(趣旨)

第1条　この基準は、尾張旭市情報セキュリティ基本規程(平成25年訓令第1号。以下「基本規程」という。)第2条第2号の規定に基づき、情報セキュリティ対策の実施に関し必要な事項を定めるものとする。

(定義)

第2条　この基準で使用する用語の意義は、基本規程の例によるほか、それぞれ当該各号に定めるところによる。

(最高情報セキュリティ責任者)

第3条　市の保有する全ての情報資産及び情報セキュリティの管理並びに情報セキュリティ対策に関する最終決定権限及びこれらの責任を有する最高責任者として、最高情報セキュリティ責任者(Chief　Intormation　Security　Officer。以下「CISO」という。)を置く。

(統括情報セキュリティ責任者)

第4条　CISOを補佐するものとして、統括情報セキュリティ責任者を置き、企画部長をもって充てる。

(情報セキュリティ責任者)

第5条　市において所管する情報システムの統括的な権限及び責任を有する者として、情報セキュリティ責任者を置く。

(情報セキュリティ管理者)

第6条　各課等における情報セキュリティ対策に関する権限及び責任を有する者として、情報セキュリティ管理者を置く。

(情報システム管理者)

第7条　各課等において所管する情報システムの権限及び責任を有する者として、情報システム管理者を置く。

(CSIRTの設置)

第8条　CISOは、情報セキュリティインシデントに対処するための体制(Computer　Security　Incident　Response　Team。以下「CSIRT」という。)を整備する。

(情報資産の分類)

第9条　情報資産は、機密性、完全性及び可用性により分類し、当該分類に基づき情報セキュリティ対策を行うものとする。

(情報資産の管理責任)

第10条　情報セキュリティ管理者は、その所管する情報資産について管理責任を有する。

(データ及び情報の作成)

第11条　データ及び情報を作成する者は、作成途上のデータ及び情報についても、紛失や流出等を防止しなければならない。また、データ及び情報の作成途上で不要になった場合は、当該データ及び情報を消去しなければならない。

(情報資産の利用)

第12条　情報資産を入手した者は、情報資産の分類に応じ、適正な取扱いをしなければならない。

(情報資産の利用)

第13条　情報資産を利用する者は、次に掲げる事項を遵守しなければならない。

(情報資産の保管)

第14条　情報セキュリティ管理者は、情報資産の分類に従って、情報資産を適正に保管しなければならない。

(情報資産の運搬)

第15条　機密性2以上の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。

(情報資産の提供、公表)

第16条　機密性2以上の情報資産を外部(市長その他の執行機関若しくは議会又はこれらに置かれる機関以外のものをいう。以下この条及び第58条において同じ。)に提供する者は、情報セキュリティ管理者に許可を得なければならない。

(情報資産の廃棄等)

第17条　情報資産の廃棄やリース返却等を行う者は、情報資産を記録している電磁的記録媒体について、機密性2以上の情報資産を復元できないように処置しなければならない。

(マイナンバー利用事務系と他の領域との分離)

第18条　情報セキュリティ責任者は、マイナンバー利用事務系と他の領域を通信できないようにしなければならない。マイナンバー利用事務系と外部との通信をする必要がある場合は、通信経路の限定及びファイアウォールの設定を行わなければならない。また、その外部接続先についてもインターネット等と接続してはならない。ただし、国等の公的機関が構築したシステム等、十分に安全性が確保された外部接続先については、この限りではなく、LGWANを経由して、インターネット等とマイナンバー利用事務系との双方向通信でのデータの移送を可能とする。

(データ及び情報の持ち出しにおける対策)

第19条　情報セキュリティ責任者及び情報システム管理者は、外部電磁的記録媒体による端末からのデータ及び情報の持ち出しができないように設定しなければならない。ただし、情報セキュリティ責任者の許可を得た場合はこの限りでない。

(LGWAN接続系とインターネット接続系の分割)

第20条　LGWAN接続系とインターネット接続系において、情報セキュリティ責任者は、両環境間の通信経路の分割をした上で、必要な通信だけを許可できるようにしなければならない。なお、メールやデータをインターネット接続系及び独立系からLGWAN接続系に取り込む場合は、次に掲げる方式により、無害化通信を図らなければならない。

(LGWAN接続系と接続するクラウドサービス上での情報システムの扱い)

第21条　情報セキュリティ責任者及び情報システム管理者は、LGWAN接続系の情報システムをクラウドサービス上へ配置する場合は、その領域をLGWAN接続系として扱い、LGWAN回線を用いて接続しなければならない。

(インターネット接続系の強靭じん性の向上)

第22条　インターネット接続系において、情報セキュリティ責任者は、通信パケットの監視、ふるまい検査等の不正通信の監視機能の強化により、情報セキュリティインシデントの早期発見と対処及びLGWANへの不適切なアクセスの監視の情報セキュリティ対策を講じなければならない。

(独立系の安全性の向上)

第23条　独立系において、情報セキュリティ責任者又は情報システム管理者は、情報セキュリティ対策を講じなければならない。

(機器の設置)

第24条　情報システム管理者は、サーバ等の機器の設置を行う場合は、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、震災時の転倒又は盗難防止のため、適正に固定する等、必要な措置を講じなければならない。

(機器の電源)

第25条　情報システム管理者は、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適正に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。

(通信ケーブル等の配線)

第26条　情報システム管理者は、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。

(機器の定期保守及び修理)

第27条　情報システム管理者は、機密性2以上、完全性2又は可用性2のサーバ等の機器の定期保守を実施しなければならない。

(庁外への機器の設置)

第28条　情報システム管理者は、庁外にサーバ等の機器を設置する場合、CISOの承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。

(機器の廃棄等)

第29条　情報システム管理者は、機器を廃棄、リース返却等をする場合、機器内部の記憶装置から、全てのデータ及び情報を消去の上、復元不可能な状態にする措置を講じなければならない。

(管理区域の構造等)

第30条　情報セキュリティ責任者は、施設管理部門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機能、警報装置等によって許可されていない立入りを防止しなければならない。

(管理区域の入退室管理等)

第31条　情報セキュリティ責任者は、管理区域への入退室を制限し、認証情報や入退室管理簿の記載による入退室管理を行わなければならない。

第32条　情報セキュリティ責任者は、機密性2以上の情報資産を取り扱うネットワークについて、必要なセキュリティ水準を検討の上、適正な回線を選択しなければならない。また、必要に応じ、送受信される情報の暗号化をしなければならない。

第33条　情報セキュリティ管理者及び情報システム管理者は、盗難防止のため、執務室等の端末のワイヤーによる固定又は使用時以外の施錠管理等の物理的措置を講じなければならない。電磁的記録媒体については、データ及び情報が保存される必要がなくなった時点で速やかに記録したデータ及び情報を消去しなければならない。

(職員の遵守事項)

第34条　職員の遵守事項は次のとおりとする。

(会計年度任用職員等への対応)

第35条　情報セキュリティ管理者は、職員のうち、地方公務員法(昭和25年法律第261号)第22条の2第1項第1号の規定により採用された職員その他職員以外の者であって、市の業務に従事する者に対し、任用時に情報セキュリティポリシー等の内容を説明し、遵守させなければならない。

(委託事業者に対する説明)

第36条　情報システム管理者は、ネットワーク及び情報システムの開発、保守等を事業者に発注する場合、再委託事業者も含めて、情報セキュリティポリシー等の内容を説明し、遵守させなければならない。

第37条　情報セキュリティ責任者は、定期的に情報セキュリティに関する研修を実施し、職員はそれに参加しなければならない。

第38条　情報セキュリティインシデントに関して必要な事項は、別に定める。

(ICカードの管理)

第39条　職員及びICカードを貸与された者は、自己の管理するICカードに関し、次の事項を遵守しなければならない。

(認証情報の取扱い)

第40条　職員は、自己の管理する認証情報に関し、次の事項を遵守しなければならない。

(パスワードの取扱い)

第41条　職員は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。

(ファイルサーバの設定等)

第42条　情報セキュリティ責任者は、職員が使用できるファイルサーバの容量を設定し、職員に周知しなければならない。

(バックアップの実施)

第43条　情報セキュリティ責任者及び情報システム管理者は、ファイルサーバ等に記録された機密性2以上、完全性2又は可用性2の情報資産について、サーバの冗長化対策にかかわらず、定期的にバックアップを実施しなければならない。

(内部管理系システムの利用)

第44条　内部管理系システムの利用に関して必要な事項は、別に定める。

(他団体との情報システムに関する情報等の交換)

第45条　情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、情報セキュリティ責任者の許可を得なければならない。

(システム管理記録及び作業の確認)

第46条　情報システム管理者は、所管する情報システムの運用において実施した作業について、作業記録を作成しなければならない。

(情報システム仕様書等の管理)

第47条　情報システム管理者は、ネットワーク構成図、情報システム仕様書について記録媒体にかかわらず、業務上必要とする者以外の者が閲覧したり、紛失等がないよう、適正に管理しなければならない。

(ログの取得等)

第48条　情報システム管理者は、機密性2以上、完全性2又は可用性2の情報を取り扱う情報システムについて、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。

(障害記録)

第49条　情報システム管理者は、職員からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適正に保存しなければならない。

(ネットワークの接続制御、アクセス制御)

第50条　情報セキュリティ責任者及び情報システム管理者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の機器を設定しなければならない。

(外部の者が利用できるシステムの分離等)

第51条　情報システム管理者は、電子申請の汎用受付システム等、外部の者が利用できるシステムについて、必要に応じ他のネットワーク及び情報システムと分離する等の措置を講じなければならない。

(外部ネットワークとの接続制限等)

第52条　情報システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、CISOの許可を得なければならない。

(複合機のセキュリティ管理)

第53条　情報セキュリティ責任者及び情報セキュリティ管理者は、複合機(プリンタ、ファクシミリ、イメージスキャナ、コピー機等の機能のうち複数のものが1つにまとめられている機器をいう。以下同じ。)を調達する場合、当該複合機が備える機能及び設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適正なセキュリティ要件を策定しなければならない。

(特定用途機器のセキュリティ管理)

第54条　情報セキュリティ責任者は、特定用途機器(テレビ会議システム、IP電話システム、ネットワークカメラシステム等の特定の用途に使用される情報システム特有の構成要素であって、通信回線に接続されている又は電磁的記録媒体を内蔵しているものをいう。)について、取り扱うデータ及び情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を講じなければならない。

(無線LAN及びネットワークの盗聴対策)

第55条　情報セキュリティ責任者は、LGWAN接続系、インターネット接続系又は独立系の無線LAN(コンピュータを相互に接続する通信手段のうち、無線により接続する通信手段をいう。)機器を設置する場合、解読が困難な暗号化及び認証技術を使用しなければならない。

(電子メールのセキュリティ対策)

第56条　情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理をいう。)が行われることを不可能とするよう、電子メールサーバを設定しなければならない。

(電子メールの利用制限)

第57条　職員は、電子メールの使用に際し、次の事項を遵守しなければならない。

(電子署名・暗号化)

第58条　職員は、機密性2、完全性2又は可用性2の情報資産について、外部に送るデータの機密性又は完全性を確保することが必要な場合には、指定された電子署名、パスワード等による暗号化等、セキュリティを考慮して、送信しなければならない。

(無許可ソフトウェアの導入等の禁止)

第59条　職員は、情報セキュリティ責任者の許可なくパソコン及びモバイル端末にソフトウェアを導入してはならない。なお、許可を受け導入する際は、情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。

(機器構成の変更の制限)

第60条　職員は、情報セキュリティ責任者及び情報システム管理者の許可なくパソコン及びモバイル端末に対し機器の改造、増設及び交換を行ってはならない。

(業務外ネットワークへの接続の禁止)

第61条　職員は、支給された端末を、有線・無線を問わず、情報システム管理者によって定められたネットワークと異なるネットワークに接続してはならない。

(業務以外の目的でのウェブ閲覧の禁止)

第62条　職員は、業務以外の目的でウェブを閲覧してはならない。

(Web会議サービスの利用時の対策)

第63条　情報セキュリティ責任者は、Web会議を適切に利用するための利用手順を定めなければならない。

(アクセス制御等)

第64条　情報システム管理者は、所管する情報システムにアクセスできる職員を適切に管理しなければならない。

(職員による外部からのアクセス等の制限)

第65条　情報セキュリティ責任者は、LGWAN接続系に対する外部からのアクセスが必要な場合は、必要な者に限定しなければならない。

(認証情報の管理)

第66条　情報セキュリティ責任者又は情報システム管理者は、職員の認証情報を厳重に管理しなければならない。

(情報システムの調達)

第67条　情報セキュリティ責任者及び情報システム管理者は、情報システム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。また、情報システムに誤ったプログラム処理が組み込まれないよう、不具合を考慮した技術的なセキュリティ機能を調達仕様書に明記しなければならない。

(情報システムの導入)

第68条　情報セキュリティ責任者及び情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報システムに接続する前に十分な試験を行い、開発の不備、プログラム上の欠陥並びに操作及び設定のミス等がないようにしなければならない。

(情報システムの納入時又は受入れ時)

第69条　情報システム管理者は、情報システムの納入時又は受入れ時の確認及び検査において、情報システムの情報セキュリティ対策に係る要件が満たされていることを確認しなければならない。

(システム導入、保守に関連する資料等の整備・保管)

第70条　情報システム管理者は、システム導入及び保守に関連する資料及びシステム関連文書を適正に整備・保管しなければならない。

(情報システムにおける入出力データ及び情報の正確性の確保)

第71条　情報システム管理者は、情報システムに入力されるデータ及び情報について、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。

(ソフトウェアの更新等)

第72条　情報システム管理者は、ソフトウェア等を更新、又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。

(システム更新又は統合時の検証等)

第73条　情報システム管理者は、システム更新又は統合時に伴うリスク管理体制の構築、移行基準の明確化及び更新又は統合後の業務運営体制の検証をしなければならない。

(情報システムの対策の見直し)

第74条　情報システム管理者は、所管する情報システムの情報セキュリティ対策を適切に見直さなければならない。

(不正プログラム措置事項)

第75条　情報セキュリティ責任者は、不正プログラム対策として、次の事項を措置しなければならない。

(職員の遵守事項)

第76条　職員の不正プログラム対策としての遵守事項は、次のとおりとする。

(専門家の支援体制)

第77条　情報システム管理者は、実施している不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければならない。

(不正アクセス措置事項)

第78条　情報セキュリティ責任者は、サーバ等に不正アクセスを受けた場合又は不正アクセスを受けるおそれがある場合は、システムの停止を含む必要な措置を講じなければならない。また、総務省、愛知県等と連絡を密にして不正アクセス情報の収集に努めなければならない。

(記録の保存)

第79条　情報セキュリティ責任者は、サーバ等に不正アクセスを受け、当該不正アクセスが不正アクセス禁止法違反等の犯罪の疑いがある場合には、不正アクセスの記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

(職員による不正アクセス)

第80条　情報セキュリティ責任者及び情報システム管理者は、職員による不正アクセスを発見した場合は、当該職員が所属する課等の情報セキュリティ管理者に通知し、適正な処置を求めなければならない。

(サービス妨害攻撃、サービス不能攻撃、サービス拒否の攻撃)

第81条　情報セキュリティ責任者及び情報システム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス妨害攻撃、サービス不能攻撃又はサービス拒否の攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

(標的型攻撃)

第82条　情報セキュリティ責任者及び情報システム管理者は、標的型攻撃による内部への侵入を防止するために、教育等の人的対策を講じなければならない。また、入口対策(標的型攻撃による組織内部への侵入を低減する対策をいう。)、内部対策(内部に侵入した攻撃を早期検知して対処する、侵入範囲の拡大の困難度を上げる対策をいう。)及び出口対策(外部との不正通信を検知して対処する対策をいう。)を講じなければならない。

第83条　情報セキュリティ責任者及び情報システム管理者は、サーバ装置、端末及び通信回線装置等におけるセキュリティホール等に関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

(情報システムの運用・保守時の対策)

第84条　情報セキュリティ責任者及び情報システム管理者は、情報システムの運用・保守において、情報システムに実装された監視を含むセキュリティ機能を適切に運用しなければならない。

(情報システムの監視)

第85条　情報セキュリティ責任者及び情報システム管理者は、セキュリティに関する侵害を検知するため、情報システムを監視しなければならない。

第86条　情報セキュリティ責任者及び情報システム管理者は、情報セキュリティポリシーの遵守状況について確認を行い、問題が発生した場合には、適正かつ速やかに対処しなければならない。

(端末及び電磁的記録媒体等の利用状況調査)

第87条　情報セキュリティ責任者は、統括情報セキュリティ責任者が必要があると認める場合は、職員が使用している端末及び電磁的記録媒体等のログ、電子メールの送受信記録等の利用状況を調査することができる。

(実施手順の作成)

第88条　情報セキュリティ責任者及び情報セキュリティ管理者は、情報セキュリティインシデントが発生した場合又は発生するおそれがある場合の連絡、証拠保全、被害拡大の防止、復旧、再発防止等の措置を迅速かつ適正に実施するために必要な実施手順をあらかじめ定めるとともに、セキュリティ侵害時には当該手順に従って適正に対処しなければならない。

(実施手順の事項)

第89条　前条に規定する実施手順には、次の事項を定めなければならない。

(実施手順の見直し)

第90条　情報セキュリティ責任者及び情報セキュリティ管理者は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて実施手順を見直さなければならない。

(許可を得た例外措置)

第91条　情報セキュリティ管理者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用する又は遵守事項を実施しないことについて合理的な理由がある場合には、CISOの許可を得て、例外措置を講じることができる。

(緊急時の例外措置)

第92条　情報セキュリティ管理者及び情報システム管理者は、行政事務の遂行に緊急を要する等の場合であって、例外措置を実施することができないときは、事後速やかにCISOに報告しなければならない。

第93条　職員は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令を遵守し、これに従わなければならない。

第94条　情報システム管理者は、大規模又は広範囲にわたる疾病により、職員が不足することで、所管する情報システムが正常に運用できないことがないようにするための対策を講じなければならない。

第95条　地震、落雷、火災等の災害又は電力供給の途絶、通信の途絶、水道供給の途絶等のインフラ障害からの波及等の脅威によって、サービス及び業務の停止等の情報セキュリティインシデントが発生することを考慮し、業務継続に関して必要な事項は、別に定める。

(委託判断基準)

第96条　委託事業者への提供を認める情報は、第9条第1項から第4項までに規定する情報資産の分類と取扱制限に基づき、情報セキュリティ管理者又は情報システム管理者が判断する。

(業務委託の選定基準)

第97条　情報セキュリティ管理者は、委託事業者の選定に当たり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。

(業務委託実施前の対策)

第98条　情報セキュリティ管理者又は情報システム管理者は、業務委託の実施までに、次の事項を実施しなければならない。

(業務委託実施期間中の対策)

第99条　情報セキュリティ管理者又は情報システム管理者は、業務委託の実施期間において、次の事項を実施しなければならない。

(業務委託終了時の対策)

第100条　情報セキュリティ管理者又は情報システム管理者は、業務委託の終了に際して、次の事項を実施しなければならない。

(情報システムに関する業務委託における共通的対策)

第101条　情報システム管理者は、情報システムに関する業務委託の実施までに、情報システムに本市の意図しない変更が加えられないための対策に係る選定条件を委託事業者の選定条件に加え、仕様を策定しなければならない。

(情報システムの構築を業務委託する場合の対策)

第102条　情報システム管理者は、情報システムの構築を業務委託する場合は、契約に基づき、次の事項の実施を委託事業者に求めなければならない。

(情報システムの運用・保守を業務委託する場合の対策)

第103条　情報システム管理者は、情報システムの運用・保守を業務委託する場合は、情報システムに実装されたセキュリティ機能が適切に運用されるための要件について、契約に基づき、委託事業者に実施を求めなければならない。

(外部サービスの規定の整備)

第104条　外部サービス(クラウドサービス)の利用に関して必要な事項は、別に定める。

(監査の実施)

第105条　CISOは、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、必要に応じて監査を行わせなければならない。

(監査を行う者の要件)

第106条　監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者とする。

(保管)

第107条　情報セキュリティ責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書は、紛失等が発生しないように適正に保管しなければならない。

(監査結果の活用)

第108条　情報セキュリティ責任者は、監査結果を本基準及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

(自己点検の実施方法)

第109条　情報セキュリティ責任者及び情報システム管理者は、所管するネットワーク及び情報システムについて情報セキュリティポリシーに沿った情報セキュリティ対策状況について、必要に応じて自己点検を実施しなければならない。

(自己点検結果の活用)

第110条　職員は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。

第111条　情報セキュリティ責任者は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等を踏まえ、本基準及び関係規程等について必要があると認めた場合、改善を行うものとする。

第112条　この基準に定めるもののほか、必要な事項は、別に定める。