相模原市議会のサイバーセキュリティを確保するための方針

（目的）
第１条　この方針は、相模原市議会（以下「市議会」という。）が保有する情報資産の機密性、完全性及び可用性を維持するため、市議会が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。なお、この方針は、地方自治法に基づくサイバーセキュリティを確保するための方針として定めるものである。
（定義）
第２条　この方針において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。
（１）ネットワーク　コンピュータ等を相互に接続するための通信網並びにその構成機器であるハードウェア及びソフトウェアをいう。
（２）情報システム　コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
（３）クラウドサービス　コンピュータシステムの資源の一部を、インターネット等のネットワーク経由で利用する仕組みを使って提供されるサービスをいう。
（４）情報セキュリティ　情報資産の機密性、完全性及び可用性を維持することをいう。
（５）機密性　情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
（６）完全性　情報が破壊、改ざん又は消去されていない状態を確保することをいう。
（７）可用性　情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
（対象とする脅威）
第３条　情報資産に対する脅威として、以下の要因を想定し、情報セキュリティ対策を実施する。 
（１）不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取、内部不正等
（２）情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計・開発の不備、プログラム上の欠陥、操作・設定のミス、メンテナンスの不備、内部・外部監査機能の不備、委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等
（３）地震、落雷、火災等の災害によるサービス及び業務の停止等
（４）大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等
（５）電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等
（適用範囲）
第４条　この方針は、市議会（相模原市情報セキュリティポリシーに明記された組織を除く。）に適用する。ただし、市議会活動（相模原市議会会議規則（昭和42年相模原市議会規則第1号）に規定する会議、委員会、協議又は調整の場及び議員派遣をいう。）に従事する場合に限る。
２　この方針は、次に掲げる情報資産に適用する。
（１）ネットワーク及び情報システム並びにこれらに関する設備及び電磁的記録媒体
（２）ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。）
（３）情報システムの仕様書及びネットワーク図等のシステム関連文書
（議員の遵守義務）
第５条 　相模原市議会議員（以下「議員」という。）は、情報セキュリティの重要性について共通の認識を持つとともに、職務の遂行において、情報セキュリティに関する法令等を遵守しなければならない。
（情報セキュリティ対策）
第６条　第３条に挙げた脅威から情報資産を保護するため、以下の情報セキュリティ対策を講じる。
（１）市議会の情報資産について、情報セキュリティ対策を推進する組織体制を確立する。
（２）情報資産を機密性、完全性及び可用性に応じて分類し、当該分類に基づき情報セキュリティ対策を実施する。情報資産の分類については、相模原市情報セキュリティポリシーに準ずる。
（３）物理的セキュリティ対策として、サーバ、管理区域、通信回線及び議員のパソコン等の管理について、必要な対策を講じる。
（４）人的セキュリティ対策として、情報セキュリティに関する遵守事項を定めるとともに、十分な教育及び啓発を行う等の必要な対策を講じる。
（５）技術的セキュリティ対策として、コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の必要な対策を講じる。
（６）情報セキュリティ対策の運用における対策として、情報システムの監視、この方針の遵守状況の確認、業務委託やクラウドサービス利用時のセキュリティ確保等の対策を講じる。また、情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正に対応するため、緊急時対応計画を策定する。
（情報セキュリティ監査及び自己点検の実施）
第７条　この方針の遵守状況を検証するため、必要に応じて情報セキュリティ監査及び自己点検を実施する。
（評価・見直し）
第８条　情報セキュリティ監査及び自己点検の結果、または情報セキュリティに関する状況の変化に対応するため新たな対策が必要になった場合には、情報資産に関わるリスクを分析・検討した上で、この方針を見直す。
附　則
この方針は、令和８年４月１日から施行する。