情報セキュリティポリシー

蔵王町情報セキュリティポリシー （情報セキュリティ基本方針） 平成１６年 ４月 制 定 平成２７年１０月 一部改定 平成２７年１２月 一部改定 令和 ８年 ３月 一部改定 -- 1 of 8 -- 1 （目 次） 序 蔵王町情報セキュリティポリシーの体系 第１章 情報セキュリティ基本方針 １ 目的 ２ 定義 ３ 対象とする脅威 ４ 適用範囲 ５ 職員等の遵守義務 ６ 情報セキュリティ対策 ７ 情報セキュリティ監査及び自己点検の実施 ８ 情報セキュリティポリシーの見直し ９ 情報セキュリティ対策基準の策定 １０ 情報セキュリティ実施手順の策定 -- 2 of 8 -- 2 序 蔵王町情報セキュリティポリシーの体系 情報セキュリティポリシーとは、蔵王町が所掌する情報資産に関する情報セキュリティ 対策について、総合的、体系的かつ具体的に取りまとめたものを総称する。情報セキュリ ティポリシーは、蔵王町が所掌する情報資産に関する業務に携わる職員等及び外部委託事 業者に浸透、普及、定着させるものであり、安定的な規範であることが要請される。しか しながら一方では、技術の進歩等に伴う情報セキュリティを取り巻く急速な状況の変化へ 柔軟に対応することも必要である。 このようなことから、情報セキュリティポリシーを一定の普遍性を備えた部分(基本方 針)と情報資産を取り巻く状況の変化に依存する部分(対策基準)に分けて策定することと した。具体的には、情報セキュリティポリシーを、情報セキュリティ基本方針と情報セキ ュリティ対策基準の２階層に分け、それぞれを策定することとする。また、情報セキュリ ティポリシーに基づき、情報システム毎の具体的な情報セキュリティ対策の実施手順とし て情報セキュリティ実施手順を策定することとする。 情報セキュリティ基本方針 情報セキュリティ対策に関する統一的かつ 基本的な方針。 情報セキュリティ対策基準 基本方針を実行するための、全てのネット ワーク、情報システム等に共通の情報セ キュリティ対策の基準。 情報セキュリティ実施手順 対策基準をもとに、各課や情報システムごと に定める具体的なセキュリティ対策手続。 情報セキュリティ ポリシー （蔵王町情報セキュリティポリシー体系図） 基本方針 対策基準 実施手順 情報セキュリティポリシー -- 3 of 8 -- 3 第１章 情報セキュリティ基本方針 １ 目的 蔵王町は、住民の皆様のために、生活環境の改善や産業、教育、福祉、医療、災害対 策などのあらゆる生活の場面において、さまざまな行政サービスを展開している。こう したサービスはひと時も休むことが許されず、継続的に運営していく必要がある。 一方、近年のインターネットを中心とした情報通信技術の発展に伴い、不正アクセス やコンピュータウイルス等による情報資産への脅威が増大している。 本町では、こうした脅威から情報資産を保護し、住民の信頼確保と安定した行政サー ビスの提供を目的に、全組織、全職員等の一人一人が扱う情報の保護において取り組む 基準を定めるとともに、その継続的な遵守の決意表明として、「情報セキュリティポリシ ー」を定めたところである。 本章「情報セキュリティ基本方針」は、本町が保有する情報資産の機密性、完全性及 び可用性を維持するため、本町が実施する情報セキュリティ対策について基本的な事項 を定めるものであり、本町では、本基本方針を、地方自治法（昭和２２年法律第６７号） 第２４４条の６第１項に規定するサイバーセキュリティを確保するための方針として位 置付けるものである。 ２ 定義 情報セキュリティポリシーにおいて、次の各号に掲げる用語の意義は、それぞれの各 号に定めるところによる。 （１）ネットワーク コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及び ソフトウェア）をいう。 （２）情報システム コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組 みをいう。 （３）情報セキュリティ 情報資産の機密性、完全性及び可用性を維持することをいう。 （４）情報セキュリティポリシー 本基本方針及び情報セキュリティ対策基準をいう。 （５）機密性 情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保 することをいう。 （６）完全性 情報が破壊、改ざん又は消去されていない状態を確保することをいう。 -- 4 of 8 -- 4 （７）可用性 情報にアクセスすることを認められた者が、必要なときに中断されることなく、情 報にアクセスできる状態を確保することをいう。 （８）マイナンバー利用事務系（個人番号利用事務系） 個人番号利用事務（社会保障、地方税若しくは防災に関する事務）又は戸籍事務等 に関わる情報システム及びデータをいう。 （９）ＬＧＷＡＮ接続系 ＬＧＷＡＮに接続された情報システム及びその情報システムで取り扱うデータをい う（マイナンバー利用事務系を除く。）。 （１０）インターネット接続系 インターネットメール、ホームページ管理システム等に関わるインターネットに接 続された情報システム及びその情報システムで取り扱うデータをいう。 （１１）通信経路の分割 ＬＧＷＡＮ接続系とインターネット接続系の両環境間の通信環境を分離した上で、 安全が確保された通信だけを許可できるようにすることをいう。 （１２）無害化通信 インターネットメール本文のテキスト化や端末への画面転送等により、コンピュー タウイルス等の不正プログラムの付着が無い等、安全が確保された通信をいう。 ３ 対象とする脅威 情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施す る。 （１）不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入 等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、 内部不正等 （２）情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の 不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機 能の不備、委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による 情報資産の漏えい・破壊・消去等 （３）地震、落雷、火災等の災害によるサービス及び業務の停止等 （４）大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等 （５）電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等 ４ 適用範囲 （１）行政機関の範囲 情報セキュリティポリシーが適用される行政機関は、町長部局、教育委員会、選挙 -- 5 of 8 -- 5 管理委員会、監査委員、農業委員会、固定資産評価審査委員会、議会及び地方公営企 業とする。 （２）情報資産の範囲 情報セキュリティポリシーが対象とする情報資産は、次のとおりとする。 ① ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体 ② ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。） ③ 情報システムの仕様書及びネットワーク図等のシステム関連文書 （３）適用者 情報セキュリティポリシーの適用者は、（２）に定める情報資産を取り扱う次の者と する。 ① （１）に定める行政機関に所属する全ての職員 ② 特別職 ③ 町と委託契約等によって定められた範囲で町の業務を受託する者（以下「外部委 託事業者」という。） ５ 職員等の遵守義務 情報資産を取り扱う職員及び特別職（以下「職員等」という。）並びに外部委託事業者 は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報 セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。 ６ 情報セキュリティ対策 上記３の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じる。 （１）組織体制 本町の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確 立する。 （２）情報資産の分類と管理 本町の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に 基づき情報セキュリティ対策を実施する。 （３）情報システム全体の強靭性の向上 情報セキュリティの強化を目的とし、業務の効率性・利便性の観点を踏まえ、情報 システム全体に対し、次の三段階の対策を講じる。 ① マイナンバー利用事務系においては、原則として、他の領域との通信をできない ようにした上で、端末からの情報持ち出し不可設定や端末への多要素認証の導入等 により、住民情報の流出を防ぐ。 ② ＬＧＷＡＮ接続系においては、ＬＧＷＡＮと接続する業務用システムと、インタ ーネット接続系の情報システムとの通信経路を分割する。なお、両システム間で通 -- 6 of 8 -- 6 信する場合には、無害化通信を実施する。 ③ インターネット接続系においては、不正通信の監視機能の強化等の高度な情報セ キュリティ対策を実施する。高度な情報セキュリティ対策として、都道府県及び市 区町村のインターネットとの通信を集約した上で、自治体情報セキュリティクラウ ドの導入等を実施する。 （４）物理的セキュリティ サーバ、情報システム室、通信回線及び職員等のパソコン等の管理について、物理 的な対策を講じる。 （５）人的セキュリティ 情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育 及び啓発を行う等の人的な対策を講じる。 （６）技術的セキュリティ コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等 の技術的対策を講じる。 （７）運用 情報システムの監視、情報セキュリティポリシーの遵守状況の確認、業務委託を行 う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるもの とする。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正 に対応するため、緊急時対応計画を策定する。 （８）業務委託と外部サービス（クラウドサービス）の利用 業務委託を行う場合には、委託事業者を選定し、情報セキュリティ要件を明記した 契約を締結し、委託事業者において必要なセキュリティ対策が確保されていることを 確認し、必要に応じて契約に基づき措置を講じる。 外部サービス（クラウドサービス）を利用する場合には、利用に係る規定を整備し 対策を講じる。 ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービスの 運用手順を定め、ソーシャルメディアサービスで発信できる情報を規定し、利用する ソーシャルメディアサービスごとの責任者を定める。 （９）評価・見直し 情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情 報セキュリティ監査及び自己点検を実施し、運用改善を行い、情報セキュリティの向 上を図る。情報セキュリティポリシーの見直しが必要な場合は、適宜情報セキュリテ ィポリシーの見直しを行う。 ７ 情報セキュリティ監査及び自己点検の実施 情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報 -- 7 of 8 -- 7 セキュリティ監査及び自己点検を実施する。 ８ 情報セキュリティポリシーの見直し 情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必 要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が 必要になった場合には、保有する情報及び利用する情報システムに係る脅威の発生の可 能性及び発生時の損失等を分析し、リスクを検討したうえで、情報セキュリティポリシ ーを見直す。 ９ 情報セキュリティ対策基準の策定 上記６、７及び８に規定する対策等を実施するために、具体的な遵守事項及び判断基 準等を定める情報セキュリティ対策基準を策定する。 なお、情報セキュリティ対策基準は、公にすることにより本町の行政運営に重大な支 障を及ぼすおそれがあることから非公開とする。 １０ 情報セキュリティ実施手順の策定 情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的 な手順を定めた情報セキュリティ実施手順を策定するものとする。 なお、情報セキュリティ実施手順は、公にすることにより本町の行政運営に重大な支 障を及ぼすおそれがあることから非公開とする。 -- 8 of 8 --