【地方職員共済組合】山形県職員健康管理システム再構築業務委託

【地方職員共済組合】山形県職員健康管理システム再構築業務委託 一般競争入札の公告地方公務員等共済組合法施行規程第28条の規定により、山形県職員健康管理システム再構築業務委託の調達について、一般競争入札を次のとおり行う。令和８年８月31日地方職員共済組合山形県支部 支部長 吉村 美栄子１ 入札の場所及び日時(1) 場所 山形県山形市松波二丁目８番１号 山形県庁 ２階 入札室(2) 日時 令和８年９月16日(水)午後１時２ 入札に付する事項(1) 調達をする役務の名称及び数量 山形県職員健康管理システム再構築業務委託 一式(2) 調達をする役務の仕様等 入札説明書及び仕様書による(3) 契約期間 契約締結の日から令和９年３月31日まで(4) 入札方法 総価により行う。落札決定に当たっては、入札書に記載された金額に当該金額の100分の10に相当する金額を加算した金額(当該金額に１円未満の端数があるときは、その端数金額を切り捨てた金額)をもって落札価格とするので、入札者は、消費税及び地方消費税に係る課税事業者であるか免税事業者であるかを問わず、見積もった契約金額の110分の100に相当する金額を入札書に記載すること。３ 入札参加者の資格次に掲げる要件を全て満たす者であること。(1) 地方自治法施行令(昭和22年政令第16号)第167条の４第１項各号に規定する者に該当しないこと。(2) 山形県税(山形県税に附帯する税外収入を含む。)又は消費税を滞納していないこと。(3) 雇用保険、健康保険、厚生年金保険等の社会保険に加入していること(加入する義務のない者を除く。)(4) １年以上引き続き業として当該競争入札に付する契約に係る業務を営んでいること。(5) 山形県競争入札参加資格者指名停止要綱に基づく指名停止措置を受けていないこと。(6) 山形県財務規則(昭和39年３月県規則第９号。以下「規則」という。)第125条第５項の競争入札参加資格者名簿(以下「競争入札参加資格者名簿」という。)に登載されていること。(7) 次のいずれにも該当しないこと(地方自治法施行令第 167条の４第１項第３号に規定する者に該当する者を除く。)。イ 役員等(入札参加者が個人である場合にはその者を、入札参加者が法人である場合にはその役員又はその支店若しくは契約を締結する事務所の代表者をいう。以下同じ。)が暴力団員による不当な行為の防止等に関する法律(平成３年法律第 77 号)第２条第６号に規定する暴力団員(以下「暴力団員」という。)又は暴力団員でなくなった日から５年を経過しない者(以下「暴力団員等」という。)であること。ロ 暴力団(暴力団員による不当な行為の防止等に関する法律第２条第２号に規定する暴力団をいう。以下同じ。)又は暴力団員等が経営に実質的に関与していること。ハ 役員等が自己、自社若しくは第三者の不正の利益を図る目的又は第三者に損害を加える目的をもって、暴力団又は暴力団員等を利用する等していること。ニ 役員等が、暴力団又は暴力団員等に対して資金等を供給し、又は便宜を供与する等直接的あるいは積極的に暴力団の維持及び運営に協力し、又は関与していること。ホ 役員等が暴力団又は暴力団員等と社会的に非難されるべき関係を有していること。(8) 情報セキュリティマネジメントシステム(ISMS)適合性評価制度に関してJISQ27001(ISO/IEC27001)の基準に適合することによる認証を受けていること。(9) 国又は地方公共団体又はそれに類似する団体において、3,000人以上を対象とする健康管理システムの開発(改修を含む)業務に従事した経験を有すること。また、仮想環境上での情報システムの構築業務に従事した経験を有すること。４ 契約条項を示す場所、入札説明書及び仕様書の交付場所等並びに契約に関する事務を担当する部局等(1) 契約条項を示す場所及び契約に関する事務を担当する部局等山形市松波二丁目８番１号 地方職員共済組合山形県支部(山形県総務部総務厚生課健康管理担当)電話番号023(630)3307(2) 入札説明書及び仕様書の交付場所等地方職員共済組合山形県支部(山形県総務部総務厚生課健康管理担当)で交付するほか、山形県のホームページからもダウンロードできる。(https://www.pref.yamagata.jp/020003/kensei/shoukai/soshikiannai/somu/020003.html)５ 契約保証金契約金額の100分の10に相当する金額(当該金額に１円未満の端数があるときは、その端数金額を切り上げた金額)以上の額。６ 入札の無効入札に参加する者に必要な資格のない者のした入札、入札に関する条件に違反した入札その他規則第122条の２の規定に該当する入札は、無効とする。７ その他(1) この公告による入札に参加を希望する者は、一般競争入札参加資格確認申請書を令和８年９月９日(水)午後４時までに地方職員共済組合山形県支部(山形県総務部総務厚生課健康管理担当)に提出すること。(2) この契約においては、契約書の作成を必要とする。この場合において、当該契約書には、談合等に係る契約解除及び賠償に関する定め、再委託の禁止に関する定め並びに個人情報の保護に関する定めを設けるものとする。(3) この入札及び契約は、地方職員共済組合共済組合山形県支部の都合により調達手続の停止等があり得る。(4) 詳細については入札説明書による。 入 札 説 明 書山形県職員健康管理システム再構築業務の調達に係る入札公告に基づく一般競争入札については、関係法令及び山形県財務規則(昭和39年３月県規則第９号。以下「規則」という。)に定めるもののほか、この入札説明書によるものとする。１ 担当部局等(1) 契約及び仕様書に関する事務を担当する部局等(以下「契約担当部局等」という。)〒990－8570 山形県山形市松波二丁目８番１号地方職員共済組合山形県支部 健康管理担当(山形県総務部総務厚生課) 電話番号023(630)3307メールアドレス ykosei(あっと)pref.yamagata.jp※(あっと)は@に置き換える２ 入札参加者の資格(1) 「山形県競争入札参加資格者指名停止要綱に基づく指名停止措置を受けていないこと」とは、入札参加資格審査日(一般競争入札参加資格確認申請書又は競争入札参加資格審査申請書(以下「申請書」という。)の提出期限の日)から開札日までの期間中のいずれの日においても指名停止措置を受けていないことをいう。(2) 公告で指定された期限までに申請書を提出しない者及び入札参加資格が無いと認められた者は、本件入札に参加することができない。３ 入札参加資格の審査等(1) 本件入札に参加を希望する者は、入札公告の「入札参加者の資格」を有することを証するため、申請書及び添付書類(以下「申請書等」という。)を、公告で指定された提出場所へ提出し、入札参加資格の有無について契約担当者の審査を受けなければならない。(2) 提出書類ア 入札参加者の資格に関する書類(ｱ) 一般競争入札参加資格確認申請書(別紙様式第１号)(ｲ) 情報セキュリティマネジメントシステム(ＩＳＭＳ)適合性評価制度に関してJISQ27001(ISO/IEC27001)の基準に適合することによる認証を受けていることを証する書類(写し)(ｳ) 国又は地方公共団体又はそれに類似する団体において、3,000人以上を対象とする健康管理システムの開発(改修を含む)業務に従事した経験を有し、仮想環境上での情報システムの構築業務に従事した経験を有することを証する契約書、仕様書(写し可)(3) 上記(2)の書類を郵送で提出する場合は、書留郵便に限る。電子メールで提出する場合は、PDF形式で送付すること。(4) 申請書を提出した者は、入札日の前日までに添付書類に関し説明又は協議を求められた場合はこれに応じるものとし、必要な場合には添付書類の追加に応じるものとする。なお、その指示に応じないときは、入札参加資格がないものとみなす。(5) 申請書の作成及び提出に係る費用は、申請者の負担とする。４ 入札参加資格審査結果の通知(1) 入札参加資格の審査は、その提出期限の日を基準日として行うものとし、その結果は令和８年９月14日(月)までに通知する。５ 仕様書に関する質問等(1) 仕様書に関し質問がある場合は、令和８年９月９日(水)午後４時までに契約担当部局等に別紙様式第２号により持参、郵送(書留郵便に限る。)又は電子メール(PDF形式)で提出すること。なお、郵送等による場合は、上記期限まで契約担当部局に到達しなければならない。(2) (1)の質問に対する回答は、質問者あて書面により行うとともに、その回答書は、当該回答を行った日の翌日から入札執行の日時までの期間、地方職員共済組合山形県支部(山形県総務部総務厚生課)及び山形県ホームページにおいて閲覧に供する。６ 入札の辞退等(1) 入札参加者は、入札書を提出するまでの間は、いつでも入札を辞退することができる。入札を辞退する場合は、書面により行うものとする。この場合は、辞退する役務の名称、入札日、辞退する者の氏名又は名称、辞退する理由を記載した書面に代表者印を押印し、入札を執行する日時までに提出するものとする。(2) 入札参加者が入札執行時刻に遅れた場合は、本件入札を棄権したものとみなす。７ 入札(1) 入札書の様式は、入札書(別紙様式第３号)による。(2) 入札書は入札公告の「入札の場所及び日時」に持参するものとするが、郵送による提出も認める。(書留郵便に限る。)(3) 入札書は封筒に入れて厳封し、表に「氏名又は名称」及び「役務の名称」を記載すること。(4) 入札書を郵便により提出する場合は二重封筒とし、入札書を中封筒に厳封の上、上記(3)の内容を記載し、表封筒に「入札書在中」と朱書きすること。なお、令和８年９月15日(火)午後５時までに契約担当部局に必着とし、当該日時までに到達しなかった場合は棄権とみなす。(5) 入札者は名刺を提出し、代理人をして入札に関する行為をさせようとする場合は、委任状(別紙様式第４号)を作成し提出させること。(6) 入札者又は入札者の代理人は、当該入札に関する他の入札者の代理をすることはできない。また、法人の代表者(支店長等の受任者を含む。)が自ら入札する場合は、当該入札に関して他の入札者となることはできない。(7) 入札価格には、役務の遂行に必要な打合せ等の付随業務に係る旅費、日当、使用料、その他一切の諸経費を含む総額とする。８ 開札入札者又はその代理人は開札に立ち会うものとする。入札者又はその代理人が立ち会わない場合においては、入札事務に関係のない地方職員共済組合山形県支部職員を立ち会わせて開札を行う。開札に立ち会わない入札者は、開札結果の通知に必要な返信用封筒に、受取人の住所、氏名又は名称等を明記のうえ、所定の料金の切手を貼ったものを入札書とともに提出しなければならない。９ 入札の無効次に掲げる入札は無効とする。(1) 入札公告に示した入札参加資格のない者(入札参加資格があることを確認された者で、開札時において入札公告に示した入札参加資格を満たさなくなった者を含む。)のした入札(2) 申請書に虚偽の記載をした者のした入札(3) 委任状を持参しない代理人のした入札(4) 入札の公正な執行を妨げ、又は公正な価格の成立を害し、若しくは不正の利益を得るため連合したと認められる入札(5) 同一の事項につき２通以上の入札書を契約担当者に提出した入札(6) 金額、氏名等の入札要件が確認できない入札書、記名押印を欠く入札書又は入札金額を訂正した入札書を契約担当者に提出した入札(7) その他入札に関する条件に違反した入札10 再度入札予定価格の制限の範囲内の価格の入札がないときは、直ちに再度の入札を行う場合がある。再度の入札を辞退するときは、入札書に「辞退」と記載し、提出すること。入札を一度辞退した者は，当該入札案件の再度の入札に参加することはできない。11 落札者の決定方法(1) 規則第 120 条第１項の規定により作成された公告２の(1)の予定価格の範囲内で最低の価格をもって入札(有効な入札に限る。)を行った者を落札者とする。 (2) 落札となるべき同価の入札をした者が二人以上あるときは、直ちに当該入札者にくじを引かせて落札者を決定する。この場合において、当該入札者のうち立ち会わない者又はくじを引かない者があるときは、当該入札執行事務に関係のない地方職員共済組合山形県支部職員にこれに代わってくじを引かせ落札者を決定する。(3) 落札者の決定の時までに入札参加資格を満たさなくなった者は落札者としない。12 その他(1) 申請書に虚偽の記載をした場合においては、山形県競争入札参加資格者指名停止要綱に基づく指名停止措置を行うことがある。(2) 入札参加者の連合、その他の理由により入札を公正に執行することができないと認められるときは、当該入札参加者を入札に参加させず、又は入札の執行を延期し、若しくは取り止めることがある。(3) 入札をした者は、入札後、契約条項又は入札条件等の不明を理由として異議を申立てることができない。(4) 落札者は予約完結権を他に譲渡することができない。(5) 入札者又はその代理人は、即日口頭落札決定通知を受領するための印鑑(入札書に使用する印鑑に限る。ただし、代理人の場合は当該代理人の印鑑とする。)を持参すること。なお、当該印鑑を持参できない場合は、入札執行時の指示により落札決定を通知する。(6) 本件契約の条項は、別に示す契約書(書式)による。(7) その他必要とする入札に関する条件については、入札執行時の指示による。 山形県職員健康管理システム再構築業務調達仕様書令和８年８月31日地方職員共済組合山形県職員健康管理システム再構築業務 調達仕様書1目次１．委託業務の名称.. 2２．委託期間.. 2３．再構築の背景と目的.. 2４．再構築の方針.. 2５．委託業務の概要.. 2６．開発要件.. 3６－１ システムの概要.. 3６－２ システム設計構築条件.. 4６－３ 新システム概念図.. 6６－４ 開発期間.. 6６－５ 非機能要件.. 7６－５－１性能要件.. 7６－５－２災害対策要件.. 7６－６ 機能要件.. 7６－６－１ 基本機能要件.. 7６－６－２ 画面要件.. 8６－６－３ 帳票要件.. 8６－７ テスト要件.. 9６－８ 管理作業要件.. 9７．データ移行要件.. 9７－１ データ抽出および移行に関する注意事項.. 9７－２ 作業項目と役割分担.. 10７－３ システム切替時の注意事項.. 11８．操作研修要件.. 11８－１ 研修計画の策定.. 11８－２ 操作研修の体系.. 11９．運用保守要件.. 12１０．全般的事項.. 13１０－１ 作業従事者.. 13１０－２ 作業場所及び使用機材等.. 13１０－３ 使用物件・資料.. 13１０－４ 情報セキュリティの確保.. 13１１．役割分担.. 14１２．成果品.. 15１３．再委託に関する事項.. 16１４．添付資料.. 16１５．その他.. 16山形県職員健康管理システム再構築業務 調達仕様書2１．委託業務の名称山形県職員健康管理システム再構築業務２．委託期間契約締結の日から令和9年3月31日まで３．再構築の背景と目的現行の職員健康管理システム(以下「現行システム」という。)は平成27年から運用しているが、稼動から10年以上経過している。また、本システムは令和9年3月31日をもってサポート終了が予定されている。そのため、セキュリティ対策やプログラムに起因する不具合が発生した場合の対応が困難な状況にあり、最悪の場合、システム停止・業務中断となるリスクを抱えた状態となっている。以上のことから、早急に現状の課題を解消し、安定したシステム運用による業務継続性の確保を図る必要があることから、本システムを再構築する。４．再構築の方針①パッケージソフトの活用システムの安定的な稼動を確保するため、ソフトウェアは独自開発を行わず、パッケージソフトを導入する。パッケージ機能で実現が困難な場合は、代替手段の検討、機能改善、必要に応じたカスタマイズ等により対応する。②庁内ネットワークの活用既存資産の有効活用を図るため、県ＤＸ推進課所管のネットワーク及びサーバを活用する。③業務効率性の確保現行システムで提供されている機能による業務効率性を維持するため、新システムにおいても同等の機能を実現するものとする。④機能拡張の容易化長期的な可用性を確保するため、データ項目の標準化、システムの共通化を図ることにより、法改正、組織変更、新たなシステムとの連携等に柔軟に対応可能なシステムとする。⑤情報セキュリティの確保ネットワーク化によりデータへのアクセスが容易な環境となることから、県の情報セキュリティポリシーに基づき、情報セキュリティに十分に配慮したシステムとする。５．委託業務の概要業務項目 内容① 職員健康管理システムの導入・パッケージソフトの導入(カスタマイズ等の対応を含む)、その他新システム運用に必要なソフトウェアの調達・導入、システム稼動にあたってのセットアップ作業、山形県職員健康管理システム再構築業務 調達仕様書3テスト作業、運用テスト支援、本番切替等の作業を行う。②データ移行 ・現行システムのデータを新システムへ移行する。・データ移行設計を行い、データの変換及び登録を行う。・安全性確保のため、データ移行は仮移行を行った後に本移行(合計2回)実施する。・移行データの正確性を確保するため、必要な検証を行う。③操作研修の実施 ・システムを利用する職員にとって必要な技能を習得するための研修計画の策定及び研修資料の作成を行うとともに、操作研修時における端末操作のサポート及び質疑への対応を行う。６．開発要件６－１ システムの概要山形県職員健康管理システムは、県職員の定期健康診断等のデータの入力・管理を一元化したもので、定期健康診断の連名簿の出力から、検診実施後の検査結果の取込、精密検査の判定、指導区分の決定に至るまで、定期健康診断等のほぼ全ての事務を行うものである。実績報告用の帳票出力や各種統計の作成にも対応し、保有する５年間分の健診データ(約４万件)を自由に閲覧・出力することができる。①システムの利用者１１名・山形県総務部総務厚生課 職員診療所・健康管理室(３名)・各総合支庁総務企画部総務課保健室(各１名、計４名)・各県立病院総務課(各１名、計４名)②パソコンの設置状況設置場所 所在地 台数総務厚生課 職員診療所・健康管理室山形市松波2-8-1(県庁2階) ﾉｰﾄﾊﾟｿｺﾝ ３台村山総合支庁 山形市鉄砲町2-19-68 ﾉｰﾄﾊﾟｿｺﾝ １台最上総合支庁 新庄市金沢字大道上2034 ﾉｰﾄﾊﾟｿｺﾝ １台置賜総合支庁 米沢市金池7-1-50 ﾉｰﾄﾊﾟｿｺﾝ １台庄内総合支庁 三川町大字横山字袖東19－1 ﾉｰﾄﾊﾟｿｺﾝ １台県立中央病院 山形市大字青柳1800 ﾉｰﾄﾊﾟｿｺﾝ １台県立新庄病院 山形県新庄市金沢720-1 ﾉｰﾄﾊﾟｿｺﾝ １台県立河北病院 河北町谷地字月山堂111 ﾉｰﾄﾊﾟｿｺﾝ １台山形県職員健康管理システム再構築業務 調達仕様書4県立こころの医療センター 鶴岡市北茅原町13-1 ﾉｰﾄﾊﾟｿｺﾝ １台③管理対象データ数対象職員数 約8,000人(臨時・非常勤職員を含む)・定期健康診断 約8,000人／年・胃がん検診 約5,000人／年・大腸がん検診 約4,000人／年・肺がん検診 約2,000人／年６－２ システム設計構築条件①ネットワークは、県ＤＸ推進課所管の県基幹高速通信ネットワーク(以下「基幹ネットワーク」という。)を利用すること。②新システム稼動に必要となるソフトウェア等については受注者において調達すること。なお、ハードウェアについては発注者にて準備する。＜ハードウェア＞仮想サーバ、クライアントＰＣ、プリンタについては発注者にて準備する。また、基幹ネットワークを利用するため、ネットワーク機器(LANケーブル、HUB等)についても調達範囲外とし、クライアントPCは職員端末を利用すること。＜ソフトウェア等＞仮想サーバのゲストOSはWindows Server 2022 Datacenterとし、ライセンス(CAL含む)は発注者が用意する。ゲストOSのライセンスは発注者が購入しているため、受注者にて購入する必要はない。また、パッケージソフトを稼動させるために必要となる各種ミドルウェア(データベースソフト、帳票生成ソフト等)、及びその他ソフトウェア一式を受注者において調達すること。 ウイルス対策ソフトは発注者の責にてトレンドマイクロ社のDeepSecurity を利用可能とする。ただし、パッケージソフトとして個別にウイルス対策ソフトを利用する場合は受注者にて調達すること。データベースソフトは、Microsoft SQL Serverを使用することとし、飛鳥となるライセンスを含め、受注者が調達すること。③システムの稼動基盤は、県ＤＸ推進課が所管する県基幹高速通信ネットワークサーバ(以下「基幹サーバ」という。)上に構築すること。提供するのはハードウェアではなく、NutanixAHV(以下「仮想環境」という。)による仮想マシンの割り当てとなる。④仮想環境において割り当てるリソースについては、原則として以下のとおりとするが、これにより難い場合は、発注者と協議を行うこと。サーバ数(稼動環境)は、アプリケーションサーバ・データベースサーバ兼用の１台構成を想定する。山形県職員健康管理システム再構築業務 調達仕様書5CPU：４コア メモリ：８ＧＢ ハードディスク容量：３００ＧＢ⑤ミドルウェア等のソフトウェアの選択においては、事前に発注者と協議し了承を得ること。有償ソフトを選択した場合、その費用は受注者が負担すること。⑥仮想環境にシステムを実装する際の役割分担は以下のとおりとする。＜発注者が行う作業＞・仮想マシンの準備(仮想環境上へのハードウェアリソースの割り当て)・ＩＰアドレス及びホスト名の決定・基幹ネットワークの設定(作業指示内容案は受注者が作成すること。また、設定内容に関しては、発注者及び関係する事業者と協議し、了承を得た上で決定すること。)・ＯＳのインストール＜受注者が行う作業＞・ＯＳの設定・テスト・システム稼動に必要となるミドルウェアやその他のソフトウェア等のインストール・設定・テスト及びシステムの構築・設定・テスト・ＩＰアドレスの設定・テスト・データの移行・データ移行計画書の作成、移行テストの検証・評価、データ移行の実施・クライアントPCにおけるシステム利用環境の設定及び動作確認・システム利用に必要なブラウザ設定、ショートカット作成、その他の利用環境設定・クライアントPCにおける接続試験及び運用開始前の動作確認なお、クライアントＰＣの設定対象台数は 11 台を想定する。詳細については契約後に発注者と協議のうえ決定するものとする。⑦ブラウザソフト(Edge、Chrome)を介してシステムを利用できるＷＥＢシステムとすること。⑧以下のクライアントＰＣ環境での動作を保証すること。＜ノートパソコン＞ＣＰＵ ：インテルCore i3-8145Uプロセッサーメモリ ：8GB(4GB×2)解像度 ：1366×768(HD)ＯＳ ：Windows11 Professionalブラウザソフト：Edge(Chromium 版)アプリケーション：Microsoft 365 Apps for Enterprise-ja-jp⑨連携する他の関連システムと新システム間のデータ連携を実現すること。また、連携データのメンテナンスや反映の再試行が可能であること。⑩基幹サーバ上のサーバ群については、県ＤＸ推進課において、ストレージの機能を利用し山形県職員健康管理システム再構築業務 調達仕様書6て、日次で SnapShot、および遠隔バックアップを行っているが、データベースの中身や他のデータ等については個別に取得すること。上記の事項を考慮の上、定期的(週に１回以上)にシステムで保持するデータ等、システムのリストアの際に必要なデータ等のバックアップを行うよう設計し、上記のバックアップを使用したシステムのリストアの方法についても定めること。なお、バックアップの領域については、県ＤＸ推進課が提供する領域を利用することも可とする(必要なデータ領域については県ＤＸ推進課と協議のうえ決定することになる)。 ユーザーが選択した項目でグラフ作成ができること。③データ修正職員情報や健診結果データ等(過去データ含む)のデータ修正ができること。④データ管理管理項目の追加・変更・削除が可能であること。(２)オンライン検索機能様々な条件で検索を可能とするほか、事務処理上の必要性に応じた業務固有の検索も可能とすること。業務共通の具体的な検索機能としては、カナ氏名、住所検索、生年月日検索、及びこれらの複合検索を実現すること。また、カナ氏名検索では清音・濁音の区別なく検索を可能とすること。(３)ＥＵＣ機能事務において随時必要となる統計資料や報告資料等の非定形帳票について、その都度山形県職員健康管理システム再構築業務 調達仕様書8プログラムを作成し出力するのではなく、職員自らが簡易な操作でシステムで管理している項目を任意条件で設定して対象者を抽出し、必要なデータをシステムから取得し、集計・編集・加工可能なEUC機能を実装すること。(４)証跡管理機能利用者やシステム管理者によるシステム操作記録(ログイン情報や出力データ内容、閲覧職員番号等のアクセスログ)等の証跡を管理する機能を設けること。(５)ユーザー認証方式利用者はログインユーザID・任意のパスワードでログインできること。また、パスワードポリシーの設定ができること。(例：８文字以上英数字の組み合わせ)６－６－２ 画面要件事務効率、保守性の向上を目的として次の事項を遵守すること。画面構成、画面操作等については統一性を確保すること。①業務上必要な照会画面等への遷移ボタンを用いるなど、効率よく作業できる仕組みを持つこと。②条件検索により対象が一覧表示された場合に、表示画面上での表示項目の追加や絞り込み、表示項目の出力を可能とする仕組みを持つこと。③どのような処理を行う画面か、容易に判断可能な画面とする。また、カラー表示等により、必須入力項目や要修正箇所が分かりやすい仕組みを持つこと。④コード等を直接入力する方式に対応できること。また、ドロップダウンリストボックス等の表示による選択入力にも対応すること。⑤1 つの業務内で遷移等する場合、同じ項目を再び入力する必要がないように、同じ項目を自動表示するなど、事務負担の低減を図る仕組みを持つこと。⑥入力ミス等を防ぐため、各入力項目におけるチェック機能の充実を図ること。画面上に表示されるエラーメッセージ等については、表示されたメッセージを見れば、エラーの内容や何をすれば良いのかが、正確かつ容易に判断できるように配慮すること。６－６－３ 帳票要件帳票については、できる限り新システムで標準実装されている様式に合わせるが、帳票設計に当たっては、次の項目を遵守すること。①紙ベースの出力機能に加えて電子データでの出力を可能にする仕組みを持つこと。また、統計資料等の加工の必要な帳票は、CSV形式での出力を可能とすること。②印刷時にプレビュー画面の表示が可能であり、かつ印刷範囲の設定が可能な仕組みを持つこと。③各出力帳票間でフォント形式・サイズを統一すること。④出力帳票については、原則としてA4版又はA3版とすること。山形県職員健康管理システム再構築業務 調達仕様書9６－７ テスト要件①テスト仕様書に基づき実施したテストの結果を成績表にまとめ、発注者に報告し、確認を受けること。②庁舎外にテストデータを持ち出す場合は、個人を特定する情報はマスクし、発注者の許可を得たうえで行うこと。６－８ 管理作業要件①作業に先立ち開発スケジュール及び開発体制等を記載したプロジェクト計画書を提出し、発注者と今後の進め方について十分な協議を行ったうえで、双方の意識にずれがない状態で業務を実施すること。②開発スケジュールの作成にあたっては、本仕様書内容の十分な理解、発注者の開発体制を踏まえて、品質が確保されたシステムの開発が実現できるスケジュールとすること。また、円滑で安全なシステム移行を考慮したスケジュールとすること。なお、システム再構築期間中に軽微な法改正があった場合についても本調達の対象とし、発注者は追加の負担を認めない。③進捗報告会を定期的に開催すること。開催後は速やかに議事録を作成、提出し、活動内容や進捗状況、課題・解決方法などを共有すること。④喫緊の問題が発生した場合などは、状況を把握したうえで適宜報告すること。⑤障害発生時及び緊急事態に備えた連絡体制を整備し、システム開発・保証期間中に委託業務の遂行上問題・事故等が発生した場合は、受注者は速やかに発注者に報告すること。なお、重要な事項又は急を要する案件の場合は、電話等により直ちに報告するとともに後日書面または電子文書にて報告すること。⑥システム開発を効率的に行うために、発注者と受注者とが協調してシステム開発を進めるものとし、開発作業計画の確認、作業状況に対する定期的な進捗管理、作業結果の検証を両者で行うことのできる体制を構築すること。⑦プロジェクトの推進にあたり、発注者と受注者の間で充分なコミュニケーションの確保が必要となるため、手段、内容、場所、回数等を提示すること。７．データ移行要件７－１ データ抽出および移行に関する注意事項① データ抽出の範囲および手続き現行システムからのデータ抽出は、本調達の範囲内で実施するものとする。データ抽出は現行保守業者に対して発注者または受注者が依頼して実施することとする。当該費用については、現行ベンダーである株式会社ＹＣＣ情報システム(山形市松波四丁目5番12号、023-641-4664)に事前に連絡のうえ、データ抽出費用の見積を取得した上で、本調達費用に含めるものとする。なお、移行対象データは以下のとおりとし、現行システムにおいて保持しているデータを現行システムのデータ形式で提供するものとする。過去5年分のデータを移行対象とする。山形県職員健康管理システム再構築業務 調達仕様書10・定期健康診断結果・精密検査結果② 受領データの検証受領したデータについては、受注者が移行前に以下の観点で検証を実施すること。・必要項目の欠損有無・データ型・桁数・コード体系の整合性・システム上の論理整合性・データの整形・加工不備または疑義が確認された場合は、速やかに発注者へ報告し、対応方針(修正主体・修正方法)について協議の上、作業を実施すること。③ データ移行作業の実施要件データ移行作業は、十分な検証期間を確保した上で実施し、以下を満たすこと。 ・検証用データおよびテストデータの作成・総合テストおよび運用テストで使用可能な品質の確保・発注者職員の確認作業(目視確認・サンプリング確認等)に配慮した計画とすること。７－２ 作業項目と役割分担新システムへの移行に関し、受注者が実施すべき作業と発注者との役割分担は、次のとおりとする。作業項目 受注者 発注者移行計画の作成 ●現行システムのデータ仕様に関する情報提供 ●移行対象データの抽出依頼(※) ● ●移行対象データの抽出に係る調整・支援 ●移行対象データの提供(※) ●移行対象データの受領・管理 ●不正データの抽出・指摘 ●現行不備データの修正 ●新システム仕様に伴うデータ補正 ●データ移行用プログラム・ツールの開発 ●移行作業手順書の作成 ●移行リハーサル ●移行リハーサル結果の検証 ● ●本番移行 ●本番移行結果の検証 ● ●業務観点でのデータ確認 ●山形県職員健康管理システム再構築業務 調達仕様書11最終受入(検収) ●※移行対象データの抽出および提供は現行保守業者が実施するものとし、発注者が当該業者に対して抽出依頼を行うものとする。受注者は、抽出内容・時期・形式等について調整および技術的支援を行うこと。７－３ システム切替時の注意事項システム切替においては、検証時等でリハーサルを実施するとともに、万一の失敗に備えることも重要と考えている。そのため、各作業の要所において、確認ポイントを設け、作業の成否を検証し、失敗が判明した場合の切り戻しの条件を明確にし、作業手順を考慮すること。(１)システム切替現行システムから新システムへの切り替えにあたっては、データ連携、職員負担等を考慮し、適切な時期を定めること。このシステム切替は、業務への影響を最小限にするため、事前に十分な検証を行った上で実施すること。(２)移行完了の確認移行が完了し、新システムによる運用を開始できることを検証すること。(３)移行完了報告上記の作業の結果を発注者へ報告すること。８．操作研修要件８－１ 研修計画の策定新システムの操作研修を令和９年２月に開催する予定である。新システムへの円滑な切替と運用開始後の円滑で効率的な事務処理を実現するために、新システム習得のため操作研修計画を立案し、操作研修を実施すること。また、システム操作マニュアルを作成し、研修教材のほか、日々の操作マニュアル、業務処理の把握にも利用できるものとすること。８－２ 操作研修の体系(１)操作研修の対象操作研修は、新システム利用者を対象として実施すること。なお、研修のための会場の準備は発注者が行うが、研修用テキストは受注者が準備すること。時間は、通常業務時間帯を基本とする。(２)操作研修の実施操作研修は受注者が企画・立案し発注者の承認を得たうえで、発注者と受注者が協力して実施する。なお、想定する研修会の内容は以下のとおり。＜利用者向け操作研修会＞項目 内容説明目的 担当業務に関する新事務処理及び新システムの操作方法について習山形県職員健康管理システム再構築業務 調達仕様書12熟を図るとともに、運用開始後の正確で確実な事務の執行のために必要な知識等の習得を図る。内容 新システムの操作方法及び関連する事務処理方法、EUC支援機能等に関する端末操作方法回数 １回その他 講師及び講師補助(システム操作支援)は受注者が行う。研修用の資料は受注者が作成し、印刷する。研修会場は山形県庁２階の職員診療所内を予定し、研修用の端末は発注者が用意すること。(プリンタは使用しない)。受注者は研修環境の設定(データセットアップ、端末の動作確認等)を行う。必要なテストデータ等は受注者が用意するものとする。＜システム管理者向け研修会＞項目 内容説明目的 新システムの運用方法及び保守方法について習熟を図るとともに、運用開始後の正確で確実な運用に必要な知識等の習得を図る。内容 新システムの運用方法、新システムの保守方法回数 １回その他 講師は受注者が行う。研修用の資料は受注者が作成し、印刷する。研修会場は山形県庁２階の健康管理室を予定し、研修用の端末、プリンタは発注者が用意すること。９．運用保守要件本システム構築後の運用・保守要件を以下に示す。なお、運用・保守契約については、別途契約を締結する。(１) システム運用稼働時間は、計画的停止を除き、開庁日の開庁時間(午前8時半～午後5時15分)を原則とする。(２) 発注者からシステムの運用や管理、操作方法等に関する問い合わせ及び障害発生時対応に当たっては、受付対応窓口を設置し、これらの対応に必要な体制を整備すること。 受付時間は開庁日の午前8時半～午後5時15分までとする。なお、緊急を要する際にはこの限りではない。(３) システムの安定稼働のためにセキュリティパッチを適用する必要がある場合は、適用後の安全性を確認したうえで適切に対応すること。(４) 軽微な制度改正等への対応について、対応要否や優先度を発注者と協議し、対応を行うこと。ただし、大規模な修正が伴う場合は、発注者と別途協議することとする。山形県職員健康管理システム再構築業務 調達仕様書13１０．全般的事項１０－１ 作業従事者本仕様書の定める事項を遵守し、作業の円滑な実施と品質の確保を実現するため、作業従事者に以下の要件を満たす要員を配置すること。要員の配置にあたっては、要件を満たしていることが確認できる職歴経歴書を提出すること。場合によっては、契約書の写しなど追加資料の提出を求める場合がある。・過去５年以内に、国又は地方公共団体又はそれに類似する団体の健康管理システムに係る開発(改修を含む)業務に従事した経験を有すること。・過去５年以内に、仮想環境上での情報システムの構築業務に従事した経験を有すること。１０－２ 作業場所及び使用機材等①業務の作業場所及び業務の実施に必要な設備・機器については、受注者の責任において準備することとし、それに要する経費についても、委託業務に含むものとする。②基幹サーバへの導入・構築・データ移行作業等は、原則として、県庁舎内において、発注者が準備したＰＣにより基幹サーバにアクセスして作業を行うものとする。③県庁舎において作業を行う際は、「山形県庁内管理規則」等の県庁舎管理に係る規定を遵守し、場所の使用に係る一切の事項について発注者の指示に従うとともに、業務従事者の品位の保持に努めること。１０－３ 使用物件・資料①発注者は受注者の求めに応じて、本委託業務の遂行に必要と認められる資料及び帳票等(以下「資料等」という。)を貸与する。この場合、善良な注意義務をもってこれを保持し、発注者の承諾なく第三者に公表または貸与してはならない。②受注者は、発注者が使用させる資料等の管理体制及び業務従事者以外の者に使用させないための対策並びに業務従事者が目的外に当該資料等を利用しないための対策を提示すること。なお、情報漏えい防止の観点から、情報の管理状況を発注者が定期的又は随時確認する場合には、これに対応すること。③業務完了等により発注者が使用させた資料等が不要になった場合、当該資料等を発注者に返却すること。資料等を複写している場合は複写物を廃棄するとともに、廃棄した旨を書面で報告すること。１０－４ 情報セキュリティの確保①作業にあたっては、「山形県情報セキュリティポリシー」を遵守することとし、特にデータの適切な取り扱いについて留意すること。②受注者は、業務上知り得た個人情報などを一切漏えいしてはならない。③本システムは個人情報を扱っており、実データについては外に持ち出さないこと。④ 業務従事者に対するセキュリティ教育の実施をすること。山形県職員健康管理システム再構築業務 調達仕様書14１１．役割分担発注者と受注者の役割分担は下記の通りとする。○：主担当、△：支援カテゴリ作 業 項 目受注者発注者備 考調達ソフトウェアの調達 ○セ トア プ作業仮想サーバの準備 ○ＩＰアドレス・ホスト名の決定 ○基幹ネットワークの設定 ○仮想サーバセットアップ ○・ＯＳ(インストール除く)、ミドルウェア、ソフトウェアのインストール及び設定・テスト・ＩＰアドレスの設定、テスト・システムセットアップ作業クライアントセットアップ ○ △・システムセットアップ作業※発注者が端末準備、受注者がシステムセットアップ作業デ タ移行移行計画の作成 ○現行データ仕様提供 ○ 現行システムのデータ仕様に関する情報提供移行対象データの抽出依頼 ○ ○ 現行保守業者への抽出依頼移行対象データの抽出調整・支援○移行対象データの抽出と提供移行対象データの提供 ○移行対象データの受領・管理 ○データ移行設計 ○不正データの抽出・指摘 ○現行システム不備データの修正○現行システムにおいて問題が発生する不正データの修正新システム仕様に伴うデータ補正○現行システムでは問題ないが新システムで問題が発生するデータの補正データ移行用ツールの開発 ○ データ移行用プログラム・ツールの開発移行作業手順書の作成 ○ 移行作業手順書の作成移行リハーサル ○ 移行リハーサル移行リハーサル結果の検証○ △移行リハーサル結果の検証※発注者は業務観点で確認本番移行 ○ 本番移行本番移行結果の検証○ △本番移行結果の検証※発注者は承認前提の確認を実施業務観点でのデータ確認 ○最終受入(検収) ○構築パッケージシステム構築 ○ 管理項目設定、マスタ設定、データ取込設定カスタマイズ設計 ○ パッケージカスタマイズ・独自機能の設計カスタマイズ構築 ○ パッケージカスタマイズ・独自機能の構築テスト結合テスト ○総合テスト ○ △ ※発注者は受入観点で確認外部連携テスト ○ △ 連携する他の関連システムと新システム間のデ山形県職員健康管理システム再構築業務 調達仕様書15カテゴリ作 業 項 目受注者発注者備 考ータ連携確認※発注者は必要に応じて連携先との調整を実施運用テスト △ ○ 受注者は運用テストの支援を行う。研修研修計画の策定 ○研修資料の作成 ○操作研修 ○ △本番切替 ○ ○本番切替等の作業※受注者主導、発注者承認プロジェクト管理 ○ ○問題点や進捗等の管理を行う。※受注者主導、発注者が意思決定システム検収 ○１２．成果品次の成果品を納入し、検査に合格すること。 ①システム(本番環境において稼動している状態であること)②各種ドキュメント等名称 記載内容等 納入期限プロジェクト計画書 基本方針、作業工程とスケジュール、開発体制等 契約締結後、速やかに進捗報告書 プロジェクトの進捗状況 共済組合と調整の上、決定する課題管理表 プロジェクトの課題 共済組合と調整の上、決定する設計書 機能設計、非機能設計、移行設計、保守運用設計(運用手順書、障害対応手順書)共済組合と調整の上、決定する総合テスト計画書／報告書テストの種類と目的、テスト範囲、体制等 共済組合と調整の上、決定する移行計画書 システム・データ移行検証、システム・データ移行リハーサル、本番データ移行等のスケジュール共済組合と調整の上、決定する移行作業手順書 システム・データ移行の時期・期間、対象データ、移行の検証方法、不備データの対応共済組合と調整の上、決定する移行作業報告書 システム・データ移行の時期・期間、対象データ、移行の検証結果、不備データの対応結果共済組合と調整の上、決定する業務プログラム システム一式 共済組合と調整の上、決定するシステム操作マニュアルシステムの操作説明 共済組合と調整の上、決定する山形県職員健康管理システム再構築業務 調達仕様書16操作研修資料 操作研修時の資料(研修用テキスト) 共済組合と調整の上、決定する議事録 打合せ記録 会議開催後、速やかに③納入場所地方職員共済組合山形県支部 健康管理室(山形県庁２階)④納入条件各種ドキュメントは容易に内容が確認できるように配慮して作成すること。紙または電子媒体Microsoft ExcelまたはWord、PDF形式(DVD-R 又はCD-R)のいずれか発注者の指定する媒体で納入すること。納入される成果品は、全てウイルスチェック済みであること。１３．再委託に関する事項本案件にもとづく業務の第三者への委託に関する取扱いについては、次に定める通りとする。・業務の全部または主たる部分を一括して第三者に委託してはならない。・業務の一部を第三者に委託しようとするときは、事前に発注者に対し、委託先の名称、代表者氏名及びその他必要な事項を報告し、承諾を得ること。・業務の一部を第三者に委託した場合、当該委託先に対し、本仕様書に定める受注者の義務と同等の義務を負わせるとともに、発注者に対して、受注者は当該委託先のすべての行為及びその結果についての責任を負うものとする。１４．添付資料・山形県職員健康管理システム機能要件書・出力帳票・山形県情報セキュリティポリシー(山形県情報セキュリティ基本方針及び山形県情報セキュリティ対策基準)１５．その他受注者は、本仕様書に定めのない事項、仕様書に定める業務の実施にあたって必要な詳細事項及び仕様書の解釈に疑義が生じた場合は、遅滞なく発注者と協議して定めるものとする。 別紙 １ 機能要件書★「適合度」欄への記入方法各機能について該当する記号(◎、○、▲、×)を記入する。 表中の各機能以外に有益な機能がある場合は最終ページ以降に適宜項目を追加して記入する。 共通事項 本県が独自に設ける個人を識別するコード(職員番号)を使用し管理・運用できること。 ○ ○ ○資格取得中の職員番号に対して、部局コード・産業医コード・地区コード・保健師コードの設定・管理ができること。 ○ ○ ○個人に関する情報を上記に記載している個人識別するコードのみで呼び出しできること。 ○ ○ ○システム使用権限の管理 システムを使用する権限(システム管理者、産業医、総務課、総務事務センター担当者、所属管理担当者、一般職員等)を登録、修正、削除できること。 ○ ○ ○システム権限単位に使用可能な各処理機能の設定及び参照可能な人事項目の設定が行えること。 ○ ○ ○システム使用者単位に、ログイン用のパスワード、システム使用期間、システム使用権限の設定ができること。 ○ ○ ○パスワードの文字数及び文字種を制限できること。 ○ ○ ○ログイン失敗回数に応じてユーザーアカウントをロックできること。 ○ ○ ○システム使用者単位に、人事情報の処理可能な範囲条件(事業所、所属、保健師コード等)の設定ができること。 ※システム使用者管轄外の職員については職員情報および健診情報は参照不可であること。 ○ ○ ○インフォメーション機能 システムの処理メニュー上に、ログインしているユーザ単位にお知らせやイベント、スケジュール情報等を入力できること。入力した情報は、他のユーザに公開するか非公開にするか選択できること。 ○ ○ ○各種マスタの管理 ・修正・登録 各種管理情報は、マスタの追加・修正を行なうことにより、プログラムの本体への修正作業を最小限とすること。 ○ ○ ○マスタ登録した内容は全てCSV出力やデータ分析時に活用できること。 ○ ○ ○年次移行処理ができること。 ○ ○ ○個人検索 入力処理や照会処理における個人を特定する条件として、職員番号、所属、カナ氏名、生年月日、性別、続柄、在職情報(在職、退職)、採用年月日で検索できること。また曖昧検索ができること。 ○ ○ ○基準日による人事情報抽出、年齢計算人事情報は履歴管理し、抽出基準日時点の情報で抽出、照会ができること。また、年齢計算基準日時点での年齢計算ができること。 ○ ○ ○年齢基準日に翌年度の4月1日を自動で設定・表示できること。 ○ ○ ○基準値設定機能 基準値の設定変更を、ユーザ側にて独自で行える機能を有すること。 ○ ○ ○基準値に応じて、結果登録・照会画面の項目の文字や背景色が自動で変わり正常／異常が一目で分かること。 ○ ○ ○年齢計算機能 年齢については、年齢計算の基準日を任意の日付、月頭、月末、年頭、年末、年度頭、年度末の設定が自由にできること。 ○ ○ ○画面出力機能 各処理画面において、CSVデータやExcelデータとして出力し、二次活用できること。 ○ ○ ○CSV出力機能 各処理メニューより、CSV出力機能を有すること。CSV出力する項目、ソート順は画面から指定できること。 ○ ○ ○人事項目は、予め必要なものを限定して出力できるように選択できること。 ○ ○ ○選択した出力項目は、保存でき、次回使用できること。 ○ ○ ○帳票タイトル名称の変更 出力帳票のタイトルは、変更できること。指定した出力条件を保存し、次回使用できること。 ○ ○ ○ファイル添付機能 ファイル(ファイル形式問わず)を添付できること。また、添付している内容を一覧表示できること。 ○ ○ ○差し込み印刷機能 人事情報を基に差し込み印刷ができること。 ○ ○ ○システムの機能を使用して帳票の出力設定を行えること。 ○ ○ ○新規レイアウト作成の際、登録済みの出力レイアウトをコピーし、設定できること。 ○ ○ ○ファイル管理機能 システム使用者で共有するファイル(ファイル形式問わず)を保存できること。 ○ ○ ○お気に入り機能 システム使用者単位 に任意のメニューをお気に入り登録できること。 ○ ○ ○プレビュー表示 全ての帳票について、プレビュー表示が行えること。また印刷時にページの指定や部数指定ができること。 ○ ○ ○エラーメッセージ表示 入力必須項目に入力が無い場合や抽出条件の選択漏れ等があった場合は、エラーメッセージの表示を行なうこと。 その際、エラー該当箇所の点滅による表示を行なうこと。 ○ ○ ○ログの管理 使用者のアクセスログは、端末情報、操作者、処理内容などの処理条件を基に収集でき、操作者、処理条件単位に表示、CSV出力できること。またログの削除が行えること。 ○ ○ ○カレンダー表示 すべての日付入力はカレンダー機能を用いて簡単に入力が可能なこと。 カレンダーは和暦表示されており、土、日や今日、選択した日付が色分け表示され、一目で分かること。 また、ワンクリックで前月、翌月に簡単に切り替えが可能なこと。 ○ ○ ○処理メニュー表示 処理メニュー画面は、業務単位にツリー形式で一覧表示されること。各業務メニューの処理ボタンは、運用順に沿って配置されること。 ○ ○ ○データの削除 個人を指定し、その個人のデータを全て削除できること。 ○ ○ ○管理情報、人事情報などを指定し、データの一括削除をできること。 ○ ○ ○操作性 本仕様における機能が、統一された画面、操作性であること。 ○ ○ ○人事情報管理 人事情報の管理項目 管理する人事項目(職員番号、氏名、性別、生年月日、所属、職種、階級など)は、汎用的に管理できること。 また、システムの稼働後に人事情報の管理項目の追加が自由にできること。 ○ ○ ○管理する人事項目において、任意で追加管理可能な項目を２０項目以上用意すること。また、追加した項目は、処理画面上で抽出条件として使用できること。その際、画面や帳票に出力する人事項目の表示名称を変更できること。 ○ ○ ○人事情報及び所属などの各種人事関連マスタは、履歴の管理ができること。 抽出基準日を指定して、基準日時点の人事情報を抽出・参照できること。 ○ ○ ○各画面や帳票上に出力する人事項目の表示名称(職員番号、事業所、所属、職種等)は、変更できること。 ○ ○ ○各個人の人事情報は、履歴管理ができること。履歴情報は、異動事由(採用、所属異動、退職、再雇用など)を設定して管理できること。 ○ ○ ○出向者、非常勤職員、臨時職員、パートなど、雇用形態の異なる人事情報も汎用的に管理できること。 ○ ○ ○職員番号が変わる場合も、過去の情報も含めて、同一人物として一元管理できること。 ○ ○ ○退職者のデータ管理ができること。再雇用などの場合も、過去の情報を引き継いで管理できること。 ○ ○ ○人事データの取込処理 人事情報は、連携用フォーマットで作成した人事データ(CSV形式)の取込処理ができること。 必要に応じて定期、随時に人事データの取込処理を行えること。 ○ ○ ○複数の連携フォーマット設定が保持でき、連携時に切り替えができること。 ○ ○ ○取込処理を自動で実行できること。 自動取込を行う設定は画面上から作成、修正できること。 ○ ○ ○対応可否 ｼｽﾃﾑ管理者産業医 保健師 所属長権限一般職員業務 処理機能 機能要件個人識別コード管理と運用1/4対応可否 ｼｽﾃﾑ管理者産業医 保健師 所属長権限一般職員業務 処理機能 機能要件本県が指定した連携用フォーマットで連携ができること。 システム稼働後に人事情報の管理項目の追加が発生した場合、システム改修を行わずに取込処理できること。 ○ ○ ○取込処理時、データにエラーがある場合は、エラー情報を表示し、CSV形式のファイルに出力できること。 エラー該当箇所は、わかりやすく自動表示すること。 自動取込機能使用時、取込結果が確認できること。 ○ ○ ○人事情報の登録・修正・削除 個人単位に、人事情報の追加及び異動処理(採用、異動、退職など)、修正、削除処理が行えること。 ○ ○ ○異動履歴情報の参照及び追加、変更、削除処理が行えること。 ○ ○ ○事業所、所属、役職などの各種人事関連マスタは、コード・名称の使用期間、表示／非表示の設定ができること。 ○ ○ ○本務情報入力時に、退職者データにおいて退職日が設定されていない場合、入力エラーとなること。 ○ ○ ○各種帳票出力 人事基本台帳、人事経歴台帳が出力できること。 ○ ○ ○各帳票は、Excel形式又はCSV形式で出力できること。 ○ ○ ○健診対象者管理 健診の除外者(免除者)の管理ができること。 個人単位に、除外する健診の種類(すべてまたは個別)、除外理由、除外期間の登録ができること。 ○ ○ ○Excelで管理している健診の除外者(免除者)の一括取込処理ができること。 ○ ○ ○健診申込時に、未受診理由を選択・登録できること。 ○ ○ ○健診内訳検査、オプション検査の管理各健診の内訳検査、オプション検査の管理ができること。 健診内訳検査単位に受診対象の性別、年齢条件が指定でき、対象者の抽出処理時に自動登録できること。 ○ ○ ○所属、年齢(範囲指定、複数指定、誕生月指定)、生年月日、性別、職種などの各種人事情報や他の健診の受診状況を抽出条件に指定して、各健診の対象者を登録できること。また、登録済の除外者(免除者)は、自動的に除外理由が設定されること。 ○ ○ ○対象者の一括削除ができること。 ○ ○ ○対象者の個別に追加、変更、削除ができること。 ○ ○ ○対象者の予約情報(受診予定日、時間、医療機関など)を個別または一括設定できること。 ○ ○ ○個人単位(職員番号や氏名による検索)で対象者登録できること。 ○ ○ ○Excelで管理している健診対象者の一括取込処理ができること。 ○ ○ ○精密検査の対象者登録・修正・削除も同様に管理できること。 ○ ○ ○健診対象者の取込画面では、取込設定の保存・読込機能を設定できること。 ○ ○ ○各種帳票出力 健診対象者、受診者、未受診者、除外者(免除者)、未予約受診者、他医療機関受診者の一覧表を出力できること。 ○ ○ ○各一覧表は、年度、健診の種類、予約日、予約医療機関、受診日、受診医療機関などの健診対象者の情報及び各種人事情報を抽出条件として出力できること。 ○ ○ ○各一覧表は、並べ替え(ソート)ができ、Excel形式又はCSV形式で出力できること。 ○ ○ ○健診の種類単位に、医療機関別、各種人事項目別、年代別の受診状況表の出力ができること。 ○ ○ ○各種マスタ設定 健康の種類(特殊検診なども含む)や医療機関、内訳検査などは、自由に追加変更ができること。 ○ ○ ○健診結果管理 健診結果データの取込処理 健診を委託している各医療機関から、健康診断結果や問診結果データを随時受領して取込処理ができること。 ○ ○ ○健診を委託している各医療機関から受領する健康診断結果や問診結果データは、既存の連携用フォーマットで取込処理ができること。 ○ ○ ○結果データは、健診の種類、受診日、医療機関、検査結果、所見結果、各検査別の医療機関判定、総合判定、コメント、医師名、既往歴、各種問診の回答などをデータ取込できること。 ○ ○ ○取込処理時、登録済の該当データを削除して取込か、上書き登録するか選択ができること。 ○ ○ ○取込処理時、登録済の健診対象者とのチェックを行なうか選択ができること。 対象者登録させていない結果データは、エラー情報として出力できること。 ○ ○ ○取込処理時、結果データにエラーがある場合は、エラー情報を表示し、CSV形式のファイルに出力できること。 エラー該当箇所は、わかりやすく自動表示すること。 ○ ○ ○取込処理を行う前に、操作者はデータのバックアップを画面上から操作できること。 画面上から、バックアップしたデータを元に戻す(取込処理前の状態に戻す)ことができること。 ○ ○ ○取込処理を行った作業履歴を画面より確認できること。 その際、各取込処理の処理件数や処理結果も合わせて確認でき、再取込処理ができること。○ ○ ○健診結果データの取込チェック健診結果データの変換処理健診の種類、医療機関、各検査項目単位に、取込データの値の妥当性チェックや取込データの変換設定が登録できること。 ○ ○ ○身長・体重を取込、入力することにより、BMI・標準体重・肥満度を計算して登録できること。 ○ ○ ○健診結果の取込、入力時、自動で判定を行うこと。 取込処理時、設定した取込データの値の妥当性チェックや取込データ変換を行った場合に取込ログリストとして出力すること。 ○ ○ ○健診結果の入力処理 受診日を管理できること。また年度範囲外の健診受診日も登録できること。 既に登録された受診日の修正を行う場合は、変更処理ボタンを押下し、修正処理を行うようにすること。 ○ ○ ○健診の種類、医療機関単位に、各健診結果票のレイアウトに基づいた結果データ入力順を設定できること。 ○ ○ ○過去の受診履歴を表示し、選択すると過去の検査結果内容を参照、入力できること。 ○ ○ ○検査値は、基準値の範囲、単位、変換後の表示内容を見ながら入力できること。 ○ ○ ○所見結果は、部位、判定など、複数選択できること。コメント入力もできること。 ○ ○ ○判定情報は、医療機関から受領する医療機関判定及び共通判定(複数の医療機関判定を統一したもの、または産業医が判定を下したものを指す)、システム独自の判定の３つを登録できること。 ○ ○ ○共通判定、システム独自の判定は、一括で再計算できること。 ○ ○ ○問診情報は、選択形式とコードでの入力及びワープロ入力ができること。また、回答における点数を自動計算できること。 なお、回答画面には、回答コードと回答内容で検索できること。 ○ ○ ○精密結果情報は、精密検査項目、受診日、医療機関、医師名、疾病コード、疾病名称、医療機関判定、指導判定、コメントを入力できること。 ○ ○ ○産業医の判定結果を入力できること。指導日、産業医名、産業判定、指導区分、指導内容、備考、メモを登録できること。 指導内容は、指導区分に紐付いた内容が表示され入力できること。 なお、指導区分を再選択した場合は、指導内容欄をクリアされないこと。 ○ ○ ○結果入力処理時、受診日時点の人事情報を参照できること。 ○ ○ ○メモや備考欄は、1000文字以上入力できること。 ○ ○ ○入力後のデータは確認の為、CSV出力できること。受診日や医療機関単位で出力できること。 ○ ○ ○健診対象者の登録・修正・削除健診の除外者(免除者)の管理2/4対応可否 ｼｽﾃﾑ管理者産業医 保健師 所属長権限一般職員業務 処理機能 機能要件照会・分析 全般 ①健診対象者情報(予約情報、精密検査対象者を含む)、健診結果情報(精密結果を含む)の履歴を時系列表示できること。 ○ ○ ○②保健指導対象者情報(予約情報)、保健指導結果情報の履歴を時系列表示できること。 ○ ○ ○上記①～②の各種管理情報の照会画面において、基準日時点(健診の受診日や保健指導日、面接日等)の人事情報が表示できること。 ○ ○ ○照会画面より、保健指導結果や健診結果、問診結果、精密検査、産業医所見結果等の入力画面へ遷移できること。 ○ ○ ○総合照会処理 選択した職員に関する上記①～②の各種管理情報を、年度単位に１画面上に時系列表示できること。 ○ ○ ○１画面で健診情報を時系列表示できること。 上記①～②の各種管理情報は、スクロール表示ですべて表示できること。 ○ ○ ○時系列に表示されている上記①～②の各種管理情報について、表示部分をクリックすると、各管理情報の照会画面に遷移できること。 ○ ○ ○上記①～②の必要な管理情報のみ表示する設定ができること。 ○ ○ ○結果照会処理履歴照会処理上記①～②の各種管理情報について、各１回単位の結果照会処理と履歴が時系列に参照できる履歴照会処理機能があること。 ○ ○ ○結果照会処理は、履歴の一覧表示から選択して表示を切り替えできること。 ○ ○ ○履歴照会処理は、表示内容(健診の種類や保健指導種別等)の絞込み表示ができること。 ○ ○ ○グラフ処理 検査値グラフは、3回・5回･最大10回の推移を表示できること。 ○ ○ ○グラフ化する検査項目は、事前にグループ化(肝機能、脂質代謝、血圧等)して登録できること。 ○ ○ ○グラフは単一グラフ(折れ線)と混合グラフ(折れ線、棒)の表示ができること。事前に設定登録ができること。 ○ ○ ○分布図出力処理 人事情報、受診年度、健診の種類を条件指定し、横軸、縦軸に出力内容(検査結果、問診結果、受診時年齢)を指定して、分布図を作成できること。 ○ ○ ○分布図上を範囲選択して、該当者の一覧表示ができること。 ○ ○ ○分布図内の範囲は、数値指定もできること。 ○ ○ ○CSV出力処理 CSV出力する項目、ソート順は画面から指定できること。 ○ ○ ○データ分析処理 上記①～②の各種管理情報と人事情報について、横断的に複合条件を指定して抽出や集計ができること。 また、抽出結果について、さらに絞込みや追加抽出、除外処理が続けてできること。 ○ ○ ○集計条件は、マクロとして登録、修正削除することができ、繰り返し使用できること。 ○ ○ ○集計操作処理の履歴表示ができること。 また、過去の操作時点に戻り、そこから続けて集計操作を行えること。 ○ ○ ○健診結果(検査、所見、判定、コメント)、検査値の増減でデータ集計できること。 判定は医療機関判定と、システム判定の２つから集計できること。 ○ ○ ○精密結果(精密受診日、医療機関、精密項目、疾病コード、疾病名称、判定)を基にデータ集計できること。 ○ ○ ○産業医所見(指導日、産業医名、産業医判定、指導区分、指導内容、備考、メモ)を基にデータ集計できること。 ○ ○ ○健診予約状況、受診状況を基にデータ集計できること。 ○ ○ ○問診結果を基にデータ集計できること。 ○ ○ ○指導結果を基にデータ集計できること。 ○ ○ ○健診結果項目(検査、問診)を基に分布図表示し、傾向を把握できること。 また、範囲選択することで、該当者一覧が表示されること。 ○ ○ ○集計方法は、所属別、階級別、役職別、資格別、部局コード別、産業医コード別、地区コード別、保健師コード別、各種コードの組み合わせなど、各種人事情報単位で集計できること。 また男女別、年代・男女別に合わせて集計できること。年代の設定は任意で行なえること。 ○ ○ ○集計結果の数字をクリックすると該当者一覧が表示されること。 また、その該当者を選択して、総合照会画面に遷移できること。 ○ ○ ○指導結果入力 指導日時、指導者、指導場所、除外理由、欠席理由、指導種別、指導内容、備考、添付ファイルが登録できること。 ○ ○ ○指導種別、回数、指導場所、担当者、指導区分、指導内容、除外理由、欠席理由は事前にマスタ登録することができ、入力時に選択方式による登録、修正ができること。 ○ ○ ○指導内容は、指導区分に紐付いた内容が表示され入力できること。 なお、指導区分を再選択した場合は、指導内容欄をクリアされないこと。 ○ ○ ○詳細内容については、ワープロ機能として10,000文字程度入力できること。 入力の際、入力内容を確認し易いよう入力画面を拡大表示できること。また照会画面も同様に拡大表示できること。○ ○ ○定型文の作成、読み込みができること。 ○ ○ ○保健指導受講者の結果入力は、一括または個別に登録できること。 ○ ○ ○登録した添付ファイル(ファイル形式問わず)はダウンロードできること。 ○ ○ ○Excelで管理している指導結果データの一括取込処理ができること。 ○ ○ ○Excelで管理している指導予定データの一括取込処理ができること。 ○ ○ ○取込処理時、エラーがある場合は、エラー情報を表示し、CSV形式のファイルに出力できること。 エラー該当箇所は、わかりやすく自動表示すること。 ○ ○ ○取込処理を行なう前に、操作者はデータのバックアップを画面上から操作できること。 画面上から、バックアップしたデータを元に戻す(取込処理前の状態に戻す)ことができること。 ○ ○ ○取込処理を行った作業履歴を画面より確認できること。 その際、各取込処理の処理件数や処理結果も合わせて確認でき、再取込処理ができること。 なお結果取込ログは、複数選択して一括削除できること。 ○ ○ ○対象者の抽出・修正・削除 所属、年齢(範囲指定、複数指定、誕生月指定)、生年月日、性別、職種などの各種人事情報を指定して、指導対象者(健診結果事後指導、要精密検査、要治療対象者など)を登録できること。 ○ ○ ○指導対象者の選択削除、一括削除ができること。 ○ ○ ○指導対象者の個別追加ができること。 ○ ○ ○指導対象者の情報(除外理由、指導予定日、時間、実施場所、担当者、指導区分、備考)を個別または一括設定できること。 ○ ○ ○Excelで管理している対象者の一括取込処理ができること。 取込時に、指導回数を自動付番すること。 また指導時刻は、Excelで認識可能な日付データ(09:30、2014/04/01 09:30:00)で取込みできること。 ○ ○ ○CSV出力 保健指導管理機能で管理している各種情報や人事情報を抽出条件に指定して、CSV出力できること。 CSV出力する項目、ソート順は画面から指定できること。 ○ ○ ○各種帳票出力 指導対象者、未実施者、指導除外者、指導欠席者、指導実施者、保健指導内容、次回保健指導予定者の一覧表を出力できること。保健指導機能で管理している各種情報や人事情報を抽出条件に指定して出力できること。○ ○ ○保健指導台帳を出力できること。保健指導機能で管理している各種情報や人事情報を抽出条件に指定して出力できること。 ○ ○ ○保健指導管理3/4対応可否 ｼｽﾃﾑ管理者産業医 保健師 所属長権限一般職員業務 処理機能 機能要件保健指導統計表(日報、月報)を出力できること。保健指導機能で管理している各種情報や人事情報を抽出条件に指定して出力できること。 ○ ○ ○保健指導集計表を出力できること。保健指導機能で管理している各種情報や人事情報を抽出条件に指定して出力できること。 ○ ○ ○各帳票は、並べ替え(ソート)ができ、Excel形式又はCSV形式で出力できること。 ○ ○ ○管理対象者の登録・修正・削除 指導区分や健康管理区分の保有者、また、衛生管理者など個人単位に管理したい情報の登録、修正、削除が汎用的にできること。 ○ ○ ○管理情報は、個人単位に履歴管理ができ、時系列に参照できること。 また、管理種別は、自由に追加ができること。 ○ ○ ○管理種別、管理開始日、終了日、管理区分、担当者、備考、疾病、添付ファイルの登録、修正、削除ができること。 ○ ○ ○定型文の作成、読み込みができること。 ○ ○ ○登録した添付ファイル(ファイル形式問わず)はダウンロードできること。 ○ ○ ○Excelで管理している指導区分データの一括取込処理ができること。 ○ ○ ○取込処理を行なう前に、操作者はデータのバックアップを画面上から操作できること。 画面上から、バックアップしたデータを元に戻す(取込処理前の状態に戻す)ことができること。 ○ ○ ○取込処理を行った作業履歴を画面より確認できること。 その際、各取込処理の処理件数や処理結果も合わせて確認でき、再取込処理ができること。 なお結果取込ログは、複数選択して一括削除できること。 ○ ○ ○指導区分、個別管理情報や人事情報の各項目を抽出条件に指定して、登録済の該当者を一覧表示できること。一覧から選択して、修正、削除ができること。 ○ ○ ○詳細情報の管理 登録済の指導区分、個別管理情報単位に、面接や指導結果など、詳細情報を汎用的に履歴入力できること。 ○ ○ ○CSV出力 指導区分管理・個別管理機能で管理している各種情報や人事情報を抽出条件に指定して、CSV出力できること。 CSV出力する項目、ソート順は画面から指定できること。○ ○ ○メール送信機能 連携処理 本県が利用しているメールソフトと連携が図れること。 ○ ○ ○対象者登録 所属、年齢(範囲指定、複数指定、誕生月指定)、生年月日、性別、職種などの各種人事情報を抽出条件に指定して、メールを送信する対象者を登録できること。 ○ ○ ○指導対象者の個別アドレスの追加ができること。 ○ ○ ○Excelで管理している対象者の一括取込処理ができること。 ○ ○ ○データ添付機能 通知文書や意見書等の資料を添付できること。 ○ ○ ○メール文複写機能 メール本文は、複数の対象者にも送信できるよう複写できること。 ○ ○ ○メール文テンプレート機能 メール文章のテンプレート作成、読込ができること。 ○ ○ ○リマインダー機能 各種検診や再検査の勧奨が行えるよう、管理者の操作により催促メールを配信できること。 ○ ○ ○初期設定 メールサーバの送信先や認証方式を選択できること。 ○ ○ ○添付データの容量制限や送信間隔、メール数を設定できること。 ○ ○ ○移行処理 既存データ移行処理 現行システムで管理している健康情報(定期健康診断結果、精密検査結果)を全て移行すること。 動作環境 ブラウザはEdgeに対応したシステムであること。 対象職員数8000人(非正規職員含む)で問題なく稼働するシステムであること個別管理4/4別紙 出力帳票項番 処理機能 帳票名称 用途／内容 用紙・ｻｲｽﾞ1 定期健康診断等被健診者連名簿 定期健康診断等被健診者連名簿の出力を行う A4横2 精検勧奨文 精検勧奨文の出力を行う A4横3 有所見者一覧表 有所見者一覧表の出力を行う A4横4 個人結果表 個人結果表の出力を行う A3横5 個人結果表(病院職員配付用) 個人結果表(病院職員配付用)の出力を行う A4横6 定期健康診断等被健診者連名簿(健康推進機構用) やまがた健康推進機構用の定期健康診断等被健診者連名簿の出力を行う A4横7 ＢＭＩによる肥満度の判定結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横8 視力検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横9 胸部エックス線検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横10 尿検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横11 血圧測定結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横12 問診・診察結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横13 聴力検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横14 血液検査結果(１) 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横15 血液検査結果(２) 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横16 心電図検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横17 胃がん検診結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横18 大腸がん検診結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横19 肺がん検診結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横20 指導区分判定結果一覧表 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横21 健康診断結果総括表［知事部局］ 検査項目ごとに男女別の受診結果の出力を行う A4横22 健康診断結果総括表［企業局］ 検査項目ごとに男女別の受診結果の出力を行う A4横23 健康診断結果総括表［病院事業局］ 検査項目ごとに男女別の受診結果の出力を行う A4横24 健康診断精密検査結果総括表［知事部局］ 検査項目ごとに男女別の受診結果の出力を行う A4横25 健康診断精密検査結果総括表［企業局］ 検査項目ごとに男女別の受診結果の出力を行う A4横26 健康診断精密検査結果総括表［病院事業局］ 検査項目ごとに男女別の受診結果の出力を行う A4横27 総合判定結果一覧表 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横28 眼底検査結果 産業医コード・地区コードごとに男女別の受診結果の出力を行う A4横健康管理事業報告1/1 -1-山形県情報セキュリティ対策基準目次第１章 総則第２章 組織体制第３章 情報資産の分類と管理第４章 情報システム全体の強靭性の向上第５章 物理的セキュリティ第６章 人的セキュリティ第７章 技術的セキュリティ第８章 遵守状況の確認第９章 障害時の対応第10章 業務委託と外部サービスの利用第11章 法令遵守第12章 違反時の対応等第13章 評価・見直し第14章 例外措置第15章 実施手順第16章 委任-2-第１章 総則１．１ 目的山形県情報セキュリティ対策基準(以下「本対策基準」という。)は、山形県情報セキュリティ基本方針(以下「基本方針」という。)に基づき、本県が保有する情報資産を脅威から保護するための情報セキュリティ対策を実施するにあたっての組織体制、管理方法、遵守すべき事項及び判断基準等について基本的な事項を定めることを目的とする。１．２ 用語の定義本対策基準における主な用語の定義は以下のとおりとする。(１)情報セキュリティポリシー基本方針及び本対策基準をいう。(２)情報資産次に掲げるもので、本県が保有又は契約により使用等するものをいう。① 下記(３)から(７)に掲げるもの② ①で取り扱う情報(これらを印刷した帳票及び文書を含む。)③ ①にアクセス又は管理区域へ出入りするために用いるICカード、USBトークン及びこれらに類するもの(以下「ICカード等」という。)④ 情報システムの仕様書、ネットワーク構成図及び開発・保守に関する資料等の文書(３)パソコン等機器パソコン、モバイルノートパソコン、スマートフォン及びタブレット型コンピュータ等の機器並びにこれらに含まれる電磁的記録媒体をいう。(４)サーバ等機器情報を格納しているサーバ及びこれに含まれる電磁的記録媒体並びに通信回線装置等のネットワークを構成する基幹機器をいう。(５)電磁的記録媒体磁気ディスク、光学ディスク、磁気テープ及びフラッシュメモリ記憶装置等(スマートフォン及びタブレット型コンピュータ等の機器に含まれるものを含む。)のデータを記録・保持するための媒体又は装置全体をいう。(６)ネットワークパソコン等機器又はサーバ等機器(以下「パソコン・サーバ等」という。)を相互に利用するための通信回線網及びこれを構成する基幹機器をいう。(７)情報システムパソコン・サーバ等、電磁的記録媒体、ネットワーク、クラウドサービス(インターネット上で利用できるアプリケーション等のサービスをいう。)及びソフトウェアで構成された情報処理又は通信に用いる機器及び仕組みをいう。(８)脅威次に掲げるもの及びこれに類するもので、情報資産に係るものをいう。① 部外者等の無断侵入、窃取、不正アクセス、不正プログラム(不正かつ有害な動作を行う意図で作成された悪意のあるプログラム等をいう。)による攻撃及び標的型攻撃等の意図的要因並びに委託-3-事業者等の過失等の非意図的要因による情報資産の漏えい・破壊・改ざん・消去等② 職員等の情報セキュリティポリシーに係る違反行為等の意図的要因並びにプログラム上の欠陥、人為的ミス(誤操作、電子メールの誤送信、紛失等をいう。)及び故障等の非意図的要因による情報資産の漏えい・破壊・改ざん・消去等③ 地震、落雷及び火災等の災害並びにサービス不能攻撃等の予期しない大量アクセス等による情報システムの停止等(９)情報セキュリティ情報資産について、次に掲げるものを維持することをいう。① 機密性(Confidentiality)情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。② 完全性(Integrity)情報が破壊、改ざん又は消去されていない状態を確保することをいう。③ 可用性(Availability)情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。(10)情報セキュリティインシデント単独又は一連の脅威のうち、情報セキュリティを脅かす又はその確率が高い事象をいう。(11)職員常勤の職員をいう。(12)職員等職員、臨時・非常勤職員をいう。(13)事業継続計画自然災害等の問題発生シナリオに基づいて具体的な作業手順を定め、事業などが停止する時間を可能な限り少なくする目的で作られる管理策や計画をいう。(14) マイナンバー利用事務系(個人番号利用事務系)個人番号利用事務(社会保障、地方税若しくは防災に関する事務)又は戸籍事務等に関わる情報システム及びデータをいう。(15) LGWAN 接続系人事給与、財務会計及び文書管理等LGWAN に接続された情報システム及びその情報システムで取り扱うデータをいう。(16) インターネット接続系インターネットメール、ホームページ管理システム等に関わるインターネットに接続された情報システム及びその情報システムで取り扱うデータをいう。(17) 通信経路の分割LGWAN 接続系とインターネット接続系の両環境間の通信環境を分離した上で、安全が確保された通信だけを許可できるようにすることをいう。(18) 無害化通信インターネットメール本文のテキスト化や端末への画面転送等により、コンピューターウィルス等の不正プログラムの付着がない等、安全が確保された通信をいう。-4-(19)標準準拠システム等地方公共団体情報システムの標準化に関する法律(令和３年法律第40号)第６条第１項及び第7条第１項に規定する標準化基準に適合する基幹業務システム及び関連システム等の業務システムをいう。(20)重要情報住民の個人情報や企業の経営情報等をいう。１．３ 適用範囲(１)組織の範囲本対策基準が適用される行政機関は、知事部局、教育委員会、議会事務局、選挙管理委員会、人事委員会、監査委員、公安委員会、警察本部、労働委員会、収用委員会、海区漁業調整委員会、内水面漁場管理委員会、企業局及び病院事業局(以下「各部局」という。)とする。(２)情報資産の範囲本対策基準は、各部局が管理する情報資産を対象とする。ただし、第３章以下の規定は、警察本部が管理する情報資産について、及び山形県県立学校教育情報セキュリティ対策基準が対象とする情報資産は、第６章の６．６情報セキュリティインシデントの報告及び対応等を除き適用しない。第２章 組織体制２．１ 組織・管理体制山形県DX推進本部設置要綱により設置された山形県DX推進本部(以下「本部」という。)を情報セキュリティポリシーに関する最高意思決定機関として、本県における情報セキュリティに係る方針を決定し、その維持及び向上を図るとともに、次の体制により情報セキュリティ対策を推進する。(１)最高情報セキュリティ責任者(Chief Information Security Officer、以下「CISO」という。)副知事を、CISOとする。 CISOは、次に掲げる権限と責任を有する。① 本県における情報セキュリティ対策全般に関する統括的な権限と責任を有する。② 情報セキュリティを含む情報管理全般に関する専門的な知識及び経験を有する専門家をアドバイザーとして置くことができる。③ 本対策基準の改定をすることができる。④ CISOが不在の場合は、統括情報セキュリティ責任者がその権限を代行する。(２)統括情報セキュリティ責任者みらい企画創造部長を、統括情報セキュリティ責任者とする。統括情報セキュリティ責任者は、次に掲げる権限と責任を有する。① CISOを補佐する。② 情報セキュリティ責任者に対して、情報セキュリティに関する指導及び助言を行う。③ 情報セキュリティインシデント(軽微なものを除く。)が発生した場合は、CISOの指示のもと、必要かつ十分な措置を行う。(３)副統括情報セキュリティ責任者みらい企画創造部次長を、副統括情報セキュリティ責任者とする。副統括情報セキュリティ責任者-5-は、次に掲げる権限と責任を有する。① 統括情報セキュリティ責任者を補佐する。② 情報セキュリティインシデント(軽微なものを除く。)が発生した場合において、CISO及び統括情報セキュリティ責任者が不在の場合はこれに代わり必要かつ十分な措置を行う。(４)情報セキュリティ責任者本部の本部員(以下「部局長」という。)を、情報セキュリティ責任者とする。情報セキュリティ責任者は、次に掲げる権限と責任を有する。① 各部局の情報セキュリティに関する統括的な権限と責任を有する。② 各部局の情報セキュリティ管理者及び情報システム管理者に対して、情報セキュリティに関する指導及び助言を行う。(５)情報セキュリティ管理者各所属長を、各所属における情報セキュリティ管理者とする。情報セキュリティ管理者は、各所属における情報セキュリティについて次に掲げる権限と責任を有する。① 各所属における情報セキュリティ対策に関して、適切な運用及び管理を行う。② 所管する情報資産を適正に管理するとともに、情報セキュリティポリシーの適切な運用に関して、所属する職員等に指導を行う。(６)情報システム管理者各情報システムを所管する所属の長を、情報システム管理者とする。情報システム管理者は、所管する情報システムについて次に掲げる権限と責任を有する。① 著しく不適切な利用等が認められる者がある場合は、その者の利用を制限又は停止する事ができる。② 所管する情報システムの情報セキュリティに関する維持管理を行う。③ 情報システムに関する実施手順の策定及び維持管理を行うとともに、情報主管課長と連携し、緊急時の連絡体制について利用する職員等に周知徹底を図る。(７)情報主管課長等情報セキュリティポリシーの運用を適切に実施するため、情報主管課を定めるものとし、みらい企画創造部ＤＸ推進課を情報主管課とし、同部ＤＸ推進課長を情報主管課長とする。情報主管課長は、次に掲げる権限と責任を有する。① 県としての情報セキュリティの考え方・取組みを明確にする。② 情報セキュリティポリシーに基づき、山形県として満たすべき情報セキュリティの基準を明確にし、それを実現し、維持するため、本対策基準に基づき実施手順を整備する。③ 情報セキュリティインシデントが発生した際に迅速な対応ができるよう、各部局との連携のもとに山形県としての組織体制や連絡網を確立するとともに、山形県全体の情報セキュリティ管理体制の統括事務を所掌する。④ 軽微な情報セキュリティインシデントが発生した場合は、自らの判断により必要かつ十分な措置を行うことができる。(８)山形県情報セキュリティ等監査員班統括情報セキュリティ責任者は、情報資産における情報セキュリティ対策状況について確認するため、山形県情報セキュリティ等監査員班長を指名し、山形県情報セキュリティ等監査員班を組織するものとする。-6-(９)情報化推進・セキュリティ委員会情報セキュリティ責任者は、情報セキュリティポリシーを各部局の日常業務の中で具体的に運用するため、各部局、各総合支庁ごと情報化推進・セキュリティ委員会を組織するものとする。(10)情報セキュリティインシデント対策班(Computer Security Incident Response Team、以下「CSIRT」という。)情報セキュリティインシデントの防止に向けた取組みを行うとともに、発生時において、その状況等を正確に把握し、被害拡大の防止、復旧及び再発防止等の対策を迅速かつ的確に行うため、次に掲げるところによりCSIRTの体制を整備するものとする。① 統括情報セキュリティ責任者、副統括情報セキュリティ責任者、情報主管課長及び情報主管課をCSIRTとする。② 統括情報セキュリティ責任者をCSIRT責任者、副統括情報セキュリティ責任者をCSIRT副責任者、情報主管課長をCSIRT管理者とする。③ CSIRT責任者は、情報セキュリティインシデントに対し必要かつ十分な措置をCSIRT管理者に指示する。④ CSIRT副責任者は、CSIRT責任者を補佐する。また、情報セキュリティインシデントの公表について、情報セキュリティインシデントが発生した部局(以下「インシデント発生部局」という。)に対し指示及び支援を行う。⑤ CSIRT管理者は、CSIRT責任者の指示のもと、情報セキュリティインシデントに対し必要かつ十分な措置を行う。⑥ CSIRT管理者は、情報セキュリティに関して県内市町村、関係機関及び委託事業者等との情報共有を行う。⑦ CSIRT管理者は、県内市町村から情報セキュリティインシデントの報告を受けた場合は、必要に応じ回復のための支援を行う。(11)標準準拠システム等をクラウドサービス上で利用する際の組織体制情報主管課長及び情報システム管理者は、標準準拠システム等をクラウドサービス上で利用する際には、複数の事業者の存在・責任の所在を確認し、複数の事業者が存在する場合は、必要な連絡体制を構築しなければならない。また、クラウドサービス利用における情報セキュリティ対策に取り組む十分な組織体制を確立しなければならない。第３章 情報資産の分類と管理３．１ 情報資産の管理責任情報セキュリティ管理者及び情報システム管理者は、所管する情報資産について管理責任を有する。３．２ 情報資産の分類情報セキュリティ管理者及び情報システム管理者は、所管する情報資産について、別に定める実施手順に基づき、表１、表２及び表３に定める機密性、完全性、可用性に関する基準により分類を行うものとする。 表１ 機密性による情報資産の分類-7-分類 分類基準自治体機密性３Ａ行政事務で取り扱う情報資産のうち、「行政文書の管理に関するガイドライン」(平成23年４月１日内閣総理大臣決定)に定める秘密文書に相当する文書自治体機密性３Ｂ行政事務で取り扱う情報資産のうち、漏えい等が生じた際に、個人の権利利益の侵害の度合いが大きく、事務又は業務の規模や性質上、取扱いに非常に留意すべき情報資産自治体機密性３Ｃ行政事務で取り扱う情報資産のうち、自治体機密性３Ｂ以上に相当する機密性は要しないが、基本的に公表することを前提としていないもので、業務の規模や性質上、取扱いに留意すべき情報資産自治体機密性２行政事務で取り扱う情報資産のうち、自治体機密性３に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報資産自治体機密性１自治体機密性２又は自治体機密性３の情報資産以外の情報資産表２ 完全性による情報資産の分類分類 分類基準自治体完全性２行政事務で取り扱う情報資産のうち、改ざん、誤びゅう又は破損により、住民の権利が侵害される、又は行政事務の適正な遂行に支障(軽微なものを除く。)を及ぼすおそれがある情報資産自治体完全性１自治体完全性２の情報資産以外の情報資産表３ 可用性による情報資産の分類分類 分類基準自治体可用性２行政事務で取り扱う情報資産のうち、滅失、紛失、又は当該情報資産が利用不可能であることにより、住民の権利が侵害される、又は行政事務の安定的な遂行に支障(軽微なものを除く。)を及ぼすおそれがある情報資産自治体可用性１自治体可用性２の情報資産以外の情報資産３．３ 情報資産の管理情報セキュリティ管理者及び情報システム管理者は、所管する情報資産(クラウドサービスに保存される情報資産も含む。)の取扱いについて管理方法を定め、情報資産の分類又はその内容に応じその取扱いを制限しなければならない。また当該情報資産について、所属する職員等に対し、次に掲げるところ及び別に定める実施手順により取り扱うよう指導しなければならない。(１)取扱い制限の遵守-8-取扱い制限のある情報資産を取り扱う場合は、これを遵守すること。(２)情報の秘匿情報をパソコン等機器又は電磁的記録媒体に保存する場合は、当該情報の情報資産の分類等に応じて、パスワード等による暗号化又は当該機器等の管理区域への保管等の方法によりこれを秘匿すること。(３)作成途中の情報の管理自治体機密性２以上の情報について、作成途中であっても紛失や流出等を防止し、作成途中で不要になった場合は、これを消去すること。(４)他所属が所管する情報資産の取扱い他の所属が所管する情報資産について、当該他所属が定めた情報資産の分類に基づき取り扱うこと。(５)情報資産の廃棄等情報資産を廃棄やリース返却等を行う場合は、次に掲げるところにより行うこと。① 当該媒体を所管する情報セキュリティ管理者又は情報システム管理者の許可を得ること。② 記録されている情報の自治体機密性に応じ、情報資産の情報を復元できないように処置すること。③ 行った処理について、日時、担当者及び処理内容等を記録すること。④ 標準準拠システム等のクラウドサービス上での利用における全ての情報資産について、クラウドサービスの利用終了時期を確認し、クラウドサービスで扱う情報資産が適切に移行及び削除されるよう管理すること。３．４ パソコン等機器、電磁的記録媒体及びソフトウェアの管理(１)パソコン等機器、電磁的記録媒体及びソフトウェアの管理情報セキュリティ管理者及び情報システム管理者は、所管するパソコン等機器、電磁的記録媒体及びソフトウェアの管理について、次に掲げるところにより行うものとする。① パソコン等機器及び電磁的記録媒体の貸出及び返却について、記録を作成し保管しなければならない。② ソフトウェアについて、そのライセンスを適切に管理しなければならない。また、開発元のサポートが終了したソフトウェアについては、原則として速やかにその使用を終了しなければならない。 また、緊急性及び重要性に応じて情報セキュリティ責任者に報告しなければならない。④ 情報主管課長は、情報セキュリティインシデントを認知した場合は、その状況を確認し、緊急性及-15-び重要性に応じて統括情報セキュリティ責任者及び副統括情報セキュリティ責任者に報告を行うとともに、統括情報セキュリティ責任者の指示又は自らの判断のもと、当該インシデントに係る情報セキュリティ管理者及び情報システム管理者に対し、被害拡大防止及び復旧のための対策を指示し、又は自らこれを講じなければならない。⑤ 統括情報セキュリティ責任者は、情報セキュリティインシデントの報告を受けた場合はその状況を確認し、被害拡大防止及び復旧のための対策について情報主管課長に対し指示しなければならない。また、その内容についてCISOに報告しなければならない。⑥ 情報主管課長は、同様の情報セキュリティインシデントが別の情報システムにおいても発生している可能性を検討し、必要に応じて当該情報システムを所管する情報システム管理者へ確認を指示しなければならない。⑦ 情報セキュリティインシデントにより、個人情報・特定個人情報の漏えい等が発生した場合、必要に応じて個人情報保護委員会へ報告しなければならない。(２)情報セキュリティインシデントの公表情報セキュリティインシデントについて外部公表を行う場合は、次に掲げるところにより行うものとする。① 副統括情報セキュリティ責任者は、インシデント発生部局における「山形県広報広聴事務取扱要綱」の規定による広報監(以下「発生部局の広報監」という。)に対し、外部公表に係る指示及び支援を行わなければならない。② 外部公表は、発生部局の広報監が行うものとし、その内容について副統括情報セキュリティ責任者に報告しなければならない。③ 副統括情報セキュリティ責任者は、公表した内容について統括情報セキュリティ責任者に報告しなければならない。(３)関係機関等との連携情報主管課長は、当該情報セキュリティインシデントが不正アクセス禁止法違反等の犯罪の可能性がある場合は、攻撃の記録を保存するとともに、警察及び関係機関との密接な連携に努めなければならない。(４)情報セキュリティインシデントの原因究明・記録等情報主管課長並びに発生した情報セキュリティインシデントに係る情報セキュリティ管理者及び情報システム管理者は、互いに連携して当該インシデントの原因を究明するとともに、その内容、原因、処理結果等を記録し、適切に保存しなければならない。(５)情報セキュリティインシデントの再発防止① CISOは、情報セキュリティインシデントの報告を受けた場合は、その内容を確認し、統括情報セキュリティ責任者に対し再発防止策を実施するために必要な措置を指示しなければならない。② 統括情報セキュリティ責任者は、CISO の指示のもと、再発防止のための対策について情報セキュリティ責任者に対し指示し、又は自らこれを行わなければならない。また、その内容についてCISOに報告しなければならない。③ 情報セキュリティ責任者は、再発防止の対策について指示を受けた場合はこれを実施し、その内容について統括情報セキュリティ責任者へ報告しなければならない。-16-６．７ ID及びパスワード等の取扱い職員等は、ID、パスワード及びICカード等の取扱いについて、次に掲げるところにより行うものとする。(１)ID及びパスワードの取扱い① 自己の管理するID及びパスワードを、他人に利用させてはならない。② 情報システム等でやむを得ずID及びパスワードを共用利用する場合は、共用利用者以外に利用させてはならない。③ パスワードは秘密にし、パスワードを記載したメモ等を第三者が容易に閲覧できる場所に掲示等してはならない。また、業務上必要がなくなった場合は速やかにこれを廃棄しなければならない。④ パスワードは十分な長さとし、文字列は他人が容易に想像できないものにしなければならない。⑤ ID及びこれに係るパスワードが流出した、又はそのおそれがある場合は、速やかにパスワードを変更するとともに、「6.6.情報セキュリティインシデントの報告及び対応等」に掲げるところにより報告等を行わなければならない。⑥ 情報システム管理者から与えられた仮のパスワード(初期パスワード含む)について、情報システムへ初めてログインした時点で変更しなければならない。⑦ パソコン等機器のパスワードの記憶機能について、情報主管課より提供された以外のものを使用してはならない。(２)ICカード等の取扱い① ICカード等を業務上必要のない者に貸し出してはならない。② ICカード等をパソコン等機器に接続したまま離席してはならない。③ ICカード等を紛失した場合は、「6.6.情報セキュリティインシデントの報告及び対応等」に掲げるところにより報告等を行わなければならない。第７章 技術的セキュリティ７．１ 機器及びネットワークの管理(１)機器及びネットワークの管理情報システム管理者は、所管する情報システムについて、次に掲げるところにより機器及びネットワークの管理等を行うものとする。① バックアップの実施(ア)業務システムのデータベースやサーバ等機器に記録された情報について、当該機器の冗長化対策にかかわらず、必要に応じて定期的にバックアップを実施しなければならない。(イ)重要な情報を取り扱うサーバ装置については、適切な方法でサーバ装置のバックアップを取得しなければならない。(ウ)重要な情報を取り扱う情報システムを構成する通信回線装置については、運用状態を復元するために必要な設定情報等のバックアップを取得し保管しなければならない。(エ)標準準拠システム等のクラウドサービス上での利用において、クラウドサービス事業者のバックアップ機能を利用する場合、クラウドサービス事業者にバックアップ機能の仕様を要求し、その-17-仕様を確認しなければならない。また、その機能の仕様が要件を満たすことを確認しなければならない。クラウドサービス事業者からバックアップ機能を提供されない場合やバックアップ機能を利用しない場合は、自らバックアップ機能の導入に関する責任を負い、バックアップに関する機能を設け、情報資産のバックアップを行わなければならない。② 情報システムの運用において実施した作業について、作業記録を作成し適切に管理しなければならない。 ③ 情報システムの変更等の作業を行った場合は、作業内容について記録を作成するとともに、これを漏えいし、又は改ざん若しくは消去等されないよう適正に管理し、運用・保守によって機器の構成や設定情報等に変更があった場合は、情報セキュリティ対策が適切であるか確認し、必要に応じて見直さなければならない。④ 情報システムの仕様書及びネットワーク構成図について、記録媒体にかかわらず、業務上必要とする者以外の者の閲覧、紛失等がないよう、適正に管理しなければならない。⑤ 各種ログ及び情報セキュリティの確保に必要な情報を取得するとともに、これを改ざん及び誤消去されないよう必要な措置を講じた上で、一定の期間保管しなければならない。⑥ ログとして取得する項目、保存期間及び取扱い方法等について定め、適正にログを管理しなければならない。⑦ 悪意ある第三者等からの不正侵入及び不正操作等の有無について、取得したログを必要に応じて点検又は分析しなければならない。なお、標準準拠システム等をクラウドサービス上での利用の際には、クラウドサービス事業者が収集し、保存する記録(ログ等)に関する保護(改ざんの防止等)の対応について、ログ管理等に関する対策や機能に関する情報を確認し、記録(ログ等)に関する保護が実施されているのか確認しなければならない。⑧ 標準準拠システム等のクラウドサービス上での利用において、情報セキュリティ監査等のために必要となった場合のクラウドサービス事業者の環境内で生成されるログ等の情報(デジタル証拠)について、クラウドサービス事業者から提供されるログ等の監視機能を利用して取得することで十分では無い場合は、クラウドサービス事業者に提出を要求するための手続を明確にしなければならない。⑨ 職員等からの情報システムに関する障害の報告及びその処理結果又は問題等を、障害記録として記録し、適正に保存しなければならない。⑩ フィルタリング及びルーティングについて、設定の不整合が発生しないように、ファイアウォール、ルータ等の通信ソフトウェア等の設定情報を管理しなければならない。⑪ 不正アクセスを防止するため、ネットワークに適正なアクセス制御を施さなければならない。⑫ 保守又は診断のために、外部の通信回線から内部の通信回線に接続された機器等に対して行われるリモートメンテナンスに係る情報セキュリティを確保しなければならない。また、情報セキュリティ対策について、定期的な確認により見直さなければならない。７．２ 外部ネットワーク等との接続(１)外部ネットワーク等との接続情報システム管理者は、所管する情報システムについて外部のネットワーク及び情報システム(以下「外部ネットワーク等」という。)との接続を行う場合は、次に掲げるところにより行うものとする。① 基幹ネットワークを外部ネットワーク等と接続する場合は、情報主管課長の承認を得た上でこれ-18-を行わなければならない。② 接続しようとする外部ネットワーク等に係るネットワーク構成、機器構成及び情報セキュリティ技術等を調査しなければならない。③ 接続した外部ネットワーク等の管理者の瑕疵によりデータの漏えい・破壊・改ざん・消去等又は情報システムの停止等による業務への影響が生じた場合に対処するため、当該外部ネットワーク等の管理者による損害賠償責任を契約上担保しなければならない。④ ウェブサーバ等をインターネット上に公開する場合、次のセキュリティ対策を実施しなければならない。(ア)庁内ネットワークへの侵入を防御するために、ファイアウォール等を外部のネットワークとの境界に設置した上で接続しなければならない。(イ)脆弱性が存在する可能性が増大することを防止するため、ウェブサーバが備える機能のうち、必要な機能のみを利用しなければならない。(ウ)ウェブサーバからの不用意な情報漏えいを防止するための措置を講じなければならない。(エ)情報システム管理者は、ウェブコンテンツの編集作業を行う主体を限定しなければならない。(オ)インターネットを介して転送される情報の盗聴及び改ざんの防止のため、全ての情報に対する暗号化及び電子証明書による認証の対策を講じなければならない。【推奨事項】⑤ 接続した外部ネットワーク等のセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合は、速やかに当該外部ネットワークを遮断しなければならない。７．３ 無線LANのセキュリティ対策及び盗聴対策情報システム管理者は、所管する情報システムにおいて無線LANを利用する場合、解読が困難な暗号化及び認証技術を使用しなければならない。７．４ 電子メールのセキュリティ管理及び利用制限情報主管課長が所管する電子メールのセキュリティ管理及び利用制限は、次に掲げるところによるものとする。(１)電子メールのセキュリティ管理情報主管課長は、電子メールのセキュリティ管理等について、次に掲げるところにより行うものとする。① 権限のない利用者により、基幹ネットワークを経由した外部から外部への電子メールの中継処理が行われることを不可能とするよう、メールサーバの設定を行わなければならない。② スパムメール等が内部から送信されていることを検知した場合は、必要に応じてメールサーバの運用を停止しなければならない。③ 電子メールの送受信容量の上限を設定し、上限を超える電子メールの送受信を不可能にしなければならない。④ 所管するドメインについて、外部の者により詐称されないよう送信ドメインの認証を行わなければならない。⑤ 添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソフトウェアでチェックを行わなければならない。インターネット接続系で受信したインターネットメール又はインターネット経由で入手したファイルをLGWAN接続系に取込む場合は無害化しなければならない。-19-(２)電子メールの利用制限情報システムの開発、運用又は保守等のため庁舎内に常駐している委託事業者等による電子メールアドレスの利用は原則禁止とする。ただし、業務上やむを得ないと情報主管課長が認めた場合はこの限りではない。７．５ Web会議サービスの利用時の対策Web 会議サービスの利用にあたっては、別に定める実施手順に従い、情報セキュリティ対策を実施しなければならない。７．６ ソーシャルメディアサービスの利用ソーシャルメディアサービスの利用にあたっては、別に定める実施手順を遵守しなければならない。 ７．７ アクセス制御(１)情報システム管理者によるアクセス制御等情報システム管理者は、所管する情報システムへのアクセス制御等について、次に掲げるところにより行うものとする。① 情報システムで取り扱う情報資産の分類又はその内容に応じ、アクセス権限を有する職員等及びその権限の内容を、必要最小限としなければならない。② アクセスする権限のない職員等がアクセスできないよう、ICカード等又はユーザID等によりシステム上制限しなければならない。また、ICカード等の管理に関しては以下のとおりとしなければならない。(ア)ICカード等を業務上必要としないときは、カードリーダーやパソコン等の端末のスロット等から抜かれていなければならない。(イ)ICカード等を切り替える場合、切替え前のカードが回収され、不正使用されないような措置が講じられていなければならない。③ 利用者の登録、変更及び抹消等の情報管理並びに職員等の異動、出向及び退職等に伴うユーザ IDの取扱い等の方法を定めなければならない。④ ユーザIDに不要なアクセス権限が付与されていないか定期的に確認しなければならない。⑤ 管理者権限等の特権を付与されたID を利用する者を必要最小限にし、当該ID及びこれに係るパスワードの漏えい等が発生しないよう厳重に管理しなければならない。⑥ 職員等の認証に関する情報を厳重に管理しなければならない。認証情報ファイルを不正利用から保護するため、オペレーティングシステム等で認証情報設定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。⑦ 認証情報が、悪意ある第三者等によって窃取された際の被害を最小化するための措置及び、内部からの不正操作や誤操作を防止するための措置を講じなければならない。⑧ 特権を付与されたID及びパスワードについて、人事異動の際のパスワードの変更、入力回数制限等のセキュリティ機能を強化しなければならない。⑨ 所管する情報システムの情報資産の分類又はその内容に応じて、適正な強度のログインパスワードを設定しなければならない。⑩ 外部のネットワークからのアクセスを認める場合、通信途上の盗聴を防御するために通信の暗号-20-化等の措置を講じなければならない。⑪ 特権によるネットワーク及び情報システムへの接続時間を必要最小限とするよう努めなければならない。(２)職員等による外部からのアクセス等の制限情報セキュリティ管理者は、職員等による外部のネットワークからのアクセス等について、次に掲げるところにより行わなければならない。① 職員等に外部からネットワーク又は情報システムへアクセスさせる場合は、当該システムを所管する情報システム管理者の承認を得なければならない。② ネットワーク又は情報システムに対する外部からのアクセスを、これを必要とする合理的理由を有する最小限の者に限定しなければならない。７．８ システム開発・導入・保守等情報システム管理者は、情報システムの開発・導入・保守等について、次に掲げるところにより行うものとする。(１)機器等の調達に係る運用規程の整備① 機器等の選定基準を運用規程として整備しなければならない。必要に応じて、選定基準の一つとして、機器等の開発等のライフサイクルで不正な変更が加えられないような対策を講じなければならない。② 情報セキュリティ対策の視点を加味して、機器等の納入時の確認・検査手続を整備しなければならない。(２)機器等及び情報システムの調達① 情報システムに係る開発・導入・保守等の調達にあたっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。また、業務システムに誤ったプログラム処理が組み込まれないよう、不具合を考慮した技術的なセキュリティ機能を調達仕様書に記載しなければならない。② 機器又はソフトウェアの調達にあたっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを、確認しなければならない。(３)情報システムの開発① 開発に使用するIDを適切に管理し、開発完了後に不要となる場合は、これを消去しなければならない。② 開発に用いるハードウェア及びソフトウェアを特定し、情報セキュリティ上問題のないことを確認し、それ以外のものを利用させてはならない。③ 利用を認めた以外のソフトウェアが情報システムに導入されている場合は、これを消去しなければならない。④ アプリケーション・コンテンツの開発時の対策ウェブアプリケーションの開発において、セキュリティ要件として定めた仕様に加えて、既知の種類のウェブアプリケーションの脆弱性を排除するための対策を講じなければならない。(４)情報システムの導入① 情報システムの開発、保守及びテスト環境と運用環境を可能な限り分離しなければならない。② 情報システムの開発・保守計画の策定時にシステム運用環境への移行の手順を明確にしなければ-21-ならない。③ 移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う業務への影響が最小限になるよう配慮しなければならない。④ 導入する情報システム又はサービスに求められる可用性を満たすことを確認した上で導入しなければならない。⑤ 導入する情報システム又はサービスを既に稼動している情報システムに接続する前に十分な試験を行わなければならない。またこの場合において、機密性２以上の情報を試験に使用してはならない。⑥ 業務システムに誤ったプログラム処理が組み込まれないよう、不具合を考慮したテスト計画を策定し、確実に検証が実施されるよう、必要かつ適切に委託事業者の監督を行わなければならない。⑦ 機器等の納入時又は情報システムの受入れ時(ア)機器等の納入時又は情報システムの受入れ時の確認・検査において、調達仕様書等定められた検査手続に従い、情報セキュリティ対策に係る要件が満たされていることを確認しなければならない。(イ)情報システムが構築段階から運用保守段階へ移行する際に、当該情報システムの開発事業者から運用保守事業者へ引継がれる項目に、情報セキュリティ対策に必要な内容が含まれていることを確認しなければならない。(５) 情報システムの基盤を管理又は制御するソフトウェア導入時の対策① 情報セキュリティの観点から情報システムの基盤を管理又は制御するソフトウェアを導入する端末、サーバ装置、通信回線装置等及びソフトウェア自体を保護するための措置を講じなければならない。 【推奨事項】② 利用するソフトウェアの特性を踏まえ、以下の全ての実施手順を整備しなければならない。(ア)情報システムの基盤を管理又は制御するソフトウェアの情報セキュリティ水準の維持に関する手順(イ)情報システムの基盤を管理又は制御するソフトウェアで発生した情報セキュリティインシデントを認知した際の対処手順(６) 情報システムの基盤を管理又は制御するソフトウェア運用時の対策① 情報システムの基盤を管理又は制御するソフトウェアを運用・保守する場合は、以下の全てのセキュリティ対策を実施しなければならない。【推奨事項】(ア)情報システムの基盤を管理又は制御するソフトウェアのセキュリティを維持するための対策(イ)脅威や情報セキュリティインシデントを迅速に検知し、対応するための対策② 利用を認めるソフトウェアについて、定期的な確認による見直しを行わなければならない。(７)情報システムの開発・保守に関する資料の保管情報システムの開発・保守に関する資料を適正に整備・保管しなければならない。① 情報システムを新規に構築し、又は更改する際には、情報システム台帳のセキュリティ要件に係る内容を記録又は記載し、当該内容について情報主管課長に報告しなければならない。② 所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、以下を全て含む情報システム関連文書を整備しなければならない。【推奨事項】・情報システムを構成するサーバ装置及び端末関連情報・情報システムを構成する通信回線及び通信回線装置関連情報-22-③ 所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、以下を全て含む実施手順を整備しなければならない。・情報システム構成要素ごとの情報セキュリティ水準の維持に関する手順・情報セキュリティインシデントを認知した際の対処手順・情報システムが停止した際の復旧手順(８)入出力データの正当性の確保① 情報システムに入力されるデータについて、範囲及び妥当性のチェック機能並びに不正な文字列の入力を除去する機能が組み込まれるよう、情報システムを設計しなければならない。② ウェブアプリケーションやウェブコンテンツにおいて、次のセキュリティ対策を実施しなければならない。(ア)利用者の情報セキュリティ水準の低下を招かぬよう、アプリケーション及びウェブコンテンツの提供方式等を見直ししなければならない。(イ)運用中のアプリケーション・コンテンツにおいて、定期的に脆弱性対策の状況を確認し、脆弱性が発覚した際は必要な措置を講じなければならない。(ウ)ウェブアプリケーションやウェブコンテンツにおいて、故意又は過失による情報の漏えい・破壊・改ざん・消去等のおそれがある場合に、これを検出するチェック機能が組み込まれるよう、情報システムを設計しなければならない。③ 情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるよう、情報システムを設計しなければならない。(９)変更管理情報システムの変更をした場合は、プログラム仕様書等の変更履歴を作成しなければならない。(10)開発・保守用のソフトウェアの更新等開発・保守用のソフトウェアを更新又はこれにパッチを適用する場合は、関連する他の情報システムへ影響を与えることがないよう、その整合性を確認しなければならない。(11)システム更新又は統合時の検証等情報システムを更新又は統合する際は、長時間停止や誤作動による業務への影響が生じないよう、更新等の前にその体制及び計画等について検証等を行わなければならない。(12)情報システムについての対策の見直し対策の推進計画等に基づき情報システムの情報セキュリティ対策を適切に見直さなければならない。 また、本県内で横断的に改善が必要となる情報セキュリティ対策の見直しによる改善指示に基づき、情報セキュリティ対策を適切に見直さなければならない。なお、措置の結果については、情報主管課長へ報告しなければならない。７．９ 不正プログラム対策(１)情報主管課長による対策情報主管課長は、不正プログラム対策について、次に掲げるところにより行うものとする。① 外部ネットワーク等から送受信するファイルは、基幹ネットワークのゲートウェイにおいて不正プログラムのチェックを行い、これの基幹ネットワークへの侵入及び外部への拡散を防がなければならない。② 不正プログラムに関する情報を収集し、必要に応じ職員等に対して注意喚起を行わなければならない。-23-(２)情報システム管理者による対策情報システム管理者は、所管する情報システムの不正プログラム対策について、以下に掲げるところにより行うものとする。① ネットワーク接続を要する情報システムにおいて、パソコン・サーバ等に、不正プログラム対策ソフトウェアを常駐させるとともに、不正プログラムのパターンファイル等を常に最新の状態に保たなければならない。② ネットワークに接続しない情報システムにおける電磁的記録媒体の使用について、使用を認めた以外のものを職員等に利用させてはならない。③ ネットワークに接続しない情報システムにおいて、不正プログラムの感染及び侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフトウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。④ 不正プログラム対策ソフトウェアを導入しているパソコン・サーバ等に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。⑤ 不正プログラム対策ソフトウェア等の設定変更権限については、一括管理し、情報システム管理者が許可した職員を除く職員等に当該権限を付与してはならない。⑥ 標準準拠システム等のクラウドサービス上での利用において、仮想マシンを設定する際には不正プログラムへの対策(必要なポート、プロトコル及びサービスだけを有効とすることやマルウェア対策及びログ取得等の実施)を確実に実施しなければならない。SaaS 型を利用する場合は、これらの対応が、クラウドサービス事業者側でされているのか、サービスを利用する前に確認しなければならない。また、サービスを利用している状況下では、これらのセキュリティ対策が適切にされているのか定期的にクラウドサービス事業者に報告を求めなければならない。７．10 不正アクセス対策(１)基幹ネットワークの不正アクセス対策情報主管課長は、基幹ネットワークの不正アクセス対策について、次に掲げるところにより行うものとする。① 使用されていないポートを閉鎖しなければならない。② 不要なサービスについて、機能を消去又は停止しなければならない。③ 情報システムに攻撃を受けることが明確になった場合は、「5.6.情報セキュリティインシデントの報告及び対応等」に準じ、報告等及び情報システムの停止を含む必要な措置を講じるとともに、関係機関と連絡を密にして情報の収集、提供を行わなければならない。④ 基幹ネットワーク内のパソコン・サーバ等に対する攻撃及びこれらからの外部ネットワーク等に対する攻撃を監視しなければならない。⑤ 標準準拠システム等をクラウドサービス上で利用するにあたって、情報セキュリティポリシーにおける不正アクセス対策に関する事項が、クラウドサービスにおいて実現できるのか又はクラウドサービス事業者の提供機能等により実現できるのか、利用前にクラウドサービス事業者に確認しなければならない。⑥ 標準準拠システム等をクラウドサービス上で利用する際に、委託事業者等に管理権限を与える場合、多要素認証を用いて認証させ、クラウドサービスにアクセスさせなければならない。⑦ パスワードなどの認証情報の割り当てがクラウドサービス側で実施される場合、その管理手順等-24-が、情報セキュリティポリシーを満たすことを確認しなければならない。(２)サービス不能攻撃対策情報システム管理者は、外部のネットワークからアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。(３)標的型攻撃対策電子メールに係る情報システムを所管する情報システム管理者は、所管するネットワークについて、標的型攻撃による不正プログラムの侵入を防止するために、自動再生無効化等の入口対策を講じなければならない。また、侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。７．11 セキュリティ情報の収集(１)セキュリティ情報の収集情報主管課長及び情報システム管理者は、セキュリティ情報の収集について、次に掲げるところにより行うものとする。① サーバ装置、端末及び通信回線装置等におけるセキュリティホールに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。② 情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認知した場合は、情報セキュリティインシデントを未然に防止するための対策を速やかに講じなければならない。③ 標準準拠システム等をクラウドサービス上での利用する際には、クラウドサービス事業者に対して、利用するクラウドサービスに影響し得る技術的脆弱性の管理内容について情報を求め、業務に対する影響や保有するデータへの影響について特定する。そして、技術的脆弱性に対する脆弱性管理の手順について、クラウドサービス事業者に確認しなければならない。(２)不正プログラム情報の収集情報主管課長は、不正プログラムに関する情報等のセキュリティ情報を収集し、必要に応じ対応方法について、職員等に周知しなければならない。第８章 遵守状況の確認８．１ 情報システムの監視情報システム管理者は、所管する情報システムの監視について、次に掲げるところにより行うものとする。(１)情報システムの運用・保守時の対策① 情報システムの運用・保守において、情報システムに実装された監視を含むセキュリティ機能を適切に運用しなければならない。 ② 情報システムの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講じなければならない。③ 重要な情報を取り扱う情報システムについて、危機的事象発生時に適切な対処が行えるよう運用-25-をしなければならない。(２)情報システムの監視機能① 情報システム運用時の監視に係る運用管理機能要件を策定し、監視機能を実装しなければならない。② 情報システムの運用において、情報システムに実装された監視機能を適切に運用しなければならない。③ 新たな脅威の出現、運用の状況等を踏まえ、情報システムにおける監視の対象や手法を定期的に見直さなければならない。④ サーバ装置上での情報セキュリティインシデントの発生を監視するため、当該サーバ装置を監視するための措置を講じなければならない。(３)情報システムの監視① セキュリティに関する事案を検知するため、情報システムを常時監視し、その記録を保存しなければならない。② 重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。また、利用するクラウドサービスで使用する時刻の同期についても適切になされているのか確認しなければならない。③ 標準準拠システム等をクラウドサービス上での利用する際には、必要となるリソースの容量・能力が確保できるクラウドサービス事業者を選定しなければならない。また、利用するクラウドサービスの使用において必要な監視機能を確認するとともに監視により、業務継続の上で必要となる容量・能力を予測し、業務が維持できるように努めなければならない。④ 標準準拠システム等をクラウドサービス上での利用する際には、イベントログ取得に関するポリシーを定め、利用するクラウドサービスがその内容を満たすことを確認し、クラウドサービス事業者からログ取得機能が提供される場合は、そのログ取得機能が適切かどうか、ログ取得機能を追加して実装すべきかどうかを検討しなければならない。⑤ 標準準拠システム等をクラウドサービス上での利用する際には、クラウドサービス利用における重大なインシデントに繋がるおそれのある以下の重要な操作に関して、手順化し、確認しなければならない。(ア)サーバ、ネットワーク、ストレージなどの仮想化されたデバイスのインストール、変更及び削除(イ)クラウドサービス利用の終了手順(ウ)バックアップ及び復旧８．２ 情報セキュリティポリシー遵守状況の確認(１)情報セキュリティポリシー遵守状況の確認① 情報セキュリティ管理者は、定期的又は必要に応じ所属職員等の情報セキュリティポリシーの遵守状況について確認を行い、問題を認めた場合は、速やかに情報主管課長に報告しなければならない。② 情報主管課長は、発生した問題について、適正かつ速やかに対処しなければならない。③ 情報システム管理者は、ネットワーク及びサーバ等機器のシステム設定等における情報セキュリティポリシーの遵守状況について、定期的又は必要に応じ確認を行い、問題がある場合は適正かつ-26-速やかに対処しなければならない。(２)機器等の利用状況調査情報主管課長は、不正アクセス及び不正プログラム等の確認のため、パソコン等機器、電磁的記録媒体のログ及び電子メールの送受信記録等の利用状況を調査することができる。第９章 障害時の対応９．１ 緊急時対応計画の策定情報システム管理者は、緊急時対応計画の策定について、次に掲げるところにより行うものとする。(１)緊急時対応計画の策定① 情報セキュリティインシデントが発生した場合において連絡、証拠保全、被害拡大の防止、影響範囲の特定、復旧、再発防止等の措置を迅速かつ適切に実施するために、緊急時対応計画を定めておき、発生時には当該計画に従って適正に対処しなければならない。② 標準準拠システム等をクラウドサービス上での利用する際には、クラウドサービス事業者と情報セキュリティインシデント管理における責任と役割の分担を明確にし、これらを踏まえてクラウドサービスの障害時を想定した緊急時対応計画を定めておき、セキュリティ侵害時には当該計画に従って適正に対処しなければならない。(２)緊急時対応計画に定める事項緊急時対応計画には、次に掲げる内容を定めなければならない。① 関係者の連絡先② 発生した事案に係る報告すべき事項③ 発生した事案への対応措置④ 再発防止措置の策定(３)緊急時対応計画の見直し情報セキュリティを取り巻く状況の変化や組織体制の変動等に対し、必要に応じて緊急時対応計画の規定を見直さなければならない。９．２ 事業継続計画との整合県が事業継続計画を整備する場合、本部は、当該計画と情報セキュリティポリシー等の整合性を検討し、必要に応じ情報セキュリティポリシーの見直しを行うものとする。第10章 業務委託と外部サービス(クラウドサービス)の利用10．１ 業務委託等情報システム管理者は、業務委託等について、次に掲げるところにより行うものとする。(１)委託等事業者に係る運用規程の整備業務委託に係る以下の内容を全て含む運用規程を整備しなければならない。① 委託等事業者への提供を認める情報及び委託する業務の範囲を判断する基準(以下「委託判断基-27-準」という。)② 委託等事業者の選定基準(２)業務委託実施前の対策① 業務委託の実施までに、以下を全て含む事項を実施しなければならない。(ア)委託する業務内容の特定(イ)委託事業者の選定条件を含む仕様の策定(ウ)仕様に基づく委託事業者の選定(エ)情報セキュリティ要件を明記した契約の締結(契約項目)重要な情報資産を取扱う業務を委託する場合は、委託等事業者との間で必要に応じて次の情報セキュリティ等に係る要件を契約に含めなければならない。 ・山形県情報セキュリティポリシー及び実施手順の遵守・個人情報漏えい防止のための技術的安全管理措置に関する取り決め・ 当該事業者の責任者、委託等の内容、作業者の所属、作業場所の特定・ 提供されるサービスレベルの保証・ 当該事業者にアクセスを許可する情報の種類と範囲、アクセス方法の明確化など、情報のライフサイクル全般(作成、入手、利用、保管、送信、運搬、提供、公表、廃棄等)での管理方法・ 業務従事者に対する情報セキュリティ教育の実施・ 提供された情報の目的外利用及び当該事業者以外の者への提供の禁止・ 業務上知り得た情報の守秘義務・ 再委託等に関する制限事項の遵守・ 業務終了時の情報資産の返還、廃棄等・ 業務の定期報告及び緊急時報告義務・ 県による情報セキュリティに関する監査・検査の受け入れ・ 情報セキュリティインシデント発生時の県による公表に対する同意・ 情報セキュリティポリシーを遵守しなかったこと及び当該事業者の瑕疵による損害賠償等(オ)委託事業者又は入札参加者に重要情報を提供する場合は、秘密保持契約(NDA)の締結② 業務委託の実施までに、委託の前提条件として、以下を全て含む事項の実施を委託事業者に求めなければならない。(ア)仕様に準拠した提案(イ)契約の締結(ウ)委託事業者において重要情報を取り扱う場合は、秘密保持契約(NDA)の締結(３)業務委託実施期間中の対策① 業務委託の実施期間において、以下を全て含む対策を実施しなければならない。(ア)委託判断基準に従った重要情報の提供(イ)契約に基づき委託事業者に実施させる情報セキュリティ対策の履行状況の定期的な確認及び措置の実施(ウ)情報主管課長へ措置内容の報告(重要度に応じてCISOに報告)(エ)委託した業務において、情報セキュリティインシデントの発生若しくは情報の目的外利用等を-28-認知した場合又はその旨の報告を職員等より受けた場合における、委託事業の一時中断などの必要な措置を含む、契約に基づく対処の要求②業務委託の実施期間において、以下を全て含む対策の実施を委託事業者に求めなければならない。(ア)情報の適正な取扱いのための情報セキュリティ対策(イ)契約に基づき委託事業者が実施する情報セキュリティ対策の履行状況の定期的な報告(ウ)委託した業務において、情報セキュリティインシデントの発生又は情報の目的外利用等を認知した場合における、委託事業の一時中断などの必要な措置を含む対処(４)業務委託終了時の対策①業務委託の終了に際して、以下を全て含む対策を実施しなければならない。(ア)業務委託の実施期間を通じてセキュリティ対策が適切に実施されたことの確認を含む検収(イ)委託事業者に提供した情報を含め、委託事業者において取り扱われた情報が確実に返却、廃棄又は抹消されたことの確認②業務委託の終了に際して、以下を全て含む対策の実施を委託事業者に求めなければならない。(ア)業務委託の実施期間を通じてセキュリティ対策が適切に実施されたことの報告を含む検収の受検(イ)提供を受けた情報を含め、委託業務において取り扱った情報の返却、廃棄又は抹消(５)セキュリティ教育の実施状況の確認委託先を含む関係者については委託先等で情報セキュリティに関する教育が行われていることを確認しなければならない。10．２ 情報システムに関する業務委託情報システム管理者は、情報システムに関する業務委託について、次に掲げるところにより行うものとする。(１) 情報システムに関する業務委託における共通的対策情報システムに関する業務委託の実施までに、情報システムに本県の意図せざる変更が加えられないための対策に係る選定条件を委託事業者の選定条件に加え、仕様を策定しなければならない。(２) 情報システムの構築を業務委託する場合の対策情報システムの構築を業務委託する場合は、契約に基づき、以下を全て含む対策の実施を委託事業者に求めなければならない。① 情報システムのセキュリティ要件の適切な実装② 情報セキュリティの観点に基づく試験の実施③ 情報システムの開発環境及び開発工程における情報セキュリティ対策(３) 情報システムの運用・保守を業務委託する場合の対策① 情報システムの運用・保守を業務委託する場合は、情報システムに実装されたセキュリティ機能が適切に運用されるための要件について、契約に基づき、委託事業者に実施を求めなければならない。② 情報システムの運用・保守を業務委託する場合は、委託事業者が実施する情報システムに対する情報セキュリティ対策を適切に把握するため、当該対策による情報システムの変更内容について、契約に基づき、委託事業者に速やかな報告を求めなければならない。(４) 本県向けに情報システムの一部の機能を提供するサービスを利用する場合の対策① 外部の一般の者が本県向けに重要情報を取り扱う情報システムの一部の機能を提供するサービス-29-(クラウドサービスを除く。)(以下「業務委託サービス」という。)を利用するため、情報システムに関する業務委託を実施する場合は、委託事業者の選定条件に業務委託サービスに特有の選定条件を加えなければならない。② 業務委託サービスに係るセキュリティ要件を定め、業務委託サービスを選定しなければならない。③ 委託事業者の信頼性が十分であることを総合的・客観的に評価し判断しなければならない。④ 業務委託サービスを利用する場合には、情報セキュリティ責任者へ当該サービスの利用申請を行わなければならない。⑤ 情報セキュリティ責任者は、業務委託サービスの利用申請を受けた場合は、当該利用申請を審査し、利用の可否を決定しなければならない。⑥ 情報セキュリティ責任者は、業務委託サービスの利用申請を承認した場合は、承認済み業務委託サービスとして記録し、業務委託サービス管理者を指名しなければならない。10．３ 外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱う場合)外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱う場合)にあたっては、別に定める実施手順を遵守しなければならない。10．４ 外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱わない場合)外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱わない場合)にあたっては、別に定める実施手順を遵守しなければならない。 第11章 法令遵守11．１ 法令遵守(１)法令遵守職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか、関係法令を遵守し、これに従わなければならない。① 地方公務員法(昭和25年12月13日法律第261号)② 著作権法(昭和45年法律第48号)③ 不正アクセス行為の禁止等に関する法律(平成11年法律第128号)④ 個人情報の保護に関する法律(平成15年5月30日法律第57号)⑤ 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成 25 年法律第 27号)⑥ サイバーセキュリィティ基本法(平成26年法律第104号)⑦ 個人情報の保護に関する法律施行条例(令和４年12月県条例第37号)(２)情報システム管理者は、標準準拠システム等をクラウドサービス上での利用する際に、クラウドサービスに商用ライセンスのあるソフトウェアをインストールする(IaaS 等でアプリケーションを構築)場合は、そのソフトウェアのライセンス条項への違反を引き起こす可能性があるため、利用するソフトウェアにおけるライセンス規定に従わなければならない。-30-第12章 違反時の対応等12．１ 違反時の対応及び処分等(１)違反時の処分職員等の情報セキュリティポリシーに係る違反行為が認められるときは、当該職員等は発生した事案の状況等に応じて、懲戒処分その他の処分の対象となる。(２)違反時の対応違反行為への対応は、次に掲げるところによるものとする。① 職員等は、他の職員等の情報セキュリティポリシーに係る違反行為を認知した場合は、速やかに当該職員等が所属する情報セキュリティ管理者に報告し、適正な措置を求めなければならない。② 情報セキュリティ管理者は、所属する職員等の情報セキュリティポリシーに係る違反行為を認知した場合は、速やかに情報主管課長及び当該違反行為に係る情報システム管理者に報告するとともに、当該職員等に是正の指導を行わなければならない。③ 情報主管課長及び当該違反行為に係る情報システム管理者は、所管する情報システムに関して職員等の情報セキュリティポリシーに係る違反行為を認知した場合は、当該職員等が所属する情報セキュリティ管理者に通知し、適正な措置を求めなければならない。④ 情報セキュリティ管理者の指導によっても改善されない場合、情報システム管理者は、所管する情報システムについて、当該職員等の利用を停止することができる。第13章 評価・見直し13．１ 情報セキュリティ監査(１)情報セキュリティ監査の実施情報セキュリティ監査は、次に掲げるところにより行うものとする。① 山形県情報セキュリティ等監査員班は、ネットワーク及び情報システム等の情報資産における情報セキュリティ対策状況について、定期的に又は必要に応じて監査を行わなければならない。② 山形県情報セキュリティ等監査員班は、情報セキュリティ監査に係る実施要綱を定めなければならない。③ 被監査所属の情報セキュリティ管理者及び監査対象の情報システムを所管する情報システム管理者は、情報セキュリティ監査の実施に協力しなければならない。13．２ 自己点検(１)自己点検の実施情報セキュリティ対策に関する自己点検は、次に掲げるところにより行うものとする。① 情報セキュリティ管理者は、情報セキュリティポリシーの運用及び管理状況について、定期的又は必要に応じ自己点検を行わなければならない。② 情報システム管理者は、所管する情報システムについて、定期又は必要に応じ情報セキュリティ対策状況に関する自己点検を行わなければならない。-31-③ 情報セキュリティ管理者及び情報システム管理者は、自己点検実施後は点検結果と改善策を取りまとめ、自己の権限の範囲内で改善を図った上で、情報主管課長に報告しなければならない。④ 情報主管課長は、報告を受けた点検結果について、情報セキュリティポリシーの見直しに活用しなければならない。13．３ 情報セキュリティポリシーの見直し本部は、必要があると認めた場合は、情報セキュリティポリシーの運用状況を確認するとともに、その結果及び情報セキュリティに係る環境の変化等を踏まえ、その見直しを行うものとする。第14章 例外措置14．１ 例外措置の許可情報セキュリティ管理者及び情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる方法を採用し、又は遵守事項を実施しないことについて合理的な理由がある場合は、統括情報セキュリティ責任者の承認を得て、例外措置を講じることができる。14．２ 緊急時の例外措置情報セキュリティ管理者及び情報システム管理者は、災害対応等行政事務の遂行に緊急を要し、例外措置をとることが避けられない場合は、事後速やかに統括情報セキュリティ責任者に報告しなければならない。14．３ 例外措置の記録統括情報セキュリティ責任者は、情報セキュリティ管理者又は情報システム管理者により例外措置がとられた場合は、その内容について記録し、一定期間保管しなければならない。第15章 実施手順15．１ 実施手順本対策基準に定める事項のほか、情報セキュリティポリシーの運用にあたって遵守すべき実施手順のうち情報主管課長が所管するものは、別表のとおりとする。15．２ 実施手順の公開等(１)実施手順の公開等① 実施手順は、公にすることにより本県の行政運営に重大な支障を及ぼすおそれがあることから原則として非公開とする。② 職員等以外の者がその業務の遂行上実施手順を参照する必要がある場合は、その者に対してのみこれを開示することができ、その者はこれに関して守秘義務を負うものとする。-32-第16章 委任16．１ 情報主管課長への委任(１)情報主管課長への委任次に掲げる事項については、情報主管課長に委任する。① 県の組織に関する条例又は規則の改正に伴う本対策基準の規定の整備及び見直し② 本対策基準別表の整備及び見直し③ 本対策基準別表に掲げる実施手順の整備及び見直し附則本規程は、平成20年４月１日から施行する。附則本規程は、平成21年４月１日から施行する。附則本規程は、平成22年４月１日から施行する。附則本規程は、平成23年４月１日から施行する。附則本規定は、平成28年４月１日から施行する。附則本規定は、平成29年４月１日から施行する。附則本規定は、平成31年４月１日から施行する。附則本規定は、令和２年４月１日から施行する。附則本規定は、令和３年４月１日から施行する。附則本規定は、令和４年10月25日から施行する。附則本規定は、令和５年４月１日から施行する。 附則本規定は、令和５年10月11日から施行する。附則本規定は、令和７年４月１日から施行する。附則本規定は、令和８年４月１日から施行する。-33-別表 実施手順大分類 小分類 実施手順情報資産 分類管理 情報資産の分類と管理に関する実施手順(H23.3.31(R7.4.1最終改正))電子情報の持ち出しに係る取扱基準(H20.12.1(R5.4.1最終改正))物理的セキュリティ人的セキュリティ技術的セキュリティ端末管理 情報系パソコン運用管理手順(H22.8.31(H29.11.6最終改正))イントラ情報システム山形県庁イントラ情報システム利用要綱(H20.8.14(R2.2.1最終改正))山形県庁イントラ情報システム「サービス利用者の認証」の利用手順(R2.4.1最終改正)山形県庁イントラ情報システム「電子メール」の利用手順(R2.2.1最終改正)山形県庁イントラ情報システム「インターネット」の利用手順(R4.12.22最終改正)山形県庁イントラ情報システム「文書管理」の利用手順(H26.4.1最終改正)山形県庁イントラ情報システム「共有ワークスペース」の利用手順(R2.2.1最終改正)イントラ情報システム「セキュアファイル交換」の利用手順(R2.2.1)インターネット接続に係る特定通信の利用手順(R2.2.1)仮想ＰＣ運用管理手順(R2.2.1)ネットワーク管理山形県基幹高速通信ネットワーク外部機関利用要綱(H16.9.10(R3.4.1最終改正))山形県基幹高速通信ネットワーク外部機関接続要綱(H17.7.1(R3.4.1最終改正))テレワーク テレワークにおける情報セキュリティ対策実施手順(R2.12.14)在宅勤務制度(試行含む)に係るパソコン貸し出し要綱(H29.8.1(R2.1.1最終改正))山形県サテライトオフィス(試行含む)に係るパソコン貸し出し要綱(R29.8.1(R2.1.1最終改正))リモート接続システム利用要領(R2.1.1(R5.4.1最終改正))短期モバイル端末貸出要領-34-(H29.9.14(R5.4.1最終改正))長期モバイル端末貸出要領(H29.8.1(R5.4.1最終改正))障害時の対応 情報システムの対応情報資産に関する危機管理方針(H14.3)山形県基幹高速通信ネットワーク障害対応マニュアル(H22.3.30(R3.4.1最終改正))外部サービスの利用外部サービス 外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱う場合)に関する実施手順(R7.4.1)外部サービス(クラウドサービス)の利用(自治体機密性２以上の情報を取り扱わない場合)に関する実施手順(R7.4.1)評価・見直し 情報セキュリティ監査山形県情報セキュリティ監査実施要綱(R4.7.11)-35-(参考資料)情報セキュリティポリシー関連規程について情報セキュリティの確保のため特に遵守又は参照すべき主な関連規程について、下記に示す。(１)関連規程のうち、情報主管課が所管するもの(２)関連規程のうち、情報主管課以外が所管するもの大分類 小分類 関連規程情報資産 情報公開 山形県情報公開条例(H9.12.22(R4.12.23最終改正)、総務部)個人情報 個人情報の保護に関する法律施行条例(R4.12.23、総務部)文書管理 山形県公文書管理規程(R2.3.27(R5.4.1最終改正)、総務部)文書事務の手引(H7.3.31(R2.11最終改正)、総務部)総合行政ネットワークにおける電子公文書取扱要領(H16.1.6(R2.4.1最終改正)、総務部)電子メール及び電子掲示板を利用した電子文書取扱要領(H16.1.6(R2.4.1最終改正)、総務部)物理的セキュリティ人的セキュリティ技術的セキュリティインシデント対応 山形県広報広聴事務取扱要綱(H9.4.1(R5.4.1最終改正)、総務部)障害時の対応 危機管理 山形県危機管理要綱(H17.4.1(R4.4.1最終改正)、防災くらし安心部)山形県大規模災害発生時の災害対策本部事務局活動マニュアル(R4.6最終改正、防災くらし安心部)外部サービスの利用ソーシャルメディアサービス山形県ソーシャルメディア広報活用ガイドライン(R7.4.1総務部)違反時の対応懲戒処分 懲戒処分の基準(R2.10.1最終改正、総務部)懲戒処分の基準(R2.7.1最終改正、教育委員会)大分類 小分類 関連規程組織体制 山形県デジタル化推進本部設置要綱(H12.9.26(R2.11.19最終改正))情報資産 文書管理 山形県行政手続等における情報通信の技術の利用に関する条例(H18.12.19)物理的セキュリティ人的セキュリティ技術的セキュリティシステム調達 山形県情報システム導入標準ガイドライン(R3.4.1(R4.10.25最終改正))