特定個人情報保護評価書に関する第三者点検

１

第三者点検を行う特定個人情報保護評価書
前橋市個人情報保護審査会（以下「審査会」という。）が実施する第三者点検における対象の特定個人情報保護評価書（以下「本件評価書」という。）は以下のとおりである。
＜対象の特定個人情報保護評価書＞
・住民基本台帳に関する事務 全項目評価書（案）・地方税の賦課徴収等に関する事務 全項目評価書（案）・予防接種に関する事務 全項目評価書（案）２

特定個人情報評価書に係る第三者点検の内容
審査会では、特定個人情報保護評価指針（以下「指針」という。）に定める審査の観点に基づき、本件評価書の適合性（実施手続等に適合した評価を実施しているか）及び妥当性（評価の内容が指針に定める評価の目的等に照らし、妥当と認められるか）について、次のとおり審査を行う。
（１）本件評価書の事務の概要
ア 住民基本台帳に関する事務(ｱ) 事務の内容
住民基本台帳法の規定に従い、住民の居住関係の公証、選挙人名簿の登録、その他住民に関する事務の処理の基礎に関する事務で取り扱う。
(ｲ) 特定個人情報ファイルの名称
住民基本台帳ファイル、本人確認情報ファイル、送付先情報ファイル(ｳ) 特定個人情報ファイルを取り扱う主な理由
番号法により、個人番号が住民基本台帳の記載事項であるため。
転出入があった場合等にスムーズな住民情報の処理を行うため。
個人番号を指定した際は個人番号通知書の形式にて全付番対象者に個人番号を通知するものとされているため。
イ 地方税の賦課徴収等に関する事務(ｱ) 事務の内容
地方税の規定に従い、地方税の賦課徴収又は地方税に関する調査に関する事務で取り扱う。
(ｲ) 特定個人情報ファイルの名称
個人市民税ファイル、固定資産税及び都市計画税ファイル、軽自動車税ファ
イル、事業所税ファイル、国民健康保険税ファイル、収納・滞納管理ファイル、電子申告ファイル、国税連携ファイル(ｳ) 特定個人情報ファイルを取り扱う主な理由
公平公正な賦課決定を行うにあたって、課税対象者等の所得情報、各種控除に係る情報及び資格情報等を正確に把握する必要がある。

収納情報の管理及び滞納情報の管理を行うにあたって、各個人の収納状況、滞納状況及び各種調査結果等の情報を正確に把握する必要がある。
ウ 予防接種に関する事務(ｱ) 事務の内容
予防接種法の規定に従い、予防接種に関する事務で取り扱う。
(ｲ) 特定個人情報ファイルの名称
予防接種ファイル(ｳ) 特定個人情報ファイルを取り扱う主な理由
予防接種の対象者及び接種履歴を把握し、適正な管理・接種勧奨を行うため。
健康被害が発生した場合に、給付の支給の請求や権利に係る事実についての審査又はその請求等に応答するため。
（２）適合性について以下のとおり、指針に定められた実施手続等に適合しているかを審査する。
ア しきい値判断について
本件評価書の事務において取り扱う特定個人情報ファイルの対象となる本人の数が、いずれも３０万人以上であるため、全項目評価が必須となる。
イ

実施主体について本件評価書の事務の実施主体である前橋市長が評価を実施している。

ウ

評価書の公表について評価書を公表することにより、セキュリティ上のリスクがあると認められる部分は存在しないとして、本件評価書の内容は全て公表することとしている。

エ実施時期について
令和６年５月にガバメントクラウド上へ住民データを移行し、テストを開始する予定であることから、それまでに評価書の再実施が必須となる。

オ

市民等からの意見聴取について
令和６年１月１０日から２月９日までの間、市民等からの意見聴取を実施した
結果、本件評価書に対する意見は無かった。

カ本件評価書の記載内容について各事務の実態に基づき、評価書様式で求められている全ての項目について検討し、記載している。

（３）妥当性について今回の再評価を行う主な変更箇所は、ガバメントクラウドのクラウドサービス事業者が提供するクラウド上の基盤及び接続に関する部分となる。
ガバメントクラウドは国が調達していることから、国から示された記載例に基づき、該当項目に「ガバメントクラウドにおける措置」を追記している。
また、特定個人情報の入手、使用、取扱いの委託及び提供・移転については、特定個人情報保護評価に関する規則（平成２６年特定個人情報保護委員会規則第１号）第１１条に基づく「重要な変更」は無かった。
なお、国（デジタル庁）及びクラウドサービス事業者は、特定個人情報にはアクセスしないため、クラウドサービス事業者は番号法上の「委託」先には当たらないとされている。
本件評価書の重要な変更に該当する項目は、以下のとおり。

項Ⅱ目

本件評価書 該当ページ
住民基本台帳 地方税

予防接種

特定個人情報ファイルの概要
６．特定個人情報の保管・消去

Ⅲ

①保管場所

15

②消去方法

16

20、25、29、32、36、41
20、25、29、32、37、41

16
16

特定個人情報ファイルの取扱いプロセスにおけるリスク対策
７．特定個人情報の保管・消去⑤物理的対策／具体的な対策の内容

34

74、82、88、95、103、110、

29⑥技術的対策／具体的な対策の内容

34

74、82、89、96、103、110、30

35

75、83、90、97、104、111

31

50

126

3250

126

32

リスク３：特定個人情報が消去されずいつまでも存在するリスク／消去手順／手順の内容
Ⅳ

その他のリスク対策
１．監査②監査／具体的な内容
３．その他のリスク対策※詳細は、各特定個人情報保護評価書を参照

本件評価書「ガバメントクラウドにおける措置」における用語解説○ISMAP（イスマップ）
政府情報システムのためのセキュリティ評価制度（Information system Security Management andAssessment Program の通称）のこと。
政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とした制度○ISO/IEC 27017
クラウドサービスに関する情報セキュリティ管理策のガイドライン規格のこと。
クラウドサービスにも対応した情報セキュリティ管理体制を構築するため、情報セキュリティ全般に関するマネジメントシステム規格である ISO/IEC 27001 の取り組みが強化されたもの。
○ISO/IEC 27018
クラウドサービス事業者がパブリッククラウド上で管理する個人情報の保護に焦点を当てた国際規格のこと。
ISO/IEC 27017 と同じく ISO/IEC 27001 の管理策を拡大したものであるが、クラウド上に保管されている個人情報の取扱いに特化しており、クラウドサービスを提供している組織にのみ適用される規格○NIST 800-88
アメリカ国立標準技術研究所（National Institute of Standards and Technology）の推奨する SSDなどのフラッシュメディアを消去する規格のこと。
○ISO/IEC 27001
情報セキュリティマネジメントシステム（ISMS）に関する国際規格のこと。
情報の機密性・完全性・可用性の３つをバランスよくマネジメントし、情報を有効活用するための組織の枠組みを示す。
○ASP
アプリケーション・サービス・プロバイダ（Application Service Provider）」の略で、インターネットを経由してソフトウェアやソフトウェア稼働環境を提供する事業者のこと。
○ガバメントクラウド運用管理補助者
地方公共団体が委託するガバメントクラウドの運用管理を行う事業者のこと。
ASP が兼ねる場合と単独で委託する場合の２通りがあり、本市では前者となる予定○DDoS「DoS 攻撃（Denial of Service attack／サービス拒否攻撃）」とは、ウェブサイトやサーバーに対して１台のコンピューターから過剰なアクセスやデータを送付するサイバー攻撃のこと。
一方、この DoS 攻撃を、対象のウェブサイトやサーバーに対して複数のコンピューターから大量に行うことを「DDoS 攻撃（Distributed Denial of Service attack／分散型サービス拒否攻撃）」という。