○茨城西南地方広域市町村圏事務組合電子計算組織の管理運営に関する規則
令和7年1月30日
規則第2号
(目的)
第1条 この規則は、個人情報の保護に関する法律(平成15年法律第57号)、茨城西南地方広域市町村圏事務組合個人情報保護条例(令和5年3月29日条例第4号)、茨城西南地方広域市町村圏事務組合個人情報保護条例施行規則(平成29年11月1日規則第3号)に定めるもののほか、茨城西南地方広域市町村圏事務組合(以下「事務組合」という。)における電子計算組織、データ及びネットワーク(以下「情報システム」という。)の適正な管理運営、情報資産の保護並びに情報セキュリティの保全と円滑化を図ることを目的とする。
(1) 電子計算組織 電子計算機及びその周辺機器を使用し、与えられた処理手順に従い、事務を自動的に処理する電子的機器の組織をいう。
(2) データ 電子計算組織で取り扱う情報(電子計算組織に係る入出力帳票及び電磁的記録媒体に記録された情報を含む。)をいう。
(3) ネットワーク 電子計算組織を相互に接続するための通信網及びその構成機器(ハードウェア及びソフトウェアをいう。)をいう。
(4) 情報システム 電子計算組織、ネットワーク及び電磁的記録媒体で構成されたもので、情報処理を行う仕組みをいう。
(5) 情報資産 次に掲げるものをいう。
ア ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体
イ ネットワーク及び情報システムで取り扱う情報
ウ 情報システムの設計書、ネットワーク図等のシステム関連文書
(6) 情報セキュリティ 情報資産の機密を保持し、並びに完全性及び可用性を維持し、並びに情報資産を定められた範囲で利用可能な状態に維持することをいう。
(7) 情報セキュリティポリシー 情報セキュリティ対策を実施するに当たっての遵守すべき事項及び判断等の統一的な基準である、情報セキュリティ基本方針及び情報セキュリティ対策基準(以下「対策基準」という。)をいう。
(適用範囲)
第3条 この規則は、事務組合が保有する情報システム及び情報資産の全てに適用する。
(職員の遵守義務)
第4条 職員は、情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たっては、情報セキュリティポリシー及び個人情報の保護に関する法律その他の関連する法令等を遵守し、情報資産を適切に管理しなければならない。
(管理体制)
第5条 管理者は、情報システムの適正な管理運営、情報資産の保護及び情報セキュリティ対策(以下「情報システムの管理運営等」という。)のため、全庁的な管理体制を整備するとともに、次に掲げる管理責任者を置く。
(1) 情報資産及び情報セキュリティに関する総合的な調整及び管理を行うとともに、情報セキュリティインシデントに対処するための体制の整備、情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する、最高情報セキュリティ責任者(CISO)を置き、事務局長をもって充てる。
(2) 情報システムの管理運営等を統括的に指揮監督するため、統括情報セキュリティ責任者を置き、消防救助課長をもってこれに充てる。
(3) 統括情報セキュリティ責任者の職務を補佐するとともに、情報システムの管理運営等を統括的に管理するため、統括情報システム管理者を置き、消防本部次長及びICT担当者をもってこれに充てる。
(4) 各部局等における情報システムの管理運営等に関する統括的な権限及び責任を有する情報セキュリティ管理者を置き、各部局等の課長、署長をもってこれに充てる。
(5) 情報セキュリティ責任者の下、各課等における情報システムの管理運営等を図るため、情報セキュリティ担当者を置き、各部局等の課長補佐、副署長をもってこれに充てる。
(6) 情報セキュリティ責任者の下、所管する情報システムの管理運営等を図るため、情報システム管理者を置き、消防救助課担当者をもってこれに充てる。
(7) 前各号に掲げるもののほか、管理者が管理に必要と認める者
(管理運営委員会)
第6条 適正な情報システムの管理運営等のため、情報セキュリティ委員会(以下「委員会」という。)を置く。
2 委員会が所掌する事項は、次に掲げるとおりとする。
(1) 情報システムの開発導入、変更及び評価に関する重要な事項
(2) 情報セキュリティポリシー等、情報セキュリティに関する重要な事項
(3) 前2号に掲げるもののほか、適正な情報システムの管理運営等に関し、管理者が特に必要と認める事項
3 委員会は、最高情報セキュリティ責任者(事務局長)及び副情報セキュリティ責任者(消防本部次長、ICT担当者)、統括情報セキュリティ責任者(消防救助課長)、及び最高情報セキュリティ責任者(事務局長)が指名した職員をもって組織する。
(情報資産の分類及び管理)
第7条 管理者は、情報資産を情報セキュリティの観点から重要度に応じて分類するとともに、当該分類に応じて管理するものとする。
(情報セキュリティ対策)
第8条 管理者は、情報資産に対する脅威の発生を想定し、及び防止するため、次に掲げる情報セキュリティ対策を行うものとする。
(1) 重要な情報資産を保管する区域の入退室管理、電子計算機の適正な設置その他の物理的な対策
(2) 職員に対する教育及び啓発の実施、緊急時の連絡体制の構築その他の人的な対策
(3) 不正アクセスの防止、情報システムの開発及び保守に係る適正な管理その他の技術的な対策
(情報セキュリティポリシーの策定)
第9条 管理者は、情報セキュリティポリシーを定めるものとする。
2 対策基準については、公にすることにより当事務組合の行政運営に重大な支障を及ぼすおそれがあることから非公表とする。ただし、事務又は事業を執行する上で欠かすことができないと認められる場合で、機密保持に関する契約を締結するときは、この限りでない。
(情報セキュリティに関する実施手順の策定)
第10条 管理者は、対策基準に基づき、情報セキュリティに関する実施手順を策定するものとする。
(情報セキュリティ監査及び自己点検の実施)
第11条 情報セキュリティポリシーの遵守状況を検証するため、情報セキュリティ監査(情報セキュリティに関する監査をいう。以下同じ。)及び自己点検を実施するものとする。
(情報セキュリティポリシーの見直し)
第12条 管理者は、情報セキュリティ監査若しくは自己点検の結果又は情報セキュリティに関する状況の変化に応じ、情報セキュリティポリシーを見直すものとする。
(その他)
第13条 この規則に定めるもののほか、情報システムの適正な管理運営、情報資産の保護及び情報セキュリティに関し必要な事項は、管理者が別に定める。
付則
この規則は、公布の日から施行する。