久喜市情報セキュリティポリシー情報セキュリティ基本方針１目的本基本方針は､市が所有する情報資産の機密性、完全性及び可用性を的確に維持するため、市が実施する情報セキュリティ対策について、基本的な事項を定めることを目的とする。２定義（１）ネットワークコンピュータ等を相互に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）をいう。（２）内部ネットワーク（ＬＡＮ）外部に接続をすることなく、市内部だけで利用しているネットワークをいう。（３）ＷＡＮ市内の各施設間を接続するネットワークで、外部への接続はされていない閉じたネットワークをいう。（４）情報システムコンピュータ、ネットワーク及び電磁的記録媒体で構成され､情報処理を行う仕組みをいう。（５）情報資産ネットワーク及び情報システムの開発と運用に係る全ての情報並びにネットワーク及び情報システムで取り扱う全ての情報をいう。なお、情報資産には、これらのシステムに関連する紙等に出力された情報も含む。（６）情報セキュリティ情報資産の機密性、完全性及び可用性を維持することをいう。（７）情報セキュリティポリシー本基本方針及び情報セキュリティ対策基準をいう。（８）機密性情報にアクセスすることを認められた者だけが､情報にアクセスできる状態を確保することをいう。（☆情報を守ること）（９）完全性情報が破壊､改ざん又は消去されていない状態を確保することをいう。（☆情報を守ること）（10）可用性情報にアクセスすることを認められた者が､必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。（☆情報を適切に利用できること）３情報セキュリティポリシーの位置付けと職員等の義務情報セキュリティポリシーは、市が所掌する情報資産に関する情報セキュリティ対策について、総合的、体系的かつ具体的に取りまとめたものであり、情報セキュリティ対策の頂点に位置するものである。したがって、情報資産に関する業務に携わる全ての職員等及び外部委託事業者は、情報セキュリティの重要性について、共通の認識を持つとともに業務の遂行にあたって、情報セキュリティポリシーを順守する義務を負うものである。４情報資産の分類保有する情報資産をその重要度に応じ「機密性」、「完全性」、「可用性」に分類するものとする。５情報資産への脅威情報セキュリティポリシーを策定するうえで、情報資産に対する脅威の発生度合や発生した場合の影響を考慮すると、特に認識すべき脅威は次のとおりである。（１）外部からの攻撃 ① 部外者の侵入による機器又は情報資産の破壊・盗難、故意の不正アクセス等 ② 部外者の不正操作による機器又は情報資産の破壊・盗難・改ざん・消去等 ③ コンピュータシステムに対する不正アクセス、ウイルス攻撃、サービス不能攻撃等（２）職員等又は外部委託事業者 ① 職員等又は外部委託事業者による機器又は情報資産の無断持出、誤操作、アクセスのための認証情報又はパスワードの不適切管理、故意の不正アクセス等 ② 不正行為による破壊・盗難・改ざん・消去等、搬送中の事故等による機器又は情報資産の盗難、規定外の端末接続によるデータ漏洩等 ③ 大規模・広範囲にわたる疫病による要因不足に伴うシステム運用の機能不全等（３）不慮の事故地震、落雷、火災等の災害並びに事故、故障等によるサービス及びネットワークの切断等にかかる業務の停止。（４）インフラの障害電力供給の途絶、通信の途絶等のインフラの障害からの波及等。６情報セキュリティ対策５で示した脅威から、情報資産を保護するためには、安全性と利便性のバランスをとることが必要であり、これらを踏まえて、次の情報セキュリティ対策を講ずる。（１）情報セキュリティ組織体制市の情報資産について、幹部（市長、副市長、教育長（校務部分を除く）及び部長級の職員）が、率先して情報セキュリティ対策を推進・管理するための組織体制を確立する。（２）情報資産の分類と管理市の所有する情報資産を機密性、完全性及び可用性に応じて分類し、当該部分に基づき情報セキュリティ対策を行う。（３）物理的セキュリティ対策サーバ等、情報システムを設置する管理区域、通信回線等及び職員等のコンピュータ等の管理について、物理的な対策を講ずる。（４）人的セキュリティ対策情報セキュリティに関し、職員等及び外部委託事業者が順守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講ずる。（５）技術的セキュリティ対策情報資産を外部からの不正なアクセス等から適切に保護するため、情報資産へのアクセス制御、ネットワーク管理等の技術的対策を講ずる。（６）運用におけるセキュリティ対策情報システムの監視、情報セキュリティポリシーの順守状況の確認、外部委託を行う際のセキュリティ確保等、情報セキュリティポリシーの運用面の対策を講ずる。また、緊急事態が発生した際に迅速な対応を可能とするための危機管理対策を講ずる。７情報セキュリティ監査及び自己点検の実施情報セキュリティポリシーの順守状況を検証するため、定期的又は必要に応じて、情報セキュリティ監査及び自己点検を実施する。８情報セキュリティポリシーの見直し情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には､情報セキュリティポリシーの見直しを実施する。９情報セキュリティ対策基準の策定市の様々な情報資産について、６の情報セキュリティ対策を講ずるにあたっては、順守すべき行為及び判断等の基準を統一的なレベルで定める必要がある。そのため、情報セキュリティ対策を行う上で必要となる、基本的な要件を明記した情報セキュリティ対策基準を策定する。１０情報セキュリティ実施手順の策定情報セキュリティ対策基準に基づき情報セキュリティ対策を実施するために、個々のシステムの具体的な手順を定めた情報セキュリティ実施手順を策定する。なお、情報セキュリティ実施手順は、各情報資産に関するシステム運用・保守に関する実施手順をまとめたもので、公にすることにより市の行政運営に重大な支障を及ぼす恐れのあることから非公開とする。