シ ス テ ム 技 術 分 科 会

選 出

システム技術分科会 2014 年度第 1 回会合 より

マネジメントシステムの情報セキュリティ版がもたらすもの—信頼？姿勢？安心？—上田 哲史(徳島大学)

マネジメントシステムの情報セキュリ
ティ版がもたらすもの—信頼？姿勢？安心？—徳島大学情報センター・上田哲史

ueta@tokushima-u.ac.jp
平成 26 年 8 月 25 日
近年，ISMS を取得する大学が増加している．その背景にはパブリシ
ティの価値もあるが，本質的には大学組織がこれまであまり意識していなかった情報ガバナンスの構築に関して，ISMS が本質的に適切な仕組みであること，また，今後クラウド利用が促進するにつれクローズアップ
されるであろう事件事故災害に対する BCP, 人的体制維持，セキュリティ
教育普及など，ISMS の PDCA に包含されている魅力などがある．
本学では 2012 年 3 月に，国立大学としては 4 番目に ISMS を取得した．
現在は３年目 (認証期間最終年度) となっている．ISMS の枠組みは情報セ
ンターの運営そのものに直接反映され，また，取り組みの全てが，情報ガバナンス体制維持，セキュリティ対策予算策定，外部評価，改組，ク
ラウドによる情報システム最適化などに結びついてきている．発表ではそれらの概要を述べるとともに，ISMS が果たす人的セキュリティ対策の効果について，本学の状況を示す．なお，配布資料には一部発表内容が削除されている．

v}uw|WðØxo|iŷ@^LaI^W
1ÓŠ/ŌĐ/Ãï/1
ʂŀÒĞAŵŔ«Ð­FØæˉɗ

ūÑ-ðØxy0WEƃĿ• ėɄIȆ˃ɇ?Ÿ?ţãɌĞJ\Ğû– Ğû ×=ÒĞŻ  ×– Ɔċ ×?àĹƹċQǐǽƹċ  ×– ãŠě Į×=Iʂŀý×ƕBěĮ×J• ŵŔ«Ð­FʷǾ

– ' ŦúŠƣģ«Ð­F– 'ŵŔǆė«Ð­F– ţãŵŔǆė«Ð­F–  îĊŵŔēůʄ«Ð­F– ŵŔēȲŁ«Ð­F=W=– ŵŔ«Ð­FÀí• ŵŔ«Ð­FĐø– ÒĞęčŵŔ¨ª±ÅA§F¼ªǔʵøǰėIàĹɄȕJv}uw|• íİAƥǲǰė• KŜɁfóǘɚ Đɋ÷>tĐɋȐĸqu¨ª±ÅLĀqƽƗ• tjpþo{ŊØms{ah– %%1*2Šƨ– 3đơAđÞ– .-,0ľũAȾŽ– ,7ǆƩAŨɍ– %V%}ªºÊÌ¯À• ȋǸ '$ 

6-5/-6ƥǲ '$

6-5/-6
Wtjp
ŐǅĀƞâ

ŐǅĀƞâ

ISMSƛĂ
Plan.âč

¬
ĭźàʪɭ

Do.³

Act.ĚĎ

ISMSǜñɚ ƇĘ

ISMSʃřɚ Ũɍ
Check.Ïè

ISMSǋǮ
ɚ Í¼ÉFÄ·©ÆÐ³ÀÎ«ª}¾ÍFÅÏF£


¬
Ƈž
Ƈžǰėm
žǰėm
uŵŔ«
¢ÉË
Ë±
¢ÉË±

FNKBWp{m0İÉ'"'ŜɁ|ǜñm{a?ohǜñũǹm{aqeC
ǜño{a ǜñĽƶũǹo{a ǜñũǹouŮƔ?u ǜñš÷aĻőĢgèĴIcW?/• ȉea˪Ƕau|• ŵŔ«¢ÉË±ɂeǉhx}ea}H• '$ʉŜ}ʾ{oae• ĔǇĜĩ
• ·Őä-ÀÕä@ÀígÄóHP;c• ŵŔ«¢ÉË±òŖëcēWÀí½
ŗŀĺť

Þŕéſ

Ëē

Àí

ñ¤¿ª

IC03J0027 ÔĂÒĞĉ×ɸƢÒĞIŵŔůʄ«Ð­FJ

ɸƢŃ

2003Ó11å25Ñ ISR007

IS 90359 Ğƭĉ×=ÑÖǀʨÒĞɊŷŃ

2005Ó3å16Ñ

ISR004

IS 509958 ǩʐæÒĞIÆ²·¯³ÏF£«Ð­FJ

ɘġČ

2007Ó1å24Ñ

ISR004ɥœŃ

2007Ó11å15Ñ ISR002

IS 523803 Ğƭĉ×ÑÖÒĞIţãĞǽŵŔ«Ð­FJ

ɘġČ

2007Ó12å4Ñ

IC08J0241 ÔĂÒĞĉ×ÿƕÒĞÿƕŃ

2008Ó10å24Ñ ISR007

IC11J0338 «½®ūÑ½3ðØµŎÒxy04

ʂŀŃ

2012Ó3å9Ñ

ISR007

IS 582429 ÔĂÒĞĉ×ɝǨÒĞIŵŔǔʵÖûJǀƢŃ

2012Ó3å22Ñ

ISR004

IS 590859 ÔĂÒĞĉ×ÝưÒĞÝưŃ

2013Ó3å4Ñ

ISR004

JUSE-IR-289 ÔĂÒĞĉ×ɴɜŀÒĞIĞǽŵŔůʄ«Ð­FJ

ɴɜŀŃ 2013Ó4å23Ñ

ISR005

IS 601919 ÔĂÒĞĉ×ƢÿÒĞIŵŔǔʵ«Ð­FJ

ƢÿŃ

I165



ÔĂÒĞĉ×ʏŘƻÒĞIţãÆ²ůʄ«Ð­FJ

ÔĂÒĞĉ×ǊǠÔĂÒĞIŵŔůʄ«Ð­FJ

ISR0042013Ó11å12Ñ ISR004ƉɖĦŃ 2014Ó3å6Ñ

ISR002



Ũĉ½
Ÿ²

¦ý

ŜɁŬʺ

ÔĂÒĞĉ×ɸƢÒĞŜɁûǷŬʺ

ŵŔůʄ«Ð­FķƶïɸƢŃɸƢý˝ɎƠÒƙ836

ŶƍůƮJIS Q 27001:2006(ISO/IEC 27001:2005)ŶƍɆȖȄɪ

IC03J0027

ɆȖʮʇ

Ğù·¯³ÏF£d ƺȧŵŔůʄ§F¼ªǰė<Ƈž<ƀȑ
Ğǽ·¯³ÏF£¸¿ɾľǰė<ƇžɛĘʘŚƒɸÒŵ«-ISMS- 2009Ó9å15ÑìÞŗþɆȖÑ20031125ƘȘĪǝ2015Ó11å24ÑŶƍģĀƐƬÕáÑÖȋǸŶƍģǥ(JACO)





©ą½
Ÿ²

¦ý

ŜɁŬʺ

ÔĂÒĞĉ×ÿƕÒĞ»½@źŭÝưÒĞ}ɓʾ

ŜɁûǷŬʺ 7ķƶïÿƕŃÿƕýȒæ1677-1

ŶƍůƮJIS Q 27001:2006(ISO/IEC 27001:2005)ŶƍɆȖȄɪ IC08J0241
ɆȖʮʇ

X. ůǺ·¯³ÏF£¨ª±ÅǰėƇĘ
Y. ÒĞŵŔģǥfƀȑqƆȁAȃȢĘ¦Ð½ÉF­ǰėƇĘZ. ĞùÜĹŵŔ¨ª±ÅƇĘŝǭ[. ɈĞŝǭ¨ª±Å§F¹ǰėƇĘɛĘʘŚƒÔĂÒĞĉ×ÿƕÒĞISMSɛĘʘŚƒIƕÒŵȋŎ20ɪ>2013/7/3JŗþɆȖÑ

2008Ó10å24ÑƘȘĪǝ2014Ó10å23ÑŶƍģĀƐƬÕáÑÖȋǸŶƍģǥ(JACO)


şĪ½
Ÿ²

¦ý

ŜɁŬʺ

ÔĂÒĞĉ×ɝǨÒĞŜɁûǷŬʺ

ŵŔǔʵÖû

ķƶïǀƢŃǀƢýéƠˆư6-10-1

ŶƍůƮJIS Q 27001:2006(ISO/IEC 27001:2005)ŶƍɆȖȄɪ

IS 582429ɆȖʮʇ

1.ðØļĳĨĔŎÒŊ@ùľIcðØt0w
2.ðØuw|§-ðØìčķ-ÍICTßĬq0@ùľIcÍuw|t0wɛĘʘŚƒ2012Ó3å15ÑƧɛĘʘŚƒŎ3ʩ

OɟàÜķP

1)ȟÙȌŻ¢ÈÐºª2)ɐŘ¢ÈÐºªŗþɆȖÑ2012Ó3å22ÑƘȘĪǝ2015Ó3å21Ñ

ŶƍģĀ

BSI¤ÌFÀ©ÈºÐƐƬÕá«Ð­F
ñx{aD

ūÑ½
Ÿ²

¦ý

ŜɁŬʺ

ÔĂÒĞĉ×ʂŀÒĞŜɁûǷŬʺ

ŵŔēȲŁ«Ð­FķƶïʂŀŃʂŀýƤǣĲŀÛ2-1

ŶƍůƮJIS Q 27001:2006(ISO/IEC 27001:2005)ŶƍɆȖȄɪIC11J0338

ɆȖʮʇęĞŵŔ·¯³ÏF£¨ª±ÅƇĘǰė;¸©Ð¤<Âª±Ð¤¨ª±ÅƇĘǰė;ƆȁĘ¨ª±ÅƇĘǰėɚ ȻǷǐǽ´¹ª
§F¼ª

ɛĘʘŚƒ

ISMS-B06-D04 2011/11/25

ŗþɆȖÑ

2012Ó3å9ÑƘȘĪǝ2015Ó3å8ÑŶƍģĀƐƬÕáÑÖȋǸŶƍģǥ(JACO) (

• čįſGʃř• «¢ÉË±ƖğǈǮē• %8+1/,&-1*7/32• ŶƍĤŲĔǇ}qWŁĄ1Ű¥U;<R• Á·¯«àųf`ou• ˟paňʥȷŵŔfǌÙ
• Á·¯«úÕá¨Ð¾ FÅfʥȷŵŔǰėo{au• ɷ×?¨Ð¾ FÅȇʕmu'• ¨Ð¾ FÅ '"'ĤŲo{auF:,S<ÿ;\I//«@gÀcÈĦ• £Ê´ŐĘĢǈɺ• «¢ÉË±ÃË¨Fɭƿpu×øAǐǽøAȋǸŪėø
«¢ÉË±òŖfćƛm• ŵŔĒİfˊaÙm?ŜɁȬƟǸŕfćem• ĝžɽfĀ?«¢ÉË±òŖejƺ¦ª³f˒
ʭAʍŶm?ŜɁiĤŜ}
• ƽƗfĤul}fƁŔ48+1/,/79Ēq• ðØ´ÇW½£ÛM;~Āo{?ʟałɞqǚĒƗ}• ĴûȾŽɭòŖfȽÞŕRHPWÁŅWr0w• Ưçǐǽø?ȋǸAŪėø«¢ÉË±òŖfǦƼm{aa• ȬƟčįI×àǥĸɻǎôčįJfćƛx{aa• àȴôɻǎĕʠAşƂèɳfǉaIwʶɶ|g{aaJ• ɛƓŔƏfØfx{ļa_áÕǳćfma• ĔǇɭñx{aaTĩȮəŮ• ¥TŝĶ• ÓºįƊ?ñĞʗȣâŤ• àȴòƿŜɁÆÐ¹Ffˎ˛• ȸǅʽʆ~?ŜɁ}o{ǉıȶŝÙ• ĔǇñhhCŴņ.«½®ðØŖxy0Ü±
Ĺń•   Ŏ]þ $(ąƣŎ þȃȢÕ}ãðČɬIǺàƭɸƢÒJ•     Ŏ^þ $(ąƣŎ þȃȢÕ}ãðČɬIǺàƭʏŘƻÒJ•     Ŏ þŎþÔĂÒĞĉ×ŵŔɄ«Ð­FȃȢƌǌAĕʠÕďGŎ þĞǽŵŔǆėȃȢƴÕ}ãðČ
ɬIǺàƭʂŀÒJ•    Ŏ þŎþÔĂÒĞĉ×ŵŔɄ«Ð­FȃȢƌǌAĕʠÕďGŎ þĞǽŵŔǆėȃȢƴÕ}ãðČ
ɬIǺàƭÿƕÒJ•    Ŏ þ=łǨÒ{š÷ðØxo|i¡Ú• ǐǽø«¢ÉË±òŖ?ȋǸAŪėø«¢ÉË±òŖ|?žƁZWţō¡ėXģÙ@:cćeHĈþÕã±FÄ
• |?Ð¨²Ð³?£¨²Ð³fìíou}gD˫ªÄF³ģˏȨŜf?
õƜǡo{hl}a• Å@WU>CcÞŕġĵWĞ¶X//
ƏKhT^WX:b\Jh½_XŹŢ@>Ɔ;ő@ĥAP
H\NLRAu?ʫȉ}eĳŒ|h…
AŜɁłĘǱ˚VñĞâŤ?ġʢƿʢâŤAƈȦįǗVʽʆ~AöȦøįǗVƇžƌƧßɏŤÚĊɡmu˦ʌIÍ¯±ÌJeeˡfql}f|gaÐ;PWp{m0İÉŜɁda{ŵŔ«¢ÉË±}Śc?~ÃÐ³ƩeqeC¾ FÌ~?ŏū|ǐǽòŖ Ð®Ìªǜñ~?£ÊÐ³òŖ
 §F¹|¬¾³ɯü?¦Ð±Ð°®¯£ ǥĸċòq«¢ÉË±Ɔȁ
U~Òà|q¡ÚWŞĂF.ďº¡ŁĄWŔÏ
`bæ;ŇŜWžƁU¡ė¡ė
?^HdT;@sw}¡Ł
¡Ł
ĄX/
Ńě
Ń
ě
ŜɁ

ŧ
ŧçW
šŇ

ò
Ŗ
¦
ª
³
ƱƸòŖ}őĒ

ŜɁ

ò
Ŗ
¦
ª
³

ǫˇƿpuɛƓòŖAőĒ

ŜɁ

ò
Ŗ
¦
ª
³

ƱʿòŖ}őĒ¡ÚWŞĂF

ŜɁ

ò
Ŗ
¦
ª
³

ISMS: ŜɁŵŔ«¢ÉË±òŖfKɛƓòŖAőĒL}x{aeȷɀøŎĲâfœö-ĝÔqǫˇƿpuɛƓòŖAőĒ

ƽƗĭźàʪòqòŖđɰƛŶIɛĘʘŚƒˑĩĶ?d tąƇĘm{ae~be?ƽ÷A
ŹȖeť÷J
ðØxo|i9ÄŦ.
• ¿ŲÊ$#)#&!"!&(– `ŵŔfɫǈmuâ£«ª|g– ȓBǵ×ŶƍĔǃ• Ť»Ê#&%!&(– ÀÎ«ªfŅƛ|Ũnmal}– ȓB²©­ÌɨŬ?ñĄ¾ FÅ§¶­©Ð¤• ĜºÊ'!"!"!&(– ɫǈmuâf`ŵŔ˕ô£«ª|gl}– ȓB'!|ːȿǄAʅɔôö~ş÷?ʃř8wp

v}• ŵŔĒİya{? ɀľeËª£țȾŽo?tƿpuòŖÞb• wpł8´Çöł+žƁ+ƍŶÊ– ĒİŽțBŵŔ¨ª±Å ɀľdjŞĭĊ– ʹʻBĨɦ}t˜Ċ– ˣʜĶBʹʻìíòq˔ȱĊ• ÚƃŰËª£ț}abňțƿp{?ąǣwp¡ėÚʞp– Ëª£ǧŤ?Ëª£ǻƾ?Ëª£þɿ?Ëª£ŇƊËª£țĆkðØ´ÇWƄ;H,wpż• ÜĹĀqŵŔ¨ª±Å?ŵŔ?ŵŔģȚˀhËª³¯À• )$ıȳIÜĹĘaòǯŵŔģȚ}qoJ•  ɀľeËª£țƣÙ– ŞĭĶB~ȧɓŵŔfŞĭe÷Ǣq– ˣʜĶBʡǿ?Ũn~ʼșȓË– ʹʻBȏȥĊ÷Ǣq• Ëª£ŇƊțŉØ|`?wp¡ėâč– ŇƊțù|`x{ǰėwp¡ė


!







wp
¨Ū
It
J

I

ȸǅA
ȏȥĊ

J

wpĩå
IòŖơqJwp¶ĆIŇjñJËª£ɫƊÍÁÌ

ʹʻ×ˣʜĶ


F\G\TŵĶ• Ëª£òƿŖfƫx{H• ǰėŖ `– ĤˋĎʦ|gbx{af?ʒhąǣÒĞƇž|`[RhS»§ŞºsnŲaIʂŀÒĞ ĎʦJ
– KHojaL}abų¡ÄóŸòo{¼²Ðª}}?ŞºIc¹Ē}òƿqƽ÷ƂouĠ?ŞºŴÝā}aa? '"'x}¢Çƚƒ}
– òŖƘȘĶʋ÷ojaő• ɤŷʹʻ˞cbɧ˨òŖfǉa
• oeo? '"'ȨŜđɰ?%ɹ
Ŀǰė?àȴAàųíǟƛǄ?ǉŖêãǏo{ĜĩǧhʈcIrJ– tôľ|ƅcbǝãėøǰėŖAËª£òƿŖƴã|` '"'ãƗou˫x}oa• KdQ^,őXĥDb<c¢• ŗĪòƿ˘ȞÞa}aja• àõũƍÒƓ– ʝȩƯçƼc{auIǰėŖ}?Ëª£Ŷȳ
o?òŖo{auJ– tƼcbˤıø?īɀø|h?ÔūƽƗ
ʷx{ŨɍĿj{auƏħÌ¯,Ůƀ,w|0pz,KħÒǝɠĄo{au?ŲexuL}ėŴo{hIrvJ
Wİ• ×ø«¢ÉË±òŖŖ÷– ÊŅıUëOBĕ¤RŋĈÞŕ°Æſ• ŜɁȡƽɮƮɾo?ǰėƽ÷Ŗ÷• Ǒƹvj|hżċÕŜɁǥĸ• ùûǋńŜɁ?ǋń×ƟȎ• àȴôťǍůƮĕʠʱǦƼfŞĭI '"'}o{|hŜɁ}o{}}ǦƼqgJ– ʮʇ?óǘă– Ëª£Ä·©ÆÐ³• ĒİIŽțJˊaÙo?tòo{ȍ÷mʹʻAˣʜĶȾŽ• Ëª£țRŽț:ʹʻ:ˣʜĶ• tËª£țʀŤŖŖ÷ūÑ½WðØn~w°Æ• ĞùŵŔ¡¹µÐªĵē
½
ð
Ø
n

~

w

ŵŔĥʔŖ÷

ŵŔĥʔđơ

§F¼ªŐĘ

ðØµŎÒxy0WŎÒ°Æ
»½ðØxo|iğŽŋĈ3CIO,CISO4»½ðØxo|iĮ¹ûºŋĈ3CIOĤī4ɟûǕISMSŞºźŭðØxy0ðØxo|iõ¯¦§ĝÔõ¯ISMSŎÒŋĈȪÝIƆċJȪċIƆċ×2J
ȪċIǐǽƹċJ

ȪÝIƆċJȪċIƆċJF

ðØğŽ§Ĳ

ICTŎÒ§Ĳ  

#



$


"







ȪċIǐǽǞǬƹċ×YJ

ȪċISEȇʕƹċ×[Jŉxklťő• űÜũÐÊɀľ– ÌFÌĉʓɭůzhōôĬęǰė– àȴìíôòƿ– àȴĨɦȢć• lfę{ĢƯç_áÕøɘǿ˂ • űÜIŋƇÕáJtàÜ«P
üH¾ĜĀ
– ȸǅʽʆ
– łĘǱ˚





!




:b:CƅƇő  • «Ìɪ}ɓʾȼ˗Āqàȴ– Ʊȗʛ|h?ĵaɒŇjuuɱ÷o{auʲŪfǎɢǻğou– ˌ˖oufęċǉàIǪċAǪȷňƸexuJ• ȼċ?ȼÝɛƓʰǜ• ŜɁøòƿ• ōôɛƓòŖfơm?IʶɶĝȅfƖemJàȴôǴǅħĖǝ– ƌ®vxu}áÕėŴm_ƐbXÁ¸ģ– ʒhĔǇßȹƝŝɃu|ae– ÕáXũÐQAL• ÔÜŕ¦Ð±µɱ÷ĀqòŖĵē– %ĸƔôàWtjp
'"'ęčƇĘqu%§£Ì•– ùûǋń>Ä·©ÆÐ³Í¼ÉF"&ɭ• ƺǰėŖya{%

– ǰėŖʙĆŁÊů¤ ȾŽ Ũɍɭ
– "&ŮƔ>ʴŅʁƩ šǖʁƩɭĭźƷē
ǰėŖPDCA

ISMSPDCA

P
A

MRñĄ

ǰ
ė
Ŗ
A

D
C

MRÙĄ

ǰ
ė
Ŗ
B

P
A

P
D

C

ǰ
ė
Ŗ
C

A

P
D

C

A

D
C



^Meh>ƋČATS,³İQXT;• ĶȤǳøĂêʷx{òŖo{a '$ƺƽƗ– ǋńÑšƏyg÷Īǋńɧ˨|a– ǥĸċıȳfKĶȤL|`ah|ɂjś• ƒɓØƍɅĠƋø|oeh?ŜɁfÚȭ}x{5ðØ´ÇgĘe<6R;<ÈŏøbfƵĭ• Śò-úĸXàÄ



{xî• Á·¯«áĆȠj¨Ð¾ FÅáʧȇʕ'f?ʬɱ²F­ÁFªˣʜĶɉg?ʥȷŵŔɂgĤ?ƾŌ@• ¨Ð¾ FÅ '"'ĤŲo{au– ąłAƇĘǰėƹĹçƦ?ČìAǂȅAƇĘêķçȵÎ¤ǋǮfƽ÷m{ar– ǰėŖƘȘ|`xueCËª£çʳfm{aue~beĚ
– '"'ǤńģĀ?Ŷ÷ģĀ˧˩Ěl}

˫ƎÈ¥Tû÷QXT?NLWV,RXÿfdP;cƏgÀNP;TCdY2{xî ŉĆɵť˅ʖj{Ũɍsa• òŖfƘȘˀˢqrfexu• ĜèŢfŶƍřx{auǁʯsrĤņ}abĳŒ
• ðØƂ=;@ĥALRAWŋĈűdUñþÀí
@ăfdP;c• ŶƍǤńfą>ƇĘȔƬēofw
U%&' #(

 

ɪ


êĠ,úĸ
• Ɔȁđơ– ŵŔ«¢ÉË±ɩĳŒ}òŖėŴ– '"'ȨŜtėŴ• ňÞ]@ÎP;c?aðØxo|iĮ¹@QAcWQ
XT;• ŵŔ«¢ÉË±ǰėquȨŜǜño?Đɋĺ÷o?ȐĸAŨɍo{h• ƆȁȘƔʋ÷– ĄȈʋ÷}ɲs{– Ļzg~ąo{%ǥĸċfˁʣq˙˓



ĖŘÂ
• Ĉ|H–  '$`{ƹvxueoa• ĈõH– ÒĞ|Ð­F·¯³Q¦Ð½ÉF­~~
ƇžAĝžȊaŭ|hIǼ˄ǉaJ– £Ê´ŐĘĢǈɿIoȗȫŐĘJ|?
ŵŔ«¢ÉË±ÃË¨F?ŵŔ¡¹µÐª? '"'ʤ?ťǍAşƂAãĊć¶|g×ŪfƵĭ– ÔĂƲˍƣĭźɭ?ÔòŖƪĘźl}Ĉõʚǿ_ƇžƌƧße÷ǣšƣŜŭÀíWŁĄX/ūÑW• Ǜaľ– ˥ˠvxuÜĹÀÎ«ªćƛē>ÜĹèɳëƈo– ȜEÉ×ÏgĜĭµ– ƹċıȳƷē– ĞùĴòo{½FÌ

• ɣȰouIo{aCJľ– ÜĹÀÎ«ªćƛē– ŵŔĒİˊaÙo?Ëª£ȾŽ– ŹȖD– ȇʕƹċƆȁ• ǜñõȀŒ– ȀŒÿȗ>%ɹĿ|ŨɍD¦§ĝÔáśÖƈâ

¦§ĝÔŜċáśÖ

ĆŁÊœöĽÌę

Àí ËZW¼ÔȘƔya{Mxo|iÈŏ@ř¯UƉŻHLNMðØ´Ç@­ćUTbĨ¹QALN}abþȺfØŧÚɼŵŔ«¢ÉË±ĚńǏ{ÖĚńòǯŜɁÄÌƳʎǄfƄçȝĊ|`>ŶƍĤŲŵŔ«¢ÉË±òŖđǲēȘƔf`}Ǝ¦Ð§Ì­Ð³Ǥńċòo{ęɼøĢȹ~?Ň
ǤâeɑoaȾŽf`Ǥńċ '"'ȲŁǓĩâɭƅc>KËª£Ä·©ÆÐ
³LˍȂėŴfĢǚo{aƳpUɕ?ʑØ?ùæK '"'ŶƍĤŲŜɁÐ¥F³ĚńeĽǒ}ȀŒLÑÖ«¢ÉË±Ä·©ÆÐ³ĞÕęÔÒÕ?ŬÛXŒ?í?/• ƪĘ– ŗĪƪĘ
Įā?Óö ĮāȝĊ– º¿Ë¨±ȘƔ=S=čįʃřȷɀøȾŽ• èö– ÷ǣôBŹȖǙqKhsL~byje• äğƴŠ÷Ī§FÁ|ÌF®Ðē?ȘǄē

– ɘǣôB%ƽ÷Ä¶ÉÌfȘĄìʸ– ǤńôBȩĤˈ}|gb



đfbU
• ŵŔ«¢ÉË±òŖKɧęǐǽº¯¥F©LfÙĽoŲaǝ? '"'ȯƶƳÒga• àųAàȴ}~»³fx{ob|?»³ĶȤǳøǰė?×ø«¢ÉË±òŖƵʊ
• '"'äčfeĔǇ}o{ģƑobe~beK '"'đǲƇĘLeex{aシ ス テ ム 技 術 分 科 会

選 出

システム技術分科会 2014 年度第 2 回会合 より

学内情報基盤のネットワーク管理の法的側面と最新動向

高橋 郁夫(駒澤綜合法律事務所)

学内情報基盤のネットワーク管理の法的側面と最新動向
高橋郁夫
１

問題点
大学における学内情報基盤については、その運営面についても、一定の整備が進んでいる。クラウドコンピューティングの発展・普及、社会一般の情報化の進展、ネットワ
ーク接続形式の多様化およびそれに伴う管理の多様化などの情報技術の発展は、その運営をめぐる問題についても、いろいろな観点から新しい問題を提起している。これらの問題を法的な観点から整理するのが、本講演の目的となる。

２

具体的な対応2.1

クラウド技術の発展および普及

ネットワークの具体的な運用に際して、情報セキュリティ対策のための規定は、サンプルなどが公表されており、それらに基づいて対応がなされているものと考えられる。
しかしながら、近時は、クラウド技術の発展および普及により、そのリスクをどのように判断し、運用の際に従来の仕組みを新しい技術として取り入れるかということが問題になっている。クラウドを利用するといえども、その基本は、リスクの分析とその評価・軽減等の対策である。そのような形から、従来のネットワーク運用のポリシを見直す必
要がある。
2.2

社会一般の情報化の進展

ネットワーク利用に関する問題行為等にたいする大学の対応等に関して大学の責任問
題の議論がさらに議論されるようになってきている。大学の設置する掲示板における名誉棄損発言に関する大学の責任問題や学内ネットワークの不正使用による外部への不正アクセスに関する大学の責任などの問題である。一般論としては、個別・具体的な事案において管理に関して具体的な過失があるかどうかの問題になる。単にアクセスしうる立場を提供していただけで責任を問われることはない。
2.3

ネットワーク接続の多様化に伴う問題

現在、学内に携帯電話の基地局が設置されたり、学内の無線 LAN のアクセスポイントに携帯電話事業者を相乗りさせたりということがなされるようになってきている。これ
らの場合に、業として電気通信事業を営む者として、登録／届け出をなさなければならないのかという問題がある。これについては、詳細なマニュアルがあるが、電気通信事
業自体で利益を上げようとする場合には、登録・届け出の対象になることに留意する必要がある。
また、多様化するネットワーク接続に対応して、ネットワーク管理も複雑多様化している。そのなかで、具体的な通信についての管理をなす場合には、通信の秘密との関係
で、具体的な同意が必要になることに留意が必要である。もっとも、この同意の具体性については、まだ、明確ではないところである。

学内情報基盤のネットワーク管
理の法的側面と最新動向
駒澤綜合法律事務所
高橋郁夫

本日の話題
 大学でのネットワーク運用に関する法律的な側面の整理 具体的な事例に対する法律面での考え方 背景± ネットワーク運用が当然に± 特にクラウドの活用± 無線・携帯電話回線の利用
2

大学におけるネットワーク運用と法律の側面䈄 大学のネットワーク運用と法律
䇵 ネットワーク運用ガイドラインについて
䇵 ネットワーク管理について
䈄 通信の秘密との関係
䈄 個人情報保護法との関係について
䈄 情報セキュリティの維持の義務
䈄 著作権侵害について
䈄 ゼミの掲示板等での名誉毀損について
䈄 大学のネットワーク利用による攻撃
3

クリッカー 1
 「高等教育機関の情報セキュリティ対策のためのサンプル規程集」について
 １ よく知っている
 ２ だいたい知っている ３ 名前だけは知っている ４ 知らない4ネットワーク運用ガイドラインについて
 高等教育機関におけるネットワーク運用ガ
イドライン± (http://www.ieice.org/jpn/teigen/nwgl.html)

 高等教育機関の情報セキュリティ対策のためのサンプル規程集± (http://www.nii.ac.jp/csi/sp/doc/sp-sample2013.pdf)
質問1 ：大学では、クラウドを大規模に導入して、アカウント管理・学生の管理の事務まわりに利用しようと考えています。
このようなクラウドを導入するのにあたって、特に考えておく事項はあるのでしょうか。
海外のクラウドを利用していた場合に、何か問題がおきたときに、どこの裁判所でどのような問題が判断されるということになるのでしょうか。
5

サンプル規定集(ポリシー)
の位置づけ

6

セキュリティポリシーと個別プログラム
人
ポリシー

web

mail

システム戦略
システム技術個別ガイドライン
7

人的なシステムについて
 CIO、運用部門、技術サポート部門
理事会、
評議会

全学ネットワーク運用委員会

事務部門
ネットワーク運用委員会

ネットワーク運用委員会

ネットワーク
運用委員会

総括責任者

総括責任者

総括責任者

技術責任者

技術責任者

技術責任者

利用者

利用者

利用者

部局 A

部局 B

部局 C

教授会

外部
ネットワーク「高等教育機関におけるネットワーク運用ガイドライン」による
8

クラウドの利用について
 「大学のクラウド活用における、検証と課
題と対策」± (http://www.nii.ac.jp/service/openforum/forum
20123/)

 アカデミッククラウドに関する研究± http://www.icer.kyushuu.ac.jp/topics_ac_20140213

 一般的な問題について± 日本クラウド・セキュリティアライアンス
9

クラウドコンピューティングの要素³仮想化技術もしくは分散コンピュータ技術´No standard(標準)No location of data
(データの場所)

Virtualization (仮想化)

Disitributed(遠隔)Network Security(ネットワークセキュリティ)Beyond Boundary(国境の存在)10

組織方針
プランニングクラウドにおける脅威の認識リスクアセスメント

資産からのリスクの識別

クラウド・リス
ク分析

対応案決定
対応策
実施
測定・検証

測定・検証
11

クラウドでの法適用の問題
 民事上の問題についても、適用される法律を決定するのは、きわめて種々の問題が存在する。
± ひとつの例
 情報主体（日本在住）のデータを処理していた利用者（
日本企業）から、委託をうけていたクラウド事業者(例えば、iCloud情報流出事件(2014))
 脆弱性対応を怠り、流出させた
 クラウド事業者が、外国に存在していたとする。情報主体が、クラウド事業者 に対して、プライバシー侵害を根拠に損害賠償を求めうるか
 日本法の考え方 対 米国での考え方
12

運用等に関して発生する
他機関への責任問題
質問2： 学内の掲示板で、ゼミでの議論に関して、一般の人も参加しうる方針で
いとなんでいるものがあります。その掲示板に名誉毀損の表現が掲載されて、被害者が、名誉毀損だとして削除を求めましたが、管理者が、名誉毀損には、あたらないとして削除をしませんでした。被害者が、この掲示板を管理している大学に対して名誉毀損だとして損害賠償請求訴訟を提起してきました。
大学は、損害賠償の責任を負うのでしょうか。
また、学内のネットワークを利用した学生が、学外の組織に対して、無権限アクセスを行って、学外の重要な情報を取得したようです。このような学生のネット
ワーク利用を認めていたことから大学の責任が発生するということはあるのでしょうか。
(追加)学外には､公開されていない情報(無線LAN のPSK/業務システムのアクセス方法等)を教職員・学生が､一般に公開されているところに公開することは､法律違反になるのでしょうか｡
13

運用等に関して発生する
他機関への責任問題 2
大学や研究機関などが研究会などを開いた際、主催組織の構成員でない者に対して無線LAN などでインターネットアクセスを提供した場合に､法律的な問題はあるのでしょうか｡
学内に設置する携帯電話の基地局経由で違法行為が行われた場合、大学側はどこまでの法的責任を負うのでしょうか？また､当該通信事業者に対してどこまでの情報を開示を要求できるものなのでしょうか？

14

Ｔ大学事件
東京地判 平成11年9月24日
 入学手続きのさいに衝突が発生した事件(自治会ないし新聞会の正当性をめぐる争い)
 被告Aが、原告らに対して名誉を毀損する文書を大学の教養教育用のパソコンのシステム内の学生個人の利用
資格に基づいて開設していたホームページ内に掲載。
 原告らは、大学当局に抗議文書を発送した。大学当局
は、リンク停止措置をとり、また情報教育担当教員は、当初、被告Aに、原告の趣旨を伝えるにとどめていた。

15

裁判所の判断 1
 「被害者保護のために運営委員会に情報の削除権は認められているというよりは、Ｔ大教育研究用情報処理シス
テムの信用を維持するというＴ大構成員全体の利益のために運営委員会に情報の削除権が認められているものと解される」± 裁判所は情報教育担当教員が原告らに対する関係において本件文書の削除義務を負うという結論を導き出すことはできない± 外部の者との関係について(略) ネットワークの管理者が会社との関係において被害の防止に向けた何らかの措置をとる義務が生じるかどうかは問題となった刑罰法規や私法秩序の内容によ
って異なる
16

裁判所の判断 2
 ネットワークからインターネット経由で外部にコンピューターウイルスを流す行為がなされたり、他のコンピューターに不法に侵入してシステムを破壊する行為がなされたりした場合(略) 条理上の義務として、その行為を妨げるための措置を可能な限度でとるべき義務が生じる
 名誉棄損行為-「被害者と加害者の両名のみが利害関係を有する当事者であり、当事者以外の一般人の利益を侵害するおそれも少なく、管理者においては当該文書が名誉毀損に当たるかどうかの判断も困難なことが多い」、「加害者でも被害者でもないネットワーク管理者に対して名誉毀損行為の被害者に被害が発生することを防止すべき私法上の義務があるわけではない」としている。
17

著作権等の知的侵害に対する寄与の責任
 P2Pにおける著作権侵害± ナップスター事件やファイルローグ事件± 「JASRACやBSAなど権利者7団体、全国の大学にファイル共有ソフトに関する要請文を送付(2010年ほか)」

 それを黙認している場合に大学等はどのような責任を負うか18

大学等の責任 この決定は、行為者以外の寄与者でも利益状況等によっては、当事者と同視されるという意味
 但し、大学等においては、特別の利益を受けることはないので、この法理の射程を強く受けることはないであろう。
 プロバイダ責任制限法の定めを参考に
19

P2Pの提供者(ファイルローグ事件)


ファイルローグの行為が、送信可能化、および自動公衆送信権を侵害するか否かについては、外部の者の行為の内容・性質、事業者のする送信可能化状態に対するファイルローグの管理・支配の程度、本件行為によって生ずるファイルローグの利益の状況等を総合斟酌して判断。

ファイル情報の提供者について、直接の侵害者の侵害か第三者の侵害かの点をあまり明確にせずに、一定の要件のもとに直接侵害者と同様の責任を負わせた
なお、平成１５年１２月１７日東京地裁判決は、MMO側に約7000万円の支払いと差止
を認めた



ユーザー

20

セキュリティの遵守義務違反の法的責任
 攻撃者の利用の「踏み台」などにされ被害者に対する損害が発生した場合± 損害賠償の責めに任じられるのでないか

 管理者自体が、システムのセキュリティホールに対してアップデートなどをしていない場合± 何らかの損害が発生する± 脆弱性を放置している場合に、サイト構築を請け負った業者の責任を認めた判決が出ている。

 ただし、大学自体に管理しうる状況がありえない場合は、
別であろう
21

大学の研究員による脆弱性をついた不正アクセス事件
 被告人(大学の研究員)
 著作権の啓発を行う団体が運用するサイトに使われている特定のプログラムの脆弱性を発見
 脆弱性を利用して、個人情報を引き出した。
 渋谷のクラブで開かれたセキュリティに関するシンポジウ
ムで手法および個人情報を公開
 東京地裁平成17年3月25日判決-有罪

22

大学のコメント 新聞記事± Ｋ大学-所属組織等の教授らが記者会見± 教授は「パスワードなどは盗んでおらず、不正アクセスにはあたらないとみていた。警視庁の踏み込んだ判断に驚いている。今後の司法判断を見守りたい」と困惑した表情
で語った 検討対象± Ｔ２大学 全裸教員出現の非常事態収束させた危機対応
力分析(http://www.newspostseven.com/archives/20150117_298226.html?PAGE=2)

23

ネットワーク管理と通信の秘密
 通信の秘密について
質問3 ：学内ネットワークの通信ログを運用の向上のために利用したいと考えています。この場合に、学内の利用規定に、一般的な規定として、運用向上のために利用することが記載されていますが、各利用者から個別に許諾を得る必要があるでしょうか。
また、自分の研究のために、学外から、学内のサーバに対する通信のログを分析して、近時のネットワーク攻撃の分析をしたいと考えています。通信の秘密との関係の問題はありませんでしょうか。

24

通信と託された情報

ヘッダー部分

通信内容

25

通信の秘密の現在の解釈(1)䈄 電気通信事業法4条（秘密の保護）
䇵 「電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。
± ２ 電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。」
 電気通信法制研究会「逐条解説 電気通信事業法」± 「通信の秘密を保護する趣旨は個人の私生活の自由を保護し個人生活の安寧を保証する（プライバシーの保護）とともに、通信が人間の社会生活にとって必要不可欠なコミュニケーションの手段であることから、憲
法第２１条２項の規定を受けて思想表現の自由の保障を実効あらしめることにある。そして自由闊達な通信がなされることを保証するための規定である」
26

通信の秘密の現在の解釈(2) 「通信の秘密」と「他人の秘密」(逐条解説)± 「通信の秘密」-通信内容にとどまらず、通信当事者の住所、氏名、発信場所と通信の構成要素や通信回数との通信の存在の事実± 「他人の秘密」-通信当事者 Bobの人相、言葉の訛りやプッ
シュホンに記憶された相手
番号等直接の通信の構成
要素とはいえないが、それを推知させうるものを含む

その他の事実通信のための事実
Alic
e
内容

27

通信の秘密の現在の解釈(3) 電気通信事業法第4条の解釈± (1)積極的知得行為の禁止-通信の秘密および通信の存在自体について調査の対象とはされないこと。
± (2)漏洩行為の禁止-通信事業者によって職務上知り得た通信に関する情報を漏洩されないこと。
± （3)窃用の禁止－（自己または他人の利益のために？）通信に関する情報を利用しないこと。
 解釈の帰結（消費者行政課的見解）± 中間者は、正当業務行為等の違法性阻却事由がないと行動できない（ルーティング自体も「秘密」侵害の構成要件該当）

 同意について± 個別・具体的な同意である必要がある(？)
28

「通信」の意味
 一連の解釈における通信は、種々のデー
タから、「一意の通信」であることが「識別しうること」が前提± 識別しうることとは、結局は、コストパフォーマンスによる

 通信の全体としての傾向としての「トラヒック・データ」については、上記秘密の対象にはならない
29

問題に対する回答は
 学内ネットワークの通信ログを運用の向上のために利用したいと考えています。この場合に、学内の利用規定に、一般的な規定として、運用向上のために利用することが記載されていますが、各利用者から個別に許諾を得る必要があるでしょうか。
± 通信ログは、個別の通信を特定しうるのか-Yes± 特定しえないような形に加工するのはどうか-Yes± 許諾は、個別・具体的であることを要するのか、どうか-微妙

また、自分の研究のために、学外から、学内のサーバに対する通信のログを分析して、近時のネットワーク攻撃の分析をしたいと考えています。通信の秘密との関係の問題はありませんでしょうか。
± 通信の秘密の例外規定の解釈-不明± 個人情報保護の例外規定が参考に

30

近時の大学のネットワーク構築の法律問題
 大学のサービスの一般化と電気通信事業
法
質問4 ：私の大学では、こんど、学内の無線LAN AP にケータイキャリアのワ
イヤレス・アクセスポイントサービスを相乗りさせて、毎月の利用料をもらうこととなったのですが、大学自体が、電気通信事業者としての届出をしなければならないのでしょうか。
そもそも、電気通信事業者の届出をしないとどのような問題がおきるのでしょうか。
無線アクセスサービスを学内ネットワークへの入り口として利用する場合には、なにか異なるのでしょうか。

31

クリッカー 2
 大学のネットワーク接続設備であっても「
電気通信事業者になりうる可能性があること」について １ よく知っている
 ２ だいたい知っている ３ 名前だけは知っている ４ 知らない
32

電気通信事業とは？/登録・届出？


電気通信事業法1条± 「電気通信事業の公共性」にかんがみ、± 「その運営を適正かつ合理的なものとするとともに、その公正な競争を促進することにより、電気通信役務の円滑な提供を確保するとともにその利用者の利益を保護」
同法9条± 電気通信事業を営もうとする者は、総務大臣の登録を受けなければならない。
± ただし、総務省令で定める基準を超えない場合-届出

33

電気通信事業とは？営むとは？
 「電気通信事業参入マニ
ュアル［追補版］」± 届出等の要否に関する考え方及び事例
ʊ± (http://www.soumu.go.jp/main_content/00
0267716.pdf)

34

電気通信役務
 「電気通信設備を用いて他人の通信を媒介し、その他電気通信設備
を他人の通信の用に供するもの」± 他人の通信 自己間の通信以外の通信をいい、他人と他人との間の通信のほか、自己と他人との間の通信も含む。
 電気通信設備を他人の通信の用に供する場合に合致しない場合± 「電気通信」に関して
 場所貸し 携帯電話の代理店± 「他人の通信」に関して
 企業における内線電話、LAN 自社データベースアクセスサービス
35

電気通信事業者
 「電気通信役務」を「他人の需要に応ずる」ために提供する「事業」± 登録/届出/それらが不要± 「他人の需要に応ずるため」
 自己の需要に応じているものは含まれない。
± Webサイト開設・通販対応± 「事業」(反復・継続)
 非常災害発生対応等は含まれない
 ホテル電話・ホテルインターネット± 宿泊サービスに付随して電話の設置・運営を行っており、電気通信役
務の提供が独立した事業として把握できないことから、電気通信事業に該当しない。

36

電気通信事業を「営む」
 「営む」± その対価として料金を徴収することにより電気通信事業自体で利益を上げようとすること、すなわち、収益事業を行う場合をいう± 料金を徴収していないとしても、実質的に電気通信役務の提供により利益を上げているとみなされるときには、「電気通信事業を営む」に
該当する
37

回答は？
 学内の無線LAN AP にケータイキャリアのワイヤレス・アクセスポイントサービスを相乗り± 場所貸しといえますか？
± アクセスが大学の事業として利益をもたらすもののように設計されている可能性はありますか？

38日本クラウド・セキュリティアライ
アンスご紹介 2010年に法人格なき社団として結成
 2013年に法人化
 LinkedInやFacebook等で情報交換しています｡
 アカデミッククラウドの問題を検討するのでしたら､是非ともご参加いただき､Wg等を提案いただければ､前向きに対応できるかと思います｡
39

法律問題のご相談・
ネットワーク関係の調査は
 2F駒澤綜合法律事務所
 4 株式会社ITリサーチ・アート
 ikuo@comit.jp40