2　基本方針は、本市が保有する情報資産の機密性、完全性および可用性を維持するため、本市が実施する情報セキュリティ対策についての基本的な事項を定める。

3　対策基準は、基本方針を確実に実行するための、本市における情報資産に関する情報セキュリティ対策の基準を定める。

2　CISOは、必要に応じ、情報セキュリティに関する専門的な知識および経験を有した専門家を最高情報セキュリティアドバイザーとして置き、その業務内容を定めるものとする。

3　CISOは、CISOを補佐して本市における情報セキュリティに関する事務を整理し、CISOの命を受けて本市の情報セキュリティに関する事務を統括する最高情報セキュリティ副責任者(以下「副CISO」という。)1人を必要に応じて置く。

4　CISOは、本対策基準に定められた自らの担務を、副CISOその他の本対策基準に定める責任者に担わせることができる。

5　CISOは、第20条に定める情報資産の分類における機密性2以上、可用性2、完全性2の情報資産を外部で処理する場合における安全管理措置を定めなければならない。

2　統括情報セキュリティ責任者は、本市の全てのネットワークおよび情報システムにおける開発、設定の変更、運用、見直し等を行う権限および責任を有する。

3　統括情報セキュリティ責任者は、本市の全てのネットワークおよび情報システムにおける情報セキュリティ対策に関する権限および責任を有する。

4　統括情報セキュリティ責任者は、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者および情報システム担当者に対して、情報セキュリティに関する指導および助言を行う権限を有する。

5　統括情報セキュリティ責任者は、本市の情報資産に対するセキュリティ侵害が発生した場合またはセキュリティ侵害のおそれがある場合に、CISOの指示に従い、CISOが不在の場合には自らの判断に基づき、必要かつ十分な措置を実施する権限および責任を有する。

6　統括情報セキュリティ責任者は、本市の共通的なネットワーク、情報システムおよび情報資産に関する情報セキュリティ実施手順の維持および管理を行う権限および責任を有する。

7　統括情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者および情報システム担当者を網羅する連絡体制を含めた緊急連絡網を整備しなければならない。

8　統括情報セキュリティ責任者は、緊急時にはCISOに早急に報告を行うとともに、回復のための対策を講じなければならない。

9　統括情報セキュリティ責任者は、情報セキュリティ関係規程に係る課題および問題点を含む運用状況を適時に把握し、必要に応じてCISOにその内容を報告しなければならない。

2　情報セキュリティ責任者は、その所管する部局等において所有している情報システムにおける開発、設定の変更、運用、見直し等を行う統括的な権限および責任を有する。

3　情報セキュリティ責任者は、その所管する部局等において所有している情報システムについて、緊急時等における連絡体制の整備、このポリシーの遵守に関する意見の集約ならびに職員に対する教育、訓練、助言および指示を行う。

2　情報セキュリティ管理者は、その所掌する課室等において、情報資産に対するセキュリティ侵害が発生した場合またはセキュリティ侵害のおそれがある場合には、情報セキュリティ責任者、統括情報セキュリティ責任者およびCISOへ速やかに報告を行い、指示を仰がなければならない。

2　情報システム管理者は、所管する情報システムにおける情報セキュリティに関する権限および責任を有する。

3　情報システム管理者は、所管する情報システムに係る情報セキュリティ実施手順の維持および管理を行う。

2　情報セキュリティ監査の実施において、止むを得ない場合を除き、監査を受ける者とその監査を実施する者は、同じ者が兼務してはならない。

2　情報システム管理者は、所管する情報システムに対して、当該情報システムのセキュリティ要件に係る事項について、情報システム台帳を整備しなければならない。

3　情報セキュリティ管理者は、複製または伝送された情報資産およびクラウドサービスの環境に保存される情報資産についても前条の分類に基づき管理しなければならない。

4　情報セキュリティ管理者は、サービス利用前に、サービス終了に関する内容について、次の内容を含む文書の提出を求めなければならない。

2　情報を作成する者は、情報の作成時に第20条の分類に基づき、当該情報の分類と取扱制限を定めなければならない。

3　情報を作成する者は、作成途上の情報についても、紛失や流出等を防止するとともに、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。

2　職員以外の者が作成した情報資産を入手した者は、第20条の分類に基づき、当該情報の分類と取扱制限を定めなければならない。

3　情報資産を入手した者は、入手した情報資産の分類が不明な場合、情報セキュリティ管理者に判断を仰がなければならない。

2　情報資産を利用する者は、情報資産の分類に応じ、適正な取扱いをしなければならない。

3　情報資産を利用する者は、電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体を取り扱わなければならない。

2　情報セキュリティ管理者または情報システム管理者は、情報資産を記録した電磁的記録媒体を長期保管する場合は、書込禁止の措置を講じなければならない。

3　情報セキュリティ管理者または情報システム管理者は、機密性2以上、完全性2または可用性2の情報を記録した電磁的記録媒体を保管する場合、耐火、耐熱、耐水および耐湿を講じた施錠可能な場所に保管しなければならない。

2　機密性2以上の情報資産を運搬する者は、情報セキュリティ管理者に許可を得なければならない。

2　機密性2以上の情報資産を外部に提供する者は、情報セキュリティ管理者に許可を得なければならない。

3　情報セキュリティ管理者は、住民に公開する情報資産について、完全性を確保しなければならない。

2　情報資産の廃棄やリース返却等を行う者は、行った処理について、日時、担当者および処理内容を記録しなければならない。

3　情報資産の廃棄やリース返却等を行う者は、情報セキュリティ管理者の許可を得なければならない。

4　クラウドサービスで利用する全ての情報資産について、クラウドサービスの利用終了時期を確認し、クラウドサービスで扱う情報資産が適切に移行および削除されるよう管理しなければならない。

2　マイナンバー利用事務系と外部との通信をする必要がある場合は、通信経路の限定(MACアドレス、IPアドレス)およびアプリケーションプロトコル(ポート番号)のレベルでの限定を行うものとし、その外部接続先についてもインターネット等と接続してはならない。ただし、十分に安全性が確保された外部接続先(国等の公的機関が構築したシステム等)に限り、LGWANを経由して、インターネット等とマイナンバー利用事務系との双方向通信でのデータの移送を可能とする。

2　マイナンバー利用事務系において取り扱う情報については、原則として、USBメモリ等の電磁的記録媒体による端末からの持出しができないように設定しなければならない。ただし、統括情報セキュリティ責任者に申請し、電磁的記録媒体による持出しが止むを得ないと認められたときはこの限りでない。

2　滋賀県自治体情報セキュリティクラウドに参加するとともに、関係省庁や滋賀県等と連携しながら、情報セキュリティ対策を推進しなければならない。

2　情報システム管理者は、統括情報セキュリティ責任者および施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

2　統括情報セキュリティ責任者および情報システム管理者は、主要な箇所の通信ケーブルおよび電源ケーブルについて、施設管理部門から損傷等の報告があった場合、連携して対応しなければならない。

3　統括情報セキュリティ責任者および情報システム管理者は、ネットワーク接続口(ハブのポート等)を他者が容易に接続できない場所に設置する等適正に管理しなければならない。

4　統括情報セキュリティ責任者および情報システム管理者は、自らまたは情報システム担当者および契約により操作を認められた外部委託事業者以外の者が配線を変更または追加できないように必要な措置を講じなければならない。

2　情報システム管理者は、電磁的記録媒体を内蔵する機器を事業者に修理させる場合、内容を消去した状態で行わせなければならない。

3　前項の規定にかかわらず、内容を消去できない場合にあっては、情報システム管理者は、事業者に故障を修理させるに当たり、修理を委託する事業者との間で、守秘義務契約を締結するほか、秘密保持体制の確認等を行わなければならない。

2　クラウドサービス提供者が利用する資源(装置等)を処分(廃棄)する場合にあっては、セキュリティ確保の状況について、第三者監査の報告書等によりクラウドサービス提供者の方針および手順を確認しなければならない。

2　情報システム管理者は、サーバ室内の機器等に、転倒および落下防止等の耐震対策、防火措置、防水措置等を講じなければならない。

3　情報システム管理者は、サーバ室に配置する消火薬剤や消防用設備等が、機器および電磁的記録媒体等に影響を与えないようにしなければならない。

2　職員および委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。

3　情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立ち入り区域を制限した上で、管理区域への入退室を許可された職員が付き添うものとし、外見上職員と区別できる措置を講じなければならない。

4　情報システム管理者は、機密性2以上の情報資産を扱うシステムを設置している管理区域には、次の情報資産を持ち込ませてはならない。

2　情報システム管理者は、サーバ室の機器等の搬入出について、職員を立ち会わせなければならない。

2　統括情報セキュリティ責任者は、情報システムのセキュリティ要件として策定した情報システムのネットワーク構成に関する要件内容に従い、通信回線装置に対して適切なセキュリティ対策を実施しなければならない。

3　統括情報セキュリティ責任者は、外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。

4　統括情報セキュリティ責任者は、内部事務を処理するためのシステムをLGWAN接続系に集約するように努めなければならない。

5　統括情報セキュリティ責任者は、機密性2以上の情報資産を取り扱う情報システムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適正な回線を選択しなければならない。この場合において、必要に応じ、送受信される情報の暗号化を行わなければならない。

6　統括情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリティ対策を実施しなければならない。

7　統括情報セキュリティ責任者は、通信回線装置に導入されているソフトウェアの状態等を調査し、認識した脆弱性等について対策を講じるとともに、通信回線装置が動作するために必要なソフトウェアに関する事項を含む実施手順を定めなければならない。

8　統括情報セキュリティ責任者は、可用性2の情報を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。この場合において、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

2　情報システム管理者は、LGWAN系およびマイナンバー利用事務系の情報システムへのログインに際し、パスワード、スマートカード、生体認証等の内のいずれかの認証情報の入力を必要とするように設定しなければならない。

3　情報システム管理者は、マイナンバー利用事務系では次の認証手段のうち、二つ以上を併用する多要素認証を行うよう設定しなければならない。

4　情報システム管理者および情報セキュリティ管理者は、管理するシステム機器、ネットワーク機器または端末装置等で長期間利用しないものをネットワークから切り離さなければならない。

2　職員は、業務以外の目的で情報資産の外部への持出し、情報システムへのアクセス、電子メールアドレスの使用およびインターネットへのアクセスを行ってはならない。

3　職員は、情報資産の持出しおよび外部での情報処理作業を行うときは、次の事項を遵守しなければならない。

4　貸与以外のパソコン、モバイル端末および電磁的記録媒体等の業務利用について次のとおり定める。

5　情報セキュリティ管理者は、端末等の持出しおよび持込みについて、記録を作成し、保管しなければならない。

6　職員は、パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を情報セキュリティ管理者の許可なく変更してはならない。

7　職員は、パソコン、モバイル端末、電磁的記録媒体、情報が印刷された文書等について、第三者に使用されること、または情報セキュリティ管理者の許可なく情報を閲覧されることがないように、離席時のパソコンおよびモバイル端末のロックならびに電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適正な措置を講じなければならない。

8　職員は、異動、退職等により業務を離れる場合には、利用していた情報資産を返却するとともに、業務上知り得た情報を漏らしてはならない。

9　職員は、クラウドサービスの利用に当たって、このポリシーを遵守するとともに、情報セキュリティインシデントが発生した場合の連絡ルートや連絡内容を理解しておかなければならない。

2　情報セキュリティ管理者は、非常勤および臨時職員の採用の際、このポリシー等を遵守する旨の同意書への署名を求めるものとする。

3　情報セキュリティ管理者は、非常勤および臨時職員にパソコンまたはモバイル端末による作業を行わせる場合において、インターネットへの接続および電子メールの使用等が不要の場合、これを利用できないようにしなければならない。

2　CISOは、定期的にクラウドサービスを利用する職員の情報セキュリティに関する意識向上、教育および訓練を実施するとともに、委託先を含む関係者については委託先等で教育、訓練が行われていることを確認しなければならない。

2　新規採用の職員を対象とする情報セキュリティに関する研修を実施しなければならない。

3　研修は、統括情報セキュリティ責任者、情報セキュリティ責任者、情報セキュリティ管理者、情報システム管理者、情報システム担当者およびその他職員に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。

4　情報セキュリティ管理者は、所管する課室等の研修の実施状況を記録し、統括情報セキュリティ責任者および情報セキュリティ責任者に対して、報告しなければならない。

5　統括情報セキュリティ責任者は、研修の実施状況を分析、評価し、CISOに情報セキュリティ対策に関する研修の実施状況について報告しなければならない。

6　CISOは、毎年度1回、情報セキュリティ委員会に対して、職員の情報セキュリティ研修の実施状況について報告しなければならない。

2　訓練計画は、ネットワークおよび各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、効果的に実施できるようにしなければならない。

2　情報セキュリティ責任者は、報告のあった情報セキュリティ事象について、応急処置等初動対応をしなければならない。

2　職員は、本市が管理するネットワークおよび情報システム等の情報資産に関する情報セキュリティ事象について、クラウドサービス事業者または市民等から報告を受けた場合、速やかに次に報告しなければならない。

3　情報セキュリティ責任者は、報告のあった情報セキュリティ事象について、応急処置等初動対応をしなければならない。

2　CSIRT責任者は、報告のあった情報セキュリティ事象について状況を確認し、情報セキュリティインシデントであるかの評価をしなければならない。

3　CSIRT責任者は、情報セキュリティインシデントであると評価した場合、CISOに速やかに報告しなければならない。

4　CSIRT責任者は、情報セキュリティインシデントに関係する情報セキュリティ責任者に対し、被害の拡大防止等を図るための措置の実施および復旧に係る指示を行うとともに、同様の情報セキュリティインシデントが別の情報システムにおいても発生している可能性を検討し、必要に応じて当該情報システムを所管する情報システム管理者へ確認等指示しなければならない。

5　情報セキュリティ主管課長は、報告のあった情報セキュリティインシデントにより、個人情報、特定個人情報の漏えい等が発生した場合、必要に応じて個人情報保護委員会へ報告しなければならない。

6　情報セキュリティ責任者は、クラウドサービス利用における情報セキュリティインシデントの報告について、クラウドサービス利用毎に定める連絡体制の対象者に報告しなければならない。

7　CSIRT責任者は、情報セキュリティインシデント原因を究明し、記録を保存しなければならない。また、情報セキュリティインシデントの原因究明結果から、再発防止策を検討し、CISOに報告しなければならない。

8　CISOは、報告を受けた情報セキュリティインシデント再発防止策等について、その内容を確認し、実施するために必要な措置を指示しなければならない。

2　統括情報セキュリティ責任者および情報システム管理者は、ICカードの紛失等の通報があり次第、当該ICカードを使用したアクセス等を速やかに停止しなければならない。

3　統括情報セキュリティ責任者および情報システム管理者は、ICカードを切り替える場合、切り替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。

2　職員は、他の職員のパスワードの解読または盗み見をしてはならない。

2　情報システム管理者は、全庁利用、部内利用、課内利用等用途に応じて構成し、利用用途に応じて適切に閲覧権限および利用権限を設定しなければならない。

3　情報システム管理者は、住民の個人情報、人事記録等、特定の職員しか取り扱えないデータについて、別途フォルダを作成する等の措置を講じ、同一課室等であっても、担当職員以外の職員が閲覧および使用できないようにしなければならない。

2　情報システム管理者は、重要な情報を取り扱うサーバ装置については、適切な方法でサーバ装置のバックアップを取得しなければならない。

3　情報システム管理者は、重要な情報を取り扱う情報システムを構成する通信回線装置については、運用状態を復元するために必要な設定情報等のバックアップを取得し保管しなければならない。

4　情報システム管理者は、クラウドサービス提供者のバックアップ機能を利用する場合、クラウドサービス提供者にバックアップ機能の仕様を要求し、その機能の仕様が本市の求める要求事項を満たすことを確認しなければならない。

5　クラウドサービス提供者からバックアップ機能を提供されない場合またはバックアップ機能を利用しない場合は、自らバックアップ機能の導入に関する責任を負い、バックアップに関する機能を設け、情報資産のバックアップを行わなければならない。

2　情報システム管理者は、所管するシステムにおいて、システム変更等の作業を行った場合は、作業内容について記録を作成し、詐取、改ざん等をされないように適正に管理し、運用および保守によって機器の構成や設定情報等に変更があった場合は、情報セキュリティ対策が適切であるか確認し、必要に応じて見直さなければならない。

3　情報システム担当者および契約により操作を認められた委託事業者がシステム変更等の作業を行う場合は、2名以上で作業し、互いにその作業を確認しなければならない。

2　情報システム管理者は、ログとして取得する項目、保存期間、取扱方法およびログが取得できなくなった場合の対処等について定め、適正にログを管理しなければならない。

3　情報システム管理者は、取得したログを定期的に点検または分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検または分析を実施しなければならない。

4　クラウドサービス提供者が収集し、保存する記録(ログ等)に関する保護(改ざんの防止等)の対応について、ログ管理等に関する対策や機能に関する情報を確認し、記録(ログ等)に関する保護が実施されているのか確認しなければならない。

5　情報システム管理者は、監査およびデジタルフォレンジック(デジタルデバイスやネットワークに記録された情報を、法的に有効な証拠として収集、分析、保全する科学的な調査手法をいう。)に必要となるクラウドサービス提供者の環境内で生成されるログ等の情報(デジタル証拠)について、クラウドサービス提供者から提供されるログ等の監視機能を利用して取得することで十分では無い場合は、クラウドサービス提供者に提出を要求するための手続を明確にしなければならない。

2　統括情報セキュリティ責任者は、不正アクセスを防止するため、ネットワークに適正なアクセス制御を施さなければならない。

3　統括情報セキュリティ責任者は、保守または診断のために、外部の通信回線から内部の通信回線に接続された機器等に対して行われるリモートメンテナンスに係る情報セキュリティを確保しなければならない。

2　情報システム管理者は、接続しようとする外部ネットワークに係るネットワーク構成、機器構成、セキュリティ技術等を詳細に調査し、庁内の全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。

3　情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん、システムダウン等による業務への影響が生じた場合に対処するため、当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。

4　情報システム管理者は、ウェブサーバ等をインターネットに公開する場合、次のセキュリティ対策を実施しなければならない。

5　情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括情報セキュリティ責任者の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければならない。

2　統括情報セキュリティ責任者は、複合機が備える機能について適正な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。

3　統括情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消するまたは再利用できないようにする対策を講じなければならない。

2　統括情報セキュリティ責任者は、機密性の高い情報を取り扱うネットワークについて、情報の盗聴等を防ぐため、暗号化等の措置を講じなければならない。

2　統括情報セキュリティ責任者は、スパムメール等が内部から送信されていることを検知した場合は、メールサーバの運用を停止しなければならない。

3　統括情報セキュリティ責任者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。

4　統括情報セキュリティ責任者は、職員が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員に周知しなければならない。

5　統括情報セキュリティ責任者は、システム開発や運用、保守等のため庁舎内に常駐している委託事業者の作業員による電子メールアドレス利用について、委託事業者との間で利用方法を取り決めなければならない。

2　職員は、業務上必要のない送信先に電子メールを送信してはならない。

3　職員、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。

4　職員は、重要な電子メールを誤送信した場合、情報セキュリティ管理者に報告しなければならない。

2　職員は、暗号化を行う場合にCISOが定める以外の方法を用いてはならない。また、CISOが定めた方法で暗号のための鍵を管理しなければならない。

3　CISOは、電子署名の正当性を検証するための情報または手段を、署名検証者へ安全に提供しなければならない。

2　職員は、業務上の必要がある場合は、情報システム管理者の許可を得て、ソフトウェアを導入することができる。

3　情報システム管理者の許可を得て、ソフトウェアを導入するときは、情報セキュリティ管理者または情報システム管理者は、ソフトウェアのライセンスを管理しなければならない。

4　職員は、不正にコピーしたソフトウェアを利用してはならない。

2　職員は、業務上、パソコンやモバイル端末に対し機器の改造および増設、交換を行う必要がある場合には、情報システム管理者の許可を得なければならない。

2　情報セキュリティ管理者は、貸与した端末について、端末に搭載されたOSのポリシー設定等により、端末を異なるネットワークに接続できないよう技術的に制限するよう努めるものとする。

2　統括情報セキュリティ責任者は、職員のWeb利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合は、情報セキュリティ管理者に通知し適正な措置を求めなければならない。

2　職員は、本市の定める利用手順に従い、Web会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施しなければならない。

3　職員は、Web会議を主催する場合、会議に無関係の者が参加できないよう対策を講じなければならない。

4　職員は、本市の機関外が主催するWeb会議に参加する場合は、本市の定める利用手順に従い、必要に応じて利用申請を行い、承認を得なければならない。

2　機密性2以上の情報はSMSで発信してはならない。

3　利用するSMSごとの責任者を定めなければならない。

4　アカウント乗っ取りを確認した場合には、被害を最小限にするための措置を講じなければならない。

5　可用性2の情報の提供にSMSを用いる場合は、本市の自己管理Webサイトに当該情報を掲載して参照可能とすること。

2　利用者IDの取扱いについては、次のとおりとする。

3　管理者権限等の特権を付与されたIDの取扱いは次のとおりとする。

2　統括情報セキュリティ責任者は、内部のネットワークまたは情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。

3　統括情報セキュリティ責任者は、外部からのアクセスを認める場合、システム上利用者の本人確認を行う機能を確保しなければならない。

4　統括情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために暗号化等の措置を講じなければならない。

5　情報システム管理者は、外部からのアクセスに利用するモバイル端末を職員に貸与する場合、セキュリティ確保のために必要な措置を講じなければならない。

6　職員は、持ち込んだまたは外部から持ち帰ったモバイル端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと、OSのパッチ(コンピュータプログラムを部分的に修正、更新するために用いられる追加データをいう。)の適用状況等を確認してから接続しなければならない。

7　統括情報セキュリティ責任者は、内部のネットワークまたは情報システムに対するインターネットを介した外部からのアクセスを原則として禁止しなければならない。ただし、止むを得ず接続を許可する場合は、利用者のID、パスワードおよび生体認証に係る情報等の認証情報ならびにこれを記録した媒体(ICカード等)による認証に加えて通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならない。

2　情報システム管理者は、職員に対してパスワードを発行する場合は、仮のパスワードを発行し、初回ログイン後直ちに仮のパスワードを変更させなければならない。

3　情報システム管理者は、認証情報の不正利用を防止するための措置を講じなければならない。

2　情報システム管理者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認および検査手続を整備しなければならない。

2　情報システム管理者は、業務システムに誤ったプログラム処理が組み込まれないよう、不具合を考慮した技術的なセキュリティ機能を調達仕様書に記載しなければならない。

3　情報システム管理者は、機器およびソフトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを確認しなければならない。

2　システム開発における責任者および作業者のIDについては、次のとおり管理するものとする。

3　システム開発に用いるハードウェアおよびソフトウェアは、次のとおり管理するものとする。

4　情報システム管理者は、ウェブアプリケーションの開発において、セキュリティ要件として定めた仕様に加えて、既知の種類のウェブアプリケーションの脆弱性を排除するための対策を講じなければならない。

2　情報システム管理者は、情報システム導入に伴うテストに当たっては、次のとおり実施しなければならない。

3　情報システム管理者は、機器等の納入または情報システムの受入れに当たっては、次のとおり実施しなければならない。

2　情報システム管理者は、テスト結果を一定期間保管しなければならない。

3　情報システム管理者は、情報システムに係るソースコードを適正な方法で保管しなければならない。

2　情報システム管理者は、ウェブアプリケーションまたはウェブコンテンツにおいて、次のセキュリティ対策を実施しなければならない。

3　情報システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。

2　情報システム管理者は、庁内で横断的に改善が必要となる情報セキュリティ対策の見直しによる改善指示に基づき、情報セキュリティ対策を適切に見直さなければならない。

3　情報システム管理者は、措置の結果を統括情報セキュリティ責任者へ報告しなければならない。

2　CISOおよび統括情報セキュリティ責任者は、総務省、県等と連絡を密にして情報の収集に努めなければならない。

3　情報システム管理者は、情報資産に関する事故、誤動作その他の情報セキュリティ侵害に対して、迅速かつ効果的な対応を確実に行うため、次に掲げる事項を定めた手順を定めるものとする。

2　情報システム管理者は、標的型攻撃による組織内部への侵入を低減する対策(入口対策)、内部に侵入した攻撃を早期検知して対処する対策、侵入範囲の拡大の困難度を上げる対策および外部との不正通信を検知して対処する対策(内部対策および出口対策)を講じなければならない。

2　情報システム管理者は、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

3　情報システム管理者は、クラウドサービス提供者に対して、利用するクラウドサービスに影響し得る技術的脆弱性の管理内容について情報を求め、本市の業務に対する影響や保有するデータへの影響について特定し、技術的脆弱性に対する脆弱性管理の手順について、クラウドサービス提供者に確認しなければならない。

2　統括情報セキュリティ責任者および情報システム管理者は、情報セキュリティに関する社会環境、技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。

2　情報システム管理者は、情報システムの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講じなければならない。

3　情報システム管理者は、重要な情報を取り扱う情報システムについて、危機的事象発生時に適切な対処が行えるよう運用しなければならない。

2　情報システム管理者は、情報システムの運用において、情報システムに実装された監視機能を適切に運用しなければならない。

3　情報システム管理者は、新たな脅威の出現、運用の状況等を踏まえ、情報システムにおける監視の対象や手法を定期的に見直さなければならない。

4　情報システム管理者は、サーバ装置上での情報セキュリティインシデントの発生を監視するため、当該サーバ装置を監視するための措置を講じなければならない。

2　情報システム管理者は、重要なログ等を取得するサーバの正確な時刻設定およびサーバ間の時刻同期ができる措置を講じなければならない。

3　統括情報セキュリティ責任者および情報システム管理者は、利用するクラウドサービスで使用する時刻の同期について、適切になされているのか確認しなければならない。

4　情報システム管理者は、必要となるリソースの容量および能力が確保できるクラウドサービス事業者を選定しなければならない。

5　情報システム管理者は、利用するクラウドサービスにおいて、必要な監視機能を確認するとともに、監視により業務を継続する上で必要となる容量および能力を予測し、業務が維持できるように努めなければならない。

6　情報システム管理者は、イベントログ取得に関する手順を定め、利用するクラウドサービスがその内容を満たすことを確認し、クラウドサービス提供者からログ取得機能が提供される場合は、そのログ取得機能が適切かどうか、ログ取得機能を追加して実装すべきかどうかを検討しなければならない。

7　情報システム管理者は、クラウドサービス利用における重大なインシデントに繋がるおそれのある以下の重要な操作に関して、実施手順を定め、確認しなければならない。

2　CISOは、発生した問題について、適正かつ速やかに対処しなければならない。

3　情報システム管理者は、ネットワークおよびサーバ等のシステム設定等におけるこのポリシーの遵守状況について、定期的に確認を行い、問題が発生していた場合には適正かつ速やかに対処しなければならない。

2　前項により、報告を受けた情報セキュリティ管理者は、直ちに統括情報セキュリティ責任者に報告を行うとともに、事実確認を行わなければならない。

3　当該違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括情報セキュリティ責任者が判断した場合においては、次条に定める緊急時対応計画に従って適正に対処しなければならない。

2　CISOは、クラウドサービス提供者と情報セキュリティインシデント管理における責任と役割の分担を明確にし、これらを踏まえてクラウドサービスの障害時を想定した緊急時対応計画を定め、セキュリティ侵害時には当該計画に従って適正に対処しなければならない。

2　例外措置を許可したときは、このポリシーの規定に実現性があるか検討し、必要に応じてポリシーを見直さなければならない。

2　統括情報セキュリティ責任者および情報システム管理者は、クラウドサービスに商用ライセンスのあるソフトウェアをインストール(IaaS等(サーバ、ストレージ、ネットワーク等のインフラ機能をクラウド上で提供するサービス形態)でアプリケーションを構築)する場合は、そのソフトウェアのライセンス条項への違反を引き起こす可能性があるため、利用するソフトウェアにおけるライセンス規定に従わなければならない。

2　前項第4号の契約締結に当たって、重要な情報資産を取り扱う業務を委託する場合には、委託事業者との間で必要に応じて次の情報セキュリティ等に係る要件を明記した契約を締結しなければならない。

3　情報セキュリティ管理者または情報システム管理者は、業務委託の実施までに、委託の前提条件として、以下を全て含む事項の実施を委託事業者に求めなければならない。

2　情報セキュリティ管理者または情報システム管理者は、業務委託の実施期間において、次の全ての対策の実施を委託事業者に求めなければならない。

2　情報セキュリティ管理者または情報システム管理者は、業務委託の終了に際して、以下を全て含む対策の実施を委託事業者に求めなければならない。

2　情報システム管理者は、情報システムの運用および保守を業務委託する場合は、委託事業者が実施する情報システムに対する情報セキュリティ対策を適切に把握するため、当該対策による情報システムの変更内容について、契約に基づき、委託事業者に速やかな報告を求めなければならない。

2　情報システム管理者または情報セキュリティ管理者は、業務委託サービスに係るセキュリティ要件を定め、業務委託サービスを選定しなければならない。

3　情報システム管理者または情報セキュリティ管理者は、委託事業者の信頼性が十分であることを総合的、客観的に評価し判断しなければならない。

4　情報システム管理者または情報セキュリティ管理者は業務委託サービスを利用する場合には、統括情報セキュリティ責任者へ当該サービスの利用申請を行わなければならない。

5　統括情報セキュリティ責任者は、業務委託サービスの利用申請を受けた場合は、当該利用申請を審査し、利用の可否を決定しなければならない。

6　統括情報セキュリティ責任者または情報セキュリティ責任者は、業務委託サービスの利用申請を承認した場合は、承認済み業務委託サービスとして記録し、業務委託サービス管理者を指名しなければならない。

2　クラウドサービス管理者は、利用を承認されたクラウドサービスを管理する者とし、当該クラウドサービスを所管する情報セキュリティ管理者をもって充てる。

2　情報セキュリティ責任者は、クラウドサービスで取り扱う情報の分類および取扱制限を踏まえ、クラウドサービス提供者の選定基準に従ってクラウドサービス提供者を選定すること。また、次の内容を含む情報セキュリティ対策をクラウドサービス提供者の選定条件に含めなければならない。

3　情報セキュリティ責任者は、前項各号の内容を含む情報セキュリティ対策に関する情報の提供を求め、その内容を確認し、利用するクラウドサービスが、本市が定めたクラウドサービスの利用に関するポリシーを満たしているか否かを評価しなければならない。

4　情報セキュリティ責任者は、クラウドサービスの中断や終了時に円滑に業務を移行するための対策を検討し、クラウドサービス提供者の選定条件に含めなければならない。

5　情報セキュリティ責任者は、クラウドサービス提供者と情報セキュリティに関する役割および責任の分担について確認しなければならない。

6　情報セキュリティ責任者は、クラウドサービスの利用を通じて本市が取り扱う情報の分類等を勘案し、必要に応じて次の内容をクラウドサービス提供者の選定条件に含めなければならない。

7　クラウドサービスの利用前に合意した事項があれば、その内容についてサービス合意書(SLA)に定め、クラウドサービス提供者のサービス利用規約等が変更できない場合は、機密性、完全性、可用性、安全性、個人情報等の扱いに関するクラウドサービス提供者の定める条件を鑑み、その規約内容が本市によって受容可能か判断しなければならない。

8　情報セキュリティ責任者は、クラウドサービスの利用を通じて本市が取り扱う情報に対して国内法以外の法令および規制が適用されるリスクを評価してクラウドサービス提供者を選定し、必要に応じて本市の情報が取り扱われる場所および契約に定める準拠法、裁判管轄を選定条件に含めなければならない。

9　情報セキュリティ責任者は、クラウドサービス提供者がその役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、クラウドサービス提供者の選定条件で求める内容をクラウドサービス提供者に担保させるとともに、再委託先の情報セキュリティ対策の実施状況を確認するために必要な情報を本市に提供し、本市の承認を受けるよう、クラウドサービス提供者の選定条件に含め、クラウドサービス利用判断基準およびクラウドサービス提供者の選定基準に従って再委託の承認の可否を判断しなければならない。

10　情報セキュリティ責任者は、クラウドサービスの特性を考慮した上で、クラウドサービスが提供する部分を含む情報の流通経路全般にわたるセキュリティが適切に確保されるよう、情報の流通経路全般を見渡した形でセキュリティ設計を行った上で、情報セキュリティに関する役割および責任の範囲を踏まえて、次の事項を全て含むセキュリティ要件を定めなければならない。

11　統括情報セキュリティ責任者は、情報セキュリティ監査による報告書の内容、各種の認定および認証制度の適用状況等から、クラウドサービス提供者の信頼性が十分であることを総合的、客観的に評価し判断しなければならない。

2　情報セキュリティ責任者は、クラウドサービスを調達する場合は、クラウドサービス提供者およびクラウドサービスが調達仕様を満たすことを契約までに確認し、利用承認を得なければならない。また、調達仕様の内容を契約に含めなければならない。

2　統括情報セキュリティ責任者は、職員によるクラウドサービスの利用申請を審査し、利用の可否を決定しなければならない。

3　統括情報セキュリティ責任者は、クラウドサービスの利用申請を承認した場合は、承認済みクラウドサービスとして記録し、クラウドサービス管理者を指名しなければならない。

2　クラウドサービス管理者は、情報システムにおいてクラウドサービスを利用する際には、情報システム台帳および関連文書に記録または記載し、統括情報セキュリティ責任者へ報告しなければならない。

3　クラウドサービス管理者は、クラウドサービスの情報セキュリティ対策を実施するために必要となる文書として、クラウドサービスの運用開始前までに次の全ての手順を整備しなければならない。

4　クラウドサービス管理者は、前項において定める規定に対し、構築時に実施状況を確認および記録しなければならない。

2　クラウドサービス管理者は、クラウドサービスの運用および保守時に情報セキュリティ対策を実施するために必要となる項目等で修正または変更等が発生した場合、情報システム台帳および関連文書を更新または修正し、統括情報セキュリティ責任者へ報告しなければならない。

3　クラウドサービス管理者は、クラウドサービスの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講じなければならない。

4　情報セキュリティ責任者は、クラウドサービスの特性または責任分界点に係る考え方を踏まえ、クラウドサービスで発生したインシデントを認知した際の対処手順を整備しなければならない。

5　クラウドサービス管理者は、前各項において定める手順に対し、運用および保守時に実施状況を定期的に確認および記録しなければならない。

2　クラウドサービス管理者は、前項において定める規定に対し、クラウドサービスの利用終了時に実施状況を確認および記録しなければならない。

3　クラウドサービス管理者は、クラウドサービス上で機密性2以上の情報を保存する場合は、機密性を維持するために暗号化するとともに、その情報資産を破棄する際は、データ消去の方法の一つとして暗号化した鍵(暗号鍵)を削除するなどにより、その情報資産を復元困難な状態としなければならない。

2　第144条第3項により指名されたクラウドサービス管理者は、当該クラウドサービスの利用において適切な措置を講じなければならない。

3　統括情報セキュリティ責任者は、職員等によるクラウドサービスの利用申請を審査し、利用の可否を決定しなければならない。

2　監査を行う者は、監査および情報セキュリティに関する専門知識を有する者でなければならない。

2　被監査部門は、監査の実施に協力しなければならない。

2　クラウドサービスを利用している場合は、クラウドサービス提供者が自ら定める情報セキュリティポリシーの遵守について、定期的に監査を行わなければならない。

3　クラウドサービス提供者にその証拠(文書等)の提示を求める場合は、第三者の監査人が発行する証明書や監査報告書等を証拠とすることができる。

2　CISOは、指摘事項を所管していない情報セキュリティ管理者に対しても、同種の課題および問題点がある可能性が高い場合には、当該課題および問題点の有無を確認させなければならない。

3　CISOは、庁内で横断的に改善が必要な事項については、統括情報セキュリティ責任者に対し、当該事項への対処(改善計画の策定等)を指示し、措置が完了していない改善計画がある場合は、定期的に進捗状況の報告を指示しなければならない。

2　情報セキュリティ責任者は、情報セキュリティ管理者と連携して、所管する部局におけるこのポリシーに沿った情報セキュリティ対策状況について、毎年度および必要に応じて自己点検を行わなければならない。

2　情報セキュリティ委員会は、この点検結果をこのポリシーおよび関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。

2　横断的に改善が必要となる情報セキュリティ対策の運用見直しについて、内部の職制および職務に応じた措置の実施または指示し、措置の結果についてCISOに報告しなければならない。

この訓令は、令和7年4月1日から施行する。