第8部 情報システムの利用
8.1 情報システムの利用
8.1.1 情報システムの利用
目的・趣旨
職員等は、業務の遂行のため、端末での事務処理のほか電子メール、ウェブ等様々な情報システムを利用している。これらを適切に利用しない場合、情報セキュリティインシデントを引き起こすおそれがある。
このため、情報システムの利用に関する規定を整備し、職員等は規定に従って利用することが求められる。
なお、機関等が支給する端末（要管理対策区域外で使用する場合に限る）に係る規定の整備については遵守事項6.1.2(1)、機関等支給以外の端末に係る規定の整備については遵守事項6.1.3(2)をそれぞれ参照すること。
遵守事項
(1) 情報システムの利用に係る規定の整備
(a) 統括情報セキュリティ責任者は、機関等の情報システムの利用のうち、情報セキュリティに関する実施手順を整備すること。
(b) 統括情報セキュリティ責任者は、USBメモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する実施手順を定めること。
(c) 統括情報セキュリティ責任者は、機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す際の許可手続を定めること。
(2) 情報システム利用者の規定の遵守を支援するための対策
(a) 情報システムセキュリティ責任者は、職員等による規定の遵守を支援する機能について情報セキュリティリスクと業務効率化の観点から支援する範囲を検討し、当該機能を持つ情報システムを構築すること。
(3) 情報システムの利用時の基本的対策
(a) 職員等は、業務の遂行以外の目的で情報システムを利用しないこと。
(b) 職員等は、情報システムセキュリティ責任者が接続許可を与えた通信回線以外に機関等の情報システムを接続しないこと。
(c) 職員等は、機関等内通信回線に、情報システムセキュリティ責任者の接続許可を受けていない情報システムを接続しないこと。
(d) 職員等は、業務の遂行において、利用が認められていないソフトウェアを利用しないこと。また、当該ソフトウェアを職務上の必要により利用する場合は、情報システムセキュリティ責任者の承認を得ること。
(e) 職員等は、接続が許可されていない機器等を情報システムに接続しないこと。
(f) 職員等は、情報システムの設置場所から離れる場合等、第三者による不正操作のおそれがある場合は、情報システムを不正操作から保護するための措置を講ずること。
(g) 職員等は、機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す場合には、課室情報セキュリティ責任者の許可を得ること。
(h) 職員等は、業務の遂行において、利用承認を得ていないクラウドサービスを利用しないこと。
(4) 端末（支給外端末を含む）の利用時の対策
(a) 職員等は、機関等が支給する端末（要管理対策区域外で使用する場合に限る）及び機関等支給以外の端末を用いて要保護情報を取り扱う場合は、定められた利用手順に従うこと。
(b) 職員等は、次の各号に掲げる端末を用いて当該各号に定める情報を取り扱う場合は、課室情報セキュリティ責任者の許可を得ること。
(ア) 機関等が支給する端末（要管理対策区域外で使用する場合に限る） 機密性３情報、要保全情報又は要安定情報
(イ) 機関等支給以外の端末 要保護情報
(c) 職員等は、要管理対策区域外において機関等外通信回線に接続した端末（支給外端末を含む）を要管理対策区域で機関等内通信回線に接続する場合には、定められた措置を講ずること。
(5) 電子メール・ウェブの利用時の対策
(a) 職員等は、要機密情報を含む電子メールを送受信する場合には、それぞれの機関等が運営し、又は外部委託した電子メールサーバにより提供される電子メールサービスを利用すること。
(b) 職員等は、機関等外の者と電子メールにより情報を送受信する場合は、政府ドメイン名を取得できない場合を除き、当該電子メールのドメイン名に政府ドメイン名を使用すること。
(c) 職員等は、不審な電子メールを受信した場合には、あらかじめ定められた手順に従い、対処すること。
(d) 職員等は、ウェブクライアントの設定を見直す必要がある場合は、情報セキュリティに影響を及ぼすおそれのある設定変更を行わないこと。
(e) 職員等は、ウェブクライアントが動作するサーバ装置又は端末にソフトウェアをダウンロードする場合には、電子署名により当該ソフトウェアの配布元を確認すること。
(f) 職員等は、閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合には、以下の全ての事項を確認すること。
(ア) 送信内容が暗号化されること
(イ) 当該ウェブサイトが送信先として想定している組織のものであること
(6) 識別コード・主体認証情報の取扱い
(a) 職員等は、主体認証の際に自己に付与された識別コード以外の識別コードを用いて情報システムを利用しないこと。
(b) 職員等は、自己に付与された識別コードを適切に管理すること。
(c) 職員等は、管理者権限を持つ識別コードを付与された場合には、管理者としての業務遂行時に限定して、当該識別コードを利用すること。
(d) 職員等は、自己の主体認証情報の管理を徹底すること。
(7) 暗号・電子署名の利用時の対策
(a) 職員等は、情報を暗号化する場合及び情報に電子署名を付与する場合には、定められたアルゴリズム、鍵長及び方法に従うこと。
(b) 職員等は、暗号化された情報の復号又は電子署名の付与に用いる鍵について、定められた鍵の管理手順等に従い、これを適切に管理すること。
(c) 職員等は、暗号化された情報の復号に用いる鍵について、鍵のバックアップ手順に従い、そのバックアップを行うこと。
(8) 不正プログラム感染防止
(a) 職員等は、不正プログラム感染防止に関する措置に努めること。
(b) 職員等は、情報システム（支給外端末を含む）が不正プログラムに感染したおそれがあることを認識した場合は、感染した情報システム（支給外端末を含む）の通信回線への接続を速やかに切断するなど、必要な措置を講ずること。
(9) Web会議サービスの利用時の対策
(a) 職員等は、定められた利用手順に従い、Web会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施すること。
(b) 職員等は、Web会議を主催する場合、会議に無関係の者が参加できないよう対策を講ずること。
(10) クラウドサービスを利用した機関等外の者との情報の共有時の対策
(a) 職員等は、機関等外の者と情報の共有を行うことを目的とし、クラウドサービス上に要保護情報を保存する場合は、情報の共有を行う必要のある者のみがクラウドサービス上に保存した要保護情報にアクセスすることが可能となるための措置を講ずること。
(b) 職員等は、機関等外の者と情報の共有を行うことを目的とし、クラウドサービス上に要保護情報を保存する場合は、情報の共有が不要になった時点で、クラウドサービス上に保存した要保護情報を速やかに削除すること。
8.1.2 ソーシャルメディアによる情報発信
目的・趣旨
機関等においても、積極的な広報活動等を目的としたソーシャルメディアの利用が一般的になっている。しかし、民間事業者等により提供されているソーシャルメディアでは政府ドメイン名を使用することができないため、真正なアカウントであることを国民等が確認できるようにする必要がある。また、機関等のアカウントを乗っ取られた場合や、利用しているソーシャルメディアが予告なく停止した際に必要な情報を発信できない事態が生ずる場合も想定される。そのため、要安定情報を広く国民等に提供する際には、当該情報を必要とする国民等が一次情報源を確認できるよう、情報発信方法を考慮する必要がある。加えて、虚偽情報により国民等の混乱が生じることのないよう、発信元は、なりすまし対策等について措置を講じておく必要がある。
また、このようなソーシャルメディアは機能拡張やサービス追加等の技術進展が著しいことから、常に当該サービスの運用事業者等の動向等外部環境の変化に機敏に対応することが求められる。
なお、ソーシャルメディアは、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスであることが考えられ、要機密情報を取り扱う上で必要十分なセキュリティ要件を満たすことは困難であることが一般的である。このことから、ソーシャルメディアの利用は、要機密情報を取り扱わず、委託先における高いレベルの情報管理を要求する必要が無い場合に限るものとする。ソーシャルメディアを利用の際は4.2.3「クラウドサービスの選定・利用（要機密情報を取り扱わない場合）」の対策を参照すること。
遵守事項
(1) ソーシャルメディアによる情報発信時の対策
(a) 統括情報セキュリティ責任者は、機関等が管理するアカウントでソーシャルメディアを利用することを前提として、以下を全て含む情報セキュリティ対策に関する運用規程を定めること。また、当該サービスの利用において要機密情報が取り扱われないよう規定すること。
(ア) 機関等のアカウントによる情報発信が実際の機関等のものであると明らかとするために、アカウントの運用組織を明示するなどの方法でなりすましへの対策を講ずること。
(イ) パスワード等の主体認証情報を適切に管理するなどの方法で不正アクセスへの対策を講ずること。
(b) 職員等は、要安定情報の国民への提供にソーシャルメディアを用いる場合は、機関等の自己管理ウェブサイトに当該情報を掲載して参照可能とすること。
8.1.3 テレワーク
目的・趣旨
働き方改革実行計画（平成29年３月28日 働き方改革実現会議決定）により、柔軟な働き方に対応しやすい環境整備が求められているところ、職員等が業務を遂行する上で、必ずしも勤務官署に出勤する必要はなく、自宅やサテライトオフィス等から遠隔で業務を遂行する形態への対応が求められることとなった。また、大規模災害時や感染症対策として勤務官署への出勤が抑制されるような状況下では、大半の職員等が勤務官署以外から業務を遂行できるようにテレワーク環境の整備が必要となる。
本款では、テレワークの実施に特に必要な対策についてのみ規定しているため、本款以外に、3.1.1「情報の取扱い」、6.1.2「要管理対策区域外での端末利用時の対策」、6.1.3「機関等支給以外の端末の導入及び利用時の対策」、6.4.1「通信回線」、6.4.2「通信回線装置」、6.4.3「無線LAN」、7.1.6「監視機能」及び8.1.1「情報システムの利用」の各款を参照すること。
遵守事項
(1) 運用規程の整備
(a) 統括情報セキュリティ責任者は、テレワーク実施時の情報セキュリティ対策に係る運用規程を整備すること。なお、原則としてテレワークは機関等が支給する端末で行うよう定めること。
(2) 実施環境における対策
(a) 情報システムセキュリティ責任者は、テレワークの実施により機関等外通信回線を経由して機関等の情報システムへリモートアクセスする形態となる情報システムを構築する場合は、通信経路及びリモートアクセス特有の攻撃に対する情報セキュリティを確保すること。
(b) 情報システムセキュリティ責任者は、リモートアクセスに対し多要素主体認証を行うこと。
(c) 情報システムセキュリティ責任者は、リモートアクセスする端末を許可された端末に限定する措置を講じること。
(d) 情報システムセキュリティ責任者は、リモートアクセスする端末を最新の脆弱性対策や不正プログラム対策が施されている端末に限定すること。
(3) 実施時における対策
(a) 情報システムセキュリティ責任者は、テレワーク実施前及び実施後に職員等が確認するべき項目を定め、職員等に当該項目を確認させること。
(b) 職員等は、画面ののぞき見や盗聴を防止できるようテレワークの実施場所を選定すること。また、自宅以外でテレワークを実施する場合には、離席時の盗難に注意すること。
(c) 職員等は、原則として情報セキュリティ対策の状況が定かではない又は不十分な機関等外通信回線を利用してテレワークを行わないこと。
附 則（令和８年９月14日決定）
この決定は、令和８年10月１日から施行する。