1　目的

この基準は、葛飾区情報セキュリティに関する規則(令和2年規則第11号。以下「規則」という。)第2条第9号に基づき、葛飾区(以下「区」という。)が保有する情報資産を保護し、及び管理するために遵守すべき事項を定めることを目的とする。

2　定義

この基準で使用する用語の意義は、規則で使用する用語の例及び次に定めるところによる。

(1)　住民情報系

個人番号利用事務(社会保障、地方税又は防災に関する事務)及び戸籍事務等にかかわる情報システムをいう。

(2)　LGWAN接続系

LGWANに接続する環境をもった情報システムをいう。

(3)　インターネット接続系

インターネットに接続する環境をもった情報システムをいう。

(4)　統合認証系

住民情報系、LGWAN接続系及びインターネット接続系に接続するための入口と認証機能をもった情報システムをいう。

3　具体的な手順に関する定め

電算機管理者及びシステム管理者は、この基準に基づき、情報システムの情報セキュリティ対策を実施するため、その具体的な手順を定めた情報セキュリティ実施手順を別に定めるものとする。

第2　情報資産の分類と管理方法

1　情報資産の範囲

(1)　対象機関

本対策基準が適用される対象機関は、規則第2条第17号で規定する実施機関とする。

(2)　情報資産の範囲

本対策基準が適用される情報資産の範囲は、上記対象機関が保有する全ての情報資産とする。ただし、学校情報セキュリティ対策基準(規則第2条第10号に基づき新たに定めるもの)で対象とされている情報資産は除く。

(3)　情報資産の分類

情報資産は、規則第5条の規定により、別表情報資産分類表のとおり分類するものとし、その分類に応じた取り扱いを行うものとする。

2　管理体制

(1)　情報セキュリティ統括責任者

ア　情報セキュリティの効率的かつ適正な運用を図るため、情報セキュリティ統括責任者を置き、総務部長をもって充てる。

イ　情報セキュリティ統括責任者は、最高情報セキュリティ統括責任者を補佐し、次に掲げる事項を所掌する。

(ア)　情報セキュリティ対策の把握に関すること。

(イ)　情報セキュリティに関する研修の実施に関すること。

(ウ)　情報資産の安全管理のために必要かつ適切な措置についての指示、指導及び助言に関すること。

(エ)　前各号に掲げるもののほか、情報セキュリティ対策のために必要な事項

(2)　情報セキュリティ管理者

ア　所管する課における情報セキュリティに関する責任者として、情報セキュリティ管理者を置き、課長をもって充てる。

イ　情報セキュリティ管理者は、次に掲げる事項を所掌する。

(ア)　所管する課の情報セキュリティに関すること。

(イ)　情報セキュリティインシデント発生時の連絡体制及び課内の対応体制の整備に関すること。

(ウ)　所属する職員等に対する情報セキュリティに関する教育及び研修に関すること。

(3)　情報セキュリティ副管理者

情報セキュリティ管理者を補佐するため、課等に情報セキュリティ副管理者を置くことができる。情報セキュリティ副管理者は、課等に置かれる係長から、情報セキュリティ管理者が指名する者をもって充てる。

(4)　システム管理者

ア　所管する情報システムの機能を確保し、適正な運用及び管理を行うため、システム管理者を置き、当該情報システムを所管する情報セキュリティ管理者をもって充てる。

イ　システム管理者は、次に掲げる事項を所掌する。

(ア)　所管する情報システムの情報セキュリティ対策に関すること。

(イ)　所管する情報システムの障害発生時の対策に関すること。

(ウ)　所管する情報システムに係る情報セキュリティ実施手順の作成、維持及び管理に関すること。

(5)　電算機管理者

ア　情報システムの機能を確保し、適正な管理を行うため、電算機管理者を置き、政策経営部情報システム課長をもって充てる。

イ　電算機管理者は、次に掲げる事項を所掌する。

(ア)　電算センター及びインフラ統合基盤の情報セキュリティに関すること。

(イ)　インフラ統合基盤に搭載された情報システムのうち、政策経営部情報システム課が所管する情報システムの情報セキュリティに関すること。

(ウ)　インフラ統合基盤の障害発生時の対策に関すること。

(エ)　区の情報システム全体のセキュリティ強靭性の向上に関すること。

(オ)　電算センター及びインフラ統合基盤に搭載された情報システムのうち、政策経営部情報システム策課が所管する情報システムに係る情報セキュリティ実施手順の作成、維持及び管理に関すること。

(6)　兼務の禁止

ア　情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。

イ　情報セキュリティ監査の実施において、やむを得ない場合を除き、同じ者が兼務してはならない。

3　情報資産の管理及び取扱い

(1)　管理責任

ア　情報セキュリティ管理者は、所掌する課の情報資産について、管理責任を有する。

イ　システム管理者は、所管する情報システムについて管理責任を有する。

ウ　電算機管理者は、電算センター及びインフラ統合基盤について、管理責任を有する。

(2)　作成及び入手

ア　職員等及び受託業務に従事する者は、業務上必要のない情報を作成又は入手してはならない。

イ　職員等及び受託業務に従事する者は、作成途上の情報についても、紛失や漏えい等の防止に努めなければならない。また、情報の作成途上において不要となった情報は、当該情報を速やかに廃棄しなければならない。

(3)　保管

ア　電算機管理者及び情報セキュリティ管理者は、情報資産の分類に従って、情報資産を適正に保管しなければならない。

イ　電算機管理者及び情報セキュリティ管理者は、機密性2以上の情報を記録した記録媒体及び重要性1の情報資産を施錠保管しなければならない。

ウ　電算機管理者及び情報セキュリティ管理者は、情報及びその情報を記録した記録媒体等を保管する場合は、改ざん、漏えい、汚損等の防止の措置を講じなければならない。

エ　電算機管理者及び情報セキュリティ管理者は、情報資産を庁舎外に保管する場合には、当該情報資産を、自然災害を被るおそれが低い地域に保管しなければならない。

オ　破砕処理予定の紙面資料は、業務中は訪問者の目につかないところに保管し、職員が執務室を不在にする場合には、施錠できる書庫等に保管しなければならない。

カ　電算機管理者及び情報セキュリティ管理者は、情報資産について、許可なく第三者に使用させることがないよう措置しなければならない。

(4)　利用

ア　職員等及び受託業務に従事する者は、情報資産を正当な目的以外で利用及び複製をしてはならない。

イ　職員等及び受託業務に従事する者は、情報資産の分類に応じ、適正な取り扱いをしなければならない。

ウ　職員等及び受託業務に従事する者は、情報資産の分類が異なる情報が複数記録されている場合は、最高度の分類に従って、取り扱わなければならない。

エ　電算機管理者及び情報セキュリティ管理者は、情報資産を情報資産の分類に従い必要最小限の者のみ取り扱えるよう措置を講じなければならない。

(5)　情報資産の運搬

職員等及び受託業務に従事する者は、機密性2以上及び重要性1の情報資産を運搬する場合は、必要に応じて鍵付きのケース等に格納や、暗号化又はパスワードの設定を行うなど、情報資産の漏えい及び不正利用を防止するための措置を講じなければならない。

(6)　廃棄

ア　職員等及び受託業務に従事する者は、機密性2以上の情報が記録されている記録媒体及び情報システムを廃棄する場合は、その情報の機密性に応じ、記録媒体等の情報を復元できないよう処理した上で廃棄しなければならない。

イ　職員等及び受託業務に従事する者は、重要性1の紙面資料を廃棄する場合は、焼却、破砕又は溶解処理により、情報を復元できないよう処置した上で廃棄しなければならない。

ウ　職員等は、機密性2以上及び重要性1の情報資産を廃棄する場合は、情報セキュリティ管理者の許可を得なければならない。

エ　職員等及び受託業務に従事する者は、機密性2以上及び重要性1の情報資産を廃棄する場合は、廃棄処理について、日時、担当者及び処理内容を記録しなければならない。

4　鍵の管理

(1)　電算機管理者及び情報セキュリティ管理者は、情報資産を保管する書庫等の鍵について、職員から管理責任者を定め、安全な場所に保管させなければならない。

(2)　電算機管理者及び情報セキュリティ管理者は、施錠確認、鍵の取扱い等適正な管理に必要な事項を定めなければならない。

5　情報システム全体の強靭性の向上

(1)　電算機管理者の役割

電算機管理者は、各領域間の通信は原則不可とし、業務上必要と認められる場合のみ、通信経路等を限定した上で通信を許可することができる。また、各領域において、次に掲げる対策を講じなければならない。

ア　住民情報系における対策

(ア)　住民情報系と他の領域との分離

住民情報系と他の領域を通信できないようにしなければならない。住民情報系と外部との通信をする必要がある場合は、通信経路の限定(MACアドレス、IPアドレス)及びアプリケーションプロトコル(ポート番号)のレベルでの限定を行わなければならない。また、その外部接続先についてもインターネット等と接続してはならない。ただし、国等の公的機関が構築したシステム等、十分に安全性が確保された外部接続先については、この限りではなく、インターネット等からLGWAN-ASPを経由して住民情報系にデータの取り込みを可能とする。

(イ)　情報システムのアクセス及び持ち出しにおける対策

a　情報システムのアクセス対策

情報システムが正規の利用者かどうかを判断する認証手段として、二要素(IDと指静脈又はICカード認証等)以上の認証手段を利用しなければならない。

b　情報の持ち出し不可設定

端末から外部記録媒体へ情報の持ち出しができないように設定しなければならない。

(ウ)　原本及びログの保存

住民情報系から他の領域等にデータを持ち出す場合は、原本保持とログが保存されるよう設定しなければならない。

イ　LGWAN接続系における対策

LGWAN接続系においては、以下の情報セキュリティ対策を行わなければならない。

(ア)　LGWAN接続系とインターネット接続系との分離

LGWAN接続系とインターネット接続系は両環境間の通信環境を分離した上で、必要な通信のみに限定しなければならない。なお、インターネット接続系からLGWAN接続系にメールやデータ等を取り込む場合の通信は原則、次の通信のみとする。

a　インターネット接続系で受信したインターネットメールの本文のみをLGWAN接続系に転送するメールテキスト化方式

b　インターネット接続系で受信又はダウンロードしたファイルの無害化を行い、LGWAN接続系に転送する通信

c　インターネット接続系の端末から、LGWAN接続系の端末へ画面を転送する通信

d　危険因子をファイルから除去し、又は危険因子がファイルに含まれていないことを確認し、インターネット接続系から取り込む方式

(イ)　原本及びログの保存

LGWAN接続系から他の領域等にデータを持ち出す場合は、原本保持とログが保存されるよう設定しなければならない。

ウ　インターネット接続系における対策

インターネット接続系においては、以下の情報セキュリティ対策を行わなければならない。

(ア)　監視機能の強化

インターネット接続系においては、通信パケットの監視、ふるまい検知等の不正通信の監視を実施し、セキュリティ障害の早期発見するための対処を行わなければならない。またLGWAN系においては、不適切なアクセス等に対する予防的な情報セキュリティ対策を講じなければならない。

(イ)　自治体情報セキュリティクラウドへの参加

都道府県及び市区町村のインターネットとの通信を集約する東京都の自治体情報セキュリティクラウドに参加するとともに、関係省庁や都道府県等と連携して情報セキュリティ対策を講じなければならない。

(ウ)　外部による対策の確認

業務の効率性及び利便性の向上を目的として、インターネット接続系に業務端末と入札情報や職員の情報等重要な情報資産を配置する場合、必要な情報セキュリティ対策を講じた上で、対策の実施について事前に外部による確認を実施しなければならない。

エ　統合認証系における対策

統合認証系においては、以下の情報セキュリティ対策を行わなければならない。

(ア)　日次でのデータの削除

統合認証系上に保存されているデータについては、日次で自動削除処理されるよう設定しなければならない。

(イ)　原本及びログの保存

統合認証系から他の領域等にデータを持ち出す場合は、原本保持とログが保存されるよう設定しなければならない。

(ウ)　デバイス制御機能を用意し、許可された電磁的記録媒体デバイスのみ接続可能とするよう設定しなければならない。

第3　人的セキュリティ対策

1　職員等の遵守事項

(1)　職員等の遵守事項

ア　情報セキュリティポリシー等の遵守

職員等は、情報セキュリティポリシー(ただし、学校情報セキュリティ対策基準は除く。以下同じ。)及び情報セキュリティ実施手順(以下「情報セキュリティポリシー等」という。)を遵守しなければならない。この場合において、情報セキュリティ対策について不明な点、遵守することが困難な点等がある場合には、速やかに情報セキュリティ管理者に相談し、指示を仰がなければならない。

イ　業務以外の目的での使用の禁止

職員等は、業務以外の目的で情報資産の使用又は外部への持ち出し、情報システムへのアクセス、電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。

ウ　パーソナルコンピュータ(以下「パソコン」という。)、モバイル端末等の持ち出し及び外部における情報処理作業の制限

(ア)　職員等は、機密性2以上で、かつ可用性及び完全性が1の情報資産を外部で処理する場合には、情報セキュリティ対策を実施しなければならない。

(イ)　職員等は、区から貸与されたパソコン、モバイル端末等を外部に持ち出す場合又は外部で情報処理業務を行う場合には、情報セキュリティ管理者の許可を得なければならない。

エ　区から貸与されたパソコン、モバイル端末等以外の使用禁止

(ア)　職員等は、区から貸与されたパソコン、モバイル端末等以外で情報資産を扱ってはならない。ただし、電算機管理者又はシステム管理者が認めた場合は、この限りでない。

(イ)　電算機管理者又はシステム管理者は、区から貸与されたパソコン、モバイル端末等以外で情報資産を扱うことを認める場合には、情報セキュリティ対策が実施されていることを確認しなければならない。

オ　持ち出し及び持込みの記録

情報セキュリティ管理者は、職員等がパソコン、モバイル端末等の持ち出し及び持込みをした場合には、記録を作成し、保管しなければならない。

カ　区から貸与されたパソコン、モバイル端末等における情報セキュリティ設定変更の禁止

職員等は、パソコン、モバイル端末等のソフトウェアに関する情報セキュリティ機能の設定を電算機管理者又はシステム管理者の許可なく変更してはならない。

キ　不正プログラム対策

職員等は、不正プログラム対策に関し、次の事項を遵守しなければならない。

(ア)　パソコン、モバイル端末等において、不正プログラム対策ソフトウェアが導入されている場合には、当該ソフトウェアの設定を変更しないこと。

(イ)　外部からデータ又はソフトウェアを取り込む場合には、必ず不正プログラム対策ソフトウェアによる検査を実施すること。

(ウ)　差出人不明又は不自然なファイルが添付されたメールを受信した場合には、直ちに電算機管理者又は情報セキュリティ管理者に報告し、指示を仰ぐこと。

(エ)　パソコン、モバイル端末等に対して、不正プログラム対策ソフトウェアによる検査を定期的に実施すること。

(オ)　添付ファイルが付いた電子メールを外部に送受信する場合は、不正プログラム対策ソフトウェアによる検査を実施すること。なお、インターネット接続系で受信したインターネットメール又はインターネット経由で入手したファイルをLGWAN接続系に取り込む場合は原則無害化すること。

(カ)　電算機管理者及びシステム管理者が提供するコンピュータウィルスに関する情報を、常に確認すること。

(キ)　コンピュータウィルス等の不正プログラムに感染した場合又は感染が疑われる場合には、直ちに次の対応を行った上で、電算機管理者に報告し、該当の端末において通信を切断しなければならない。

ク　机上の端末等の管理

職員等は、パソコン、モバイル端末等について、第三者に使用させること又は情報を閲覧されることがないよう、離席時の端末のスクリーンセーバー、パスワード及びログオフ等の設定並びに記録媒体の容易に閲覧されない場所への保管等、適切に管理しなければならない。

ケ　退職時等の遵守事項

職員等は、異動、退職、契約期間満了等により業務を離れる場合には、次の事項を遵守しなければならない。

(ア)　利用していた情報資産は返却すること。

(イ)　業務上知り得た情報を他に漏らさないこと。

コ　ネットワーク構成の変更禁止

職員等は、電算機管理者及びシステム管理者の許可なくネットワーク機器の構成変更及び移設、配線の着脱等を行ってはならない。

サ　電子メールの利用制限

(ア)　職員等は、外部接続による電子メールで機密性2以上の情報を送受信してはならない。ただし、別表情報資産分類表に規定された場合を除く。

(イ)　職員等は、自動転送機能を用いて、電子メールを転送してはならない。

(ウ)　職員等は、私的な電子メールを送受信してはならない。

(エ)　職員等は、複数人に電子メールを送信する場合には、必要がある場合を除き、他の送信先の電子メールアドレスがわからないようにしなければならない。

(オ)　職員等は、電子メールを誤送信した場合には、情報セキュリティ管理者に報告しなければならない。

(カ)　職員等は、ウェブサイトで利用できる電子メール、ネットワークストレージサービス等を使用してはならない。ただし、電算機管理者が認めた場合はこの限りでない。

シ　業務以外でのウェブサイトの閲覧禁止

(ア)　職員等は、業務を遂行する上で必要な場合を除き、ウェブサイトを閲覧してはならない。

(イ)　電算機管理者及びシステム管理者は、職員等が明らかに業務に関係のないウェブサイトを閲覧していることを発見した場合は、情報セキュリティ管理者に通知するとともに、適正な措置を求めなければならない。

(2)　情報セキュリティポリシー等の掲示

情報セキュリティ管理者は、職員等が常に情報セキュリティポリシー等を閲覧できるようにしなければならない。

(3)　受託者に対する指導

電算機管理者及び情報セキュリティ管理者は、事業者に業務を委託する場合には、受託者から再委託を受ける事業者を含めて、情報セキュリティポリシー等のうち受託者が守るべき内容を遵守させなければならない。

2　ID、パスワード等の管理

(1)　IDの取扱い

職員等は、IDに関し、次の事項を遵守しなければならない。

ア　自己が利用しているIDを他人に利用させないこと。

イ　共用ID利用する場合には、共用IDの利用者以外に利用させないこと。

(2)　パスワードの取扱い

職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。

ア　パスワードは、他者に知られないように適正に管理し、パスワードの照会等には一切応じないこと。

イ　パスワードは原則英数字混在の8文字以上のものとし、その文字列は推測しにくいものにすること。

ウ　パスワードが流出したおそれがある場合は、速やかに電算機管理者又はシステム管理者に報告し、パスワードを変更しなければならない。

エ　仮のパスワード(初期パスワードを含む。)は、最初のログイン時点で変更すること。

オ　サーバ、ネットワーク及びパソコン等の端末にパスワードを記憶させないこと。

カ　共用ID利用時を除き、職員等間でパスワードを共有してはならない。また、パスワードを他人に使用させないこと。

キ　パスワードのメモを作らないこと。ただし、メモが安全に保管される場合は、この限りでない。

(3)　ICカード等の取扱い

ア　職員等は、自己の管理するICカード等に関し、次の事項を遵守しなければならない。

(ア)　認証等に使用するICカード等を、職員等間で共有しないこと。

(イ)　業務上必要ないときは、ICカード等をカードリーダ又はパソコン等の端末の差し込み口等から抜いておくこと。

(ウ)　ICカード等を他者の目に触れないようにする等、適切に管理すること。

(エ)　ICカード等を紛失した場合には、速やかに電算機管理者又はシステム管理者に報告し、指示に従うこと。

イ　電算機管理者及びシステム管理者は、ICカード等の紛失等の報告があり次第、当該ICカード等を使用したアクセス等を速やかに停止しなければならない。

ウ　電算機管理者及びシステム管理者は、ICカード等を切り替える場合には、切替え前のカードを回収し、破砕する等、復元不可能な処理を行った上で廃棄しなければならない。

3　研修及び訓練

(1)　情報セキュリティに関する研修及び訓練

情報セキュリティ統括責任者は、職員等に対して定期的に情報セキュリティに関する研修及び訓練を実施しなければならない。

(2)　研修計画の策定及び実施

ア　情報セキュリティ統括責任者は、職員等に対する情報セキュリティに関する研修計画を策定し、当該研修計画を情報セキュリティ委員会に報告しなければならない。

イ　研修は、職員等の役割、職種、情報セキュリティに関する理解度等に応じたものにしなければならない。

ウ　情報セキュリティ統括責任者は、毎年度1回、情報セキュリティ委員会に対して、職員等の情報セキュリティ研修の実施状況について報告しなければならない。

(3)　課内研修

情報セキュリティ管理者は、課における職員等を対象に、毎年度1回以上、主管の業務内容に応じた情報セキュリティ研修を実施しなければならない。

(4)　研修及び訓練への参加

ア　情報セキュリティ管理者は、職員等を情報セキュリティ研修及び情報セキュリティインシデント対応訓練に参加させなければならない。

イ　職員等は、定められた研修及び訓練に参加しなければならない。

4　セキュリティ障害の分析、記録等

職員等は、情報セキュリティインシデントの発生及びそのおそれを認知した場合並びに住民等外部から報告を受けた際は、速やかに電算機管理者又は情報セキュリティ管理者に報告しなければならない。さらに、報告を受けた電算機管理者又は情報セキュリティ管理者は別途最高情報セキュリティ統括責任者が定める情報セキュリティインシデント対応チームへ報告しなければならない。

5　法令等順守

職員等は、職務の遂行において使用する情報資産を保護するため、次に掲げる法令のほか、当該職務に係る関係法令等を遵守し、これらに従わなければならない。

(1)　地方公務員法(昭和25年法律第261号)

(2)　著作権法(昭和45年法律第48号)

(3)　不正アクセス行為の禁止等に関する法律(平成11年法律第128号)

(4)　個人情報の保護に関する法律(平成15年法律第48号)

(5)　行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)

(6)　サイバーセキュリティ基本法(平成26年法律第104号)

(7)　葛飾区個人情報の保護に関する条例(昭和60年条例第27号)

(8)　葛飾区デジタル技術を活用した区政の推進及び情報システムの管理運営に関する規則(平成17年葛飾区規則第46号)

(9)　葛飾区情報セキュリティに関する規則

(10)　葛飾区個人番号の利用及び特定個人情報の提供に関する条例(平成27年葛飾区条例第34号)

6　懲戒処分等

(1)　懲戒処分

情報セキュリティポリシー等に違反した職員等及びその監督者は、その重大性、発生した事案の状況等に応じて、地方公務員法による懲戒処分の対象とする。

(2)　違反時の対応

職員等の情報セキュリティポリシー等に違反する行動を確認した場合には、速やかに次の措置を講じなければならない。

ア　情報セキュリティ統括責任者が違反を確認した場合には、当該職員等が所属する課の情報セキュリティ管理者に通知し、適切な措置を求めること。

イ　電算機管理者及び情報セキュリティ管理者が違反を確認した場合には、直ちに適切な指導を行わなければならない。

ウ　電算機管理者及び情報セキュリティ管理者の指導によっても改善されない場合には、情報セキュリティ統括責任者は、当該職員等の情報システムの使用権利の停止又は剥奪等、情報資産の利用を制限すること。この場合において、情報セキュリティ統括責任者は、職員等の利用を制限した旨を速やかに最高情報セキュリティ統括責任者及び当該職員等が所属する課の情報セキュリティ管理者に通知すること。

第4　物理的セキュリティ対策

1　サーバ等の管理

(1)　機器の取付け

電算機管理者及びシステム管理者は、サーバ等の機器の取付けを行う場合には、火災、水害、ほこり、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適切に固定する等、必要な措置を講じなければならない。

(2)　サーバの冗長化

ア　電算機管理者及びシステム管理者は、サーバを構築する際には、冗長化等情報システムの可用性を保持できるような対策を検討し、可能な限り実装しなければならない。

イ　電算機管理者及びシステム管理者は、メインサーバに障害が発生した場合に、速やかにセカンダリサーバを起動し、情報システムの運用停止時間を最小限にしなければならない。

(3)　機器の電源

ア　電算機管理者及びシステム管理者は、情報資産の分類に基づき施設管理部門と連携し、サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適正に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。

イ　電算機管理者及びシステム管理者は、情報資産の分類に基づき施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するための措置を講じなければならない。

(4)　ケーブル等の配線

ア　電算機管理者及びシステム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、配線収納管を使用する等必要な措置を講じなければならない。

イ　電算機管理者及びシステム管理者は、主要な箇所の通信ケーブル及び電源ケーブルについて、施設管理部門から損傷等の報告があった場合には、連携して対応しなければならない。

ウ　電算機管理者及びシステム管理者は、ネットワーク接続口(ハブのポート等)を他者が容易に接続できない場所に設置する等適正に管理しなければならない。

エ　電算機管理者及びシステム管理者は、自ら又は情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更、追加できないように必要な措置を講じなければならない。

(5)　機器の定期保守及び修理

ア　電算機管理者及びシステム管理者は、サーバ等の機器の定期保守を実施しなければならない。

イ　電算機管理者及びシステム管理者は、外部の事業者に機器の故障を修理させる場合は、内容を消去した状態で修理を行わせなければならない。内容を消去できない場合は、修理を委託する事業者との間で、守秘義務契約を締結するほか、秘密保持体制の確認等をしなければならない。

(6)　庁舎外への機器の設置

電算機管理者及びシステム管理者は、庁舎外にサーバ等の機器を設置する場合には、葛飾区デジタル技術を活用した区政の推進及び情報システムの管理運営に関する規則第5条に規定する情報システム統括責任者の承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策の実施状況について確認しなければならない。

(7)　機器の廃棄等

電算機管理者及びシステム管理者は、機器を廃棄、リース返却等をする場合には、機器内部の記録装置から、全ての情報を消去の上、復元不可能な状態にするための措置を講じなければならない。

2　電算センターの管理

(1)　構造等

ア　電算機管理者は、電算センターを地階又は1階に設けないようにしなければならない。また、外部からの侵入が容易にできないように措置を講じなければならない。

イ　電算機管理者は、電算センターから外部に通ずる出入口を必要最小限とし、鍵、監視機能、警報装置等によって許可されていない立入りを防止しなければならない。

ウ　電算機管理者は、電算センター内の機器等に、転倒、落下防止等の耐震対策、防火措置、防水措置、防塵措置等を講じなければならない。

エ　電算機管理者は、電算センターに配置する消火薬剤や消防用設備等が、機器及び記録媒体等に影響を与えないようにしなければならない。

オ　電算機管理者は、外部に電算センターの所在がわからないよう、表示を避ける等の措置をしなければならない。

(2)　入退室管理

電算センターへの入退室管理については、電算センター入退室管理に関する要領(平成17年6月13日付け17葛政Ⅰ第81号)の規定の例による。

(3)　機器等の搬入及び搬出

ア　電算機管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ職員又は受託者に確認を実施させなければならない。

イ　電算機管理者は、電算センターの機器等の搬入及び搬出について、職員を立ち会わせなければならない。

3　iDC等の要件

電算機管理者及びシステム管理者は、インターネットデータセンター及びデータセンター(以下「iDC等」という。)を利用する場合は、以下の条件を満たす構造等を有する施設でなければならないものとする。

(1)　iDC等は、水害対策及び確実な入退室管理を行うために、適切な場所に設けなければならない。また、外部からの侵入が容易にできないように外部からのぞき見ができない措置を講じなければならない。

(2)　iDC等から外部に通ずるドアは2か所以下とし、鍵、警報装置等によって許可されていない立入りを防止しなければならない。

(3)　iDC等は、必要に応じ侵入者を検知する等の監視機能を設置しなければならない。

(4)　iDC等の機器類は、耐震対策を講じた場所に設置するとともに、防火対策、防水対策を施さなければならない。

(5)　iDC等の消火剤は機器及び記録媒体に影響を与えるものであってはならない。

(6)　iDC等の外壁等の床下開口部は全て塞がなければならない。

4　執務室及び情報資産の保管場所

情報セキュリティ管理者は、機密性2以上及び重要性Ⅰの情報資産を取り扱う執務室及び情報資産の保管場所に第三者を立ち入らせる場合には、職員の立会い、第三者への腕章、名札等の着用、入退室記録の作成等必要な措置を講じなければならない。

5　ネットワークの管理

(1)　電算機管理者及びシステム管理者は、その管理する庁内の通信回線及び通信回線装置を、施設管理部門と連携し、適切に管理するとともに、通信回線及び通信回線装置に関連する文書を適切に保管しなければならない。

(2)　電算機管理者及びシステム管理者は、外部へのネットワーク接続を必要最小限に限定し、できる限り接続するポイントを減らさなければならない。

(3)　電算機管理者及びシステム管理者は、管理する機密性2以上の情報資産を取り扱う情報システムを通信回線に接続する場合には、必要な情報セキュリティ水準を検討の上、適切な回線を選択するとともに、必要に応じ送受信される情報の暗号化を実施しなければならない。

(4)　電算機管理者及びシステム管理者は、管理する通信回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等がないよう、十分な情報セキュリティ対策をしなければならない。

(5)　電算機管理者及びシステム管理者は、管理する可用性1の情報を取り扱う情報システムに接続される通信回線について、継続的な運用を可能とする回線を選択するとともに、必要に応じ、回線を冗長構成にする等の措置を講じなければならない。

6　職員等のパソコン、モバイル端末等の管理

(1)　電算機管理者及び情報セキュリティ管理者は、執務室等のデスクトップパソコン等の端末について、盗難防止のため、ワイヤーによる固定等の物理的措置をしなければならない。

(2)　電算機管理者及び情報セキュリティ管理者は、執務室等のパソコン、モバイル端末等について、盗難防止のため、施錠できる書庫に保管をしなければならない。なお、施錠できる書庫に保管できない場合は、ワイヤーによる固定等の物理的措置をしなければならない。

(3)　電算機管理者及びシステム管理者は、情報システムへログインする際に、ID、パスワード、あるいは生体認証等複数の認証情報の入力を必要とするよう設定しなければならない。

(4)　電算機管理者及びシステム管理者は、機密性1の情報を取扱う場合は、取り扱う情報の重要度に応じてパスワード以外二要素(IDと指静脈又はICカード認証等)以上の認証手段を利用しなければならない。

(5)　電算機管理者及びシステム管理者は、パソコン、モバイル端末等のデータの暗号化等の機能を有効に活用しなればならない。また端末に情報セキュリティ機能が搭載されている場合には、必要に応じて有効に利用しなければならない。

(6)　電算機管理者及びシステム管理者は、パソコン、モバイル端末等を庁舎外で使用する場合は、必要に応じて遠隔消去機能を利用する等の措置を講じなければならない。

第5　技術的セキュリティ対策

1　コンピュータ及びネットワークの管理

(1)　ファイルサーバの設定等

ア　電算機管理者及びシステム管理者は、情報システムにおいて職員等が使用できるファイルサーバの容量を設定し、その旨を職員等に周知しなければならない。

イ　電算機管理者及びシステム管理者は、情報システムにおけるファイルサーバを課の単位で構成し、職員等が他課のフォルダ及びファイルを閲覧し、及び使用できる領域とできない領域とを設定しなければならない。

ウ　電算機管理者及び情報セキュリティ管理者は、職員等に対し、不必要なファイルを作成しないよう指導しなければならない。

エ　電算機管理者及び情報セキュリティ管理者は、住民の個人情報、人事記録等、特定の職員等しか取り扱うことができない情報について、担当以外の職員等が閲覧し、及び使用することができないようにしなければならない。

(2)　業務システムサーバの設定

電算機管理者及びシステム管理者は、所管する情報システムのサーバを構築する際、許可した者以外にデータを閲覧し、及び使用することができないように設定しなければならない。また、取扱う端末及びアカウントの特権レベルにあわせたアクセス制御を行わなければならない。

(3)　バックアップの実施

電算機管理者及びシステム管理者は、サーバ等に記録された情報について、サーバの冗長化対策にかかわらず、定期的にバックアップを実施しなければならない。

(4)　他団体との情報システムに関する情報等の交換

電算機管理者及びシステム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、情報セキュリティ統括責任者の許可を得なければならない。

(5)　システム管理記録及び作業の確認

ア　電算機管理者及びシステム管理者は、所管する情報システムのバッチ処理、バックアップ等の作業内容について、記録を作成しなければならない。

イ　電算機管理者及びシステム管理者は、所管する情報システムにおいて、情報システムの開発、改修、設定変更等の作業を行った場合には、作業内容について記録を作成し、当該記録を窃取、改ざん等がされないよう適切に管理しなければならない。

ウ　職員及び契約により操作を認められた受託者がシステム変更等の作業を行う場合は、原則2名以上で作業し、互いにその作業を確認しなければならない。

(6)　情報システム仕様書等の管理

電算機管理者及びシステム管理者は、ネットワーク構成図、情報システム仕様書について、記録方式にかかわらず、業務上必要とする者以外の閲覧、盗難、紛失等がないよう適切に管理し、常に最新の状態にしなければならない。

(7)　ログの管理

ア　電算機管理者及びシステム管理者は、各種ログ及び情報セキュリティの確保に必要な記録を作成し、一定の期間保存しなければならない。

イ　電算機管理者及びシステム管理者は、必要に応じてログとして取得する項目、保存期間、取扱い方法及びログが取得できなくなった場合の対処等について定め、適正にログ記録を管理しなければならない。

ウ　電算機管理者及びシステム管理者は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意のある第三者等からの不正侵入及び不正操作等の有無について点検又は分析を行うよう努めなければならない。

(8)　ネットワークの接続制御、経路制御等

ア　電算機管理者及びシステム管理者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール(サーバ等への不正侵入の防御を行うソフトウェア等をいう。)及びルータ等の通信ソフトウェア等を設定しなければならない。

イ　電算機管理者及びシステム管理者は、不正アクセスを防止するため、ネットワークに適切なアクセス制御をしなければならない。

(9)　外部の者が利用できる情報システムの分離等

電算機管理者及びシステム管理者は、区所有のキオスク端末(タッチパネル等を用いて、利用者に特定の機能のみを提供する端末をいう。)等、職員等以外の者が利用する情報システムについて、必要に応じ他のネットワーク及び情報システムと物理的に分離する等の措置を講じなければならない。

(10)　外部ネットワークとの接続制限等

ア　システム管理者は、所管するネットワークを外部ネットワークと接続しようとする場合には、電算機管理者の許可を得なければならない。

イ　電算機管理者は、接続しようとする外部ネットワークに係るネットワーク構成、機器構成、情報セキュリティ技術等を詳細に調査し、庁内の全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。

ウ　電算機管理者及びシステム管理者は、外部ネットワークとの接続を行うことで庁内の全てのネットワークの安全性が脅かされることがないようファイアウォールを設置する等、情報資産の盗用、漏えい、改ざんを防止するため、措置を講じなければならない。

エ　電算機管理者及びシステム管理者は、接続先の外部ネットワークの情報セキュリティに問題が認められ、情報資産に脅威が生じるおそれがある場合には、情報セキュリティ統括責任者の判断に従い、速やかに当該外部ネットワークを遮断しなければならない。

(11)　複合機の情報セキュリティ管理

ア　システム管理者は、複合機(複写機能、印刷機能、スキャナ機能及びファクシミリ機能のうち2つ以上の機能を有するものをいう。以下同じ。)を調達する場合は、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切な情報セキュリティ対策を講じなければならない。

イ　システム管理者は、複合機の運用に際し、情報セキュリティ障害に対する対策を講じなければならない。

ウ　システム管理者は、複合機の運用を終了する場合は、当該複合機に保存されている全ての情報を抹消し、又は再利用できないようにする対策を講じなければならない。

(12)　IOT機器を含む特定用途機器の情報セキュリティ管理

システム管理者は、特定用途機器(テレビ会議システム、ネットワークカメラシステム等特定の用途に使用される情報システム特有の構成要素であって、通信回線に接続されているものをいう。以下同じ。)について、当該特定用途機器の特性、取り扱う情報、利用方法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該特定用途機器の特性に応じた情報セキュリティ対策を講じなければならない。

(13)　無線LAN及びネットワークの盗聴対策

ア　電算機管理者及びシステム管理者は、無線LANを利用する場合は、解読が困難な暗号化及び認証技術の使用等、十分な漏えい防止策を実施しなければならない。

イ　電算機管理者及びシステム管理者は、機密性2以上の情報を取り扱うネットワークについて、情報(データ)の盗聴等を防ぐため、暗号化等の措置を講じなければならない。

(14)　電子メールの情報セキュリティ管理

ア　電算機管理者及びシステム管理者は、権限のない利用者により、外部から外部への電子メール転送(電子メールの中継処理)が行われることを不可能とするよう、電子メールサーバを設定しなけれなならない。

イ　電算機管理者及びシステム管理者は、大量のスパムメール等の受信又は送信を検知した場合は、当該メールを遮断する等の対策を講じなければならない。

ウ　電算機管理者及びシステム管理者は、電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信をできないようにしなければならない。

エ　電算機管理者及びシステム管理者は、職員等が使用できる電子メールボックスの容量の上限を設定し、上限を超えた場合の対応を職員等に周知しなければならない。

(15)　暗号化

職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機密性又は完全性を確保することが必要な場合には、暗号化又はパスワード設定の方法を使用して、送信しなければならない。

(16)　無許可ソフトウェアの導入等の禁止

ア　職員等は、パソコン、モバイル端末等に無断でソフトウェアを導入してはならない。

イ　職員等は、ソフトウェアの導入について業務上の必要がある場合には、電算機管理者又はシステム管理者の許可を得なければならない。なお、導入する際は、電算機管理者及びシステム管理者は、ソフトウェアのライセンスを管理しなければならない。

ウ　職員等は、不正に複製したソフトウェアを利用してはならない。

(17)　機器構成の変更の制限

ア　職員等は、パソコン、モバイル端末等に対し機器の改造、増設又は交換を行ってはならない。

イ　職員等は、業務上、パソコン、モバイル端末等に対し機器の改造、増設又は交換を行う必要がある場合には、電算機管理者又はシステム管理者の許可を得なければならない。

2　アクセス制御等

(1)　アクセス制御

ア　アクセス制御

電算機管理者及びシステム管理者は、情報システムごとに、アクセスする権限のない職員等がアクセスできないよう、システム上制限しなければならない。

イ　ID及びパスワードの取扱い

(ア)　電算機管理者及びシステム管理者は、情報システムの利用者の登録、変更、抹消等の情報管理、職員等の異動、区外への派遣、退職等に伴う利用者IDの取扱い等の方法を定めなければならない。

(イ)　電算機管理者及びシステム管理者は、職員等のID及びパスワードに関する情報を厳重に管理しなければならない。

(ウ)　電算機管理者及びシステム管理者は、情報システムの利用者登録を必要最小限とし、必要がなくなった利用者については直ちに無効とするか登録を削除しなければならない。

(エ)　電算機管理者及びシステム管理者は、職員等に対してパスワードを発行する場合には、仮のパスワードを発行し、ログイン後直ちに仮のパスワードを変更させなければならない。

ウ　特権を付与されたIDの管理等

(ア)　電算機管理者及びシステム管理者は、管理権限等の特権を付与されたIDを利用する者を必要最小限にし、当該IDの漏えい等が発生しないよう、当該ID及びパスワードを厳重に管理しなければならない。

(イ)　電算機管理者及びシステム管理者は、特権を付与されたID及びパスワードについて、入力回数の制限等、セキュリティ機能を強化しなければならない。

(ウ)　電算機管理者及びシステム管理者は、特権を付与されたIDのパスワードを初期設定以外のものに変更しなければならない。

(2)　職員等による外部からのアクセスの制限

ア　職員等は、外部から内部のネットワーク又は情報システムにアクセスをしてはならない。ただし、電算機管理者又はシステム管理者の承認を得た場合は、この限りではない。

イ　電算機管理者及びシステム管理者は、内部のネットワーク又は情報システムに対する外部からのアクセスを承認する場合には、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。

ウ　電算機管理者及びシステム管理者は、外部からのアクセスを承認する場合には、利用者の本人確認を行う機能を確保しなければならない。

エ　電算機管理者及びシステム管理者は、外部からのアクセスに利用するパソコン、モバイル端末等を職員等に貸与する場合には、情報セキュリティ確保のために必要な措置を講じなければならない。

オ　職員等は、持ち込み、又は外部から持ち帰ったモバイル端末を庁内のネットワークに接続する前に、コンピュータウイルスに感染していないこと及びパッチの適用状況等を確認し、情報セキュリティ管理者の許可を得るか、若しくは情報セキュリティ管理者によって事前に定められた手順に従って接続しなければならない。

カ　電算機管理者及びシステム管理者は、公衆無線LAN等の公衆通信回線の庁外通信回線を、庁内ネットワークに接続してはならない。ただし、やむを得ず接続する場合は、利用者のID、パスワード及び生体認証に係る情報等の認証情報並びにこれを記録した媒体(ICカード等)による認証に加えて、通信内容の暗号化等の情報セキュリティ確保のために必要な対策を講じなければならない。

(3)　ログイン時の表示等

電算機管理者及びシステム管理者は、ログイン時におけるメッセージ、ログイン試行回数の制限、アクセスタイムアウトの設定及びログイン・ログアウト時刻の表示等により、正当なアクセス権を持つ職員等がログインしたことを確認できるようシステムを設定しなければならない。

(4)　認証情報の管理

ア　電算機管理者及びシステム管理者は、職員等の認証情報を厳重に管理しなければならない。認証情報ファイルを不正利用から保護するため、オペレーティングシステム等で認証情報設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。

イ　電算機管理者及びシステム管理者は、職員等に対してパスワードを発行する場合は、仮のパスワードを発行し、初回ログイン後直ちに仮のパスワードを変更させなければならない。

ウ　電算機管理者及びシステム管理者は、認証情報の不正利用を防止するための措置を講じなければならない。

(5)　特権による接続時間の制限

電算機管理者及びシステム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。

3　情報システムの開発、改修、導入、保守等

(1)　情報システムの調達

ア　電算機管理者及びシステム管理者は、情報システムの開発、改修、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的な情報セキュリティ機能を明記しなければならない。

イ　電算機管理者及びシステム管理者は、機器及びソフトウェアの調達に当たり、当該製品が情報セキュリティ上問題のないことを確認しなければならない。

(2)　情報システムの開発、改修及び保守

ア　情報システムの開発、改修及び保守における責任者等の特定

電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守において、責任者及び作業者を特定し、作業範囲を明らかにしなければならない。

イ　情報システムの開発、改修及び保守における責任者等のIDの管理

(ア)　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守において、責任者及び作業者が使用するIDを管理しなければならない。

(イ)　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守において、責任者及び作業者のアクセス権限を設定しなければならない。

ウ　情報システムの開発、改修及び保守に使用するハードウェア及びソフトウェアの管理

(ア)　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守において、責任者及び作業者が使用するハードウェア及びソフトウェアを特定しなければならない。

(イ)　電算機管理者及びシステム管理者は、(ア)において利用を認めたソフトウェア以外のソフトウェアがハードウェアに導入されている場合は、当該ソフトウェアを削除しなければならない。

(3)　情報システムの導入

ア　開発環境と運用環境との分離及び移行手順の明確化

(ア)　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守時の開発環境とシステム運用環境とをできる限り分離しなければならない。

(イ)　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守において、環境からシステム運用環境への移行についての手順を、開発、改修及び保守の計画策定時に明らかにしなければならない。

(ウ)　電算機管理者及びシステム管理者は、開発環境からシステム運用環境への移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。

(エ)　電算機管理者及びシステム管理者は、導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。

イ　検証

(ア)　電算機管理者及びシステム管理者は、新たに情報システムを導入する場合には、既に稼働している情報システムに接続する前に十分な検証を実施しなければならない。

(イ)　電算機管理者及びシステム管理者は、運用テストを行う場合、あらかじめ疑似環境による操作確認を行わなければならない。

(ウ)　電算機管理者及びシステム管理者は、本番の個人情報及び機密性の高いデータを、テストデータに使用してはならない。

(エ)　新たな情報システムの導入検証を行う場合、開発を委託する事業者と電算機管理者又はシステム管理者とが、それぞれ独立したテストを行わなければならない。

(4)　情報システムの開発、改修及び保守に関連する資料等の保管

ア　電算機管理者及びシステム管理者は、情報システムの開発、改修及び保守に関連する文書を適切な方法で保管しなければならない。

イ　電算機管理者及びシステム管理者は、検証結果を一定期間保管しなければならない。

ウ　電算機管理者及びシステム管理者は、情報システムに係るソースコード(コンピュータプログラムの元となる一連の文字の羅列をいう。)を適切な方法で保管しなければならない。

(5)　情報システムにおける入出力データの正確性の確保

ア　電算機管理者及びシステム管理者は、情報システムに入力されるデータについて、範囲、妥当性の検証機能及び不正な文字列等の入力を除去する機能を組み込むように情報システムを設計しなければならない。

イ　電算機管理者及びシステム管理者は、故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合には、これを検出する機能を組み込むように情報システムを設計しなければならない。

ウ　電算機管理者及びシステム管理者は、情報システムから出力されるデータについて、処理結果が正しく反映され、出力されるよう情報システムを設計しなければならない。

(6)　情報システムの変更管理

電算機管理者及びシステム管理者は、情報システムの改修、設定変更等をした場合には、プログラム仕様書等の変更履歴を作成しなければならない。

(7)　開発・改修・保守環境のソフトウェアの更新等

電算機管理者及びシステム管理者は、開発、改修及び保守用のソフトウェア等を、更新又はパッチ(コンピュータにおいてプログラムの一部分を更新して欠陥の修正又は機能の変更を行うためのデータをいう。)の適用をする場合には、他の情報システムとの整合性を確認しなければならない。

(8)　情報システムの更新又は統合作業時の検証等

電算機管理者及びシステム管理者は、情報システムの更新又は統合作業時に伴うリスク管理体制の構築、移行基準の明確化及び更新又は統合作業後の業務運営体制の検証を行わなければならない。

4　不正プログラム対策

電算機管理者及びシステム管理者は、不正プログラム対策として、次の事項を行わなければならない。

(1)　外部ネットワークから受信したファイルは、インターネットのゲートウェイ(ネットワーク及び情報システムにおいて異なった規格を持つデータの相互通信を可能にする変換機能をいう。以下同じ。)においてコンピュータウィルス等の不正プログラムの検査を行い、情報システムへの不正プログラムの侵入を防止すること。

(2)　外部ネットワークに送信するファイルは、インターネットのゲートウェイにおいてコンピュータウィルス等不正プログラムの検査を行い、外部への不正プログラムの拡散を防止すること。

(3)　コンピュータウィルス等の不正プログラム情報を収集し、必要に応じ職員等に対して注意喚起をすること。

(4)　所掌するサーバ、パソコン、モバイル端末等に、コンピュータウィルス等の不正プログラム対策ソフトウェアを搭載させること。

(5)　原則、不正プログラム対策のソフトウェア及びパターンファイルは、常に最新の状態に保つこと。

(6)　原則、開発元のサポートが終了したソフトウェアを業務で利用しないこと。

(7)　外部記録媒体を使用する場合には、コンピュータウィルス等の感染を防止するために、事前に認められた外部記録媒体以外を職員等に利用させないこと。

(8)　不正プログラム対策ソフトウェア等の設定変更権限については、一括管理し、システム管理者が許可した職員を除く職員等に当該権限を付与してはならない。

5　不正アクセス対策

(1)　電算機管理者及びシステム管理者の措置事項

電算機管理者及びシステム管理者は、不正アクセス対策として、次の事項を行わなければならない。

ア　使用していないポート(情報システムにおけるネットワーク通信ためのゲートをいう。)を閉鎖させること。

イ　使用していないサービスの機能を削除又は停止させること。

ウ　不正アクセスによるウェブサイトの改ざんを防止するために、データの書換えを検出できるよう設定すること。

(2)　内部からの攻撃

電算機管理者及びシステム管理者は、職員等が使用しているパソコン、モバイル端末等からの庁内サーバ等に対する攻撃や外部のウェブサイトに対する攻撃を監視しなければならない。

(3)　職員等による不正アクセス

電算機管理者及びシステム管理者は、職員等による不正アクセスを発見した場合は、当該職員等が所属する課の情報セキュリティ管理者に報告し、適切な対応を求めなければならない。

(4)　サービス不能攻撃

電算機管理者及びシステム管理者は、外部からアクセスできる情報システムが第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

(5)　標的型攻撃

電算機管理者及びシステム管理者は、情報システムに対する標的型攻撃による第三者の内部への侵入を防ぐため、自動再生無効化(電子的記録媒体等が接続されると、プログラムや動画などのファイルが自動的に起動する機能をいう。)等の対策を講じなければならない。また、内部に侵入した第三者の攻撃を早期に察知して対処するために、通信を定期的にチェックする等の対策を講じなければならない。

6　セキュリティ情報の収集等

(1)　セキュリティホール(OSやソフトウェアにおける情報セキュリティ上の欠陥をいう。以下同じ。)に関する情報の収集、共有、ソフトウェアの更新等

電算機管理者及びシステム管理者は、セキュリティホールに関する情報を収集し、必要に応じ関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。

(2)　不正プログラム等のセキュリティ情報の収集及び周知

電算機管理者及びシステム管理者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、関係者間で共有しなければならない。

(3)　情報セキュリティに関する情報の収集

情報セキュリティ統括責任者は、情報セキュリティに関する情報について適宜国、関係団体、民間事業者等から収集しなければならない。

(4)　情報セキュリティに関する情報の周知及び報告

情報セキュリティ統括責任者は、情報セキュリティに関する情報を定期的にまとめ、職員等に通知するとともに、情報セキュリティ対策の見直しに繋がる情報については情報セキュリティ委員会に報告しなければならない。

第6　危機管理対策

1　セキュリティ障害時対策マニュアルの策定

電算機管理者及びシステム管理者は、所管する情報システム及びネットワークのセキュリティ障害時マニュアルを策定し、当該マニュアルに従って適切に対応しなければならない。

2　セキュリティ障害時対策マニュアルに定める内容

セキュリティ障害時対策マニュアルには、次の内容を定めるものとする。

(1)　セキュリティ障害の内容の把握、関連課への報告及び連絡方法

(2)　初期対応及び障害拡大の防止措置の実施

(3)　セキュリティ障害の内容、発生した原因、確認した被害、影響範囲等の調査

(4)　セキュリティ障害への対応方法

(5)　情報システムの復旧手順

(6)　再発防止の措置

(7)　障害記録の作成

3　セキュリティ障害時対策マニュアルの見直し

電算機管理者及びシステム管理者は、定期的に情報システムの復旧手順等を検証し、必要に応じセキュリティ障害時対策マニュアルを見直さなければならない。

第7　運用等におけるセキュリティ対策

1　情報システムの監視

(1)　電算機管理者及びシステム管理者は、情報セキュリティに関する事案を検知するため、情報システムを常時監視しなければならない。

(2)　電算機管理者及びシステム管理者は、重要なプログラム等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置をしなければならない。

(3)　電算機管理者及びシステム管理者は、外部と常時接続するシステムを常時監視しなければならない。

2　情報セキュリティポリシー等の遵守状況の確認

(1)　遵守状況の確認及び対応

ア　情報セキュリティ管理者は、情報セキュリティポリシー等の遵守状況について、定期的に確認を行い、問題が発生した場合には適切かつ速やかに対応しなければならない。ただし、対応が困難な場合は、情報セキュリティ統括責任者に報告しなければならない。

イ　電算機管理者及びシステム管理者は、ネットワーク、サーバ等の情報システム設定等における情報セキュリティポリシー等の遵守状況について、定期的に確認を行い、問題が発生していた場合には適切かつ速やかに対応しなければならない。ただし、対応が困難な場合は、情報セキュリティ統括責任者に報告しなければならない。

ウ　情報セキュリティ統括責任者は、ア及びイにおいて報告を受けた場合は、適切かつ速やかに対応しなければならない。

(2)　端末、外部記録媒体等の利用状況調査

電算機管理者及びシステム管理者は、不正アクセス、不正プログラム等の調査のために、職員等が使用しているパソコン、モバイル端末等、外部記録媒体のログ、電子メールの送受信記録等の利用状況を必要に応じて調査しなければならない。

(3)　職員等の報告義務

職員等は、情報セキュリティポリシー等に対する違反行為を発見した場合には、直ちに情報セキュリティ管理者に報告しなければならない。

3　外部委託等

(1)　受託者の選定基準

ア　電算機管理者及び情報セキュリティ管理者は、受託者の選定に当たり、委託内容に応じた情報セキュリティ対策が確保されていることを確認しなければならない。

イ　電算機管理者及び情報セキュリティ管理者は、受託者の選定に当たり、情報セキュリティマネジメントシステムの国際規格の認証取得状況、情報セキュリティ監査の実施状況等を参考にしなければならない。

(2)　契約項目

ア　外部委託する場合及び機密情報を取り扱う契約(委託契約以外を含む。)を行う場合には、次の情報セキュリティ要件を明記した「機密情報の取扱いに関する特記仕様」を契約書に添付しなければならない。

(ア)　機密情報の定義

(イ)　機密情報の原則的な取扱い

(ウ)　知的財産権

(エ)　機密情報の適正な管理

(オ)　秘密保持の義務

(カ)　第三者への提供の禁止

(キ)　受注した業務の範囲を超えた情報の利用禁止

(ク)　機密情報の返還及び廃棄の義務

(ケ)　事故発生時における報告の義務

(コ)　立会い及び監督に関すること

(サ)　機密保持の監査

(シ)　教育

(ス)　機密情報の授受及び搬送

(セ)　再委託

(ソ)　公表措置及び損害賠償義務

(タ)　協議事項

イ　個人情報を取り扱う契約(委託契約以外も含む。)を行う場合は、葛飾区長が管理する個人情報の保護等に関する規則(昭和61年葛飾区規則第55号)第13条各号に掲げる事項を明記した「葛飾区が保有する個人情報の取扱いに関する特記仕様」を契約書に添付しなければならない。

ウ　特定個人情報を取り扱う契約(委託契約以外も含む。)を行う場合は、葛飾区長が管理する個人情報の保護等に関する規則第13条各号に掲げる事項を明記した「葛飾区が保有する特定個人情報の取扱いに関する特記仕様」を契約書に添付しなければならない。

(3)　受託者の責務

受託者は、特記仕様及び協定書に明記された情報セキュリティ要件及び情報セキュリティポリシー等を遵守しなければならない。

(4)　情報セキュリティ対策の実施状況の確認

ア　電算機管理者及び情報セキュリティ管理者は、定期的に受託者に対し、情報セキュリティ対策の実施状況について確認しなければならない。

イ　電算機管理者及び情報セキュリティ管理者は、情報セキュリティ対策が遵守されていない場合には、受託者に対し必要な措置をしなければならない。

4　例外措置

(1)　例外措置の許可

ア　電算機管理者、システム管理者及び情報セキュリティ管理者は、事務の遂行において、例外措置を実施する必要がある場合は、あらかじめ情報セキュリティ統括責任者に報告しなければならない。

イ　情報セキュリティ統括責任者は、前項の報告を受け、事務の遂行において、例外措置を実施する必要がある場合は、あらかじめ最高情報セキュリティ統括責任者に許可を得なければならない。

ウ　最高情報セキュリティ統括責任者は、当該例外措置を実施することについて、情報セキュリティ関係規定を遵守することが困難な状況で、事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し、又は遵守事項を実施しないことについてやむを得ない理由がある場合には、許可をすることができる。

(2)　緊急時の例外措置

情報セキュリティ統括責任者は、事務遂行に緊急を要する等の場合において、例外措置の許可を得るいとまがないときは、事後速やかに最高情報セキュリティ統括責任者に報告しなければならない。

(3)　例外措置の実施結果の管理

情報セキュリティ統括責任者は、例外措置の実施結果を適切に保管しなければならない。

5　約款による外部サービスの利用

職員等は、利用するサービスの約款、その他提供条件から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適正な措置を講じた上で利用しなければならない。

6　ソーシャルメディアサービスの利用

(1)　情報セキュリティ管理者は、区が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する事項を含めたソーシャルメディアサービス運用手順を定めなければならない。

(2)　区のアカウントによる情報発信が、実際の区のものであることを明らかにするために、区の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに、当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を実施すること。

(3)　パスワードや認証のためのコード等の認証情報及びこれを記録した媒体(ICカード等)等を適正に管理するなどの方法で、不正アクセス対策を実施すること。

(4)　機密性2以上の情報は、原則としてソーシャルメディアサービスで発信してはならない。ただし、別表情報資産分類表に規定された場合を除く。

(5)　利用するソーシャルメディアサービスごとの責任者を定めなければならない。

(6)　アカウントの乗っ取りを確認した場合は、被害を最小限にするための措置を講じなければならない。

7　クラウドサービスの利用

(1)　情報セキュリティ管理者は、クラウドサービス(民間事業者が提供するものに限らず、本区が自ら提供する者等を含む。電算機管理者及びシステム管理者は、ASP(ネットワーク経由でアプリケーションを提供するサービスの提供者をいう。以下同じ。)を利用するに当たり、取り扱う情報資産の分類及び分類に応じた取扱制限を踏まえ、情報の取扱いを委ねることの可否を判断しなければならない。

(2)　情報セキュリティ管理者は、クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準拠法及び裁判管轄を指定しなければならない。

(3)　情報セキュリティ管理者は、クラウドサービスの中断や終了時に円滑に業務を移行するための対策を検討し、委託先を選定する際の要件としなければならない。

(4)　情報セキュリティ管理者は、クラウドサービスの特性を考慮した上で、クラウドサービス部分を含む情報の流通経路全般にわたるセキュリティが適切に確保されるよう、情報の流通経路全般を見渡した形でセキュリティ設計を行った上でセキュリティ要件を定めなければならない。

(5)　情報セキュリティ管理者は、クラウドサービスに対する情報セキュリティ監査による報告書の内容、各種の認定・認証制度の適用状況等から、クラウドサービス及び当該サービス提供事業者の信頼性が十分であることを総合的・客観的に評価し判断しなければならない。

第8　評価及び見直し

1　監査

(1)　実施方法

最高情報セキュリティ統括責任者は、情報セキュリティ統括責任者を監査統括責任者に任命し、情報資産における情報セキュリティ対策の実施状況について、毎年度及び必要に応じて監査を実施するものとする。

(2)　監査実施計画の立案

監査統括責任者は、監査の実施に当たって、監査実施計画を立案し、情報セキュリティ委員会に報告した上で、最高情報セキュリティ統括責任者の承認を得なければならない。

(3)　監査を実施する者の要件

ア　監査統括責任者は、監査を実施する場合は、監査対象課から独立した者に対して、監査の実施を依頼しなければならない。

イ　監査を実施する者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。

(4)　監査実施

ア　監査対象課は、監査の実施に協力しなければならない。

イ　業務を委託している場合は、監査統括責任者は、受託者の情報セキュリティポリシー等の遵守について監査を定期的又は必要に応じ実施しなければならない。

ウ　監査を実施した者は、監査実施後速やかに、監査報告書を監査統括責任者へ提出しなければならない。

(5)　監査結果の報告

監査統括責任者は、監査を実施した者から報告を受けた監査結果について、最高情報セキュリティ統括責任者に報告しなければならない。

(6)　監査結果に対する改善

ア　監査統括責任者は、監査結果を踏まえ、指摘事項を所管する電算機管理者、システム管理者及び情報セキュリティ管理者に対し、当該事項への改善を指示しなければならない。この場合において、指摘事項を所管していない電算機管理者、システム管理者及び情報セキュリティ管理者に対しても、同種の課題及び問題点が発生しているおそれがある場合には、当該課題及び問題点の有無を確認させなければならない。なお、庁内で横断的に改善が必要な事項については、情報セキュリティ統括責任者に対し、当該事項への対処を指示しなければならない。

イ　システム管理者及び情報セキュリティ管理者は、必要に応じて電算機管理者に協力要請し、改善策を検討した上で、その結果を監査統括責任者へ報告しなければならない。

ウ　電算機管理者は、当該監査結果の内容が情報システムに関係する内容である場合かつシステム管理者又は情報セキュリティ管理者から協力要請があった場合には、具体的な改善策が提示できるよう、体制を整えておかなければならない。

(7)　監査結果及び指摘事項に対する改善策報告

監査統括責任者は、監査結果及び指摘事項に対する改善策を情報セキュリティ委員会に報告しなければならない。

(8)　保管

監査統括責任者は、監査の実施を通して収集した証拠と、監査報告書の作成のための監査調書を、紛失等が発生しないよう適切に保管しなければならない。

2　自己点検

(1)　実施方法

電算機管理者、システム管理者及び情報セキュリティ管理者は、情報セキュリティ対策の実施状況について、必要に応じて自己点検を実施しなければならない。

(2)　報告

電算機管理者、システム管理者及び情報セキュリティ管理者は、自己点検の結果及び自己点検に基づく改善策等を取りまとめ、情報セキュリティ統括責任者に提出しなければならない。

(3)　自己点検結果の活用

職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。

3　情報セキュリティポリシーの見直し

最高情報セキュリティ統括責任者は、情報セキュリティ監査及び自己点検の結果並びに情報セキュリティに関する状況の変化等を踏まえ、必要に応じ情報セキュリティポリシーを見直さなければならない。

付則

付則(令和3年11月8日3葛総総第695号)

1　電磁的記録及び当該電磁的記録を管理する情報システム

電磁的記録及び当該電磁的記録を管理する情報システムは、以下の機密性、完全性及び可用性のレベルに応じて分類する。

(1)　機密性による分類

(2)　完全性

(3)　可用性

2　文書、図面、写真及びフィルム

文書、図面、写真及びフィルムの情報資産は、重要性のレベルに応じて分類する。