全組織的な取り組みでセキュリティレベルを国際標準まで引き上げ[1]神奈川県藤沢市

CIOをトップとする全庁的な情報セキュリティ組織

　2001年3月に総務省が「地方公共団体における情報セキュリティポリシーに関するガイドライン」を公表したことを受けて、藤沢市では翌2002年5月にいち早く「藤沢市情報セキュリティポリシー」を策定。ポリシーに基づくセキュリティ対策を実施するとともに、情報セキュリティ委員会を設置した。

　情報セキュリティを推進するための全庁的な組織では、下図のように3名いる副市長のうち1名が最高情報統括責任者と最高情報セキュリティ責任者（CIO、CISO）を兼ね、1名が情報セキュリティ内部監査責任者となっている。そして、企画部長が情報統括責任者、企画部IT推進課長が、情報ネットワーク・セキュリティ管理者として情報統括責任者を補佐し、セキュリティ対策などを実施する。

　各課の長は情報システム・セキュリティ管理者（コンピュータ利用管理者）として、それぞれの課における情報セキュリティに関する責任を負い、各課の情報システム・セキュリティ担当者（IT推進リーダ）は、コンピュータ利用管理者を補佐し、課内におけるセキュリティ対策を推進する。

ISMS認証取得とセキュリティ監査の実施

　「藤沢市情報セキュリティポリシー」では、基本方針と、ISMSの考え方を導入し、市が保有する情報資産を守るために、適正な情報資産の取り扱いと情報セキュリティの維持・向上を図ることを内外に明示した。これによって、全職員の意識改革に基づく全組織的な取り組みがなされた。

　藤沢市は、2005（平成17）年度から2か年計画でISMSの認証取得を目指し、2006年8月に国際規格であるISO/IEC27001:2005の認証を取得した。神奈川県内自治体では初であり、全国でも8番目の事例となった。

　ISMS認証適用範囲は、IT推進課が管理する「IT推進課執務室」「コンピュータ室」「ネットワーク」等に限定したが、これは情報化推進部門が先行してISMSを導入することで効果の検証や組織への普及浸透を図ることを目的とし、適用範囲は順次拡大する方針という。

　ISMSの規定により、監査対象部署は定期内部監査を年1回以上受けなければならない。内部監査員は、全組織を4ブロックに分けて各ブロックからひとり、課長補佐職以上の管理職から選出する。今後、監査員の養成を積極的にすすめ、内部監査への関心を得るために、編成を10ブロックに変更する。