南さつま農業協同組合情報セキュリティ基本方針（2005 年４月１日制定）
南さつま農業協同組合は、組合員・利用者等の皆様との信頼関係を強化し、より一層の安心とサービスを提供するため、組合内の情報およびお預かりした情報のセキュリティの確保と日々の改善に努めることが当組合の事業活動の基本であり、社会的責務であることを認識し、以下の方針を遵守することを誓約します。
１．当組合は、情報資産を適正に取り扱うため、コンピュータ犯罪に関する法律、不正アクセス行為の禁止に関する法律、ＩＴ基本法その他の情報セキュリティに関係する諸法令、および農林水産大臣をはじめ主務大臣の指導による義務を誠実に遵守します。
２．当組合は、情報の取扱い、情報システムならびに情報ネットワークの管理運用にあたり、適切な組織的・人的・技術的安全管理措置を実施し、情報資産に対する不正な侵入、紛失、漏えい、改ざん、破壊、利用妨害などが発生しないよう努めます。
３．当組合は、情報セキュリティに関して、業務に従事する者の役割を定め、情報セキュリティ基本方針に基づき、組合全体で情報セキュリティを推進できる体制を維持します。
４．当組合は、万一、情報セキュリティを侵害するような事象が起きた場合、その原因を迅速に解明し、被害を最小限に止めるよう努めます。
５．当組合は、上記の活動を継続的に行うと同時に、新たな脅威にも対応できるよう、情報セキュリティマネジメントシステムを確立し、維持改善に努めます。
以上1

情報セキュリティ基本規程（目的）第１条 本規程は、当組合の「情報セキュリティ基本方針」に基づき、当組合における情報セキュリティの維持および推進を行うために必要な基本的事項を定めたものであり、当組合における情報セキュリティマネジメントシステム（組織的に情報セキュリティの維持および向上のための施策を立案、運用、見直しおよび改善すること）を確立することを目的とする。
（定義）

第２条 本規程における用語の定義は、次の各号に定めるとおりとする。
１「情報」とは、有形、無形を問わず、当組合が保有する一切の情報（当組合固有の情報の他、契約その他の正当な手段に基づき入手した、組合員および利用者その他の第三者から取得した情報を含む。
）をいう。

２

「情報資産」とは、有形無形を問わず、情報を含む媒体と伝達手段をいう。全ての紙面、媒体、情報システム等と、口頭や電気通信等で伝達される情報を含む。

３「情報システム」とは、情報を取扱う機器装置等のハードウェア、ソフトウェア、プログラム、伝送経路等および、これらにより構成される電子システムおよびその収納施設等をいい、情報に関連する一切の資産および処理方法を含む。
４「リスク」とは、想定される脅威（情報資産に対して損害を与える要因をいう。以下同じ。）が、情報資産に対して損害を与える可能性をいう。

５「リスク評価」とは、情報資産について、脅威に対する脆弱性を分析し、かつリスクが顕在化した場合の事業に対する影響度を評価することをいう。

６「情報セキュリティ」とは、情報資産に対し、①機密性（正当に許可した者だけが当該情報資産にアクセスできること）、②完全性（正確および完全であるよう、情報資産を不正な改ざん及破壊から保護すること）および③可用性（正当にアクセスを許可された者が、使用許諾の範囲内で、必要な時に円滑に当該情報資産にアクセスできること）を確保し維持することをいう。

７「対象情報」とは、リスク評価の結果、情報セキュリティの確保および維持が必要と判断した情報をいう。

８「対象情報システム」とは、リスク評価の結果、情報セキュリティの確保および維持が必要と判断した情報システムをいう。

９「対象情報資産」とは、対象情報および対象情報システムの総称をいう。

10「不測事態」とは、情報セキュリティの確保および維持に重大な影響を与える災害、障害、セキュリティ侵害等の事態をいう。

11「役職員等」とは、当組合の役職員ならびにこれに準ずる者（役員、顧問、嘱託、臨時職員、アルバイト等、および当組合との間に委任契約または雇用契約が成立した者）をいう。

122「部室」とは、部室およびこれに準じる組織をいう。

（適用範囲）第３条 本規程は、役職員等に適用する。
（情報セキュリティ管理体制）
第４条 「情報セキュリティ委員会」は、情報セキュリティ統括管理者、情報セキュリティ事務管理者、情報システム管理者、情報セキュリティ部門管理者により構成されるものとする。
②

情報セキュリティ委員会は、当組合における情報セキュリティ維持および向上に必要な基準、規程類を制定し、これらの周知徹底、運用および見直し、改善を図るとともに、施策等の審議、評価、見直し、および改善を行う。

③

情報セキュリティ委員会は、情報セキュリティに関する不測事態が生じた場合の連絡体制を整備、運営および見直し、改善を行う。

④「情報セキュリティ統括管理者」とは、当組合の役員の中から組合長によって選任されたものであって、当組合における情報セキュリティに係る業務について統括的責任と権限を有するものとする。

⑤

情報セキュリティ統括管理者は、情報セキュリティ委員会の委員長を務めるものとする。

⑥「情報セキュリティ事務管理者」は、当組合の情報セキュリティを主管する部門の長であって、情報セキュリティ委員会および本規程に従い、当組合における情報セキュリティに係る業務を実施する責任と権限を有するものとする。

⑦「情報システム管理者」は、当組合の情報システムを主管する部門の長であって、情報セキュリティ事務管理者を補佐し、当組合の情報システムのセキュリティに係る業務について責任と権限を有するものとする。

⑧「情報セキュリティ部門管理者」は、部室の長であって、情報セキュリティ事務管理者の指示に従い、当該部室における情報セキュリティに係る業務について一義的な責任と権限を有する者をいう。

⑨「情報セキュリティ担当者」は、情報セキュリティ部門管理者の管理責任において、選任された１名または複数名の者であって、当該部室における第８項に定める役割を代行させるものとする。

⑩

情報セキュリティ部門管理者は、情報セキュリティ担当者を選任後、すみやかにその役職、氏名等を情報セキュリティ事務管理者に届け出るものとし、情報セキュリティ担当者を変更する場合も同様とする。

（教育）

第５条

情報セキュリティ統括管理者は、企画管理部長その他の関係部門長と協議のうえ、役職員等に対し、情報セキュリティ管理体制、規程類および関係法令等を理解させるために必要な教育を実施する。
（リスク評価）第６条
3

情報セキュリティ部門管理者は、自部室が保有する情報資産について定期的にリスク評価を実施し、自部室が保有する対象情報資産を把握しなければならない。
②

情報セキュリティ事務管理者は、法務、その他の関係部門長と協議のうえ、部室がリスク評価を実施するために必要な事項等を定めた基準を作成し、情報セキュリティ委員会の審議に付す。

③

情報セキュリティ事務管理者は、情報セキュリティ委員会の審議の結果に従い、前項の基準を制定し、この周知徹底、運用および見直し、改善を図る。

④

情報セキュリティ部門管理者は、前項に基づき制定された基準に従い、自部室においてリスク評価の周知徹底、実施、運用を行い、自部室の役職員等への指示を行う。

（対象情報に関する情報セキュリティ）第７条 役職員等は、自己が扱う対象情報を適切に管理しなければならない。
②

役職員等は、対象情報の管理にあたり、「個人情報保護規程」その他の情報セキュリティに関連する規程類を遵守しなければならない。

③

情報セキュリティ事務管理者は、関係部室長と協議のうえ、役職員等が対象情報を適切に管理するために必要な事項等を定めた基準および規程等を制定し、周知徹底、運用および見直し、改善を図る。

④

情報セキュリティ部門管理者は、前項に基づき制定された基準および規程類に従い、自部室の役職員等が、自部室の対象情報を適切に管理するよう、周知徹底、運用を行い、自部室の役職員等への指示を行う。

⑤

役職員等は、対象情報の使用および管理に際し、情報セキュリティに関連する規程、要領等を遵守しなければならない。

（対象情報システムに関する情報セキュリティ）第８条

情報システム管理者は、当組合の保有する対象情報システムについて、その設計、開発から導入、運用、保守を通じ、対象情報システムの重要度や特性に適合した情報セキ
ュリティの確保、維持のための施策（コンピュータウィルスからの保護、記録情報のバックアップ、情報システムの運用の記録、ネットワークの管理、情報システムの付属媒体の管理、電子メールのセキュリティ、アクセス制御を含むが、これらに限らない。）を講じるものとする。
②

情報システム管理者は、関係部室長と協議のうえ、対象情報システムを適切に管理するために必要な事項等を定めた基準および規程類を制定し、この周知徹底、運用および見直し、改善を図る。

③

情報セキュリティ部門管理者は、前項に基づき制定された基準および規程類に従い、自部室の対象情報システムを適切に管理するために、周知徹底、運用を行い、自部室の役職員等への指示を行う。

④

役職員等は、対象情報システムの利用および管理に際し、情報セキュリティに関連する規程、要領等を遵守しなければならない。

4

（人に関する情報セキュリティ）第９条

情報システム管理者は、関係部室長と協議のうえ、職務規程等に役職員等の情報セキュリティ管理体制における役割および責任を規定する。
②

役職員等の採用を行う責任者は、その採用の時に、情報セキュリティの確保、維持に関する必要な事項を定めた誓約書等を当該役職員等から取得するものとする。

③

派遣社員の受入責任者は、受け入れの時に、情報セキュリティの確保、維持に関する必要な事項を定めた誓約書等を当該派遣社員から取得するものとする。

④

情報セキュリティ事務管理者は、関係部室長と協議のうえ、役職員等および派遣社員の受入に関する規程類において、前２項に定める誓約書等の取得のために必要な事項等を確保するとともに、これにかかる周知徹底、運用および見直し、改善を図る。

（取引先等に関する情報セキュリティ）第 10 条 情報セキュリティ部門管理者は、対象情報資産を取引先等の第三者に開示する場合、対象情報資産を第三者に預ける場合、その他第三者が対象情報資産を知り得る場合は、当該第三者との間で情報セキュリティの確保、維持のために必要な契約を締結する等の適切な措置を講じなければならない。
②

情報セキュリティ部門管理者は、前項の場合、当該第三者による当該対象情報資産の適切な情報セキュリティの確保、維持のために必要な監督に努めるものとする。

③

情報セキュリティ事務管理者は、関係部室長と協議のうえ、取引先等の第三者との契約に関する基準および規程類において、第１項に定める適切な措置を講じるために必要な事項等を確保するとともに、これにかかる周知徹底、運用および見直し、改善を図る。
（保管環境に関する情報セキュリティ）第 11 条 情報セキュリティ事務管理者は、対象情報資産を保管する建物、区画、書棚等について、当該対象情報資産につき不当なアクセス、紛失、盗難等を防止するため、管理区域の入退出管理その他の適切な措置を講じるものとする。
②

情報セキュリティ事務管理者は、関係部室長と協議のうえ、前項に基づき基準および規程類を定め、これにかかる周知徹底、運用および見直し・改善を図る。

（不測事態対応計画）
第 12 条 情報セキュリティ事務管理者は、不測事態が生じた場合においても、事業活動に支障を来たさない、または支障を最小限化するための計画（以下「不測事態対応計画」という。）を立案、策定、周知および見直し・改善を行うものとする。
②

情報セキュリティ部門管理者は、自部室の対象情報資産について不測事態が生じた場合またはその兆候を知った場合、直ちに不測事態対応計画を実行するとともに、当該不測事態の原因究明を行う。
③

情報セキュリティ事務管理者は、不測事態対応計画の実効性について定期的に見直し、必要に応じ改善を図るものとする。

5

④

情報セキュリティ事務管理者は、関係部門長と協議のうえ、管理責任者が不測事態対応計画の策定等を行うために必要な事項等を定めた組合基準を制定し、この周知徹底、運用および見直し、改善を図る。
（不測事態の報告等）
第 13 条 役職員等は、不測事態の発生または発生の兆候を知った場合、直ちにこれを所属する情報セキュリティ部門管理者に報告するものとする。
②

情報セキュリティ部門管理者は、前項の報告を受けた場合、前条第２項に基づきすみやかに不測事態対応計画を実行するとともに、不測事態の発生等につき、情報セキュリティ事務管理者に報告し、情報セキュリティ事務管理者は直ちにこれを情報セキュリティ統括管理者に報告するものとする。
③

情報セキュリティ事務管理者は、情報セキュリティ統括管理者の指示に基づき、関係部室長と協議のうえ、当該不測事態の対応を行い、事態の収束を図るものとする。
④

情報セキュリティ事務管理者は、不測事態の再発防止の観点から、不測事態への対応結果につき、必要に応じ情報セキュリティ委員会に報告する。
（自主点検）
第 14 条 情報セキュリティ部門管理者は、自部室における情報セキュリティの確保、維持について定期的に自主点検し、改善を図らなければならない。
②

情報セキュリティ部門管理者は、前項の自主点検の結果をすみやかに情報セキュリティ事務管理者および監査室長に報告する。
③

情報セキュリティ事務管理者は、前項により提出を受けた自主点検の結果を評価し、その結果に応じ、改善を図るために必要な指導を部門管理者に対して行うものとする。
④

情報セキュリティ事務管理者は、監査室長その他の関係部門長と協議のうえ、部門管理者が第１項の自主点検を実施するために必要な事項等を定めた基準を制定し、この周知徹底、運用および見直し、改善を図る。
（監査）

第 15 条 監査室長は、本規程ならびに本規程に基づき情報セキュリティ事務管理者が制定する基準および規程類の遵守状況を監査する。
②

情報セキュリティ事務管理者は、前項の監査の結果に応じ、管理責任者に対して改善を図るための指導を行うものとする。
（規程等の遵守）第 16 条 役職員等は、情報セキュリティの重要性を認識のうえ、本規程および本規程に基づき制定される基準および規程類、関係法令その他の規範および第三者との契約に定められた事項を遵守しなければならない。

6

（規程等の見直し・改善）
第 17 条 情報セキュリティ事務管理者は、本規程および本規程に基づき制定された基準の実効性を確保するために、第１３条に基づき報告を受けた不測事態の発生原因等を考慮のうえ、定期的にこれらを見直し、必要に応じ改善を図るものとする。
②

情報セキュリティ事務管理者は、情報セキュリティ部門管理者に対し、前項の見直し・改善が確実に行われるように指導する。
（違反時の措置）第 18 条

本規程および本規程に基づき情報セキュリティ委員会等が制定する基準および規程類に違反した場合、賞罰規程又は臨時職員就業規則等に基づき懲戒処分その他の処分に付することがある。
（規程の改廃）第 19 条 この規程の改廃は、理事会の議決をもって行う。
附則
この規程は、平成 17 年４月 1 日から施行する。

7