村山市情報セキュリティポリシーについて

本市が取り扱う情報資産には、住民の個人情報をはじめとする行政運営上重要な情報が多数含まれています。これらの情報資産を人的脅威や災害、事故等様々な脅威から防御することは、市民の財産、プライバシー等を守るためにも、また、継続的かつ安全・安定的な行政サービスの実施を確保することにも必要不可欠です。
村山市ではこのような状況を踏まえ、所掌する情報資産に関する情報セキュリティ対策について、総合的かつ体系的に取りまとめた村山市情報セキュリティポリシーを策定しています。
本市の情報資産を取り扱う全てのものが情報セキュリティの重要性を認識し、村山市情報セキュリティポリシーを遵守します。

※情報セキュリティ対策基準は公開しておりません。

本市が取り扱う情報資産には、住民の個人情報をはじめとする行政運営上重要な情報が多数含まれている。これらの情報資産を人的脅威や災害、事故等様々な脅威から防御することは、市民の財産、プライバシー等を守るためにも、また、継続的かつ安全・安定的な行政サービスの実施を確保することにも必要不可欠である。
本基本方針は、本市が保有する情報資産の機密性、完全性及び可用性を維持するため、本市が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。

この基本方針において、使用する用語の意義は、個人情報保護法（平成15年法律第57号）及び村山市情報公開条例（昭和58年条例第15号）で使用する用語の例によるほか、次の各号に定めるところによる。

（1）ネットワーク
コンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をいう。
（2）情報システム
コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
（3）情報資産
情報システムで取扱う情報で、開発及び運用に係るものを含むすべての情報をいう。
（4）情報セキュリティ
情報資産の機密性、完全性及び可用性を維持することをいう。
（5）情報セキュリティポリシー
本基本方針及び情報セキュリティ対策基準をいう。
（6）機密性
情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
（7）完全性
情報が破壊、改ざん又は消去されていない状態を確保することをいう。
（8）可用性
情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。

情報セキュリティポリシーは、本市が保有する情報資産に関する情報セキュリティ対策について総合的かつ体系的に取りまとめた情報セキュリティ対策の基本となるものであり、情報セキュリティ基本方針及び情報セキュリティ対策基準から構成される。
情報セキュリティ対策基準は、情報セキュリティ基本方針に基づき、情報セキュリティ対策等を実施するために最低限必要な水準として、本市の情報資産を扱う職員、非常勤職員及び会計年度任用職員（以下「職員等」という。）が遵守すべき事項及び判断基準をまとめたものである。

情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。
（1）人による脅威（意図的要因）
不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、機器の盗難、重要情報の詐取、内部不正等
（2）人による脅威（非意図的要因）
情報資産の無断持ち出し等の管理不備、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等
（3）災害による脅威
地震、落雷、火災等の災害によるサービス及び業務の停止、情報資産の消失等
（4）必要資源の不足
災害の影響又はその他の原因による電力供給の途絶、通信の途絶、水道供給の途絶、交通機能の麻痺や大規模・広範囲にわたる疾病の蔓延による要員不足に伴うサービスや業務の停止、システム運用の機能不全等

（1）対象範囲
本基本方針が適用される行政機関は、市長部局、行政委員会、議会事務局、消防本部及び地方公営企業とする。
（2）情報資産の範囲
本基本方針が対象とする情報資産は、次のとおりとする。
　・ネットワーク及び情報システム並びにこれらに関する設備、電磁的記録媒体
　・ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む）
　・情報システムの仕様書及びネットワーク図等のシステム関連文書

職員等は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守しなければならない。

上記4の脅威から情報資産を保護するために、以下の情報セキュリティ対策を講じるものとする。
（1）組織体制
本市の情報資産について、情報セキュリティ対策を推進する全庁的な組織体制を確立する。
（2）情報資産の分類と管理
本市の所有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。
（3）物理的セキュリティ
サーバ、情報システム室、通信回線及び職員等の端末等の管理について、物理的な対策を講じる。
（4）人的セキュリティ
情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。
（5）技術的セキュリティ
コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。
（6）運用
情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正に対応するため、緊急時対応計画を策定する。
（7）業務委託と外部サービス（クラウドサービス）の利用
業務委託を行う場合には、委託事業者を選定し、情報セキュリティ要件を明記した契約を締結し、委託事業者において必要なセキュリティ対策が確保されていることを確認し、必要に応じて契約に基づき措置を講じる。
外部サービス（クラウドサービス）を利用する場合には、利用にかかる規定を整備し対策を講じる。
ソーシャルメディアサービスを利用する場合には、ソーシャルメディアサービスの運用手順を定め、ソーシャルメディアサービスで発信できる情報を規定し、利用するソーシャルメディアサービスごとの責任者を定める。

情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。

情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要となった場合には、保有する情報及び利用する情報システムに係る脅威の発生の可能性及び発生時の損失等を必要に応じて分析し、リスクを検討したうえで、情報セキュリティポリシーを見直す。

上記7、8及び9に規定する対策等を実施するために、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を策定する。

情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定するものとする。
なお、情報セキュリティ実施手順は、公にすることにより本市の行政運営に重大な支障を及ぼす恐れがあることから非公開とする。

初版　平成22年7月14日
改定　平成30年11月1日
改定　令和2年11月1日
改定　令和4年11月1日
改定　令和7年4月1日