● 国立研究開発法人情報通信研究機構個人情報等管理規程（平成１７年３月２２日 ０４規程第１１６号）
改正 平成１８年 ３月２８日 ０５規程第９６号
改正 平成２０年 ５月１３日 ０８規程第１７号
改正 平成２３年 ３月２９日 １０規程第８４号
改正 平成２３年 ４月 ５日 １１規程第１８号
改正 平成２４年 ２月２１日 １１規程第５１号
改正 平成２５年 ２月１９日 １２規程第６６号
改正 平成２５年１１月１５日 １３規程第１３号
改正 平成２６年１１月１１日 １４規程第３５号
改正 平成２７年１２月２２日 １５規程第２９号
改正 平成２８年 ３月２９日 １５規程第９９号
改正 平成２９年 ３月２８日 １６規程第６０号
改正 平成２９年 ８月 ３日 １７規程第１１号
改正 平成３１年 １月２２日 １８規程第４９号
改正 令和 元年 ６月２５日 １９規程第 ７号
改正 令和 ３年 ３月３０日 ２０規程第７１号
改正 令和 ４年 ３月２９日 ２１規程第５５号
改正 令和 ６年 ６月２５日 ２４規程第２２号

目次
第１章 総則（第１条・第２条）
第２章 個人情報等の管理体制（第３条－第７条）
第３章 個人データ等の取扱者の教育研修（第８条）
第４章 職員等の責務（第９条）
第５章 個人データ等の取扱い（第１０条－第１７条）
第６章 情報システムにおける安全の確保等（第１８条－第２８条の２）
第７章 計算機室等の安全管理（第２９条－第３１条）
第８章 個人データの提供（第３２条）
第９章 業務の委託等（第３３条）
第１０章 サイバーセキュリティの確保（第３４条）
第１１章 安全確保上の問題への対応（第３５条・第３６条）
第１２章 監査及び点検の実施（第３７条－第３９条）
第１３章 雑則（第４０条・第４１条）
附則
第１章 総則（目的）
第１条 この規程は、個人情報の保護に関する法律（平成１５年法律第５７号。以下「個１人情報保護法」という。）第２３条の規定及び行政手続における特定の個人を識別するための番号の利用等に関する法律（平成２５年法律第２７号。以下「番号法」という。）
第１２条の規定に基づき、国立研究開発法人情報通信研究機構（以下「機構」という。）が保有する個人情報及び個人番号の適切な管理のために必要な事項を定めることを目的とする。
（定義）
第２条 この規程で使用する用語は、個人情報保護法及び番号法で使用する用語の例による。
第２章 個人情報等の管理体制（個人情報総括保護管理者）
第３条 機構に個人情報総括保護管理者を１人置くこととし、総務系理事をもって充てる。
２ 個人情報総括保護管理者は、理事長を補佐し、機構における個人データ及び個人番号（以下「個人データ等」という。）の管理に関する事務を総括する任に当たるものとする。
（個人情報主任保護管理者）
第４条 個人データ等を取り扱う国立研究開発法人情報通信研究機構組織規程（０４規程第３号。以下「組織規程」という。）第８条に規定する研究所、ユニット、量子ＩＣＴ
協創センター、推進本部、部門、部、イニシアティブ、ＮＩＣＴナレッジハブ、室及びＧＰＡＩ東京専門家支援センター事務局（以下「研究所等」という。）に、個人情報主任保護管理者を置く。
２ 個人情報主任保護管理者は、研究所等の長（研究所等の長によりがたい事情があるときは個人情報総括保護管理者が指名した者）をもって充てる。
３ 個人情報主任保護管理者は、研究所等において、次条に定める個人情報保護管理者が個人データ等を適切に管理することを監督する任に当たるものとする。
（個人情報保護管理者）
第５条 組織規程第８条に規定するイニシアティブ、ＮＩＣＴナレッジハブ、室、ＧＰＡ
Ｉ東京専門家支援センター事務局（以下この条において「組織規程第８条に規定する室等」という。）及び研究所等（組織規程第８条に規定する室等を除く。）に置かれる室（ラボ、イニシアティブ（イノベーションデザインイニシアティブを除く。）及び連携センターを含む。）並びに組織規程別表第１の事業所の名称の欄に掲げる鹿島宇宙技術センター、北陸ＳｔａｒＢＥＤ技術センター及び沖縄電磁波技術センター（以下これらを総称して「室等」という。）に、個人情報保護管理者を置く。
２ 個人情報保護管理者は、室等（組織規程第８条に規定する室等を除く。）の長をもって充てる。組織規程第８条に規定する室等の個人情報保護管理者は、組織規程第８条に規定する室等の個人情報主任保護管理者が指名し、当該個人情報保護管理者の職名及び氏名を総務部総務室に連絡するものとする。
３ 個人情報保護管理者は、室等における個人データ等の適切な管理を確保する任に当たるものとする。
４ 個人情報保護管理者は、個人データ等を情報システムで取り扱う場合、当該情報シス
２

テムの管理者と連携して、その任に当たる。
５ 個人情報保護管理者は、個人番号及び特定個人情報（以下「特定個人情報等」という。）を取り扱う職員（以下「特定個人情報等事務取扱担当者」という。）並びにその役割を指定する。
６ 個人情報保護管理者は、各特定個人情報等事務取扱担当者が取り扱う特定個人情報等の範囲を指定する。
７ 個人情報保護管理者は、次に掲げる組織体制を整備する。
一 特定個人情報等事務取扱担当者が本規程等に違反している事実又は兆候を把握した場合の報告連絡体制
二 特定個人情報等の漏えい、滅失又は毀損（以下「漏えい等」という。）事案の発生又は兆候を把握した場合の報告連絡体制
三 特定個人情報等を複数の部署で取り扱う場合の各部署の任務分担及び責任の明確化
四 特定個人情報等の漏えい等の事案の発生又は兆候を把握した場合の対応体制
８ 個人情報保護管理者は、前三項に掲げる指定又は組織体制の整備をしたときは、当該指定又は整備した内容を速やかに総務部総務室に連絡するものとする。
（特定個人情報等事務取扱担当者の監督）第５条の２ 個人情報保護管理者は、特定個人情報等が適正に取り扱われるよう、特定個人情報等事務取扱担当者に対し、必要かつ適切な監督を行うこととする。
（個人情報保護担当者）
第６条 個人データを取り扱う室等に、個人情報保護担当者を置くことができる。
２ 個人情報保護担当者は、個人情報保護管理者が指名する。個人情報保護管理者は、個人情報保護担当者を置いたときは、当該個人情報保護担当者の職名及び氏名を総務部総務室に連絡するものとする。
３ 個人情報保護担当者は、個人情報保護管理者を補佐し、各室等における個人データ等の管理に関する事務を担当するものとする。
（個人情報管理委員会）
第７条 個人データ等の管理に関する重要な事項を審議し、部等の間の連絡、調整等を行うために、機構に個人情報管理委員会（以下「委員会」という。）を設けることができる。
２ 委員会は、個人情報総括保護管理者が主宰し、個人情報主任保護管理者その他の関係職員をもって構成する。
３ 委員会は、必要に応じて、個人情報総括保護管理者が召集する。
４ 委員会の庶務は、総務部総務室が処理する。
第３章 個人データ等の取扱者の教育研修（教育研修）
第８条 個人情報総括保護管理者は、個人データ等の取扱いに従事する職員等（機構内に勤務するすべての者をいう。以下同じ。）に対し、個人データ等の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うこととする。
３

２ 個人情報総括保護管理者は、個人情報主任保護管理者、個人情報保護管理者及び個人情報保護担当者に対し、それぞれ研究所等及び室等における個人データ等の適切な管理のための教育研修を行うこととする。
３ 個人情報総括保護管理者及び個人情報保護管理者は、特定個人情報等事務取扱担当者に対し、特定個人情報等の適正な取扱いについての理解を深め、特定個人情報等の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うこととする。
４ 個人情報総括保護管理者は、個人データ等を取り扱う情報システムの管理に関する事務に従事する職員等に対し、個人データ等の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行うこととする。
５ 個人情報保護管理者は、各室等の職員等に対し、個人データ等の適切な管理のために、個人情報総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずることとする。
第４章 個人情報の職員等の責務（職員等の責務）
第９条 職員等は、個人情報保護法及び番号法の趣旨に則り、関連する法令及び規程等の定め並びに個人情報総括保護管理者、個人情報主任保護管理者、個人情報保護管理者及び個人情報保護担当者の指示に従い、個人データ等を取り扱わなければならない。
２ 職員等が個人情報保護法若しくは番号法その他これらの関係法令又は本規程等に違反する行為を行った場合には、厳正に対処することとする。
第５章 個人データ等の取扱い（アクセス制限）第１０条 個人情報保護管理者は、個人データ等の秘匿性等その内容（個人識別の容易性（匿名化の程度等）、要配慮個人情報の有無、漏えい等が発生した場合に生じ得る被害の性質・程度などを考慮する。以下同じ。）に応じて、当該個人データ等にアクセスする権限を有する職員等の範囲と権限の内容を、当該職員等が業務を行う上で必要最小限の範囲に限る。
２ アクセス権限を有しない職員等は、個人データ等にアクセスしてはならない。
３ 職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で個人データ等にアクセスしてはならず、アクセスは必要最小限としなければならない。
（複製等の制限）第１１条 個人情報保護管理者は、職員等が業務上の目的で個人データ等を取り扱う場合であっても、次に掲げる行為については、当該個人データ等の秘匿性等その内容に応じて、当該行為を行うことができる場合を限定し、職員等は、個人情報保護管理者の指示に従い行うこととする。
一 個人データ等の複製
二 個人データ等の送信
三 個人データ等が記録されている媒体の外部への送付又は持出し
四 その他個人データ等の適切な管理に支障を及ぼすおそれのある行為４

（誤りの訂正等）
第１２条 職員等は、個人データ等の内容に誤り等を発見した場合には、個人情報保護管理者の指示に従い、訂正等を行うこととする。
（媒体の管理等）
第１３条 職員等は、個人情報保護管理者の指示に従い、個人データ等が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、保管場所への施錠等の個人データ等の漏えい等を防止するための措置を講ずるものとする。
２ 職員等は、個人データ等が記録されている媒体を外部へ送付し、又は持ち出す場合には、原則として、パスワード等（パスワード、ＩＣカード、生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずるものとする。
（誤送付等の防止）
第１４条 職員等は、個人データ等を含む電磁的記録又は媒体の誤送信・誤送付、誤交付、又はウェブサイト等への誤掲載を防止するため、取り扱う個人情報の秘匿性等その内容に応じ、必要な措置を講ずるものとする。
（廃棄等）
第１５条 職員等は、個人データ又は個人データ等が記録されている媒体（端末、サーバ等に内蔵されているものを含む。）が不要となった場合には、個人情報保護管理者の指示に従い、当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行うこととする。
２ 前項の場合において、個人データ等の消去や個人データが記録されている媒体の廃棄を外部に委託する場合（二以上の段階にわたる委託を含む。）には、必要に応じて職員が消去及び廃棄に立ち会い、又は写真等を付した消去及び廃棄を証明する書類を受け取るなど、委託先において消去及び廃棄が確実に行われていることを確認することとする。
（個人データ等の取扱状況の記録）
第１６条 個人情報保護管理者は、個人データ等の秘匿性等その内容に応じて、台帳等を整備して、当該個人データ等の利用及び保管等の取扱いの状況について記録することとする。
（個人番号の利用の制限）
第１６条の２ 特定個人情報等事務取扱担当者は、番号法に定める事務の処理を行う場合に限り、個人番号を利用するものとする。
（個人番号の提供の求めの制限）
第１６条の３ 特定個人情報等事務取扱担当者は、個人番号関係事務を処理するために必要な場合その他番号法で定める場合を除き、個人番号の提供を求めてはならない。
（特定個人情報等の取扱い等の制限）
第１６条の４ 特定個人情報等事務取扱担当者以外の職員等は、他人の特定個人情報等を取り扱い、又は収集若しくは保管してはならない。
２ 特定個人情報等事務取扱担当者であっても、第５条第６項において指定を受けた範囲外の特定個人情報等を取り扱ってはならない。
５

（特定個人情報ファイルの作成の制限）
第１６条の５ 特定個人情報等事務取扱担当者は、個人番号関係事務を処理するために必要な場合その他番号法で定める場合を除き、特定個人情報ファイルを作成してはならない。
（取扱区域）
第１６条の６ 個人情報保護管理者は、特定個人情報等を取り扱う事務を実施する区域を明確にし、物理的な安全管理措置を講ずるものとする。
（外的環境の把握）
第１７条 外国において個人データ等を取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データ等の安全管理のために必要かつ適切な措置を講ずるものとする。
第６章 情報システムにおける安全の確保等（アクセス制御）第１８条 情報システムセキュリティ管理者（国立研究開発法人情報通信研究機構情報セキュリティ管理規程（１７規程第１０号）及びこれに基づく細則に規定する情報システムセキュリティ管理者をいう。以下同じ。）は、その設置及び運用する情報システムで取り扱う個人データ等に係る個人情報保護管理者（以下「関係保護管理者」という。）と協力し、個人データ等（情報システムで取り扱うものに限る。以下この章（第２３条を除く。）において同じ。）の秘匿性等その内容に応じて、認証機能を設定する等のアクセス制御のために必要な措置を講ずるものとする。
２ 情報システムセキュリティ管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
※委任 一項の「細則」＝〈情報通信研究機構情報セキュリティ対策基準（平成29年8月14日17細則第5号）〉（アクセス記録）第１９条 情報システムセキュリティ管理者は、関係保護管理者と協力し、個人データ等の秘匿性等その内容に応じて、当該個人データ等へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずるものとする。
２ 情報システムセキュリティ管理者は、関係保護管理者と協力し、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
（外部からの不正アクセスの防止）
第２０条 情報システムセキュリティ管理者は、関係保護管理者と協力し、個人データ等を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずるものとする。
（不正プログラムによる漏えい等の防止）第２１条 情報システムセキュリティ管理者は、関係保護管理者と協力し、不正プログラムによる個人データ等の漏えい、滅失又はき損の防止のため、ソフトウェアに関する公開された脆弱性の解消、把握された不正プログラムの感染防止等に必要な措置（導入し６たソフトウェアを常に最新の状態に保つことを含む。）を講ずるものとする。
（情報システムにおける個人データ等の処理）
第２１条の２ 職員等は、個人データ等について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限とし、処理終了後は不要となった情報を速やかに抹消する。情報システムセキュリティ管理者は、関係個人情報保護管理者と協力し、当該個人データ等の秘匿性等その内容に応じて、随時、抹消等の実施状況を重点的に確認するものとする。
（暗号化）
第２２条 情報システムセキュリティ管理者は、関係保護管理者と協力し、個人データ等の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずるものとする。
２ 職員等は、前項を踏まえ、その処理する個人データ等について、当該個人データ等の秘匿性等その内容に応じて、適切に暗号化を行うものとする。
（入力情報の照合等）
第２３条 職員等は、情報システムで取り扱う個人データ等の重要度に応じて、入力原票と入力内容との照合、処理前後の当該個人データ等の内容の確認、既存の個人データ等との照合等を行うこととする。
（バックアップ）
第２４条 情報システムセキュリティ管理者は、関係保護管理者と協力し、個人データ等の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずるものとする。
（情報システム設計書等の管理）第２５条 情報システムセキュリティ管理者は、個人データ等に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずるものとする。
（端末の限定）第２６条 情報システムセキュリティ管理者は、個人データ等の秘匿性等その内容に応じて、個人データ等情報の処理を行う端末（第２７条及び第２８条において単に「端末」という。）を限定するために必要な措置を講ずるものとする。
（端末の盗難防止等）
第２７条 個人情報保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講ずるものとする。
２ 職員等は、個人情報保護管理者が必要あると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
３ 職員等は、やむを得ず端末を外部へ持ち出す場合は、端末の盗難又は紛失に備えて重要情報の暗号化等の措置を講ずるものとする。
（第三者の閲覧防止）
第２８条 職員等は、端末の使用に当たっては、個人データ等が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずるものとする。
（記録機能を有する機器・媒体の接続制限）
７第２８条の２ 個人情報保護管理者は、個人データ等の重要度に応じて、当該個人データ等の漏えい等の防止のため、スマートフォン、ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講ずるものとする。
第７章 計算機室等の安全管理（計算機室の入退室の管理）
第２９条 情報システムセキュリティ管理者は、個人データ等を取り扱う基幹的なサーバ等の機器を設置する室（以下「計算機室」という。）に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い又は監視設備による監視、外部電磁的記録媒体等の持込み、利用及び持出しの制限又は検査等の措置を講ずる。
２ 情報システムセキュリティ管理者は、必要があると認めるときは、計算機室の出入口の特定化による入退室の管理の容易化、所在表示の制限等の措置を講ずる。
３ 情報システムセキュリティ管理者は、計算機室の入退室の管理について、必要があると認めるときは、入室に係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講ずるものとする。
（計算機室の管理）第３０条 情報システムセキュリティ管理者は、外部からの不正な侵入に備え、計算機室に施錠装置、警報装置、監視設備の設置等の措置を講ずるものとする。
２ 情報システムセキュリティ管理者は、災害等に備え、計算機室に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるものとする。
（保管施設）
第３１条 個人データ等を記録する媒体を保管するための施設を設けている場合において、必要があると認めるときは、前二条の規定を準用する。この場合において、「情報システムセキュリティ管理者」とあるのは「個人データ等を記録する媒体を保管するための施設の管理者」と読み替えるものとする。
第８章 個人データの提供（個人データの第三者への提供）
第３２条 個人情報保護管理者は、個人データを第三者へ提供する場合には、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面（電磁的記録を含む。）を取り交わすこととする。
２ 個人情報保護管理者は、個人データを第三者へ提供する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行うことにより当該措置状況を確認してその結果を記録するとともに、改善要求等の措置を講ずるものとする。
３ 前二項の規定にかかわらず、職員等は、番号法第１９条各号に該当する場合を除き、８特定個人情報を提供してはならない。
第９章 業務の委託等（業務の委託等）
第３３条 個人データの取扱いに係る業務を外部に委託し又は請け負わせる場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契約書に、次に掲げる事項を明記するとともに、委託又は請負先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面（電磁的記録を含む。）で確認するものとする。
一 個人情報に関する秘密保持、目的外利用の禁止等の義務
二 再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第１項第３号に規定する子会社をいう。）である場合も含む。本条において同じ。）の制限又は事前承認等再委託に係る条件に関する事項
三 個人情報の複製等の制限に関する事項
四 個人情報の安全管理措置に関する事項
五 個人情報の漏えい等の事案の発生時における対応に関する事項
六 委託又は請負の終了時における個人情報の消去及び媒体の返却に関する事項
七 違反した場合における契約解除、損害賠償責任その他必要な事項
八 契約内容の遵守状況についての定期的報告に関する事項及び委託先又は請負先における委託された個人情報の取扱状況を把握するための監査等に関する事項（再委託先の監査等に関する事項を含む。）
２ 個人番号関係事務の取扱いに係る業務を外部に委託する場合には、委託先において、番号法に基づき独立行政法人等が果たすべき措置と同等の措置が講じられるか否かについて、あらかじめ確認するものとする。また、契約書等に、前項で定める事項に加え、以下の事項を明記する。
一 事務所等内からの特定個人情報等の持ち出しの禁止に関する事項
二 特定個人情報等を取り扱う従事者の明確化及び従事者の監督・教育に関する事項
三 契約内容の遵守状況の報告に関する事項
四 必要に応じて実施可能とする委託先に対する実地の調査に関する事項
３ 個人データの取扱いに係る業務を外部に委託する場合には、取扱いを委託する個人情報の範囲は、委託する業務内容に照らして必要最小限でなければならない。
４ 個人番号関係事務の取扱いに係る業務を外部に委託する場合には、委託を受けた者において、独立行政法人等が果たすべき措置と同等の措置が講じられるよう必要かつ適切な監督を行うものとする。
５ 個人情報保護管理者は、個人番号関係事務の取扱いに係る業務が再委託される場合には、委託をする個人番号関係事務において取り扱う特定個人情報の適切な安全管理が図られることを確認した上で再委託の諾否を判断する。
６ 個人データの取扱いに係る業務を外部に委託する場合には、委託する業務に係る個人データの秘匿性等その内容やその量等に応じて、委託先における管理体制及び実施体制や個人情報の管理の状況について、少なくとも年１回以上、原則として実地検査により９確認するものとする。
７ 委託先において、個人データの取扱いに係る業務が再委託される場合には、委託先に第１項の措置を講じさせるとともに、再委託される業務に係る個人データの秘匿性等その内容に応じて、委託先を通じて又は委託元自らが前項の措置を講ずるものとする。個
人データの取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
８ 第４項の規定により個人番号関係事務の全部又は一部の再委託を受けた者は、個人番号関係事務の全部又は一部の委託を受けた者とみなして、第１項から第７項までの規定を適用する。
９ 個人データ等の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
１０ 個人データを提供又は業務委託する場合には、漏えい等による被害発生のリスクを低減する観点から、提供先の利用目的、委託する業務の内容、個人データの秘匿性等その内容などを考慮し、必要に応じ、氏名を番号に置き換える等の匿名化措置を講ずる。
第１０章 サイバーセキュリティの確保（サイバーセキュリティに関する対策の基準等）
第３４条 個人情報を取り扱い、又は情報システムを構築し、若しくは利用するに当たっては、サイバーセキュリティ基本法（平成２６年法律第１０４号）第２６条第１項第２号に掲げられたサイバーセキュリティに関する対策の基準等を参考として、取り扱う個人データ等の性質等に照らして適正なサイバーセキュリティの水準を確保する。
第１１章 安全確保上の問題への対応（事案の報告及び再発防止措置）
第３５条 個人データ等の漏えい等の事案の発生又は兆候を把握した場合及び特定個人情報等事務取扱担当者が本規程等に違反している事実又は兆候を把握した場合等、安全確保の上で問題となる事案の発生又は発生のおそれを認識した職員等は、直ちに当該個人データ等を管理する個人情報保護管理者に報告するものとする。
２ 個人情報保護管理者は、被害の拡大防止、復旧等のために必要な措置を速やかに講ずるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（職員等に行わせることを含む。）ものとする。
３ 個人情報保護管理者は、事案の発生した経緯、被害状況等を調査し、個人情報総括保護管理者及び関係の個人情報主任保護管理者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに個人情報総括保護管理者及び関係の個人情報主任保護管理者に当該事案の内容等について報告するものとする。
４ 個人情報総括保護管理者は、前項の規定に基づく報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告するものとする。
５ 個人情報保護管理者及び関係の個人情報主任保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずることとし、その内容を個人情報総括保護管
１０

理者に報告するものとする。
（公表等）
第３６条 個人情報総括保護管理者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る個人データ等の本人への対応等の措置を講ずるものとする。
２ 個人情報総括保護管理者は、個人データの漏えい等が生じた場合であって個人情報保護法第２６条第１項の規定による個人情報保護委員会への報告及び同条第２項の規定による本人への通知を要する場合には、第３５条第１項から第５項までと並行して、速やかに所定の手続を行うとともに、個人情報保護委員会による事案の把握等に協力する。
第１２章 監査及び点検の実施（監査）第３７条 監査室は、個人データ等の適切な管理を検証するため、第２章から第１１章までに規定する措置の状況を含む機構における個人データ等の管理の状況について、定期に及び必要に応じ随時に監査（外部監査を含む。第３９条において同じ。）を行い、その結果を個人情報総括保護管理者に報告するものとする。
（点検）第３８条 個人情報保護管理者は、各部室における個人データ等の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を個人情報総括保護管理者及び関係の個人情報主任保護管理者に報告するものとする。
（評価及び見直し）第３９条 個人データ等の適切な管理のための措置については、個人情報総括保護管理者、個人情報保護管理者等は、監査又は点検の結果等を踏まえ、実効性等の観点から個人データ等の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講ずるものとする。
第１３章 雑則（雑則）
第４０条 この規程に定めるもののほか、機構が保有する個人情報の保護に関して必要な事項は、別に定めることができる。
第４１条 個人情報保護法第６６条第２項第２号に規定する業務に係る保有個人情報の安全管理措置は、本規程の「個人データ」を「保有個人情報」と読み替えて適用するものとする。
附 則
この規程は、平成１７年４月１日から施行する。
附 則（平成１８年３月２８日）
この規程は、平成１８年４月１日から施行する。
附 則（平成２０年５月１３日）
この規程は、平成２０年６月１日から施行する。
１１

附 則（平成２３年３月２９日）
この規程は、平成２３年４月１日から施行する。
附 則（平成２３年４月５日）（施行期日等）
１ この規程は、平成２３年４月５日から施行し、同年４月１日から適用する。
（脳情報通信融合研究センターにおける適用）
２ 独立行政法人情報通信研究機構脳情報通信融合研究センター設置規程（１１規程第１号）に基づき置かれる脳情報通信融合研究センターにおいては、第４条第１項中「研究所」とあるのを「脳情報通信融合研究センター」と読み替えて、本規程を適用する。
附 則（平成２４年２月２１日）
この規程は、平成２４年４月１日から施行する。
附 則（平成２５年２月１９日）
附則（平成２３年４月５日）第２項は、平成２５年４月１日限りその効力を失う。
附 則（平成２５年１１月１５日）
この規程は、平成２５年１２月１日から施行する。
附 則（平成２６年１１月１１日）
この規程は、平成２６年１２月１日から施行する。
附 則（平成２７年１２月２２日）
この規程は、平成２７年１２月２２日から施行する。
附 則（平成２８年３月２９日）
この規程は、平成２８年４月１日から施行する。
附 則（平成２９年３月２８日）
この規程は、平成２９年４月１日から施行する。
附 則（平成２９年８月３日）
この規程は、平成２９年８月３１日から施行する。
附 則（平成３１年１月２２日）
この規程は、総務大臣による国立研究開発法人情報通信研究機構法附則第９条に基づく実施計画認可の日（平成３１年１月２５日）から施行する。
附 則（令和元年６月２５日）
この規程は、令和元年７月１日から施行する。
附 則（令和３年３月３０日）
この規程は、令和３年４月１日から施行する。
附 則（令和４年３月２９日）
この規程は、令和４年４月１日から施行する。
附 則（令和６年６月２５日）
この規程は、令和６年７月１日から施行する。

１２