奥州金ケ崎行政事務組合情報セキュリティポリシー

　この基本方針は、奥州金ケ崎行政事務組合（以下「組合」という。）が保有する情報資産の機密性、完全性及び可用性を維持するため、組合が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。 

本基本方針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。 

(1) ネットワーク 

　  コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をい 

　う。 

(2) 情報システム 

     コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。 

(3) 情報セキュリティ 

     情報資産の機密性、完全性及び可用性を維持することをいう。 

(4) 情報資産

     情報システム、情報システムの開発及び運用に係る情報並びに情報システムで取り扱う情報(紙等出力され

  た情報を含む。)をいう。

(5) 情報セキュリティポリシー 

     本基本方針及び情報セキュリティ対策基準をいう。 

(6) 機密性 

     情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。 

(7) 完全性 

     情報及び処理の方法の正確さ及び完全である状態を保護することをいう。 

(8) 可用性 

     情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態

  を確保することをいう。 

(9) ＬＧＷＡＮ接続系 

     ＬＧＷＡＮに接続された情報システム及びその情報システムで取り扱うデータをいう（マイナンバー利用事

  務系を除く。） 。 

(10)インターネット接続系 

     インターネットメール、ホームページ管理システム等に関わるインターネットに接続された情報システム及

  びその情報システムで取り扱うデータをいう。 

(11)無害化通信 

     インターネットメール本文のテキスト化や端末への画面転送等により、コンピュータウイルス等の不正プロ

  グラムの付着が無い等、安全が確保された通信をいう。  

情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。

(1) 不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による

  情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等 

(2) 情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プログラム上の欠

  陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、委託管理の不備、マネジメントの欠

  陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等 地震、落雷、火災等の災害及び事

  故、故障等による業務の停止等 

(3) 大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等 

(4) 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等 

本基本方針は、組合がその業務遂行上取り扱う全ての情報資産及び組合の情報資産を取り扱う全ての職員に適用する。 

全ての職員は、情報セキュリティ対策の重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。 

上記３の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じる。 

(1) 組織体制 

     組合の情報資産について、情報セキュリティ対策を推進する組織体制を確立する。 

(2) 情報資産の分類と管理 

     組合の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ

  対策を実施する。 

(3) 物理的セキュリティサーバ、通信回線及び職員のパソコン等の管理について、物理的な対策を講じる。 

(4) 人的セキュリティ 

     情報セキュリティに関し、職員が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な

  対策を講じる。 

(5) 技術的セキュリティ 

     コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じ

  る。 

(6) 運用 

     情報システムの監視、情報セキュリティポリシーの遵守状況の確認、業務委託を行う際のセキュリティ確保

  等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産に対するセキュリティ侵

  害が発生した場合等に迅速かつ適正に対応するため、緊急時対応計画を策定する。 

(7) 業務委託と外部サービスの利用  

     業務委託を行う場合には、委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、委託事業

  者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じ

  る。 

     外部サービスを利用する場合には、利用に係る規定を整備 し対策を講じる。 

     ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービスの運用手順を定め、ソーシ

  ャルメディアサービスで発信できる情報を規定し、利用するソーシャルメディアサービスごとの責任者を定め

  る。 

情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。 

情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直す。 

上記６、７及び８に規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。

情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定するものとする。 

なお、情報セキュリティ実施手順は、公にすることにより組合の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。 

事務局　企画総務課総務財政係　　電話0197-24-5821