情報セキュリティ管理規程（平成 31 年規程第 25 号）の一部を次のとおり改正する。
令和４年 月 日改正
経営委員会
新旧
情報セキュリティ管理規程

情報セキュリティ管理規程
平成 31 年規程第 25 号

平成 31 年規程第 25 号

平成 31 年３月 29 日制定

平成 31 年３月 29 日制定

令和４年 月 日改正
第１章 基本方針等

第１章 基本方針等（基本方針）（基本方針）

第１条 年金積立金管理運用独立行政法人（以下「管理運用法人」とい第１条 年金積立金管理運用独立行政法人（以下「管理運用法人」という。
）は、情報漏えいの防止等情報セキュリティを確保するため、政府う。
）は、情報漏えいの防止等情報セキュリティを確保するため、政府機関等のサイバーセキュリティ対策のための統一基準群（以下「統一機関等の情報セキュリティ対策のための統一基準群（以下「統一基準基準群」という。
）、公文書等の管理に関する法律（平成 21 年法律第 66群」という。
）、公文書等の管理に関する法律（平成 21 年法律第 66号）、管理運用法人の内部統制の基本方針等を踏まえ、情報セキュリテ号）、管理運用法人の内部統制の基本方針等を踏まえ、情報セキュリテ

ィ対策の目標、基本対策等を策定し、情報セキュリティ水準の向上を

ィ対策の目標、基本対策等を策定し、情報セキュリティ水準の向上を図ることとする。加えて、情報セキュリティに関係する規程、細則及図ることとする。加えて、情報セキュリティに関係する規程、細則及び手順書等（以下「関係規程等」という。
）に定められた事項及び対策び手順書等（以下「関係規程等」という。
）に定められた事項及び対策を実行の上、評価し、必要に応じて見直すという PDCA(Plan・Do・を実行の上、評価し、必要に応じて見直すという PDCA(Plan・Do・

Check・Act)サイクルを実施する。

Check・Act)サイクルを実施する。

第１条の２及び第１条の３

略

第１条の２及び第１条の３

略（用語の定義）（用語の定義）

第１条の４ この規程における用語を以下のとおり定義する。

第１条の４ この規程における用語を以下のとおり定義する。

新２ ～ ５

略

旧
２ ～ ５

６ 「統一基準群」とは、以下の（１）から（４）までに掲げるものをいう。

略

６ 「統一基準群」とは、以下の（１）から（４）までに掲げるものをいう。

（１）政府機関等のサイバーセキュリティ対策のための統一規範（１）政府機関等の情報セキュリティ対策のための統一規範（２）政府機関等のサイバーセキュリティ対策の運用等に関する指針（２）政府機関等の情報セキュリティ対策の運用等に関する指針（３）政府機関等のサイバーセキュリティ対策のための統一基準（３）政府機関等の情報セキュリティ対策のための統一基準（４）政府機関等の対策基準策定のためのガイドライン（４）政府機関等の対策基準策定のためのガイドライン

７ 「情報セキュリティインシデント」とは、JIS Q 27000:2019 におけ

７ 「情報セキュリティインシデント」とは、JIS Q 27000:2014 における情報セキュリティインシデント（望まない単独若しくは一連の情報る情報セキュリティインシデント（望まない単独若しくは一連の情報セキュリティ事象、又は予期しない単独若しくは一連の情報セキュリ

セキュリティ事象、又は予期しない単独若しくは一連の情報セキュリティ事象であって、事業運営を危うくする確率及び情報セキュリティ

ティ事象であって、事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの）をいう。

を脅かす確率が高いもの）をいう。

削除

８ 「約款による外部サービス」とは、民間事業者等の組織が約款に基づきインターネット上で提供するサービスであって、当該サービスを提供するサーバ装置において利用者が情報の作成、保存、送信等を行うものをいう。ただし、利用者が必要とする情報セキュリティに関する十分な条件設定の余地があるものを除く。

８略

９略

９略

10

略

10

略

11

略

11

略

12

略

12

略

13

略

13

略

14

略

（適用対象）（適用対象）

新第２条

旧第２条

略

略

第２章 情報セキュリティ対策のための基本指針

第２章 情報セキュリティ対策のための基本指針

第３条及び第４条

第３条及び第４条

略略

第３章 情報セキュリティ対策のための基本対策

第３章 情報セキュリティ対策のための基本対策

第５条～第 15 条

第５条～第 15 条

略

略

（外部委託）（外部委託）

第 16 条 管理運用法人は、情報処理に係る業務を外部委託する場合に第 16 条 管理運用法人は、情報処理に係る業務を外部委託する場合には、必要な措置を定め、実施するものとする。
２ 管理運用法人は、外部委託を実施する際に要機密情報を取り扱う場合は、必要な措置を定め、実施するものとする。
２ 管理運用法人は、外部委託（約款による外部サービスの利用を除

は、委託先において情報漏えい対策や、委託内容に意図しない変更がく。
）を実施する場合は、委託先において情報漏えい対策や、委託内容加えられない管理を行うこと等の必要な情報セキュリティ対策が実施に意図しない変更が加えられない管理を行うこと等の必要な情報セキされることを選定条件とし、仕様内容にも含めるものとする。

ュリティ対策が実施されることを選定条件とし、仕様内容にも含めるものとする。

削除

３ 管理運用法人は、要機密情報を約款による外部サービスを利用して取り扱わないものとする。

３ 管理運用法人は、機器等の調達に当たり、既知の脆弱性に対応して

４ 管理運用法人は、機器等の調達に当たり、既知の脆弱性に対応していないこと、危殆化した技術を利用していること、不正プログラムをいないこと、危殆化した技術を利用していること、不正プログラムを埋め込まれること等のサプライチェーン・リスクへの適切な対処を含埋め込まれること等のサプライチェーン・リスクへの適切な対処を含む選定基準を整備するものとする。

む選定基準を整備するものとする。

第 17 条～第 26 条

附 則

略

第 17 条～第 26 条

附 則略

新旧略

略

別表

別表

〔役員等の遵守事項〕〔役員等の遵守事項〕

１ ～ 33略

１ ～ 33略（業務委託における対策）（外部委託における対策）

34 委託先に要機密情報を提供する場合は、提供する情報を必要最小限

34 委託先に要機密情報を提供する場合は、提供する情報を必要最小限とし、委託先において情報が不要になった場合、あるいは業務委託終とし、委託先において情報が不要になった場合、あるいは外部委託終了時には委託先に不要な情報を返却、廃棄又は抹消をさせること。

了時には委託先に不要な情報を返却、廃棄又は抹消をさせること。

35略

35略

（要機密情報を取り扱う場合の外部サービスの利用における対策）
36 要機密情報を取り扱う場合の外部サービスの利用に関する規定を整備すること。
（要機密情報を取り扱わない場合の外部サービスの利用における対策）（約款による外部サービスの利用における対策）

37 利用するサービスの約款、その他の提供条件等から、利用に当たっ

36 利用するサービスの約款、その他の提供条件等から、利用に当たってのリスクが許容できることを確認した上で要機密情報を取り扱わなてのリスクが許容できることを確認した上で約款による外部サービスい場合の外部サービスの利用を申請し、適切な措置を講じた上で利用の利用を申請し、適切な措置を講じた上で利用すること。

すること。
（関係規程等の運用）（関係規程等の運用）
38

略
附 則（令和４. . 改正）

この改正は、令和４年４月１日から施行する。

37略