国立研究開発法人物質・材料研究機構
情報セキュリティ規程
平成２４年６月５日
２４規程第３４号
改正：平成２６年 ９月２４日 ２６規程第５３号
改正：平成２７年 ３月２４日 ２７規程第 ６号
改正：平成２８年 ３月２９日 ２８規程第１３号
改正：平成２８年１２月１３日 ２８規程第１３８号
改正：平成３０年 ３月２７日 ３０規程第２２号
改正：平成３０年 ７月２５日 ３０規程第３９号
改正：令和元年 ９月２４日 ２０１９規程第６０号
改正：令和元年 １０月１５日 ２０１９規程第６３号
改正：令和３年 ３月２３日 ２０２１規程第２６号
改正：令和３年 ３月２３日 ２０２１規程第３０号
改正：令和４年 ３月２２日 ２０２２規程第 ４号
改正：令和５年 ２月２８日 ２０２３規程第１８号

目次

第１章 基本方針（第１条～第８条）
第２章 実施体制
第１節 統括組織（第９条～第１３条）
第２節 管理組織（第１４条～第２５条）
第３章 情報セキュリティ委員会（第２６条～第２７条）
第４章 対策基準の策定等の運用（第２８条～第３５条）
第５章 情報セキュリティインシデントへの対応（第３６条～第３８条）
第６章 自己点検（第３９条～第４０条）
第７章 情報セキュリティ監査（第４１条～第４３条）
第８章 規程、対策計画の見直し（第４４条～第４６条）
第９章 情報管理区域通則（第４７条）
第１０章 情報資産取扱通則（第４８条～第４９条）
第１１章 雑則（第５０条～第５１条）
附則（情報セキュリティ規程）1

第１章 基 本 方 針（目的）
第１条 この規程は、国立研究開発法人物質・材料研究機構（以下「機構」という。
）が取り扱う重要な情報資産のセキュリティを確保するために必要な基本的事項を定めることを目的とする。
（適用範囲等）第２条

機構の情報セキュリティ確保に関する事項については、別に定めるところによるほか、

この規程の定めるところによる。
２

機構が受託業務を実施する場合において、委託者から委託契約に基づいて情報セキュリティに係る要求があり、理事長がこれを認めたときは、本規程によらず、当該要求に基づき情報セ
キュリティ管理を行うものとする。

３

情報システム及び情報システム上で扱う情報の取扱いについては、その詳細な実施内容を別に定める基準（以下「対策基準」という。）による。
（定義）

第３条

この規程において、次の各号に掲げる用語の意義は、それぞれ当該各号に定めるところによる。
(1) 「職員」とは、国立研究開発法人物質・材料研究機構定年制職員就業規則（平成１８年３月３１日 １８規程第４６号）、国立研究開発法人物質・材料研究機構キャリア形成職員就業規則（平成２０年３月３１日

２０規程第１６号）及び国立研究開発法人物質・材料研究機

構任期制職員就業規則(平成１８年３月２８日

１８規程第４７号)の適用を受ける者並びに派遣労働者その他の就労者を含む職員をいう。
(2) 「文書」とは、機構の役員又は職員（以下「役職員」という。）が職務上作成し又は取得した書面及び電磁的記録（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式でつくられた記録をいう。以下同じ。
）をいう。
(3) 「情報」とは、役職員が職務上作成し又は取得した文字や数字などの記号やシンボル等の媒体によって伝達され、ある物事に関する知識や意味内容をあらわすもので、文書等に化体されたものをいう。
(4) 「個人情報」とは、生存する個人に関する情報であって、次に掲げるもののいずれかに該当するものをいう。
イ

当該情報に含まれる氏名、生年月日その他の記述等（書面、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。
）で作られる記録をいう。
） に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）に
より特定の個人を識別することができるもの（他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

ロ

個人識別符号が含まれるもの(5) 「保有個人情報」とは、役職員が職務上作成し、又は取得した個人情報であって、役職員（情報セキュリティ規程）2

が組織的に利用するものとして機構が保有しているもの。ただし、国立研究開発法人物質・材料研究機構文書管理規則（平成２３年４月１日 ２３規程第１０号。以下「文書管理規則」という。）第２条第１号に規定する文書（以下「法人文書」という。）に記録されているものに限る。
(6) 前２号に規定する「個人情報」及び「保有個人情報」については、国立研究開発法人物質・材料研究機構個人情報保護規程（平成１７年３月４日 １７規程第１号）を準用する。
(7) 「情報システム」とは、ハードウェア、ソフトウェア、ネットワーク及び記録媒体で構成されたものであってその組み合わせにより、情報の記録、処理、通信等の業務処理を行うものをいう。
(8) 「ネットワーク関連機器」とは、ネットワークを構成する機器及びネットワークに接続して使用する機能を有する機器をいう。
(9) 「各部門等」とは、国立研究開発法人物質・材料研究機構組織規程（令和５年２月２８日
２０２３規程第７号。以下「組織規程」という。
）第３条に定める機構の組織をいう。
(10) 「情報資産」とは、機構で取り扱う、文書、図面、写真、第４号に規定する個人情報などの全ての情報のほか、情報システム及びその上で利用する情報をいう。
(11) 「情報セキュリティ」とは、情報資産が備えるべき次に掲げる性質を健全に保つことをい
う。
イ

機密性

情報資産にアクセスすることが認可された者だけがアクセスできることをいう。

ロ

完全性 情報資産の正確さ及び完全さが保護されていることをいう。

ハ

可用性許可された役職員が、必要な時に情報資産にアクセスすることを保証されていることをいう。
(12) 「脅威」とは、自然災害、機器障害、意図的な不正行為等、損失を発生させる直接の要因をいう。
(13) 「脆弱性」とは、建物の構造上の欠陥、定期点検の不備、情報システムの構造上の問題、
本規程及び教育の不備等、脅威を発生し易くさせる要因並びに脅威を増加させる要因をいう。
(14) 「情報セキュリティインシデント」とは、望まない単独若しくは一連の情報セキュリティ
事象、又は予期しない単独若しくは一連の情報セキュリティ事象であって、事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いものをいう。
(15) 「情報セキュリティ事故」とは、情報セキュリティ事案のうち、本規程及びその他の関連する諸規程に抵触する役職員の行為による、機構の情報セキュリティに脅威を与える事態の発生をいう。
(16) 「統一基準」とは、サイバーセキュリティ基本法（平成２６年法律第１０４号）第２４条に規定するサイバーセキュリティ戦略本部が定める政府機関等の情報セキュリティ対策のための統一基準をいう。
(17) 「区域」とは、執務室、サーバー室等の情報資産を取り扱う区画された室等をいう。
（対象者）
第４条 本規程の対象者は、機構の役職員及び機構の情報資産を利用する全ての者とする。
（情報セキュリティの対象）
第５条 機構は、情報資産のうち、機密性、完全性又は可用性を確保すべき重要なものを、意図的な不正行為その他の脅威から防護し、情報セキュリティを確保することによって、適切、安（情報セキュリティ規程）

3

定的な業務の遂行を図る。
２ 前項により情報セキュリティの対象となるものの定義、区分及び管理方法は、第９章以下に定めるところによる。
（対象とする脅威）
第６条 機構の情報資産に対する脅威として、以下の脅威を想定し、情報セキュリティ対策を実施する。
(1) 外部からの意図的な攻撃による障害
不正侵入、コンピュータウイルス、サービス不能攻撃、盗聴、窃盗、詐取、改ざん、破壊、消去、漏えい等(2) 内部の意図的な不正使用等による障害
不正使用、改ざん、破壊、消去、漏えい、持出し等(3) 非意図的要因による障害
ハードウェア障害、ソフトウェア障害、ネットワーク障害、設備機器の故障、誤った運用・操作による情報資産の破壊、消去、漏えい等(4) 災害等による障害
落雷、火災、水害、地震、電力供給の途絶、通信の途絶、水道供給の途絶、放射性物質の拡散等による情報システムの停止等(5) 機構の情報資産を用いた外部の情報資産への加害行為
コンピュータウイルスの送信、不正侵入等（機構の責務）
第７条 機構は、情報資産を重要な資産と位置付け、これを保護・管理する。
（役職員の責務）
第８条

機構の役員は、国立研究開発法人物質・材料研究機構情報セキュリティポリシー（平成２６年１０月１日。以下「情報セキュリティポリシー」という。
）の重要性を深く認識し、率先して情報セキュリティに関するマネジメントを推進するとともに、情報セキュリティの実施体制を整備し、情報資産に携わる全ての役職員に情報セキュリティの重要性を認識させる。
２ 情報資産に携わる全ての役職員は、情報資産を扱う上で機構の社会的信頼の維持向上及び業
務運営の公平・公正性の確保のために、機構の情報セキュリティポリシー、本規程及び対策基準を遵守しなければならない。
３ 情報資産に携わる全ての役職員は、機構の情報資産を故意、偶然の別なく改ざん、破壊、漏えい等のリスクから保護する対策をとり、これに違反した者は、その結果について責任を負う。
第２章 実 施 体 制
第１節 統 括 組 織（最高情報責任者）
第９条 機構に情報セキュリティに関する全業務を統括する最高情報責任者を置く。
２

最高情報責任者は、理事長をもって充てる。

３

最高情報責任者は、機構横断的に対応を必要とする事項への対策を講ずる。
（最高情報セキュリティ責任者）（情報セキュリティ規程）

4

第１０条 機構に、最高情報責任者を補佐するため最高情報セキュリティ責任者（以下、「ＣＩＳＯ」という。
）を置く。
２

ＣＩＳＯは、総務・安全管理部門担当理事をもって充てる。

３

ＣＩＳＯは、最高情報責任者の命を受け、機構の情報セキュリティに関する業務を統括する。
（統括情報セキュリティ責任者）

第１１条

機構に、ＣＩＳＯを補佐し、情報セキュリティ責任者を統括するため統括情報セキュ

リティ責任者を置く。
２

統括情報セキュリティ責任者は、ＣＩＳＯの指名する者をもって充てる。
（最高情報セキュリティアドバイザー）

第１２条

機構に、最高情報セキュリティアドバイザー（以下、「ＣＩＳＯ補佐官」という。）を置く。
２

ＣＩＳＯ補佐官は、ＣＩＳＯの指名する者又はＣＩＳＯが委嘱する外部有識者をもって充てる。

３

ＣＩＳＯ補佐官は、その担当する範囲を指定して複数置くことができる。

４

ＣＩＳＯ補佐官は、機構の情報セキュリティ対策に関する業務について支援・助言等を行う。

５

ＣＩＳＯ補佐官を外部有識者に委嘱する場合、手当及び旅費を支給することができる。手当は、国立研究開発法人物質・材料研究機構アドバイザー等の取扱いについて（平成１８年４月
１９日 １８達第１６号。
）第６条二を、旅費は、第７条を準用する。
（情報セキュリティ監査責任者）

第１３条

機構に、情報セキュリティに関する監査を行うため情報セキュリティ監査責任者を置く。
２

情報セキュリティ監査責任者は、ＣＩＳＯが指名する者をもって宛てる。

３

情報セキュリティ監査責任者は、ＣＩＳＯの指示に基づき実施する監査に関する事務を統括する。

第２節 管 理 組 織（情報セキュリティ責任者）
第１４条

機構に、各部門等における情報セキュリティに関する業務を統括するため各部門等に情報セキュリティ責任者を置く。
２

情報セキュリティ責任者は、各部門等の長をもって充てる。

３

情報セキュリティ責任者は、所属する各部門等における情報セキュリティ（情報システムに関する情報セキュリティ（以下、「情報システムセキュリティ」という）を除く。）に関する業務を統括する。

（区域情報セキュリティ責任者）
第１５条

機構に、統括情報セキュリティ責任者の指示に従い区域における情報セキュリティ対策の事務を統括する区域情報セキュリティ責任者を置く。
２

第４７条第１項第１号に定める厳重情報管理区域における区域情報セキュリティ責任者は、
当該情報資産を有する各部門等の情報セキュリティ責任者をもって充てる。ただし、機密性の高い情報システムが設置された執務室における区域については、情報システムセキュリティ責任者をもって充てる。

（情報セキュリティ規程）

5

３

第４７条第１項第２号に定める制限情報管理区域における区域情報セキュリティ責任者は、別に定めた「国立研究開発法人物質・材料研究機構鍵等管理要領」（平成２３年６月１日２３本
施第１９９７号）第２条に定める室管理者をもって充てる。

４第４７条第１項第３号に定める機構内情報管理区域における区域情報セキュリティ責任者は、
総務・安全管理部門総務室長をもって充てる。

５

区域情報セキュリティ責任者は、室の使用者を把握するとともに情報セキュリティ責任者、
情報セキュリティ管理者及び情報システム管理者と連携し当該区域を保管場所とする第４９条
第１項第１号及び第２号に規定する秘密情報資産及び関係者情報資産を把握したうえで、使用申請の許可及び却下を行う。

６

区域情報セキュリティ責任者は、当該区域の防護及び入域に関する対策を行う。
（情報セキュリティ管理者）

第１６条 機構に、各部門等の情報セキュリティ責任者を補佐するため情報セキュリティ管理者を置く。
２

情報セキュリティ管理者は、国立研究開発法人物質・材料研究機構定年制職員給与規程（平成１３年４月２日

１３規程第９号）別表第４又は別表第６の各区分に該当する定年制職員若しくは当該区分に相当する任期制職員若しくは無期労働契約転換職員であって、各組織に属する職員の服務一般を管理監督する者、又は情報セキュリティ責任者が指名した者とし、情報セキュリティ責任者の命を受け、各部門等の情報セキュリティ（情報システムセキュリティを除く。
）に関する業務を総括整理する。
３

情報セキュリティ管理者は、その担当する範囲を指定し、複数名置くことができる。
（情報セキュリティ担当者）

第１７条

機構に、前条に定める情報セキュリティ管理者を補佐するため情報セキュリティ担当

者を置く。
２

情報セキュリティ担当者は、情報セキュリティ管理者がその担当する範囲を指定し、指名する者をもって充てる。

３

情報セキュリティ担当者は、指定された範囲における情報セキュリティ（情報システムセキ
ュリティを除く。
）に関する事務を行う。

（情報システムセキュリティ責任者）
第１８条

機構に、情報システムセキュリティを適正に維持、管理するため情報システムセキュ

リティ責任者を置く。
２

情報システムセキュリティ責任者は、情報基盤統括部門情報化推進・基盤室長をもって充てる。

３

情報システムセキュリティ責任者は、次に掲げる事項を行う。
(1) ＣＩＳＯの指示に従い、機構の全体的な情報システムセキュリティを適正に維持、管理するために必要な措置を行う。
(2) 必要に応じ次条に定める情報システム管理者への対策の指示、管理を行う。
(3) 機構における情報セキュリティ対策のうち、情報システムセキュリティに関するマネジメ
ントの企画及び計画を作成、実施する。
(4) その他情報セキュリティ対策のうち、情報システムセキュリティに関する事務を統括する。
（情報システム管理者）（情報セキュリティ規程）

6

第１９条 機構が保有・管理する情報システム毎に、情報システム管理者を置く。
２

情報システム管理者は、担当する情報システムへの責任を有するとともに、情報システムセ
キュリティ責任者の指示により、当該情報機器に対し情報システムセキュリティ対策を実施する。

３

情報システム管理者は、担当する情報システムを他の者に使用させるときは、その者に対し、当該情報システムのセキュリティ対策のために必要な指導等を行う。
（情報システムオペレーター）

第２０条

情報システムオペレーターは、情報システム管理者の指示に従い、実質的な作業を行う。
（機器管理者）
第２１条

次の各号に掲げるネットワーク関連機器のうち情報システムセキュリティ責任者が指定するものについては、各機器に、機器管理者を置く。
(1) 機構が保有・管理するネットワーク関連機器(2) 機構の物品管理に属しないネットワーク関連機器のうち機構の役職員用ネットワークに接続されるもの２

機器管理者は、担当するネットワーク関連機器への責任を有するとともに、情報システムセ
キュリティ責任者及び情報システム管理者の指示により、当該機器に対し情報セキュリティ対策を実施する。

３

機器管理者は、担当するネットワーク関連機器を他の者に使用させるときは、その者に対し、当該機器のセキュリティ対策のために必要な指導等を行う。
（兼務の禁止）第２２条

役職員は、情報セキュリティ対策の運用において、次の各号に掲げる役割を兼務してはならない。
(1) 本規程の規定による承認又は許可（以下、本条において「承認等」という。
）の申請者と当該承認等を行う者（以下、本条において「承認権限者等」という。）(2) 本規程の規定により監査を受ける者とその監査を実施する者
２

申請者は、承認等を申請する場合において、自らが承認権限者等であるときその他承認権限者等が承認等の可否の判断をすることが不適切と認められるときは、当該承認権限者等の上長又は適切な者に対し承認等を申請し、承認等を得るものとする。
（管理体制の変更）

第２３条

各部門等の情報セキュリティ責任者は、情報セキュリティ管理者及び情報セキュリテ

ィ担当者を変更したときは、ＣＩＳＯに、速やかに報告しなければならない。
（体制図）
第２４条 機構における情報セキュリティ確保のための体制は、別記に定める通りとする。
（情報セキュリティインシデントに備えた体制の整備）
第２５条 機構は、情報セキュリティインシデントに対処する体制（以下「ＣＳＩＲＴ」という。）
を置く。
２

ＣＳＩＲＴにＣＳＩＲＴ責任者を置き、ＣＩＳＯが指名する者をもって充てる。

３

ＣＳＩＲＴの組織及び運営に関して、必要な事項は、総務・安全管理部門担当理事が別に定める。

（情報セキュリティ規程）

7

第３章 情報セキュリティ委員会（情報セキュリティ委員会の構成）
第２６条 本委員会は、委員長及び委員若干名をもって構成する。
２

委員長は、ＣＩＳＯをもって充て、会務を総理する。

３

委員は、組織規程第３条第３項に規定する研究センター及び技術開発・共用部門のうち理事長が指定するものの長、総務・安全管理部門長、情報基盤統括部門長、その他理事長が指名する者をもって充てる。

４

監事は、会議に出席して意見を述べることができる。
（情報セキュリティ委員会の役割と責務）

第２７条 情報セキュリティ委員会の役割と責務は以下のとおりとする。
(1) 情報セキュリティに関する基本方針の策定及び改廃(2) 情報セキュリティ対策推進計画（以下「対策推進計画」という。
）の審議(3)本規程の遵守状況の評価及び改訂(4) その他本規程に係る必要事項
第４章 情報セキュリティ対策のための計画、基準等（対策推進計画の策定）
第２８条 ＣＩＳＯは、情報セキュリティ委員会における審議を経て、対策推進計画を定めるものとする。
２ 対策推進計画では、機構の業務、機構で取り扱う情報及び保有する情報システム等に関するリスク評価の結果を踏まえた情報セキュリティ対策における機構の全体方針並びに次の各号に掲げる取組の方針、重点事項及びその実施時期を定める。
(1) 情報セキュリティに関する教育(2) 情報セキュリティ対策の自己点検(3)情報セキュリティ監査(4) 情報システムに関する技術的な対策を推進するための取組(5) 前各号に掲げるもののほか、情報セキュリティ対策に関する重要な取組（対策基準の制定及び改廃）第２９条 対策基準の制定及び改廃（軽微な改正を除く。
）は、情報セキュリティ委員会において、機構の業務、機構で取り扱う情報及び保有する情報システム等に関するリスクの評価の結果を踏まえた審議を経て行うものとする。
（情報セキュリティ対策に関する実施手順等の整備、運用）
第３０条

統括情報セキュリティ責任者は、機構における対策基準の制定・改廃その他の情報セキュリティ対策に関する実施手順等の整備を円滑に進めるよう、それらの運用状況に関する課
題等を適時に把握し、必要に応じ、ＣＩＳＯに報告しなければならない。
２

前項の実施手順等においては、以下に掲げる事項について定めるものとする。
(1) 情報セキュリティインシデントの可能性を認知した場合のＣＳＩＲＴへの連絡手順（情報セキュリティ規程）

8

(2) 情報システムの開発等の外部委託を行う場合における外部委託先の選定基準並びに委託先にアクセスを認める情報及び情報システムの範囲を判断する基準
３

前項のほか、統一基準の各遵守事項のうち、情報セキュリティ対策に関する必要な事項について実施手順で整備するものとする。
（情報システム台帳の整備）

第３１条

情報システムセキュリティ責任者は、機構の業務に使用されているすべての情報システムに対して、当該情報システムのセキュリティ要件に係る事項を記載した情報システム台帳を整備するものとする。
２

情報システム管理者は、情報システムを新規に構築し、又は更改する際には、前項に定める
情報システム台帳のセキュリティ要件に係る内容を記録又は記載し、当該内容について情報シ
ステムセキュリティ責任者に報告するものとする。
（例外措置）

第３２条

役職員は、緊急の場合であって、本規程の適用が業務の遂行に著しい支障を及ぼすことが予測される場合は、本条に定める必要な手続きを経て、本規程に規定された情報セキュリ
ティ対策の内容と異なる代替の方法を採用すること又は規定された対策を実施しないこと（以下「例外措置」という。
）を行うことができる。
２

ＣＩＳＯは、前項の例外措置の適用の申請を審査する者（以下「許可権限者」）を定めるものとする。

３

役職員は、第１項に定める例外措置については別紙様式１例外措置申請書にて許可権限者へ申請し、その承認を得なければならない。

４

許可権限者は、役職員から前項の申請を受けた場合は、例外措置を行う対象となる規定、例
外措置期間、例外措置内容、例外措置する理由等により、例外措置を適用しない場合において業務に与える影響、例外措置を行った場合のリスクの低減等を勘案し、承認、否認の判断を行い、申請を行った役職員に対して例外措置申請書の副本にて回答しなければならない。

５

例外措置の申請を行った役職員は、前項による許可権限者から承認を得た時は、速やかに対処を行わなければならないものとし、例外措置による対処が終了した場合は、例外措置申請書にて申請した内容で許可権限者に終了に関する通知をしなければならない。

６

許可権限者は、審査された例外措置申請書の正本を保管しなければならない。また、第４項
における副本とは別に副本を１部作成し、審査結果を定期的に統括情報セキュリティ責任者へ報告しなければならない。

７

統括情報セキュリティ責任者は、許可権限者から提出された例外措置申請書の副本を例外措
置申請台帳として保管し、情報セキュリティ監査責任者からの申請に応じて閲覧を許可するも
のとする。

８

統括情報セキュリティ責任者は、例外措置の申請状況を踏まえた情報セキュリティ関連規程の追加又は見直しの検討を行い、ＣＩＳＯに報告しなければならない。
（違反への対処）第３３条

役職員は、本規程への重大な違反を知った場合は、情報セキュリティ責任者にその旨を報告しなければならない。
２

情報セキュリティ責任者は、前項により本規程への違反の報告を受けた場合及び自らが重大な違反を知った場合には、違反者及び必要な者に情報セキュリティの維持に必要な措置を講じ（情報セキュリティ規程）

9

させるとともに、統括情報セキュリティ責任者を通じて、ＣＩＳＯに報告しなければならない。
３

契約等に基づき、機構の業務を遂行する者は、故意若しくは過失により本規程に違反した場
合、重大な情報セキュリティの侵害を行った場合又は本規程に基づく役職員の指示に従わなかった場合には、その契約等を解除されることがある。
（懲戒等）

第３４条 最高情報責任者は、発生した情報セキュリティ事故について、その違反の程度に応じ、懲戒等の措置を行うものとする。なお、懲戒等の措置については国立研究開発法人物質・材料研究機構定年制就業規則（平成１８年３月３１日１８規程第４６号）、国立研究開発法人物質・材料研究機構キャリア形成職員就業規則（平成２０年３月３１日２０規程第１６号）、国立研究開発法人物質・材料研究機構任期制職員就業規則（平成１８年３月２８日１８規程第４７号）に基づくものとする。
２

最高情報責任者は、ＣＩＳＯより情報セキュリティインシデントの報告を受け、当該インシ
デントが情報セキュリティ事故に該当すると認めるときは、前項の措置の検討を行うよう、人材部門長に指示するものとする。
（教育体制等の整備と実施）

第３５条 統括情報セキュリティ責任者は、情報セキュリティをめぐる状況の変化を踏まえつつ、対策推進計画に基づき情報セキュリティに係る教育実施計画を策定し、その実施体制を整備しなければならない。
２ 情報基盤統括部門情報セキュリティ室（以下「情報セキュリティ室」という。
）は、統括情報
セキュリティ責任者が策定した教育実施計画に基づき、情報セキュリティ教育を適切に実施しなければならない。
３ 情報セキュリティ室は、教育の実施状況を記録し、統括情報セキュリティ責任者に報告するものとする。
４ 情報セキュリティ室は、ＣＳＩＲＴに属する職員に対して、ＣＳＩＲＴに関する教育を適切に受講させるとともに、その受講状況を把握し、統括情報セキュリティ責任者に報告しなければならない。
５ 役職員は、教育実施計画に従って、適切な時期に教育を受講しなければならない。
６

情報セキュリティ責任者は、その置かれる各部門等に所属する職員及び契約等に基づき機構の業務を遂行する者に、研修の重要性を周知し、積極的な受講を促す環境整備に努めなければ
ならない。

７

統括情報セキュリティ責任者は、情報セキュリティに関する教育の実施状況の分析、評価を行うとともに、当該実施状況についてＣＩＳＯに報告しなければならない。
第５章 情報セキュリティインシデントへの対応（情報セキュリティインシデントに備えた事前準備）第３６条

統括情報セキュリティ責任者は、情報セキュリティインシデントを認知した際の報告

窓口を含む機構関係者への報告手順を整備し、役職員に周知しなければならない。
２

統括情報セキュリティ責任者は、情報セキュリティインシデントを認知した際の機構外との情報共有を含む対処手順を整備するものとする。

（情報セキュリティ規程）10

３

統括情報セキュリティ責任者は、情報セキュリティインシデントに備え、職務の遂行のため
特に重要と認めた情報システムについて、緊急連絡先、連絡手段、連絡内容を含む緊急連絡網を整備しなければならない。

４

統括情報セキュリティ責任者は、情報セキュリティインシデントへの対処の訓練の必要性を検討し、職務の遂行のため特に重要と認めた情報システムについて、その訓練の内容及び体制を整備しなければならない。

５

統括情報セキュリティ責任者は、情報セキュリティインシデントについて機構外の者から報告を受けるための窓口を整備し、その窓口への連絡手段を機構外の者に周知するものとする。
（情報セキュリティインシデントの認知時における報告）

第３７条

役職員は、情報セキュリティインシデントを認知した場合又はその疑いがある事象を発見した場合には、ＣＳＩＲＴ及び情報セキュリティ責任者に報告し、指示に従わなければならない。
２

ＣＳＩＲＴは、情報セキュリティインシデントを認知した場合には、速やかに、ＣＩＳＯに報告するとともに、文部科学省へ報告しなければならない。

３

ＣＳＩＲＴは、認知した情報セキュリティインシデントについて、その状況を確認し、被害の拡大防止等を図るための応急措置及び情報セキュリティインシデントからの復旧のための措置について、関係する情報システム管理者に対し、必要な指示又は勧告を行うものとする。

４

情報システム管理者は、所管する情報システムについて情報セキュリティインシデントを認知した場合には、機構で定められた対処手順又はＣＳＩＲＴの指示若しくは勧告に従って、適切に対処しなければならない。

５

ＣＳＩＲＴは、認知した情報セキュリティインシデントが機構で共通的に使用する情報シス
テムに関するものであり、当該基盤となる情報システムの情報セキュリティ対策に係る運用管理手順等が定められている場合には、当該運用管理手順等に従い、適切に指示又は勧告を行う
ものとする。

６

ＣＳＩＲＴは、機構の情報システムについて、情報セキュリティインシデントを認知した場
合には、その重要度に応じて当該事象について速やかに、内閣官房情報セキュリティセンター
に連絡する。また、認知した情報セキュリティインシデントがサイバー攻撃又はそのおそれのあるものである場合には、必要に応じ、警察への通報、連絡等を行う。さらに、国民の生活、身体、財産若しくは国土に重大な被害が生じ、若しくは生じるおそれのある大規模サイバー攻撃
事態等においては、「大規模サイバー攻撃等への初動対処について（平成２２年３月１９日内閣
危機管理監決裁）」に基づく報告も行うものとする。

７

ＣＳＩＲＴは、情報セキュリティインシデントに関して、事案により必要な関係機関と情報共有を行うものとする。

８

ＣＳＩＲＴの行う情報セキュリティインシデントへの対応については、別に定める。

９

ＣＩＳＯは、第２項で定める情報セキュリティインシデントの報告を受け、当該情報セキュ
リティインシデントの性質等に応じ最高情報責任者に報告するものとする。
（情報セキュリティインシデントの原因調査、再発防止）第３８条

情報システム管理者は、前条第３項の規定によりＣＳＩＲＴの指示を受けた場合は、

当該指示又は勧告を踏まえ、情報セキュリティインシデントの原因を調査するとともに再発防止策を検討し、それを報告書としてＣＳＩＲＴ及びＣＩＳＯに報告しなければならない。
（情報セキュリティ規程）

11

２

ＣＳＩＲＴは、情報セキュリティ責任者から情報セキュリティインシデントについての報告を受けた場合には、その内容を確認し、再発防止策を実施するために必要な措置を指示するものとする。
第６章 自己点検（自己点検）

第３９条 統括情報セキュリティ責任者は、情報セキュリティをめぐる状況の変化を踏まえつつ、対策推進計画に基づき年度自己点検計画を策定し、自己点検の実施手順及び自己点検票を整備する。
２

情報システムセキュリティ責任者は、統括情報セキュリティ責任者が策定した年度自己点検
計画に基づき、各部門等の情報セキュリティ責任者を通じ、役職員に情報システムセキュリテ
ィ維持のための自己点検を実施するよう周知する。

３

各部門等においては、第１項に規定する自己点検の実施手順及び自己点検票に基づき、各情報システム管理者等を通じて、役職員による自己点検を実施しなければならない。

（自己点検結果の評価、改善）
第４０条 統括情報セキュリティ責任者は、各部門等を通じ、役職員による自己点検の結果を把握し、当該結果の分析、評価を行うとともに、評価結果をＣＩＳＯに報告しなければならない。
２

ＣＩＳＯは、自己点検結果により明らかになった問題点について、統括情報セキュリティ責
任者及び情報システムセキュリティ責任者に改善を指示し、改善結果の報告を受けるものとする。

３

役職員は、前条第３項に定める自己点検により、自ら実施した情報セキュリティ対策に関連する事項に課題及び問題点が認められた場合には、当該事項の見直しを行わなければならない。
第７章 情報セキュリティ監査（監査実施計画の策定）

第４１条

情報セキュリティ監査責任者は対策推進計画に基づき、以下の各号を監査できるよう

監査実施計画を定めなければならない。
(1) 情報セキュリティ関連規程に統一基準を満たすための適切な事項が定められていること。
(2) 実施手順が情報セキュリティ関連規程に準拠していること。
(3) 自己点検の適正性の確認を行う等により、各部門等における実際の運用が情報セキュリテ
ィ関連規程に準拠していること。
２

前項で定める監査実施計画については、情報セキュリティ監査責任者が認めた場合、内部監査規程（平成１３年５月２４日

１３規程第２８号）第９条に定める内部監査の計画のうち情報セキュリティに関する監査の計画をもって充てることができる。
３

情報セキュリティ監査責任者は、情報セキュリティの状況の変化に応じ、対策推進計画で計画された以外の監査の実施の指示を、ＣＩＳＯから受けた場合には、追加の監査実施計画を定めなければならない。
（監査の実施）（情報セキュリティ規程）

12

第４２条

情報セキュリティ監査責任者は監査室に対し、監査実施計画に基づく監査の実施を指示するものとする。
２

監査室は、監査を行ったときは、遅滞なく監査した内容に基づき監査調書を作成し、情報セキュリティ監査責任者に報告しなければならない。

３

前項で作成された監査調書は、文書管理規則第１１条第１号又は第３号の規定により設定された期間保存するものとする。

４

情報セキュリティ監査責任者は、前項の監査調書に基づき監査報告書を作成し、監査実施計
画が定める期限までに、ＣＩＳＯに報告しなければならない。

５

情報セキュリティ監査責任者は、必要に応じ、機構以外の者に監査の一部を請け負わせることができる。
（監査結果に応じた改善）

第４３条

ＣＩＳＯは、監査報告書の内容を踏まえ、指摘事項に対する改善計画の策定等を統括

情報セキュリティ責任者及び情報セキュリティ責任者に指示するものとする。
２

統括情報セキュリティ責任者及び情報セキュリティ責任者は、監査報告書等に基づいてＣＩ
ＳＯから改善を指示されたことについて、必要な措置を行った上で改善計画を策定し、措置結
果及び改善計画をＣＩＳＯに報告しなければならない。
第８章 規程、対策推進計画等の見直し（情報セキュリティ関連規程の見直し）

第４４条

ＣＩＳＯは、情報セキュリティの運用、自己点検及び監査等の結果等を総合的に評価するとともに、機構内外の情報セキュリティに係る重大な変化等を踏まえ、原則として情報セ
キュリティ委員会の審議を経て、情報セキュリティ関連規程について必要な見直しを行うものとする。
２

情報セキュリティ責任者又は情報セキュリティ管理者は、役職員より情報セキュリティ関連規程に係る課題及び問題点の報告を受けた場合は、統括情報セキュリティ責任者に報告するものとする。報告を受けた統括情報セキュリティ責任者はＣＩＳＯの求めに応じて報告するものとする。
（情報セキュリティ対策に関する実施手順の見直し）

第４５条

統括情報セキュリティ責任者は、情報セキュリティの運用、自己点検及び監査等の結果等を踏まえて情報セキュリティ対策に関する実施手順について必要な見直しを行うものする。
２

統括情報セキュリティ責任者は、前項の実施手順の見直しに伴い情報セキュリティ関連規程の見直しの必要があると判断した場合は見直しを指示し、その見直し結果についてＣＩＳＯに報告するものとする。
（対策推進計画の見直し）

第４６条

ＣＩＳＯは、情報セキュリティ対策の運用、自己点検及び監査等を総合的に評価するとともに、機構内外の情報セキュリティに係る重大な変化等を踏まえ、情報セキュリティ委員
会の審議を経て、対策推進計画について定期的な見直しを行うものとする。
第９章 情 報 管 理 区 域 通 則（情報セキュリティ規程）

13

（情報管理区域等の区分と指定）
第４７条 機構の管理、占有する建物及び敷地（これらの付属施設、設備を含む。以下「建物等」という。）のうち、セキュリティ及び情報セキュリティを確保すべき区域（以下「情報管理区域等」という。
）を、次の各号のとおり区分する。
(1) 厳重情報管理区域
特に厳重な管理を要し、別に定める当該区域の防護要件を満たし且つ入域管理を実施する
執務室等であって、関係する役職員及び機構外関係者のうち業務上特に必要性が認められ、各部門等の情報セキュリティ責任者又は情報セキュリティ責任者から委任を受けた情報セキ
ュリティ管理者、区域情報セキュリティ責任者若しくは総務・安全管理部門総務室（以下「総務室」という。
）の許可を受けた者以外の者の出入りを禁止する区域。
(2) 制限情報管理区域
厳重な管理を要し、別に定める当該区域の防護要件を満たし且つ入域管理を実施する執務室等であって、関係する役職員及び機構外関係者のうち業務上必要性が認められ、区域情報
セキュリティ責任者若しくは総務室の許可を受けた者以外の者の出入りを禁止する区域。
(3) 機構内情報管理区域
厳重な管理を要し、関係する役職員及び機構外関係者の内業務上必要性が認められ、総務室の許可を受けた者以外の者の出入りを禁止する区域。
(4) 一般管理区域
機構敷地及び建物の内情報セキュリティ対策対象外の区域。
２

前項第１号から第３号に定める区域を情報管理区域とする。

３

情報管理区域の指定は、別に定める割当基準を踏まえて総務室が行うものとする。原則として、第１項第１号に規定する厳重情報管理区域及び同項第２号に規定する制限情報管理区域は、同項第３号に規定する機構内情報管理区域の内側に設定しなければならない。

４ 本規程に定めるもののほか、情報管理区域の対策等について必要な事項は別に定める。
第１０章 情 報 資 産 取 扱 通 則（情報資産の利用及び管理の一般原則）
第４８条

役職員は、自らが担当している職務の遂行のために必要な範囲に限って、情報資産を利用等するものとする。
２

機構が保有する情報資産であって、特にそのセキュリティを確保すべきものは、重要度及びリスク評価に基づき、次条第１項各号のとおり区分を設定して管理を行う。

３

国立研究開発法人物質・材料研究機構安全保障輸出管理規程（平成２０年９月１６日

２０

規程第７４号。以下「輸出管理規程」という。
）第３条第４号に定める規制貨物等に該当する技
術情報を非居住者に対して閲覧させる場合又は貸出し、提供する場合は、輸出管理規程の定めに従うものとする。
４

役職員は、USB メモリ等の外部電磁的記録媒体を用いて情報資産を取り扱う際は、対策基準
及び USB メモリ等外部電磁的記録媒体取扱手順書の定めに従うものとする。

５

役職員は、情報資産を公表する場合には、当該情報資産が次条第１項第３号に定める公開情（情報セキュリティ規程）14

報資産に区分されるものであることを確認しなければならない。
（情報資産の格付け区分）
第４９条 機構の情報資産の格付け区分を以下の各号の通り設定する。
(1) 秘密情報資産機構内外の限られた関係者のみ知りうる状態を確保する必要がある情報資産であり、漏えい、破壊、改ざん、滅失又は毀損等により、国の安全、利益若しくは国民の権利に著しく損害を与えるおそれ、機構の重要な権利・利益の侵害若しくは機構の事業の適切、安定的な遂行を著しく困難にするおそれ又は関係者の正当な地位、利益を著しく侵害するおそれがあるもの。
(2) 関係者情報資産機構内外の関係者のみ知りうる状態を確保する必要がある情報資産であり、漏えい、破壊、改ざん、滅失又は毀損等により、機構の事業の適切、安定的な遂行又は関係者の正当な地位
若しくは利益を侵害する恐れがあるものであって、機構外への開示等の取扱に一定の制限を要するもの。
(3) 公開情報資産
前２号に掲げる情報資産に該当せず、機構外への開示等の取扱に特に制限がない情報資産。
２

前項第１号及び第２号に定める格付け区分に該当する情報資産を要保護情報資産という。

３

情報セキュリティ責任者は、情報資産を第１項各号に定める区分に指定する場合、当該情報資産を別に定める登録台帳に記載し、室またはグループ等の単位で把握、管理する。

４

情報セキュリティ責任者は、前項の登録台帳を情報基盤統括部門情報セキュリティ室に電子媒体で提出するものとし、取り扱う情報資産に変更が生じた場合、更新し、別途提出しなければならない。

５

本規程に定めるもののほか、情報資産の取り扱い等について必要な事項は別に定める。
第１１章 雑則（契約における措置）
第５０条 機構が契約を締結する場合は、当該契約者（下請け契約者を含む。以下同じ。
）に対し、
この規程及び情報セキュリティに関する機構の規則等に規定する情報セキュリティ確保のための以下に掲げる事項の遵守を契約上の義務とさせるとともに、遵守義務に違反した場合の規定
を契約に明記しなければならない。
(1) 機構の要保護情報資産を当該契約者に使用させる場合は、守秘義務を負わせ、情報資産の複写、第三者への開示・提供等に機構の許可を要し、その保管に留意させる等、情報セキュ
リティに関する機構の諸規定と同等の措置をとらせること。
(2) 機構の要保護情報資産を当該契約者に使用させる場合は、情報資産の複写、第三者への開示・提供等に機構の許可を要し、その保管に留意させること。
(3) 前二号の情報資産を取り扱う情報システムに関し、ウイルス対策、ファイル交換ソフトの利用禁止等、機構の情報セキュリティと同等の水準の対策をとらせること。
(4) 契約上の義務の履行のため、当該契約者が機構の情報管理区域内に入域させる場合は、事前に許可を求め、総務室の指示に従わせること。
（情報セキュリティ規程）15

２

機構が、就業規則の適用がない個人と委嘱その他の契約を締結するときは、前項の規定を準用する。

３

機構が、大学生、大学院生、研修生等を受け入れるときは、第１項の規定を準用するとともに、必要に応じて、情報資産へのアクセス制限、情報セキュリティに関する教育その他必要な措置を講ずるものとする。
（雑則）

第５１条 本規程に定めるもののほか、情報システム及び情報システム上で扱う情報の取扱いについて必要な事項は、理事長が別に定める。

附 則（平成２６年９月２４日

２６規程第５３号）

この規程は、平成２６年１０月１日から施行する。
附則（平成２７年３月２４日

２７規程第６号）

この規程は、平成２７年４月１日から施行する。
附則（平成２８年３月２９日

２８規程第１３号）

この規程は、平成２８年４月１日から施行する。
附 則（平成２８年１２月１３日

２８規程第１３８号）

この規程は、平成２８年１２月１３日から施行する。
附 則（平成３０年３月２７日

３０規程第２２号）

この規程は、平成３０年４月１日から施行する。
附 則（平成３０年７月２５日

３０規程第３９号）

この規程は、平成３０年７月２５日から施行する。
附則（令和元年９月２４日

２０１９規程第６０号）

この規程は、令和元年１０月１日から施行する。
附 則（令和元年１０月１５日

２０１９規程第６３号）

この規程は、令和元年１２月１日から施行する。
附則（令和３年３月２３日

２０２１規程第２６号）

この規程は、令和３年４月１日から施行する。
附 則（令和３年３月２３日

２０２１規程第３０号）

この規程は、令和３年１０月１日から施行する。
附 則（令和４年３月２２日

２０２２規程第４号）

この規程は、令和４年４月１日から施行する。
附則（令和５年２月２８日

２０２３規程第１８号）

この規程は、令和５年４月１日から施行する。

（情報セキュリティ規程）16別記（第２４条関係）最高情報責任者

最高情報セキュリティ

最高情報セキュリティ

情報セキュリティ

アドバイザー

責任者

委員会

CSIRT
責任者

情報セキュリティ

統括情報

情報システム

監査責任者

セキュリティ責任者

セキュリティ責任者

情報セキュリティ
責任者
区域情報
セキュリティ責任者
情報セキュリティ
管理者
情報システム
管理者
情報セキュリティ

機器管理者

担当者
情報システムオペレーター（情報セキュリティ規程）

17