(6)パスワード 正 当 な 利 用 者 であることを 識 別 認 証 するために 使 用 される 文 字 列 情 報 をいう (7)アクセス コンピュータ ネットワーク 及 び 情 報 システムを 通 じて データの 検 索 入 力 更 新 消 去 等 を 行 うことをいう (8) 不 正 アクセ

情 報 セキュリティ 対 策 基 準 1. 目 的 この 基 準 は 草 加 市 の 情 報 資 産 に 関 するセキュリティ 対 策 の 考 え 方 を 示 した 草 加 市 情 報 セキュリティ 基 本 方 針 ( 平 成 27 年 3 月 25 日 制 定 以 下 基 本 方 針 という )に 基 づき 当 該 セキュリティ 対 策 の 有 効 性 効 率 性 の 確 保 を 目 的 として 遵 守 すべき 行 為 及 び 判 断 等 に 関 する 基 本 的 事 項 を 定 めるものとする 2. 定 義 (1) 情 報 資 産 ネットワーク 並 びに 情 報 システムの 開 発 運 用 に 関 する 情 報 及 びそれらが 取 り 扱 う 全 ての 情 報 をいう (2)データ 電 子 的 方 式 磁 気 的 方 式 その 他 人 の 知 覚 によっては 認 識 することができない 方 式 で 記 録 された 情 報 をいう (3)コンピュータ 演 算 装 置 記 憶 装 置 及 びその 他 の 装 置 から 構 成 されるハードウェア 並 びにハードウ ェアを 制 御 する 形 式 で 表 現 されたデータ 及 びプログラムその 他 の 電 子 的 手 順 からなる ソフトウェアにより 構 成 された 機 械 装 置 で データの 貯 蔵 検 索 加 工 等 を 高 速 度 で 行 うことができるものをいう (4) 記 録 媒 体 磁 気 テープ 磁 気 ディスク フロッピィディスクその 他 電 子 的 磁 気 的 な 記 録 方 式 をもってデータを 記 録 しておくことができるものをいう (5)バックアップ データ 又 はソフトウェアについて 滅 失 き 損 改 ざん 等 に 備 えるため 別 の 記 憶 領 域 又 は 記 録 媒 体 に 複 製 することをいう 1

(6)パスワード 正 当 な 利 用 者 であることを 識 別 認 証 するために 使 用 される 文 字 列 情 報 をいう (7)アクセス コンピュータ ネットワーク 及 び 情 報 システムを 通 じて データの 検 索 入 力 更 新 消 去 等 を 行 うことをいう (8) 不 正 アクセス 正 規 の 手 続 を 行 わず 不 正 にコンピュータを 操 作 して 行 うアクセス 行 為 及 び 不 正 ア クセス 行 為 の 禁 止 等 に 関 する 法 律 ( 平 成 11 年 法 律 第 128 号 )その 他 情 報 セキュリ ティに 関 係 する 法 令 等 に 違 反 すると 認 められる 行 為 をいう (9)コンピュータウイルス 情 報 システムへの 攻 撃 動 作 妨 害 機 密 情 報 の 盗 聴 等 を 行 う 目 的 で 悪 意 をもって 作 成 されたソフトウェアをいう (10)サーバ ネットワーク 又 は 情 報 システム 上 で 情 報 のアクセス 制 御 業 務 処 理 通 信 制 御 バックアップその 他 の 処 理 を 行 うコンピュータ 及 び 附 帯 装 置 をいう (11) 端 末 機 ネットワーク 又 は 情 報 システム 上 で サーバとの 間 でデータの 入 出 力 を 行 うコンピ ュータ プリンタ 等 の 情 報 入 出 力 装 置 をいう (12)ネットワーク 中 継 装 置 ネットワーク 又 は 異 なるネットワーク 間 において 分 配 監 視 接 続 等 の 通 信 制 御 又 は 通 信 履 歴 の 管 理 等 を 行 う 機 械 装 置 をいう (13) 主 たるネットワーク 市 長 の 事 務 部 局 を 中 心 にその 他 の 事 務 部 局 及 び 市 に 属 する 機 関 等 を 相 互 に 接 続 した コンピュータネットワークをいう (14) 個 別 業 務 用 ネットワーク 部 局 又 は 主 管 課 が 所 掌 事 務 を 遂 行 するため 主 たるネットワーク 以 外 に 自 ら 構 築 し 管 理 するネットワーク 及 び 情 報 システムをいう 2

(15) 個 人 情 報 草 加 市 個 人 情 報 保 護 条 例 ( 平 成 十 二 年 条 例 第 三 十 一 号 ) 第 2 条 第 3 号 に 定 める 情 報 をいう (16) 情 報 セキュリティポリシー 情 報 セキュリティ 基 本 方 針 及 びこの 基 準 をいう 3. 適 用 範 囲 この 基 本 方 針 の 適 用 範 囲 は 本 市 が 保 有 する 情 報 資 産 並 びに 本 市 が 保 有 する 情 報 資 産 に 関 する 事 務 に 携 わる 全 ての 職 員 非 常 勤 職 員 臨 時 職 員 労 働 者 派 遣 事 業 により 本 市 の 事 務 に 携 わる 者 ( 以 下 職 員 等 という ) 及 び 委 託 事 業 者 とする 4. 組 織 体 制 (1) 最 高 情 報 統 括 責 任 者 1 副 市 長 を 最 高 情 報 統 括 責 任 者 とする 最 高 情 報 統 括 責 任 者 は 本 市 における 全 て のネットワーク 情 報 システム 等 の 情 報 資 産 の 管 理 及 び 情 報 セキュリティ 対 策 に 関 する 最 終 決 定 権 限 及 び 責 任 を 有 する (2) 統 括 情 報 セキュリティ 責 任 者 1 総 合 政 策 部 長 を 最 高 情 報 統 括 責 任 者 直 属 の 統 括 情 報 セキュリティ 責 任 者 とする 統 括 情 報 セキュリティ 責 任 者 は 最 高 情 報 統 括 責 任 者 を 補 佐 しなければならない 2 統 括 情 報 セキュリティ 責 任 者 は 本 市 の 全 てのネットワークにおける 開 発 設 定 の 変 更 運 用 見 直 し 等 を 行 う 権 限 及 び 責 任 を 有 する 3 統 括 情 報 セキュリティ 責 任 者 は 本 市 の 全 てのネットワークにおける 情 報 セキュリ ティ 対 策 に 関 する 権 限 及 び 責 任 を 有 する 4 統 括 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 責 任 者 情 報 セキュリティ 管 理 者 情 報 システム 管 理 者 及 び 情 報 システム 担 当 者 に 対 して 情 報 セキュリティに 関 する 指 導 及 び 助 言 を 行 う 権 限 を 有 する 5 統 括 情 報 セキュリティ 責 任 者 は 本 市 の 情 報 資 産 に 対 する 侵 害 が 発 生 した 場 合 又 は 侵 害 のおそれがある 場 合 に 最 高 情 報 統 括 責 任 者 の 指 示 に 従 い 最 高 情 報 統 括 責 任 者 が 不 在 の 場 合 には 自 らの 判 断 に 基 づき 必 要 かつ 十 分 な 措 置 を 行 う 権 限 及 び 責 任 を 有 する 3

6 統 括 情 報 セキュリティ 責 任 者 は 本 市 の 主 たるネットワーク 情 報 システム 及 び 情 報 資 産 に 関 する 情 報 セキュリティ 実 施 手 順 の 維 持 管 理 を 行 う 権 限 及 び 責 任 を 有 す る 7 統 括 情 報 セキュリティ 責 任 者 は 緊 急 時 等 の 円 滑 な 情 報 共 有 を 図 るため 最 高 情 報 統 括 責 任 者 統 括 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 情 報 セキュ リティ 管 理 者 情 報 システム 管 理 者 を 網 羅 する 連 絡 体 制 を 整 備 しなければならない 8 統 括 情 報 セキュリティ 責 任 者 は 自 身 の 権 限 に 属 する 事 務 を 情 報 推 進 課 長 に 処 理 さ せることができる (3) 情 報 セキュリティ 責 任 者 1 各 部 局 の 長 会 計 管 理 者 行 政 委 員 会 事 務 局 の 長 消 防 長 及 び 地 方 公 営 企 業 の 長 を 情 報 セキュリティ 責 任 者 とする 2 情 報 セキュリティ 責 任 者 は 当 該 部 局 等 の 情 報 セキュリティ 対 策 に 関 する 統 括 的 な 権 限 及 び 責 任 を 有 する 3 情 報 セキュリティ 責 任 者 は その 所 管 する 部 局 等 において 所 有 している 情 報 システ ムにおける 開 発 設 定 の 変 更 運 用 見 直 し 等 を 行 う 統 括 的 な 権 限 及 び 責 任 を 有 す る 4 各 部 局 における 情 報 セキュリティ 責 任 者 及 び 部 局 に 属 する 内 部 組 織 以 外 の 機 関 は 別 表 に 掲 げるとおりとする (4) 情 報 セキュリティ 管 理 者 1 情 報 セキュリティ 管 理 者 は 草 加 市 個 人 情 報 保 護 条 例 施 行 規 則 ( 平 成 13 年 規 則 第 2 号 ) 第 3 条 に 定 める 個 人 情 報 保 護 管 理 者 ( 議 会 事 務 局 長 及 び 監 査 委 員 事 務 局 長 を 除 く )をもって 充 てる 2 議 会 事 務 局 及 び 監 査 委 員 事 務 局 における 情 報 セキュリティ 管 理 者 は 議 会 事 務 局 に 属 する 課 の 課 長 及 び 監 査 委 員 事 務 局 次 長 をもって 充 てる 3 情 報 セキュリティ 管 理 者 はその 所 管 する 課 室 等 の 情 報 セキュリティ 対 策 に 関 する 権 限 及 び 責 任 を 有 する 4 情 報 セキュリティ 管 理 者 は 情 報 セキュリティポリシーの 遵 守 に 関 して 職 員 等 に 対 する 教 育 訓 練 助 言 及 び 指 示 を 行 う (5) 情 報 システム 管 理 者 1 各 情 報 システム 及 び 個 別 業 務 用 ネットワークを 掌 握 する 担 当 課 室 長 等 を 当 該 情 報 システム 及 び 個 別 業 務 用 ネットワークに 関 する 情 報 システム 管 理 者 とする 2 情 報 システム 管 理 者 は 所 管 する 情 報 システム 及 び 個 別 業 務 用 ネットワークにおけ る 開 発 設 定 の 変 更 運 用 見 直 し 等 を 行 う 権 限 及 び 責 任 を 有 する 4

3 情 報 システム 管 理 者 は 所 管 する 情 報 システム 及 び 個 別 業 務 用 ネットワークにおけ る 情 報 セキュリティに 関 する 権 限 及 び 責 任 を 有 する (6) 情 報 システム 担 当 者 情 報 システム 管 理 者 の 指 示 等 に 従 い 情 報 システム 及 び 個 別 業 務 用 ネットワークの 開 発 設 定 の 変 更 運 用 更 新 等 の 作 業 を 行 う 者 を 情 報 システム 担 当 者 とする (7) 情 報 セキュリティ 委 員 会 1 本 市 の 情 報 セキュリティ 対 策 を 統 一 的 に 行 うため 情 報 セキュリティ 委 員 会 におい て 情 報 セキュリティポリシー 等 情 報 セキュリティに 関 する 重 要 な 事 項 を 決 定 す る 2 情 報 セキュリティ 委 員 会 は 次 の 事 項 に 関 する 事 務 を 所 掌 する 情 報 セキュリティ 対 策 基 準 の 評 価 及 び 見 直 し 等 に 関 する 事 項 情 報 セキュリティ 侵 害 に 係 る 企 画 立 案 に 関 する 事 項 情 報 セキュリティの 調 査 分 析 等 に 関 する 事 項 情 報 セキュリティ 侵 害 の 調 査 分 析 等 に 関 する 事 項 情 報 セキュリティに 関 する 教 育 及 び 研 修 に 関 する 事 項 その 他 情 報 セキュリティに 関 する 事 項 3 組 織 及 び 運 営 は 草 加 市 情 報 化 推 進 委 員 会 設 置 要 綱 ( 平 成 16 年 5 月 14 日 施 行 ) で 規 定 する 草 加 市 情 報 化 推 進 委 員 会 を 充 てる 4 情 報 セキュリティ 委 員 会 に 関 し その 他 必 要 な 事 項 は 別 に 定 める (8) 兼 務 の 禁 止 1 情 報 セキュリティ 対 策 の 実 施 において やむを 得 ない 場 合 を 除 き 承 認 又 は 許 可 の 申 請 を 行 う 者 とその 承 認 者 又 は 許 可 者 は 同 じ 者 が 兼 務 してはならない 2 監 査 を 受 ける 者 とその 監 査 を 実 施 する 者 は やむを 得 ない 場 合 を 除 き 同 じ 者 が 兼 務 してはならない 5. 情 報 資 産 の 分 類 と 管 理 方 法 (1) 情 報 資 産 の 分 類 本 市 における 情 報 資 産 は 機 密 性 完 全 性 及 び 可 用 性 により 次 のとおり 分 類 し 必 要 に 応 じ 取 扱 制 限 を 行 うものとする 5

機 密 性 による 情 報 資 産 の 分 類 分 類 分 類 基 準 取 扱 制 限 機 密 性 3 機 密 性 2 草 加 市 情 報 公 開 条 例 第 7 条 に 規 定 する 非 公 開 情 報 のうち 特 定 の 職 員 等 又 は 組 織 など 業 務 上 必 要 とする 最 小 限 の 者 のみが 扱 う 情 報 資 産 草 加 市 情 報 公 開 条 例 第 7 条 に 規 定 する 非 公 開 情 報 のうち 機 密 性 3 以 外 の 情 報 資 産 必 要 以 上 の 複 製 及 び 配 付 禁 止 保 管 場 所 の 制 限 保 管 場 所 への 必 要 以 上 の 外 部 記 録 媒 体 等 の 持 ち 込 み 禁 止 情 報 の 送 信 情 報 資 産 の 運 搬 提 供 時 における 暗 号 化 パスワード 設 定 や 鍵 付 きケースへの 格 納 復 元 不 可 能 な 処 理 を 施 しての 廃 棄 信 頼 のできるネットワーク 回 線 の 選 択 外 部 記 録 媒 体 の 施 錠 可 能 な 場 所 へ の 保 管 機 密 性 1 機 密 性 2 又 は 機 密 性 3の 情 報 資 産 以 外 の 情 報 資 産 完 全 性 による 情 報 資 産 の 分 類 分 類 分 類 基 準 取 扱 制 限 完 全 性 2 行 政 事 務 で 取 り 扱 う 情 報 資 産 の うち 改 ざん 誤 びゅう 又 は 破 損 により 住 民 の 権 利 が 侵 害 され バックアップの 作 成 保 管 外 部 記 録 媒 体 の 施 錠 可 能 な 場 所 へ の 保 管 る 又 は 行 政 事 務 の 適 確 な 遂 行 に 支 障 ( 軽 微 なものを 除 く )を 及 ぼすおそれがある 情 報 資 産 完 全 性 1 完 全 性 2の 情 報 資 産 以 外 の 情 報 資 産 6

可 用 性 による 情 報 資 産 の 分 類 分 類 分 類 基 準 取 扱 制 限 可 用 性 2 行 政 事 務 で 取 り 扱 う 情 報 資 産 の うち 滅 失 紛 失 又 は 当 該 情 報 資 産 が 利 用 不 可 能 であることによ バックアップの 作 成 外 部 記 録 媒 体 の 施 錠 可 能 な 場 所 へ の 保 管 り 住 民 の 権 利 が 侵 害 される 又 は 行 政 事 務 の 安 定 的 な 遂 行 に 支 障 ( 軽 微 なものを 除 く )を 及 ぼ すおそれがある 情 報 資 産 可 用 性 1 可 用 性 2の 情 報 資 産 以 外 の 情 報 資 産 (2) 情 報 資 産 の 管 理 1 管 理 責 任 (ア) 情 報 セキュリティ 管 理 者 は その 所 管 する 情 報 資 産 について 管 理 責 任 を 有 する (イ) 情 報 資 産 が 複 製 又 は 伝 送 された 場 合 には 複 製 等 された 情 報 資 産 も(1)の 分 類 に 基 づき 管 理 しなければならない 2 情 報 資 産 の 分 類 の 表 示 職 員 等 は 情 報 資 産 について 必 要 に 応 じて 格 納 する 記 憶 媒 体 等 に 分 類 及 び 取 扱 制 限 についても 明 示 する 等 適 切 な 管 理 を 行 わなければならない 3 情 報 の 作 成 (ア) 職 員 等 は 業 務 上 必 要 のない 情 報 を 作 成 してはならない (イ) 情 報 を 作 成 する 者 は 情 報 の 作 成 時 に(1)の 分 類 に 基 づき 当 該 情 報 の 分 類 と 取 扱 制 限 を 定 めなければならない (ウ) 情 報 を 作 成 する 者 は 作 成 途 上 の 情 報 についても 紛 失 や 流 出 等 を 防 止 しなけ ればならない また 情 報 の 作 成 途 上 で 不 要 になった 場 合 は 当 該 情 報 を 消 去 し なければならない 4 情 報 資 産 の 入 手 (ア) 庁 内 の 者 が 作 成 した 情 報 資 産 を 入 手 した 者 は 入 手 元 の 情 報 資 産 の 分 類 に 基 づ いた 取 扱 いをしなければならない (イ) 庁 外 の 者 が 作 成 した 情 報 資 産 を 入 手 した 者 は (1)の 分 類 に 基 づき 当 該 情 報 の 分 類 と 取 扱 制 限 を 定 めなければならない (ウ) 情 報 資 産 を 入 手 した 者 は 入 手 した 情 報 資 産 の 分 類 が 不 明 な 場 合 情 報 セキュ リティ 管 理 者 に 判 断 を 仰 がなければならない 5 情 報 資 産 の 利 用 (ア) 情 報 資 産 を 利 用 する 者 は 業 務 以 外 の 目 的 に 情 報 資 産 を 利 用 してはならない 7

(イ) 情 報 資 産 を 利 用 する 者 は 情 報 資 産 の 分 類 に 応 じ 適 切 な 取 扱 いをしなければ ならない (ウ) 情 報 資 産 を 利 用 する 者 は 記 録 媒 体 に 情 報 資 産 の 分 類 が 異 なる 情 報 が 複 数 記 録 されている 場 合 最 高 度 の 分 類 に 従 って 当 該 記 録 媒 体 を 取 り 扱 わなければなら ない 6 情 報 資 産 の 保 管 (ア) 情 報 セキュリティ 管 理 者 又 は 情 報 システム 管 理 者 は 情 報 資 産 の 分 類 に 従 って 情 報 資 産 を 適 切 に 保 管 しなければならない (イ) 情 報 セキュリティ 管 理 者 又 は 情 報 システム 管 理 者 は 重 要 と 認 められる 情 報 資 産 については 定 期 的 にバックアップを 取 る 等 適 切 な 措 置 を 講 じなければならな い 7 情 報 の 送 信 電 子 メール 等 により 機 密 性 2 以 上 の 情 報 を 送 信 する 者 は 必 要 に 応 じ 暗 号 化 又 は パスワード 設 定 を 行 わなければならない 8 情 報 資 産 の 運 搬 機 密 性 2 以 上 の 情 報 資 産 を 運 搬 する 者 は 必 要 に 応 じ 鍵 付 きのケース 等 に 格 納 し 暗 号 化 又 はパスワードの 設 定 を 行 う 等 情 報 資 産 の 不 正 利 用 を 防 止 するための 措 置 を 講 じなければならない 又 置 き 忘 れ 紛 失 散 逸 等 のないよう 十 分 に 注 意 し なければならない 9 情 報 資 産 の 提 供 公 表 (ア) 機 密 性 2 以 上 の 情 報 資 産 を 外 部 に 提 供 する 者 は 必 要 に 応 じ 暗 号 化 又 はパスワ ードの 設 定 を 行 わなければならない (イ) 機 密 性 2 以 上 の 情 報 資 産 を 外 部 に 提 供 する 者 は 情 報 セキュリティ 管 理 者 に 許 可 を 得 なければならない (ウ) 情 報 セキュリティ 管 理 者 は 外 部 に 公 開 する 情 報 資 産 について 完 全 性 を 確 保 しなければならない (エ) 情 報 資 産 を 外 部 に 公 表 又 は 提 供 する 場 合 は 公 表 に 不 要 な 付 加 情 報 を 削 除 する 等 不 用 意 な 情 報 漏 えいを 防 止 するための 措 置 を 講 じること 10 情 報 資 産 の 廃 棄 (ア) 機 密 性 2 以 上 の 情 報 資 産 を 廃 棄 する 者 は 情 報 を 記 録 している 記 録 媒 体 が 不 要 になった 場 合 記 録 媒 体 の 初 期 化 等 情 報 を 復 元 できないように 処 置 した 上 で 廃 棄 しなければならない (イ) 情 報 資 産 の 廃 棄 を 行 う 者 は 情 報 セキュリティ 管 理 者 の 許 可 を 得 なければなら ない 8

6. 物 理 的 セキュリティ 6.1. サーバ 等 の 管 理 (1) 機 器 の 取 付 け 情 報 システム 管 理 者 は サーバ 等 の 機 器 の 取 付 けを 行 う 場 合 火 災 水 害 埃 振 動 温 度 湿 度 等 の 影 響 を 可 能 な 限 り 排 除 した 場 所 に 設 置 し 容 易 に 取 り 外 せないよ う 適 切 に 固 定 する 等 必 要 な 措 置 を 講 じなければならない (2)サーバの 冗 長 化 情 報 システム 管 理 者 は 必 要 に 応 じサーバ 等 を 冗 長 化 し 同 一 データを 保 持 しなけれ ばならない (3) 機 器 の 電 源 情 報 システム 管 理 者 は サーバ 等 の 機 器 の 電 源 について 停 電 等 による 電 源 供 給 の 停 止 に 備 え 当 該 機 器 が 適 切 に 停 止 するまでの 間 に 十 分 な 電 力 を 供 給 する 容 量 の 予 備 電 源 を 備 え 付 けなければならない 又 落 雷 等 による 過 電 流 に 対 して サーバ 等 の 機 器 を 保 護 するための 措 置 を 講 じなければならない (4) 通 信 ケーブル 等 の 配 線 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 通 信 ケーブル 及 び 電 源 ケ ーブルの 損 傷 等 を 防 止 するために 配 線 収 納 管 を 使 用 する 等 必 要 な 措 置 を 講 じなけ ればならない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は ネットワーク 接 続 口 を 可 能 な 限 り 他 者 が 容 易 に 接 続 できない 場 所 に 設 置 する 等 適 切 に 管 理 しなければなら ない 3 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 自 ら 又 は 操 作 を 認 めた 者 以 外 の 者 が 容 易 に 配 線 を 変 更 追 加 できないよう 必 要 な 措 置 を 施 さなければなら ない (5) 機 器 の 定 期 保 守 及 び 修 理 1 情 報 システム 管 理 者 は 所 管 するサーバ 等 の 機 器 の 定 期 保 守 を 必 要 に 応 じて 実 施 し なければならない 2 情 報 システム 管 理 者 は 記 録 媒 体 を 内 蔵 する 機 器 を 外 部 で 事 業 者 に 修 理 させる 場 合 内 容 を 消 去 した 状 態 で 行 わせなければならない 内 容 を 消 去 できない 場 合 情 報 シ ステム 管 理 者 は 修 理 を 委 託 する 事 業 者 との 間 で 機 器 の 機 密 性 に 応 じて 守 秘 義 務 契 約 を 締 結 するなど 秘 密 保 持 に 必 要 な 措 置 を 講 じなければならない 9

(6) 敷 地 外 への 機 器 の 設 置 情 報 システム 管 理 者 は 草 加 市 が 管 理 する 施 設 敷 地 外 に 所 管 するサーバ 等 の 機 器 を 設 置 する 場 合 最 高 情 報 統 括 責 任 者 の 承 認 を 得 なければならない また 定 期 的 に 当 該 機 器 への 情 報 セキュリティ 対 策 状 況 について 確 認 しなければならない (7) 機 器 の 廃 棄 等 情 報 システム 管 理 者 は 機 器 を 廃 棄 リース 返 却 等 をする 場 合 機 器 内 部 の 記 憶 装 置 から 全 ての 情 報 を 消 去 の 上 復 元 不 可 能 な 状 態 にする 措 置 を 講 じなければならな い 6.2. 管 理 区 域 (コンピュータ 室 等 )の 管 理 (1) 管 理 区 域 の 構 造 等 1 管 理 区 域 とは ネットワークの 基 幹 機 器 及 び 重 要 な 情 報 システムを 設 置 し 当 該 機 器 等 の 管 理 並 びに 運 用 を 行 うための 部 屋 ( 以 下 コンピュータ 室 いう )や 電 磁 的 記 録 媒 体 の 保 管 庫 をいう (2) 管 理 区 域 の 管 理 条 件 1 管 理 区 域 は 固 定 された 隔 壁 で 区 画 された 専 用 の 事 務 室 であること 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 管 理 区 域 を 地 下 階 に 設 け てはならない また 外 部 からの 侵 入 が 容 易 にできないようにしなければならない 3 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 管 理 区 域 から 外 部 に 通 ず るドアは 必 要 最 小 限 とし 鍵 監 視 機 能 警 報 装 置 等 によって 許 可 されていない 立 入 りを 防 止 しなければならない 4 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は コンピュータ 室 内 の 機 器 等 に 転 倒 及 び 落 下 防 止 等 の 耐 震 対 策 防 火 措 置 防 水 措 置 等 を 講 じなければなら ない 5 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 管 理 区 域 に 配 置 する 消 火 薬 剤 や 消 防 用 設 備 等 が 機 器 等 及 び 記 録 媒 体 に 影 響 を 与 えないようにしなければな らない (3) 管 理 区 域 の 入 退 室 管 理 等 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 管 理 区 域 への 入 退 室 を 許 可 された 者 のみに 制 限 し IDカード 静 脈 認 証 等 の 生 体 認 証 又 は 入 退 室 管 理 簿 の 記 載 による 入 退 室 管 理 を 行 わなければならない 2 職 員 等 は 管 理 区 域 に 入 室 する 場 合 身 分 証 明 書 等 を 携 帯 し 求 めにより 提 示 しな 10

ければならない 3 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 事 前 に 許 可 を 得 ていない 訪 問 者 が 管 理 区 域 に 入 る 場 合 には 必 要 に 応 じて 立 入 区 域 を 制 限 した 上 で 管 理 区 域 への 入 退 室 を 許 可 された 職 員 等 が 付 き 添 うものとする ただし 統 括 情 報 セキュ リティ 責 任 者 及 び 管 理 区 域 管 理 者 が 定 める 手 続 を 実 施 し 事 前 に 承 認 した 者 につい ては その 限 りではない 4 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 機 密 性 2 以 上 の 情 報 資 産 を 扱 うシステムを 設 置 している 管 理 区 域 について 持 ち 込 みを 許 可 していないコン ピュータ 通 信 回 線 装 置 外 部 記 録 媒 体 等 を 持 ち 込 ませないようにしなければなら ない (4) 機 器 等 の 搬 入 出 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 搬 入 する 機 器 等 が 既 存 の 情 報 システムに 与 える 影 響 について あらかじめ 職 員 又 は 委 託 した 業 者 に 確 認 を 行 わせなければならない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は コンピュータ 室 の 機 器 等 の 搬 入 出 について 職 員 を 立 ち 会 わせなければならない 6.3. 通 信 回 線 及 び 通 信 回 線 装 置 の 管 理 1 統 括 情 報 セキュリティ 責 任 者 は 庁 内 の 通 信 回 線 及 び 通 信 回 線 装 置 を 適 切 に 管 理 しなければならない 2 統 括 情 報 セキュリティ 責 任 者 は 外 部 へのネットワーク 接 続 を 必 要 最 低 限 に 限 定 し できる 限 り 接 続 ポイントを 減 らさなければならない 3 統 括 情 報 セキュリティ 責 任 者 は 行 政 系 のネットワークを 総 合 行 政 ネットワーク (LGWAN)に 集 約 し 外 部 へのインターネット 接 続 から 切 り 離 さなければならない 4 統 括 情 報 セキュリティ 責 任 者 は 機 密 性 2 以 上 の 情 報 資 産 を 取 り 扱 う 情 報 システム に 外 部 の 通 信 回 線 を 接 続 する 場 合 必 要 なセキュリティ 水 準 を 検 討 の 上 適 切 な 回 線 を 選 択 しなければならない 5 統 括 情 報 セキュリティ 責 任 者 は ネットワークに 使 用 する 回 線 について 転 送 途 上 に 情 報 が 破 壊 盗 聴 改 ざん 消 去 等 が 生 じないように 十 分 なセキュリティ 対 策 を 実 施 しなければならない 7. 人 的 セキュリティ 7.1. 職 員 等 の 遵 守 事 項 11

(1) 職 員 等 の 遵 守 事 項 1 情 報 セキュリティポリシー 等 の 遵 守 職 員 等 は 情 報 セキュリティポリシーを 遵 守 しなければならない また 情 報 セ キュリティ 対 策 について 不 明 な 点 遵 守 することが 困 難 な 点 等 がある 場 合 は 速 や かに 情 報 セキュリティ 管 理 者 に 相 談 し 統 括 情 報 セキュリティ 責 任 者 の 指 示 を 仰 が なければならない 2 不 正 行 為 運 用 妨 害 の 禁 止 職 員 等 は ネットワーク 及 び 情 報 システムに 対 する 不 正 アクセス データの 盗 聴 改 ざん 攻 撃 等 の 不 正 行 為 及 び 正 常 な 運 用 を 妨 害 してはならない 3 業 務 以 外 の 目 的 での 使 用 の 禁 止 職 員 等 は 業 務 以 外 の 目 的 で 情 報 資 産 の 外 部 への 持 ち 出 し 情 報 システムへのア クセス 電 子 メールアドレスの 使 用 及 びインターネットへのアクセスを 行 ってはな らない 4パソコン 等 の 端 末 の 持 ち 出 し 及 び 外 部 における 情 報 処 理 作 業 の 制 限 (ア) 職 員 等 は 本 市 のパソコン 等 の 端 末 記 録 媒 体 情 報 資 産 及 びソフトウェアを 外 部 に 持 ち 出 す 場 合 には 情 報 セキュリティ 管 理 者 の 許 可 を 得 なければならない (イ) 職 員 等 は 外 部 で 情 報 処 理 業 務 を 行 う 場 合 には 情 報 セキュリティ 管 理 者 の 許 可 を 得 なければならない (ウ) 職 員 等 は 外 部 で 情 報 処 理 作 業 を 行 う 際 私 物 パソコンを 用 いてはならない ただし 業 務 上 必 要 な 場 合 で 情 報 セキュリティ 管 理 者 の 許 可 を 得 て 情 報 セキ ュリティ 管 理 者 が 定 めた 実 施 手 順 を 遵 守 し 行 う 場 合 はこの 限 りではない 5パソコン 等 の 端 末 等 の 持 込 職 員 等 は 私 物 のパソコン 等 の 機 器 及 び 記 録 媒 体 を 対 象 資 産 に 読 み 込 み 又 は 接 続 してはならない 6 持 ち 出 し 及 び 持 ち 込 みの 記 録 情 報 セキュリティ 管 理 者 は 端 末 等 の 持 ち 出 し 及 び 持 ち 込 みについて 記 録 を 作 成 し 保 管 しなければならない 7パソコン 等 の 無 許 可 変 更 の 禁 止 (ア) 職 員 等 は 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 の 許 可 な く パソコン 等 の 端 末 に 対 し 機 器 の 改 造 増 設 交 換 及 びソフトウェアの 導 入 を 行 ってはならない (イ) 職 員 等 は 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 の 許 可 な く パソコンその 他 周 辺 機 器 をネットワーク 及 び 情 報 システムに 接 続 又 は 付 加 し てはならない (ウ) 職 員 等 は 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 の 許 可 な く パソコン 等 の 端 末 のソフトウェアに 関 するセキュリティ 機 能 の 設 定 を 変 更 し 12

てはならない 8 机 上 の 情 報 資 産 の 管 理 (ア) 職 員 等 は 専 用 的 に 使 用 する 端 末 機 の 日 常 的 な 管 理 を 行 わなければならない また 職 員 が 共 用 して 使 用 する 端 末 機 その 他 課 等 に 配 置 付 けられた 端 末 機 の 管 理 は 情 報 システム 管 理 者 又 は 情 報 セキュリティ 管 理 者 が 行 わなければならない (イ) 職 員 等 は 机 上 のパソコン 等 の 端 末 を 第 三 者 に 使 用 閲 覧 されることがないよ うに 離 席 時 にアプリケーション 及 びシステムの 終 了 シャットダウン 等 を 行 う ことにより 情 報 資 産 を 保 全 しなければならない (ウ) 職 員 等 は 記 録 媒 体 情 報 が 印 刷 された 文 書 等 について 第 三 者 に 使 用 閲 覧 されることがないように 離 席 時 に 記 録 媒 体 文 書 等 の 容 易 に 閲 覧 されない 場 所 への 保 管 等 適 切 な 措 置 を 講 じなければならない 9 退 職 時 等 の 遵 守 事 項 職 員 等 は 異 動 退 職 等 により 業 務 を 離 れる 場 合 には 利 用 していた 情 報 資 産 を 返 却 しなければならない (2) 情 報 セキュリティポリシー 等 の 掲 示 統 括 情 報 セキュリティ 管 理 者 は 職 員 等 が 情 報 セキュリティポリシーを 閲 覧 できる ようにしなければならない (3) 外 部 委 託 事 業 者 に 対 する 説 明 情 報 セキュリティ 管 理 者 は ネットワーク 及 び 情 報 システムの 開 発 保 守 等 を 外 部 委 託 事 業 者 に 発 注 する 場 合 外 部 委 託 事 業 者 から 再 委 託 を 受 ける 事 業 者 も 含 めて 情 報 セキュリティポリシー 等 のうち 外 部 委 託 事 業 者 が 守 るべき 内 容 を 理 解 させ これを 遵 守 させなければならない 7.2. 研 修 訓 練 (1) 情 報 セキュリティに 関 する 研 修 訓 練 統 括 セキュリティ 責 任 者 は 情 報 セキュリティに 関 する 研 修 訓 練 を 実 施 しなけれ ばならない (2) 緊 急 時 対 応 訓 練 統 括 セキュリティ 責 任 者 は 緊 急 時 対 応 を 想 定 した 訓 練 を 行 うように 指 示 すること ができる 訓 練 計 画 は ネットワーク 及 び 各 情 報 システムの 規 模 等 を 考 慮 し 訓 練 実 施 の 範 囲 等 を 定 め また 効 果 的 に 実 施 できるようにしなければならない (3) 研 修 訓 練 への 参 加 13

全 ての 職 員 等 は 定 められた 研 修 訓 練 に 参 加 しなければならない 7.3. 事 故 欠 陥 等 の 報 告 (1) 事 故 等 の 報 告 1 職 員 等 は 情 報 セキュリティに 関 する 事 故 システム 上 の 欠 陥 及 び 誤 動 作 を 発 見 し た 場 合 速 やかに 情 報 セキュリティ 管 理 者 に 報 告 しなければならない 2 報 告 を 受 けた 情 報 セキュリティ 管 理 者 は 速 やかに 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 責 任 者 に 報 告 しなければならない 3 情 報 セキュリティ 責 任 者 は 報 告 のあった 事 故 等 について 必 要 に 応 じて 最 高 情 報 統 括 責 任 者 に 報 告 しなければならない (2) 事 故 等 の 分 析 記 録 等 統 括 情 報 セキュリティ 管 理 者 は 事 故 等 の 記 録 を 保 存 しなければならない 7.4. ID 及 びパスワード 等 の 管 理 (1)IDカード 等 の 取 扱 い 1 職 員 等 は 自 己 の 管 理 するID IDカード 等 に 関 し 次 の 事 項 を 遵 守 しなければ ならない (ア) 認 証 に 用 いるID IDカード 等 を 職 員 等 間 で 共 有 してはならない ただし 情 報 セキュリティ 管 理 者 の 許 可 を 得 て 部 門 で 共 用 利 用 するために 用 意 されたも のは 除 く (イ) 業 務 上 必 要 のないときは IDカード 等 をカードリーダ 若 しくはパソコン 等 の 端 末 のスロット 等 から 抜 いておかなければならない (ウ)IDカード 等 を 紛 失 した 場 合 には 速 やかに 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 に 通 報 し 指 示 に 従 わなければならない (エ) 業 務 上 必 要 がなくなった 場 合 は 利 用 者 登 録 を 抹 消 するよう 統 括 情 報 セキュ リティ 責 任 者 又 は 情 報 システム 管 理 者 に 通 知 しなければならない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 は IDカード 等 の 紛 失 等 の 通 報 があり 次 第 当 該 IDカード 等 を 使 用 したアクセス 等 を 速 やかに 停 止 しな ければならない 3 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 は IDカード 等 を 切 り 替 える 場 合 切 替 え 前 のカードを 回 収 し 破 砕 するなど 復 元 不 可 能 な 処 理 を 行 った 上 で 廃 棄 しなければならない (2)パスワードの 取 扱 い 職 員 等 は 自 己 の 管 理 するパスワードに 関 し 次 の 事 項 を 遵 守 しなければならない 14

1パスワードは 他 者 に 知 られないように 管 理 しなければならない 2パスワードを 秘 密 にし パスワードの 照 会 等 には 一 切 応 じてはならない 3パスワードは 十 分 な 長 さとし 文 字 列 は 想 像 しにくいものにしなければならない 4パスワードが 流 出 したおそれがある 場 合 には 情 報 セキュリティ 管 理 者 に 速 やかに 報 告 し パスワードを 速 やかに 変 更 しなければならない 8. 技 術 的 セキュリティ 8.1. コンピュータ 及 びネットワークの 管 理 (1)バックアップの 実 施 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は サーバ 等 に 記 録 された 情 報 について 必 要 に 応 じて 定 期 的 にバックアップを 実 施 しなければならない (2)アクセス 記 録 の 取 得 等 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 各 種 アクセス 記 録 及 び 情 報 セキュリティの 確 保 に 必 要 な 記 録 を 取 得 し 一 定 の 期 間 保 存 しなければならない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は アクセス 記 録 等 が 詐 取 改 ざん 誤 消 去 等 されないように 必 要 な 措 置 を 講 じなければならない (3)ネットワークの 接 続 制 御 経 路 制 御 等 1 統 括 情 報 セキュリティ 責 任 者 は フィルタリング 及 びルーティングについて 設 定 の 不 整 合 が 発 生 しないように ファイアウォール ルータ 等 の 通 信 ソフトウェア 等 を 設 定 しなければならない 2 統 括 情 報 セキュリティ 責 任 者 は 不 正 アクセスを 防 止 するため ネットワークに 適 切 なアクセス 制 御 を 施 さなければならない (4) 外 部 の 者 が 利 用 できるシステムの 分 離 等 情 報 システム 管 理 者 は 市 民 等 の 外 部 の 者 が 利 用 できるシステムについて 必 要 に 応 じ 他 のネットワーク 及 び 情 報 システムと 物 理 的 に 分 離 する 等 の 措 置 を 講 じなければ ならない (5) 外 部 ネットワークとの 接 続 制 限 等 1 情 報 システム 管 理 者 は 所 管 するネットワークを 外 部 ネットワークと 接 続 しようと する 場 合 には 最 高 情 報 統 括 責 任 者 及 び 統 括 情 報 セキュリティ 責 任 者 の 許 可 を 得 な ければならない 15

2 情 報 システム 管 理 者 は 接 続 した 外 部 ネットワークのセキュリティに 問 題 が 認 めら れ 情 報 資 産 に 脅 威 が 生 じることが 想 定 される 場 合 には 統 括 情 報 セキュリティ 責 任 者 の 判 断 に 従 い 速 やかに 当 該 外 部 ネットワークを 物 理 的 に 遮 断 しなければなら ない (6) 個 別 業 務 用 ネットワークの 接 続 制 限 1 主 たるネットワークは 個 別 業 務 用 ネットワークと 接 続 することはできない 2 前 項 の 規 定 にかかわらず 業 務 遂 行 上 必 要 やむを 得 ないときは 統 括 情 報 セキュリ ティ 管 理 者 は 情 報 セキュリティに 関 する 影 響 の 有 無 等 を 検 討 し 接 続 の 許 可 を 行 う ことができる (7)ネットワーク 接 続 の 対 策 統 括 情 報 セキュリティ 管 理 者 又 は 情 報 システム 管 理 者 は (5) 及 び(6)に 関 し 異 なるネットワークを 接 続 する 場 合 には その 接 続 によって 生 じるおそれがある 不 正 アクセス 情 報 漏 えいその 他 情 報 セキュリティに 関 する 脅 威 から 情 報 資 産 を 防 御 する ため 対 策 を 講 じなければならない (8)ネットワークの 盗 聴 対 策 統 括 情 報 セキュリティ 責 任 者 又 は 情 報 システム 管 理 者 は 機 密 性 の 高 い 情 報 を 扱 う ネットワークについて 情 報 の 盗 聴 等 を 防 ぐため 必 要 に 応 じて 暗 号 化 等 の 措 置 を 講 じなければならない (9) 電 子 メールのセキュリティ 管 理 1 統 括 情 報 セキュリティ 責 任 者 は 権 限 のない 利 用 者 により 外 部 から 外 部 への 電 子 メール 転 送 ( 電 子 メールの 中 継 処 理 )が 行 われることを 不 可 能 とするよう 電 子 メ ールサーバの 設 定 を 行 わなければならない 2 統 括 情 報 セキュリティ 責 任 者 は 大 量 のスパムメール 等 の 受 信 又 は 送 信 を 検 知 した 場 合 は メールサーバの 運 用 を 停 止 しなければならない 3 統 括 情 報 セキュリティ 責 任 者 は 職 員 等 が 使 用 できる 電 子 メールボックスの 容 量 の 上 限 を 設 定 し 上 限 を 超 えた 場 合 の 対 応 を 職 員 等 に 周 知 しなければならない 4 統 括 情 報 セキュリティ 責 任 者 は システム 開 発 や 運 用 保 守 等 のため 庁 舎 内 に 常 駐 している 外 部 委 託 事 業 者 の 作 業 員 による 電 子 メールアドレス 利 用 について 委 託 先 との 間 で 利 用 方 法 を 取 り 決 めなければならない (10) 電 子 メールの 利 用 制 限 1 職 員 等 は 業 務 上 必 要 な 場 合 を 除 き 自 動 転 送 機 能 を 用 いて 電 子 メールを 転 送 して 16

はならない 2 職 員 等 は 複 数 人 に 電 子 メールを 送 信 する 場 合 必 要 がある 場 合 を 除 き 他 の 送 信 先 の 電 子 メールアドレスが 分 からないようにしなければならない 3 職 員 等 は 重 要 な 電 子 メールを 誤 送 信 した 場 合 情 報 セキュリティ 管 理 者 に 報 告 し なければならない (11)ソフトウェアのライセンスの 管 理 情 報 セキュリティ 管 理 者 は その 所 掌 する 課 室 等 で 利 用 するソフトウェアについて 不 正 にコピー 改 ざん 等 されたものを 利 用 することや 保 有 するライセンス 数 を 超 え て 利 用 すること 等 を 防 止 するため ライセンスを 管 理 しなければならない 8.2. アクセス 制 御 (1)アクセス 制 御 1アクセス 制 御 (ア) 統 括 情 報 セキュリティ 責 任 者 又 は 情 報 システム 管 理 者 は 所 管 するネットワーク 又 は 情 報 システムに 権 限 のない 職 員 等 がアクセスできないように 制 限 しなければ ならない (イ) 統 括 情 報 セキュリティ 責 任 者 又 は 情 報 システム 管 理 者 は (ア)を 担 保 するため 必 要 に 応 じて 情 報 システム 等 へのログイン 時 にパスワードの 入 力 あるいは 生 体 認 証 を 必 要 とするように 設 定 しなければならない 2 利 用 者 IDの 取 扱 い 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 利 用 者 の 登 録 変 更 抹 消 等 の 情 報 管 理 職 員 等 の 異 動 出 向 退 職 者 に 伴 う 利 用 者 IDの 取 扱 い 等 の 方 法 を 定 めなければならない 3 特 権 を 付 与 されたIDの 管 理 等 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 管 理 者 権 限 等 の 特 権 を 付 与 されたIDを 利 用 する 者 利 用 する 期 間 を 必 要 最 小 限 にし 当 該 ID 及 びパス ワードを 厳 重 に 管 理 しなければならない (2) 職 員 等 による 外 部 からのアクセス 等 の 制 限 1 職 員 等 が 外 部 から 内 部 のネットワーク 又 は 情 報 システムにアクセスする 場 合 は 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 の 許 可 を 得 なければならない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 内 部 のネットワーク 又 は 情 報 システムに 対 する 外 部 からのアクセスを アクセスが 必 要 な 合 理 的 理 由 を 有 す る 必 要 最 小 限 の 者 に 限 定 しなければならない 3 統 括 情 報 セキュリティ 責 任 者 は 外 部 からのアクセスを 認 める 場 合 システム 上 利 17

用 者 の 本 人 確 認 を 行 う 機 能 を 確 保 しなければならない 4 統 括 情 報 セキュリティ 責 任 者 は 外 部 からのアクセスを 認 める 場 合 通 信 途 上 の 盗 聴 を 防 御 するために 暗 号 化 等 の 措 置 を 講 じなければならない 5 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 外 部 からのアクセスに 利 用 するパソコン 等 の 端 末 を 職 員 等 に 貸 与 する 場 合 セキュリティ 確 保 のために 必 要 な 措 置 を 講 じなければならない 6 職 員 等 は 持 ち 込 んだ 又 は 外 部 から 持 ち 帰 ったパソコン 等 の 端 末 を 庁 内 のネットワ ークに 接 続 する 前 に コンピュータウイルスに 感 染 していないこと パッチの 適 用 状 況 等 を 確 認 しなければならない (3)パスワードに 関 する 情 報 の 管 理 統 括 情 報 セキュリティ 責 任 者 又 は 情 報 システム 管 理 者 は 職 員 等 のパスワードに 関 する 情 報 を 厳 重 に 管 理 しなければならない 8.3. システム 開 発 導 入 保 守 等 (1) 情 報 システムの 調 達 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 情 報 システム 開 発 導 入 保 守 等 の 調 達 に 当 たっては 受 託 者 にセキュリティポリシーを 遵 守 させなけらばな らない 2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セキュリティ 管 理 者 は 機 器 やソフトウェア の 調 達 に 当 たっては 当 該 製 品 のセキュリティ 機 能 を 調 査 し 情 報 セキュリティ 上 問 題 のないことを 確 認 しなければならない (2) 情 報 システムの 開 発 1 情 報 システム 管 理 者 は システム 開 発 の 責 任 者 及 び 作 業 者 を 特 定 しなければならな い 2 情 報 システム 管 理 者 は システム 開 発 に 用 いる 開 発 用 IDをやアクセス 権 を 適 正 に 設 定 するよう システム 開 発 の 責 任 者 に 求 めなければならない (3) 情 報 システムの 導 入 1 開 発 環 境 と 運 用 環 境 の 分 離 及 び 移 行 手 順 の 明 確 化 (ア) 情 報 システム 管 理 者 は システム 開 発 保 守 及 びテスト 環 境 とシステム 運 用 環 境 を 必 要 に 応 じて 分 離 しなければならない (イ) 情 報 システム 管 理 者 は システム 開 発 保 守 及 びテスト 環 境 からシステム 運 用 環 境 への 移 行 について 手 順 を 明 確 にしなければならない (ウ) 情 報 システム 管 理 者 は 移 行 の 際 情 報 システムに 記 録 されている 情 報 資 産 の 18

保 存 を 確 実 に 行 い 移 行 に 伴 う 情 報 システムの 停 止 等 の 影 響 が 最 小 限 になるよう 配 慮 しなければならない 2テスト 確 認 等 (ア) 情 報 システム 管 理 者 は 新 たに 情 報 システムを 導 入 する 場 合 既 に 稼 働 してい る 情 報 システムに 接 続 する 前 に 十 分 な 試 験 を 行 わなければならない (イ) 情 報 システム 管 理 者 は 運 用 テストを 行 う 場 合 あらかじめ 擬 似 環 境 による 操 作 確 認 を 行 わなければならない (ウ) 職 員 等 は システム 変 更 等 の 作 業 を 行 う 場 合 は 必 要 に 応 じて2 名 以 上 で 作 業 し 互 いにその 作 業 を 確 認 しなければならない (4)システム 開 発 保 守 運 用 に 関 連 する 資 料 等 の 保 管 1 情 報 システム 管 理 者 は システム 開 発 保 守 運 用 に 関 連 する 資 料 及 び 文 書 等 を 適 切 に 保 管 しなければならない 2 情 報 システム 管 理 者 は システム 障 害 に 対 する 処 理 結 果 又 は 問 題 等 を 適 切 に 保 管 し なければならない 3 情 報 システム 管 理 者 は テスト 結 果 を 一 定 期 間 保 管 しなければならない (5) 情 報 システムにおける 入 出 力 データの 正 確 性 の 確 保 1 情 報 システム 管 理 者 は 情 報 システムに 入 力 されるデータについて 範 囲 妥 当 性 のチェック 機 能 及 び 不 正 な 文 字 列 等 の 入 力 の 除 去 を 可 能 な 限 り 行 うよう 情 報 シス テムを 設 計 しなければならない 2 情 報 システム 管 理 者 は 情 報 システムから 出 力 されるデータについて 情 報 の 処 理 が 正 しく 反 映 され 出 力 されるように 情 報 システムを 設 計 しなければならない (6) 開 発 保 守 用 のソフトウェアの 更 新 等 情 報 システム 管 理 者 は 開 発 保 守 用 のソフトウェア 等 を 更 新 又 はパッチの 適 用 をする 場 合 他 の 情 報 システムとの 整 合 性 を 確 認 しなければならない (7)システム 更 新 又 は 統 合 時 の 検 証 等 情 報 システム 管 理 者 は システム 更 新 統 合 を 行 う 場 合 必 要 に 応 じてリスク 管 理 体 制 の 構 築 移 行 基 準 の 明 確 化 及 び 更 新 統 合 後 の 業 務 運 営 体 制 の 検 証 を 行 わなけれ ばならない 8.4. 不 正 プログラム 対 策 (1) 統 括 情 報 セキュリティ 責 任 者 の 措 置 事 項 統 括 情 報 セキュリティ 責 任 者 は 不 正 プログラム 対 策 として 次 の 事 項 を 措 置 しな 19

ければならない 1 外 部 ネットワークから 受 信 したファイルは インターネットのゲートウェイにおい てコンピュータウイルス 等 の 不 正 プログラムのチェックを 行 い 不 正 プログラムの システムへの 侵 入 を 防 止 しなければならない 2 所 掌 するサーバ 及 びパソコン 等 の 端 末 に コンピュータウイルス 等 の 不 正 プログラ ム 対 策 ソフトウェアを 常 駐 させなければならない 3 不 正 プログラム 対 策 ソフトウェアのパターンファイルは 常 に 最 新 の 状 態 に 保 たな ければならない 4 不 正 プログラム 対 策 のソフトウェアは 常 に 最 新 の 状 態 に 保 たなければならない (2) 情 報 システム 管 理 者 の 措 置 事 項 情 報 システム 管 理 者 は 不 正 プログラム 対 策 に 関 し 次 の 事 項 を 措 置 しなければな らない 1 情 報 システム 管 理 者 は その 所 掌 するサーバ 及 びパソコン 等 の 端 末 に コンピュー タウイルス 等 の 不 正 プログラム 対 策 ソフトウェアをシステムに 常 駐 させなければな らない 2 不 正 プログラム 対 策 ソフトウェアのパターンファイルは 常 に 最 新 の 状 態 に 保 たな ければならない 3 不 正 プログラム 対 策 のソフトウェアは 常 に 最 新 の 状 態 に 保 たなければならない 4 記 録 媒 体 を 使 う 場 合 コンピュータウイルス 等 の 感 染 を 防 止 するために 市 が 管 理 している 媒 体 以 外 を 職 員 等 に 利 用 させてはならない 5インターネットに 接 続 していないシステムにおいて 不 正 プログラムの 感 染 侵 入 が 生 じる 可 能 性 が 著 しく 低 い 場 合 を 除 き 不 正 プログラム 対 策 ソフトウェアを 導 入 し 定 期 的 に 当 該 ソフトウェア 及 びパターンファイルの 更 新 を 実 施 しなければならない (3) 職 員 等 の 遵 守 事 項 職 員 等 は 不 正 プログラム 対 策 に 関 し 次 の 事 項 を 遵 守 しなければならない 1パソコン 等 の 端 末 において 不 正 プログラム 対 策 ソフトウェアが 導 入 されている 場 合 は 当 該 ソフトウェアの 設 定 を 変 更 してはならない 2 外 部 からデータ 又 はソフトウェアを 取 り 入 れる 場 合 には 必 ず 不 正 プログラム 対 策 ソフトウェアによるチェックを 行 わなければならない 3 端 末 に 対 して 不 正 プログラム 対 策 ソフトウェアによるフルチェックを 定 期 的 に 実 施 しなければならない 4 添 付 ファイルが 付 いた 電 子 メールを 送 受 信 する 場 合 は 不 正 プログラム 対 策 ソフト ウェアでチェックを 行 わなければならない 5コンピュータウイルス 等 の 不 正 プログラムに 感 染 した 場 合 は LANケーブルの 即 20

時 取 り 外 しあるいは 機 器 の 電 源 切 断 を 行 い 情 報 セキュリティ 管 理 者 及 び 統 括 情 報 セキュリティ 責 任 者 に 連 絡 しなければならない 8.5. 不 正 アクセス 対 策 (1) 攻 撃 の 予 告 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は サーバ 等 に 攻 撃 を 受 ける ことが 明 確 になった 場 合 必 要 な 措 置 を 講 じなければならない また 関 係 機 関 と 連 絡 を 密 にして 情 報 の 収 集 に 努 めなければならない (2) 記 録 の 保 存 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は サーバ 等 に 攻 撃 を 受 け 当 該 攻 撃 が 不 正 アクセス 禁 止 法 違 反 等 の 犯 罪 の 可 能 性 がある 場 合 には 攻 撃 の 記 録 を 保 存 するとともに 関 係 機 関 との 緊 密 な 連 携 に 努 めなければならない (3) 職 員 等 による 不 正 アクセス 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 職 員 等 による 不 正 アクセ スを 発 見 した 場 合 は 当 該 職 員 等 が 所 属 する 課 室 等 の 情 報 セキュリティ 管 理 者 に 通 知 し 適 切 な 処 置 を 求 めなければならない 8.6. セキュリティ 情 報 の 収 集 (1) 情 報 セキュリティに 関 する 情 報 の 収 集 及 び 共 有 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 不 正 プロフラム システ ムの 脆 弱 性 など 情 報 セキュリティにに 関 する 情 報 を 収 集 し 必 要 に 応 じ 関 係 者 間 で 共 有 しなければならない 新 たな 脅 威 を 認 識 した 場 合 は セキュリティ 侵 害 等 を 未 然 に 防 止 するための 対 策 を 速 やかに 講 じなければならない (2) 他 団 体 とのセキュリティ 等 に 関 する 情 報 等 の 交 換 情 報 システム 管 理 者 は 他 の 団 体 とセキュリティに 関 する 情 報 を 交 換 する 場 合 統 括 情 報 セキュリティ 責 任 者 の 許 可 を 得 なければならない 9. 運 用 9.1. 情 報 システムの 監 視 1 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は セキュリティに 関 する 事 案 を 検 知 するため 情 報 システムを 監 視 しなければならない 21

2 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 システム 管 理 者 は 重 要 なアクセスログ 等 を 取 得 するサーバの 正 確 な 時 刻 設 定 及 びサーバ 間 の 時 刻 同 期 ができる 措 置 を 講 じなけ ればならない 9.2. 情 報 セキュリティポリシーの 遵 守 状 況 の 確 認 (1) 遵 守 状 況 の 確 認 情 報 セキュリティ 管 理 者 及 び 情 報 システム 管 理 者 は 情 報 セキュリティポリシーの 遵 守 状 況 について 確 認 を 行 わなければならない (2) 端 末 及 び 記 録 媒 体 等 の 利 用 状 況 調 査 統 括 情 報 セキュリティ 責 任 者 は 不 正 アクセス 不 正 プログラム 等 の 調 査 のために 職 員 等 が 使 用 しているパソコン 等 の 端 末 記 録 媒 体 のアクセス 記 録 電 子 メールの 送 受 信 記 録 等 の 利 用 状 況 を 調 査 することができる 9.3. 外 部 委 託 (1) 外 部 委 託 先 の 選 定 基 準 情 報 セキュリティ 管 理 者 及 び 情 報 システム 管 理 者 は 外 部 委 託 先 の 選 定 に 当 たり 委 託 内 容 に 応 じた 情 報 セキュリティ 対 策 が 確 保 されることを 確 認 しなければならない (2) 契 約 項 目 情 報 システムの 運 用 保 守 等 を 外 部 委 託 する 場 合 には 委 託 事 業 者 との 間 で 必 要 に 応 じて 次 の 情 報 セキュリティ 要 件 を 明 記 した 契 約 を 締 結 しなければならない 情 報 セキュリティポリシーの 遵 守 提 供 された 情 報 の 目 的 外 利 用 及 び 受 託 者 以 外 の 者 への 提 供 の 禁 止 業 務 上 知 り 得 た 情 報 の 守 秘 義 務 再 委 託 に 関 する 制 限 事 項 の 遵 守 (3) 確 認 等 情 報 セキュリティ 管 理 者 及 び 情 報 システム 管 理 者 は 必 要 に 応 じ 外 部 委 託 事 業 者 に おいて 必 要 なセキュリティ 対 策 が 確 保 されていることを 確 認 しなければならない 9.4. 例 外 措 置 (1) 例 外 措 置 の 許 可 情 報 セキュリティ 管 理 者 及 び 情 報 システム 管 理 者 は 情 報 セキュリティポリシーを 遵 守 することが 困 難 な 状 況 で 行 政 事 務 の 適 正 な 遂 行 を 継 続 するため 合 理 的 な 理 由 がある 場 合 には 統 括 情 報 セキュリティ 責 任 者 の 許 可 を 得 て 例 外 措 置 を 取 ることが 22

できる (2) 緊 急 時 の 例 外 措 置 情 報 セキュリティ 管 理 者 及 び 情 報 システム 管 理 者 は 行 政 事 務 の 遂 行 に 緊 急 を 要 す る 等 の 場 合 であって 例 外 措 置 を 実 施 することが 不 可 避 のときは 事 後 速 やかに 統 括 情 報 セキュリティ 責 任 者 に 報 告 しなければならない 9.5. 法 令 遵 守 職 員 等 は 職 務 の 遂 行 において 使 用 する 情 報 資 産 を 保 護 するために 次 の 法 令 のほ か 関 係 法 令 を 遵 守 し これに 従 わなければならない 1 地 方 公 務 員 法 ( 昭 和 二 十 五 年 十 二 月 十 三 日 法 律 第 二 百 六 十 一 号 ) 2 著 作 権 法 ( 昭 和 四 十 五 年 法 律 第 四 十 八 号 ) 3 不 正 アクセス 行 為 の 禁 止 等 に 関 する 法 律 ( 平 成 十 一 年 法 律 第 百 二 十 八 号 ) 4 個 人 情 報 の 保 護 に 関 する 法 律 ( 平 成 十 五 年 五 月 三 十 日 法 律 第 五 十 七 号 ) 5 草 加 市 市 個 人 情 報 保 護 条 例 ( 平 成 十 二 年 条 例 第 三 十 一 号 ) 9.6. 違 反 時 の 対 応 情 報 セキュリティポリシーに 違 反 する 行 動 を 確 認 した 場 合 には 速 やかに 次 の 措 置 を 講 じなければならない 1 統 括 情 報 セキュリティ 責 任 者 が 違 反 を 確 認 した 場 合 は 当 該 職 員 等 が 所 属 する 課 室 等 の 情 報 セキュリティ 管 理 者 に 通 知 し 適 切 な 措 置 を 求 めなければならない 2 情 報 システム 管 理 者 等 が 違 反 を 確 認 した 場 合 は 速 やかに 統 括 情 報 セキュリティ 責 任 者 及 び 当 該 職 員 等 が 所 属 する 課 室 等 の 情 報 セキュリティ 管 理 者 に 通 知 し 適 切 な 措 置 を 求 めなければならない 3 職 員 等 が 違 反 を 確 認 した 場 合 は 速 やかに 統 括 情 報 セキュリティ 責 任 者 及 び 情 報 セ キュリティ 管 理 者 に 報 告 しなければならない 4 情 報 セキュリティ 管 理 者 の 指 導 によっても 改 善 されない 場 合 統 括 情 報 セキュリテ ィ 責 任 者 は 当 該 職 員 等 のネットワーク 又 は 情 報 システムを 使 用 する 権 利 を 停 止 あ るいは 剥 奪 することができる 10. 評 価 見 直 し 10.1. 監 査 (1) 実 施 方 法 情 報 セキュリティ 委 員 会 は 情 報 セキュリティ 監 査 統 括 責 任 者 を 指 名 し ネットワ 23

ーク 及 び 情 報 システム 等 の 情 報 資 産 における 情 報 セキュリティ 対 策 状 況 について 必 要 に 応 じて 監 査 を 行 わせなければならない (2) 監 査 を 行 う 者 の 要 件 1 情 報 セキュリティ 監 査 統 括 責 任 者 は 監 査 を 実 施 する 場 合 には 被 監 査 部 門 から 独 立 した 者 に 対 して 監 査 の 実 施 を 依 頼 しなければならない 2 監 査 を 行 う 者 は 監 査 及 び 情 報 セキュリティに 関 する 専 門 知 識 を 有 する 者 でなけれ ばならない (3) 監 査 実 施 計 画 の 立 案 及 び 実 施 への 協 力 1 情 報 セキュリティ 監 査 統 括 責 任 者 は 監 査 を 行 うに 当 たっては 監 査 実 施 計 画 を 立 案 し 情 報 セキュリティ 委 員 会 の 承 認 を 得 なければならない 2 被 監 査 部 門 は 監 査 の 実 施 に 協 力 しなければならない (4) 報 告 情 報 セキュリティ 監 査 統 括 責 任 者 は 監 査 結 果 は 情 報 セキュリティ 委 員 会 に 報 告 しなければならない (5) 監 査 結 果 への 対 応 最 高 情 報 統 括 責 任 者 及 び 統 括 情 報 セキュリティ 管 理 者 は 監 査 結 果 を 踏 まえ 指 摘 事 項 を 所 管 する 情 報 セキュリティ 管 理 者 に 対 し 当 該 事 項 への 対 処 を 指 示 しなければ ならない また 指 摘 事 項 を 所 管 していない 情 報 セキュリティ 管 理 者 に 対 しても 同 種 の 課 題 及 び 問 題 点 がある 可 能 性 が 高 い 場 合 には 当 該 課 題 及 び 問 題 点 の 有 無 を 確 認 させなければならない (6) 情 報 セキュリティポリシーの 見 直 し 等 への 活 用 情 報 セキュリティ 委 員 会 は 監 査 結 果 を 情 報 セキュリティポリシーの 見 直 し その 他 情 報 セキュリティ 対 策 の 見 直 し 時 に 活 用 しなければならない 10.2. 情 報 セキュリティポリシーの 見 直 し 情 報 セキュリティ 委 員 会 は 情 報 セキュリティ 監 査 の 結 果 及 び 情 報 セキュリティに 関 する 状 況 の 変 化 等 を 踏 まえ 定 期 的 に 見 直 しを 行 い 必 要 があると 認 めた 場 合 そ の 改 定 を 行 うものとする 24

別 表. ( 組 織 体 制 関 係 ) 情 報 セキュリティ 責 任 者 及 び 部 局 に 属 する 内 部 組 織 以 外 の 機 関 職 名 部 局 に 属 する 内 部 組 織 以 外 の 機 関 備 考 市 長 室 長 総 合 政 策 部 長 総 務 部 長 選 挙 管 理 委 員 会 固 定 資 産 評 価 審 査 委 員 会 土 地 開 発 公 社 自 治 文 化 部 長 健 康 福 祉 部 長 子 ども 未 来 部 長 農 業 委 員 会 事 務 局 福 祉 事 務 所 福 祉 事 務 所 市 民 生 活 部 長 都 市 整 備 部 長 建 設 部 長 会 計 管 理 者 病 院 事 務 部 長 診 療 部 医 療 技 術 部 看 護 部 議 会 事 務 局 長 教 育 総 務 部 長 小 学 校 中 学 校 監 査 委 員 事 務 局 長 公 平 委 員 会 上 下 水 道 部 長 消 防 長 25