情報・システム研究機構における行政機関等匿名加工情報の適切な管理のための措置に関する規程
令和４年５月１９日
制定

第１章 総則（目的）
第１条 この規程は，個人情報の保護に関する法律（平成１５年法律第５７号。以下「法」という。
）第１１９条に規定する行政機関等匿名加工情報の適切な管理に関して必要な事項について定めることを目的とする。
第２章 管理体制（総括管理者等）
第２条 機構の行政機関等匿名加工情報の管理体制については，情報・システム研究機構個人情報保護規程第２章の定めるところによる。
第３章 教育研修（教育研修）
第３条 総括管理者は，行政機関等匿名加工情報の取扱いに従事する職員に対し，行政機関等匿名加工情報の取扱いについて理解を深め，行政機関等匿名加工情報の適切な管理に関する意識の高揚を図るための啓発その他必要な研修を行う。
２

総括管理者は，行政機関等匿名加工情報を取り扱う情報システムの管理に関する事務に従事する職員に対し，行政機関等匿名加工情報等の適切な管理のために，情報システムの管理，運用及びセキュリティ対策に関して必要な教育研修を行う。

３

総括管理者は，研究所等管理者，保護管理者及び保護担当者に対し，課室等の現場における行政機関等匿名加工情報の適切な管理のための教育研修を実施する。
４

保護管理者は，当該課室等の職員に対し，行政機関等匿名加工情報の適切な管理のために，総括管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
５第１項から第３項の措置を講ずる場合には，行政機関等匿名加工情報の取扱いに従事する派遣労働者についても，職員と同様の措置を講ずる。
第４章 職員の責務（職員等の責務）

第４条 職員等は，法の趣旨に則り，関連する法令及び規程等の定め並びに総括管理者，研究所等管理者，保護管理者及び保護担当者の指示に従い，行政機関等匿名加工情報を取り扱わなければならない。
第５章 行政機関等匿名加工情報の取扱い（アクセス制限）第５条 保護管理者は，行政機関等匿名加工情報の秘匿性等その内容に応じて，行政機関等匿名加工情報にアクセスする権限を有する職員等とその権限の内容を，当該職員等が業務を行う上で必要最小限の範囲に限らなければならない。
２

アクセス権限を有しない職員等は，行政機関等匿名加工情報にアクセスしてはならない。

３

職員等は，アクセス権限を有する場合であっても，業務上の目的外での目的で行政機関等匿名加工情報にアクセスしてはならない。
（識別行為の禁止）

第６条 職員等は，行政機関等匿名加工情報を取り扱うに当たっては，法令に基づく場合を除き、当該行政機関等匿名加工情報の作成に用いられた個人情報に係る本人を識別するために，当該行政機関等匿名加工情報を他の情報と照合してはならない。
（複製等の制限）第７条 保護管理者は，職員等が業務上の目的で行政機関等匿名加工情報を取り扱う場合であっても，次の各号に掲げる行為については，当該行政機関等匿名加工情報の秘匿性等その内容に応じて，当該行為を行うことができる場合を限定し，職員等は，保護管理者の指示に従い行わなければならない。
一 行政機関等匿名加工情報の複製
二

行政機関等匿名加工情報の送信

三

行政機関等匿名加工情報が記録されている媒体の外部への送付又は持出し

四 その他行政機関等匿名加工情報の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第８条 職員等は，行政機関等匿名加工情報の内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行わなければならない。
（媒体の管理等）
第９条 職員等は，保護管理者の指示に従い，行政機関等匿名加工情報が記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは，当該媒体の耐火金庫への保管，施錠等を行うものとする。
（廃棄等）
第１０条 職員等は，行政機関等匿名加工情報又は行政機関等匿名加工情報が記録されている媒体（端末機器及びサーバに内蔵されているものを含む。）が不要となった場合には，保護管理者の指示に従い，当該行政機関等匿名加工情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行わなければならない。特に，行政機関等匿名加工情報の消去や行政機関等匿名加工情報が記録されている媒体の廃棄を委託する場合（二以上の段階にわたる委託を含む。
）には，必要に応じて職員が消去及び廃棄に立ち会い，又は写真等を付した消去及び廃棄を証明する書類を受け取るなど，委託先において消去及び廃棄が確実に行われていることを確認する。
第６章 情報システムにおける安全の確保等（アクセス制御）第１１条 保護管理者は，行政機関等匿名加工情報（情報システムで取り扱うものに限る。以下この章及び次章において同じ。
）の秘匿性等その内容に応じて，パスワード等（パスワード，ＩＣカード，生体情報等をいう。以下同じ。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等の当該行政機関等匿名加工情報へのアクセスを制御するために必要な措置を講じなければならない。
２

保護管理者は，前項の措置を講ずる場合には，パスワード等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するとともに，パスワード等の読取防止等を行うために必要な措置を講じなければならない。
（アクセス記録）第１２条 保護管理者は，行政機関等匿名加工情報の秘匿性等その内容に応じて，当該行政機関等匿名加工情報へのアクセスの状況を記録し，その記録（以下「アクセス記録」という。）を一定の期間保存し，及びアクセス記録を定期的に分析するために必要な措置を講じなければならない。
２ 保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講じなければならない。
（アクセス状況の監視）
第１３条

保護管理者は，行政機関等匿名加工情報の秘匿性等その内容及びその量に応じて，当該行政機関等匿名加工情報への不適切なアクセスの監視のため，行政機関等匿名加工情報を含むか又は含むおそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定，当該設定の定期的確認等の必要な措置を講じなければならない。
（管理者権限の設定）
第１４条 保護管理者は，行政機関等匿名加工情報の秘匿性等その内容に応じて，情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため，当該特権を最小限とする等の必要な措置を講じなければならない。
（外部からの不正アクセスの防止）
第１５条 保護管理者は，行政機関等匿名加工情報を取り扱う情報システムへの外部からの不正アクセスを防止するため，ファイアウォールの設定による経路制御等の必要な措置を講じなければならない。
（不正プログラムによる漏えい等の防止）第１６条 保護管理者は，不正プログラムによる行政機関等匿名加工情報の漏えい，滅失又は毀損（以下「漏えい等」という。
）の防止のため，ソフトウェアに関する公開された脆弱性の解消，把握された不正プログラムの感染防止等に必要な措置（導入したソフトウェアを常に最新の状態に保つことを含む。
）を講じなければならない。
（情報システムにおける行政機関等匿名加工情報の処理）
第１７条 職員は，行政機関等匿名加工情報について，一時的に加工等の処理を行うため複製を行う場合には，その対象を必要最小限に限り，処理終了後は不要となった情報を速やかに消去しなければならない。
２

保護管理者は，当該行政機関等匿名加工情報の秘匿性等その内容に応じて，随時，消去等の実施状況を重点的に確認しなければならない。
（暗号化）

第１８条 保護管理者は，行政機関等匿名加工情報の秘匿性等その内容に応じて，暗号化のために必要な措置を講じなければならない。
２ 職員等は，前項を踏まえ，その処理する行政機関等匿名加工情報について，当該行政機関等匿名加工情報の秘匿性等その内容に応じて，適切に暗号化を行わなければならない。
（バックアップ）
第１９条 保護管理者は，行政機関等匿名加工情報の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講じなければならない。

（情報システム設計書等の管理）第２０条 保護管理者は，行政機関等匿名加工情報に係る情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講じなければならない。
（第三者の閲覧防止）
第２１条 職員等は，端末機器の使用に当たっては，行政機関等匿名加工情報が当該職員以外の第三者に閲覧されることがないよう，使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講じなければならない。
（記録機能を有する機器・媒体の接続制限）
第２２条 保護管理者は，行政機関等匿名加工情報の秘匿性等その内容に応じて，当該行政機関等匿名加工情報の漏えい等の防止のため，スマートフォン，ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含む。）等の必要な措置を講じなければならない。
第７章 情報処理室等の安全管理（入退管理）
第２３条 保護管理者は，行政機関等匿名加工情報を取り扱う基幹的なサーバ等の機器を設置する室等（以下「情報処理室等」という。
）に立ち入る権限を有する者を定めるとともに，用件の確認，入退の記録，部外者についての識別化，部外者が入室する場合の職員の立会い又は監視設備による監視，外部電磁的記録媒体等の持込み，利用及び持ち出しの制限又は検査等の措置を講じなければならない。また，行政機関等匿名加工情報を記録する媒体を保管するための施設を設けている場合においても，必要があると認めるときは，同様の措置を講じなければならない。
２

保護管理者は，必要があると認めるときは，情報処理室等の出入口の特定化による入退の管理の容易化，所在表示の制限等の措置を講じる。

３ 保護管理者は，情報処理室等及び保管施設の入退の管理について，必要があると認めるときは，立入りに係る認証機能を設定し，及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。
）及びパスワード等の読取防止等を行うために必要な措置を講じなければならない。
（情報処理室等の管理）第２４条 保護管理者は，外部からの不正な侵入に備え，情報処理室等に施錠機能，警報装置及び監視設備の措置等を講ずるものとする。
２

保護管理者は，災害等に備え，情報システム室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講じなければならない。
第８章 行政機関等匿名加工情報の提供及び業務の委託等（行政機関等匿名加工情報の提供）

第２５条 保護管理者は，法第１０７条の規定により提供する場合を除き，行政機関等匿名加工情報及び削除情報（保有個人情報に該当するものに限る。
）を自ら利用し，又は提供してはならない。
２ 保護管理者は，法第１０９条２及び第１１３条の規定（第１１６条の規定により第１１３条の規定を準用する場合を含む。）により，行政機関等匿名加工情報の利用に関する契約を締結した者（以下「契約相手方」という。）から法第１１０条第２項第７号の規定に基づき当該契約相手方が講じた行政機関等匿名加工情報の適切な管理に支障を及ぼすおそれがある旨の報告を受けたときは，直ちに研究所等管理者及び総括管理者に報告するとともに，当該契約相手方がその是正のために講じた措置を確認しなければならない。
（業務の委託等）
第２６条 保護管理者は，行政機関等匿名加工情報の作成に係る業務又は行政機関等匿名加工情報の取扱いに係る業務を外部に委託する場合には，行政機関等匿名加工情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずるとともに，契約書に，次に掲げる事項を明記するとともに，委託先における責任者及び業務従事者の管理及び実施体制，行政機関等匿名加工情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認しなければならない。
一

行政機関等匿名加工情報に関する秘密保持，目的外利用の禁止等の義務

二

再委託（再委託先が委託先の子会社（会社法（平成１７年法律第８６号）第２条第１項第３号に規定する子会社をいう。
）である場合も含む。本号及び第５項において同じ。）の制限
又は事前承認等再委託に係る条件に関する事項
三

行政機関等匿名加工情報の複製等の制限に関する事項

四行政機関等匿名加工情報の安全管理措置に関する事項

五

行政機関等匿名加工情報の漏えい等の事案の発生時における対応に関する事項

六 委託終了時における行政機関等匿名加工情報の消去及び媒体の返却に関する事項
七

法令及び契約に違反した場合における契約解除，損害賠償責任その他必要な事項

八

契約内容の遵守状況についての定期的報告に関する事項及び委託先における委託された行政機関等匿名加工情報の取扱状況を把握するための監査等に関する事項（再委託先の監査等に関する事項を含む。
）
２

行政機関等匿名加工情報の取扱いに係る業務を外部に委託する場合には，取扱いを委託する行政機関等匿名加工情報の範囲は，委託する業務内容に照らして必要最小限でなければならない。

３

保護管理者は，行政機関等匿名加工情報の作成に係る業務又は行政機関等匿名加工情報の取扱いに係る業務を外部に委託する場合は，当該研究所等の研究所等管理者及び総括管理者へ事前に報告しなければならない。

４ 行政機関等匿名加工情報の取扱いに係る業務を外部に委託する場合には，委託する行政機
関等匿名加工情報の秘匿性等その内容に応じて，委託先における行政機関等匿名加工情報の管理の状況について，年１回以上の定期的検査等により確認を行うものとする。
５

委託先において，行政機関等匿名加工情報の作成に係る業務又は行政機関等匿名加工情報の取扱いに係る業務が再委託される場合には，委託先に第１項の措置を講じさせるとともに，再委託される業務に係る行政機関等匿名加工情報の秘匿性等その内容に応じて，委託先を通じて又は委託元自らが前項の措置を実施するものとする。
６

行政機関等匿名加工情報の作成に係る業務又は行政機関等匿名加工情報の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等の行政機関等匿名加工情報の取扱いに関する事項を明記するものとする。
第９章 安全確保上の問題への対応（事案の報告及び再発防止措置）
第２７条 行政機関等匿名加工情報の漏えい等の事案の発生又は兆候を把握した場合等，安全確保の上で問題となる事案の発生又は発生のおそれを把握した場合に，その事案の発生等を把握した職員は，直ちに当該行政機関等匿名加工情報を管理する保護管理者に報告しなければならない。
２ 保護管理者は，被害の拡大防止，復旧等のために必要な措置を速やかに講ずるものとする。
ただし，外部からの不正アクセスや不正プログラムの感染が疑われる端末等のＬＡＮケーブルを抜くなど，被害拡大防止のため直ちに行い得る措置については，直ちに行う（職員に行わせることを含む。
）ものとする。
３ 保護管理者は，事案の発生した経緯，被害状況等を調査し，総括管理者及び当該研究所等管理者に報告しなければならない。ただし，特に重大と認める事案が発生した場合には，直ちに総括管理者及び研究所等管理者に当該事案の内容等について報告しなければならない。
４

総括管理者は，前項の規定に基づく報告を受けた場合には，事案の内容等に応じて，当該事案の内容，経緯，被害状況等を機構長に速やかに報告しなければならない。
５ 保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講じなければならない。
（公表等）
第２８条 事案の内容，影響等に応じて，当該事案に係る行政機関等匿名加工情報の本人への対応等の措置を講ずるとともに，速やかに事実関係及び再発防止策等を公表するものとする。
２

前項の規定により公表を行う事案については，当該事案の内容，経緯，被害状況等について，速やかに個人情報保護委員会事務局に情報提供を行うものとする。
第１０章 監査及び点検の実施（監査）第２９条 監査責任者は，行政機関等匿名加工情報の適切な管理を検証するため，第２章から前章までに規定する措置の状況を含む機構における行政機関等匿名加工情報の管理の状況について，定期及び必要に応じ随時に監査（外部監査の委託を含む。以下同じ。
）を行い，その結果を総括管理者及び研究所等管理者に報告するものとする。
（点検）第３０条 保護管理者は，各課等における行政機関等匿名加工情報の記録媒体，処理経路，保管方法等について，定期及び必要に応じ随時に点検を行い，必要があると認めるときは，その結果を総括管理者及び当該研究所等管理者に報告するものとする。
（評価及び見直し）
第３１条

総括管理者，研究所等管理者，保護管理者等は，監査又は点検の結果等を踏まえ，実効性等の観点から行政機関等匿名加工情報等の適切な管理のための措置について評価し，必要があると認めるときは，その見直し等の措置を講ずるものとする。
第１１章 補則（雑則）
第３２条 この規程に定めるもののほか，行政機関等匿名加工情報の提供に係る手続等に関し必要な事項は，別に定める。

附則

１ この規程は，令和４年５月１９日から施行し，令和４年４月１日から適用する。
２ 情報・システム研究機構独立行政法人等非識別加工情報の適切な管理のための措置に関する規程（平成 30 年２月６日制定）は，廃止する。