特定個人情報の管理状況監査業務の入札

特定個人情報の管理状況監査業務の入札

別紙特定個人情報の管理状況監査業務仕様書

１ 業務名特定個人情報の管理状況監査業務

２ 業務目的本業務は、「廿日市市特定個人情報の安全管理に関する基本方針」及び「廿日市市特定個人情報の適正な管理のための措置に関する要領」等に基づき実施している特定個人情報の安全管理措置について、第三者による独立かつ専門的な立場から、方針等に準拠し適切に実施されているか否かを点検・評価し、問題点の確認、改善方法等についての検討、助言、指導を行うことによって、廿日市市の特定個人情報の安全管理措置の向上に資することを目的とする。

３ 監査対象特定個人情報を取り扱う業務のうち、次の２業務を選定する。

また、令和元年度から令和７年度までの監査実施所属の未完了の改善計画書に対してフォローアップ(助言等)を行うこと。

４ 業務内容「地方公共団体等における監査のためのチェックリスト」(令和６年１２月個人情報保護委員会)を基に、廿日市市の実情にあった監査項目を抽出して、助言型監査を実施すること。

※本監査及び報告会は、次の期間に行うものとする。

(1) 健康福祉部高齢介護課 契約締結日から令和８年１２月末日まで

(2)健康福祉部健康福祉総務課 契約締結日から令和８年１２月末日まで※フォローアップは、次の期間に行うものとする。

フォローアップ 契約締結日から令和９年１月末日まで

５ 適用基準

(1)必須とする基準ア 廿日市市特定個人情報の安全管理に関する基本方針イ 廿日市市特定個人情報の適正な管理のための措置に関する要領ウ 各業務担当課が定める特定個人情報取扱マニュアル

(2)参考とする基準ア 特定個人情報の適正な取扱いに関するガイドライン(行政機関等編)

イ 廿日市市個人情報の保護に関する法律施行条例ウ 地方公共団体等における監査のためのチェックリスト項番 事務名 番号法 特定個人情報保護評価書番号対象所属

１ 老人福祉法の老人ホーム入所相談・措置・費用決定書送付事務第９条１項－ 健康福祉部高齢介護課

２ 健康増進事業 第９条１項

３５ 健康福祉部健康福祉総務課エ 上記のほか委託期間において情報セキュリティに関し有用な基準等で、廿日市市と協議して採用するもの

６ 監査人の要件

(1)監査責任者、監査人、監査補助者、アドバイザー等で構成される監査チーム(３人以上)を編成すること。

(2)監査品質の保持のため監査品質管理責任者、監査品質管理者等の監査品質管理体制をつくること。

(3)監査チームには、情報セキュリティ監査に必要な知識及び経験(国及び地方公共団体における情報セキュリティ監査、情報セキュリティ安全管理措置の改善に関する助言・提言又は情報セキュリティ監査担当者に対する教育研修等の実績)を持ち、次に掲げるいずれかの資格を有する者が１人以上含まれていること。

ア システム監査技術者イ公認情報システム監査人(CISA)

ウ 公認システム監査人 エ ISMS 主任審査員 オ ISMS 審査員カ 公認情報セキュリティ主任監査人キ公認情報セキュリティ監査人

(4)監査チームには、監査の効率と品質の保持のため次のいずれかの実績(実務経験)を有する専門家が１人以上含まれていること。

ア システム監査技術者イ 公認情報システム監査人(CISA)

ウ 公認システム監査人

(5)監査チームの構成員が、監査対象となる特定個人情報の管理及び当該特定個人情報に関する情報システムの企画、開発、運用、保守等に関わっていないこと。

７ 契約期間契約締結日から令和９年２月２８日まで

８ 想定する実施スケジュール

(1)令和８年１２月末日までに終えるパターン時期 内容9月下旬 契約の締結10月上旬 監査実施計画書を提出(受託者→発注者)監査チェックリストの内容確定(受託者→発注者)10月下旬 ２業務の担当課が監査チェックリストに記入し提出提出された監査チェックリストを基に、監査人側で本調査の監査内容を検討※最終的な日程については、発注者と受託者とで協議し決定する。

(2)令和７年度までの監査実施所属のフォローアップ※最終的な日程、内容については、発注者と受託者とで協議し決定する。

９ 成果物等

(1)成果物(本調査前) ア 業務着手届 紙媒体１部及びＰＤＦファイル(廿日市市が指定する様式)

イ 管理技術者等指名(変更)届 紙媒体１部及びＰＤＦファイル(廿日市市が指定する様式)

ウ 監査実施計画書 紙媒体１部及び電子ファイルエ 監査チェックリスト 紙媒体１部及び電子ファイル

(2)成果物(本調査後)

ア 監査報告書

①監査報告書(詳細版) 紙媒体１部及び電子ファイル

②監査報告書(要約版) 紙媒体１部及び電子ファイルイ 監査報告会資料 紙媒体(報告会開催時に必要とする部数)及び電子ファイルウ 議事録 紙媒体１部及び電子ファイルエ 監査調書 紙媒体１部及び電子ファイルオ 完了通知書 紙媒体１部及びＰＤＦファイル(廿日市市が指定する様式)

カ その他委託業務遂行中に廿日市市から指示するもの(部数等は、その都度指示する)11月 本調査２所属 (1泊2日または1日を1回)11月 調査結果を監査人側で検討～監査意見の形成12月上旬 監査報告書の作成発注者と監査人側との意見交換会(報告会の前に、事実誤認が無いかの確認を行う)(日帰りまたはＷＥＢ会議)監査結果の報告会(各監査対象所属別に1.5時間程度を2回)(日帰りまたはＷＥＢ会議)2月下旬 成果物納品時期 内容9月 契約の締結10月～1月 未完了の改善計画書を提出(発注者→受注者)改善計画書へのフォローアップ(助言等の記入)(受託者→発注者)(1回)2月下旬 成果物納品

(3)成果物(フォローアップ後)

ア 改善計画書 未完了の改善計画書に助言等を記入したもの

(4)成果物の様式等ア 紙媒体については、Ａ４版縦(必要に応じてＡ３版三つ折も可。Ａ３版三つ折の場合、両面印刷は不可とする。)とし、様式は「廿日市市が指定する様式」以外は任意とする。

イ 電子ファイルについては、加工可能な形式(Ｗｏｒｄ、Ｅｘｃｅｌ又はＰｏｗｅｒＰｏｉｎｔのいずれかの形式)のファイル及び印刷用のＰＤＦファイル両方の形式を電子媒体(DVD-R)に収め、提出すること。

なお、複数のファイルを電子媒体(DVD-R)に収めてもかまわない。

１０ 成果物の提出先総務部デジタル改革推進課とする。

１１ 監査報告会監査対象となった課室の保護管理者及び情報システム管理者に対して、監査結果の報告会を実施すること。

１２ 成果物の帰属成果物及びこれに付随する資料は、全て廿日市市に帰属するものとし、書面による廿日市市の承諾を受けないで他に公表、譲渡、貸与又は使用してはならない。

ただし、成果物及びこれに付随する資料に関し、受託者が従前から保有する著作権は受託者に留保されるものとし、廿日市市は、本業務の目的の範囲内で自由に利用できるものとする。

１３ 委託業務の留意事項業務の実施にあたっては、以下の事項に留意すること。

(1)監査実施計画書の提出契約締結後、受託者は監査実施計画書を提出し、廿日市市及び受託者の協議により委託業務の詳細内容及び各作業の実施時期を決定するものとする。

(2)資料の提供等本業務の実施にあたり、必要な資料及びデータの提供は廿日市市が妥当と判断する範囲内で提供する。

なお、受託者は、廿日市市から提供された資料は適切に保管し、特に個人情報に係るもの及び情報システムのセキュリティに係るものの保管は厳格に行うものとする。

また、契約終了後は本件監査にあたり収集した一切の資料を速やかに廿日市市に返還し、又は破棄するものとする。

(3)再委託受託者は、本業務の実施にあたり他の業者に再委託することを原則、禁止する。

再委託が必要な場合は、廿日市市と協議の上、事前に書面により廿日市市の承認を得ること。

(4)秘密保持等受託者は本業務の実施にあたり、知り得た情報及び成果品の内容を正当な理由なく他に開示し又は自らの利益のために利用してはならない。

これは、契約終了後又は契約解除後においても同様とする。

(5)議事録等の作成受託者は、本業務の実施にあたり廿日市市と行う会議、打ち合わせ等に関する議事録を作成し、廿日市市にその都度提出して内容の確認を得るものとする。

(6)関係法令の遵守受託者は業務の実施にあたり、関係法令等を遵守し業務を円滑に進めなければならない。

(7)進行状況の報告受託者は業務の進行状況について、廿日市市からの問い合わせがあった時はその都度報告するものとする。

また、業務内容については、その都度廿日市市の目的と合致しているか、確認するものとする。

(8)報告書の作成受託者はチェックリストをチェックして不足している項目を指摘して終わるような報告書を作成するのではなく、当該不足事項の原因を「コントロール(仕組み)の欠点(弱点)」として捉えて指摘し、真の再発防止に資するような報告書を作成するものとする。

１４ 担当課及び担当者廿日市市総務部デジタル改革推進課(廿日市市役所３階)担当者 荒木 円花〒738-8501 廿日市市下平良一丁目11番１号電話 0829-30-9106(直通)E-mail [email protected]１５ その他

(1)本業務の実施にあたり、本仕様書に記載のない事項については廿日市市と協議の上決定するものとする。

(2)本業務の履行に係る交通費諸経費等は、全て受託者の負担とする。

以 上