2　CISOは、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有する者を最高情報セキュリティアドバイザーとして置き、その業務内容を定めることができるものとする。

3　CISOは、情報セキュリティインシデント(情報セキュリティ上の脅威となる事象をいう。以下同じ。)に対処するための体制(以下「CSIRT」という。)を整備し、役割を明確化するものとする。

4　CISOは、必要に応じ、CISOの命を受けて本市における情報セキュリティに関する事務を整理し、及び本市の情報セキュリティに関する事務を統括する最高情報セキュリティ副責任者(以下「副CISO」という。)1人を置くことができる。

5　CISOは、本基準に定められた自らの職務を、副CISOその他本基準に定める各責任者に担わせることができる。

2　統括情報セキュリティ責任者は、次に掲げる事項に係る権限及び責任を有する。

3　統括情報セキュリティ責任者は、情報セキュリティに係る緊急時(以下「緊急時」という。)その他必要な場合における円滑な情報共有を図るため、CISO、自己及び情報セキュリティ責任者らへの連絡体制を含む緊急連絡網を整備しなければならない。

4　統括情報セキュリティ責任者は、緊急時においては直ちにCISOに報告を行うとともに、回復のための対策を講じなければならない。

5　統括情報セキュリティ責任者は、情報セキュリティに関係する規程に係る課題及び問題点を含む運用状況を適時に把握し、必要に応じてCISOにその内容を報告しなければならない。

2　情報セキュリティ責任者は、次に掲げる事項に係る権限及び責任を有する。

3　情報セキュリティ責任者は、その所管する部等において所有する情報システムについて、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約並びに職員に対する教育、訓練、助言及び指示を行う。

2　情報セキュリティ管理者は、その所管する課等の情報セキュリティ対策に関する権限及び責任並びに情報資産の管理に関する責任を有する。

3　情報セキュリティ管理者は、その所掌する課等において、情報セキュリティの侵害が発生した場合又はそのおそれがある場合には、直ちに情報セキュリティ責任者へ報告を行い、指示を受けなければならない。

2　情報システム管理者は、次に掲げる事項に係る権限及び責任を有する。

3　情報システム管理者は、所管する情報システムに係る情報セキュリティ実施手順の維持及び管理を行う。

4　情報システム管理者は、所管する情報システムに対して、当該情報システムのセキュリティ要件に係る事項を記載した情報システム台帳を整備しなければならない。

2　CSIRTに管理者を置き、デジタル政策課長をもって充てる。

3　CSIRTに情報セキュリティの統一的な窓口(以下「PoC」という。)を置き、経営企画部デジタル政策課に設置する。

4　CSIRTは、CISOによる情報セキュリティに関する方針の決定が行われた場合は、その内容を関係部局等に提供しなければならない。

5　CSIRTは、情報セキュリティインシデントを認知した場合は、CISO、総務省、福岡県その他関係機関へ報告しなければならない。

6　CSIRTは、前項に規定する場合において、その重要度や影響範囲等を勘案し、必要に応じ報道機関への通知その他公表に係る対応を行わなければならない。

7　CSIRTは、情報セキュリティに関して、他の地方公共団体の情報セキュリティに関する統一的な窓口の機能を有する部署その他関係機関、委託事業者等との情報共有に努めなければならない。

2　情報を作成する職員は、作成途上の情報についても紛失、流出等を防止しなければならず、また、作成途上で当該情報が不要になった場合は、速やかに当該情報を消去しなければならない。

2　職員は、前項に規定する場合において、入手した情報資産の分類が不明であるときは、当該情報資産の分類について情報セキュリティ管理者の判断を受けなければならない。

2　情報資産を利用する職員は、情報資産の分類に応じ、適正な取扱いをしなければならない。

3　情報資産のうち電磁的記録媒体を利用する職員は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合は、これらのうち最高度の分類に従って当該電磁的記録媒体を取り扱わなければならない。

2　情報セキュリティ管理者及び情報システム管理者は、情報資産である電磁的記録媒体を長期にわたって保管する場合は、当該電磁的記録媒体への書き込みを禁止する措置を講じなければならない。

3　情報セキュリティ管理者及び情報システム管理者は、別表第1に規定する自治体機密性2、3A、3B又は3C(以下「自治体機密性2以上」と総称する。)、別表第2に規定する自治体完全性2又は別表第3に規定する自治体可用性2の情報を記録した電磁的記録媒体を保管する場合は、耐火、耐熱、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。

2　情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。

2　情報資産の廃棄等を行った職員は、当該廃棄等の日時、担当者及び処理内容を記録しなければならない。

2　マイナンバー利用事務系と外部との通信をする必要がある場合は、MACアドレス又はIPアドレスによる通信経路の限定及びポート番号の指定によるアプリケーションプロトコルのレベルでの限定を行わなければならず、また、その外部接続先についてもインターネット等と接続してはならない。ただし、国等の公的機関が構築したシステム等、十分に安全性が確保された外部接続先については、LGWANを経由してインターネット等とマイナンバー利用事務系との双方向通信でのデータの移送をすることができるものとする。

2　メールやデータをインターネット接続系からLGWAN接続系に取り込む場合は、次に掲げる方法等により無害化通信としなければならない。

2　マイナンバー利用事務系及びLGWANから完全に分離したインターネット接続系においては、通信パケットの監視等の不正通信の監視機能の強化により、情報セキュリティインシデントの早期発見及びその対処等の情報セキュリティ対策を講じなければならない。

2　情報システム管理者は、メインサーバ(通常稼働しているサーバをいう。以下同じ。)に障害が発生した場合は、速やかにセカンダリサーバ(メインサーバに障害が発生した場合に稼働させるメインサーバの複製サーバをいう。)を起動し、システムの運用停止時間を最小限にしなければならない。

2　情報システム管理者は、統括情報セキュリティ責任者及び施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、施設管理部門から主要な箇所の通信ケーブル及び電源ケーブルの損傷等の報告があった場合は、連携して対応しなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、ハブのポート等のネットワーク接続口を他者が容易に接続できない場所に設置する等適正に管理しなければならない。

4　統括情報セキュリティ責任者及び情報システム管理者は、自ら又は情報システム担当者及び契約により操作を認められた委託事業者以外の者が配線を変更し、追加し、又は撤去することができないように必要な措置を講じなければならない。

2　情報システム管理者は、前項に規定する場合において、当該情報を消去できないときは、当該事業者との間で当該修理に係る守秘義務契約を締結し、及び当該事業者の秘密保持に係る体制の確認等を行わなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、前項に規定する場合において、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。

2　統括情報セキュリティ責任者及び情報システム責任者は、施設管理部門と連携し、管理区域から外部に通ずるドアは必要最小限の数とし、鍵、監視機能、警報装置等により入退室を許可された者以外の者の立入りを防止しなければならない。

3　統括情報セキュリティ責任者及び情報システム責任者は、情報システム室内の機器等に転倒及び落下の防止等の耐震対策、防火措置、防水措置等を講じなければならない。

4　統括情報セキュリティ責任者及び情報システム責任者は、管理区域に配置する消火薬剤や消防用設備等が機器等及び電磁的記録媒体に影響を与えないようにしなければならない。

2　職員及び委託事業者は、管理区域に入室する場合は、身分証明書を携帯し、及び情報システム責任者の求めにより提示しなければならない。

3　情報システム責任者は、外部の者が管理区域に入室する場合は、必要に応じて立入り区域を制限した上で管理区域への入退室を許可された職員を付き添わせ、及び当該外部の者と職員を区別できる外見上の措置を講じなければならない。

4　情報システム責任者は、自治体機密性2以上の情報資産を扱う情報システムを設置している管理区域に入室する者について、当該情報システムに関連しない機器等を持ち込ませないようにしなければならない。

2　情報システム管理者は、管理区域の機器等の搬入出が行われるときは、職員を立ち会わせなければならない。

2　統括情報セキュリティ責任者は、情報システムのセキュリティ要件として策定した情報システムのネットワーク構成に関する要件内容に従い、通信回線装置に対して適切なセキュリティ対策を実施しなければならない。

3　統括情報セキュリティ責任者は、外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。

4　統括情報セキュリティ責任者は、自治体機密性2以上の情報資産を取り扱う情報システムに通信回線を接続する場合は、必要なセキュリティ水準を検討の上で適正な回線を選択し、及び必要に応じ送受信される情報の暗号化を行わなければならない。

5　統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように、不正な通信の有無を監視する等の十分なセキュリティ対策を実施しなければならない。

6　統括情報セキュリティ責任者は、通信回線装置が動作するために必要なソフトウェアに関する事項を含む実施手順を定めるとともに、必要なソフトウェアの状態等を調査し、認識した脆弱性等について対策を講じなければならない。

7　統括情報セキュリティ責任者は、自治体可用性2の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択し、及び必要に応じ回線を冗長構成にする等の措置を講じなければならない。

2　情報システム管理者は、情報システムへのログインについては、パスワードの入力、ICカードの使用、生体認証等の複数の認証を必要とするよう設定しなければならない。

3　マイナンバー利用事務系における前項の複数の認証は、多要素認証(知識に係る情報、所持に係る情報及び生体に係る情報を利用する認証手段のうち2つ以上を併用する認証をいう。)としなければならない。

2　職員は、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合は、速やかに情報セキュリティ管理者に報告し、指示を受けなければならない。

2　職員は、情報資産を外部に持ち出し、又は外部で情報処理業務を行う場合は、あらかじめ情報セキュリティ管理者の許可を受けなければならない。

2　職員は、前項ただし書の場合において、外部で情報処理作業を行うときは、情報セキュリティ実施手順に定める安全管理に関する措置を実施しなければならない。

2　情報セキュリティ管理者は、会計年度任用職員を任用するときは、必要に応じ、前項の遵守すべき規定を遵守する旨の同意書への署名を求めるものとする。

3　情報セキュリティ管理者は、会計年度任用職員に配置されたパソコンやモバイル端末による作業を行わせる場合において、インターネットへの接続、電子メールの使用等が不要であるときは、これを利用できないようにしなければならない。

2　統括情報セキュリティ責任者は、新規採用の職員を対象とする研修を実施しなければならない。

3　研修は、統括情報セキュリティ責任者、情報セキュリティ責任者らその他職員のそれぞれの役割に応じた内容としなければならない。

4　統括情報セキュリティ責任者は、研修の実施状況の分析及び評価を行い、CISOに当該分析及び評価の結果を報告しなければならない。

5　CISOは、毎年度1回、春日市情報化推進本部に対し、職員の研修の実施状況について報告しなければならない。

2　訓練の計画は、ネットワーク及び各情報システムの規模等を考慮して実施の体制、範囲等を定めるものとし、かつ、効果的に実施できるものとしなければならない。

2　PoCの担当者は、前項の規定による報告を受けた場合は、当該報告の内容について、直ちに統括情報セキュリティ責任者に報告しなければならない。

3　情報セキュリティ管理者は、第1項の規定による報告を受けた場合は、当該報告の内容について、直ちに情報セキュリティ責任者に報告しなければならない。

4　統括情報セキュリティ責任者は、第2項の規定による報告を受けた場合は、当該報告の内容について、必要に応じてCISOに報告しなければならない。

5　情報セキュリティインシデントにより、個人情報・特定個人情報の漏えい等が発生した場合は、必要に応じて個人情報保護委員会へ報告しなければならない。

2　PoCの担当者は、前項の規定による報告を受けた場合は、当該報告の内容について、直ちに統括情報セキュリティ責任者に報告しなければならない。

3　情報セキュリティ管理者は、第1項の規定による報告を受けた場合は、当該報告の内容について、直ちに情報セキュリティ責任者に報告しなければならない。

4　統括情報セキュリティ責任者は、第2項の規定による報告を受けた場合は、当該報告の内容について、必要に応じてCISOに報告しなければならない。

5　CISOは、住民等外部の者から情報セキュリティインシデントについての報告を受けるための窓口を設置し、当該窓口への連絡手段を公表しなければならない。

2　CSIRTは、前項の場合において、情報セキュリティインシデントであると評価したときは、直ちにCISOに報告しなければならない。

3　CSIRTは、第1項の情報セキュリティインシデントの内容に係る情報セキュリティ責任者に対し、被害の拡大防止等を図るための応急措置の実施及び復旧に係る指示を速やかに行わなければならない。

4　CSIRTは、前項の場合において、同様の情報セキュリティインシデントが別の情報システムにおいても発生している可能性を検討し、必要に応じて当該情報システムを所管する情報システム管理者に対し確認を指示しなければならない。

5　CSIRTは、第1項の情報セキュリティインシデントの原因を究明し、及びその記録を保存し、並びに当該情報セキュリティインシデントの原因究明の結果から再発防止策を検討し、CISOに報告しなければならない。

6　CISOは、前項の規定により報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置をCSIRTに指示しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、前項の規定による報告があった場合は、当該ICカードを使用したアクセス等を速やかに停止しなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、ICカードを切り替える場合は、切替え前のICカードを回収し、破砕する等の復元不可能な処理を行った上で廃棄しなければならない。

2　情報システム責任者は、文書サーバを課等を単位として構成し、職員が他課のフォルダ及びファイルを閲覧し、及び使用することができないよう設定しなければならない。

3　情報システム管理者は、住民の個人情報、人事記録等の特定の職員のみが取り扱うデータについては、当該データを所管する課等においても当該特定の職員以外の職員の閲覧及び使用ができないよう別途ディレクトリを作成する等の措置を講じなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、重要な情報を取り扱うサーバ装置については、適切な方法でサーバ装置のバックアップを取得しなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、重要な情報を取り扱う情報システムを構成する通信回線装置については、運用状態を復元するために必要な設定情報等のバックアップを取得し保管しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、所管する情報システムに係る変更等の作業を行った場合は、当該作業の内容に係る記録を作成し、詐取、改ざん等をされないように適正に管理し、運用又は保守によって機器の構成や設定情報等に変更があった場合は、情報セキュリティ対策が適切であるか確認し、必要に応じて見直さなければならない。

3　統括情報セキュリティ責任者、情報システム管理者若しくは情報システム担当者又は契約により操作を認められた委託事業者がシステム変更等の作業を行う場合は、2名以上で作業するように努め、その作業を互いに確認しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、適正にログを管理しなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、取得したログを定期的に点検し、及び分析する機能をネットワーク及びサーバ上に設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について確認しなければならない。

2　統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに係る適正なアクセス制御を行わなければならない。

3　統括情報セキュリティ責任者は、保守又は診断のために、外部の通信回線から内部の通信回線に接続された機器等に対して行われるリモートメンテナンスに係る情報セキュリティを確保するとともに、当該情報セキュリティ対策について、定期的な確認により見直さなければならない。

2　情報システム管理者は、前項に規定する場合において、接続しようとする外部ネットワークに係るネットワーク構成、機器構成、セキュリティ技術等を詳細に調査し、庁内の全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。

3　情報システム管理者は、第1項に規定する場合において、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。

4　統括情報セキュリティ責任者及び情報システム管理者は、ウェブサーバ等をインターネットに公開する場合は、次に掲げるセキュリティ対策を実施しなければならない。

5　情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められる場合において、情報資産に脅威が生じることが想定されるときは、統括情報セキュリティ責任者の指示に従い、直ちに当該外部ネットワークを物理的に遮断しなければならない。

2　統括情報セキュリティ責任者は、複合機が備える機能について適正な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。

3　統括情報セキュリティ責任者は、複合機の運用を終了する場合は、複合機が持つ電磁的記録媒体の全ての情報を抹消し、又は再利用できないようにする措置を講じなければならない。

2　統括情報セキュリティ責任者は、機密性の高い情報を取り扱うネットワークについて、情報の盗聴等を防ぐため暗号化等の措置を講じなければならない。

2　統括情報セキュリティ責任者は、スパムメール等が内部から送信されていることを検知した場合は、市の電子メールサーバの運用を停止しなければならない。

3　統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能としなければならない。

4　統括情報セキュリティ責任者は、職員が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員に周知しなければならない。

5　統括情報セキュリティ責任者は、システムの開発、運用、保守等のため庁舎内に常駐している委託事業者の作業員による電子メールアドレスの利用について、当該委託事業者との間で利用方法を取り決めなければならない。

2　職員は、業務上必要のない送信先に電子メールを送信してはならない。

3　職員は、複数人に電子メールを送信する場合は、必要がある場合を除き、当該電子メールを受け取った者に他の送信先の電子メールアドレスが分からないようにしなければならない。

4　職員は、重要な電子メールを誤送信した場合は、速やかに情報セキュリティ管理者に報告しなければならない。

2　職員は、暗号化を行う場合は、CISOが定める方法以外の方法を用いてはならず、また、CISOが定めた方法により暗号のための鍵を管理しなければならない。

3　CISOは、電子署名の正当性を検証するための情報又は手段を署名検証者(電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律(平成14年法律第153号)第17条第4項に規定する署名検証者をいう。)へ安全に提供しなければならない。

2　前項の規定にかかわらず、職員は、業務用端末にソフトウェアを導入する必要がある場合は、統括情報セキュリティ責任者及び情報システム管理者の許可を得て、当該導入をすることができる。この場合において、情報セキュリティ管理者又は情報システム管理者は、当該ソフトウェアのライセンスを管理しなければならない。

3　職員は、業務用端末において、不正にコピーされたソフトウェアを利用してはならない。

2　前項の規定にかかわらず、職員は、業務用端末の改造等をする必要がある場合は、統括情報セキュリティ責任者及び情報システム管理者の許可を受けて、当該改造等をすることができる。

2　統括情報セキュリティ責任者は、職員が明らかに業務に関係のないウェブサイトを業務用端末により閲覧していることを把握した場合は、情報セキュリティ管理者に通知し適正な措置を求めなければならない。

2　職員は、前項に規定する利用手順を遵守し、Web会議の参加者及び取り扱う情報に応じた情報セキュリティ対策を実施しなければならない。

2　秘書広報課長は、利用するソーシャルメディアサービスごとの責任者を定めなければならない。

3　職員は、自治体機密性2以上の情報をソーシャルメディアサービスで発信してはならない。

4　職員は、第三者によるアカウントの乗っ取り又はなりすましを確認した場合は、第54条の規定の例により当該乗っ取り又はなりすましに係る報告を行い、及び被害を最小限にするために必要な措置を講じなければならない。

5　職員は、自治体可用性2の情報の提供にソーシャルメディアサービスを利用する場合は、市ウェブサイトに当該情報を掲載して参照させなければならない。

2　職員は、情報システム等の利用に係るIDが必要なくなった場合は、統括情報セキュリティ責任者又は情報システム管理者にその旨を申し出なければならない。

3　統括情報セキュリティ責任者又は情報システム管理者は、前項の規定による申出があった場合は、当該申出に係るIDの登録を抹消しなければならない。

4　統括情報セキュリティ責任者及び情報システム管理者は、利用されていないIDについて、人事管理部門と連携し放置されることのないよう管理しなければならない。

5　統括情報セキュリティ責任者及び情報システム管理者は、情報システム等の利用に係るIDに不要なアクセス権限の付与がなされないよう適切に管理しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、管理者権限の特権を持つ主体の識別コード及び主体認証情報が悪意ある第三者等によって窃取された際の被害を最小化するための措置並びに内部からの不正操作及び誤操作を防止するための措置を講じなければならない。

3　代行者は、統括情報セキュリティ責任者及び情報システム管理者が指名し、CISOが承認した者でなければならない。

4　CISOは、前項の規定により代行者を承認した場合は、速やかに統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者及び情報システム管理者に通知しなければならない。

5　統括情報セキュリティ責任者及び情報システム管理者は、特権を付与されたID及びパスワードの変更について、委託事業者に行わせてはならない。

6　統括情報セキュリティ責任者及び情報システム管理者は、特権を付与されたIDを初期設定以外のものに変更しなければならない。

2　統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセス(以下この条において「外部からのアクセス」という。)を行うことができる職員については、外部からのアクセスが必要な合理的理由を有する必要最小限度の範囲の者に限定しなければならない。

3　統括情報セキュリティ責任者は、職員による外部からのアクセスを認める場合は、情報システム上において利用者の本人確認を行う機能を確保しなければならない。

4　統括情報セキュリティ責任者は、前項に規定する場合において、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。

5　統括情報セキュリティ責任者及び情報システム管理者は、外部からのアクセスに利用するモバイル端末を市の職員に貸与する場合は、情報セキュリティの確保のために必要な措置を講じなければならない。

6　職員は、前項のモバイル端末を外部から持ち込み、又は外部から持ち帰った場合は、当該モバイル端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認し、情報セキュリティ管理者の許可を得、又は情報セキュリティ管理者が定める手順に従って接続しなければならない。

7　統括情報セキュリティ責任者は、内部のネットワーク又は情報システムに対するインターネットを介した外部からのアクセスを原則として禁止としなければならない。ただし、やむを得ない事情があると認めるときは、利用者のID、パスワード、及び生体認証に係る情報等の認証情報並びにこれを記録したICカード等の媒体による認証並びに通信内容の暗号化等の情報セキュリティの確保のために必要な措置を講じた上で、接続を許可することができる。

2　統括情報セキュリティ責任者又は情報システム管理者は、職員の認証情報のファイルを不正利用から保護するため、オペレーティングシステム等において認証情報設定のセキュリティを強化する機能がある場合は、これを有効に活用しなければならない。

3　統括情報セキュリティ責任者又は情報システム管理者は、職員に対してパスワードを発行する場合は、仮のパスワードを発行し、初回ログイン後直ちに仮のパスワードから新しいパスワードに変更させなければならない。

2　前項に規定する選定基準については、必要に応じて機器等の開発等のライフサイクルで不正な変更が加えられないような対策を講じなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認及び検査の手続を整備しなければならない。

2　前項に規定する仕様書には、業務システムに誤ったプログラム処理が組み込まれないよう、不具合を考慮した技術的なセキュリティ機能を記載しなければならない。

3　情報システム管理者は、機器又はソフトウェアの調達に当たっては、当該調達の方針について情報システム責任者と協議をした上で、調達しようとする機器又はソフトウェアのセキュリティ機能を調査し、情報セキュリティ上の問題がないことを確認しなければならない。

2　情報システム管理者は、情報システムを設計する場合は、次に掲げる機能を組み込まなければならない。

3　情報システム管理者は、ウェブアプリケーションやウェブコンテンツにおいて、次に掲げるセキュリティ対策を実施しなければならない。

2　情報システム管理者は、情報システムの開発の責任者及び担当者が使用するIDを管理し、開発が完了した場合は、当該IDを削除しなければならない。

3　情報システム管理者は、情報システム開発の責任者及び担当者のネットワーク及び情報システムへのアクセスの権限を設定しなければならならない。

4　情報システム管理者は、情報システムの開発の責任者及び担当者が使用するハードウェア及びソフトウェアを特定し、その使用を承認するとともに、承認したもの以外のハードウェア及びソフトウェアを利用させてはならない。

5　情報システム管理者は、前項の規定により使用を承認したソフトウェア以外のソフトウェアが導入されている場合は、当該ソフトウェアをシステムから削除しなければならない。

6　情報システム管理者は、ウェブアプリケーションの開発において、セキュリティ要件として定めた仕様に加えて、既知の種類のウェブアプリケーションの脆弱性を排除するための対策を講じなければならない。

2　情報システム管理者は、情報システムの開発、保守及び運用テスト環境から当該情報システムの運用環境への移行について、当該情報システムの開発及び保守に係る計画の策定時に手順を明確にしなければならない。

3　情報システム管理者は、前項の移行の際、移行を行う情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限度の範囲になるよう配慮しなければならない。

4　情報システム管理者は、情報システムを導入しようとする場合は、当該情報システムの可用性が確保されていることを確認しなければならない。

5　情報システム管理者は、新たに情報システムを導入する場合は、既に稼働している情報システムに接続する前に十分な運用テストを行わなければならない。

6　情報システム管理者は、情報システムの運用テストを行う場合は、あらかじめ擬似環境における操作の確認を行わなければならない。

7　情報システム管理者は、個人情報及び機密性の高いデータを前項の運用テストにおいて使用してはならない。

8　開発した情報システムに係る受入れテストを行う場合は、開発した者と導入する者が、それぞれ独立したテストを行わなければならない。

9　情報システム管理者は、業務システムに誤ったプログラム処理が組み込まれないよう不具合を考慮したテスト計画を策定するとともに、当該テスト計画における検証が確実に実施されるよう、必要かつ適切に委託事業者の監督を行わなければならない。

10　情報システム管理者は、機器等の納入時又は情報システムの受入れ時の確認及び検査において、調達仕様書等定められた検査手続に従い、情報セキュリティ対策に係る要件が満たされていることを確認しなければならない。

11　情報システム管理者は、情報システムが構築段階から運用保守段階へ移行する際に、当該情報システムの開発事業者から運用保守事業者へ引継がれる項目に、情報セキュリティ対策に必要な内容が含まれていることを確認しなければならない。

2　情報システム管理者は、情報システムを新規に構築し、又は更改する際には、情報システム台帳のセキュリティ要件に係る内容を記録又は記載し、当該内容について統括情報セキュリティ責任者に報告しなければならない。

3　情報システム管理者は、所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、次に掲げる実施手順を整備しなければならない。

4　情報システム管理者は、情報システムの開発に係る全てのテストの結果を一定期間保管しなければならない。

5　情報システム管理者は、情報システムに係るソースコードを適切な方法で保管しなければならない。

2　統括情報セキュリティ責任者は、本市内で横断的に情報セキュリティ対策の改善が必要となる場合には、情報システム管理者に対して改善指示を出さなければならない。

3　情報システム管理者は、前項の改善指示があった場合には、情報セキュリティ対策を適切に見直し、その結果を統括情報セキュリティ責任者に報告しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、入口対策(標的型攻撃による組織内部への侵入を低減する対策をいう。)並びに内部対策及び出口対策(内部に侵入した攻撃を早期検知して対処する、侵入範囲の拡大の困難度を上げる及び外部との不正通信を検知して対処する対策をいう。)を講じなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、情報セキュリティに関する社会環境又は技術環境の変化等による新たな脅威を認識した場合は、情報セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、情報システムの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講じなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、重要な情報を取り扱う情報システムについて、危機的事象発生時に適切な対処が行えるよう運用しなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、情報システムの運用において、情報システムに実装された監視機能を適切に運用しなければならない。

3　統括情報セキュリティ責任者及び情報システム管理者は、新たな脅威の出現、運用の状況等を踏まえ、情報システムにおける監視の対象や手法を定期的に見直さなければならない。

4　統括情報セキュリティ責任者及び情報システム管理者は、サーバ装置上での情報セキュリティインシデントの発生を監視するため、当該サーバ装置を監視するための措置を講じなければならない。

2　統括情報セキュリティ責任者及び情報システム管理者は、重要なログ等を取得するサーバの正確な時刻の設定及びサーバ間の時刻の同期ができる措置を講じなければならない。

2　CISOは、前項の規定により報告を受けた問題について、適正かつ速やかに対処しなければならない。

2　職員は、前項に規定する場合において、当該違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると判断したときは、次条の緊急時対応計画に従って適正に対処しなければならない。

2　情報セキュリティ管理者及び情報システム管理者は、例外措置を講ずる場合において、特に緊急を要するためCISOの許可を受ける時間的余裕がないと認めるときは、前項の規定にかかわらず、CISOの許可を得ずに例外措置を講ずることができる。この場合において、情報セキュリティ管理者及び情報システム管理者は、当該例外措置の実施後速やかにCISOに当該例外措置についての報告をしなければならない。

3　CISOは、前2項の規定により例外措置が実施されたときは、その内容が適正であるかの審査を行うものとする。

4　CISOは、第1項又は第2項の規定による例外措置の実施に係る書類及び前項の審査の結果に係る書類を適正に保管し、定期的に実施状況を確認しなければならない。

2　職員(統括情報セキュリティ責任者を除く。)は、違反行為を確認した場合は、速やかに統括情報セキュリティ責任者及び当該違反行為をした職員が所属する課等の情報セキュリティ管理者に通知するものとし、当該通知を受けた情報セキュリティ管理者は、当該違反行為に係る適正な措置を講じなければならない。

3　統括情報セキュリティ責任者は、違反行為が前2項の規定による情報セキュリティ管理者の指導等によっても改善されない場合は、当該職員のネットワーク又は情報システムを使用する権利を停止し、又は剥奪することができる。この場合において、統括情報セキュリティ責任者は、当該権利を停止し、又は剥奪した旨を速やかにCISO及び当該職員が所属する課等の情報セキュリティ管理者に通知しなければならない。

2　情報セキュリティ管理者又は情報システム管理者は、業務委託の実施までに、委託の前提条件として次に掲げる事項の実施を委託事業者に求めなければならない。

2　情報セキュリティ管理者又は情報システム管理者は、業務委託の実施期間において、次に掲げる事項を委託事業者に求めなければならない。

2　情報セキュリティ管理者又は情報システム管理者は、業務委託の終了に際して、次に掲げる事項の実施を委託事業者に求めなければならない。

2　情報システム管理者は、情報システムの運用及び保守を業務委託する場合は、委託事業者が実施する情報システムに対する情報セキュリティ対策を適切に把握するため、当該対策による情報システムの変更内容について、契約に基づき、委託事業者に速やかな報告を求めなければならない。

2　情報システム管理者又は情報セキュリティ管理者は、業務委託サービスに係るセキュリティ要件を定め、業務委託サービスを選定しなければならない。

3　情報システム管理者又は情報セキュリティ管理者は、委託事業者の信頼性が十分であることを総合的かつ客観的に評価し判断しなければならない。

4　情報システム管理者又は情報セキュリティ管理者は業務委託サービスを利用する場合には、統括情報セキュリティ責任者又は情報セキュリティ責任者へ当該サービスの利用申請を行わなければならない。

5　統括情報セキュリティ責任者又は情報セキュリティ責任者は、業務委託サービスの利用申請を受けた場合は、当該利用申請を審査し、利用の可否を決定しなければならない。

6　統括情報セキュリティ責任者又は情報セキュリティ責任者は、業務委託サービスの利用申請を承認した場合は、承認済み業務委託サービスとして記録し、業務委託サービス管理者を指名しなければならない。

2　統括情報セキュリティ責任者は、クラウドサービスの特性及び責任分界点に係る考え方等を踏まえ、クラウドサービスを利用して情報システムを導入及び構築する際のセキュリティ対策の基本方針を運用規程として整備しなければならない。

3　統括情報セキュリティ責任者は、クラウドサービスの特性及び責任分界点に係る考え方を踏まえ、クラウドサービスを利用して情報システムを運用及び保守する際のセキュリティ対策の基本方針を運用規程として整備しなければならない。

4　統括情報セキュリティ責任者は、クラウドサービスの特性や責任分界点に係る考えを踏まえ、次に掲げるクラウドサービスの利用を終了する際のセキュリティ対策の基本方針を運用規程として整備しなければならない。

2　情報セキュリティ管理者は、クラウドサービスで取り扱う情報の格付及び取扱制限を踏まえ、クラウドサービス提供者の選定基準に従ってクラウドサービス提供者を選定しなければならない。

3　情報セキュリティ管理者は、クラウドサービスの中断や終了時に円滑に業務を移行するための対策を検討し、クラウドサービス提供者の選定条件に含めるよう努めなければならない。

4　情報セキュリティ管理者は、クラウドサービスの利用を通じて市が取り扱う情報の格付等を勘案し、必要に応じて次に掲げる内容をクラウドサービス提供者の選定条件に含めるよう努めなければならない。

5　情報セキュリティ管理者は、クラウドサービスの利用を通じて市が取り扱う情報に対して国内法以外の法令及び規制が適用されるリスクを評価してクラウドサービス提供者を選定し、必要に応じて市の情報が取り扱われる場所及び契約に定める準拠法及び裁判管轄を選定条件に含めるよう努めなければならない。

6　情報セキュリティ管理者は、クラウドサービス提供者がその役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、クラウドサービス提供者の選定条件で求める内容をクラウドサービス提供者に担保させるとともに、再委託先の情報セキュリティ対策の実施状況を確認するために必要な情報を市に提供し、承認を受けるよう、クラウドサービス提供者の選定条件に含めるよう努めなければならない。この場合において、市は、クラウドサービス利用判断基準及びクラウドサービス提供者の選定基準に従って再委託の承認の可否を判断しなければならない。

7　情報セキュリティ管理者は、取り扱う情報の格付及び取扱制限に応じてセキュリティ要件を定め、クラウドサービスを選定するよう努めなければならない。この場合において、クラウドサービスのセキュリティ要件としてセキュリティに係る国際規格等と同等以上の水準を求めるよう努めなければならない。

8　情報セキュリティ管理者は、クラウドサービスの特性を考慮した上で、クラウドサービスが提供する部分を含む情報の流通経路全般にわたるセキュリティが適切に確保されるよう、情報の流通経路全般を見渡した形でセキュリティ設計を行った上で、情報セキュリティに関する役割及び責任の範囲を踏まえて、次に掲げる事項を定めなければならない。

9　情報システム責任者は、情報セキュリティ監査による報告書の内容、各種の認定又は認証制度の適用状況等から、クラウドサービス提供者の信頼性が十分であることを総合的及び客観的に評価し判断しなければならない。

2　情報セキュリティ管理者は、クラウドサービスを調達する場合は、クラウドサービス提供者及びクラウドサービスが調達仕様を満たすことを契約までに、利用承認を得るとともに、調達仕様の内容を契約に含めなければならない。

2　情報システム責任者は、職員によるクラウドサービスの利用申請を審査し、利用の可否を決定しなければならない。

3　情報システム責任者は、クラウドサービスの利用申請を承認した場合は、承認済みクラウドサービスとして記録しなければならない。

2　情報システム責任者は、情報システムにおいてクラウドサービスを利用する際には、情報システム台帳及び関連文書に記録又は記載した上で、統括情報セキュリティ責任者へ報告しなければならない。

3　情報システム責任者は、クラウドサービスの情報セキュリティ対策を実施するために必要となる文書として、クラウドサービスの運用開始前までに、次に掲げる実施手順を整備しなければならない。

4　情報システム管理者は、前項に定める規定に対し、構築時に実施状況を確認及び記録しなければならない。

2　情報システム責任者は、クラウドサービスの運用又は保守時に情報セキュリティ対策を実施するために必要となる項目等で修正又は変更等が発生した場合、情報システム台帳及び関連文書を更新又は修正しなければならない。なお、情報システム台帳を更新又は修正した場合は、統括情報セキュリティ責任者に報告しなければならない。

3　情報システム責任者は、クラウドサービスの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講じなければならない。

4　情報システム責任者は、クラウドサービスの特性や責任分界点に係る考え方を踏まえ、クラウドサービスで発生したインシデントを認知した際の対処手順を整備しなければならない。

5　情報システム管理者は、前各項において定める規定に対し、運用及び保守時に実施状況を定期的に確認及び記録しなければならない。

2　情報システム管理者は、前項に定める規定に対し、クラウドサービスの利用終了時に実施状況を確認及び記録しなければならない。

2　情報システム責任者は、職員によるクラウドサービスの利用申請を審査し、利用の可否を決定しなければならない。また、承認したクラウドサービスを記録しなければならない。

2　情報セキュリティ責任者は、情報セキュリティ管理者と連携して、所管する部局における情報セキュリティポリシーに沿った情報セキュリティ対策の状況について、毎年度及び必要に応じて自己点検を行わなければならない。

3　統括情報セキュリティ責任者、情報システム管理者及び情報セキュリティ責任者は、前2項の規定による自己点検を行った場合は、当該自己点検の結果と当該結果に基づく情報セキュリティ対策の改善策を決定し、春日市情報化推進本部に報告しなければならない。

4　職員は、第1項及び第2項の規定による自己点検の結果に基づき自己の権限の範囲内で情報セキュリティ対策の改善を図らなければならない。

5　春日市情報化推進本部は、第3項の規定により報告を受けた自己点検の結果を情報セキュリティポリシー及び関係規程等の見直しその他情報セキュリティ対策の見直しを行う場合において活用しなければならない。

2　前項において、横断的に改善が必要となる情報セキュリティ対策の運用見直しについて、内部の職制及び職務に応じた措置の実施又は指示し、措置の結果についてCISOに報告しなければならない。

(施行期日)

1　この告示は、令和3年4月1日から施行する。

(春日市戸籍情報システム等に係るデータ保護管理規程の一部改正)

2　春日市戸籍情報システム等に係るデータ保護管理規程(平成25年9月告示第134号)の一部を次のように改正する。

この告示は、令和4年4月1日から施行する。

この告示は、令和5年4月1日から施行する。

この告示は、令和5年4月1日から施行する。

(施行規則)

1　この告示は、公布の日から施行する。

(春日市戸籍情報システム等に係るデータ保護管理規程の一部改正)

2　春日市戸籍情報システム等に係るデータ保護管理規程(平成25年9月告示第134号)の一部を次のように改正する。

この告示は、公布の日から施行する。

この告示は、公布の日から施行する。