第二章　政府機関等の情報セキュリティ対策のための基本方針

（管理体制）

第三条　機関等は、情報セキュリティ対策を実施するための組織・体制を整備しなければならない。

２　機関等は、最高情報セキュリティ責任者１人を置かなければならない。

３　最高情報セキュリティ責任者は、対策基準（機関等における情報及び情報システムの情報セキュリティを確保するための情報セキュリティ対策の基準をいう。以下同じ。）等の審議を行う機能を持つ組織として情報セキュリティ委員会を設置し、委員長及び委員を置かなければならない。

４　最高情報セキュリティ責任者は、本規範に定める機関等における情報セキュリティ対策に関する事務を統括するとともに、その責任を負う。

５　最高情報セキュリティ責任者は、別に定める政府機関等のサイバーセキュリティ対策のための統一基準（以下「統一基準」という。）に定められた自らの担務を、統一基準に定める責任者に担わせることができる。

（資産管理）

第四条　機関等は、機関等の資産の状況を把握するため、所管する情報システムに係る文書及び台帳を整備しなければならない。

（リスク評価と対策）

第五条　機関等は、自組織の目的等を踏まえ、第十一条に定める自己点検の結果、第十二条に定める情報セキュリティ監査の結果、法に基づきサイバーセキュリティ戦略本部が実施する監査の結果等を勘案した上で、保有する情報及び利用する情報システムに係る脅威の発生の可能性及び顕在時の損失等を分析し、リスクを評価し、必要となる情報セキュリティ対策を講じなければならない。

（情報セキュリティ文書）

第六条　機関等は、自組織の特性を踏まえ、基本方針（機関等における情報セキュリティ対策の基本的な方針をいう。以下同じ。）及び対策基準を定めなければならない。基本方針及び対策基準（以下「ポリシー」という。）の呼称は機関等で独自に定めることができる。

２　基本方針は、情報セキュリティを確保するため、情報セキュリティ対策の目的、対象範囲等の情報セキュリティに対する基本的な考え方を定めなければならない。

３　対策基準は、統一基準に準拠し、これと同等以上の情報セキュリティ対策が可能となるように定めなければならない。

（対策推進計画）

第七条　最高情報セキュリティ責任者は、第五条の評価の結果を踏まえた情報セキュリティ対策を組織的・継続的に実施し、総合的に推進するための計画（以下「対策推進計画」という。）を定めなければならない。

２　機関等は、対策推進計画に基づき情報セキュリティ対策を実施しなければならない。

（例外措置）

第八条　機関等は、ポリシーに定めた情報セキュリティ対策の実施に当たり、例外措置を適用するために必要な申請・審査・承認のための手順と担当者を定めなければならない。

（教育）

第九条　機関等は、職員等が自覚をもってポリシーに定められた情報セキュリティ対策を実施するよう、情報セキュリティに関する教育を行わなければならない。

（情報セキュリティインシデントへの対応）

第十条　機関等は、情報セキュリティインシデントに対処するため、適正な体制を構築するとともに、必要な措置を定め、実施しなければならない。

２　情報セキュリティインシデントの可能性を認知した者は、ポリシーに定める報告窓口に報告しなければならない。

３　ポリシーに定める責任者は、情報セキュリティインシデントに関して報告を受け又は認知したときは、必要な措置を講じなければならない。

（自己点検）

第十一条　機関等は、情報セキュリティ対策の自己点検を行わなければならない。

（情報セキュリティ監査）

第十二条　機関等は、対策基準が本規範及び統一基準に準拠し、かつ実際の運用が対策基準に準拠していることを確認するため、情報セキュリティ監査を行わなければならない。

（対策の見直し）

第十三条　機関等は、第五条の評価に変化が生じた場合には、情報セキュリティ対策を見直さなければならない。

２　機関等は、第五条の評価結果を踏まえ、ポリシーの評価及び見直しを行わなければならない。

３　最高情報セキュリティ責任者は、情報セキュリティ対策の運用及び自己点検・情報セキュリティ監査・法に基づきサイバーセキュリティ戦略本部が実施する監査等を総合的に評価するとともに、情報セキュリティに係る重大な変化等を踏まえ、対策推進計画の見直しを行わなければならない。

（独立行政法人及び指定法人）

第十四条　国の行政機関は、所管する独立行政法人及び指定法人に対して、自らのポリシーを当該法人がポリシーを定める際に参考とするよう求めるものとする。

２　独立行政法人及び指定法人は、前項の求めに応じ、必要に応じて自らのポリシーに反映させるものとする。

３　独立行政法人を所管する主務大臣は、独立行政法人通則法（平成十一年法律第百三号）第二十九条第一項の規定により指示する同項の中期目標、第三十五条の四第一項の規定により指示する同項の中長期目標又は第三十五条の九第一項の規定により指示する同項の年度目標に、統一基準に基づいて定めたポリシーに従って情報セキュリティ対策を講ずる旨を盛り込むこととする。指定法人に対しては、個別の根拠法に基づき、当該指定法人を所管する国の行政機関が必要な情報セキュリティ対策についての指導等を実施する。

４　独立行政法人を所管する主務大臣は、独立行政法人通則法に基づく業務の実績等に関する評価の際に、情報セキュリティ対策の実施状況に関しても評価を行い、評価結果を公表する。指定法人を所管する国の行政機関は、当該指定法人に対して、個別の根拠法に基づき、情報セキュリティ対策の実施状況に関して評価を行う。