2　委員会は、次に掲げる事項を審議する。

2　委員会に委員長を置き、最高情報セキュリティ責任者をもって充てる。

3　委員長は、会務を総理し、委員会を代表する。

4　委員長に事故があるときは、統括情報セキュリティ責任者がその職務を代理する。

2　会議は、委員の3分の2以上の出席がなければ開くことができない。

3　会議の議長は、委員長をもって充てる。

2　最高情報セキュリティ責任者は、副町長をもって充てる。

2　統括情報セキュリティ責任者は、総務課長をもって充てる。

3　統括情報セキュリティ責任者は、次に掲げる事項について所掌するものとする。

2　セキュリティ管理者は、課等の長をもって充てる。

3　セキュリティ管理者は、次に掲げる事項について所掌するものとする。

4　セキュリティ管理者は、セキュリティ担当者を自らに代わって自身の所属する組織の情報セキュリティ管理の全部又は一部を行う管理者及びこれを補佐する者とすることができる。

2　セキュリティ管理者は、所管する情報資産が複製され、又は伝送された場合には、複製された情報資産も原本と同様に管理しなければならない。

3　セキュリティ管理者は、情報資産の漏えい、滅失、毀損の防止等の適切な管理を行わなければならない。

2　職員等は、情報資産の作成時に当該情報の重要性分類を行わなければならない。

3　職員等は、作成途中の情報資産についても、紛失、流出等を防止しなければならない。

2　職員等は、庁外の者が作成した情報資産を入手した場合は、第11条に規定する分類に従い、当該情報資産の重要性分類を行わなければならない。

3　職員等は、入手した情報資産の重要性分類が不明な場合には、セキュリティ管理者に判断を仰がなければならない。

2　セキュリティ管理者は、情報資産を記録した記録媒体を長期間保管する場合は、書き込み禁止等の措置を講じなければならない。

3　セキュリティ管理者は、重要分類性Ⅱ以上の情報資産が記録された記録媒体を保管する場合は、耐火、耐熱、耐水、耐湿等の措置を講じた施錠可能な場所に保管しなければならない。

2　職員等は、重要性分類Ⅱ以上の情報資産を送付する場合は、必要に応じて暗号又はパスワードの設定を行わなければならない。

2　職員等は、重要性分類Ⅱ以上の情報資産が記録された記録媒体を外部に持ち出す場合は、守秘義務契約を締結した業者に運搬を行わせるとともに、必要に応じて鍵付きのケース等に格納し、暗号化又はパスワードの設定を行う等の情報資産の不正利用を防止するための措置を講じなければならない。

3　職員等は、暗号化された情報資産を複合鍵とは別に管理しなければならない。

2　職員等は、重要性分類Ⅱ以上の情報資産を外部に提供する場合は、職員等に当該情報資産を必要に応じて暗号化し、又はパスワードの設定を行わなければならない。

3　職員等は、住民等に公表する情報資産について、完全性を確保しなければならない。

2　職員等は、重要性分類Ⅱ以上の情報資産を記録した記録媒体が不要となった場合は、当該情報資産を復元できないよう消去し、及び破壊した上で廃棄しなければならない。

3　職員等は、重要性分類Ⅱ以上の情報資産を記録した記録媒体を廃棄する場合は、廃棄日、作業担当者、処理内容等を記録する等の適切な処理を行わなければならない。

2　セキュリティ管理者は、サーバ等の機器の破棄等により行政事務に重大な影響を及ぼすおそれのある情報資産については、常に最新データのバックアップを行わなければならない。

2　統括情報セキュリティ責任者及びセキュリティ管理者は、ネットワーク間及び情報システムにおける配線について損傷等を防止するために必要な措置を講じなければならない。

3　統括情報セキュリティ責任者及びセキュリティ管理者は、ハブのポート等ネットワーク接続口を他人が容易に接続できない場所に設置しなければならない。

4　統括情報セキュリティ責任者、セキュリティ管理者、セキュリティ担当者及び契約により操作を認められた外部委託者以外の者が配線を変更し、又は追加できないように必要な措置をとらなければならない。

2　セキュリティ管理者は、情報システムを外部の事業者に修理させる場合は、内容を消去した状況で行わせなければならない。また、内容を消去できない場合は、修理を委託する事業者との間で守秘義務契約を締結するほか、秘密保持体制の確認等を行わなければならない。

2　統括情報セキュリティ責任者及びセキュリティ管理者は、定期的に前項の機器の情報セキュリティポリシーの遵守状況を確認しなければならない。

2　セキュリティ管理者は、電算室に機器等を搬入し、又は搬出する場合は、職員等が立ち会う等の措置を講じなければならない。

2　統括情報セキュリティ管理者は、外部へのネットワーク接続を必要最低限に限定し、できる限り接続ポイントを減らさなければならない。

3　統括情報セキュリティ管理者は、行政系のネットワークをできる限り総合行政ネットワーク(LGWAN)に集約するように努めなければならない。

4　統括情報セキュリティ管理者は、重要性分類Ⅱ以上の情報資産を取り扱う情報システムをネットワークに接続する場合は、継続的な運用を可能とする回線を選択しなければならない。

5　統括情報セキュリティ管理者は、ネットワークに使用する回線には、伝送途上に情報資産の破壊、盗聴、改ざん、消去等が生じないようにセキュリティ対策を講じなければならない。

2　セキュリティ管理者は、職員等が情報システムにログインする場合は、パスワードの入力を必要とするように設定を行わなければならない。

3　セキュリティ管理者は、職員等のパソコンにログインする場合は、ID及びパスワードの入力を必要とするように設定を行わなければならない。

2　職員等は、情報セキュリティポリシー及び本実施手順について不明な点及び遵守することが困難な点等がある場合は、速やかにセキュリティ管理者に相談し、指示を仰がなければならない。

3　職員等は、業務以外の目的で情報資産の外部への持ち出し、情報資産へのアクセス、電子メールの使用及びインターネットへのアクセスを行ってはならない。

4　職員等は、パソコン端末、記録媒体、情報資産、ソフトウェア等を外部に持ち出す場合には、セキュリティ管理者の許可を得なければならない。

5　職員等は、外部で情報処理業務を行う場合は、セキュリティ管理者の許可を得なければならない。

6　職員等は、異動等により業務を離れる場合は、当該業務により知り得た情報を他に漏らしてはならない。

7　職員等は、私物のパソコン又は記録媒体を持ち込んではならない。ただし、業務上必要な場合は、セキュリティ管理者の許可を得て、これらを持ち込むことができる。

8　セキュリティ管理者は、パソコン端末等の持ち出し及び持ち込みについて記録を作成し、保管しなければならない。

2　セキュリティ管理者は、十分な知識と技術を維持するため、情報通信技術及び情報セキュリティに関する研修を定期的に受講しなければならない。また、職員等を対象とした研修を定期的に開催し、その記録を保管しなければならない。

3　前項の場合において、セキュリティ管理者は、自らに代わって教育及び啓発を行う職員を指定できるものとする。

4　セキュリティ管理者は、職員等に所管する情報システムの運用に支障を来さない範囲において緊急時対応を想定した訓練等を行わせなければならない。

5　職員等は、情報セキュリティポリシーに関する研修を受講し、情報セキュリティポリシー及び本実施手順を理解し、情報セキュリティ上の問題が発生しないように努めなければならない。

6　情報システムの開発、保守及び運用管理に携わる職員は、担当者として必要な知識と技術を習得し、及び維持するための研修を定期的に受講しなければならない。

7　セキュリティ管理者は、新規採用の職員等を対象とする情報セキュリティに関する研修を実施しなければならない。

2　職員等は、自己が利用しているIDを他人に利用させてならない。

3　職員等は、パスワード又はIDが流失したおそれがある場合には、直ちにセキュリティ管理者に報告し、指示を受けなければならない。

4　前項の報告があった場合において、セキュリティ管理者は、直ちに当該パスワード又はIDを使用したアクセス等を停止しなければならない。

2　セキュリティ管理者は、所管するネットワーク及び情報システムの仕様書を第三者に閲覧させてはならない。

2　セキュリティ管理者は、アクセス記録が盗取し、改ざんし、又は消去されないように必要な措置を講じなければならない。

3　セキュリティ管理者は、可能な範囲でアクセス記録を分析しなければならない。

4　セキュリティ管理者は、重要なアクセスログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。

2　職員等は、業務上不必要なソフトウェア、出所不明なソフトウェア等の安全性が確認されていないソフトウェアをインストールしてはならない。

3　職員等は、インストールされているソフトウェアを適切に運用管理しなければならない。

2　職員等は、チェーンメール等の不審な電子メールを他者に転送してはならない。

3　職員等は、重要性分類Ⅰの情報資産に該当する電子メールを送信する必要がある場合は、事前に所管セキュリティ管理者を介して最高情報セキュリティ責任者の承認を受けるとともに、暗号化通信等の盗聴対策を講じなければならない。

4　職員等は、重要性分類Ⅱの情報資産に該当する電子メールを送信する必要がある場合は、事前に所管セキュリティ管理者の承認を受けなければならない。

5　職員等は、外部からソフトウェアを取り入れる場合は、事前に所管セキュリティ管理者の承認を受けなければならない。

6　職員等は、差出人不明又は不自然な内容の電子メールを受信した場合は、直ちに受信端末からLANケーブルを外し、所管セキュリティ管理者に状況を報告し、指示を仰がなければならない。

2　職員等は、暗号化及び復元化のための鍵を、最高情報セキュリティ責任者が定めた方法を用いて厳重に管理しなければならない。

2　セキュリティ管理者は、情報システムから出力されるデータの処理が正しく行われていることを確認しなければならない。

2　職員等は、情報システムの利用者の登録、変更、抹消等を行う場合は、所管セキュリティ管理者に報告しなければならない。

2　セキュリティ管理者は、外部ネットワークとの接続を行うことで内部ネットワークの安全性が脅かされることのないよう、セキュリティ対策に努めなければならない。

3　セキュリティ管理者は、接続した外部ネットワークに情報セキュリティ上の問題が認められた場合は、当該外部ネットワークを内部ネットワークから速やかに遮断しなければならない。

4　セキュリティ管理者は、内部ネットワークに情報セキュリティ上の問題が認められた場合は、当該内部ネットワークを外部ネットワークから速やかに遮断しなければならない。

2　統括情報セキュリティ責任者は、ネットワーク及びネットワーク上で利用する各種サービスのID、パスワード等を適切に管理させなければならない。

2　統括情報セキュリティ責任者及びセキュリティ管理者の特権を代行する者(以下「代行者」という。)は、統括情報セキュリティ責任者及びセキュリティ管理者が指名し、最高情報セキュリティ責任者が認めたものでなければならない。

3　最高情報セキュリティ責任者は、代行者を認めた場合は、速やかに統括情報セキュリティ責任者及びセキュリティ管理者に通知しなければならない。

4　統括情報セキュリティ責任者及びセキュリティ管理者は、特権を付与されたID及びパスワードの変更について、外部事業者に行わせてはならない。

5　統括情報セキュリティ責任者及びセキュリティ管理者は、特権を付与されたIDを初期設定以外のものに変更しなければならない。

2　統括情報セキュリティ責任者は、機密性の高い情報を取り扱うネットワークについて、情報の盗聴等を防ぐために、暗号化等の措置を講じなければならない。

2　セキュリティ管理者は、所管する情報システムのソフトウェアを開発し、及び導入する場合は、当該ソフトウェアの仕様書、ネットワーク構成図等を整備しなければならない。

3　セキュリティ管理者は、開発したソフトウェアを情報システムに取り入れる場合は、既存の稼働している情報システムに接続する前に十分な試験を実施しなければならない。

2　最高情報セキュリティ責任者は、情報システムのソフトウェア更新を計画的に実施させなければならない。

2　セキュリティ管理者は、故障を外部委託者に修理させる際、情報資産を消去することが困難な場合は、当該委託者と別途守秘義務契約を締結しなければならない。

2　職員等は、情報システム機器について業務遂行上、機器の増設又は交換を行う必要がある場合は、事前に所管セキュリティ管理者の許可を得なければならない。

3　職員等は、モデム等の通信機器を増設して他のネットワークへ接続を行う場合又は他のネットワークからのアクセスを可能とする仕組みを構成する場合は、事前に所管セキュリティ管理者の許可を得なければならない。

4　セキュリティ管理者は、許可に当って情報システム及び外の情報システムにセキュリティ上の問題を生じさせてはならない。

2　セキュリティ管理者は、所管する情報システムへの不正な侵入やアクセスがあった場合は、その事実を検知できる不正侵入検知システムを導入する等、適切な措置を講じなければならない。

3　セキュリティ管理者は、所管する情報システムが攻撃を受けていることが明らかになった場合は、システムの停止を含め必要な措置を講じなければならない。

4　セキュリティ管理者は、職員等により町ネットワーク及び外部ネットワークに対して不正なアクセスがあった場合は、当該職員等が所属する部署のセキュリティ管理者に通知し、適切な処置を求めなければならない。

5　職員等は、外部ネットワークより不正なアクセスがあった場合は、所管セキュリティ管理者にその状況を報告し、適切な措置を講じなければならない。

6　セキュリティ管理者は、所管する情報システムへの不正な侵入やアクセスがあった場合は、その詳細を委員会に報告しなければならない。

7　最高情報セキュリティ責任者及び統括情報セキュリティ責任者は、サーバ等に攻撃を受けることが明確になった場合は、システムの停止を含む必要な措置を講じなければならない。

8　最高情報セキュリティ責任者及び統括情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス行為の禁止等に関する法律(平成11年法律第128号。以下「不正アクセス禁止法」という。)違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

9　統括情報セキュリティ責任者及びセキュリティ管理者は、外部からアクセスできる情報システムに対して第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。

10　統括情報セキュリティ責任者及びセキュリティ管理者は、情報システムにおいて、標的型攻撃による内部への侵入を防止するために、教育、自動再生無効化等の人的対策及び入口対策を講じなければならない。

2　統括情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。

3　統括情報セキュリティ責任者は、国、関係団体、民間事業者等から適宜セキュリティ関連情報を収集するとともに、情報セキュリティ侵害時には、関係団体に対し、その事実を報告しなければならない。

2　セキュリティ管理者は、外部と常時接続するシステムを監視しなければならない。

2　最高情報セキュリティ責任者は、発生した問題について適切かつ速やかに処理しなければならない。

3　統括情報セキュリティ責任者及びセキュリティ管理者は、ネットワーク及びサーバ等のシステム設定等における情報セキュリティポリシー及び本実施手順の遵守状況について、定期的に確認を行い、問題が発生していた場合には、適切かつ速やかに対処しなければならない。

2　統括情報セキュリティ責任者は、違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性がある場合は、緊急時対応計画に従って適切に処理しなければならない。

2　対策本部のメンバーは、情報セキュリティ委員を兼務することができる。

3　情報セキュリティ侵害時における町の全情報システムの統制権は、全て対策本部に帰属し、その判断及び対応処理は、町の全組織に対して優先されなければならない。

2　対策本部に総責任者を置き、最高情報セキュリティ責任者をもって充てる。

3　総責任者は、対策本部を代表する。

4　総責任者に事故があるときは、統括情報セキュリティ責任者がその職務を代理する。

2　対策本部の会議の議長は、総責任者をもって充てる。

2　対策本部は、ネットワーク及び情報システムに侵害を受け、その侵害の原因となる行為が不正アクセス禁止法違反等の可能性がある場合には、当該行為の記録保全に努め、警察等に対し記録資料を提出しなければならない。

2　対策本部は、前項の規定による調査結果を、最高情報セキュリティ責任者へ速やかに報告しなければならない。

2　対策本部は、セキュリティ侵害が町外部に重大な影響を及ぼすおそれがある場合には、速やかに最高情報セキュリティ責任者に報告の上、必要な指示を仰がなければならない。

2　情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。

3　監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。

4　被監査部門は、監査の実施に協力しなければならない。

5　情報セキュリティ監査統括責任者は、監査を外部事業者に委託する場合は、外部事業者から下請けとして受託している事業者も含めて、情報セキュリティポリシーの遵守状況について、必要に応じて監査を行わなければならない。

6　情報セキュリティ監査統括責任者は、監査結果を取りまとめ、委員会に報告しなければならない。

7　最高情報セキュリティ責任者は、監査結果を踏まえ、指摘事項を所管するセキュリティ管理者に対し、当該事項への処理を指示しなければならない。また、指摘事項を所管していないセキュリティ管理者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。

8　委員会は、監査結果を情報セキュリティポリシー、関係規定等の見直しその他情報セキュリティ対策の見直し時に活用しなければならない。

2　セキュリティ管理者は、所管する課等における情報セキュリティポリシー及び本実施手順に沿った情報セキュリティ対策状況について、必要に応じて自己点検を行わなければならない。

3　統括情報セキュリティ責任者及びセキュリティ管理者は、必要に応じて自己点検結果及び自己点検結果に基づく改善策を取りまとめ、委員会に報告しなければならない。

4　職員等は、自己点検の結果に基づき、自己の権限の範囲内で情報セキュリティ対策状況の改善を図らなければならない。

5　委員会は、この点検結果を情報セキュリティポリシー、関係例規等の見直しその他情報セキュリティ対策の見直し時に活用しなければならない。

2　最高情報セキュリティ責任者は、情報セキュリティポリシー及び本実施手順の評価及び見直しが必要となる事象が発生した場合は、委員会に諮り、必要な見直しを行わなければならない。

3　委員会は、情報セキュリティポリシー及び本実施手順の実施状況、将来の技術及び脅威の状況等を踏まえ、継続的に情報セキュリティポリシー及び本実施手順の評価及び見直しを実施し、少なくとも策定後1年を目途に更新の必要性の有無を検討しなければならない。

2　セキュリティ管理者は、行政事務の遂行に緊急を要する等の場合であって、例外処理を実施することが不可避のときは、事後速やかに最高情報セキュリティ責任者に報告しなければならない。

この要綱は、平成28年1月1日から施行する。

この訓令は、令和3年4月1日から施行する。

この訓令は、デジタル社会の形成を図るための関係法律の整備に関する法律(令和3年法律第37号)附則第1条第7号に掲げる規定(同法第51条の規定に限る。)の施行の日から施行する。