情報セキュリティ基本方針について

目的

本基本方針は、公益財団法人かがわ産業支援財団（以下「財団」という。）が保有する情報資産の機密性・完全性及び可用性を維持するため、財団が実施する情報セキュリティ対策について、関係法令その他の規程、契約上の義務を遵守するとともに、基本的事項を定めることを目的とします。

定義

ネットワーク

コンピュータ等を相互に接続するための通信網、その構成機器(ハードウェア及びソフトウェア)。

情報システム

コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組み。

情報セキュリティ

情報資産の機密性、完全性及び可用性を維持すること。

情報セキュリティポリシー

本基本方針及び情報セキュリティ対策基準。

機密性

情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保すること。

完全性

情報が破壊、改ざん又は消去されていない状態を確保すること。

可用性

情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保すること。

対象とする脅威

情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施します。

• 不正アクセス、ウィルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等
• 情報資産の無断持ち出し、無許可ソフトウェアの使用等の規程違反、設計・開発の不備、プログラム上の欠陥、操作・設定ミス、メンテナンス不備、内部・外部監査機能の不備、外部委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等
• 地震、落雷、火災等の災害によるサービス及び業務の停止等
• 大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等 
• 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等

 適用範囲

適用組織の範囲

財団内のすべてとします。

情報資産の範囲　　

• ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体
• ネットワーク及び情報システムで取り扱う情報(これらを印刷した文書を含む。)
• 情報システムの仕様書及びネットワーク図等のシステム関連文書

情報セキュリティ対策

上記「対象とする脅威」から情報資産を保護するために、以下の情報セキュリティ対策を講じます。

組織体制

情報セキュリティ対策を推進する全体的な組織体制を整備します。

人的対策

情報セキュリティに関し、職員等が遵守すべき事項について、十分な教育及び啓発を行います。

情報資産管理

情報資産を機密性により分類し、分類に応じて適正な対策を実施します。

アクセス制御及び認証

アクセス制御方針や認証等に関する技術的対策を実施します。

物理的対策

セキュリティ領域の設定や、領域内での設備機器の設置・管理等の物理的な対策を実施します。

IT機器利用

情報機器やソフトウェアの利用方法等について、対策を実施します。

IT基盤運用・管理

サーバーやネットワーク等のITインフラの運用・管理にあたり技術的な対策を講じます。外部サービスは、情報セキュリティ対策を評価した上で利用します。

システム開発及び保守

独自に開発する情報システムの開発及び保守については、必要な工程を経て実施します。

委託管理

外部委託事業者の選定や契約にあたっては、必要なセキュリティ対策が確保されていることを確認します。

情報セキュリティインシデント対応ならびに事業継続管理

情報セキュリティに関する事故発生時には、事故レベルに応じた対応を実施するとともに、事業の継続に努めます。

個人番号及び特定個人情報の取扱い

マイナンバー関係情報の取扱いについては、関連法令・ガイドライン等を遵守します。

自己点検の実施及び情報セキュリティポリシーの見直し

情報セキュリティポリシーの遵守状況を検証するため、定期的または必要に応じて自己点検を実施し、運用改善を行い、情報セキュリティの向上を図ります。

自己点検の結果、情報セキュリティに関する状況の変化等に対応するため、新たに対策が必要となった場合等には、情報セキュリティポリシーを見直します。

違反及び事故への対応

情報セキュリティに関わる法令違反、契約違反及び事故が発生した場合には、その重大性または発生した事案の状況に応じて適正に対処し、再発防止に努めます。

公益財団法人かがわ産業支援財団
理事長 近藤 清志