セキュリティポリシー策定・運用支援ナレッジ ... - IPAセキュリティポリシー雛形策定に関する調査報告書 2 2 作業概要本作業は、具体的には以下の作業により構成される。•

電子政府セキュリティ基盤技術開発

セキュリティポリシー策定・運用支援ナレッジマネジメントシステムの開発

セキュリティポリシー雛形策定に関する

調査報告書

平成 1 3 年 2 月

情報処理振興事業協会

セキュリティポリシー雛形策定に関する調査報告書

i

目　次

1 はじめに . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1

2 作業概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2

3 調査作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

3.1 対象文書抽出検討作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

3.2 対象文書調査作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

3.2.1 政府ポリシーガイドラインの把握 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

3.2.2 対象文書の調査. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

3.2.3 調査結果の整理. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42

4 分析作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52

4.1 論点分析作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52

4.2 論点体系化作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137

5 成文化作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148

5.1 セキュリティポリシー雛形策定作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148

5.1.1 電子政府向けセキュリティポリシー雛形. . . . . . . . . . . . . . . . . . . . . . . . . 148

5.1.2 政府ポリシーガイドラインと雛形文書体系の対応関係 . . . . . . . . . . . . . . . 185

5.2 論点集明文化作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186

6 まとめ. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234


1

1 はじめに

　本報告書は、「セキュリティポリシー策定・運用支援ナレッジマネジメントシステム」

（以下、「セキュリティポリシーKM システム」という）において用いられるセキュリテ

ィポリシー雛形及び知識ベースの策定を目的に、その素材として、電子政府で使用できる

具体的なサンプルとしての「電子政府向けセキュリティポリシー雛形」及びセキュリティ

ポリシーを策定する際の判断基準となる「セキュリティポリシー策定論点集」を策定した

作業報告である。

　電子政府向けセキュリティポリシー雛形及びセキュリティポリシー策定論点集の策定に

あたっては、平成 12 年 7 月付けの内閣安全保障・危機管理室情報セキュリティ対策推

進室より公示された「情報セキュリティポリシーに関するガイドライン」（以下、「政府ポ

リシーガイドライン」という）に基づくことを前提としている。

　なお、電子政府向けセキュリティポリシー雛形の策定にあたっては、電子政府を対象と

して検討することとなるが、本報告書では、電子政府とは、具体的には中央省庁及び地方

公共団体であると想定し、作業を実施した。


2

2 作業概要

　本作業は、具体的には以下の作業により構成される。

• 調査作業

• 分析作業

• 成文化作業

　各作業の関連を下図に示す。

　調査作業では、既に公開されている各種のセキュリティ関連ガイドライン文書を調査し、

電子政府向けセキュリティポリシーの策定にあたり加味すべきと考えられる論点を網羅的

に抽出する作業を行った。調査対象となるセキュリティ関連ガイドラインは、政府ポリシ

ーガイドラインの他に、セキュリティポリシーを策定する上で実績のある文書を 10 以上

選定した。調査作業の結果として、以下の成果物を作成した。

• セキュリティポリシー主要論点

調査作業

分析作業

成文化作業

各種ガイドライン

各種ノウハウ

セキュリティポリシー策定論点集

電子政府向けセキュリティポリシー雛型

図 1: 電子政府向けセキュリティポリシー雛形開発作業関連図


3

　分析作業では、調査作業により抽出されたセキュリティポリシー主要論点に対し、電子

政府向けセキュリティポリシーの策定にあたっての判断基準及び対策について検討を行っ

た。分析作業では、弊社が保有するセキュリティポリシー策定に関するノウハウを活用し、

電子政府として相応しいセキュリティポリシーにおける論点、判断基準及び対策を分析し

た。分析作業の結果として、以下の成果物を作成した。

• 論点分析結果

• 論点体系化表

　成文化作業では、分析作業により得られた論点分析結果及び論点体系化表に基づき、電

子政府内でセキュリティポリシー策定時の雛形として活用可能なサンプル、及びセキュリ

ティポリシーを策定する際の判断基準の参考資料として活用可能な論点集の明文化を行っ

た。成文化作業の結果として、以下の最終成果物を作成した。

• 電子政府向けセキュリティポリシー雛形

• セキュリティポリシー策定論点集


4

3 調査作業

　本作業は、電子政府向けセキュリティポリシー雛形を開発するため、既に公開されてい

る各種のセキュリティ関連ガイドライン文書より、電子政府向けセキュリティポリシーの

策定にあたり加味すべきと考えられる論点を網羅的に抽出する作業である。

　具体的には、以下の作業により実施した。

• 対象文書抽出検討作業

• 対象文書調査作業

3.1 対象文書抽出検討作業

　本作業では、電子政府向けセキュリティポリシー雛形の策定を目的に、各種のセキュリ

ティ関連ガイドライン文書を調査する際の抽出基準を定め、具体的な検討対象候補となる

文書の決定を行った。

　セキュリティ関連ガイドライン文書には、マネジメント系ガイドラインからテクニカル

系ガイドラインまで、数多くの文書が世に出回っている。対象文書を抽出する前に、まず

セキュリティに関連のある各種の国際標準及び国内の公的基準や民間ガイドライン等を整

理した。その結果を下表に示す。

表 1: 対象文書の候補一覧

文書名称発行元

ISO/IEC TR 13335

Techniques for the Management of IT Security

国際標準化機構

ISO/IEC 15408

Evaluation Criteria for IT Security

国際標準化機構

BS7799

A Code of Practice for Information Security Management

英国規格協会

RFC2196

Site Security Handbook

IETF

Internet Security Policy: A Technical Guide NIST

Guidelines for the Security of Information Systems 経済協力開発機構

情報セキュリティポリシーに関するガイドライン内閣安全保障・危機

管理室

金融機関等におけるセキュリティポリシー策定のための手引

書

財団法人金融情報シ

ステムセンター


5

文書名称発行元

情報システム安全対策基準旧通産省

コンピュータ不正アクセス対策基準旧通産省

コンピュータウイルス対策基準旧通産省

ソフトウェア管理ガイドライン旧通産省

システム監査基準旧通産省

行政情報システムの安全対策指針旧総務庁

情報システム安全対策指針警察庁

地方公共団体のためのコンピュータセキュリティ対策基準旧自治省

情報通信ネットワーク安全・信頼性基準旧郵政省

金融機関等コンピュータシステムの安全対策基準財団法人金融情報シ


プライバシー保護と個人データの国際流通についてのガイド

ラインに関する理事会勧告

経済協力開発機構

個人データ処理に係る個人情報保護欧州連合

行政機関の保有する電子計算機処理に係る個人情報の保護に

関する法律

国内法律

個人情報保護基本法大綱案個人情報保護法制化

専門委員会

個人情報保護に関する条例地方公共団体

JIS Q 15001「個人情報保護に関するコンプライアンス・プ

ログラムの要求事項」

日本工業規格

民間部門における電子計算機処理に係る個人情報保護ガイド

ライン

旧通産省

金融機関等における個人情報保護のあり方財団法人金融情報シ


国家公務員法法律

地方公務員法法律

行政機関の保有する情報の公開に関する法律法律

著作権法法律

不正アクセス行為の禁止等に関する法律法律

不正競争防止法法律

住民基本台帳法法律

電子署名法法律


6

　これらの候補文書の中から調査対象となる文書を抽出するために、抽出基準を定める必

要がある。本作業の目的が電子政府向けセキュリティポリシーの策定であることに基づき、

以下に示す抽出基準を設定した。

1 . セキュリティポリシー策定のための指針を提示している文書（抽出基準①）

電子政府向けセキュリティポリシー雛形を策定するにあたっては、政府ポリシーガ

イドラインにおいて検討すべき項目が示されているが、不足事項がないか検討する

ために、セキュリティポリシー策定のための指針を提示している文書を調査する必

要がある。

2 . セキュリティ対策に関する指針を提示している文書（抽出基準②）

セキュリティポリシーを策定する際に一般的に検討すべき論点を、上記の抽出基準

①により選定した文書にて洗い出すが、それを補完するために、一般に検討しなけ

ればならないセキュリティ対策を洗い出し、論点に不足がないか調査する必要があ

る。

3 . 中央省庁や地方公共団体における情報システムに関する内部規程（抽出基準③）

電子政府向けセキュリティポリシー雛形を策定するにあたっては、中央省庁や地方

公共団体が現状保有している、情報システムの運営（セキュリティ対策を含む）に

関する内部規程等を調査し、論点として検討すべき事項がないか調査する必要があ

る。

4 . セキュリティに関連のある法令等（抽出基準④）

セキュリティ対策の実施においては、関連法令等との整合性を図るべきであり、そ

のため、セキュリティに関連のある法令等を調査する必要がある。

　表 1 に示す対象候補となる文書に対して、上記の抽出基準①～④に基づき、調査対象

文書を抽出した。その際に、候補文書のうち、他の候補文書によって、その記載内容が十

分に盛り込まれていると判断される文書については、調査対象から除外するものとした。

なお、抽出基準③に関連する文書については、インターネット上で入手可能な文書を検索・

取得することとした。抽出作業の結果として得られた、調査対象文書を以下に示す。

• 抽出基準①により抽出された文書

ü BS7799

ü ISO/IEC TR 13335


7

ü 金融機関等におけるセキュリティポリシー策定のための手引書

• 抽出基準②により抽出された文書

ü ISO/IEC 15408

ü 情報システム安全対策基準

ü コンピュータ不正アクセス対策基準

ü コンピュータウイルス対策基準

ü ソフトウェア管理ガイドライン

ü システム監査基準

ü 行政情報システムの安全対策指針

ü 情報システム安全対策指針

• 抽出基準③により抽出された文書

ü 地方公共団体の電算処理運営に係る内部規程

¨ 大東市電子計算組織および情報システム管理運用規程

¨ 金沢市電子計算機処理データ保護管理規程

¨ 高知市電子計算機処理情報管理規程

¨ 新潟市電子計算機処理管理運営規程

¨ 宗像市戸籍情報システムに係るデータ保護管理規程

¨ 宗像市電子計算組織の管理、運営に関する規程

ü 地方公共団体の個人情報保護条例

¨ 新潟市電子計算機処理に係る個人情報の保護に関する条例

¨ 新潟市電子計算機処理に係る個人情報の保護に関する条例施行規則

• 抽出基準④により抽出された文書

ü 国家公務員法

ü 地方公務員法

ü 個人情報保護基本法大綱案

ü JIS Q 15001

ü 不正アクセスの禁止等に関する法律

ü 行政機関の保有する情報の公開に関する法律

ü 著作権法


8

3.2 対象文書調査作業

　本作業では、電子政府向けセキュリティポリシー雛形を策定するにあたり、加味すべき

と考えられる論点を網羅的に抽出する作業を行った。

　本作業を実施するにあたり、まず、政府ポリシーガイドラインの内容、論点を把握し、

対象文書を調査するにあたっての基準を定めることとした。次に、当該基準に基づき、対

象文書を調査し、電子政府向けセキュリティポリシー雛形を策定する際に加味すべきと考

えられる論点の抽出を実施した。

3.2.1 政府ポリシーガイドラインの把握

　政府ポリシーガイドラインに基づき、下記事項についての把握作業を行った。

• セキュリティポリシーの構成

• セキュリティポリシーの適用範囲

• 政府ポリシーガイドラインにおける論点

1 . セキュリティポリシーの構成

　政府ポリシーガイドラインが定義するセキュリティポリシーの構成は、下表の

通りである。従って、本報告書で策定する電子政府向けセキュリティポリシー雛

形は、政府ポリシーガイドラインで定義するところの、情報セキュリティ基本方

針（以下「基本方針」という）及び情報セキュリティ対策基準（以下「対策基準」

という）とした。

　電子政府向けセキュリティポリシー雛形を策定する前に、基本方針及び対策基

準にて盛り込まれるべき論点の境界線を事前に明確化しておくことが必要である。

政府ポリシーガイドラインにおける定義に基づき、その切り分けを次の通りとし

た。

• 基本方針に盛り込む内容は、電子政府向けセキュリティポリシー雛形そのも

のの目的、適用範囲、及び用語の定義に止めるものとし、その内容について

は、成文化作業において検討するものとする。従って、調査作業及び分析作

業においては、基本方針を検討対象の範囲外とする。

• 対策基準では、上記以外の論点を盛り込むものとする。但し、具体的なセキ

ュリティ対策の実施方法は情報セキュリティ実施手順等で明記されるものと

判断し、対策基準においては、セキュリティに関する要件を取りまとめるに

止める。


9

表 2: セキュリティポリシーの構成

文書内容備考

政府のセキュリテ

ィの基本的な考え

方

政府全体としてのセキュリティ対策における根本的

な考え方。

政府ポリシー

ガイドライン

で提示済み

情報セキュリティ

基本方針

各省庁毎に、各省庁のセキュリティに対する基本的

な考え方・取組姿勢（目的、対象範囲など）。

セキュリティ

ポリシー


対策基準

各省庁毎に、情報セキュリティ基本方針を実現する

ために実施しなければならない事柄（情報資産を守

るための体系化された対策）。

セキュリティ

ポリシー


実施手順等

各省庁の部局毎に、情報セキュリティ対策基準を情

報システムや日々の業務において実行できるレベル

まで、具体化した手順を示すもの。

各省庁の部局

毎に策定され

る

2 . セキュリティポリシーの適用範囲

　政府ポリシーガイドラインが定義するセキュリティポリシーの適用範囲は、次

の通りである。従って、本報告書においても、下記の適用範囲に限定した検討を

行うものとし、紙媒体等のセキュリティ対策を含めないものとした。

• ハードウェア、ソフトウェア、記録媒体等の情報システム

• 電磁的に記録される情報（紙媒体は含まない。但し、システム構成図等の文

書は含むものとする。）

• 上記の情報に接する全ての者

3 . 政府ポリシーガイドラインにおける論点

　政府ポリシーガイドラインにおける対策基準に盛り込まれるべき論点を、下表

に整理した。

表 3: 政府ポリシーガイドラインにおける論点

大項目中項目小項目

組織・体制 • 最高情報セキュリティ責任者の設置

• 最高情報セキュリティ責任者の責任と役割

• 情報セキュリティ委員会の設置

• 情報セキュリティ委員会の役割

ü 日々のセキュリティポリシーの遵守状況の確認

体制の確立

ü 導入の際の改善点の調査及び見直し

ü 教育・啓発活動


10


情報の分類

と管理

情報の管理責任 • 各情報に対する管理責任の所在

ü 情報を管理する者の具体的な責任と役割

ü 情報を利用する者の具体的な責任と役割

• 情報管理責任者の設置（各課ごとに）

ü 当該課で作成された文書の管理責任を負う

• 管理責任が定められていない情報（作成中の文書、電

子メール等）は、個人が適切に管理する

情報の分類と管理

方法

• 情報の分類

• 情報の分類に関する表示

• 情報の管理方法（情報の分類ごとに）

ü アクセス権限の設定

ü 暗号化

ü 媒体の管理

ü 情報の変更の管理

ü 情報の廃棄の管理

ü 分類の有効期限

• 分類済の情報の複製・伝送時の管理（原情報の分類に

従う）

物理的セキュリティ • 情報システムの設置場所

ü 適切な設備の設置（不正立入・損傷及び妨害か

らの保護）

ü 出入管理

ü 執務室内のコンピュータ等の物理的な対策（盗

難等）

人的セキュ

リティ

役割・責任及び免

責事項

• 対象範囲（対象者）のセキュリティに関する役割・責

任

ü 誰が責任をとるか

ü 管理職・職員の役割

• 外部業者との関係（プログラム開発担当者との関係を

含む）

• 免責事項（ポリシーの円滑な運用のため）

ü 自ら責任となるセキュリティ障害等を積極的に

申告した場合は免責

• 最高情報セキュリティ責任者

ü 責任：全てのセキュリティに関する権限及び責

任を持つ

ü 役割：運用に関し、重大な決定権限を持つ

• 情報セキュリティ担当官（管理職等）

ü 各部局ごとに設置

ü 各組織における指示系統、意見の集約、責任等

を果たす

• システム管理者

ü 役割・責任

ü その権限が不当に利用されることのない対策

（複数による作業、作業内容の確認の仕組み）

• 職員等

ü セキュリティ対策の遵守義務

ü 外部委託に関する管理


11


・委託先事業者（下請け含む）に対しセキ

ュリティポリシーを遵守させる

・教育

・セキュリティポリシー違反時の規定（損

害賠償等）の契約書への明記

・受託業者及び取扱者の技術的能力・信頼

性等への考慮

• 非常勤及び臨時職員

ü 職員に準じた責任・役割

• その他

ü 業務を離れる（退職・異動）際の当該職員が知

り得た情報に対する留意

教育・訓練 • 計画的な教育・訓練

ü 研修、説明会の実施、その他啓発活動

ü 新入職員への初任者研修

事故、欠陥に対す

る報告

• セキュリティに関する事故、欠陥の報告義務とその方

法

パスワードの管理 • 厳格なパスワード管理

ü アクセス制御に関するパスワード対策だけでな

く、その管理の適切な実施

非常勤及び臨時職

員等の雇用及び契

約

• ポリシー遵守の必要

ü コンピュータで作業を行う場合、当該コンピュ

ータのアクセス管理、情報システムへのアクセ

ス権限

ü 同意書への署名

技術的セキ

ュリティ

コンピュータ及び

ネットワークの管

理

• 情報システムの運用管理手順

• ネットワーク管理

• 記録媒体の保護

• 他の組織とデータ交換を行う際の留意点や規定

• 機器の取扱い・管理方法

• 利用者に対する情報システム使用の規定

ü 業務目的外の使用の原則禁止

ü 業務上のデータの持ち出しの禁止

・私有機器の持ちこみ許可制

・メールの転送許可制

ü 無許可ソフトウェアの導入禁止

・ハッキングツール・モニタリングツール

の導入厳禁

・ソフトウェア導入の許可制

ü 機器構成の変更の禁止

・機器の増設・改造の禁止

・モデム等増設による庁内外アクセス仕組

みの禁止


12


アクセス制御 • 情報へのアクセスは業務要件に従って許可される必要

性

ü サーバへのアクセス権限の付与

• 利用者の権限と責任

ü ログイン、ログアウト時の留意点

ü メール自動転送の制限

• システム管理者側で措置すべきパスワード管理の方法

ü 利用者登録（登録・抹消手順）

• システム管理者の権限

• システムの重要度に応じた特殊な個人認証方法の採用

等のアクセス制御

• 外部からの利用者の接続（モバイル端末による接続

等）の基準

• 情報及び情報システムへのアクセス要件

• 地方支分部局等からの専用線等接続がある場合、適切

なセキュリティ対策の必要性

システム開発、導

入、保守等

• 情報システムの新規開発・更新の際の、適切なセキュ

リティ対策（リスク分析）

• システム開発等を受託する者に対する必要な事項

• 導入の際の、事前の不具合の確認（機器、ソフトウェ

ア、媒体及びサービス）

• 仕様書等の取扱い

• 故障等により廃棄・修理する機器について、その中の

情報への留意

• 保守のため、監視体制、情報システムの修正に関する

規定

コンピュータウイ

ルス対策

• システム整備

• 職員の守るべき規定

セキュリティ情報

の収集

• 情報収集の体制、分析の手順、情報収集先

• 深刻なセキュリティホール発見時の速やかな対応

運用情報システムの監

視及びポリシーの

遵守状況の確認（運

用管理）

• 利用者等のポリシー遵守状況の確認

ü ポリシー遵守のみならず、ポリシー問題点や実

態的整合性の評価

• 情報システムの稼働状況の確認（ネットワーク監視

等）

• 一部の担当者に大きな負担とならないような運用管理

体制の構築

• システム稼働中は常時監視でき、障害発生時にも速や

かに対応できる体制

• アクセス記録の取得・分析

ü アクセス記録の適切な保管のための措置

運用管理における

留意点

• 電子メール閲覧等のセキュリティ管理ソフトウェアの

使用（条件・体制）に関する規定

ü 国民のプライバシーに対する侵害があってはな

らない

ü 職員のプライバシーに対する配慮

• 利用者の理解を得る必要性


13


侵害時の対応策 • 緊急時対応計画の必要性

ü 連絡先、証拠保全、被害拡大の防止、復旧等の

必要な措置、再発防止の措置

ü 自省庁内だけでなく、外部への被害拡大があれ

ば、その防止

ü 実施手順としての明快な緊急時マニュアル

• 検証や訓練による十分な確認

外部委託による運

用契約

• 外部委託による情報システム運用時の契約

ü Security Advisory が出たときの速やかな連絡

ü アクセス記録のチェックについて危険度に応じ

た分類と、その重要度による緊急連絡網を通じ

た連絡

• その確認体制

法令遵守 • 遵守すべき法律や行政指導

ü 著作権法、不正アクセス禁止法、個人情報保護

法など

情報セキュリティに関する違反

に対する対応

• ポリシー違反の関係者及び監督責任者に対する公務員

法上等の懲戒の対象となりうる

• 業務中に違反的行為の発見時に、適切な対応（端末利

用の停止等）ができる必要性

評価・見直し • 定期的な対策基準の評価・見直し

ü ポリシー及びセキュリティ対策の評価、情報シ

ステムの変更、新たな脅威等を踏まえる

• 監査

ü 情報システムのセキュリティについての監査

ü ポリシーの評価・見直しへの結果のフィードバ

ック

ü 監査者は、十分な専門性を有するもの、システ

ムに直接関係しない者

• 点検

ü ポリシーに沿ったセキュリティ対策の実施状況

のチェック

ü アンケートや自己点検

• ポリシーの更新

ü 妥当性を確認するための手続き

4 . 対象文書調査における論点抽出基準の設定

　政府ポリシーガイドラインにおけるセキュリティポリシーの把握作業により、

対象文書調査において、電子政府向けセキュリティポリシー雛形を策定するにあ

たり加味すべき論点を抽出する際の基準を、下記の通りに設定した。

• 情報システムに係る論点であること（紙媒体に係る論点は対象としない。）

• 表 3と比較して、不足していると考えられる論点


14

3.2.2 対象文書の調査

　本作業では、まず、3.1.2 で抽出した対象文書に対して、3.2.1 で整理した論点抽出基準

に基づき、政府ポリシーガイドラインとの比較を行い、不足していると考えられる項目を

洗出した。以下に、各対象文書の調査結果を示す。なお、不足項目の抽出にあたっては、

情報セキュリティ実施手順等において考慮すべき具体的な対策も含み、抽出した。

1 . BS7799

　BS7799 では、組織におけるセキュリティ対策としての 127 の管理項目を列挙し

ている。これらの管理項目について、政府ポリシーガイドラインに不足している項

目を洗い出した。その結果を以下に示す。

• 専門家による情報セキュリティに関わる助言

• 第三者との契約におけるセキュリティ要件

• アウトソーシング契約におけるセキュリティ上の要件

• 要員のスクリーニング及びポリシー

• 事故からの学習

• 物理的セキュリティの周辺部

• 納品及び出荷領域の隔離

• 装置の設置場所及び保護

• 電源保護

• 配線のセキュリティ

• 建物外の装置のセキュリティ

• クリアー・デスク及びクリアー･スクリーン･ポリシー

• 運用手順書

• 運用上の変更管理

• 事故管理手順

• 義務の分離

• 開発設備と運用設備の分離

• 外部設備の管理

• キャパシティ・プランニング

• 移送中の媒体のセキュリティ

• 電子商取引のセキュリティ

• 電子オフィスシステムのセキュリティ


15

• 無人のユーザ装置

• 強制パス

• 外部接続に関わるユーザ認証

• ノードの認証

• リモート診断ポートの保護

• ネットワーク内での分離

• ネットワーク接続管理

• ネットワークルート設定管理

• ネットワーク・サービスのセキュリティ

• 自動的な端末の識別

• 端末ログオン手順

• ユーザを安全保護するための強制アラーム

• 端末のタイムアウト

• 接続時間の制限

• 取扱要注意のシステムの分離

• クロックの同期

• モバイル・コンピューティング

• 在宅勤務

• 入力データの妥当性確認

• 内部処理の管理

• メッセージ認証

• 出力データの妥当性確認

• 電子署名

• 否認防止サービス

• 鍵管理

• プログラムソースライブラリーへのアクセス制御

• 変更管理手順

• オペレーティングシステム変更の技術的レビュー

• ソフトウェアパッケージに対する変更の制限

• 秘密のチャンネル及びトロージャン・コード

• 知的財産権

• 組織に係る記録の保護


16

• 暗号技術による管理の規制

• システム監査の制御

2 . ISO/IEC TR 13335

　ISO/IEC TR 13335 では、組織においてセキュリティマネジメントに取組む際の

指針が提供されている。その中において、組織としてのセキュリティポリシーの枠

組みを提示している。この内容を調査し、政府ポリシーガイドラインに不足してい

る項目を洗い出した。その結果を以下に示す。

• 情報システム開発の承認プロセスを明確にする。

• 外部ネットワークとの接続におけるセキュリティ条件を明確にする。

• 事故や障害の記録を取得・管理する。

• 職員の採用時にチェックする。

• 職員に機密保持契約書へ署名させる。

• 情報システムの変更過程の記録をとる。

• 運用手順書等を文書化する。

• 担当業務（承認と実行）を分離する。

• ソフトウェア著作権に配慮する。

• 情報資産を水や液体から保護する。

• 情報資産を自然災害から保護する。

• 電源および空調を確保する。

• ケーブル配線を保護する。

3 . 金融機関等におけるセキュリティポリシー策定のための手引書

　金融機関等におけるセキュリティポリシー策定のための手引書では、セキュリテ

ィポリシーに盛り込むことを検討すべき指針を提示している。これらの指針につい

て、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下

に示す。

• 媒体を部外や社外に持出す場合のルールを明記する。

• 開発案件の検討・承認ルールを明記する。

• 作業の進捗管理、作業手順の標準化、マニュアルの整備等について記述する。

• 本番システムに影響を与えない開発環境の整備、開発環境と本番環境の分離

等について記述する。


17

• オペレーション履歴の取得、作業の承認、検証ルール、相互チェック体制等

について明確にする。

• プログラム作業管理、バージョン管理、ソフトウェアのバックアップについ

て記述する。

• パッケージソフトウェア管理（使用形態や版権の確認、バージョンやライセ

ンスの管理ルール、コードのエスクロウ契約等の確認）について明確にする。

• 入力データの正当性確保のためのチェックシステムや複数の担当者による相

互チェック等について明確にする。

• 出力データの重要性・機密性を考慮した取扱ルールを明記する。

• 各種の犯罪や自然災害、停電等を想定した、安全対策の策定及び行動ルール

を明記する。

• 各システムのリカバリープランや機能の復旧手順の策定について記述する。

• 要員の肉体的、精神的健康状態やモラル等の管理について明確にする。

• コンピュータセンターの構造上の安全性や、電源・空調等の設備の要件につ

いて、記述する。

• 鍵の管理方法等について明確にする。

• 入退履歴の取得とチェックについて明確にする。

• 入退者の本人の認証方法について記述する。

• 管理者用 ID の管理方法を明確にし、担当者の複数設置等による相互牽制に

ついて記述する。

• 使用者の本人確認、使用履歴の取得、オペレータカードの管理等について明

確にする。

• 顧客情報保護やプライバシー保護に関する遵守事項を明確にする。

• 知的財産保護に関する遵守事項を明確にする。

• セキュリティポリシーの例外を認めるケース（レガシーシステム、パッケー

ジソフト、ビジネス上の判断としてリスクを取るケース等）を明確にする。

• セキュリティポリシーの例外を認めるケースの手続きを明確にする。

• 例外を認めるケースにおける残存するリスクに対する責任を明確にし、補完

コントロールについて記述する。

• セキュリティ実施状況の評価を人事考課や部門の業績に反映するルールを明

記する。

• ネットワークの侵入テストによる脆弱性の検証やセキュリティホールの発見


18

について記述する。

• インターネットのプロバイダ選択の基準を明記する。

• 法律上、社会通念上公序良俗に反するものや著作権に違反するコンテンツ等

をチェックする体制を明確にする。

• ホームページ上で広く情報公開するためのルールや取決めを明記する。

• 外部委託において、作業の進捗やスケジュール管理状況、品質管理状況等に

ついて必要に応じて監査や監督が可能なように契約書に明らかにしておくこ

とを記述する。

• 外部委託において、アウトソーシング先と共有可能な情報を明確にし、アク

セスルールや監視ルールを明記する。

• 外部委託において、データが外部へ漏洩しないよう、データ交換を行う際の

運用ルールを明記する。

4 . ISO/IEC 15408

　ISO/IEC 15408 は、情報システム及び製品についてのセキュリティレベルを評

価するための国際規格である。そのため、セキュリティポリシーを策定する際の論

点として抽出すべき事項はないと判断した。但し、情報システムの開発において、

ISO/IEC 15408 に示される概念を考慮することが今後求められることに鑑み、下

記事項について、電子政府向けセキュリティポリシー雛形の策定において考慮する

すべきである。

• 情報システムの開発においては、セキュリティ要件を明確化する。

• システム製品の導入において、ISO/IEC 15408 準拠を選定条件として考慮す

る。

5 . 情報システム安全対策基準

　情報システム安全対策基準では、情報システムの機密性、保全性及び可用性を確

保するためのセキュリティ対策（192 項目）が指針として提供されている。これら

のセキュリティ対策について、政府ポリシーガイドラインに不足している項目を洗

い出した。その結果を以下に示す。

• 建物及び室は、火災の被害を受ける恐れのない場所に設けること

• 建物及び室は、水の被害を受ける恐れのない場所に設けること

• 建物及び室は、落雷の被害を受ける恐れのない場所に設けること


19

• 建物及び室は、電界及び磁界の被害を受ける恐れのない場所に設けること

• 建物及び室は、空気汚染の被害を受ける恐れのない場所に設けること

• 室は専用とすること

• 情報システムを事務室に設置する場合には、設置位置等に配慮すること

• 建物の内外及び室は、情報システム及び記録媒体の所在を明示しないこと

• 建物及び室は、避難のために必要な空間を確保すること

• 外部及び共用部分に面する窓は、防災措置を講ずること

• 外部より容易に接近しうる窓は、防犯措置を講ずること

• 室は、外光による影響を受けない措置を講ずること

• 出入口は、不特定多数の人が利用する場所を避けて設置すること

• 出入口は、出来るだけ少なくし、入退管理設備を設けること

• 建物及び室の適切な位置に非常口を設けること

• 建物は、建築基準法に規定する耐火性能を有すること

• 情報システムの専用の室は、独立した防火区画とすること

• 建物及び室は、水の被害を防止する措置を講ずること

• 建物及び室の内装は、不燃材料を使用すること

• 室の壁及び天井材料は、防音設備を有すること

• 室の照明器具は、防眩措置を講ずること

• 室のフリーアクセス床の主要部分は、不燃材料を使用すること

• 室の床表面材料は、静電気による影響を防止する措置を講ずること

• 建物及び室のカーテン、ブラインド、じゅうたん等は、防火性能を有するも

のを使用すること

• 建物は、避雷設備を設置すること

• 建物及び室は、自動火災報知設備を設置すること

• 建物及び室は、非常放送設備を設置すること

• 建物及び室は、消火設備を設置すること

• 建物及び室は、排煙設備を設置すること

• 建物及び室は、非常照明設備を設置すること

• 建物及び室は、誘導灯又は誘導標識を設置すること

• 建物及び室は、避難器具を設置すること

• 室内は、情報システムの運転に必要な水使用設備以外設置しないこと

• 室内、天井裏等は、水配管を通さないこと


20

• 建物及び室は、小動物等による被害防止の措置を講ずること

• 情報システムを設置した室は、保守用コンセントを設けること

• 什器、備品等は不燃性のものをしようすること

• 情報システムの運用に関連する機器のための防止カバーを常備すること

• 衣服、履き物、什器、備品等は、静電気防止の措置を講ずること

• 情報システムの保守に必要な空間を確保すること

• 水冷式コンピュータを設置する場合は、水漏れ防止の措置を講ずるとともに、

漏水の恐れのある場所に漏水検知機等を設置すること

• 通信関連装置を設置する場合は、避雷設備を講ずること

• 外部からの通信回線の引込口は、多重化し、専用とすること

• 通信回線は、専用の配線スペースに設けること

• 電気設備は、停電に対する措置を講ずること

• 情報システムの電源設備は、電圧及び周波数の変動に対する措置を講ずるこ

と

• 情報システムの電源設備の電気容量は、機器の負荷を考慮して余裕を持たせ

ること

• 情報システムの変圧器は、専用とすること

• 情報システムの電源設備は、ラインフィルタの交流透過電流の還流値が、一

定の値を超えない措置を講ずること

• 情報システムの三相電流に単層機器を接続する場合は、設備不均衡による障

害の防止措置を講ずること

• 情報システムの配線にノイズが誘導しないよう、電磁遮断の措置を講ずるこ

と

• 情報システム専用の電源配線スペースを設けること

• 情報システムの分電盤は、専用とし、それぞれ当該室内に設置すること

• 情報システムのアースは、専用とすること

• 監視設備、防災設備及び防犯設備の予備電源設備を設置すること

• 電源設備は、防災及び防犯措置を講ずること

• 電源設備は、避雷措置を講ずること

• 電源設備を設置した室から情報システムの分電盤までの配線は、防火、防犯、

ノイズ防止等の措置を講ずること

• 電源配線が防火壁等を貫通する部分及びこれに接近する部分は、延焼防止及


21

び防煙の措置を講ずること

• 分電盤の通電部分は、感電防止の措置を講ずること

• 分電盤の主回路は、地絡を検知し、警報を発する装置又は自動遮断する装置

を設けること

• 空気調和設備は、情報システムの適正な稼動及びその運用に携わる者の健康

に配慮し、適切な室内環境を維持するための措置を講ずること

• コンピュータ室の空気調和設備は、専用とすること

• コンピュータ室の空気調和設備は、能力に余裕を持たせること

• コンピュータ室の空気調和設備は、負荷変動に対して的確に動作する自動制

御装置を設置すること

• コンピュータ室の空気調和設備は、凍結防止の措置を講ずること

• コンピュータ室の空気調和設備は、水質を管理する措置を講ずること

• 空気調和設備は、防災及び防犯措置を講ずること

• 空気調和設備は、水漏れ防止の措置を講ずるとともに、漏水のある場所に漏

水検知機等を設置すること

• 空気調和設備の外気取入口および排気口は、雨が侵入しない構造とすること

• 空気調和設備の配管、ダクト類は、耐火性に優れた材料を使用すること

• 空気調和設備等のダクトが室内を貫通する部分は、防火及び防煙措置を講ず

ること

• 空気調和設備の断熱材料は、不燃材料とすること

• 情報システム等を設置した建物及び室の防災設備及び防犯設備の作動を遠隔

監視する設備を設置すること

• 電源設備及び空気調和設備の稼動状況を遠隔監視する設備を設置すること

• 通信回線の利用状況、障害等を監視する設備を設置すること

• 建物は、活断層等による地震の被害の恐れがある場所を避けて設置すること

• 室は、地震の被害の少ない位置に設置すること

• 災害時にバックアップするための建物及び室を設置する場合は、遠隔地に設

置すること

• 建物は、建物基準法に規定する耐震構造とすること

• 建物及び室の出入口の扉は、十分な強度を持った防火戸等とすること

• 建物及び室の窓ガラスは、破損、飛散及び落下防止の措置を講ずること

• 建物及び室の内装及び照明器具は、地震時に落下及び損傷しない措置を講じ


22

ること

• 室のフリーアクセス床は、耐震構造又は免震構造とすること

• 地震を感知し、情報システム等の運転を制御する設備を設置すること

• 室は、災害時の緊急通信用設備を設置すること

• 災害時の断水対策として、補給水用設備を設置すること

• 什器、備品等は、設置位置に応じた移転及び転倒防止の措置を講ずること

• 什器、備品等のガラスは、破損、飛散及び落下防止の措置を講ずること

• 記録媒体、ドキュメント等は、収納位置に応じて移動又は落下防止の措置を

講ずること

• 情報システムは、設置位置に応じた移動、転倒及び振動防止の措置を講ずる

こと

• 災害時にバックアップするための情報システムを設置する場合は、遠隔地に

設置すること

• 電源設備は設置位置に応じた移動、転倒及び振動防止の措置を講ずること

• 災害時の停電対策として、自家発電設備を設置すること

• 空気調和設備は、設置位置に応じた移動、転倒及び振動防止の措置を講ずる

こと

• 監視設備は、設備位置に応じた移動、転倒及び振動防止の措置を講ずること

• 情報技術による安全機能は、情報システムの集中、分散処理の形態に応じて

採用すること

• 情報システムは、代替運転する機能を設けること

• 情報システムを遠隔地でバックアップする機能を設けること

• データのエラー検出機能を設けること

• 集中、分散処理の形態に応じて、情報システムの障害箇所を検出し、切り離

して処理を継続する機能を設けること

• 集中、分散処理の形態に応じて、障害による情報システムの停止後、処理を

回復する機能を設けること

• 障害内容を解析し障害箇所を特定化する機能を設けること

• 情報システムを停止しないで保守する機能を設けること

• 遠隔操作により保守する機能を設けること

• 情報システムの稼動及び障害を監視し、運転を制御する機能を設けること

• 情報システムを自動的に運転する機能を設けること


23

• 集中、分散処理の形態に応じて、データの不正な変更を発見する機能を設け

ること

• 集中、分散処理の形態に応じて、プログラムの不正な変更及び実行を発見す

る機能を設けること

• データの変更等及びプログラムの実行に異常を発見した場合に、集中、分散

処理の形態に応じて、処理を迂回または停止する機能を設けること

• データ等は、機密度及び重要度に応じた区分を設け、保有、利用、配布、持

出し、持込み、保管、消去、廃棄等の管理計画を算定すること

• データ等の作成、更新、複写、移動、伝送等に当たっては、集中、分散処理

の形態に応じて管理計画を策定すること

• 関連設備、防災設備及び防犯設備に関する管理規程を整備するとともに、管

理責任者を定めること

• 情報システムの代替処理及び復旧措置を定めた災害自運用マニュアルを整備

すること

• 業務は、回復時間を設定し、再開順位を定めること

• 要員確保計画を策定すること

• 情報システムの構成機器の鍵は、特定者が管理すること

• 情報システムの障害を分析し、再発防止の措置を講ずること

• 情報システムの保守の内容及び結果を調査及び分析すること

• 集中、分散処理の形態に応じた、情報システムの利用マニュアルを整備し、

利用者に徹底すること

• 業務処理スケジュールに基づく情報システムの運転マニュアルを常備するこ

と

• 集中、分散処理の形態に応じた、端末機の操作マニュアル、操作ガイドを常

備すること

• 集中、分散処理の形態に応じた、障害時の措置及び回復手順を定めたマニュ

アルを常備すること

• 災害発生時は、災害時対応計画に沿って速やかに情報システム等の被災程度

を調査及び分析すること

• 被災程度に応じて、予め定められた災害時運用マニュアルに沿い、業務再開

方式を決定すること

• 記録媒体の保管設備の鍵は、特定者が管理すること


24

• 記録媒体の保管状況は、特定者が定期的に点検すること

• データ等及び記録媒体の取扱い及び受渡しは、集中、分散処理の形態に応じ

て、定められた方法に従うこと

• データ等及び記録媒体の作成、追加、更新、複写、廃棄等について管理記録

を整備すること

• データ等及び記録媒体の不正持ち出し及び不正使用を防止するため、管理責

任者は使用状況を点検すること

• データ等の暗号鍵の管理は特定者が行うこと

• 記録媒体の分散保管は、集中、分散処理の形態に応じて行うこと

• 建物及び室の入退者に対しては、資格審査を行い資格識別書を発行し、入退

館及び入退室を管理すること

• 一時的に入退館および入退室の資格を与えたものは、必要に応じ立会人を付

け、立入場所の抑制を行うこと

• 建物又は室の重要度に応じ、入退の記録をとること

• 出入口の施錠及び解錠、鍵の保管及び受渡し等の記録をとり、鍵管理を行う

こと

• 情報システム等の運用に関連する各室の搬出入物は、必要な物に限定するこ

と

• 搬出入物は内容を確認し、記録を取ること

• 関連設備、防災設備及び防犯設備の変更、増設等に当たっては、情報システ

ムの正常な動作に影響を与えない措置を講ずること

• 関連設備、防災設備及び防犯設備の定期点検を実施し、結果を調査お呼び分

析すること

• 関連設備、防災設備及び防犯設備の障害を調査及分析し、再発防止の措置を

講ずること

• 関連設備、防災設備及び防犯設備の操作及び保守管理は、特定者が行うこと

• 定常時及び災害、障害時の措置を定めた関連設備、防災設備及び防犯設備の

取扱いマニュアルを常備すること

• 情報システムの運転状況の変化に対し、監視設備により、電源設備及び空気

調和設備の作動を制御すること

• 電源設備及び空気調和設備の監視データを記録し、分析すること

• 防災及び防犯のため、館内及び室内を定期的に巡回すること


25

• 要員の配置、交替等の管理は、集中、分散処理の形態に応じ適正に行うこと

• 情報システムのバックアップを外部に委託する場合は、定期的に切替、起動、

戻し等のテストを行うこと

• 安全対策に関するシステム監査の報告を受け、必要な措置を講ずること

6 . コンピュータ不正アクセス対策基準

　コンピュータ不正アクセス対策基準では、不正アクセス行為に対するセキュリテ

ィ対策の指針が、システムユーザ向け、システム管理者向け、ネットワーク事業者

向け、及びハードウェア・ソフトウェア供給者向けに提供されている。このうち、

電子政府が対象であることを考慮し、システムユーザ及びシステム管理者向けのセ

キュリティ対策について、政府ポリシーガイドラインとの比較調査を行い、不足し

ている項目を洗い出した。その結果を以下に示す。

• ユーザ ID は、複数のシステムユーザで利用しないこと

• 複数のユーザ ID を持っている場合は、それぞれ異なるパスワードを設定す

ること

• 他人のパスワードを知った場合は、速やかにシステム管理者に通知すること

• 重要な情報を送信する場合は相手先を限定し、宛先を十分に確認すること

• コンピュータ、通信機器及びソフトウェアの導入、更新、撤去等を行う場合

は、システム管理者の指導の下で行うこと

• コンピュータを管理するために与えられた特権によるコンピュータの利用は、

必要最小限にすること

• 特権によりコンピュータを利用する場合は、コンピュータ、場所、期間等を

限定すること

• コンピュータを入力待ち状態で放置しないこと

• システム管理者の権限は、業務を遂行する上で必要最小限にすること

• システム管理者は 2 人以上かつ必要最小限の管理者で、その業務は定期的に

交代すること

• ネットワークを介して外部からアクセスできるユーザ ID は、必要最小限に

すること

• ユーザ ID は、個人単位に割り当て、パスワードを必ず設定すること

• 長期間利用していないユーザ ID は、速やかに停止すること

• ユーザ ID の廃止等の届出があった場合は、速やかに登録を抹消すること


26

• 特権を付与する場合は、当該システムユーザの技術的能力等を考慮すること

• 通信経路上で情報の改ざんが行われても、検出できるような改ざん検知機能

を用いること

• 重要な情報は、削除、改ざん、漏えい等による被害が少なくなるように分散

化すること

• すべての機器及びソフトウェアの管理者を明確にすること

• システム構成を常に把握しておくこと

• 機器及びソフトウェアの設定情報がシステムに適合していることを随時確認

すること

• 機器及びソフトウェアは、供給者の連絡先及び更新情報が明確なものを利用

すること

• 外部と接続する機器は、十分なアクセス制御機能を有したものを利用するこ

と

• ネットワークを介して外部からアクセスできる通信経路及びコンピュータは、

必要最小限にすること

• ネットワークを介して外部からシステム管理を行う場合は、認証機能、暗号

機能及びアクセス制御機能を設定すること

• 長期間利用しない機器は、システムに接続しないこと

• ソフトウェア及びシステムファイルの改ざんが生じていないことを随時確認

すること

• システムが提供するパスワード強化機能は最大限に活用すること

• ネットワークの負荷状況を監視すること

• システムの利用形態等に応じて、ネットワークを分離すること

• 不正アクセス被害の拡大及び再発を防止するため、必要な情報を通商産業大

臣が別に指定する者に届け出ること

7 . コンピュータウイルス対策基準

　コンピュータウイルス対策基準では、コンピュータウイルス感染の被害を防止す

るために必要なセキュリティ対策の指針が、システムユーザ向け、システム管理者

向け、ソフトウェア供給者向け、ネットワーク事業者向け、及びシステムサービス

事業者向けに提供されている。このうち、電子政府が対象であることを考慮し、シ

ステムユーザ及びシステム管理者向けのセキュリティ対策について、政府ポリシー


27

ガイドラインとの比較調査を行い、不足している項目を洗い出した。その結果を以

下に示す。

• ソフトウェアは、販売者又は配布責任者の連絡先及び更新情報が明確なもの

を入手すること

• ウィルス感染の被害が最小となるよう、システムの利用は、いったん初期状

態にしてから行うこと

• 不正アクセスによるウィルス被害を防止するため、システムのユーザ ID を

共用しないこと

• システムを悪用されないため、入力待ちの状態で放置しないこと

• ウィルスに感染した場合は、感染したシステムの運用を中止し、システム管

理者に連絡して、指示に従うこと

• ウィルス被害の拡大を防止するため、システムの復旧は、システム管理者の

指示に従うこと

• ウィルス被害の拡大を防止するため、感染したプログラムを含むフロッピー

ディスク等は破棄すること

• ウィルス感染を防止するため、機器を導入する場合は、ウィルス検査を行う

こと

• ウィルス被害に備えるため、システムにインストールした全ソフトウェアの

構成情報を保存すること

• オリジナルプログラムは、ライトプロテクト措置、バックアップの確保等の

安全な方法で確保すること

• ウィルス被害を防止するため、共用のプログラムが格納されているディレク

トリに対するシステムのユーザの書き込みを禁止すること

• ウィルス被害を防止するため、システム運営に必要のないプログラムは削除

すること

• ウィルスに感染した場合の被害範囲を特定するため、ネットワーク接続機器

の設置状況を予め記録し、管理すること

• 不正アクセスによるウィルス被害を防止するため、ネットワーク管理情報の

セキュリティを確保すること

• 不正アクセスによるウィルス被害を防止するため、外部ネットワークと接続

する機器のセキュリティを確保すること

• ウィルス被害を防止するため、匿名で利用できるサービスは限定すること


28

• ウィルス感染の拡大を防止するため、感染したシステムの使用を中止するこ

と

• ウィルス感染の拡大を防止するため、必要な情報をシステムユーザに、速や

かに通知すること

• ウィルス被害の状況を把握するため、ウィルスの種類及び感染範囲の解明に

努めること

• 安全な復旧手順を確立して、システムの復旧作業にあたること

• ウィルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずる

こと

• ウィルス被害の拡大及び再発を防止するため、必要な情報を通商産業大臣が

別に指定する者（情報処理振興事業協会）に届け出ること

8 . ソフトウェア管理ガイドライン

　ソフトウェア管理ガイドラインでは、市販に流通するソフトウェアを不正に使用

しないための管理指針が提供されている。これらの管理指針について、政府ポリシ

ーガイドラインとの比較調査を行い、不足している項目を洗い出した。その結果を

以下に示す。

• ソフトウェアの使用等を的確に管理し、ソフトウェアの違法複製等の行為を

効果的に防止するため、法人等におけるソフトウェアの使用等について責任

を負うソフトウェア管理責任者を任命し、ソフトウェアの適切な管理体制を

整備すること

• ソフトウェアの適正な使用等を確立するため、ソフトウェアの使用手順や管

理方法等を定めたソフトウェア管理規則を策定すること

• ソフトウェアの違法複製等の有無を確認するため、すべてのソフトウェアを

対象として、ソフトウェアの使用状況についての監査を実施すること

• ソフトウェアの適正な使用等に対するソフトウェアユーザー意識の向上を図

るため、関係法令や使用許諾契約等について、ソフトウェアユーザーの教育、

啓蒙を行うこと

• 法人等におけるソフトウェアの使用状況を常時把握するため、すべてのソフ

トウェアの使用状況を記録したソフトウェア管理台帳を整備すること

• ソフトウェア監査等によりソフトウェアの違法複製等を発見した場合は、事

情を調査した上で、違法複製されたソフトウェアを消去する等、適切な措置


29

を速やかに講じること

• すべてのソフトウェアユーザーを対象として、関係法令、ソフトウェア管理

規則、使用許諾契約に規定された使用条件等の周知徹底を図ること

• 関係法令、ソフトウェア管理規則および使用許諾契約に規定された使用条件

ならびにソフトウェア管理責任者の指示を遵守すること

• 法人等が保有するソフトウェアと個人が保有するソフトウェアとの区分が不

明確になることを防ぐため、個人が保有するソフトウェアを法人等の事業所

において使用する場合、予めソフトウェア管理責任者の承諾を得ること

9 . システム監査基準

　システム監査基準では、システム監査にあたっての必要な事項が提供されている。

これらの事項の中には、セキュリティ対策として考慮すべき項目が含まれており、

当該項目を調査し、政府ポリシーガイドラインに不足している項目を洗い出した。

その結果を以下に示す。

• システム監査人は、システム監査の基本計画及び個別計画を策定すること

• システム監査は、個別計画に基づき、予備調査、本調査及び評価・結論の手

順により実施すること

• システム監査人は、自らの判断に対する根拠を明確にすること

• システム監査人は、被監査部門に対し資料の提出を求めることができる権限

を保有すること

• システム監査人は、組織体の長が被監査部門に改善を命令した事項について、

実施状況の報告を求めることができる権限を保有すること

• システム監査人は、自己に対する倫理的要請を自覚し、的確かつ誠実なシス

テム監査の実践を通じて、内外の信頼に応えること

• システム監査人は、守秘義務を負うこと

• データの入力の誤びゅう防止、不正防止及び機密保護の対策は有効に機能し

ていること

• 出力情報の引渡しは、出力管理ルールに基づいて行っていること

• 出力情報のエラー状況を記録し、定期的に分析していること

• 出力情報の利用状況を記録し、定期的に分析していること

• ソフトウェア管理ルールを定め、遵守していること

• ソフトウェア、ハードウェア及びネットワークの構成、購入先、サポート条


30

件等を明確にしていること

• 健康管理を考慮した作業環境を整えていること

• 健康診断及びカウンセリングを行っていること

• 委託計画を策定し、委託の責任者が承認していること

• 委託先の選定基準を明確にしていること

• 委託先における不正防止、機密保護等の対策の実施状況を把握し、必要な措

置を講じていること

• 成果物の検収は、委託契約に基づいて行うこと

• システム監査人は、システム監査報告書を作成すること

• システム監査報告書は、指摘事項を記載すること

• システム監査人は、その他必要と認めた事項は、システム監査報告書に記載

すること

• システム監査報告書は、組織体の長に提出し、報告すること

1 0 . 行政情報システムの安全対策指針

　行政情報システムの安全対策指針では、行政情報システムの安全性・信頼性を

向上させるための安全項目（208 項目）が示されている。これらの安全項目につ

いて、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を

以下に示す。

• 情報システムに係わる業務を円滑かつ適正に運営するため、その業務範囲及

び責任を明確にし、相互牽制体制を整備する。

• 情報システム部門とユーザ部門の情報処理関係業務の範囲と責任を明確にす

る。

• 内部ネットワークを統括的に管理する者を定める。

• コンピュータウィルス等自動的に実行される不正なプログラムが発見された

場合の対応措置を定め、周知していること。

• 内部ネットワークを統括的に管理する者は、外部ネットワークに接続するた

めの手続き、方法等を定め、接続及び運用に関する業務を統括的に管理する。

• 情報システムの要員の配置、交替等の人事管理を適正に行う。

• 災害及び障害等の発生の恐れ等立地・環境に配慮する。

• 周辺環境の評価を行い、その変化に伴う措置を講ずる。

• バックアップを目的としたコンピュータセンタ等を設置する場合は、遠隔地


31

に設置する。

• 隣接建物、回線等からの延焼防止措置を講ずる。

• 建物には、落雷に対する避雷措置を講ずる。

• 軟弱地盤に対する対策を講ずる。

• 敷地内の電力・通信回線の切断等犯罪対策措置を講ずる。

• 建物は、耐火・防火等の措置を講ずる。

• 建物は、地震等に対する耐震措置を講ずる。

• 建物は、漏水等水害に対する措置を講ずる。

• 窓・出入口等には、防火措置を講ずる。

• 出入口には、不正侵入等に対する監視・管理措置等の防止措置を講ずる。

• 内装の不燃・難燃材料の使用、カーテン・絨毯等の防炎性能を有するものの

使用等の延焼防止措置を講ずる。

• 構内回線には不燃化等の延焼防止措置を講ずる。

• 構内配線には、電磁波の遮蔽措置を講ずる。

• 重要機能室は、建物内において、地震、火災、浸水、不正・犯罪の恐れ等に

配慮して配置する。

• 重要機能室には、他用途の水使用設備・配管を避けるなど、漏水等の対策措

置を講ずる。

• 重要機能室は、腐食性ガス、粉塵、振動、電磁界等の恐れのない位置に設置

する。

• 重要機能室には、外部にその所在を示すような表示を避ける等不正・犯罪に

対する措置を講ずる。

• 重要機能室の窓・出入口は、延焼防止措置を講ずる。

• 出入口には、不正侵入・機器破壊等に対する監視・管理措置等不正・犯罪に

対する措置を講ずる。

• 重要機能室は、防火区画等の防火・防煙に対する措置を講ずる。

• 電子計算機室のフリーアクセス床等重要機能室の内装の不燃化、カーテン・

絨毯等の防炎性能を有するものの使用等の延焼防止措置を講ずる。

• 重要機能室の天井、床、照明器具等の落下・損壊の防止措置を講ずる。

• 重要機能室には、漏水、浸水等に対する措置を講ずる。

• 重要機能室の内装等は、静電気の発生・帯電等の影響を避ける措置を講ずる。

• 重要機能室のフリーアクセス床は、耐震又は免震の措置を講ずる。


32

• 重要機能室の配線・ダクト等の不燃化、延焼防止、耐火等の措置を講ずる。

• 情報システム機器、データ保管設備、電源設備、空気調和設備、通信設備等

には、転倒・移動等に対する措置を講ずる。

• 電源設備には、落雷による異常電流に対する措置等落雷に対する措置を講ず

る。

• 電源設備は、受変電、自家発電設備等容量に対する配慮を図る。

• 電源設備には､電圧、周波数変動等の障害に対し良質な電源を確保する措置を

講ずる。

• 電源設備には､漏電に対する措置を講ずる。

• 電源のルートは、複数化等安全性を確保する措置を講ずる。

• 空気調和設備には、漏水、凍結防止等の措置を講ずる。

• 空気調和設備には、電子計算機室用としての専用化、バックアップシステム

等故障に対する措置を講ずる。

• 空気調和設備は、急激な温湿度変化等に対処するため、その容量に配慮する。

• 空気調和設備には、塵埃・腐食性ガスに対する措置を講ずる。

• 電源設備・空気調和設備、情報システム等は、運転状況の監視等の監視制御

措置を講ずる。

• 通信設備（端末（クライアントを含む）、モデム等）には、避雷措置を講ずる。

• 電子計算機室外の MDF、モデム収容架等には、施錠等の措置を講ずる。

• 重要機能室には、防煙措置を講ずる。

• 情報システム機器及び同関連設備に連動して運転を制御する地震感知器を設

置する。

• 重要機能室には、配線に対する鼠害等の防止措置を講ずる。

• 重要機能室には、有線電話の利用不能時を想定した緊急通信用設備を設置す

る。

• 重要機能室には、非常用の照明、放送、通路等の避難誘導関係設備の設置等

の措置を講ずる。

• 事務室に設置する情報システム機器、通信設備等については、転倒、移動等

を防止する措置を講ずる。

• 情報システム機器、通信設備等は、レイアウト、配置場所に配慮する。

• 情報システム機器及び通信設備のアースを専用に設ける。

• 事務室における電源設備については、情報システムが必要とする電源容量を


33

確保するとともに、電源障害に対する措置を講ずる。

• 事務室における空気調和設備については、必要に応じて情報システムの安定

した稼働環境を維持するための措置を講ずる。

• 伝送路及び回線の監視装置を設置する。

• 構内の通信系統は、特定の部分の障害が広域に及ばないように構築する。

• 重要機能室への訪問者に対しては、身元及び用件を確認のうえ、入退館を許

可する。また、訪問者用の識別章を貸与し、館内にあっては常時着用させ、

退館時に回収する。

• 重要機能室への訪問者に対しては、面会場所を特定し、被面会者が訪問者を

確認のうえ、定められた面会場所へ案内する。

• 最初の入館者及び最終退館者の氏名及び鍵の受渡し時間を記録する。

• 建物内に警備員を配置し、必要に応じて危険物の持込み検査及び施設内外の

巡回に当たらせる。

• 電子計算機室及びデータ等保管室の入退室者の資格を確認できる措置を講ず

る。

• 重要機能室の出入口の鍵は定められた場所に保管し、管理は定められた者が

行う。

• 機械により電子計算機室、データ等保管室の入退管理を行う場合は、定めら

れた者が機械のオペレーション及び保守の管理を行う。

• 重要機能室への搬出入物品は、重要機能室の職員が内容を確認する。

• 事務室における情報システム機器、通信設備等の盗難・損壊等を防止するた

め、事務室の管理に留意する。

• 設計段階においてユーザ部門の職員の目的に合致することを確認するととも

に設計作業の標準化等によりソフトウェアの品質を確保する。

• 開発・変更手順を定める。

• 開発プログラムは、本番稼動プログラム及び本番データとライブラリを分離

する。

• 各テスト段階で、ソフトウェアの品質を検証する。

• 重要プログラムは、作成者以外の者及びユーザ部門の職員による検証の徹底

を図る。

• システム開発・変更の各段階で使用するドキュメントの様式を標準化する。

• 追加・変更に応じてドキュメントを更新し、検収者が確認する。


34

• 情報システムに対するネットワーク経由の模擬攻撃を適宜実施し、実施結果

に基づき必要な措置を講ずる。

• 端末（クライアントを含む）に保護鍵機能がある場合、有効に活用する。

• 重要なデータの入力に際しては、事前に入力部門の責任者の承認を得る。

• 入力部門の責任者の事前承認が困難なオンライン入力データについては、そ

の重要性に応じて、入力後に承認する手続きを定める。

• データ入力作業のエラーをチェックする機能を設ける。

• プログラムにより、入力データの内容を論理面、形式面からチェックする機

能を設け、充実する。

• エラーデータの修正入力手続き（修正方法、修正期限、承認等）について明

確にし、規則を遵守する。

• ユーザ部門の職員は、処理中のデータ消失・追加の有無及び入力データの正

確性を確認するために、処理前後のデータ件数・金額合計等を照合する。

• 通常の範囲を超えるデータ又は長期間動きのない保留データ等例外データリ

ストを、定められた基準に基づいて出力する。

• 自動着信機能付端末（クライアントを含む）等を利用する場合には、相手端

末 ID をチェックする機能を設ける。

• パスワードの端末（クライアントを含む）画面への表示及び印刷出力をしな

い機能を設ける。

• 端末（クライアントを含む）の種類、設置場所、用途等によっては、その端

末からオペレーションできる業務を限定できる機能を設ける。

• アクセスが許される時間帯以外における端末（クライアントを含む）からの

アクセスを排除する機能を設ける。

• 一定時間通信が行われなかった場合、その端末（クライアントを含む）を切

り離す機能を設ける。

• 電子計算機室への用紙等可燃物の持込みは必要最小限にする。

• 電子計算機室への危険物又は燃焼器具の持込みは、原則として禁止する。

• 重要機能室は禁煙とする。

• 情報システムのオペレーション手順について定めた文書を常備し、情報シス

テムの変更に伴って随時更新する。

• 情報システムのオペレーション実施記録を作成し、毎日のオペレーション状

況を把握する。


35

• オペレーションの依頼・承認は定められた手続きに従って行う。

• 例外処理についても、オペレーションの依頼・承認手続きを遵守する。また

オペレーション管理責任者は、例外処理の頻度及び理由を分析し、適切な処

置を講ずる。

• 専任のオペレータが必要な情報システムのオペレーションは複数のオペレー

タが行う。

• オペレーションに係わる報告及び監督責任を明確にする。

• 自動運転を原則とするシステムを除き、全ての稼動時間帯において、オペレ

ーション責任者が常駐する。

• プライバシー、機密保護に係わるデータの出力時には、必要に応じてユーザ

部門の職員がオペレーションに立ち会うか、特定の職員がオペレーションす

る。

• オペレーションの自動化、簡略化を図る。

• オペレーションのチェック機能を充実する。

• オペレーション責任者は、オペレーション実施記録とオペレーション予定表、

進捗状況表、作業指示書等と照合し、所定のオペレーション手続きが遵守さ

れ、正規のジョブが実行されたことを確認する。

• 情報システムの専任のオペレータについては、ローテーションを適宜行う。

• 専任のオペレータには、容易にその資格が確認できる措置を講ずる。

• 情報システムの操作等に関する問い合わせ窓口を設置する。

• 情報システム部門以外の部門において、利用するハードウェア及びソフトウ

ェアを適切に管理する措置を講ずる。

• 機器及びソフトウェアの設定変更を管理し、新旧の設定内容を十分に比較検

討する。

• 庁舎外で使用する簡易な移動が可能な端末（クライアントを含む）機器につ

いては、機器の紛失・盗難を防止するための措置、及び紛失・盗難があった

場合における情報漏洩を防止するための措置を講ずる。

• ファイルに対する排他制御機能を設け、これを活用する。

• ファイル間の内容を突合・検証する機能を設ける。

• 本番ライブラリへの登録・抹消は、管理者の承認を得たうえで定められた者

が行い、管理する。

• 分散処理システム等によって処理、保存されるプログラム及びデータの不正


36

変更等を防止・発見する機能を設ける。

• データ、プログラム及び文書の保管管理・受渡し方法を定め、実施する。

• 重要なデータ及びプログラムは世代管理及び分散管理を行う。

• データ及びプログラムの作成、追加、更新、授受、消去、廃棄等に対する管

理記録を整備する。

• 磁気ファイル及びドキュメントの外部への持出し、複写等については、所定

の手続きがない限り禁止する。

• 未使用重要帳票の在庫管理及び廃棄は定められた方法によって行う。

• 重要な印字済帳票の受渡し及び廃棄は定められた方法によって行う。

• 回線接続によるデータ授受に係わる契約内容を明確にする。

• 回線接続の契約に基づいた方法によって、接続先の確認・管理を行う。

• 交換回線における通信の相手端末（クライアントを含む）確認機能を設ける。

• ネットワーク管理者は、内部ネットワークに機器を接続するための手続き、

方法等を定め、接続状況を適切に管理する。

• チェックポイント・リスタート機能を設ける。

• データを外部に提供する場合には、原則として、提供するデータの内容、使

用目的、提供方法、管理方法等について覚書を取り交わす。

• 作業の進捗状況及び安全対策の実施状況を確認する等委託作業を管理する。

• システムの構築・運用管理に複数の委託先が関わる場合は、分担範囲・責任

範囲を明確にし、委託先相互間の連携を確保する。

1 1 . 情報システム安全対策指針

　情報システム安全対策指針では、情報システムに係る犯罪、不正行為、災害等に

よる被害を最小限に抑えるためのセキュリティ対策が指針として提供されている。

これらのセキュリティ対策について、政府ポリシーガイドラインに不足している項

目を洗い出した。その結果を以下に示す。

• 異常がある場合に、ネットワーク及びホスト等の機能を停止させることがで

きる機能を設ける。

• ユーザがパスワードを忘れたときなどに、パスワードを通知する場合に備え、

本人確認の方法等について手続を定めておく。

• 前回のログインの日時を確認できる機能を設ける。

• 長期間ログインが無いユーザに対して、文書等によりその旨を通知する。


37

• データ交換に先立ち、意図する通信相手であることを確認するため、認証を

行う。

• デジタル署名等によりデータの完全性の確認を行う。

• データが送信されたこと、受信されたこと等を証明し、これらの否認を防止

できる機能を設ける。

• 専用のソフトウェア等を用いて、セキュリティ・ホールのチェックを行う。

• 暗号鍵の保管を適切に行う。特に、ユーザの暗号鍵を集中的に管理する場合

は、その保管の適正を図る。

• 各装置を容易に取り外し、取り付け、又は持ち運ぶことができないよう措置

を講ずる。

• ディスプレイは、表示された情報を利用者以外の者に直接に又は容易に見ら

れないように設置する。

• 必要に応じ、装置を二重化し、代替運転機能を設けるなどの措置を講ずる。

• 身分証明用の文書、IC カード等を交付する。

• 身分証明書等は、偽造等の困難な材質のものとする。

• 身分証明書等の原紙等が流出することのないよう厳重な管理を行う。

• 資格を与えた者が、身分証明書等を紛失し、又はき損したときは、直ちに統

括セキュリティ責任者に届け出させる。

• 施設への立入りを許可する期間を限定する。

• 立ち入る者の氏名、許可の有効期間、立入りが可能な施設の範囲、立入りの

目的等、施設立入許可に関する記録を作成し、保存する。

• 許可を与えた者には、記章等の施設立入票を貸与し、見やすい位置に着用さ

せる。

• 施設に物資を搬出入するときは、その都度、当該物資、運搬用具等をチェッ

クする。

• 物資の搬出入に際しては、担当者の氏名、物資の名称、数量、搬出入の日時

等の記録を作成し、保存する。

• 警備員を配置し、入退管理に当たらせる。

• 敷地の出入口の数を制限し、資格の確認等を行うための施設を設ける。

• 警備員に施設内外の巡回に当たらせる。

• 施設の立地に当たっては、可能な限り自然災害の少ない場所を選定する。

• 建物については、耐震構造とするとともに、防火構造とする。


38

• 各種設備については、地震による移動、転倒及び震動防止の措置を講ずる。

• 内装については、不燃材料を使用するなど、防火措置を講ずること。

• 電源設備については、停電に対する措置を講ずる。

• 空気調和装置については、防火措置及び防水措置を講ずる。

• 水冷式空気調和装置を使用する場合は、断水に対する措置を講ずる。

• 警察機関等への通報が必要なときは、直ちに通報する。

• 攻撃が不正アクセス行為の禁止等に関する法律第 3 条第 2 項に規定する不正

アクセス行為であり、同法に規定する都道府県公安委員会による援助が必要

なときは、援助を受けたい旨の申出をする。

• 警察機関等の調査等が終了し、復旧を行うに当たっては、作業の経過を記録

する。

• フロッピー・ディスク等の容易に取り外すことができる記憶媒体については、

必要に応じ、データの暗号化、物理的な書込み禁止の措置等所要の措置を講

ずる。

• 計画的かつ定期的に行う。ただし、重大な事故が発生し、又は発生するおそ

れがあると認められるときは、その都度行う。

• 監査報告書を作成する。

• 個人情報の収集は、あらかじめ収集の目的を明確に定め、その目的を達成す

るために必要な範囲内で、適法かつ公正な手段によって行う。

• 本人以外からの個人情報の収集は、本人の権利利益が不当に侵害されるおそ

れのない場合に限って行う。

• 個人情報は、収集の目的に必要な範囲内で正確かつ最新の状態に保つ。

• 個人情報の収集の目的及び範囲は、原則として、公開する。

• 個人情報の利用及び提供は、原則として、収集の目的の範囲内で行う。

• 収集の目的の範囲を超える個人情報の利用及び提供は、原則として、本人の

同意がある場合又は法律の規定による場合に限って行う。

• 本人から自己の個人情報の開示を求められたときは、原則として、これに応

じる。

• 本人から自己の個人情報の訂正、追加又は消去を求められたときは、その内

容を確認の上、原則としてこれに応じる。

• 端末から離れるときは、電源を切る、ログアウトする、あるいは、パスワー

ド付きスクリーン・セーバを使用する。


39

• コンピュータ・ウイルス発見時には、使用中の端末等をネットワークから切

り離す。

• 開放的なネットワークとの接続は、必要最小限の機能、回線及びホスト等に

限定する。

• 開放的なネットワークと接続するときは、当該開放的なネットワークからの

保有する情報への不正アクセスを防止する機能を設け、すべての通信を制御

する。

• ネットワークの構成等に関する重要な情報は、真に必要な場合を除き公開し

ない。

• 回線の負荷状況等を監視する機能を設ける。

• 異常が発見された場合等必要がある場合は、接続された開放的なネットワー

クを切り離すことができるようにする。

1 2 . 地方公共団体の電算処理運営に係る内部規程及び個人情報保護条例

　地方公共団体における電算処理運営に係る内部規程及び個人情報保護条例には、

地方公共団体における情報システムの運営において、セキュリティを考慮した規定

が盛り込まれている。電子政府向けセキュリティポリシー雛形の策定にあたり、セ

キュリティポリシーKM システムのユーザとなる地方公共団体における現状のセキ

ュリティ対策の実施状況との整合性を図るため、本作業で調査対象とした内部規程

及び条例の内容から、以下の事項を考慮すべきであると判断した。

• 業務系システム（住民の個人情報を取扱うシステム）を、外部システムと結

合することを禁止している場合がある。

• 情報システムの運営において、横断的な体制が既に構築されている場合があ

る。

• 業務委託に関して、再委託行為を禁止している場合がある。

1 3 . 国家公務員法及び地方公務員法

　セキュリティポリシーの策定においては、中央省庁や地方公共団体の職員に関す

る服務規定や罰則規定との整合性を図る必要がある。そのため、国家公務員法及び

地方公務員法を参照することとした。国家公務員法及び地方公務員法の内容から、

電子政府向けセキュリティポリシー雛形を策定する際には、以下の事項について考

慮する必要がある。


40

• 職員は、服務の宣誓を行う。

• 職員は、職務上知り得た秘密を守る義務がある。

• 職員は、職務に専念する義務がある。

• 職員に対する罰則は、法で定める以外は、内部規程により定められる。

1 4 . 個人情報保護基本法大綱案及び J I S Q 1 5 0 0 1

　セキュリティと個人情報保護は、中央省庁及び地方公共団体においては、密接な

関係を持つため、個人情報保護に関する制度との整合性を図る必要がある。中央省

庁にあっては、「行政機関の保有する電子計算機処理に係る個人情報の保護に関す

る法律」、地方公共団体にあっては、個人情報の保護に関する条例が整備されてお

り、個人情報の保護施策が実施されている。一方で、個人情報に関する条例を整備

していない地方公共団体も存在する。このような状況に鑑み、電子政府向けセキュ

リティポリシー雛形の策定においては、個人情報保護に関する条例を整備していな

い地方公共団体に対しては、個人情報の保護を内容に盛り込むべきであると判断し

た。そのため、現在法制化を検討中である個人情報保護基本法大綱案と、個人情報

保護に関する日本工業規格である JIS Q 15001 を参照した。これら文書の内容に

より、個人情報保護の施策として、以下の事項を、電子政府向けセキュリティポリ

シー雛形の策定にあたっては考慮すべきである。

• 個人情報の収集は、それを取扱う事務の目的を明確にした上で、当該目的を

達成するための範囲において、適法かつ公正な手段により行う必要がある。

• 収集した個人情報は、適正に管理するとともに、それを取扱う事務の目的を

達成するために必要な範囲において、正確かつ最新の状態に保つ必要がある。

• 個人情報の利用及び提供は、原則として、それを取扱う事務の目的のために

のみ行う必要がある。

• 上記以外に、「行政機関が保有する電子計算機処理に係る個人情報の保護に関

する法律」に準じた取扱を行う必要がある。

1 5 . 不正アクセス行為の禁止等に関する法律

　不正アクセス行為の禁止等に関する法律は、他人の識別情報を使用した不正アク

セス行為を取り締まる法律である。識別情報の不正使用の禁止については、政府ポ

リシーガイドラインにおいても、パスワード管理として論点が挙がっている。この

論点の他で、電子政府向けセキュリティポリシー雛形において、考慮すべき事項は、


41

以下の通りである。

• 不正アクセス行為を受けた場合に、再発防止を講ずるために、都道府県公安

委員会に援助の申請をすることができる。

1 6 . 行政機関の保有する情報の公開に関する法律

　中央省庁及び地方公共団体において、セキュリティと情報公開制度は、密接な関

係を持つため、情報公開制度との整合性を図る必要がある。行政機関の保有する情

報の公開に関する法律の主旨によれば、住民の個人情報（但し、情報主体本人から

の開示請求、及び法令に定める場合は除く）、法人等の事業活動情報、犯罪の予防・

捜査等の情報、国家安全（国際機関との関係）に関する情報などを除き、基本的に

は住民からの開示請求に従うべきである。電子政府向けセキュリティポリシー雛形

の策定においては、このような情報公開制度の主旨を十分に配慮し、以下の事項を

考慮すべきである。

• 情報公開制度の主旨を考慮した情報の分類（例えば、非公開情報と公開情報

に分類）を行うべきである。

1 7 . 著作権法

　セキュリティと著作権保護は、直接的な関係はないものの、情報システムの特性

として、他人の著作物を複製しやすい点、公衆送信をしやすい点、市販のソフトウ

ェアを複製しやすい点に鑑み、著作権法との整合性を図る必要がある。著作権法で

は、著作者の権利を保護することが主に明記されているが、どのような場合に使用

して良いかについても規定がある。電子政府向けセキュリティポリシー雛形の策定

においては、このような著作権法の精神を十分に配慮し、以下の事項を考慮すべき

である。

• 情報（コンテンツ）としての著作物に随伴する著作権を保護するためのルー

ルを明確にする。

• 情報（コンテンツ）としての著作物を引用する場合のルールを明確にする。

• ソフトウェア（プログラム）としての著作物に随伴する著作権を保護するた

めのルールを明確にする。


42

3.2.3 調査結果の整理

　電子政府向けセキュリティポリシー雛形における主要論点を整理する前に、3.2.2 の対

象文書調査作業により得られた結果を、まず整理しなければならない。3.2.2 の結果には、

情報セキュリティ実施手順等に記載されるような具体的な対策項目（実施手段）も含まれ

ているため、電子政府向けセキュリティポリシー雛形における論点として適切な項目（セ

キュリティ要件）に分類し、下記の通りに整理した。

• 情報システムを、コンピュータ、ネットワーク及びソフトウェアに細分化し、各々

についての管理責任の所在を明確にすべきである。

• 建物・室そのものにおける防災・防犯対策を検討すべきである。

• 外部事業者への業務委託について、選定基準や再委託行為の制限について検討す

べきである。

• 庁内ネットワークと外部ネットワークの接続における承認・管理や、外部とのシ

ステム結合の制限について検討すべきである。

• 情報の管理において、利用、持出し、持込み、保管、消去等のライフサイクル毎

に管理計画を策定すべきである。

• 情報公開制度に鑑みた情報の分類を検討すべきである。

• セキュリティポリシーからの例外措置について検討すべきである。

• 著作権への配慮事項を検討すべきである。

• セキュリティポリシーそのものの管理について検討すべきである。

• 一般の職員等に対するセキュリティ上遵守すべき事項について検討すべきである。

　なお、上記のように整理した論点以外で、調査作業により得られた各セキュリティ対策

については、分析作業において活用するものとした。

　上記作業によって得られた結果を踏まえ、政府ポリシーガイドラインが提示する論点を

基盤に、電子政府向けセキュリティポリシー雛形を策定するにあたって加味すべき主要な

論点（計 105 項目）を分類・整理し、下表のようにまとめた。

表 4: 電子政府向けセキュリティポリシーの主要論点

主要論点

（大）

主要論点

（中）

主要論点

（小）

主要論点の説明項番

組織・体制情報セキュリティ委員会の

設置とその役割

情報セキュリティ委員会の設置と役割

を規定する。

1


43

主要論点

（大）

主要論点

（中）

主要論点

（小）


最高情報セキュリティ責任

者の役割・責任

最高情報セキュリティ責任者の役割・

責任を定める。

2

情報セキュリティ担当官（管

理職等）の役割・責任

情報セキュリティ担当官の役割・責任

を定める。

3

情報管理責任者の役割・責

任

情報管理責任者の役割・責任を定め

る。

4

システム管理者の役割・責

任

システム管理者の役割・責任を定め

る。

5

ネットワーク管理者の役

割・責任

ネットワーク管理者の役割・責任を定

める。

6

職員等の役割・責任職員等の役割・責任を定める。 7

役割・責任

非常勤および臨時職員等の

雇用および契約

非常勤及び臨時職員等に対してもセキ

ュリティポリシー遵守のための施策を

講ずる。

8

情報に対する管理責任の所

在

情報の管理主体を明確化する。 9

分類情報の分類を明確化する。 10

分類表示分類表示について規定する。 11

アクセス権限情報へのアクセス権限の設定について

規定する。

12

情報の管理方

法

作成情報を作成する際にセキュリティ上留

意すべきルールを規定する。

13

保管（コンピ

ュータ）

情報をコンピュータに保管する際に情

報漏洩、破壊等から保護するためのル

ールを規定する。

14

保管（外部記

録媒体）

情報を外部記録媒体に保管する際に情

報漏洩、破壊等から保護するためのル


15

利用情報を利用する際に不正使用されない

ためのルールを規定する。

16

配布・持出情報を配布・持出す際のルールを規定

する。

17

情報管理

持込外部の情報を庁内に持ち込む際のルー

ルを規定する。

18


44

主要論点

（大）

主要論点

（中）

主要論点

（小）


複製情報を複製する際のルールを規定す

る。

19

消去（抹消）情報を消去する際のルールを規定す

る。

20

外部記録媒体の廃棄外部記録媒体を廃棄する際の情報漏洩

を防止するためのルールを規定する。

21

設備の適切な

設置

建物の立地・構造・内装等建物の立地、開口部、構造、内装等に

ついて、地震・火災・水害等への防災

対策、及び不正侵入等への防犯対策を

規定する。

22

システム室・執務室の配置・

構造・内装等

システム室（ホスト・サーバ等が設置

される室）及び執務室（事務パソコン

等が設置される室）の立地、開口部、

構造、内装等について、地震・火災・

水害等への防災対策、及び不正侵入等

への防犯対策を規定する。

23

物理的対策サーバ・ホスト等の防災・防犯対策を

規定する。

24

電源保護安定的な電源確保のための対策を規定

する。

25

コンピュータ

（ホスト・サ

ーバ）

空調安定的な温湿度確保するための対策を

規定する。

26

コンピュータ

（事務パソコ

ン等）

物理的対策事務パソコン等の防災・防犯対策を規

定する。

27

什器等物理的対策その他の周辺設備、機器（保管棚等）

について、防災・防犯対策を規定する。

28

通信機器物理的対策通信機器の防災・防犯対策を規定す

る。

29

配線物理的対策配線の防災・防犯対策を規定する。 30

庁舎外機器物理的対策外部事業者に委託するシステムに関す

る機器類の物理的セキュリティ対策を

規定する。

31

建物・室への

入退出管理

人の出入入退管理建物や室への入退管理について規定す

る。

32


45

主要論点

（大）

主要論点

（中）

主要論点

（小）


サーバ室サーバ室への職員・外来者等の入退に

おいて、非権限者による不正侵入への

対策を規定する。

33

搬入出物建物や室への物品の搬入出において、

不信な物品や機器故障や災害発生を助

長する物品の搬入への対策、及び機

器・情報の不正な搬出への対策を規定

する。

34

作業の監視建物や室内での作業中に不正な行為が

行われることへの対策を規定する。

35

教育・訓練教育・訓練職員のセキュリティ意識を向上させる

ことにより、人的なセキュリティの脆

弱性の低減を図る。

36

事故・欠陥に

対する報告

事故・欠陥に対する報告セキュリティ上の事故・欠陥をユーザ

が発見した際の報告義務とその方法を

規定し、セキュリティの確保を図る。

37

パスワード管

理

厳格なパスワード管理アクセス制御に関するパスワード対策

だけでなく、その管理を適切に実施

し、不正アクセス等の被害を防止す

る。

38

その他の本人認証ツールの

取扱い（例えば、ICカード

など）

パスワードによる本人認証の仕組み以

外のツール利用において、その管理を

適切に実施し、不正アクセス等の被害

を防止する。

39

外部委託外部委託の手

続

委託の手続について定める。 40外部委託にお

ける選定及び

契約等選定条件外部業者（プログラム開発担当者との

関係を含む）の選定基準について定め

る。

41

契約外部業者（プログラム開発担当者との

関係を含む）との契約等について定め

る。

42

再委託の制限外部業者（プログラム開発担当者との

関係を含む）における再委託について

定める。

43


46

主要論点

（大）

主要論点

（中）

主要論点

（小）


外部委託にお

ける運用管理

体制委託作業時の外部業者の管理体制や方

法等（プログラム開発担当者との関係

を含む）について定める。

44

委託業務の実

施

委託作業時にセキュリティ上実施すべ

き事項を定める。

45

点検・監督委託作業時における不正行為を防止す

るルールを規定する。

46

違反時の措置委託作業者がポリシー違反をした場合

の措置を規定する。

47

コンピュータ

管理

コンピュータ

の管理責任

管理責任サーバや事務パソコン等の管理責任を

明確にする。

48

コンピュータ

の管理

機器管理コンピュータの管理責任を明確にす

る。

49

不正利用防止破壊・盗難・情報漏洩等から保護する

ため、コンピュータ管理（物理的セキ

ュリティを除く）として実施すべきル


50

保守コンピュータの可用性を維持するため

のルールを規定する。

51

庁外への持出

し

コンピュータを庁外に持出すことによ

る発生する情報漏洩や紛失等の危険性

に対するルールを規定する。

52

廃棄等コンピュータの廃棄時に情報漏洩しな

いようルールを規定する。

53

周辺機器の管理周辺機器（プリンタ等）の管理につい

て規定する。

54

ネットワーク

の管理責任

管理責任庁内ネットワークの管理責任を明確に

する。また、庁内と外部の境界を明確

にする。

55

構成管理庁内ネットワークの構成管理について

規定する。

56

ネットワーク

（構成機器を

含む）管理

ネットワーク

の管理

構成変更庁内ネットワークの構成変更の手続き

について規定する。

57


47

主要論点

（大）

主要論点

（中）

主要論点

（小）


検査セキュリティ上の脆弱性を点検するル


58

システムの運

用管理

ソフトウェアの管理責任（システムの構成要素の一部である）

ソフトウェアの管理責任を明確化する

59

システム運用管理（オペレ

ーション管理を含む）

システム運用管理での手続や管理方法

等を規定する。（例えば、処理の適切

な実行、システム変更時のルールな

ど）

60

審査・承認外部ネットワークとの接続についての

手続きを規定する。

61外部ネットワ

ークとの接続

不正アクセス

対策

外部ネットワークとの接続における不

正アクセス対策について規定する。

62

外部とのシス

テム結合

他組織とのデータ交換を行

う際の留意点

外部ネットワークとの接続によってデ

ータ交換を行うシステムについての手

続きや管理方法等を規定する。

63

共通事項（一般則）情報システム使用上で利用者が遵守す

べき共通的なルールを規定する。

64利用者に対す

る情報システ

ム使用の規定情報取扱情報を取扱う上で利用者が遵守すべき

ルールを規定する。

65

コンピュータ使用コンピュータを使用する上で利用者が

遵守すべきルールを規定する。

66

ネットワーク使用ネットワーク（ネットワーク構成機器

を含む）を使用する上で利用者が遵守

すべきルールを規定する。

67

ソフトウェア使用ソフトウェアを使用する上で利用者が

遵守すべきルールを規定する。

68

電子メール使用電子メール（メーリングリスト含む。）

を使用する上で利用者が遵守すべきル


69

アクセス制御アクセス制御システム（デ

ータ・コンピ

ュータも含

め）アクセス

制御

情報へのアクセスは業務用件によって

許可されることを定め、情報やシステ

ムへのアクセス制御として実施すべき

対策を規定する。

70


48

主要論点

（大）

主要論点

（中）

主要論点

（小）


ネットワーク

アクセス制御

ネットワークアクセス制御として実施

すべき対策を規定する。内部ネットワ

ークだけでなく、外部ネットワークと

のアクセス（リモート保守、在宅勤務

等）についても、その基準を規定する。

71

ユーザ認証アクセス時におけるユーザ認証機能の

必要性について規定する。

72

管理者認証アクセス時におけるシステム管理者の

認証機能の必要性について規定する。

73

権限の管理ユーザ管理利用者に付与するアクセス権限の管理

について規定する。

74

管理者権限システム特権管理等のシステム管理者

の権限について規定する。

75

パスワード管

理

認証手段であるパスワードについて、

システム管理上実施すべき対策を規定

する。

76

コンピュータ

ウイルス対策

システム的整備コンピュータウイルス対策のために実

施すべき技術的対策を規定する。

77

職員が守るべき規定コンピュータウイルス対策のために職

員が守るべき事項（技術的対策以外）

を定める。

78

ウイルス侵害時の措置コンピュータウイルスが発見された時

の対応方法を定める。

79

セキュリティ情報の収集セキュリティ維持等のための情報収集

を行うための体制、収集先や、セキュ

リティホールへの対応を規定する。

80

システム開

発、導入、保

守等

企画・設計情報システムを企画・設計する際に、

適切なセキュリティ対策を施すために

必要な対策を規定する。

81


49

主要論点

（大）

主要論点

（中）

主要論点

（小）


開発・導入情報システムの開発や、本番導入にお

いて、適切なセキュリティ対策を施す

ために必要な対策を規定する。また、

外部事業者にシステム開発を委託する

場合や、製品を調達する場合におい

て、適切なセキュリティ対策を確保す

るために必要な対策を規定する。

82

仕様書等の取扱い情報システムに係る仕様書等（媒体を

問わず）の機密性・完全性を確保する

ための対策を規定する。

83

保守情報システムの運用段階において、可

用性・機密性・完全性を確保するため

にメンテナンス（監視体制・システム

修正等）として実施すべき対策を規定

する。

84

障害対策情報システムの障害対策として実施す

べき対策を規定する。

85障害対応

障害発生時の

対応

障害発生時の対応手続き（体制・復旧・

事後など）を規定する。

86

監視不正アクセス等の侵害行為を監視・検

知するための対策を規定する。

87情報システム

の監視

履歴管理アクセス記録の取得・分析の要件につ

いて規定する。また、その正確性を確

保するための保管措置についても規定

する。

88

運用管理における留意点セキュリティポリシーの運用において

安全対策上必要な場合、利用者の権利

や業務の利便性を制限することがある

等の留意点をあげ、どういった場合に

どのような体制でそれが認められるの

かを規定し、利用者の同意を取りつけ

る。（モニタリング等）

89

侵害時の対応緊急時対応計

画の策定

連絡体制連絡先、連絡担当者、連絡手段を定め

る。

90


50

主要論点

（大）

主要論点

（中）

主要論点

（小）


事案の調査侵害事案を把握するために必要な調査

方法・項目を定める。

91

事案への対処対処措置の判断基準、責任者、実施者、

実施手順等を定める。

92

外部組織への

連絡

外部組織への連絡について定める。 93

再発防止の措

置

事案の検証を行い、再発防止のための

措置を定める。

94

緊急時対応計画の検証緊急時対応計画の実行性を確認するた

めの措置（訓練等）を定める。

95

法令遵守遵守すべき法律や行政指導について列

挙する。

96

罰則セキュリティポリシーに違反した場合

の罰則を規定する。

97セキュリティ

違反に対する

対応注意勧告違反時に速やかに対応できるよう権限

を規定する。

98

免責事項セキュリティポリシーを円滑に運用す

るための事項を定める。

99

評価・見直し評価（監査・点検）セキュリティポリシー及びセキュリテ

ィ対策の評価を行うことを規定する。

100

運用管理セキュリティポリシーそのものに対す

る管理責任を明らかにする。

101セキュリティ

ポリシー管理

変更管理セキュリティポリシーを見直すべき状

況や変更するための方法を明らかにす

る。

102

例外管理セキュリティポリシーからの例外を認

める場合のケースや方法等を規定す

る。

103

情報第三者の情報の著作権を保護するため

のルールを規定する。

104著作権への配

慮

ソフトウェア第三者のソフトウェアの著作権を保護

するためのルールを規定する。

105


51

　なお、政府ポリシーガイドラインに明記される項目と、本作業で整理した主要論点との

関係は下表の通りである。従って、以降の分析作業及び成文化作業においては、政府ポリ

シーガイドラインに明記される論点は全て網羅されることとなる。

表 5: 政府ポリシーガイドラインと主要論点の対応関係

政府ポリシーガイドラインの項目対応する主要論点の項番

組織・体制 1、2

情報の管理責任 9情報の分類と

管理情報の分類と管理方法 10～21

物理的セキュリティ 22～35

役割・責任及び免責事項 2、3～7、40～47

教育・訓練 36

事故、欠陥に対する報告 37

パスワードの管理 38、39

人的セキュリ

ティ

非常勤及び臨時職員等の雇用及び契約 8

コンピュータ及びネットワークの管理 48～69

アクセス制御 70～76

システム開発、導入、保守等 81～86

コンピュータウイルス対策 77～79

技術的セキュ

リティ

セキュリティ情報の収集 80

情報システムの監視及びポリシーの遵守状況の

確認（運用管理）

87、88

運用管理における留意点 89

侵害時の対応策 90～95

外部委託による運用契約 45

法令遵守 96

情報セキュリティに関する違反に対する対応 97～99

運用

評価・見直し 100、102

その他 101、103～105


52

4 分析作業

　本作業は、調査作業の結果、抽出された主要論点について、その主要論点を電子政府向

けセキュリティポリシー雛形として反映させる際の論点について分析するとともに、判断

基準として分析された論点について、実際の電子政府向けセキュリティポリシー雛形の文

書体系に相当するグルーピングを実施し、まとめる作業である。


• 論点分析作業

• 論点体系化作業

4.1 論点分析作業

　本作業では、調査作業の結果、抽出された主要論点について、判断基準を設定するため

に検討が必要となる詳細な論点の分析を行うとともに、その詳細な論点に対して判断基準

の有無及び対策を分析した。

　本作業は、弊社のセキュリティポリシー構築支援業務に携わるセキュリティコンサルタ

ント 4 名によるブレーンストーミング形式の打合せ（計 20 数回）により、実施した。作

業の実施にあたっては、下記の進め方を採用した。

• まず、主要論点をさらに詳細な論点にブレイクダウンし、論点毎に電子政府におけ

るセキュリティ対策としてのあるべき姿を、対策として分析した。

• さらに、論点毎に、判断基準の設定の可否を分析し、判断基準と判断結果毎の対策

を分析した。

　なお、判断基準の分析にあたっては、下記の方針を設定した。

• 電子政府向けセキュリティポリシーということに鑑み、リスクを許容するような対

策の導出は避け、セキュリティ対策としてのあるべき姿を目指した。そのため、判

断基準の結果、リスクを許容しなければならない場合には、将来的に当該リスクを

解消する措置をとるような対策を可能な限り導出する方針とした。

• 電子政府向けセキュリティポリシーということに鑑み、電算化が進んでいない地方

公共団体の状況を考慮しない方針とした。そのため、判断基準には電算化の進捗度

を考慮した内容を盛り込まないものとした。

　下表に、主要論点毎の分析結果を示す。


53

表 6: 主要論点1 についての論点分析結果

項番 1

主要論点（大）組織・体制

主要論点（中）情報セキュリティ委員会の設置とその役割

主要論点（小）

詳細な論点の洗出結果

• （論点 1）情報セキュリティ委員会の設置

（対策）組織全体のセキュリティ対策を推進するための体制を構築する。

• （論点 2）情報セキュリティ委員会の構成

（対策）情報セキュリティ委員会は、組織のトップに近い立場の者を委員長とし

て、各部門から責任ある立場の者を委員とする。

• （論点 3）情報セキュリティ委員会の機能（役割）

（対策）セキュリティ対策を推進するために、次の役割が必要である。

ü セキュリティポリシーの策定、見直し

ü 組織全体における教育

ü 情報システムの開発に係るセキュリティ対策の審議

ü セキュリティポリシーの運用状況の確認

ü 緊急事態発生時の対応

ü 他組織との相互連携・協力の推進

• （論点 4）情報セキュリティ委員会の庶務（事務局）

（対策）情報セキュリティ委員会の構成メンバーだけでは、情報セキュリティ委

員会の機能を実行するのは困難な面もあるため、サポートする事務局の

設置が必要であり、情報システム課がその役割を担い、実作業を支援す

る。

詳細な論点に対する判断基準と対策

＜論点 1 について＞

• （判断基準 1）既存の横断的な情報システム運営体制の有無

（対策）既存の横断的な情報システム運営組織があれば、それを活かし、なけれ

ば、情報セキュリティ委員会を設置する。

• （判断基準 2）一元集中管理による情報システム運営体制の有無

（対策）情報システム運営体制が適切に機能していれば、それを活かし、機能し

ていなければ、情報セキュリティ委員会を設置する。

＜論点 2～4 について＞

　論点 1 の判断基準の結果に応じて、対策を変更する。


54


項番 2

主要論点（大）役割・責任

主要論点（中）最高情報セキュリティ責任者の役割・責任



• （論点 1）最高情報セキュリティ責任者の配置

（対策）トップに近い立場の者（官房長、助役等）が指名される。

• （論点 2）最高情報セキュリティ責任者の責任

（対策）組織全体におけるセキュリティ対策に関する統括責任とそのための権限

を有する。


なし

備考

実際にどの立場の者が最高情報セキュリティ責任者を担当するかは、組織によって

様々であろうが、この点については、判断基準とせず、セキュリティポリシーKM シ

ステムにおけるセキュリティ関連規程・文書管理機能を用い、当該システムを利用す

るユーザが適宜変更するものとした。


項番 3


主要論点（中）情報セキュリティ担当官（管理職等）の役割・責任



• （論点 1）情報セキュリティ担当官の配置

（対策）最高情報セキュリティ責任者により指名される。

• （論点 2）情報セキュリティ担当官の責任

（対策）部門におけるセキュリティ対策に関する統括責任とそのための権限を有

する。


なし


55


項番 4


主要論点（中）情報管理責任者の役割・責任



• （論点 1）情報管理責任者の配置

（対策）各部課に配置する。

• （論点 2）情報管理責任者の責任

（対策）部課における情報管理の責任を有する。


なし


項番 5


主要論点（中）システム管理者の役割・責任



• （論点 1）システム管理者の配置

（対策）管理対象毎に配置する。

• （論点 2）システム管理者の責任

（対策）情報システムにおけるセキュリティ対策を行うとともに、管理者権限を

不正に使用しない。


なし


56


項番 6


主要論点（中）ネットワーク管理者の役割・責任



• （論点 1）ネットワーク管理者の配置

（対策）ネットワーク管理者を配置する。

• （論点 2）ネットワーク管理者の責任

（対策）庁内ネットワークにおけるセキュリティ対策を行うとともに、管理者権

限を不正に使用しない。


なし


項番 7


主要論点（中）職員等の役割・責任



• （論点 1）職員等の責任

（対策）セキュリティポリシーを遵守する責任を有する。


なし


57


項番 8


主要論点（中）非常勤および臨時職員等の雇用および契約



• （論点 1）セキュリティポリシーの遵守義務

（対策）セキュリティポリシーに遵守する旨の宣誓書に署名させる。

• （論点 2）セキュリティに関する教育

（対策）セキュリティポリシーのうち非常勤および臨時職員等が遵守すべき事項

について教育する。

• （論点 3）付与する資格

（対策）情報システムの使用資格を必要最小限にする。


＜論点 1、3 について＞

なし


• （判断基準 1）非常勤および臨時職員等への教育手順の有無

（対策）明確でなければ、着任時及びそれ以降に定期的に教育する。


項番 9

主要論点（大）情報管理

主要論点（中）情報に対する管理責任の所在



• （論点 1）主管部課

（対策）情報を主管する部課は、当該情報を収集又は作成した部課とする。


なし


58

表 15: 主要論点1 0 についての論点分析結果

項番 10


主要論点（中）分類



• （論点 1）機密性の原則

（対策）情報公開制度に鑑み、情報を非公開情報（公開を予定されない情報）と

公開情報（非公開情報以外の情報）に分類した上で、次に掲げる通りと

する。

ü 非公開情報については、十分な配慮を必要とする。

ü 公開情報については、非公開情報のほどの機密性は求められないも

のの、一定の配慮を必要とする。

• （論点 2）完全性の原則

（対策）全ての情報に対して十分な配慮を必要とする。

• （論点 3）可用性の原則

（対策）全ての情報に対して十分な配慮を必要とする。



• （判断基準 1）機密性の観点からの情報分類の有無

（対策）機密性の観点での情報分類が既にあれば、セキュリティポリシーKM シ

ステムにより、それを入力させる。


• （判断基準 2）完全性の観点からの情報分類の有無

（対策）完全性の観点での情報分類が既にあれば、セキュリティポリシーKM シ



• （判断基準 3）可用性の観点からの情報分類の有無

（対策）可用性の観点での情報分類が既にあれば、セキュリティポリシーKM シ


• （判断基準 4）可用性対策への予算の有無

（対策）全ての情報に対して可用性を確保するための予算を割当てることが難し

いならば、高い可用性を求められる情報を特定し、優先的な対策を施す

ものとする。


59


項番 11


主要論点（中）分類表示



• （論点 1）分類の表示

（対策）情報の機密性が判別つくように、その分類を識別できるようにする。



• （判断基準 1）既存の電子化情報への対応可否

（対策）既存の電子化された情報の量が膨大であれば、既存の情報については都

度対応するものとし、膨大でなければ、速やかに実行する。


項番 12


主要論点（中）アクセス権限



• （論点 1）アクセス権限の設定

（対策）情報の機密性に応じた取扱権限（作成・保管・閲覧・更新・複製・配布・

消去）を明確にしたアクセスコントロール表を定め、それに準じたアク

セス権限の設定を行う。また、アクセスコントロール表の承認は、情報

管理責任者が行う。


なし


60


項番 13


主要論点（中）情報の管理方法

主要論点（小）作成


• （論点 1）利用範囲

（対策）利用範囲を明確化する。

• （論点 2）保管期限

（対策）関係法令等に定められた保管期限を設定する。

• （論点 3）電子署名

（対策）職員の電子署名を情報そのものに埋め込む。



なし


• （判断基準 1）電子署名を使用できる環境の有無

（対策）環境がなければ、環境を整備していくものとする。


61


項番 14



主要論点（小）保管（コンピュータ）


• （論点 1）保管場所

（対策）情報はアクセスコントロールが実現されるサーバ等に保管し、端末等に

情報を保管しない環境とする。

• （論点 2）暗号化

（対策）全ての情報を暗号化する。

• （論点 3）バックアップ

（対策）情報のバックアップを取得する。

• （論点 4）保管場所の把握

（対策）台帳記録等により、情報の保管場所を把握する。

• （論点 5）保管状況の点検

（対策）情報の保管状況の点検を行う。



• （判断基準 1）環境整備の予算の有無

（対策）予算がなければ、アクセスコントロールが実現可能なコンピュータ上に

原則保存し、端末等からは外部記録媒体入出デバイスを取り外す。


• （判断基準 2）全ての情報を暗号化できる環境整備の予算の有無

（対策）予算がなければ、環境を整備していくものとする。

• （判断基準 3）情報を暗号化する方針の有無

（対策）予算も方針も両方なければ、機密性の高い情報を暗号化する。


なし


62


項番 15



主要論点（小）保管（外部記録媒体）


• （論点 1）保管場所

（対策）施錠可能な場所（保管庫・引出等）に保管する。

• （論点 2）可用性への配慮

（対策）長期間保存する場合は、外部記録媒体の劣化に備えて、複数作成する。

また、災害等に備えて、バックアップ用の外部記録媒体は遠隔地に保管

する。

• （論点 3）ラベル表示

（対策）保存される情報の機密性が識別できるようにする。

• （論点 4）保管場所の把握

（対策）台帳記録等により、外部記録媒体の保管場所を把握する。

• （論点 5）保管場所の点検

（対策）外部記録媒体の保管状況の点検を行う。


なし


63


項番 16



主要論点（小）利用


• （論点 1）閲覧・更新権限の確認

（対策）情報を閲覧又は更新する職員等に正当なアクセス権限があることを確認

する。

• （論点 2）改ざんの防止

（対策）必要に応じて容易に改ざんできない措置を施す。

• （論点 3）バージョン管理

（対策）情報のバージョン管理を行い、作成日時、更新日時及び更新者等を把握

する。

• （論点 4）入出力情報の保護

（対策）情報システムの入出力情報の妥当性を検証する。また、入出力情報に係

る帳票や印刷物等についても、取扱い及び管理を厳重に行う。


なし


64


項番 17



主要論点（小）配布・持出


• （論点 1）内部配布

（対策）配布先等を記録する。また、配布を受けた部課は、厳重に管理する。

• （論点 2）暗号化

（対策）ネットワーク上を流れる情報あるいは外部記録媒体等に保存して搬送中

の情報は、暗号化する。

• （論点 3）外部配布

（対策）自組織外への情報（公開情報を除く）の配布及び持出は禁止とする。ま

た、持出す必要がある場合（出張、外部委託作業等）は、情報管理責任

者の承認を必要とする。



なし


• （判断基準 1）暗号化できる環境の有無

（対策）環境がなければ、環境を整備していくものとする。

• （判断基準 2）情報を暗号化する方針の有無

（対策）環境も方針も両方なければ、機密性の高い情報を暗号化する。


65


項番 18



主要論点（小）持込


• （論点 1）管理責任の明確化

（対策）自組織外より持込まれる情報については、持込日時及び責任者等を明確

にする。

• （論点 2）取扱方法

（対策）持込まれた情報についても、機密性を確認し、その分類に応じた取扱い

及び保管を行う。

• （論点 3）持込みの制限

（対策）業務上必要とされない情報の持込みは禁止とする。


なし


項番 19



主要論点（小）複製


• （論点 1）許可

（対策）情報管理責任者の許可を受ける。

• （論点 2）バージョン管理

（対策）複製した情報は正副を明確にし、副の情報の作成責任者及び保管場所等

を明確にするとともに、副の情報には、正の情報へのトレースができる

ように、バージョン管理を行う。

• （論点 3）取扱

（対策）複製された情報についても、正の情報と同様の取扱い及び保管を行う。


なし


66


項番 20



主要論点（小）消去（抹消）


• （論点 1）情報消去の許可

（対策）情報管理責任者の承認を必要とする。

• （論点 2）消去の記録

（対策）消去日時及び作業を行った職員等を明確にする。


なし


項番 21


主要論点（中）外部記録媒体の廃棄



• （論点 1）廃棄

（対策）記憶領域を初期化し、可能であれば復元不可能な措置を講ずる。


なし


67


項番 22

主要論点（大）設備の適切な設置

主要論点（中）建物の立地・構造・内装等



• （論点 1）建物の立地・構造・内装等における防災対策

（対策）その立地環境及び建物構造や内装の状況に応じて、地震、火災、水害、

落雷等に備えた対策を講ずる。



• （判断基準 1）現状における防災対策の状況

（対策）現状における防災対策が不十分であるならば、新規に建物を建造する際

に「情報システム安全対策基準」等の内容を満たすものとする。

備考

建物そのものにおける物理的セキュリティ対策は、既設の建物に施すことが現実的に

難しいことを配慮し、論点を詳細化せずに対策選定における自由度を持たせる内容と

した。


68


項番 23


主要論点（中）システム室・執務室の配置・構造・内装等



• （論点 1）サーバ室

（対策）その構造や内装の状況に応じて、火災及び水害等に備えた対策を講ずる。

• （論点 2）サーバ室の所在表示

（対策）第三者にサーバ室の所在が判るような表示をしない。

• （論点 3）執務室

（対策）その構造や内装の状況に応じて、火災及び水害等に備えた対策を必要に

応じて講ずる。



• （判断基準 1）現状における防災対策の状況

（対策）現状における防災対策が不十分であるならば、新規に建物を建造する際

に「情報システム安全対策基準」等の内容を満たすものとする。


• （判断基準 2）サーバ等の一箇所配置の可否

（対策）サーバ等をサーバ室に一箇所にまとめて配置不可能であって、かつその

ような環境を構築する予算もなければ、論点 2 に関する対策を削除する。

備考

建物と同様に、室そのものにおける物理的セキュリティ対策は、既設の室に施すこと

が現実的に難しいことを配慮し、論点を詳細化せずに対策選定における自由度を持た

せる内容とした。


69


項番 24


主要論点（中）コンピュータ（ホスト・サーバ）

主要論点（小）物理的対策


• （論点 1）サーバ等の設置場所

（対策）非権限者が容易に侵入できないように入退管理が行われているサーバ室

に全て設置する。

• （論点 2）サーバ等の設置環境

（対策）振動や漏水等による倒壊・故障等の被害を防止するための対策、及び盗

難等の被害を防止するための防犯対策を講ずる。



• （判断基準 1）サーバ等の一箇所配置の可否

（対策）サーバ等をサーバ室に一箇所にまとめて配置不可能である場合には、判

断基準 2 の結果に応じた対策を講ずる。

• （判断基準 2）機密度の高いサーバ等をサーバ室に配置するための予算の有無

（対策）判断基準 1 により全てのサーバ等をサーバ室に配置不可能であるともし

ても、機密度の高いサーバ等をサーバ室に配置するための予算があるな

らば、当該サーバをサーバ室に配置し、その他はシステム管理者の目の

届く範囲に設置することとする。また、予算がなければ、全てのサーバ

等をシステム管理者の目の届く範囲に設置することとする。


判断基準 1 の結果に応じ、サーバ室での一箇所管理が可能であれば、サーバ室そ

のものにより防犯対策が講じられるため、サーバ等の設置環境における防犯対策は

不要とする。


70


項番 25



主要論点（小）電源保護


• （論点 1）サーバ等における電源保護

（対策）予備電源を確保する。



• （判断基準 1）予算の有無

（対策）全てのサーバ等に予備電源を確保する予算がなければ、高い可用性の求

められるサーバ等には少なくとも予備電源を確保する。


項番 26



主要論点（小）空調


• （論点 1）サーバ等における空調

（対策）適切な温湿度を維持できるように空気調和設備を設ける。



• （判断基準 1）サーバ室の有無

（対策）サーバ室を設けることが不可能な場合には、論点 1 の対策は削除する。


71


項番 27


主要論点（中）コンピュータ（事務パソコン等）



• （論点 1）端末等の設置環境


難等の被害を防止するための防犯対策を必要に応じて講ずる。


なし


項番 28


主要論点（中）什器等



• （論点 1）什器等の設置環境


難等の被害を防止するための防犯対策を、必要に応じて講ずる。


なし


72


項番 29


主要論点（中）通信機器



• （論点 1）通信機器の設置環境

（対策）施錠可能な収納棚に設置・管理するとともに、振動や漏水等による倒壊・

故障等の被害を防止するための対策を講ずる。


なし


項番 30


主要論点（中）配線



• （論点 1）ネットワーク配線の敷設環境

（対策）コンピュータへのネットワーク配線は近辺のネットワーク構成機器から

引き込み、それ以外のネットワーク配線は専用の配線管路に敷設し、火

災、漏水、断線、切断、盗聴等の被害から保護する対策を講ずる。


なし


73


項番 31


主要論点（中）庁舎外機器



• （論点 1）委託により庁舎外に設置する機器の物理的セキュリティ対策

（対策）外部委託により庁舎外に機器を設置する場合は、委託先事業者に対して

自組織内での管理と同等の管理を実施させる。


なし


74


項番 32

主要論点（大）建物・室への入退出管理

主要論点（中）人の出入

主要論点（小）入退管理


• （論点 1）警備員の配置

（対策）執務室フロアへの出入口に、警備員を配置する。

• （論点 2）入館・入室資格の確認

（対策）執務室フロアへの入室者に対して、入室資格の確認を行う。

• （論点 3）外来者の識別

（対策）外来者には、入室許可章を貸与し、職員等との区別ができるようにする。



• （判断基準 1）住民往来の有無

（対策）住民が往来するフロアが建物内にあれば、執務室フロアでの警備員を配

置し、なければ、建物単位での警備員の配置を行う。

• （判断基準 2）住民往来フロアの状況

（対策）住民往来フロアが執務室フロアと分離されていれば、執務室フロアの出

入口に、分離できなければ、共用フロアに、警備員を配置する。

• （判断基準 3）警備員を配置する予算の有無

（対策）判断基準 1 及び 2 の結果において、警備員を配置する予算がなければ、

警備員の代わりに受付窓口を設置する。但し、住民往来フロアと執務室

フロアが分離できない場合には、執務室スペースでの受付窓口の設置は

困難であると想定されるので、外来者の入退を制限するものとする。


なし


75


項番 33


主要論点（中）人の出入

主要論点（小）サーバ室


• （論点 1）サーバ室への入退管理

（対策）入退管理は、認証手段に適した設備を設置して行う。

• （論点 2）サーバ室への入退履歴

（対策）入退履歴を記録する。

• （論点 3）サーバ室入退の監視

（対策）出入口に監視カメラを設置し、入退状況を監視する。




（対策）サーバ室がなければ、本論点は削除する。



（対策）IC カード等の認証装置を導入する予算がなければ、出入口の施錠による

入退制限を行う。



（対策）監視カメラを設置する予算がなければ、リスクを保有し、本論点は削除

する。


76


項番 34


主要論点（中）搬入出物



• （論点 1）執務室への搬入出物の点検

（対策）警備員により持込・持出物品の点検を行う。

• （論点 2）サーバ室への搬入出物の制限

（対策）作業に必要なものに限定する。

• （論点 3）サーバ室への搬入出物の記録

（対策）システム管理者がその内容を確認するとともに、搬入出記録を取得する。


警備員の配置状況やサーバ室の有無に応じて、対策の内容を変更する。


77


項番 35


主要論点（中）作業の監視



• （論点 1）サーバ室内の作業の監視

（対策）サーバ室内に監視カメラを設置し、遠隔監視を行う。

• （論点 2）サーバ室内での外来者による作業での立会い

（対策）システム管理者またはシステム管理者が指名する職員が立会い、作業を

見届ける。




（対策）サーバ室がなければ、本論点は削除する。


• （判断基準 2）監視カメラによる遠隔監視する予算の有無

（対策）予算がなければ、判断基準 2 に応じて、対策を講ずる。

• （判断基準 3）サーバ室の側壁をガラス窓にする予算の有無

（対策）予算があれば、サーバ室の側壁をガラス窓にし、予算がなければ、リス

クを許容し、本論点は削除する。


78


項番 36

主要論点（大）教育・訓練

主要論点（中）教育・訓練



• （論点 1）教育に関する計画立案

（対策）教育に関する計画を年度毎に策定する。

• （論点 2）教育の実施

（対策）初任者研修や昇任者研修等を活用し、職員等に定期的かつ継続的にセキ

ュリティに関する教育を行う。その際には、セキュリティの重要性、職

員等の役割・責任、及びセキュリティポリシー違反時の影響について教

育する。

• （論点 3）啓発活動

（対策）職員等がセキュリティポリシーを閲覧可能な環境を構築するとともに、

セキュリティに関する情報を発信し、職員等の意識啓発に努める。

• （論点 4）報告

（対策）教育の実施結果を報告する。


＜論点全体について＞

• （判断基準 1）教育体制確立の有無

（対策）教育体制が確立していなければ、情報セキュリティ委員会が行い、確立

していれば、既存の体制を活かす。


• （判断基準 2）セキュリティ教育の必要度合

（対策）セキュリティ教育の必要度合が高ければ、四半期に一回の頻度で教育を

行う。


• （判断基準 3）セキュリティに精通した職員の有無

（対策）セキュリティに精通した職員がいなければ、外部の専門家を活用したセ

キュリティ教育を行う。

備考

訓練については、主要論点 95 と合わせて検討することとした。


79


項番 37

主要論点（大）事故・欠陥に対する報告

主要論点（中）事故・欠陥に対する報告



• （論点 1）事故・欠陥に対する報告

（対策）職員等は、セキュリティに関する事故・欠陥を発見した場合、直ちに所

属部課の情報管理責任者に報告する義務を有する。


なし


項番 38

主要論点（大）パスワード管理

主要論点（中）厳格なパスワード管理



• （論点 1）ユーザにおけるパスワードの管理

（対策）職員等はパスワードの使用において下記事項を守る。

ü 自身のパスワードを他人に使用させない。

ü 自身のパスワードを公にしない。

ü 他人のパスワードを使用しない。

ü パスワードには他人が推測困難なものを使用する。

ü システム管理者及びネットワーク管理者の指示に従い、パスワード

を定期的に変更する。パスワードの入力を省略できる機能を使用し

ない。

ü パスワード入力時には、第三者に覗き見られないように注意する。

ü 他人が入力しているパスワードを覗き見ない。

ü 人事異動又は退職等の何らかの理由により使用が不必要になった場

合は、直ちにシステム管理者及びネットワーク管理者に届け出る。

ü パスワードを失念した場合及び他人に知られたおそれのある場合

は、直ちにシステム管理者及びネットワーク管理者に届け出る


なし


80


項番 39

主要論点（大）パスワード管理

主要論点（中）その他の本人認証ツールの取扱い（例えば、IC カードなど）



• （論点 1）ユーザにおける資格識別カード等の管理

（対策）職員等は資格識別カード等の使用において下記事項を守る。

ü 他人に資格識別カード等を貸与しない。

ü 他人が保有する資格識別カード等を使用しない。

ü 資格識別カード等は都度、管理者より借受け、使用後は直ちに返却

する。

ü 資格識別カード等を破壊しない。

ü 資格識別カード等を机上等に放置しない。

ü 資格識別カード等を紛失又は破損等した場合には、直ちに管理者に

届け出る。


なし


81


項番 40

主要論点（大）外部委託

主要論点（中）外部委託における選定及び契約等

主要論点（小）外部委託の手続


• （論点 1）外部委託実施の審議・承認

（対策）情報セキュリティ委員会での審議、及び最高情報セキュリティ責任者の

承認を必要とする。



• （判断基準 1）情報システム開発を自前で実施できるスキルの有無

（対策）スキルがあり、外部委託の必要性がないならば、情報システムの設計、

開発、運用等の委託を行うことを禁止する。

• （判断基準 2）既存の承認プロセスにおけるセキュリティ審査項目の有無

（対策）業務委託実施時における既存の承認プロセスにセキュリティに関する審

査項目があり、明文化されていれば、当該手続に従う。また、明文化さ

れていなければ、既存の承認プロセスを、セキュリティポリシーKM シス

テムにより入力させ、電子政府向けセキュリティポリシーにて明文化す

る。


82


項番 41



主要論点（小）選定条件


• （論点 1）委託先事業者の選定基準

（対策）外部委託を行おうとする場合の委託先選定基準を明確にする。



• （判断基準 1）既存の選定基準の有無

（対策）既存の選定基準があれば、セキュリティポリシーKM システムで下記項

目から選択させるとともに、追加項目があれば、それも入力させ、選定

基準とする。既存の選定基準がなければ、セキュリティポリシーKM シ

ステムで下記項目より選択させ、その結果を選定基準とする。

ü プライバシーマーク取得済みもしくは同水準の個人情報保護を実施

可能な事業者とする。

ü 委託業務内容を実施可能な技術水準を保有する事業者とする。

ü 経営状況が安全である事業者とする。

ü 委託業務に伴う情報の管理が信用のおける事業者とする。

ü セキュリティ及び個人情報保護に関する教育体制が整備されている

事業者とする。

ü システムインテグレータ認定を受けている事業者とする。

ü 特定システムオペレーション企業等認定を受けている事業者とす

る。


83


項番 42



主要論点（小）契約


• （論点 1）契約内容

（対策）委託契約書に少なくとも下記事項を明記する。

ü 守秘義務に関する事項

ü セキュリティの遵守に関する事項

ü セキュリティの運用状況の検査に応ずる義務に関する事項

ü 損害賠償責任に関する事項

ü セキュリティ及び個人情報保護の意識の啓発及び教育に関する事項

ü 再委託の禁止又は制限に関する事項

• （論点 2）誓約書の署名

（対策）委託先事業者の事業責任者及び委託業務に従事する者全てに対して、守

秘義務及びセキュリティ遵守に関する同意書に署名させる。



• （判断基準 1）再委託の可否

（対策）再委託を禁止しているならば、再委託の禁止を、禁止していないならば、

再委託の制限を、委託契約書に明記する。（主要論点 43 と関連する。）


なし


84


項番 43



主要論点（小）再委託の制限


• （論点 1）再委託

（対策）再委託を禁止する。



• （判断基準 1）再委託の可否

（対策）個人情報保護条例等において再委託を禁止しているならば、再委託を禁

止とする。

• （判断基準 2）再委託先事業者との契約締結の可否

（対策）再委託を行う場合は、委託先事業者から届け出させるとともに、再委託

先事業者と直接に機密保持契約が締結できるならば、当該契約を締結し、

困難であれば、委託先事業者と再委託先事業者との間で機密保持契約を

締結させ、再委託業務の安全性を確保する。


項番 44


主要論点（中）外部委託における運用管理

主要論点（小）体制


• （論点 1）連絡体制の構築

（対策）委託先事業者との連絡体制を構築する。

• （論点 2）委託業務実施体制の把握

（対策）委託先事業者に、委託業務に係る体制（従事者名簿等）を提出させる。


なし


85


項番 45



主要論点（小）委託業務の実施


• （論点 1）委託先での安全管理

（対策）委託を実施する職員は、委託業務に係るセキュリティに関する要求事項

を委託先事業者に提示し、遵守させる。

• （論点 2）委託業務の報告

（対策）委託業務に関する作業及びセキュリティの実施状況を定期的に報告させ

る。

• （論点 3）資格の付与

（対策）委託先事業者を受入れる場合、派遣要員等に付与する権限は必要最小限

とする。

• （論点 4）情報資産の提供

（対策）委託先事業者に開示又は提供する情報資産は必要最小限にするととも

に、提供の記録をとる。



なし


• （判断基準 1）庁舎外での取扱いの可否

（対策）外部事業者に開示又は提供する情報資産を、当該事業者が庁舎外で取扱

うことを認めていない場合、庁舎外での取扱いを禁止することを明文化

する。


86


項番 46



主要論点（小）点検・監督


• （論点 1）組織内での監督

（対策）委託先事業者のセキュリティの実施状況を定期的に監督・検査する。

• （論点 2）組織外での監督

（対策）庁舎外で委託業務に従事する場合には、必要に応じて、委託先事業者に

管理体制を構築させるとともに、監督させる。

• （論点 3）情報セキュリティ委員会への報告

（対策）定期的に委託に係る業務内容及びセキュリティの実施状況を情報セキュ

リティ委員会に報告する。



なし


• （判断基準 1）庁舎外での取扱いの可否

（対策）外部事業者に開示又は提供する情報資産を、当該事業者が庁舎外で取扱

うことを認めていない場合、論点 2 は削除する。


項番 47



主要論点（小）違反時の措置


• （論点 1）違反時の措置

（対策）速やかに契約を解除し、提供した情報資産を直ちに返還させる。また、

必要に応じて損害賠償等の措置を講ずる。


なし


87


項番 48

主要論点（大）コンピュータ管理

主要論点（中）コンピュータの管理責任

主要論点（小）管理責任



（対策）コンピュータを主管する部課は、情報システム課とする。

• （論点 2）サーバ等の管理者

（対策）サーバ等を運用管理するシステム管理者を管理対象毎に明確にする。

• （論点 3）管理者の数

（対策）サーバ等を運用管理するシステム管理者は複数とする。

• （論点 4）端末の管理者

（対策）端末の管理者を明確にする。

• （論点 5）パーソナルコンピュータの管理者

（対策）パーソナルコンピュータの管理は、当該機器を割当てられた職員等本人

が厳重に行う。



• （判断基準 1）情報システム課以外でコンピュータを管理している部課の有無

（対策）情報システム課以外の部課でコンピュータを運用していれば、判断基準

2 の結果に応じて、主管部課とすることもある。

• （判断基準 2）セキュリティ維持の可否

（対策）情報システム課以外にコンピュータを管理している部課があって、当該

部課がセキュリティ維持できるならば、主管部課とするが、セキュリテ

ィ維持できないならば、情報システム課が主管部課となる。


なし


• （判断基準 3）実行性の可否

（対策）複数名のシステム管理者を配置することが難しいならば、高い可用性の

求められるサーバ等には複数名配置する。


• （判断基準 4）ホスト端末機能のみの機器の有無

（対策）ホスト端末機能のみの機器がなければ、論点 4 は不要。


88


• （判断基準 5）1 人 1 台のパーソナルコンピュータを割当てる予算の有無

（対策）予算がなく共用の端末等があれば、今後は 1 人 1 台にパーソナルコンピ

ュータを割当てる体制を構築する。


項番 49


主要論点（中）コンピュータの管理

主要論点（小）機器管理


• （論点 1）機器の把握

（対策）コンピュータの管理番号、管理者名及び設置場所等を管理台帳により把

握する。

• （論点 2）機器の識別

（対策）管理番号シール等を貼り付ける。

• （論点 3）点検

（対策）管理台帳に基き、定期的に機器の設置状況等を確認する。


なし


89


項番 50



主要論点（小）不正利用防止


• （論点 1）オペレーティングシステム（OS）起動時の本人認証による保護

（対策）サーバ等には、マルチユーザ OS を導入する。

• （論点 2）入出力装置の取外し

（対策）サーバ等の入出力装置を、運用上必要のない間は取り外して別に管理す

る。

• （論点 3）離席時の対策

（対策）離席する際には、ログインしている情報システムを全てログアウトする。




（対策）端末等にもマルチユーザ OS を導入する予算があれば、全てのコンピュ

ータに導入するものとする。


• （判断基準 2）入出力装置の取外しの可否

（対策）サーバ等の入出力装置を、運用上必要のない間は取り外して別に管理す

ることが難しいならば、心掛けるにようにする。


• （判断基準 3）職員の情報リテラシーの度合

（対策）職員の情報リテラシーが低ければ、自動的にログアウトする機能をシス

テム側に実装する。

• （判断基準 4）共用端末の有無

（対策）共用の端末等がなければ、パスワード付きスクリーンセーバによる離席

時対策を許容する。


90


項番 51



主要論点（小）保守


• （論点 1）保守

（対策）サーバ等には、保守契約を締結する。

• （論点 2）保守時の情報保護

（対策）コンピュータを修理等の目的で事業者に出す場合には、保存される情報

の機密性を確保するための措置を講ずる。


なし


91


項番 52



主要論点（小）庁外への持出し


• （論点 1）端末等の持出の許可

（対策）端末等を持出す場合、所属部課の情報管理責任者の許可を必要とする。

• （論点 2）端末等の持出時の情報保護

（対策）端末等を持出す際には、不必要な情報を保存しない。

• （論点 3）端末等の持出の記録

（対策）職員名、持出日時及び返却日時等を記録する。

• （論点 4）サーバ等の持出の許可

（対策）サーバ等の自組織外への持出しは禁止とし、修理等の例外的な場合には

情報セキュリティ担当官の許可を必要とする。

• （論点 5）サーバ等の持出の記録

（対策）職員名、持出日時及び返却日時等を記録する。



• （判断基準 1）端末等の持出しの可否

（対策）庁舎外への端末等の持出しを認めていなければ、禁止とする。


判断基準 1 の結果により禁止であれば、論点 4、5 と統合する。


なし


92


項番 53



主要論点（小）廃棄等


• （論点 1）コンピュータの廃棄

（対策）ハードディスクを初期化し、可能であれば復元不可能な措置を講ずる。


なし


項番 54


主要論点（中）周辺機器の管理



• （論点 1）周辺機器の管理

（対策）コンピュータの管理に準じた管理を行う。


なし


93


項番 55

主要論点（大）ネットワーク（構成機器を含む）管理

主要論点（中）ネットワークの管理責任

主要論点（小）管理責任



（対策）庁内ネットワークを主管する部課は、情報システム課とする。

• （論点 2）ネットワーク管理者の配置

（対策）ネットワークの運用管理を行うネットワーク管理者を明確にする。

• （論点 3）ネットワーク管理者の数

（対策）ネットワーク管理者は複数とする。



• （判断基準 1）クローズドネットワークの有無

（対策）情報システム課以外の部課でクローズドネットワークを運用していれ

ば、判断基準 3 の結果に応じて、主管部課とすることもある。

• （判断基準 2）部課内ネットワークの管理

（対策）情報システム課以外の部課で部課内ネットワークを運用していれば、判

断基準 3 の結果に応じて、主管部課とすることもある。


（対策）情報システム課以外にネットワークを運用している部課があって、当該




なし


• （判断基準 4）実現性の可否

（対策）複数名のネットワーク管理者を配置することが難しいならば、将来的に

複数名のネットワーク管理者を配置できるよう、職員を育成する。


94


項番 56


主要論点（中）ネットワークの管理

主要論点（小）構成管理


• （論点 1）ネットワーク構成の論理的な把握

（対策）常に最新のネットワーク構成状況を把握する。

• （論点 2）ネットワーク構成の物理的な把握

（対策）ネットワーク構成機器の設置場所及びネットワーク配線の経路を記録す

る。

• （論点 3）設定情報の保護

（対策）ネットワーク構成機器の設定情報を非権限者に改ざんされないようにア

クセス制御による管理を行う。

• （論点 4）ネットワーク構成状況の点検

（対策）ネットワーク構成状況、ネットワーク構成機器の設置状況及び設定情報

を定期的に確認する。

• （論点 5）設定情報のバックアップ

（対策）ネットワーク構成機器の設定情報のバックアップを取得する。


なし


項番 57



主要論点（小）構成変更


• （論点 1）ネットワーク構成の変更手続

（対策）コンピュータのネットワーク接続に関する申請手続を定める。また、職

員が私的に所有するコンピュータの庁内ネットワークへの接続を禁止す

る。


なし


95


項番 58



主要論点（小）検査


• （論点 1）脆弱性の検査

（対策）擬似侵入攻撃による検査を定期的に実施する。




（対策）擬似侵入攻撃による検査を定期的に実施する予算がなければ、次の場合

には少なくとも実施する。

ü 庁内ネットワークと外部ネットワークを新規に接続する場合

ü 庁内ネットワークを大規模に再構築する場合


96


項番 59

主要論点（大）システムの運用管理

主要論点（中）ソフトウェアの管理責任




（対策）ソフトウェアを主管する部課は、情報システム課とする。

• （論点 2）システム管理者の配置

（対策）ソフトウェアの運用管理を行うシステム管理者を明確にする。

• （論点 3）システム管理者の数

（対策）ソフトウェアを運用管理するシステム管理者は複数とする。



• （判断基準 1）情報システム課以外にソフトウェアを運用している部課の有無

（対策）情報システム課以外にソフトウェアを運用している部課があれば、判断

基準 2 の結果に応じて、主管部課とすることもある。


（対策）情報システム課以外にソフトウェアを運用している部課があって、当該




なし


• （判断基準 3）実現性の可否

（対策）複数名のシステム管理者を配置することが難しいならば、高い可用性が

求められる情報システムにのみ複数名のシステム管理者を配置する。


97


項番 60

主要論点（大）システムの運用管理

主要論点（中）システム運用管理（オペレーション管理を含む）



• （論点 1）ソフトウェアのバックアップ

（対策）ソフトウェアのバックアップを取得する。

• （論点 2）オペレーション管理

（対策）ソフトウェア毎にオペレーション手順書を作成・常備するとともに、手

順書のバージョン管理を行う。

• （論点 3）オペレーション手続

（対策）必要に応じてオペレーションの承認手続を定める。


なし


項番 61

主要論点（大）外部とのシステム結合

主要論点（中）外部ネットワークとの接続

主要論点（小）審査・承認


• （論点 1）外部ネットワークとの接続の許可

（対策）情報セキュリティ委員会による審議、最高情報セキュリティ責任者の承

認を必要とする。


なし


98


項番 62


主要論点（中）外部ネットワークとの接続

主要論点（小）不正アクセス対策


• （論点 1）ネットワーク接続

（対策）庁内ネットワークと外部ネットワーク又は外部のコンピュータを接続す

る場合は、次の対策を行う。

ü 接続先団体等との責任分界点を明確にする。

ü 接続境界点にはファイアウォール機能を設ける。

ü 庁内ネットワークへアクセス可能な者もしくはコンピュータを限定

する。

ü 提供するネットワーク系サービスは、必要最小限とする。

• （論点 2）スタンドアローンコンピュータ接続

（対策）庁内に設置されたスタンドアローンのコンピュータと外部ネットワーク

又は外部のコンピュータを接続する場合は、少なくとも次に掲げる事項

を行う。

ü 外部ネットワークからの不正アクセス行為を防止する措置を講ず

る。

ü 当該コンピュータ上に保存する情報は必要最小限とする。

ü 当該コンピュータを取扱うことのできる職員等を限定する。


なし


99


項番 63


主要論点（中）他組織とのデータ交換を行う際の留意点



• （論点 1）外部とのシステム結合の制限

（対策）業務系システムと外部の情報システムの結合は禁止とする。

• （論点 2）外部とのシステム結合の許可

（対策）情報セキュリティ委員会による審議、最高情報セキュリティ責任者の承

認を必要とする。

• （論点 3）安全管理

（対策）外部の情報システムと結合する場合は、事前に相手先とデータ交換の手

順や情報の管理方法等について取り決める。



• （判断基準 1）個人情報保護条例との関係

（対策）個人情報保護条例等で業務系システムと外部の情報システムの結合を禁

止する規定がなければ、結合禁止の制限を設けない。


判断基準 1 の結果に準じて、外部の情報システムとの結合可能対象となるシステ

ムの範囲を変更する。


100


項番 64

主要論点（大）利用者に対する情報システム使用の規定

主要論点（中）共通事項（一般則）



• （論点 1）公私混同の禁止

（対策）職員等は、職務遂行以外の目的での情報資産の使用を禁止する。

• （論点 2）守秘義務

（対策）職員等は、職務上知り得た秘密を第三者に開示又は漏洩することを禁止

する。また、その職を退いた後も同様に禁止とする。

• （論点 3）管理者への協力

（対策）職員等は、システム管理者及びネットワーク管理者の指示に従い、情報

システムの運用に協力する責務を有する。


なし


101


項番 65


主要論点（中）情報取扱



• （論点 1）情報の適切な使用

（対策）情報の取扱いについて細心の注意を払う責務を有する。


なし


項番 66


主要論点（中）コンピュータ使用



• （論点 1）コンピュータの適切な使用

（対策）コンピュータを無断で増設又は改造することを禁止する。また、自らが

管理するコンピュータを盗難や不正使用等の被害から保護する責務を有

する。


なし


102


項番 67


主要論点（中）ネットワーク使用



• （論点 1）ネットワークの適切な使用

（対策）不正アクセス又はそれに類する行為を禁止する。


なし


項番 68


主要論点（中）ソフトウェア使用



• （論点 1）ソフトウェアの無断導入

（対策）職員等が管理するパーソナルコンピュータに無断でソフトウェアを導入

することを禁止する。


なし


103


項番 69


主要論点（中）電子メール使用



• （論点 1）電子メールの適切な使用

（対策）職員等は、電子メールを利用して組織外へ情報発信する際には、情報管

理責任者の承認を得るとともに、情報管理責任者にｃｃで送信する。ま

た、他人に迷惑をかけないように適切な使用を行う責務を有する。

• （論点 2）メーリングリストへの適切な参加

（対策）職員等は、メーリングリストに参加する場合は、情報セキュリティ担当

官の許可を受ける。



• （判断基準 1）電子メール利用環境の有無

（対策）電子メール利用環境がなければ、本論点は削除する。


• （判断基準 2）電子メール発信の履歴取得の有無

（対策）電子メール発信の履歴取得を行っていれば、情報管理責任者への cc は不

要とする。


104


項番 70

主要論点（大）アクセス制御

主要論点（中）アクセス制御

主要論点（小）システム（データ・コンピュータも含め）アクセス制御


• （論点 1）アクセス権限の承認

（対策）情報及びそれを扱う情報システムに対する職員等のアクセス権限の設定

は、当該情報の主管部課の情報管理責任者が定める。

• （論点 2）アクセス権限の設定

（対策）システム管理者は、ソフトウェア上での職員等のアクセス権を設定する。

• （論点 3）使用制限

（対策）業務系の情報システムの運用においては、日時や端末等でアクセスを制

御する機能を用い、使用制限を行う。

• （論点 4）要塞化

（対策）サーバ等は要塞化する。



なし


• （判断基準 1）機能実装の可否

（対策）使用制限のための機能を実装できないならば、リスクを保有する。


• （判断基準 2）スキルを有する職員の有無

（対策）サーバ等を要塞化するスキルを有する職員がいない場合には、少なくと

も外部ネットワーク向けに公開するサーバ等は要塞化する。


105


項番 71



主要論点（小）ネットワークアクセス制御


• （論点 1）ルーティング設定

（対策）ネットワークの論理的なアクセス経路について、ネットワーク構成機器

の設定を適切に維持・管理する。

• （論点 2）ファイアウォール

（対策）外部ネットワークと庁内ネットワークとの間には、ファイアウォールを

設置する。

• （論点 3）接続点の数

（対策）庁内ネットワークと外部ネットワークとの接続点の数は、最小限にする。

• （論点 4）リモートアクセス

（対策）庁内ネットワークへの職員によるリモートアクセス用のポイントは限定

し、外部ネットワークから庁内ネットワークへアクセスするためのネッ

トワーク上での認証機構を設ける。

• （論点 5）リモート保守

（対策）サーバ等の保守においては、リモートアクセスによる保守を禁止する。



なし


• （判断基準 1）リモートアクセス環境の必要性の有無

（対策）リモートアクセス環境が不必要であれば、庁内ネットワークへのリモー

トアクセスを禁止する。


• （判断基準 2）オンサイト保守の可否

（対策）オンサイト保守が不可能であれば、情報資産を保護するための施策を講

じた上でリモート保守を許可する。


106


項番 72



主要論点（小）ユーザ認証


• （論点 1）認証機能の実装

（対策）全ての情報システムには、ユーザを認証する機能を設ける。

• （論点 2）認証の単位

（対策）認証機能は個人単位とする。

• （論点 3）認証機能における不正アクセス対策

（対策）認証処理において複数回の失敗に対しては、アクセス要求を拒否する機

能を設ける。なお、拒否後に再アクセスするための手続を定める。



なし


• （判断基準 1）個人単位認証の可否

（対策）職責単位での認証を行う情報システムがあれば、将来的に個人単位の認

証とするように計画的に見直す。


107


項番 73



主要論点（小）管理者認証


• （論点 1）管理者の認証

（対策）管理者権限でのログインは、ネットワーク経由で行ってはならない。


なし


項番 74


主要論点（中）権限の管理

主要論点（小）ユーザ管理


• （論点）ユーザ登録・抹消

（対策）ユーザ登録及び抹消等の手続を定めるとともに、ユーザ ID を新規発行

及び変更する場合にはユーザが本人に相違ないことを確認する。

• （論点）ユーザ登録状況の点検

（対策）人事異動の発令がある都度、ユーザ登録の状況を点検する。

• （論点）不正アクセスの防止

（対策）退職者のユーザ ID や、不審なユーザ ID 等を発見した場合、直ちに抹消

する。また、長期間使用のないユーザ ID や、部課を異動した職員のユ

ーザ ID 等を発見した場合、抹消の可否を調査する


なし


108


項番 75



主要論点（小）管理者権限


• （論点 1）管理者権限の登録・抹消

（対策）管理者権限を付与及び抹消する手続を定める。

• （論点 2）管理者の基準

（対策）管理者には、十分な技術力を有する者を指名する。

• （論点 3）管理者権限の不正使用の防止

（対策）管理者権限の抹消があった場合には、当該管理者権限へのアクセス用情

報を直ちに変更する。


なし


109


項番 76



主要論点（小）パスワード管理


• （論点 1）パスワードの定期的な変更

（対策）ユーザにパスワードの定期変更を強制的に行わせる機能を設ける。

• （論点 2）脆弱なパスワード使用の防止

（対策）ユーザが脆弱なパスワードを設定できない機能を設ける。

• （論点 3）パスワードの秘匿化

（対策）パスワードによりユーザ認証するシステムにおいては、暗号化等のパス

ワードを保護する機能を設ける。



なし


• （判断基準 1）実装の可否

（対策）ユーザが脆弱なパスワードを設定できない機能を実装できないならば、

パスワードの強度評価ツールを用いる。但し、情報セキュリティ担当官

の承認を必要とする。


110


項番 77

主要論点（大）コンピュータウイルス対策

主要論点（中）システム的整備



• （論点 1）コンピュータウイルス対策の担当者の配置

（対策）情報システム課に、ウイルス対策担当官を配置する。

• （論点 2）コンピュータ検査

（対策）コンピュータウイルス対策ソフトウェアを庁内の全てのコンピュータに

導入されるよう配布する。

• （論点 3）ネットワーク検査

（対策）外部ネットワークと常時接続している庁内ネットワークの接続点にゲー

トウェイ型のウイルス対策ソフトウェアを導入し、ウイルス検査を行う。

• （論点 4）意識啓発

（対策）コンピュータウイルスに関する情報を収集するとともに、職員等への注

意喚起に努める。



なし


• （判断基準 1）ウイルス対策ソフトウェアの一元購入の可否

（対策）情報システム課で庁内全てのコンピュータに導入するウイルス対策ソフ

トウェアを購入する予算がなければ、各部課でウイルス対策ソフトウェ

アを導入する。

• （判断基準 2）ウイルス対策ソフトウェア購入の予算

（対策）ウイルス対策ソフトウェアを庁内全てのコンピュータに導入するだけの

予算がなければ、ウイルス対策ソフトウェアが導入されていないコンピ

ュータの庁内ネットワークへの接続を禁止する。


• （判断基準 3）インターネット接続の有無

（対策）インターネット接続していなければ、ゲートウェイ型のウイルス対策ソ

フトウェアの導入は不要とする。

• （判断基準 4）ゲートウェイ型ウイルス対策ソフトウェア購入の予算

（対策）予算がなければ、将来的に導入することを検討する。


111


項番 78


主要論点（中）職員が守るべき規定



• （論点 1）ウイルス検査の実施

（対策）ウイルス検査を行う。また、外部記憶媒体及び電子メールの添付機能等

を使用してファイルを持出し及び持込む際にも、ウイルス検査を行う。

• （論点 2）ウイルス対策ソフトウェアのバージョン更新

（対策）ウイルス対策ソフトウェアのバージョンを常に最新の状態に保つ。

• （論点 3）コンピュータウイルス感染の防止

（対策）コンピュータウイルス感染を未然に防ぐため、下記を行う。

ü 出所不明なファイルを持込まない。

ü 電子メール等で送付元が不明なファイル等を受け取った場合には、

当該ファイルを開かない。

ü コンピュータウイルスに感染しない種類のファイルを使用するよう

努める。



• （判断基準 1）ウイルス対策ソフトウェアの整備状況

（対策）ウイルス対策ソフトウェアが全てのコンピュータに導入されていないな

らば、当該コンピュータからファイルを他へ移す場合には、ウイルス対

策ソフトウェアが導入されるコンピュータで事前にウイルス検査を行

う。


なし


112


項番 79


主要論点（中）ウイルス侵害時の措置



• （論点 1）コンピュータウイルス発見時の報告

（対策）ウイルス検査によりコンピュータウイルスを検知した場合には、ウイル

ス対策担当官に報告する。

• （論点 2）コンピュータウイルス感染からの修復

（対策）被害状況の把握、感染経路の特定、被害拡大の防止、修復措置等を行う。

• （論点 3）他組織への対応

（対策）感染経路が他の組織である場合、当該組織に対して注意勧告を行うこと

を検討する。

• （論点 4）対応の記録

（対策）コンピュータウイルスの検知及び対応に関する記録を取る。

• （論点 5）情報処理振興事業協会への届出

（対策）コンピュータウイルス感染の被害防止に資するため、コンピュータウイ

ルスの検知及び対応に関して必要な情報を、情報処理振興事業協会に届

け出る。


なし


113


項番 80

主要論点（大）セキュリティ情報の収集

主要論点（中）



• （論点 1）セキュリティ情報収集の担当者

（対策）情報システム課にセキュリティ情報（セキュリティホールに関する情報

等）の収集を行う担当者を配置する。

• （論点 2）セキュリティ情報の収集先

（対策）国内外のインシデントレスポンスチームや事業者から、セキュリティ情

報を収集する。

• （論点 3）セキュリティホール対応

（対策）システム管理者及びネットワーク管理者は、セキュリティホールに対し

て迅速な対応を行うとともに、情報システムを構成する個々のソフトウ

ェアのバージョン等を常に最新の状態に保つ。

• （論点 4）セキュリティホール対応の例外

（対策）セキュリティホールへの対応によって情報システムの稼働に不具合が生

じる恐れがある場合は、例外措置として対応をしないことができる。



• （判断基準 1）スキルを保有する職員の有無

（対策）一元的にセキュリティ情報を収集することのできるスキルを有する職員

がいなければ、システム管理者及びネットワーク管理者が個々にセキュ

リティ情報を収集する。


なし


• （判断基準 2）全ての情報システムへのセキュリティホール対応の可能性

（対策）全ての情報システムへセキュリティホール対応が可能なスキルを有する

システム管理者がいなければ、外部ネットワーク向けに公開される情報

システムを構成する個々のソフトウェアのバージョン等を最新の状態に

保つ。


114


項番 81

主要論点（大）システム開発、導入、保守等

主要論点（中）企画・設計



• （論点 1）事前調整

（対策）設計及び開発に先立ち、情報システム課との事前調整を必要とする。

• （論点 2）許可

（対策）情報システムの構築にあたっては、情報セキュリティ委員会の承認を必

要とする。

• （論点 3）セキュリティ要件定義の担当者

（対策）セキュリティ設計を担当する者を、システム機能設計を担当する者とは

別に置く。

• （論点 4）要件定義の実施

（対策）セキュリティ要件を明確にする。

• （論点 5）企画・設計内容の文書化

（対策）企画書及び設計書等はドキュメントとして残す。


＜論点 1、4、5 について＞

なし


• （判断基準 1）情報システム構築に係る手続の有無

（対策）既存に手続があるならば、当該承認手続においてセキュリティにも留意

する。


• （判断基準 2）スキルを有した職員の有無

（対策）セキュリティ機能を設計できるスキルを有した職員がいなければ、判断

基準 3 に応じて、育成するか、あるいは外部の専門家を活用する。

• （判断基準 3）外部専門家の活用に係る予算の有無

（対策）外部の専門家を活用する予算がなければ、セキュリティ機能を設計でき

るスキルを有した職員を育成する。


115


項番 82


主要論点（中）開発・導入



• （論点 1）開発環境

（対策）開発環境と本番環境は切り分ける。

• （論点 2）本番データの保護

（対策）システム開発又はテストにおいて使用する本番データは、厳重に保管・

管理し、使用後は直ちに復元不可能な措置を講じた上で廃棄処分する。

• （論点 3）開発委託

（対策）セキュリティ設計を担当する者は、セキュリティ要件を委託先事業者に

提示するとともに、ソースコードの提出を求める。

• （論点 4）製品調達

（対策）調達する製品は、以下の事項を満たすものとする。

ü 製品がセキュリティ要件を満たす機能を備えていること

ü 購入先又は開発元の事業者の連絡先が明らかなものであること

ü 製品に関する更新情報の提供が受けられること

• （論点 5）検証

（対策）本番環境へ移行する際は、セキュリティ上の検査項目に基き、不備・欠

陥等の問題がないか確認する。

• （論点 6）他システムとの連携

（対策）導入する情報システムが、既に稼働中の情報システムと連携する場合は、

不具合等が発生しないか十分に確認する。


＜論点 1～4、6 について＞

なし


• （判断基準 1）既存の検査項目の有無

（対策）セキュリティに関する検査項目が既存でなければ、下記項目について検

査する。

ü セキュリティ要件を満たしていること

ü 既知のセキュリティホールを解消していること

ü 開発環境用の設定等が残っていないこと


116


項番 83


主要論点（中）仕様書等の取扱い



• （論点 1）仕様書等の保管

（対策）システム設計及び開発等に係る仕様書等を、情報システム毎に整理する

とともに、厳重に保管管理する。

• （論点 2）内容の維持

（対策）仕様書等を常に最新の状態で管理する。


なし


項番 84


主要論点（中）保守



• （論点 1）保守の実施

（対策）情報システムの予防保守を定期的に行う。


なし


117


項番 85


主要論点（中）障害対応

主要論点（小）障害対策


• （論点 1）情報システムの多重化

（対策）情報システムは多重化する。

• （論点 2）遠隔地

（対策）遠隔地にバックアップシステムを構築する。

• （論点 3）障害の検知

（対策）障害発生を検知し、通報する機能を設ける。




（対策）全ての情報システムを多重化する予算がなければ、高い可用性の求めら

れる情報システムを多重化する。


• （判断基準 2）大規模災害発生時の可用性

（対策）大規模災害発生時においても稼働継続が求められる情報システムがあれ

ば、多重化する。

• （判断基準 3）多重化するための予算の有無

（対策）予算がなければ、情報のバックアップを遠隔地に保管する。

• （判断基準 4）外部記録媒体を遠隔地保管するための予算の有無

（対策）大規模災害発生時においても稼働継続が求められる情報システムがない

場合で、外部記録媒体を遠隔地保管するための予算があれば、遠隔地保

管し、予算がなければ、災害対策のリスクを保有する。


• （判断基準 5）障害発生時の連絡手段の有無

（対策）現状のおいて連絡手段がなければ、整備していく。


118


項番 86


主要論点（中）障害対応

主要論点（小）障害発生時の対応


• （論点 1）障害発生時の対応手順

（対策）障害発生時の対処手順を明確にする。

• （論点 2）障害対応の記録

（対策）障害の発生原因及び対処等の記録を取り、整理・保管する。

• （論点 3）障害の再発防止

（対策）障害発生の事後に、再発防止対策を検討・実施する。


なし


119


項番 87

主要論点（大）情報システムの監視

主要論点（中）監視



• （論点 1）侵入検知システム（IDS）の導入

（対策）外部ネットワークと常時接続している庁内ネットワークとの接続点に

は、侵入検知システムを導入し、不正アクセス行為等の監視を行う。




（対策）侵入検知システムを導入する予算がなければ、将来的に導入することを

検討する。


120


項番 88

主要論点（大）情報システムの監視

主要論点（中）履歴管理



• （論点 1）履歴情報（ログ）の取得

（対策）情報システムにはアクセス履歴及び動作履歴等を取得する機能を設け、

各種の履歴情報を記録する。

• （論点 2）履歴情報の保管

（対策）履歴情報を一定期間保存するとともに、改ざん及び漏洩等を防止する措

置を講ずる。

• （論点 3）履歴情報の分析

（対策）不正アクセス行為等の状況を確認するため、各種履歴情報を必要に応じ

て分析する。


なし


121


項番 89

主要論点（大）運用管理における留意点




• （論点 1）監視・閲覧する可能性の表明

（対策）下記の目的においてコンピュータ及びネットワーク上の情報を監視及び

閲覧することを明文化する。

ü 障害及び緊急事態発生時における作業を行うため

ü 監査作業を行うため

ü 情報資産の不正使用を監視及び調査するため

• （論点 2）監視・閲覧の承認

（対策）最高情報セキュリティ責任者の判断及び承認のもとに実施する。

• （論点 3）監視・閲覧作業の確認

（対策）住民情報等の不正使用を排除するため、情報セキュリティ担当官による

作業の立会う。

• （論点 4）閲覧ツールの管理

（対策）閲覧ツールの管理を厳重に行う。


なし


122


項番 90

主要論点（大）侵害時の対応

主要論点（中）緊急時対応計画の策定

主要論点（小）連絡体制


• （論点 1）情報集約担当官の配置

（対策）最高情報セキュリティ責任者は、情報システム課に情報集約担当官を配

置し、セキュリティの侵害の発生又はその可能性に係る情報の一元的な

収集及び把握の役割を担わせる。

• （論点 2）連絡経路

（対策）最高情報セキュリティ責任者及び情報集約担当官へ情報が集約される連

絡経路とする。

• （論点 3）連絡手段

（対策）最高情報セキュリティ責任者及び情報集約担当官への伝達が常時可能な

連絡手段を確保する。


なし


123


項番 91



主要論点（小）事案の調査


• （論点 1）事案に対する応急措置

（対策）管理者は、被害拡大を防止するための応急措置を自らの判断により迅速

に行う。

• （論点 2）事案の報告

（対策）管理者は、下記事項を把握可能な範囲で直ちに情報集約担当官に報告す

る。

ü 発生日時及び検知日時

ü 発見者

ü 侵害を受けた対象

ü 緊急事態の概要

ü 実施済みの応急措置

ü 被害の有無及び影響範囲

ü 発生原因

• （論点 3）事案の調査・把握

（対策）情報集約担当官は、事案に関係する職員等に連絡を取り、その詳細につ

いての調査・把握に努めるとともに、最高情報セキュリティ責任者に状

況を逐次報告する。


なし


124


項番 92



主要論点（小）事案への対処


• （論点 1）事案への対処

（対策）最高情報セキュリティ責任者は、随時対処及び復旧に必要な措置を情報

集約担当官に指示する。また、システム管理者等は、事案の状況に鑑み

緊急を要すると判断した場合には、庁内ネットワークと外部ネットワー

クとの切り離しや情報システムの停止を事後報告として実施することが

できる。


なし


125


項番 93



主要論点（小）外部組織への連絡


• （論点 1）外部組織への協力要請

（対策）情報集約担当官は、状況に応じて、委託先事業者や、関係省庁及び警察

等の公的機関に連絡し、緊急事態の対処への協力を要請する。

• （論点 2）報道機関への対応

（対策）情報集約担当官は、緊急事態の状況に応じて、広報課と協力の上で、最

高情報セキュリティ責任者の指示に基き、報道機関への対応を行う。

• （論点 3）住民への情報公開

（対策）情報集約担当官は、緊急事態の状況に応じて、その対処後に、広報課と

協力の上で、最高情報セキュリティ責任者の指示に基き、住民に対して

状況報告を公表する。



なし


• （判断基準 1）広報窓口の一本化の有無

（対策）広報窓口が一本化されていれば、報道機関及び住民への状況報告は、広

報課が行うものとする。


126


項番 94



主要論点（小）再発防止の措置


• （論点 1）調査・分析

（対策）緊急事態が発生した原因の究明を行う。

• （論点 2）再発の防止

（対策）再発防止策を検討する。また、再発防止策の実施は、最高情報セキュリ

ティ責任者の承認を必要とする。

• （論点 3）援助申請

（対策）場合によっては「不正アクセス行為の禁止等に関する法律」に基づき、

都道府県公安委員会に援助の申請を行う。



• （判断基準 1）情報システムに関するスキルを有した職員の有無

（対策）スキルを有した職員がいなければ、外部の専門家を活用し、緊急事態の

発生原因の究明を行う。


なし


127


項番 95


主要論点（中）緊急時対応計画の検証



• （論点 1）訓練の実施

（対策）セキュリティ事故を模擬し、緊急時対策訓練を行う。その際には、下記

事項等の緊急事態の状況を想定して行う。

ü 外部ネットワーク経由の不正アクセス行為

ü コンピュータウイルス被害

ü 大規模災害



• （判断基準 1）職員等の情報リテラシー度合

（対策）情報リテラシーが低ければ、「外部ネットワーク経由の不正アクセス行

為」ではなく、「不正アクセス行為」とする。


128


項番 96

主要論点（大）法令遵守




• （論点 1）法令の遵守

（対策）職員等は、下記の法令を遵守する。

ü 著作権法

ü 不正アクセス行為の禁止等に関する法律

ü 行政機関が保有する電子計算機処理に係る個人情報の保護に関する

法律

• （論点 2）内部規程の遵守

（対策）職員等は、自組織内の規程等を遵守する。



• （判断基準 1）所属団体

（対策）セキュリティポリシーKM システムを利用するユーザが、地方公共団体

職員であれば、遵守すべき法令として、「行政機関が保有する電子計算

機処理に係る個人情報の保護に関する法律」ではなく、個人情報保護に

関する条例を入力させ、それと置きかえる。なお、個人情報保護条例が

なければ、個人情報の保護についての留意事項をセキュリティポリシー

に盛り込むものとする。


なし


129


項番 97

主要論点（大）セキュリティ違反に対する対応

主要論点（中）罰則



• （論点 1）職員に対する罰則

（対策）中央省庁及び地方公共団体が保有する服務規程等に従い、違反時には懲

戒の対象とする。

• （論点 2）非常勤及び臨時職員等に対する罰則

（対策）中央省庁及び地方公共団体が保有する服務規程等に従い、違反時には懲

戒の対象とする。

• （論点 3）委託先事業者に対する罰則

（対策）委託契約に罰則規定を設けておき、違反時には当該契約の内容に基づき、

損害賠償請求等の措置をとる。


なし


項番 98


主要論点（中）注意勧告



• （論点 1）権限の無効化

（対策）職員等がセキュリティポリシーに違反した場合には、情報セキュリティ

担当官の判断において、適切な対応をとることができる権限を有する。


なし


130


項番 99


主要論点（中）免責事項



なし


なし

備考

本論点の主旨は、セキュリティポリシーに違反した者が、その旨を自ら申し出た場合

に、罰則の適用から免責されるというものである。しかしながら、免責事項をセキュ

リティポリシーに記載した場合には、抑止力としての罰則の効果が形骸化する恐れが

あり、セキュリティポリシーに盛り込むべきではない論点であると判断した。そのた

め、本論点は、電子政府向けセキュリティポリシー雛形から削除するものとした。


131

表 105: 主要論点1 0 0 についての論点分析結果

項番 100

主要論点（大）評価・見直し

主要論点（中）評価（監査・点検）



• （論点 1）監査担当者の指名

（対策）監査担当者は、最高情報セキュリティ責任者が指名する職員とする。

• （論点 2）監査担当者の条件

（対策）監査担当者は、独立性を保ち、情報システムの基本的知識及びセキュリ

ティに係る監査の知識並びに実務能力を有する者とする。

• （論点 3）監査担当者の責務

（対策）監査担当者は、監査者としての職務倫理・守秘義務を有する。

• （論点 4）監査担当者の権限

（対策）監査担当者には、監査の実施にあたり必要な権限を付与する。

• （論点 5）監査の対象

（対策）監査対象は、情報システム及び関連設備に係るセキュリティポリシーの

運用状況とする。また、委託先事業者においては、委託業務に係るセキ

ュリティの実施状況とする。

• （論点 6）被監査部門の義務

（対策）被監査部門は、監査担当者の協力要請に応じる責務を有する。

• （論点 7）計画の立案

（対策）監査担当者は、年度毎に監査計画を立案する。

• （論点 8）計画の内容

（対策）計画内容には、特定の部課又はテーマに限定することができるものとす

る。

• （論点 9）計画の許可

（対策）監査計画は、最高情報セキュリティ責任者の承認を必要とする。

• （論点 10）監査の実施基準

（対策）監査の実施基準は、セキュリティポリシー及び下記とする。

ü システム監査基準

ü 地方公共団体のためのコンピュータセキュリティ対策基準

ü その他（政省令や内部例規集等）

• （論点 11）監査の実施

（対策）監査計画に基き、セキュリティ監査を実施する。その方法は、ヒアリン

グ及びアンケート調査等により行う。


132

• （論点 12）報告

• （対策）監査終了後に、監査結果報告書を作成し、最高情報セキュリティ責任者

に報告し、承認を得る。

• （論点 13）改善

（対策）監査結果報告書に基き、被監査部門に改善勧告を行う。また、情報共有

必要性があれば、監査結果の一部を組織内において公開する。

• （論点 14）臨時監査

（対策）臨時監査は、最高情報セキュリティ責任者より特に指示を受けた場合に

行う。

• （論点 15）外部監査

（対策）外部の事業者による外部監査は、最高情報セキュリティ責任者の承認を

受けた場合に行う。

• （論点 16）監査結果報告書の保管

（対策）監査結果報告書を保管・保存する。

• （論点 17）監査の実施頻度

（対策）監査の実施頻度は、年 1 回とする。

• （論点 18）点検担当者

（対策）点検担当者は、各部課の情報セキュリティ担当官が指名した職員とする。

• （論点 19）計画の立案

（対策）年度毎に点検の実施計画を立案する。

• （論点 20）計画の許可

（対策）計画は、所属部課の情報セキュリティ担当官の承認を必要とする。

• （論点 21）点検の実施基準

（対策）点検の実施基準は、セキュリティポリシーの内容のうち、所属部課に関

連する事項とする。

• （論点 22）点検の実施

（対策）点検資料に基き、所属部課の職員等にアンケート等を用いた調査を行う。

また、情報システムの脆弱性についても点検する。

• （論点 23）報告

（対策）点検結果報告書を作成し、所属部課の情報セキュリティ担当官に報告す

る。

• （論点 24）改善

（対策）点検結果に基き、問題点に対する改善を行う。

• （論点 25）点検の実施頻度

（対策）点検の実施頻度は、年 1 回とする。



133


• （判断基準 1）内部監査を行えるスキルを有した職員の有無

（対策）スキルを有した職員がいなければ、独立性の確保、情報システムの基本

的知識の保持、セキュリティに係る監査の知識並びに実務能力の保持の

いずれか複数を満たす職員を監査担当者とする。


• （判断基準 2）監査対象の規模

（対策）庁内全ての部課を対象に毎年監査を実施できるならば、本論点は削除す

る。


• （判断基準 3）所属団体

（対策）セキュリティポリシーKM システムを利用するユーザが、中央省庁職員

であれば、監査の実施基準の一つとして、「行政情報システム安全対策

指針」を盛り込む。



（対策）外部監査を受ける予算がなければ、本論点は削除する。



（対策）監査を毎年実施する予算がなければ、本論点は削除する。


• （判断基準 6）脆弱性検査の手立ての有無

（対策）手立てがなければ、情報システムに対して、当該システムのセキュリテ

ィ要件が満たされているか確認することとする。


• （判断基準 7）職員の情報リテラシー度合

（対策）情報リテラシーが低ければ、点検の実施頻度を半年に 1 回とする。


134


項番 101

主要論点（大）セキュリティポリシー管理

主要論点（中）運用管理



• （論点 1）セキュリティポリシー文書の運用管理の担当

（対策）情報セキュリティ委員会の事務局である情報システム課が担う。

• （論点 2）担当の役割

（対策）セキュリティポリシー文書の保管・配布等の作業を行う。



• （判断基準 1）内部規程集の管理部課の有無

（対策）内部規程類を一元管理している部課が既存にあれば、当該部課をセキュ

リティポリシー文書の運用管理の担当とする。


なし


項番 102

主要論点（大）セキュリティポリシー管理

主要論点（中）変更管理



• （論点 1）セキュリティポリシーの評価

（対策）次の場合に、情報セキュリティ委員会が評価する。

ü 監査結果においてセキュリティポリシーの内容に指摘を受けた場合

ü 情報技術の進展等により情報システム環境が変化した場合

ü 関連する法令等の制定又は改廃があった場合

• （論点 2）セキュリティポリシーの改廃

（対策）セキュリティポリシーの改廃は、最高情報セキュリティ責任者の承認を

必要とする。


なし


135


項番 103

主要論点（大）例外管理




• （論点）セキュリティポリシーからの例外を認める場合の承認

（対策）情報セキュリティ委員会で審議した上で、最高情報セキュリティ責任者

の承認を必要とする。

• （論点）例外措置における罰則の免責

（対策）例外措置時には罰則規定から免責する。

• （論点）例外措置におけるリスクコントロール

（対策）例外措置時には事前にリスクに対する方針及び対策を明確にする。


なし


項番 104

主要論点（大）著作権への配慮

主要論点（中）情報



• （論点 1）著作物使用時の留意事項

（対策）職員等は、他人の著作物を使用する際の留意事項を遵守する責務を有す

る。

• （論点 2）引用のルール

（対策）職員等は、他人の著作物を引用する際のルールを遵守する責務を有する。

• （論点 3）著作権に関する相談

（対策）著作権などの知的財産権に関して判断に悩んだ場合、法務課に必ず問合

せるものとし、自らの独断で解決することを禁止する。


なし


136


項番 105

主要論点（大）著作権への配慮

主要論点（中）ソフトウェア



• （論点 1）著作権への配慮

（対策）市販のソフトウェアを導入する場合には、正規のライセンスを購入する

とともに、使用許諾条件に違反しない。


なし


137

4.2 論点体系化作業

　本作業では、4.1 で分析された論点について、実際のセキュリティ文書体系に相当する

グルーピングを行った。政府ポリシーガイドラインでは、対策基準は一つのまとまりとし

て構成される文書体系になっている。しかしながら、実際にセキュリティポリシーを運用

する場合には、次の理由から、一つのまとまりで捉えることは望ましくない。

• 全ての対策が、全ての対象者（管理者・利用者等）に該当するものではない。

• 全ての対策が日常的に参照されるものではない。

　そこで、対策基準の文書体系においては、セキュリティポリシーの運用段階を考えた場

合、対策基準の内容を、対象者毎、参照すべきタイミング、対策の内容等を考慮して、次

の 9 つの視点で整理することとした。

1 . 情報セキュリティ組織運営基準

セキュリティ対策を実行するための組織･体制と制度上の留意点をまとめる。全て

の対象者が対象となる。

2 . 電子化情報管理基準

情報の管理についてまとめる。全ての対象者が対象となる。

3 . 情報セキュリティに係る情報システム運用基準

情報システムの運用（定常作業）において、セキュリティ上の対策をまとめる。管

理者が対象となる。

4 . 情報セキュリティに係る情報システム開発基準

情報システムの運用（スポット的作業）において、セキュリティ上の対策をまとめ

る。管理者（設計・開発者）が対象となる。

5 . 物理的セキュリティ基準

建物・室、機器等に対する物理的セキュリティに関する対策をまとめる。管理者が

対象となる。

6 . 外部委託基準

外部事業者に委託する際の対策をまとめる。情報システムに関するあらゆる作業に

ついて共通に該当する文書となる。委託を行う職員が対象となる。

7 . 情報セキュリティ監査及び点検基準

セキュリティ対策の実施状況の監査・点検（スポット的作業）についてまとめる。

監査担当者が対象となる。（一部の対策については、全ての対象者も対象となる。）

8 . 情報セキュリティ緊急時対応基準


138

緊急時対応計画（スポット的作業）をまとめる。全ての対象者が対象となる。

9 . 情報セキュリティ倫理基準

セキュリティ上、全ての対象者が遵守しなければならない倫理規定をまとめる。

　上記の文書体系における各文書内容の内容、対象者、参照すべきタイミングの観点から、

4.1 で整理した詳細な論点毎について、9 文書のいずれに該当するかをグルーピングした。

その結果としての論点体系を下表に示す。なお、下表における番号 1～9 は、上記の 9 文

書の番号と対応し、対策基準の分冊との対応関係の欄に〇印が付されている箇所が、当該

論点が盛り込まれる分冊番号を示している。

表 111: セキュリティポリシー論点体系化表

主要論点対策基準の分冊との対応関係項番

（大）（中）（小）

詳細な論点

（略記） 1 2 3 4 5 6 7 8 9

設置〇

構成〇

機能〇

1 組織・体

制

情報セキュリティ委員

会の設置とその役割

庶務〇

配置〇2 最高情報セキュリティ

責任者の設置とその責

任と役割

責任〇

配置〇3 情報セキュリティ担当

官（管理職等）の役割・

責任

責任〇

配置〇4 情報管理責任者の役

割・責任責任〇

配置〇5 システム管理者の役

割・責任責任〇

配置〇6 ネットワーク管理者の

役割・責任責任〇

7 職員等の役割・責任責任〇

遵守義務〇

教育〇

8

役割・責

任

非常勤及び臨時職員の

雇用及び契約

資格〇

9 情報管理情報に対する管理責任

の所在

主管部課〇


139

機密性の原則〇

完全性の原則〇

10 分類

可用性の原則〇

11 分類表示分離の表示〇

12 アクセス権限権限設定〇

利用範囲〇

保管期限〇

13 作成

電子署名〇

保管場所〇

暗号化〇

バックアップ〇

保管場所の把

握

〇

14 保管（コン

ピュータ）

保管状況の点

検

〇

保管場所〇

可用性への配

慮

〇

ラベル表示〇

保管場所の把

握

〇

15 保管（媒体）

保管場所の点

検

〇

権限〇

改ざん防止〇

バージョン〇

16

情報管理

情報の管

理方法

利用

入出力〇

内部配布〇

暗号化〇

17 配布・持出

外部配布〇

管理責任〇

取扱〇

18 持込

制限〇

許可〇

バージョン〇

19 複製

取扱〇


140

許可〇20 消去（抹消）

記録〇

21 外部記録媒体の廃棄廃棄〇

22 建物の立地・構造・内

装等

建物〇

サーバ室〇

サーバ室の所

在表示

〇

23 システム室・執務室の

配置・構造・内装等

執務室〇

設置場所〇24 物理的対策

設置環境〇

25 電源保護電源〇

26

コンピュ

ータ（ホ

スト・サ

ーバ）空調空調〇

27 コンピュ

ータ（事

務パソコ

ン等）

物理的対策設置環境〇

28 什器等物理的対策設置環境〇

29 通信機器物理的対策設置環境〇

30 配線物理的対策敷設環境〇

31

設備の適

切な設置

庁舎外機

器

物理的対策全般〇

警備員〇

資格の確認〇

32 入退管理

外来者の識別〇

入退管理〇

履歴〇

33

人の出入

サーバ室

監視〇

点検〇

制限〇

34 搬入出物

記録〇

監視〇35

建物・室

への入退

出管理

作業の監視

立会い〇

計画立案〇36 教育・訓

練

教育・訓練

教育の実施〇


141

啓発活動〇

報告〇

37 事故・欠

陥に対す

る報告

事故・欠陥に対する報

告

報告〇

38 厳格なパスワード管理パスワード管

理

〇

39

パスワー

ド管理

その他の本人認証ツー

ルの取扱い（例えば、

ICカードなど）

資格識別カー

ド等の管理

〇

40 外部委託の

手続

審議・承認〇

41 選定条件選定条件〇

契約内容〇42 契約

誓約書〇

43

外部委託

における

選定及び

契約等

再委託の制

限

再委託〇

連絡〇44 体制

体制の把握〇

安全管理〇

報告〇

資格の付与〇

45 委託業務の

実施

情報資産の提

供

〇

組織内での監

督

〇

組織外での監

督

〇

46 点検・監督

報告〇

47

外部委託

外部委託

における

運用管理

違反時の措

置

違反時の措置〇


142

主管部課〇

サーバ等の管

理者

〇

管理者の数〇

端末の管理者〇

48 コンピュ

ータの管

理責任

管理責任

パーソナルコ

ンピュータの

管理者

〇

機器の把握〇

機器の識別〇

49 機器管理

点検〇

OS起動時〇

入出力装置〇

50 不正利用防

止

離席時〇

保守〇51 保守

情報保護〇

端末等の持出

の許可

〇

情報保護〇

記録〇

サーバ等の持

出の許可

〇

52 庁外への持

出し

記録〇

53

コンピュ

ータの管

理

廃棄等情報保護〇

54

コンピュ

ータ管理

周辺機器の管理管理〇

主管部課〇

管理者〇

55 ネットワ

ークの管

理責任

管理責任

管理者の数〇

論理的な把握〇

物理的な把握〇

設定情報保護〇

点検〇

56 構成管理


57 構成変更変更の手続〇

58

ネットワ

ーク（構

成機器を

含む）管

理ネットワ

ークの管

理

検査脆弱性の検査〇


143

主管部課〇

管理者〇

59 ソフトウェアの管理責

任

管理者の数〇


オペレーショ

ン管理

〇

60

システム

の運用管

理

システム運用管理（オ

ペレーション管理を含

む）

オペレーショ

ン手続

〇

61 審査・承認許可〇

ネットワーク

接続

〇62

外部ネッ

トワーク

との接続

不正アクセ

ス対策

スタンドアロ

ーンコンピュ

ータ接続

〇

結合の制限〇

許可〇

63

外部との

システム

結合

他組織とのデータ交換

を行う際の留意点

安全管理〇

公私混同の禁

止

〇

守秘義務〇

64 共通事項（一般則）

管理者への協

力

〇

65 情報取扱情報〇

66 コンピュータ使用コンピュータ〇

67 ソフトウェア使用ソフトウェア〇

68 ネットワーク使用ネットワーク〇

電子メール〇69

利用者に

対する情

報システ

ム使用の

規定

電子メール

メーリングリ

スト

〇

権限の承認〇

権限の設定〇

使用制限〇

70 システム（デ

ータ・コン

ピュータも

含め）アク

セス制御要塞化〇

71

アクセス

制御

アクセス

制御

ネットワー

クアクセス

制御

ルーティング

設定

〇


144

ファイアウォ

ール

〇

接続点の数〇

リモートアク

セス

〇

リモート保守〇

機能実装〇

認証単位〇

72 ユーザ認証

不正アクセス

対策

〇

73 管理者認証不正アクセス

対策

〇

登録・抹消〇

点検〇

74 ユーザ管理

防止〇

登録・抹消〇

管理者の基準〇

75 管理者権限

防止〇

変更〇

防止〇

76

権限の管

理

パスワード

管理

秘匿化〇

担当者〇

コンピュータ

検査

〇

ネットワーク

検査

〇

77 システム的整備

意識啓発〇

検査の実施〇

バージョン更

新

〇

78 職員が守るべき規定

防止〇

報告〇

修復〇

他組織への対

応

〇

79

コンピュ

ータウイ

ルス対策

ウイルス侵害時の措置

記録〇


145

届出〇

担当者〇

収集先〇

対応〇

80 セキュリティ情報の収集

例外〇

事前調整〇

許可〇

担当者〇

要件定義〇

81 企画・設計

文書化〇

開発環境〇

本番データ〇

開発委託〇

製品調達〇

検証〇

82 開発・導入

他システムと

の連携

〇

保管〇83 仕様書等の取扱い

維持〇

84 保守保守〇

多重化〇

遠隔地〇

85 障害対策

障害検知〇

対応手順〇

記録〇

86

システム

開発、導

入、保守

等

障害対応

障害発生時

の対応

再発防止〇

87 監視 IDS 〇

ログ取得〇

ログ保管〇

88

情報シス

テムの監

視履歴管理

分析〇

監視・閲覧〇

承認〇

作業確認〇

89 運用管理における留意事項

閲覧ツールの

管理

〇


146

情報集約担当

官

〇

連絡経路〇

90 連絡体制

連絡手段〇

応急措置〇

報告〇

91 事案の調査

調査・把握〇

92 事案への対

処

対処〇

協力要請〇

報道対応〇

93 外部組織へ

の連絡

情報公開〇

調査・分析〇

再発防止〇

94

緊急時対

応計画の

策定

再発防止の

措置

援助申請〇

95

侵害時の

対応

侵害時の

対応

緊急時対応計画の検証訓練の実施〇

法令遵守〇96 法令遵守

内規遵守〇

職員〇

非常勤〇

97 罰則

委託先〇

98

セキュリ

ティ違反

に対する

対応注意勧告権限の無効化〇

監査担当者の

指名

〇

監査担当者の

条件

〇

監査担当者の

責務

〇

監査担当者の

権限

〇

監査の対象〇

被監査部門の

義務

〇

計画の立案〇

計画の内容〇

100 評価・見

直し

評価（監査・点検）

計画の許可〇


147

監査の実施基

準

〇

監査の実施〇

報告〇

改善〇

臨時監査〇

外部監査〇

監査結果報告

書の保管

〇

監査の実施頻

度

〇

点検担当者〇

計画の立案〇

計画の許可〇

点検の実施基

準

〇

点検の実施〇

報告〇

改善〇

点検の実施頻

度

〇

担当〇101 運用管理

役割〇

評価〇102

セキュリ

ティポリ

シー管理変更管理

改廃〇

承認〇

免責〇

103 例外管理

対応〇

著作物使用〇

引用ルール〇

104 情報

相談〇

105

著作権へ

の配慮

ソフトウェア著作権への配

慮

〇


148

5 成文化作業

　本作業は、論点についての分析結果をもとに、電子政府向けセキュリティポリシー雛形

及び判断基準のもととなる論点の明文化を行う作業である。


• セキュリティポリシー雛形策定作業

• 論点集明文化作業

5.1 セキュリティポリシー雛形策定作業

　本作業では、論点分析結果に基づき、実際に活用可能な電子政府向けセキュリティポリ

シー雛形を文書として明文化する作業を行った。

5.1.1 電子政府向けセキュリティポリシー雛形

　調査作業及び分析作業の結果から、電子政府向けセキュリティポリシー雛形の文書体系

は以下の 10 文書に整理される。

• 情報セキュリティ基本方針（文書番号 1）

• 情報セキュリティ対策基準（以下の 9 文書）

ü 情報セキュリティ組織運営基準（文書番号 2）

ü 電子化情報管理基準（文書番号 3）

ü 情報セキュリティに係る情報システム運用基準（文書番号 4）

ü 情報セキュリティに係る情報システム開発基準（文書番号 5）

ü 物理的セキュリティ基準（文書番号 6）

ü 外部委託基準（文書番号 7）

ü 情報セキュリティ監査及び点検基準（文書番号 8）

ü 情報セキュリティ緊急時対応基準（文書番号 9）

ü 情報セキュリティ倫理基準（文書番号 10）

　明文化作業を実施するにあたり、各文書に盛り込まれる内容を検討した。

　まず、基本方針について検討する。調査作業により、基本方針には、目的、適用範囲、

定義を含めることを前提とした。目的及び適用範囲については、政府ポリシーガイドライ

ンに明確に記されているため、その内容を盛り込むこととし、その記載内容について判断

基準は存在しないものとした。また、定義については、対策基準の 9 文書を理解するた

めに必要と思われる用語を明文化作業時に抽出し、その意味について定義付けを行い、基


149

本方針に盛り込むこととした。さらに、政府ポリシーガイドラインでは求められていない

ものの、電子政府向けセキュリティポリシー雛形の文書体系が、セキュリティポリシーKM

システムを利用するユーザに容易に把握できるように、文書体系を明示することとした。

これらの作業方針に基づき、基本方針を明文化した。

　次に、対策基準の 9 文書についてである。対策基準については、論点分析結果及び論

点体系表に基づき、盛り込むべき内容が明確になる。その際に、各論点に存在する幾つか

の対策のうち、いずれを雛形の内容として盛り込むかを明確にする必要がある。本作業で

は、電子政府の情報セキュリティ基盤に資することを目的としているため、各論点に対し

てのあるべき姿として分析した対策を盛り込む方針とした。これらの作業方針に基づき、

対策基準を明文化した。

　以下に、本作業により策定した電子政府向けセキュリティポリシー雛形を示す。また、

電子政府向けセキュリティポリシー雛形の内容を理解する際に役立つように、雛形におい

て想定する運営体制の概要を下図に示す。

最高情報セキュリティ責任者

監査担当者

情報集約担当官

情報システム課

情報セキュリティ担当官

　　　情報管理責任者

　　　システム管理者

　　　ネットワーク管理者

　　　ウイルス対策担当官

　　　点検担当者

　　　職員等

×××課




　　　職員等

運営支援

×××課




　　　職員等

情報セキュリティ委員会

（最高情報セキュリティ責任者及び各部課の

情報セキュリティ担当官より構成される。）

図 2: 電子政府向けセキュリティポリシー雛形における運営体制の概要図


150

1 . 情報セキュリティ基本方針

（目的）

（１）情報資産を故意、過失、事故及び災害の脅威から保護し、電子政府の基盤と

して相応しい情報セキュリティの水準を総合的、体系的かつ継続的に確保す

ることを目的とする。

（定義）

（１）セキュリティポリシー（後述）において、次の各号に掲げる用語の定義は、

当該各号に定める通りとする。

1) 情報セキュリティ　情報資産の機密性、完全性及び可用性を維持すること

2) 情報資産　情報及び情報を管理する仕組み（情報システム並びにシステム

開発、運用及び保守のための資料等）

3) セキュリティポリシー　情報セキュリティ基本方針（後述）及び情報セキ

ュリティ対策基準（後述）からなる規定

4) 情報セキュリティ基本方針　情報セキュリティ対策に対する根本的な考え

方を表すもの

5) 情報セキュリティ対策基準　情報セキュリティ基本方針に定められた情報

セキュリティを確保するために遵守すべき行為及び判断等の基準を定めた

もの

6) 情報セキュリティ実施手順等　情報セキュリティ対策基準に定められた内

容を具体的に情報システム又は業務において、どのような手順に従って実

行していくのかを示すもの

7) 職員等　職員、非常勤及び臨時職員

8) コンピュータ　処理事務を自動的に行う電子的機器（ホスト、サーバ、端

末及びパーソナルコンピュータに区分される。）

9) ホスト　メーンフレーム系のコンピュータであって、端末及びパーソナル

コンピュータを除いたもの

10) サーバ　ネットワークで接続された情報システムにおいて、周辺装置(プ

リンタ等)、ファイルサーバ、グループウェア等の共用利用を主機能とし

たコンピュータ

11) 端末　ホストの制御下にある専用端末

12) パーソナルコンピュータ　小型のコンピュータ（端末を兼ねる場合があ

る）

13) サーバ等　ホスト及びサーバを総称したもの

14) 端末等　端末及びパーソナルコンピュータを総称したもの

15) 執務室　職員が業務を執行するための居室

16) サーバ室　サーバ等を設置した専用の室

17) 庁内ネットワーク　庁舎の建物間及び室内に敷設され、自組織が管理す


151

るネットワーク

18) 外部ネットワーク　庁内ネットワーク以外のネットワーク

19) 監査　情報システムを管理・利用している立場とは独立して客観的にセ

キュリティポリシーに基く情報セキュリティ対策の実施状況を評価し、問

題点を指摘し、改善勧告を行う活動

20) 点検　情報システムを管理・利用している立場の者が、自らの情報セキ

ュリティ対策の実施状況を点検する活動

（適用範囲）

（１）適用範囲は、次に掲げるものであって、自組織が管理するもの（事業者に委

託しているものを含む。）とする。

1) ハードウェア、ソフトウェア及び記録媒体等の情報システム等（システム

構成図等の文書を含む。）

2) 全ての情報のうち、情報システムに電磁的に記録される情報

（２）セキュリティポリシーの対象者は、前項に掲げる情報に接する全ての者（職

員、非常勤及び臨時職員、委託先事業者の従事者）とする。

（文書の体系）

（１）情報セキュリティ対策に係る文書体系は、次に掲げる文書から構成される。

1) 情報セキュリティ基本方針

2) 情報セキュリティ対策基準

3) 情報セキュリティ実施手順等

（２）情報セキュリティ対策基準は、次に掲げる文書に分類される。

1) 情報セキュリティ組織運営基準

2) 電子化情報管理基準

3) 情報セキュリティに係る情報システム運用基準

4) 情報セキュリティに係る情報システム開発基準

5) 物理的セキュリティ基準

6) 外部委託基準

7) 情報セキュリティ監査及び点検基準

8) 情報セキュリティ緊急時対応基準

9) 情報セキュリティ倫理基準

（３）情報セキュリティ実施手順等は、セキュリティポリシーに基き、部課毎に策

定しなければならない。


152

2 . 情報セキュリティ組織運営基準

第 1 章　目的

（目的）

（１）本基準は、セキュリティの維持・向上を図るため、情報セキュリティを推進

するための体制及び教育等に関し、必要な事項を定めるものとする。

第 2 章　組織・体制

（情報セキュリティ委員会）

（１）情報セキュリティ委員会を設置する。

（２）情報セキュリティ委員会の委員は、各部課の情報セキュリティ担当官（後述）

及び最高情報セキュリティ責任者（後述）とする。

（３）情報セキュリティ委員会の委員長は、最高情報セキュリティ責任者とする。

（４）情報セキュリティ委員会の会議は、最高情報セキュリティ責任者が召集す

る。

（５）情報セキュリティ委員会は、情報セキュリティ対策の継続的な維持及び向上

を図るため、次に掲げる機能を担う。

1) セキュリティポリシーの策定、評価及び見直し

2) 職員等への意識の啓発及び計画的な教育の支援及び推進

3) 情報システムの企画、開発及び導入又は委託に係る情報セキュリティ対策

の審議

4) セキュリティポリシーの運用状況の確認

5) 緊急事態における対処の支援及び推進

6) 他組織との情報セキュリティ対策に係る相互連携及び協力

7) その他、情報セキュリティ対策に必要な事項

（６）情報セキュリティ委員会の庶務は、情報システム課が処理を行う。

（最高情報セキュリティ責任者）

（１）最高情報セキュリティ責任者を置く。

（２）最高情報セキュリティ責任者は、官房長とする。

（３）最高情報セキュリティ責任者は、自組織内で取扱われる情報資産を保護する

ための統括責任を持つとともに、その責任を果たすための全ての権限を有す

る。

（情報セキュリティ担当官）

（１）最高情報セキュリティ責任者は、各部課に情報セキュリティ担当官を指名す

る。

（２）情報セキュリティ担当官は、自部課内で取扱われる情報資産を保護する責任

を持つとともに、その責任を果たすための権限を有する。

（３）情報セキュリティ担当官は、自部課内において、次に掲げる役割を担う。


153

1) 情報セキュリティ実施手順等の策定、評価及び見直し

2) 職員等への意識の啓発及び教育

3) 情報セキュリティ対策実施の指示

4) セキュリティポリシー及び情報セキュリティ実施手順等の運用状況の確認

5) 情報セキュリティに係る欠陥・事故等の報告の集約

6) 最高情報セキュリティ責任者への報告（緊急事態発生等）

7) その他、情報セキュリティ委員会での決定事項の実施に必要な事項

（情報の主管部課）

（１）情報を主管する部課は、当該情報を収集又は作成した部課とする。

（ソフトウェアの主管部課）

（１）ソフトウェアを主管する部課は、情報システム課とする。

（コンピュータの主管部課）

（１）コンピュータを主管する部課は、情報システム課とする。

（ネットワークの主管部課）

（１）ネットワークを主管する部課は、情報システム課とする。

（情報管理責任者）

（１）情報の主管部課には、情報管理責任者をおき、部課長がその任にあたる。

（２）情報管理責任者は、自部課内の情報に対する管理責任を有する。

（システム管理者）

（１）ソフトウェア及びコンピュータを主管する部課には、システム管理者を置

く。

（２）システム管理者は、主管部課の情報セキュリティ担当官が指名する職員とす

る。

（３）システム管理者は、情報システムの企画、開発、導入及び運用において要求

される情報セキュリティを維持及び管理するための責任と管理権限を有す

る。

（４）システム管理者は、自らに付与された管理権限を不当に利用してはならな

い。

（ネットワーク管理者）

（１）ネットワークの主管部課には、ネットワーク管理者を置く。

（２）ネットワーク管理者は、主管部課の情報セキュリティ担当官が指名する職員

とする。

（３）ネットワーク管理者は、ネットワークの企画、構築及び運用において要求さ

れるセキュリティを維持及び管理するための責任と管理権限を有する。

（４）ネットワーク管理者は、自らに付与された管理権限を不当に利用してはなら

ない。


154

（職員等）

（１）職員等は、情報セキュリティ担当官の指示の下に、セキュリティポリシーを

遵守する責務を有する。

第 3 章　非常勤及び臨時職員

（遵守の宣誓）

（１）非常勤及び臨時職員の雇用契約を管理する部課は、非常勤及び臨時職員に対

して、その雇用及び契約の際に、セキュリティポリシーを遵守する旨の宣誓

書に署名及び提出させる。

（教育）

（１）非常勤及び臨時職員を受け入れる部課は、非常勤及び臨時職員に対して、セ

キュリティポリシーのうち非常勤及び臨時職員が遵守しなければならない事

項について、教育を行う。

（資格の制限）

（１）非常勤及び臨時職員を受け入れる部課は、非常勤及び臨時職員が行う業務範

囲及び情報システムの使用資格を必要最小限とする。

第 4 章　教育・訓練

（計画の立案）

（１）情報セキュリティ委員会は、年度毎に情報セキュリティに関する教育及び訓

練の計画を立案し、最高情報セキュリティ責任者の承認を得る。

（教育の実施）

（１）情報セキュリティ委員会は、計画に基き、初任者研修及び昇任者研修等を活

用し、全ての職員等に対して情報セキュリティに関する教育を定期的かつ継

続的に実施する。

（２）教育内容には次に掲げる事項を盛り込む。

1) 情報セキュリティ対策の重要性

2) 職責毎に応じた役割、責任、判断基準

3) セキュリティポリシーに違反した場合の影響

（訓練の実施）

（１）情報セキュリティ委員会は、計画に基き、情報セキュリティ事故を模擬し、

緊急時対策訓練を行う。

（２）訓練は、次に掲げる事項等の緊急事態の状況を想定して行う。

1) 外部ネットワーク経由の不正アクセス行為

2) コンピュータウイルス被害

3) 大規模災害


155

（意識の啓発）

（１）情報セキュリティ委員会は、全ての職員等に対して、セキュリティポリシー

が常時閲覧可能な環境を整える。

（２）情報セキュリティ委員会は、収集したセキュリティに関する情報（組織外で

発生した情報セキュリティ事故等）を発信し、職員等の意識啓発に努める。

（報告）

（１）情報セキュリティ委員会は、教育・訓練の実施状況について、最高情報セキ

ュリティ責任者に報告する。

第 5 章　違反時の対応

（権限の無効化）

（１）職員等及び委託先事業者の従事者によるセキュリティポリシーに係る違反的

な行為があった場合、その所属部課の情報セキュリティ担当官は、当該要員

の情報資産の取扱に係る権限を、自己の判断で無効にすることができる。

（罰則）

（１）職員がセキュリティポリシーに違反した場合、事情を斟酌の上で、懲戒の対

象とする。

（２）非常勤及び臨時職員がセキュリティポリシーに違反した場合、前項に準じ

る。

（３）委託先事業者又はそれに属する従事者がセキュリティポリシーに違反した場

合、契約内容に基き、損害賠償等の措置を講ずる。

第 6 章　その他

（留意事項）

（１）セキュリティポリシーの運用において、次に掲げる事由により、コンピュー

タ及びネットワーク上の情報を監視及び閲覧することがある。

1) 障害及び緊急事態等の発生時に係る作業を行うため

2) 監査作業を行うため

3) 情報資産の不正使用を監視及び調査するため

（２）前項において、監視及び閲覧作業は、最高情報セキュリティ責任者の承認が

なければ実施してはならない。

（３）監視及び閲覧作業の実施において、その対象情報が住民の個人情報等の非公

開情報を含みうることが想定される場合、最高情報セキュリティ責任者は、

指名する情報セキュリティ担当官に当該作業を見届けさせなければならな

い。

（４）監視及び閲覧用のソフトウェア又は機器については、情報システム課の情報

セキュリティ担当官が指名した職員が厳重に管理する。


156

（セキュリティポリシーの主管部課）

（１）セキュリティポリシーの主管部課は、情報システム課とする。

（２）セキュリティポリシーの主管部課は、情報セキュリティ委員会の決定に基

き、セキュリティポリシーの保管・配布等に係る作業を行う。

（セキュリティポリシーの改廃等）

（１）情報セキュリティ委員会は、次に掲げる事由により、セキュリティポリシー

の評価を適宜行う。

1) 監査の結果においてセキュリティポリシーの内容に指摘を受けた場合

2) 情報技術の進展等により情報システム環境が変化した場合

3) 関連する法令等の制定又は改廃があった場合

4) その他、最高情報セキュリティ責任者が必要と認めた場合

（２）セキュリティポリシーの改廃については、情報セキュリティ委員会において

審議し、最高情報セキュリティ責任者の承認を必要とする。

（３）情報セキュリティ委員会は、セキュリティポリシーの改廃を行う場合、情報

システム課等に原案を作成させることができる。

（セキュリティポリシーの例外）

（１）セキュリティポリシーにやむなく違反することが予想される事項又はセキュ

リティポリシーに照らして判断できない事項の対処（以下「例外措置」とい

う）については、情報セキュリティ委員会で審議し、最高情報セキュリティ

責任者が承認する。

（２）前項により、セキュリティポリシーからの例外措置を行う場合には、罰則規

定の適用対象外とすることができる。

（３）セキュリティポリシーからの例外措置を行う場合には、当該措置を行うこと

により保有するリスクに対する方針及び対策を事前に明確にしなければなら

ない。


157

3 . 電子化情報管理基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持・向上を図るため、情報の管理に関し、

必要な事項を定めるものとする。

第 2 章　情報管理の原則

（機密性の原則）

（１）情報の機密性については、情報公開制度に鑑み、情報を非公開情報（公開を

予定されない情報）と公開情報（非公開情報以外の情報）に分類した上で、

次に掲げる通りとする。

1) 非公開情報　十分な配慮を必要とする。

2) 公開情報　非公開情報のほどの機密性は求められないものの、一定の配慮

を必要とする。

（完全性の原則）

（１）情報の完全性については、全ての情報に対して十分な配慮を必要とする。

（可用性の原則）

（１）情報の可用性については、全ての情報に対して十分な配慮を必要とする。

（分類の表示）

（１）全ての情報には、情報の機密性が判別つくように、その分類を識別できるよ

うにする。但し、セキュリティポリシー運用以前に作成した情報については、

都度対応しても差し支えない。

（アクセス権限）

（１）情報の機密性に応じて取扱権限（作成・保管・閲覧・更新・複製・配布・消

去）を明確にしたアクセスコントロール表を定め、それに準じたアクセス権

限の設定を行う。

（２）アクセスコントロール表の設定は、情報管理責任者の承認を受ける。

第 3 章　管理方法

（作成）

（１）情報の作成時に、利用範囲を明確化する。

（２）情報の作成時に、関係法令等に定められた保管期限を設定する。

（３）情報を作成した職員の電子署名を情報そのものに埋め込む。

（コンピュータへの保管）

（１）情報はアクセスコントロールが実現されるサーバ等に保管し、端末等に情報

を保管しない環境とする。

（２）情報は暗号化する。


158

（３）障害や緊急事態の発生に備えて、情報のバックアップを取得する。

（４）台帳記録等により、情報の保管場所を把握する。

（５）情報の保管状況の点検を行う。

（外部記録媒体への保管）

（１）外部記録媒体は施錠可能な場所（保管庫・引出等）に保管する。また、その

鍵は情報管理責任者または情報管理責任者が指名する職員が厳格に管理す

る。

（２）長期間保存する場合は、外部記録媒体を複数作成する。

（３）災害等に備えて、バックアップ用の外部記録媒体は遠隔地に保管する。

（４）外部記録媒体には、保存される情報の機密性が識別できるようにする。

（５）台帳記録等により、外部記録媒体の保管場所を把握する。

（６）外部記録媒体の保管状況の点検を行う。

（閲覧・更新）

（１）情報を閲覧又は更新する職員等に正当なアクセス権限があることを確認す

る。

（２）必要に応じて容易に改ざんできない措置（PDF 化等）を施す。

（３）情報のバージョン管理を行い、作成日時、更新日時及び更新者等を把握する。

（４）情報システムの入出力情報の妥当性を検証する。なお、入出力情報に係る帳

票や印刷物等についても、取扱い及び管理を厳重に行う。

（複製）

（１）情報の複製を行う場合は、情報管理責任者の許可を受ける。

（２）複製した情報は正副を明確にし、副の情報の作成責任者及び保管場所等を明

確にする。

（３）複製された情報についても、正の情報と同様の取扱い及び保管を行う。

（４）副の情報には、正の情報へのトレースができるように、バージョン管理を行

う。

（配布・持出）

（１）情報を自部課外に配布する場合には、配布先等を記録する。また、配布を受

けた部課は、厳重に管理する。

（２）ネットワーク上を流れる情報あるいは外部記録媒体等に保存して搬送中の情

報は、暗号化する。

（３）自組織外への情報の配布及び持出は禁止とする。但し、公開情報については、

所定の手続を経た上であれば、この限りではない。

（４）自組織外へ情報を職務上配布または持出す必要がある場合（出張、外部委託

作業等）は、情報管理責任者の承認を受ける。

（持込）

（１）自組織外より持込まれる情報については、持込日時及び責任者等を明確にす


159

る。

（２）持込まれた情報についても、機密性を確認し、その分類に応じた取扱い及び

保管を行う。

（３）業務上必要とされない情報の持込みは禁止とする。

（消去）

（１）情報を消去する際は、情報管理責任者の承認を受ける。

（２）情報を消去する際は、消去日時及び作業を行った職員等を明確にする。

（外部記録媒体の廃棄）

（１）外部記録媒体を廃棄する場合は、記憶領域を初期化し、可能であれば復元不

可能な措置を講ずる。


160

4 . 情報セキュリティに係る情報システム運用基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持・向上を図るため、情報システムの運用

に関し、必要な事項を定めるものとする。

第 2 章　コンピュータ管理

（管理責任）

（１）サーバ等を運用管理するシステム管理者を管理対象毎に明確にする。

（２）サーバ等を運用管理するシステム管理者は複数とし、正副を明確にする。

（３）端末の管理は、当該機器が設置されている部課の情報管理責任者が指名した

職員が行う。

（４）パーソナルコンピュータの管理は、当該機器を割当てられた職員等本人が厳

重に行う。

（機器管理）

（１）コンピュータの主管部課は、コンピュータの管理番号、管理者名及び設置場

所等を管理台帳により把握する。

（２）コンピュータの主管部課は、導入に先立ち、コンピュータに自組織の管理下

にあることを示す管理番号シール等を貼り付ける。

（３）管理台帳は、主管部課の情報セキュリティ担当官が指名した職員が管理す

る。

（４）コンピュータの主管部課は、管理台帳に基き、定期的に設置状況等を確認す

る。

（不正利用の防止）

（１）サーバ等には、起動（ログインを含む）時に本人認証を必須とするＯＳを導

入する。

（２）サーバ等の入出力装置を、運用上必要のない間は取り外して別に管理する。

（３）コンピュータから離席する際には、ログインしている情報システムを全てロ

グアウトする。

（保守）

（１）サーバ等には、保守契約を締結する。

（２）コンピュータを修理等の目的で事業者に出す場合には、保存される情報の機

密性を確保するための措置を講ずる。

（自組織外への持出し）

（１）職員等は、出張等の業務目的のため自組織外に端末等を持出す場合、事前に

所属部課の情報管理責任者に許可を受ける。

（２）職員等は、端末等を持出す際には、不必要な情報は保存しない。


161

（３）情報管理責任者は、端末等の持出しの申請を受けた場合、目的及び用途を確

認するの上で、その可否を決定する。

（４）情報管理責任者は、自組織外に端末が持出される場合、職員名、持出日時及

び返却日時等を記録する。

（５）サーバ等の自組織外への持出しは禁止する。但し、当該コンピュータの主管

部課の情報セキュリティ担当官に許可を受けた場合は、この限りではない。

（６）情報セキュリティ担当官は、保守等のため自組織外にサーバ等が持出される

場合、職員名、持出日時及び返却日時等を記録する。

（廃棄）

（１）コンピュータを廃棄する場合は、ハードディスクを初期化し、可能であれば

復元不可能な措置を講ずる。

（周辺機器の管理）

（１）周辺機器についても、コンピュータの管理に準じた管理を行う。

第 3 章　ネットワーク管理

（管理責任）

（１）庁内ネットワークの主管部課は、ネットワークの運用管理を行うネットワー

ク管理者を明確にする。

（２）庁内ネットワークを運用管理するネットワーク管理者は複数とし、正副を明

確にする。

（ネットワーク構成管理）

（１）ネットワーク管理者は、常に最新のネットワーク構成状況を把握する。

（２）ネットワーク管理者は、ネットワーク構成機器の設置場所及びネットワーク

配線の経路を記録する。

（３）ネットワーク管理者は、ネットワーク構成機器の設定情報を非権限者に改ざ

んされないようにアクセス制御による管理を行う。

（４）ネットワーク管理者は、ネットワーク構成状況、ネットワーク構成機器の設

置状況及び設定情報を定期的に確認する。

（５）ネットワーク管理者は、ネットワーク構成機器の設定情報のバックアップを

取得する。

（ネットワーク構成変更）

（１）ネットワーク管理者は、コンピュータのネットワーク接続に関する申請手続

を定める。

（２）ネットワークの構成変更は、ネットワーク管理者本人が行う。

（３）職員が個人的に所有するコンピュータを庁内ネットワークに接続することを

禁止する。リモートアクセスを行う場合であっても同様とする。

（脆弱性の検査）

（１）ネットワーク管理者は、擬似侵入攻撃による検査を定期的に実施し、問題点


162

等の認識及び改善を行う。

（２）ネットワーク管理者は、擬似侵入攻撃による検査を実施する場合、主管部課

の情報セキュリティ担当官の許可を受ける。

第 4 章　ソフトウェア管理

（管理責任）

（１）ソフトウェアの主管部課は、当該ソフトウェアの運用管理を行うシステム管

理者を明確にする。

（２）ソフトウェアを運用管理するシステム管理者は複数とし、正副を明確にす

る。

（ソフトウェアの運用管理）

（１）システム管理者は、ソフトウェアのバックアップを取得する。

（２）システム管理者は、ソフトウェア毎にオペレーション手順書を作成し、常備

する。

（３）システム管理者は、オペレーション手順書のバージョン管理を行う。

（４）ソフトウェア毎に、必要に応じてオペレーションの承認手続を定める。

（著作権への配慮）

（１）市販のソフトウェアを導入する際は、正規のライセンスを購入する。

（２）コンピュータへのソフトウェアの導入状況を、管理台帳等により把握する。

（３）取得しているライセンス数を超えて、市販のソフトウェアを導入してはなら

ない。

（４）市販または流通しているソフトウェアを使用する際には、使用許諾条件等の

予め定められた条件に違反してはならない。

第 5 章　外部とのシステム結合

（外部ネットワーク等との接続）

（１）庁内ネットワーク又は自組織管理下のコンピュータと外部ネットワーク又は

外部のコンピュータを新規に接続する場合及びその構成を変更する場合は、

情報セキュリティ委員会による審議、最高情報セキュリティ責任者の承認を

必要とする。

（２）庁内ネットワークと外部ネットワーク又は外部のコンピュータを接続する場

合は、少なくとも次に掲げる事項を行う。

1) 接続先団体等との責任分界点を明確にする。

2) 接続境界点にはファイアウォール機能を設ける。

3) 庁内ネットワークへアクセス可能な者もしくはコンピュータを限定する。

4) 提供するネットワーク系サービスは、必要最小限とする。

（３）庁内に設置されたスタンドアローンのコンピュータと外部ネットワーク又は


163

外部のコンピュータを接続する場合は、少なくとも次に掲げる事項を行う。

1) 外部ネットワークからの不正アクセス行為を防止する措置を講ずる。

2) 当該コンピュータ上に保存する情報は必要最小限とする。

3) 当該コンピュータを取扱うことのできる職員等を限定する。

（他組織とのデータ交換）

（１）業務系の情報システムと外部の情報システムとの結合は禁止とする。

（２）業務系以外の情報システムと外部の情報システムを結合する場合は、情報セ

キュリティ委員会による審議、最高情報セキュリティ責任者の承認を必要と

する。

（３）業務系以外の情報システムと外部の情報システムと結合する場合は、事前に

相手先とデータ交換の手順や情報の管理方法等について取り決める。

第 6 章　アクセス管理

（情報システムアクセス制御）

（１）情報及びそれを扱う情報システムに対する職員等のアクセス権限の設定は、

当該情報の主管部課の情報管理責任者が定める。

（２）システム管理者は、情報管理責任者の指示に従い、ソフトウェア上での職員

等のアクセス権を設定する。

（３）業務系の情報システムの運用においては、次に掲げる機能を用い、使用制限

を行うとともに、例外的な使用を行う場合の申請・承認の手続を定める。

1) 日時によるアクセス制御

2) 端末等によるアクセス制御

（４）サーバ等には、少なくとも次に掲げる事項を実施し、ネットワークを経由し

た不正アクセスに対する措置を講ずる。

1) 不要なソフトウェアを導入しない。

2) 安全性を損なうおそれのあるネットワーク系サービスの立上げは必要最小

限にする。

3) インシデントレスポンスチーム等が提供するチェックリストを活用する。

（ネットワークアクセス制御）

（１）ネットワーク管理者は、ネットワークの論理的なアクセス経路について、不

正アクセスを防止するために、ネットワーク構成機器の設定を適切に維持・

管理する。

（２）外部ネットワークと庁内ネットワークとの間には、ファイアウォールを設置

する。

（３）庁内ネットワークと外部ネットワークとの接続点の数は、最小限にする。

（４）庁内ネットワークへの職員によるリモートアクセス用のポイントは限定し、

外部ネットワークから庁内ネットワークへアクセスするためのネットワーク


164

上での認証機構を設ける。

（５）サーバ等の保守においては、リモートアクセスによる保守を禁止する。

（ユーザ認証）

（１）全ての情報システムには、ユーザを認証する機能を設ける。

（２）認証機能は個人単位とする。

（３）認証処理において複数回の失敗に対しては、アクセス要求を拒否する機能を

設ける。なお、拒否後に再アクセスするための手続を定める。

（管理者認証）

（１）管理者権限でのログインは、ネットワーク経由で行ってはならない。

（ユーザ管理）

（１）システム管理者及びネットワーク管理者は、ユーザ登録及び抹消等の手続を

定める。

（２）システム管理者及びネットワーク管理者は、ユーザ ID を新規発行及び変更

する場合に、ユーザが本人に相違ないことを確認する。

（３）システム管理者及びネットワーク管理者は、人事異動の発令がある都度、ユ

ーザ登録の状況を点検する。

（４）点検の結果、退職者のユーザ ID や、不審なユーザ ID 等を発見した場合、

直ちに抹消する。

（５）点検の結果、長期間使用のないユーザ ID や、部課を異動した職員のユーザ

ID 等を発見した場合、抹消の可否を調査する。

（管理者権限）

（１）ソフトウェア及びネットワークの主管部課の情報セキュリティ担当官は、管

理者権限を付与及び抹消する手続を定める。

（２）システム管理者及びネットワーク管理者は、十分な技術力を有するものとす

る。

（３）管理者権限の抹消があった場合には、当該管理者権限へのアクセス用情報を

直ちに変更し、システム管理者であった職員等がアクセスできないようにす

る。

（パスワード管理）

（１）システム機能により、ユーザにパスワードの定期変更を強制的に行わせる。

（２）システム機能として、ユーザが脆弱なパスワードを利用できないようにす

る。

（３）パスワードによりユーザ認証するシステムにおいては、暗号化等のパスワー

ドを保護する機能を設ける。


165

第 7 章　障害対応

（障害対策）

（１）障害及び災害対策として、情報システムは多重化する。

（２）情報システムを多重化する際には、遠隔地にそのバックアップシステムを構

築する。

（３）障害対策として、情報システムの予防保守を定期的に行う。

（４）情報システムには、障害発生を検知できる機能を設け、システム管理者及び

ネットワーク管理者は速やかに通報を受けることのできる手段を保持する。

（障害発生時の対応）

（１）システム管理者及びネットワーク管理者は、管理対象毎に障害発生時の対処

手順を明確にする。対処手順には、次に掲げる事項を含めるものとする。

1) 連絡手順

2) システム中断・停止時の代替手段

3) 復旧手段

（２）システム管理者及びネットワーク管理者は、障害発生時においては、その発

生原因及び対処等の記録を取り、整理・保管する。

（３）システム管理者及びネットワーク管理者は、障害発生の事後に、再発防止対

策を検討・実施する。

第 8 章　情報システムの監視

（情報システムの監視）

（１）外部ネットワークと常時接続している庁内ネットワークとの接続点には、侵

入検知システムを導入し、不正アクセス行為等の監視を行う。

（２）侵入検知システムにより不正アクセス行為が検知された場合、ネットワーク

管理者は速やかに通報を受けることのできる手段を保持する。

（履歴の取得・分析）

（１）情報システムにはアクセス履歴及び動作履歴等を取得する機能を設け、各種

の履歴情報を記録する。

（２）システム管理者及びネットワーク管理者は記録した履歴情報を一定期間保存

する。この時、履歴情報はシステム管理者及びネットワーク管理者以外の者

による改ざん及び漏洩等を防止する措置を講ずる。

（３）システム管理者及びネットワーク管理者は、不正アクセス行為等の状況を確

認するため、各種履歴情報を必要に応じて分析する。

第 9 章　コンピュータウイルス対策

（技術的対策の整備）

（１）情報システム課の情報セキュリティ担当官は、ウイルス対策担当官を指名す


166

る。

（２）ウイルス対策担当官は、コンピュータウイルス対策ソフトウェア（以下「ワ

クチン」という）を庁内の全てのコンピュータに導入されるよう配布する。

但し、ホストなど対応するワクチンがないコンピュータについては、この限

りではない。

（３）ウイルス対策担当官は、外部ネットワークと常時接続している庁内ネットワ

ークとの接続点にゲートウェイ型のワクチンを導入し、ウイルス検査を行

う。

（４）ウイルス対策担当官は、コンピュータウイルスに関する情報を収集するとと

もに、職員等への注意喚起に努める。

（職員等が実施すべき対策）

（１）職員等は、コンピュータウイルス感染を防止するため、ワクチンによるウイ

ルス検査を行う。このとき、外部記憶媒体及び電子メールの添付機能等を使

用してファイルを持出し及び持込む際にも、ウイルス検査を必ず行う。

（２）職員等は、ウイルス対策担当官の指示に従い、ワクチンのバージョンを常に

最新の状態に保つ。

（３）職員等は、出所不明なファイルを持込んではならない。また、電子メール等

で送付元が不明なファイル等を受け取った場合には、当該ファイルを開か

ず、ウイルス対策担当官に報告し、指示を仰ぐ。

（４）職員等は、コンピュータウイルスに感染しない種類のファイルを使用するよ

う努める。

（コンピュータウイルス検知時の対応）

（１）職員等は、ウイルス検査によりコンピュータウイルスを検知した場合には、

ウイルス対策担当官に報告し、指示を受ける。

（２）ウイルス対策担当官は、職員等と協力して、被害状況の把握、感染経路の特

定、被害拡大の防止、修復措置等を行う。このとき、被害状況が甚大である

と判断される場合には、別に定める「情報セキュリティ緊急時対応基準」に

則る。

（３）ウイルス対策担当官は、感染経路が他の組織である場合、当該組織に対して

注意勧告を行うことを検討する。

（４）ウイルス対策担当官は、コンピュータウイルスの検知及び対応に関する記録

を取る。

（５）ウイルス対策担当官は、コンピュータウイルス感染の被害防止に資するた

め、コンピュータウイルスの検知及び対応に関して必要な情報を、情報処理

振興事業協会に届け出る。


167

第 10 章　情報収集

（セキュリティ関連情報の収集）

（１）情報システム課に情報セキュリティに関する情報（セキュリティホールに関

する情報等）の収集を行う担当者を配置する。

（２）情報セキュリティに関する情報の収集を行う担当者は、国内外のインシデン

トレスポンスチームや事業者から、情報セキュリティに関する情報を収集す

る。

（セキュリティホールへの対応）

（１）情報セキュリティに関する情報の収集を行う担当者は、収集したセキュリテ

ィホールに関する情報をシステム管理者又はネットワーク管理者に通知す

る。

（２）システム管理者及びネットワーク管理者は、通知を受けたセキュリティホー

ルに対して迅速な対応を行うとともに、情報システムを構成する個々のソフ

トウェアのバージョン等を常に最新の状態に保つ。

（３）システム管理者及びネットワーク管理者は、セキュリティホールに対応した

結果を情報システム課に報告する。

（４）セキュリティホールへの対応によって情報システムの稼働に不具合が生じる

恐れがある場合は、「情報セキュリティ組織運営基準」に定める例外規定に

則りその対応をしないことができる。


168

5 . 情報セキュリティに係る情報システム開発基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持・向上を図るため、情報システムの企画、

設計、開発及び導入に関し、必要な事項を定めるものとする。

第 2 章　企画・設計

（企画の申請・承認）

（１）新規システムの開発又は既存システムの変更を企画する部課は、設計及び開

発に先立ち、情報システム課に申し出て事前調整を行う。

（２）情報システム課は、新規システム開発又は既存システム変更の実施の可否に

ついて、情報セキュリティ委員会に諮問し、承認を受ける。

（要件定義）

（１）システムの企画、設計、開発を行う場合、セキュリティ設計を担当する者を、

システム機能設計を担当する者とは別に置く。

（２）セキュリティ設計を担当する者は、セキュリティ要件を明確にする。

（設計）

（１）セキュリティ設計を担当する者は、企画書及び設計書等はドキュメントとし

て残す。

第 3 章　開発・導入

（開発環境）

（１）開発環境と本番環境は切り分ける。但し、開発作業による本番環境への影響

が少ない場合は、この限りではない。

（本番データの使用）

（１）システム開発又はテストにおいて本番データを使用する際は、事前に情報管

理責任者の承認を受ける。

（２）システム開発又はテストにおいて使用する本番データは、厳重に保管・管理

し、使用後は直ちに復元不可能な措置を講じた上で廃棄処分する。

（システム開発の委託）

（１）システム開発を外部事業者に委託する場合、セキュリティ設計を担当する者

は、セキュリティ要件を委託先事業者に提示する。

（２）委託先事業者に設計書及びソースコード等の提出を可能な限り義務付ける。

（製品の調達）

（１）調達する製品は、次に掲げる事項を満たすものとする。

1) 当該製品がセキュリティ要件を満たす機能を備えていること

2) 購入先又は開発元の事業者の連絡先が明らかなものであること


169

3) 当該製品に関する更新情報の提供が受けられること

（導入）

（１）システム開発の終了時又は外部委託先事業者からの情報システム受入時の情

報セキュリティ上の検査項目を明確にする。

（２）本番環境へ移行する際は、情報セキュリティ上の検査項目に基き、不備・欠

陥等の問題がないか確認する。

（３）導入する情報システムが、既に稼働中の情報システムと連携する場合は、不

具合等が発生しないか十分に確認する。

第 4 章　仕様書等の取扱い

（仕様書等の管理）

（１）システム管理者及びネットワーク管理者は、システム設計及び開発等に係る

仕様書等を、情報システム毎に整理するとともに、システム管理者以外が取

扱えないように厳重に保管・管理する。

（２）システム管理者及びネットワーク管理者は、情報システムの変更の都度にお

いて、仕様書等に反映させ、常に最新の状態で管理する。


170

6 . 物理的セキュリティ基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持・向上を図るため、情報資産の物理的な

保護に関し、必要な事項を定めるものとする。

第 2 章　建物・室の物理的対策

（建物の物理的対策）

（１）建物は、その立地環境及び建物構造や内装の状況に応じて、地震、火災、水

害、落雷等に備えた対策を講ずる。

（室の物理的対策）

（１）サーバ室には、その構造や内装の状況に応じて、火災及び水害等に備えた対

策を講ずる。

（２）第三者にサーバ室の所在が判るような表示をしない。

（３）執務室には、その構造や内装の状況に応じて、火災及び水害等に備えた対策

を必要に応じて講ずる。

第 3 章　情報資産の物理的対策

（サーバ等の物理的対策）

（１）サーバ等は、非権限者が容易に侵入できないように入退管理が行われている

サーバ室に全て設置する。

（２）サーバ等には、振動や漏水等による倒壊・故障等の被害を防止するための対

策を講ずる。

（３）サーバ等には、盗難等の被害を防止するための防犯対策を講ずる。

（電源保護対策）

（１）サーバ等には、停電時等においても稼働継続又は安全終了できるための予備

電源を確保する。

（空気調和対策）

（１）サーバ室には、適切な温湿度を維持できるように空気調和設備を設ける。

（端末等の物理的対策）

（１）端末等には、振動や漏水等による倒壊・故障等の被害を防止するための対策

を必要に応じて講ずる。

（２）端末等には、盗難等の被害を防止するための防犯対策を必要に応じて講ず

る。

（その他什器・備品の物理的対策）

（１）情報資産を格納する什器・備品等には、振動、火災又は漏水等による倒壊・

損傷等の被害を防止するための対策を必要に応じて講ずる。


171

（２）情報資産を格納する什器・備品等には、盗難等の被害を防止するための防犯

対策を必要に応じて講ずる。

（ネットワーク構成機器の物理的対策）

（１）ネットワーク構成機器は、施錠可能な収納棚に設置・管理する。但し、ハブ

等の末端のネットワーク構成機器については、この限りではない。

（２）ネットワーク構成機器を設置した収納棚の鍵は、ネットワーク管理者が保管

する。

（３）ネットワーク構成機器には、振動や漏水等による倒壊・故障等の被害を防止

するための対策を必要に応じて講ずる。

（ネットワーク配線の物理的対策）

（１）コンピュータへのネットワーク配線は近辺のネットワーク構成機器から引き

込み、それ以外のネットワーク配線は専用の配線管路に敷設する。

（２）ネットワーク配線は、火災や漏水等の被害を受けにくい場所に敷設するとと

もに、振動や漏水等による断線等の被害を防止するための対策を必要に応じ

て講ずる。

（３）ネットワークは、盗聴されにくい通信環境・設備とする。

（庁舎外機器の物理的対策）

（１）外部委託により庁舎外に機器を設置する場合は、委託先事業者に対して自組

織内での管理と同等の管理を実施させる。

第 4 章　入退管理

（入退者の管理）

（１）執務室フロアへの出入口に、警備員を配置する。

（２）執務室フロアへの入室者に対して、入室資格の確認を行う。

（３）執務室フロアへの外来者には、入室許可章を貸与し、職員等との区別が目視

できるようにする。

（４）サーバ室への入退管理は、認証手段に適した設備を設置して行う。

（５）サーバ室への入退履歴を記録する。

（６）サーバ室の出入口には監視カメラを設置し、入退状況を監視する。

（搬入出物の管理）

（１）執務室フロアの出入口において、警備員により持込・持出物品の点検を行う。

（２）サーバ室への搬入出物については、作業に必要なものに限定する。

（３）サーバ室への搬入出物については、システム管理者がその内容を確認すると

ともに、搬入出記録を取得する。

（作業の監視）

（１）サーバ室内に監視カメラを設置し、遠隔監視を行う。

（２）外来者がサーバ室内で作業を行う場合は、システム管理者またはシステム管


172

理者が指名する職員が立会い、作業を見届ける。


173

7 . 外部委託基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持を図るため、外部委託に関し、必要な事

項を定めるものとする。

第 2 章　外部委託

（外部委託の手続）

（１）外部委託を行おうとする場合は、事前に情報セキュリティ委員会に申し出を

行い、審議を受ける。

（２）最高情報セキュリティ責任者は、情報セキュリティ委員会での審議結果に基

き、その可否を決定、承認する。

（選定条件）

（１）外部委託を行おうとする場合、委託先事業者の選定基準は次に掲げる事項と

する。

1) プライバシーマーク取得済みもしくは同水準の個人情報保護を実施可能な

事業者とする。

2) 委託業務内容を実施可能な技術水準を保有する事業者とする。

3) 経営状況が安全である事業者とする。

4) 委託業務に伴う情報の管理が信用のおける事業者とする。

5) 情報セキュリティ及び個人情報保護に関する教育体制が整備されている事

業者とする。

6) システムインテグレータ認定を受けている事業者とする。

7) 特定システムオペレーション企業等認定を受けている事業者とする。

（外部委託契約）

（１）外部委託する場合には、委託契約書に少なくとも次に掲げる事項を明記す

る。

1) 守秘義務に関する事項

2) 情報セキュリティの遵守に関する事項

3) 情報セキュリティの運用状況の検査に応ずる義務に関する事項

4) 損害賠償責任に関する事項

5) 情報セキュリティ及び個人情報保護の意識の啓発及び教育に関する事項

6) 再委託の禁止又は制限に関する事項

（２）委託先事業者の事業責任者及び委託業務に従事する者全てに対して、守秘義

務及び情報セキュリティ遵守に関する同意書に署名させる。

（再委託の禁止）

（１）再委託を禁止する。


174

（体制）

（１）平常時の業務報告ばかりでなく、障害時や緊急時等に備え、委託先事業者と

の連絡体制を構築する。

（２）委託先事業者に、委託業務に係る体制（従事者名簿等）を提出させる。

（委託業務の実施）

（１）委託を実施する職員は、委託業務に係る情報セキュリティに関する要求事項

を委託先事業者に提示し、遵守させる。

（２）委託業務に関する作業報告を提出させる。

（３）情報セキュリティの実施状況を定期的に報告させる。

（４）委託先事業者を受入れる場合、派遣要員等に付与する権限は必要最小限とす

る。

（５）委託先事業者に開示又は提供する情報資産は必要最小限とし、事前に当該情

報資産の主管部課の情報セキュリティ担当官に許可を受ける。この時、開示

又は提供した情報資産、その日時、担当者名及び返却日時に関する記録を取

る。

（監督・検査）

（１）委託先事業者の情報セキュリティの実施状況を定期的に監督・検査する。

（２）庁舎外で委託業務に従事する場合には、必要に応じて、委託先事業者に管理

体制を構築させるとともに、監督させる。

（３）委託を実施している部課の情報セキュリティ担当官は、定期的に委託に係る

業務内容及び情報セキュリティの実施状況を情報セキュリティ委員会に報告

する。

（違反時の措置）

（１）委託先事業者に違反があった場合には、速やかに契約を解除し、提供した情

報資産を直ちに返還させる。また、必要に応じて損害賠償等の措置を講ずる。


175

8 . 情報セキュリティ監査及び点検基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持・向上を図るため、監査及び点検に関し、

必要な事項を定めるものとする。

第 2 章　監査

（監査担当者の指名）

（１）セキュリティポリシーの運用状況を監査する者（以下「監査担当者」という）

は、最高情報セキュリティ責任者が指名する職員とする。

（２）監査担当者は、次に掲げる条件を満たす職員とする。

1) 被監査部課と独立性を保つことのできる者

2) 情報システムの基本的知識を有する者

3) 情報セキュリティに係る監査の知識並びに実務能力を有する者

（監査担当者の職務倫理・守秘義務）

（１）監査担当者は、客観的な評価者としての立場を堅持しなければならない。

（２）監査担当者は、自己に対する倫理的要請を自覚するとともに、的確かつ誠実

な監査の実践を通じて内外の信頼に応えなければならない。

（３）監査担当者は、正当な理由なく職務上知り得た秘密を漏らし又は不当な目的

に利用してはならない。なお、監査担当者としての監査担当職務を離任後も

同様とする。

（監査担当者の責任・権限）

（１）監査担当者は、次に掲げる責任及び権限を有する。

1) 自らの判断に対する根拠を明確にする責任

2) 被監査部課に対して資料の提出を求めることのできる権限

3) 被監査部課へ改善勧告した事項について、その実施報告を求めることので

きる権限

（監査の対象）

（１）被監査部課は、情報システムの主管部課及び利用部課とする。

（２）監査対象は、情報システムの主管部課及び利用部課においては、情報システ

ム及び関連設備に係るセキュリティポリシーの運用状況とし、委託先事業者

においては、情報システムの委託業務に係る情報セキュリティの実施状況と

する。

（被監査部課の義務）

（１）被監査部課は、監査担当者の協力要請に応じる。

（２）被監査部課は、監査作業の妨害、虚偽の報告及び事実の隠蔽をしてはならな

い。


176


（１）監査担当者は、年度毎に情報セキュリティ監査の実施計画を立案する。

（２）計画内容には、特定の部課又はテーマに限定した監査を適宜実施するものと

することができる。

（３）実施計画は、最高情報セキュリティ責任者の承認を得る。

（監査の実施基準）

（１）情報セキュリティ監査は、セキュリティポリシーに準じた情報システムの運

用及び情報資産の取扱いが実施されていることを監査する。

（２）前項の他、次に掲げる基準等を参照することができる。

1) システム監査基準

2) 地方公共団体のためのコンピュータセキュリティ対策基準

3) その他（政省令や内部例規集等）

（監査の実施）

（１）監査担当者は、監査計画に基き、情報セキュリティ監査を実施する。

（２）監査実施にあたっては、監査項目及び監査方法を明確にした監査用書類を準

備する。

（３）監査実施は、被監査部門に立入り、職員等へのヒアリング及び資料調査等に

より行う。

（報告）

（１）監査担当者は、監査終了後に、監査結果報告書を作成する。

（２）監査結果報告書には、監査対象、監査内容、監査結果、指摘事項及び改善勧

告等を盛り込む。

（３）監査担当者は、監査結果報告書を最高情報セキュリティ責任者の承認を受け

る。

（４）監査担当者は、監査結果報告書を情報セキュリティ委員会に事後報告する。

（改善）

（１）監査担当者は、監査結果報告書に基き、被監査部門に改善勧告を行う。

（２）被監査部課は、監査担当者より指摘を受けた事項について可及的速やかに改

善する。

（３）監査担当者は、一定期間内に改善勧告について被監査部課の実施状況を確認

する。

（４）監査担当者は、情報共有により庁内全体の情報セキュリティ維持及び向上に

有効であると判断した場合、監査結果の一部を組織内において公開すること

ができる。

（臨時監査）

（１）監査担当者は、最高情報セキュリティ責任者より特に指示を受けた場合に、

臨時的に監査を行うことができる。


177

（外部監査）

（１）監査担当者は、自らが行う監査のほか、最高情報セキュリティ責任者の承認

を受けた場合に、外部の事業者による外部監査を実施することができる。

（監査結果報告書の保管）

（１）監査担当者は、監査結果報告書を保管・保存する。

（監査の実施頻度）

（１）監査の実施頻度は、年 1 回とする。

第 3 章　点検

（点検担当者）

（１）情報セキュリティ対策に関する点検は、情報資産を取扱う者が自ら行う。

（２）各部課の情報セキュリティ担当官は、点検を担当する者（以下「点検担当者」

という）を任命する。


（１）点検担当者は、年度毎に点検の実施計画を立案する。

（２）実施計画は、所属部課の情報セキュリティ担当官の承認を得る。

（点検の実施基準）

（１）点検担当者は、セキュリティポリシーの内容のうち、所属部課に関連する事

項に十分配慮し、点検用資料を作成する。

（点検の実施）

（１）点検担当者は、点検用資料の作成にあたり、情報システム課に協力を要請す

ることができる。

（２）点検担当者は、点検資料に基き、所属部課の職員等にアンケート等を用いた

調査を行う。

（３）点検対象に情報システムが含まれる場合には、前項のほか、当該システムの

脆弱性を検査する。

（報告）

（１）点検担当者は、点検終了後、点検結果報告書を作成し、所属部課の情報セキ

ュリティ担当官に報告する。

（２）情報セキュリティ担当官は、情報セキュリティ委員会に自部課の点検結果を

報告する。

（改善）

（１）情報セキュリティ担当官は、点検結果に基き、問題点を明確にし、それを改

善する。

（点検の実施頻度）

（１）点検の実施頻度は、年 1 回とする。


178

9 . 情報セキュリティ緊急時対応基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持を図るため、情報資産への不正アクセス、

情報漏洩及び大規模災害等の緊急事態発生時における対処に関し、必要な事

項を定めるものとする。

第 2 章　連絡体制

（情報集約担当官）

（１）最高情報セキュリティ責任者は、情報システム課に情報集約担当官を置く。

（２）情報集約担当官は、次に掲げる事項を行う。

1) 情報セキュリティの侵害の発生又はその可能性（以下「緊急事態」という）

に係る情報（以下「危機情報」という）の一元的な収集及び把握

2) 緊急事態発生時における内外の関係組織への連絡

（庁内の連絡経路）

（１）緊急事態を検知した職員等は、当該事案に係る各情報資産の管理者（情報管

理責任者、システム管理者又はネットワーク管理者）に、危機情報を報告す

る。

（２）職員等より連絡を受け又は自ら緊急事態を検知した各情報資産の管理者は、

所属部課の情報セキュリティ担当官に、危機情報を報告する。

（３）情報セキュリティ担当官は、情報集約担当官に危機情報を報告する。

（４）前 3 項に記す各連絡経路において、危機情報を報告する者は、報告を受ける

者に不在等の理由により連絡が取れない場合に限り、情報集約担当官に直接

報告することができる。

（５）情報集約担当官は、最高情報セキュリティ責任者に危機情報を報告する。但

し、情報集約担当官が、当該事案による被害が明らかに発生しないと確認又

は判断できる場合には、この限りではない。

（６）最高情報セキュリティ責任者は、大臣に危機情報を緊密に報告する。

（連絡手段の確保）

（１）最高情報セキュリティ責任者及び情報集約担当官への危機情報の伝達が常時

可能な連絡手段を確保する。

第 3 章　緊急事態への対処

（応急措置）

（１）情報資産の管理者は、被害拡大を防止するための応急措置を自らの判断によ

り迅速に行う。


179

（調査・把握）

（１）各情報資産の管理者は、次に掲げる事項を把握可能な範囲で直ちに報告す

る。

1) 発生日時及び検知日時

2) 発見者

3) 侵害を受けた対象

4) 緊急事態の概要

5) 実施済みの応急措置

6) 被害の有無及び影響範囲

7) 発生原因

（２）情報集約担当官は、報告内容に基き、当該事案に関係する情報資産を取扱う

職員等（以下「関係者」という）に連絡を取り、その詳細についての調査・

把握に努め、最高情報セキュリティ責任者に状況を逐次報告する。

（３）情報集約担当官は、関係者に指示し、緊急事態の調査・把握に必要な情報を

確保する。

（緊急事態への対処）

（１）最高情報セキュリティ責任者は、情報集約担当官の報告に基き、随時対処及

び復旧に必要な措置を情報集約担当官に指示する。

（２）緊急事態への対処として次に掲げる事項を行う場合は、最高情報セキュリテ

ィ責任者の承認を原則必要とする。但し、関係者は、当該事案の状況に鑑み

緊急を要すると判断した場合には、事後報告とすることができる。

1) 庁内ネットワークと外部ネットワークとの切り離し

2) 情報システムの停止

（３）情報集約担当官は、緊急事態による被害拡大の防止措置を講じた後に、関係

者に復旧作業を指示する。

（４）関係者は、対処及び復旧作業の記録を取り、作業終了後に情報集約担当官に

報告する。

（５）情報集約担当官は、最高情報セキュリティ責任者に、対処及び復旧作業の記

録について報告する。

（外部組織への連絡）

（１）情報集約担当官は、状況に応じて次に掲げる他の組織に連絡し、緊急事態の

対処への協力を要請する。

1) 委託先事業者（保守事業者も含む）

2) 関係省庁及び警察等の公的機関

（２）情報集約担当官は、緊急事態の状況に応じて、広報課と協力の上で、最高情

報セキュリティ責任者の指示に基き、報道機関への対応を行う。

（３）情報集約担当官は、緊急事態の状況に応じて、その対処後に、広報課と協力

の上で、最高情報セキュリティ責任者の指示に基き、住民に対して状況報告


180

を公表する。

第 4 章　再発防止の措置

（調査・分析）

（１）情報集約担当官は、復旧作業後に、関係者と協力し、緊急事態が発生した原

因の究明を行う。

（再発の防止）

（１）情報集約担当官は、関係者と協力し、再発防止策を検討する。

（２）情報集約担当官は、最高情報セキュリティ責任者の承認を受けた後、再発防

止策を実施する。

（３）情報集約担当官は、再発防止策について、他の情報システム等での実施状況

を確認させる。

（援助の申請）

（１）最高情報セキュリティ責任者は、再発防止措置を検討するため、都道府県公

安委員会に援助の申請を行うことができる。


181

1 0 . 情報セキュリティ倫理基準

第 1 章　目的

（目的）

（１）本基準は、情報セキュリティの維持を図るため、職員等が情報システムを取

扱う際に遵守すべき事項を定めるものとする。

第 2 章　行動指針

（公私混同の禁止）

（１）職員等は、情報資産を職務遂行以外の目的に使用してはならない。

（守秘義務）

（１）職員等は、職務上知り得た秘密を第三者に開示又は漏洩してはならない。そ

の職を退いた後も、また、同様とする。

（２）職員等は、情報システムの使用・運用等に関する情報を、第三者に開示又は

漏洩してはならない。

（管理者への協力）

（１）職員等は、システム管理者及びネットワーク管理者の指示に従い、情報シス

テムの運用に協力する。

（情報資産の適切な取扱い）

（１）職員等は、情報の取扱いについて細心の注意を払わなければならない

（２）職員等は、コンピュータを無断で増設又は改造してはならない。

（３）職員等は、自らが管理するパーソナルコンピュータに無断でソフトウェアを

導入してはならない。

（４）職員等は、不正アクセス又はそれに類する行為を行ってはならない。

（５）職員等は、自らが管理するコンピュータを盗難や不正使用等の被害から保護

しなければならない。

（パスワードの管理）

（１）職員等は、パスワード管理において、次に掲げる事項を遵守する。

1) 自身のパスワードを他人に使用させない。

2) 自身のパスワードを公にしない。

3) 他人のパスワードを使用しない。

4) パスワードには他人が推測困難なものを使用する。

5) システム管理者及びネットワーク管理者の指示に従い、パスワードを定期

的に変更する。但し、過去に使用したパスワードは再度使用しない。

6) パスワードの入力を省略できる機能を使用しない。

7) パスワード入力時には、第三者に覗き見られないように注意する。

8) 他人が入力しているパスワードを覗き見ない。

9) 人事異動又は退職等の何らかの理由により使用が不必要になった場合は、


182

直ちにシステム管理者及びネットワーク管理者に届け出る。

10) パスワードを失念した場合及び他人に知られた恐れのある場合は、直ち

にシステム管理者及びネットワーク管理者に届け出る。

（資格識別カード等の管理）

（１）職員等は、資格識別用カード等の使用において、次に掲げる事項を遵守する。

1) 他人に資格識別カード等を貸与しない。

2) 他人が保有する資格識別カード等を使用しない。

3) 資格識別カード等は都度、管理者より借受け、使用後は直ちに返却する。

4) 資格識別カード等を破壊しない。

5) 資格識別カード等を机上等に放置しない。

6) 資格識別カード等を紛失又は破損等した場合には、直ちに管理者に届け出

る。

（欠陥・事故の報告）

（１）職員等は、情報システム運営上の欠陥や事故、あるいはセキュリティポリシ

ーに対する違反行為等を発見した場合、直ちに所属部課の情報管理責任者に

報告する義務を負う。

（著作権への配慮）

（１）職員等は、他者の著作物を使用する場合において、著作権に十分に配慮する

とともに、次に掲げる事項を行ってはならない。

1) 他人が作成した画像データなどの著作物を、職員等が作成したかのように

使用する行為

2) 他人が作成したソフトウェアなどの著作物を、当該著作者の許諾なしに使

用、頒布したり、またはこれらに対し改ざん等を行う行為

3) 海賊版のソフトウェアなどの不法な流通を媒介する行為

4) 公開されているソフトウェア等を著作者が定めた条件に違反して使用する

行為

5) 著作権者、商標権者、意匠権者、その他の権利者の許諾なく、新聞、雑誌、

図書等の内容、図や写真などの画像データ、キャラクター、ロゴマーク、

トレードマーク等を使用・流通させる行為

6) 情報公開者の指定条件に背き、私的使用以外の使用をする行為

7) 著作権者等の許諾なく、表示、複製、転載、改変、貸与、販売、送信、出

版等を行う行為

8) 著作者名を変更して表示したり、著作者名を明示すべき時に表示しない行

為

9) 他人の電子メールの本文を、発信人に無断で掲示板に転載する行為

（２）職員等は、他者の著作物を引用する場合には、次に掲げる事項に留意しなけ

ればならない。


183

1) 引用は必要最小限に止めること

2) 引用は公正な慣行に合致するものであること

3) 報道、批判、研究その他の引用の目的上、正当な範囲内で行われるもので

あること

4) あくまで職員等が作成するものが主体であり、引用するものが従属物であ

ること

5) 合理的と認められる方法および程度（引用箇所毎に表示する）により、出

所および著作者名を明示すること

6) 引用部分が容易に判別できるように『』等で明示すること

（３）職員等は、著作権などの知的財産権に関して判断に悩んだ場合、法務課に必

ず問合せ、相談するものとし、自らの独断で解決してはならない。

（電子メールの適切な利用）

（１）職員等は、電子メールの利用において、次に掲げる事項を遵守する。

1) 自組織内外を問わず、情報を発信する際は、必ず情報管理責任者の承認を

得る。また、発信する際は、情報管理責任者に cc で送信する。

2) 職務上受信した電子メールを私的に所有するメールアドレスに転送しては

ならない。

3) 電子メールの自動転送を許可なく行ってはならない。

4) 情報の発信時には、送信相手が正規の送信相手か否かを必ず確認する。

5) 電子メールに添付するファイルは送信前に必ずウイルス検査を行う。

6) 返信の際、全文を引用するのではなく、必要な部分のみ引用する。

7) 電子メールの内容は簡潔にする。

8) 他人から受け取った電子メールの内容を第三者へ転送をする場合、プライ

バシーや著作権を尊重し、必要により相手に確認を得る。また、転送は必

要最小限に留める。

9) チェインメール（不幸・幸福の手紙の電子メール版）やジャンクメール（全

く意味のない電子メール）は転送してはならない。

10) 同報発信を乱用してはならない。また、不特定多数に無作為に送信して

はならない。

11) 容量の大きいファイルは添付してはならない。やむを得ない場合は、当

該ファイルを圧縮・分割した後に添付する。

12) 他人のプライバシーに関する内容を扱ってはならない。

13) 他人を誹謗･中傷・揶揄するような内容を扱ってはならない。

14) 公序良俗に反する内容を扱ってはならない。

15) 知らない者からの電子メールは、内容を鵜呑みにせず、破棄する。

16) 受信した電子メールのうち、不必要となったものは速やかに削除する。

（２）職員等は、メーリングリストの利用において、次に掲げる事項を遵守する。


184

1) 外部のメーリングリストに参加する場合には、所属部課の情報セキュリテ

ィ担当官の許可を受ける。

2) 外部のメーリングリスト上では、組織を代表しているかのように誤解され

る言動は行わない。

3) 自組織内でメーリングリストを立ち上げる際は、所属部課の情報セキュリ

ティ担当官の許可を受けた上で、情報システム課に相談する。

（法令等の遵守）

（１）職員等は、情報資産を取扱う場合において、次に掲げる法令を遵守する。

1) 著作権法

2) 不正アクセス行為の禁止等に関する法律

3) 行政機関が保有する電子計算機処理に係る個人情報の保護に関する法律

（２）職員等は、情報資産を取扱う場合において、自組織内の規程等を遵守する。


185

5.1.2 政府ポリシーガイドラインと雛形文書体系の対応関係

　5.1.1 で策定した電子政府向けセキュリティポリシー雛形と、政府ポリシーガイドライ

ンが示す下記項目との対応関係を表 112に示す。なお、表中の番号は、5.1.1 で示した電

子政府向けセキュリティポリシー雛形の番号に相当する。

表 112: 政府ポリシーガイドラインと雛形文書体系の対応関係表

雛形政府ポリシーガイドラインの項目

1 2 3 4 5 6 7 8 9 10

組織・体制〇

情報の管理責任〇情報の分

類と管理情報の分類と管理方法〇

物理的セキュリティ〇

役割・責任及び免責事項〇

教育・訓練〇

事故、欠陥に対する報告〇

パスワードの管理〇

人的セキ

ュリティ

非常勤及び臨時職員等の雇用及び契約〇

コンピュータ及びネットワークの管理〇〇〇

アクセス制御〇

システム開発、導入、保守等〇〇

コンピュータウイルス対策〇

技術的セ

キュリテ

ィ

セキュリティ情報の収集〇

情報システムの監視及びポリシーの遵

守状況の確認（運用管理）〇

運用管理における留意点〇

侵害時の対応策〇〇

外部委託による運用契約〇

法令遵守〇

情報セキュリティに関する違反に対す

る対応〇

運用

評価・見直し〇


186

5.2 論点集明文化作業

　本作業では、セキュリティポリシー策定の際に検討されるべき論点及びその判断につい

て、電子政府向けセキュリティポリシー雛形文書との対比が明確となるように、論点分析

結果に基づき、セキュリティポリシー策定論点集の明文化作業を行った。

　セキュリティポリシー策定論点集には、下記項目を含めるものとした。

• 論点（判断基準を考慮すべき項目）

• 判断（一つの論点に複数存在）

• 対策（判断結果に応じて導出される施策。判断毎に存在）

　また、電子政府向けセキュリティポリシー雛形及びセキュリティポリシー策定論点集そ

のものだけでも、活用できるように、セキュリティポリシー策定論点集には、各論点にお

いて想定される脅威を明示した。

　セキュリティポリシー策定論点集は、分析作業で整理した論点、判断基準、及び判断結

果としての対策の関係が明確になるように、If～then 形式で構造的に表記することとし

た。

　セキュリティポリシー策定論点集は、対策基準の 9 文書毎に対比可能なように整理、

作成した。基本方針については、判断基準がないため、セキュリティポリシー策定論点集

には含めないものとした。

　以下に本作業により策定したセキュリティポリシー策定論点集を示す。


187

1 . セキュリティポリシー策定論点集の見方について


189

2 . 情報セキュリティ組織運営基準に関する論点集


195

3 . 電子化情報管理基準に関する論点集


200

4 . 情報セキュリティに係る情報システム運用基準に関する論点集


212

5 . 情報セキュリティに係る情報システム開発基準に関する論点集


215

6 . 物理的セキュリティ基準に関する論点集


221

7 . 外部委託基準に関する論点集


226

8 . 情報セキュリティ監査及び点検基準に関する論点集


229

9 . 情報セキュリティ緊急時対応基準に関する論点集


231

1 0 . 情報セキュリティ倫理基準に関する論点集


234

6 まとめ

　本作業により、セキュリティポリシーKM システムにおいて用いられるセキュリティポ

リシー雛形及び知識ベースの素材となる、電子政府向けセキュリティポリシー雛形及びセ

キュリティポリシー策定論点集が策定された。これらの成果物は、電子政府として望まれ

るセキュリティのあるべき姿を想定し、策定したものである。セキュリティポリシーは、

組織としてのセキュリティ対策の目標となる一方で、実運用との乖離が甚だしい場合には

形骸化してしまう恐れもある。そのため、本報告書の成果物がセキュリティポリシーKM

システムに実装された後に、当該システムにより出力されるセキュリティポリシー文書の

妥当性を検証し、これを着実に運用していく体制も重要である。

Documents

セキュリティポリシー策定・運用支援 ナレッジ ... - IPAセキュリティポリシー雛形策定に関する調査報告書 2 2 作業概要 本作業は、具体的には以下の作業により構成される。•

セキュリティポリシー策定・運用支援ナレッジ ... - IPAセキュリティポリシー雛形策定に関する調査報告書 2 2 作業概要本作業は、具体的には以下の作業により構成される。•