情報セキュリティ規程

メンタルサポートろうむ

1

組織的対策

改訂日

2023.03.20

全従業員

適用範囲
1.情報セキュリティのための組織

情報セキュリティ対策を推進するための組織として、情報セキュリティ委員会を設置する。情報
セキュリティ委員会は以下の構成とし、情報セキュリティ対策状況の把握、情報セキュリティ対策に関する指針の策定・見直し、情報セキュリティ対策に関する情報の共有を実施する。
役職名
情報セキュリティ責任者

担当者
情報セキュリティに関する責任者。情報セキュリティ対策などの決定権限を有するとともに、全責任を負う。

情報システム管理者

情報セキュリティ対策のためのシステム管理を行う。

教育責任者

情報セキュリティ対策を推進するために従業員への教育を企
画・実施する。

インシデント対応責任者

事故の影響を判断し、対応について意思決定する。

点検責任者

情報セキュリティ対策が適切に実施されているか情報セキュ
リティ関連規程を基準として検証する。

特定個人情報事務取扱責任者

特定個人情報の情報セキュリティに関する責任者。

特定個人情報事務取扱担当者

特定個人情報を取り扱う事務に従事する従業員。

個人情報苦情対応責任者

個人情報に関する苦情の対応責任者。

2.情報セキュリティ取組みの点検
点検責任者は、情報セキュリティ関連規程の実施状況について、3 月に点検を行い、点検結果を
情報セキュリティ委員会に報告する。情報セキュリティ委員会は、報告に基づき、以下の点を考慮し、必要に応じて改善計画を立案する。
情報セキュリティ関連規程が有効に実施されていない場合は、その原因の特定と改善
情報セキュリティ関連規程に定められたルールが、新たな脅威に対する対策として有効でない
場合は、情報セキュリティ関連規程の改訂
情報セキュリティ関連規程に定められたルールが、関連法令や取引先の情報セキュリティに対する要求を満たしていない場合は、情報セキュリティ関連規程の改訂

3.情報セキュリティに関する情報共有
情報セキュリティ責任者は、新たな脅威及び脆弱性に関する警戒情報及び個人情報の保護に関する情報を専門機関等から適時に入手し、委員会で共有する。
＜専門機関＞
独立行政法人情報処理推進機構（略称：IPA）

1

[情報セキュリティ]https://www.ipa.go.jp/security/[ここからセキュリティ]https://www.ipa.go.jp/security/kokokara/
JVN（Japan Vulnerability Notes）
https://jvn.jp/index.html
一般社団法人 JPCERT コーディネーションセンター（略称：JPCERT/CC）
https://www.jpcert.or.jp/
個人情報保護委員会
http://www.ppc.go.jp/

2

２

人的対策

改訂日

2023.03.20

全従業員

適用範囲
1.雇用条件

従業員を雇用する際には秘密保持契約を締結する。

2.従業員の責務
従業員は、以下を順守する。
従業員は、当事務所が営業秘密として管理する情報及びその複製物の一切を許可されていない
組織、人に提供してはならない。
従業員は、当事務所の情報セキュリティ方針及び関連規程を遵守する。違反時の懲戒について
は、就業規則に準じる。

3.雇用の終了
従業員は、在職中に交付された業務に関連する資料、個人情報、顧客・取引先から当事務所が交付を受けた資料又はそれらの複製物の一切を退職時に返還する。
従業員は、在職中に知り得た当事務所の営業秘密もしくは業務遂行上知り得た技術的機密を利用して、競合的あるいは競業的行為を行ってはならない。

4.情報セキュリティ教育
教育責任者は、以下の点を考慮し、情報セキュリティに関する教育計画を年度単位で立案する。
対象者：全従業員
テーマ：以下は必須とする。
情報セキュリティ関連規程の説明（入社時、就業時）
最新の脅威に対する注意喚起（随時）関連法令の理解（関連法令の施行時）
個人情報の取り扱いに関する留意事項

5.人材育成教育責任者は、以下に挙げる推奨資格の取得による従業員の情報セキュリティに対する意識向上を年度単位で計画する。計画には関連テキストの配付、公開セミナーへの派遣、受験費用の予算化を含むこととする。
＜情報セキュリティに関わる推奨資格＞
IPA

情報処理技術者試験・情報処理安全確保支援士試験
情報セキュリティマネジメント試験

3システム監査技術者試験
情報処理安全確保支援士試験

4

3

情報資産管理改訂日

2023.03.20

全従業員

適用範囲
1.情報資産の管理
1.1 情報資産の特定と機密性の評価

当事務所事業に必要で価値がある情報及び個人情報（以下「情報資産」という）を特定し、「情報資産管理台帳」に記載する。情報資産の機密性は、以下の基準に従って評価する。
機密性 2：極秘

法律で安全管理が義務付けられている
守秘義務の対象として指定されている
限定提供データ（一定の条件を満たす特定の外部者に提供することを目的とする情報）として指定されている
営業秘密（秘密として管理されているもの）として指定されている
漏えいすると取引先や顧客に大きな影響がある

機密性 1：社外秘

漏えいすると事業に大きな影響がある

機密性 0：公開

漏えいしても事業にほとんど影響はない

1.2 情報資産の分類の表示
情報資産の機密性は以下の方法で表示する。


電子データ：保存先サーバーのフォルダー名に表示

書類：保管先キャビネット、ファイル、バインダーに表示表示が困難な場合は、「情報資産管理台帳」に機密性評価値を表示する。

1.3 情報資産の管理責任者
情報資産の取り扱い関する情報セキュリティの運用管理責任者は、代表者とする。

1.4 情報資産の利用者
情報資産の利用者の範囲は、「情報資産管理台帳」の利用者範囲欄に示された部門に従事する従業員とする。

2.情報資産の社外持ち出し
情報資産を社外に持ち出す場合には、以下を実施する。


社外秘・極秘の場合は代表者の許可を得る。



ノートパソコンのハードディスクに保存して持ち出す場合は、ノートパソコンのログオンにパスワードを必須とする。



スマートフォン、タブレットに保存して持ち出す場合は、セキュリティロックを設定する。

5



USB メモリ、HDD 等の電子媒体に保存して持ち出す場合は、不要データは全て完全消去専用ツールで消去し、持ち出すデータを暗号化する。



屋外でネットワークへ接続して極秘又は社外秘の情報資産を送受信する場合は、暗号化する。



携行中は常に監視可能な距離を保つ。

3.媒体の処分
3.1 媒体の廃棄
社外秘又は極秘の情報資産を廃棄する場合は以下の処分を行う。
書類・フィルム

細断

USB メモリ・HDD・CD・DVD

完全消去※OS による削除・クイックフォーマットは不可

3.2 媒体の再利用
極秘又は社外秘の情報資産を保存した媒体を再利用する場合は、以下の処分を行う。
書類

裏紙再利用禁止

USB メモリ・HDD・CD-RW ディ

完全消去後再利用

スク・DVD-RW ディスク

※OS による削除・クイックフォーマットは不可

CD-R・DVD-R

再利用不可

4.バックアップ
4.1 バックアップ取得対象
情報システム管理者は、以下の機器で処理するデータのバックアップを定期的に取得する。
機器名

対象

ファイルサーバー

ユーザーファイル

同期ツール

クラウドサーバー

Web サーバー

ホームページ

同期ツール

クラウドサーバー＜クラウドサーバー


方法

保管先

サービス要件＞

サービス提供者のサービス利用約款、情報セキュリティ方針が、当事務所の情報セキュリ
ティ関連規程に適合している。



当事務所事業所がある地域で発生する震災、水害等の影響を受けない地域の施設であるこ
と。

6

4

アクセス制御及び認証

適用範囲

改訂日

2023.03.30

情報資産の利用者及び情報処理施設

1.アクセス制御方針
社外秘又は極秘の情報資産を扱う情報システム又はサービスに対するアクセス制御は以下の方針に基づいて運用する。対象となるシステム等は「9.1 アクセス制御対象情報システム及びアクセス制御方法」に記載する。
「情報資産管理台帳」の利用者範囲に基づき、利用者の業務・職務に応じた必要最低限のアクセス権を付与する。
特定の情報資産へのアクセス権が、同一人物に集中することで発生し得る不正行為等を考慮し、複数名に分散してアクセス権を付与する。

2.利用者の認証
社外秘又は極秘の情報資産を扱う事務所内情報システムは、以下の方針に基づいて利用者の認証を行う。認証方法等は「9.2 利用者認証方法」を参照のこと。
利用者の認証に用いるアカウントは、利用者 1 名につき 1 つを発行する。
複数の利用者が共有するアカウントの発行を禁止する。

3.利用者アカウントの登録
利用者の認証に用いるアカウントは、代表者の承認に基づき登録する。アカウント名の設定条件
は「9.3 利用者アカウント・パスワードの条件」を参照のこと。

4.利用者アカウントの管理
利用者の認証に用いるアカウントが不要になった場合、情報システム管理者は、当該アカウントの削除又は無効化を、当該アカウントが不要になる日の翌日までに実施する。

5.パスワードの設定
利用者の認証に用いるパスワードは、以下に注意して設定する。パスワードの設定条件は、「9.3
利用者アカウント・パスワードの条件」を参照のこと。
十分な強度のあるパスワードを用いる。
他者に知られないようにする。

6.従業員以外の者に対する利用者アカウントの発行
当事務所の従業員以外の者にアカウントを発行する場合は、代表者の承認を得たうえで、秘密保7

持契約を締結する。

7.機器の識別による認証
社外秘又は極秘の情報資産を扱う情報システムに、ネットワーク接続によりアクセスする際の認証方式として、機器の識別による認証を用いる。認証方法等は「9.4 機器の認証方法」を参照のこと。

8.端末のタイムアウト機能
社外秘又は極秘の情報資産を扱う情報システムの端末もしくは情報機器を、アカウントを付与していない者が接触可能な場所に設置する場合は、接続時間制限やタイムアウト等機能を利用する。

9.標準設定等
9.1 アクセス制御対象情報システム及びアクセス制御方法
情報システム・サービス

アクセス制御方法

ファイルサーバー

Windows Active Directory

メールサーバー（ホスティングサービス）

ホスティングサービスのユーザー認証

Web サーバー（ホスティングサービス）

ホスティングサービスのユーザー認証

9.2 利用者認証方法
情報システム
ファイルサーバー

利用者認証方法
Windows ログオン認証：アカウント名・パスワード

9.3 利用者アカウント・パスワードの条件
特権アカウント
アカウント名一般アカウント推奨：推測困難であるもの

従業員番号

1 つの特権アカウント名を 2 名以 従業員コード
上で共用しないGuest 用アカウントは無効化する
パスワード＜パスワードに使う文字＞＜パスワードに使う文字＞

10 文字以上

10 文字以上

当人の名前、電話番号、誕生日等、 当人の名前、電話番号、誕生日等、他者が推測できるものを使わない

他者が推測できるものを使わないアルファベット大文字･小文字、

アルファベット大文字･小文字、

数字、記号の全てを含む

数字、記号の全てを含む

辞書に含まれる単純な語を使わ

8

辞書に含まれる単純な語を使わ

ない

ない

＜パスワードの管理＞＜パスワードの管理＞

システムにパスワードポリシー

システムにパスワードポリシー

設定機能がある場合は本項の条件設定機能がある場合は本項の条を設定する件を設定するロックアウトのしきい値は 3 回、 ロックアウトのしきい値は 5 回、時間は 6 時間に設定する

時間は 1 時間に設定する

9.4 機器の認証方法
MAC アドレス

受信側のルーターで設定

IP アドレス

受信側のルーターもしくはサーバー

ドメイン名

受信側のルーターもしくはサーバー

9

5

物理的対策

改訂日

2023.03.20

全事業所

適用範囲
1.対策の設定
事務室では以下の対策を実施する。
利用者

従業員以外の入室不可

施錠

最終退室者による施錠設置可能情報機器

ディスプレイ、プロジェクター、ホワイトボード、
パソコン、複合機、電話機

制限事項

情報機器・設備の無断操作禁止・無断持出し禁止

火災対策

消火器設置

2.事務室内注意事項
事務室内では以下の点に注意する。
複合機、プリンタに原稿、印刷物を放置しない。
FAX 送信時には誤送信防止のため宛先を複数回確認する。
ホワイトボードは利用後に消去する。
室内での撮影、録音は禁止する。業務上必要な場合は、情報セキュリティ部門責任者の許可を得ること。
外線受話時の際に相手が不審な場合は、従業員の個人情報を伝えてはならない。
部外者は入室不可とする。

3.搬入物の受け渡し
郵便物及び宅配便の受取り・受け渡しは、事務所入り口の外で行う。

10

6

ＩＴ機器利用適用範囲

改訂日2022.03.20

業務で利用する情報機器

1.ソフトウェアの利用
1.1 ソフトウェアの利用制限
従業員は、業務に不要なシステムユーティリティやインストールされているソフトウェアを利用しない。
＜利用を禁止するソフトウェア＞


不審なベンダーが提供するソフトウェア。



正規ライセンスを取得していないソフトウェア。

1.2 ソフトウェアのアップデート
従業員は、業務で使用するソフトウェアを最新の状態で利用する。

1.3 ウイルス対策ソフトウェアの利用
従業員は、パソコン・スマートフォン・タブレットに導入したウイルス対策ソフトウェアの定義
ファイルを随時更新する。

1.4 社外機器の LAN 接続
当事務所が管理するパソコン及びサーバー以外の機器を事務所内 LAN に接続することを禁止する。業務上必要な場合は、情報システム管理者の許可を得たうえで、当該機器にインストールされているウイルス対策ソフトの定義ファイルを最新版に更新し、当該機器のフルスキャンを実行し、ウイルスが検知されないことを確認してから接続する。

1.5 ウイルス対策の啓発
情報システム管理者は、適宜ウイルスに関する情報を収集し、重大な被害を与えるウイルスに対しては、対応策及び対応に必要な修正プログラムを事務所内に公開及び通知する。従業員は、感染防止策が通知された場合は、速やかに実施完了すること。

2.ＩＴ機器の利用
従業員は、業務に利用するパソコン・タブレット・スマートフォンには、ログインパスワードを設定する。利用するときには以下を実行する。
ログインパスワードを他者の目に触れる所に書き記さない。
屋外で利用する場合は、他者が画面を盗み見可能な環境で利用しない。

11

退社時又は使用しないときには電源を切り、ノートパソコン・タブレット・スマートフォン・
USB メモリ、HDD、CD 等の電子媒体は所定の場所に保管する。

3.クリアデスク・クリアスクリーン
3.1 クリアデスク
従業員は、社外秘又は極秘の書類及び電子データを保存したノートパソコン、USB メモリ、HDD、CD 等の持ち運び可能な機器や媒体の扱いについて、以下のようにクリアデスクを徹底する。


利用時以外には机上に放置しない。



離席時に書類を伏せる、引き出しに入れる等する。



退社時又は使用しないときには机の引き出しに保管し、施錠する。

3.2 クリアスクリーン
従業員は、離席時に以下のいずれかによりパソコンの画面をロックし、クリアスクリーンを徹底する。
スリープ起動時間を 5 分以内に設定し、解除時のパスワード保護を設定する。



離席時に［Windows］＋［L］キーを押してコンピュータをロックする。



ログオフ状態ではシステム操作画面は非表示に設定する。退社時又は使用しないときにはパソコンの電源を切る。



スマートフォン・タブレットを外出先で利用する場合は、他者が盗み見できる環境で利用しない。

4.インターネットの利用
従業員は、インターネットを利用する際には以下を遵守する。
4.1 ウェブ閲覧情報システム管理者は、ウイルス等の悪意のあるソフトウェアに感染するおそれがあると認められる有害ウェブサイトはウェブフィルタリングソフトを使用して、従業員の閲覧を制限する。
従業員は、業務でウェブ閲覧を行う場合は以下に注意する。


公序良俗に反するサイトへのアクセスを禁止する。



不審なサイトへのアクセス及び社用メールアドレス登録を禁止する。

パスワードをブラウザに保存しない。業務で特定のウェブサービスを利用する場合で、パスワードをブラウザに保存する必要があるときは情報システム管理者の許可を得る。



業務上、個人情報(メールアドレス、氏名、所属等)を入力する場合は、通信の暗号化、接続先の実在性等を十分に確認したうえで行う。



信頼できるサイトから署名付きのモバイルコードをダウンロードする場合を除き、モバイ
ルコード(クライアントパソコン側で動作するプログラム)を実行しない。

4.2 オンラインサービス

12従業員は、インターネットで提供されているサービスを業務で利用する場合は、情報システム管理者の許可を得る。利用する際には以下に注意する。
＜インターネットバンキング・電子決済＞


インターネットバンキングを利用する際には、自分で設定したブックマークや銀行が提供する専用アプリケーションソフトを用いる。



電子決済を利用する際には、SSL/TLS による通信暗号化を採用しているサイトを利用する。



電子メールに記載されているリンクや、他のウェブサイト等に設置されているリンクは、
偽サイトへの誘導である可能性があるためアクセスしない。

＜オンラインストレージ＞



社外秘又は極秘の情報資産を保存する場合は、情報システム管理者の許可を得る。



メールアドレスの登録が必要な場合は社用メールアドレスを登録する。



セキュリティポリシーを公表していないサービスの利用は禁止する。



不審なベンダーが提供しているサービスの利用を禁止する。

4.3 SNS の個人利用


当事務所の業務に関わる情報の書き込みは行わない。



取引先従業者と SNS 上で私的に交流する場合、双方の立場をわきまえ、社会人として良識の範囲で交流する。

SNS 用のアプリケーションが提供するセキュリティ設定を行い、アカウントの乗っ取りやな
りすましに注意する。



使用するパソコン、スマートフォン、タブレット上のデータ、写真、位置情報が、予期せず公開される可能性のあることに注意する。

4.4 電子メールの利用
従業員は、業務で電子メールを利用する際には以下を実施する。

＜誤送信防止＞


メールアドレスは手入力はせず、保存されているものをコピーペーストして入力する。

＜メールアドレス漏えい防止＞

同報メール（外部の多数相手に同時に送信するとき）を送信する場合は、宛先（TO）に自分
自身のアドレスを入力し、BCC で複数相手のアドレスを指定する。

＜傍受による漏えい防止＞

社外秘又は極秘の情報資産を送信する場合は、クラウドサーバー上のファイルを指定し、パスワードを設定する。

＜添付ファイル暗号化の方法＞


パスワード保護の設定をする。

パスワードは先方とあらかじめ決めておくか電話で知らせるなど、パスワードが傍受されないよう配慮する。

13

＜クラウド型メールの利用＞

業務でクラウド型メールを利用する場合は、情報システム管理者の許可を得る。



情報システム管理者から許可されたパソコン以外で、メールサーバーからのメールの取り出し及びエクスポートを禁止する。

＜禁止事項＞


業務に支障をきたすおそれがある使用。



私用電子メールサーバーへの接続。



私用メールアドレスへの転送。



受信メールの HTML 表示（テキスト形式に変換して表示）。

HTML 形式メールの中に含まれる不正なコードを実行しないよう以下を設定する。



プレビューウィンドウを無効化する。

4.5 ウイルス感染の防止
標的型攻撃メール等によるウイルス感染を防止するため、以下の内容に複数合致する場合は十分に注意し、添付ファイルを開く、又はリンクを参照するなどしない。受信した場合は、情報シ
ステム管理者に報告し、情報システム管理者は事務所内に注意を促す。
メールのテーマ①知らない人からのメールだが、メール本文のURL や添付ファイ
ルを開かざるを得ない内容
新聞社や出版社からの取材申込や講演依頼
就職活動に関する問い合わせや履歴書送付
製品やサービスに関する問い合わせ、クレーム
アンケート調査②心当たりのないメールだが、興味をそそられる内容
議事録、演説原稿などの内部文書送付
VIP 訪問に関する情報③これまで届いたことがない公的機関からのお知らせ情報セキュリティに関する注意喚起
インフルエンザ等の感染症流行情報
災害情報④組織全体への案内
人事情報
新年度の事業方針
資料の再送、差替え⑤心当たりのない、決裁や配送通知 (英文の場合が多い)航空券の予約確認
荷物の配達通知⑥IDやパスワードなどの入力を要求するメール

14メールボックスの容量オーバーの警告
銀行からの登録情報確認
差出人のメール①フリーメールアドレスから送信されている

アドレス②差出人のメールアドレスとメール本文の署名に記載されたメール
アドレスが異なる

メールの本文

①日本語の言い回しが不自然である②日本語では使用されない漢字（繁体字、簡体字）が使われている③実在する名称を一部に含むURL が記載されている④表示されているURL（アンカーテキスト）と実際のリンク先のURLが異なる（HTML メールの場合）⑤署名の内容が誤っている
組織名や電話番号が実在しない
電話番号がFAX 番号として記載されている添付ファイル①ファイルが添付されている②実行形式ファイル(exe/scr/cplなど)が添付されている③ショートカットファイル(lnkなど)が添付されている④アイコンが偽装されている
実行形式ファイルなのに文書ファイルやフォルダーのアイコンとなっている⑤ファイル拡張子が偽装されている
二重拡張子となっている
ファイル拡張子の前に大量の空白文字が挿入されている
ファイル名にRLO4が使用されている

5.私有ＩＴ機器・電子媒体の利用
従業員個人が所有するパソコン、タブレット、スマートフォン、携帯電話等のＩＴ機器及び USB
メモリ、HDD、CD 等の電子媒体を業務で利用することを禁止する。

15

7

ＩＴ基盤運用管理

適用範囲

改訂日

2022.03.20

サーバー・ネットワーク及び周辺機器

1.管理体制情報システム管理者は、ＩＴ基盤の運用に当たり情報セキュリティ対策を考慮し製品又はサービスを選択する。ＩＴ基盤の情報セキュリティ対策及び関連仕様は、情報セキュリティ責任者が承認する。

2.ＩＴ基盤の運用
情報システム管理者は、ＩＴ基盤の運用を行う際には以下を実施すること。
情報システム管理者は、機器の管理画面にログインするためのパスワードは初期状態のまま使わず、推測不可能なパスワードを設定して運用する。
以下に従い、ゲートウェイにおける通信ログを取得及び保存する。
通信ログの保存期間は 3 年間とする。
ログファイルの保存状況について、情報システム管理者が定期的に確認する。
情報システム管理者は、通信ログについて以下の確認を定期的に行う。
管理外のインターネット接続がないか
許可なく接続された機器や無線 LAN 機器はないか
不審な通信が行われていないか
情報システム管理者は、必要に応じて業務に不要なウェブサイト閲覧をウェブフィルタリング
ソフトを使用して制限する。
遠隔診断ポートの利用は、保守サポートなど必要な場合のみに限定し、認証機能やコールバッ
ク機能等を備えるなど、適切なセキュリティ対策を施す。

3.クラウドサービスの導入
ＩＴ基盤の一部としてクラウドサービス等の外部サービスを導入する場合は、情報システム管理者がサービスプロバイダの情報セキュリティ対策をあらかじめ評価したうえで選定する。

4.脅威や攻撃に関する情報の収集
情報システム管理者は、最新の脅威や攻撃に関する情報収集を行い、必要に応じて事務所内で共有する。

5.廃棄・返却・譲渡
情報システム管理者は、ＩＴ基盤で利用した機器を返却、廃棄、譲渡を行う場合は、内部記憶媒体の破壊又は専用ツールによりデータを完全に消去し、情報セキュリティ責任者の承認を得た

16

うえ返却、廃棄、譲渡を行う。内部記憶媒体の破壊又はデータの完全消去を、外部に委託する場
合は、破壊又はデータの完全消去を実行したことの証明書を取得する。

6.クラウドサービス情報セキュリティ対策評価基準
サービスプロバイダが公表する情報セキュリティ又は個人情報保護への取組方針が、処理しようとする情報資産の重要度に照らして適切であること。
サービス仕様に含まれる情報セキュリティ対策が、処理しようとする情報資産の重要度に照らして適切であること。
情報セキュリティに関する適合性評価制度の認証・認定を取得していること。
＜適合性評価制度の種類＞
ISMS 適合性評価制度（ISMS 認証/ISMS クラウドセキュリティ認証）
クラウド情報セキュリティ監査制度
プライバシーマーク制度
PCI DSS（クレジットカード業界セキュリティ基準）
ASP・SaaS の安全・信頼性に係る情報開示認定制度
インターネット接続安全安心マーク

17

情報セキュリティインシデント対応
ならびに事業継続管理

8

改訂日

2022.03.20

情報資産及び保有する個人データに関わるインシデント

適用範囲
1.対応体制情報セキュリティインシデントが発生した場合には、以下の体制で対応する。
最高責任者

代表者

対応責任者

インシデント対応責任者

一次対応者

発見者又は情報システム管理者

2.情報セキュリティインシデントの影響範囲と対応者
情報セキュリティインシデントが発生した場合、以下を参考に影響範囲を判断して対応する。
事故レベル
3

影響範囲

責任者

顧客、取引先、株主等に影響が及ぶとき

代表者

個人情報が漏えいしたとき

2

事業に影響が及ぶとき

インシデント対応責任者

1

従業員の業務遂行に影響が及ぶとき

インシデント対応責任者

インシデントにまでは至らないが、将来

情報システム管理者

0においてインシデントが発生する可能性がある事象が発見されたとき

3.インシデントの連絡及び報告
レベル 1 以上のインシデントが発生した場合、発見者は以下の連絡網に従い、対応者または責任者に速やかに報告し、指示を仰ぐ。
対応者または責任者
代表者

緊急連絡先
携帯電話：090-****-****
電子メールアドレス：sr@yhlee.org

インシデント対応責任者

同上

情報システム管理者

同上18

4.対応手順
インシデントを以下のとおりに区分し、それぞれの対応手順を示す。
区分

事件・事故の状況

漏えい・流出

社外秘又は極秘情報資産の盗難、流出、紛失

改ざん・消失・破壊

情報資産の意図しない改ざん、消失、破壊

サービス停止情報資産が必要なときに利用できない

ウイルス感染悪意のあるソフトウェアに感染

4.1 漏えい・流出発生時の対応
事故レベル

対応手順
①発見者は即座にインシデント対応責任者及び代表者に報告する。

3②インシデント対応責任者は原因を特定するとともに、二次被害が想定される場合には防止策を実行する。
③インシデント対応責任者は被害者/本人対応を準備する。
④インシデント対応責任者は問い合わせ対応を準備する。
⑤インシデント対応責任者は影響範囲・被害の大きさによっては総務部に報道発表の準備を申請する。
⑥インシデント対応責任者はサイバー攻撃等の不正アクセスによる被害の場合は都道府県警察本部のサイバー犯罪相談窓口に届け出る。
*⑦インシデント対応責任者は個人データ または特定個人情報漏えいの場合には個人情報保護委員会に報告する。
⑧代表者は事務所内及び影響範囲の全ての組織・人に対応結果及び対策を公表する。
*個人データ︓個人情報データベース等（特定の個人を検索できるようにまとめたもの）を構成する個人情報

2①発見者は発見次第、情報システム管理者に報告する。
②情報システム管理者は漏えい先を調査し、インシデント対応責任者に報告する。
③情報システム管理者は事務所内関係者に周知する。
※情報漏えい・流出は全て事故レベル 2 以上

1

4.2 改ざん・消失・破壊・サービス停止発生時の対応
事故レベル

対応手順

3

①発見者は即座にインシデント対応責任者及び代表者に報告する。
②情報システム管理者は原因を特定し、応急処置を実行する。
③インシデント対応責任者は事務所内に周知するとともに総務部情報システム担当に連絡する。
④電子データの場合は情報システム管理者がバックアップによる復旧を実行する。
⑤機器の場合は情報システム管理者が修理、復旧、交換等の手続きを

19

2

1

0

行う。
⑥書類・フィルム原本の場合は情報セキュリティ部門責任者が可能な範囲で修復する。
⑦情報システム管理者は原因対策を実施する。
代表者は事務所内及び影響範囲の全ての組織・人に対応結果及び対策を公表する。
①発見者は発見次第、情報システム管理者に報告する。
②情報システム管理者は原因を特定し、応急処置を実行する。
③インシデント対応責任者は事務所内に周知するとともに総務部情報システム担当に連絡する。
④電子データの場合は情報システム管理者がバックアップによる復旧を実行する。
⑤機器の場合は情報システム管理者が修理、復旧、交換等の手続きを行う。
⑥書類・フィルム原本の場合は情報セキュリティ部門責任者が可能な範囲で修復する。
⑦情報システム管理者は原因対策を実施する。
①発見者は発見次第、情報システム管理者に報告する。
②情報システム管理者は原因を特定し、応急処置を実行する。
③電子データの場合は情報システム管理者がバックアップによる復旧もしくは再作成・入手を実行する。
④機器の場合は情報システム管理者が修理、復旧、交換等の手続きを行う。
⑤書類・フィルム等の原本の場合は情報セキュリティ部門責任者が可能な範囲で修復する⑥情報システム管理者は原因対策を実施する
発見者は発見次第、発生可能性のあるインシデントと想定される被害を情報システム管理者に報告する。

4.3 ウイルス感染時の初期対応
従業員は、業務に利用しているパソコン、サーバー又はスマートフォン、タブレット（以下「コンピュータ」といいます。）がウイルスに感染した場合には、以下を実行する。
①ネットワークからコンピュータを切断する。
②情報システム管理者に連絡する。
③ウイルス対策ソフトの定義ファイルを最新版に更新する。
④ウイルス対策ソフトを実行しウイルス名を確認する。
⑤ウイルス対策ソフトで駆除可能な場合は駆除する。
⑥駆除後再度ウイルス対策ソフトでスキャンし、駆除を確認する。
⑦情報システム管理者に報告する。

以下の場合など従業員自身で対応できないと判断される場合は情報システム管理者に問い合わせる。
ウイルス対策ソフトで駆除できない。

20

システムファイルが破壊・改ざんされている。
ファイルが改ざん・暗号化・削除されている。

4.5 届出及び相談
情報システム管理者は、インシデント対応後に以下の機関への届け出、報告又は相談を検討する。
＜届出・相談・報告先＞【独立行政法人 情報処理推進機構セキュリティセンター(IPA/ISEC)】
 ウイルスの届出
https://www.ipa.go.jp/security/outline/todokede-j.html
TEL: 03-5978-7518
E-mail：virus@ipa.go.jp
 不正アクセスに関する届出
E-mail：crack@ipa.go.jp
FAX：03-5978-7518
 情報セキュリティ安心相談窓口
https://www.ipa.go.jp/security/anshin/index.html
TEL:03-5978-7509
E-mail：anshin@ipa.go.jp【個人情報保護委員会】
 個人データの漏えい等の事案が発生した場合等の対応①個人データ（特定個人情報に係るものを除く。）の漏えい、滅失又は毀損②加工方法等情報（匿名加工情報の加工の方法に関する情報等）の漏えい③上記①又は②のおそれ
漏えい等事案が発覚した場合は、速やかに下記 UR を参照して個人情報保護委員会等に対し、報告することhttps://www.ppc.go.jp/personalinfo/legal/leakAction/
TEL：03-6457-9685
個人情報保護委員会事務局

個人データ漏えい等報告窓口

 特定個人情報の漏えい事案が発生した場合の対応①番号法違反又は違反のおそれ
番号法違反又は違反のおそれを把握した場合は、速やかに下記 UR を参照して個人情報保護委
員会等に対し、報告すること
https://www.ppc.go.jp/legal/rouei/②重大事態に該当する事案又はそのおそれ≪重大事態≫
 情報提供ネットワークシステム等又は個人番号利用事務を処理するために使用する情報21

システムで管理される特定個人情報が漏えい等した事態
 漏えい等した特定個人情報に係る本人の数が 100 人を超える事態
 特定個人情報を電磁的方法により不特定多数の者が閲覧することができる状態となり、かつ閲覧された事態
 従業員等が不正の目的をもって、特定個人情報を利用し、又は提供した事態
重大事態が発覚した場合は、直ちに下記 UR を参照して個人情報保護委員会等に対し、報告すること

https://www.ppc.go.jp/legal/rouei/
個人情報保護委員会事務局

特定個人情報漏えい等報告窓口

TEL:03-6457-9680

22

9
適用範囲

個人番号及び
特定個人情報の取り扱い

改訂日

2022.03.20

特定個人情報（マイナンバーを内容に含む個人情報）

1.関係法令・ガイドライン等の遵守
当事務所は、個人番号及び特定個人情報（以下「特定個人情報等」といいます。）の取り扱いに関し、「行政手続における特定の個人を識別するための番号の利用等に関する法律」（以下「マイ
ナンバー法」といいます。）及び「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」、並びに「個人情報の保護に関する法律」（以下「個人情報保護法」といいます。）及び個人情報保護委員会のガイドラインを遵守します。

2.利用目的
当事務所は、提供を受けた特定個人情報等を、以下の目的で利用します。
(1) 取引先様の特定個人情報等
・不動産取引に関する支払調書作成事務
・報酬、料金、契約金及び賞金に関する支払調書作成事務(2) 株主様の特定個人情報等
・配当及び剰余金の分配に関する支払調書作成事務(3) 当事務所の従業員等の特定個人情報等【税務】
・源泉徴収票作成事務
・扶養控除等（異動）申告書、保険料控除申告書兼給与所得者の配偶者特別控除申告書作成事務【社会保険】
・健康保険・厚生年金保険届出、申請・請求事務
・雇用保険・労災保険届出、申請・請求、証明書作成事務(4) 当事務所従業員等の配偶者及び親族等の特定個人情報等【税務】
・源泉徴収票作成事務
・扶養控除等（異動）申告書、保険料控除申告書兼給与所得者の配偶者特別控除申告書作成事務【社会保険】
・健康保険・厚生年金保険届出事務

3.安全管理措置に関する事項
当事務所は、特定個人情報等の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のた23

めに、別途規則を定め、これを遵守します。

4.委託の取り扱い
当事務所は、特定個人情報等の取り扱いを第三者に委託することがあります。この場合、当事務所は、マイナンバー法及び個人情報保護法に従って、委託先に対する必要かつ適切な監督を行います。

5.継続的改善
当事務所は、特定個人情報等の取り扱いを継続的に改善するよう努めます。

6.特定個人情報等の開示
当事務所は、本人又はその代理人から、当該特定個人情報等に係る保有個人データの開示の求めがあったときは、次の各号の場合を除き、遅滞なく回答します。
・本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
・当事務所の業務の適正な実施に著しい支障を及ぼすおそれがある場合
・法令に違反することとなる場合

特定個人情報等の開示に関するお問合せ、及び質問苦情等は下記までお願いいたします。
電話：028-652-7208
メールアドレス：sr@yhlee.org

発効日:2023 年 3 月 20 日
メンタルサポートろうむ
代表者

24

李怜香

個人番号及び特定個人情報取扱規程
1.総則
1.1 目的
本規程は、個人番号及び特定個人情報（以下「特定個人情報等」という。
）の適正な取り扱いの確保に関し必要な事項を定めることにより、当事務所の事業の適正かつ円滑な運営を図りつつ、個人の権利利益を保護することを目的とする。
1.2 定義本項における用語の定義は、次に定めるところによる。
個人情報：
生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
(1)当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。
）で作られる記録をいう。
）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。
）をいう。以下同じ。
）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）(2) 個人識別符号が含まれるもの
個人番号：
行政手続における特定の個人を識別するための番号の利用等に関する法律（以下「マイナンバー
法」という。）第 2 条 5 項が定める住民票コードを変換して得られる番号であって、当該住民票
コードが記載された住民票に係る者を識別するために指定されるものをいう。
特定個人情報：個人番号（個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号であって、住民票コード以外のものを含む。）をその内容に含む個人情報をいう。
個人情報データベース等：
個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして「個人情報の保護に関する法律施行令」（平成 15 年政令第 507 号。以下「個人情報保護法施行令」という。
）で定めるものをいう。
個人情報ファイル：個人情報を含む情報の集合物であって、特定の個人情報について電子計算機を用いて検索することができるように体系的に構成したもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして「個人情報の保護に関する法律施行令」で定めるものを

25

いう。
特定個人情報ファイル：
個人番号をその内容に含む個人情報ファイルをいう。
個人データ:
個人情報データベース等を構成する個人情報をいう。
保有個人データ:
個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして個人情報保護法施行令で定めるものをいう。
個人番号関係事務：
マイナンバー法第 9 条第 3 項の規定により個人番号利用事務（行政機関、地方公共団体、独立行
政法人等その他の行政事務を処理する者が同条第 1 項又は第 2 項の規定によりその保有する特定個人情報ファイルにおいて個人情報を効率的に検索し、及び管理するために必要な限度で個
人番号を利用して処理する事務）に関して行われる他人の個人番号を必要な限度で利用して行う事務をいう。
個人情報取扱事業者:
個人情報データベース等を事業の用に供している者（国の機関、地方公共団体、独立行政法人等
及び地方独立行政法人を除く。
）をいう。
本人：
個人番号によって識別され、又は識別され得る特定の個人をいう。
従業員：
当事務所の組織内にあって直接間接に当事務所の指揮監督を受けて当事務所の業務に従事している者をいう。
1.3 当事務所の責務
マイナンバー法その他の個人情報保護に関する法令及びガイドライン等を遵守するとともに、実施するあらゆる事業を通じて特定個人情報等の保護に努めるものとする。

2.特定個人情報等の取り扱い
2.1 利用目的の特定
特定個人情報等を利用できる事務の範囲を、社会保障、税及び災害対策に関する特定の事務に限定するものとする。
利用に当たっては前項で定めた事務の範囲の中から、具体的な利用目的を特定したうえで、利用するものとする。
特定した利用目的を超えて利用する必要が生じた場合には、当初の利用目的と相当の関連性を有すると合理的に認められる範囲内で利用目的を変更して、本人に通知を行い、変更後の利用目的の範囲内で利用するものとする。

26

2.2 取得に際しての利用目的の通知等
特定個人情報等を取得した場合は、あらかじめその利用目的を通知又は公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表するものとする。
前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電子的方式等で作られる記録を含む。）に記載された当該本人の特定個人情報等を取得する場合
その他本人から直接書面に記載された当該本人の特定個人情報等を取得する場合は、あらかじめ、本人に対し、その利用目的を明示するものとする。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。
前 2 項の規定は、次に掲げる場合については、適用しない。
(1)利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)利用目的を本人に通知し、又は公表することにより当事務所の権利又は正当な利益を害するおそれがある場合(3)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(4)取得の状況からみて利用目的が明らかであると認められる場合

2.3 取得の制限
特定個人情報等を取得するときは、適法かつ適正な方法で行うものとする。
マイナンバー法第 19 条各号のいずれかに該当する場合を除き、他人の特定個人情報等を収集しないものとする。

2.4 個人番号の提供の求めの制限
マイナンバー法第 19 条各号に該当して特定個人情報の提供を受けることができる場合を除くほか、他人に対し、個人番号の提供を求めないものとする。

2.5 本人確認
本人又はその代理人から個人番号の提供を受けるときは、マイナンバー法第 16 条の規定に従い、本人確認を行うものとする。

2.6 利用目的外の利用の制限
「2.1 利用目的の特定」の規定により特定された利用目的の達成に必要な範囲を超えて、特定個人情報等を取り扱わないものとする。
合併その他の事由により他の法人等から事業を継承することに伴って特定個人情報等を取得した場合は、継承前における当該特定個人情報等の利用目的の達成に必要な範囲を超えて、当該特定個人情報等を取り扱わないものとする。

27

前 2 項の規定にかかわらず、次の各号のいずれかに該当する場合には、「2.1 利用目的の特定」の規定により特定された利用目的の範囲を超えて特定個人情報等を取り扱うことができるものとする。
(1)マイナンバー法第 9 条第 4 項の規定に基づく場合(2)人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意があり、又は本人の同意を得ることが困難であるとき

2.7 特定個人情報ファイルの作成の制限
マイナンバー法第 19 条 11 号から 14 号までのいずれかに該当して特定個人情報を提供し、又はその提供を受けることができる場合を除き、個人番号関係事務を処理するために必要な範囲を超えて特定個人情報ファイルを作成しないものとする。

2.8 特定個人情報等の保管
マイナンバー法第 19 条各号に該当する場合を除くほか、特定個人情報等を保管しないものとする。

2.9 データ内容の正確性の確保「2.1 利用目的の特定」により特定された利用目的の達成に必要な範囲内において、特定個人情報等を正確かつ最新の内容に保つよう努めるものとする。

2.10 特定個人情報等の提供
マイナンバー法第 19 条各号に該当する場合を除くほか、特定個人情報等を提供しないものとする。

2.11 特定個人情報等の削除・廃棄個人番号関係事務を処理する必要がなくなった場合で、かつ、所管法令において定められている
保存期間を経過した場合には、個人番号をできるだけ速やかに廃棄又は削除するものとする。ただし、その個人番号部分を復元できない程度にマスキング又は削除した場合には、保管を継続することができるものとする。

2.12 特定個人情報等を誤って収集した場合の措置
従業者は、誤って特定個人情報等の提供を受けた場合、自ら当該特定個人情報等を削除又は廃棄してはならず、速やかに所属長、「3.1 事務取扱担当者・責任者」に定める事務取扱責任者に報告しなければならない。
前項の報告を受けた際、「5.3.4 個人番号の削除、機器及び電子媒体等の廃棄」に従って、当該
特定個人情報等をできるだけ速やかに削除又は廃棄したうえで、その記録を保存するものとする。

28

2.13 安全管理措置
特定個人情報等の取り扱いに関し、「4.委託先の監督」及び「5.安全管理措置」に定める安全管理措置を講じるものとする。

3. 組織及び体制
3.1 事務取扱担当者・責任者
別途定めるとおり、特定個人情報等を取り扱う事務の範囲を明確化し、明確化した事務において取り扱う特定個人情報等の範囲を明確にしたうえで、当該事務に従事する従業員（以下「事務取扱担当者」という。
）を明確にするものとする。
別途定めるとおり、前項により定められた各事務における事務取扱責任者を明確にするものとする。
事務取扱責任者は、次に掲げる業務を所管する。
(1)特定個人情報等の利用申請の承認及び記録等の管理(2)特定個人情報等を取り扱う保管媒体の設置場所の指定及び変更の管理(3)特定個人情報等の管理区分及び権限についての設定及び変更の管理(4)特定個人情報等の取扱状況の把握(5)委託先における特定個人情報等の取扱状況等の監督(6)特定個人情報等の安全管理に関する教育・研修の実施(7)特定個人情報等管理責任者に対する報告(8)特定個人情報等の安全管理に関する規程の承認及び周知(9)事務取扱責任者からの報告徴収及び助言・指導(10)特定個人情報等の適正な取り扱いに関する事務取扱担当者に対する教育・研修の企画(11)その他特定個人情報等の安全管理に関する事項

3.2 苦情対応
特定個人情報等の取り扱いに関する苦情（以下「苦情」という。
）の対応について必要な体制整備を行い、苦情があったときは、適切かつ迅速な処理に努めるものとする。
苦情対応の責任者は、代表者とする。

3.3 従業員の義務
当事務所の従業者又は従業員であった者は、業務上知り得た特定個人情報等の内容をみだりに
他人に知らせたり、不当な目的に使用したりしてはならない。
特定個人情報等の漏えい、滅失もしくは毀損の発生又は兆候を把握した従業員は、その旨を事務取扱責任者に報告するものとする。
本規程に違反している事実又は兆候を把握した従業者は、その旨を事務取扱責任者に報告するものとする。

29

事務取扱責任者は、前 3 項による報告の内容を調査し、本規程に違反する事実が判明した場合には遅滞なく代表者に報告するとともに、関係部門に適切な措置をとるよう指示するものとする。

4.委託の取り扱い
4.1 委託特定個人情報等の取り扱いの全部又は一部を当事務所以外の者に委託するときは、委託先において、マイナンバー法に基づき当事務所が果たすべき安全管理措置と同等の措置が講じられるか否かについてあらかじめ確認したうえで、原則として委託契約において、特定個人情報等の安全管理について委託先が講ずべき措置を明らかにし、委託先における特定個人情報の取扱状況を把握するものとする。

4.2 再委託
委託先が特定個人情報等の取り扱いの全部又は一部を再委託する場合には、当事務所の許諾を得るものとする。また、再委託が行われた場合、当事務所は、委託先が再委託先に対して必要か
つ適切な監督を行っているかについて監督するものとする。

5.安全管理措置
特定個人情報等の漏えい、滅失又は毀損の防止その他の特定個人情報等の安全管理のために、以下に定める措置を講ずるものとする。
5.1 取扱規程等に基づく運用「情報資産管理台帳」に、以下を登録する。
情報資産管理台帳の項目

登録内容

情報資産名称特定個人情報ファイルの種類、名称

備考

対象者及び個人情報の項目
明示・公表等を行った利用目的
削除・廃棄状況

管理部署

責任者、取扱部署

利用者範囲

アクセス権を有する者

媒体・保存先保管場所・保管方法

保存期限

保存期間

なお、「情報資産管理台帳」には個人番号は記載しない。
5.2 取扱状況を確認する手段の整備
本規程に基づく運用状況を確認するため、以下の項目をシステムログ又は利用実績として記録する。
・特定個人情報ファイルの利用・出力状況の記録
・書類・媒体等の持出しの記録

30

・特定個人情報ファイルの削除・廃棄記録
・削除・廃棄を委託した場合、これを証明する記録等
・特定個人情報ファイルを情報システムで取り扱う場合、事務取扱担当者の情報システムの利用状況（ログイン実績、アクセスログ等）の記録
5.1.4 情報漏えい等事案に対応する体制の整備
情報漏えい等の事案の発生又は兆候を把握した場合には、事務取扱責任者は「情報セキュリティ関連規程」に定める安全管理措置に従って対応を行う。
5.1.5 取扱状況の把握及び安全管理措置の見直し
特定個人情報等の取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組むため、事務取扱責任者が、毎年 3 月、取扱状況を点検し、安全管理措置を見直す。

5.2 従業者の監督・教育
特定個人情報等の安全管理のために、従業者に対する必要かつ適切な監督・教育を行うものとする。

5.3 物理的安全管理措置
特定個人情報等の適正な取り扱いのために、「情報セキュリティ関連規程５ 物理的対策」の物理的安全管理措置を講じる。
5.4 技術的安全管理措置
特定個人情報等の適正な取り扱いのために、以下の技術的安全管理措置を講じる。
5.4.アクセス制御
事務取扱担当者及び当該事務で取り扱う特定個人情報ファイルの範囲を限定するために、適切なアクセス制御を行う。

6.特定個人情報等の開示、訂正等、利用停止等
6.1 特定個人情報等の開示等
本人から、当該本人が識別される特定個人情報等に係る保有個人データについて、書面又は口頭により、その開示（当該本人が識別される特定個人情報等に係る保有個人データを保有していな
いときにその旨を知らせることを含む。以下同じ。
）の申出があったときは、身分証明書等により本人であることを確認のうえ、開示をするものとする。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。
(1)本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(2)当事務所の事業の適正な実施に著しい支障を及ぼすおそれがある場合(3)他の法令に違反することとなる場合
開示は、書面により行うものとする。ただし、開示の申出をした者の同意があるときは、書面以外の方法により開示をすることができる。
特定個人情報等に係る保有個人データの開示又は不開示の決定の通知は、本人に対し、遅滞なく31

行うものとする。

6.2 特定個人情報等の訂正等
本人から、当該本人が識別される特定個人情報等に係る保有個人データの内容が事実でないという理由によって当該特定個人情報等に係る保有個人データの内容の訂正、追加又は削除（以下「訂正等」という。）を求められた場合には、その内容の訂正等に関して他の法令の規定により特別の手続が定められている場合を除き、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該特定個人情報等に係る保有個人データの内容の訂正等を行うものとする。
前項の規定に基づき求められた特定個人情報等に係る保有個人データの内容の訂正等を行ったとき、又は訂正等を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨（訂正等を行ったときは、その内容を含む。
）を通知するものとする。
前項の通知を受けた者から、再度申出があったときは、前項と同様の処理を行うものとする。
前第 2 項の規定により、本人から求められた措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合は、本人に対し、その理由を説明するよう努めるものとする。

6.3 特定個人情報等の利用停止等
本人から、当該本人が識別される特定個人情報等に係る保有個人データが「2.6 利用目的外の利用の制限」の規定に違反して取り扱われているという理由又は「2.3 取得の制限」の規定に違反して取得されたものであるという理由によって、当該特定個人情報等に係る保有個人デー
タの利用の停止又は消去（以下「利用停止等」という。
）を求められた場合、又は「2.10 特定
個人情報等の提供」の規定に違反して第三者に提供されているという理由によって、当該特定個人情報等に係る保有個人データの第三者への提供の停止（以下「第三者提供の停止」という。）を求められた場合で、その求めに理由があることが判明したときは、遅滞なく、当該特定個人情報等に係る保有個人データの利用停止等又は第三者提供の停止を行うものとする。ただし、当該特定個人情報等に係る保有個人データの利用停止等又は第三者提供の停止に多額の費用を要する場合その他の利用停止等又は第三者提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。
前項の規定に基づき求められた特定個人情報等に係る保有個人データについて、利用停止等を行ったときもしくは利用停止等を行わない旨の決定をしたとき、又は第三者提供の停止を行ったときもしくは第三者提供の停止を行わない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知するものとする。
前項第 3 項及び第 4 項は本項に準用する。

32