平成19年8月10日制定
奈良県後期高齢者医療広域連合長

第1 総則
インターネットをはじめとする情報通信ネットワークや情報システムの利用は生活、経済、社会のあらゆる面で拡大している一方、個人情報の漏えい、不正アクセスや新たな攻撃手法による情報資産の破壊、改ざん等によるシステム障害等が後を絶たない。また、自然災害や組織内部における不正操作等による情報セキュリティ事故が発生する危険も潜んでいるところである。これらの状況を受け、奈良県後期高齢者医療広域連合(以下「広域連合」という。)において情報セキュリティ対策に取り組む組織体制の確立、情報セキュリティ対策基準の策定等、情報資産に対する安全対策の推進に積極的に取り組むことを宣言するとともに、広域連合が保有する個人情報や重要な行政情報等を保護するための組織、計画、実施、監査等を含むマネジメントシステムを示すものとして、この方針を制定する。

第2 管理体制
(管理責任者)
1 広域連合の各課に、管理責任者を1人置くこととし、当該課の長又はこれに代わる者をもって充てる。
管理責任者は、各課における保有個人情報を適切に管理する任に当たるとともに、情報セキュリティ対策の適切な実施のために必要な職員に対する指導・研修を行う。
(総括管理責任者)
2 広域連合に、総括管理責任者を1人置くこととし、事務局長又はこれに代わる者をもって充てる。
総括管理責任者は、保有個人情報の管理に関し総括する任に当たる。
(管理担当者)
3 保有個人情報を取り扱う各課に、当該課の管理責任者が指定する管理担当者を1人又は複数人置く。
管理担当者は、管理責任者を補佐し、各課における保有個人情報の管理に関する事務を担当する。
(監査責任者)
4 広域連合に、監査責任者を1人置くこととし、内部監査等を担当する部局の職員をもって充てる。
監査責任者は、保有個人情報の管理の状況について監査する任に当たる。
(保有個人情報の適切な管理のための委員会)
5 総括管理責任者は、保有個人情報の管理に係る重要事項の決定、連絡・調整等を行うため必要があると認めるときは、関係職員を構成員とする委員会を設け、随時に開催する。

第3 職員の責務
職員は、関連する法令、条例、規程等の定め並びに総括管理責任者、管理責任者及び管理担当者の指示に従い、保有個人情報を取り扱わなければならない。

第4 保有個人情報の取扱い
(アクセス制限)
1 管理責任者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の職員に限ることとする。
2 アクセス権限を有しない職員は、保有個人情報にアクセスしてはならない。
3 職員は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。
(複製等の制限)
4 職員は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、管理責任者の指示に従い行う。
(1) 保有個人情報の複製
(2) 保有個人情報の送信
(3) 保有個人情報が記録されている媒体の外部への送付又は持出し
(4) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為
(誤りの訂正等)
5 職員は、保有個人情報の内容に誤り等を発見した場合には、管理責任者の指示に従い、訂正等を行う。
(媒体の管理等)
6 職員は、管理責任者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、施錠等を行う。
(廃棄等)
7 職員は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、管理責任者の指示に従い、当該保有個人情報の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。

第5 情報システムにおける安全の確保等
(アクセス制御)
1 管理責任者は、保有個人情報(情報システムで取り扱うものに限る。以下第5において同じ。)の秘匿性等その内容に応じて、パスワード等(パスワード、ICカード等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずる。
2 管理責任者は、1の措置を講ずる場合には、パスワード等の管理に関し、パスワード等の読取防止等の必要な措置を講ずる。
(アクセス記録)
3 管理責任者は、保有個人情報の秘匿性等その内容に応じて、当該保有個人情報へのアクセス状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。
4 管理責任者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
(外部からの不正アクセスの防止)
5 管理責任者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定による経路制御等の必要な措置を講ずる。
(コンピュータウイルスによる漏えい等の防止)
6 管理責任者は、コンピュータウイルスによる保有個人情報の漏えい、滅失又はき損の防止のため、コンピュータウイルスの感染防止等に必要な措置を講ずる。
(暗号化)
7 管理責任者は、保有個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずるよう努める。
(入力情報の照合等)
8 職員は、情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行う。
(バックアップ)
9 管理責任者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講ずる。
(情報システム設計書等の管理)
10 管理責任者は、保有個人情報に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
(端末の限定)
11 管理責任者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
(端末の盗難防止等)
12 管理責任者は、端末の盗難又は紛失の防止のため、執務室の施錠等の必要な措置を講ずる。
13 職員は、管理責任者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(第三者の閲覧防止)
14 職員は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。

第6 情報システム室等の安全管理
(入退室の管理)
1 管理責任者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室等(以下「情報システム室等」という。)に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている場合においても、必要があると認めるときは、同様の措置を講ずる。
2 管理責任者は、情報システム室等及び保管施設の入退室の管理について、必要があると認めるときは、入室に係る認証機能を設定し、及びパスワード等の管理に関する定めの整備、パスワード等の読取防止等を行うために必要な措置を講ずる。
(情報システム室等の管理)
3 管理責任者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置の設置等の措置を講ずる。
4 管理責任者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずるよう努める。

第7 保有個人情報の提供及び業務の委託等
(保有個人情報の提供)
1 管理責任者は、法令又は条例の規定に基づき保有個人情報を提供する場合において、必要があると認めるときは、提供前又は随時に実地の調査等を行い安全確保の措置状況を確認する等の措置を講ずる。
(業務の委託等)
2 保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契約書に、次に掲げる事項を明記するとともに、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
(1) 個人情報の漏えい等の防止に関する事項
(2) 個人情報の目的外の使用及び第三者への提供の禁止に関する事項
(3) 個人情報の複製又は複製の禁止に関する事項
(4) 再委託の禁止又は制限に関する事項
(5) 提供資料の返還に関する事項
(6) 事故発生時における報告義務に関する事項
(7) その他個人情報の適正管理のために必要な事項
3 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。

第8 安全確保上の問題への対応
(事案の報告及び再発防止措置)
1 保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に、その事実を知った職員は、速やかに当該保有個人情報を管理する管理責任者に報告する。
2 管理責任者は、被害の拡大防止又は復旧等のために必要な措置を講ずる。
3 管理責任者は、事案の発生した経緯、被害状況等を調査し、総括管理責任者に報告する。ただし、特に重大と認める事案が発生した場合には、直ちに総括管理責任者に当該事案の内容等について報告する。
4 管理責任者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。
5 事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講ずる。

第9 点検又は監査の実施
(点検及び監査)
1 管理責任者は、監査責任者とともに、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検又は監査を行い、必要があると認めるときは、その結果を総括管理責任者に報告する。
(評価及び見直し)
2 保有個人情報の適切な管理のための措置については、点検又は監査の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講ずる。