提案書の情報セキュリティ・個人情報保護の書き方 ― ISMS・プライバシーマークの記載で終わらせない管理策

自治体の業務では住民の個人情報や行政内部の情報を扱うことが多く、情報セキュリティは必須要件にも評価項目にもなります。自治体は総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」を参考に自団体のセキュリティポリシーを定めています。同ガイドラインは近年ほぼ毎年改定され（令和6年10月、令和7年3月、直近は令和8年3月27日改定）、業務委託先の管理やクラウドサービス利用に関する記述が強化されてきました。令和8年3月の改定は、地方自治法の改正（令和6年法律第65号）により、地方公共団体にサイバーセキュリティの確保に関する方針の策定が義務付けられたこと（同法第244条の6）などを踏まえたものです。受注者は、発注者のポリシーと仕様書の特記事項に従うことが前提です。

評価者の視点：ここで点が分かれる理由

情報セキュリティ・個人情報保護の評価項目では、「個人情報の取扱いが適切か」「情報漏えい防止の具体的な対策があるか」「事故発生時の対応体制が明確か」「再委託先の管理が適切か」といった着眼点が典型です。自治体の情報セキュリティ担当課や個人情報保護の担当が評価に加わることもあり、他の項目よりも「具体策の有無」が厳しく見られます。

満点に近い答案は、本業務で扱う情報の種類と件数を特定したうえで、組織的・人的・物理的・技術的の4分類の対策、個人情報の取扱い手順、インシデント対応、再委託管理がそろい、発注者のセキュリティポリシーと仕様書の特記事項に従う旨が明記されています。中間の答案は、認証名と一般的な社内規程の説明が中心で、本業務の情報の流れに即した記述が薄いものです。低得点の答案は、「万全の対策」「厳重に管理」といった言葉だけで、何をするのかが分かりません。認証を持っていても、本業務にどう適用するかが書かれていなければ中間止まりになります。

認証（ISMS・プライバシーマーク）の記載だけで終わらせない

よく参照される制度は次のとおりです。

悪い例： 当社はISMSおよびプライバシーマークを取得しており、情報セキュリティ対策は万全です。

良い例： 当社は本業務の実施部署を認証範囲に含むISMS認証を取得しています。そのうえで、本業務では次の管理策を講じます。①貴市から提供される個人情報は、アクセス権を業務従事者4名に限定した専用フォルダで管理し、操作ログを保存します。②個人情報を含むデータの社外持ち出しと私物端末での取扱いを禁止します。③業務終了時にはデータを消去し、消去証明書を提出します。④情報漏えいのおそれが生じた場合は、覚知から速やかに（貴市の定める期限内に）担当課へ第一報を入れます。⑤従事者全員に、着手前に本業務固有のセキュリティ研修を行い、誓約書を提出します。

業務に即した具体的な管理策

管理策は「業務の流れ」に沿って書くと漏れが減ります。受領（どう受け取るか）、保管（どこに置き、誰が触れるか）、利用（どの端末で扱うか）、送付（暗号化やパスワードの扱い）、廃棄（いつ、どう消すか）の5段階で整理し、再委託がある場合は再委託先にも同等の管理を求めることと、発注者の事前承認を得ることを書きます。発注者が監査や立入検査を求めた場合に協力する旨も、委託先管理の観点から評価されやすい記述です。

個人情報保護法の地方公共団体への適用を踏まえた書き方

令和3年の個人情報保護法改正（デジタル社会の形成を図るための関係法律の整備に関する法律、令和3年法律第37号）により、令和5年4月1日から地方公共団体の機関にも同法の規律が直接適用されるようになりました。それまで自治体ごとの個人情報保護条例で定めていた安全管理措置などの規律は、法律の共通ルールに一本化され、条例で定めるのは手数料など法律の施行に必要な事項や、特に必要な場合の独自の保護措置に限られる形に変わっています。運用の細部は、個人情報保護委員会のガイドライン（行政機関等編）と各自治体の規程・契約特記事項で定められます。

受託者にとって重要なのは、地方公共団体から個人情報の取扱いの委託を受けた者にも安全管理措置の義務が準用されること（個人情報保護法第66条第2項第1号。再委託先も同項第5号で対象）と、委託業務の従事者にも、業務で知り得た個人情報をみだりに他人に知らせたり不当な目的に利用したりしてはならない義務（第67条）や罰則（第176条・第180条）が及ぶことです。提案書では、「個人情報保護法および同法の施行に関する貴市の条例・規程、貴市個人情報保護に関する契約特記事項に従う」と、法律・条例等・契約特記事項の3層を並べて書くと、制度の現状を理解していることが伝わります。

委託先に求められる事項として仕様書や契約特記事項に盛り込まれやすいのは、目的外利用の禁止、第三者提供の禁止、複写・複製の制限、再委託の制限、事故発生時の報告、業務終了時の返却・廃棄、従事者への周知、立入検査への協力などです。これらを提案書の管理策に対応させ、「特記事項第◯条に対応」のように書けると、評価者の確認作業が楽になります。

自治体のセキュリティポリシーへの準拠とクラウド利用時の記述

自治体は総務省のガイドラインを参考に自団体のポリシーを定めるため、提案書では「貴市情報セキュリティポリシーおよび実施手順に従い、業務着手前に貴課と管理策の確認を行います」と、準拠先を発注者のポリシーにする書き方が基本です。自社の規程を優先するような表現は避けます。

クラウドサービスを利用して情報を扱う場合は、次の点を書きます。①利用するサービスの種類とデータの保存場所（国内リージョンかどうか）、②ISMAPの登録状況や第三者認証の有無、③アクセス権の設定と多要素認証、④通信・保存データの暗号化、⑤サービス事業者との責任分界、⑥業務終了時のデータ削除の方法と証明。自治体のネットワーク（「三層の対策」。いわゆる三層分離）との関係で、個人情報を外部サービスに置くことが認められない場合もあるため、仕様書で許可範囲を確認し、不明な場合は質問期間に確認してから書きます。

悪い例： クラウドを活用して効率的に業務を進めます。セキュリティは大手事業者のサービスのため安心です。

良い例： 作業データの共有には、国内リージョンにデータを保存するISMAP登録済みのクラウドストレージを利用します。アクセスは業務従事者4名のアカウントに限定し、多要素認証を必須とします。個人情報を含むデータは貴市の許可範囲内でのみ扱い、許可のない場合は貴市指定の方法で授受します。業務終了時は全データを削除し、削除の記録を提出します。

なぜ良いか： 保存場所・登録状況・アクセス制御・認証・終了時の処理が具体的で、しかも発注者の許可範囲を優先する姿勢が明記されています。「大手だから安心」という根拠のない表現が消えています。

持ち出し・保管・廃棄の具体策

個人情報の事故で多いのは、持ち出し中の紛失、誤送付、廃棄漏れです。評価者はこの3点の対策を特に確認します。

この項目の標準構成（テンプレート）

次の順番で書くと、評価者が確認したい事項を漏れなくカバーできます。

1. 本業務で取り扱う情報：種類（住民の個人情報、庁内資料、システム設定情報など）、おおよその件数、受領の形式。
2. 準拠する規程：発注者の情報セキュリティポリシー、仕様書の特記事項、個人情報保護法および同法の施行に関する発注者の条例・規程、自社の規程・認証。
3. 組織的対策：責任者の設置、従事者の限定、記録の保存、定期点検。
4. 人的対策：誓約書、着手前研修、退職・異動時のアクセス権削除。
5. 物理的対策：作業場所の限定、入退室管理、施錠保管、クリアデスク。
6. 技術的対策：アクセス制御、暗号化、ログ取得、ウイルス対策、持ち出し制限。
7. 個人情報の取扱い手順：受領→保管→利用→送付→返却・廃棄の5段階。
8. インシデント対応：第一報の期限、報告先、原因調査と再発防止、発注者への最終報告。
9. 再委託管理：再委託の有無、事前承認、再委託先への同等の義務付け、監督方法。
10. 監査・立入検査への協力。

書き換え手順（チェックリスト）

• 本業務で扱う情報の種類と件数を特定したか
• 準拠先として、発注者のポリシー・仕様書の特記事項・個人情報保護法と発注者の条例・規程を挙げたか
• 組織的・人的・物理的・技術的の4分類がそろっているか
• 受領→保管→利用→送付→返却・廃棄の5段階が書かれているか
• 持ち出しの原則禁止と例外時の手順を書いたか
• インシデント時の第一報の期限と報告先を書いたか
• 再委託の有無、事前承認、再委託先への同等の義務付けを書いたか
• 認証は認証範囲（本業務の実施部署が含まれるか）まで書いたか
• クラウドを使う場合、保存場所・登録状況・アクセス制御・削除方法を書いたか
• 「万全」「厳重に」「徹底します」だけの文を具体策に置き換えたか

業務種別ごとの例文

窓口・業務委託

悪い例： 窓口で取り扱う個人情報は、厳重に管理し、漏えい防止を徹底します。

良い例： 窓口で受け付ける申請書類は、受付後直ちに施錠できる専用キャビネットに保管し、保管台帳で件数を管理します。従事者は着手前に貴市の個人情報保護に関する研修を受講し、誓約書を提出します。誤交付を防ぐため、交付時は本人確認書類と交付物の氏名を2名で読み合わせます。誤交付や紛失のおそれが生じた場合は、覚知後直ちに現場責任者が貴課へ第一報を入れ、当日中に経緯書を提出します。

なぜ良いか： 窓口業務で実際に起こる誤交付・紛失に対して、保管・読み合わせ・報告という具体策があり、「厳重」「徹底」が消えています。

調査・計画策定

悪い例： アンケートの個人情報は、当社のプライバシーマーク取得に基づく体制で適切に管理します。

良い例： 住民アンケートの回答票（個人を特定できる情報を含む）は、貴市から受領後、入力作業室内の施錠保管庫で管理し、入力はネットワークから分離した端末2台で行います。集計データは氏名・住所を除いた形で作成し、分析にはこの匿名化データのみを使用します。回答票は納品後30日以内に溶解処理し、処理証明書を提出します。当社はプライバシーマークを取得しており、この手順は社内規程に基づくものです。

なぜ良いか： 認証を「根拠」ではなく「手順の裏付け」として最後に添え、本業務の情報の流れ（受領→入力→匿名化→廃棄）に沿って具体策が示されています。

IT導入

悪い例： システム構築においては、最新のセキュリティ技術を採用し、安全性を確保します。

良い例： データ移行で預かる住民情報は、貴市庁舎内の指定端末でのみ取り扱い、社外への持ち出しは行いません。移行作業はアクセス権を持つ従事者2名に限定し、操作ログを貴市に提出します。テスト環境では本番データを使わず、仮名化したテストデータを使用します。システム設定情報やパスワードは暗号化された管理台帳で管理し、業務終了時に貴市へ引き渡したうえで当社側の記録を消去します。

なぜ良いか： 「最新技術」という漠然とした表現ではなく、本番データの扱い、テストデータの仮名化、設定情報の引き渡しと消去という、システム業務に固有の対策が書かれています。

よくある失敗パターンと処方箋

AIに書き直させるときの指示例

以下の「情報セキュリティ・個人情報保護」の下書きを、評価者が「本業務の情報の流れに即した具体策がある」と判断できる内容に書き直してください。
条件：
1. 冒頭で本業務で扱う情報の種類・件数と、準拠先（発注者の情報セキュリティポリシー、仕様書の特記事項、個人情報保護法と発注者の条例・規程）を書く。
2. 組織的・人的・物理的・技術的の4分類の対策、個人情報の受領→保管→利用→送付→返却・廃棄の5段階、インシデント対応（第一報の期限・報告先）、再委託管理（事前承認・同等義務）を必ず含める。
3. 認証（ISMS・プライバシーマーク等）は認証範囲とセットで書き、認証だけで安全とは書かない。
4. クラウド利用がある場合は、保存場所・ISMAP等の登録状況・アクセス制御・削除方法を書く。
5. 「万全」「厳重に」「徹底します」は使わず、具体策に置き換える。
6. 添付の社内規程で実行できない対策は書かない。不明な点は「【要確認】」と印を付ける。
7. です・ます調。発注者は「貴市」、自社は「当社」と書く。
下書き：
（ここに貼り付け）
仕様書の特記事項：
（ここに貼り付け）
自社の規程・認証範囲：
（ここに貼り付け）

よくある質問