(目的)

第1条　この規程は、本町が保有する情報資産の機密性、完全性及び可用性を維持するため、本町が実施する情報セキュリティ対策について基本的な事項並びに情報セキュリティ対策の基準を定めることを目的とする。

(定義)

第2条　この規程において使用する用語の意義は、次の各号に掲げるとおりとする。

(対象とする脅威)

第3条　情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。

(行政機関の範囲)

第4条　この規程において対象とする機関は、大島町組織条例(昭和58年3月25日条例第18号)第1条に規定する課及び室、大島町会計管理者補助組織設置規則(平成19年3月30日規則第12号)第1条に規定する会計室、消防本部の設置に関する条例(昭和47年3月22日条例第26号)第2条に規程する消防本部、大島町教育委員会事務局組織規則(昭和49年3月25日教委規則第1号)第2条に規程する教育文化課及びに、大島町議会事務局設置条例(昭和54年3月22日条例第23号)第1条に規定する事務局(以下、「課等」という)とする。

(情報資産の範囲)

第5条　この規程が対象とする情報資産は、次のとおりとする。ただし、情報資産のうち、町立学校における教育分野に関するものを除く。

(職員等の遵守義務)

第6条　町の職員、非常勤職員及び臨時職員(以下「職員等」という)は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。

(情報セキュリティ対策)

第7条　第3条の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じる。

(組織体制)

第8条　本町の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確立する。

(情報資産の分類と管理)

第9条　本町の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。

(情報システム全体の強靭性の向上)

第10条　情報セキュリティの強化を目的とし、業務の効率性・利便性の観点を踏まえ、情報システム全体に対し、次の各号の対策を講じる。

(物理的セキュリティ)

第11条　サーバ、情報システム室、通信回線及び職員等のパソコン等の管理について、物理的な対策を講じる。

(人的セキュリティ)

第12条　情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。

(技術的セキュリティ)

第13条　コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。

(運用)

第14条　情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速、かつ、適正に対応するため、緊急時対応計画を策定する。

(外部サービスの利用)

第15条　外部委託する場合には、外部委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、外部委託事業者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じる。

(情報セキュリティ監査及び自己点検の実施)

第16条　情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。

(情報セキュリティポリシーの見直し)

第17条　情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直す。

(情報セキュリティ対策基準の策定)

第18条　第7条から前条までに規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。

(情報セキュリティ実施手順の策定)

第19条　情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定するものとする。なお、情報セキュリティ実施手順は、公にすることにより本町の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。

(最高情報セキュリティ責任者)

第20条　副町長を最高情報セキュリティ責任者(以下、「CISO」という)とする。CISOは本町における全てのネットワーク、情報システム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。

(統括情報セキュリティ責任者)

第21条　総務課長を、CISO直属の統括情報セキュリティ責任者とする。統括情報セキュリティ責任者は、CISO及び副CISOを補佐しなければならない。

(情報セキュリティ責任者)

第22条　所管する課等の長を情報セキュリティ責任者とする。

(情報セキュリティ担当者)

第23条　課等の情報セキュリティ責任者の指示等に従い、その補佐を行う者を情報セキュリティ担当者とする。

(情報システム管理者)

第24条　各情報システムの担当する課等及び大島町庶務規則(昭和30年4月1日訓令第1号)第2条の規程による係等、大島町会計管理者補助組織設置規則第3条の規程による係、大島町消防本部の組織等に関する規則(昭和47年3月25日規則第15号)第2条に規程する係、大島町教育委員会事務局組織規則第2条に規程する各係及びに、大島町議会事務局庶務規程(昭和54年4月1日議会規程第1号)第2条に規定する係の長を当該情報システムに関する情報システム管理者とする。

(情報システム担当者)

第25条　情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、更新等の作業を行う者を、情報システム担当者とする。

(大島町情報セキュリティ委員会)

第26条　本町の情報セキュリティ対策を統一的に行う実施するため、情報セキュリティ委員会において、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。

(兼務の禁止)

第27条　情報セキュリティ対策の実施において、止むを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。

(CSRIRTの設定・役割)

第28条　CISOは、CSIRTを整備し、その役割を明確化しなければならない。

(情報資産の分類)

第29条　本町における情報資産は、機密性、完全性及び可用性により、次のとおり分類し、必要に応じ取扱制限を行うものとする。

(情報資産の管理責任)

第30条　情報セキュリティ責任者は、その所管する情報資産について管理責任を有する。

(情報資産の分類の表示)

第31条　職員等は、情報資産について、ファイル(ファイル名、ファイルの属性、ヘッダー、フッター等)、格納する電磁的記録媒体のラベル、文書の隅等に、情報資産の分類を表示し、必要に応じて取扱制限についても明示する等適正な管理を行わなければならない。

(情報の作成)

第32条　職員等は、業務上必要のない情報を作成してはならない。

(情報資産の入手)

第33条　庁内の者が作成した情報資産を入手した者は、入手元の情報資産の分類に基づいた取扱いをしなければならない。

(情報資産の利用)

第34条　情報資産を利用する者は、業務以外の目的に情報資産を利用してはならない。

(情報資産の保管)

第35条　統括情報セキュリティ責任者及び情報セキュリティ責任者または、情報システム管理者は、情報資産の分類に従って、情報資産を適正に保管しなければならない。

(情報の送信)

第36条　電子メール等により機密性2以上の情報を送信する者は、必要に応じパスワード等による暗号化を行わなければならない。

(情報資産の運搬)

第37条　車両等により機密性2以上の情報資産を運搬する者は、必要に応じ鍵付きのケース等に格納し、パスワード等による暗号化を行う等、情報資産の不正利用を防止するための措置を講じなければならない。

(情報資産の提供・公表)

第38条　機密性2以上の情報資産を外部に提供する者は、必要に応じパスワード等による暗号化を行わなければならない。

(情報資産の廃棄等)

第39条　情報資産の廃棄やリース返却等を行う者は、情報を記録している電磁的記録媒体について、その情報の機密性に応じ、情報を復元できないように処置しなければならない。

(マイナンバー利用事務系と他の領域との分離)

第40条　マイナンバー利用事務系と他の領域を通信できないようにしなければならない。マイナンバー利用事務系と外部との通信をする必要がある場合は、通信経路の限定(MACアドレス、IPアドレス)及びアプリケーションプロトコル(ポート番号)のレベルでの限定を行わなければならない。また外部接続先もインターネット等と接続してはならない。ただし、国等の公的機関が構築したシステム等、十分に安全性が確保された外部接続先については、この限りではなく、LGWANを経由して、インターネット等とマイナンバー利用事務系との双方向でのデータの移送を可能とする。

(情報のアクセス対策)

第41条　情報システムが正規の利用者かどうかを判断する認証手段のうち、2つ以上を併用する認証(多要素認証)を利用しなければならない。また、業務ごとに専用端末を設置することが望ましい。

(情報の持ち出し不可設定)

第42条　原則として、USBメモリ等の電磁的記録媒体による端末からの情報持ち出しができないように設定しなければならない。

(LGWAN接続系とインターネット接続系の分割)

第43条　LGWAN接続系とインターネット接続系は両環境間の通信環境を分離した上で、必要な通信だけを許可できるようにしなければならない。なお、メールやデータをLGWAN接続系に取り込む場合は、次の実現方法等により、無害化通信を図らなければならない。

(インターネット接続系)

第44条　インターネット接続系においては、通信パケットの監視、ふるまい検知等の不正通信の監視機能の強化により、情報セキュリティインシデントの早期発見と対処及びLGWANへの不適切なアクセス等の監視等の情報セキュリティ対策を講じなければならない。

(機器の取付け)

第45条　情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適正に固定する等、必要な措置を講じなければならない。

(サーバの冗長化)

第46条　情報システム管理者は、重要情報を格納しているサーバ、セキュリティサーバ、住民サービスに関するサーバ及びその他の基幹サーバを冗長化し、同一データを保持しなければならない。

(機器の電源の管理)

第47条　情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適正に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。

(通信ケーブル等の配線)

第48条　統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。

(機器の定期保守及び修理)

第49条　情報システム管理者は、可用性2のサーバ等の機器の定期保守を実施しなければならない。

(庁外への機器の設置)

第50条　統括情報セキュリティ責任者及び情報システム管理者は、庁外にサーバ等の機器を設置する場合、CISOの承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。

(機器の廃棄等)

第51条　情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければならない。

(管理区域の構造等)

第52条　管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理及び運用を行うための部屋(以下「情報システム室」という。)や電磁的記録媒体の保管庫をいう。

(管理区域の入退室管理等)

第53条　情報システム管理者は、管理区域への入退室を許可された者のみに制限し、ICカード、指紋認証等の生体認証や入退室管理簿の記載による入退室管理を行わなければならない。

(機器等の搬入出)

第54条　情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ職員又は委託事業者に確認を行わせなければならない。

(通信回線及び通信回線装置の管理)

第55条　統括情報セキュリティ責任者は、庁内の通信回線及び通信回線装置を、施設管理部門と連携し、適正に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適正に保管しなければならない。

(職員等のパソコン等の管理)

第56条　情報システム管理者は、盗難防止のため、執務室等で利用するパソコンのワイヤーによる固定、モバイル端末及び電磁的記録媒体の使用時以外の施錠管理等の物理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。

(情報セキュリティポリシー等の遵守)

第57条　職員等は、情報セキュリティポリシー及び実施手順を遵守しなければならない。また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報セキュリティ責任者に相談し、指示を仰がなければならない。

(業務以外の目的での使用の禁止)

第58条　職員等は、業務以外の目的で情報資産の外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。

(インターネット接続及び電子メール使用等の制限)

第59条　情報セキュリティ責任者は、職員等にパソコンやモバイル端末による作業を行わせる場合において、インターネットへの接続及び電子メールの使用等が不要の場合、これを利用できないようにしなければならない。

(モバイル端末や電磁的記録媒体等の持ち出し及び外部における情報処理作業の制限)

第60条　CISOは、機密性2以上、可用性2、完全性2の情報資産を外部で処理する場合における安全管理措置を定めなければならない。

(支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用)

第61条　職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、支給以外の端末の業務利用の可否判断をCISOが行った後に、業務上必要な場合は、統括セキュリティ責任者の定める実施手順に従い、情報セキュリティ責任者の許可を得て利用することができる。

(持ち出し及び持込みの記録)

第62条　情報セキュリティ責任者は、端末等の持ち出し及び持込みについて、記録を作成し、保管しなければならない。

(パソコンやモバイル端末におけるセキュリティ設定変更の禁止)

第63条　職員等は、パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を情報セキュリティ責任者の許可なく変更してはならない。

(机上の端末等の管理)

第64条　職員等は、パソコン、モバイル端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は情報セキュリティ責任者の許可なく情報を閲覧されることがないように、離席時のパソコン、モバイル端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適正な措置を講じなければならない。

(退職時等の遵守事項)

第65条　職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。

(非常勤及び臨時職員等への情報セキュリティポリシー等の遵守)

第66条　情報セキュリティ責任者は、非常勤及び臨時職員等に対し、採用時に情報セキュリティポリシー等のうち、非常勤及び臨時職員等が守るべき内容を理解させ、また実施及び遵守させなければならない。

(非常勤及び臨時職員への情報セキュリティポリシー等の遵守に対する同意)

第67条　情報セキュリティ責任者は、非常勤及び臨時職員等の採用の際、必要に応じ、情報セキュリティポリシー等を遵守する旨の同意書への署名を求めるものとする。

(インターネット接続及び電子メール使用等の制限)

第68条　情報セキュリティ責任者は、非常勤及び臨時職員等にパソコンやモバイル端末による作業を行わせる場合において、インターネットへの接続及び電子メールの使用等が不要の場合、これを利用できないようにしなければならない。

(情報セキュリティポリシー等の掲示)

第69条　情報セキュリティ責任者は、職員等が常に情報セキュリティポリシー及び実施手順を閲覧できるように掲示しなければならない。

(委託事業者に対する説明)

第70条　情報セキュリティ責任者は、ネットワーク及び情報システムの開発・保守等を事業者に発注する場合、再委託事業者も含めて、情報セキュリティポリシー等のうち委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

(情報セキュリティに関する研修・訓練)

第71条　CISOは、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。

(研修計画の策定及び実施)

第72条　CISOは、全ての職員等に対する情報セキュリティに関する研修計画の策定とその実施体制の構築を定期的に行い、情報セキュリティ委員会の承認を得なければならない。

(緊急時対応訓練)

第73条　CISOは、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、また、効果的に実施できるようにしなければならない。

(研修・訓練への参加)

第74条　全ての職員等は、定められた研修・訓練に参加しなければならない。

(庁内での情報セキュリティインシデントの報告)

第75条　職員等は、情報セキュリティインシデントを認知した場合、速やかに情報セキュリティ責任者及び情報セキュリティに関する統一的な窓口に報告しなければならない。

(住民等外部からの情報セキュリティインシデントの報告)

第76条　職員等は、本町が管理するネットワーク及び情報システム等の情報資産に関する情報セキュリティインシデントについて、住民等外部から報告を受けた場合、情報セキュリティ責任者に報告しなければならない。

(情報セキュリティインシデント原因の究明・記録、再発防止等)

第77条　CSIRTは、報告された情報セキュリティインシデントの可能性について状況を確認し、情報セキュリティインシデントであるかの評価を行わなければならない。

(ICカード等の取扱い)

第78条　職員等は、自己の管理するICカード等に関し、次の事項を遵守しなければならない。

(IDの取扱い)

第79条　職員等は、自己の管理するIDに関し、次の事項を遵守しなければならない。

(パスワードの取扱い)

第80条　職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。

(ファイルサーバの設定等)

第81条　情報システム管理者は、職員等が使用できるファイルサーバの容量を設定し、職員等に周知しなければならない。

(バックアップの実施)

第82条　統括情報セキュリティ責任者及び情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの冗長化対策に関わらず、必要に応じて定期的にバックアップを実施しなければならない。

(他団体との情報システムに関する情報等の交換)

第83条　情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括情報セキュリティ責任者及び情報セキュリティ責任者の許可を得なければならない。

(システム管理記録及び作業の確認)

第84条　情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。

(情報システム仕様書等の管理)

第85条　統括情報セキュリティ責任者及び情報システム管理者は、ネットワーク構成図、情報システム仕様書について、記録媒体に関わらず、業務上必要とする者以外の者が閲覧したり、紛失等がないよう、適切に管理しなければならない。

(ログの取得等)

第86条　統括情報セキュリティ責任者及び情報システム管理者は、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。

(障害記録)

第87条　統括情報セキュリティ責任者及び情報システム管理者は、職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適正に保存しなければならない。

(ネットワークの接続制御、経路制御等)

第88条　統括情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。

(外部の者が利用できるシステムの分離等)

第89条　情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。

(外部ネットワークとの接続制限等)

第90条　情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISO及び統括情報セキュリティ責任者の許可を得なければならない。

(複合機のセキュリティ管理)

第91条　統括情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能及び設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適正なセキュリティ要件を策定しなければならない。

(IoT機器を含む特定用途機器のセキュリティ管理)

第92条　統括情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を講じなければならない。

(無線LAN及びネットワークの盗聴対策)

第93条　統括情報セキュリティ責任者は、無線LANの利用を認める場合、解読が困難な暗号化及び認証技術の使用を義務付けなければならない。

(電子メールのセキュリティ管理)

第94条　統括情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理)が行われることを不可能とするよう、電子メールサーバの設定を行わなければならない。

(電子メールの利用制限)

第95条　職員等は、自動転送機能を用いて、電子メールを転送してはならない。

(電子署名・暗号化)

第96条　職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機密性又は完全性を確保することが必要な場合には、CISOが定めた電子署名、パスワード等による暗号化等、セキュリティを考慮して、送信しなければならない。

(無許可ソフトウェアの導入等の禁止)

第97条　職員等は、パソコンやモバイル端末に無断でソフトウェアを導入してはならない。

(機器構成の変更の制限)

第98条　職員等は、パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。

(業務外ネットワークへの接続の禁止)

第99条　職員等は、支給された端末を、有線・無線を問わず、その端末を接続して利用するよう情報システム管理者によって定められたネットワークと異なるネットワークに接続してはならない。

(業務以外の目的でのウェブ閲覧の禁止)

第100条　職員等は、業務以外の目的でウェブを閲覧してはならない。

(Webサービスの利用時の対策)

第101条　統括情報セキュリティ責任者は、Web会議を適切に利用するための利用手順を定めなければならない。

(ソーシャルメディアサービスの利用)

第102条　情報セキュリティ管理者は、本町が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。

(アクセス制御)

第103条　統括情報セキュリティ責任者又は情報システム管理者は、所管するネットワークまたは情報システムごとにアクセスする権限のない職員等がアクセスできないように、システム上制限しなければならない。

(利用者IDの取扱い)

第104条　統括情報セキュリティ責任者及び情報システム管理者は、利用者の登録、変更、抹消等の情報管理、職員等の異動、出向、退職者に伴う利用者IDの取扱い等の方法を定めなければならない。

(特権を付与されたIDの管理等)

第105条　統括情報セキュリティ責任者及び情報システム管理者は、管理者権限等の特権を付与されたIDを利用する者を必要最小限にし、当該IDのパスワードの漏えい等が発生しないよう、当該ID及びパスワードを厳重に管理しなければならない。

(職員等による外部からのアクセス等の制限)

第106条　職員等が外部から内部のネットワーク又は情報システムにアクセスする場合は、統括情報セキュリティ責任者及び当該情報システムを管理する情報システム管理者の許可を得なければならない。

(自動識別の設定)

第107条　統括情報セキュリティ責任者及び情報システム管理者は、ネットワークで使用される機器について、機器固有情報によって端末とネットワークとの接続の可否が自動的に識別されるようシステムを設定しなければならない。ただし、やむを得ない事情がある場合は、この限りでない。

(ログイン時の表示等)

第108条　情報システム管理者は、ログイン時におけるメッセージ、ログイン試行回数の制限、アクセスタイムアウトの設定及びログイン・ログアウト時刻の表示等により、正当なアクセス権を持つ職員等がログインしたことを確認することができるようシステムを設定しなければならない。

(認証情報の管理)

第109条　統括情報セキュリティ責任者又は情報システム管理者は、職員等の認証情報を厳重に管理しなければならない。認証情報ファイルを不正利用から保護するため、オペレーティングシステム等で認証設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。

(特権による接続時間の制限)

第110条　情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

(情報システムの調達)

第111条　統括情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。

(システム開発における責任者及び作業者の特定)

第112条　情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。また、システム開発のための規則を確立しなければならない。

(システム開発における責任者、作業者のIDの管理)

第113条　情報システム管理者は、システム開発の責任者及び作業者が使用するIDを管理し、開発完了後、開発用IDを削除しなければならない。

(システム開発に用いるハードウェア及びソフトウェアの管理)

第114条　情報システム管理者は、システム開発の責任者及び作業者が使用するIDを管理し、開発完了後、開発用IDを削除しなければならない。

(開発環境と運用環境の分離及び移行手順の明確化)

第115条　情報システム管理者は、出来る限りシステム開発、保守及びテスト環境とシステム運用環境を分離しなければならない。ただし、やむを得ない事情のある場合はこの限りでない。

(テスト)

第116条　情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報システムに接続する前に十分な試験を行わなければならない。

(システム開発・保守に関連する資料等の整備・保管)

第117条　情報システム管理者は、システム開発・保守に関連する資料及びシステム関連文書を適正に整備・保管しなければならない。

(情報システムにおける入出力データの正確性の確保)

第118条　情報システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。

(情報システムの変更管理)

第119条　情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変更履歴を作成しなければならない。

(開発・保守用のソフトウェアの更新等)

第120条　情報システム管理者は、開発・保守用のソフトウェア等を更新、又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。

(システム更新又は統合時の検証等)

第121条　情報システム管理者は、システム更新・統合時に伴うリスク管理体制の構築、移行基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。

(統括情報セキュリティ責任者の措置事項)

第122条　統括情報セキュリティ責任者は、不正プログラム対策として、次の各号を措置しなければならない。

(情報システム管理者の措置事項)

第123条　情報システム管理者は、不正プログラム対策に関し、次の各号を措置しなければならない。

(職員等の遵守事項)

第124条　職員等は、不正プログラム対策に関し、次の事項を遵守しなければならない。

(専門家の支援体制)

第125条　統括情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければならない。

(統括情報セキュリティ責任者の措置事項)

第126条　統括情報セキュリティ責任者は、不正アクセス対策として、以下の事項を措置しなければならない。

(攻撃への対処)

第127条　CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けた場合又は受けるリスクがある場合は、システムの停止を含む必要な措置を講じなければならない。また、総務省、東京都等と連絡を密にして情報の収集に努めなければならない。

(記録の保存)

第128条　CISO及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

(内部からの攻撃)

第129条　統括情報セキュリティ責任者及び情報システム管理者は、職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。

(職員等による不正アクセス)

第130条　統括情報セキュリティ責任者及び情報システム管理者は、職員等による不正アクセスを発見した場合は、当該職員等が所属する課等の情報セキュリティ責任者に通知し、適正な処置を求めなければならない。

(サービス不能攻撃)

第131条　統括情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

(標的型攻撃)

第132条　統括情報セキュリティ責任者及び情報システム管理者は、標的型攻撃による内部への侵入を防止するために、教育等の人的対策を講じなければならない。また、標的型攻撃による組織内部への侵入を低減する対策(入口対策)や内部に侵入した攻撃を早期検知して対処する、侵入範囲の拡大の困難度を上げる、外部との不正通信を検知して対処する対策(内部対策及び出口対策)を講じなければならない。

(セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等)

第133条　統括情報セキュリティ責任者及び情報システム管理者は、セキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

(不正プログラム等のセキュリティ情報の収集・周知)

第134条　統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。

(情報セキュリティに関する情報の収集及び共有)

第135条　統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

(情報システムの監視)

第136条　統括情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。

(遵守状況の確認及び対処)

第137条　情報セキュリティ責任者及び情報セキュリティ責任者は、情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかにCISO及び統括情報セキュリティ責任者に報告しなければならない。

(パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査)

第138条　CISO及びCISOが指名した者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のログ、電子メールの送受信記録等の利用状況を調査することができる。

(職員等の報告義務)

第139条　職員等は、情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括情報セキュリティ責任者及び情報セキュリティ責任者に報告を行わなければならない。

(緊急時対応計画の策定)

第140条　CISO又は情報セキュリティ委員会は、情報セキュリティインシデント、情報セキュリティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速、かつ、適正に実施するために、緊急時対応計画を定めておき、セキュリティ侵害時には当該計画に従って適正に対処しなければならない。

(緊急時対応計画に盛り込むべき内容)

第141条　緊急時対応計画には、以下の内容を定めなければならない。

(業務継続計画との整合性確保)

第142条　自然災害、大規模・広範囲にわたる疾病等に備えて別途業務継続計画を策定し、情報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなければならない。

(緊急時対応計画の見直し)

第143条　CISO又は情報セキュリティ委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。

(例外措置の許可)

第144条　情報セキュリティ責任者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用する又は遵守事項を実施しないことについて合理的な理由がある場合には、CISOの許可を得て、例外措置を講じることができる。

(緊急時の例外措置)

第145条　情報セキュリティ責任者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、事後速やかにCISOに報告しなければならない。

(例外措置の申請書の管理)

第146条　CISOは、例外措置の申請書及び審査結果を適正に保管し、定期的に申請状況を確認しなければならない。

(法令遵守)

第147条　職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。

(懲戒処分)

第148条　情報セキュリティポリシーに違反した職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。

(違反時の対応)

第149条　職員等の情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。

(委託事業者の選定基準)

第150条　情報セキュリティ責任者は、委託事業者の選定にあたり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。

(契約項目)

第151条　情報システムの運用、保守等を業務委託する場合には、委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。

(確認・措置等)

第152条　情報セキュリティ責任者は、委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、前条の契約に基づき措置を実施しなければならない。また、その内容を統括情報セキュリティ責任者に報告するとともに、その重要度に応じてCISOに報告しなければならない。

(外部サービスの利用に係る規定の整備)

第153条　情報セキュリティ責任者は、以下を含む外部サービス(機密性2以上の情報を取り扱う場合)の利用に関する規定を整備すること。

(外部サービスの選定)

第154条　情報セキュリティ責任者は、取り扱う情報の格付及び取扱制限を踏まえ、外部サービス利用判断基準に従って外部サービスの利用を検討すること。

(外部サービスの利用に係る調達・契約)

第155条　情報セキュリティ責任者は、外部サービスを調達する場合は、外部サービス提供者の選定基準及び選定条件並びに外部サービスの選定時に定めたセキュリティ要件を調達仕様に含めること。

(外部サービスの利用承認)

第156条　情報セキュリティ責任者は、外部サービスを利用する場合には、利用申請の許可権限者へ外部サービスの利用申請を行うこと。

(外部サービスを利用した情報システムの導入・構築時の対策)

第157条　統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方等を踏まえ、以下を含む外部サービスを利用して情報システムを構築する際のセキュリティ対策を規定すること。

(外部サービスを利用した情報システムの運用・保守時の対策)

第158条　統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方を踏まえ、以下を含む外部サービスを利用して情報システムを運用する際のセキュリティ対策を規定すること。

(外部サービスを利用した情報システムの更改・廃棄時の対策)

第159条　統括情報セキュリティ責任者は、外部サービスの特性や責任分界点に係る考え方を踏まえ、以下を含む外部サービスの利用を終了する際のセキュリティ対策を規定すること。

(外部サービスの利用に係る規定の整備)

第160条　統括情報セキュリティ責任者は、以下を含む外部サービス(機密性2以上の情報を取り扱わない場合)の利用に関する規定を整備すること。

(外部サービスの利用における対策の実施)

第161条　職員等は、利用するサービスの約款、その他の提供条件等から、利用に当たってのリスクが許容できることを確認した上で機密性2以上の情報を取り扱わない場合の外部サービスの利用を申請すること。また、承認時に指名された外部サービス管理者は、当該外部サービスの利用において適切な措置を講ずること。

(実施方法)

第162条　CISOは、情報セキュリティ監査統括責任者を指名し、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、毎年度及び必要に応じて監査を行わせなければならない。

(監査を行う者の要件)

第163条　情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。

(監査実施計画の立案及び実施への協力)

第164条　情報セキュリティ監査統括責任者は、監査を行うに当たって、監査実施計画を立案し、情報セキュリティ委員会の承認を得なければならない。

(委託事業者に対する監査)

第165条　事業者に業務委託を行っている場合、情報セキュリティ監査統括責任者は委託事業者(再委託事業者も含む。)に対して、情報セキュリティポリシーの遵守について監査を定期的に又は必要に応じて行わなければならない。

(報告)

第166条　情報セキュリティ監査統括責任者は、監査結果を取りまとめ、情報セキュリティ委員会に報告する。

(保管)

第167条　情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を、紛失等が発生しないように適正に保管しなければならない。

(監査結果への対応)

第168条　CISOは、監査結果を踏まえ、指摘事項を所管する情報セキュリティ責任者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない情報セキュリティ責任者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。なお庁内で横断的に改善が必要な事項については、統括情報セキュリティ責任者に対し、当該事項への対処を指示しなければならない。

(情報セキュリティポリシー及び関係規程等の見直し等への活用)

第169条　情報セキュリティ委員会は、監査結果を情報セキュリティポリシー及び関係規定等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

(実施方法)

第170条　統括情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報システムについて、毎年度及び必要に応じて自己点検を実施しなければならない。

(報告)

第171条　統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ責任者は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、情報セキュリティ委員会に報告しなければならない。

(自己点検結果の活用)

第172条　職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。

(情報セキュリティポリシー及び関係規程等の見直し)

第173条　情報セキュリティ委員会は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等を踏まえ、情報セキュリティポリシー及び関係規程等について毎年度及び重大な変化が発生した場合に評価を行い、必要があると認めた場合、改善を行うものとする。