○横須賀市情報セキュリティ規則
平成29年3月31日
規則第11号
横須賀市情報セキュリティ規則を次のように定める。
横須賀市情報セキュリティ規則
(目的)
第1条 この規則は、本市が保有する情報資産の機密性、完全性及び可用性を維持するため、本市が実施する情報セキュリティを維持するための対策(以下「情報セキュリティ対策」という。)について基本的な事項を定めることを目的とする。
(1) 実施機関 市長、上下水道事業管理者、教育委員会、選挙管理委員会、公平委員会、監査委員、農業委員会、固定資産評価審査委員会及び議会をいう。
(2) ネットワーク コンピュータ等を相互に接続するための通信網並びにこれを構成するハードウェア及びソフトウェアをいう。
(3) 情報システム コンピュータ、ネットワーク及び電磁的記録装置で構成され、情報処理を行う仕組みをいう。
(4) 情報資産 次に掲げるものをいう。
ア ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体
イ ネットワーク及び情報システムで取り扱う情報
ウ 情報システムの設計書、ネットワーク図等のシステム関連文書
(5) 情報セキュリティ 情報資産の機密性、完全性及び可用性を維持することをいう。
(6) 情報セキュリティポリシー この規則及び第18条第1項に規定する対策基準をいう。
(7) 機密性 情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
(8) 完全性 情報が破壊、改ざん又は消去されていない状態を確保することをいう。
(9) 可用性 情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
(令3規則12・一部改正)
(対象とする脅威)
第3条 情報資産に対する脅威として、次の各号に掲げる脅威を想定し、情報セキュリティを実施するための対策を行う。
(1) 不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃、部外者の侵入等の意図的な要因による情報資産の漏えい、破壊、改ざん、消去、重要情報の詐取、内部不正等
(2) 情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計及び開発の不備、プログラム上の欠陥、操作及び設定のミス、メンテナンス不備、内部監査機能及び外部監査機能の不備、外部委託管理の不備、機器故障等の非意図的要因による情報資産の漏えい、破壊、消去等
(3) 地震、落雷、火災等の災害によるサービス及び業務の停止等
(4) 大規模かつ広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等
(5) 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等
(適用範囲)
第4条 この規則は、実施機関及び実施機関が所管する情報資産に適用する。
(職員等の遵守義務)
第5条 職員及び会計年度任用職員(以下「職員等」という。)は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たっては情報セキュリティポリシー及び第18条第2項に規定する実施手順(以下単に「実施手順」という。)を遵守しなければならない。
(令2規則11・一部改正)
(最高情報セキュリティ責任者)
第6条 ネットワーク、情報システム及び情報セキュリティに関する総合的な調整及び管理を行うため、最高情報セキュリティ責任者(以下「CISO」という。)を置く。
2 CISOは、副市長事務分担規則(令和3年横須賀市規則第98号)の規定により経営企画部に属する事務の主たる担当となる副市長をもって充てる。
3 CISOは、本市の全ての情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。
(平30規則5・令2規則11・令3規則98・一部改正)
(統括情報セキュリティ責任者)
第7条 CISOを補佐するため、統括情報セキュリティ責任者を置く。
2 統括情報セキュリティ責任者は、経営企画部デジタル・ガバメント推進担当部長をもって充てる。
3 統括情報セキュリティ責任者は、本市の全ての情報資産の管理及び情報セキュリティ対策に関する統括的な権限及び責任を有する。
5 統括情報セキュリティ責任者は、本市の情報資産に対するセキュリティ侵害(第3条に掲げる脅威をいう。以下同じ。)が発生した場合又はセキュリティ侵害のおそれがある場合に、CISOの指示に従い、又はCISOが不在の場合には自らの判断に基づき、必要かつ十分な措置を実施する。
6 統括情報セキュリティ責任者は、本市の共通的な情報資産に関する実施手順の維持及び管理を行う。
8 統括情報セキュリティ責任者は、緊急時にはCISOに早急に報告を行うとともに、情報セキュリティの回復のための対策を講じなければならない。
(平30規則5・平31規則13・令2規則11・令5規則6・一部改正)
(情報セキュリティ責任者)
第8条 部局等の所管する情報資産の管理及び情報セキュリティの確保のため、情報セキュリティ責任者を置く。
2 情報セキュリティ責任者は、別表に掲げる職員をもって充てる。
3 情報セキュリティ責任者は、当該部局等の情報資産の管理及び情報セキュリティ対策に関する統括的な権限及び責任を有する。
4 情報セキュリティ責任者は、その所管する部局等のネットワークにおける開発、設定の変更、運用、見直し等を行う。
5 情報セキュリティ責任者は、その所管する部局等において所管している情報システムにおける開発、設定の変更、運用、見直し等を行う統括的な権限及び責任を有する。
6 情報セキュリティ責任者は、その所管する部局等において所管している情報システムについて、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約並びに職員等に対する教育、訓練、助言及び指示を行う。
(情報セキュリティ管理者)
第9条 各課等の所管する情報資産の管理及び情報セキュリティの確保のため、情報セキュリティ管理者を置く。
2 情報セキュリティ管理者は課長等をもって充てる。
3 情報セキュリティ管理者はその所管する課等の情報資産の管理及び情報セキュリティ対策に関する権限及び責任を有する。
4 情報セキュリティ管理者は、その所管する課等において、情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、速やかに情報セキュリティ責任者に報告しなければならない。また、必要に応じてCISO及び統括情報セキュリティ責任者に報告しなければならない。
(情報システム管理者)
第10条 各情報システムの管理のため、情報システム管理者を置く。
2 情報システム管理者は、各情報システムを所管する課長等をもって充てる。
3 情報システム管理者は、所管する情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。
4 情報システム管理者は、所管する情報システムにおける情報セキュリティに関する権限及び責任を有する。
5 情報システム管理者は、所管する情報システムに係る実施手順の作成、維持及び管理を行う。
(情報システム担当者)
第11条 情報システム管理者の指示等に従い、情報システムの開発、設定の変更、運用、更新等の作業を行う者を、情報システム担当者とする。
(情報セキュリティ委員会)
第12条 本市の情報セキュリティ対策を統一的に行うため、情報セキュリティ委員会を設置する。
2 情報セキュリティ委員会は、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を決定する。
3 情報セキュリティ委員会は次に掲げる者をもって組織する。
(1) CISO
(2) 統括情報セキュリティ責任者
(3) 情報セキュリティ責任者
(兼務の禁止)
第13条 第16条に規定する監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。
(CSIRTの整備)
第14条 CISOは、セキュリティ侵害に対処するための体制(以下「CSIRT」という。)を整備し、役割を明確化する。
2 CSIRTの体制及び役割については、別に定める。
(平31規則13・一部改正)
(1) 情報資産の分類と管理 本市の保有する情報資産を、その重要性及び事故等が起きた場合の影響範囲に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。
(2) 物理的セキュリティ サーバ等、情報システム室等、通信回線等及び職員等のパソコン等の管理について、物理的な対策を講じる。
(3) 人的セキュリティ 情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、十分な教育及び啓発を行う等の人的な対策を講じる。
(4) 技術的セキュリティ コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策を講じる。
(5) 運用 情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセキュリティの確保等、情報セキュリティポリシーの運用面の対策を講じるとともに、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正に対応するため、緊急時対応計画を策定する。
(平31規則13・一部改正)
(情報セキュリティ監査及び自己点検の実施)
第16条 情報セキュリティポリシーの遵守状況を検証するため、定期的又は必要に応じて情報セキュリティの監査及び自己点検を実施することとする。
(情報セキュリティポリシーの見直し)
第17条 前条の規定による情報セキュリティの監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直すものとする。
(対策基準及び実施手順の策定)
第18条 この規則で定めた対策等を実施するために、具体的な遵守事項及び判断基準等を定める対策基準を策定することとする。
2 対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた実施手順を策定することとする。
3 対策基準及び実施手順は、公にすることにより本市の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。
(その他の事項)
第19条 この規則に定めるもののほか、この規則に関し必要な事項は、別に定める。
附則
(施行期日)
1 この規則は、平成29年4月1日から施行する。
(関係規則の廃止)
2 情報マネジメント規則(平成14年横須賀市規則第67号)は、廃止する。
附則(平成30年3月30日規則第5号)抄
1 この規則は、平成30年4月1日から施行する。
附則(平成31年4月1日規則第13号)
この規則は、公布の日から施行する。
附則(令和2年4月1日規則第11号)
この規則は、公布の日から施行する。
附則(令和3年4月1日規則第12号)
この規則は、公布の日から施行する。
附則(令和3年7月27日規則第98号)抄
(施行期日)
1 この規則は、公布の日から施行する。
附則(令和3年7月30日規則第99号)
この規則は、令和3年8月1日から施行する。
附則(令和4年4月1日規則第5号)
この規則は、公布の日から施行する。
附則(令和5年3月31日規則第6号)抄
1 この規則は、令和5年4月1日から施行する。
別表(第8条第2項関係)
(令4規則5・全改)
行政組織条例(昭和44年横須賀市条例第24号)第1条第1項各号に掲げる部の部長及び担当部長 上下水道局事務分掌規程(昭和42年横須賀市水道企業管理規程第1号)第2条各号に掲げる部の部長 消防局長 議会局長 教育委員会事務局等事務分掌規則(平成10年横須賀市教育委員会規則第3号)第2条各号に掲げる部の部長 選挙管理委員会事務局長 監査委員事務局長 |