テーマ

• 情報セキュリティポリシーと対策基準の策定
• 情報セキュリティルールの周知徹底
• 情報資産の把握とリスク対策

事例紹介（A大学）

（１）背景

• 定員3,000名以上の大規模大学で、併設校（幼稚園、小中高）が存在する
• 10年以上前より情報センターの内規としての情報セキュリティポリシーは存在していたが、学校法人全体の情報セキュリティポリシーは存在しなかった
• 社会的な情報セキュリティの重要性の高まりを踏まえ、学校法人全体としての情報セキュリティポリシーが必要な状況にあった
• 他大学との共同研究を進めていく上でも、大学間の合意に情報セキュリティポリシーが必要であった

（２）情報セキュリティポリシー案作成の流れ

• NIIが公開している「高等教育機関の情報セキュリティ対策のためのサンプル規程集」（以下、NIIサンプル規程集）を参考に情報センターでポリシー案の作成を行った
• NIIサンプル規程集を参考とすることで、他大学との共同研究時に大学間の情報セキュリティポリシーのレベルが概ね揃い、確認が容易になるというメリットも見込める

（３）NIIサンプル規程集に基づくポリシー案作成

• 学内の規程と形態が異なるため、学内の規程に合わせる形で形態を適宜修正
• セキュリティポリシー」という言葉自体が他規程とそぐわないため、「情報システム運用基本規程」という名称とした
• NIIサンプル規程集は膨大な量があるため、自大学に必要と考えられるところを順次取り入れていった
• 各条項に解説文がついているため、解説文を参考として、既存の就業規則との関係や組織・人員体制を踏まえ、現実的な内容になるよう不要な箇所(対応できない箇所)を削っていった
• NIIサンプル規程集は「完璧版」であるため、基本的には項目を追加する必要はない

（４）規程制定へ向けた学内調整

• 大学だけではなく併設校（幼稚園、小中高）も含む内容となるため、法人を巻き込んで調整する必要があった。したがって、CISOは、大学の担当副学長ではなく、ITサービス提供責任者である情報センター所長とした。なお、CIOは、法人規程で担当理事とかねてより定められていた
• 法人全体の規程とするために、法人内でどのようなルートで諮っていけばよいのかが、明確ではなかったため、情報センター所長（CISO）より学長へ相談し、学長から理事長へ確認いただいた
• 大学執行部より学部長会議、各学部教授会にて検討してもらったが、ポリシー案の具体的な内容ではなく、細かな文言への意見が大半であった（例：「ポリシー」という名称は規程の名称としてそぐわない）
• そもそも教授会で議論する内容ではない、と教授会での審議に諮られない学部もあった
• 学部長・研究科長会議が月２回、理事会が月１回であり毎回議題とするわけにもいかない状況。情報センター次長が事あるごとに状況を確認しフォローした
• 情報セキュリティポリシーの意義が理解されにくく、全学の危機管理の問題とは捉えられず、情報関係の問題として扱われる傾向があった
• 最終的には、総務部が起案元となり規程として制定された
• 制定された情報セキュリティポリシーは冊子化して学内へ配布した

（５）情報セキュリティポリシー制定時に考慮した点

• 情報セキュリティポリシー制定により新たな制限ができるのではなく、今まで良識を持って利用者が行ってきたことを明文化したもの、という位置づけとした
• 懲罰規程については「情報」かどうかにかかわらず、「法人に与える影響」で就業規則に基づき処罰が決まることとし、情報セキュリティポリシーからは除外した
• 情報セキュリティポリシーは緩い内容であっても存在することが重要。情報セキュリティポリシーがあることでその内容について議論が発生し、啓発につながる。一方で明文化されたポリシーがないと無法地帯になってしまう
• USBメモリ利用禁止など（当時）実現不可能な内容を定めると、ポリシーは守られず意味がない。USBメモリの管理をしっかりと行うこと、など現実的で啓発につながる内容とした
• NIIサンプル規程集のように「基本方針」と「対策基準」の２つの規程を制定するのは難しいので、１つの文書にまとめてしまったことも良かった点である

事例紹介（B大学）

• 教職員対象の情報セキュリティ講習会を毎年９月に実施し、義務化している。（2018年度からは、e-Learning形式で６〜８月を受講期間として実施している）
• ルールの周知は、特に注意してほしいルールを抜粋した情報セキュリティガイドブックを作成し、学内の教職員専用Webサイトに掲載している。また、新任教職員には着任時に印刷して配布し、講習会などで情報セキュリティガイドブックの存在を周知している
• 定期的な情報提供は、長期休暇前の注意喚起など、IPAの呼びかけ内容を参考に毎月の報告資料に記載している。また、メールでの注意喚起を必要に応じておこなっている

事例紹介（C大学）

• 危機意識の共有化は、学内で確認された情報セキュリティインシデント事案の報告等を通じて、全学教職員にメール配信等により周知している。主に教学部門の長（学長、常務理事、副学長、学部長、学科長、委員会委員長）が参加する会議において報告し、所属長との情報共有を図っている。これらは全てインシデント発生の確認から１か月以内に実施するようにしている
• 学内ルールの周知徹底と遵守の確認は、「情報セキュリティ講習会」にて情報共有すると共に、隔年で全教職員を対象とした「情報セキュリティチェックシート」を用いた自己点検調査を通じて遵守確認を行っている。その自己点検調査の集計結果を次回の講習会等で取り上げることで全教職員へのフィードバックを行っている
• 自己点検調査の時期は、４月新規採用者の業務内容や学内ルール理解ならびにこれらへの順応状況等に配慮して、後期開始後の10月頃に実施するようにしている

事例紹介（D大学）

• 年に数回、教職員や学生を対象とした情報セキュリティ研修を行っている。なお、セキュリティ研修会の参加については、ｅラーニングによる義務化を検討している
• 3,000名以上の教職員に学内ルールを周知するために、年度の始めに法人全職員に対して情報セキュリティハンドブック（冊子）を配付し、各自の責任と自覚、パソコンの管理、データの管理、インシデント発生時の対応手順、セルフチェック等を記載しており、注意する事項の確認や自身の状況が認識できる。なお、アンケートでの点検・確認、遵守状況の確認までは行っていない
• 学外組織からの情報セキュリティに関する情報提供やインシデント報告を受けた場合、学内での状況を確認するとともに、各種委員会や学内ポータルサイトで利用者に情報提供を行っている

事例紹介（E大学）

（１）概要

• 情報資産の「機密レベル」、「保管場所」を定義し各部署で情報資産台帳を作成し管理
• 情報資産台帳は定期的に管理検査を実施
• 情報資産の管理対象は法人業務を担う職員等、および職員等が利用するPC（教員は対象外）
• 総務部門と情報システム部門の職員のチーム体制で情報資産の「管理窓口」を担う

（２）情報資産の機密レベルの定義

• 【高リスクデータ】

データの保護が法律、規則によって要求されているもしくは機密性、完全性、可用性の損失が大学に重大な影響を及ぼす可能性がある。当該データの保管に当たっては、個別に保管場所および取扱いを定めたうえで「管理窓口」に届出を行い、承認を得なければならない

• 【制限データ】

データは一般に公開されておらず、機密性、完全性、可用性の損失は大学に悪影響を及ぼす可能性がある

• 【公開データ】

高リスクデータ、制限データのいずれにも該当せず、すでに公開されているか、機密性、完全性、可用性の損失が大学に悪影響を与えないデータ

（３）情報資産の保管場所の定義

• 情報資産の保管場所として以下を定義

• - 大学共通オンプレミスファイルサーバ
• - 大学提供外部クラウドストレージ
• - 職員等利用PC
• - 大学情報システム
• - 例外的な保管場所

• 例外的な保管場所の利用並びに、データの持ち出し時には「管理窓口」への届出が必要

（４）情報資産台帳の起票目的

• 高リスクデータがどのような管理方法で保管・運用されているか。
• クラウドストレージや例外的な保管場所での運用が必要な制限データがどのような管理方法で保管・運用されているか。
• 情報資産を学外にどのような目的・方法で持ち出しているか。

（５）情報資産台帳例

• 情報資産の機密レベルごとに台帳を分け、各台帳では機密レベルに応じて必要となる項目を記録、管理する。
• 共通項目として、資産名、保管開始日、保管終了予定日、保管終了日(削除日)、取扱責任者、保管目的、保管場所、承認日、承認者を記録する。
• 高リスクデータの台帳については、共通項目に加え、管理窓口への届出日と承認日を記録する。
• 制限データのうち、例外的な保管場所に保管されるデータは、保管媒体と保管方法並びに、管理窓口への届出日と承認日を記録する。
• 制限データを持ち出す場合は、持出者、持出方法、持出目的持出先並びに、管理窓口への届出日と承認日を記録する。

（６）管理検査の実施

• 以下の４レベルで定期的に検査を実施する。

• - 担当者の随時のチェック
• - 担当管理職の隔月のチェック
• - 部署の年次のチェック
• - 検査チームの管理検査

（７）検査チームの管理検査内容

• 実施頻度は、20部署程度を検査対象として年１回。概ね３年かけて全部署を検査
• 検査チームは、管理窓口のチームが担当。管理職１名と一般職２名の計３名のグループを３グループ作り、検査にあたっている
• 検査内容は、事前に検査チームが検査対象部署の台帳から情報資産の内容を把握した上で、特に高リスクデータの保有の必要性や、その管理方法をヒアリング
• 検査の趣旨は、部署で情報資産の管理が正しくされていることの最低限のチェックと、各部署での情報資産の取り扱いに関して困っている点等、課題と部署独自の工夫等、グットプラクティスの抽出を目的としている
• 浮き彫りになった課題で全学的に共通化できるものについて、検査チームで検討し管理方法や台帳等の見直しを実施
• 各部署には、従来の業務に加え、情報資産台帳への記載など、新たな作業が生じることになるため、実施当初から、それなりの反発が予想された。そのため、検査という名称をとっているが、情報資産管理の必要性や情報セキュリティに係るリスクを説明し、理解してもらうことと、各部署の業務の特性や事情を聞いて、困っている点を一緒に考えるというスタンスをとっている