安八郡広域連合セキュリティポリシー

令和５年１２月２８日制定

目次
・・・・４
安八郡広域連合セキュリティ基本方針・・・・・・・・・・・・・・・・・・
1.

目的・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・４

2.

用語の定義・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・４

3.

情報資産に対する脅威・・・・・・・・・・・・・・・・・・・・・・・・・・５

4.

適用範囲・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・６

5.

職員及び外部委託事業者等の遵守義務・・・・・・・・・・・・・・・・・・・６

6.

情報セキュリティ対策・・・・・・・・・・・・・・・・・・・・・・・・・６

7.

情報セキュリティ監査及び自己点検の実施・・・・・・・・・・・・・・・・７

8.

情報セキュリティポリシーの見直し・・・・・・・・・・・・・・・・・・・７

9.

情報セキュリティ対策基準及び情報セキュリティ実施手順の策定・・・・・・７

情報セキュリティ対策基準・・・・・・・・・・・・・・・・・・・・・・・・・・８
1.

対象範囲・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・８2.

組織体制・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・８

3.

情報資産の分類と管理方法・・・・・・・・・・・・・・・・・・・・・・・１１

4.

物理的セキュリティ・・・・・・・・・・・・・・・・・・・・・・・・・・１４
4.1. サーバ等の管理・・・・・・・・・・・・・・・・・・・・・・・・・・１４
4.2. 管理区域（電算室等）の管理・・・・・・・・・・・・・・・・・・・・１５4.3. 通信回線及び通信回線装置の管理・・・・・・・・・・・・・・・・・・１６
4.4. 職員等の端末等の管理・・・・・・・・・・・・・・・・・・・・・・・１６

5.

人的セキュリティ・・・・・・・・・・・・・・・・・・・・・・・・・・・１７
5.1. 職員等の遵守事項・・・・・・・・・・・・・・・・・・・・・・・・・１７
5.2. 研修・訓練・・・・・・・・・・・・・・・・・・・・・・・・・・・・１８
5.3. 情報セキュリティインシデントの報告・・・・・・・・・・・・・・・・１９5.4. ID 及びパスワード等の管理・・・・・・・・・・・・・・・・・・・・２０

6.

技術的セキュリティ・・・・・・・・・・・・・・・・・・・・・・・・・・２１
6.1. コンピュータ及びネットワークの管理・・・・・・・・・・・・・・・・２１
6.2. アクセス制御・・・・・・・・・・・・・・・・・・・・・・・・・・・２５6.3. システム開発、導入、保守等・・・・・・・・・・・・・・・・・・・・２６6.4. 不正プログラム対策・・・・・・・・・・・・・・・・・・・・・・・・２８
6.5. 不正アクセス対策・・・・・・・・・・・・・・・・・・・・・・・・・３０6.6. セキュリティ情報の収集・・・・・・・・・・・・・・・・・・・・・・３１

7.

運用・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３２
7.1. 情報システムの監視・・・・・・・・・・・・・・・・・・・・・・・・３２
7.2. 情報セキュリティポリシーの遵守状況の確認・・・・・・・・・・・・・３２2

7.3 侵害時の対応等・・・・・・・・・・・・・・・・・・・・・・・・・・３３
7.4. 例外措置・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３４
7.5. 法令遵守・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３５
7.6. 懲戒処分等・・・・・・・・・・・・・・・・・・・・・・・・・・・・３５
8.

外部サービスの利用・・・・・・・・・・・・・・・・・・・・・・・・・・３６
8.1. 外部委託・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３６
8.2. ソーシャルメディアサービスの利用・・・・・・・・・・・・・・・・・３７

9.

評価・見直し・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３７
9.1. 監査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３７
9.2. 自己点検・・・・・・・・・・・・・・・・・・・・・・・・・・・・・３８
9.3. 情報セキュリティポリシー及び関係規程等の見直し・・・・・・・・・・３８3安八郡広域連合情報セキュリティ基本方針
1. 目的
本基本方針は、本広域が保有する情報資産の機密性、完全性及び可用性を維持するため、本広域が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。

2. 用語の定義
情報セキュリティ基本方針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

（１） ネットワーク
コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をいう。
（２） 情報システム
コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
（３）情報資産情報システム、ネットワーク、情報システムで取り扱う全ての情報（これらを印刷した文書を含む）及び情報システムの開発・運用に係る仕様書・手順書等の関連文書をいう。

（４） 情報セキュリティ
情報資産の機密性、完全性及び可用性を維持することをいう。
（５） 機密性
情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
（６） 完全性
情報が破壊、改ざん又は消去されていない状態を確保することをいう。
（７） 可用性
情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
（８）電算室広域が保有する情報システムを運用するための本庁舎内の専用区画をいう。
（９）データセンター
広域が保有する情報システムを運用するため、強固なセキュリティ対策が講じられた外部の専用施設をいう。

4

（１０）執務室
職員が業務を行う区画又は部屋をいう。
（１１）職員本広域に所属する全ての職員（再任用職員を含む）、嘱託員及び臨時職員をいう。
（１２）外部委託事業者等
広域から情報システムの開発、運用、保守管理及び処理業務等を受託した者（再委託、再々委託等で受託した者も含む）、公の施設の指定管理者（地方自治法（昭和２２年法律第６７号）第２４４条の２第３項に規定する法人及びその他の団体）等をいう。
（１３）情報セキュリティポリシー
本基本方針及び情報セキュリティ対策基準（職員、外部委託事業者等が遵守すべき事項及び判断基準を定めたもの）の総称をいう。
（１４）情報システムマネジメント
情報化の推進、情報セキュリティの確保等、情報システムを適正に管理運営することをいう。
（１５）インシデント
情報資産に対する脅威となる事象のことをいう。

3.

情報資産に対する脅威
情報資産に対する脅威は、次に掲げることを想定する。

（１）不正アクセス、不正プログラム（コンピュータウイルス、マルウェア等）の感染、標的型
攻撃メール、サービス不能攻撃等のサイバー攻撃、部外者による侵入等、意図的な要因による情報資産の漏えい、搾取、破壊、改ざん、消去等（２）職員又は外部委託事業者等による情報資産の無断持ち出し、無許可ソフトウェアの使用、
無許可デバイスの使用等の内部不正行為による情報資産の漏えい、破壊、改ざん、消去等（３）職員又は外部委託事業者等による非意図的な操作・設定ミス等に起因する漏えい、破壊、
改ざん、消去等（４）情報システムやネットワークの設計・開発の不備、プログラムの欠陥、保守・管理の不備によるシステム障害等（５）地震、落雷等の自然災害及び火災等による行政サービスの停止（６）大規模・広範囲に及ぶ伝染病等の発生（パンデミック等）による要員不足に伴うシステム
運用の機能不全（７）電力供給、情報通信の途絶等の重要インフラの障害からの波及（８）その他情報セキュリティを脅かす事案

5

4.

対象範囲
(１)広域が保有する情報資産(２)情報資産を取り扱う全ての職員及び外部委託事業者等

5.

職員及び外部委託事業者等の遵守義務
職員及び外部委託事業者等は、業務の遂行にあたり、情報資産毎の重要性について共通認識を持ち、適切に情報資産を取り扱わなければならない。
また、本基本方針のほか、別に定める情報セキュリティ対策基準、課室等毎に定める情報セキュ
リティ実施手順、その他情報セキュリティを確保するために必要な法令等を遵守しなければならない。

6.

情報セキュリティ対策
上記３の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じる。

（１）組織体制の整備
適切な情報セキュリティ対策を実施するため、全庁的な組織体制を整備する。
（２）情報資産の分類と管理
情報資産の内容と重要度に応じて、別に定める「情報資産の分類」のとおり分類し、当該分類に基づき適切に管理する。
（３）人的セキュリティ対策
情報資産を取り扱う職員及び外部委託事業者等が遵守すべき事項を定めるとともに、十分な教育及び啓発等の人的な対策を講じる。
（４）物理的セキュリティ対策
電算室、データセンター、執務室に対する部外者の不正侵入、端末機の盗難防止等の物理的な対策を講じる。
（５）技術的セキュリティ対策
情報システムへの不正アクセスによる重要データの毀損、漏えい等を防止するためのアクセス制御及び不正プログラムの感染等を防止するための技術的な対策を講じる。
（６）運用面におけるセキュリティ対策
情報システム等の運用管理を外部委託する際は、情報システムの設計・開発の不備、設備の保守管理の不備等によるシステム障害が生じないよう、適切な対策を講じる。
また、情報システム等の運用における信頼性を高めるため、万が一の情報セキュリティインシ
デントに備えた即応体制を整えるとともに、大規模災害等に備えたバックアップ体制等を確立し、

6

様々なシステム障害の発生に備えるため、緊急時対応計画を整備する。

7.

情報セキュリティ監査及び自己点検の実施
情報セキュリティポリシーの遵守状況を検証するため、必要に応じて情報セキュリティ

監査及び自己点検を実施する。

8.

情報セキュリティポリシーの見直し
情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直す。

9.

情報セキュリティ対策基準及び情報セキュリティ実施手順の策定

情報セキュリティ対策に関する遵守事項及び判断基準をまとめた対策基準を策定するとともに、より具体的な手順を定めた実施手順を策定する。
なお、情報セキュリティ対策基準及び情報セキュリティ実施手順は、公にすることで広域の行政運営及び情報セキュリティ確保に重大な支障を及ぼす恐れがあることから非公開とする。

7

情報セキュリティ対策基準

1.

対象範囲

（１）行政機関の範囲
本対策基準が適用される行政機関は、内部係、構成町とする。

（２）情報資産の範囲
本対策基準が対象とする情報資産は、次のとおりとする。
①ネットワーク、情報システム、これらに関する設備、電磁的記録媒体②ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。）③情報システムの仕様書及びネットワーク図等のシステム関連文書
なお、特定個人情報に関する取扱い等については、別に「個人情報取扱規程」を定める。

2. 組織体制（１）最高情報セキュリティ責任者（CISO: Chief Information Security Officer、以下「CISO」という。
）
CISO に連合長をもって充てる。CISO は、本広域における全てのネットワーク、
情報システム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。

（２）最高情報統括責任者（CIO: Chief Information Officer、以下「CIO」という。
）
CIO に、連合長をもって充てる。CIO は、情報通信技術の活用による住民の利便性の向上及び行政運営改善等に関するものを統括する。

（３）統括情報セキュリティ責任者①CISO 直属の統括情報セキュリティ責任者に、事務局長をもって充てる。統括情報
セキュリティ責任者は CISO を補佐しなければならない。
②統括情報セキュリティ責任者は、本広域の全てのネットワークにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
③統括情報セキュリティ責任者は、本広域の全てのネットワークにおける情報セキュ
リティ対策に関する権限及び責任を有する。
④統括情報セキュリティ責任者は、情報セキュリティ責任者、情報セキュリティ管理
8

者、情報システム管理者及び情報システム担当者に対して、情報セキュリティに関する指導及び助言を行う権限を有する。
⑤統括情報セキュリティ責任者は、本広域の情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に、CISO の指示に従い、CISOが不在の場合には自らの判断に基づき、必要かつ十分な措置を行う権限
及び責任を有する。
⑥統括情報セキュリティ責任者は、本広域の共通的なネットワーク、情報システム及び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任を有する。
⑦統括情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、
統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、情報システム担当者を網羅する連絡体制を含めた緊急連
絡網を整備しなければならない。
⑧統括情報セキュリティ責任者は、緊急時には CISO に早急に報告を行うとともに、回復のための対策を講じなければならない。
（４）情報セキュリティ責任者①情報セキュリティ責任者に、事務局長をもって充てる。
②情報セキュリティ責任者は、当該係等の情報セキュリティ対策に関する統括的な権
限及び責任を有する。
③情報セキュリティ責任者は、その所管する係等において所有している情報システ
ムにおける開発、設定の変更、運用、見直し等を行う統括的な権限及び責任を有する。
④情報セキュリティ責任者は、その所管する係等において所有している情報システ
ムについて、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約及び職員等（職員、非常勤職員及び臨時職員をいう。以下同じ。
）
に対する教育、訓練、助言及び指示を行う。
(５) 情報セキュリティ管理者①情報セキュリティ管理者に、内部係の総務係の長、構成町の福祉部局の長をもって充てる。
②情報セキュリティ管理者はその所管する係等の情報セキュリティ対策に関する権限
及び責任を有する。
③情報セキュリティ管理者は、その所掌する係等において、情報資産に対するセキュ
リティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、情報セ
キュリティ責任者、統括情報セキュリティ責任者及び CISO へ速やかに報告を行い、指示を仰がなければならない。
9

（６）情報システム管理者①情報システムに関する情報システム管理者に、総務係の情報担当をもって充てる。
②情報システム管理者は、情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
③情報システム管理者は、情報システムにおける情報セキュリティに関する権限及び責任を有する。
④情報システム管理者は、情報システムに係る情報セキュリティ実施手順の維持・管理を行う。
⑤情報システム管理者は、その所掌する課室等において、情報資産に対するセキュリ
ティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、情報セ
キュリティ責任者、
統括情報セキュリティ責任者及び CISO へ速やかに報告を行い、指示を仰がなければならない。

（７）情報システム担当者
情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、更新等の作業を行う者を、情報システム担当者とする。

(８)安八郡広域連合情報化推進委員会(９)本広域の情報セキュリティ対策を統一的に行うため、安八郡広域連合情報化推進委員会
において、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。

（９）兼務の禁止①監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。
（１０）情報セキュリティに関する統一的な窓口の設置①CISO は、情報セキュリティインシデントの統一的な窓口の機能を有する組織を整備し、情報セキュリティインシデントについて係等より報告を受けた場合には、その状況を確認し、自らへの報告が行われる体制を整備する。
②CISO による情報セキュリティ戦略の意思決定が行われた際には、その内容を関係係等に提供する。
③情報セキュリティインシデントを認知した場合には、その重要度や影響範囲等を勘10案し、必要に応じて報道機関への通知・公表対応を行わなければならない。
④情報セキュリティに関して、関係機関や他の地方公共団体の情報セキュリティに関する統一的な窓口の機能を有する部署、外部の事業者等との情報共有を行う。

3.

情報資産の分類と管理方法（１）情報資産の分類
本広域における情報資産は、機密性、完全性及び可用性により、次のとおり分類
し、必要に応じ取扱制限を行うものとする。
機密性による情報資産の分類
分類

分類基準

取扱制限

機密性３

行政事務で取り扱う情報資産の・支給以外の端末での作業の原則禁

うち、秘密文書に相当する機密

機密性２

止

性を要する情報資産

・必要以上の複製及び配付禁止

行政事務で取り扱う情報資産の・保管場所の制限、保管場所への必

うち、秘密文書に相当する機密

要以上の電磁的記録媒体等の持ち性は要しないが、直ちに一般に込み禁止公表することを前提としていな・情報の送信、情報資産の運搬・提供時における暗号化・パスワード

い情報資産

設定や鍵付きケースへの格納
・復元不可能な処理を施しての廃棄・電磁的記録媒体の施錠可能な場所
への保管
機密性１

機密性２又は機密性３の情報資産以外の情報資産

完全性による情報資産の分類
分類

分類基準

取扱制限

完全性２

行政事務で取り扱う情報資産の・バックアップ

うち、改ざん、誤びゅう又は破・電磁的記録媒体の施錠可能な場所損により、住民の権利が侵害される又は行政事務の適確な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報資産

11

への保管

完全性１

完全性２情報資産以外の情報資
産

可用性による情報資産の分類
分類

分類基準

取扱制限

可用性２

行政事務で取り扱う情報資産の・バックアップ、指定する時間以内

うち、滅失、紛失又は当該情報資産が利用不可能であることにより、住民の権利が侵害されるの復旧
・電磁的記録媒体の施錠可能な場所
への保管

又は行政事務の安定的な遂行に支障（軽微なものを除く。
）を及
ぼすおそれがある情報資産
可用性１

可用性２の情報資産以外の情報
資産（２）情報資産の管理①管理責任
情報資産は、当該情報資産を作成した各課室等の情報セキュリティ管理者が管理責任を有する。
②情報資産の分類の表示
職員等は、情報資産について、ファイル（ファイル名、ファイルの属性（プロパティ）、ヘッダー・フッター等）、格納する電磁的記録媒体のラベル、文書の隅等に、必要に応じて情報資産の分類を表示し、取扱制限についても明示する等適切な管理を行う。
③情報の作成（ア）職員等は、業務上必要のない情報を作成してはならない。
（イ）情報を作成する者は、作成途上の情報についても、紛失や流出等を防止しなけ
ればならない。また、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。
④情報資産の入手（ア）事務局内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。
（イ）事務局外の者が作成した情報資産を入手した者は、（１）の分類に基づき、当該情報の分類と取扱制限を定めなければならない。
（ウ）情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュ12リティ管理者に判断を仰がなければならない。
⑤情報資産の利用（ア）情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。
（イ）情報資産を利用する者は、情報資産の分類に応じ、適切な取扱いをしなければならない。
（ウ）情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体を取り扱わなければならない。
⑥情報資産の保管（ア）情報セキュリティ管理者は、情報資産の分類に従って、情報資産を適切に保管しなければならない。
（イ）情報セキュリティ管理者は、機密性２以上、完全性２又は可用性２の情報を記録した電磁的記録媒体を保管する場合、耐火、耐熱、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。
⑦情報の送信電子メール等により機密性２以上の情報を送信する者は、必要に応じ暗号化又はパスワード設定を行わなければならない。
⑧情報資産の運搬（ア）車両等により機密性２以上の情報資産を運搬する者は、必要に応じ鍵付きのケー
ス等に格納し、暗号化又はパスワードの設定を行う等、情報資産の不正利用を防止するための措置を講じなければならない。
（イ）機密性２以上の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。
⑨情報資産の提供・公表（ア）機密性２以上の情報資産を外部に提供する者は、必要に応じ暗号化又はパスワードの設定を行わなければならない。
（イ）機密性２以上の情報資産を外部に提供する者は、情報セキュリティ管理者に許可を得なければならない。
（ウ）情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。
⑩情報資産の廃棄（ア）機密性２以上の情報資産を廃棄する者は、情報を記録している電磁的記録媒体が不要になった場合、電磁的記録媒体の初期化等、情報を復元できないように処置した上で廃棄しなければならない。
（イ）情報資産の廃棄を行う者は、情報セキュリティ管理者の許可を得なければなら
ない。
13

4.

物理的セキュリティ

4.1.

サーバ等の管理（１）機器の取付け
情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよ
う適切に固定する等、必要な措置を講じなければならない。
（２）機器の電源①情報システム管理者は、統括情報セキュリティ責任者と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適切に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。
②情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。
（４）通信ケーブル等の配線①統括情報セキュリティ責任者及び情報システム管理者は、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、主要な箇所の通信ケーブ
ル及び電源ケーブルについて、損傷等の報告があった場合、連携して対応しなければならない。
③統括情報セキュリティ責任者、情報システム管理者は、自ら又は情報システム担当
者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を施さなければならない。
（５）機器の定期保守及び修理①情報システム管理者は、可用性２のサーバ等の機器の定期保守を実施しなければならない。
②情報システム管理者は、電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合、内容を消去した状態で行わせなければならない。内容を消去できない場合、
情報システム管理者は、外部の事業者に故障を修理させるにあたり、修理を委託する事業者との間で、守秘義務契約を締結するほか、秘密保持体制の確認などを行わなければならない。
14

（６） 庁外への機器の設置
統括情報セキュリティ責任者及び情報システム管理者は、庁外にサーバ等の機器を設置する場合、CISO の承認を得なければならない。また、定期的に当該機器への情報
セキュリティ対策状況について確認しなければならない。
（７）機器の廃棄等
情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装
置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならな
い。

4.2.

管理区域（電算室等）の管理（１）管理区域の構造等①管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋（以下「電算室」という。）や電磁的記録
媒体の保管庫をいう。
②統括情報セキュリティ責任者及び情報システム管理者は、やむを得ない場合を除き管理区域を地階又は１階に設けてはならない。
③統括情報セキュリティ責任者及び情報システム管理者は、管理区域から外部に通ずるドアは必要最小限とし、鍵の施錠等によって許可されていない立入りを防止しなければならない。
④統括情報セキュリティ責任者及び情報システム管理者は、電算室内の機器等に、転倒及び落下防止等の耐震対策、防火措置等を講じなければならない。
⑤統括情報セキュリティ責任者及び情報システム管理者は、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。
（２）管理区域の入退室管理等①情報システム管理者は、施設管理部門と連携し、管理区域への入退室を許可された者のみに制限しなければならない。
②職員等及び外部委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。
（３）機器等の搬入出①情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ職員又は委託した業者に確認を行わせなければならない。
15

②情報システム管理者は、電算室の機器等の搬入出について、職員を立ち会わせなけ
ればならない。

4.3.

通信回線及び通信回線装置の管理①統括情報セキュリティ責任者は、事務局内の通信回線及び通信回線装置を、施設管理部門と連携し、適切に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適切に保管しなければならない。
②統括情報セキュリティ責任者は、 外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。
③統括情報セキュリティ責任者は、行政系のネットワークを総合行政ネットワーク（LGWAN）に集約するように努めなければならない。
④統括情報セキュリティ責任者は、機密性２以上の情報資産を取り扱う情報システムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適切な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化を行わなければならない。
⑤統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施しなければならない。
⑥統括情報セキュリティ責任者は、可用性２の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。

4.4.

職員等の端末等の管理①情報システム管理者は、盗難防止のため、執務室等で利用するモバイル端末について、使用時以外の施錠管理等の物理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。
②情報システム管理者は、情報システムへのログインパスワードの入力を必要とする
ように設定しなければならない。
③情報システム管理者は、端末の電源起動時のパスワードを併用しなければならない。
④情報システム管理者は、取り扱う情報の重要度に応じてパスワード以外に生体認証
等の二要素認証を併用しなければならない。
⑤情報システム管理者は、パソコンやモバイル端末等におけるデータの暗号化等の機能を有効に利用しなければならない。端末にセキュリティチップが搭載されている場
合、その機能を有効に活用しなければならない。同様に、電磁的記録媒体についても
データ暗号化機能を備える媒体を使用しなければならない。

16

5.
5.1.

人的セキュリティ
職員等の遵守事項（１）職員等の遵守事項①情報セキュリティポリシー等の遵守
職員等は、情報セキュリティポリシー及び実施手順を遵守しなければならない。
また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある
場合は、速やかに情報セキュリティ管理者に相談し、指示を仰がなければならない。
②業務以外の目的での使用の禁止
職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのア
クセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。
③モバイル端末や電磁的記録媒体等の持ち出し及び外部における情報処理作業の制限（ア）職員等は、本広域のモバイル端末、電磁的記録媒体、情報資産及びソフトウェ
アを外部に持ち出す場合には、情報セキュリティ管理者の許可を得なければならない。
（イ）職員等は、外部で情報処理業務を行う場合には、情報セキュリティ管理者の許可を得なければならない。
（ウ）職員等は、外部で情報処理作業を行う際、原則、私物パソコンを用いてはならない。ただし、業務上必要な場合は、情報セキュリティ管理者の許可を得て利用することができる。また、機密性３の情報資産については、私物パソコンによる情報処理を行ってはならない。
④支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用
職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、情報セキュリティ管理者の許可を得て利用することができる。
⑤持ち出し及び持ち込みの記録
情報セキュリティ管理者は、支給以外の端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。
⑥パソコンやモバイル端末におけるセキュリティ設定変更の禁止
職員等は、パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を情報セキュリティ管理者の許可なく変更してはならない。
⑦机上の端末等の管理職員等は、パソコン、モバイル端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ管理者の許可なく情報を閲覧されることがないように、離席時のパソコン、モバイル端末のロックや電磁17

的記録媒体、文書等の容易に閲覧されない場所への保管等、適切な措置を講じなければならない。
⑧退職時等の遵守事項
職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。
（２）非常勤及び臨時職員への対応①情報セキュリティポリシー等の遵守
情報セキュリティ管理者は、非常勤及び臨時職員に対し、採用時に情報セキュリ
ティポリシー等のうち、非常勤及び臨時職員が守るべき内容を理解させ、また実施
及び遵守させなければならない。
②インターネット接続及び電子メール使用等の制限
情報セキュリティ管理者は、非常勤及び臨時職員にパソコンやモバイル端末による作業を行わせる場合において、インターネットへの接続及び電子メールの使用等が不要の場合、これを利用できないようにしなければならない。
（３）情報セキュリティポリシー等の掲示
情報セキュリティ管理者は、職員等が常に情報セキュリティポリシーを閲覧できるように掲示しなければならない。
（４）外部委託事業者に対する説明
情報セキュリティ管理者は、ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、情報セキュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

5.2.

研修・訓練

（１）情報セキュリティに関する研修・訓練
CISO は、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
（２）研修計画の策定及び実施①CISO は、幹部を含め全ての職員等に対する情報セキュリティに関する研修計画の策定とその実施体制の構築を定期的に行わなければならない。
②研修は、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ
管理者、情報システム管理者、情報システム担当者及びその他職員、新規採用職員
18等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。
（３）緊急時対応訓練
CISO は、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画
は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、また、効果的に実施できるようにしなければならない。
（４）研修・訓練への参加
幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならない。

5.3.

情報セキュリティインシデントの報告（１）事務局内からの情報セキュリティインシデントの報告①職員等は、情報セキュリティインシデントを認知した場合、速やかに情報セキュリ
ティ管理者に報告しなければならない。
②報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者及び情報システム管理者及び情報セキュリティに関する統一的な窓口に報告しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、報告のあった情報セキュ
リティインシデントについて、必要に応じて CISO 及び情報セキュリティ責任者に報告しなければならない。
（２）住民等外部からの情報セキュリティインシデントの報告①職員等は、本広域が管理するネットワーク及び情報システム等の情報資産に関する情報
セキュリティインシデントについて、住民等外部から報告を受けた場合、情報セキュリ
ティ管理者に報告しなければならない。
②報告を受けた情報セキュリティ管理者は、速やかに統括情報セキュリティ責任者及び情報システム管理者に報告しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、当該情報セキュリティイヱシ
デントについて、必要に応じて CISO 及び情報セキュリティ責任者に報告しなければならない。
（３）情報セキュリティインシデント原因の究明・記録、再発防止等①統括情報セキュリティ責任者は、情報セキュリティインシデントを引き起こした部門の情報セキュリティ管理者、情報システム管理者及び情報セキュリティに関する
統一的な窓口と連携し、これらの情報セキュリティインシデント原因を究明し、記19

録を保存しなければならない。また、情報セキュリティインシデントの原因究明結果から、再発防止策を検討し、CISO に報告しなければならない。
②CISO は、統括情報セキュリティ責任者から、情報セキュリティインシデントについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなければならない。

5.4.

ID 及びパスワード等の管理（１）IC カード等の取扱い①職員等は、
自己の管理する IC カード等に関し、次の事項を遵守しなければならない。
（ア）認証に用いる IC カード等を、職員等間で共有してはならない。
（イ）業務上必要のないときは、IC カード等をカードリーダ若しくはパソコン等の端末のスロット等から抜いておかなければならない。
（ウ）IC カード等を紛失した場合には、速やかに統括情報セキュリティ責任者及び情報システム管理者に通報し、指示に従わなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、IC カード等の紛失等の通報があり次第、当該 IC カード等を使用したアクセス等を速やかに停止しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、IC カード等を切り替える
場合、切替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。
（２）ID の取扱い
職員等は、自己の管理する ID に関し、次の事項を遵守しなければならない。
①自己が利用している ID は、他人に利用させてはならない。
②共用 ID を利用する場合は、共用 ID の利用者以外に利用させてはならない。
（３）パスワードの取扱い
職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。
①パスワードは、他者に知られないように管理しなければならない。
②パスワードを秘密にし、パスワードの照会等には一切応じてはならない。
③パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。
④パスワードが流出したおそれがある場合には、情報セキュリティ管理者に速やかに報告し、パスワードを速やかに変更しなければならない。
⑤パスワードは必要に応じて変更し、古いパスワードを再利用してはならない。
⑥複数の情報システムを扱う職員等は、同一のパスワードをシステム間で用いてはならない。
20

⑦職員等間でパスワードを共有してはならない。

6. 技術的セキュリティ
6.1.

コンピュータ及びネットワークの管理（１）文書サーバ等の設定等①情報システム管理者は、職員等が使用できる文書サーバ等の容量を設定し、職員等に周知しなければならない。
②情報システム管理者は、住民の個人情報、人事記録等、特定の職員等しか取扱えな
いデータについて、別途ディレクトリを作成する等の措置を講じ、同一課室等であっても、担当職員以外の職員等が閲覧及び使用できないようにしなければならない。

（２）バックアップの実施
統括情報セキュリティ責任者及び情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの冗長化対策に関わらず、必要に応じて定期的にバックアップを実施しなければならない。
（３）他団体との情報システムに関する情報等の交換
情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュリティ責
任者及び情報セキュリティ責任者の許可を得なければならない。
（４）情報システム仕様書等の管理
統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク構成図、情報システム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者が閲覧したり、紛失等がないよう、適切に管理しなければならない。
（５）ログの取得等①統括情報セキュリティ責任者及び情報システム管理者は、各種ログ及び情報セキュ
リティの確保に必要な記録を取得し、一定の期間保存しなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、適切にログを管理しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に21

点検又は分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。
（６）障害記録
統括情報セキュリティ責任者及び情報システム管理者は、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適切に保存しなければならない。
（７）ネットワークの接続制御、経路制御等①統括情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。
②統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに適
切なアクセス制御を施さなければならない。
（８）外部の者が利用できるシステムの分離等
情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシ
ステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。
（９）外部ネットワークとの接続制限等①情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISO 及び統括情報セキュリティ責任者の許可を得なければならない。
②情報システム管理者は、接続しようとする外部ネットワークに係るネットワーク構
成、機器構成、セキュリティ技術等を詳細に調査し、事務局内の全てのネットワー
ク、情報システム等の情報資産に影響が生じないことを確認しなければならない。
③情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、
当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
④統括情報セキュリティ責任者及び情報システム管理者は、ウェブサーバ等をイン
ターネットに公開する場合、庁内ネットワークへの侵入を防御するために、ファイ
アウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
⑤情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括情報セキュリティ責
任者の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければなら
22

ない。
（１０）複合機のセキュリティ管理①統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切なセキュリティ要件を策定しなければならない。
②統括情報セキュリティ責任者は、複合機が備える機能について適切な設定等を行う
ことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。
③統括情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。
（１１） 特定用途機器のセキュリティ管理①統括情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方法、
通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を実施しなければならない。
（１２）無線 LAN 及びネットワークの盗聴対策
統括情報セキュリティ責任者は、無線 LAN の利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。
（１３）電子メールのセキュリティ管理①統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送（電子メールの中継処理）が行われることを不可能とするよう、電子メー
ルサーバの設定を行わなければならない。
②統括情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した
場合は、メールサーバの運用を停止しなければならない。
③統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。
④統括情報セキュリティ責任者は、職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。
⑤統括情報セキュリティ責任者は、システム開発や運用、保守等のため庁舎内に常駐している外部委託事業者の作業員による電子メールアドレス利用について、外部委
託事業者との間で利用方法を取り決めなければならない。

23

（１４）電子メールの利用制限①職員等は、自動転送機能を用いて、電子メールを転送してはならない。
②職員等は、業務上必要のない送信先に電子メールを送信してはならない。
③職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。
④職員等は、重要な電子メールを誤送信した場合、情報セキュリティ管理者に報告しなければならない。
（１５）暗号化
職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機密性又は完全性を確保することが必要な場合には、CISO が定めた暗号化又はパスワード設
定等、セキュリティを考慮して、送信しなければならない。
（１６）無許可ソフトウェアの導入等の禁止①職員等は、パソコンやモバイル端末に無断でソフトウェアを導入してはならない。
②職員等は、業務上の必要がある場合は、統括情報セキュリティ責任者及び情報シス
テム管理者の許可を得て、ソフトウェアを導入することができる。なお、導入する
際は、情報セキュリティ管理者又は情報システム管理者は、ソフトウェアのライセ
ンスを管理しなければならない。
③職員等は、不正にコピーしたソフトウェアを利用してはならない。
（１７）機器構成の変更の制限①職員等は、パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。
②職員等は、業務上、パソコンやモバイル端末に対し機器の改造及び増設・交換を行う必要がある場合には、統括情報セキュリティ責任者及び情報システム管理者の許可を得なければならない。
（１８）無許可でのネットワーク接続の禁止
職員等は、統括情報セキュリティ責任者の許可なくパソコンやモバイル端末をネットワークに接続してはならない。
（１９）業務以外の目的でのウェブ閲覧の禁止①職員等は、業務以外の目的でウェブを閲覧してはならない。
②統括情報セキュリティ責任者は、職員等のウェブ利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合は、情報セキュリティ管理者に24

通知し適切な措置を求めなければならない。

6.2.

アクセス制御（１）アクセス制御①アクセス制御等
統括情報セキュリティ責任者又は情報システム管理者は、所管するネットワーク
又は情報システムごとにアクセスする権限のない職員等がアクセスできないように、
システム上制限しなければならない。
②利用者 ID の取扱い
（ア）統括情報セキュリティ責任者及び情報システム管理者は、利用者の登録、変更、抹消等の情報管理、職員等の異動、出向、退職者に伴う利用者 ID の取扱い等の方
法を定めなければならない。
（イ）職員等は、業務上必要がなくなった場合は、利用者登録を抹消するよう、統括
情報セキュリティ責任者又は情報システム管理者に通知しなければならない。
（ウ）統括情報セキュリティ責任者及び情報システム管理者は、利用されていない IDが放置されないよう、人事管理部門と連携し、点検しなければならない。
③特権を付与された ID の管理等
（ア）統括情報セキュリティ責任者及び情報システム管理者は、管理者権限等の特権を付与された ID を利用する者を必要最小限にし、当該 ID のパスワードの漏えい等が発生しないよう、当該 ID 及びパスワードを厳重に管理しなければならない。
（イ）統括情報セキュリティ責任者及び情報システム管理者の特権を代行する者は、
統括情報セキュリティ責任者及び情報システム管理者が指名し、CISO が認めた者でなければならない。
（ウ）CISO は、代行者を認めた場合、速やかに統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者及び情報システム管理者に通知しなければならない。
（エ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID
及びパスワードの変更について、外部委託事業者に行わせてはならない。
（オ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された ID
及びパスワードについて、職員等の端末等のパスワードよりも定期変更、入力回数制限等のセキュリティ機能を強化しなければならない。
（カ）統括情報セキュリティ責任者及び情報システム管理者は、特権を付与された IDを初期設定以外のものに変更しなければならない。
（２）職員等による外部からのアクセス等の制限①職員等が外部から内部のネットワーク又は情報システムへのアクセスすることは原25

則禁止する。業務上必要な場合は、統括情報セキュリティ責任者及び当該情報シス
テムを管理する情報システム管理者の許可を得なければならない。
②統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
③統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上利用者の本人確認を行う機能を確保しなければならない。
④統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。
⑤統括情報セキュリティ責任者及び情報システム管理者は、外部からのアクセスに利用するモバイル端末を職員等に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。
⑥職員等は、持ち込んだ又は外部から持ち帰ったモバイル端末を事務局内のネット
ワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。
⑦統括情報セキュリティ責任者は、公衆通信回線（公衆無線 LAN 等）の庁外通信回線を庁内ネットワークに接続することは原則禁止しなければならない。ただし、やむを得ず接続を許可する場合は、利用者の ID 及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体（IC カード等）による認証に加えて通信
内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならない。
（４）パスワードに関する情報の管理
統括情報セキュリティ責任者又は情報システム管理者は、職員等のパスワードに関する情報を厳重に管理しなければならない。パスワードファイルを不正利用から保護するため、オペレーティングシステム等でパスワード設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。
（６）特権による接続時間の制限
情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

6.3.

システム開発、導入、保守等（１）情報システムの調達①統括情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。
26

②統括情報セキュリティ責任者及び情報システム管理者は、機器及びソフトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問
題のないことを確認しなければならない。
（２）情報システムの開発①システム開発における責任者及び作業者の特定
情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。また、システム開発のための規則を確立しなければならない。
②システム開発における責任者、作業者のＩＤの管理（ア）情報システム管理者は、システム開発の責任者及び作業者が使用するＩＤを管理し、開発完了後、開発用ＩＤを削除しなければならない。
（イ）情報システム管理者は、システム開発の責任者及び作業者のアクセス権限を設定しなければならならない。
③システム開発に用いるハードウェア及びソフトウェアの管理（ア）情報システム管理者は、システム開発の責任者及び作業者が使用するハードウェ
ア及びソフトウェアを特定しなければならない。
（イ）情報システム管理者は、利用を認めたソフトウェア以外のソフトウェアが導入されている場合、当該ソフトウェアをシステムから削除しなければならない。
（３）情報システムの導入①開発環境と運用環境の分離及び移行手順の明確化（ア）情報システム管理者は、システム開発・保守及びテスト環境からシステム運用
環境への移行について、システム開発・保守計画の策定時に手順を明確にしなければならない。
（イ）情報システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。
（ウ）情報システム管理者は、導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。
②テスト（ア）情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報システムに接続する前に十分な試験を行わなければならない。
（イ）情報システム管理者は、運用テストを行う場合、あらかじめ擬似環境による操作確認を行わなければならない。
（ウ）情報システム管理者は、個人情報及び機密性の高い生データを、テストデータに使用してはならない。
27

（エ）情報システム管理者は、開発したシステムについて受け入れテストを行う場合、開発した組織と導入する組織が、それぞれ独立したテストを行わなければならない。
（４）システム開発・保守に関連する資料等の整備・保管①情報システム管理者は、システム開発・保守に関連する資料及びシステム関連文書を適切に整備・保管しなければならない。
②情報システム管理者は、テスト結果を一定期間保管しなければならない。
③情報システム管理者は、情報システムに係るソースコードを適切な方法で保管しなければならない。
（５）情報システムにおける入出力データの正確性の確保①情報システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報シ
ステムを設計しなければならない。
②情報システム管理者は、故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合に、これを検出するチェック機能を組み込むように情報システムを設計しなければならない。
③情報システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。
（６）情報システムの変更管理
情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変更
履歴を作成しなければならない。
（７）開発・保守用のソフトウェアの更新等
情報システム管理者は、開発・保守用のソフトウェア等を更新、又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。
（８）システム更新又は統合時の検証等
情報システム管理者は、システム更新・統合時に伴うリスク管理体制の構築、移行
基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。

6.4.

不正プログラム対策（１）統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正プログラム対策として、次の事項を措置しな
28

ければならない。
①外部ネットワークから受信したファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。
②外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュータウイルス等不正プログラムのチェックを行い、不正プログラムの外部への拡散を防止しなければならない。
③コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起しなければならない。
④所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラ
ム対策ソフトウェアを常駐させなければならない。
⑤不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
⑥不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
⑦業務で利用するソフトウェアは、パッチやバージョンアップなどの開発元のサポートが終了したソフトウェアを利用してはならない。
（２）情報システム管理者の措置事項
情報システム管理者は、不正プログラム対策に関し、次の事項を措置しなければならない。
①情報システム管理者は、その所掌するサーバ及びパソコン等の端末に、コンピュー
タウイルス等の不正プログラム対策ソフトウェアをシステムに常駐させなければならない。
②不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
③不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
④インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場合、
コンピュータウイルス等の感染を防止するために、広域が管理している媒体以外を職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。
（３）職員等の遵守事項
職員等は、不正プログラム対策に関し、次の事項を遵守しなければならない。
①パソコンやモバイル端末において、不正プログラム対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。
29

②外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム対策
ソフトウェアによるチェックを行わなければならない。
③差出人が不明又は不自然に添付されたファイルを受信した場合は、情報システム管理者に報告し指示を仰がなければならない。
④端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。
⑤添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフト
ウェアでチェックを行わなければならない。
⑥統括情報セキュリティ責任者が提供するウイルス情報を、常に確認しなければならない。
⑦コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる場合
は、以下の対応を行わなければならない。
（ア）パソコン等の端末の場合
LAN ケーブルの即時取り外しを行わなければならない。
（イ）モバイル端末の場合直ちに利用を中止し、通信を行わない設定への変更を行わなければならない。
（４）専門家の支援体制
統括情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事
態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければ
ならない。

6.5.

不正アクセス対策（１）統括情報セキュリティ責任者の措置事項
統括情報セキュリティ責任者は、不正アクセス対策として、以下の事項を措置しなければならない。
①使用されていないポートを閉鎖しなければならない。
②不要なサービスについて、機能を削除又は停止しなければならない。
③不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括情報セキュリティ責任者及び情報システム管理者へ通報するよう、設定しなければならない。
④統括情報セキュリティ責任者は、情報セキュリティに関する統一的な窓口と連携し、監視、通知、外部連絡窓口及び適切な対応などを実施できる体制並びに連絡網を構築しなければならない。
（２）攻撃の予告
30

CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けることが明確になった場合、システムの停止を含む必要な措置を講じなければならない。また、関係機関と連絡を密にして情報の収集に努めなければならない。
（３）記録の保存
CISO 及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正
アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。
（４）内部からの攻撃
統括情報セキュリティ責任者及び情報システム管理者は、職員等及び外部委託事業者が使用しているパソコン等の端末からの事務局内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。
（５）職員等による不正アクセス
統括情報セキュリティ責任者及び情報システム管理者は、職員等による不正アクセスを発見した場合は、当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な処置を求めなければならない。
（６）サービス不能攻撃
統括情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる
情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。
（７）標的型攻撃
統括情報セキュリティ責任者及び情報システム管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。

6.6.

セキュリティ情報の収集（１）セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等
統括情報セキュリティ責任者及び情報システム管理者は、セキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければな
31

らない。
（２）不正プログラム等のセキュリティ情報の収集・周知
統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。
（３）情報セキュリティに関する情報の収集及び共有
統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュ
リティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

7.
7.1.

運用
情報システムの監視①統括情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する事
案を検知するため、情報システムを常時監視しなければならない。
②統括情報セキュリティ責任者及び情報システム管理者は、重要なログ等を取得する
サーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、外部と常時接続するシス
テムを常時監視しなければならない。

7.2.

情報セキュリティポリシーの遵守状況の確認（１）遵守状況の確認及び対処①情報セキュリティ責任者及び情報セキュリティ管理者は、情報セキュリティポリ
シーの遵守状況について確認を行い、問題を認めた場合には、速やかに CISO 及び
統括情報セキュリティ責任者に報告しなければならない。
②CISO は、発生した問題について、適切かつ速やかに対処しなければならない。
③統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク及びサーバ等のシステム設定等における情報セキュリティポリシーの遵守状況について、定期的に確認を行い、問題が発生していた場合には適切かつ速やかに対処しなければならない。
（２）パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査
CISO 及び CISO が指名した者は、不正アクセス、不正プログラム等の調査のために、
32

職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のログ、電子メー
ルの送受信記録等の利用状況を調査することができる。
（３）職員等の報告義務①職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括情報セキュリティ責任者及び情報セキュリティ管理者に報告を行わなければならない。
②違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報
セキュリティ責任者が判断した場合は、緊急時対応計画に従って適切に対処しなけ
ればならない。

7.3

侵害時の対応等（１）緊急時対応計画の策定
情報セキュリティインシデント、情報セキュリティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適切に実施するために、緊急時対応計画を次のとおり定める。
セキュリティ侵害時には当該計画に従って適切に対処しなければならない。
①関係者の連絡先の把握
・CISO
・CIO
・統括情報セキュリティ責任者
・情報セキュリティ責任者
・情報システム管理者
・総務省自治行政局地域情報政策室
・岐阜県情報企画課
・その他関係する機関、外部委託業者、個人、法人②発生した事案に係る報告すべき事項（ア）ＩＴ障害・情報資産に対する攻撃やシステム障害が発生した場合報告年月日発生した事象の分類
発生の原因の分類
ＩＴ障害が発生した団体名
33

ＩＴ障害の発生日時
ＩＴ障害が発生したサービスの概要
サービスへの影響発生した事象や原因、対策の詳細実施した対外的な対応（イ）情報漏洩・個人情報及び業務資料の情報漏洩、紛失、盗難があった場合
報告年月日
流出の区分
流出が発生した団体名
流出元
警察への連絡状況③発生した事案に係る報告フロー図

インシデントを
認知した者

CISO

統括情報セキュリティ責任者
情報セキュリティ管理者
情報システム管理者

総務省

県 情報企画課

外部委託事業者（３）緊急時対応計画の見直し
CISO 又は安八郡広域連合情報化推進委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画を見直さなければならない。

7.4.

例外措置

（１）例外措置の許可
34

情報セキュリティ管理者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISO の許可を得て、例外措置を取ることができる。
（２）緊急時の例外措置
情報セキュリティ管理者及び情報システム管理者は、行政事務の遂行に緊急を要す
る等の場合であって、例外措置を実施することが不可避のときは、事後速やかに CISOに報告しなければならない。

7.5.

法令遵守
職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほ
か関係法令を遵守し、これに従わなければならない。
①地方公務員法（昭和 25 年法律第 261 号）②著作権法（昭和 45 年法律第 48 号）③不正アクセス行為の禁止等に関する法律（平成 11 年法律第 128 号）④個人情報の保護に関する法律（平成 15 年 5 月法律第 57 号）⑤行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第 27 号）⑥安八郡広域連合個人情報保護法施行条例（令和5年条例第 3 号）

7.6.

懲戒処分等

（１）懲戒処分情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。
（２）違反時の対応
職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。
①統括情報セキュリティ責任者が違反を確認した場合は、統括情報セキュリティ責任者は当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
②情報システム管理者等が違反を確認した場合は、違反を確認した者は速やかに統括
情報セキュリティ責任者及び当該職員等が所属する課室等の情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
③情報セキュリティ管理者の指導によっても改善されない場合、統括情報セキュリ
35

ティ責任者は、当該職員等のネットワーク又は情報システムを使用する権利を停止
あるいは剥奪することができる。その後速やかに、統括情報セキュリティ責任者は、職員等の権利を停止あるいは剥奪した旨を CISO 及び当該職員等が所属する課室等の情報セキュリティ管理者に通知しなければならない。

8.
8.1.

外部サービスの利用
外部委託（１）外部委託事業者の選定基準①情報セキュリティ管理者は、外部委託事業者の選定にあたり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。
②情報セキュリティ管理者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュリティレベルが確保されているサービスを利用しなければならない。
（２）契約項目
情報システムの運用、保守等を外部委託する場合には、外部委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。
・情報セキュリティポリシー及び情報セキュリティ実施手順の遵守
・外部委託事業者の責任者、委託内容、作業者、作業場所の特定・提供されるサービスレベルの保証
・外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
・外部委託事業者の従業員に対する教育の実施・提供された情報の目的外利用及び受託者以外の者への提供の禁止
・業務上知り得た情報の守秘義務・再委託に関する制限事項の遵守
・委託業務終了時の情報資産の返還、廃棄等・委託業務の定期報告及び緊急時報告義務
・広域による監査、検査・広域による情報セキュリティインシデント発生時の公表
・情報セキュリティポリシーが遵守されなかった場合の規定（損害賠償等）（３）確認・措置等
情報セキュリティ管理者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、（２）の契約に基づき措置しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じて CISO に報告しなければならない。
36

8.2.

ソーシャルメディアサービスの利用①情報セキュリティ管理者は、本広域が管理するアカウントでソーシャルメディアサービ
スを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディ
アサービス運用手順を定めなければならない。
（ア）本広域のアカウントによる情報発信が、実際の本町のものであることを明らかにするために、可能な限り本広域の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を行うこと。
（イ）パスワードや認証のためのコード等の認証情報及びこれを記録した媒体（IC カード等）等を適切に管理するなどの方法で、不正アクセス対策を行うこと②機密性２以上の情報はソーシャルメディアサービスで発信してはならない。
③利用するソーシャルメディアサービスごとの責任者を定めなければならない。

9.
9.1.

評価・見直し監査（１）実施方法CISO は、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報システ
ム等の情報資産における情報セキュリティ対策状況について必要に応じて監査を行わせなければならない。
（２）監査を行う者の要件
情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。
（３）監査実施への協力
被監査部門は、監査の実施に協力しなければならない。
（４）報告
情報セキュリティ監査統括責任者は、監査結果を取りまとめ、CISO 及び安八郡広域連合地域情報化推進委員会に報告する。
（５）保管
情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を、紛失等が発生しないように適切に保管しなければ37

ならない。
（６）監査結果への対応
CISO は、監査結果を踏まえ、指摘事項を所管する情報セキュリティ管理者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報
セキュリティ管理者に対しても、同種の課題及び問題点がある可能性が高い場合には、
当該課題及び問題点の有無を確認させなければならない。
（８）情報セキュリティポリシー及び関係規程等の見直し等への活用
安八郡広域連合地域情報化推進委員会は、監査結果を情報セキュリティポリシー及び関係規定等の見直し、その他情報セキュリティ対策の見直し時に活用しなければなら
ない。

9.2.

自己点検

（１）実施方法①統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報システムについて、必要に応じて自己点検を実施しなければならない。
②情報セキュリティ責任者は、情報セキュリティ管理者と連携して、所管する係における情報セキュリティポリシーに沿った情報セキュリティ対策状況について、必要に応じて自己点検を行わなければならない。
（２）報告
統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ責任者は、
自己点検結果と自己点検結果に基づく改善策を取りまとめ、CISO に報告しなければならない。
（３）自己点検結果の活用①職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければな
らない。

9.3.

情報セキュリティポリシー及び関係規程等の見直し
安八郡広域連合情報化推進委員会は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等をふまえ、情報セキュリティポリシー及び関係規程等について重大な変化が発生した場合に評価を行い、必要があると認めた
場合、改善を行うものとする。

38