情報セキュリティ体制の整備に関する細則平 成 31年 細 則 第 44号
平成31年３月29日制定
令和元年９月30日改正

令和２年３月18日改正
令和５年３月31日改正
令和６年５月１日改正（目的）第１条 この細則は、組織規程第２条の９及び情報セキュリティ管理規程（以下「管理規程」という。）第５条に基づき、年金積立金管理運用独立行政法人（以下「管理運用法人」という。）において情報セキュリティ対策を実施するための体制の整備に必要な事項を定めることを目的とする。

（最高情報セキュリティ責任者）
第２条 組織規程第２条の９第１項及び第２項に定める最高情報セキュリティ責任者は、次の各号に掲げる事務その他情報セキュリティに関係する規程、細則及び手順書等（以下「関係規程等」という。）に定める事務を行うものとする。
（１） 情報セキュリティ対策に関する事務を統括すること。
（２） 情報セキュリティ対策を適切に実施するための体制を整備すること。
（３） 情報資産に情報セキュリティインシデントが発生した場合に、再発防止に必要な措置を講ずること。
（４） その他情報セキュリティ対策に関して必要な調整をすること。
２

最高情報セキュリティ責任者は、情報セキュリティ対策に関する専門的な知識及び経験を有する者を最高情報セキュリティアドバイザーとして置く。

３

最高情報セキュリティアドバイザーは、管理運用法人全体の情報セキュリティ対策の推進に係る最高情報セキュリティ責任者への助言等を行うものとする。

４

最高情報セキュリティ責任者は、第４条第４項で求められる体制の確保に際し、組織規程第２条の７に定める情報化統括責任者の協力を得ることが必要な場合は、当該情報化統括責任者に当該体制の全部又は一部の整備を求めるものとする。

５

最高情報セキュリティ責任者は、情報セキュリティ対策を適切に推進するため、所管省庁と密接な連携を要する事項や専門的知見を要する事項について、厚生労働省に助言を求めるものとする。

（統括情報セキュリティ責任者）
第３条 管理運用法人は、情報セキュリティ責任者を統括する者として統括情報セキュリティ責任1

者を置く。
２

統括情報セキュリティ責任者は、情報管理部長をもって充てる。

３

統括情報セキュリティ責任者は、情報セキュリティ責任者の統括その他関係規程等に定める事務を行うものとする。

４

統括情報セキュリティ責任者は、関係規程等に係る課題及び問題点を含む運用状況を適時に把握し、必要に応じて最高情報セキュリティ責任者にその内容を報告するものとする。

（情報セキュリティ責任者）
第４条 管理運用法人は、管理規程第５条第４項により最高情報セキュリティ責任者の担務を担う者として情報セキュリティ責任者を置く。
２

情報セキュリティ責任者は、部、室及び事務室の長をもって充てる。

３ 情報セキュリティ責任者は、所管する部、室又は事務室における情報セキュリティ対策に関する事務（所管する情報システムの情報セキュリティ対策を含む。）を統括するものとする。
４ 情報セキュリティ責任者は、情報システムのライフサイクル全般にわたって情報セキュリティの維持が可能な体制の確保を、最高情報セキュリティ責任者に求めるものとする。

（情報セキュリティ管理者）
第５条 管理運用法人は、管理規程第５条第４項により最高情報セキュリティ責任者の担務を担う者として情報セキュリティ管理者を置く。
２ 情報セキュリティ管理者は、課長（グループの課長を除く。）、副室長、副事務室長及びこれに相当する職（これらの職が置かれていない室においては室長、事務室においては事務室長）をもって充てる。
３ 情報セキュリティ管理者は、所管する室、事務室又は課（投資運用部及びオルタナティブ投資部においては、その所属する部）における情報セキュリティ対策に関する事務（所管する情報システムの情報セキュリティ対策を含む。）を行うものとする。

（情報セキュリティ管理補助者）
第６条 情報セキュリティ管理者は、所管する室、事務室又は課に所属する職員のうちから、情報セキュリティ管理補助者を指名し、その事務を担わせることができる。

（情報セキュリティ監査責任者）
第７条 管理運用法人は、情報セキュリティ監査責任者（以下「監査責任者」という。）を置く。
２ 監査責任者は、監査室長をもって充てる。
３ 監査責任者は、管理規程第11条に定める情報セキュリティ監査（以下「監査」という。）に関する事務を統括するものとする。

（情報セキュリティ監査実施者）

2

第８条 管理運用法人は、監査を実施する者として情報セキュリティ監査実施者（以下「監査実施者」）を置く。
２

監査実施者は、内部監査細則第２条第１項に基づき監査室に所属する職員とする。ただし、監査室の監査を実施する監査実施者は、同第２項に基づき、監査室に所属する職員以外の職員のうちから理事長が指名するものとする。

（区域情報セキュリティ責任者）
第９条 管理運用法人は、情報を取り扱う区域ごとの特性に応じた対策を推進する責任者として区域情報セキュリティ責任者を置く。
２ 区域情報セキュリティ責任者は、すべての区域について総務部長をもって充てる。

（情報セキュリティ委員会）
第10条 組織規程第２条の９第３項及び第４項に定める情報セキュリティ委員会（以下「委員会」という。）の委員は、最高情報セキュリティ責任者、統括情報セキュリティ責任者及び情報セキュリティ責任者（監査室長を除く。）とする。委員長は最高情報セキュリティ責任者をもって充てることとし、委員長がその議事を進行する。
２ 委員会は、管理運用法人における情報セキュリティ対策を推進するため、次に掲げる事項を審議及び議決するものとする。
（１） 対策推進計画に関すること。
（２） 管理規程及び関係する細則、要綱の整備（軽易なものを除く。）に関すること。
（３） 管理規程第12条に定める格付け区分及び同第13条に定める取扱制限に関すること。
（４） 管理規程第７条に定める例外措置を適用するための対応手順等に関すること。
（５） 情報セキュリティインシデントへの対応に関すること。
（６） その他委員が必要と認めること。
３

委員会は、委員会における審議及び議決の結果を理事長に報告する。

４

委員会は、委員長及び委員の半数以上が出席しなければ、委員会を開き、議決することができない。

５

委員会の議事は、出席した委員長及び委員の過半数をもって決する。

６

前各項に定めるもののほか、委員会の運営に必要な事項は、委員長が別に定めることができる。
７

第１項の規定にかかわらず、コンプライアンス・オフィサー及び監査責任者はオブザーバーとして委員会に参加することができる。

８

委員長は、必要に応じて委員及びオブザーバー以外の者を委員会に出席させ、意見を聴くことができる。

（庶務）第10条の２ 委員会の庶務を担当する部署（以下「事務局」という。）は、情報管理部情報管理セ3

キュリティ対策課とする。
２

事務局は、委員会の議事概要を作成し、理事長に報告する。

３

委員会の議決事項は、原則として、当該事項の所管部室が起案し、理事長（権限分配細則に基づき、理事長が下位の職位者に権限を委譲している場合には、当該委譲を受けた者）の決裁を得た上で、実施する。

４

議決事項の実施状況は、事務局が確認する。

（ＣＳＩＲＴ）
第11条 管理運用法人は、情報セキュリティインシデントに対処するための体制として、委員会の下にＣＳＩＲＴ（Ｃomputer Ｓecurity Ｉncident Ｒesponse Ｔeamの略）を設置し、その役割を明確化する。
２

ＣＳＩＲＴは、統括情報セキュリティ責任者及び専門的な知識又は適正を有すると認められる職員により構成する。

３

ＣＳＩＲＴに情報セキュリティインシデントに対処するための責任者としてＣＳＩＲＴ責任者を置くものとし、これに統括情報セキュリティ責任者をもって充てる。

４ ＣＳＩＲＴ責任者は、ＣＳＩＲＴに属する者のうち、ＣＳＩＲＴ内の業務統括及び外部との連携等を行う者を定める。

（細則の制定又は改廃等）
第12条 この細則の制定、変更又は廃止は理事長が定める。また、必要に応じて、理事長は本細則の下位規程を定める。

附則

この細則は、平成31年４月１日から施行する。
附則（令和元．９．30 改正）

この改正は、令和元年10月１日から施行する。
附 則（令和２.３.18改正）
この改正は、令和２年４月１日から施行する。
附 則（令和５.３.31改正）
この改正は、令和５年４月１日から施行する。
附 則（令和６.５.１改正）
この改正は、令和６年５月１日から施行する。

4