平成 27 年 3 月 26 日
トラスト作業部会

学認アンケート回答の精査報告

1．総評
1.1．評価結果
アンケート回答機関数は 136 件です。適切な運用を行っているのが 126 機関であり、全体として良好な運用レベルです。一方、安定した運用のためには規程類の整備等が必要とみられる機関が 1 割弱みられました。

評価結果
10A 適切な運用のレベル
B 改善の余地が認められるレベル
126

1.2．ガバナンス（規程の作成状況）
セキュリティポリシーについては、多くの大学で制定済みですが、定められていないとの回答が 14 機関ありました。なお、IdP 運用に関するセキュリティポリシーについては 56 機関が定められているとの回答でした。
IdP 運用に関するなんらかの規則の制定状況については、セキュリティポリシーや運用責任者の管理のもと、適切に運用されている大学が多くみられます。IdP を対象として運用規則を制定している機関は前年調査では 5 機関のみでしたが、今回は 47 件と1なっています。増加の理由は国立高専の参加によるもの（国立高専機構で IdP 運用規則を定めています）が主であり、従来からの参加機関については引き続き整備をお願いしていきたいと思います。
多くの大学において、利用者 ID の管理体制や全学的なセキュリティポリシーが整備されています。その基盤の上になりたって IdP が適切に運用されていることが読み取れます。反面、IdP の運用規則やポリシーの策定率が低く、半数を切っており、IdP のみの運用実態を調査できるようなアンケートの再調整を今後やっていきたいと思います。
Q.8 IdP運用上での根拠規則や内規の制定状況について
22
10

全学情報サービスと担当する情報基盤センターの内規がある
IdP運用規則がある

4 547

22

全学サービスセキュリティポリシーが存在する。IdPはそのもとで適切に運用されている。
特にないが、運用責任者の管理の元、適切に運用されている
全学的にはテスト利用の扱いになっている
規則等は特にないが、現在制定中である

44

その他

Q.29 上位の全学または部局のセキュリティポリシーが定められ，それにしたがって運用されていますか？
414

定められている（以下にURLを記入）
定められているが，学内限定公開の扱いである
特に定められていない

27

無回答
91

2

Q.30 IdP運用に関するセキュリティポリシーが定められていますか？
21

定められている（以下にURLを記入）
定められているが，学内限定公開の扱いである
特に定められていない

55

78

無回答

1.3．テクニカルなこと
ID の運用状況（Trusted DB と直結しているかどうか）
前年同様、利用者 ID のソースとしては、一部の機関を除き、Trusted DB もしくは部局が責任をもって運用している DB をもとにしており、適切なユーザ管理がなされています。
ゲスト/臨時アカウントについては、自由記述において、いくつかの機関において、情報処理センター長の権限で発行できる体制があることが報告されました。記録を残す等、権限の適切な制御を併せてお願いしたいと思います。
属性情報については、ほとんどの機関において、Trusted DB の属性のみから計算や、他組織の属性は付与しない体制となっており、システム運用基準 3.2 は正しく守られています。ただし本設問は無回答が多く、次回は設問の作り方（自由文記述から多岐選択への変更など）を検討したいと考えています。

3Q.9 利用者IDは，学務データや人事データ等，組織にとって信頼できるデータベース（Trusted DB）から作成されるように定めていますか？ 選択肢からもっとも当てはまりのよいものを選んでください。
利用者IDのデータベースは，Trusted DBに基づいて作成されている

1
1

14

利用者IDのデータベースは，Trusted DBから作られたものではないが，教職員や学生を直接把握している部局事務が責任を持って運用しているDBから作られている
利用者IDを作るときには，部局長印のある書類を提出し，管理者群がダブルチェックをしたうえで行っている

34
86

その他

無回答

Q.10 前項（Q9）で，学務データや人事データ等，組織のメンバーを規定するDBに含まれないものから利用者IDを作成する場合，どのようなルールで作成されていますか。
Trusted DBに基づきIDを発2

13

行する

7

組織のアカウントを持たないユーザにはIDを発行しない
37

36

情報セキュリティポリシーに基づき、利用者IDを作成している任意の手続きに沿って利用者IDを発行している
その他
無回答

41

パスワードポリシー
ID の再利用については、ごく少数のルールが定められていない機関を除き、再利用はないとの回答でした。ID とクレデンシャルの配付については、本人確認を行うなど、

4

各機関とも適切な運用が確立されています。共有 ID の禁止に関しても、各機関にて、セキュリティ面からの啓蒙活動や、共有しなくても業務を行えるような運用が行われています。
パスワードポリシーについても、ほぼ全ての機関において、パスワードポリシーがある、もしくはポリシーはないが啓蒙活動はしているとの回答でした。

Q.18 eduPersonPrincipalNameとeduPersonTargetedIDに関しては，かつて利用されていたものを再利用する場合は，最終の利用時から最低24ヶ月間隔をあけることを定めています。 これを保証するために何が決められていますか？（技術運用基準8.2）422

再利用は無い312

最低24カ月再利用は無い

ルールは定めていない

113

両属性の送出が必要となるサービスは利用していない
その他

無回答

Q.21 パスワードポリシーは定められていますか？

15

パスワードポリシーを定めている。

32

パスワードポリシーは定めていな
いが，啓蒙活動を積極的に行っている。
パスワードポリシーは定めておらず，特に啓蒙活動なども行っていない。
無回答
116

5

その他
ログの保存期間については、多くの大学が 3 か月以上保存する運用となっています。
しかし、一部にて学認技術運用基準にて推奨する 3 か月より短い機関が見られました。

1.4．プライバシー（プライバシーに関係すること）
IdP から送信される個人情報について、関係する法令に従うように運用されていないと回答した機関が 5％程度ありました。
また、具体的な規則を制定している機関は 60％程度（前年は約半数）、uApprove を利用していると回答した機関は 70 機関（前年は 18 機関）でした。
個人情報保護については、規程の策定率や uApprove の導入率ともに前年より上昇していました。
Q.24 IdPから送信される個人情報について，関係する法令その他に従うように運用されていますか？（実施要領10）
関連する法令その他に従うように運用されている

6 3

関連する法令その他に従うようには運用されていない
無回答

127

6

Q.25 プライバシーについて，具体的に規定はありますか？
92

プライバシーについての具体的な規定がある
プライバシーについての具体的な規定はないが，利用者IDとその属性は安全に運用されている
プライバシーについての具体的な規定はない

46
79

無回答

Q.26 新たなSPのサービスを利用するとき，属性リリースの同意を得るために uApprove もしくはその派生版を利用していますか？（技術運用基準8.6）
uApprove もしくはその派生版を利用している

7

uApprove およびその派生版は利用していない
59

70

無回答

以上

7