情報セキュリティ基本方針

1改訂履

歴版数
改訂年月日
1.0 2015 年 12 月 17 日 新規制定

改訂内容

※ 版数は新規制定を第 1.0 版とし、改訂が発生した際は第 1.1 版とする。
※ 改訂があった場合は、必ず改訂内容を記載すること。

2目次

１． 総則 .............................................................................................................................1
１．１ 目的 ......................................................................................................................1
１．２ 適用範囲 ...............................................................................................................1
１．３ 定義 ......................................................................................................................1
２． 基本原則 ......................................................................................................................2
３． 管理運営体制 ...............................................................................................................2
３．１ ポリシーの管理体制 .............................................................................................2
３．２ 情報システムの運用体制 ......................................................................................2
３．３ 苦情・質問窓口の設置 ..........................................................................................2
４． 管理方法 ......................................................................................................................2
４．１ 情報の管理............................................................................................................2
４．２ 保管期間 ...............................................................................................................3４．３ 利用者識別............................................................................................................3
４．４ 監督及び 教育 .......................................................................................................3
４．５ 事故の予防と対応 .................................................................................................3
４．６ 罰則規程 ...............................................................................................................3
５． ポリシーの維持管理 ....................................................................................................3
５．１ ポリシーの改訂及び公開 ......................................................................................3
５．２ 監査及び是正措置 .................................................................................................3

１．総則
１．１ 目的佐賀県医師国民健康保険組合（以下、「当組合」という）では、取り扱う個人情報を、故意、過失、偶然の区別に関係なく、改ざん、破壊、漏洩から保護すると共に、個人情報を利用する役職員に対して、情報システムに関する安全管理の重要性、及び個人情報の適切な取り扱いと保護についての認識を高め、医療保険者としての信頼感と安心感の向上を図る事を目的として情報セキュリティ基本方針（以下、「ポリシー」という）を制定する。
１．２ 適用範囲
１）適用対象者
ポリシーは、役員、職員、契約社員、嘱託社員、出向社員、派遣社員、パート、ボランティア及び実習生等（以下、「役職員」という）の雇用形態、職位、資格、勤務地を問わず、全役職員に対して適用する。ただし、ポリシーの対象となる業務を外部に委託する場合には、別途、本ポリシーに準拠した内容の外部委託契約を締結する。
２）適用情報ポリシーは、情報システムで取り扱う電子情報だけでなく、情報システムへ入力する前の紙媒体の情報や、役職員の履歴書等全ての個人情報に対して適用する。当組合が遵守すべき具体的な事項は、ポリシーに基づいた物理的、組織的、技術的及び人的な対策を、情報システムに関する「運用管理規程」及び紙媒体の情報に関する「機密文書管理規程」にまとめる。
１．３ 定義１）情報セキュリティ基本方針（ポリシー）
ポリシーは、組織内にある情報を安全に運用するための規約を文書化し、当組合の「個人情報保護方針」に基づいて、当組合の情報システムに関する安全管理についての基本姿勢を示したものである。
２）個人情報個人情報とは、氏名、住所、生年月日、性別等の個人を特定できる情報または他の情報と組合せて個人を特定できる情報を含んだ情報をいう。なお、個人情報は、特定個人情報も含む。特定個人情報は、個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報を指す。
個人情報保護法においては、保護の対象は、「生存する」個人情報であり、死者に関する情報については、保護の対象とならない。番号法における特定個人情報についても同様の取扱いとなるが、特定個人情報のうち、個人番号については、生存者の個人番号であることが要件でないため、死者の個人番号も保護の対象となる。
法令の定める業務範囲の手続において、個人番号の記入欄のある様式を用いて得られた情報については、様式に個人番号の記入がない個人情報も特定個人情報と同様に取り扱う。
1３）情報システム
情報システムとは、当組合で運用する適用、給付、徴収に係る医療保険業務に適用する医療保険システム、健診，検診に係る保健業務に適用する保健システム及び当組合の人事・給与、資産管理、財務会計等に係る業務に適用する業務システム並びにこれらのシステムへの接続機器などをいう。
２．基本原則当組合の情報システムは、次に掲げる基本原則により運用する。
１）保存義務のある情報の電子媒体による保存については、情報の真正性、見読性、保存性を確保する。
２）情報システムの利用に当たっては、守秘義務を遵守し、加入者個人の情報を保護する。
３）情報システムへのコンピュータウィルスの侵入及び外部からの不正アクセスに対して必要な対策を講じる。予め許可したソフトウェアのインストール及び USB メモ
リ等以外の外部記憶媒体の接続を禁止する。
３．管理運営体制
３．１ ポリシーの管理体制
１）ポリシーは理事会が維持管理を行う。
２）事務長は、理事会の指示を受け、職員に対してポリシーが遵守されるように指導、教育を行う。
３．２ 情報システムの運用体制
１）情報システムについては、運用管理者を置き、事務長がこれを指名する。
２）運用管理者は、情報システムの安全管理に必要な、組織的、人的、技術的、物理的対策を実施し、維持し、かつ、改善するために不可欠な資源を用意する。
３．３ 苦情・質問窓口の設置
個人情報の取扱い及び情報システムの運用に関して、加入者及びシステム利用者からの苦情及び質問を受け付け、適切かつ迅速な対応を行うために、苦情・質問を受け付ける窓口（ヘルプデスク）を設ける。
４．管理方法４．１ 情報の管理
情報システムで取扱う情報は、情報の取得から利用・保管・廃棄までの情報の取扱の流れに沿ったリスク分析を実施し、リスクに対応した適切な取り扱い方法を運用管理規程、機密文書管理規程等に規定して、適切に管理・運用する。

2

４．２ 保管期間
情報システムで取扱う情報は、法令に定められた保管期間を基本として別途定める。また、情報システムへのアクセスログを記録し、その記録を最低５年保管する。
４．３ 利用者識別情報システムの利用者の登録を管理し、そのアクセス権限を規定し、不正な利用を防止する。
４．４ 監督及び 教育
理事会は、全ての役職員に対して、情報セキュリティの重要性と、個人情報の適切な取り扱い、及び安全管理について意識面及び技術面の向上を目的として、必要かつ適切な監督及び継続的な教育を行う。
４．５ 事故の予防と対応
当組合は、ポリシーの遵守により、情報漏えい事故等の発生の予防に努める。万一、事故が発生した場合には、その事実を速やかに公表し、再発防止策を含む適切な対策を速やかに講じる。
４．６ 罰則規程
理事会は、役職員がポリシーに違反して、当組合の情報セキュリティに重大な影響を与えた場合、又はそれに準ずる悪質な行為などが認められた場合、当組合の服務規程に基づいた処罰を勧告することができる。
５．ポリシーの維持管理
５．１ ポリシー、運用管理規程並びに機密文書管理規程（以下、「ポリシー等」という）の改訂及び公開
１）ポリシー等は、以下のような場合等を想定して、理事会の決議・承認を経て改訂する。なお、軽微な修正については、理事長の承認により改訂することができる。
a) ＩＴ技術の発展とポリシー等の整合性を維持する必要がある場合b) 社会環境の変化とポリシー等の整合性を維持する必要がある場合
c) 法令及び標準規格等とポリシー等の整合性を維持する必要がある場合
２）改訂されたポリシー等は、改訂後即時に役職員に向けて公開する。但し、原則として、運用管理規程並びに機密文書管理規程は、当組合の外部に向けては公開しない。
５．２ 監査及び是正措置
１）情報システムの適正な運用とその有効性を維持するために、定期的に又は必要に応じて内部監査を実施する。
２）運用管理者は、監査結果の報告を受け、問題点の指摘等がある場合には、直ちに必要な措置を講じる。
以上
3