１ 目的
　 群馬県国民健康保険団体連合会（以下「国保連合会」という。）では、診療報酬、介護給付費等の審査支払等、保健事業及び各種共同事業を実施している。
　 国保連合会で実施するこれらの業務は、個人の氏名、生年月日及び診療内容など個人情報を中心とする極めて重要な情報資産を数多く取り扱っている。
 　また、近年における情報技術の進展は情報資産の活用を容易にした反面、不正アクセス、データ持ち出しなどの脅威を受ける可能性を高める要因となっている。
　 この基本方針は、国保連合会が保有する情報資産を様々な脅威から保護し、保険者並びに関係機関等から信頼される事業運営を行い社会的責務を果たすため、必要な情報セキュリティ対策について、組織的かつ継続的に取り組むための基本的な考え方を定めるものであり、国保連合会における情報セキュリティ水準を維持し、向上させて行くことを目的とする。

２ 適用規格
　 国保連合会のISMSに適用する規格は、JISＱ27001:2006（情報セキュリティマネジメントシステム-要求事項）およびISO/IEC 27001:2005（以下｢規格｣）とする。

３ 対象とする脅威
　 情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。
　　　ア　部外者の侵入、不正アクセス、ウイルス攻撃、サービス不能攻撃等の意図的要因による
　　　　情報資産の漏えい、破壊、改ざん及び消去等
　　　イ　プログラム上の欠陥、操作ミス、故障、紛失等の非意図的要因による情報資産の漏えい、
　　　　破壊及び消去等
　　　ウ　地震、落雷、火災、停電等の環境的要因によるサービス及び業務の停止等

４ 適用範囲
　 対象者は、国保連合会に勤務する全ての職員等とする。対象とする情報資産は、適用事業に関する全ての情報資産。

５ 職員等の遵守義務
　 情報セキュリティの重要性について共通の認識を持ち、業務の遂行に当たって情報セキュリティポリシー及び情報セキュリティ実施手順を遵守し、関連する法律等に従うとともに、自ら情報セキュリティに関する意識の向上に努めるものとする。

６ 情報セキュリティ対策
　 国保連合会が保有する情報資産を脅威から保護するために、以下の情報セキュリティ対策を講じる。
　（１） 組織体制
　　　　国保連合会が保有する情報資産について、情報セキュリティ対策を組織的に推進するた
　　　め、管理体制及び運営体制を確立する。
　（２） 情報資産の分類と管理
　　　　国保連合会の保有する情報資産を機密性、完全性及び可用性に応じて分類し、当該分類
　　　に基づき情報セキュリティ対策を行う。
　（３） 物理的セキュリティ対策
　　　　環境的要因による脅威や部外者の侵入等の外部からの脅威から情報資産を保護するため
　　　に、物理的な対策を講じる。
　（４） 人的セキュリティ対策
　　　　情報セキュリティに関し、職員等が遵守すべき事項を定めるとともに、職員等に周知するた
　　　め、定期的な情報セキュリティ教育及び研修の実施、外部委託時の守秘義務契約締結等の
　　　人的な対策を講じる。
　　　　職員等は、国保連合会が実施する情報セキュリティ教育及び研修を受けなければならない。
　（５） 技術的セキュリティ対策
　　　　情報資産を不正アクセス、ウイルス攻撃等から保護するため、アクセス制御、不正アクセス
　　　対策、コンピュータウイルス対策ソフトウェアの導入及び定期的更新等の技術的対策を講じる。
　（６） 運用
　　　　情報システムの監視、情報セキュリティポリシーの遵守状況の確認、外部委託を行う際のセ
　　　キュリティ確保等、情報セキュリティポリシーの運用面の対策を講じるものとする。

７ 情報セキュリティ監査及び自己点検の実施
　 情報セキュリティポリシーの遵守状況を評価、確認するため、定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。

８ 情報セキュリティ事故等への対応
 　国保連合会が保有する情報資産に対する事故等については、以下の対策を講じる。
　（１） 事前準備
　　　　情報資産の流出、侵害の発生に備えるために緊急時の対応計画を定める。
　（２） 事故発生時の対応
　　　　情報資産に対する事故等が発生した場合は、緊急時の対応計画に基づき、速やかに報告を
　　　行うとともに必要に応じ証拠保全、被害拡大の防止、復旧等適切な対応を行う。
　（３） 原因調査と再発防止
　　　　情報資産に対する事故等が発生した場合は、事故の原因を分析し、必要に応じ再発防止策
　　　を講じる。

９ 情報セキュリティポリシーの見直し
 　情報セキュリティ監査及び自己点検の結果、情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、情報セキュリティポリシーを見直す。

10 情報セキュリティ対策基準の策定
 　この基本方針に基づき、具体的な遵守事項及び判断基準等を定める情報セキュリティ対策基準を定める。

11 情報セキュリティ実施手順の策定
　情報セキュリティ対策基準に基づき、情報セキュリティ対策を実施するための具体的な手順を定めた情報セキュリティ実施手順を策定する。

12 罰則
 　情報セキュリティポリシーに違反した場合、当該職員に対し国保連合会の関連規程等に応じた懲戒処分等必要な措置を講じるものとする。 

                                                                                        平成１７年１１月１５日　制定　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　                                                                                        平成２０年　３月２７日　改定　　　　　　　　　　　　　　　　　                                                                                        平成２１年　９月　１日　改定　　　　　　　　　　　　　　　　　                                                                                        平成２２年　４月　１日　改定