○藤里町住民基本台帳ネットワークシステムセキュリティ対策要綱
平成14年8月22日
訓令第8号
(趣旨)
第1条 この要綱は、住民基本台帳関係諸法令、住民基本台帳ネットワークシステムセキュリティ基本方針書(平成12年9月25日住民基本台帳ネットワークシステム推進協議会決定)及び住民基本台帳ネットワークシステムのセキュリティ対策に関する指針(平成14年6月10日同協議会決定)に基づき、住民基本台帳ネットワークシステム(以下「住基ネット」という。)で取り扱われる本人確認情報について、制度、技術及び運用の各面にわたる高度な安全性を維持するため、住基ネットのセキュリティ対策について定めるものとする。
(職員等の義務)
第2条 本町が所掌する住基ネットに関する業務に携わる全ての職員(会計年度任用職員及び臨時的任用職員を含む。)及びその業務の委託を受けた者は、住民基本台帳関係諸法令に定める事項及びこの要綱に定める事項を遵守して、当該業務を遂行しなければならない。
(セキュリティ統括責任者)
第3条 住基ネットのセキュリティ対策を総合的に実施するため、セキュリティ統括責任者を置く。
2 セキュリティ統括責任者は、副町長の職にある者をもってあてる。
(平19訓令8改正)
(システム管理者)
第4条 住基ネットを適正に管理するとともに、セキュリティ統括責任者を補佐するため、システム管理者を置く。
(平31訓令15・一改)
2 システム管理者は、総務課長の職にある者をもって充てる。
(セキュリティ管理者)
第5条 住基ネットのセキュリティ対策を実施するため、セキュリティ管理者を置く。
2 セキュリティ管理者は、町民課長の職にある者をもって充てる。
(平19訓令8、平23訓令3・一改)
3 セキュリティ管理者は、別表第1に掲げる業務管理項目について適切な運用に努めなければならない。
4 セキュリティ管理者は、計画に従い住基ネットに携わる職員の教育・研修を実施しなければならない。
(セキュリティ会議)
第6条 住基ネットのセキュリティ管理を適切に行うため、セキュリティ会議を設置する。
2 セキュリティ会議は、次に掲げる事項を審議する。
(1) 住基ネットのセキュリティ対策の決定及び見直し
(2) 前号のセキュリティ対策の遵守状況の確認
(3) 教育・研修計画の決定
(4) その他住基ネットのセキュリティ対策に関し必要と認められること。
3 セキュリティ会議は次に掲げる者をもって組織する。
(1) セキュリティ統括責任者
(2) システム管理者
(3) セキュリティ管理者
4 会議は、セキュリティ統括責任者が招集し、その議長となる。
5 システム管理者は、副議長となり、議長が事故又は欠けたときはその職務を代理する。
6 議長は、必要と認めるときは、会議に関係職員の出席を求めることができる。
7 セキュリティ会議の庶務は、町民課町民福祉係において処理する。
(平19訓令8、平23訓令3、平25訓令6・一改)
(関係部署に対する指示等)
第7条 セキュリティ統括責任者は、セキュリティ会議の結果を踏まえ、関係課の長に必要な措置を指示することができる。
(入退室管理を行う室)
第8条 住基ネット運用が行われる電算室において、入退室管理を行うものとする。
(入退室管理者)
第9条 前条の入退室管理を実施するため、入退室管理者を置く。
2 電算室の入退室管理者は、総務課長の職にある者をもって充てる。
3 入退室管理者は、住基ネットのセキュリティを確保するため、入退室の管理に関し必要な措置をとらなければならない。
(操作方法)
第10条 住基ネットで利用する端末等の機器については、別に定める取扱手引書に準じて運用を行う。
(アクセス管理を行う機器)
第11条 次に掲げる住基ネットの構成機器について、アクセス管理を行う。
(1) サーバ
(2) 業務端末機
2 前項のアクセス管理は、照合情報認証(個人の静脈の情報に不可逆演算処理を施して得られた情報(以下「照合情報」という。)と認証時に読み取られる生体情報とを照合し、認証する方法をいう。)により操作者の正当な権限を確保すること及び操作履歴を記録することにより行うものとする。
(平31訓令15・一改)
(アクセス管理責任者)
第12条 前条のアクセス管理を実施するため、アクセス管理責任者を置く。
2 アクセス管理責任者は、町民課長の職にある者をもって充てる。
(平19訓令8改正)
3 アクセス管理責任者は、次の各号に定める事項を行うものとする。
(1) 操作者を識別するためのID(以下「照合ID」という。)及び操作権限を識別するためのID(以下「操作者ID」という。)の管理に関すること。
(平31訓令15・一改)
(2) 照合情報の登録及び削除に関すること。
(平31訓令15・一改)
(3) 操作者IDの種類ごとの操作者を定めること。
(平31訓令15・一改)
(4) 操作記録の取得及び保存に関すること。
(照合ID等の管理)
第13条 アクセス管理責任者は、操作者に対し照合IDを付与する。
2 アクセス管理責任者は、照合IDに対して業務に必要な操作者IDを付与する。
3 アクセス管理責任者は、操作者の退職、人事異動等に際しては、照合情報を削除する。
(平31訓令15・一改)
(操作者の義務)
第14条 操作者は、次の各号に定める事項を遵守しなければならない。
(1) 照合ID及び操作者IDの他者への貸与、目的外利用等を行ってはならない。
(平31訓令15・一改)
(2) その他アクセス管理責任者の指示に従わなければならない。
(職員による不正アクセス)
第15条 アクセス管理責任者は、職員による不正アクセスがあった場合には、その事案等を調査し、人事担当課長等へ報告を行うものとする。
(操作履歴の記録)
第16条 アクセス管理責任者は、操作履歴について、7年間これを保存するものとする。
(情報資産管理)
第17条 住基ネットの情報資産(住基ネットに係る全ての情報並びにソフトウェア、ハードウェア、ネットワーク及び磁気ディスクをいう。以下同じ。)を管理するため、本人確認情報、当該本人確認情報が記録されたサーバに係る帳票及び個人番号カード等(個人番号カード及び通知カード並びに住民基本台帳カードをいう。以下同じ。)の管理責任者(以下「本人確認情報管理責任者」という。)及びこれら以外の情報資産の管理責任者(以下「情報資産管理責任者」という。)を置く。
2 本人確認情報管理責任者は、町民課長の職にある者をもって充てる。
3 情報資産管理責任者は、総務課長の職にある者をもって充てる。
(平31訓令15・新設)
(本人確認情報の管理)
第18条 本人確認情報管理責任者は、次に定めるところにより本人確認情報を管理しなければならない。
(1) 業務上必要のない本人確認情報を、業務端末の表示装置(以下「表示装置」という。)に表示させないこと。
(2) 長時間にわたり本人確認情報を表示装置に表示した状態を継続させないこと。
(3) 本人確認情報が表示された表示装置を操作者以外の者(本人確認情報の開示請求者を除く。)から見えないようにさせること。
(4) 表示装置に表示された画面を必要以上に出力し、又は画像データとして保管させないこと。
(5) 業務上必要のない本人確認情報の検索を行わせないこと。
(6) 本人確認情報が記載されている帳票を出力した場合は、当該帳票を適正に管理させること。
(7) 操作者が行う事務以外の帳票を出力した場合は、当該帳票を適正に管理させること。
(平31訓令15・新設)
(構成機器等の管理)
第19条 情報資産管理責任者は、住基ネットを構成する機器について、次に定めるところより適正に管理しなければならない。
(1) 利用するハードウェア、ソフトウェア及び磁気ディスクの種類、数量並びに配置等を記録管理すること。
(2) 構成機器及び関連施設の保守を定期に又は随時に実施すること。
(3) コンピュータウィルス等の不正プログラムが混入され稼働していないかを監視し、混入していた場合には駆除すること。
(4) 不正侵入防御機の操作履歴を記録し、解析すること。
(5) 保守作業の実施や賃貸借契約の期間満了等に伴い機器を交換するときは、専用ソフトによるデータの消去又は機器の破壊等の措置を講じ、当該機器に記録されたセキュリティ情報及び個人情報を読み出すことができないようにすること。
(平31訓令15・新設)
(システム設計書等の管理)
第20条 情報資産管理責任者は、システム設計書、操作手引書その他住基ネットに係る仕様書を所定の場所に保管し、適正に管理しなければならない。
(平31訓令15・新設)
(データの管理)
第21条 情報資産管理責任者は、住基ネットのデータについて、定期的にバックアップを行うとともに、火災その他の災害及び盗難を防止するよう努めなければならない。
(平31訓令15・新設)
(帳票の管理)
第22条 情報資産管理責任者は、住基ネットに係る帳票について、次に掲げるところにより管理しなければならない。
(1) 帳票の保管に際しては、所定の保管用具に保管し、紛失及び盗難を防止するための措置を講じること。
(2) 帳票の廃棄に関しては、焼却その他の復元できない方法によること。
(平31訓令15・新設)
(個人番号カード等の管理)
第23条 本人確認情報管理責任者は、発行前の個人番号カード等について、次に掲げるところにより管理しなければならない。
(1) 所定の保管用具に保管し、紛失及び盗難を防止するための措置を講じること。
(2) 個人番号カード等の受払簿を作成すること。
2 本人確認情報管理責任者は、返納された個人番号カード等及び発行に失敗した個人番号カード等について、次に掲げるところにより管理しなければならない。
(1) 速やかに廃棄すること。
(2) 廃棄するまでの間、紛失及び盗難を防止するための措置を講じること。
(3) 廃棄に際しては、裁断等により物理的に破壊すること。
(4) 廃棄についての記録簿を作成すること。
(平31訓令15・新設)
(緊急時対策)
第24条 住基ネットにおける障害及び不正行為の緊急時の対応計画は、別に定めることとする。
(委託を受けようとする者の管理体制等の調査)
第25条 住基ネットを管理し、又は利用する課の長は、外部委託をしようとするときは、あらかじめ、委託を受けようとする者における情報の保護に関する管理体制等について調査するものとする。
(平31訓令15・新設)
(外部委託の承認)
第26条 住基ネットを管理し、又は利用する課の長は、外部委託をしようとするときは、あらかじめ、セキュリティ会議の審議を経て、セキュリティ統括責任者の承認を得なければならない。
(平31訓令15・新設)
(委託契約書への記載事項)
第27条 外部委託に係る契約書には、情報の保護に関し、次に掲げる事項を明記しなければならない。
(1) 再委託の禁止又は制限に関する事項
(2) 情報が記録された資料の保管、返還又は廃棄に関する事項
(3) 情報が記録された資料の目的外使用、複製及び複写並びに第三者への提供の禁止に関する事項
(4) 情報の秘密保持に関する事項
(5) 事故等の報告に関する事項
(平31訓令15・新設)
(受託者の管理状況の調査)
第28条 住基ネットを管理し、又は利用する課の長は、必要に応じ受託者における当該外部委託に係るセキュリティ対策の実施状況について調査するものとする。
(平31訓令15・新設)
(補則)
第29条 この要綱に定めるもののほか必要な事項は、セキュリティ会議で審議して定めるものとする。
附則
この要綱は、平成14年8月22日から施行する。
附則(平成19年3月20日訓令第8号)
この訓令は、平成19年4月1日から施行する。
附則(平成23年3月18日訓令第3号)
この訓令は、平成23年4月1日から施行する。
附則(平成25年4月1日訓令第6号)
この訓令は、平成25年4月1日から施行する。
附則(平成31年4月1日訓令第15号)
この訓令は、平成31年4月1日から施行する。
附則(令和2年3月4日訓令第5号)
この訓令は、令和2年4月1日から施行する。
別表第1(第5条第3項関係)
運用業務管理項目
運用業務 | 管理項目 |
日常業務 | 業務担当者に対して、運用に関する教育・研修を実施しているか |
業務担当者は、操作手順書等に則った業務端末の運用を行っているか | |
業務以外での使用をしていないか | |
セキュリティ対策 | 業務端末からインターネット接続を行っていないか |
業務端末の設定場所について、セキュリティ対策は適切に講じられているか | |
業務アプリケーションのログオン／ログオフは適切に行われているか | |
帳票類の保管・廃棄は適切に行われているか | |
業務担当者に対して、セキュリティに関する教育・研修を実施しているか | |
パスワードの管理を徹底しているか | |
緊急時対応 | 障害内容を記録し、責任者に適切な報告を行っているか |
障害の原因を究明し、再発防止策を講じているか | |
緊急時対応計画書は作成されているか | |
緊急時対応計画書に則った運用がされているか |
(平31訓令15・一改)