滋賀県議会 2024-07-02 令和 ６年 ６月定例会議（第２号～第８号）－07月02日-05号
４点目、内部統制制度の中でＩＣＴのリスク回避についての取組状況についてでありますが、滋賀県情報処理規程および情報セキュリティ対策基準を策定し、システム構築の適正化や情報の機密保持などの体制を整備するとともに、職員に向けましたセキュリティや個人情報保護対策の研修、教育を行っているところでございます。
４点目、内部統制制度の中でＩＣＴのリスク回避についての取組状況についてでありますが、滋賀県情報処理規程および情報セキュリティ対策基準を策定し、システム構築の適正化や情報の機密保持などの体制を整備するとともに、職員に向けましたセキュリティや個人情報保護対策の研修、教育を行っているところでございます。
教育委員会では学校教育情報セキュリティー対策基準を定め、物理的、人的及び技術的の面から対策基準を規定し、セキュリティーの確保に努めています。特に人的な面では、教職員の業務でＵＳＢメモリーなどの使用を制限するなど、外部からの情報の持込み、持ち出しを限定し、セキュリティーの確保を徹底しています。
及び、「渋川市情報セキュリティ対策基準（最終改定令和４年４月１日）」（以下、「情報セキュリティ対策基準」という。）に基づき、情報セキュリティが正しく機能している本市において、市長が市長戦略部長のパソコンを借りて文書を作成したとしても、文書のプロパティ情報により、システム上は市長戦略部長のＩＤ・パスワードが使用され作成された文書であり、情報資産上は、市長戦略部長が文書を作成したと見なされる」。
しかしながら、万が一市が保有する個人情報が漏えいし、又は不正に使用された場合は、まず富士宮市情報セキュリティ対策基準に基づき、本市の最高情報セキュリティ責任者である副市長の指揮の下、その原因究明を行った上で、必要な措置を講じ、再発防止を図ることとなります。
そして、また豊後大野情報セキュリティ対策基準といたしまして、最高情報セキュリティ責任者、いわゆるＣＩＳＯにつきましても副市長が就任しております。 ○議長（衞藤竜哉君） 後藤雅克君。
質問の６、自治体ＤＸ推進計画重点取組事項の⑥、セキュリティ対策の徹底とありますが、熊谷市の熊谷市情報セキュリティポリシーは、情報セキュリティ基本方針と情報セキュリティ対策基準の２層から構成されていますが、これらは国の示す地方公共団体における情報セキュリティに関するガイドラインに沿った情報セキュリティポリシーと理解してよいのかお伺いいたします。
217 ◯杉浦弘和総務部長 これにつきましては、生駒市情報セキュリティ対策基準というものがありまして、それに基づく運用でございまして、職員は、もちろんのことながら遵守し、対応しているものと考えてございます。
県が保有するデータにつきましては、千葉県情報セキュリティ対策基準に基づき、定期的にハードディスク等へのバックアップを行っているところでございます。
サーバーや通信回線、端末の管理については、那須塩原市情報セキュリティー対策基準で規定をしておりまして、セキュリティー対策を実施するに当たっての判断の基準を、この対策基準で定めています。 職員に対する啓発は、毎年度、新規採用職員を対象に研修を実施しておりますが、必要に応じて、全ての職員を対象とした注意喚起も行っています。
現在、本市の情報セキュリティ対策基準におきまして、副市長を最高情報統括責任者、いわゆるＣＩＯとしております。ＣＩＯ補佐官につきましては、現時点では配置されておりませんが、本市の情報セキュリティ対策基準で統括情報セキュリティ責任者として総合政策部長が担うこととされており、統括情報セキュリティ責任者は最高情報統括責任者を補佐することとされております。
ＩＴ推進課のほうでは、宜野湾市情報セキュリティ対策基準に基づきまして、パソコン内のデータを復元をされないよう適切に対応しているところでございます。まず、廃棄対象のパソコンにありますデータは初期化をして削除します。次に、データの復元ができないよう、米国国防総省準拠方式と呼ばれる厳重な規格でデータ削除処理を施します。
◎小畑 学校教育課管理指導主事 現在、学校における個人情報については、令和２年度に制定した教育情報セキュリティ対策基準に基づき、情報資産を分類し、適切に扱っているところです。その中で、名簿や成績といった重要な個人情報については、安全性が確保されている専用のサーバー内で管理しており、授業等で活用する学習情報とは物理的に分けて管理しています。
また、実際に業務に携わる市職員につきましては、いわゆるマイナンバー法におきまして、秘密保持義務が課され、罰則も設けられているところではございますが、改めて不正行為・運用妨害の禁止、業務以外の目的での使用の禁止、端末や電磁的記録媒体等の持ち出しの制限等を定めた情報セキュリティ基本方針及び情報セキュリティ対策基準に基づいた取り扱いを徹底してまいります。
そして、この基本方針に基づいた情報セキュリティ対策を実施するに当たって遵守すべき事項及び判断等の統一な基準として、日野市立学校情報セキュリティ対策基準を定め、日野市情報セキュリティ実施手順学校版により具体的な対策を行っております。
そして、長久手市情報セキュリティポリシーの運用につきましては、市情報セキュリティ対策基準に基づく運用を行っているほか、職員向けの情報セキュリティ研修の実施ですとか、あるいは情報セキュリティ委員会により、適正な運用が行われているかの確認を定期的に行っておりまして、情報資産の機密性、完全性、可用性を維持しているというところでございます。 ○議長（伊藤祐司君） 再質問はありませんか。
ＩＤ及びパスワードの管理につきましては、情報セキュリティー対策基準で適切に取り扱うよう定められているほか、職員ポータルの入替え時、これ平成30年でございますけれども、その時点と今回の事案発覚の直後及び懲戒処分発表後にパスワード変更についての通知を改めて発出してございます。 ○上地安之議長 宮城政司議員。
あわせて、組織内の情報セキュリティーを確保するための方針、体制、対策等を包括的に定める必要があることから、総務省から示された「地方公共団体おける情報セキュリティポリシーに関するガイドライン」を参考に、本市の情報セキュリティー基本方針や副市長をＣＩＳＯとして位置づけた情報セキュリティー対策基準を定めています。
情報セキュリティー基本方針と情報セキュリティー対策基準，この二つで現在，法的な対策をされているということが確認できました。 全庁的なデジタルトランスフォーメーションを推進していく中で，今回のことなど考えますと，不正アクセスなどは前提で考えていかなければならないと先ほど申しましたが，思います。そうした場合，外部委託などの業務の場合なども視野に入れた対策，こちらが必要となってくるかと思われます。
テレワーク用の在宅パソコンのセキュリティーなどについてというご質疑でございますけれども、今回、水道課で購入を予定しておりますテレワーク用パソコンのセキュリティー対策につきましては、本庄市情報セキュリティ基本方針と本庄市情報セキュリティ対策基準に基づき運用するものでございまして、テレワークにつきましては、現在運用されております本庄市テレワーク試行実施要領に基づき、安全に在宅勤務を行うものでございます。
188: ◎ 総務課長 東京電子自治体共同運営協議会では，先ほどの情報セキュリティ基本方針のほか，サービス提供事業者の遵守事項や判断基準等を定めた情報セキュリティ対策基準，また対策の具体的な手順を定めた情報セキュリティ実施手順を定めて，情報システム等を適切に管理運営することで，セキュリティーを確保しているところです。