○大東市情報セキュリティ基準に関する規程
平成15年7月7日
庁達第5号
目次
第1章 総則(第1条―第3条)
第2章 情報セキュリティ基本方針(第4条―第12条)
第3章 情報セキュリティ対策基準(第13条―第32条)
第4章 補則(第33条)
附則
第1章 総則
(目的)
第1条 この規程は、大東市電子計算組織及び情報システム管理運用規程(平成9年庁達第7号。以下「管理運用規程」という。)第5条第2項の規定により、本市の電子計算組織、情報システム及びこれらで取り扱うデータ(以下「情報資産」という。)の機密性、完全性及び可用性(必要なときに利用できることをいう。)を維持するための基準を定め、個人情報を保護することについて、必要な事項を定めることを目的とする。
(情報セキュリティポリシー)
第2条 前条の基準(以下「情報セキュリティポリシー」という。)は、本市の情報セキュリティを確保するための対策について、総合的、体系的かつ具体的に取りまとめたものとして、本市の全職員(非常勤職員を含む。以下「職員」という。)に浸透、普及及び定着させるものであり、次に掲げるもので構成する。
(1) 情報セキュリティ基本方針 一定の普遍性を持った部分
(2) 情報セキュリティ対策基準 セキュリティに関する社会状況の変化を的確に反映させるべき部分
(定義)
第3条 この規程における用語の意義は、管理運用規程の定めるところによるもののほか、次に定めるところによる。
(1) ID 利用者を識別するための記号をいう。
(2) パスワード 正当な利用者であることを認証するために使用される秘密の文字列情報をいう。
(3) アクセス 電子計算組織及び情報システムを通じて、データの参照、変更等を行うことをいう。
(4) ログ 電子計算組織及び情報システムの使用記録をいう。
(5) バックアップ ソフトウェア及びデータの滅失又は毀損に備え、当該データの複製を行うことをいう。
(6) 情報通信機器 コンピュータ、ネットワーク及びこれらの運用に必要な機器をいう。
(7) ウイルス 電子計算組織に侵入し、情報システムの正常な動作を意図的に妨げるプログラムをいう。
(8) サーバ ネットワーク上で、データの共有、印字出力、通信制御等のサービスを端末機に対して提供するコンピュータをいう。
(9) ウェブページ インターネット又はイントラネット上で公開されている文字、画像、音声データ等から構成される文書をいう。
(10) 基本ソフトウェア コンピュータを動かすための基本的なソフトウェアをいう。
(11) ミドルウェア 基本ソフトウェア上で動作し、アプリケーションソフトウェアに対して、基本ソフトウェアよりも高度で具体的な機能を提供するソフトウェアをいう。
第2章 情報セキュリティ基本方針
(対策実施の原則)
第4条 情報セキュリティを確保するための対策は、対象となる情報資産の重要度に応じ、的確かつ効率的に行われるようにしなければならない。
(情報資産への脅威)
第5条 情報資産に対する脅威の発生度合及び発生した場合の影響を考慮し、情報セキュリティポリシーで想定する脅威は、次のとおりとする。
(1) 部外者による故意の不正アクセス又は不正操作によるデータ若しくはプログラムの持出し、盗聴、改ざん、消去並びに機器及び記録媒体の盗難等
(2) 職員及び外部委託者による意図しない操作、故意の不正アクセス又は不正操作によるデータ若しくはプログラムの持出し、盗聴、改ざん、消去、機器及び記録媒体の盗難並びに電子計算組織の誤接続等によるデータの漏えい等
(3) 地震、落雷、火災等の災害又は事故を原因とする故障等によるシステムダウン
(情報セキュリティ対策)
第6条 前条に規定する脅威から情報資産を保護するために、コンピュータ業務の管理運営に関する事務を分掌する課(以下「IT主管課」という。)、情報システムを所掌する課(以下「システム所管課」という。)及び情報システムを利用する課(以下「利用課」という。)の長は、次に掲げる対策を講じるものとする。
(1) 物理的セキュリティ対策 情報通信機器を設置する場所への不正な立入り、損傷及び盗難等から情報通信機器を保護するための入退室管理等の物理的な対策
(2) 人的セキュリティ対策 情報セキュリティに関する権限及び責任の決定、職員研修又は啓発による情報セキュリティポリシーの周知徹底及び違反者に対するアクセス規制等の適切な措置
(3) 技術及び運用におけるセキュリティ対策 アクセス制御、ウイルス対策ソフトウェアの導入及びログ確認等の技術面の対策並びに定期的かつ計画的な保守又は監視、情報セキュリティポリシーの遵守状況に係る各種記録の作成及び緊急事態の発生に対応可能な連絡体制の構築等の制度運用面の対策
(大東市情報セキュリティ委員会)
第7条 情報セキュリティポリシーの遵守を促進するとともに、情報セキュリティに関する事項について調査検討を行うため、大東市情報セキュリティ委員会(以下「セキュリティ委員会」という。)を設置する。
2 セキュリティ委員会の組織及び運営に関し必要な事項は、市長が別に定める。
(報告)
第8条 セキュリティ委員会は、情報セキュリティ確保の状況について、各課の長に対し報告を求めることができる。
(システム所管課長の責務)
第9条 システム所管課の長は、情報セキュリティ対策基準に定める事項を具体的に実行するための手順を定めるものとする。
2 システム所管課の長は、情報セキュリティポリシー遵守状況及び前項の手順の進捗状況を適宜点検し、これらの実効性が保たれるよう必要な措置を講じるものとする。
(利用課の長等の責務)
第10条 利用課の長は、その所属する職員で情報システム、情報通信機器及びネットワークを利用する者(以下「利用者」という。)に情報セキュリティポリシーを周知させるとともに、システム所管課の長が定める前条の手順を遵守させ、情報セキュリティの確保上問題が生じないように管理するとともに、適切な指導を行うものとする。
2 利用者は、情報セキュリティポリシーを理解し、システム所管課の長が定める前条の手順を遵守し、情報セキュリティの確保に努めなければならない。
(情報セキュリティ侵害時の対応)
第11条 システム所管課の長は、情報セキュリティが侵害される事態が発生した場合には、あらかじめ別に定める緊急連絡先に連絡するとともに、被害拡大の防止、復旧等の必要な措置を迅速かつ的確に講じなければならない。
2 システム所管課の長は、前項の事態の状況について詳細な調査分析を行い、再発防止のための方策を講じるとともに、これらをセキュリティ委員会へ報告するものとする。
3 システム所管課の長は、利用課の長と連携し、情報セキュリティの侵害に備えて、その対応及び復旧の訓練の実施に努めるものとする。
(情報セキュリティポリシーの見直し)
第12条 情報セキュリティポリシーは、情報セキュリティに関する社会状況の変化に迅速かつ的確に対応するために、必要に応じて見直すものとする。
2 情報セキュリティポリシーの変更は、セキュリティ委員会での承認を経た上で、市長が決定する。
第3章 情報セキュリティ対策基準
(情報システムの開発及び保守等)
第13条 情報システムの開発及び保守にあたっては、次に掲げる措置を講じるものとする。
(1) アクセス管理機能を備えるとともに、ログを管理すること。
(2) 重要度に応じて、情報通信機器の二重化等、運用に係る環境を考慮すること。
(3) 部外者が利用できる機能については、職員等が利用する機能から物理的に分離する等、情報セキュリティの確保に必要な措置を施すこと。
(4) 事故、障害等からの復旧のため、ソフトウェア、データ等のバックアップの取得方法を考慮すること。
(5) 計画的な保守を行うこと。この場合において、情報セキュリティに重大な影響があると予想される障害に対しては、速やかに対処すること。
(6) 運用環境と切り離す等、運用に支障をきたすことのない環境で情報システムの開発を行うこと。
(7) ウイルスの感染を防ぐために必要な措置が講じられた環境で情報システムの開発を行うこと。
(8) テストデータは、厳重に管理し、盗難又は流出を避けること。
(9) 開発・保守担当者からの報告及び連絡は、随時かつ的確に受けること。
2 セキュリティの侵害に備えて、次に掲げる措置を講じるものとする。
(1) バックアップメディアは、異なる場所に保管する等の二重化を図ること。
(2) 事前に復旧の手順を定め、迅速な対応を可能とすること。
(3) 情報システムが長期停止した場合においても、業務の進行ができるように、手作業による業務マニュアルを定めておくこと。
3 情報システムの運用を始めるにあたっては、次に掲げる措置を講じるものとする。
(1) 良好な稼動を確保するため十分な点検を実施すること。
(2) 開発及び保守環境から運用環境への移行作業は、限られた者だけに行わせる等、適切に管理すること。
4 情報システムを廃止する場合は、関連書類及び稼動している情報通信機器に存在するデータ等を完全に消去する等、適切に処理するものとする。
5 情報システムの開発及び保守等を委託する場合は、管理運用規程第10条に規定する措置を講じるものとする。
(他の情報システムとの接続)
第14条 システム所管課の長は、情報システムの運用をネットワークを利用して行おうとするときは、IT主管課の長と協議し、その承認を得なければならない。
2 システム所管課の長は、情報システムを他の情報システムと接続しようとするときは、接続先のシステム所管課の長と、接続方法及びデータの取扱いに関する事項について協議し、その承認を得なければならない。
(サーバの導入、設置及び運用)
第15条 システム所管課の長は、サーバの導入及び運用にあたっては、次に掲げる措置を講じるものとする。
(1) 情報セキュリティの確保上、問題となる恐れのある基本ソフトウェア及びミドルウェア等を使用しないこと。
(2) 基本ソフトウェア、ミドルウェア等の設定については、不正アクセスを防ぐための措置を執ること。
(3) 基本ソフトウェア、ミドルウェア等については、適切なセキュリティを確保するため、最新の修正プログラムを適用する等の措置を執ること。
(4) 前号の修正プログラムを適用するときは、当該サーバで稼動する情報システムに影響を与えることのないよう注意すること。
(5) 基本ソフトウェア、ミドルウェア等の設定の変更を行うときは、バックアップを取ること。
(6) ウイルス対策ソフトウェアの導入その他ウイルス対策に努めること。
2 サーバの設置等にあたっては、次に掲げる措置を講じるものとする。
(1) 温度、湿度、塵あい等の環境の影響を可能な限り排除した場所に設置すること。
(2) 必要に応じ、容易に取り外せない等、適切な措置を施すこと。
(3) 機器を適切に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けること。
3 特に重要な情報システムを搭載するサーバを設置するにあたっては、次に掲げる事項を考慮した措置を講じるよう努めるものとする。
(1) 地震発生時の被害を極小化するよう考慮すること。
(2) 部外者がサーバ等を操作できないような措置を講じること。
(3) 配線は、損傷等を受けないように必要な措置を施すこと。
(4) サーバ等の配置は、緊急時に入室者が円滑に避難できるよう配慮すること。
4 記録媒体(フロッピーディスク、ハードディスク等をいう。以下同じ。)は、次に掲げる措置を講じるものとする。
(1) 取り出し可能な記録媒体は、盗難や損傷の防止のため適切に保管すること。
(2) 記録媒体が不要となった場合は、記録媒体の初期化その他データを復元できないような処理を行った上で破棄すること。
(3) 業務上やむを得ず記録媒体を持ち出す場合は、管理簿を設ける等、適切に管理すること。
(端末機の導入及び運用)
第16条 システム所管課の長は、端末機の導入及び運用等にあたっては、次に掲げる措置を講じるものとする。
(1) ウイルス対策ソフトウェアの導入その他ウイルス対策を行うこと。
(2) 基本ソフトウェア及びその設定等について、不正アクセス防止措置を行うこと。
(3) 端末機に導入したソフトウェアについては、セキュリティ修正プログラムを使う等、適切なセキュリティが保たれるよう常に最新のセキュリティ状態を保つこと。
(4) 業務に必要でないハードウェア及びソフトウェアは導入しないこと。
(ネットワークの構築等)
第17条 IT主管課の長は、ネットワークの構築にあたって、セキュリティを確保するため、次に掲げる措置を講じるものとする。
(1) 他のネットワークと接続する場合には、ファイアウォール、プロキシサーバ等の機器を用いてネットワークを適切に保護すること。
(2) ネットワークの構築、運用及び保守にあたっては、情報漏えい等のおそれがないように、その業務に従事する者に対して守秘義務を課すること。
(3) 停電等に対してネットワーク機器を保護するための措置を講じること。
(外部ネットワークとの接続)
第18条 外部ネットワークとの接続に際しては、次に掲げる措置を講じるものとする。
(1) 接続先のネットワーク及び機器の構成、セキュリティレベル等を詳細に検討し、庁内ネットワーク、情報システムその他データ等に影響が生じないことを確認すること。
(2) 接続先のネットワークとの管理区分を明確化すること。この場合において、当該ネットワークのセキュリティに問題が認められ、市のデータ等に支障が生じることが想定される場合には、速やかに接続を遮断すること。
(ネットワークの利用の制限)
第19条 情報通信機器を利用する者は、業務目的以外においてウェブぺージの閲覧、電子メールの使用その他一切の情報通信機器を使用してはならない。これに違反した者を発見した者は、その旨を当該違反をした者が所属する課等の長へ速やかに通知するものとする。
2 前項の規定により通知を受けた課等の長は、違反を是正するための適切な措置を講じるものとし、改善されない場合は、IT主管課の長にその者の情報通信機器の利用停止を依頼するものとする。
3 IT主管課及び利用課の長は、情報通信機器の利用者に対し、適切な利用のあり方について周知啓発するよう努めるものとする。
(利用者の管理)
第20条 情報システムに関する利用者の登録、変更、抹消その他登録情報の管理及び異動又は退職した者のID及びパスワードの取扱いについては、システム所管課の長が別に定める。
2 前項の利用者の登録、変更、抹消等は、利用課の長がシステム所管課の長に申し込むことにより行うものとする。
(管理者権限の管理)
第21条 情報セキュリティを確保する上で、管理者権限(稼動条件を設定する権限をいう。以下同じ。)は必要最小限の職員に与えるとともに、厳重に管理されなければならない。
2 管理者権限に基づくアクセスは、必要最小限の時間に制限するものとする。
(書類の保管)
第22条 運用及び保守に必要な書類等については、記録媒体に関わらず業務上必要とする職員のみが閲覧できる所に保管するものとする。
2 前項の書類等に記載される情報は、常に最新のものに保たれるよう努めなければならない。
(監視)
第23条 IT主管課の長は、情報セキュリティを損なう事態を把握するため、必要に応じ、監視を行うものとする。
2 監視により得られた記録については、窃取、改ざん、消去されないための措置を施し、安全な場所に保管するものとする。
(ウイルス感染発生時の対応)
第24条 IT主管課又はシステム所管課の長は、ウイルスの感染が発生した場合には、これを直ちに駆除するよう必要な措置を講じなければならない。
2 IT主管課又はシステム所管課の長は、ウイルスに関する最新の情報を常に取得するよう努めるとともに、利用者に対し必要な措置を執るよう指導するものとする。
(不正アクセス発生時の対応)
第25条 システム所管課の長は、不正アクセスを受けた場合には、IT主管課その他関係機関との連絡を密にして情報の収集に努めるとともに、使用停止を含む適切な措置を講じなければならない。
2 システム所管課の長は、利用者による不正アクセスがあったときは、当該利用者が所属する利用課の長に通知し、適切な処置を求めるものとする。
3 不正アクセスの結果、データの漏えい、破壊、改ざん、システムダウン等により業務に深刻な影響がもたらされた場合には、法的措置を含む厳正な対処を行うものとする。
(記録の保存等)
第26条 IT主管課又はシステム所管課の長は、作業記録、障害報告、アクセス記録等の管理にあたって、次に掲げる事項を遵守するものとする。
(1) 設定又は変更等の作業を行ったときは、その処理について記録を作成するとともに、これを適切に管理すること。
(2) アクセス記録等の情報は、窃取、改ざん又は消去されないような措置を施すとともに、一定の期間保存すること。
(情報通信機器及び記録媒体の取扱い)
第27条 利用課の長は、情報通信機器及び記録媒体について、次に掲げる事項を遵守し、かつ、情報セキュリティの確保上問題が生じないようにするものとする。
(1) 情報通信機器の設置及び保管にあたっては、次に掲げる事項を遵守し、適切な管理を行うこと。
ア 設置場所は、温度、湿度、塵あい等の環境の影響を可能な限り排除した場所とすること。
イ 保管場所は、盗難防止のため、セキュリティワイヤーを設置するか引出しやロッカー等、直接目の触れない場所に保管をする等の措置を執ること。
(2) フロッピーディスク、ハードディスク等の記録媒体については、次の点に留意し、管理すること。
ア 取出しが可能な記録媒体は、盗難及び損傷の防止のため適切な管理を行うこと。
イ 記録媒体が不要となった場合は、初期化等データを復元できないような処置を行い、破棄すること。
(3) 業務上やむを得ない理由で執務室外に情報通信機器を持ち出そうとする場合は、システム所管課の長の承認を受けること。この場合において、管理簿を設ける等、適切に管理すること。
(4) 前号の規定により執務室外に持ち出した情報通信機器を他のネットワークに接続しないこと。
(5) 持ち出した情報通信機器に盗難、紛失、破損等の事故が生じたときは、当該持ち出した課等の責任において復旧すること。
(6) 不要になった情報通信機器をシステム所管課の長に返却する場合は、データの消去等、必要な処置を市長が別に定める手続により実施すること。
2 利用課の長は、情報通信機器のハードウェア及びソフトウェアの追加又は変更を行うことはできない。ただし、業務上やむを得ない場合であって、システム所管課等の長が必要と認めたときは、この限りでない。
3 利用課の長は、使用する情報通信機器及び記録媒体について、無断で第三者に使用されることがないようにしなければならない。
(パスワード)
第28条 利用者は、自己の保有するパスワードに関し、次に掲げる事項を遵守するものとする。
(1) パスワードを秘密にするとともに、照会等には一切応じないこと。
(2) 情報通信機器にパスワードを記憶させたり、パスワードのメモを作らないこと。
(3) パスワードは想像しにくいものとすること。
(4) パスワードは、定期的に変更するとともに、漏えい等のおそれがある場合には、速やかにこれを変更すること。
(5) 新たに発行されたパスワードは、最初のログイン時点で変更すること。
(電子メール)
第29条 利用者は、電子メールの送受信について、ウイルス感染等情報セキュリティに関する事故の防止を図るため、IT主管課の長が別に定める事項を遵守しなければならない。
(事故発生時等の措置)
第30条 利用者は、情報セキュリティに関する事故を発見した場合には、あらかじめ別に定める緊急連絡先に連絡の上、当該利用者が所属する利用課の長の指示に従い対処しなければならない。
2 利用者は、情報システム上の欠陥又は誤動作を発見した場合には、それを所管するシステム所管課の長に報告するものとする。
3 利用課の長は、その所属する利用者に対し、必要に応じ、情報資産の利用の停止を含めた適切な措置を講じるよう指示するものとする。
(遵守事項等)
第31条 職員は、職務の遂行において使用する情報資産について、個人情報の保護に関する法律(平成15年法律第57号)その他関係法令等を遵守しなければならない。
2 市長は、情報セキュリティポリシーに違反した職員に対し、その重大性、発生した事案の状況等に応じて、地方公務員法(昭和25年法律第261号)の規定に基づき懲戒処分を行うものとする。
(行政委員会等の利用)
第32条 市長は、その事務部局において所管する情報資産を教育委員会、選挙管理委員会、公平委員会、監査委員、農業委員会、固定資産評価審査委員会、上下水道事業管理者及び議会事務局(以下「教育委員会等」という。)に利用させることができる。
2 市長は、前項の規定により教育委員会等に情報資産を利用させるときは、情報セキュリティポリシーを遵守するよう必要な措置を講じなければならない。
第4章 補則
(補則)
第33条 この規程に定めるもののほか、情報セキュリティポリシーに関し必要な事項は、市長が別に定める。
附則
(施行期日)
1 この規程は、令達の日から施行する。
(大東市電子計算組織及び情報システム管理運用規程の一部改正)
2 大東市電子計算組織及び情報システム管理運用規程(平成9年庁達第7号)の一部を次のように改正する。
〔次のよう〕略
附則(平成26年庁達第15号)
この規程は、平成26年4月1日から施行する。
附則(平成27年庁達第18号)
この規程は、平成27年4月1日から施行する。
附則(令和5年庁達第5号)
この規程は、公布の日から施行する。