管理対象情報へのアクセス権の管理に関する告示（宮城県）
令和6年8月16日|p.4
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
Ⅱ 管理対象情報へのアクセス権の管理
事業者は、管理対象情報へのアクセス権を管理するため、次の表の左欄に掲げる義務項目を必ず達成するものとし、当該義務項目の達成のため、同表の右欄に掲げる手段その他の義務項目を達成するために有効な手段を講ずるものとする。
| 義務項目 | 義務項目を達成するために適切と考えられる手段 |
第1 事業者は、管理対象情報へのアクセス権の付与においては、権限の付与が見込まれる者についてのレビューをし、統一的な判断基準（考え方）の下で、以下の事項を考慮し行う。
(1) Need to Knowの原則
（「情報は知る必要のある人のみに伝え、知る必要のない人には伝えない」という原則）に照らし、グローバル競争が進む中での国外へ技術等情報の流出リスク等を考慮しつつ、必要最小限の範囲となっているか否か。
(2) 事業者内部における情報の取扱いに係る社内ルールへの違反履歴があるか否か。
(3) 権限の付与が見込まれる従業員の退職、研修員の派遣元への復帰等近い将来において管理対象情報を保有する事業者の直接的管理の対象から外れる可能性があるか否か。 | 1 事業者は、全ての管理対象情報へのアクセス権の設定を行っている管理責任者が一人の場合には、当該アクセス権の設定に係るレビューを当該管理責任者の上司等の他の者に行わせる。
2 事業者は、管理責任者以外の者が管理対象情報へのアクセス権の設定を行っている場合には、当該管理責任者以外の者から管理責任者に対し、管理対象情報へのアクセス権を有する者（以下「アクセス権者」という。）の氏名等必要な事項を連絡させる。
3 管理責任者は、アクセス権者以外の者による管理対象情報へのアクセスについて、Need to Knowの原則を満たすものであるかを評価する。 |
| 第2 管理責任者は、アクセス権者の管理を行う。 | 1 管理責任者は、アクセス権者のみが管理対象情報を取り扱 い得ることを明らかにする。
2 管理責任者は、アクセス権者の従事する管理対象情報に係る業務の内容等に応じ、当該アクセス権者のアクセスの範囲を限定し、その責任を明確にする。
3 管理責任者は、人事異動等に伴うアクセス権の管理ルールを策定する。
4 管理責任者は、アクセス権の管理を確実なものとするため、アクセス権者の氏名、役職、アクセス権の設定年月日、社内教育の受講状況等アクセス権の範囲及びアクセス権者の状況を記録した管理簿を作成し、一定期間保管する。
5 管理責任者は、3の管理ルールに沿ってアクセス権の発行、変更、無効化及び削除を実施する。
6 管理責任者は、アクセス権者の見直しを定期的に又は必要に応じて実施する。
7 管理責任者は、アクセス権者に対し、社内教育、周知及びその後の定期的な上司からの説明等により、アクセス権者としての責任を明確に認識させる。
8 管理責任者は、アクセス権者が定められた手順を守らない場合、アクセス権者のアクセス権を失効させる。 |
第3 事業者は、アクセス権者としての責任を明確にするため、アクセス権者との間で、以下の事項が記載された秘密保持に係る誓約書の取得又は秘密保持契約の締結等の措置を取る。
(1) 守秘義務を厳守すること。
(2) アクセス権の設定の解除の後（退職後も含む。）も、当該アクセス権が設定されている間に知り得た管理対象情報について、公知になったものを除き、不正に開示し、又は使用しないこと。
(3) マニュアルその他の事業者内部における情報の取扱いに係る社内ルールを遵守すること。
(4) 管理対象情報の漏えいにつながり得る事象等を発見した場合に、管理責任者等事業者が指定した者に報告を行うとともに、情報セキュリティ事件及び事故が発生した場合に、Iの第5において定める対応手順に従って措置を講ずること。
(5) 管理対象情報へのアクセスのログ等を、アクセス権の設定を行った者等から確認されることがあること。
(6) 管理対象情報に接する必要がなくなった場合は、速やかに、アクセス権を返却すること等所要の対応が求められること。
第4 管理責任者は、管理対象情報の内容の伝達（管理対象情報である紙情報や電子情報に記録された事項を伝えること及び閲覧させることをいう。）及び複製の対象を管理する。
1 事業者は、誓約書等の記載事項の定期的な確認を実施する。
2 事業者は、情報の適切な管理に係る状況の変化が生じた場合又は情報セキュリティ事件及び事故が発生した場合は、その都度、誓約書等の内容の見直しを実施し、必要に応じて、変更した誓約書等によりアクセス権者の責任を確認する。
3 事業者は、アクセス権者を含めた従業員がマニュアルに違反し、管理対象情報を漏えいさせ、又は目的外に利用する等事業者内部において情報の取扱いに係る不正をした場合、当該従業員を解雇等の懲戒処分とすることについて就業規則等に定めるとともに、刑事告発や民事訴訟法的手続に関する規程を社内ルールに定める。
4 事業者は、アクセス権者を含めた従業員が管理対象情報を漏えいさせ、又は目的外に利用する等事業者内部において情報の取扱いに係る不正をした場合には、当該不正の事例及びその処分の内容を全ての従業員に周知する。
1 管理責任者は、管理対象情報の内容の伝達及び複製の対象者を原則として、アクセス権者に限る。
2 アクセス権者は、他の従業員（管理対象情報の他のアクセス権者を除く。3において同じ。）に対して管理対象情報の内容の伝達又は複製をしようとする場合には、管理責任者の承認を得る。
3 管理責任者は、アクセス権者から他の従業員に対する管理対象情報の内容の伝達又は複製についての承認を求められた場合には、真に必要なものか否かの確認を行い、伝達又は複製の範囲を可能な限り限定した上で、これを認める。