○羅臼町住民基本台帳ネットワークシステム管理運営規程
平成19年12月20日
規程第20号
羅臼町住民基本台帳ネットワークシステム管理運営規程
(目的)
第1条 この規程は、羅臼町の住民基本台帳ネットワークシステム(以下「住基ネット」という。)の情報セキュリティ対策について、必要な事項を定めるものとする。
(用語)
第2条 この規程における用語の意義は、「電気通信回線を通じた送信又は磁気ディスク装置の送付並びに磁気ディスクへの記録及び保存の方法に関する技術的基準(平成14年総務省告示第334号)において規定する用語の例による。
(入退室管理を行う区域)
第3条 次に掲げる住基ネットの運用が行われる区域において、それぞれのセキュリティ区分に応じた入退室管理を行うものとする。
セキュリティ区分 | 場所 |
レベル2 | ・住基ネットのデータ、セキュリティ情報等の保管室 ・サーバ、ネットワーク機器の設置室 |
レベル1 | ・業務端末の設置室 |
2 それぞれのセキュリティ区分に応じた入退室管理の方法は、次のとおりとする。
セキュリティ区分 | 入退室管理の方法 |
レベル2 | ・入退室は、入退室管理者から事前に許可を得ている者のみが行う ・入退室を行う者は、鍵又は認証装置の暗証番号を用いて入退室を行う ・入退室を行う者は、必ず名札を着用しなければならない ・入退室管理者は、入退室の状況について、入退室管理簿を作成し、記録する |
レベル1 | ・入退室は、入退室管理者から事前に許可を得ている者のみが行う ・入退室を行う者は、必ず名札を着用しなければならない |
(入退室管理者)
第4条 入退室管理者は、レベル2に該当する室にあっては総務課長、レベル1に該当する室にあっては町民環境課長をもって充てる。
2 入退室管理者は、入退室管理を行う室について入退室の管理を行うほか、住基ネットのセキュリティを確保するため、入退室の管理に関し、必要な措置をとらなければならない。
3 入退室管理者は、入退室管理を行う室について、退庁時等職員が不在となる場合の施錠管理等、防犯対策を講ずるものとする。
(臨時的な入退室の許可)
第5条 レベル2に該当する室の入退室管理者は、事前に許可した者以外の者を入退室させる必要があると認める時は、臨時的に入退室を許可することができる。
2 レベル2に該当する室の入退室管理者は、レベル2に該当する室について入退室を臨時的に許可した場合は、その旨を入退室管理簿に記録するとともに、事前に入退室を許可された者を立ち合わせて入退室を行わなければならない。
(鍵及び認証装置の暗証番号の管理)
第6条 レベル2に該当する室に入退室を行うために必要な鍵及び認証装置の暗証番号の管理は、レベル2に該当する室の入退室管理者が行う。
2 レベル2に該当する室の入退室管理者は、レベル2に該当する室について入退室を許可した者のうち必要と認められる者に限り、鍵又は認証装置の暗証番号を貸与するものとする。
(管理簿の作成)
第7条 レベル2に該当する室の入退室管理者は、入退室管理簿を作成し、これを保存しなければならない。
2 レベル2に該当する室の入退室管理者は、鍵又は認証装置の暗証番号の貸与について管理簿を作成し、これを保管しなければならない。
(指示)
第8条 羅臼町住民基本台帳ネットワークシステムのセキュリティ対策に関する規程(平成14年規程第6号)(以下「セキュリティ対策規程」という。)第3条に規定するセキュリティ統括責任者は、適切な入退室管理が行われているかどうか入退室管理者等から報告を聴取し、調査を行い、必要な指示を行うものとする。
(建物等への侵入の防止等)
第9条 システム管理責任者は住民記録システムに係る建物及び重要機能室(以下「建物等」という。)の管理を適切に行うため、次のとおり必要な措置を講ずる。
(1) 物等の壁、窓、ドア等が容易に破壊されないための措置。
(2) 建物等への侵入を検知し、電力及び電気通信回線の切断等を防止するための措置。
(3) 重要機能室の外に設置された関連設備に対する不当な接触を防止するための措置。
(重要機能室の配置及び構造並びにその管理)
第10条 システム管理責任者は重要機能室の配置及び構造について、次に掲げる事項を実施する。
(1) 安全性及び信頼性を確保する対策並びに保守が容易に行えるようにする。
(2) 重要機能室についての表示を行わない等、できるだけ所在を明らかにしない。また、緊急事態発生の際の連絡設備を設ける等、連絡体制を整備する。
(3) 電子計算機及び電気通信関係装置を厳重に固定し、磁気ディスク及びドキュメントを専用保管庫により施錠保管する。
(4) 電子計算機室及び磁気ディスク等保管室の常時利用する出入口を限定すること等により、侵入の防止を行えるようにする。
(アクセス管理を行う機器)
第11条 次に掲げる住基ネットの構成機器について、アクセス管理を行う。
(1) サーバ
(2) 業務端末
2 アクセス管理は、照合情報認証により操作者の正当な権限を確認すること、及び操作履歴を記録することにより行うものとする。
(アクセス管理責任者)
第12条 アクセス管理を実施するため、アクセス管理責任者を置く。
2 アクセス管理責任者は、総務課長をもって充てる。
(照合ID、照合情報及び操作者ID)
第13条 アクセス管理責任者は、照合ID、照合情報及び操作者IDに関し、次に掲げる事項を実施する。
(1) 照合ID、照合情報及び操作者IDの管理方法を定める。
(2) セキュリティ対策規程第5条に規定するセキュリティ責任者と協議して、操作者IDの種類毎の操作者を定める。
(3) 照合ID及び操作者IDの管理簿を作成する。
(操作者の責務)
第14条 操作者は、照合ID、照合情報及び操作者IDの管理方法を遵守しなければならない。
(操作履歴の記録)
第15条 アクセス管理責任者は、操作履歴について7年前まで遡って解析できるよう、保管するものとする。
(オペレーティングシステムの管理)
第16条 アクセス管理責任者は、アクセス管理を実施するほか、住基ネットに係る構成機器のオペレーティングシステムについて、必要なセキュリティ対策を実施する。
(情報資産管理)
第17条 住基ネットの情報資産(住基ネットに係る全ての情報並びにソフトウェア、ハードウェア、ネットワーク及び磁気ディスクをいう。以下同じ。)について、管理責任者を置く。
2 情報資産のうち、本人確認情報、当該本人確認情報が記録されたサーバに係る帳票及び住民基本台帳カードの管理責任者(以下「本人確認情報管理責任者」という。)は町民環境課長をもって充て、これら以外の情報資産の管理責任者(以下「情報資産管理責任者」という。)は総務課長をもって充てる。
(本人確認情報管理責任者)
第18条 本人確認情報管理責任者は、本人確認情報を取り扱うことができる者を指定するとともに、当該本人確認情報の漏えい、滅失及び毀そんの防止、その他当該本人確認情報の適切な管理のための必要な措置を講じなければならない。
2 本人確認情報管理責任者は、本人確認情報の記録されたサーバに係る帳票及び住民基本台帳カードの管理方法を定めるものとする。
(情報資産管理責任者)
第19条 情報資産管理責任者は、当該情報資産の管理方法(操作者の指定を含む。)を定めるものとする。
2 情報資産管理責任者は、本人確認情報管理責任者と協議し、住基ネットのオペレーション計画を定めるものとする。
3 情報資産管理責任者は、情報資産の管理について、必要な措置を講ずる。
(委託)
第20条 セキュリティ対策規程第4条に規定するシステム管理責任者は、住基ネットに係る業務を外部に委託しようとするときは、次に掲げるとおり、必要な措置を講ずる。
1 委託先事業者の選定基準
(1) 選定の基準
住民記録システムの開発、変更、運用、保守等について、委託して処理する場合は、以下の点に留意して、事業者の安全性、信頼性等を確認し、委託先事業者を選定すること。
ア 委託しようとする事業者に関して、あらかじめ、経営の健全性、安定性、営業規模、営業地域等を調査すること。
イ 委託しようとする事業者の業務完遂能力に関して、委託する業務の内容に応じて、要員の技術力及び教育体制等のほか、個人情報保護措置及びセキュリティ確保のための措置の実施状況等について調査し、判断すること。また、損害賠償のための財務力及び社会的信用をき損する行為の有無等について調査し、これらの調査結果を総合して判断すること。
ウ セキュリティ管理システムに係る国際規格の認証取得状況等については、選定の際に考慮することが望ましいこと。
(2) 選定に際して確認すべき事項
委託しようとする事業者に対し、安全性及び信頼性を確保するための措置の内容を、あらかじめ、具体的に明らかにさせ、その内容について、(1)イにおける調査結果を踏まえ、確認すること。
(3) 選定に際しての内部における審査及び承認の手続
委託して処理する業務の内容、委託する理由及び情報の保護に関する事項等について、あらかじめ、セキュリティ会議の審議を経て、セキュリティ総括責任者の承認を得なければならないこと。
2 委託先事業者等に対する遵守事項の説明
住民記録システムの開発及び保守等について委託先事業者から再委託(再委託先から、さらに委託が行われる再々委託等を含む。以下同じ。)を受ける事業者を含めた委託先事業者に対して、委託先事業者等が遵守すべき事項及びそれらに係る機密事項について説明すること。
3 委託契約に規定し委託先事業者等に対して義務付ける事項
(1) 委託先事業者における責任体制の明確化
委託先事業者に対して、当該委託契約に係るセキュリティ責任者を明確にさせるとともに、変更する場合の手続及び連絡方法について定めさせること。
(2) 委託先事業者がとるべき安全性及び信頼性を確保するための措置
委託先事業者が、1(2)において明らかにし、羅臼町長が確認した安全性及び信頼性を確保するための措置の内容を規定し、確実に履行させること。
(3) 業務を処理する場所の指定
委託先事業者に対して、原則として、羅臼町の事務所内において当該委託業務を処理する場所を指定すること。委託先事業者が業務を処理する場所及び機器等は、羅臼町の事務室及び機器等と明確に区別すること。また、委託先事業者は、その管理下にある従事者に対して、当該委託先事業者が発行する身分証明書を常時携帯させ、及び事業者名記章を着用させなければならないこと。
(4) 業務従事者の特定
委託先事業者に対して、当該委託契約に係る業務従事者を明確にさせるとともに、変更する場合の手続及び連絡方法について定めさせること。
(5) データの適切な管理
委託先事業者に対して、羅臼町から提供した業務に係る原始資料及びその他の資料(入出力帳票、ドキュメント及び記憶媒体を含む。)について、以下のとおり、適切な管理を行わせること。また、(6)ただし書に基づき、羅臼町が承認した再委託に係る再委託先事業者についても、同様とすること。
ア 施錠できる保管庫又は施錠若しくは入退室管理の可能な保管室に保管する等、適正に管理させること。また、当該委託業務以外の用途に使用させないこと。
イ あらかじめ、羅臼町長の承認を受けて、業務を処理する場所として、羅臼町長が指定した場所へ持ち出す場合を除き、データを定置された場所から持ち出させないこと。
また、承認は必要な条件を付して行い、データを持ち出す場合にあっては、電子政府推奨暗号として政府が推奨する方法による適切なデータの暗号化処理又はこれらと同等以上のデータ保護措置を講じさせること。
ウ あらかじめ、羅臼町長の承認を受けて、業務を処理する場所での業務に必要最小限の範囲で行う場合を除き、データを複製、複写又は第三者に提供させないこと。
エ 委託業務終了時に、不要となったデータについては、遅滞なく羅臼町に返還させること、又は、あらかじめ、羅臼町長が承認し、消去若しくは廃棄させること。消去又は廃棄を行う場合には、当該媒体に記録されているデータが判読できないよう必要な措置を講じさせること。
オ 羅臼町は、イ及びウの承認の基準及び手続を定めるとともに、委託先事業者等がアからエまでに即しているかどうかを、定期的及び必要に応じて随時に確認すること。
(6) 再委託の制限
委託先事業者に対して、当該委託業務を第三者である別の事業者に再委託させないこと。ただし、全体としての委託業務の遂行に支障が生じない範囲で、補助的業務について、あらかじめ羅臼町長の承認を受けた場合においては、この限りでないこと。
再委託を承認しようとする場合は、委託先事業者に、再委託して処理する内容、再委託する理由、再委託先事業者の名称、再委託先事業者において取り扱う情報、再委託先事業者における安全性及び信頼性を確保する対策並びに再委託先事業者に対する管理及び監督の方法等を、具体的に明らかにさせること。
なお、羅臼町は、再委託の承認の基準を定めること。また、1(3)に準じて再委託の承認の手続を定め、当該手続を経て、再委託を行わせること。再委託先事業者に対する管理及び監督の手続及び方法について、具体的に再委託契約において規定させること。
(7) 業務実施状況の報告
委託先事業者に対して、業務の進捗状況、処理態様、処理の実績、処理に要した時間等について、報告を求め、報告内容について確認すること。
羅臼町は業務内容に応じて、あらかじめ、報告の時期、頻度、方法、報告事項等を定めること。
(8) 秘密の保持
委託先事業者に対して、委託契約終了後を含め、羅臼町が秘密と指定した事項及び当該委託契約の履行に際し知り得た秘密を第三者に漏らしてはならない旨、徹底を図ること。委託先事業者から、その従事者に係る秘密保持等に関する誓約書を提出させる等、秘密保持義務を遵守させるための必要な措置を講ずること。
なお、委託先事業者が要員派遣を受ける場合、又は非常勤職員、臨時職員等を雇用する場合にも、同様の措置を講ずること。
(9) 従事者に対する教育及び研修の実施
委託先事業者に対して、当該委託契約の履行に必要な教育及び研修を、その従事者に対して行うよう求めること。また、委託先事業者が、その従事者に対して、関係法令及び関係規程を遵守させるため、必要な措置を講ずるよう求めること。
(10) 契約内容が遵守されなかった場合における損害賠償又は履行代金の減額の請求
委託先事業者において、契約内容が遵守されなかったため、情報流出等の事件又は事故が発生し、被害が生じた場合には、当該委託先事業者に対して、損害賠償又は履行代金の減額を請求できるように契約に規定すること。
(11) 監査及び検査
委託先事業者が実施する業務の状況を確認するため、当該委託先事業者に対して、監査及び検査を行うこと。
監査については、定期又は必要に応じて随時に、外部の知見を有するものと契約を終結して、行わせるよう努めること。外部の者に監査を行わせることが困難な場合には、できる限り、独立性及び公平性を担保し、外部監査に準じた措置を職員により講ずるものとすること。
検査については、定期又は必要に応じて随時に、業務が契約の規定に基づき処理されているかどうかを、担当の職員に検証及び確認させること。
また、これらの監査及び検査の結果に基づき、必要に応じ、委託先事業者に対して、改善を求める等の措置を講ずること。
(12) 安全性及び信頼性を確保する事件又は事故の報告
委託先事業者等において、委託業務の遂行に支障が生じるおそれのある事故の発生を知ったときは、その事故発生に係る帰責にかかわらず、直ちにその旨を報告させるようにすること。また、速やかに応急措置を講じさせた後、遅滞なく詳細な報告及び以後の対処方針を提出させること。当該事件又は事故が個人情報の漏えい、滅失又はき損に係るものである場合には、委託先事業者等に対して、漏えい、滅失又はき損に係る個人情報の内容、数量、事件又は事故の発生場所、発生状況等を詳細に記載した書面により、速やかに報告させ、必要な指示を行うこと。
委託業務に関して、安全性及び信頼性に関する事件又は事故等が発生した場合には、羅臼町において、外部に適切に説明するため、必要に応じ、当該事件又は事故内容等の公表を行うことについて、あらかじめ、委託先事業者等と確認しておくこと。
4 委託先事業者等に対する監督
委託先事業者等に対し、当該委託業務に係る安全性及び信頼性を確保する対策を実施させるとともに、適切な監督を行うこと。また、委託先事業者等によるエラー及び不正行為を防止し、データを保護するため、必要な措置を講ずること。
5 複数の事業者に委託する場合の分担範囲の明確化
住民記録システムの開発、変更、運用、保守等に複数の委託先事業者等が関わる場合は、各事業者が分担して行う範囲及び責任の範囲を明確にするとともに、事業者の間で業務処理上情報交換を密接に行えるよう必要な措置を講ずること。
(委任)
第21条 この規程に定めるもののほか、住基ネットの管理運営に関し必要な事項は、別に定める。
附則
この規程は、平成19年12月21日から施行する。
附則(平成20年7月1日規程第12号)
(施行期日)
この規程は、平成20年7月1日から施行する。
附則(平成23年6月1日規程第8号)
(施行期日)
この規程は、平成23年6月1日から施行する。
附則(平成26年5月29日規程第2号)
(施行期日)
この規程は、平成26年6月1日から施行する。
附則(令和2年7月1日規程第2号)
この規程は、令和2年7月1日から施行する。
附則(令和6年3月15日規程第1号)
この規程は、令和6年4月1日から施行する。