経済産業省
制定 平成 18 年 3 月 31 日
平成 18･03･22 シ第１号
改正 平成 20 年 2 月１日
平成 20･02･01 シ第１号
改正 平成 20 年 12 月 10 日
平成 20･10･29 シ第１号
改正 平成 21 年 12 月１日
平成 21･11･18 シ第１号
改正 平成 23 年 4 月１日
平成 23･04･01 シ第１号
改正 平成 23 年 7 月 25 日
平成 23･07･08 シ第１号
改正 平成 24 年 7 月 25 日
20120719 シ第１号
改正 平成 24 年 9 月 19 日
20120918 シ第３号
改正 平成 27 年 3 月 26 日
20150324 シ第 1 号
改正 平成 29 年 7 月 5 日
20170609 シ第 1 号
改正 令和元年 5 月 31 日
20190529 官第 2 号
改正 令和 3 年 3 月 31 日
20210325 官第 3 号
最終改正 令和 4 年 10 月 24 日
20221007 官第 3 号
本外

経済産業省情報セキュリティ管理規程を次のように制定する。
-1-省局

平成１８年３月３１日
経済産業大臣 二階 俊博
経済産業省情報セキュリティ管理規程（目的）第１条 この規程は、経済産業省における情報セキュリティの適正な管理を行うために必要な事項を定め、もって経済産業省の保有する情報に係る安全性及び信頼性の向上に資することを目的とする。
（定義）
第２条 この規程における用語の定義は、次のとおりとする。
（１） 「情報」とは、職員等が職務上作成又は取得したもの（書面（文書又は図画）又は電磁的記録（電子的方式、磁気的方式その他人の知覚によって認識することができない方式で作られた記録をいう。
））をいう。
（２） 「可用性」とは、情報及び関連資産へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる特性をいう。
（３） 「完全性」とは、情報が破壊、改ざん又は消去されていない特性をいう。
（４） 「機密性」とは、情報に関して、アクセスを認可された者だけがこれにアクセスできる特性をいう。
（５） 「機密性３情報」とは、経済産業省で取り扱う情報のうち、行政文書の管理に関するガイドライン（平成２３年４月１日内閣総理大臣決定）に定める秘密文書としての取扱いを要する情報をいう。
（６） 「機密性２情報」とは、経済産業省で取り扱う情報のうち、行政機関の保有する情報の公開に関する法律（平成１１年法律第４２号。以下「情報公開法」という。）第５条各号における不開示情報に該当すると判断される蓋然性の高い情報を含む情報であって、「機密性３情報」以外の情報をいう。
（７） 「機密性１情報」とは、経済産業省で取り扱う情報のうち、情報公開法第５条各号における不開示情報に該当すると判断される蓋然性の高い情報を含まない情報をいう。
（８） 「職員等」とは、経済産業省の指揮命令に服している者のうち、経済産業省の管理対象である情報及び情報システムを取り扱う者をいう。
（９） 「クラス３」とは、クラス２より強固な情報セキュリティを確保するための厳重な管理対策及び利用制限対策を実施する必要がある区域をいう。
（１０） 「クラス２」とは、クラス１より強固な情報セキュリティを確保するための管理対策及び利用制限対策を実施する必要がある区域をいう。
（１１） 「クラス１」とは、最低限必要な情報セキュリティを確保するための管理対策及び利用制限対策を実施する必要がある区域をいう。
（１２） 「クラス０」とは、クラス３、クラス２及びクラス１以外の区域をいう。
（１３） 「経済産業省外」とは、経済産業省の組織若しくは経済産業省の指揮命令に服している者以外の者又は経済産業省の所管に属する庁舎等（国の庁舎等の使用調整等に関する特別措置法（昭和３２年法律第１１５号）第２条第２項に規定するものをいう。以下同じ。）以外の場所をいう。
（１４） 「情報システム」とは、情報処理及び通信に係るシステムをいう。
（１５） 「端末」とは、情報システムの構成要素である機器のうち、職員等が情報処理を行うために直接操作するもの（搭載されるソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。
）をいい、特に断りがない限り、経済産業省が調達又は開発するものをいう。端末には、モバイル端末も含まれる。特に断りを入れた例としては、経済産業省が調達又は開発するもの以外を指す「経済産業省支給以外の端末」がある。
（１６） 「情報セキュリティ」とは、情報の機密性、完全性及び可用性を確保することをいう。
-2-

（１７） 「情報セキュリティ関係規程」とは、この規程、第２０条第１項の規定に基づく基準（以下「対策基準」という。
）並びにこの規程及び対策基準に基づく実施規程をいう。
（１８） 「情報セキュリティ対策」とは、情報セキュリティを確保するために必要な措置をいう。
（１９） 「情報取扱区域」とは、経済産業省の内外において情報を取り扱う区域をいう。
（２０） 「統一基準」とは、政府機関等の情報セキュリティ対策のための統一規範に基づき策定される「政府機関等のサイバーセキュリティ対策のための統一基準」をいう。
（２１） 「取扱制限」とは、情報の取扱いに関する制限であって、複製禁止、持出禁止、配付制限、暗号化その他情報の取扱いを適正にする手段をいう。
（２２） 「明示等」とは、情報を取り扱う全ての者が当該情報の格付及び取扱制限について共通の認識となるよう、明示又は利用者全てに周知するなど明示と同等の措置を講ずることをいう。
（２３） 「要管理対策区域」とは、施設及び環境に係る管理対策が講じられている区域であって、情報取扱区域におけるクラス１以上の区域をいう。
（２４） 「例外措置」とは、職員等が情報セキュリティ関係規程を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる代替の方法を採用する又は遵守事項を実施しない合理的理由がある場合に、許可を得た措置をいう。
（２５） 「障害及び事故等」とは、職員等の意図に反した若しくは悪意による要因又は職員等以外の者による要因によって情報が損なわれる可能性がある状態及び可能性が具現化した状態をいう。
（２６） 「国の行政機関」とは、法律の規定に基づき内閣に置かれる機関若しくは内閣の所管の下に置かれる機関、宮内庁、内閣府設置法（平成１１年法律第８９号）第４９条第１項若しくは第２項に規定する機関、国家行政組織法（昭和２３年法律第１２０号）第３条第２項に規定する機関又はこれらに置かれる機関をいう。
（２７） 「独立行政法人」とは、独立行政法人通則法（平成１１年法律第１０３号）第２条第１項に規定する法人をいう。

（最高情報セキュリティ責任者）
第３条 経済産業省に最高情報セキュリティ責任者を置く。
２ 最高情報セキュリティ責任者は、経済産業省における情報セキュリティ対策に関する事務の統括を行う。
３ 最高情報セキュリティ責任者は、大臣官房長をもって充てる。
（最高情報セキュリティ副責任者）
第４条 経済産業省に最高情報セキュリティ副責任者を置く。
２ 最高情報セキュリティ副責任者は、最高情報セキュリティ責任者を助けて、経済産業省における情報セキュリティ対策に関する事務を整理し、最高情報セキュリティ責任者の命を受けて事務を統括する。
３ 最高情報セキュリティ副責任者は、大臣官房審議官（サイバーセキュリティ・情報化担当）をもって充てる。
（最高情報セキュリティアドバイザー）
第５条 最高情報セキュリティ責任者は、情報セキュリティについて専門的な知識及び経験を有する者として、経済産業省に最高情報セキュリティアドバイザーを置く。
２ 最高情報セキュリティアドバイザーは最高情報セキュリティ責任者に対し、情報セキュリティに関する専門的な助言を行う。
（情報セキュリティ監査責任者）
第６条 最高情報セキュリティ責任者は、経済産業省に情報セキュリティ監査責任者を置く。
２ 情報セキュリティ監査責任者は、最高情報セキュリティ責任者の指示に基づき、情報セキュリティ監査-3-に関する事務の統括を行う。
３ 情報セキュリティ監査責任者は、大臣官房首席監察官をもって充てる。
（情報セキュリティ責任者）
第７条 最高情報セキュリティ責任者は、部局ごとに情報セキュリティ責任者を置く。
２ 情報セキュリティ責任者は、部局内の情報セキュリティ対策に関する事務を統括する。
３ 情報セキュリティ責任者は、別表に掲げる者をもって充てる。
（統括情報セキュリティ責任者）
第８条 最高情報セキュリティ責任者は、経済産業省に統括情報セキュリティ責任者を置く。
２ 統括情報セキュリティ責任者は、最高情報セキュリティ責任者及び最高情報セキュリティ副責任者の補佐を行う者として、情報セキュリティ責任者の統括を行う。
３ 統括情報セキュリティ責任者は、大臣官房業務改革課情報システム室長をもって充てる。
（情報セキュリティ委員会）
第９条 最高情報セキュリティ責任者は、経済産業省に情報セキュリティ委員会を設置する。
２ 情報セキュリティ委員会は、対策基準等の経済産業省における情報セキュリティに関する事項について審議を行う。
３ 情報セキュリティ委員会は、情報セキュリティ責任者のうち別表の最右欄に印を付した者により構成する。
４ 情報セキュリティ委員会の委員長は、統括情報セキュリティ責任者をもって充てる。
５ 委員長が必要と認める場合は、情報セキュリティ委員会の審議は書面等によって行うことができる。
６ 情報セキュリティ委員会の庶務は、大臣官房業務改革課情報システム室が行う。
（情報セキュリティ対策推進体制の整備）
第１０条 情報セキュリティ対策推進体制は、最高情報セキュリティ責任者が規定した当該体制の役割に応じて必要な事務を遂行する。
２ 情報セキュリティ対策推進体制の責任者は、統括情報セキュリティ責任者をもって充てる。
（課室情報セキュリティ責任者）
第１１条 情報セキュリティ責任者は、各課室に課室情報セキュリティ責任者を１人置く。
２ 課室情報セキュリティ責任者は、課室における情報セキュリティ対策に関する事務を統括する。
３ 課室情報セキュリティ責任者は、課室の長をもって充てる。
４ 課室情報セキュリティ責任者は、保有する情報の機密性を考慮した上で、必要となる手順を定め、情報セキュリティ対策を決定しなければならない。
（特定機密事務管理責任者）
第１２条 情報セキュリティ責任者は、次の各号に掲げる要件すべてに該当する事務を特定機密事務に指定し、当該特定機密事務の主たる所掌課等の長を特定機密事務管理責任者とする。
（１） 行政事務で取り扱う情報のうち、機密性３情報を取り扱うもの（２） 複数の課等にまたがって、合議又は調整等を行うもの（３） 事案ごとに従たる所掌課等が異なるもの（４） 当該事務を処理する専用の情報システムがないもの（５） 当該事務で取り扱う情報の管理体制について、特別な定めがないもの
２ 特定機密事務管理責任者は、特定機密事務で取り扱う情報の管理について、必要な事項を定める。
３ 特定機密事務管理責任者は、特定機密事務の主たる所掌課等の職員のうちから、特定機密事務管理責任者を補佐する者を指名する。
４ 特定機密事務管理責任者は、特定機密事務の従たる所掌課等の長をすべて副特定機密事務管理責任者に-4-

指名する。
５ 情報セキュリティ責任者は、特定機密事務管理責任者を設置又は変更したときは、統括情報セキュリティ責任者に報告する。
（区域情報セキュリティ責任者）
第１３条 統括情報セキュリティ責任者は、要管理対策区域について、情報セキュリティ対策の運用に係る管理を行う区域の単位を定め、単位ごとに区域情報セキュリティ責任者を置く。
２ 区域情報セキュリティ責任者は、所管する単位における区域ごとの情報セキュリティ対策に関する事務を統括する。
３ 区域情報セキュリティ責任者は、区域を管理する課室長をもって充てる。
（情報システムセキュリティ責任者）
第１４条 情報セキュリティ責任者は、所管する情報システムごとに情報システムセキュリティ責任者を置く。
２ 情報システムセキュリティ責任者は、所管する情報システムに対する情報セキュリティ対策に関する事務を統括する。
３ 情報システムセキュリティ責任者は、情報システムを所管する課室の長をもって充てる。
４ 情報システムセキュリティ責任者は、情報システムに係る脅威を明らかにし、情報システムごとの重要性、利用環境等を考慮したリスクの評価を行った上で、必要となる情報セキュリティ対策を決定しなければならない。
５ 評価を行ったリスクに変化が生じた場合は、前項のリスク評価及び対策を見直さなければならない。
６ 情報システムセキュリティ責任者は、職員等による規程の遵守を支援する機能について情報セキュリティリスクと業務効率化の観点から支援する範囲を検討し、当該機能を持つ情報システムを構築する。
（情報システムセキュリティ管理者）
第１５条 情報システムセキュリティ責任者は、所管する情報システムの管理業務において必要な単位ごとに情報システムセキュリティ管理者を置く。
２ 情報システムセキュリティ管理者は、所管する管理業務における情報セキュリティ対策を実施する。
（端末管理責任者）
第１６条 情報セキュリティ責任者は、各課室に経済産業省支給以外の端末を用いた情報処理に関する安全管理措置の実施状況を管理する責任者（以下「端末管理責任者」という。
）を１人置く。
２ 端末管理責任者は、経済産業省支給以外の端末を用いた情報処理に関する情報セキュリティ対策を実施する。
３ 端末管理責任者は、経済産業省支給以外の端末を用いた情報処理を行う職員等の属する課室の長をもって充てる。
（兼務の禁止）第１７条 次の各号に掲げる者は、兼務することができない。
（１） 承認又は許可の申請者及び承認権限者又は許可権限者（以下「承認権限者等」という。）（２） 監査実施者及び被監査者（人事異動等に関する管理）第１８条 統括情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了及び人事異動等に関する管理の規程を整備する。
（上司による承認・許可）
第１９条 職員等は、承認権限者等が有する職務上の権限等から、当該承認権限者等が承認又は許可（以下-5-

「承認等」という。
）の可否の判断を行うことが不適切と認められる場合には、当該承認権限者等の上司に承認等の申請をする。この場合において、当該承認権限者等の上司の承認等を得たときは、当該承認権限者等の承認等を得ることを要しない。
２ 前項の承認権限者等の上司は、前項の承認等を行ったときは、承認権限者等に係る遵守事項に準じて、措置を講ずる。
（情報セキュリティ対策基準等の策定）
第２０条 最高情報セキュリティ責任者は、経済産業省における情報セキュリティ対策に関して遵守すべき事項を定めた対策基準を策定する。
２ 統括情報セキュリティ責任者は、経済産業省における情報セキュリティ対策に関する実施手順を整備し、実施手順に関する事務を統括し、整備状況について最高情報セキュリティ責任者に報告する。
（情報セキュリティ対策推進計画の策定）
第２１条 最高情報セキュリティ責任者は、経済産業省における情報セキュリティ対策を総合的に推進するための計画（以下「対策推進計画」という。）を定めなければならない。
２ 対策推進計画には、経済産業省の業務、情報及び保有する情報システムに関するリスク評価の結果を踏まえ、以下の項目を定めるものとする。
（１） 全体方針（２） 取組項目及び実施時期
イ 情報セキュリティに関する教育（以下「情報セキュリティ教育」という。）
ロ 情報セキュリティ対策の自己点検
ハ 情報セキュリティ監査
ニ 情報システムに関する技術的な対策を推進するための取組
ホ 前各号に掲げるもののほか、情報セキュリティ対策に関する重要な取組
３ 最高情報セキュリティ責任者は、対策推進計画の実施状況の評価を行い、定期に、対策推進計画の見直しを行わなければならない。
（情報の格付）第２２条 最高情報セキュリティ責任者は、行政事務で取り扱う情報について、電磁的記録については機密性、完全性及び可用性の観点から、書面については機密性の観点から情報の格付及び取扱制限の基準並びに格付及び取扱制限を明示する手順を整備する。
（例外措置）
第２３条 例外措置の適用の申請を審査する者（以下「許可権限者」という。
）は、統括情報セキュリティ責任者とする。
２ 許可権限者は、例外措置の適用の申請に必要な規程を整備する。
（違反に対する措置）
第２４条 職員等は、情報セキュリティ関係規程への重大な違反を知った場合には、情報セキュリティ責任者に報告しなければならない。
２ 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合又は自らが重大な違反を知った場合には、違反者及び必要な者に情報セキュリティの確保に必要な措置を講じさせなければならない。
３ 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合又は自らが重大な違反を知った場合には、統括情報セキュリティ責任者及び最高情報セキュリティ責任者に報告する。
（情報セキュリティ教育）-6-第２５条 統括情報セキュリティ責任者は、対策推進計画に基づき情報セキュリティ教育を行わなければならない。
（自己点検）
第２６条 統括情報セキュリティ責任者は、対策推進計画に基づき自己点検を行う。
２ 最高情報セキュリティ責任者は、自己点検の結果を全体として評価し、改善の必要があると判断した場合には情報セキュリティ責任者に改善を指示する。
（情報セキュリティ監査）第２７条 情報セキュリティ監査責任者は、対策推進計画に基づきこの規程及び対策基準が統一規範及び統一基準に準拠していること並びに情報セキュリティ対策がこの規程及び対策基準に準拠していることを確認するため情報セキュリティ監査を行う。
２ 最高情報セキュリティ責任者は、情報セキュリティの状況の変化に応じて必要と判断した場合、情報セキュリティ監査責任者に対して、対策推進計画で計画されたこと以外の監査の実施を指示する。
３ 情報セキュリティ監査責任者は、前項の指示を受けた場合には、追加の情報セキュリティ監査を行う。
４ 最高情報セキュリティ責任者は、情報セキュリティ監査責任者から監査報告を受けたときは、報告の内容を踏まえ、統括情報セキュリティ責任者及び情報セキュリティ責任者に、指摘事項に対する措置を講ずるよう指示する。
（情報セキュリティ対策の見直し）
第２８条 最高情報セキュリティ責任者は、情報セキュリティの運用及び自己点検・監査等の結果等を総合的に評価するとともに、情報セキュリティに係る重大な変化等を踏まえ、情報セキュリティ委員会の審議を経て、対策基準について必要な見直しを行う。
２ 統括情報セキュリティ責任者は、情報セキュリティの運用及び自己点検・監査等の結果等を踏まえて情報セキュリティ対策に関する実施手順を見直し、又は整備した者に対して規程の見直しを提示し、見直し結果について最高情報セキュリティ責任者に報告する。
３ 統括情報セキュリティ責任者は、例外措置の申請状況を踏まえた情報セキュリティ関係規程の追加又は見直しの検討を行い、最高情報セキュリティ責任者に報告する。
（障害及び事故等の対応）
第２９条 最高情報セキュリティ責任者は、統括情報セキュリティ責任者を障害及び事故等に対応する責任者とする体制を整備する。
附 則（平成１８・０３・２２シ第１号）
この規程は、平成１８年３月３１日から施行する。
附 則（平成２０・０２・０１シ第１号）
この規程は、平成２０年２月１日から施行する。
附 則（平成２０・１０・２９シ第１号）
この規程は、平成２０年１２月１０日から施行する。
附 則（平成２１・１１・１８シ第１号）
この規程は、平成２１年１２月１日から施行する。
附 則（平成２３・０４・０１シ第１号）
１．この規程は、平成２３年４月１日から施行する。
２．この規程の最終改正の施行の際に、従前の経済産業省行政文書管理規程（平成１３・０１・０６広第３号）に基づき、秘密文書としての表示が付されているものについては、「極秘」を機密性４情報に、「秘」を機密性３情報に読み替えて、改正後の「経済産業省情報セキュリティ管理規程」の規定を適用するものとする。
附 則（平成２３・０７・０８シ第１号）-7-

この規程は、平成２３年７月２５日から施行する。
附 則（２０１２０７１９シ第１号）
この規程は、平成２４年７月２５日から施行する。
附 則（２０１２０９１８シ第３号）
この規程は、平成２４年９月１９日から施行する。
附 則
１．この規程は、平成２７年４月１日から施行する。
２．この規程の施行の前に、機密性４情報及び機密性３情報と格付した情報の取扱いは、なお従前の例による。
附 則（２０１９０５２９官第２号）
この規程は、令和元年５月３１日から施行する。
附 則（２０２１０３２５官第３号）
この規程は、令和３年４月１日から施行する。
附 則（２０２２１００７官第３号）
この規程は、令和４年１０月２４日から施行する。

-8-（別表）部
局
大臣官房秘書課
大臣官房総務課大臣官房会計課
大臣官房業務改革課
大臣官房業務改革課情報システム室
大臣官房調査統計グループ
大臣官房福島復興推進グループ
経済産業政策局
地域経済産業グループ
通商政策局
貿易経済協力局
産業技術環境局
製造産業局
商務情報政策局
商務・サービスグループ
産業保安グループ
資源エネルギー庁
特許庁
中小企業庁
電力・ガス取引監視等委員会
北海道経済産業局
東北経済産業局
関東経済産業局
中部経済産業局
近畿経済産業局
中国経済産業局
四国経済産業局
九州経済産業局
内閣府沖縄経済産業部
北海道産業保安監督部
関東東北産業保安監督部東北支部
関東東北産業保安監督部
中部近畿産業保安監督部
中部近畿産業保安監督部近畿支部
中国四国産業保安監督部
中国四国産業保安監督部四国支部
九州産業保安監督部
那覇産業保安監督事務所

情報セキュリティ責任者
大臣官房秘書課長
大臣官房総務課長
大臣官房会計課長
大臣官房業務改革課長
大臣官房業務改革課情報システム室長
大臣官房調査統計グループ
政策調整官
大臣官房福島復興推進グループ
政策調整官
経済産業政策局政策調整官
地域経済産業グループ政策調整官
通商政策局政策調整官
貿易経済協力局政策調整官
産業技術環境局政策調整官
製造産業局政策調整官
商務情報政策局政策調整官
商務・サービスグループ政策調整官
産業保安グループ政策調整官
資源エネルギー庁政策調整官
特許庁政策調整官
中小企業庁政策調整官
電力・ガス取引監視等委員会
政策調整官
北海道経済産業局総務企画部長
東北経済産業局総務企画部長
関東経済産業局総務企画部長
中部経済産業局総務企画部長
近畿経済産業局総務企画部長
中国経済産業局総務企画部長
四国経済産業局総務企画部長
九州経済産業局総務企画部長
沖縄経済産業部政策課長
北海道産業保安監督部長
関東東北産業保安監督部東北支部長
関東東北産業保安監督部長
中部近畿産業保安監督部長
中部近畿産業保安監督部近畿支部長
中国四国産業保安監督部長
中国四国産業保安監督部四国支部長
九州産業保安監督部長
那覇産業保安監督事務所長-9-

情報セキュリティ委員
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○