大学情報セキュリティベンチマークリスト
情報セキュリティ対策問題研究小委員会

第1部

経営執行部の情報セキュリティに対する取組み

問 1 サイバー攻撃による情報資産、金融資産の窃取・漏洩・破壊など情報管理やシステム運用に関する脅威となる事象について、担当役員もしくはそれに準ずる法人・大学執行部メンバーが統括責任者としてリーダーシップを発揮し、危機意識の共有化に努めていますか。
※

危機意識の共有化とは、サイバー攻撃の脅威を理解していただくため、例えば、文書・Web サイト・会議等での注意喚起や研修会などへの対応があります。

① 経営執行部が中心となり、全学組織を対象に危機意識の共有化に努めている。
② 経営執行部の方針により、学部単位など部門の管理責任者を通じて危機意識の共有化に努めている。
③ 経営執行部の方針により、情報センター等部門を通じて危機意識の共有化に努めている。
④ 経営執行部による危機意識の共有化はしていないが、現在、検討している。
⑤ 経営執行部による危機意識の共有化はしていない。
問２

経営執行部の方針により、情報セキュリティポリシーや情報セキュリティ管理に関する規程など学内ルールを策定し、周知徹底に努めていますか。
① 経営執行部の方針により、学内ルールの策定とその周知徹底を行っている。
② 経営執行部の方針により、学内ルールの策定を行っているが、周知徹底はできていない。
③ 経営執行部ではなく情報センター等部門により、学内ルールを策定し、その周知徹底を行っている。
④ 経営執行部ではなく情報センター等部門により、学内ルールを策定しているが、周知徹底はできていない。
⑤ 学内ルールの策定とその周知徹底を検討している。
⑥ 学内ルールの策定はしていない。
問３

サイバー攻撃に対する防御体制について、経営執行部により何らかの対策を構築していますか。
① 経営執行部が中心となり、全学組織を対象に防御体制を構築している。
② 経営執行部の方針により、学部単位など部門の管理責任者を通じて防御体制を構築している。
③ 経営執行部の方針により、情報センター等部門を通じて防御体制を構築している。
④ 経営執行部として防御体制を構築していないが、現在、検討している。
⑤ 経営執行部として防御体制を構築していない。

1

問４ 今年度、貴大学の ICT 予算（物件費に限定）の中で、セキュリティ対策に充当している費用の割合を選択してください。
① 予算化はしていない。
② ３％以下③ ４％～６％④ ７％～９％⑤ １０％以上
問５ 上記セキュリティ対策費の中で、費用をかけている内容を選択してください。
（複数回答）① ファイアウォール② 侵入検知システム③ VLAN などネットワーク関連④ ウイルス対策ソフト・サービス⑤ セキュリティ監視サービス⑥ フィルタリングソフト（Web、メール）⑦ 暗号化対策⑧ USB、SD カード、DVD などの書き込み制御ソフト⑨ 不審なファイルを外部から保護された仮想環境で確認を行う攻撃対策ツール⑩ その他（第2部）

重要な情報資産の把握と管理対策について問１ 重要な情報資産（金融資産情報を含む）の目録作成を実施していますか。
※

重要な情報資産とは、大学で重要と重み付けをした情報及び情報を含むシステムです。例えば、学生の個
人情報・入試情報・学籍番号・履修成績情報、教職員の個人情報・マイナンバー・健康管理情報、教員の研究情報、業務システムデータ、部門外秘情報、卒業生名簿、保護者情報などがあります。

① 実施しており、毎年見直しを行っている。
② 実施しているが、定期的な見直しは行っていない。
③ 検討している。
④ 実施していない。
問２ 重要な情報資産に対するアクセス制御及びリスク評価を行っていますか。
① 重要な情報資産に対するアクセス制御及びリスク評価を行っている。
② 重要な情報資産に対するアクセス制御を行っている。
③ 重要な情報資産に対するリスク評価を行っている。
④ 検討している。
⑤ 実施していない。
問３ 個人データや機密情報など重要な情報資産の管理について、入手から保管、消去・破棄に関わる責任者・取扱者、取扱手順、処理の履歴・点検などが定められていますか。
2

① 責任者・取扱者、取扱手順、処理の履歴・点検を定め、定期的に確認をしている。
② 責任者・取扱者、取扱手順、処理の履歴・点検を定めているが、定期的な確認はしていない。
③ 検討している。
④ 定めていない。

第3部
問１

組織的・人的な対応について

情報セキュリティに関する意思決定、脅威となる事象に対応する組織が設置されていますか。
※ 脅威となる事象に対応する組織とは、インシデントに対する緊急対応及び防御方法の検討を専門に行う組織で、外部の機関や業者と情報を交換・共有する役割も含まれます。

① 経営執行部として統括責任者を置き、情報セキュリティに関する専門の検討組織を設置し、実施組織として情報センター等部門を設置している。
② 統括責任者は置いていないが、情報セキュリティに関する専門の検討組織を設置し、実施組織として情報センター等部門を設置している。
③ 情報センター等部門を中心に対応している。
④ 情報センター等部門ではなく、情報セキュリティなどの検討委員会で対応している。
⑤ 組織の設置を検討している。
⑥ 組織の設置はしていないが、外部業者に委託している。
⑦ 組織の設置は考えていない。
問２

教職員（非常勤・派遣を含む）の採用・退職に際して、守秘義務を書面で明確にしていますか。また、情報セキュリティポリシーに違反した場合の罰則が規定されていますか。
① 守秘義務の内容を書面で明確にしている。また、違反した場合の罰則を規定している。
② 守秘義務の内容を書面で明確にしているが、罰則規定は設けていない。
③ 守秘義務を書面で明確にしていないが、就業中の罰則で規定している。
④ 書面での明確化と罰則規定のいずれも対応していない。
⑤ その他（
問３）

脅威となる事象の学内連絡体制及び処理の責任体制は確立されていますか。また、対応手順は整備されていますか。
① 脅威となる事象の学内連絡体制及び処理の責任体制を確立し、対応手順も整備している。
② 学内の連絡体制と責任体制を確立しているが、対応手順は整備していない。
③ 学内の連絡体制を確立しているが、責任体制の確立と対応手順の整備はできていない。
④ 学内の連絡体制及び責任体制の確立と対応手順の整備はできていない。

3

問４

情報セキュリティに関する業務委託を外部組織と契約する際に、情報漏洩や情報消失・破壊など障害対応について責任の所在を明確にし、外部組織による定期的な点検・大学による点検の監視など障害を予防するための取り決めをしていますか。
① 障害対応の取扱いについて契約書の中で、外部組織及び大学による定期的な点検・監視について取り決めをしている。
② 障害対応の取扱いについて契約書の中で、外部組織による定期的な点検に留めている。
③ 障害対応の取扱いについて契約書で取り決めていない。
問５

経営執行部または部門単位で実施している危機意識の共有化、学内ルールの周知徹

底・遵守の確認、攻撃に対する防御対策の内容について選択してください。
（複数回答可）（１）危機意識の共有化※ 危機意識の共有化とは、脅威となる事象の被害事例を説明し、自大学で起きた場合のリスクを想定して大学構成員一人ひとりが心得るべき気づきを促します。

① 学内外の情報セキュリティ研修会参加の義務化（例えば 2 年に 1 回）
② FD・SD、教授会、職員会議などでの定期的な情報提供③ Web サイトや学内文書による定期的な情報提供④ その他（）（２）学内ルールの周知徹底と遵守の確認① 情報センター等部門によるルールの周知とアンケートでの点検・確認② 教授会、職員会議などでのルールの周知と遵守の確認③ Web サイトでのルールの紹介と遵守の呼びかけ④ 説明会でのルールの紹介と遵守の呼びかけ⑤ その他（）（３）攻撃に対する防御対策① 公的機関を装った偽装メールの注意喚起② メール添付ファイル開封の注意喚起③ メールにリンクされた URL 接続の注意喚起④ USB メモリなど外部持ち込みの注意喚起⑤ 脅威となる事象について被害状況の報告と対策の説明⑥ ID の管理やパスワードの定期的な見直しの注意喚起⑦ 不正アクセスの監視と異常事態の発見⑧ ファイアウォールや迷惑メールの設定⑨ VLAN などネットワークのアクセス制限の設定⑩ 無線 LAN の暗号化及び認証方式の導入⑪ データ暗号化の導入⑫ クラウドに対する利活用の注意喚起⑬ その他（）4第4部
問１

技術的・物理的対策についてファイアウォールを導入し、ポリシーに基づきログ管理や通信を定期的に点検していますか。
① システムログを取得・解析し、通信を定期的に点検している。
② システムログの取得のみで解析していない。
③ システムログの取得はしていない。
問２

侵入検知システムなどを導入し、不正通信や不正プログラム（ウイルス、スパイウ

ェア、外部から不正な接続など）を監視する対策を行っていますか。
① 侵入検知システムなどを導入し、定期的に通信の監視を行っている。
② 侵入検知システムなどを導入し、通信の監視を行っている。
③ 侵入検知システムなどの導入を検討している。
④ 侵入検知システムなどは導入していない。
問３ 重要な情報資産について USB メモリ・ノート PC などの持ち出し・持ち込みの禁止と制限を行っていますか。
（複数回答）① USB メモリの使用を禁止している。
② ノート PC の持ち出し・持ち込みを禁止している。
③ ノート PC の持ち出しは原則禁止しているが、暗号化で保護する場合のみ許可している。
④ 外部クラウドサービス利用の制限を行っている。
⑤ 持ち出し・持ち込みの制限を検討している。
⑥ 持ち出し・持ち込みの制限はしていない。
問４ 利用者 ID の管理として、利用者の識別と認証を行っていますか。
（複数回答）① 共用 ID の利用対象・範囲を定期的に見直している。
② パスワードの更新を定期的に呼びかけている。
③ 誕生日など推測しやすいパスワードを設定しないよう登録画面で注意喚起している。
④ ワンタイムパスワードの利用を呼びかけている。
⑤ その他（）問５ 情報システムやコンテンツへのアクセス制限を行っていますか。
① 全学的にアクセス制限を行っている。
② 一部の部門（職員組織、学部、学科など）でアクセス制限を行っている。
③ アクセス制限を検討している。
④ アクセス制限は行っていない。
問６ リスクを軽減するため、ネットワークの分離を行っていますか。
① 全学的に VLAN（仮想的なネットワーク）などでネットワークを分離している。
② 事務部門など一部のネットワークを VLAN などで分離している。
5

③ VLAN などでネットワークの分離を検討している。
④ その他のネットワーク分離対策（）⑤ ネットワークの分離はしていない。
問７ 外部に公開しているサーバのぜい弱性対策を行っていますか。
※

ぜい弱性対策とは、ソフトウェアのセキュリティ不備を狙った悪意のある攻撃への対策をいいます。

① ぜい弱性に対して最新の修正プログラムを用いて対応している。
② 最新の修正プログラムを適用するまでの間、当面の対応としてぜい弱性を狙った攻撃を回避するソフトウェアもしくはハードウェアを導入して対応している。
③ ぜい弱性対策を検討している。
④ ぜい弱性対策はしていない。
問８

重要な情報資産をバックアップしていますか。また、システム障害等を想定し、必要最低限の業務ができる備えをしていますか。
（複数回答）① 遠隔地域の大学と業務提携によりバックアップデータを保管している。
② 遠隔地のデータセンターなどにバックアップデータを保管している。
③ 他のキャンパスにバックアップデータを保管している。
④ バックアップは毎日行っている。
⑤ バックアップは一定の期間で行っている。
⑥ 学内でシステムの二重化を行っている。
⑦ 部門単位でシステムの二重化を行っている。
⑧ バックアップの一つの方法として紙媒体で保管している。
⑨ その他のバックアップ方法（）⑩ バックアップへの備えについて検討している。
問９ コンピュータフォレンジックスに関係した対策が自組織で実行できますか。
（複数回答）①

ハードウェアの調査をすることができる。

②

ソフトウェアの調査をすることができる。

③

フォレンジックスを実施する組織がある。

④

フォレンジックスに関係した法的・制度的な仕組みを理解している組織がある。

⑤

リスクの評価を適切に定義し、適切なフォレンジックスを実行できる。

6

回答大学の情報
１．ベンチマークリストの中で、今年度に評価を向上させたいと考えている項目を記述してください。
第（）部 － 問（）２．セキュリティ対策の予算は、増額されましたか。増額された場合には、おおよその金額とその内容を記述してください。
（）

３．昨年度から、人的（組織や教育など）、物理的（ハードやソフトなど）セキュリティ対策について、新たな取り組みを行っていますか。新たに開始した取り組みを記述してください。
（）

7