別紙３

公立大学法人下関市立大学 情報システムにより処理される
情報資産に関するセキュリティポリシー
平成 21 年 1 月 1 日制定
改正

平 成 29 年 4 月 1 日
令 和 2 年 4 月 14 日
令 和 3 年 3 月 29 日

第１章

情報セキュリティ基本方針

１．目的
公立大学法人下関市立大 学（以下「本学」という。）が管理責任を有する情報資産には、学生、教員及び事務職員 の個人情報や大学運営上重要な情報など、漏えい、改ざん及び破壊等が発生した場合には極めて重大な結果を招く情報が数多く含まれている。
本学の 情報資 産を 改ざん 、漏 えい 及び破 壊等 の脅威 から守 るこ とは、 本学 の財 産、プライバシー等を守るとともに、本学における教育研究活動及び大学運営になくてはならない情報基盤の安定かつ効率的な運用を実現するためにも必要不可欠である。
このような状況を踏まえ、本学の情報 資産の機密性、完全性及び可用性を維持するため、情報システムにより処理される情報資産に関して、セキュリティポリシーを定めることとする。このうち、情報セキュリティ基本方針については 、本学の情報セキュリティ対策の基本的な方策として、 このセキュリティポリシーの対象範囲を定めるものとする。

２．定義
2.1

情報システム本学が管理する電子計算組織（「ハードウェア、ソフトウェア、ネットワーク、記録媒体等」をいう。）で構成し、これら全体で業務処理を行うもの
2.2

情報資産

情報システムにより処理される 情報及び情報を管理する仕組み（情報 システム並びにシステム開発、運用及び保守のための資料等）の総称
2.3

情報セキュリティ

情報資産の機密性、完全性及び可用性を維持すること
2.4

情報セキュリティポリシー

本学の情報セキュリティ対策について、総合的、体系的かつ具体的にとりまとめたもの。情報セキュリティ基本方針と情報セキュリティ対策基準から構成される。

３．対象範囲及び対象者
情報セキュリティポリシーの対象範囲は、本学が管理するすべての情報資産、学内ネットワーク、学内サーバ機器、本学が管理するパソコン等の情報端末やネットワーク関連機器とする。
情報セキュリティポリシーの対象者は、本学の役員、 教員及び事務職員、非常勤教員、学生、外部委託事業者、来学者等、本学が管理する情報資産を取り扱うすべての者（以下「利用者」という。） とする。

４．情報資産を取り扱う者の責務
利用者は、情報セキュリティの重要性について共通の認識を持つとともに、情報資産の取り扱いに際しては情報セキュリティポリシーを遵守しなければならない。

５．情報セキュリティ管理体制
本学が管理する情報資産について、情報セキュリティ対策を推進・管理するための体制を確立するものとする。

６．情報資産の分類
本学の情報資産をその内容に応じて分類し、その重要度に応じた情報セキュリティ対策を行うものとする。

７．評価及び見直し
情報セキュリティポリシーに定める事項及び情報セキュリティ対策についての評価を行うとともに、情報資産を取り巻く状況の変化に柔軟に対応するため、適宜、情報セキュリティポリシーの見直しを実施する。

第２章

情報セキュリティ対策基準

１．組織・体制
情報セキュリティ管理については、以下の組織・体制とする。

1.1
1.1.1

管理・運用組織の構成
最高情報セキュリティ責任者

本学の情報セキュリティに関する総括的な意思決定と、学内及び学外に対する責任を負う最高責任者として最高情報セキュリティ責任者を置き、理事長 をもってこれに充てる。
1.1.2

全学情報セキュリティ管理責任者

教育研究部門及び事務部門の情報システム管理に関する統括的な権限及び責任を有する管理責任者として、全学情報セキュリティ管理責任者 及び全学情報セキュリティ副管理責任者を置く。全学情報セキュリティ管理責任者は、学長をもってこれに充て、全学情報セキュリティ副管理責任者 は、副学長及び事務局長をもってこれに充てる。
1.1.3

システム管理責任者

情報システム管理に関する管理責任者としてシステム管理 責任者を置き、情報課長をもってこれに充てる。
1.1.4

部局システム管理者

部局内の情報システム管理の実施に関する管理者として部局システム管理者を置き、下関市立大学の運営組織等に関する規程（平成１９年規程第３号）第２条第２号に規定する部局長（事務局長を除く。） 及び事務組織に置く各部の部長をもってこれに充てる。
1.1.5

情報セキュリティ委員会

最高情報セキュリティ責任者は、情報セキュリティの維持及び向上に必要であると判断したときは、適時、情報セキュリティ委員会を設置することができる。情報セキ
ュリティ委員会は、最高情報セキュリティ責任者、全 学情報セキュリティ管理責任者、全学情報セキュリティ副管理責任者 をもって構成する。また、情報セキュリティ委員会の設置目的に応じて、部局システム管理者及びシステム管理 責任者を構成員とすることを可能とする。
1.1.6

情報課

本学の情報セキュリティに関し、情報セキュリティの維持及び向上を図るための活動を行う。具体的な活動内容としては以下の項目とする。
・情報セキュリティポリシーの策定 及び改正を行うこと。

・情報セキュリティポリシーの遵守を励行し、違反に対する措置を講ずること。
・緊急事態に対応する即応体制を確立すること。
・学内の他の意思決定 機構との調整を行うこと。
・情報セキュリティに関する啓発及び教育を実施すること。
・本学の情報資産に関する監査 を実施すること。
1.2

不正アクセス等への対応

情報課は、学内又は学外からの不正アクセスを検出した場合、関連する通信の遮断又は該当する情報システムの機器の切り離しを実施し、当該機器及び当該機器が接続されたネットワークの管理者に対して、 改善策を指示する。
情報課は、不正アクセスが継続する場合は、当該管理者に対して 、利用停止等の抑止措置をとることができる。
情報課は、不正アクセス等のセキュリティポリシーに違反した者に対する処分について、その権限を有する意思決定機構に対し、違反行為の報告及び処分の勧告を行う。

２．情報の分類と管理

2.1

情報の分類

本学が保有する情報は、次の重要性分類に従って分類する。
1) 重要性分類Ⅰ
漏洩した場合に本学に対する信頼を著しく損なうおそれのある情報と、滅失又は損傷した場合にその復元が著しく困難となり、本学の教育研究活動及び大学運営に著しい障害を生ずるおそれのある情報
・個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等
により 特定の 個人 を識別 する こと ができ るも の（他 の情報 と照 合する こと がで き、それにより特定の個人を識別することができることとなるものを含む。）
・法令又は規程の定めにより守秘義務を課されている情報
・法人その他の団体に関する情報で漏洩することにより当該団体の利益を害するおそれのあるもの
・情報システムに係るパスワード及びシステム設定情報
・その他上記に準ずる情報
2) 重要性分類Ⅱ
脅威にさらされた場合に実害を受ける危険性は低いが、本学 の教育研究活動及び大学運営において重要性が高いと評価される情報（公開されると本学の 教育研究活動及び大学運営に支障をきたすおそれのある情報）
3) 重要性分類Ⅲ

重要性分類Ⅰ・Ⅱのいずれにも該当しない情報
2.2

情報の管理

・部局システム管理者は、管理する情報について、情報の内容や重要度に応じて利用権限を定めなければならない。
・重要性分類Ⅰ・Ⅱに該当する情報は、非公開情報とする。
・重要性分類Ⅰに該当する情報は、不用意に複製を行ってはならない。
・重要性分類Ⅰに該当する情報は、不用意に送付 及び送信を行ってはならない。
・重要性分類Ⅰ・Ⅱに該当する情報を記録した取り出しが可能な 記憶媒体は、施錠可能な保管庫等の安全な場所に保管しなければならない。
2.3

記憶媒体の処分

利用者は、記憶媒体を廃棄する際は、当該記憶媒体に保管された重要性分類Ⅰ・Ⅱに該当する情報について、いかなる手段を講じても可読できない状態にしなければならない。
記憶媒体を保守作業等で交換する場合は、撤去後の記憶媒体の処理について十分配慮しなければならない。

３．物理的セキュリティ

3.1

情報端末

情報課は、情報セキュリティポリシーの対象となる 情報端末を把握しなければならない。
部局内の情報システムを管理する者 （以下「システム管理者」という。）は、情報端末について災害、事故及び盗難への対策を 可能な限り講じなければならない。
3.2
3.2.1

サーバ機器
管理区域の設置

サーバ機器は、施錠が可能な管理区域に設置 し、入退出時以外は常時施錠を行うものとする。
管理区域を管理する責任者（以下「入退室管理責任者」という。）は別に定める者とする。
管理区域に入室できる者は、入退室管理責任者が許可する者及び情報担当職員とする。
管理区域に入室する者は、備え付けの記録簿に必要事項を記載しなければならない。
3.2.2

機器の設置

システム管理者は、管理区域にサーバ機器を設置するときは、火災、水 害、埃、温度及び湿度等の影響を可能な限り排除し、管理区域から容易に持ち出されないよう に、適切な固定等の措置を講じなければならない。
3.2.3

電源

システム管理者は、何らかの原因でサーバ機器に電源異常が発生した場合でも、 システムが安全かつ適切に保護されるよう に対策しなければならない 。
3.2.4データのバックアップ

システム管理者は、サーバ機器に記録、保管されるデータについて定期的にバックアップを行わなければならない。
システム管理者は、データをバックアップした記憶媒体を、予め定めた期間、安全に保管しなければならない。
3.2.5

冗長化

システム管理者は、障害が発生した場合に教育研究及び大学運営上 重大な影響を及
ぼすサーバ機器について、サーバ機器の冗長化等の措置を講じなければならない。
3.3

ネットワーク機器

3.3.1

設置場所の隔離学内ネットワークの基幹部分を構成する 重要なネットワーク機器は、 施錠等によって物理的に隔離された区域に設置し、設置場所から容易に持ち出されないよう に、適切な固定等の措置を講じなければならない。
3.3.2

電源

システム管理者は、何らかの原因でネットワーク機器に電源異常が発生した場合でも、ネットワーク機器が安全かつ適切に保護されるよう に対策しなければならない。
3.3.3

ネットワークケーブル

学内ネットワークの基幹部分を構成する重要なネットワークケーブルは、 故意又は過失によるケーブルの切断を防ぐため、原則として専用又は共用の配管に敷設しなければならない。
ネットワークケーブルを 敷設するときは、ネットワークケーブルに起因する障害発生時の影響を考慮した上で、予備回線や迂回回線の敷設について考慮しなければならない。
3.3.4

冗長化

システム管理者は、障害が発生した場合に教育研究及び大学運営上重大な影響を及
ぼすネットワーク機器について、ネットワーク機器の冗長化 等の措置を講じなければならない。

４．人的セキュリティ

4.1

利用者の責務利用者は、情報セキュリティポリシー に定められた事項を遵守しなければならない。
利用者は、学内ネットワークの管理及び運用のためシステム管理責任者及び 部局システム管理者から協力依頼があった場合は、これに 協力しなければならない。
利用者は、情報セキュリティに関する事故が発生し、又は情報システムに関する障害の発生及び発生のおそ れがあることを知ったときは、直ちに部局システム管理者に報告しなければならない。
4.2

パスワードの管理

利用者は、自己の保有するパスワードの他人への非公開、パスワードのメモ等を作成しない等パスワードの秘密保持に努めなければならない。
利用者は、初期設定のパスワードは 速やかに変更し、また定期的に変更しなければならない。
4.3

情報端末の管理

ネットワークに情報端末を接続しようとする利用者は、 情報課に接続申請を行わなければならない。
利用者は、大学が所有する情報端末を原則として学外に持ち出してはならない。
利用者は、利用中の情報端末から一定時間離れる場合は、ログインした状態で席を離れてはならない。
利用者は、ファイル共有ソフトウェア等、情報流出の原因 となり得るソフトウェアをインストールし、又は 使用してはならない。
利用者は、基本ソフトウェアのセキュリティ情報更新機能及びコンピュータウィルス対策用ソフトウェアの情報更新機能を 、特別な理由がない限り停止してはならない。
利用者 は、情 報課 の許可 なく ネッ トワー クの 構成及 び設定 を変 更して はな らな い。
4.4

情報システムの管理システム管理責任者は、管理する情報システムの利用資格を定めなければならない。
システム管理責任者は、情報システムの利用資格を有する者以外に対して当該情報システムのアカウントを発行してはならない。
システム管理責任者は、利用資格を失った利用者のアカウントを直ちに削除しなければならない。
システム管理責任者は、利用者のアカウント及びパスワードを管理権限のない第三者に漏らしてはならない。
システム管理責任者は、業務上必要な場合のみログ情報及び通信内容の解析を行うものとし、利用者のプライバシーに配慮しなければならない。
4.5

情報システムの開発、保守及び管理業務

部局システム管理者は、情報システムの開発、保守及び管理業務を外部委託事業者に発注するときは、情報セキュリティポリシーのうち外部委託事業者が遵守すべき事

項及び守秘義務を明記した契約を締結しなければならない。

５．技術的セキュリティ

5.1
5.1.1

サーバ機器に関する基準
コンピュータウィルス対策

システ ム管理 者は 、サー バ機 器を コンピ ュー タウィ ルスに よる 被害か ら防 ぐた め、コンピュータウィルス対策ソフトウェアをサーバ 機器に導入しなければならない。また、サーバ機器上のコンピュータウィルス定義情報の更新状況を定期的に確認しなければならない。
5.1.2

基本ソフトウェアのセキュリティ対策

システム管理者は、基本ソフトウェアに関するセキュリティパッチ及び修正プログ
ラムが公開されたときは、稼働中のシステムへの影響を考慮した上で 必要と判断される場合は、セキュリティパッチ及び修正プログラムを適用して、セキュリティの脆弱性に対処しなければならない。
5.1.3利用状況の管理

システム管理者は、サーバ機器の負荷状況やハードディスクの使用状況について随時確認しなければならない。
5.1.4

アクセス記録の保全

システム管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講じなければならない。
5.2
5.2.1

ネットワーク運営方針
ネットワークの設計及び改変

学内ネットワークの運用、管理及び変更は、 情報課が行うものとする。
5.2.2

部局内のネットワーク機器

システム管理者は、管理する対象にルータやスイッチ等のネットワーク機器が含まれる場合は、機器の故障や設定不良により機器の構成や制御機能が損なわれないように管理しなければならない。
5.2.3

セキュリティ対策機器

情報課は、ファイアウォール等のセキュリティ対策機器を導入して、学外からの不正アクセス等に対する防御や学内から学外に対する攻撃に対処しなければならない。
情報課は、新たな技術による学内ネットワークへの攻撃に対処できるように、必要と判断される場合は、セキュリティ対策機器及びセキュリティ対策機器上のファー ムウェアを更新しなければならない。
5.2.4

基幹ネットワーク

情報課は、ファイアウォール 等のログを一定期間保存しなければならない。
情報課は、定期的にログを解析して不正アクセスの 有無を確認しなければならない。
5.3

情報端末に関する基準

学内ネットワークに情報端末を接続しようとする利用者は、 情報課が指定するセキ
ュリティ対策等の設定作業が完了していない情報端末 を学内ネットワークに接続してはならない。
情報課は、常に情報端末の利用者を把握しておかなければならな い。

６．評価・見直し
6.1

情報セキュリティポリシー運用実態の把握

部局システム管理者は、情報セキュリティポリシーに沿った情報セキュリティ対策が各部局で実施されているかどうかについて 、自己点検を行わなければならない。
情報課は、部局システム管理者及び利用者から収集した情報セキュリティに関する情報を分析及び整理し、 情報セキュリティポリシーの運用実態に基づいて、情報セキュリティポリシーの課題及び問題点について 定期的又は必要に応じて 検討し、全学情報セキュリティ管理責任者及び全学情報セキュリティ副管理責任者 に報告しなければならない。
全学情報セキュリティ管理責任者及び全学情報セキュリティ副管理責任者 は、情報セキュリティポリシーが遵守されているかどうかについて、 並びに情報システムが支障なく稼動しているかどうかについて確認を行わなければならない。
6.2

セキュリティレベルの向上策

最高情報セキュリティ責任者は、全学情報セキュリティ管理責任者からの報告に基づいて、情報セキュリティポリシーに 沿った対策がどの程度実施されている かを評価するとともに、全学情報セキュリティ管理責任者 及び全学情報セキュリティ副管理責任者に対して、セキュリティレベルの向上に必要な措置を講ずるように命ずることができる。
附則

このセキュリティポリシーは、平成 ２１年１月１日から施行する。
附則（平成 29 年 4 月 1 日）

このセキュリティポリシーは、 平成２９年４月１日から施行する。
附則（令和 2 年 4 月 14 日）

このセキュリティポリシーは、令和 ２年４月１４日から施行し、令和２年４月１日から適用する。
附則（令和 3 年 3 月 29 日）

このセキュリティポリシーは、令和 ３年４月１日から施行する。

情報セキュリティポリシーの管理・運用組織の構成

情報セキュリティ委員会

最高情報セキュリティ責任者

学内外組織

全学情報セキュリティ管理責任者
副管理責任者

情報課

システム管理責任者

部局システム管理者

緊急対応窓口部局システム管理者

利用者（教員・学生等） 利用者（職員・学生等）