宇治市役所システム監査事例報告

宇治市役所システム監査事例報告

2003 年 7 月 1 日

i © 情報システム監査株式会社 禁無断転載 2003

目 次

1 宇治市におけるシステム監査の概要・ポイント ... 1 1.1 宇治市におけるシステム監査の概要 ... 1 1.2 監査のポイント ... 2 1.2.1 監査のポイント ... 2 1.2.2 監査項目 ... 3 2 システム監査実施の概要 ... 4 2.1 システム監査実施 ... 4 2.1.1 本調査 ... 4 2.1.2 追加調査 ... 5 2.1.3 スケジュール（本調査） ... 6 2.1.4 スケジュール（追加調査） ... 7 2.1.5 システム監査人の体制 ... 8 3 本調査 ... 9 3.1 本調査準備 ... 9 3.1.1 必要な資料の収集 ... 9 3.1.2 アンケートシートの作成 ... 10 3.1.3 アンケートシートの記入要領 ... 11 3.1.4 アンケートシートの配布∼集計 ... 12 3.1.5 調書の作成 ... 13 3.2 本調査 ... 14 3.2.1 インタビュー ... 14 3.2.2 視察 ... 15 3.3 本調査に関する監査チームの検討会 ... 17 4 中間報告書 ... 18 4.1 システム監査結果中間報告書(案)の作成... 18 4.1.1 報告書の構成について ... 18 4.1.2 総合編と詳細編について ... 19 4.2 コンサルティングレポートについて ... 20 4.3 システム監査結果中間報告書に関する確認∼納品 ... 22 5 追加調査 ... 23 5.1 追加調査の準備 ... 23 5.2 追加調査 ... 24 5.2.1 主な項目 ... 24 5.2.2 重要諸規程の精査（宇治市例規集） ... 26 5.2.3 重要諸規程の精査（情報部門管理規程） ... 27 5.3 インタビュー ... 29 5.4 個人情報取扱事務登録簿の視察 ... 30 5.5 書庫の視察 ... 31 5.6 フォローアップ監査 ... 32

5.7 最終報告に向けての監査チームの検討会 ... 33 6 最終報告書 ... 34 6.1 システム監査結果最終報告書（案）の作成 ... 34 6.2 コンサルティングレポートについて ... 36 6.3 セキュリティポリシー ... 37 6.4 システム監査結果最終報告書に関する確認∼納品 ... 39 6.5 第 1 次改善事項（平成 12 年度中に改善が望まれる事項）... 40 6.6 第 2 次改善事項（将来的に改善が望まれる事項）... 42

1 © 情報システム監査株式会社 禁無断転載 2003

1 宇治市におけるシステム監査の概要・

ポイント

1.1 宇治市におけるシステム監査の概要 (1) 背景 個人情報流出事件 (2) 委託業務の範囲 • システム監査の実施（特に個人情報が手書き書類、電子データ 等すべてを網羅した事務システムの中で安全に管理・保護され ているかという、運用面からの安全性に重点を置く。） • 個人情報流出防止策として具体的に提言(コンサルティング)す る。 (3) 提言内容 • 技術面、設備面、組織・機構、要員体制、委託契約のあり方に ついて提言する。 • 外部流出にとどまらず、内部流出の防止策についても提言す る。 1999 年 5 月 21 日、宇治市の住民基本台帳、約 21 万件分がインターネット上 で売買されていることが明らかになりました。 同市は、個人情報を扱う電算機室において、厳重な入室管理をしていました。 しかし、乳幼児検診システムの開発に携わったアルバイト学生が、住民基本台 帳の情報を MO にコピーして持出したことによりこの事件が発生してしまいま した。 これに対して宇治市役所様は、重大な個人情報漏えい問題と受けとめて対策 委員会を組織する等の対策を取られました。その対策のひとつとして、宇治市 が行った外部システム監査は契約希望者から提案を受けて契約対象者を決定す る公募型簡易プロポーザルにより実施されました。数社がこの公募型簡易プロ ポーザルに参加しましたが、提案書の内容と、どこのメーカーにも帰属しない 独立系の企業である点が認められ、当社、情報システム監査株式会社が業務の 委託を受けることになりました。 今回宇治市役所様は、問題の再発を防ぐため、システム監査コンサルティン グも含めて当社に委託されました。つまり、今回のシステム監査の目的は、個 人情報が事務システムの中で安全に管理・保護されているかを監査して安全性 ないし情報流出の可能性のある個所があれば指摘し、さらに改善のための立案、 施策が可能な方法を詳細にご提案することにありました。

1.2 監査のポイント 1.2.1 監査のポイント 以下の基準に関する準拠性を監査 (1) 自治省 『地方公共団体コンピュータセキュリティ対策基準』 (2) 通商産業省 『情報システム安全対策基準』 『システム監査基準』 (3) 宇治市 『個人情報保護条例』 『個人情報取扱事務登録制度』 通常、システム監査は、所轄行政官庁のシステム監査基準と照らして、手続 き等が基準通り行われているかどうかを点検・評価する準拠性監査が基本です。 今回、宇治市役所様の場合は、自治省の『地方公共団体コンピュータセキュ リティ対策基準』ならびに通商産業省の『情報システム安全対策基準』『シス テム監査基準』を準拠とし監査を実施しました。 このほかに、宇治市の個人情報取扱事務登録制度も基準の 1 つとして含めま した。なお、個人情報保護と内部および外部流出防止の観点から、上記基準に つきまして主として運用面からの安全性に重点をおいた監査を行いました。こ の中では『個人情報保護条例』および個人情報取扱事務登録制度の主旨を踏ま えた運営がなされているかも確認しました。

3 © 情報システム監査株式会社 禁無断転載 2003 1.2.2 監査項目 (1) 運用業務に関する基準に基づく監査項目 ① 汎用（ホスト）コンピュータ関連システム ② クライアント・サーバ（パソコン）関連システム ③ コンピュータ室への入退室管理 (2) 共通業務に関する基準に基づく監査項目 ① 要員管理 ② 外部委託 今回宇治市の指示により実施した監査分野は、以上の項目に整理されます。 ここで、共通業務とは、システムの企画業務・開発業務・運用業務・保守業 務のいずれにおいても必要となる業務をいいます。

2 システム監査実施の概要

2.1 システム監査実施 2.1.1 本調査 (1) 本調査の準備 • 必要な資料の収集 • アンケートシートの作成、配布、回収 (2) 本調査 (3) 本調査に関する監査チームによる検討会 (4) システム監査結果中間報告書の作成 (5) システム監査コンサルティングレポートの作成 (6) 納品 • システム監査結果中間報告書 • システム監査コンサルティングレポート（システム監査結果中 間報告書に基づく第 1 次改善事項） システム監査に際しては、本調査を効果的に行うために、通常、本調査の前 に予備調査を行います。しかし、宇治市役所様の場合、業務仕様書にて監査の 範囲や監査対象項目等が明確になっていましたので、予備調査は省略しました。 まず、(1)本調査の準備（3.1.1∼3.1.5 を参照）として、アンケートシートを作 成してこれを配布し、自己査定のうえ提出いただくことを確認しました。 そして、(2)本調査（3.2.1∼3.2.2 を参照）においては、アンケートシートの回 答を基にインタビューを行う等の調査をしました。 これを受けて、(3)本調査に関する監査チームによる検討会（3.3 を参照）に おいて本調査結果を監査チーム内で検討・評価し、(4)システム監査結果中間報 告書（4.1.1∼4.1.2 を参照）および(5)システム監査コンサルティングレポート （4.2 を参照）を作成しました。

5 © 情報システム監査株式会社 禁無断転載 2003 2.1.2 追加調査 (1) 追加調査の準備 • アンケートシート再作成 (2) 追加調査 (3) 追加調査に関するシステム監査チームの検討会 (4) システム監査結果最終報告書の作成 (5) システム監査コンサルティングレポートの作成 (6) 納品 • システム監査結果最終報告書 • システム監査コンサルティングレポート （システム監査結果最 終報告書に基づく第 1 次改善事項） 本調査に加えて追加調査を実施したのは、アンケートシートの設問のうち、 本調査で充分確認ができなかった項目や中間報告書で指摘した改善事項に対す る取組み状況を確認するためです。 そこで、(1)追加調査の準備（5.1 を参照）のため、新たに追加調査シートを 作成、配布しました。 さらに、(2)追加調査（5.2∼5.6 を参照）においては、『宇治市例規集』等を 検証するとともに、本調査で充分確認できなかった項目や中間報告書で指摘し た事項の改善状況を再調査しました。これと併せて個人情報取扱事務登録簿、 地下書庫と各階書庫についても新たに視察を行いました。 これらの結果と本調査の調査結果に基づいて、(3)追加調査に関するシステム 監査チームの検討会（5.7 を参照）において監査チーム内で再検討・再評価を 実施し、(4)システム監査結果最終報告書、(5)システム監査コンサルティングレ ポート（6.1∼6.3 を参照）を作成しました。

2.1.3 スケジュール（本調査） (1) 宇治市様システム監査方法の検討・準備 平成 11 年 9 月 8 日∼10 月 1 日 (2) 情報管理課との打ち合わせ 10 月 4 日 (3) 本調査（各部門へのインタビュー・視察など） • 情報部門職員および外部委託職員 10 月 7 日∼14 日 • 原課の職員 10 月 19 日∼26 日 (4) 本調査に関する監査チームによる検討会 11 月 2 日∼12 月 17 日 (5) システム監査結果中間報告書およびコンサルティングレポート納 品 12 月 27 日 全体では 7 ヶ月弱程度で行いましたが、このうち本調査に 9 月∼12 月の 3 ヶ 月半程度費やしました。

7 © 情報システム監査株式会社 禁無断転載 2003 2.1.4 スケジュール（追加調査） (1) 重要諸規程の精査 平成 12 年 1 月 12 日∼2 月 9 日 (2) 追加インタビュー 2 月 22 日 (3) 個人情報取扱事務登録簿の視察 2 月 22 日 (4) 書庫の視察 2 月 23 日 (5) フォローアップ監査（中間報告書の改善事項に対するお取り組み 状況の確認） 2 月 22 日∼23 日 (6) 追加調査に関する監査チームによる検討会 2 月 29 日∼3 月 27 日 (7) システム監査結果最終報告書およびコンサルティングレポート納 品 3 月 31 日 追加調査から最終報告書提出までは約 3 ヶ月間で行いました。

2.1.5 システム監査人の体制 リーダ 2 名 実働部隊 3 名 サポータ 2 名 事務担当 1 名

9 © 情報システム監査株式会社 禁無断転載 2003

3 本調査

3.1 本調査準備 3.1.1 必要な資料の収集 (1) 組織体制図 (2) ネットワーク構成図 (3) ホストマシン構成図 (4) 現在稼動中のシステム一覧（ホスト系、パソコン系別） (5) 情報システム部門の業務分掌 (6) MT／CT 管理台帳 (7) オペレーション指示書 (8) 日次、週次、月次のオペレーション予定表 本調査においてはインタビューや視察を行います。そこで、その準備に必要 な資料の収集に協力いただくようにお願いしましたが、ただ、準備期間内に現 存する資料でよく、あえて新規に作成していただく必要はないとお伝えしまし た。 また、本調査でインタビュー時や視察の際に必要な資料の提供もお願いしま した。

3.1.2 アンケートシートの作成 自治省の「地方公共団体コンピュータセキュリティ対策基準」、 通商産業省の｢システム監査基準｣を参考に、以下の 15 項目につい てホスト系（設問数：123）・パソコン系（設問数：100）別にアン ケートシートを作成した。 (1)組織規程の整備 (9) 構成管理 (2)運用管理 (10) 建物・関連施設管理 (3)入力管理 (11) 保守業務 (4)データ管理 (12) ドキュメント管理 (5)出力管理 (13) 要員管理 (6)ソフトウェア管理 (14) 外部委託 (7) ハードウェア管理 (15) 監査 (8)ネットワーク管理 監査対象者の方に答えていただくアンケートシートを作成しました。これに ついては、自治省の「地方公共団体コンピュータセキュリティ対策基準」、通 商産業省の｢システム監査基準｣を参考にしました。各項目の内容の一例を紹介 します。 (1) 組織規程の整備 情報システムに関わる組織の整備および職務範囲・権限が明確になって いるか確認する。 (10) 建物・関連施設管理 建物、室への入退室の場合の規程に不正防止、機密保護対策が組み込ま れているか、また準拠性について確認する。 (12) ドキュメント管理 情報システムの企画から保守までの各業務に関連するドキュメント（文 書）の作成および管理に関する規程の整備と準拠性について確認する。 (15) 監査 システム監査組織の整備と、監査報告を受けての改善策が実施されてい るか確認する。

11 © 情報システム監査株式会社 禁無断転載 2003 3.1.3 アンケートシートの記入要領 (1) 配布したアンケートシート各設問に対しての自己評価を、4 段階 で記入する。 内訳 ○ 充分対応している △ 一部不対応(完全ではないがほぼできている) ▲ 一部不対応(改善すべき事項がある) × 不充分 − 該当しない場合（担当外） 空白 不明 (2) 評価の補足として回答欄（特記事項）に具体的な内容を記述す る。 アンケートシートを回答者に配布して、各設問について自己評価を加えてい ただきました。 アンケートシートの回答者としては、管理者、担当者（SE・オペレータ）、 ユーザ（各種情報システムの使用者）を想定し、それぞれの立場で回答が必要 な設問か区別できるようにしました。 基本的には管理者・担当者にはほぼ全般的に回答していただき、ユーザには 日常業務に関連が深い部分（入力管理、データ管理、出力管理）を中心に回答 していただくことにしました。ただし、可能であれば回答していただきました。

3.1.4 アンケートシートの配布∼集計 (1) アンケートの配布 ① 宇治市役所窓口部門にアンケート記入要領を説明 ② アンケートシートの配布先 • 情報システム部門職員 • SE（外部委託） • オペレータ（外部委託） • ヘルプデスク(外部委託) • 情報システムを使用している部門のうち特に重要な個人 情報を取扱っている原課（選定は宇治市窓口部門） (2) アンケートの回収（約 2 週間後） (3) アンケートの集計 各設問別に 4 段階評価を集計 アンケートシートは、業務内容がシステムに関係ある方のうち、50 人に配布 して回答をお願いしました。

13 © 情報システム監査株式会社 禁無断転載 2003 3.1.5 調書の作成 (1) 本調査でインタビュー時に使用する。 (2) アンケートシートの設問ごとに質問すべき内容を取りまとめる。 (3) 回収したアンケートシートの回答も調書に反映する。 インタビュー法による監査を行うにあたり、各設問ごとの詳細な確認事項を まとめたものです。

3.2 本調査 3.2.1 インタビュー (1) システム監査人は 1 チーム 3 名 質問者 2 名 書記 1 名 (2) 回答者は 1 名 基本的にはアンケート記入者 2 名でアンケートを記入した場合は 2 名同席 (3) 時間 情報部門職員、SE は 1∼2 時間 以外は 30 分 (4) 質問内容（アンケートシートに基づく） 回答者の業務に関連の深い項目 アンケートシートの回答欄の記入内容について 回答結果にばらつきのあった項目について 本調査においてまず、システム監査の方法のうちインタビュー法によって監 査を行いました。 インタビュー法は、口頭で質問し説明を求める監査手法です。 そこで事前に、アンケートシートの結果に基づき監査チームで検討を行い、 そこで発見した問題がある個所、つまり「一部不対応」・「不充分」等の回答 が多く寄せられた項目や、人によって回答にばらつきがある項目を整理して、 3.1.5 で述べたように調書を作成し、これについて重点的にインタビューを実施 しました。 インタビューの実施概要としては、一名のインタビュー対象者に対して、監 査人は三名の体制であたりました。一名あたりの所要時間は、情報管理課の SE については約 1 時間で、その他の方については約 30 分でした。対象者は協力的 な態度をとってくださいました。 インタビュー対象者は約 50 名で、ほぼアンケート回答者と同じ方にお願い しました。

15 © 情報システム監査株式会社 禁無断転載 2003 3.2.2 視察 作業場所のたたずまいを視察し、アンケートシートとの相違が無 いか確認した。 (1) 電子計算機室、事後処理室、データ保管室 • 入退室管理 • 監視設備 • ホスト、サーバ機等の管理状況 • ＭＴ／ＣＴの保管状況 • 帳票用紙の保管状況 • 運用業務 (2) 情報システム部門事務室 • 入退室管理 • ドキュメント管理 • パソコン・端末について (3) 原課事務フロア • パソコン・端末について • 入力原票も含めた、帳票類の保管状況 (4) 建物設備管理 • 庁内の案内図等 • 電子計算機室や情報システム部門事務室の建物内の位置関係 • データの分散保管設備の有無 • 館内の巡視状況の確認 実際の作業場所を視察し、状況を確認しました。その際のポイントの一例を 抜粋して紹介します。 (1) 電子計算機室、事後処理室、データ保管室の視察におけるポイント ① 入退室管理 • 入退室できる職員が限定されているか。 ② 各種設備

• ビデオ録画の有無、存在する場合の保管期間 ③ データの保管・管理状況 • CT／MT（磁気記録媒体）の保管状況（施錠保管可能なロッ カー等に保管されているか）。 ④ 帳票の管理 • 電子計算機室への帳票の持込みは当日必要な分のみに限ら れているか。 ⑤ 運用業務 • 運転マニュアルは常備されているか。 (2) 情報システム部門事務室の視察におけるポイント ① 入退室管理 • 外部の人間が立ち入る際には記録を取っているか。 ② ドキュメント管理（ドキュメントとは文書のことであり，保管形 態は紙ベース・電磁媒体を含みます。） • ドキュメントの保管・廃棄状況（不正防止・機密保護の対 策を講じているか） ③ パソコン・端末について • 個人持込みパソコンが存在しないか。存在する場合、ネッ トワーク接続していないか。 ④ その他 • 外部から容易に接近しうる窓がある場合，防犯措置が講じ られているか。（防火シャッター、強化ガラス、警報装置 等） (3) 原課事務フロアの視察におけるポイント（市民が立ち入る場所が多い ので、基本的に外部の立ち入りが無い部門を何箇所か視察しました） • 操作マニュアルを常備し、処理を行っているか。 (4) 建物設備管理の視察におけるポイント • 電子計算機室、情報システム部門室等は庁内の案内図やパンフレッ ト等に載せていないか。

17 © 情報システム監査株式会社 禁無断転載 2003 3.3 本調査に関する監査チームの検討会 (1) 調書の集計 • インタビュー時のヒアリング内容の各設問ごとの取りまとめ (2) システム監査人報告会 • インタビュー • 現場視察 (3) システム監査人としての評価の取りまとめ (4) システム監査結果中間報告書のレビュー (5) システム監査コンサルティングレポートのレビュー 本調査終了後、監査チームで検討会を行いました。そこで検討した内容は次 のようなものです。 (1) 調書の集計 インタビュー時のヒアリング内容を設問ごとに整理し、アンケートシー トの回答と合わせて検討することによって、問題点を抽出するための資料 としての調書を作成しました。 (2) システム監査人報告会 先に実施したインタビュー・現場視察（3.2.1、3.2.2 を参照）について 監査人の間で意見交換を行いました。これは、監査対象の全体像をつかみ、 監査チームが同じ認識を持つために行うものです。 (3) システム監査人としての評価の取りまとめ (1) (2)の結果を踏まえて、アンケートシートの各設問に関して 4 段階評 価を行いました。 (4) システム監査結果中間報告書のレビュー・(5) システム監査コンサル ティングレポートのレビュー 今回のプロジェクトに参加したシステム監査人は分担して報告書を作成 しました。これを監査人が一堂に会してレビューと修正を繰り返し行うこ とによって、完成に近づけていきました。

4 中間報告書

4.1 システム監査結果中間報告書(案)の作成 4.1.1 報告書の構成について 以下の 3 部構成とし、システム監査人内で作業分担を決め、作成 した。 (1) システム監査の要約 • 今回のシステム監査のテーマ • 指摘事項および改善事項（第 1 次∼第 3 次） (2) システム監査実施の概要 • 監査方法と手続 • インタビューにご協力いただいた部門一覧 • 監査日程 • 監査チーム (3) 監査結果の詳細 • 各監査項目（15 項目）について、監査の視点、状況、問題点と 改善事項を記述 監査を実施した場合、その結果を報告書にまとめ適切な措置をとることので きる権限のある方に納品します。これは、監査結果を記録として残すと同時に、 正確に監査の結果を伝えるためです。 なお、システム監査を行う場合、通常はシステム監査結果報告書を提出する のは一度だけで、今回のように中間報告書を提出するのは例外的です。これは、 宇治市役所様が改善措置をとるに当たり予算が必要になりますが、予算策定時 期に間に合うように報告書を提出するためです。

19 © 情報システム監査株式会社 禁無断転載 2003 4.1.2 総合編と詳細編について 報告書は 2 種類作成 (1) 総合編 市議会や一般公開用として分かり易くまとめたもの (2) 詳細編 細部にわたり記述したもの セキュリティ上の問題点を公開することは市民の不利益につなが るため非公開用とした。 宇治市においては「宇治市情報公開条例」が施行されているため、｢システ ム監査報告書｣も住民の請求に応じて公開する必要があります（3 条）が、セキ ュリティ上の弱点についても公開するのでは情報システムが攻撃を受ける危険 性があります。 そこで、住民の公開請求に答えると同時にセキュリティにも配慮するため、 「総合編」と「詳細編」の二つの報告書を作成しました。このうち、「詳細 編」は非公開用の文書（6 条 9 号）として作成し、監査結果を全て記載しまし た。そして、「総合編」においては、機密保護に関連する個所は削除して作成 しました。 ＊参考 宇治市情報公開条例 6 条 実施機関は、次の各号のいずれかに該当する情報については、 公開しないことができる。 9 号 公開することにより、人の生命、身体、財産等の保護又は犯罪 の予防、犯罪の捜査その他市民生活の安全に支障が生ずるおそれのあ る情報

4.2 コンサルティングレポートについて (1) パソコン導入に関する資料案 • 新規にパソコンを導入するためのパソコン利用環境の再構築に 関する提案書 (2) システム監査結果中間報告書に基づくご提案書 • 来年度の予算計上に必要と思われる項目についての提案と想定 金額を提示 (3) システム監査コンサルティングレポート （システム監査結果中 間報告書に基づく第 1 次改善事項） • システム監査結果中間報告書の第 1 次改善事項（平成 12 年度中 に改善が望まれる項目）に関するコンサルティングレポート • システム監査結果中間報告書と同様に「総合編」・「詳細編」 を作成 宇治市役所様のシステム監査においては、単に監査にとどまらず、改善の具 体的な実現方法についての提言も求められました（1.1 を参照）。これに応じ て、当社はコンサルティングレポートとして改善方法をまとめた文書を提出し ました。 その内訳は次の通りです。 (1) パソコン導入に関する資料（案） 情報システム部門主体で庁内に新規パソコンを導入する際に、パソコン 利用環境を再構築するための提案をまとめたものです。 提案のポイント（抜粋） • セキュリティ環境の再構築 ・ 導入するパソコンの安全性を確保するため必要条件 ・ ユーザ管理とアクセス制御 • セキュリティ環境の運用（再構築したセキュリティ環境の運用につ いての提案事項） ・ データ管理について ・ ウィルス管理ツールについて • 利用者規則の見直し ・ 端末の利用について

21 © 情報システム監査株式会社 禁無断転載 2003 ・ 周辺装置について ・ ネットワークについて (2) システム監査結果中間報告書に基づくご提案書 平成 12 年度の経費として予算計上が必要な項目とおおよその金額を列 挙したものです。 (3) システム監査コンサルティングレポート（システム監査結果中間報告 書に基づく第 1 次改善事項） 平成 11 年度中に実施していただきたい改善事項に対する、具体的な提 案を行いました。

4.3 システム監査結果中間報告書に関する確認∼納品 (1) 内容確認 • システム監査結果中間報告書(案)を宇治市役所に提出し、報告 書の内容に事実誤認が無いか確認した。 (2) システム監査結果中間報告書の修正 • 確認結果に基き、システム監査人で検討後に修正を加えた。 (3) 納品 • システム監査結果中間報告書 • システム監査コンサルティングレポート（システム監査結果中 間報告書に基づく第 1 次改善事項） (1) 内容確認について 監査結果を最終的に納品するに先立って、宇治市役所様にシステム監査 結果中間報告書（案）を提出し、内容の確認を行いました。これは宇治市 役所様の監査に限った話ではなく、一般的に報告書作成後に行うものです。 そこでは、正式に報告書を納品するに先立って、お客様側でシステム監査 人の報告に事実誤認がないかの確認を行っていただきます。 (2) システム監査結果中間報告書の修正について 宇治市役所様の確認で判明した、システム監査人が事実誤認している事 項について修正を加えました。

23 © 情報システム監査株式会社 禁無断転載 2003

5 追加調査

5.1 追加調査の準備 (1) アンケートシート再作成 • 中間報告書での指摘事項を基に本調査のアンケートシートより 抜粋 (2) アンケートシートの配布 • 情報システム部門の職員・SE・オペレータ • 本調査時にアンケートの自己評価の内容から原課部門をピック アップ (3) アンケートの回収（約 2 週間後） (4) アンケートの集計 (5) 調書の作成 本調査に加えて追加調査を行いました。これはシステム監査結果中間報告書 で指摘した改善事項に対する対応がとられているかを確認する趣旨です。 (1) アンケートシートの再作成について 4.3 で述べたように、本調査の結果に基づき「システム監査結果中間報 告書」を作成しました。この中で指摘した事項がその後改善されたかを確 認するために、問題の残る項目のみを抜粋し、さらに、前回の回答結果か ら質問の意図が伝わりにくかったと思われる設問については内容の見直 し・修正を行い、予備調査のために再度アンケートシートを作成しました。 (2) アンケートシート配布 本調査をすでに行っており全体的な傾向は掴めているので、アンケート シートを配布する対象者は本調査におけるよりも少なく、情報システム部 門の方全員（13 名）・原課部門のホスト系（8 名）・パソコン系（5 名） の計 26 名に協力していただきました。

5.2 追加調査 5.2.1 主な項目 (1) 重要諸規程の精査 • 宇治市例規集（宇治市の定める規程集 全 4 巻） 組織・業務 分掌・職務権限・文書管理等 • 情報システム部門諸規程 (2) 追加インタビュー • 情報システム部門の職員・SE のうち数名について実施 • 追加アンケートの自己評価の内容から原課部門をピックアップ し数名について実施 (3) 個人情報取扱事務登録簿の視察 (4) 書庫の視察 (5) フォローアップ監査 (1) 重要諸規程の精査（5.2.2、5.2.3 を参照） 宇治市例規集は、宇治市が策定した、自治体ごとに事務を行う上で必要 な規程を記載した文書です。例えば、市制施行、議会・選挙、組織、職務 権限、文書管理規程等が記載されています。このため、個人情報の保護を 図るためのシステム監査を行うについてこの内容を詳しく調査する必要が あると考えました。この例規集の精査を行うにあたり、事前に個人情報保 護のために必要な規程を想定し、それらが規程集に網羅されているかを調 査しました。 また、情報システム部門の管理規程についても同様の調査をしました。 (2) 追加インタビュー（5.3 を参照） 追加インタビューによって、次の事項を確認しました。 • 本調査に基づく「システム監査結果中間報告書」で指摘した事項が その後改善されたか。 • 回答欄に記入されたコメントで確認すべき点 • 本調査で確認できていなかった事項 (3) 個人情報取扱事務登録簿の視察（5.4 を参照）

25 © 情報システム監査株式会社 禁無断転載 2003 情報公開コーナーに設置されている個人情報取扱事務登録簿の内容を検 証しました。これは、行政事務のうち、個人情報を収集、利用、提供する ことが必要である事務を登録した文書です。 (4) 書庫の視察（5.5 を参照） 現場を視察することにより、書庫での個人情報保管状況を確認しました。 (5) フォローアップ監査（5.6 を参照） 以上の、アンケートシートの回答、追加インタビュー、作業場所の視察 から、「システム監査結果中間報告書」での指摘事項のうち改善された点 を確認しました。

5.2.2 重要諸規程の精査（宇治市例規集） 精査を行う前にあらかじめチェック項目を洗い出し、それに基づ いて精査を行った。 (1) 電磁化情報、紙情報、手書きメモまで含めた個人情報の漏えいに 対する総括責任者が明確になっているか。 (2) 情報部門部長の職務権限が明確に書かれているか。 (3) 情報部門部長の他の部局に対しての指示・命令権が明らかになっ ているか。 (4) 情報部門課長の情報保護に関する職務権限は明確になっている か。 (5) 情報部門課長には他の課に対して指示・命令権が与えられている か。 また、ここで挙げているチェック項目以外にも次のような項目を検証しまし た。 • 情報保護、事務室管理、ロッカー・机等の施錠管理について、原課 の課長の責任が明確になっているか。 • 原課の課長について、システムオーナー、データオーナーが明確に なっているか。 • 原課の文書管理について、保管・廃棄が明確に定められているか。 また、年次・日常の文書廃棄について明確になっているか。 • 倉庫管理の全体責任部署が明確になっているか。また、倉庫の立ち 入り規程が存在するか。 • 警備日誌は誰が点検しているか。

27 © 情報システム監査株式会社 禁無断転載 2003 5.2.3 重要諸規程の精査（情報部門管理規程） 正確性・安全性の観点から以下の事項について精査を行った。 (1) 正確性確保の規程 • 運用管理に関する事項 • 入出力管理に関する事項 • データ管理に関する事項 (2) 安全性確保の規程 • 入退管理に関する事項 • アクセス管理に関する事項 • データ管理に関する事項 • 委託処理管理 情報部門管理規定について、具体的には次に例示する項目について検証を行 いました。 正確性確保の規程 (1) 運用管理に関する事項 • 個人情報データの件数等の確認をシステムで行っているか。 • 操作手順を標準化し、ルールとして定めているか。 (2) 入出力管理に関する事項 • 窓口または担当者による個人情報の修正手続きを定めているか。 • 個人情報の出力情報の引渡しルールを定めているか。 (3) データ管理に関する事項 • 廃棄する紙、磁気媒体等に記録されたデータの消去ルールを定めて いるか。 • 安全性確保の規程 (4) 入退管理に関する事項 • 情報システムの各室への搬出入物は、必要な物に限定しているか。 (5) アクセス管理に関する事項 • システムのセキュリティ方針、管理体制、管理手順を定めているか。

(6) データ管理に関する事項 正確性確保の規程と同様 (7) 委託処理管理

29 © 情報システム監査株式会社 禁無断転載 2003 5.3 インタビュー (1) システム監査人は 1 チーム 3 名 • 質問者 2 名 • 書記 1 名 (2) 回答者は 1 名 (3) 時間 • 情報部門職員、SE は 2 時間 • 以外は 30 分 (4) 質問内容（アンケートシートに基づく） • システム監査結果中間報告書提出後の取り組み状況の確認 • アンケートシートの回答欄の記入内容について

5.4 個人情報取扱事務登録簿の視察 以下の視点に基づいて視察を実施 (1) 個人情報を取扱う業務は個人情報取扱事務登録簿に漏れなく登録 されているか。 (2) 事務で使用される個人情報が明確になっているか。 (3) 開示・訂正・削除する場合、責任者が明らかになっているか。 (4) 登録、修正、削除の手続が漏れなく行われているか。 (5) コンピュータを使用して行っている事務が明確になっているか。 個人情報取扱事務登録簿･･･ 個人情報を行政事務の目的から、収 集、利用、提供することが必要であ る事務を登録したもの。 また、上記で挙げているチェック項目以外にも次のような項目を検証しまし た。 • 個人情報取扱事務登録簿の見直しを定期的に行っているか。 • 個人情報取扱事務登録簿の一覧表が作成されているか。 • 記載事項に関する、内容の正確さを確認するための検証が行われて いるか。 • 記述内容について、書き方の差異が発生しないように記入要領が作 成されているか。 • コンピュータで使用する個人情報については、明確にされているか。 • 各事務で使用する個人情報の出所が明らかになるようになっている か。

31 © 情報システム監査株式会社 禁無断転載 2003 5.5 書庫の視察 以下の視点に基づいて視察を実施 (1) 各書庫の立ち入りおよび保管方法について個人情報を厳重に保護 できる運用となっているか。 (2) 文書の廃棄について個人情報を厳重に保護できる運用となってい るか。 書庫の視察において、次のような項目についてチェックしました。 • 責任者が鍵・立ち入り管理台帳（保管文書閲覧簿）の管理を厳重に おこなっているか。 • 整然と配置されているか（関係者以外が安易に参照したり抜き取っ たりできない状態にする必要がある）。 • 個人情報を含むものが優先的に保管されているか。 • 保管対象外のものまで保管されていないか。 • 書庫のスペースに余裕はあるか。 • 定期的な点検を行い、個人情報の紛失・盗難等が発生していないか 確認しているか。 • 書庫の施錠管理が行われているか。 • 一斉廃棄までの廃棄帳票の保管状況。

5.6 フォローアップ監査 現場視察（中間報告書提出後の改善状況の確認） (1) 電子計算機室、事後処理室、データ保管室 (2) 情報システム部門事務室 (3) 原課事務フロア (4) 廃棄プロセスの確認 • 日常のゴミの取扱い • 一斉廃棄の際の廃棄プロセスおよび立会いについて (1)(2)(3)については、本調査においても視察を行いましたが（3.2.2 を参照）、 そこで判明した問題点が改善されているかを、本調査と同様の観点で再調査し ました。 情報処理の際に発生した出力帳票や、入力原票には個人情報が記載されてい ます。これらを廃棄する際にはどうしても外部に出さざるを得ないわけですか ら、単に捨てればいいというわけにはいきません。つまり、廃棄のプロセスに おいても個人情報保護のための取り組みが必要となります。そこで、(4)廃棄プ ロセスの確認について、次に例示する視点において視察を行いました。 • 少量の個人情報が含まれる文書に関してはシュレッダーによる廃棄 がなされているか。 • 入出力帳票、ドキュメント、手書き文書等の保管から一斉廃棄まで のプロセスの確認。

33 © 情報システム監査株式会社 禁無断転載 2003 5.7 最終報告に向けての監査チームの検討会 (1) 調書の集計 • インタビュー時のヒアリング内容を各設問ごとに取りまとめ る。 (2) システム監査人報告会 • 重要諸規程精査 • インタビュー • 個人情報取扱事務登録簿の視察 • 書庫の視察 • 現場視察 (3) システム監査人としての評価の取りまとめ (4) システム監査結果最終報告書のレビュー (5) システム監査コンサルティングレポートのレビュー 追加調査終了後、監査チームで検討会を行いました。そこで検討した内容は 次のようなものです。 (1) 調書の集計 インタビュー時のヒアリング内容を設問ごとに整理し、アンケートシー トの回答と合わせて問題点を抽出するための資料としての調書を作成しま した。これに基づいて実施したインタビューの結果を集計しました。 (2) システム監査人報告会 今回のシステム監査は、監査チームによって行いました。そこで、イン タビューや視察（5.3∼5.5 を参照）は監査チーム内で分担して行いました ので、これについて監査人の間で意見交換を行いました。これは、監査チ ームの全員が全体像をつかみ、同じ認識を持つことができるようにするた めに行います。 (3) システム監査人としての評価の取りまとめ (1) (2)の結果を踏まえて、アンケートシートの各設問に関して 4 段階評 価を行いました。

6 最終報告書

6.1 システム監査結果最終報告書（案）の作成 システム監査結果中間報告書との違い (1) フォローアップ監査にて改善が確認された項目は指摘事項から取 り除く (2) システム監査結果中間報告書提出後の取り組み状況 (3) 改善事項の修正 • 重要諸規程の精査結果、個人情報事務取扱登録簿・書庫視察結 果をふまえての指摘事項の追加 • 第 1 次改善事項（平成 12 年度中に実施が望まれる項目） • 第 2 次改善事項（将来的に実施が望まれる項目） (4) セキュリティポリシーの策定 • 来年度実施予定をふまえての提言 前にも述べましたが、今回のシステム監査においては、報告書提出は、中間 報告書と最終報告書の計 2 回行いました。これは、予算が必要な改善事項を取 り急ぎ説明することによって、これを踏まえた予算策定準備が可能となるよう にするためです。 (1) システム監査結果中間報告書で述べた指摘事項のうち改善された項目 については指摘事項から削除しました。 (2) システム監査結果中間報告書提出以降に指摘事項に基づいて改善され た点や、これ以外にも個人情報保護に努められた点を列挙しました。 (3) 改善事項については、次のような変更を加えました。 • システム監査中間報告書で述べた改善事項のうち、改善が確認され た事項は削除しました。 • 追加調査の結果判明した、改善すべき点を追記しました。 • システム監査中間報告書では、第 1 次∼第 3 次改善事項に分けて記 述したが、最終報告書では来年度実施分（第 1 次改善事項）と将来 的に実施が望まれるもの（第 2 次改善事項）の 2 つに分類しました。 (4) セキュリティポリシーとは、組織としてのセキュリティの考え方を基 本方針としてまとめ、明文化したものです（6.3 を参照）。個人情報 を保護し、その自己コントロール権を保障するには、方針となるもの が必要になります。この方針を具体的に策定される際には、個人情報

35 © 情報システム監査株式会社 禁無断転載 2003 保護を含むセキュリティ全般を踏まえたセキュリティポリシーを確立 する必要があります。 宇治市役所様では来年度にセキュリティポリシーを策定することを予 定されていたため、策定するに当たって必要と思われる事項をまとめ あげて提言しました。 また、セキュリティポリシーを周知徹底し維持するために必要な関連 規程類を明らかにし、これを具体化するためにセキュリティガイドラ インおよびセキュリティマニュアルを策定する必要があります。 • セキュリティガイドライン 分野別にまとめられたセキュリティに関する具体的な基準 • セキュリティマニュアル セキュリティガイドラインを遵守する方法、手引きをまと めたもの

6.2 コンサルティングレポートについて (1) システム監査コンサルティングレポート（システム監査結果最終 報告書に基づく第 1 次改善事項） • システム監査結果最終報告書の第 1 次改善事項（平成 12 年度中 に改善が望まれる項目）に関するコンサルティングレポート • システム監査結果最終報告書と同様に「総合編」・「詳細編」 を作成 (2) セキュリティポリシー案 • 平成 12 年度に予定されている、セキュリティポリシー策定に向 けての例として提案 (3) パソコン導入に関する資料 • 中間報告書提出時の資料において当初提案したセキュリティ対 策製品と、Windows2000 のセキュリティ機能との比較検討につ いての情報を追加 (1) システム監査コンサルティングレポート（システム監査結果最終報告 書に基づく第 1 次改善事項） 平成 12 年度中に実施していただきたい改善事項に対する具体的な提案 を行いました。 (2) セキュリティポリシー案の内容 • セキュリティポリシーの目的 • 対象範囲、対象者 • 体制 • セキュリティ教育 • セキュリティ監査 (3) パソコン導入に関する資料 • 基本的には前回のシステム監査中間報告書提出時のものと同様です が、Windows2000 が発売されたため、当初導入予定であった OS や セキュリティソフトと Windows2000 との比較をするため、 Windows2000 で実現可能なセキュリティ機能について記述しました。

37 © 情報システム監査株式会社 禁無断転載 2003 6.3 セキュリティポリシー セキュリティポリシーとは組織としてのセキュリティの考え方を 基本方針としてまとめ、明文化したもの (1) セキュリティポリシー セキュリティに関する基本方針 (2) セキュリティガイドライン 分野別にまとめられたセキュリティに関する具体的な基準 (3) セキュリティマニュアル セキュリティガイドラインを遵守する方法、手引きをまとめたも の セキュリティポリシーとは、組織としてのセキュリティの考え方を基本方針 としてまとめ、明文化したものです。そして、セキュリティポリシーを周知徹 底し維持するために、必要な関連する規程類を明らかにし、これを具体化する ためにセキュリティガイドラインおよびセキュリティマニュアルを作成する必 要があります。 ① セキュリティポリシー セキュリティに関する基本方針 ② セキュリティガイドライン 分野別にまとめられたセキュリティに関す具体的な基準 ③ セキュリティマニュアル セキュリティガイドラインを遵守する方法、手引きをまとめた もの これらの対象範囲としては、つぎのものが考えられます。①個人情報が含ま れる情報（紙ベース・電子データとも含む）、②ホストコンピュータおよびパ ソコンシステムのソフトウェア、ハードウェア、ネットワークに関すること、 ③上記内容を取扱う職員、④外部委託要員などです。 セキュリティポリシーは策定するだけでなく、状況の変化にしたがって見直 すことが必要です。特に、セキュリティガイドライン、セキュリティマニュア ルは、セキュリティ確保のために日常的に使用されるものであるため常に最新 の状況にあわせて改訂することが必要となります。そのため、 セキュリティポ

リシーを策定してその運用開始後に第三者的立場で点検・評価するために、シ ステム監査を実施されることが必要です。

39 © 情報システム監査株式会社 禁無断転載 2003 6.4 システム監査結果最終報告書に関する確認∼納品 (1) 内容確認 • システム監査結果最終報告書(案)を宇治市役所に提出し、報告 書の内容に事実誤認が無いか確認した。 (2) システム監査結果最終報告書の修正 • 確認結果に基き、システム監査人で検討後に修正を加えた。 (3) 納品 • システム監査結果最終報告書 • システム監査コンサルティングレポート （システム監査結果報 告書に基づく第 1 次改善事項） 中間報告書の提出時と同様に、報告書に事実誤認がないか確認し、修正を加 えた上で納品しました。

6.5 第 1 次改善事項（平成 12 年度中に改善が望まれる事項） (1) 組織・規程の整備 (8) ネットワーク管理 (2) 運用管理 (9) 保守業務 (3) 入力管理 (10) ドキュメント管理 (4) データ管理 (11) 要員管理 (5) 出力管理 (12) 外部委託 (6) ソフトウェア管理 (13) システム監査 (7) ハードウェア管理 当年度（平成 12 年度）中に実施していただきたい事項を第 1 次改善事項とし て、システム監査結果最終報告書に記載しました。その内容の一例を抜粋して 紹介します。 (1) 組織・規程の整備 • セキュリティポリシー・セキュリティガイドライン・セキュリティ マニュアルの策定 (3) 入力管理 • 入力管理規程の策定 • 入力時チェックと、入力後の検証および検証記録の作成 (4) データ管理 • 本番データの複写の制限（情報漏えい防止） (7) ハードウェア管理 • ノートパソコンの保管・管理に関する規程（情報漏えい防止の観点 から） (9) 保守業務 • 変更履歴の作成と変更後の確認（正確な保守のため） (10) ドキュメント管理 • ドキュメント作成基準 (11) 要員管理 • セキュリティ教育の充実（個人情報保護の理解・徹底）

41 © 情報システム監査株式会社 禁無断転載 2003 (12) 外部委託 • 外部委託業務ごとの選定条件の強化 (13) システム監査 • 監査委員による監査 • 各原課による定期的な自己評価 • 継続的な外部委託による監査

6.6 第 2 次改善事項（将来的に改善が望まれる事項） (1) 運用管理 (2) データ管理 (3) 建物・関連施設管理 (4) ドキュメント管理 将来的に実施していただきたい事項を第 2 次改善事項として、システム監査 結果最終報告書に記載しました。その内容の一例を紹介します。 (1) 運用管理 • アクセス状況の定期点検の実施…ホスト系端末機単位で日々のアク セス件数を出力 (2) データ管理 • ファイルの暗号化 (3) 建物・関連施設管理 • 電算室の木製壁を耐火ブロック壁と鉄扉に変更（耐火対策）