトークンなどが (ア)
職員等間で共有されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例ⅱ） 認証用IC カード等の共有禁止□ICカード等取扱基準
認証用ICカード等は職員等間で共有されて
いない。

124

監査項目

監査資料のレビューと統括情報セキュリティ責任者又は情 5.4.(1)①
報システム管理者へのインタビューにより、認証用のICカー ～③
ドやUSBトークンの取扱いに関わる基準と手続が文書化され、正式に承認されているか確かめる。

必須ⅰ） 認証用IC カード等の取扱いに関わる □ICカード等取扱基準
基準及び手続統括情報セキュリティ責任者又は情報シス
テム管理者によって、認証用ICカード等の取扱いに関わる基準及び手続が定められ、文書化されている。

No.

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・回収時の個数を確認し、紛失・盗難が発生していないか
確実に確認することが望まし
い。

留意事項

60

○

○

134

135

133

132

（3）
パスワード
の取扱い

ⅲ） 共用IDの利用制限
共用IDを利用する場合は、共用IDの利用者
以外の利用が制限されている。

131ⅲ） パスワードの不正使用防止□パスワード管理基準
パスワードが流出したおそれがある場合、不正使用されない措置が講じられている。

ⅱ） パスワードの取扱い□パスワード管理基準
職員等のパスワードは当該本人以外に知られないように取扱われている。

ⅰ） 職員等のパスワードの管理基準□パスワード管理基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、職員等のパスワードの取扱いに関わる基準が定められ、文書化されている。

□ID取扱基準□ID管理台帳

5.4.(3)

9.3.1

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)④
インタビューにより、パスワードが流出したおそれがある場
合、速やかに情報セキュリティ管理者に報告され、パスワー
ドが変更されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

9.3.1

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)①～③ 9.3.1
インタビューにより、職員等のパスワードについて照会等に応じたり、他人が容易に想像できるような文字列に設定した
りしないように取扱われているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、職員等のパス
ワードの管理基準が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者及び職員等への 5.4.(2)②
インタビューにより、共用IDの利用者が特定されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報システム管理者及び職員等への 5.4.(2)①
インタビューにより、職員等が利用するIDを他人に利用させていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

□ID取扱基準ⅱ） 職員等のID貸与禁止
職員等に個人毎に付与されているIDを他人に利用させていない。

130

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 5.4.(2)報システム管理者へのインタビューにより、IDの取扱基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 職員等のID取扱基準□ID取扱基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、職員等のIDの取扱いに関わる基準が定められ、文書化されている。

監査項目

5.
5.4.
（2）
人的セ ID及び IDの取扱
キュリ パス
い
ティ
ワード
等の管
理

必須

No.

項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・最短6文字以上で、次の条件を満たしていることが望ましい。
①当人の関連情報（例えば名前、電話番号、誕生日等）
から、他の者が容易に推測できる事項又は容易に得られる事項に基づかないこと。
②連続した同一文字又は数
字だけ若しくはアルファベット
だけの文字列でないこと。

・パスワードに関する情報の管理については、No.219～
220も関連する項目であることから参考にすること。

・利用者IDの取扱いについて
は、No.198～201も関連する項目であることから参考にす
ること。

留意事項

61

136

5.
5.4.
（3）
人的セ ＩＤ及 パスワード
キュリ びパス の取扱い
ティ
ワード
等の管
理

139

138

137

No.

項目

○

必須

ⅶ） パスワードの共有禁止
職員間でパスワードが共有されていない。

ⅵ） パスワード記憶機能の利用禁止
サーバ、ネットワーク機器及びパソコン等の端末にパスワードが記憶されていない。

□パスワード管理基準□パスワード管理基準

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)⑧
インタビューにより、職員間でパスワードが共有されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)⑦
インタビュー、執務室の視察により、サーバ、ネットワーク機
器及びパソコン等の端末にパスワードが記憶されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)⑥
インタビューにより、仮パスワードが最初ログイン時に変更されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。また、サンプリングにより仮パス
ワードが残っていないかを確かめる。

□パスワード管理基準ⅴ） 仮パスワードの変更
仮パスワードは、最初のログイン時に変更されている。

監査実施の例

監査資料のレビューと情報システム管理者及び職員等への 5.4.(3)⑤
インタビューにより、機密性の非常に高い複数の情報システ
ムを扱う職員等が、当該情報システム間で同一パスワードを使用していないか確かめる。必要に応じて、職員等へのア
ンケート調査を実施して確かめる。

監査資料の例ⅳ） 同一パスワードの使用禁止□パスワード管理基準
機密性の非常に高い複数の情報システムを扱う職員等のパスワードは、当該情報システ
ム間で異なるように設定されている。

監査項目

9.3.1

9.3.1

9.3.1

9.3.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

ただし共有IDのパスワードは除く。

仮パスワードの中には初期パスワードを含んでいることに留
意する。

留意事項

62

（2）
バックアッ
プの実施

140

（1）
6.1.
6.
文書サー
技術的 コンセキュ ピュー バの設定
リティ タ及び 等
ネット
ワーク
の管理

145

144

143

142

141

No.

項目

○

○

○

必須

監査資料の例ⅱ） バッ クア ッ プの実施
情報システム管理者によって、ファイルサー
バ等に記録された情報について定期的なバックアップが実施され、バックアップ媒体が適切に保管されている。

□バックアップ基準□バックアップ手順□バックアップ実施記録□リストア手順□リストアテスト記録

ⅰ） バッ クア ッ プに関わる基準及び手順 □バックアップ基準
統括情報セキュリティ責任者又は情報シス □バックアップ手順
テム管理者によって、ファイルサーバ等に記 □リストア手順
録された情報についてのバックアップに関わる基準及び手順が定められ、文書化されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.1.(2)及び管理区域あるいは執務室の視察により、ファイルサー
バ等に記録された情報について、サーバの冗長化対策に関わらず、必要に応じて定期的にバックアップが実施されているか確認かめる。また、バックアップ処理の成否の確
認、災害等による同時被災を回避するためバックアップ
データの別施設等への保管、リストアテストによる検証が行われているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(2)報システム管理者へのインタビューにより、ファイルサーバ
等に記録された情報のバックアップに関わる基準及び手順が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.1.(1)③
及びパソコン等の端末からの操作により、住民の個人情報や人事記録といった特定の職員等しか取扱えないデータについて、担当外の職員等によって閲覧及び使用できないよ
う、別途ディレクトリを作成する等のアクセス制御が行われているか確かめる。

ⅳ） 文書サーバのア クセス制御
情報システム管理者によって、特定の職員等しか取扱えないデータについて、担当外の職員等が閲覧及び使用できないような措
置が講じられている。

□文書サーバ設定基準

監査資料のレビューと情報システム管理者へのインタビュー 6.1.(1)①
により、職員等が使用できる文書サーバの容量が設定され、職員等に周知されているかか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.1.(1)②
及びパソコン等の端末からの操作により、文書サーバが課
室等の単位で構成され、職員等が他課室等のフォルダ及びファイルを閲覧及び使用できないように設定されているか確
かめる。

□文書サーバ設定基準□職員等への周知記録

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(1)報システム管理者へのインタビューにより、文書サーバに関わる設定基準が文書化され、正式に承認されているか確か
める。

監査実施の例□文書サーバ設定基準ⅲ） 文書サーバの構成
情報システム管理者によって、文書サーバが課室等の単位で構成され、職員等が他課室
等のフォルダ及びファイルを閲覧及び使用できないように設定されている。

ⅱ） 文書サーバの容量設定と職員等への周知
情報システム管理者によって、職員等が使用できる文書サーバの容量が設定され、職員等に周知されている。

□文書サーバ設定基準ⅰ） 文書サーバに関わる設定基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、文書サーバに関わる設定基準が定められ、文書化されている。

監査項目

12.3.112.3.1

9.1.1
9.4.1

9.1.1
9.4.1

－

9.1.1
9.4.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・サーバの冗長化について
は、No.22～25も関連する項目であることから参考にするこ
と。

留意事項

63

（4）
システム管
理記録及
び作業の
確認

6.
6.1.
（3）
技術的 コン
他団体とのセキュ ピュー 情報システ
リティ タ及び ムに関する
ネット 情報等のワーク 交換
の管理

項目

151

150

149

148

147

146

No.

○

必須

監査資料の例

監査実施の例

12.1.212.4.312.5.114.2.2

6.1.2
12.4.315.1.215.2.1

監査資料のレビューと情報システム管理者へのインタビュー 6.1.(4)①
により、所管する情報システムの運用において実施した作
業記録が作成され、管理されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者及び情 6.1.(4)②
報システム管理者へのインタビューにより、所管するシステ
ムの変更等の作業記録が作成され、詐取、改ざん等されな
いよう管理されているか確かめる。

ⅱ） 情報シ ステ ム運用の作業記録作成 □システム運用基準
情報システム管理者によって、所管する情報 □システム運用作業記録システムの運用において実施した作業記録が作成されている。

ⅲ） シ ステ ム変更等作業の記録作成及 □システム運用基準
び管理□システム変更等作業記録
統括情報セキュリティ責任者及び情報シス
テム管理者によって、所管するシステムの変
更等の作業記録が作成され、管理されている。

ⅳ） シ ステ ム変更等作業の確認□システム運用基準
監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(4)③
システム変更等を行う場合は、2名以上で作 □システム変更等作業記録 報システム管理者へのインタビューにより、統括情報セキュ
業し、互いにその作業が確認されている。
リティ責任者、情報システム管理者又は情報システム担当
者及び操作を認められた外部委託事業者がシステム変更等を行う場合は、2名以上で作業し、互いにその作業内容を確認しているか確かめる。

12.4.3

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(4)報システム管理者へのインタビューにより、所管する情報シ
ステムの運用及び変更等の作業内容を記録し管理することや、システム変更等の作業を確認することなどの基準が文書化され、正式に承認されているか確かめる。

6.1.2
12.1.112.1.212.4.312.5.114.2.213.2.113.2.215.1.213.2.113.2.215.1.2ⅰ） シ ステ ム管理記録及び作業の確認 □システム運用基準に関わる基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、所管する情報システムの運用及び変更等の作業記録、確認に関わる基準が定められ、文書化されている。

ⅱ） 他団体との情報シ ステ ムに関する情 □情報及びソフトウェアの交 監査資料のレビューと情報セキュリティ責任者及び情報シ 6.1.(3)
報等の交換
換基準
ステム管理者へのインタビューにより、他の団体との情報シ
他団体と情報システムに関する情報及びソ □情報及びソフトウェアの交 ステムに関する情報及びソフトウェアを交換する場合、統括
フトウェアを交換する場合、情報システム管 換に関する契約書（覚書）
情報セキュリティ責任者及び情報セキュリティ責任者の許可
理者によって統括情報セキュリティ責任者及 □他の組織との間の情報及 を得てているか確かめる。
び情報セキュリティ責任者の許可を得てい びソフトウェアの交換に関する。
る申請書ⅰ） 他団体との情報シ ステ ムに関する情 □情報及びソフトウェアの交 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(3)
報等の交換の取扱いに関わる基準
換基準
報セキュリティ責任者及び情報システム管理者へのインタ
統括情報セキュリティ責任者又は情報セキュ
ビューにより、他の団体との情報システムに関する情報及びリティ責任者及び情報システム管理者によっソフトウェアを交換する場合の取扱いに関わる基準が文書化て、他団体との情報システムに関する情報及され、正式に承認されているか確かめる。
びソフトウェアを交換する場合の取扱いに関わる基準が定められ、文書化されている。

監査項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・必要に応じて、他団体との間において契約を取り交わすことが望ましい。この契約におけるセキュリティの扱いは、関連する業務情報の重要度やリスクを低減させる管理策を盛り込むことが望ましい。

留意事項

64

（6）
ログの管理
取得等

152

6.
6.1.
（5）
技術的 コン
情報システ
セキュ ピュー ム仕様書
リティ タ及び 等の管理
ネット
ワーク
の管理

157

156

155

154

153

No.

項目

○

○

必須

監査資料の例

監査実施の例□システム運用基準□ログ□システム稼動記録□障害時のシステム出力ログⅳ） ログ等の点検、 分析□システム運用基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意のある第三者からの不正侵入、不正操作等の有無について点検又は分析を行っている。

ⅲ） ログ等の改ざん、 誤消去等の防止□システム運用基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、ログとして取得する項
目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、ログを適切に管理している。

ⅱ） ログ等の取得及び保存
統括情報セキュリティ責任者及び情報シス
テム管理者によって、各種ログ及び情報セ
キュリティの確保に必要な記録が取得され、保存されている。

ⅰ） ログ等の取得及び管理に関わる基準 □システム運用基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、ログ等の取得及び管理に関わる基準が定められ、文書化されている。

ⅱ） 情報シ ステ ム仕様書等の管理□情報システム関連文書管
統括情報セキュリティ責任者又は情報シス 理基準
テム管理者によって、情報システム仕様書等 □システム仕様書等が管理されている。
□プログラム仕様書等

6.1.(6)②

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(6)③
報システム管理者へのインタビューにより、悪意のある第三者による不正なアクセスや不正操作が行われていないか確認するために、ログ等を定期的に点検、分析を行っているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、ログ等が仕様ど
おりに取得され、詐取、改ざん、誤消去等されないように必要な措置が講じられているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(6)①
報システム管理者へのインタビューにより、各種ログ及び情報セキュリティの確保に必要な記録が取得され、一定期間保存されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(6)報システム管理者へのインタビューにより、ログ等の取得及び管理に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(5)報システム管理者へのインタビュー及び管理区域の視察により、ネットワーク構成図、情報システム仕様書等の情報シ
ステム関連文書を業務上必要でない者からの閲覧や、紛失等がないよう、施錠したキャビネットへの保管やフォルダへのアクセス制限などによって管理されているか確かめる。

ⅰ） 情報シ ステ ム仕様書等の管理基準 □情報システム関連文書管 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(5)
統括情報セキュリティ責任者又は情報シス 理基準
報システム管理者へのインタビューにより、ネットワーク構成
テム管理者によって、情報システムに関する図、情報システム仕様書等の情報システム関連文書の管理
文書の管理に関わる基準が定められ、文書に関わる基準が文書化され、正式に承認されているか確か
化されている。
める。

監査項目

12.4.212.4.212.4.112.4.112.4.2－－

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

65

（8）
ネットワー
クの接続制
御、経路制
御等

158

（7）
6.1.
6.
障害記録
技術的 コンセキュ ピュー
リティ タ及び
ネット
ワーク
の管理

○

○

162

○

必須

161

160

159

No.

項目

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(8)①
報システム管理者へのインタビューにより、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しているか確かめる。

6.1.(8)②□ネットワーク設定基準ⅱ） ファイアウォール、 ルータ等の設定
統括情報セキュリティ責任者によって、フィル □ネットワーク構成図
タリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォー
ル、ルータ等の通信ソフトウェア等が設定されている。

□ネットワーク設定基準ⅲ） ネッ トワークのアクセス制御
統括情報セキュリティ責任者によって、ネット
ワークに適切なアクセス制御が施されている。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、不正アクセスを防止するため、ネットワークに適切なアクセス制御を施しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(8)報システム管理者へのインタビューにより、ネットワークの接続制御、経路制御等に関わる基準が文書化され、正式に承認されているか確かめる。

ⅰ） ネッ トワークの接続制御、 経路制御 □ネットワーク設定基準等に関わる基準
統括情報セキュリティ責任者によって、ネット
ワークの接続制御、経路制御等に関わる基準が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(7)報システム管理者へのインタビューにより、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等の記録及び保存に関わる基準が文書化され、正式に承認されているか確かめる。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(7)報システム管理者へのインタビューにより、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題が記録され、適切に保存されているか確かめる。

□障害対応基準

監査資料の例□障害対応基準ⅱ） 障害記録の保存
統括情報セキュリティ責任者及び情報シス □障害報告書
テム管理者によって、障害記録が記録され、 □障害時のシステム出力ログ
保存されている。

ⅰ） 障害記録の記録及び保存に関わる
基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、障害記録の記録及び保存に関わる基準が定められ、文書化され
ている。

監査項目

9.1.2
13.1.113.1.213.1.113.1.2

9.1.2
13.1.112.4.112.4.212.4.112.4.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・設定の不整合とは、例えば、通信機器間で通信経路の設定や通信パケットの通過
ルールに齟齬がある等の場合
をいう。

留意事項

66

（10）
外部ネット
ワークとの
接続制限
等

163

6.
6.1.
（9）
技術的 コン
外部の者
セキュ ピュー が利用でき
リティ タ及び るシステム
ネット の分離等
ワーク
の管理

168

167

166

165

164

No.

項目

○

必須

ⅳ） 外部ネッ トワークの瑕疵による損害 □外部ネットワーク接続基準 監査資料のレビューと情報システム管理者へのインタビュー 6.1.(10)③
賠償責任の担保□外部ネットワーク接続手続 により、接続した外部ネットワークの瑕疵によりデータの漏え
接続した外部ネットワークの瑕疵による損害 □サービス契約書
い、破壊、改ざん又はシステムダウン等による業務への影響賠償責任が契約上担保されている。
が生じた場合に対処するため、当該外部ネットワークの管理責任者による損害賠償責任が契約上担保されているか確か
める。

ⅲ） 外部ネッ トワークの確認□外部ネットワーク接続基準 監査資料のレビューと情報システム管理者へのインタビュー 6.1.(10)
情報システム管理者によって、所管するネッ □外部ネットワーク接続手続 により、接続しようとする外部ネットワークのネットワーク構②
トワークと外部ネットワークを接続しようとする □外部ネットワーク調査結果 成、機器構成、セキュリティ技術等が調査され、庁内の全て場合には、接続しようとする外部ネットワークのネットワーク、情報資産に影響が生じないことが確認されが調査され、庁内ネットワークや情報資産にているか確かめる。
影響が生じないことが確認されている。

ⅱ） 外部ネッ トワーク接続の申請及び許 □外部ネットワーク接続基準 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(10)①
可□外部ネットワーク接続手続 報システム管理者へのインタビューにより、情報システム管情報システム管理者が所管するネットワーク □外部ネットワーク接続申請 理者が所管するネットワークを外部ネットワークと接続する場
を外部ネットワークと接続する場合、CISO及 書/承認書
合、CISO及び統括情報セキュリティ責任者から許可を得て
び統括情報セキュリティ責任者から許可を得いるか確かめる。
ている。

ⅰ） 外部ネッ トワークとの接続に関わる基 □外部ネットワーク接続基準 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(10)
準及び手続□外部ネットワーク接続手続 報システム管理者へのインタビューにより、所管するネット
統括情報セキュリティ責任者又は情報シス
ワークと外部ネットワークとを接続する場合の基準及び手続
テム管理者によって、所管するネットワークとが文書化され、正式に承認されているか確かめる。
外部ネットワークとの接続に関わる基準及び手続が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(9)報システム管理者へのインタビューにより、外部の者が利用できるシステムについて、不正アクセス等を防御するために他のネットワーク及び情報システムと物理的に分離する等の措置が取られているか確かめる。

ⅱ） 外部の者が利用できるシ ステ ムの分 □ネットワーク管理基準
離□通信回線敷設図
情報システム管理者によって、外部の者が利 □結線図
用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置が講じられている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(9)報システム管理者へのインタビューにより、外部の者が利用できるシステムについて、不正アクセス等を防御するために他のネットワークと切り離す等の基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 外部の者が利用できるシ ステ ムの分 □ネットワーク管理基準
離等に関わる基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、外部の者が利用できるシステムの分離等に関わる基準が定められ、文書化されている。

監査項目

15.1.2

－

9.1.2

9.1.2
13.1.315.1.2
16.1.113.1.3

9.1.2
13.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・外部ネットワークの調査とは、例えば、接続しようとする
外部ネットワークに係るネット
ワーク構成、機器構成、セキュリティ技術等を調査するこ
とをいう。

留意事項

67

（12）
特定用途
機器のセ
キュリティ
管理

（11）
複合機の
セキュリ
ティ管理

169

6.
6.1.
（10）
技術的 コン外部ネット
セキュ ピュー ワークとの
リティ タ及び 接続制限
ネット 等
ワーク
の管理

175

174

173

172

171

170

No.

項目

○

必須

監査資料の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(10)④報システム管理者へのインタビューにより、ウェブサーバ等をインターネットに公開する場合、庁内ネットワークへの侵入を防御するため、外部ネットワークとの境界にファイアウォール
等が設置されたうえで接続されているか確かめる。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(11)③報システム管理者へのインタビューにより、複合機の運用を終了する場合に複合機の電磁的記録媒体の全ての情報が抹消又は再利用できないような対策がとられているか確かめる。

ⅳ） 複合機の情報の抹消□複合機管理基準
複合機の運用を終了する場合、統括情報セ □複合機管理手続
キュリティ責任者によって、複合機の電磁的記録媒体の全ての情報が抹消又は再利用できないような対策がとられている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(12)報システム管理者へのインタビューにより、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態
等により脅威が想定される場合には、当該機器の特性に応じたセキュリティ対策が実施されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(11)②
報システム管理者へのインタビューにより、複合機の情報セキュリティインシデントに対する対策として、複合機の設定が適切に行われているか確かめる。

ⅲ） 複合機のセキュ リテ ィ設定□複合機管理基準
統括情報セキュリティ責任者によって、複合 □複合機管理手続
機の設定が適切に行われ、複合機の情報セキュリティインシデント対策が講じられている。

ⅰ） 特定用途機器のセキュ リテ ィ対策□特定用途機器管理基準
統括情報セキュリティ責任者によって、特定 □特定用途機器管理手続
用途機器の特性に応じたセキュリティ対策が実施されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(11)①報システム管理者へのインタビューにより、複合機の調達時に、複合機の機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切なセキュリティ要件が定められているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(11)報システム管理者へのインタビューにより、複合機の調達、運用に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

ⅱ） 複合機の調達要件□複合機管理基準
統括情報セキュリティ責任者によって、複合 □複合機管理手続
機の調達におけるセキュリティ要件が定められている。

ⅰ） 複合機のセキュ リテ ィに関わる基準 □複合機管理基準
及び手続□複合機管理手続
統括情報セキュリティ責任者又は情報シス
テム管理者によって、複合機の調達、運用に関わる基準及び手続が定められ、文書化されている。

ⅵ） 外部ネッ トワークの遮断□外部ネットワーク接続基準 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(10)⑤
接続した外部ネットワークのセキュリティに問 □外部ネットワーク接続手続 報システム管理者へのインタビューにより、接続した外部
題が認められる場合、情報システム管理者 □障害報告書
ネットワークのセキュリティに問題が認められ、情報資産にによって、統括情報セキュリティ責任者の判脅威が生じることが想定される場合には、統括情報セキュリ
断に従い、速やかに当該外部ネットワークがティ責任者の判断に従い、速やかに当該外部ネットワーク
物理的に遮断されている。
が物理的に遮断されているか確かめる。

ⅴ） ファイア ウォール等の設置□ネットワーク管理基準
ウェブサーバ等をインターネットに公開してい □通信回線敷設図
る場合、統括情報セキュリティ責任者又は情 □結線図
報システム管理者によって、外部ネットワークとの境界にファイアウォール等が設置されて
いる。

監査項目

11.2.111.2.415.1.311.2.711.2.111.2.415.1.315.1.311.2.111.2.415.1.316.1.113.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

68

(14)
電子メール
のセキュリ
ティ管理

176

6.
6.1.
(13)
技術的 コン
無線LAN
セキュ ピュー 及びネット
リティ タ及び ワークの盗ネット 聴対策
ワークの管理

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)②報システム管理者へのインタビューにより、大量のスパム
メール等の送受信を検知した場合にメールサーバの運用が停止されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)③報システム管理者へのインタビューにより、電子メールの送受信容量の上限が設定され、上限を超える電子メールの送受信ができないよう設定されているか確かめる。

ⅲ） メールサーバ運用の停止□電子メール管理基準
大量のスパムメール等の送受信を検知した □障害報告書
場合、統括情報セキュリティ責任者によって、メールサーバの運用が停止されている。

ⅳ） 電子メール送受信容量制限□電子メール管理基準
統括情報セキュリティ責任者によって、電子メールの送受信容量が制限されている。

181

182

180

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)①報システム管理者へのインタビューにより、権限のない者による外部から外部への電子メール転送（電子メールの中継処理）が行えないよう、電子メールサーバの設定が行われているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(13)②報システム管理者へのインタビューにより、情報の盗聴等を防ぐため、機密性の高い情報を扱うネットワークには暗号化等の措置が講じられているか確かめる。

ⅲ） 機密性の高い情報を扱うネッ トワーク □ネットワーク管理基準の暗号化等の対策□ネットワーク設計書
統括情報セキュリティ責任者によって、機密性の高い情報を扱うネットワークには暗号化等の措置が講じられている。

ⅱ） 電子メール転送制限□電子メール管理基準
統括情報セキュリティ責任者者によって、電子メールサーバによる電子メール転送ができないように設定されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(13)①報システム管理者へのインタビューにより、無線LANを利用する場合には解読が困難な暗号化及び認証技術が使用され、アクセスポイントへの不正な接続が防御されているか確かめる。

6.1.(13)ⅱ） 無線LAN利用時の暗号化及び認証 □ネットワーク管理基準
技術の使用□ネットワーク設計書
無線LANを利用する場合、統括情報セキュリ
ティ責任者又は情報システム管理者によって、暗号化及び認証技術が使用されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、無線LAN及びネットワークの盗聴対策に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 無線LAN及びネッ トワークの盗聴対 □ネットワーク管理基準策に関わる基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、無線LAN及びネット
ワークの盗聴対策に関わる基準が定められ、文書化されている。

監査項目

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)報システム管理者へのインタビューにより、メールサーバのセキュリティ対策等、電子メールのセキュリティ管理に関わる基準が文書化され、正式に承認されているか確かめる。

○

○

必須

ⅰ） 電子メールのセキュ リテ ィ管理に関 □電子メール管理基準
わる基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、電子メールのセキュリ
ティ管理に関わる基準が定められ、文書化さ
れている。

179

178

177

No.

項目

13.2.113.2.313.2.113.2.313.2.113.2.313.2.113.2.315.1.2

9.1.2
10.1.1

9.1.2
13.1.3

9.1.2
10.1.113.1.113.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

69

(15)
電子メール
の利用制
限

183

6.
6.1.
(14)
技術的 コン
電子メール
セキュ ピュー のセキュリ
リティ タ及び ティ管理
ネット
ワーク
の管理

189

188

187

186

185

184

No.

項目

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(15)報システム管理者へのインタビューにより、電子メールの利用に関わる基準が文書化され、正式に承認されているか確
かめる。

監査資料のレビューと情報システム管理者及び職員等への 6.1.(15)①
インタビューにより、不正な情報の持ち出しを防止する観点
から、自動転送機能を用いて電子メールを転送していないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報システム管理者及び職員等への 6.1.(15)②
インタビューにより、業務上必要のない送信先に電子メール
を送信していないか確かめる。必要に応じて、職員等へのア
ンケート調査を実施して確かめる。
監査資料のレビューと情報システム管理者及び職員等への 6.1.(15)③
インタビューにより、複数人に電子メールを送信する場合、BCCに送信先を入力するなど、他の送信先の電子メールア
ドレスが分からないようにしているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅱ） 電子メール転送禁止□電子メール利用基準
電子メールの自動転送機能を用いた転送は □電子メール送受信ログ行われていない。

ⅲ） 電子メールの業務外利用の禁止□電子メール利用基準
業務以外の目的で電子メールを利用してい □電子メール送受信ログない。

ⅳ） 電子メール送信先開示の禁止□電子メール利用基準
職員等が複数人に電子メールを送信する場 □電子メール送受信ログ
合、必要がある場合を除き、他の送信先の電
子メールアドレスが分からないようにして送信されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)⑥報システム管理者へのインタビューにより、職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことができないように、フィルタリングソフトウェア等の利用によって添付ファイルを監視する等、システム上において措置が講じられているか確かめる。

ⅰ） 電子メールの利用に関わる基準□電子メール利用基準
統括情報セキュリティ責任者又は情報シス
テム管理者によって、電子メールの利用に関わる基準が定められ、文書化されている。

ⅶ） 電子メールによる情報資産無断持ち □電子メール管理基準
出し禁止
統括情報セキュリティ責任者によって、職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことができないよう措置が講じられている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)⑤報システム管理者へのインタビューにより、外部委託事業者の作業員の電子メールアドレス利用について、委託先との間で利用方法が取り決められているか確かめる。

ⅵ） 外部委託事業者の電子メールア ドレ □電子メール管理基準
ス利用についての取り決め□業務委託契約書
外部委託事業者の作業員が庁内に常駐している場合、統括情報セキュリティ責任者によって、電子メールアドレス利用について、委託先との間で利用方法が取り決められている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(14)④報システム管理者へのインタビューにより、職員等が使用できる電子メールボックスの容量の上限が設定され、それを超えた場合の対応が職員等に周知されているか確かめる。

監査資料の例ⅴ） 電子メールボッ クス容量制限□電子メール管理基準
統括情報セキュリティ責任者によって、職員 □職員等への周知記録等が使用できる電子メールボックスの容量が制限されている。

監査項目

13.2.113.2.313.2.113.2.313.2.113.2.313.2.113.2.313.2.113.2.313.2.113.2.315.1.213.2.113.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・宛先メールアドレスのTOに限らず、CC、BCCにも留意しているか確認する必要があ
る。

留意事項

70

(17)
無許可ソフ
トウェアの
導入等の
禁止

(16)
電子署名・
暗号化

196

195

194

193

192

○

監査資料のレビューと情報システム管理者及び職員等への 6.1.(17)①
インタビュー、パソコンやモバイル端末の確認により、パソコ
ンやモバイル端末に許可なくソフトウェアが導入されていな
いか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

□ソフトウェア導入基準/手続ⅱ） ソフトウェア の無断導入の禁止
パソコンやモバイル端末に無断でソフトウェ
アが導入されていない。

監査資料のレビューと情報システム管理者及び職員等への 6.1.(16)②
インタビューにより、外部に送るデータを暗号化する場合、CISOが定める方法により暗号化され、暗号鍵が管理されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ） 暗号化方法及び暗号鍵管理□電子メール利用基準
外部に送るデータを暗号化する場合、CISO
が定める方法により暗号化され、暗号鍵が管理されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(17)報システム管理者へのインタビューにより、ソフトウェアの導入に関わる基準及び手続が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者及び職員等への 6.1.(16)①
インタビューにより、外部に送るデータの機密性又は完全性を確保することが必要な場合、CISOが定めた電子署名、暗号化又はパスワード設定の方法を使用して送信されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅱ） 電子署名、 暗号化又はパスワード設 □電子メール利用基準
定
外部に送るデータの機密性又は完全性を確保することが必要な場合、CISOが定めた電子署名・暗号化又はパスワード設定の方法を使用して送信されている。

ⅰ） ソフトウェア の導入に関わる基準及び □ソフトウェア導入基準/手手続
続統括情報セキュリティ責任者又は情報シス
テム管理者によって、ソフトウェアの導入に関わる基準及び手続が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(16)
報システム管理者へのインタビューにより、外部に送るデー
タの電子署名・暗号化又はパスワードに関わる基準が文書化され、正式に承認されているか確かめる。

ⅰ） 電子署名・ 暗号化等に関わる基準□電子メール利用基準
CISOによって、外部に送るデータの電子署 □電子メール送受信ログ
名・暗号化等に関わる基準が定められ、文書化されている。

191○

監査資料のレビューと情報システム管理者及び職員等への 6.1.(15)⑤
インタビューにより、外部への不正な情報の持ち出し等を防止するため、ウェブで利用できる電子メール、ネットワークス
トレージサービス等が使用されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅵ） フリーメール、 ネッ トワークストレージ □電子メール利用基準
サービス等の使用禁止
ウェブで利用できる電子メール、ネットワーク
ストレージサービス等は使用されていない。

190

監査実施の例

監査資料のレビューと情報セキュリティ管理者及び職員等 6.1.(15)④へのインタビューにより、重要な電子メールを誤送信した場
合、情報セキュリティ管理者に報告されているか確かめる。
必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例ⅴ） 電子メール誤送信の報告□電子メール利用基準
職員等が重要な電子メールを誤送信した場
合、情報セキュリティ管理者に報告されてい
る。

監査項目

6.
6.1.
(15)
技術的 コン
電子メール
セキュ ピュー の利用制
リティ タ及び 限
ネット
ワーク
の管理

必須

No.

項目

12.2.112.2.110.1.110.1.213.2.113.2.310.1.110.1.213.2.113.2.310.1.110.1.213.2.113.2.313.2.113.2.313.2.113.2.316.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

71

(19)
無許可で
のネット
ワーク接続
の禁止

202

201

200

199

○

○

○

198

(18)
機器構成
の変更の
制限

○

197

6.
6.1.
(17)
技術的 コン
無許可ソフ
セキュ ピュー トウェアの
リティ タ及び 導入等のネット 禁止
ワーク
の管理

必須

No.

項目

監査資料のレビューと情報システム管理者及び職員等への 6.1.(17)③
インタビューにより、不正にコピーされたソフトウェアが利用されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

□端末構成変更基準/手続 監査資料のレビューと情報システム管理者及び職員等への 6.1.(18)①
インタビューにより、パソコンやモバイル端末に対し許可なく機器の改造及び増設・交換が行われていないか確かめる。
必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅰ） ネッ トワーク接続の禁止□ネットワーク利用基準
統括情報セキュリティ責任者の許可なく、パ
ソコンやモバイル端末がネットワークに接続されていない。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(19)報システム管理者及び職員等へのインタビュー、執務室及び管理区域の視察により、統括情報セキュリティ責任者の許可なく、職員等や外部委託事業者がパソコンやモバイル
端末をネットワークに接続していないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ） 機器の改造及び増設・ 交換の申請及 □端末構成変更基準/手続 監査資料のレビューと情報システム管理者及び職員等への 6.1.(18)②
び許可□端末構成変更申請書/承 インタビューにより、業務上パソコンやモバイル端末に対し業務上パソコンやモバイル端末に対し機器 認書
機器の改造及び増設・交換の必要がある場合、統括情報セの改造及び増設・交換の必要がある場合、キュリティ責任者及び情報システム管理者の許可を得て行統括情報セキュリティ責任者及び情報シス
われているか確かめる。必要に応じて、職員等へのアンケー
テム管理者の許可を得て行われている。
ト調査を実施して確かめる。

ⅱ） 機器の改造及び増設・ 交換の禁止
パソコンやモバイル端末に対し機器の改造
及び増設・交換が無断で行われていない。

ⅰ） 機器構成の変更に関わる基準及び □端末構成変更基準/手続 監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(18)
手続報システム管理者へのインタビューにより、職員等がパソコ
統括情報セキュリティ責任者又は情報シス
ンやモバイル端末に対し機器の構成を変更する場合の基準
テム管理者によって、パソコンやモバイル端及び手続が文書化され、正式に承認されているか確かめ
末の機器構成の変更に関わる基準及び手続
る。
が定められ、文書化されている。

□ソフトウェア導入基準/手続ⅳ） 不正コピーソフトウェアの利用禁止
不正にコピーされたソフトウェアは利用されていない。

監査実施の例

監査資料のレビューと情報システム管理者及び職員等への 6.1.(17)②
インタビューにより、業務上必要なソフトウェアがある場合、統括情報セキュリティ責任者及び情報システム管理者の許可を得て、ソフトウェアが導入されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例ⅲ） ソフトウェア導入の申請及び許可□ソフトウェア導入基準/手業務上必要なソフトウェアがある場合、統括 続
情報セキュリティ責任者及び情報システム管 □ソフトウェア導入申請書/
理者の許可を得て、ソフトウェアが導入され 承認書
ている。

監査項目

13.1.112.1.212.1.212.1.212.2.118.1.212.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・不正コピーはライセンス違反
や著作権法違反であることを認識させる必要がある。

留意事項

72

（1）
アクセス制
御
（イ）
利用者ID
の取扱い

6.2.
（1）
アクセ アクセス制
ス制御 御
（ア）
アクセス制
御

203

6.
6.1.
(20)
技術的 コン
業務以外
セキュ ピュー の目的でリティ タ及び のウェブ閲
ネット 覧の禁止
ワーク
の管理

○

○

○

207

208

○

○

必須

206

205

204

No.

項目

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)②
報システム管理者へのインタビューにより、利用者IDの登(ア)
録、変更、抹消等の取扱に関わる手続が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)②
報システム管理者及び職員等へのインタビューにより、ネッ (ア)トワーク又は情報システムにアクセスする業務上の必要ある
いは権限変更が生じた場合、当該職員等によって、利用者
IDの登録、権限変更を申請しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)②
報システム管理者及び職員等へのインタビューにより、ネッ (イ)トワーク又は情報システムにアクセスする業務上の必要がなくなった場合、当該職員等によって、利用者IDの抹消を申請しているか確かめる。

ⅱ） 利用者IDの登録・ 権限変更の申請□利用者ID登録・変更・抹業務上においてネットワーク又は情報システ 消申請書
ムにアクセスする必要あるいは変更が生じた □利用者ID管理台帳
場合、当該職員等によって、統括情報セキュ
リティ責任者又は情報システム管理者に当該利用者IDを登録又は権限を変更するよう申請されている。

ⅲ） 利用者IDの抹消申請□利用者ID登録・変更・抹業務上においてネットワーク又は情報システ 消申請書
ムにアクセスする必要がなくなった場合、当 □利用者ID管理台帳
該職員等によって、統括情報セキュリティ責
任者又は情報システム管理者に当該利用者
IDを抹消するよう申請されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)①
報システム管理者へのインタビューにより、所管するネット
ワーク又は情報システムの重要度に応じたアクセス制御方
針や、業務上の必要性や権限に応じた許可範囲等のアクセス管理基準が文書化され、正式に承認されているか確か
める。

□利用者ID取扱手続□利用者ID登録・変更・抹消申請書□利用者ID管理台帳ⅰ） 利用者IDの取扱に関わる手続
統括情報セキュリティ責任者及び情報シス
テム管理者によって、利用者IDの登録、変更、抹消等の取扱に関わる手続が定められ、文書化されている。

ⅰ） ア クセス制御に関わる方針及び基準 □アクセス制御方針
統括情報セキュリティ責任者又は情報シス □アクセス管理基準
テム管理者によって、アクセス制御に関わる方針及び基準が定められ、文書化されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.1.(20)②
報セキュリティ管理者へのインタビューにより、職員等が明らかに業務以外の目的でウェブを閲覧していることが発見された場合、情報セキュリティ管理者に通知され、適切な措置が求められ、対応されているか確かめる。

ⅱ） 業務以外の目的でのウェブ閲覧発見 □ネットワーク利用基準
時の対応
□通知書
職員等のウェブ利用について明らかに業務以外の目的でウェブを閲覧していることが発見された場合、統括情報セキュリティ責任者
によって、情報セキュリティ管理者に通知され、適切な措置が求められている。

監査実施の例

監査資料のレビューと情報システム管理者及び職員等への 6.1.(20)①
インタビューにより、業務以外の目的でウェブが閲覧されていないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例ⅰ） 業務以外の目的でのウェブ閲覧禁止 □ネットワーク利用基準
業務以外の目的でウェブが閲覧されていな
い。

監査項目

9.2.1
9.2.2

9.2.1
9.2.2

9.2.1
9.2.2

9.1.1
9.2.1
9.2.2
9.2.3
9.2.4
9.2.5

16.1.2
16.1.79.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・単に利用者IDの抹消の手続の有無を確認するのではな
く、承認者の妥当性などを確認することが望ましい。

・単に利用者IDの登録及び変更の手続の有無を確認す
るのではなく、承認者の妥当性などを確認することが望ましい。

・ 開発、運用等を外部委託しており、重要な情報資産へのアクセスを許可している場合
は、アクセス制御方針やアクセス管理基準等に外部委託
に関するアクセス制御の事項が記述されていることが望まし
い。

留意事項

73

○

211

214

213

212

○

210

（1）
アクセス制
御
（ウ）
特権を付
与されたID
の管理等

○

○

209

6.
6.2.
（1）
技術的 アクセ アクセス制
セキュ ス制御 御
リティ
（イ）
利用者ID
の取扱い

必須

No.

項目

監査資料の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、管理者権限等の特権を付与されたIDの取扱に関わる手続が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、必要以上に特権 (ア)IDを付与していないか、当該ID及びパスワードが厳重に管理されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、統括情報セキュ (イ)リティ責任者及び情報システム管理者の特権を代行する者が指名され、CISOに承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、CISOによって、 (ウ)統括情報セキュリティ責任者及び情報システム管理者の特権代行者が関係者（統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者及び情報システ
ム管理者）に通知されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、外部委託事業者 (エ)に特権ID及びパスワードの変更を行わせていないか確かめる。

ⅱ） 特権ID及びパスワードの管理□特権ID取扱手続
統括情報セキュリティ責任者及び情報シス □特権ID管理台帳
テム管理者によって、特権IDを付与する者が必要最小限に制限され、当該ID及びパスワードが厳重に管理されている。

ⅲ） 特権代行者の指名□特権代行者承認書
統括情報セキュリティ責任者及び情報シス
テム管理者によって、統括情報セキュリティ
責任者及び情報システム管理者の特権を代行する者が指名され、CISOに承認されている。

ⅳ） 特権代行者の通知□特権代行者通知書
CISOによって、統括情報セキュリティ責任者
及び情報システム管理者の特権代行者が速やかに関係者（統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリ
ティ管理者及び情報システム管理者）に通知されている。

ⅴ） 特権IDの外部委託事業者による管理 □特権ID取扱手続の禁止
統括情報セキュリティ責任者及び情報シス
テム管理者によって、特権を付与されたID及びパスワードの変更を外部委託事業者には行わせていない。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)②
報システム管理者へのインタビューにより、人事管理部門と (ウ)連携し、利用者IDを定期的に棚卸して、必要のない利用者
IDが登録されてないか、過剰なアクセス権限を付与していないかなどを定期的に点検しているか確かめる。

監査実施の例ⅰ） 特権IDの取扱に関わる手続□特権ID取扱手続
統括情報セキュリティ責任者及び情報シス □特権ID認可申請書
テム管理者によって、管理者権限等の特権 □特権ID管理台帳を付与されたIDの取扱に関わる手続が定められ、文書化されている。

ⅳ） 利用者IDの点検□利用者ID棚卸記録
統括情報セキュリティ責任者及び情報シス □利用者ID管理台帳
テム管理者によって、利用されていないIDが放置されてないか点検されている。

監査項目

9.2.2
9.2.3

9.2.2
9.2.3

9.2.2
9.2.3

9.2.2
9.2.3

9.2.2
9.2.3

9.2.5

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

74

（2）
職員等によ
る外部から
のアクセス
等の制限

215

（1）
6.2.
6.
技術的 アクセ アクセス制
セキュ ス制御 御
（ウ）
リティ
特権を付
与されたID
の管理等

221

220

219

218

217

216

No.

項目

○

○

○

必須

監査資料の例

監査実施の例□特権ID取扱手続

監査資料のレビューと統括情報セキュリティ責任者へのイン 6.2.(2)③
タビューにより、外部からのアクセスを認める場合、本人確認機能が設けられているか確かめる。

ⅳ） 外部からのア クセス時の本人確認機 □ネットワーク設計書□システム設計書
能外部からのアクセスを認める場合、統括情報
セキュリティ責任者によって、外部からのアクセス時の本人確認機能が設けられている。

監査資料のレビューと統括情報セキュリティ責任者へのイン 6.2.(2)④
タビューにより、外部からのアクセスを認める場合、通信途上の盗聴等による情報漏えいを防御するために通信データの暗号化等が行われているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者へのイン 6.2.(2)②
タビューにより、外部からのアクセスを許可された者が必要最小限に限定されているか確かめる。

□リモート接続許可申請書ⅲ） 外部からのア クセス可能者の制限
統括情報セキュリティ責任者によって、外部 ／許可書からのアクセスを許可された者が必要最小限に限定されている。

□ネットワーク設計書ⅴ） 外部からのア クセス時の暗号化等
外部からのアクセスを認める場合、統括情報 □システム設計書
セキュリティ責任者によって、通信データの暗号化等が行われている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(2)①
報システム管理者へのインタビューにより、職員等が外部から庁内ネットワークに接続する必要のある場合、統括情報セキュリティ責任者及び当該情報システムを管理する情報シ
ステム管理者の許可を得ているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者へのイン 6.2.(2)タビューにより、外部からのアクセスに関わる方針及び手続が文書され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③
報システム管理者へのインタビューにより、特権IDを利用す (カ)る際は、IDを初期値以外のものに変更しているか確かめる。

ⅱ） 外部からのア クセスの申請及び許可 □リモート接続許可申請書
外部から庁内ネットワークに接続する必要の ／許可書ある場合、当該職員等によって、統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得ている。

ⅰ） 外部からのア クセスに関わる方針及 □リモートアクセス方針□リモート接続手続
び手続
統括情報セキュリティ責任者によって、外部から内部のネットワーク又は情報システムにアクセスする場合の方針及び手続が定められ、文書化されている。

ⅶ） 特権IDのID変更
統括情報セキュリティ責任者及び情報シス
テム管理者によって、特権IDは初期値以外のものに変更されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(1)③ⅵ） 特権ID及びパスワードのセキュ リテ ィ □ネットワーク設計書
報システム管理者へのインタビューにより、特権ID及びパス (オ)□システム設計書
機能強化
ワードについて、利用者IDのパスワードよりも頻繁かつ定期
統括情報セキュリティ責任者及び情報シス □特権ID取扱手続
テム管理者によって、特権IDのパスワード変 □特権ID・パスワード変更記 的に変更する機能や、入力回数を制限する機能が組み込まれているか確かめる。
更や入力回数制限等のセキュリティ機能が 録強化されている。

監査項目

10.1.1

9.1.2

9.1.2

9.1.2

6.2.1
9.1.2
10.1.1

9.2.2
9.2.3

9.2.2
9.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・外部からのアクセスを認める場合であっても、外部から庁内ネットワークに接続する必要性などを確認することが望
ましい。

留意事項

75

（4）
ログイン時
の表示等

（3）
自動識別
の設定

226

225

○

○

223

224

○

222

6.
6.2.
（2）
技術的 アクセ 職員等によセキュ ス制御 る外部から
リティ
のアクセス
等の制限

必須

No.

項目

監査資料の例ⅰ） ログイン時のシステ ム設定□システム設計書
情報システム管理者によって、正当なアクセ □ログイン画面
ス権をもつ職員等がログインしたことを確認できる機能が設定されている。

ⅰ） 自動識別の設定□ネットワーク設計書
統括情報セキュリティ責任者及び情報シス □接続許可端末一覧
テム管理者によって、外部からのネットワーク
への接続を許可する機器を自動的に識別するよう設定されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.2.(4)により、ログイン時におけるメッセージ及びログイン試行回数の制限、アクセスタイムアウトの設定、ログイン・ログアウト時
刻の表示等、ログイン時のシステム設定があるか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(3)報システム管理者へのインタビューにより、機器を自動識別するよう設定（例えば、電子証明書やIPアドレス、MACアドレスによる識別情報の取得等）されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(2)⑦報システム管理者及び職員等へのインタビューにより、公衆通信回線等の庁外通信回線を庁内ネットワークに接続する
場合には、統括情報セキュリティ責任者の許可を得ること
や、アクセス範囲を必要最小限とし、アクセスログを取得していること等の情報セキュリティ対策を講じ、情報セキュリティが確保されていることを管理しているか確かめる。

ⅷ） 公衆通信回線の接続□端末接続時手続
統括情報セキュリティ責任者及び情報シス
テム管理者によって、公衆通信回線等の庁外通信回線を庁内ネットワークに接続する場
合の情報セキュリティ確保のために必要な措置が管理されている。

6.2.(2)⑤

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(2)⑥報システム管理者及び職員等へのインタビューにより、外部から持ち込んだ端末を庁内ネットワークに接続する場合、接続前に当該端末がコンピュータウイルスに感染していないことや、セキュリティホールや不正プログラムに対する適切なパッチが適用されていることが確認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、外部からのアクセスに利用するパソコン等の端末を職員等に貸与する場
合、セキュリティ確保の措置が講じられているか確かめる。

監査実施の例ⅶ） 外部から持ち込んだ端末のウイルス □端末接続時手続
確認等
外部から持ち込んだ端末を庁内ネットワークに接続する場合、当該職員等によって、接続
前にコンピュータウイルスに感染していないことや、パッチの適用状況等が確認されている。

ⅵ） 外部からのアクセス用端末のセキュ □リモート接続手続
リテ ィ確保
外部からのアクセスに利用するパソコン等の端末を職員等に貸与する場合、統括情報セキュリティ責任者及び情報システム管理者によって、セキュリティ確保の措置が講じられて
いる。

監査項目

9.4.2

13.1.113.1.114.1.1

6.2.1

6.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ログイン手順では、許可されていない利用者に助けとなるようなメッセージ（例えば、IDは職員番号であることを表示する等）を表示していないかを確認することが望ましい。

留意事項

76

6.3.
（1）
システ 情報システ
ム開
ムの調達
発、導
入、保
守等

（6）
特権による
接続時間
の制限

227

6.
6.2.
（5）
技術的 アクセ 認証情報
セキュ ス制御 の管理
リティ

233

232

231

230

229

228

No.

項目

○

○

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(1)①
報システム管理者へのインタビューにより、情報システム開発、導入、保守等の調達にあたり、アクセス制御機能やパス
ワード設定機能、ログ取得機能、データ暗号化等、必要とする技術的なセキュリティ機能が調達仕様書に明記されているか確かめる。

ⅱ） セキュ リテ ィ機能の明記□調達仕様書情報システムを調達する場合、統括情報セキュリティ責任者及び情報システム管理者によって、必要とする技術的なセキュリティ機能が調達仕様書に明記されている。

ⅲ） セキュ リテ ィ機能の調査□調達仕様書
監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(1)②
機器及びソフトウェアを調達する場合、統括 □セキュリティ機能調査結果 報システム管理者へのインタビューにより、機器及びソフト
情報セキュリティ責任者及び情報システム管ウェアの調達にあたり、セキュリティ機能が調査され、安全性理者によって、セキュリティ機能が調査され、が確認されているか確かめる。
安全性が確認されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(1)報システム管理者へのインタビューにより、情報システムの開発、導入、保守等の調達における情報セキュリティに関わる基準が文書化され、正式に承認されているか確かめる。

ⅰ） 情報シ ステ ムの調達における情報セ □情報システム調達基準
キュ リテ ィに関わる基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、情報システムの調達における情報セキュリティに関わる基準が定められ、文書化されている。

ⅰ） 特権による接続時間の制限□アクセス制御方針
情報システム管理者によって、特権による□アクセス管理基準
ネットワーク及び情報システムへの接続時間 □ネットワーク設計書が必要最小限に制限されている。
□システム設計書

監査資料のレビューと情報システム管理者へのインタビュー 6.2.(6)により、特権によるネットワーク及び情報システムへの接続時間が必要最小限に制限されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(5)③
報システム管理者及び職員等へのインタビューにより、認証情報の不正利用を防止するための対策が行われているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ）認証情報の不正利用防止
統括情報セキュリティ責任者又は情報シス
テム管理者によって、職員等の認証情報の不正利用を防止するための対策が定められ、文書化されている。

□アクセス制御方針□アクセス管理基準□利用者ID取扱手続

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(5)②
報システム管理者及び職員等へのインタビューにより、仮パ
スワードが速やかに変更されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅱ） 仮パスワードの変更□アクセス制御方針
統括情報セキュリティ責任者又は情報シス □アクセス管理基準
テム管理者によって発行された仮パスワード □利用者ID取扱手続
は、職員等によって、初回ログイン後直ちに変更されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.2.(5)①
報システム管理者へのインタビューにより、職員等のパス
ワードの暗号化やオペレーティングシステム等のセキュリ
ティ強化機能等で認証情報ファイルが厳重に管理されているか確かめる。

監査資料の例ⅰ） 認証情報ファイルの管理□アクセス制御方針
統括情報セキュリティ責任者又は情報シス □アクセス管理基準
テム管理者によって、職員等の認証情報ファイルが厳重に管理されている。

監査項目

14.1.114.2.714.1.114.2.714.1.114.2.7

9.4.2

9.2.5

9.2.4

9.4.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・外部ネットワークとの接続制限については、No.157～162
も関連する項目であることから参考にすること。

・職員等によるパスワードの取扱いについては、No.124～
131も関連する項目であることから参考にすること。

留意事項

77

6.
6.3.
（2）
技術的 システ 情報システ
セキュ ム開ムの開発
リティ 発、導
入、保
守等

項目

239

238

237

236

235

234

No.

○

○

必須

ⅵ） 許可されていないソフトウェアの削除 □システム開発・保守計画
利用が認められていないソフトウェアが導入されている場合、情報システム管理者によって、当該ソフトウェアがシステムから削除されている。

ⅴ） システ ム開発に用いるハードウェア □システム開発・保守計画
及びソフトウェアの特定情報システム管理者によって、システム開発の責任者及び作業者が使用するハードウェ
ア及びソフトウェアが特定されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(2)③
により、利用が認められていないソフトウェアが導入されてい (イ)る場合、当該ソフトウェアをシステムから削除しているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(2)③
により、システム開発の責任者及び作業者が使用するハー (ア)ドウェア及びソフトウェアが特定されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(2)②
により、システム開発の責任者及び作業者のアクセス権限 (イ)が設定されているか確かめる。

□開発用ID登録・削除手続 監査資料のレビューと情報システム管理者へのインタビュー 6.3.(2)②□開発用ID登録・削除申請 により、システム開発の責任者及び作業者が使用する開発 (ア)書用IDが管理され、開発完了後は削除されているか確かめ□開発用ID管理台帳
る。

ⅳ） システ ム開発の責任者及び作業者 □アクセス権限設定書のアクセス権限設定□開発用ID管理台帳
情報システム管理者によって、システム開発の責任者及び作業者のアクセス権限が設定されている。

ⅲ） システ ム開発用IDの管理
情報システム管理者によって、システム開発の責任者及び作業者が使用する開発用IDが管理されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(2)①
により、システム開発の責任者及び作業者が特定されているか確かめる。
あわせて、システム開発の規則が定められているか確かめる。

ⅱ） システ ム開発における責任者及び作 □システム開発体制図
業者の特定□システム開発規則
情報システム管理者によって、システム開発の責任者及び作業者が特定され、システム開発の規則が確立されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(2)報システム管理者へのインタビューにより、情報システムの開発に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） システ ム開発に関わる基準□システム開発基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、情報システムの開発に関わる基準が定められ、文書化されている。

監査項目

12.5.1

12.5.1

9.1.1
9.2.1
9.2.2
9.2.3
9.4.5

9.1.1
9.2.1
9.2.2
9.2.3
9.2.6

14.1.114.2.514.2.714.1.114.2.514.2.7

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

78

6.
6.3.
技術的 システ
セキュ ム開リティ 発、導
入、保
守等

項目

（3）
情報システ
ムの導入
（ア）
開発環境と
運用環境
の分離及
び移行手
順の明確
化

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)①
により、システム開発・保守及びテスト環境からシステム運 (イ)
用環境への移行について、システム開発・保守計画策定時に手順が明確にされているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)①
により、システム移行の際、情報システムに記録されている (ウ)
情報資産の保存を確実に行い、情報システムの停止等の影
響が最小限になるよう、移行前に検討されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)①
により、システム導入の際、障害によるシステム停止や広域 (エ)災害時に備え、システムの冗長性や可用性が確保されていることを確認した上で、システム導入を行っているか確かめる。

ⅲ） 移行手順の明確化□システム開発・保守計画
情報システム管理者によって、システム開□移行手順書
発・保守及びテスト環境からシステム運用環境への移行について、システム開発・保守計
画策定時に手順が明確にされている。

ⅳ） 移行に伴う情報システ ム停止等の影 □システム開発・保守計画
響の最小化□移行手順書システム移行の際、情報システム管理者によって、情報システムへの影響が最小限になるよう措置が移行前に検討されている。

ⅴ） 情報システ ム導入時の可用性確認 □情報システム導入基準
システム導入の際、システムやサービスの可 □移行手順書
用性が確保されていることを確認した上で、導入がされている。

241

244

243

242

監査資料のレビューと情報システム管理者へのインタ
6.3.(3)①
ビュー、管理区域の視察により、システム開発、保守及びテ (ア)スト環境とシステム運用環境が分離されているか確かめる。

監査実施の例ⅱ） 開発環境と運用環境の分離□情報システム導入基準
情報システム管理者によって、システム開発、保守及びテスト環境とシステム運用環境が分離されている。

監査資料の例240

監査項目

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(3)報システム管理者へのインタビューにより、情報システムの導入に関わる基準が文書化され、正式に承認されているか
確かめる。

必須

ⅰ） 情報システ ムの導入に関わる基準□情報システム導入基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、情報システムの導入に関わる基準が定められ、文書化されている。

No.

14.2.515.1.215.1.317.2.114.2.814.2.914.2.814.2.912.1.412.1.414.2.814.2.9

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

79

6.
6.3.
技術的 システ
セキュ ム開リティ 発、導
入、保
守等

項目

（4）
システム開
発・保守に
関連する
資料等の
整備・保管

（3）
情報システ
ムの導入
（イ）
テスト

○

○

250

251

249

ⅲ） テ スト結果の保管□システム開発基準
情報システム管理者によって、テスト結果が □システムテスト計画書／
一定期間保管されている。
報告書

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(4)②
又は管理区域及び執務室の視察、ファイルサーバ等の確認により、テスト結果が一定期間保管されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(4)①
又は管理区域及び執務室の視察、ファイルサーバ等の確認により、システム開発・保守に関連する資料及びシステム
関連文書が紛失したり改ざん等されないように保管されているか確かめる。

ⅱ） 資料等の保管
情報システム管理者によって、システム開発・保守に関連する資料及びシステム関連文書が適切に保管されている。

□システム開発基準□システム仕様書等□プログラム仕様書等

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(4)報システム管理者へのインタビューにより、システム開発・保守に関連する資料等の整備・保管に関わる基準が文書化され、正式に承認されているか確かめる。

ⅰ） シ ステ ム開発・ 保守に関連する資料 □システム開発・保守に関等の整備・ 保管に関わる基準
連する資料等の保管基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、システム開発・保守に関連する資料等の整備・保管に関わる基準が定められ、文書化されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)②
により、他組織で開発された情報システムを受け入れる場 (エ)合、開発した組織と導入する組織が、それぞれ独立したテストを実施しているか確かめる。

ⅳ） 独立した受け入れテ スト□システムテスト計画書／
受け入れテストを行う場合、開発した組織と 報告書導入する組織が、それぞれ独立したテストを
実施する。

247

248

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)②
により、個人情報及び機密性の高い生データを、テストデー (ウ)タとして使用していないか確かめる。

ⅲ） 個人情報及び機密性の高い生データ □システムテスト計画書／
の使用禁止
報告書
個人情報及び機密性の高い生データは、テ □ユーザテスト計画書／報
ストデータとして使用されていない。
告書

246

○

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)②
により、運用テストを実施する場合、あらかじめ擬似環境によ (イ)る操作確認が行われているか確かめる。

監査実施の例□システムテスト計画書／
報告書□ユーザテスト計画書／報
告書○

監査資料の例ⅱ） 擬似環境での操作確認
運用テストを行う場合、情報システム管理者
によって、あらかじめ擬似環境による操作確認が行われている。

245

監査項目

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(3)②
により、新たに情報システムを導入する場合、既に稼動して (ア)いる情報システムに接続する前に十分な試験が行われているか確かめる。

必須ⅰ） 導入前のテ スト実施
□システムテスト計画書／
新たに情報システムを導入する場合、情報 報告書
システム管理者によって、既に稼動している
情報システムに接続する前に十分な試験が行われている。

No.

－

－

－

14.2.914.3.114.2.914.3.114.2.914.2.9

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

80

6.
6.3.
技術的 システ
セキュ ム開リティ 発、導
入、保
守等

項目

（7）
開発・保守
用のソフト
ウェアの更
新等

（6）
情報システ
ムの変更
管理

（5）
情報システ
ムにおける
入出力
データの正
確性の確
保

（4）
システム開
発・保守に
関連する
資料等の
保管

258

257

256

ⅰ） 開発・ 保守用ソフトウェア の更新等
□システム開発基準
情報システム管理者によって、開発・保守用 □ソフトウェア管理台帳のソフトウェア等を更新、又はパッチの適用をする場合、他の情報システムとの整合性が確認されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(7)により、運用環境のシステム保守状況を踏まえて、開発・保守用のソフトウェア等を更新、又はパッチの適用をする場
合、他の情報システムとの整合性が確認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(6)により、情報システムを変更した場合、システム仕様書やプ
ログラム仕様書等の変更履歴が作成されているか確かめる。

ⅱ） 変更履歴の作成□システム開発基準
情報システム管理者によって、情報システム □システム仕様書等を変更した場合、プログラム仕様書等の変更 □プログラム仕様書等
履歴が作成されている。

255

監査資料のレビューと統括情報セキュリティ責任者又は情 6.3.(6)報システム管理者へのインタビューにより、情報システムを変更した場合の変更管理に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(5)③
により、データの出力処理時に情報の処理が正しく反映され、出力されるように情報システムが設計されているか確か
める。

ⅲ） データの出力処理時の正確性の確 □システム仕様書等
保□プログラム仕様書等
情報システム管理者によって、データが出力処理される際に情報の処理が正しく反映され、出力されるように情報システムが設計さ
れている。

254

ⅰ） シ ステ ムの変更管理に関わる基準□システム変更管理基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、情報システムを変更した場合の変更管理に関わる基準が定められ、文書化されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(5)②
により、データの内部処理時に起こるおそれのあるデータ抽
出条件の誤りやデータベース更新処理時の計算式のミスなど、故意又は過失による情報の改ざん又は漏えいを検出するチェック機能を組み込んだ情報システムが設計されているか確かめる。

□システム仕様書等□プログラム仕様書等ⅱ） データの内部処理時の正確性の確保情報システム管理者によって、故意又は過失による情報の改ざん又は漏えいを検出するチェック機能が組み込まれるように情報シ
ステムが設計されている。

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(4)③
又は管理区域及び執務室の視察、サーバ等の確認により、情報システムに係るソースコードが誤消去や改ざん等されないような方法で保管されているか確かめる。

監査実施の例

253○

監査資料の例ⅳ） ソースコードの保管□システム開発基準
情報システム管理者によって、情報システム □ソースコードに係るソースコードが適切に保管されてい
る。

監査項目

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(5)①
により、データの入力処理時における範囲、妥当性のチェック機能及びデータの不正な文字列等の入力を除去する機能が組み込まれた設計となっているか確かめる。

○

必須ⅰ） データの入力処理時の正確性の確 □システム仕様書等
保□プログラム仕様書等
情報システム管理者によって、データ入力時のチェック機能が組み込まれるように情報シ
ステムが設計されている。

252

No.

12.1.212.6.114.2.214.2.414.2.912.1.214.2.212.1.214.2.2

－

－

－

9.4.5

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

81

6.4.
不正プ
ログラ
ム対策

6.3.
6.
技術的 システ
セキュ ム開リティ 発、導
入、保
守等

項目

（1）
統括情報
セキュリ
ティ責任者
の措置事
項

（8）
システム更
新又は統
合時の検
証等

264

263

262

261

260

259

No.

○

必須

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.
報セキュリティ責任者へのインタビューにより、不正プログラ
ム対策に関わる基準及び手順が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)①
報セキュリティ責任者へのインタビューにより、不正プログラムのシステムへの侵入を防止するために、外部ネットワーク
から受信したファイルがインターネットのゲートウェイで、不正プログラムが含まれていないかどうかチェックされているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)②
報セキュリティ責任者へのインタビューにより、不正プログラ
ムの外部への拡散を防止するために、インターネットゲート
ウェイで、外部ネットワークへ送信するファイルに不正プログ
ラムが含まれていないかどうかチェックされているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)③
報セキュリティ責任者へのインタビューにより、コンピュータウ
イルス等の不正プログラム情報が収集され、必要に応じ職員等に注意喚起されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)④
報セキュリティ責任者へのインタビュー、サーバ及びパソコン等の確認により、所掌するサーバ及びパソコン等の端末に、不正プログラム対策ソフトウェアを常駐させているか確か
める。

ⅰ） 不正プログラム対策に関わる基準及 □不正プログラム対策基準□不正プログラム対策手順
び手順
統括情報セキュリティ責任者及び情報セキュ
リティ責任者によって、不正プログラム対策に関わる基準及び手順が定められ、文書化されている。

ⅰ） 外部ネッ トワークから受信したファイ □不正プログラム対策基準□不正プログラム対策手順
ルのチェッ ク
統括情報セキュリティ責任者によって、イン □不正プログラム対策ソフト
ターネットのゲートウェイで外部ネットワーク ウェアのログから受信したファイルに不正プログラムが含まれていないかどうかチェックされている。

□不正プログラム対策基準□不正プログラム対策手順□不正プログラム対策ソフト
ウェアのログ□不正プログラム対策基準□不正プログラム対策手順□職員等への周知記録

ⅱ） 外部ネッ トワークへ送信するファイルのチェッ ク
統括情報セキュリティ責任者によって、インターネットのゲートウェイで外部ネットワーク
へ送信するファイルに不正プログラムが含まれていないかチェックされている。

ⅲ） 職員等への注意喚起
統括情報セキュリティ責任者によって、コン
ピュータウイルス等の不正プログラム情報が収集され、必要に応じ職員等に注意喚起されている。

ⅳ） 不正プログラム対策ソフトウェア の常 □不正プログラム対策基準□不正プログラム対策手順
駐統括情報セキュリティ責任者によって、所掌するサーバ及びパソコン等の端末に、不正プログラム対策ソフトウェアを常駐させている。

監査実施の例

監査資料のレビューと情報システム管理者へのインタビュー 6.3.(8)により、システム更新・統合に伴うリスクの事前検証を実施
し、リスクに応じたシステム更新・統合手順及び異常事態発生時の復旧手順が策定されているか確かめる。

監査資料の例ⅰ） シ ステ ム更新又は統合時の検証等 □統合時影響検討書
情報システム管理者によって、システム更新 □システム統合手順
又は統合時に伴うリスク管理体制の構築、移 □異常時復旧手順
行基準の明確化及び更新・統合後の業務運
営体制の検証が行われている。

監査項目

12.2.112.2.112.2.112.2.112.2.113.1.114.2.9

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

82

271

270

269

○

○

267

268

○

266

（2）
情報システ
ム管理者
の措置事
項

○

265

6.
6.4.
（1）
技術的 不正プ 統括情報
セキュ ログラ セキュリ
リティ ム対策 ティ責任者
の措置事
項

必須

No.

項目

監査資料のレビューと情報システム管理者へのインタ
6.4.(2)②
ビュー、サーバ及びパソコン等の確認により、不正プログラ
ム対策ソフトウェアのパターンファイルが最新のパターンファ
イルに更新されているか確かめる。
監査資料のレビューと情報システム管理者へのインタ
6.4.(2)③
ビュー、サーバ及びパソコン等の確認により、サーバ及びパソコン等の確認により、導入された不正プログラム対策ソフト
ウェアが最新のバージョンに更新されているか確かめる。

監査資料のレビューと情報システム管理者へのインタビュー 6.4.(2)④により、インターネットに接続していないシステムにおいて電磁的記録媒体を使う場合、管理外電磁的記録媒体の使用禁止、不正プログラム対策ソフトウェア導入、ソフトウェア及びパターンファイルの定期的な更新等、不正プログラム対策が実施されているか確かめる。

ⅱ） パターンファイルの更新□不正プログラム対策基準
情報セキュリティ管理者によって、不正プログ □不正プログラム対策手順
ラム対策ソフトウェアのパターンファイルが最 □不正プログラム対策ソフト
新のパターンファイルに更新されている。
ウェアのログⅲ） 不正プログラム対策ソフトウェア の更 □不正プログラム対策基準
新□不正プログラム対策手順
情報セキュリティ管理者によって、不正プログ □不正プログラム対策ソフト
ラム対策ソフトウェアが最新のバージョンに更 ウェアのログ
新されている。

ⅳ） インターネッ ト接続していないシ ステ
ムにおける不正プログラム対策
インターネットに接続していないシステムにおいて電磁的記録媒体を使う場合、情報セ
キュリティ管理者によって、不正プログラム対策が実施されている。

□不正プログラム対策基準□不正プログラム対策手順□不正プログラム対策ソフト
ウェアのログ

監査資料のレビューと情報システム管理者へのインタ
6.4.(2)①
ビュー、サーバ及びパソコン等の確認により、所掌するサーバ及びパソコン等の端末に、不正プログラム対策ソフトウェ
アを常駐させているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)⑦
報セキュリティ責任者へのインタビュー、サーバ及びパソコン等の確認により、業務で利用するソフトウェアは開発元のサポートが継続しているソフトウェアであるか確かめる。

ⅶ） サポート終了ソフトウェア の使用禁止 □不正プログラム対策基準
統括情報セキュリティ責任者によって、開発 □不正プログラム対策手順
元のサポートが終了したソフトウェアの利用は禁止され、ソフトウェアの切り替えが行われている。

ⅰ） 不正プログラム対策ソフトウェア の常 □不正プログラム対策基準
駐□不正プログラム対策手順
情報セキュリティ管理者によって、所掌するサーバ及びパソコン等の端末に、不正プログ
ラム対策ソフトウェアを常駐させている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)⑥
報セキュリティ責任者へのインタビュー、サーバ及びパソコン等の確認により、導入された不正プログラム対策ソフトウェ
アが最新のバージョンに更新されているか確かめる。

ⅵ） 不正プログラム対策ソフトウェア の更 □不正プログラム対策基準
新□不正プログラム対策手順
統括情報セキュリティ責任者によって、不正 □不正プログラム対策ソフト
プログラム対策ソフトウェアが最新のバージョ ウェアのログ
ンに更新されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.4.(1)⑤
報セキュリティ責任者へのインタビュー、サーバ及びパソコン等の確認により、不正プログラム対策ソフトウェアのパター
ンファイルが最新のパターンファイルに更新されているか確
かめる。

監査資料の例ⅴ） パターンファイルの更新□不正プログラム対策基準
統括情報セキュリティ責任者によって、不正 □不正プログラム対策手順
プログラム対策ソフトウェアのパターンファイ □不正プログラム対策ソフト
ルが最新のパターンファイルに更新されてい ウェアのログ
る。

監査項目

12.2.112.2.1
12.6.114.2.212.2.1
12.6.112.2.1－12.2.1
12.6.114.2.212.2.1
12.6.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

83

276

○

○

274

275

○

272

6.
6.4.
（3）
技術的 不正プ 職員等のセキュ ログラ 遵守事項
リティ ム対策

必須

273

No.

項目

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)④へのインタビューにより、職員等の使用する端末に対して、
不正プログラム対策ソフトウェアによるフルチェックが定期的に実施されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)⑤へのインタビューにより、添付ファイルが付いた電子メールを送受信する場合、不正プログラム対策ソフトウェアによるチェック及び無害化処理が行われているか確かめる。

ⅴ） ファイル送受信時のチェッ ク□不正プログラム対策基準
添付ファイルが付いた電子メールを送受信す □不正プログラム対策手順
る場合、職員等によって、不正プログラム対 □不正プログラム対策ソフト
策ソフトウェアによるチェック及び無害化処理 ウェアのログが行われている。

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)③へのインタビューにより、職員等が差出人不明又は不自然に添付されたファイルを受信した場合、速やかに削除されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅲ） 出所不明なファイルの削除□電子メール利用基準
差出人不明又は不自然に添付されたファイ □不正プログラム対策基準
ルを受信した場合、職員等によって、速やか □不正プログラム対策手順に削除されている。

ⅳ） 不正プログラム対策ソフトウェアによ □不正プログラム対策基準
るフルチェッ クの定期的実施□不正プログラム対策手順
職員等の使用する端末に対して、職員等に □不正プログラム対策ソフト
よって、不正プログラム対策ソフトウェアによる ウェアのログ
フルチェックが定期的に実施されている。

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)②へのインタビューにより、職員等が外部からデータ又はソフトウェアを取り入れる場合、不正プログラム対策ソフトウェアによるチェックが行われているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

ⅱ） データ等取り入れ時のチェッ ク□不正プログラム対策基準
外部からデータ又はソフトウェアを取り入れる □不正プログラム対策手順
場合、職員等によって、不正プログラム対策 □不正プログラム対策ソフト
ソフトウェアによるチェックが行われている。 ウェアのログ

監査実施の例

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)①へのインタビューにより、職員等がパソコン、モバイル端末に導入されている不正プログラム対策ソフトウェアの設定を変更していないか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例□不正プログラム対策基準□不正プログラム対策手順□不正プログラム対策ソフト
ウェアのログⅰ） 不正プログラム対策ソフトウェアの設定変更の禁止パソコン、モバイル端末に不正プログラム対策ソフトウェアが導入されている場合、職員等によって、不正プログラム対策ソフトウェアの設定が変更されていない。

監査項目

12.2.113.2.112.2.112.2.113.2.112.2.113.2.112.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

無害化に関しては№24にて
記載

留意事項

84

（4）
専門家の
支援体制

277

6.
6.4.
（3）
技術的 不正プ 職員等のセキュ ログラ 遵守事項
リティ ム対策

279

278

No.

項目

○

必須

ⅰ） 専門家による支援体制の確保□不正プログラム対策基準
実施している不正プログラム対策では不十分 □不正プログラム対策手順な事態が発生した場合に備えて、統括情報 □業務委託契約書
セキュリティ責任者によって、外部の専門家の支援が受けられるようになっている。

監査資料のレビューと統括情報セキュリティ責任者、情報セ 6.4.(4)キュリティ責任者又は情報システム管理者へのインタビュー
により、実施している不正プログラム対策では不十分な事態が発生した場合に備えて、外部の専門家の支援が受けられるようになっているか確かめる。

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)⑦へのインタビューにより、不正プログラムに感染した場合又は感染が疑われる場合、パソコン等の端末であれば、LAN
ケーブルが即時取外されているか確かめる。モバイル端末
であれば通信機能を停止する設定に変更しているか確認する。必要に応じて、職員等へのアンケート調査を実施して確かめる。

□不正プログラム対策基準□不正プログラム対策手順□情報セキュリティインシデ
ント報告書ⅶ） 不正プログラムに感染した場合の対処
不正プログラムに感染した場合又は感染が疑われる場合、職員等によって、パソコン等の端末のLANケーブルが即時取外されている。モバイル端末の通信機能を停止する設定に変更している。

監査実施の例

監査資料のレビューと情報セキュリティ管理者及び職員等 6.4.(3)⑥へのインタビューにより、統括情報セキュリティ責任者から提供されるウイルス情報が常に確認されているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

監査資料の例ⅵ） ウイルス情報の確認□不正プログラム対策基準
統括情報セキュリティ責任者から提供される □不正プログラム対策手順
ウイルス情報が職員等によって、常に確認さ
れている。

監査項目

6.1.4

16.1.112.2.116.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・不正プログラム対策に関する情報については、外部の専門家から支援を受けるほか、
公的なセキュリティ機関、定評のある刊行物、信頼できるインターネットサイト等からも収集することが望ましい。

・情報セキュリティインシデン
ト発生時の対応についてはNo.301～304も関連する項目
であることから参考にするこ
と。

留意事項

85

6.
6.5.
技術的 不正ア
セキュ クセス
リティ 対策

項目

（2）
攻撃への
対処

（1）
統括情報
セキュリ
ティ責任者
の措置事
項

286

285

284

283

282

281

280

No.

必須

監査資料の例

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(1)④
報システム管理者へのインタビューにより、重要なシステムの設定を行ったファイル等について、定期的に当該ファイルの改ざんの有無が検査されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(1)⑤
報システム管理者へのインタビューにより、情報セキュリティ
に関する統一的な窓口と連携して、CISOへの報告、各部部局への指示、ベンダとの情報共有及び報道機関への通知などの対応が行われているか確かめる。

ⅳ） シ ステ ム設定ファイルの検査□ネットワーク管理基準
統括情報セキュリティ責任者によって、重要 □システム設定検査記録なシステムの設定を行ったファイル等について、定期的に当該ファイルの改ざんの有無が検査されている。

ⅴ） 連絡体制の構築□緊急時対応計画
統括情報セキュリティ責任者によって、監視、通知、外部連絡窓口及び適切な対応を実施できる体制並びに連絡網が構築されている。

ⅰ） 攻撃に対する措置□緊急時対応計画
サーバ等に攻撃を受けた場合又は攻撃を受 □情報セキュリティインシデ
けるリスクがある場合は、CISO及び統括情報 ント報告書
セキュリティ責任者によって、必要な措置が講じられるとともに、関係機関から情報が収集されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(1)③
報システム管理者へのインタビューにより、不正アクセスによるウェブページのデータの書換えを検出し、統括情報セキュ
リティ責任者及び情報システム管理者に通報するよう設定しているか確かめる。

ⅲ） ウェブページ 改ざんの検知□不正アクセス対策基準
不正アクセスによるウェブページの改ざんを □不正アクセス対応手順
検出した場合、統括情報セキュリティ責任者 □システム監視手順
及び情報システム管理者に通報するよう設 □情報セキュリティインシデ
定されている。
ント報告書

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(2)報システム管理者へのインタビューにより、サーバ等に攻撃を受けた場合又は攻撃を受けるリスクがある場合、システムの停止等の適切な措置が講じられ、関係機関から情報が収集されているか確かめる。

6.5.(1)②

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、使用されていな
い不要なサービスが削除又は停止され、不正アクセスによる侵入を防止しているか確かめる。

ⅱ） 不要なサービスの削除又は停止□不正アクセス対策基準
統括情報セキュリティ責任者によって、不要 □不正アクセス対応手順
なサービスが削除又は停止されている。
□システム監視手順

6.5.

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(1)①
報システム管理者へのインタビューにより、使用されていな
いポートが閉鎖され、不正アクセスによる侵入を防止しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情報システム管理者へのインタビューにより、不正アクセス対策に関わる基準及び対応手順が文書化され、正式に承認されているか確かめる。

監査実施の例ⅰ） 未使用ポートの閉鎖□ネットワーク構成図
統括情報セキュリティ責任者によって、使用 □ネットワーク管理記録
されていないポートが閉鎖されている。
□ファイアウォール設定□ファイアウォールログ

ⅰ） 不正ア クセス対策に関わる基準及び □不正アクセス対策基準
対応手順□不正アクセス対応手順
統括情報セキュリティ責任者によって、不正アクセス対策に関わる基準及び対応手順が定められ、文書化されている。

監査項目

6.1.3
6.1.4
17.1.116.1.116.1.2
16.1.316.1.2

16.1.2－－

16.1.116.1.2
16.1.316.1.416.1.516.1.616.1.717.1.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・ファイアウォールの設置については、No.161～162も関連する項目であることから参考にすること。

・ネットワークの管理について
は、No.152～154、157～
162も関連する項目であることから参考にすること。

留意事項

86

（7）
標的型攻
撃

（6）
サービス不
能攻撃

（5）
職員等によ
る不正アク
セス

（4）
内部からの
攻撃

6.
6.5.
（3）
技術的 不正ア 記録の保セキュ クセス 存
リティ 対策

項目

291

290

289

288

287

No.

必須

□緊急時対応計画□情報セキュリティインシデ
ント報告書
□ログ

監査資料の例ⅰ） 標的型攻撃に対する対策□不正アクセス対策基準
統括情報セキュリティ責任者及び情報シス □不正アクセス対応手順
テム管理者によって、標的型攻撃対策として □システム監視手順
人的対策や入口対策、内部対策が講じられている。

ⅰ） サービス不能攻撃に対する対策□不正アクセス対策基準
統括情報セキュリティ責任者及び情報シス □不正アクセス対応手順
テム管理者によって、システムに対するサー □システム監視手順
ビス不能攻撃を防ぐため、情報システムの可用性を確保する対策が講じられている。

ⅰ） 職員等の不正ア クセスに対する処置 □情報セキュリティインシデ
職員等による不正アクセスが発見された場 ント報告書
合、統括情報セキュリティ責任者及び情報シ □通知書
ステム管理者によって、当該職員等が所属する課室等の情報セキュリティ管理者に通知され、適切な処置が求められている。

ⅰ） 内部からの攻撃の監視□端末ログ
統括情報セキュリティ責任者及び情報シス □監視記録
テム管理者によって、職員等及び外部委託
事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサ
イトに対する攻撃が監視されている。

ⅰ） 記録の保存
サーバ等に犯罪の可能性がある攻撃を受けた場合、CISO及び統括情報セキュリティ責
任者によって、攻撃の記録が保存されるとともに、警察及び関係機関と連携・調整し、事案に対して適切に対応している。

監査項目

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(7)報セキュリティ管理者及び情報システム管理者へのインタ
ビューにより、標的型攻撃対策として、以下の管理策が実施されていることを確かめる。
・標的型攻撃メール対策としての人的対策
・電磁的記録媒体経由での攻撃対策となる入口対策・ネットワークの通信を監視する等の内部対策
・不正な通信がないか、ログを確認する等の事後対策
さらに、上記対策のモニタリングの実施有無を確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(6)報セキュリティ管理者及び情報システム管理者へのインタ
ビューにより、サービス不能攻撃対策として、以下の管理策が実施されていることを確かめる。
・情報システムの技術的な対策
・通信事業者サービスの利用による対策
・情報システムの監視及び監視記録の保存
さらに、上記対策のモニタリングの実施有無を確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(5)報セキュリティ管理者及び情報システム管理者へのインタ
ビューにより、職員等による不正アクセスが発見された場
合、当該職員の所属課室等の情報セキュリティ管理者に通知され、適切な処置が求められているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(4)報システム管理者へのインタビューにより、職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等や外部のサイトに対する攻撃が監視されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.5.(3)報システム管理者へのインタビューにより、サーバ等に対し不正アクセス禁止法違反等犯罪の可能性がある攻撃を受けた場合、攻撃の記録が保存され、警察及び関係機関と連携・調整し、事案に対して適切に対応しているか確かめる。

監査実施の例

－

－

7.2.3

16.1.2
16.1.3

6.1.3
6.1.4
16.1.7

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・職員等の違反行為に対する対応については、No.312～
314も関連する項目であることから参考にすること。

・情報システムの監視については、No.288～291も関連する項目であることから参考にすること。

・ログの取得及び保管についてはNo.146～149も関連する項目であることから参考にすること。
・情報セキュリティインシデン
ト発生時の対応については、
No.301～304も関連する項目
であることから参考にするこ
と。

留意事項

87

（3）
情報セキュ
リティに関
する情報の
収集及び
共有

（2）
不正プログ
ラム等のセ
キュリティ
情報の収
集・周知

296

295

294

293

292

6.6.
6.
技術的 セキュセキュ リティリティ 情報の
収集

（1）
セキュリ
ティホール
に関する情
報の収集・
共有及び
ソフトウェア
の更新等

No.

項目

○

必須

監査資料の例

監査実施の例ⅰ） 情報セキュ リテ ィに関する情報の収集及び共有
統括情報セキュリティ責任者及び情報シス
テム管理者によって、情報セキュリティに関する情報が収集され、関係者間で共有されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.6.(2)報システム管理者へのインタビューにより、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 6.6.(1)報システム管理者へのインタビューにより、セキュリティホー
ルの緊急度に応じてパッチが適用され、ソフトウェアが更新されているか確かめる。

□情報セキュリティ関連情報 監査資料のレビューと統括情報セキュリティ責任者又は情 6.6.(3)報システム管理者へのインタビューにより、情報セキュリティの通知記録
に関する技術の動向や変化について情報を収集し、必要に応じ関係者で共有され、新たな脅威への対応方法について検討しているか確かめる。

ⅰ） 不正プログラム等のセキュ リテ ィ情報 □職員等への周知記録の収集及び周知
統括情報セキュリティ責任者及び情報シス
テム管理者によって、不正プログラム等のセキュリティ情報が収集され、必要に応じ対応方法について、職員等に周知されている。

□パッチ適用情報ⅱ） ソフトウェアの更新
統括情報セキュリティ責任者及び情報シス □パッチ適用記録
テム管理者によって、セキュリティホールの緊急度に応じてパッチが適用され、ソフトウェア
が更新されている。

ⅰ） セキュ リテ ィホールの情報収集及び □セキュリティホール関連情 監査資料のレビューと統括情報セキュリティ責任者又は情 6.6.(1)報システム管理者へのインタビューにより、セキュリティホー
報の通知記録共有
ルに関する情報が収集され、情報システムを所管する部署
統括情報セキュリティ責任者及び情報シス等関係者間で共有されているか確かめる。
テム管理者によって、セキュリティホールに関する情報が収集され、関係者間で共有されている。

ⅰ） セキュ リテ ィホールや不正プログラム □セキュリティ情報収集基準 監査資料のレビューと統括情報セキュリティ責任者又は情 6.6.
報システム管理者へのインタビューにより、セキュリティホー
等の情報収集に関わる基準
ルや不正プログラム等の情報収集に関わる基準が文書化さ
統括情報セキュリティ責任者及び情報シス
れ、正式に承認されているか確かめる。
テム管理者によって、セキュリティホールや不正プログラム等の情報収集に関わる基準が定められ、文書化されている。

監査項目

12.6.1

12.6.1

12.6.1

12.6.1

12.6.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・不正プログラムの対策については、No.251～270も関連する項目であることから参考にすること。

・セキュリティホールに関する情報の収集先は、1ヵ所ではなく、複数から収集していることが望ましい。

留意事項

88

7.
運用

297

7.1.
情報シ
ステム
の監視

300

299

298

No.

項目

○

必須

□システム運用基準ⅳ） 外部接続システ ムの常時監視
統括情報セキュリティ責任者及び情報シス □監視記録
テム管理者によって、外部と常時接続するシステムが常時監視されている。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.1.③
報システム管理者へのインタビューにより、外部と常時接続するシステムが常時監視されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.1.②
報システム管理者へのインタビューにより、アクセスログ等の証拠として正確性を確保するため、重要なアクセスログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期が行われているか確かめる。

□システム運用基準□時刻設定手順ⅲ） 時刻の同期
統括情報セキュリティ責任者及び情報シス
テム管理者によって、重要なアクセスログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期が行われている。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.1.①
報システム管理者へのインタビューにより、セキュリティに関する事案を検知するため、ネットワーク及び情報システムが常時監視されているか確かめる。

ⅱ） 情報システ ム及びネッ トワークの常 □システム運用基準
□監視記録
時監視
統括情報セキュリティ責任者及び情報シス
テム管理者によって、セキュリティに関する事
案を検知するため、ネットワーク及び情報シ
ステムが常時監視されている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 7.1.
報システム管理者へのインタビューにより、ネットワーク及び情報システムの稼動状況の監視対象や監視体制、サーバの時刻設定等、情報システムの監視に関わる基準が文書化
され、正式に承認されているか確かめる。

監査資料の例□システム運用基準ⅰ） 情報システ ムの監視に関わる基準
統括情報セキュリティ責任者及び情報シス
テム管理者によって、ネットワーク及び情報システムの稼動状況の監視に関わる基準が定められ、文書化されている。

監査項目

・監視結果は定期的に見直し、不正なアクセスなどの情報セキュリティインシデントの予兆がないか点検することが望ましい。
12.4.115.2.112.4.4・監視の方法には、侵入検知システム（IDS）等の監視の他の専用システムを用いる方法の他に、対象システムのログによる監視がある。

留意事項

12.4.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

89

7.
運用

7.2.
（1）
情報セ 遵守状況
キュリ の確認及
ティポ び対処
リシー
の遵守
状況の
確認

項目

○

○

304

必須

303

302

301

No.

監査資料のレビューと情報セキュリティ責任者及び情報セ 7.2.(1)①
キュリティ管理者へのインタビューにより、情報セキュリティポ
リシーの遵守状況についての確認が行われ、問題が認められた場合には、速やかにCISO及び統括情報セキュリティ責
任者に報告されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(1)②
報セキュリティ責任者へのインタビューにより、CISOに報告された情報セキュリティポリシー遵守上の問題に対して、適切かつ速やかに対処されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(1)③
報システム管理者へのインタビューにより、ネットワーク及びサーバ等のシステム設定等における情報セキュリティポリ
シーの遵守状況について定期的に確認が行われ、問題が発生していた場合には適切かつ速やかに対処されているか確かめる。

ⅱ） 情報セキュ リテ ィポリシーの遵守状 □情報セキュリティポリシー
況の確認□システム運用基準
情報セキュリティ責任者及び情報セキュリ□情報セキュリティインシデ
ティ管理者によって、情報セキュリティポリ
ント報告手順シーの遵守状況についての確認が行われ、 □情報セキュリティインシデ
問題が認められた場合には、速やかにCISO ント報告書
及び統括情報セキュリティ責任者に報告さ □自己点検実施基準
れている。
□自己点検結果□情報セキュリティインシデ
ント報告手順□情報セキュリティインシデ
ント報告書ⅲ） 発生した問題への対処
CISOによって、情報セキュリティポリシー遵守上の問題に対して、適切かつ速やかに対処されている。

ⅳ） システ ム設定等における情報セキュ □情報セキュリティポリシー
リテ ィポリシーの遵守状況の確認及び問 □システム運用基準
題発生時の対処□情報セキュリティインシデ
統括情報セキュリティ責任者及び情報シス ント報告手順
テム管理者によって、システム設定等におけ □情報セキュリティインシデ
る情報セキュリティポリシーの遵守状況につ ント報告書
いて定期的に確認が行われ、問題が発生し □自己点検実施基準ていた場合には適切かつ速やかに対処され □自己点検結果ている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(1)報セキュリティ責任者へのインタビューにより、情報セキュリ
ティポリシーの遵守状況についての確認及び問題発生時の対応に関わる基準が文書化され、正式に承認されているか確かめる。

監査資料の例ⅰ） 情報セキュ リテ ィポリシーの遵守状 □情報セキュリティポリシー
況の確認及び問題発生時の対応に関わ □システム運用基準
る基準□情報セキュリティインシデ
統括情報セキュリティ責任者又は情報セキュ ント報告手順
リティ責任者によって、情報セキュリティポリ □自己点検実施基準
シーの遵守状況についての確認及び問題
発生時の対応に関わる基準が定められ、文書化されている。

監査項目

16.1.116.1.2
16.1.318.2.2

16.1.118.2.2

16.1.116.1.2
16.1.318.2.2

16.1.116.1.2
16.1.318.2.218.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

90

7.
運用

（3）
職員等の
報告義務

7.2.
（2）
情報セ パソコン、
キュリ モバイル端
ティポ 末及び電リシー 磁的記録の遵守 媒体等の状況の 利用状況
確認 調査

項目

○

○

309

必須

308

307

306

305

No.

監査資料の例

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(3)報セキュリティ責任者へのインタビューにより、職員等が情報セキュリティポリシーに対する違反行為を発見した場合の対応に関わる手順が文書化され、正式に承認されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(3)①
報セキュリティ管理者、職員等へのインタビューにより、情報
セキュリティポリシーに対する違反行為が発見された場合、直ちに統括情報セキュリティ責任者及び情報セキュリティ管理者に報告されているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者及び情 7.2.(3)②
報セキュリティ責任者へのインタビューにより、情報セキュリ
ティポリシーに対する違反行為が直ちに情報セキュリティ上
重大な影響を及ぼす可能性があると統括情報セキュリティ
責任者が判断した場合、緊急時対応計画に従った対処が行われているか確かめる。

ⅱ） 情報セキュ リテ ィポリシ ー違反発見 □情報セキュリティインシデ
時の報告
ント報告手順情報セキュリティポリシーに対する違反行為 □情報セキュリティインシデ
が発見された場合、職員等によって、直ちに ント報告書
統括情報セキュリティ責任者及び情報セキュ
リティ管理者に報告されている。

ⅲ） 発見された違反行為に対する対処□情報セキュリティインシデ
情報セキュリティポリシーに対する違反行為 ント報告手順
が直ちに情報セキュリティ上重大な影響を及 □情報セキュリティインシデ
ぼす可能性があると統括情報セキュリティ責 ント報告書
任者が判断した場合、統括情報セキュリティ □緊急時対応計画
責任者によって、緊急時対応計画に従った対処が行われている。

監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(2)報セキュリティ責任者へのインタビューにより、不正アクセス、不正プログラム等の調査のために、CISO及びCISOが指名した者によって、職員等が使用しているパソコン、モバイ
ル端末及び電磁的記録媒体等のログ、電子メールの送受
信記録等の利用状況が必要に応じて調査されているか確
かめる。

ⅰ） 情報セキュ リテ ィポリシ ー違反発見 □情報セキュリティインシデ
時の対応に関わる手順
ント報告手順
統括情報セキュリティ責任者又は情報セキュ
リティ責任者によって、情報セキュリティポリ
シーに対する違反行為を発見した場合の対応に関わる手順が定められ、文書化されている。

ⅱ） パソコン、 モ バイル端末及び電磁的 □利用状況調査結果
記録媒体等の利用状況の調査
不正アクセス、不正プログラム等の調査のために、CISO及びCISOが指名した者によって、パソコン、モバイル端末及び電磁的記録媒体等のログ、電子メールの送受信記録等の利用状況が必要に応じて調査されている。

ⅰ） パソコン、 モ バイル端末及び電磁的 □情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者又は情 7.2.(2)
記録媒体等の利用状況の調査に関わる □利用状況調査基準
報セキュリティ責任者へのインタビューにより、不正アクセ
基準ス、不正プログラム等の調査のために、CISO及びCISOが指CISO及びCISOが指名した者によって、パソ名した者による職員等の使用しているパソコン、モバイル端コン、モバイル端末及び電磁的記録媒体等
末及び電磁的記録媒体等のログ、電子メールの送受信記のログ、電子メールの送受信記録等の利用
録等の利用状況の調査に関わる基準が文書化され、正式状況の調査に関わる基準が定められ、文書に承認されているか確かめる。
化されている。

監査項目

16.1.116.1.116.1.112.4.112.4.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・緊急時対応計画について
は、No.301～304も関連する項目であることから参考にす
ること。

留意事項

91

7.
運用

7.3.
侵害時
の対応
等

項目

312

313

（4）
緊急時対
応計画の
見直し

311

（3）
業務継続
計画との整
合性確保

（2）
緊急時対
応計画に
盛り込むべ
き内容

（1）
緊急時対
応計画の
策定

310

No.

○

必須

監査資料の例

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 7.3.(3)報セキュリティ責任者へのインタビューにより、業務継続計
画と情報セキュリティポリシーの整合性が確保されているか確かめる。

7.3.(1)～(2)ⅰ） 緊急時対応計画の見直し□緊急時対応計画
監査資料のレビューと統括情報セキュリティ責任者又は情 7.3.(4)CISO又は情報セキュリティ委員会によって、 □情報セキュリティ委員会等 報セキュリティ責任者へのインタビューにより、情報セキュリ
必要に応じて緊急時対応計画の規定が見直 の議事録
ティ委員会によって、情報セキュリティを取り巻く状況の変化されている。
や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定が見直されているか確かめる。

ⅰ） 業務継続計画との整合性確保□業務継続計画
業務継続計画を策定する場合、業務継続計 □情報セキュリティポリシー
画と情報セキュリティポリシーの整合性が確 □緊急時対応計画
保されている。

ⅱ） 緊急時対応計画の策定□緊急時対応計画
監査資料のレビューと統括情報セキュリティ責任者又は情CISO又は情報セキュリティ委員会によって、 □情報セキュリティ委員会議 報セキュリティ責任者へのインタビューにより、緊急時対応
緊急時対応計画が定められている。
事録計画が定められているか確かめる。

ⅰ） 緊急時対応計画に関わる基準□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者又は情 7.3.
統括情報セキュリティ責任者によって、情報報セキュリティ責任者へのインタビューにより、情報セキュリ
資産に対するセキュリティ侵害が発生した場
ティインシデント、情報セキュリティポリシーの違反等により合又は発生するおそれのある場合の緊急時
情報資産に対するセキュリティ侵害が発生した場合又は発対応計画に関わる基準が定められ、文書化生するおそれのある場合の緊急時対応計画に関わる基準されている。
が文書化され、正式に承認されているか確かめる。

監査項目

17.1.3－16.1.1
17.1.2

17.1.1
17.1.2
17.1.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
・緊急時対応計画の策定においては、自然災害、事故、装置の故障及び悪意による行為の結果などの情報セキュ
リティインシデント発生時における住民からの問合せ方法・
窓口は常に明確にしておくことが望ましい。

留意事項

92

7.
運用

7.4.
例外措
置

項目

（3）
例外措置
の申請書
の管理

（2）
緊急時の
例外措置

（1）
例外措置
の許可

317

316

315

314

No.

○

○

必須

監査資料の例

監査実施の例

監査資料のレビューと情報セキュリティ管理者又は情報シ 7.4.(2)ステム管理者へのインタビューにより、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、例外措置実施後速やかにCISOに報告されているか確かめる。

ⅰ） 例外措置の申請書の管理□例外措置申請書/許可書 監査資料のレビューと統括情報セキュリティ責任者へのイン 7.4.(3)CISOによって、例外措置の申請書及び審査 □例外措置実施報告書
タビューにより、CISOによって、例外措置の申請書及び審結果が保管され、定期的に申請状況が確認
査結果が保管され、定期的に申請状況が確認されているかされている。
確かめる。

ⅰ） 緊急時の例外措置□例外措置実施報告書
行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、情報セキュリティ管理者及び情報シ
ステム管理者によって、事後速やかにCISOに報告されている。

ⅰ） 例外措置の申請及び許可□例外措置申請書/許可書 監査資料のレビューと情報セキュリティ管理者又は情報シ 7.4.(1)
情報セキュリティ関係規定の遵守が困難な □例外措置実施報告書
ステム管理者へのインタビューにより、情報セキュリティ関係
状況で行政事務の適正な遂行を継続しなけ
規定の遵守が困難な状況で行政事務の適正な遂行を継続ればならない場合、情報セキュリティ管理者
しなければならない場合、遵守事項とは異なる方法を採用
及び情報システム管理者によって、CISOのすること又は遵守事項を実施しないことについて合理的な許可を得たうえで例外措置が取られている。
理由がある場合に限り、CISOの許可を得たうえで例外措置が取られているか確かめる。

ⅰ） 例外措置に関わる基準及び対応手 □例外措置対応基準/手続 監査資料のレビューと統括情報セキュリティ責任者又は情 7.4.
続報セキュリティ責任者へのインタビューにより、例外措置を採
統括情報セキュリティ責任者又は情報セキュる場合の基準及び対応手続が文書化され、正式に承認さリティ責任者によって、例外措置を採る場合れているか確かめる。
の基準及び対応手続が定められ、文書化さ
れている。

監査項目

－

－

－

－

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・例外措置は単に適用を排除するだけでなく、リスクに応じて代替措置を定めていることを確認することが望ましい。

留意事項

93

7.
運用

7.5.
法令遵
守

項目

319

318

No.

必須

18.1.118.1.2
18.1.318.1.418.1.518.1.118.1.2
18.1.318.1.418.1.57.5.

監査資料のレビューと情報セキュリティ責任者及び職員等 7.5.
へのインタビューにより、職員等が職務の遂行において遵守すべき情報セキュリティに関する法令等を遵守しているか確かめる。必要に応じて、職員等へのアンケート調査を実施して確かめる。

□関連法令等一覧
ⅱ） 法令遵守
職員等が職務の遂行において遵守すべき情報セキュリティに関する法令等を遵守している。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情報セキュリティ責任者へのインタビューにより、職員等が職務の遂行において遵守すべき情報セキュリティに関する法令等の一覧が定められているか確かめる。

監査資料の例□関連法令等一覧ⅰ） 遵守すべき法令等の明確化
統括情報セキュリティ責任者によって、職員等が職務の遂行において遵守すべき情報セ
キュリティに関する法令等の一覧が定められ、文書化されている。

監査項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

94

7.
運用

（2）
違反時の
対応

（1）
7.6.
懲戒処 懲戒処分
分等

項目

323

322

321

320

No.

○

必須

監査資料の例□情報セキュリティ違反時の 監査資料のレビューと統括情報セキュリティ責任者又は情 7.6.(2)③ⅲ） 情報システ ム使用の権利の制限
報セキュリティ責任者及び情報セキュリティ管理者へのイン情報セキュリティ管理者等の指導によっても 対応手順
タビューにより、情報セキュリティ管理者の指導によっても改改善がみられない場合、統括情報セキュリ □通知書
善がみられない場合、統括情報セキュリティ責任者によってティ責任者によって、当該職員等のネット
当該職員等のネットワーク又は情報システムの使用する権
ワーク又は情報システムの使用を停止又は利が停止又は剥奪され、CISO及び当該職員等の所属課室剥奪し、関係者に通知されている。
等の情報セキュリティ管理者に通知されているか確かめる。

7.2.3
16.1.116.1.2
16.1.718.2.2

7.2.3
16.1.116.1.2
16.1.718.2.2□情報セキュリティ違反時の 監査資料のレビューと統括情報セキュリティ責任者、情報セ 7.6.(2)①ⅱ） 関係者への通知
キュリティ責任者、情報セキュリティ管理者、情報システム ～②
職員等による情報セキュリティポリシーに違 対応手順
管理者へのインタビューにより、職員等による情報セキュリ
反する行動が確認された場合、関係者に通 □通知書
ティポリシーに違反する行動が確認された場合、関係者に知し、適切な措置を求めている。
通知し、適切な措置を求めているか確かめる。

7.2.3

7.2.3
16.1.116.1.2
16.1.718.2.2

監査資料のレビューと統括情報セキュリティ責任者又は情 7.6.(1)報セキュリティ責任者へのインタビューにより、情報セキュリ
ティポリシーに違反した職員等及びその監督責任者が、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象となることが文書化され、正式に承認されているか確かめる。

監査実施の例□情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者又は情 7.6.(2)ⅰ） 違反時の対応手順
統括情報セキュリティ責任者によって、職員 □情報セキュリティ違反時の 報セキュリティ責任者へのインタビューにより、職員等による情報セキュリティポリシーに違反する行動が確認された場合等による情報セキュリティポリシーに違反する 対応手順の対応手順が文書化され、正式に承認されているか確かめ
行動が確認された場合の対応手順が定めらる。
れ、文書化されている。

□情報セキュリティポリシー
ⅰ） 懲戒処分の対象
統括情報セキュリティ責任者によって、情報セキュリティポリシーに違反した職員等及びその監督責任者が地方公務員法による懲戒処分の対象となることが定められ、文書化さ
れている。

監査項目

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

95

327

326

325

324

8.
8.1.
外部 外部委
サービ 託
スの利
用

（1）
外部委託
事業者の
選定基準

No.

項目

○

○

必須

監査資料の例ⅲ） クラウドサービスの事業者選定
情報セキュリティ管理者によって、情報の機密性に応じたセキュリティレベルが確保されているクラウドサービスが選定されている。

8.1.(1)①

監査資料のレビューと情報セキュリティ管理者へのインタ
8.1.(1)②
ビューにより、外部委託事業者の選定の際に、情報セキュリ
ティマネジメントシステムの国際規格の認証取得状況、情報
セキュリティ監査の実施状況等が参考にされているか確かめる。

監査資料のレビューと情報セキュリティ管理者へのインタ
ビューにより、外部委託事業者選定の際、委託内容に応じた情報セキュリティ対策が確保されていることを確認しているか確かめる。

監査資料のレビューと統括情報セキュリティ責任者又は情 8.1.
報セキュリティ責任者へのインタビューにより、外部委託を行う場合の情報セキュリティに関わる基準が文書化され、正式に承認されているか確かめる。

監査実施の例□外部委託事業者選定基 監査資料のレビューと情報セキュリティ管理者へのインタ
8.1.(1)③
準
ビューにより、クラウドサービスの利用の際に、機密性の高い□クラウドサービス利用基準 情報をクラウドサービスに格納する場合は、以下の管理策が□サービス仕様書(サービス 実施されているサービスを選定しているか確かめる。
カタログ)
・No.316～317の監査項目を満たしている□クラウドサービス事業者選 ・日本の法令の範囲内で運用している
定記録ⅱ） 外部委託事業者の選定□外部委託事業者選定基
情報セキュリティ管理者によって、情報セ
準キュリティマネジメントシステムの国際規格の □サービス仕様書(サービス
認証取得状況、情報セキュリティ監査の実施 カタログ)
状況等を参考にして、外部委託事業者が選定されている。

ⅰ） 外部委託事業者の選定基準□外部委託事業者選定基
情報セキュリティ管理者によって、外部委託 準事業者選定の際、委託内容に応じた情報セ □サービス仕様書(サービス
キュリティ対策が確保されていることが確認さ カタログ)
れている。

ⅰ） 外部委託の情報セキュ リテ ィに関わ □外部委託管理基準
る基準□外部委託事業者選定基統括情報セキュリティ責任者又は情報セキュ 準
リティ責任者によって、外部委託を行う場合の情報セキュリティに関わる基準が定められ、文書化されている。

監査項目

15.1.215.2.115.2.214.2.715.2.114.2.715.2.114.2.715.1.215.2.115.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・外部委託事業者選定基準には、「コンプライアンスに関してその管理体制、教育訓練等の対策が取られ、従業員が理解しているか」、「委託業務内容に即した技術、要員が確保されているか」などの項目が含まれていることが望ましい。

・情報セキュリティポリシー等
遵守事項の外部委託事業者に対する説明義務について
は、No.98～99も関連する項目であることから参考にするこ
と。

留意事項

96

（3）
確認・措置
等

8.
8.1.
（2）
外部 外部委 契約項目
サービ 託
スの利
用

項目

329

328

No.

○

○

必須

監査資料の例ⅰ） 外部委託事業者のセキュ リテ ィ対策 □外部委託管理基準の確認と報告□作業報告書情報セキュリティ管理者によって、外部委託 □改善要望書
事業者におけるセキュリティ対策の確保が確 □改善措置実施報告書
認され、必要に応じ業務委託契約に基づく措置が講じられている。また、確認した内容
が統括情報セキュリティ責任者に報告され、されにその重要度に応じてCISOに報告されている。

ⅰ） 外部委託事業者との契約□業務委託契約書
情報システムの運用、保守等を外部委託する場合、外部委託事業者との間で締結される契約書に、必要に応じた情報セキュリティ要件が明記されている。

監査項目

監査資料のレビューと情報セキュリティ管理者又は情報シ 8.1.(3)ステム管理者へのインタビューにより、外部委託事業者においてセキュリティ対策が確保されているか定期的に確認され、必要に応じ業務委託契約に基づいた改善要求等の措置が講じられているか確かめる。また、確認された内容が統括情報セキュリティ責任者に報告され、されにその重要度に応じてCISOに報告されているか確かめる。

公表
・情報セキュリティポリシーが遵守されなかった場合の規定(損害賠償等) 等

業場所の特定・提供されるサービスレベルの保証
・外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
・外部委託事業者の従業員に対する教育の実施・提供された情報の目的外利用及び受託者以外の者への提供の禁止

監査資料のレビューと情報セキュリティ責任者又は情報シ 8.1.(2)ステム管理者へのインタビューにより、外部委託事業者との間で締結される契約書に必要に応じて次の情報セキュリ
ティ要件が明記されているか確かめる。
・情報セキュリティポリシー及び情報セキュリティ実施手順の遵守

監査実施の例

15.2.115.2.215.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・外部委託事業者の情報セキュリティポリシー等の遵守事項については、No.98～99も関連する項目であることから参考にすること。
・契約事項の遵守状況のほか、十分なセキュリティ対策がとられていることを確認する必要があり、特に、再委託の制
限、情報の持ち出しの禁止、業務終了後のデータの返還・廃棄、支給以外のパソコンの使用について、違反がないか確認することが必要である。

・再委託は原則禁止であるが、例外的に再委託を認める
場合には、再委託事業者における情報セキュリティ対策
が十分取られており、外部委
託事業者と同等の水準である
ことを確認した上で許可しなければならない。
・契約書において、再委託事
業者の監督についても規定されていることが望ましい。

留意事項

97

8.3.
ソー
シャル
メディ
アサー
ビスの
利用

330

8.2.
8.
外部 約款にサービ よる外スの利 部サー
ビスの
用
利用

333

332

331

No.

項目

必須

監査資料のレビューと情報セキュリティ管理者又は情報シ 8.2.(2)ステム管理者へのインタビューにより、約款による外部サー
ビスを利用する場合の、サービス利用によるリスクの把握とセキュリティ対策の実施に関する基準が定められており、職員等がサービス利用の必要性、リスクの許容の判断を行っ
たうえでサービスを利用しているか確かめる。

監査資料のレビューと情報セキュリティ管理者又は情報シ 8.3.①
ステム管理者へのインタビューにより、ソーシャルメディア
サービスを利用して住民へ情報提供を行う場合は、アカウン
トが庁内で管理しているものであることを本市の自己管理
ウェブサイトに当該情報を掲載して参照可能とするとともに、
当該アカウントの自由記述欄等にアカウントの運用組織を明示する等のなりすまし対策や、アカウントのパスワードの適切な管理やアカウントログイン用端末のセキュリティ対策等の不正アクセス対策及び発信した情報をバックアップしておき、ソーシャルメディアサービスが終了した際の対策が行われているか確かめる。
監査資料のレビューと情報セキュリティ管理者又は情報シ 8.3.②～③
ステム管理者へのインタビューにより、ソーシャルメディア
サービスを利用する際には、機密性２以上の情報は発信しないことや、利用するソーシャルメディアサービスごとに責任者が定められていること等の手順がつくられているか確かめる。

ⅱ） 約款による外部サービスの利用にお □約款による外部サービス
利用基準
ける対策の実施
情報セキュリティ管理者によって、約款による □約款による外部サービス
外部サービスの利用に関するセキュリティ対 運用手順
策の実施に関する基準がが定められている。 □約款による外部サービス
利用申請書ⅰ） ソーシャルメディアサービスにおける □ソーシャルメディアサービ
ス利用基準
セキュ リテ ィ対策の実施
情報セキュリティ管理者によって、ソーシャル □ソーシャルメディアサービ
メディアサービスのなりすましや不正アクセス ス管理手順
対策が定められ、運用手順が作成されている。

ⅱ） ソーシャルメディアサービス利用時の □ソーシャルメディアサービ
ス利用基準
情報の取扱い情報セキュリティ管理者によって、ソーシャル □ソーシャルメディアサービ
メディアサービスに発信する情報の範囲や ス管理手順
ソーシャルメディアサービス利用責任者が定められている。

監査実施の例

監査資料のレビューと情報セキュリティ管理者又は情報シ 8.2.(1)ステム管理者へのインタビューにより、約款による外部サー
ビスの利用を行う場合の規定が整備され、以下の内容が明記されているか確かめる。また、当該サービスの利用において、機密性２以上の情報が取扱われないように規定されているか確かめる。
・約款によるサービスを利用してよい範囲
・業務により利用する約款による外部サービス
・利用手続及び運用手順

監査資料の例ⅰ） 約款による外部サービス利用に係る □約款による外部サービス
利用基準
規定の整備
情報セキュリティ管理者によって、約款による □約款による外部サービス
外部サービスの利用に関する規定が作成さ 運用手順れている。また、当該サービスの利用におい □約款による外部サービスて、機密性２以上の情報が取扱われないよう 利用申請書に規定されている。

監査項目

－

－

15.1.215.1.315.2.215.1.215.1.315.2.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

98

9.
9.1.
評価・ 監査
見直し

項目

(4)
外部委託
事業者に
対する監
査

(3)
監査実施
計画の立
案及び実
施への協
力

(2)
監査を行う
者の要件

(1)
実施方法

340

339

338

337

336

335

334

No.

必須

監査資料の例

監査実施の例□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ 9.1.(3)②
マニュアルのインタビューにより、被監査部門が監査の実施に協力して□監査報告書いるか確かめる。

ⅰ） 外部委託事業者に対する監査□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ 9.1.(4)
情報セキュリティ監査統括責任者によって、 要綱のインタビューにより、外部委託事業者（外部委託事業者か
外部委託事業者（外部委託事業者からの下 □情報セキュリティ監査実施 らの下請けも含む）に対する情報セキュリティポリシーの遵請けも含む）に対する情報セキュリティポリマニュアル
守についての監査が定期的又は必要に応じて行われていシーの遵守についての監査が定期的又は必 □監査実施計画
るか確かめる。
要に応じて行われている。
□監査報告書ⅱ） 監査実施への協力
監査実施に際し、被監査部門による協力が得られている。

9.1.(3)①□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ 9.1.(2)②
要綱のインタビューにより、監査及び情報セキュリティに関する専□情報セキュリティ監査実施 門知識を有する者が情報セキュリティ監査を実施しているか
マニュアル
確かめる。
□監査実施計画□監査報告書□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ 9.1.(2)①
要綱のインタビューにより、被監査部門から独立した者に監査が□情報セキュリティ監査実施 依頼され、公平な立場で客観的に監査が実施されているか
マニュアル
確かめる。
□監査実施計画□監査報告書ⅰ） 監査実施計画の立案□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ
情報セキュリティ監査統括責任者によって、 マニュアルのインタビューにより、監査実施計画が立案され、情報セ監査実施計画が立案され、情報セキュリティ □監査実施計画
キュリティ委員会の承認を得ているか確かめる。
委員会の承認を得ている。
□情報セキュリティ委員会議
事録ⅱ） 監査人の専門性
情報セキュリティ監査は、監査及び情報セ
キュリティに関する専門知識を有する者によって実施されている。

ⅰ） 監査人の独立性
情報セキュリティ監査統括責任者によって、被監査部門から独立した者に対して監査の実施が依頼されている。

ⅰ） 監査の実施□情報セキュリティ監査実施 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.1.(1)CISOによって、情報セキュリティ監査統括責 要綱
タビューにより、CISOによって情報セキュリティ監査統括責
任者が指名され、毎年度及び必要に応じて □情報セキュリティ監査実施 任者が指名され、ネットワーク及び情報システム等の情報
情報セキュリティ監査が行われている。
マニュアル
資産における情報セキュリティ対策状況について、毎年度□監査実施計画及び必要に応じて監査が行われているか確かめる。
□監査報告書ⅰ） 情報セキュ リテ ィ監査に関わる基準 □情報セキュリティ監査実施 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.1.
及び手順要綱
タビューにより、情報セキュリティ監査の実施に関わる基準
統括情報セキュリティ責任者によって、情報 □情報セキュリティ監査実施 及び手順が文書化され、正式に承認されているか確かめ
セキュリティ監査の実施に関わる基準及び手 マニュアルる。
順が定められ、文書化されている。

監査項目

15.1.218.2.118.2.318.2.1

12.7.118.2.118.2.118.2.312.7.118.2.1

12.7.118.2.1

12.7.115.1.215.2.118.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・セキュリティポリシー遵守について外部委託事業者に対する説明は、No.98～99も関連する項目であることから参考にすること。

留意事項

99

9.2.
自己点
検

9.
9.1.
評価・ 監査
見直し

項目

(8)
情報セキュ
リティポリ
シー及び
関係規程
等の見直し
等への活
用

(7)
監査結果
への対応

(6)
保管

(5)
報告

345

344

343

342

341

No.

必須

監査資料の例

監査実施の例

9.1.(5)ⅰ） 情報セキュ リテ ィ対策の自己点検に関わる基準及び手順
統括情報セキュリティ責任者によって、情報セキュリティ対策の実施状況の自己点検に関わる基準及び手順が定められ、文書化されている。

□情報セキュリティ自己点検 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.2.
基準
タビューにより、情報セキュリティ対策の実施状況の自己点□情報セキュリティ自己点検 検に関わる基準及び手順が文書化され、正式に承認されて実施手順いるか確かめる。

ⅰ） 情報セキュ リテ ィポリシ ー及び関係規 □情報セキュリティ委員会議 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.1.(8)程等の見直し等への活用
事録
タビューにより、監査結果が情報セキュリティポリシー及び関情報セキュリティ委員会によって、監査結果 □情報セキュリティポリシー 係規程等の見直し、その他情報セキュリティ対策の見直し
が情報セキュリティポリシー及び関係規程等に活用されているか確かめる。
の見直し、その他情報セキュリティ対策の見直しに活用されている。

ⅰ） 監査結果への対応□情報セキュリティ委員会議 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.1.(7)CISOによって、監査結果を踏まえた指摘事 事録
タビューにより、CISOによって、監査結果を踏まえた指摘事項への対処が関係部局に指示されている。 □改善指示書
項への対処が関係部局に指示され、また、指摘事項を所轄
また、指摘事項を所轄していない部局においしていない部局においても同種の課題がある可能性が高いても同種の課題がある可能性が高い場合に場合には、当該課題及び問題点の有無を確認させているかは、当該課題及び問題点の有無を確認させ
確かめる。
ている。

ⅰ） 監査証拠及び監査調書の保管□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ 9.1.(6)
情報セキュリティ監査統括責任者によって、 マニュアルのインタビュー、保管場所の視察により、監査実施によって監査証拠及び監査調書が適切に保管され □監査調書
収集された監査証拠及び監査報告書作成のための監査調ている。
書が紛失しないように保管されているか確かめる。

ⅰ） 監査結果の報告□情報セキュリティ監査実施 監査資料のレビューと情報セキュリティ監査統括責任者へ
情報セキュリティ監査統括責任者によって、 マニュアルのインタビューにより、監査結果が取りまとめられ、情報セ
監査結果が取りまとめられ、情報セキュリティ □監査報告書
キュリティ委員会に報告されているか確かめる。
委員会に報告されている。
□情報セキュリティ委員会議
事録

監査項目

18.2.218.2.3

5.1.2

18.2.118.1.318.2.118.2.1

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号

・情報セキュリティポリシーの
見直しについては、No.340～341も関連する項目であることから参考にすること。

・監査報告書は、監査証拠に裏付けられた合理的な根拠に基づくものであることを要する。従って監査報告書中に、監査意見に至った根拠とそれを導く証拠が記載され、これを第三者が評価できるように整然と、かつ明瞭に記載することが望ましい。

留意事項

100

（3）
自己点検
結果の活
用

(2)
報告

9.
9.2.
(1)
評価・ 自己点 実施方法
見直し 検

項目

350

349

○

○

347

348

○

必須

346

No.

監査資料のレビューと情報セキュリティ管理者及び職員等 9.2.(3)①へのインタビューにより、自己点検の結果に基づき、自己の権限の範囲内で改善が図られているか確かめる。

9.2.(2)ⅱ） 情報セキュ リテ ィポリシーの見直しへ □情報セキュリティ委員会議 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.2.(3)②の活用
事録
タビューにより、自己点検結果が情報セキュリティポリシー及情報セキュリティ委員会によって、自己点検 □情報セキュリティポリシー び関係規程等の見直し、その他情報セキュリティ対策の見結果が情報セキュリティポリシー及び関係規直し時に活用されているか確かめる。
程等の見直し、その他情報セキュリティ対策の見直し時に活用されている。

ⅰ） 権限の範囲内での改善□自己点検結果報告書
職員等によって、自己点検の結果に基づき、 □改善計画
自己の権限の範囲内で改善が図られている。

ⅰ） 自己点検結果の報告□自己点検結果報告書
監査資料のレビューと統括情報セキュリティ責任者又は情統括情報セキュリティ責任者、情報システム □改善計画
報システム管理者及び情報セキュリティ責任者へのインタ
管理者及び情報セキュリティ責任者によっ □情報セキュリティ委員会議 ビューにより、自己点検結果と自己点検結果に基づく改善て、自己点検結果と自己点検結果に基づく 事録
策が取りまとめられ、情報セキュリティ委員会に報告されて改善策が取りまとめられ、情報セキュリティ委いるか確かめる。
員会に報告されている。

監査資料のレビューと情報セキュリティ責任者又は情報セ 9.2.(1)②
キュリティ管理者へのインタビューにより、情報セキュリティポ
リシーに沿った情報セキュリティ対策状況について、毎年度及び必要に応じて自己点検が行われているか確かめる。

ⅱ） 各部局の自己点検の実施□自己点検実施計画
情報セキュリティ責任者及び情報セキュリ□自己点検結果報告書
ティ管理者によって、情報セキュリティポリ
シーに沿った情報セキュリティ対策状況について、毎年度及び必要に応じて自己点検が行われている。

監査実施の例

監査資料のレビューと統括情報セキュリティ責任者又は情 9.2.(1)①
報システム管理者へのインタビューにより、所管するネット
ワーク及び情報システムについて、毎年度及び必要に応じて自己点検が行われているか確かめる。

監査資料の例ⅰ） ネッ トワーク及び情報システ ムに関 □自己点検実施計画
わる自己点検の実施□自己点検結果報告書
統括情報セキュリティ責任者及び情報シス
テム管理者によって、所管するネットワーク及び情報システムについて、毎年度及び必要に応じて自己点検が行われている。

監査項目

5.1.2
18.2.218.2.218.2.318.2.218.2.318.2.218.2.318.2.218.2.3

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

101

9.
9.3.
評価・ 情報セ見直し キュリ
ティポ
リシー
及び関
係規程
等の見
直し

項目

352

351

No.

○

必須

監査資料の例

監査資料のレビューと統括情報セキュリティ責任者へのイン 9.3.
タビューにより、情報セキュリティポリシー及び関係規程等の見直しに関わる基準が文書化され、正式に承認されているか確かめる。

監査実施の例ⅱ） 情報セキュ リテ ィポリシー及び関係規 □情報セキュリティポリシー 監査資料のレビューと統括情報セキュリティ責任者へのイン 9.3.
程等の見直し□情報セキュリティ委員会議 タビューにより、情報セキュリティ委員会において、情報セ
情報セキュリティ委員会によって、情報セ事録
キュリティ監査及び自己点検の結果や情報セキュリティに関キュリティ監査及び自己点検の結果や情報 □職員等への周知記録する状況の変化等をふまえ、毎年度及び重大な変化が発
セキュリティに関する状況の変化等をふま生した場合に評価を行い、必要に応じて情報セキュリティポ
え、情報セキュリティポリシー及び関係規程
リシー及び関係規程等の改善が行われているか確かめる。
等の見直しが行われている。
また、改善された場合に、その内容が職員等や外部委託事
業者に周知されているか確かめる。

ⅰ） 情報セキュ リテ ィポリシー及び関係規 □情報セキュリティポリシー
程等の見直しに関わる基準
情報セキュリティポリシー及び関係規程等の見直しに関わる基準が定められ、文書化され
ている。

監査項目

5.1.2

5.1.2

情報セキュリ 関連する
ティポリシーガ JISQ27002
イドラインの例 番号
文の番号
留意事項

付録

○監査資料例一覧／索引○情報セキュリティ監査実施要綱（例）○情報セキュリティ監査実施計画書（例）○情報セキュリティ監査報告書（例）○情報セキュリティ監査業務委託仕様書（例）○情報セキュリティ監査業務委託契約書（例）監査資料例一覧／索引

監 査 資 料 例 一 覧 ／ 索 引（注）情報セキュリティ監査の実施にあたって、確認すべき文書や記録の例を示したもの。文書や記録は、各地方公共団体によって異なると考えられることから、必ずしもこの例によらない場合があることに留意する。また、必ずしも文書化が必須という訳ではない。

索引

名称

あ

ICカード等管理台帳

職員等に付与されている認証証のICカードやUSBトークンの発行から廃棄までを管理する文書。

ICカード等取扱基準認証のために職員等に発行されているICカードやUSBトークンなどの管理、 124,125,126,12
紛失時の対応手順、廃棄時の手続などを記述した文書。
7,128

ICカード紛失届書

職員等が認証用ICカード等を紛失したことの報告及び、それに対してどのよ127
うな対応をしたかを記録した文書。

ID管理台帳職員等に付与されているIDの発行、変更、抹消を記録した文書。

ID取扱基準職員等に付与されるIDの登録、変更、抹消等の情報管理、職員等の異動、出向、退職者に伴うIDの取扱い、貸与禁止や共用IDの利用制限など取扱い 130,131,132に関わる基準について記述した文書。

アクセス管理基準

アクセス制御方針に基づき、利用者の権限に応じたアクセス制御を行なう基 205,227,228,22
準を記述した文書。
9,230

アクセス権限設定書

参照、更新、削除のアクセス権限範囲の定義を記述した文書。

アクセス制御方針

情報資産へのアクセスについて、業務上の必要性や禁止事項等の基本的 205,227,228,22
な考えを記述した文書。
9,230

移行手順書

システム開発・保守及びテスト環境からシステム運用環境への移行する具
242,243,244
体的な手順を記述した文書。

異常時復旧手順

情報システムの統合・更新作業中に異常事態が発生した場合に、作業前の259状態に戻す手順を記述した文書。

改善計画

自己点検で問題点となった事項に対する改善計画を記述した文書。

改善指示書

情報セキュリティ監査で明らかになった問題点に対し、当該部局などに対し
343て改善指示を記述した文書。

か

改善措置実施報告書

改善要望書

解 説

改善要望への対応結果を記録した外部委託事業者から提出される文書。

不備が確認されたセキュリティ対策に対する改善要望を記述した文書。

該当№
128,129

132,206,207,20
8,209,210,211,2
36,237237

348,349

329

329

開発用ID登録・削除手続

開発者向けに発行するIDの登録、変更、抹消等の手続を記述した文書。

236

開発用ID登録・削除申請書

開発用IDの発行、変更、抹消を申請する文書。

236

開発用ID管理台帳

開発用IDを管理するために発行、変更、抹消及びアクセス権限区分を記録
236,237
した文書。

外部委託管理基準

外部委託事業者との間で締結する契約の内容、委託業務の運用状況の確 107,108,324,32
認等の基準を記述した文書。
9

外部委託事業者監査報告書

外部に設置された当該機器の情報セキュリティ対策状況を確認するために48行った監査の結果及び改善勧告について記述した文書。

2

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

該当№

外部委託事業者訪問記録

外部に設置された当該機器の情報セキュリティ対策状況を確認するために48訪問したこと（担当者、訪問日時等）を記録した文書。

外部委託事業者選定基準

外部委託事業者の選定基準や選定方法等を記述した文書。

外部委託事業者におけるISO/IEC27001認証取得状況

外部委託事業者のISO/IEC27001認証取得認定書又はこれに類する文書。 48

外部ネットワーク接続基準

外部ネットワークに接続する場合の事前調査や、損害賠償責任の担保、
ファイアウォールの設置、問題が生じた場合の遮断などの基準を記述した文書。

外部ネットワーク接続申請書/承認書

所管するネットワークを外部ネットワークと接続する場合の許可を得るため
166に申請し、承認する文書。

外部ネットワーク接続手続

所管するネットワークと外部ネットワークとを接続する場合の申請手続を記 165,166,167,16
述した文書。
8,170

外部ネットワーク調査結果

外部ネットワークのネットワーク構成、機器構成、セキュリティ技術等の調査結果を記録した文書。

監査実施計画

監査テーマ、監査項目、監査対象、監査実施日、監査実施者名、被実施部 335,336,337,33
門名等を記述した文書。
8,340

監査調書

監査人が実施し確認した内容を記録した文書。

342

監査報告書

監査対象、監査結果、確認した監査証拠、指摘事項等を記述した文書。

335,336,337,33
8,340,341

監視記録

ネットワークや情報システムへのアクセスの成功又は失敗等を記録・分析し288,298,300
た結果を記録した文書。

管理区域（情報システム室等）のレイ
ネットワークの基幹機器や情報システムの設置状況が記載された文書。
アウト図

324,325,326,32
7

165,166,167,16
8,170

167

30,51,52,53,54,5
5,56

管理区域構造基準

管理区域の配置や立ち入り制限、管理区域内の機器の保護などの基準を51記述した文書。

管理区域入退室基準/手続

管理区域への入退室を管理するため、入退室制限や身分証明書等の携
帯、職員の同行などの基準や、管理区域への入退室権限の申請や承認な 57,58,59,60,61
どの手続を記述した文書。

管理区域入退室記録

管理区域への入退室情報（時間・IDナンバー等）を記録した文書や映像。

関連法令等一覧

職員等が遵守すべき法令（例えば、地方公務員法第34条-守秘義務-や個
318,319
人情報保護条例等）を一覧にした文書。

記憶装置廃棄記録

記憶装置の廃棄手段・方法及び実施内容を記録した文書。

機器設置基準/手続

サーバ等の機器を庁内あるいは庁外設置する場合に、火災、水害、埃、振動、温度等の影響を可能な限り排除した場所に設置し、容易に取外せない
29,30,46,47,48
ように固定するなどの基準や、設置する場合の申請や承認などの手続を記述した文書。

機器設置記録ハードウェアを設置したときにベンダが作成する作業報告。

358,60,61,64

50

30,36,47

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

該当№

機器電源基準停電や瞬断、落雷等による過電流からサーバ等の機器を保護するための基準を記述した文書。

25,36,47

機器廃棄・リース返却基準

機器を廃棄する場合やリース返却する場合の基準を記述した文書。

49,50

機器廃棄・リース返却手続

機器を廃棄する場合やリース返却する場合の申請や承認などの手続を記述した文書。

49,50

機器搬入出基準/手続

管理区域への機器の搬入出の基準や、新しい情報システム等導入の際、既存のシステムへの影響を考慮するなどの基準、及び管理区域への機器 62,63,64
搬入出の申請や承認などの手続を記述した文書。

機器搬入出記録業者が機器を搬入出した際の作業内容を記録した文書。

機器保守・修理基準/手続機器の保守や修理に関わる基準や、機器の保守や修理を行う場合の申請
41,44,45や承認などの手続を記述した文書。

機器保守点検記録

ベンダが機器を保守点検したときの作業内容を記録した文書。

36,44

機密保持契約書

職務上知り得た機密情報の取扱いや、負うべき義務・責任を定めた文書。

45

業務委託契約書システム開発や運用等を外部の事業者に委託する場合に、委託する作業
108,184,279,32の内容や期間、支払方法、責任範囲、機密保持、損害賠償等の事項につい8ての取り決めを記述した文書。

業務継続計画

地震及び風水害等の自然災害等の事態に備えた、情報セキュリティにとど312
まらない危機管理を規定した文書。

緊急時対応計画

情報セキュリティインシデント、情報セキュリティポリシーの違反等により情報資産へのセキュリティ侵害が発生した場合又は発生するおそれのある場 285,286,287,30
合、関係者の連絡、証拠保全、被害拡大の防止、対応措置、再発防止措置 9,3311.312.313の策定等を記述した文書。

クラウドサービス事業者選定記録

クラウドサービス事業者を選定した際の調査内容と選定結果を記録した文書。

327

クラウドサービス利用基準

クラウドサービスを利用する場合の基準を記述した文書。

327

クリアデスク・クリアスクリーン基準

パソコン等にある情報を無許可の閲覧から保護するための基準や、使用していない文書及び電磁的記録媒体を適切な場所へ安全に収納する等、机 97,98
上の情報の消失及び損傷のリスクを軽減するための基準を記述した文書。

訓練実施報告書

訓練の実施日、内容、参加者、使用テキスト等を記録した文書。

110,117,118

結線図

庁内の通信回線装置間の配線を図に表した文書。

18,19,23,28,66,6
7,68,69,70,164,1
69

権限・責任等一覧

情報セキュリティに関わる事項について、誰がどのような権限及び責任を持っているかを記述した文書。

1

研修・訓練実施基準

102,109,110,11
情報セキュリティに関する研修や緊急時対応訓練の計画、実施、報告の基
1,112,113,114,1
準を記述した文書。
15,116,117,118,

464

監 査 資 料 例 一 覧 ／ 索 引
索引

さ

名称

解 説

該当№

研修・訓練実施計画

実施する研修・訓練のテーマ、実施予定日、内容、対象者、使用テキスト等 111,112,114,11を記述した文書。
6

研修実施報告書研修の実施日、内容、参加者、使用テキスト等を記録した文書。

102,110,113,11
5,118

サーバ障害対応実施手順

情報システム個別に作成した具体的なサーバ障害時対応手順を記述した
文書。

33,34

サーバ障害対策基準

サーバ障害時のセカンダリサーバへの切り替え等の対策基準を記述した文
33,34
書。

サーバ冗長化基準

冗長化すべき対象サーバ、冗長化の方法などの基準を記述した文書。

サービス契約書

外部ネットワークに接続する場合に、利用するサービスの内容や期間、支払方法、責任範囲、機密保持、損害賠償等の事項についての取り決めを記 168
述した文書。

サービス仕様書（サービスカタログ）

サービスの提供者が提示するサービスの内容や体制等を記述した文書。

作業報告書

外部委託事業者から提出される委託業務（保守作業や配線作業等）の作業
27,42,44,45,329
状況を記録した文書。

CSIRT設置要綱

情報セキュリティに関する統一的な窓口としてのCSIRTの役割、体制等の取り決めを記述した文書。

4

敷地図面

敷地周辺及び敷地内の施設の配置を記述した文書。

51,52,53,54,55,5
6

時刻設定手順コンピュータ内の時計を標準時に合わせるための手順を記述した文書。

299

自己点検結果情報システム等を運用又は利用する者自らが情報セキュリティポリシーの履行状況を点検、評価した結果を記録した文書。

302,304

自己点検結果報告書

点検対象、点検結果、確認した文書、問題点等を記述した文書。

346,347,348,34
9

自己点検実施基準

情報システム等を運用又は利用する者自らが情報セキュリティポリシーの履行状況を点検、評価するための基準を記述した文書。

301,302,304

自己点検実施計画

点検テーマ、点検項目、点検対象、点検実施日、点検実施者名等を記述し
346,347た文書。

システム運用基準

71,148,149,150,
151,154155,,15
情報システムの日常運用や変更等に関わる体制、手続、手順等、システム
6,157,297,298,2を運用する上で遵守しなければならない基準を記述した文書。
99,300,301,302,
304

システム運用作業記録

情報システムの運用担当者が作業した内容（作業時刻、作業内容、担当者
149
名、作業結果等）を記録した文書。

システム開発・保守計画

システム開発・保守にあたり、開発・保守体制、スケジュール、作業工程、会238,239,242,24
議体や開発・保守環境（使用するハードウェア、ソフトウェア）等を記述した
3
文書。

5

3132

325,326,327

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

システム開発・保守に関連する資料
資料等やテスト結果、ソースコード等の保管の基準を記述した文書。
等の保管基準該当№
249

システム開発基準

情報システムを開発する場合の工程、会議体、成果物、セキュリティ要件、 234,250,251,25
変更管理等の基準を記述した文書。
2,257,256

システム開発規則

情報システムを開発する場合の作業者が実施するセキュリティに関するルールを記述した文書。

235システム開発体制図

情報システムを開発する場合の責任者、作業者とその役割を記述した文書。

235

システム稼動記録

情報システムの稼働状況を記録した文書。

155

システム監視手順

サーバに記録されているファイルのサイズや更新日付等を監視するための 282,283,290,29
手順を記述した文書。
1

システム構成図

情報システム個別に作成したサーバ等の機器やソフトウェアの構成を記述 24,25,26,28,32,3
した文書。
6,37

システム仕様書等

データの入力処理、内部処理、出力処理や画面、帳票の仕様などを記述し 153,250,253,25
た文書。
4,255,257

システム設定検査記録

システム設定ファイルの変更等の状況を検査した結果を記録した文書。

284

システムテスト計画書／報告書

導入前の総合的なテスト項目とその結果を記録した文書。

245,246,247,24
8,251

システム統合手順

情報システムの統合・更新時の具体的な作業手順、作業結果の成否の確
認方法、失敗や異常の判定方法等を記述した文書。

259

システム変更管理基準

プログラムの保守等、情報システムを変更した場合の管理の基準を記述し
256
た文書。

システム変更等作業記録

情報システム変更等の作業に関する内容（作業時刻、変更作業内容、担当
150,151
者名、作業結果、確認者等）を記録した文書。

実施手順

対策基準を具体的な情報システムや手順、手続に展開して個別の実施事項として記述した文書。

支給以外のパソコン等使用基準

職員等が支給以外のパソコン及び電磁的記録媒体を用いる場合の管理の91,92
基準を記述した文書。

84

職員等が支給以外のパソコン及び電磁的記録媒体を用いる場合に、作業支給以外のパソコン等使用申請書/の目的、内容、支給以外のパソコン及び電磁的記録媒体を用いる理由、期 90,91,92
承認書
間等を申請し、情報セキュリティ管理者の承認を得たことを記録する文書。

住民に対する広報記録『広報誌』『ホームページ』『メールマガジン』『電子掲示板』等、住民等外部から情報セキュリティインシデントの報告を受ける窓口及び連絡手段を公表 122した記録。

障害時のシステム出力ログ

障害時にどのような事象が発生したのかを記録した文書。

障害対応基準

情報システム等の障害が発見された場合の対応体制、手続、手順などを記
158,159
述した文書。

6

155,159

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

該当№

障害報告書

情報システム障害等の発生経緯、発生時の状況、原因、暫定対応、恒久対 34,36,37,40,44,1
策などを記録した文書。
59,170,181

情報及びソフトウェアの交換基準

送主、送信、発送及び受領を通知する手順及び管理や責任範囲について記述した文書。

146,147

情報及びソフトウェアの交換に関する契約書（覚書）

他団体との間において情報やソフトウェアを交換する際の契約書や覚書。

147

情報資産管理基準

情報資産の管理責任、分類表示、入手から廃棄までの局面ごとの取扱等の基準を記述した文書。

6,7,8,9,10,11,12,
13,14,15,16,17

情報資産管理台帳

情報資産の名称、管理方法、管理責任者等の情報を記録した文書。

7,8,9,10,11,12,1
3,14,15,16,17,30,47,50

情報資産取扱基準

情報資産の分類に基づく管理方法について記述した文書。

85

情報資産廃棄記録

情報資産を廃棄した日時、担当者及び処理内容を記録した文書。

17

情報資産分類基準

機密性・完全性・可用性に基づく情報資産の分類基準や取扱制限等を記述5した文書。

情報システム関連文書管理基準

ネットワーク構成図や情報システム仕様書等の作成から廃棄までの管理に
152,153
関わる基準を記述した文書。

情報システム調達基準

情報システムの開発、導入、保守、機器及びソフトウェア等の調達に関わる
232基準を記述した文書。

情報システム導入基準

開発環境と運用環境の分離、移行、テスト等の基準を記述した文書。

情報セキュリティ委員会議事録

情報セキュリティに関する各事項を取り決める、最高情報セキュリティ責任3,111,115,311,3
者、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリ
38,341,343,344,
ティ管理者及び情報システム管理者等で構成された委員会において討議、
348,350,352
決定された事項について記録した文書。

情報セキュリティ委員会設置要綱

構成員、会議、事務局等を規定した文書。

情報セキュリティ違反時の対応手順

情報セキュリティ違反の重大性、発生した事案の状況等に応じて、違反した
321,322,323
職員等及びその監督責任者への対応手順を記述した文書。

情報セキュリティ監査実施要綱

情報セキュリティ監査の計画、実施、報告等の基本的事項を記述した文書。

334,335,336,33
7,340

情報セキュリティ監査実施マニュア
ル

情報セキュリティ監査を実施する際の計画、調達、実施、報告等の手順を記述した文書。

334,335,336,33
7,338,339,340,3
41,342

240,241,244

2,3

情報セキュリティ関連情報の通知記
情報セキュリティに関連する情報について、関係者に対して通知した記録。 286
録

情報セキュリティ自己点検基準

情報セキュリティ対策が整備・運用されていることを自ら点検し、評価するた
345
めの基準を記述した文書。

7

監 査 資 料 例 一 覧 ／ 索 引
索引

名称情報セキュリティ自己点検実施手順

解 説

該当№

情報セキュリティ対策が整備・運用されていることを自ら点検し、評価するた
345
めの実施手順を記述した文書。

発生した情報セキュリティインシデントの発見日時、発見者、状況、業務へ
情報セキュリティインシデント報告書の影響などを記録した文書。

120,121,123,27
6,283,286,288,2
89,302,303,304,
308,309

119,120,121,12
情報セキュリティインシデント報告手 庁内あるいは住民等外部からの情報セキュリティインシデントの報告ルート
2,123,301,302,3
順とその方法を記述した文書。
03,304,308,309

情報セキュリティポリシー

組織内の情報セキュリティを確保するための方針、体制、対策等を包括的に定めた文書。

1,2,3,4,5,6,83,84,
85,105,107,301,
302,304,305,31
0,312,320,321,3
44,350,351,352

職員等への周知記録

首長等によって承認された決定事項や関係者で共有すべき情報等を職員等に公表・通知した文書。

83,106,141,183,
253,295,352

職務規程

職員等の職務について必要な事項を定めた文書。

99,100

セキュリティ機能調査結果

調達する機器及びソフトウェアに必要とする技術的なセキュリティ機能が組233
み込まれているか調査し、その結果を記録した文書。

セキュリティ情報収集基準

セキュリティホールや不正プログラム等に関する情報を収集・周知するため
292の基準を記述した文書。

セキュリティ設定変更申請書/承認書

所属課室名、名前、日時、変更対象物、理由、管理者の確認印等を記録し96た文書。

セキュリティホール関連情報の通知 セキュリティホールに関連する情報について、関係者に対して通知した記
記録
録。

293

接続許可端末一覧

外部から接続することを許可した端末の一覧を記録した文書。

225

ソーシャルメディアサービス管理手
順ソーシャルメディアサービスを利用する場合の管理手順を記述した文書。

332,333

ソーシャルメディアサービス利用基
準ソーシャルメディアサービスを利用する場合の基準を記述した文書。

333,334

ソースコード

プログラミング言語を用いて記述したプログラムのこと。

252

ソフトウェア管理台帳

プログラム等のバージョンなどの情報を記録した文書。

256

ソフトウェア導入基準/手続ソフトウェアを導入する場合の基準や、ソフトウェアの導入許可を得るための手続を記述した文書。

196,197,198,19
9

ソフトウェア導入申請書/承認書

業務上必要なソフトウェアがある場合の導入許可を得るために申請し、承認
198
する文書。

8

監 査 資 料 例 一 覧 ／ 索 引
索引
た

名称

解 説

該当№
30,51,52,53,54,5
5,56

建物フロアレイアウト図

建物の各フロアの構成配列・配置を記述した文書。

端末構成変更基準/手続

パソコン、モバイル端末等の機器構成を変更する基準や、パソコン、モバイ
200,201,202
ル端末等の機器構成を変更する場合の手続を記述した文書。

端末構成変更申請書/承認書

パソコン、モバイル端末等に対し機器の改造及び増設・交換の必要がある
場合に許可を得るために申請し、承認する文書。

端末接続時手続

外部から持ち込んだ端末を庁内ネットワークに接続する際に実施すべき手
224,225
続を記述した文書。

端末等セキュリティ設定変更基準/
手続

パソコン、モバイル端末等のソフトウェアに関するセキュリティ機能の設定を変更する基準や、セキュリティ機能の設定を変更する場合の手続を記述し 95た文書。

端末等持出・持込基準/手続

パソコン、モバイル端末や情報資産を庁外に持ち出す場合の基準や、庁外
87,88,90,93,94に持ち出す場合の許可を得る手続を記述した文書。

端末等持出・持込申請書/承認書

職員等がパソコン、モバイル端末及び電磁的記録媒体、情報資産及びソフトウェアを持ち出す場合又は持ち込む場合に、所属課室名、名前、日時、持87,94
出/持込物、個数、用途、持出/持込場所、持ち帰り日/返却日、管理者の確認印を記録した文書。

端末ログ

端末の利用状況や、操作内容を記録した文書。

庁外機器設置申請書／承認書

庁外に機器を設置するにあたり、最高情報セキュリティ責任者の承認を得る
47
ために申請する文書。

庁外作業申請書/承認書

職員等が外部で情報処理作業を行う場合に、作業の目的、内容、期間等を89
申請し、情報セキュリティ管理者の承認を得たことを記録する文書。

庁外での情報処理作業基準/手続職員等が外部で情報処理作業を行う場合のパソコン、モバイル端末等の持ち出しや庁外で作業する際の注意事項、支給以外のパソコンの使用制限な
87,88,89,92
どの基準、及び外部で情報処理作業を行う場合の申請や承認などの手続を記述した文書。

調達仕様書

調達する情報システムの要件、機能、必要となるセキュリティ機能等の仕様
232,233を記述した文書。

通信回線敷設図

庁内の通信回線の敷設状況を図に表した文書。

通信ケーブル等配線基準/手続

電源ケーブルや通信ケーブルを損傷等から保護するための配線基準やネットワーク接続口（ハブのポート等）の設置基準、及び配線や設置に関わ 38,39,40,441,42
る申請や変更・追加等の手続を記述した文書。

通知書

情報セキュリティポリシーに違反する行動等が確認された場合、関係者に改善のための指示を通知する文書。

204,289,322,32
3

電子メール管理基準

電子メール転送禁止や送受信容量制限、業務外利用禁止など、電子メー
ルの運用・管理に関わる基準を記述した文書。

179,180,181.18
2.183,184,185

電子メール送受信ログ

電子メールの送受信が行われた日時や送受信データの内容などを記録した文書。

86,188,189,190,
193

電子メール利用基準

電子メールを送受信する場合の基準を記述した文書。

84,104,186,187,
188,189,190,19
1,192,193,194,2
74

9

202

86,28818,19,23,28,41,6
6,67,68,69,70,16
6,169

監 査 資 料 例 一 覧 ／ 索 引
索引

な

は

名称

解 説

該当№

同意書

情報セキュリティポリシー等を遵守することを誓約し、署名あるいは記名捺
印した文書。

統合時影響検討書

情報システムの統合・更新を実施した場合に想定される影響範囲と影響の259
大きさ及びその対処方針について、検討した結果を記述した文書。

特定用途機器管理基準

特定用途機器のセキュリティ設定等の基準を記述した文書。

175

特定用途機器管理手続

特定用途機器を運用する際の具体的な手続きを記述した文書。

175

特権ID・パスワード変更記録

特権IDや特権IDのパスワードの変更したことを記録した文書。

215

特権ID管理台帳

特権IDの付与情報を記録した文書。

210,211

特権ID取扱手続

特権IDの取り扱い（登録、変更、抹消等）の認可手続きや、パスワードの管理について記述した文書。

210,211,214,21
5,216

特権ID認可申請書

特権ID利用の許可を得るため申請を記録した文書。

210

特権代行者承認書

統括情報セキュリティ責任者及び情報システム管理者の特権を代行者を最212
高情報セキュリティ責任者が承認したことを記録した文書。

特権代行者通知書

統括情報セキュリティ責任者及び情報システム管理者の特権を代行する者
213
を関係者に通知したことを記録した文書。

認証用カード管理記録

入退管理システムで使用する認証用カードの発行状況を記録した文書。

ネットワーク管理基準

18,19,23,24,65,6
ネットワークにおけるデータのセキュリティを確保するための体制、責任、
6,67,68,69,70,71
ネットワークに接続したサービスを無認可のアクセスから保護するための基,72,73,104,163,1
準等、ネットワークの運用、変更などに関わる基準を記述した文書。
69,177,178,284

ネットワーク管理記録

ネットワーク管理基準に従って実施した管理作業の実施日、実施者、実施内容等について記録した文書。

281

ネットワーク設計書

ネットワークの構成や設定などを記述した文書。

178,179,216,22
1,222,226,230

ネットワーク設定基準

個々のネットワーク毎に、どのような通信経路を介して、接続するのかなどを記述した文書。

160,161,162

ネットワーク利用基準

庁内ネットワークやインターネットを利用する場合の基準を記述した文書。

85,202,203,204

パスワード管理基準

パスワードの選択や変更等、管理の基準を記述した文書。

133,134,135,13
6,137,138,139

パソコン等管理基準

パソコン、モバイル端末等の盗難防止対策やパスワード設定、データ暗号化等の基準を記述した文書。

20,21,22,74,75,7
6,77,78,79,80,81
,82

10

103

58

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

該当№

バックアップ基準

ファイルサーバ等の故障等に備えて実施しておくべきバックアップの基準に
144,145
ついて記述した文書。

バックアップ実施記録

バックアップを行った内容（媒体識別番号、実施日時、作業者名、範囲（フルバック、差分バックアップなど））等を記録した文書。

145

バックアップ手順

バックアップの実施方法や実施間隔、バックアップ媒体の保管方法等について記述した文書。

144,143

パッチ適用記録

パッチをソフトウェアに適用した結果を記録した文書。

294

パッチ適用情報

セキュリティホールや不正プログラム等に対するパッチの適用情報を記録し
294
た文書。

非常勤及び臨時職員の情報セキュリティポリシー遵守、同意書への署名、非常勤及び臨時職員への対応基準 インターネット接続及び電子メール使用等の制限などに関わる基準につい 101て記述した文書。

ファイアウォール設定

ネットワークを分離するために設置したファイアウォールの設定やアクセス制御のためのルール、ポートなどの制御に関するルール等を記述した文書。

ファイアウォールログ

内部から外部ネットワーク、外部から内部ネットワークへの通信が行われた
86,281
日時や利用したサービス（メール、web等）等を記録した文書。

複合機管理基準

複合機のセキュリティ設定や、データ抹消等の基準を記述した文書。

171,172,173,17
4

複合機管理手続

複合機を調達し、運用する際の具体的な手続きを記述した文書。

171,172,173,174

不正プログラム対策基準

260,261,262,26
3,264,265,266,2
コンピュータウイルスやスパイウェア等の不正プログラムから情報資産を保67,268,269,270,
護するための不正プログラム対策ソフトウェアの導入や定期的なパターン
271,272,273,27
ファイル・ソフトウェアのバージョン更新等の基準を記述した文書。
4,275,276,277,2
78,279281

261,262,265,26
不正プログラム対策ソフトウェアのロ 不正プログラム対策ソフトウェアでファイル等をチェックした結果を記録した
6,269,270,271,2
グ
文書。
72,273,275,276

不正プログラム対策手順

260,261,262,26
3,264,265,266,2
不正プログラム対策ソフトウェアの導入や定期的なパターンファイル・ソフト 67,268,269,270,
ウェアのバージョン更新等の手順を記述した文書。
271,272,273,27
4,275,276,277,2
78,279プログラム仕様書等

システム仕様書に基づいてプログラムを開発する際の具体的な仕様を記述 153,250,253,25
した文書。
4,255,257

文書サーバ設定基準

文書サーバの容量や構成、アクセス制御などの設定基準について記述した 140,141,142,14
文書。
3

他の組織との間の情報及びソフト
ウェアの交換に関する申請書

他団体との間において情報やソフトウェアの交換の許可を得るため申請す
る文書。

11

147

監 査 資 料 例 一 覧 ／ 索 引
索引

や

ら

名称

解 説

該当№

保守機器管理表

保守対象機器、保守実施時期、保守内容、保守担当等を一覧表などで記述した文書。

44,45

保守体制図

当該機器の保守依頼の受付窓口や担当者等、体制を記述した文書。

27,44,45

約款による外部サービス運用手順

約款による外部サービスを利用する際の具体的な手順を記述した文書。

330,331

約款による外部サービス利用申請書 約款による外部サービス利用の申請と許可を記録した文書。

330,331

約款による外部サービス利用基準

約款による外部サービスを利用する場合の基準を記述した文書。

330,331

ユーザテスト計画書／報告書

業務に精通している利用部門による操作確認のテスト項目とその結果を記録した文書。

246,247

リストア手順情報システムを正常に再開するためのバックアップ媒体から情報を元に戻144,145
す手順を記述した文書。

リストアテスト記録

バックアップ媒体から正常に情報を元に戻せるかどうかを検証した結果を記145録した文書。

リモートアクセス方針

外部から内部のネットワーク又は情報システムへのアクセスに対する方針218を記述した文書。

リモート接続許可申請書／許可書

リモート接続の申請と許可を記録した文書。

291,220

リモート接続手続

外部から内部のネットワークへ接続する具体的な手続きを記述した文書。

218,223

利用者ID管理台帳

利用者IDの付与情報を記録した文書。

207,208,209,21
0

利用者ID登録・変更・抹消申請書

利用者IDを登録、変更、又は抹消の申請を記録した文書。

206,207,208

利用者ID取扱手続利用者IDの取り扱い（登録、変更、抹消等）の認可手続きやパスワードの管206,228,229
理について記述した文書。

利用状況調査基準

職員等の使用しているパソコン、モバイル端末及び電磁的記録媒体のロ
グ、電子メールの送受信記録等の利用状況の調査に関わる基準を記述し
た文書。

295

利用状況調査結果

職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体のロ
グ、電子メールの送受信記録等の利用状況を調査した結果を記録した文書。

296

利用者ID棚卸記録

利用者IDの登録状況、及びアクセス権の付与状況を定期的に確認したこと209を記録した文書。

例外措置実施報告書

許可を得て実施した例外措置の内容を記録した文書。

例外措置申請書/許可書

情報セキュリティ関係規定を遵守することが困難な理由を説明し、最高情報
セキュリティ責任者に例外措置を採ることの許可を申請し、許可されたこと 315,317を記録した文書。

例外措置対応基準/手続

情報セキュリティ関係規定の遵守が困難な状況で行政事務の適正な遂行を継続しなければならない場合の対応基準や、例外措置の実施について申 314
請、審査、許可に関わる手続を記述した文書。

12

315,316,317

監 査 資 料 例 一 覧 ／ 索 引
索引

名称

解 説

該当№

ログ

情報システムにアクセスした日時、アクセスしたID、アクセス内容等を記録した文書。

153,287

ログイン画面

情報システムのログイン認証の画面。

227

13

情報セキュリティ監査実施要綱（例）

情報セキュリティ監査実施要綱（例）第１章 総 則（目 的）第１条

この要綱は、○○○市における情報セキュリティ監査に関する基本的事項を定め、本市の情報セキュリティの維持・向上に資することを目的とする。
（監査対象）
第２条 情報セキュリティ監査は、○○○市情報セキュリティポリシーに定める行政機関
を対象に実施する。
（監査実施体制）第３条 情報セキュリティ監査は、○○○室が担当する。
２

情報セキュリティ監査は、情報セキュリティ監査統括責任者が指名する監査人によって実施する。

３

外部監査を行う場合は、外部監査人の選定基準に基づき、客観的で公平な手続きに従って調達を行い、外部の専門家により情報セキュリティ監査を実施する。

（監査の権限）第４条 監査人は、情報セキュリティ監査の実施にあたって被監査部門に対し、資料の提出、事実などの説明、その他監査人が必要とする事項の開示を求めることができる。
２

被監査部門は、前項の求めに対して、正当な理由なくこれを拒否することはできない。

３

監査人は、外部委託先など業務上の関係先に対して、事実の確認を求めることができる。

４

監査人は、被監査部門に対して改善勧告事項の実施状況の報告を求めることができる。

（監査人の責務）
第５条 監査人は、監査を客観的に実施するために、監査対象から独立していなければならない。
２

監査人は、情報セキュリティ監査の実施にあたり、常に公正かつ客観的に監査判断を行わなければならない。
2

３

監査人は、監査及び情報セキュリティに関する専門知識を有し、相当な注意をもって監査を実施しなければならない。

４

監査報告書の記載事項については、情報セキュリティ監査統括責任者及び監査人がその責任を負わなければならない。

５

情報セキュリティ監査統括責任者及び監査人は、業務上知り得た秘密事項を正当な理
由なく他に開示してはならない。

６

前項の規定は、その職務を離れた後も存続する。

（監査関係文書の管理）
第６条 監査関係文書は、紛失等が発生しないように適切に保管しなければならない。

第２章 監査計画（監査計画）
第７条 情報セキュリティ監査は、原則として監査計画にもとづいて実施しなければならない。
２

監査計画は、中期計画、年度計画及び監査実施計画とする。

（中期計画及び年度計画）
第８条 情報セキュリティ監査統括責任者は、中期の監査基本方針を中期計画として策定
し、情報セキュリティ委員会の承認を得なければならない。
２

情報セキュリティ監査統括責任者は、中期計画にもとづき、当該年度の監査方針、監
査目標、監査対象、監査実施時期、監査要員、監査費用などを定めた年度計画を策定し、情報セキュリティ委員会の承認を得なければならない。

（監査実施計画）第９条

情報セキュリティ監査統括責任者は、年度計画にもとづいて、個別に実施する監査ごとに監査実施計画を策定し、情報セキュリティ委員会の承認を得なければならない。
２

特命その他の理由により、年度計画に記載されていない監査を実施する場合も、監査実施計画を策定しなければならない。

第３章 監査実施（監査実施通知）第１０条

情報セキュリティ監査統括責任者は、監査実施計画にもとづく監査の実施に3あたって、原則として○週間以上前に被監査部門の情報セキュリティ管理者に対し、監査実施の時期、監査日程、監査範囲、監査項目などを文書で通知しなければならない。
２

ただし、特命その他の理由により、事前の通知なしに監査を実施する必要性があると判断した場合には、この限りではない。

（監査実施）
第１１条 監査人は、監査実施計画にもとづき、監査を実施しなければならない。ただし、特命その他の理由によりやむを得ない場合には、情報セキュリティ監査統括責任者の承認を得てこれを変更し実施することができる。
（監査調書）
第１２条 監査人は、実施した監査手続の結果とその証拠資料など、関連する資料を監査調書として作成しなければならない。
（監査結果の意見交換）
第１３条 監査人は、監査の結果、発見された問題点について事実誤認などがないことを確認するため、被監査部門との意見交換を行わなければならない。

第４章 監査報告（監査結果の報告）第１４条 情報セキュリティ監査統括責任者は、監査終了後、すみやかに監査結果を監査報告書としてとりまとめ、情報セキュリティ委員会に報告しなければならない。ただし、特命その他の理由により緊急を要する場合は口頭をもって報告することができる。
２

監査報告書の写しは、必要に応じて、被監査部門の情報セキュリティ管理者に回覧又は配付する。

３

情報セキュリティ監査統括責任者は、被監査部門に対して監査報告会を開催しなければならない。

（監査結果の通知と改善措置）
第１５条

最高情報セキュリティ責任者は、情報セキュリティ委員会への監査結果報告

後、すみやかに監査結果を被監査部門の情報セキュリティ管理者に通知しなければならない。
２

前項の通知を受けた被監査部門の情報セキュリティ管理者は、改善勧告事項に対する改善実施の可否、改善内容、改善実施時期などについて、最高情報セキュリティ責任者に回答しなければならない。
4

３

情報セキュリティ委員会は、監査結果を情報セキュリティポリシーの見直し、その他
情報セキュリティ対策の見直し時に活用しなければならない。

（フォローアップ）第１６条 情報セキュリティ監査統括責任者は、被監査部門における改善勧告事項に対する改善実施状況について、適宜フォローアップしなければならない。
２

前項による確認結果については、適宜とりまとめ、情報セキュリティ委員会に報告しなければならない。

以5上情報セキュリティ監査
実施計画書（例）情報セキュリティ監査実施計画書（例）
平成○○年○○月○○日

1

監査目的

2

監査テーマ

3

監査範囲

4

被監査部門

○○業務に関して、情報資産の管理体制が適切に確立されているか確認する。

庁内設備を利用するに当たって、内外の脅威に対する情報セキュリ
ティ対策が行われているか確認する。

○○業務○○情報システム○○○○課（情報システム所管課）○○○○課（原課）
ア．規程類、記録類の確認

5

監査方法

イ．情報システム、マシン室及び執務室の視察
ウ．職員へのアンケート調査及びヒアリング

6

7

監査実施日程監査実施体制

平成○○年○○月○○日～ 平成○○年○○月○○日

情報セキュリティ監査統括責任者

○○○○

監査人

○○○○

監査人

○○○○

アクセス制御8

監査項目

不正プログラム対策
不正アクセス対策

9

適用基準

・○市 情報セキュリティポリシー
・○○○実施手順書

2

情報セキュリティ監査報告書(例)

情報セキュリティ監査報告書（例）平成○○年○○月○○日
1 監査目的2 監査テーマ○○業務に関して、情報資産の管理体制が適切に確立されているか確認する。
庁内設備を利用するに当たって、内外の脅威に対する情報セキュリ
ティ対策が行われているか確認する。

3 監査範囲○○業務、○○情報システム

4 被監査部門○○○○課（情報システム所管課）、○○○○課（原課）
ア．規程類、記録類の確認

5 監査方法イ．情報システム、マシン室及び執務室の視察
ウ．職員へのアンケート調査及びヒアリング

6 監査実施日程
7 監査実施体制

平成○○年○○月○○日～

平成○○年○○月○○日

情報セキュリティ監査統括責任者

○○○○

監査人

○○○○

監査人

○○○○

アクセス制御8 監査項目不正プログラム対策
不正アクセス対策

9 適用基準・○市 情報セキュリティポリシー
・○○○実施手順書

１.総括
××××××××××××××××××××××××××××××××××××××(１)アクセス制御①×××××××××【監査結果】
××××××××××××××××××××××××××××××××××××【指摘事項】
××××××××××××××××××××××××××××××××××××【改善案】
××××××××××××××××××××××××××××××××××××(２)不正プログラム対策①×××××××××

・・2情報セキュリティ監査
業務委託仕様書（例）情報セキュリティ監査業務委託仕様書（例）１

業務名○○市情報セキュリティ監査業務

２

監査目的
本業務は、○○市の情報セキュリティポリシーに基づき実施している情報資産の管理、各種情報システムの保守・運用、職員研修等の情報セキュリティ対策について、
第三者による独立かつ専門的な立場から、基準等に準拠して適切に実施されているか否かを点検・評価し、問題点の確認、改善方法等についての検討、助言、指導を行う
ことによって、○○市の情報セキュリティ対策の向上に資することを目的とする。

３

発注部署○○市△△部□□課

担当者：

連絡先〒XXX-XXXX○○市××

電話番号：0XXX-XX-XXXX
４

FAX：0XXX-XX-XXXX

監査対象○○市行政LAN/WAN上の情報システムを対象とする（具体的な範囲は、別に受託者に指示することとし、個別ネットワークについては、監査対象に含まない。）。

５

業務内容｢地方公共団体情報セキュリティ監査ガイドライン｣を基に、○○市の実情にあった
監査項目を抽出して、助言型監査を実施すること。なお、技術的検証の実施も含まれることに留意する。

６

適用基準(1)必須とする基準
ア○○市情報セキュリティポリシー（基本方針及び対策基準）

イ○○市△△情報システム実施手順書(2)参考とする基準
ア○○市情報セキュリティ監査実施要綱

イ○○市個人情報保護条例

ウ

地方公共団体における情報セキュリティポリシーに関するガイドライン（総務省）
エ

地方公共団体における情報セキュリティ監査に関するガイドライン（総務省）

オ

上記のほか委託期間において情報セキュリティに関し有用な基準等で、○○市と協議して採用するもの
2

７

監査人の要件(1)受託者は情報セキュリティサービス基準適合サービスリスト（うちセキュリティ監査
サービスにに係る部分）、または情報セキュリティ監査企業台帳に登録されていること。
(2)受託者はIS0/IEC27001(JIS Q 27001)認証又はプライバシーマーク認証を取得していること。
(3)監査責任者、監査人、監査補助者、アドバイザー等で構成される監査チームを編成すること。
(4)監査の品質の保持のため監査品質管理責任者、監査品質管理者等の監査品質管理体制をつくること。
(5)監査チームには、情報セキュリティ監査に必要な知識及び経験（地方公共団体における情報セキュリティ監査の実績）を持ち、次に掲げるいずれかの資格を有する者が１人以上含まれていること。
アシステム監査技術者

イ

公認情報システム監査人（CISA）

ウ

公認システム監査人

エISMS 主任審査員

オ

ISMS 審査員

カ

公認情報セキュリティ主任監査人

キ

公認情報セキュリティ監査人(6)監査チームには、監査の効率と品質の保持のため次のいずれかの実績（実務経験）を有する専門家が１人以上含まれていること。
ア

情報セキュリティ監査

イ

情報セキュリティに関するコンサルティング

ウ

情報セキュリティポリシーの作成に関するコンサルティング（支援を含む）(7)監査チームの構成員が、監査対象となる情報資産の管理及び当該情報資産に関する情報システムの企画、開発、運用、保守等に関わっていないこと。
８

監査期間
平成○○年○○月○○日～平成○○年○○月○○日

９

監査報告書の様式(1)監査報告書の作成様式
ア

Ａ４版縦（必要に応じてＡ３版三つ折も可。Ａ３版三つ折の場合、両面印刷は不可とする。
）とし、様式は任意とする。
イ

監査報告書は監査対象についての脆弱点を網羅した非公開の｢監査報告書(詳細版)｣と公開を前提とした｢監査報告書(公開版)｣の２種類を作成し、提出すること。
(2)監査報告書の宛名
１部を「○○市長」宛てとし、他を｢最高情報セキュリティ責任者｣宛てとする。
3

１０ 監査報告書の提出先○○市△△部□□課とする。
１１ 監査報告会
監査対象となった課室の長及び情報セキュリティ責任者、情報システム管理者に対して、監査結果の報告会を実施すること。
１２ 監査成果物と納入方法
下記に掲げる監査成果物を書面（Ａ４版縦を基本とし、必要に応じてＡ３版三つ折も可。Ａ３版三つ折の場合、両面印刷は不可とする。）及び電子媒体（CD-R）にて、必要数を提出すること。
(1)監査成果物
ア

監査実施計画書２部

イ

情報セキュリティ監査報告書（詳細版） ２部

ウ

情報セキュリティ監査報告書（公開版） ２部(2)納品方法
ア

紙媒体

上記のとおりイ

電子媒体 １部

１３ 成果物の帰属
成果物及びこれに付随する資料は、全て○○市に帰属するものとし、書面による○○市の承諾を受けないで他に公表、譲渡、貸与又は使用してはならない。ただし、成果物及びこれに付随する資料に関し、受託者が従前から保有する著作権は受託者に留保されるものとし、○○市は、本業務の目的の範囲内で自由に利用できるものとする。
１４ 委託業務の留意事項
業務の実施にあたっては、以下の事項に留意する。
(1)監査実施計画書の提出
契約締結後、受託者は監査実施計画書を提出し、市及び受託者の協議により委託
業務の詳細内容及び各作業の実施時期を決定するものとする。
(2)資料の提供等
本業務の実施にあたり、必要な資料及びデータの提供は○○市が妥当と判断する範囲内で提供する。
なお、受託者は、○○市から提供された資料は適切に保管し、特に個人情報に係るもの及び情報システムのセキュリティに係るものの保管は厳格に行うものとする。また、契約終了後は本件監査にあたり収集した一切の資料を速やかに○○市に返還し、又は破棄するものとする。
(3)技術的検証
技術的検証については、対象情報システム及び行政 LAN/WAN の運用に対し、支障及び損害を与えないように実施するものとする。
4

(4)再委託
受託者は、本業務の実施にあたり他の業者に再委託することを原則、禁止する。
再委託が必要な場合は、○○市と協議の上、事前に書面により○○市の承認を得ること。
(5)秘密保持等
受託者は本業務の実施にあたり、知り得た情報及び成果品の内容を正当な理由なく他に開示し又は自らの利益のために利用してはならない。これは、契約終了後又は契約解除後においても同様とする。
(6)議事録等の作成受託者は、本業務の実施にあたり○○市と行う会議、打ち合わせ等に関する議事録を作成し、○○市にその都度提出して内容の確認を得るものとする。
(7)関係法令の遵守
受託者は業務の実施にあたり、関係法令等を遵守し業務を円滑に進めなければならない。
(8)報告等
受託者は作業スケジュールに十分配慮し、○○市と密接に連絡を取り業務の進捗状況を報告するものとする。
１５ その他
本業務の実施にあたり、本仕様書に記載のない事項については○○市と協議の上決定するものとする。

以

5

上

情報セキュリティ監査
業務委託契約書（例）情報セキュリティ監査業務委託契約書（例）
自治体
事業者（完成保証人

甲：
乙：
丙：

委託業務名

：○○市情報セキュリティ監査業務委託

履行場所：○○市○○

履行期限

自
至

）

平成○○年○○月○○日
平成○○年○○月○○日

甲は、乙と、下記のとおり頭書情報セキュリティ監査業務委託契約を締結し、その契約の証として、本書 2 通（完成保証人がある場合は 3 通）を作成し、当事者記名捺印の上これを保有する。
第１条（総則）甲と乙は、以下の内容の請負契約※1 を締結する。
１ 名
称○○市情報セキュリティ監査業務※2
２ 業務の内容
別紙業務委託仕様書※3 第２項、第４項から第６項まで、第９項から第１２項まで
記載のとおり、乙が管理する監査チームの監査従事者が、甲の情報セキュリティ監
査統括責任者に対し、監査時期において、監査の目的に従い、監査対象を適用基準に照らして評価することを含む監査範囲の監査を行い、その結果を記載した監査報告書を含む監査成果物を定められた納品方法により提出すること。
①監査チームの構成及び監査従事者 別紙監査従事者名簿※4 記載のとおり。
②監査時期
別紙業務委託仕様書第８項記載のとおり。
③監査の目的同第２項記載のとおり。
④監査対象
同第４項記載のとおり。
⑤業務範囲
同第５項記載のとおり。
⑥適用基準
同第６項記載のとおり。
⑦成果物と納品方法
同
第９から１２項まで記載のとおり。
⑧成果物の提出期限
平成○○年○○月○○日⑨評価の基準日
平成○○年○○月○○日
３ 代金及び支払いの時期
xxx万円（監査に要する一切の経費を含む（消費税及び地方消費税込））
支払日：平成○○年○○月○○日※1 監査契約を請負契約とするものと準委任契約とするものがあり得るが、本件監査では実務上多く存在する請負契約とした。ただし、監査契約が請負契約か準委任契約かその混合契約かの争いを防止するため、請負契約であることを明記した。
※2 仕事の内容のうち、明示されていない事項については、｢仕事の内容につき本契約書に明記されていない事項及び本契約書の記載内容に解釈上の疑義を生じた場合には甲乙が協議して定める｣という一項を入れることもある。さらに、監督員（地方自治法施行令第2167 条の 15 第 4 項の規定に基づき監督を委託された者をいう）がいる場合は、｢ただし軽微なものについては、甲又は監督員の指示に従うものとする。｣というただし書きをつける場合もある。
※3 情報セキュリティ監査業務委託仕様書（例）を参照のこと。なお、業務委託仕様書と異なるときはその内容を記載する。
※4 監査従事者名簿は、本件監査に従事する者を特定することにより、監査の品質を裏付けるとともに、監査に関して問題が発生したときの責任の追及を容易にするためのものであるから、監査主体における地位（監査責任者、監査補助者等の監査主体における組織統制上の位置を明らかにする事項）、氏名、生年月日、住所、連絡先、資格などを記載する。
記載内容が詳細にわたるため、契約書とは別に監査従事者名簿を作成する。

第２条（監査人の権限）
乙は、甲に、本契約に定めるセキュリティ監査（以下｢本件監査｣という。
）を実施するため甲に具体的な必要性を説明して、相当な方法をもって、以下の行為を行うことができる。
１ 甲の所有・管理する場所に存する各種の文書類及び資料類の閲覧、収集。
２ 甲の役職員に対する質問及び意見聴取。
３ 甲の施設の現地調査。
４ 監査技法を適用するためのコンピュータ機器の利用。
５ 本件監査の監査報告書を決定する前における乙との意見交換。
第３条（品質管理）※5
乙は、監査結果の適正性を確保するために、別に定める品質管理を行う。
※5 品質管理の具体例としては、監査人要件、技術的検証の内容、監査ツール、監査結果の管理方法その他が考えられる。監査品質は監査結果とコストに影響するため、その内容を具体的に定めるときは契約時にその内容、方法及び評価の方法を具体的に特定しておくことが望ましい。ただし、その内容には実情に応じて定めるべきであり、契約書例では「別に定める」としている。

第４条（注意義務）※6
乙は、職業倫理に従い専門職としての相当の注意と○○団体が定めた倫理規則を遵守して誠実に本件監査を実施し、監査従事者全員をして乙の義務を履行させる。
※6 地方公共団体の情報セキュリティ監査には、高い公益性が認められるため、その注意義
務の内容は、請負人の一般的な注意義務や善良なる管理者の注意義務以上の厳格なものであるべきである。そこで本条を設けた。契約にあたっては、乙が所属し倫理規範を設けている団体の名称を○○に挿入する。

第５条（監査人の責任）※7
１ 乙は、監査対象事実と適用基準との乖離の有無と程度、その助言の内容を実施す
ることによって乖離の程度が縮小するとの意見を表明する。
２ 乙は、前項の意見が、前条に定める注意義務に照らして合理的に導かれた乙の評価に基づくことについて責任を負う。
※7 第 1 項は、助言型監査の場合の文例である。保証型監査の場合は、｢乙は、監査対象事
実と適用基準との乖離の有無の判断を内容とする意見を表明する｣となる。

第６条（機密保持）
乙と監査従事者は、本件監査を行うに際して知り得た秘密※8 及び個人情報を正当な理
3

由なく他に開示し又は自らの利益のために利用してはならない。なお、この契約が終了
又は解除された後においても同様とする。
※8 守秘義務の対象を、｢秘密｣とするときは、乙の契約違反の責任を追及する場合に甲が秘密として管理していることの立証に成功する必要がある。｢事実｣とするときは、およそ全ての事実であり、甲がこれを秘密として管理していたか否かを問わないし、甲はその立証をする必要はない。なお、特に、個人情報については、地方公共団体の個人情報保護条
例においても、個人データの外部委託先に対して、安全管理のための必要な監督を行う義
務を負うことが規定されることが多いため、個人情報については特に守秘条項を記載した。

第７条（監査の手順）
乙は、監査計画に基づき、予備調査、本調査及び評価・結論の手順により本件監査を実施する。
第８条（監査実施計画書の提出・承認）
乙は、甲に、予備調査後速やかに ※9 以下の事項を含む本件監査の手順及びその実施時期を具体的に記載した監査実施計画書を提出して甲の承認を得た後でなければその後の手順を行ってはならない。なお、乙は、本件監査の目的を達するた
め、監査実施計画書を、監査の進行に伴い、甲と協議して変更することができる。
１ 本調査実施方法の要領
２ 調査実施場所毎の監査従事者
３ 調査実施場所毎の調査時期
４ 収集する監査証拠の範囲
５ 監査証拠の収集方法
６ 特段の評価方法があるときはその旨
７ 評価の日
８ 監査の協議の日時・内容
９ 監査結果の報告の日時・内容
１０ その他本件監査に必要な事項※9

具体的な日時を記載することが望ましい

第９条（監査調書の作成と保存）
１ 乙は、本件監査を行うにあたり監査調書を作成する。
２ 乙は、甲に、監査報告に際し、監査調書及び乙が本件監査にあたり収集した一切の物及び電磁的記録を引き渡し、それらに対する所有権、著作権その他一切の権利を放棄する。
第１０条（監査報告書の記載事項）
乙は、監査報告書に、実施した監査の対象、監査の内容、証拠に裏付けられた合理的な根拠に基づく意見※10、制約又は除外事項、その他本件監査の目的に照らして必要と判断した事項を明瞭に記載する。
※10 監査報告書は、監査証拠に裏付けられた合理的な根拠に基づくものであることを要する。したがって監査報告書中に、監査意見に至った根拠とそれを導く証拠が記載され、これを第三者が評価できるように整然と、かつ明瞭に記載することが望ましい。

4

第１１条（監査報告書の開示）
甲は、乙から提出された成果物を、第三者に開示することができる。※11※11 成果物の開示については、甲乙間でその手続、条件を定めることもある。その際の監査契約書の記載例としては、｢甲は、乙の事前の承認を得て、本件監査の成果物を第三者に開示することができる。手続、条件は別途協議して定める｣という記載が考えられる。

第１２条（改善指導）
乙は、監査結果に基づいて、別に定めるところにより改善指導を行う。
第１３条（解除）
甲が第１条により乙に支払うべき金員を支払わないときは、乙は、本件監査に関して保管中の書類その他のものを甲に引き渡さないでおくことができる。
第１４条（紛争）
本件に関する紛争は、他に法令の定めがない限り、●●地方裁判所を唯一の第一審合意管轄裁判所とする。
第１５条（その他）
１ 本契約に定めのない事項については別添契約約款により、そのいずれにも定めのない事項は甲乙協議して定める。
２ なお、本契約のうち法令に反する部分は無効であり、他の契約又は約款のうち、本契約に反する部分は無効とする。
平成○○年○○月○○日
甲

印

乙

印

丙

印
以

5

上