第三章　政府機関等の情報セキュリティ対策のための基本対策

（情報の格付）

第十五条　機関等は、取り扱う情報に、機密性、完全性及び可用性の観点に区別して、分類した格付を付さなければならない。

２　機関等は、機関等間での情報の提供、運搬及び送信に際しては、前項で定めた情報の格付のうち、いかなる区分に相当するかを明示等しなければならない。

（情報の取扱制限）

第十六条　機関等は、情報の格付に応じた取扱制限を定めなければならない。

２　機関等は、取り扱う情報に、前項で定めた取扱制限を付さなければならない。

３　機関等は、機関等間での情報の提供、運搬及び送信に際しては、情報の取扱制限を明示等しなければならない。

（情報のライフサイクル管理）

第十七条　機関等は、情報の作成、入手、利用、保存、提供、運搬、送信及び消去の各段階で、情報の格付及び取扱制限に従って必要とされる取扱いが損なわれることがないように、必要な措置を定め、実施しなければならない。

（情報を取り扱う区域）

第十八条　機関等は、自組織が管理する又は自組織以外の組織から借用している施設等、自組織の管理下にあり、施設及び環境に係る対策が必要な区域の範囲を定め、その特性に応じて対策を決定し、実施しなければならない。

（外部委託）

第十九条　機関等は、機関等の情報を取り扱わせる業務を委託する場合には、必要な措置を定め、実施しなければならない。

２　機関等は、業務委託を実施する際に要機密情報を取り扱わせる場合は、委託先において情報漏えい対策や、委託内容に意図しない変更が加えられない管理を行うこと等の必要な情報セキュリティ対策が実施されることを選定条件とし、仕様内容にも含めなければならない。

３　機関等は、クラウドサービスを利用する場合には、情報セキュリティを確保するための措置を定め、実施しなければならない。

４　機関等は、機器等の調達に当たり、機器等の開発等で不正な変更が加えられない管理がなされている等のサプライチェーン・リスクへの適切な対処を含む選定基準を定めなければならない。

（情報システムのライフサイクル全般にわたる情報セキュリティの確保）

第二十条　機関等は、所管する情報システムの企画、調達・構築、運用・保守、更改・廃棄及び見直しの各段階において、情報セキュリティを確保するための措置を定め、実施しなければならない。

（情報システムの運用継続計画）

第二十一条　機関等は、所管する情報システムに係る運用継続のための計画を整備する際には、業務継続計画、ポリシーと整合性を確保し、整備及び運用しなければならない。

（情報システムの利用）

第二十二条　機関等は、情報システムの利用に際して、情報セキュリティを確保するために職員等が行わなければならない必要な措置を定め、実施させなければならない。

（統一基準への委任）

第二十三条　本規範に定めるもののほか、本規範の実施のため必要な要件は、統一基準で定める。

（策定）

第二十四条　本規範は、内閣官房国家サイバー統括室が原案を策定し、サイバーセキュリティ戦略本部において決定する。

附則（令和８年９月14日決定）

　この決定は、令和８年10月１日から施行する。