教育情報セキュリティポリシーに関するガイドライン（令和 6 年 1 月）

平成 29 年 10 月 18 日

策 定

令和 3 年 5 月

改 訂

令和 4 年 3 月 一部改訂
令和 6 年 1 月

改 訂

文 部 科 学 省

重要：はじめに本ガイドラインは、地方公共団体の各教育委員会が教育情報セキュリティポリシーの策定や見直しを行う際の参考として、教育情報セキュリティポリシーの基本理念と検討する際の考え方について解説したものである。
児童生徒の学び方、教職員等の働き方の変化に合わせて、学校現場にて必要とされる教育情報システム及び情報セキュリティは日々変遷を遂げており、本ガイドラインも時代の要請に沿って改訂を行ってきた。
令和元年度以降、GIGA スクール構想に基づく 1 人 1 台端末の整備、クラウドサービスの本格活用が進み、一人一人の多様なニーズや特性等に対応した個別最適な学びと協動的な学びを充実させることができるようになった。
また、令和 5 年 3 月には「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」を取りまとめ、今後の教育情報システムのあるべき姿として校務系ネットワークと学習系ネットワークの統合及びパブリックク
ラウド環境を前提とした次世代の校務 DX の姿を示すとともに、パブリッククラウド上で学習系・校務系情報を取り扱うに当たってこれまでの境界防御型セキュリティに代わって、強固なアクセス制御*による対策を前提とするセキュリティの考え方が導入された。
*「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一 層 の 高 度 化 を 目 指 し て ～ 」（ https://www.mext.go.jp/content/20230308mxt_jogai01-000027984_001.pdf)（令和 5 年 3 月 8 日）p.18 にて示されている、イ
ンターネットを通信経路とする前提で、内部・外部からの不正アクセスを防御するために、利用者認証（多要素認証）、端末認証、アクセス経路の監視・制御等を組み合わせたセキュリティ対策を指す。
このように教育 DX が進展する中で、教育委員会及び学校に必要とされるセキュリティ
対策は高度化し、ますます重要度を増している。詳細は後述する「第１編 総則」「第１章
本ガイドラインの目的等」に譲るが、学校教育の現場においては、地方公共団体の他の行政事務とは異なり、教職員や児童生徒が守るべき情報資産に触れることから、自治体の情報セキュリティポリシーとは別に「教育情報セキュリティポリシー」を定めることを求めている。しかしながら、令和 5 年時点で学校教育独自の教育情報セキュリティポリシー
を定めている割合は 50%程度に留まり、教育委員会が所属する地方公共団体の情報セキュ
リティポリシーを準用している割合が 35%、残る 15%は準用もせず情報セキュリティポリ
シー自体を策定していない状況にあり、大変憂慮すべき事態である。

２

各教育委員会には本ガイドライン「第１編 総則」の理念を踏まえつつ、「第２編 教育
情報セキュリティ対策基準（例文・解説）」や、「第３編 付録」を参考にしながら、教育委員会・学校の実態（実現したい学習や校務の環境、費用・運用面のコスト、ネットワー
クの構築状況等）を踏まえ、関係者（教育委員会・学校の担当者、有識者等）と迅速かつ十分に議論を行い、教育情報セキュリティポリシーの策定・見直しを実施いただきたい。
文部科学省においても、学校 DX 戦略アドバイザーによる相談体制を構築しているため、随時活用されたい。
※「第１編 総則」の基本理念は、「対策基準」だけではなく「実施手順」の策定においても踏まえるべきものである。特に、令和 4 年 3 月改訂版以降、本ガイドラ
インにおいては、GIGA スクール構想における児童生徒 1 人 1 台端末、1 人 1 アカ
ウント、それらを利用してクラウドへのアクセスを適切に実現するための明確な基準を示している。GIGA スクール構想及び各施策の実現を促進する情報セキュ
リティポリシーを定めるため、各地方公共団体においては常に最新のガイドラインを参照されたい。

※「第２編 教育情報セキュリティ対策基準（例文・解説）」では、校務系システム、
校務外部接続系システム及び学習系システムに関する対策基準を扱っている。特に、校務系システム及び校務外部接続系システムについては地方公共団体で構成が異なるため、必要となる対策は一様ではない。各地方公共団体においては、組織が目指すべき教育情報セキュリティの姿に合わせた対策を選択して、対策基準を策定いただきたい。
また、地方公共団体において扱う情報資産の重要性や取り巻く脅威の大きさによって、必要とされる対策は一様でないことから、各地方公共団体においてその事
項の必要性の有無を検討することが望ましいものを「推奨事項」として示している。各地方公共団体においては、組織が目指すべき教育情報セキュリティの姿に合わせ、必要に応じて「推奨事項」も含めて、教育情報セキュリティポリシーを策定することが期待される。

３

本改訂の主な改訂箇所（令和 6 年 1 月）
「本文」を「第１編 総則」、「参考資料」を「第２編 教育情報セキュリティ対策基準（例文・解説）」へと変更し、「第３編 付録」を追加する形で、全体構
成を見直し



「第１編 総則」の構成を見直すとともに、ネットワーク統合を前提としたパブリッククラウド活用において適切なセキュリティ対策を講じる重要性について加筆



「第３章 教育現場におけるクラウドの活用について」及び「第３編 付録（２）一般用語の解説」に、「政府機関等のサイバーセキュリティ対策のための統一基準群」（令和 5 年改定）の用語定義を反映



「第２編 教育情報セキュリティ対策基準（例文・解説）」の「５. 人的セキュリティ」「７. 運用」に記載すべき内容を、他節から移管（各対策の記載箇所
を適正化）



「第２編 教育情報セキュリティ対策基準（例文・解説）」に、「地方公共団体
における情報セキュリティポリシーに関するガイドライン」（令和 5 年改定）を踏まえ、情報資産の廃棄等についての必要な対策を追記

「第２編 教育情報セキュリティ対策基準（例文・解説）」について、次世代の校務 DX を踏まえ、強固なアクセス制御による対策に関する要素技術について
一部改訂

「第３編 付録」に、本ガイドラインを読み解く上での参考情報をまとめる形
で再整理

「個人情報保護法」（令和 3 年改正）の施行を踏まえ、個人情報保護条例に関する内容が記載されていた「参考資料 １.１１.クラウドサービス活用における個人情報について」を削除

４

目次
重要：はじめに ..................................................................................................................... ２
第１編 総則 ............................................................................................................................ 7
第１章 本ガイドラインの目的等 ....................................................................................... 7（１）本ガイドラインの目的 ......................................................................................... 7（２）本ガイドラインの位置付け .................................................................................. 8（３）本ガイドラインの読み方...................................................................................... 9（４）本ガイドラインの経緯 ....................................................................................... 10
第２章 地方公共団体における教育情報セキュリティの考え方 ...................................... 13第３章 教育現場におけるクラウドの活用について ........................................................ 15（１）クラウドサービスの活用.................................................................................... 15（２）クラウドサービスの定義・分類 ......................................................................... 18（３）学校現場におけるクラウドサービスの利用 ...................................................... 21（４）クラウドサービスの情報セキュリティを把握するための第三者認証等の活用 23
第２編 教育情報セキュリティ対策基準（例文・解説） .................................................... 24
１. 対象範囲及び用語説明............................................................................................... 24
２. 組織体制 .................................................................................................................... 27
３. 情報資産の分類と管理方法 ....................................................................................... 35
３.１. 情報資産の分類 ................................................................................................ 35
３.２. 情報資産の管理 ................................................................................................ 40
４. 物理的セキュリティ .................................................................................................. 48
４.１. サーバ等の管理 ................................................................................................ 48
４.２. 管理区域（情報システム室等）の管理 ............................................................ 53
４.３. 通信回線及び通信回線装置の管理 ................................................................... 57
４.４. 教職員等の利用する端末や電磁的記録媒体等の管理 ...................................... 59
４.５. 学習者用端末のセキュリティ対策 ................................................................... 63
４.６. パソコン教室等における学習者用端末や電磁的記録媒体の管理 .................... 67
５. 人的セキュリティ ...................................................................................................... 69
５.１. 教育情報セキュリティ管理者の措置事項 ........................................................ 69
５.２. 教職員等の遵守事項 ......................................................................................... 72
５.３. 教育委員会事務局職員の遵守事項 ................................................................... 83
５.４. 研修・訓練 ........................................................................................................ 84
５.５. 情報セキュリティインシデントの連絡体制の整備 .......................................... 86
６. 技術的セキュリティ .................................................................................................. 90
６.１. コンピュータ及びネットワークの設定管理..................................................... 90
６.２. アクセス制御 .................................................................................................... 985

６.３. システム開発、導入、保守等......................................................................... 101
６.４. 不正プログラム対策 ....................................................................................... 108
６.５. 不正アクセス対策 ............................................................................................ 112
６.６. セキュリティ情報の収集 .................................................................................115
７. 運用 ........................................................................................................................... 118
７.１. 情報システムの監視 ........................................................................................ 118
７.２. ドキュメントの管理 ....................................................................................... 120
７.３. 教職員等の ID 及びパスワードの管理 ............................................................ 121
７.４. IC カード等の取扱い ...................................................................................... 122
７.５. 児童生徒における ID 及びパスワード等の管理 ............................................. 123
７.６. 特権を付与された ID の管理等 ....................................................................... 126
７.７. 教育情報セキュリティポリシーの遵守状況の確認・管理 ............................. 127
７.８. 専門家の支援体制等 ....................................................................................... 129
７.９. 侵害時の対応等 .............................................................................................. 130
７.１０. 例外措置 ...................................................................................................... 135
７.１１. 法令等遵守 .................................................................................................. 136
７.１２. 懲戒処分等 .................................................................................................. 136
８. 外部委託 .................................................................................................................. 138
９. SaaS 型パブリッククラウドサービスの利用 ........................................................... 144
９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策144
９.２. SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項 ............................................................................................................................. 156
９.３. SaaS 型パブリッククラウドサービス利用における教職員等の留意点.......... 166
９.４. 約款による外部サービスの利用 ..................................................................... 169
９.５. ソーシャルメディアサービスの利用.............................................................. 172
１０. 評価・見直し ....................................................................................................... 174
１０.１. 監査 ............................................................................................................. 174
１０.２. 自己点検 ...................................................................................................... 177
１０.３. 教育情報セキュリティポリシー及び関係規程等の見直し ......................... 179
第３編 付録 ........................................................................................................................ 181（１）本ガイドラインにおける用語定義....................................................................... 181（２）一般用語の解説 .................................................................................................... 183（３）技術的対策に関する考え方.................................................................................. 190（４）権限・責任等一覧表............................................................................................. 196「教育情報セキュリティポリシーに関するガイドライン」の改訂に係る検討会 委員 . 201

6

第１編 総則
第１章 本ガイドラインの目的等（１）本ガイドラインの目的
情報セキュリティポリシーとは、組織内の情報セキュリティを確保するための方針、体制、対策等を包括的に定めた文書をいう。地方公共団体における情報セキュリティポリシーは、
各地方公共団体が組織の実態に応じて自主的に策定や見直しを行うものであり、その参考として「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和 5 年
3 月）」（以下「自治体ガイドライン」と言う。
）が総務省において整備されている。情報セキュリティポリシーは、情報セキュリティ対策の頂点に位置するものであり、本来は地方公共団体全てを包括するポリシーでなければならない。
一方で、地方公共団体が設置する学校（本ガイドラインにおいて「学校」とは、学校教育法第1条に定める小学校、中学校、義務教育学校、高等学校、中等教育学校及び特別支援学校を言う。）においては、地方公共団体の他の行政事務とは異なる特徴を有する。例えば、学校とは地方公務員法及び教育公務員特例法に定める「服務」に服さない児童生徒が過ごす場所であり、当該児童生徒がコンピュータを活用した学習活動の実施などにおいて、日常的に情報システムにアクセスする機会がある。そのため、児童生徒においても情報セキュリティポリシーにて規定した対策について遵守するよう、職員、教員、保護者等が適切に指導を行うことが求められる。
また、学校には、指導要録、答案用紙、生徒指導等の記録、進路希望調査票、児童生徒等の住所録等の重要性が高い情報が保管されている。児童生徒の育成においては、学校教育に直接関わる複数の関係者により、児童生徒に関する情報が多目的で活用される。学習においても、教職員や他の児童生徒と協働学習活動を実践する際、児童生徒が生み出す情報は本人の思考の記録であるとともに学習評価の材料となり、必要に応じて他児童生徒に開示する等多目的に活用される。
よって、学校教育においては、児童生徒の存在及び取り扱う情報の多様性・多目的性等を考慮した情報セキュリティ対策を講ずる必要がある。
このような背景を踏まえ、文部科学省では平成29年10月に、主に地方公共団体が設置する学校を対象とした情報セキュリティポリシー（以下、「教育情報セキュリティポリシー」と言う。
）の策定や見直しを行う際の参考として、教育情報セキュリティポリシーの考え方及び内容について解説した「教育情報セキュリティポリシーに関するガイドライン（平成29年10月版）」を策定し、その後も改訂を行ってきた。

7

（２）本ガイドラインの位置付け
情報セキュリティポリシーの体系は、各地方公共団体の情報セキュリティ対策における基本的な考え方を定める「基本方針」、基本方針に基づき全ての情報システムに共通の情報
セキュリティ対策の基準を定める「対策基準」、対策基準に基づき具体的なシステムや手順、手続に展開して個別の実施事項を定める「実施手順」の階層構造となっている。このうち「基本方針」と「対策基準」を総称して「情報セキュリティポリシー」という。
学校教育においては、「第１編第１章（１）本ガイドラインの目的」で述べたとおり、地方公共団体の他の行政事務とは異なる特徴を有するため、そちらを考慮した情報セキュリ
ティ対策を講ずる必要がある。
このため、学校の設置者である地方公共団体は、「基本方針」については、総務省の定める自治体ガイドラインに基づき策定し、「対策基準」及び「実施手順」については、学校を想定したものを策定することが求められる。地方公共団体及び教育委員会の長をはじめ、全ての職員、教員、事務職員及び外部委託事業者は、学校関係の業務の遂行に当たっては、学校を対象とした「対策基準」及び「実施手順」を遵守する義務を負う。また、児童生徒においても本ガイドラインに規定した対策について遵守するよう、職員、教員、保護者等が適切に指導を行うことが求められる。
本ガイドラインに基づき策定いただきたいのは「教育情報セキュリティポリシー」を構成する「対策基準」の部分である。リスク分析を含む情報セキュリティ対策の実施サイク
ルや、「基本方針」については、自治体ガイドライン（https://www.soumu.go.jp/main_content/000873096.pdf）を参照されたい。

図表 1

地方公共団体における教育情報セキュリティポリシーに関する体系図8

（３）本ガイドラインの読み方①対象範囲
本ガイドラインでは、情報セキュリティの観点から守る対象として、学校で扱う情報資産（校務系情報、学習系情報）を想定している。情報資産のセキュリティを確保するためには、学校が保有するデータそのもの及びそのデータを生成・保管・流通する媒体（紙、ネットワ
ーク、サーバ、端末等）の両方をセキュリティ侵害から守り、情報漏洩を防止することが必要であり、これら全てが本ガイドラインの対象範囲となる。
なお、学校には行政系ネットワークが敷設され、行政系端末により自治体共通業務（出張処理等）が実施されているが、この取扱いについては首長部局が自治体ガイドライン（https://www.soumu.go.jp/main_content/000873096.pdf）を基に策定した自治体の情報
セキュリティポリシーに準拠すること。
②想定される読者
本ガイドラインの読者は、教育情報セキュリティポリシーの策定の担当者、セキュリティ
上の職責を担う者などを想定している。
なお、本ガイドラインでは第２編 教育情報セキュリティ対策基準（例文・解説）にて対策基準の例をまとめており、基礎的な地方公共団体の中でも数が多い公立小学校及び中学校等の設置者である市の教育委員会を想定して記述している。
③本ガイドラインの構成「第１編 総則」においては、教育情報セキュリティの基本的な考え方を示している。
「第２編 教育情報セキュリティ対策基準（例文・解説）」においては、教育情報セキュリ
ティ対策基準の例文と解説を示している。対策基準の策定にあたっては、各例文を参照しつ
つ、各自治体の実情に応じた対策基準を教育委員会にて策定いただきたい。
なお本ガイドラインに基づき策定いただきたいのは「対策基準」の部分ではあるが、実施手順の策定においても、主に第２編「２. 組織体制」「３. 情報資産の分類と管理方法」「５.
人的セキュリティ」が参考となる。本内容を参考としつつ、各自治体の実情に応じた実施手
順のひな形についても教育委員会にて策定いただき、各学校にはそのひな形を基に各学校の実情に応じた実施手順を策定いただきたい。
「第３編 付録」においては、用語の解説や、次世代の校務 DX に関する内容等を示している。

9（４）本ガイドラインの経緯①「教育情報セキュリティポリシーに関するガイドライン（平成29年10月版）」
学校における情報セキュリティ対策の考え方を整理することを目的として、平成28年9月に、文部科学省において「教育情報セキュリティ対策推進チーム」を設置し、計5回の審議を経て、「教育情報セキュリティポリシーに関するガイドライン」を取りまとめた。
②「教育情報セキュリティポリシーに関するガイドライン（令和元年12月版）」
教育現場における多様な学習環境の実現、教員の働き方改革の実現に対応したシステムが必要であり、それらを実現する手段としてのクラウドは有力な解決策としての認識が広がってきた。また、平成29年のガイドラインの策定・普及により、教育現場においては確実に教職員の情報セキュリティに関する意識が高まった一方、関係者においてガイドライン
記載の具体的対策例を一言一句遵守することが目的化してしまい、教育情報活用の高コス
ト化、硬直化をもたらす懸念が新たに生じた。
これらを踏まえ、クラウドを活用した環境構築に関する内容を追記するとともに、教育委員会はじめ関係者が遵守すべき理念と、あくまで知見のない者が参考例とすべき内容を明確にした「教育情報セキュリティポリシーに関するガイドライン（令和元年 12 月版）」のとおり改訂を行った。
また、Society5.0 時代において社会構造や雇用環境が大きく変化することが考えられており、そのような社会で求められる能力や子供たち自身の多様化を踏まえ、児童生徒の学習の多様化（ICT を活用した自宅学習、個別最適化された学び等）や、その実現に向けた教員の働き方改革（テレワーク等）など、教育現場の改善が喫緊の課題である。それらを改善・実現するための手段としてクラウドは有力な解決策であり、前例にとらわれずクラウド化や組織を超えた広域統合を検討すべき時代である。このことを踏まえ、令和元年 12 月版の改訂において、クラウド化に力点を置き、第 5 章を追加し、その視点でのセキュリティ対策について追記を行った。
（オンプレミス型の環境構築を否定するものではない。）③「教育情報セキュリティポリシーに関するガイドライン（令和 3 年 5 月版）」
GIGA スクール構想に基づく 1 人 1 台端末、1 人 1 アカウント、教育用クラウドサービスの本格活用を進めることによって、一人一人の多様なニーズや特性等に対応した個別最適な学びと協動的な学びを充実させることができる。
GIGA スクール構想の推進により、児童生徒の「1 人 1 台端末」及び「高速大容量の通信環境」を一体とした学校の ICT 環境整備が急速に進んだことから、1 人 1 台端末を活用するために必要なセキュリティ対策やクラウドサービスの活用を前提としたネットワーク構成等の課題に対応するとともに、学習者用端末と指導者用端末から得られる各種教育データを効果的に活用して教育の質的改善を図るため「教育情報セキュリティポリシーに関するガ
イドライン（令和 3 年 5 月版）」の改訂を行った。
10

④「教育情報セキュリティポリシーに関するガイドライン（令和 4 年 3 月版）」
今後の推奨ネットワーク構成として示した「アクセス制御による対策を講じたシステム構成」への円滑な移行を図るため、詳細な技術的対策の追記及び従来の「ネットワーク分離による対策を講じたシステム構成」と今後の「アクセス制御による対策を講じたシステム構成」について、明示的に書き分ける等の一部改訂を行った。なお、本改訂においては令和 3
年 9 月に発足したデジタル庁の協力も得て実施した。
※ 「アクセス制御による対策を講じたシステム構成」については、令和 5 年 3 月に公開した「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」を踏まえつつ、冒頭に「強固な」と追記する文言修正を、後述する令和 6 年 1 月改訂にて行っている。本修正においては、新たな要素技
術の追加は行っていない。
⑤「教育情報セキュリティポリシーに関するガイドライン（令和 6 年 1 月版）」
令和 5 年 3 月に公開した「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（以下、「提言」という。）では、次世代の校務 DX の在り方について示した。次世代の校務 DX とは、「校務系・学習系ネットワークの統合」「校務系システムのクラウド化」「データ連携基盤（ダッシュボード）の創出」により、ロケーションフリーを含む「働き方改革」、「データ連携」、「レジリエンス」の観点から、学校教育環境における課題を解決するものである。
この次世代の校務 DX を実現するに際し、校務系・学習系システムをパブリッククラウド
上で運用しつつ情報セキュリティを確保することがこれまで以上に重要であり、コストとベネフィットを総合的に勘案し検討することが必要である。
そこで令和 6 年 1 月版では、上記提言及び「GIGA スクール構想」「教師を取り巻く環境整
備について緊急的に取り組むべき施策（提言）」にて示されている、教職員の働き方改革や児童生徒の主体的な学びの実現の重要性を踏まえつつ、次世代の校務 DX を踏まえた教育情報セキュリティの考え方について、強固なアクセス制御（注）による対策の考え方に基づく
ネットワーク統合を前提としたパブリッククラウド活用において適切なセキュリティ対策を講じる重要性について、追記を行った。また、自治体ガイドライン、「政府機関等のサイ
バーセキュリティ対策のための統一基準群」（令和 5 年改定）、
「個人情報保護法」（令和 3 年改正）等、現行の関連法令・指針に即するように加筆修正を行うとともに、本ガイドラインの読みやすさ向上に向け、書きぶり等について修正を行った。
（注）本ガイドラインにおける「強固なアクセス制御」とは、「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（https://www.mext.go.jp/content/20230308-mxt_jogai01-000027984_001.pdf)（令和 5 年
3 月 8 日）p.18 にて示されている、インターネットを通信経路とする前提で、内部・外部からの不正アクセスを防御するために、利用者認証（多要素認証）、端末認証、アクセス経路
11

の監視・制御等を組み合わせたセキュリティ対策を指す。

12

第２章 地方公共団体における教育情報セキュリティの考え方
本ガイドラインは、以下の①～⑦を基本理念として、「第２編 教育情報セキュリティ対策
基準（例文・解説）」にて対策基準の例文・解説をまとめている。各教育委員会・学校においては、本ガイドラインを参考にしつつ、学校における情報セキュリティポリシーの策定と運用ルールの見直しを行うことが期待される。
なお、情報セキュリティの確保に絶対安全ということはないことから、情報セキュリティに関する障害・事故及びシステム上の欠陥（以下、「情報セキュリティインシデント」という。
）の未然防止のみならず、情報セキュリティインシデントが発生した場合の拡大防止・
迅速な復旧や再発防止の対策を講じていくことが必要である。
また、情報セキュリティ対策は、個人情報の漏えいリスクを軽減する観点からも重要であり、地方公共団体が自ら進んで情報セキュリティに関する意識・リテラシーを高め、主体的にその対策に取り組むことが求められる。加えて、情報セキュリティ対策は、自然災害時等
における危機管理対策との連携も重要である。
以上のような考え方を踏まえ、情報セキュリティを対策する部署とこれらを担当する部
署は、相互に連携をとって、それぞれの対策に取り組むことが求められる。
①組織体制を確立すること
学校における情報セキュリティ対策の考え方を確立させるためには、情報セキュリティの責任体制を明確にしておく必要がある。
教育情報セキュリティポリシーの実行管理の最終責任を有する最高情報セキュリティ責任者（CISO:Chief information Security Officer）については、本ガイドラインにおいては、情報セキュリティインシデントが発生した際の危機管理等の観点から、自治体ガイ
ドラインと同一の者（副市長等）が担うこととした。教育委員会・学校においては、首長
部局の情報政策担当部局と密に連携し、情報セキュリティ対策を講ずる必要がある。
また、学校は、教員を中心に構成され、教員は、児童生徒の教育を司ることがその職務の中心であることから、学校における情報システムの開発、設定の変更、運用、見直し等の権限や情報セキュリティの遵守に関する教育、訓練等については、基本的に教育委員会
において責任を持つことを明確にした。
②児童生徒による重要性が高い情報へのアクセスリスクへの対応を行うこと
学校においては、コンピュータを活用した学習活動の実施など、児童生徒が日常的に情報システムにアクセスする機会があることに、その特徴がある。
実際、児童生徒による、学校が保有する重要性が高い情報に対する不正アクセス事案も発生している。このため、本来は児童生徒が見ることを想定していない重要性が高い情報
等にアクセスするリスクを回避することが必要である。

13

③標的型及び不特定多数を対象とした攻撃等による脅威への対応を行うこと
学校においては、学校ホームページや教職員によるメールの活用、さらには、学習活動
におけるインターネットの活用等が行われていることから、地方公共団体のいわゆる行政部局と同様に、標的型及び不特定多数を対象とした攻撃等による脅威に対する対策を講ずることが必要となる。
④教育現場の実態を踏まえた情報セキュリティ対策を確立させること
成績処理等を自宅で行うことを目的として、教員が個人情報を自宅に持ち帰る場合がある。一方で、個人情報が記載された電子データを紛失することにより懲戒処分等を受けた
教員は平成27年度で62名（文部科学省「平成27年度公立学校教職員の人事行政状況調査」）も存在することを踏まえ、平成29年のガイドライン策定時に教員が個人情報を外部に持ち出す際のルールについて、考え方を明確にした。
また、児童生徒が活用する情報システムにおいては、児童生徒の扱う情報そのものが個
人情報となる場合があり、これら情報を完全に匿名化することは困難であることから、児童生徒が活用する情報システムであっても重要性が高い情報を保持する場合、暗号化等の対策を講ずることとした。なお、通信経路の暗号化を必須とし、データへの適切なアクセ
ス制限を行った上で、データそのもの及びデータ格納先の暗号化については運用を考慮して対策を講ずることが必要である。
⑤教職員の情報セキュリティに関する意識の醸成を図ること
学校は、成績や生徒指導関連等の重要性が高い情報を取り扱うことから、研修等を通じて、教職員の情報セキュリティに関する意識の醸成を図ることが必要である。
⑥教職員の業務負担軽減及びICTを活用した多様な学習の実現を図ること
情報セキュリティ対策を講じることによって校務事務等の安全性が高まるとともに、教員の業務負担軽減へとつながる運用となるよう配慮する必要がある。
また、学校は、児童生徒が学習する場であることに鑑み、授業においてICTを活用した様々な学習活動に支障が生じることのないよう、配慮する必要がある。
⑦児童生徒の情報セキュリティ・情報モラルに関する意識の醸成を図ること
児童生徒が 1 人 1 台の学習者用端末を活用し学習活動を行うことから、教職員等からの指導を通じて、児童生徒の情報セキュリティ・情報モラルに関する意識の醸成を図ることが必要である。インターネット等の安全な利用や、コミュニケーションツールにおけるモラル習得など、児童生徒を被害者にも加害者にもしないための指導が必要である。

14

第３章 教育現場におけるクラウドの活用について（１）クラウドサービスの活用
近年、急速に進化し発展したクラウドサービスは、社会全体で多方面にわたり利用が増加
し、政府情報システムの整備においても、「デジタル社会の実現に向けた重点計画」（令和 3
年 12 月 24 日閣議決定）の方針も踏まえて、クラウドサービスの利用を第一候補として、その検討を行うものとするクラウド・バイ・デフォルト原則に基づくこととしている。各地方公共団体においてもクラウドの活用を念頭に置いてセキュリティを確保していく必要がある。
そうした社会全体の急速な変化がある中で、児童生徒の 1 人 1 台端末環境が概ね整っているが、教育現場の ICT 環境はクラウドサービスの利用を進める上でまさに過渡期にあると考えられる。本ガイドラインは、従来のオンプレミスを前提とした ICT 環境整備を否定するものではないが、社会全体のデジタル化が大きく促進している中で、学校教育が遅れをとることのないよう、自らが実現したい環境について、コストや学校規模、利便性、運用性等、情報資産の重要性を鑑みながら、クラウドサービスの利用を念頭に置いた学校 ICT 環境の整備に前向きに取り組んでいただきたい。また、併せて各自治体における教育情報セキュリ
ティポリシーの見直しも進めていただきたい。
クラウドサービスは、正しく選択することにより、教育委員会に対して次のようなメリッ
トをもたらす効果が見込める。
①効率性の向上

教育委員会自らがサーバ等を用意する（オンプレミス）ことがなく、初期費用を大幅に抑えられることから、ICT 環境への投資可能額が比較的乏しい小規模の教育委員会においても、導入促進が期待される。
※ ただし、クラウドサービスにおいてはシステム稼働に伴う費用（機器設置環境、人件費等）を含めてのサービス価格設定となるため、従来のオンプレミス環境の保守・運用費への影響も踏まえ、長期的な視点でのコスト比較・検討を行うことが必要。
※ 安定したクラウドサービス利用環境を構築することを目的として、複数年契約を考慮した予算措置等の工夫をすることが求められる。

②セキュリティ水準の向サーバ等の管理を教育委員会・学校が行うのではなく、専門上的な知識を有し、かつ最新の情報に基づく情報セキュリティ対策を随時実施するクラウド事業者に一定程度委ねることができるため、より効率的・効果的に情報セキュリティを担保することが可能となる。
15

③技術革新対応力の向上

学校現場において、現場に適したクラウドサービスを選択し、活用することが可能となってきている。目的に応じて新しい機能や特長を持ったクラウドサービスを使い分けることも可能で、日進月歩で進化する新しいサービスの取り入れが容易である。

④柔軟性向上クラウドサービス利用により、情報システムの導入準備期間が短縮され、途中からのリソース拡張や機能追加が容易であるため、教育委員会・学校では、スモールスタートで利用し、その後の状況に合わせて必要な分の拡張が柔軟に可能である。

⑤可用性・完全性の効率

教育委員会自らがシステムを管理するよりも、より強固な環的確保

境下での情報資産の管理を行うクラウドサービスを利用することで、災害による情報の破損・消失のリスクを低減するな
ど、より効率的に、可用性・完全性を確保することができる。
※ なお、クラウドサービスにおける可用性や完全性の担保はサービス 契約内容や後述する SLA などにより違いがある、そのため実現したい機能や費用などを総合的に検討した上でどのようなサービスを利用するのかを検討する必要がある。

⑥保守・運用稼働の削減

クラウドサービスの利用により、情報システムの保守・運用についての教育委員会・学校負担を軽減することができる。

図表 2 クラウドサービスのメリット
このように、コスト削減に加えて、情報システムの迅速な整備、柔軟なリソースの増減、自動化された運用による高度な信頼性、災害対策、テレワーク環境の実現等に寄与する可能性が大きく、学習環境の多様化、教員の働き方改革の実現等、クラウドは教育現場の改善の手段としても有力な解決策の一つである。
学校における ICT 環境整備を進めるに当たっては、これらの特徴と、教育現場において活用できる資源（費用・人員等）が限られている現状を踏まえ、校務系・学習系を問わず、システム更改時においてはクラウドサービスの利用も有力な選択肢として、検討を進めていくことが重要である。
クラウドサービスの利用に係る検討は、上記のメリットのほか、運用の負荷に関する効率化が未知数であることや、オンプレミス型と比べて初期費用は大幅に低減される一方で、一定の運用費用の負担が継続することなど、その特性を正しく認識することが重要であり、その上で、その対象となるサービス・業務及び取り扱う情報を明確化し、クラウドサービスの16

利用メリットを最大化並びに開発の規模及び経費の最小化の観点により、導入に向けた検討を行うことが望ましい。
また、クラウドサービスの活用に向けては、各自治体の教育情報セキュリティポリシーが、クラウドサービスの活用を前提とした内容となるよう確認・見直しを行った上で、利用しようとするクラウドサービスと、自らのセキュリティポリシーが適合しているかどうかを判断することが重要である。
なお、クラウドサービスの安全性の確認については、情報セキュリティの実態をクラウ
ド利用者が個別に詳細に調査することは困難であることから、第三者による認証やクラウドサービス事業者が提供する監査報告書を利用することが重要であり、クラウドサービスの選定に際しては、求める内容に応じた認証規格等を参考にする仕組みとすることが望ましい。

17

（２）クラウドサービスの定義・分類①クラウドサービスとはクラウドサービスとは、事業者によって定義されたインタフェースを用いた、拡張性、柔軟性を持つ共用可能な物理的又は仮想的なリソースにネットワーク経由でアクセスするモデルを通じて提供され、利用者によって自由にリソースの設定・管理が可能なサービスであって、情報セキュリティに関する十分な条件設定の余地があるものをいう（出典：「政府機関等の対策基準策定のためのガイドライン」（令和 5 年度版）１.３.「統一基準における用語定義」）。
クラウドサービスの利用は、サーバを核とした情報処理機能を自前で構築して使うことから、外部の情報処理能力をサービスとして利用することへの手法の転換と言える。所有から利用への転換により、自前で行う行為がクラウド事業者に委ねる行為に変わる。
②クラウドのサービスモデル
クラウドサービスの例としては、IaaS（Infrastructure as a Service）、PaaS（Platform as a Service）、SaaS（Software as a Service）等がある（出典：「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」）。
IaaS（Infrastructure as a Service）
利用者に、CPU 機能、ストレージ、ネットワークその他の基礎的な情報システムの構築 に係るリソースが提供されるもの。利用者は、そのリソース上に OS や任意機能（情報セキュリティ機能を含む。
）を構築することが可能である。



PaaS（Platform as a Service）
IaaS のサービスに加えて、OS、基本的機能、開発環境や運用管理環境等もサービスとして提供されるもの。利用者は、基本機能等を組み合わせることにより情報システムを構築する。



SaaS（Software as a Service）
利用者に、特定の業務系のアプリケーション、コミュニケーション等の機能、運用管理系の機能、開発系の機能、セキュリティ系の機能等がサービスとして提供されるもの。

IaaS を採用した場合、教育委員会等は、地域ごとの具体的な運用形態、学校数等を踏まえ、IaaS 基盤の上に、OS、ミドルウェア、アプリケーション等を導入して専用システムを構築することが可能である。実際には、情報システムの設計・開発並びに運用及び保守を併せて担う運用事業者を介して IaaS 基盤を活用していく場合が多い。
18

PaaS を採用した場合、教育委員会等は、下位層のサーバ、ネットワークその他のインフラを管理しなくてすむという特徴がある。
SaaS を採用した場合、教職員等及び児童生徒は、インターネット経由でアプリケーショ
ンを利用することとなる。教育委員会等が独自にシステム構築することなく利用可能であるため、最も普及しているモデルと言える。学習系分野では、学習 e ポータル、MEXCBT、デ
ジタル教科書、デジタルドリル、協働学習支援、デジタルコンテンツ配信等各種サービスが提供されている。校務系分野では、校務支援システム、学校ホームページ作成、緊急連絡網
等のサービスが提供されている。
③クラウドの実装モデル
クラウドサービスはその実装の在り方によって、主にパブリッククラウドとプライベー
トクラウドの 2 つに分けられる。（出典：内閣サイバーセキュリティセンター「クラウドを利用したシステム運用に関するガイダンス」（詳細版）)。


パブリッククラウド
クラウドサービスの提供方式のひとつ。CPU、ストレージ、メモリ等のコンピュータリソースの利用率を最適化するために、一般ユーザーや複数の利用者でリソースを共用して実装されるクラウドコンピューティング方式。



プライベートクラウド
クラウドサービスの提供方式のひとつ。クラウド事業者が 1 つの組織に対してク
ラウドサービスを提供するものであり、当該組織外のユーザーは利用することができない、その組織専用に実装されるクラウドコンピューティング方式。

④責任分界点（情報セキュリティ確保の役割分担）
クラウドサービスの選定・契約の主体である教育委員会等（以下、「クラウド利用者」という。
）とクラウド事業者の責任分界点は、クラウドサービスモデルで異なる。全体として、
IaaS⇒PaaS⇒SaaS とクラウドサービスとしての利用レイヤが広くなるに従い、クラウド事
業者側の管理に依拠する範囲が広がることに留意する必要がある。これらの特徴をふまえて、責任分界点を識別し、クラウド利用者側（IaaS/PaaS を、運用事業者を介して利用する
場合には運用事業者と分担する。具体的には調達仕様書等において運用事業者の業務内容を定義することが多い。以下同じ。
）での管理施策について講じる （詳細は「第２編９.２.
SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」に記載）
。

19

図表 3

クラウドサービスモデル毎の責任分界点（出典）内閣サイバーセキュリティセンター「クラウドを利用したシステム運用に関するガ
イダンス」

20

（３）学校現場におけるクラウドサービスの利用
学校現場におけるクラウドサービスの利用形態としては、主に以下の 2 パターンが想定される。
①IaaS・PaaS 型プライベートクラウド利用
校務系システムをインターネット接続する校務外部接続系システムや学習系システムとネットワーク分離して、インターネットからのサイバー脅威の侵入を遮断する場合、IaaS・
PaaS を利用する構成が考えられる。
具体的には、校務支援システムやファイルサーバを構築するうえで、自前でサーバを導入（オンプレミス）ではなく、IaaS・PaaS を利用してサーバ基盤（コンピューティング能力）の提供を受け、その基盤上に SI 事業者がアプリケーションを乗せて校務系システムを構築する形態である。当該モデルは、システム自体がインターネットから遮断される構成とする
ため、通信回線としてプライベート回線を用いる構成（注）となる。
（注）校務系システム、校務外部接続系システム、学習系システムにおいてインターネッ
トアクセスを許容しつつも、アクセス管理や不正アクセス検知を行うことでインターネッ
トからのサイバー脅威の侵入を遮断し、IaaS・PaaS を利用する構成も実装し得る。
この形態で IaaS・PaaS を利用する場合、クラウド事業者と契約するのは SI 事業者となり、自治体は SI 事業者に外部委託する形態となる。このサービス提供形態である場合は、教育委員会は SI 業者と SaaS 事業者として契約し、SI 事業者は SaaS 事業として情報管理責任を負う形態が望ましい。この形態について情報セキュリティ対策基準を検討する場合は、「第２編８. 外部委託」を参照すること。
②SaaS 型パブリッククラウド利用（ア）SaaS 型パブリッククラウドの特性を踏まえた安全なクラウドサービスの選定の必要
性
GIGA スクール構想の推進によって学校現場で活用の進むクラウドサービスは主に SaaS 型
パブリッククラウドサービスに分類される。SaaS 型パブリッククラウドサービスの利用にあたっては、利用者の個別要望に沿ったカスタマイズは原則困難であり、外部委託のように、利用者の要望を反映した個別契約に基づく調達として扱うことは原則難しい特性を持つ。
このような SaaS 型パブリッククラウドの特性を踏まえた安全なクラウドサービスの選定にあたっては、該当クラウドサービスの安全性及びクラウド事業者の信頼性等の確認が必要になるが、原則クラウド事業者の提示するサービス要件、監査報告書等からクラウド利用者がサービス利用の可否を判断することが求められる。詳しくは、「第２編９.１. SaaS 型
パブリッククラウドサービスの利用における情報セキュリティ対策」及び「第２編９.２.
21

SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」を参照すること。
（イ）SaaS型パブリッククラウドを利用する教職員等及び児童生徒側の留意点
SaaS型パブリッククラウドサービスはインターネット接続環境からのアクセスが前提となるため、常にサイバー脅威（ウイルス感染等）に晒されていることに加えて、利用者認証方式に知識認証（ID・パスワード）が多く採用されていることから、利用者認証情報が他者に漏れると、容易に「なりすまし」による不正アクセスが発生する等のリスクが存在することに留意する必要がある。パブリッククラウド上で重要な情報（重要性分類II※以上）を取り扱う際には、多要素認証を含む強固なアクセス制御による対策を講じる必要がある。詳しくは、「第２編９.３. SaaS型パブリッククラウドサービス利用における教職員
等の留意点」を参照すること。また、強固なアクセス制御による情報セキュリティ対策については、「第３編（３）技術的対策に関する考え方」を参照すること。
※「第２編３. 情報資産の分類と管理方法」を参照すること。

22

（４）クラウドサービスの情報セキュリティを把握するための第三者認証等の活用
クラウドサービスの情報セキュリティの実態をクラウド利用者自らが詳細に調査することは困難である場合も多いため、クラウドの利用に関しては、第三者による認証や各クラウ
ドサービス事業者が提供している監査報告書を利用することが重要である。クラウド事業者の選定においては、求める内容に応じた認証規格を参考にすることで、「第２編 ９.１.
SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策/９.２. SaaS 型
パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」に示すクラウド事業者の責務と対策を履行できる能力を持ち、情報セキュリティの確保等が適切に行われていると間接的に判断することが可能である。そのため、第三者認証取得の有無、監査報
告書等からクラウド事業者と提供するクラウドサービスの安全性、信頼性を優先的に確認することを推奨する。
＜認証制度の例＞


ISO/IEC 27001（情報セキュリティマネジメントシステム）



ISO/IEC 27002（情報セキュリティマネジメントシステム）



ISO/IEC 27014（情報セキュリティガバナンス）

ISO/IEC 27017（クラウドサービスの情報セキュリティ）https://isms.jp/isms-cls/lst/ind/index.html

ISO/IEC 27018（クラウドサービスにおける個人情報の取扱い）

米国FedRAMP
https://marketplace.fedramp.gov/#/products?status=Compliant



AICPA SOC2（日本公認会計士協会 IT7 号）



AICPA SOC3（SysTrust/WebTrsuts）（日本公認会計士協会 IT2 号）



JASA クラウドセキュリティ推進協議会CS ゴールドマーク
https://jcispa.jasa.jp/cloud_security/cs_mark/・ ASP・SaaS 安全・信頼性に係る情報開示認定
・ 政府情報システムのためのセキュリティ評価制度（Information system
Security Management and Assessment Program: 通称、ISMAP）

23

第２編 教育情報セキュリティ対策基準（例文・解説）
１. 対象範囲及び用語説明【趣旨】
情報セキュリティポリシーを適用する行政機関等の範囲、情報資産の範囲及び用語を明
確にする。
【例文】
（１）行政機関等の範囲
本対策基準が適用される行政機関等は、内部部局、教育委員会及び学校（小学校、中学校、義務教育学校、高等学校、中等教育学校、特別支援学校を言う。以下同じ。
）とする。
（２）情報資産の範囲
本対策基準が対象とする情報資産は、次のとおりとする。
① 教育ネットワーク、教育情報システム、これらに関する設備、電磁的記録媒体② 教育ネットワーク及び教育情報システムで取り扱う情報（これらを印刷した文書を含む。
）③ 教育情報システムの仕様書及びネットワーク図等のシステム関連文書（３）用語説明
本対策基準における用語は、以下のとおりとする。
用語定義
児童生徒の成績、出欠席及びその理由、健康診断結果、指導要録、教員の個人情報など、学校が保有する情報資産のうち、それら情校務系情報

報を学校・学級の管理運営、学習指導、生徒指導、生活指導等に活用することを想定しており、かつ、当該情報に児童生徒がアクセスすることが想定されていない情報

校 務 外 部 接 続 系 情 校務系情報のうち、保護者メールや学校ホームページ等インター報（公開系情報）

ネット接続を前提とした校務で利用される情報
児童生徒のワークシート、作品など、学校が保有する情報資産の学習系情報

うち、それら情報を学校における教育活動において活用することを想定しており、かつ当該情報に教員及び児童生徒がアクセスすることが想定されている情報

校務用端末

校務系情報にアクセス可能な端末

24

校務外部接続用端末

校務外部接続系情報にアクセス可能な端末

学習者用端末

学習系情報にアクセス可能な端末で、児童生徒が利用する端末

指導者用端末

学習系情報にアクセス可能な端末で、教員のみが利用可能な端末
校務系ネットワーク、校務系サーバ及び校務用端末から構成され校務系システムる校務系情報を取り扱うシステム
及び、校務系情報を扱う上で、適切なアクセス権が設定された領域で利用されるシステム

校務外部接続系シ
ステム

校務外部接続系ネットワーク、メールサーバ、ホームページ運用
サーバ（CMS）及び校務外部接続用端末等から構成される校務外
部接続系情報を取り扱うシステム
学習系ネットワーク、学習系サーバ、学習者用端末及び指導者用

学習系システム

端末から構成される学習系情報を取り扱うシステム
及び、学習系情報を扱う上で、適切なアクセス権が設定された領域で利用されるシステム

教育情報システム
校務系サーバ
校務外部接続系サーバ
学習系サーバ

校務系システム、校務外部接続系システム及び学習系システムを合わせた総称
校務系情報を取り扱うサーバ
校務外部接続系情報を取り扱うサーバ
学習系情報を取り扱うサーバ
図表 4

用語説明

（解説）
（１）行政機関等の範囲
地方公共団体が設置する学校の管理運営に係る事務を担う執行機関及び学校を基本に、情報セキュリティポリシーを適用させる範囲を決定する。
（２）情報資産の範囲
情報セキュリティポリシーの対象とする情報資産の範囲と情報資産の例は図表 5

情報

資産の種類と例のとおりであるが、文書で対象としているのは、教育ネットワーク、教育情報システムで取り扱うデータを印刷した文書及びシステム関連文書である。
25

これら以外の文書は、情報資産に含めていないが、文書管理規程等により適切に管理しなければならない。
文書一般を情報資産に含めなかったのは、従来電子データ等の管理と文書の管理が、一般に異なる部署、制度によって行われてきた経緯、実態を踏まえたものである。しかしながら、情報資産の重要性自体は、電子データ等と文書の場合で異なるものでないことから、情報セキュリティ対策が進んだ段階では、全ての文書を情報セキュリティポリシーの対象範囲に含めることが望ましい。
情報資産の種類
教育ネットワーク

情報資産の例
情報資産を扱う通信回線、ルータ等の通信機
器

教育情報システム

情報資産を扱うサーバ、パソコン、モバイル
端末、汎用機、オペレーティングシステム、
ソフトウェア、クラウドサービス等

これらに関する施設・設備

情報資産を扱うコンピュータ室、通信分岐盤、配電盤、電源ケーブル、通信ケーブル

電磁的記録媒体

情報資産を扱うサーバ装置（クラウドサービ
スを除く）、端末、デジタルカメラ、デジタル
ビデオカメラ、通信回線装置等に内蔵される
内蔵電磁的記録媒体と、USBメモリ、外付けハードディスクドライブ、DVD-R、磁気テープ、
SDカード等の外部電磁的記録媒体

教育ネットワーク及び教育情報シ

教育ネットワーク、教育情報システムで取り

ステムで取り扱う情報

扱うデータ（これらを印刷した文書を含む。
）

教育情報システム関連文書

教育情報システム関連のシステム設計書、プ
ログラム仕様書、オペレーションマニュア
ル、端末管理マニュアル、ネットワーク構成
図、クラウドサービス契約関連文書等

図表 5

情報資産の種類と例

26

２. 組織体制【趣旨】
組織として、情報セキュリティ対策を確実に実施するに当たっては、情報セキュリティ対策に取り組む十分な組織体制を整備し、一元的に情報セキュリティ対策を実施する必要がある。このことから、情報セキュリティ対策のための組織体制、権限及び責任を規定する。
【例文】（１）最高情報セキュリティ責任者（CISO: Chief Information Security Officer、以下「CISO」という。）①

副市長を、CISO とする。CISO は、本市における全ての教育ネットワーク、
教育情報システム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。

②

CISO は、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとして置き、その業務内容を定めるものとする。【推奨事項】（２）統括教育情報セキュリティ責任者①

教育長、副教育長又は教育委員会に所属するCIO補佐官等を、CISO直属の統括
教育情報セキュリティ責任者とする。統括教育情報セキュリティ責任者はCISO
を補佐しなければならない。

②

統括教育情報セキュリティ責任者は、本市の全ての教育ネットワークにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。

③

統括教育情報セキュリティ責任者は、本市の全ての教育ネットワークにおける情報セキュリティ対策に関する権限及び責任を有する。

④

統括教育情報セキュリティ責任者は、教育情報セキュリティ責任者、教育情報
セキュリティ管理者、教育情報システム管理者及び教育情報システム担当者に対して、情報セキュリティに関する指導及び助言を行う権限を有する。

⑤

統括教育情報セキュリティ責任者は、本市の情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に、CISOの指示に従い、CISOが不在の場合には自らの判断に基づき、必要かつ十分な措置を行う
権限及び責任を有する。

⑥

統括教育情報セキュリティ責任者は、本市の共通的な教育ネットワーク、教育
情報システム及び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限及び責任を有する。

⑦

統括教育情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、
CISO、統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育27

情報セキュリティ管理者、教育情報システム管理者、教育情報システム担当者を網羅する連絡体制を含めた緊急連絡網を整備しなければならない。
⑧

統括教育情報セキュリティ責任者は、緊急時にはCISOに早急に報告を行うとともに、回復のための対策を講じなければならない。

（３）教育情報セキュリティ責任者①

教育委員会事務局の情報セキュリティ担当部局（情報システム課等）の課室長
を教育情報セキュリティ責任者とする。

②

教育情報セキュリティ責任者は、本市の教育情報セキュリティ対策に関する統括的な権限及び責任を有する。

③

教育情報セキュリティ責任者は、本市において所有している教育情報システム
における開発、設定の変更、運用、見直し等を行う際の情報セキュリティに関する統括的な権限及び責任を有する。

④

教育情報セキュリティ責任者は、本市において所有している教育情報システム
について、緊急時等における連絡体制の整備、情報セキュリティポリシーの遵守に関する意見の集約及び教職員等（教職員、非常勤教職員及び臨時教職員をいう。以下同じ。）に対する教育、訓練、助言及び指示を行う。

（４）教育情報セキュリティ管理者①

校長を、教育情報セキュリティ管理者とする。

②

教育情報セキュリティ管理者は当該学校の情報セキュリティ対策に関する権
限及び責任を有する。

③

教育情報セキュリティ管理者は、当該学校において、情報資産に対するセキュ
リティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には、教育情報セキュリティ責任者、統括教育情報セキュリティ責任者及びCISO へ速
やかに報告を行い、指示を仰がなければならない。

（５）教育情報システム管理者①

教育委員会の情報システム担当課の課室長を、教育情報システムに関する教育
情報システム管理者とする。

②

教育情報システム管理者は、所管する教育情報システムにおける開発、設定の変更、運用、見直し等を行う権限及び責任を有する。

③

教育情報システム管理者は、所管する教育情報システムにおける情報セキュリ
ティに関する権限及び責任を有する。

④

教育情報システム管理者は、所管する教育情報システムに係る情報セキュリテ
ィ実施手順の維持・管理を行う。
28

（６）教育情報システム担当者①

教育委員会の情報システム担当課の課室職員を、教育情報システムに関する教
育情報システム担当者とする。

②

教育情報システム担当者は、教育情報システム管理者の指示等に従い、教育情報システムの開発、設定の変更、運用、更新等の作業を行う。

（７）情報セキュリティ委員会①

本市の情報セキュリティ対策を統一的に行うため、CISO、CIO、統括教育情報
セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキュリティ管理者及びCISOが別途選任した者から構成される情報セキュリティ委員会を設置し、情報セキュリティポリシー等、情報セキュリティに関する重要な事項を
決定する。

②

情報セキュリティ委員会は、毎年度、本市における情報セキュリティ対策の改善計画を策定し、その実施状況を確認しなければならない。【推奨事項】（８）兼務の禁止①

情報セキュリティ対策の実施において、やむを得ない場合を除き、承認又は許可の申請を行う者とその承認者又は許可者は、同じ者が兼務してはならない。

②

監査を受ける者とその監査を実施する者は、やむを得ない場合を除き、同じ者が兼務してはならない。

（９）情報セキュリティに関する統一的な窓口の設置①

CISO は、情報セキュリティインシデントの統一的な窓口の機能を有する組織を整備し、情報セキュリティインシデントについて部局等より報告を受けた
場合には、その状況を確認し、自らへの報告が行われる体制を整備する。

②

CISO による情報セキュリティ戦略の意思決定が行われた際には、その内容を関係部局等に提供する。

③

情報セキュリティインシデントを認知した場合には、その重要度や影響範囲等を勘案し、報道機関への通知・公表対応を行わなければならない。

④

情報セキュリティに関して、関係機関や他の地方公共団体の情報セキュリティ
に関する統一的な窓口の機能を有する部署、外部の事業者等との情報共有を行う。

29

（１０）教職員等①

臨時的任用教職員、非常勤講師を含めた教職員全員を、教職員等と称する。

②

教職員等は学校が所管する情報資産を取り扱う立場にあり、教育情報セキュリ
ティ管理者の指導の下、情報セキュリティを遵守しなければならない。

（１１）教育委員会事務局職員①

教育ネットワークを利用して、学校が所管する情報にアクセスできる教育委員会事務局職員を指す。

②

教育委員会事務局職員は学校の情報資産にアクセスできる立場にあり、教育情
報セキュリティ責任者の指導の下、情報セキュリティを遵守しなければならない。

（解説）
各地方公共団体においては、図表 6

情報セキュリティ推進の組織体制例のような体制を構築して、情報セキュリティ対策に取り組むことを想定している。
（注１）情報セキュリティ対策を確実に実施するに当たっては、組織体制を整備するとともに、必要な予算、人員などの資源を確保することが重要である。
（注２）情報セキュリティポリシーにおいて、誰がどのような権限及び責任を持っているのかを容易に把握できるよう一覧表で整理しておくと便利である。

図表 6

情報セキュリティ推進の組織体制例（１）最高情報セキュリティ責任者（CISO: Chief Information Security Officer、以下
30

「CISO」という。）
CISO は、地方公共団体における全ての教育ネットワーク、教育情報システム等の情報資産の管理や情報セキュリティに関する権限及び責任を有する。
例文では、CISO が、情報資産の管理や情報セキュリティ対策に関する最終決定権限及び責任を有することとしているが、小規模の地方公共団体などにおいては、情報通信技術の活用による住民の利便性の向上及び行政運営改善等に関するものを統括する最高情報統括責任者（CIO: Chief Information Officer、以下「CIO」という。）との兼務や情報政策担当
部長との兼務など、柔軟な対応が必要となる。
また、適切に情報セキュリティ対策を講じていくに当たっては専門知識を必要とするため、内部の職員のみならず、情報セキュリティに関する外部の専門家を最高情報セキュリティアドバイザー（CISO の補佐）として置くことが望ましい。
（注３）CISO 及びCIO は、副知事、副市長等、庁内を全般的に把握でき、部局間の調整や取りまとめを行うことができる上位の役職者を充てることが望ましい。
（２）統括教育情報セキュリティ責任者
統括教育情報セキュリティ責任者は、地方公共団体の教育ネットワークや教育情報シス
テムの開発、設定の変更、運用、見直し等の権限及び責任を有するほか、情報セキュリティ対策に関する権限及び責任を有する。
CISO が不在の場合には、統括教育情報セキュリティ責任者がその権限をCISO に代わって行使できるよう、権限の委譲についても規定しておく。また、情報セキュリティインシデ
ント発生時等の緊急時には、統括教育情報セキュリティ責任者が中心となり被害の拡大防
止、事態の回復のための対策実施、再発防止策の検討を行う必要がある。
（注４）統括教育情報セキュリティ責任者には、具体的には教育長、副教育長又は教育委員会に所属するCIO補佐官等が考えられる。
（３）教育情報セキュリティ責任者
教育情報セキュリティ責任者は、教育情報セキュリティ対策に関する権限及び責任を有する。
（注５）教育情報セキュリティ責任者には、教育委員会事務局の情報セキュリティ担
当部局（情報システム課等）の課室長を充てることが想定される。
（４）教育情報セキュリティ管理者
教育情報セキュリティ管理者は、学校の情報セキュリティ対策に関する権限及び責任を有する。
教育情報セキュリティ管理者は、システムの利用現場の担当者であり、学校において、情報資産に対するセキュリティ侵害又はセキュリティ侵害のおそれがある状況に直面する可31

能性が高い。そのため、このような場合を想定し、教育情報セキュリティ責任者、統括教育
情報セキュリティ責任者及びCISO に対する報告義務を定める。
（注６）教育情報セキュリティ管理者には、校長を充てることが想定される。
（５）教育情報システム管理者
教育情報システム管理者は、個々の教育情報システムに関する権限及び責任を有する。教育情報システム管理者は、個々の教育情報システムの開発、設定の変更、運用、見直し等の権限及び責任を有するほか、所管する教育情報システムに対する情報セキュリティ対策に関する権限及び責任を負う。
個々の教育情報システムに関する情報セキュリティ実施手順の維持・管理は、教育情報シ
ステム管理者が行う。
（注７）教育情報システム管理者には、教育委員会の情報システム担当課の課室長等を充てることが想定される。
（注８）教育情報システムの導入・管理・運用は、原則として教育委員会が責任を持って担う。なお、学校が独自に教育情報システムの導入・管理・運用を行う場合
は、当該教育情報システムの管理体制が確立している場合に限る。
（６）教育情報システム担当者
教育情報システム担当者とは、教育情報システム管理者の指示等に従う職員等で、開発、設定の変更、運用、見直し等の作業を行う。
（注９）実際の運用にあたっては、教育委員会の情報システム担当課の指示に従い、学校における教育情報システムの導入・管理・運用等を補助する者が不可欠となる。このため、校長は、校務分掌として、「学校教育情報セキュリティ・シス
テム担当」を置くこととする。
（注１０）教育情報システムの導入・管理・運用等にあたり専門的な知識・技術を有する者が必要になる点や、情報システム担当課の課室職員の業務負担軽減を目的として、外部委託先の運用員やICT支援員等の外部人材に業務を委託する方法もある。
（７）情報セキュリティ委員会
情報セキュリティに関する重要事項を決定する機関として、情報セキュリティ委員会を設置する。情報セキュリティ委員会は、リスク情報の共有、情報セキュリティポリシーの決
定等、情報セキュリティに関する重要な事項を決定する。
（注１１）情報セキュリティ委員会の構成員は、CISO、CIO、統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキュリティ管理者、教育情報システム管理者、情報セキュリティに精通した外部の有識者等が想定され、定32

期的及び必要に応じてCISO が構成員を招集し、開催する。
（注１２）小規模の地方公共団体等においては、情報化推進委員会が情報セキュリティ委員会を兼ねるなど、地方公共団体の実情に応じた柔軟な運営が必要である。
（注１３）情報セキュリティに関する意思決定機関として情報セキュリティ委員会以外に庁議や幹部会議等を位置付けることも可能である。
（８）兼務の禁止
情報セキュリティ対策に係る組織において、申請者と承認者が同一であることや監査人と被監査部門の者が同一である場合は、承認や監査の客観性が担保されないため、兼務の禁止を定める。
「やむを得ない場合」とは、例えば、統括教育情報セキュリティ責任者のみに認められた承認について、統括教育情報セキュリティ責任者が申請する場合や小規模団体で代替する者がいない場合などをいう。
（９）情報セキュリティに関する統一的な窓口（「庁内のCSIRT（Computer Security Incident
Response Team）」 以下、「庁内のCSIRT」という。）の設置
情報システムに対するサイバー攻撃等の情報セキュリティインシデントが発生した際に、情報セキュリティインシデントのとりまとめ、CISO・CIO への報告、報道機関等への通知・
公表、関係機関との情報共有など、情報セキュリティインシデントに関するコミュニケーシ
ョンの核となる体制を危機管理等の既存の枠組み等を活用するなどして構築する必要がある。
また、地方公共団体情報システム機構（自治体CEPTOAR）等の関係機関や他の地方公共団
体の同様の窓口機能、外部の事業者等と連携して体制を強化することが求められる。
（注１４）一般的に情報システムに対するサイバー攻撃等の情報セキュリティインシデ
ントが発生した際に、発生した情報セキュリティインシデントを正確に把握・分析し、被害拡大防止、復旧、再発防止等を迅速かつ的確に行うことを可能とするための機能を有する体制はCSIRT と呼ばれている。
CSIRT の持つ機能や在り方は組織によって様々であるが、まずは、地方公共団
体においては情報セキュリティに関する統一的な窓口の機能を有する体制を整えることが重要である。
（注１５）学校で発生する情報セキュリティインシデントの重要度や影響範囲等を勘案するには、教育委員会の関与が不可欠であり、また、学校からの相談窓口を設け情報共有を行うことが効果的と考えられることから、首長部局のCSIRTと連携することを前提として、教育委員会に学校における情報セキュリティインシ
デントに関するコミュニケーションの核となる体制を構築していくことが望まれる。
33

（１０）教職員等
教職員等は、教育情報セキュリティ管理者の指導の下、情報セキュリティを遵守しなければならない。
（１１）教育委員会事務局職員
教育委員会事務局職員は、教職員等のように学校で取り扱う情報について直接取り扱う
立場にはないが、情報にアクセスできることから、教育情報セキュリティ責任者の指導の下、情報セキュリティを遵守しなければならない。

34

３. 情報資産の分類と管理方法
３.１. 情報資産の分類【趣旨】
情報資産を保護するに当たっては、まず情報資産を分類し、分類に応じた管理体制を定める必要がある。そのためには、学校に存在する情報資産を帳票類単位でその重要性に応じて分類・仕分けすることが情報セキュリティを管理するうえでの前提となる。情報資産を分類できていない場合は、情報資産の管理方法が曖昧になり、情報の漏えい、紛失等の被害が生じるおそれがある。
【例文】（１）情報資産の分類
本市における情報資産は、機密性、完全性及び可用性の3つの観点から影響度を評価
し、次のとおり4段階の重要性分類を行い、必要に応じて取扱制限を行うものとする。
重要性分類
Ⅰ セキュリティ侵害が教職員又は児童生徒の生命、財産、プライバシー等へ重大な影響を及ぼす。
Ⅱ セキュリティ侵害が学校事務及び教育活動の実施に重大な影響を及ぼす。
Ⅲ セキュリティ侵害が学校事務及び教育活動の実施に軽微な影響を及ぼす。
Ⅳ 影響をほとんど及ぼさない。

35

情報資産の分類
重要性
定義
分類

Ⅰ

Ⅱ

情報資産の例示
校務系○学籍関係
・卒業証書授与台帳
・転退学受付（整理）簿・転入学受付（整理）簿・就学児童・生徒異動報告書
・休学・退学願等受付（整理）簿・教科用図書給付児童・生徒名簿
・要・準要保護児童・生徒認定台帳
・その他校内就学援助関係書類○児童・生徒に関する個人情報（生活歴、⼼⾝の状況、財産状況等の情報、電話番
号、メールアドレス、住所、生年⽉⽇、性別等の基
本情報を含むもの）

○成績関係
・通知表
・評定⼀覧表・進級・卒業認定資料
・定期考査・テスト等の答案用紙（児童・生徒が記入済のもの）
・定期考査素点表
・成績に関する個票等○健康関係
・健康診断票・⻭の検査表・⼼臓管理等医療情報
・学校生活管理指導票
・児童・生徒等健康調査票
・児童・生徒の健康保険等被保険者証の写・健康診断に関する表簿・就学時健康診断票○指導関係・事故報告書・記録簿
セキュリティ侵害が学校事 ・生徒指導・特別指導等記録簿
務及び教育活動の実施に ・児童・生徒等の個人写真・集合写真
重大な影響を及ぼす。 ・指導記録・指導カード（児童・生徒等理解カード）
・教育相談・⾯接の記録・カード等
・個別の教育⽀援計画（学校生活⽀援シート）
・個別指導計画
・家庭訪問記録・個別⾯談記録
・教務⼿帳
・週ごとの指導計画（個人情報が含まれるもの）
○進路関係
・調査書
・推薦書
・公立⾼校入学者選抜に係る成績⼀覧表
・入学者選抜に関する表簿（願書等）
・私立⾼校入試に係る事前相談資料
・卒業生進路先⼀覧等
・進路希望調査
・進路判定会議資料
・進路指導記録簿

Ⅲ

Ⅳ

学習系

公開系

・指導要録原本
セキュリティ侵害が教職員
・教職員の人事情報
又は児童生徒の生命、財・入学者選抜問題
産、プライバシー等へ重大・教育情報システム仕様書な影響を及ぼす。

○児童生徒の氏名
・出席簿
・名列表
・座席表
セキュリティ侵害が学校事
・児童生徒委員会名簿
務及び教育活動の実施に軽微な影響を及ぼす。

○児童生徒の学習系情報・学習システムログインID/PW管理台帳
・学習用端末ID/PW管理台帳○学校教職員に関する個人情報（病歴、⼼⾝の状況、収入等の情報、電話番号、メール
アドレス、住所、生年⽉⽇、性別等の基本情報を含むもの）○教職員に割り当てた機密性の⾼い情報・情報システムログインID/PW管理台帳
・情報端末ログインID/PW管理台帳○その他
・給⾷関係書類・寄宿関係資料○名簿等
・児童生徒名簿・保護者緊急連絡網
・児童生徒の住所録
・PTA会員名簿
・職員緊急連絡網・職員住所録
・委員会名簿・PTA役員連絡網〇各種帳票ファイル
・指導要録作成システム等、データの入っていない帳票○学校運営関係
・卒業アルバム
・学校行事等の児童・生徒の写真○学校運営関係
・授業用教材・教材研究資料
・生徒用配布プリント○児童生徒の学習系情報
・児童生徒の学習記録（確認テスト、ワークシート、レポート、作品等）
・学習活動の記録（動画・写真等）○学校運営関係
・学校・学園要覧
・学校紹介パンフレット
・使用教科書⼀覧
・教育課程編成表
・学校設定科目の届け出・特色紹介冊子原稿
・学校徴収⾦会計簿（学年費、教育振興費等）
・学校行事実施計画（避難訓練・体育祭実施計画等）
・保護者等への配布⽂書⽂例・各種届雛形・校務分掌表
・ＰＴＡ資料・学園・学校・学年・学級だより・学校・学園ホームページ掲載情報
・学校行事のしおり

影響をほとんど及ぼさない。

○学校活動の記録※ 保護者の承諾がある場合、以下は公開可能
・学校行事等の児童・生徒の写真・学習活動の記録（動画・写真・作品等）

図表 7

重要性分類に基づく情報資産の例示※ 図表 7 重要性分類に基づく情報資産の例示は、情報資産の分類を検討する際のイ
メージ・参考である。
以下の注釈も踏まえつつ、各自治体・学校が実現したい環境と情報セキュリティのバランスを考慮し、柔軟に対応することが必要である 。
（注１）児童生徒の氏名、性別、学年等の属性情報を、生活歴、心身の状況、電話番
号等といった情報と束ねたリスト等については、上記のとおり重要性分類36

Ⅱとして扱うことが望ましい一方で、児童生徒が学習活動を通して生み出す学習系情報の中にも、氏名、性別、学年といった属性情報を置くことは自然なことであり、様々な学習系ツールの利用場面も含めて、これらの属性情報について学習系システムの中において扱うことを一義的に禁止するものではない。前述のとおり、活用場面等に応じて、実態に即した形で運用すること。
（注２）児童生徒の学習記録等についても、児童生徒自身が振り返りとして活用することも想定される。その活用が児童生徒にとって有益となる場合であって、自身の情報に対しては当該児童生徒以外からの不要なアクセスを防ぐ環境を構築する等の配慮をした上で、学習系システムにおいて運用することなども考えられる。なお、それらの情報をクラウド事業者が、利用者の同意なく無断使用（目的外利用（無断解析等）、第三者への提供等）しないよ
う留意すること。
（注３）ログイン ID/PW 自体は情報資産として取り扱うものではないが、ログイン
ID/PW を束ねた管理台帳については重要性分類Ⅱ以上として扱うことが必要。

（解説）（１）情報資産の分類
情報資産について、機密性、完全性及び可用性を踏まえ、被害を受けた場合に想定される影響の大きさをもとに分類を行い、必要に応じて取扱制限を定める必要がある。
本来情報資産の分類の考え方とは、外部漏えいの影響（機密性）、情報の改ざんの影響（完全性）、情報が使えなくなる影響（可用性）の3次元での影響を考慮して、その影響度合いに応じて分類・仕分けを行うべきである。
一方で、学校教育においては、膨大な量の校務系情報が存在し、ひとつひとつの帳票類について3次元の影響を加味した分類・仕分けを行うことは現実的ではない。そのため、3次元を1次元に単純化した重要性分類によって、分類・仕分けをすることを推奨したい。
重要性分類とは、当該情報資産のセキュリティ侵害による影響（被害）の大きさによって分類する考え方である。重要な情報とは、万が一セキュリティ侵害が発生した場合により大きな影響（被害）を受けることを意味し、4段階で定義している。分類・仕分けにおいては、各分類の定義に留意しつつ実施されたい。
以下に各分類の位置づけと枠組みについて解説する。

37



重要性分類Ⅰ：
個人アカウント情報、人事情報など、個人の生命・財産に関わるような機密情報を指す。業務に係る特定の教職員のみがアクセスできる情報である。



重要性分類Ⅱ：
児童生徒のプライバシー性の高い機微情報（成績、健康関連、家族構成、生徒指導履歴等）や学校運営に係る校務系情報のなかで機密性の高い情報が相当する。
業務に係る教職員のみがアクセスできる情報である。



重要性分類Ⅲ：
児童生徒が学習活動で生成する学習系情報や、職員会議資料のような教職員全員が共有できる校務系情報を指す。
児童生徒の家庭学習や教職員が共有可能な校務系情報であるため、学校内外からのアクセスを許容する。



重要性分類Ⅳ：
上記以外の情報であり、万が一セキュリティ侵害が発生しても、ほとんど影響を無視できる情報である。

（注１）公開系情報は機密性を有しないが、改ざんされて困る情報については、その影響度により重要性分類Ⅲ相当と位置付けることが望ましい。
なお情報資産の分類について、機密性、完全性及び可用性に基づく分類基準及び該当する情報資産のイメージは下記のとおりである。
分類
機密性 3

機密性 2B

分類基準

該当する情報資産のイメージ

学校で取り扱う情報資産のう

特定の教職員のみが知り得る状態を

ち、秘密文書に相当する機密性確保する必要のある情報で秘密文書を要する情報資産に相当するもの

学校で取り扱う情報資産のう

教職員のみが知り得る状態を確保す

ち、秘密文書に相当する機密性る必要がある情報資産（教職員のうは要しないが、直ちに一般に公ち特定の教職員のみが知り得る状態

表することを前提としていないを確保する必要があるものを含む）

情報資産

機密性 2A

学校で取り扱う情報資産のう

教職員及び児童生徒同士のみが知り

ち、直ちに一般に公表すること得る状態を確保する必要がある情報を前提としていないが、児童生

資産（教職員及び児童生徒のうち特徒がアクセスすることを想定し定の教職員及び児童生徒のみが知りている情報資産38

得る状態を確保する必要があるものを含む）

機密性 2A、機密性 2B 又は機密公表されている情報資産又は公表す性 3 の情報資産以外の情報資産ることを前提として作成された情報

機密性 1

資産（教職員及び児童生徒以外の者が知り得ても支障がないと認められるものを含む）
図表 8

分類

完全性 2B

機密性による情報資産の分類

分類基準該当する情報のイメージ

学校で取り扱う情報資産のう情報が正確・完全な状態である必要

ち、改ざん、誤びゅう又は破損があり、破壊、改ざん、破損又は第により、学校関係者の権利が侵三者による削除等の事故があった場害される又は学校事務及び教育

合、業務の遂行に支障ある情報活動の的確な遂行に支障（軽微なものを除く）を及ぼすおそれがある情報資産完全性 2A

学校で取り扱う情報資産のう情報が正確・完全な状態である必要

ち、改ざん、誤びゅう又は破損があり、破壊、改ざん、破損又は第により、学校関係者の権利が侵三者による削除等の事故があった場害される又は学校事務及び教育

合、業務の遂行に軽微な支障ある情活動の的確な遂行に軽微な支障

報を及ぼすおそれがある情報資産
完全性 1

完全性 2A 又は完全性 2B の情報事故があった場合でも業務の遂行に資産以外の情報資産

支障がない情報

図表 9
分類完全性による情報資産の分類

分類基準該当する情報のイメージ

39可用性 2B

学校で取り扱う情報資産のう

必要な時にいつでも利用できる必要

ち、滅失、紛失又は当該情報資があり、情報システムの障害等によ産が利用不可能であることによる滅失紛失や、情報システムの停止

り、学校関係者の権利が侵害さ等があった場合、業務の安定的な遂れる又は学校事務及び教育活動

行に支障がある情報の安定的な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報資産可用性 2A

学校で取り扱う情報資産のう

必要な時にいつでも利用できる必要

ち、滅失、紛失又は当該情報資があり、情報システムの障害等によ産が利用不可能であることによる滅失紛失や、情報システムの停止

り、学校関係者の権利が侵害さ等があった場合、業務の安定的な遂れる又は学校事務及び教育活動

行に軽微な支障がある情報の安定的な遂行に軽微な支障を及ぼすおそれがある情報資産
可用性 1

可用性 2A 又は可用性 2B の情報

滅失、紛失や情報システムの停止等

資産以外の情報資産があっても業務の遂行に支障がない
情報

図表 10

可用性による情報資産の分類

３.２. 情報資産の管理【趣旨】
第２編３.１. 情報資産の分類で定めた情報資産の分類に応じた取扱いを定めた上で、情報資産の管理責任を明確にし、情報資産のライフサイクルに応じて取るべき管理方法を
規定する。
【例文】
（１）管理責任① CISOまたは統括教育情報セキュリティ責任者は、教育情報システムとその運用管理を定めた学校教育情報セキュリティ対策基準を策定しなければならない。
② 統括教育情報セキュリティ責任者は、学校教育情報セキュリティ対策基準に基づき、学校現場での情報セキュリティ運用管理に関する実施手順ひな形を作成しなければならない。
③ 統括教育情報セキュリティ責任者は、学校で標準的に所管する情報資産について、分類を定義した標準情報資産台帳（以下「標準台帳」という。）を作成
し、適宜更新しなければならない。
40

④ 教育情報セキュリティ管理者は、実施手順ひな形に基づき、自校の実施手順を作成しなければならない。
⑤ 教育情報セキュリティ管理者は、標準情報資産台帳に基づき、自校で所管する情報資産を確認し、不足内容を補完した自校向け情報資産台帳（以下「台帳」という。）を整備しなければならない。
⑥ 教育情報セキュリティ管理者は、自校の所管する情報資産について管理責任を有する。
⑦ 教育情報セキュリティ管理者は、教職員等の情報資産の取扱いに際し、台帳及び実施手順に基づいた運用管理を指導しなければならない。
⑧ 教職員等は、台帳及び実施手順に基づき、適切に情報資産を取り扱わなければならない。
（２）情報資産の取扱い① 情報資産の分類の表示
教職員等は、情報資産について、その分類を表示し、必要に応じて取扱制限についても明示する等適切な管理を行わなければならない。
※情報資産の分類の表示先ファイル（ファイル名、ファイルの属性（プロパティ）、ヘッダー・フッター等）、格納する電磁的記録媒体のラベル、文書の隅等② 情報の作成(ア)教職員等は、業務上必要のない情報を作成してはならない。
(イ)情報を作成する教職員等は、情報の作成時に３．１の分類に基づき、当該情報の分類を定め、分類に準拠した取扱いを行わなければならない。
(ウ)情報を作成する教職員等は、作成途上の情報についても、取扱いを許可されていない者の閲覧や紛失・流出等を防止しなければならない。また、情報の作成途上で不要になった場合は、当該情報を消去しなければならない。
③ 情報資産の入手(ア)本市教職員等が作成した情報資産を入手した教職員等は、入手元の情報資産の分類に基づいた取扱いをしなければならない。
(イ)本市教職員等以外の者が作成した情報資産を入手した教職員等は、３．１の分類に基づき、当該情報の分類を定め、分類に準拠した取扱いを行わなければならない。
(ウ)情報資産を入手した教職員等は、その情報資産の分類が不明な場合、教育
情報セキュリティ管理者に判断を仰がなければならない。
④ 情報資産の利用
41

(ア)情報資産を利用する教職員等は、業務以外の目的に情報資産を利用してはならない。
(イ)情報資産を利用する教職員等は、情報資産の分類に応じ、適切な取扱いをしなければならない。
(ウ)情報資産を利用する教職員等は、電磁的記録媒体または保存されている領域（フォルダやサーバ）に情報資産の分類が異なる情報が複数記録されている場合、最高度の分類に従って、当該電磁的記録媒体または保存されている領域を取り扱わなければならない。
（３）情報資産の保管① 教育情報セキュリティ管理者又は教育情報システム管理者の措置事項(ア)教育情報セキュリティ管理者は、資産台帳に従って、情報資産の保管先を定め、教職員等に周知しなければならない。
(イ)教育情報セキュリティ管理者又は教育情報システム管理者は、情報資産を記録したUSBメモリ等の外部電磁的記録媒体を保管する場合は、外部電磁的記録媒体への書込禁止の措置を講じなければならない。
(ウ)教育情報セキュリティ管理者又は教育情報システム管理者は、情報システ
ムのバックアップで取得したデータを記録する電磁的記録媒体を保管する
場合は、自然災害を被る可能性が低い地域に保管しなければならない。なお、クラウドサービスを利用する場合はサービスの機能として自然災害対策がなされていることを確認すること。【推奨事項】(エ)教育情報セキュリティ管理者又は教育情報システム管理者は、重要性分類
Ⅲ以上の情報を記録した電磁的記録媒体を保管する場合、耐火、耐震、耐熱、耐水及び耐湿を講じた施錠可能な場所に保管しなければならない。
② 教職員等の遵守事項(ア)教職員等は、教育情報セキュリティ管理者が指定した保管先にのみ情報資産を保管しなければならない。
(イ)教職員等は、児童生徒が生成する学習系情報の保管先について児童生徒に指示し、それ以外の場所に保管しないよう指導しなければならない。
（４）情報資産の外部持ち出し① 分類に応じた情報資産の外部持ち出し制限(ア)教職員等は、重要性分類Ⅱ以上の情報資産を外部持ち出しする場合は、限定されたアクセスの措置設定（アクセス制限や暗号化）を行い、教育情報
セキュリティ管理者の個別許可を得なければならない。また、持ち出し持
ち帰りの記録をつけなければならない。なお、外部持ち出しツールに限定42

されたアクセスの措置設定（アクセス制限や暗号化）機能を有する場合には、有効にしなければならない。
(イ)重要性分類Ⅲの情報資産については、教職員等の外部持ち出しについて、
教育情報セキュリティ管理者の判断で包括的許可を可とする。なお、外部持ち出しツールに限定されたアクセスの措置設定（アクセス制限や暗号化）機能を有する場合には、有効にしなければならない。
② 電子メール、外部ストレージサービスによる情報の送信
情報資産が組織内部（組織が利用するサーバやクラウドサービス等）から組織
外部（家庭や地域、事業者等）に電子メール等により外部送信される場合は、情報資産分類に応じ以下を実施しなければならない。
(ア)電子メール、外部ストレージサービスにより重要性分類Ⅲ以上の情報を外部送信する者は、限定されたアクセスの措置設定（アクセス制限や暗号化）を行わなければならない。
(イ)利用する電子メール、外部ストレージサービスは教育委員会又は学校から提供される公式サービスのみを利用し、私的に契約したサービスを利用してはならない。
③ 外部電磁的記録媒体を用いた情報の外部持ち出し
USBメモリ等の物理的な媒体による情報の外部持ち出しでは、紛失・盗難リス
クを伴うことから以下を遵守しなければならない。
(ア)管理された外部電磁的記録媒体以外の使用禁止
教育委員会又は学校から支給された公的な媒体のみを利用すること。
(イ)外部電磁的記録媒体の暗号化の徹底
暗号化機能つきの媒体を利用し、暗号化機能を活かすこと。【推奨事項】④ FAXによる情報の送信
FAXによる情報の送信は、限定されたアクセスの措置（アクセス制限や暗号化）が不可能であること、誤送信のリスクがあることに鑑み、送信相手がFAX
受信を指定してきた場合にのみ利用することが望ましい。
⑤ 情報資産の運搬(ア)車両等により重要性分類Ⅲ以上の情報資産を運搬する場合は、必要に応じ暗号化又はパスワードの設定を行う等の安全管理措置を講じ、宛名・差出名を明記して、厳重に封印しなければならない。
(イ)重要性分類Ⅲ以上の情報資産を運搬する教職員等は、教育情報セキュリティ管理者に許可を得なければならない。
⑥ 情報資産の公表(ア)教育情報セキュリティ管理者は、公開する情報が正しい内容であることを事前に確認し、誤公開を防がなければならない。
43

(イ)教育情報セキュリティ管理者は、住民に公開する情報資産について、改ざんや消去されないように定期的に確認しなければならない。
（５）情報資産の廃棄① 情報資産を廃棄する教職員は、重要性分類Ⅲ以上の情報が記載された紙媒体の書類を廃棄する場合には、内容が復元できないように細断、熔解またはこれに準ずる方法にて廃棄しなければならない。
② 情報を記録している電磁的記録媒体を利用しなくなった場合、情報を復元できないように処置した上で廃棄しなければならない。
③ 情報資産の廃棄・リース返却を行う教職員等は、教育情報セキュリティ管理者の許可を得て、行った処理について、日時、担当者及び処理内容を記録しなけ
ればならない。
④ 業者に廃棄委託する場合、廃棄する情報資産を業者が引き取る際、教職員等が立ち会わなければならない。
（解説）
情報資産は分類毎に管理体系が規定される。重要性の高い情報は、より厳重に管理されるべきであることは言うまでもない。以下に重要性分類毎に大枠の管理体系を示す。


重要性分類Ⅰ：
業務に係る特定の教職員のみがアクセスできる機密情報であることから、外部に対して厳秘であり、情報漏えいや改ざん等のセキュリティ侵害を起こさないための厳重な管理が求められる。アクセスを許可された教職員が該当情報資産を不正に外部持ち出しできない管理が求められ、かつ悪意のある関係者のなりすまし行為を避けるために業務端末に多要素認証を施すなどの安全管理措置が必要になる。悪意のある他者による不正アクセス（サイバー攻撃）に対しては、取り扱う教育情報システムをインターネット接続系システ
ムからネットワーク分離する形や強固なアクセス制御（注）による対策を講じる形によって、利用者認証、端末認証、アクセス経路の徹底的な監視制御を応じる形での安全管理措置が必要になる。
（注）本ガイドラインにおける「強固なアクセス制御」とは、「GIGA スクー
ル構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（令和 5 年 3 月 8 日）（https://www.mext.go.jp/content/20230308-mxt_jogai01000027984_001.pdf) p.18 にて示されている、インターネットを通信経路と44

する前提で、内部・外部からの不正アクセスを防御するために、利用者認証（多要素認証）、端末認証、アクセス経路の監視・制御等を組み合わせたセ
キュリティ対策を指す。


重要性分類Ⅱ：
児童生徒のプライバシー性の高い機微情報（成績、健康関連、家族構成、生徒指導履歴等）や学校運営に係る校務系情報のなかで機密性の高い情報が相当し、業務に係る教職員のみがアクセスできる情報である。管理の考え方は重要
性分類Ⅰに準じるが、業務上外部に持ち出す機会もあるため、持ち出す教職員に対して、個別許可が必要になる。



重要性分類Ⅲ：
児童生徒が学習活動で生成する学習系情報や、職員会議資料のような教職員
全員が共有できる校務系情報を指す。児童生徒の家庭学習など学校内外からのアクセスを許容するものであり、情報の保菅はパブリッククラウドサービ
スが前提になる。
学習系情報は個人情報を含む可能性があるため、個人情報保護法に従う必要があり、重要性分類Ⅲについても重要性分類Ⅰ、Ⅱと同様に、学校での個人情報の安全管理義務を負うことに留意が必要である。また、校務系情報とは児童生徒がアクセスすることを前提としていない定義であるため、同じ重要性分類Ⅲであっても校務系情報と学習系情報は管理を分ける必要性がある。たとえば、学習系クラウドサービスのなかで、校務系情報を混在保管する場合は、児童生徒による当該校務系情報へのアクセスや教員による誤表示のリスクがあることに留意いただきたい。この場合は、校務系用途と学習系用途で教員ア
カウントを分ける等の措置を推奨する。



重要性分類Ⅳ：
上記以外の情報であり、万が一セキュリティ侵害が発生しても、ほとんど影響を無視できる情報であり、特段の利用制限等はないため、業務上管理し易い場
所に保管管理いただきたい。

以上、広義の管理体系について記載したが、広義の管理体系とは、教職員の情報の取り扱い管理を超えて、物理的・技術的セキュリティ等の個別対策に広がるものである。
本項では、教職員が情報資産を作成、入手、利用、保管、送信、搬送、公表、廃棄等の一連のライフサイクルに着目して各行程における取り扱いについて規定している。
（１）管理責任45

情報資産の管理は、その情報資産に係る実務に精通している者が行う必要があり、本ガイドラインでは、情報資産の管理責任者を教育情報セキュリティ管理者（校長等）と想定している。
（注１）管理に当たっては、重要な情報資産について台帳を整備することが望ましい。これにより、情報資産の所在、情報資産の分類、管理責任が明確になる。また、情報資産の管理について、管理不在の状態や二重管理にならない
ように留意することが重要である。
（２）情報資産の取扱い
情報資産の取扱いについて遵守すべき事項は、情報のライフサイクルに着目し定める。
情報のライフサイクルには、作成、入手、利用、保管、送信、運搬、提供、公表、廃棄等の局面がある。これらの局面ごとに、情報資産の分類に応じ取扱制限を定める（図表 11
情報資産の取扱例参照）。
また、情報のライフサイクルの局面、情報資産の分類及び分類に応じた取扱制限については、定期的又は必要に応じて見直すことが重要である。
なお、教育委員会外の第三者が提供するアプリケーション・コンテンツ（例えば、学校が独自に導入するネットワーク型の視聴覚コンテンツ）に関する情報を告知する場合は、
アプリケーション・コンテンツのリンク先のURLやドメイン名の有効性や管理する組織名
等の必要情報を明記するなどの対策を講じることが必要である。
（注２）情報資産の分類に応じて、利用する情報システムを規定等により明記し、当該情報システムを利用する全ての者に周知する方法もある。
（注３）機密性2A以上、完全性2A以上、可用性2A以上の情報資産についてのみ表示を行い、表示のない情報資産は、機密性1、完全性1、可用性1とする運用もある。
（注４）情報資産の共有とは、保護者等に情報を共有すること（保護者メールを使って、学校から関係する保護者に対して、学校からのお知らせを送付する等）、情報資産の公表とは、学校外の不特定多数の人に情報を提供することを指す。
（注５）データの消去及び機器の廃棄については、「第２編４.１. サーバ等の管理（７）機器の廃棄等」を参照し、データ消去が確実に行われるよう留意すること。

46

図表 11

情報資産の取扱例*：組織外部への持ち出しとは、教育委員会・学校が構築・管理している環境（本ガイド
ラインが適用されているクラウドサービスや学校外での利用が認められている情報端末
等を含む環境）の外に情報資産を持ち出すことを示す。
**：情報の組織外部への送信とは、情報システムを構成するネットワーク、端末、サーバの閉じた領域の外側に、情報資産をオンラインで持ち出すことを示す。
***：情報資産の運搬とは、USB メモリやハードディスク等の外部電磁的記録媒体を介して情報資産を運搬する場合を示す。
****:組織外部での情報処理とは、教育委員会・学校が構築・管理している環境（本ガイドラインが適用されているクラウドサービスや学校外での利用が認められている情報端末等を含む環境）の外において情報資産を管理・電算処理することを示す。
*****：限定されたアクセスの措置とは、適切かつ限定的な利用を前提とし、外部に送信される際に適切なアクセス制限を講じることを指す。

47

４. 物理的セキュリティ
本項においては、特にサーバ及び管理区域に関する部分の取扱いについては、オンプレ
ミスの場合と民間事業者のデータセンターを利用する外部委託の両方を想定している。な
お、IaaS,PaaS型クラウドを利用してコンピューティングリソースを調達して、教育情報システムを構築・運用する場合は「第２編８. 外部委託」を、SaaS型パブリッククラウドを利用する場合は「第２編９. SaaS型パブリッククラウドサービスの利用」を軸に検討すること。
４.１. サーバ等の管理【趣旨】
サーバ等のハードウェアは、情報システムの安定的な運用のために適切に管理する必要があり、管理が不十分な場合、情報システム全体に悪影響が及んだり、業務の継続性に支障が生じるおそれがある。このことから、サーバ等の設置や保守・管理、配線や電源等の物理的セキュリティ対策を規定する。
【例文】（１）機器の取付け
教育情報システム管理者は、サーバ等の機器の取付けを行う場合、地震、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適切に固定する等、必要な措置を講じなければならない。
（２）サーバの冗長化① 教育情報システム管理者は、校務系サーバその他の校務系情報を格納しているサーバを冗長化し、同一データを保持しなければならない。また、メイン
サーバに障害が発生した場合に、速やかにセカンダリサーバを起動し、システムの運用停止時間を最小限にしなければならない。【推奨事項】② 教育情報システム管理者は、学習系サーバその他の学習系情報を格納しているサーバのハードディスクを冗長化しなければならない。【推奨事項】（３）機器の電源① 教育情報システム管理者は、統括教育情報セキュリティ責任者及び施設管理部門と連携し、校務系サーバ等の機器の電源について、停電等による電源供給の停止に備え、当該機器が適切に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。
② 教育情報システム管理者は、統括教育情報セキュリティ責任者及び施設管理部門と連携し、落雷等による過電流に対して、サーバ等の機器を保護するた48

めの措置を講じなければならない。
（４）通信ケーブル等の配線① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、施設管理部門と連携し、通信ケーブル及び電源ケーブルの損傷等を防止するために、
配線収納管を使用する等必要な措置を講じなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、主要な箇所の通信ケーブル及び電源ケーブルについて、施設管理部門から損傷等の報告があった場合、連携して対応しなければならない。
③ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワ
ーク接続口（ハブのポート等）を他者が容易に接続できない場所に設置する等適切に管理しなければならない。
④ 統括教育情報セキュリティ責任者、教育情報システム管理者は、自ら又は教育情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更又は追加できないように必要な措置を施さなければならな
い。
（５）機器の定期保守及び修理① 教育情報システム管理者は、重要性分類Ⅲ以上（可用性2A以上）のサーバ等の機器の定期保守を実施しなければならない。
② 教育情報システム管理者は、電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合、内容を消去した状態で行わせなければならない。内容を消去できない場合、教育情報システム管理者は、外部の事業者に故障を修理させるに当たり、修理を委託する事業者との間で、守秘義務契約を締結するとともに秘密保持体制の確認等を行わなければならない。
（６）施設外又は学校外への機器の設置
統括教育情報セキュリティ責任者及び教育情報システム管理者は、施設外又は学校
外にサーバ等の機器を設置する場合、CISOの承認を得なければならない。また、定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。
（７）機器の廃棄等
教育情報システム管理者は、機器を廃棄又はリース返却等をする場合、機器内部の記憶装置から、全ての情報を消去の上、復元不可能な状態にする措置を講じなければ
ならない。

49

（解説）
（１）機器の取付け
情報システムで利用する機器は、温度、湿度等に敏感であることから、室内環境を整えることが必要である。
（注１）機器の排気熱が、特定の場所に滞留しないよう室内の空気を循環させることにも注意する必要がある。排気熱が機器周辺に滞留すると機器内部が高温になり、緊急停止する場合がある。
（２）サーバの冗長化
サーバ等の機器が緊急停止した場合にも、業務を継続できるようにするために、バック
アップシステムを設置することが有効である。
校務系システムは、成績処理等において、教員が毎日の業務において活用するものであり、サーバが緊急停止した場合、校務の遂行に多大な影響を及ぼすことが考えられることから、校務系サーバ及び校務外部接続系サーバについては、冗長化を行うことが重要である。
一方で、学習系サーバについては、サーバ冗長化に係るコスト等も勘案し、ハードディ
スクの冗長化を図ることが適当である。
（注２）サーバの冗長化については、ハードウェアやソフトウェアが二重に必要となるほか、運用面でデータの同期化等が必要となり、これらの費用とサーバ等の緊急停止による損失の可能性を検討した上で、冗長化を行うか否かを判断する必要がある。
（３）機器の電源
何らかの要因で電力供給が途絶し、機器が緊急停止した場合には、情報システムの機能が損なわれるおそれがある。これを避けるために、機器が適正に停止するまでの間電力を供給する予備電源を設ける必要がある。
（注３）予備電源は、パソコン等に接続する小型のUPS（無停電電源装置）、蓄電池設備による給電を行うものや、自家発電機等様々な種類がある。また、これらの予備電源が緊急時に機能した場合に、現状どのくらい給電が行えるかを把握しておくべきである。例えば、1年前には、蓄電池設備により30分程度の電源供給ができていたものが、サーバの増設等により15分程度しか供給できなくなっている場合も考えられる。このために、施設管理部門から予備電源が給電可能な時間等について定期的に確認しておくことが必要である。
（注４）学習系サーバにおいても、情報資産が他にバックアップされていない場合には、予備電源を設けることが適当である。

50

（４）通信ケーブル等の配線
執務室に通信ケーブル等を配線する場合に、ケーブルを剥き出しにしたままにしておくと、踏まれるなどして損傷する可能性が高くなる。配線収納管等を利用し、通信ケーブル等の損傷を防ぐ必要がある。
（５）機器の定期保守及び修理
情報システムの安定的な運営のためには、定期的に保守を行うことが不可欠である。また、機器を修理に出す場合には、できる限り故障した部品を特定し、情報を消去できる場
合は消去を行った上で引き渡すことにより、修理業者から情報が漏えいする可能性を低くしなければならない。内容を消去できないときは、守秘義務契約を締結するとともに、秘密保持に関する体制や運用などが適切であることを確認しなければならない。
（６）施設外又は学校外への機器の設置
施設外又は学校外にサーバ等の機器を設置する場合には、十分なセキュリティ対策がなされているか、定期的に確認する必要がある。
（注５）外部委託事業者のデータセンターに、システム機器等を設置している場合
は、定期的に物理的なセキュリティ状況を確認する必要がある。外部委託事
業者を定期的に訪問し、定期報告では把握しきれない設置室内の状況の変化、当該外部委託事業者の要員の変化等を把握する。地方公共団体職員によるデータセンター内部への立入りがデータセンターのセキュリティポリシー
に違反する等、外部委託事業者を訪問できない場合は、訪問調査に代えて第三者による情報セキュリティ監査報告書、外部委託事業者の内部監査部門による情報セキュリティ監査報告書等によって確認する。日本データセンター協会（2017）データセンター セキュリティ ガイドブックを参照し、物理的機器設置時のデータセンター提供者が必要なセキリュティ仕様を把握することが出来る。また、事業者のISO 27001取得を確認することは、事業者が情報
セキュリティマネジメントシステム（ISMS）事業者として最低限必要な要件を満たしているかを確認する際に有効である。
（７）機器の廃棄等機器が不要になった場合やリース返却等を行う場合には、機器内部の記憶装置からの情報漏えいのリスクを軽減する観点から、情報を復元困難な状態にする措置を徹底する必要がある。この場合、一般的に入手可能な復元ツールの利用によっても復元が困難な状態とすることが重要であり、OS及び記憶装置の初期化（フォーマット等）による方法は、ハードディスク等の記憶演算子にはデータの記憶が残った状態となるため、適当でないことに留意が必要である。
51

また、原則として、以下の表に記載されている方法により、記録されている情報資産の重要性分類に応じて、機器の廃棄等を行わなければならない。
分類

機器の廃棄等の方法

確実な履行を担保する方法（１）重要性分類

一般的に入手可能な復元ツール

校内等において（２）で後述す

Ⅰ・Ⅱの利用を超えた、いわゆる研究

る情報の復元が困難な状態まで所レベルの攻撃からも耐えられ

データの消去を行った上で、委るレベルで抹消を行うことが適

託事業者等に引き渡しを行い、当である。

抹消措置の完了証明書により確

具体的には、①物理的な方法に認する方法など適切な方法によよる破壊、②磁気的な方法により確認を行う。

る破壊、③OS 等からのアクセスが不可能な領域も含めた領域のデータ消去装置又はデータ消
去ソフトウェアによる上書き消去、④ブロック消去、⑤暗号化
消去のうちいずれかの方法を選択することが適当である。
（２）重要性分類

一般的に入手可能な復元ツール

校内等において消去を実施し、Ⅲの利用によっても復元が困難な教職員等が作業完了を確認する

状態に消去することが適当であ方法など適切な方法により確認

る。

を行う。

具体的には、（１）で先述した
方法①～⑤のほか、OS 等からアクセス可能な全てのストレージ
領域をデータ消去装置又はデー
タ消去ソフトウェアにより上書き消去する方法がある。
OS 及び記憶装置の初期化 （フォーマット等）による方法は、
HDD の記憶演算子にはデータの記憶が残った状態となるため、適当ではない。
図表 12 重要性分類に応じた機器の廃棄等の方法

52

（注６）情報を消去する場合、オペレーティングシステム（OS）及び記憶装置の初期化だけでは、再度復元できてしまう。データ消去ソフトウェア若しくはデー
タ消去装置の利用又は物理的な破壊若しくは磁気的な破壊などの方法を用いて、全ての情報を復元が困難な状態にし、情報が漏えいする可能性を低減しなければならない。
（注７）「①物理的な方法による破壊」については、主に紙媒体について、内容が復元できないように細断、熔解またはこれに準ずる方法を講じることを想定している。サーバ装置や端末等の電磁的記録媒体については、②～⑤の対策を講じることが望ましい。特に、端末の機能により、既に暗号化の処置がなされているものについては「⑤暗号化消去」が有効である。ただしDVD-R等の外部電磁的記録媒体については、盗難・紛失等のリスクを考慮し、「①物理的な方法による破壊」（例えば二つ折りにする、放射線上に傷を付ける等）による破壊を合わせて行うことも、有効な方法の一つである。
４.２. 管理区域（情報システム室等）の管理【趣旨】
情報システム室等は、重要な情報資産が大量に保管又は設置されており、特に厳格に管理する必要がある。情報システム室等が適切に管理されていない場合には、盗難損傷等により重大な被害が発生するおそれがあり、このことから、情報システム室等の備えるべき要件や入退室管理、機器等の搬入出に関する対策を規定する。ただし、対策によっては建物の改修を必要とするなど多額の費用を要するものもある。対策の実施に当たっては、費用対効果を考慮して行う必要がある。
【例文】（教育委員会等のサーバ室にサーバを設置している場合）（１）管理区域の構造等① 管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋（以下「情報システム室」という。）や電磁的記録媒体の保管庫をいう。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、管理区域を
地階又は1階に設けてはならない。また、外部からの侵入が容易にできないよ
うに無窓の外壁にしなければならない。【推奨事項】③ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、施設管理部
門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機
能、警報装置等によって許可されていない立入りを防止しなければならない。
④ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、情報システ53

ム室内の機器等に、転倒及び落下防止等の耐震対策、防火措置、防水措置等を講じなければならない。
⑤ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、施設管理部
門と連携して、管理区域を囲む外壁等の床下開口部を全て塞がなければならない。【推奨事項】⑥ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。
（２）管理区域の入退室管理等① 教育情報システム管理者は、管理区域への入退室を許可された者のみに制限
し、ICカード、指紋認証等の生体認証や入退室管理簿の記載による入退室管理を行わなければならない。
② 地方公共団体職員等及び外部委託事業者が、管理区域に入室を許可する場合、これらの者に身分証明書等を携帯させ、必要に応じ、その提示を求めなければならない。
③ 教育情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立ち入り区域を制限した上で、管理区域への入退室を許可された地
方公共団体職員等が付き添うものとし、外見上地方公共団体職員等と区別できる措置を講じなければならない。
④ 教育情報システム管理者は、重要性分類Ⅱ以上（機密性2B以上）の情報資産を扱うシステムを設置している管理区域について、当該情報システムに関連しないコンピュータ、モバイル端末、通信回線装置、電磁的記録媒体等を持ち込ませないようにしなければならない。
（３）機器等の搬入出① 教育情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ地方公共団体職員又は委託した業者に確認を行わせなければならない。
② 教育情報システム管理者は、情報システム室の機器等の搬入出について、地方公共団体職員を立ち会わせなければならない。
（学校にサーバを設置している場合）（１）管理区域の構造等① 管理区域とは、ネットワークの基幹機器及び重要な情報システムを設置し、当該機器等の管理並びに運用を行うための部屋（以下「情報システム室」とい54う。）や電磁的記録媒体の保管庫をいう。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワークの基幹機器及び重要な情報システムについて、サーバラックに固定した上で、サーバラックの施錠管理を行わなければならない。
③ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、サーバラッ
クを、立ち入りを許可されていない不特定多数の者が出入りできる場所に設置してはならない。
④ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、施設管理部
門と連携して、管理区域から外部に通ずるドアは必要最小限とし、鍵、監視機
能、警報装置等によって許可されていない立入りを防止しなければならない。
⑤ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、情報システ
ム室内の機器等に、転倒及び落下防止等の耐震対策、防火措置、防水措置等を講じなければならない。
⑥ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、管理区域に配置する消火薬剤や消防用設備等が、機器等及び電磁的記録媒体に影響を与えないようにしなければならない。
（２）管理区域の入退室管理等① 教育情報システム管理者は、管理区域への入退室を許可された者のみに制限すること。
② 教育情報システム管理者は、サーバラックの施錠管理にあたり、管理簿の記載等による管理を行わなければならない。
③ 教職員は、児童生徒が管理区域に入室する場合、必要に応じて立ち入り区域を制限した上で、児童生徒に付き添うものとする。
④ 外部委託事業者は、管理区域に入室する場合、身分証明書等を携帯し、求めにより提示しなければならない。
⑤ 教育情報システム管理者は、外部からの訪問者が管理区域に入る場合には、必要に応じて立ち入り区域を制限した上で、管理区域への入退室を許可された教職員等が付き添うものとし、外見上教職員等と区別できる措置を講じなければならない。
（３）機器等の搬入出①

教育情報システム管理者は、搬入する機器等が、既存の情報システムに与える影響について、あらかじめ委託した業者に確認を行わせなければならない。

② 教育情報システム管理者は、情報システム室の機器等の搬入出について、管理区域への入退室を許可された教職員を立ち会わせなければならない。
55

（解説）
（１）管理区域の構造等
情報システムの安定的な運営等のために、情報システム室や保管庫（磁気テープ等の保管庫）である管理区域の管理方法について定める。管理区域内には精密機器が多いことから、火災、水害、埃、振動、温度、湿度等の対策を施す必要がある。
また、学校に重要な情報システムを設置する場合においては、学校に専用のサーバ室が整備されていない場合が多いことが考えられることから、それぞれの学校の施設環境に応じた管理区域の管理を行う必要があるが、ネットワークの基幹機器及び重要な情報システ
ムは、サーバラック、フロアスイッチBOX等に固定した上で施錠管理を実施するとともに、サーバラックを、立ち入りの許可がされていない不特定多数の者が出入りできない場
所に設置する必要がある。
（注１）ICカード等で扉を自動開閉制御している場合、サーバ室内で発生した火災等により、自動制御の扉が故障し開閉ができず、室内にいる要員が閉じ込められてしまう危険性がある。このような事態を回避するために、手動で扉を開閉できるように、自動扉開閉制御を解除するスイッチの場所を平時から管理
区域を管理している教育情報システム管理者が、入室権限のある地方公共団
体職員及び教職員等に周知しておくことが必要である。鍵等による立入り防止措置についても、同様である。
（注２）管理区域に配置する消火薬剤は、発泡性のものを避けるべきである。また、スプリンクラーの水がかかる位置に情報システム機器等を設置してはならない。
（注３）情報システム室内では機器等をサーバラックに固定した上で、管理権限の異なる複数のシステムが同一の室内に設置されている場合は、他システムの管理者による不正操作を回避するため、サーバラックの施錠管理を行うことが必要である。
（２）管理区域の入退室管理等
管理区域は情報資産の分類に応じて厳格な管理が行われなければならない。リスク評価を行って許可する範囲を検討し、入室できる者は許可された者のみに制限する。また、外部からの訪問者が管理区域に入室する場合、地方公共団体職員及び教職員等が付き添うとともに、訪問者であることを明示したネームプレートを着用させるなど外見上訪問者であることが分かるようにしておくべきである。また、情報漏えい等を回避するため、不要な電子計算機、モバイル端末、電磁的記録媒体等を管理区域に持ち込ませないことが重要である。
（注４）入退室の記録簿は、業者名、訪問者名等を記録する場合が多い。これらの記録簿に個人情報を記述している場合は、紛失等が生じないように保管するこ56

とが必要である。
（注５）学校は、児童生徒が日常的に過ごす場であり、学校のそれぞれの部屋についての入室制限等の管理の徹底が困難である場合も考えられることから、重要な情報資産を格納する校務系サーバ等については、教育委員会が集約して管理することが望ましい。
（３）機器等の搬入出
搬入出に伴い外部の者が管理区域に立入る場合は、同行、立会いを行い、相手の行動を監視する必要がある。
（注６）同行、立会いについては、原則として非常勤職員や臨時教職員ではなく、地方公共団体職員及び教職員が行う必要がある。

４.３. 通信回線及び通信回線装置の管理【趣旨】
ネットワーク利用における通信回線及び通信回線装置が適切に管理されていない場合
は、ネットワークそれ自体のみならず、ネットワークに接続している情報システム等に対しても損傷や不正アクセス等がおよぶおそれがある。このことから、外部ネットワーク接続等の通信回線及び通信回線装置の管理にセキュリティ対策を規定する。
【例文】（１）統括教育情報セキュリティ責任者は、施設内の通信回線及び通信回線装置を、施設管理部門と連携し、適切に管理しなければならない。また、通信回線及び通信回線装置に関連する文書を適切に保管しなければならない。
（２）統括教育情報セキュリティ責任者は、外部へのネットワーク接続ポイント及び該
当ポイントに接続される端末を正確に把握し、適切な管理を行わなければならない。
（３）統括教育情報セキュリティ責任者は、重要性分類Ⅲ以上の情報資産を取り扱う情報システムに通信回線を接続する場合、必要なセキュリティ水準を検討の上、適切な回線を選択しなければならない。また、必要に応じ、通信経路上での暗号化を行わなければならない。
（４）統括教育情報セキュリティ責任者は、ネットワークに使用する回線について、伝送途上に情報が破壊、盗聴、改ざん、消去等が生じないように十分なセキュリテ
57ィ対策を実施しなければならない。
（５）統括教育情報セキュリティ責任者は、重要性分類Ⅱ以上の情報資産を取り扱う情報システムが接続される通信回線について、継続的な運用を可能とする回線を選択しなければならない。
（６）統括教育情報セキュリティ責任者は、学校運営上必要なネットワーク帯域を確保するとともに、遅延等に対する適切な対策を講じなければならない。クラウドサービス提供事業者側のサービス要件基準を満たす配慮を含めてネットワーク構成を設計する。また、運用開始前には十分検証し、利用状況に応じて定期的に改修計画を行うこと。
（解説）
学校が使用する通信回線は、施設管理部門が敷設・管理を行っていることが多く、統括
教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワークに関する工事を行う場合、施設管理部門と連携して実施する必要がある。学校が使用する通信回線の敷設図、結線図等は、外部への漏えい等がないよう、厳重に管理しなければならない。
特にインターネット回線については、外部からの不正アクセスの侵入経路となり得るほか、内部からの情報漏えい経路にもなり得るため、これらの情報セキュリティ上の危険性に対する監視と運用を効率的かつ確実に実施するためにも教育委員会でインターネット接続口を集約する構成も考えらえる。ただし、局所的にネットワークの負荷が増大し、授業における安定的な稼動に支障をきたす可能性もあることから、用途・目的に応じて柔軟に判断する必要がある。
通信回線として利用する回線は、当該システムで取り扱う情報資産の重要性に応じて、適切なセキュリティ機能を備えたものを選択することが必要であり、通信回線の性能低下
や異常によるサービス停止を防ぐために、通信回線や通信回線装置を冗長構成にする又は回線の種類を変えて複数の回線を構築しておくことが望ましい。
（注１）図面管理を外部委託事業者に依頼する場合でも、当該外部委託事業者で紛失する場合に備えて、各地方公共団体で、控えを保管しておくことが必要である。
（６）授業に支障のないネットワーク構成の選択（帯域や同時接続数など）
クラウドサービスでは、クラウドサービス提供事業者側のセキュリティ基準を満たしたサービスがインターネット上で提供される。その際、従来のネットワーク構成では円滑に授業を進めることに支障が出るケースがあるため、クラウド利用を前提としたネットワー
ク構成を再度選択する必要がある。なお、これらのクラウドサービス提供者側のセキュリ
58

ティ基準は公開されていないケースが多いため、余裕を持ったネットワークの設計を行う必要がある。これらの代表例としては例えば次のようなものがある。
グローバルIPアドレス
クラウドサービスに対し、同一のグローバルIPアドレスから短時間に多数の接続が行われた場合、クラウドサービス事業者側でロボット判定の実施や攻撃と認識
しアクセスを一定期間停止させるといった措置を行うことがある。セキュリティの観点からクラウドサービス提供者側では基準を明確に提供していないことが多いが、運用を考慮して、本運用開始前に事前にテストをすることが必須となる。



通信帯域
オンラインでの学習のみならず、学校内で画面共有や動画の配信等を行うことも想定し、利用するクラウドサービスで必要とされる帯域を確保することが重要になる。Web会議システム等で必要な帯域などクラウドサービスに関する要件はクラウドサービス提供者が公開しているが、設計上の理論値のみで判断することなく実運用を踏まえた上で設計を行う必要がある。また、これらに関しては本運用開始
前に事前にテストをすることが必須となる。

４.４. 教職員等の利用する端末や電磁的記録媒体等の管理【趣旨】
教職員等が利用するパソコン、モバイル端末及び電磁的記録媒体等が適切に管理されていない場合は、不正利用、紛失、盗難、情報漏えい等の被害を及ぼすおそれがある。このことから、これらの被害を防止するために、教職員等の利用するパソコン、モバイル端末
及び電磁的記録媒体等の盗難及び情報漏えい防止策、持ち出し・持ち込み等に関する対策を規定する。
【例文】（１）教育情報システム管理者は、不正アクセス防止のため、ログイン時のIDパスワードによる認証、加えて多要素認証の実施等、使用する目的に応じた適切な物
理的措置を講じなければならない。電磁的記録媒体については、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならな
い。
（２）教育情報システム管理者は、校務系システム、教育情報システムへアクセスする端末へのログインパスワードの入力を必要とするように設定しなければならない。
（３）教育情報システム管理者は、端末の電源起動時のパスワード（BIOSパスワー
59

ド、ハードディスクパスワード等）を設定しなければならない。【推奨事項】（４）教育情報システム管理者は、取り扱う情報の重要度に応じてパスワード以外に生体認証や物理認証等の多要素認証を設定しなければならない。特に強固なア
クセス制御による対策を講じたシステム構成の場合、校務情報等の重要な情報
資産へのアクセスについては、多要素認証を必須とすること。
（５）教育情報システム管理者は、パソコンやモバイル端末等におけるデータの暗号化等の機能を有効に利用しなければならない。端末に暗号化機能を持つセキュ
リティチップが搭載されている場合、その機能を有効に活用しなければならない。同様に、電磁的記録媒体についてもデータ暗号化機能を備える媒体を使用しなければならない。【推奨事項】（６）教育情報システム管理者は、特に強固なアクセス制御による対策を講じたシス
テム構成の場合、校務情報等の重要な情報資産を取り扱う端末に対し、当該データ暗号化等の措置により、不正アクセスや教員の不注意等による情報流出への対策を講じなければならない。
（７）教育情報システム管理者は、モバイル端末の学校外での業務利用の際は、上記対策に加え、遠隔消去機能を利用する等の措置を講じなければならない。【推奨事項】（８）教育情報システム管理者は、パソコンやモバイル端末におけるマルウェア感染の脅威に対し、ウイルス対策ソフトの導入等の対策を講じなければならない。
なお、OSによっては標準的にウイルス対策ソフトを備えている製品、OSとしてウイルス感染のリスクが低い仕組みとなっている製品などもあるため、実際に運用する端末において適切な対策を講じること。強固なアクセス制御による対策を講じたシステム構成の場合、校務情報等の重要な情報資産を取り扱う端末に対し、当該端末の状況および通信内容を監視し、異常、あるいは不審な挙動を検知する仕組み（ふるまい検知）等の活用を検討し、適切な対策を講じること。
（９）教育情報システム管理者は、インターネットへ接続をする場合、教職員等のパ
ソコン、モバイル端末に対して不適切なウェブページの閲覧を防止するWebフィルタリング等の対策を講じなければならない。

60

（解説）
職員室及び教室等からパソコン、モバイル端末及び電磁的記録媒体等が盗難され、情報が漏えいする事例は多く、盗難を防止するための物理的措置が必要である。なお、強固なアクセス制御による対策を講じたシステム構成の場合においては、校務・学習等各システ
ムの通信経路をインターネットに統合でき、教員の利用する端末を用途別に分けずに1台に統合できるメリットがある。
但し、学習指導において、校務系情報を児童生徒に誤表示する新たなリスクがあるた
め、利用においてはこのリスクを念頭に置いて使用されたい。
また、各学校が保有しているパソコン、モバイル端末及び電磁的記録媒体等が盗難等に遭った場合でも、パスワード等の設定、暗号化により使用できないようにしておくこと
で、情報が不正使用等される可能性を減らすことができる。特に、パソコン起動時のパス
ワード機能の利用が情報の漏えいに対する有効な防止対策になる。また、次のパソコンの不正利用を防止するためのパスワード機能及び暗号化機能を活用することが必要である。
（２）ログインパスワード
OSやソフトウェアにログインする際に使用するパスワードであり、ログインパスワード
によって、パソコンの多くの機能の不正利用を防御できる。
（３）電源起動時のパスワード


BIOSパスワード
パソコンを起動したときに、OSが起動する前に入力するパスワードであり、このBIOSパスワードの設定をしておくことで、オペレーティングシステムが自動起動しない。

ハードディスクパスワード
ハードディスクパスワードを設定しておけば、不正利用を防御できる。ただし、ハードディスクパスワードについては、失念すると解除が不可能になる場合があるために留意する必要がある。

（４）多要素認証の利用取り扱う情報の重要度等に応じて前述したパスワード等の知識認証、生体認証（指紋、静脈、顔、声紋等）、物理認証（ICカード、USBトークン、トークン型ワンタイムパスワード等）のうち、異なる認証方式2種類を組み合わせた多要素認証を利用することによって、よりセキュリティ機能は強化されることになる。

61

（５）暗号化機能を持つセキュリティチップの利用
暗号化機能を持つセキュリティチップを搭載したパソコン、モバイル端末及び電磁的記
録媒体の場合は、暗号鍵が当該チップに記録されているために、ハードディスクの暗号化機能を利用することによって、ハードディスク装置を抜き取られても不正利用を防御できる。
（６）ファイルの暗号化
端末に保存したファイルを暗号化し、暗号鍵を保持しない利用者は情報の閲覧等ができない仕組み。教職員等の負担を考慮し、ファイル保存時に自動で暗号化される仕組みも有効である。
（７）モバイル端末のセキュリティ
モバイル端末を学校外で業務利用する場合は、端末の紛失・盗難対策として、前述のよ
うに普段からパスワードによる端末ロックを設定しておくことが必要である。また、紛
失・盗難に遭った際は、遠隔消去（リモートワイプ）や自己消去機能により、モバイル端末内のデータを消去する対策も有効である。
（８）マルウェア対策
近年のサイバー攻撃は複雑、巧妙化しており、パターンファイルによる不正プログラム
対策ソフトウェアでは検知出来ない攻撃が頻発している状況である。こうしたマルウェアを検知するためには、既存のパターンファイルから検出する手法に加え、ふるまい検知が有効である。ふるまい検知とは、既存のパターンファイル情報に依存することなく、各端末における通常時の通信傾向を学習し、そこから逸脱する不審な通信について検知する仕組み。隔離された安全な領域（サンドボックス）で不審なプログラムの挙動を検知することにより、未知の攻撃にも有効である。
なお、マルウェアに感染し攻撃を検知した場合には、その根本原因や感染した端末の特定と隔離、影響範囲の関係や時系列での不正なふるまいの状況を一元的に把握することができるEDR（Endpoint Detection and Response）も有効である。運用体制・端末のリソー
ス状況・実現したい機能・コストを鑑みて検討すること。
（９）不適切なウェブページの閲覧防止
不適切なウェブページへの閲覧を防止する対策として「Webフィルタリングソフト」、「検索エンジンのセーフサーチ」、「セーフブラウジング」等がある。実現したい機能や実際の運用に応じて適切に整備することが重要である。
（注１）特にセキュリティ機能を強化する必要がある場合には、パスワードの流用等
62

による悪用を防止するため、認証の都度、異なるパスワードを発行するためにワンタイムパスワードを使用することも考えられる。
（注２）ディスク装置を持たない形態のシンクライアント端末は、端末から情報が漏えいする可能性が非常に低くなることから、情報漏えい防止にも有効である。ただし、シンクライアント端末の場合、サーバ、ネットワークに障害が生じると、業務ができなくなる可能性があることから、その場合の対応、特に災害時等の対応も考慮した上で導入を行う必要がある。
（注３）パソコン、モバイル端末、通信機器、ケーブル等からは、微弱電磁波が流れている。これらから流れる電磁波から、指向性の高いアンテナを利用して、情報を盗聴することが技術的には可能である。このため、機密性の非常に高い情報を取り扱う企業等では、電磁波により重要情報が外部に漏えいすることを防止する対策を行うことがある。この電磁波盗聴対策は、シールドルー
ム工事等、多額の費用を要するため、盗聴された場合のリスクを考慮した上で、実施の可否を判断する必要がある。
（注４）モバイル端末の遠隔消去（リモートワイプ）機能は、モバイル端末に電源が入っており、かつ通信状態が良好な場合にしか効果が期待できない点に留意する必要がある。このことから、本機能とあわせて、データを暗号化する等、漏えいしても内容が知られることのない仕組みを合わせて導入することが有効である。
４.５. 学習者用端末のセキュリティ対策【趣旨】
GIGAスクール構想における1人1台端末の整備に伴い、学校内外で利用する学習者用端末に対してのセキュリティ対策が必要である。
学校内では、校内無線LAN等を用いて、クラウド環境にあるデジタル教科書等をはじめとした教育資源の活用のほか、ワープロソフトや表計算ソフト、プレゼンテーションソフトの活用や、グループウェアやファイル共有といった学習用ツールを利用する際のセキュリティ対策が必要である。
また、学校外では、家庭等での学習継続のため、各家庭の無線LANやLTE等の移動体通信を用いて、Web会議システム等を利用した同時双方向の学習や健康観察の実施、クラウド
環境のグループウェアや電子メール機能を活用した児童生徒・家庭等への課題の配信等、整備された端末を児童生徒が家庭等に持ち帰り、学習に活用する機会が多くなることも想定される。これらを踏まえ、利用するネットワークや場所にとらわれないセキュリティ対策を講じることが必要である。
学習者用端末は、教室での活用のみならず、学校外における調べ学習や休み時間等における児童生徒による自主的な学習等、様々な学習活動で使用することが期待されている。
63このため、児童生徒に対する学習用端末の管理方法等についての指導を前提として、可能な限り、児童生徒が学習活動で自由に学習者用端末を活用できるよう配慮していくことも重要である。
なお、児童生徒の所有するICT機器を活用するBYOD（Bring Your Own Device）についても、多様なICT端末の活用における有効な選択肢として検討する必要がある。
高等学校等において自治体が整備する端末とBYOD端末が同一の教育活動の中で使用されるケースも考えられるため、BYODを行う際には、本ガイドラインを参考にしつつ自治体が整備する端末の環境と同等のセキュリティ対策を講じる必要がある。
BYODについては今後の実証研究などを通して、引き続き環境整備の在り方を検討していく方針であり、本ガイドラインにも随時反映していく。
【例文】（１）不適切なウェブページの閲覧防止
児童生徒が端末を利用する際に不適切なウェブページの閲覧を防止する対策を講じなければならない。
＜対策例＞①フィルタリングソフト②検索エンジンのセーフサーチ③セーフブラウジング（２）マルウェア感染対策
学校内外での端末の利用におけるマルウェア感染対策を講じなければならない。
（３）端末を不正利用させないための防止策
端末のセキュリティ状態の監視に加えて、不適切なアプリケーションやコンテンツの利用を制限し、常に安全で児童生徒が安心して利用できる状態を維持しなければならない。
（４）セキュリティ設定の一元管理
児童生徒への端末配布後においても、端末のセキュリティ設定やOSアップデート、ウェブブラウザのアップデート、学習用ツールのインストール、端末の利用履歴も含めた
状態確認などの作業を、離れた場所からでも一元管理できることが望ましい。
（５）端末の盗難・紛失時の情報漏洩対策
児童生徒が端末を紛失しても、遠隔操作でロックをかける、あるいはワイプ（データ消去）することで第三者による不正操作や情報漏洩を防ぐ等の安全管理措置を講じなけ
64

ればならない。

（解説）（１）不適切なウェブページの閲覧防止
不適切なウェブページとは、違法な情報及び青少年有害情報を含むウェブページのことであり、インターネットを利用して公衆の閲覧（視聴を含む）に供されている情報であって青少年の健全な成長を著しく阻害するものをいい、例示すると、次のとおりである。
一 犯罪若しくは刑罰法令に触れる行為を直接的かつ明示的に請け負い、仲介し、若しくは誘引し、又は自殺を直接的かつ明示的に誘引する情報
二 人の性行為又は性器等のわいせつな描写その他の著しく性欲を興奮させ又は刺激する情報
三 殺人、処刑、虐待等の場面の陰惨な描写その他の著しく残虐な内容の情報
前述のとおり学校内外での利用を前提とした時に、利用するネットワークや場所にとらわれないセキュリティ対策を実施することが重要である。
なお、目的は児童生徒による不適切なウェブページの閲覧防止であるため、実現したい
機能や実際の運用に応じて適切に整備することが重要である。これらの対策としては例えば次のものがある。
① フィルタリングソフト
端末に標準的に搭載された製品、インターネットサービスプロバイダーが提供する製品、セキュリティ事業者が提供する製品・サービスなどがある。
フィルタリングの方式は特定のURLを指定して閲覧を防ぐブラックリスト方式、特定のURLのみを閲覧許可するホワイトリスト方式、特定の情報が含まれる場合に閲覧を防ぐカテゴリ（コンテンツ）フィルタリング方式などがあるため、実現したい
機能やフィルタリングの精度、実際の運用等を考慮して適切に整備すること。なお、
フィルタリングは当初の設定だけではなく、利用上での設定変更等が必要となるため運用体制を整備することが望ましい。
また、不適切なウェブページの閲覧防止に加えて、コンテンツフィルタリングではカバーしきれない、日々増大するマルウェアサイトやC&Cサーバ、フィッシングサ
イト等の悪意あるサイトへの通信をブロックするなどのセキュリティ対策も重要である。
② 検索エンジンのセーフサーチ
検索エンジンの検索結果に不適切な情報が含まれる場合に表示させないようにする機能であり、有害情報を閲覧する機会の低減に繋がる。
65

③ セーフブラウジング
ウェブページ閲覧時に不正なサイトであることが疑われる場合、利用者に対して警告を表示する機能である。対象となるウェブサイトは主に2種類あり、1つはマルウェアなどの不正なソフトウェアをインストールさせようするウェブサイトであり、もう1つは正規のウェブサイトになりすまし、IDやパスワードを不正に入力させるフィッシングサイトである。利用者の判断が必要となるが、不正なウェブサイ
トへの接続対策となる。
（注１）フィッシングとは、実在するサービスやシステム、組織を語って、ログ
インIDやパスワード、個人情報等を盗み出す犯罪のこと。改ざんされた
ホームページやフィッシングメール等にリンクがあり、これをクリックすることで偽のホームページ（フィッシングサイト）に誘導し、IDとパスワードを入力させる。
（２）マルウェア感染対策
学校内外で児童生徒がインターネットを利用する際に、不正なウェブサイトによるマルウェア感染などのリスクが発生するため対策を講じる必要がある。主な対策としてはウイ
ルス対策ソフトをインストールする、OSやウェブブラウザを含むソフトウェアを常に最新のバージョンにアップデートを行うことなどがある。
なお、OSによっては標準的にウイルス対策ソフトを備えている製品、OSとしてウイルス感染のリスクが低い仕組みとなっている製品などもあるため、実際に運用する端末において適切な対策を講じること。
（３）端末を不正利用させないための防止策
学習者用端末の利用においては、端末の端末認証やユーザ認証の徹底が求められる。また、学習者用端末の利用においては、端末のセキュリティ状態の監視に加えて、学習に不適切なアプリケーションやコンテンツの利用を制限し、教員の目の届かない環境下でも常に安全
で児童生徒が安心して利用できる状態を維持しなければならない。
そのため、児童生徒の利用アカウントに対してアプリケーションのインストール・アンイ
ンストールを自由に行う権限を与えないことや、MDM（モバイル端末管理：Mobile Device
Management）等によりセキュリティ制御を行うこと。
（４）セキュリティ設定の一元管理
児童生徒への端末配布後においても、端末のセキュリティ設定やOSやウェブブラウザを含むソフトウェアのアップデート、学習用ツールのインストール、端末の利用履歴も含めた
状態確認などの作業を、離れた場所からでも一元管理できることが望ましいため、MDM等に66

よりセキュリティ制御を行うこと。ただし、実現したい機能・規模・コストを鑑みて柔軟に検討すること。
（５）端末の盗難・紛失時の情報漏洩対策
端末の盗難・紛失などのインシデントが発生した場合においても重要性が高い情報が漏
えいすることが無いように対策を講じる必要がある。具体的にはデータの保存はクラウドサービスを利用することにより端末内部に情報を保存しないようにする運用や、MDMなどに
より管理者が離れた場所からでも端末をロックする、あるいは必要に応じてデータの削除
や端末の初期化を行うリモートワイプ機能などの対策を講じること。また、これらの機能を事前に周知すること自体が盗難、転売対策にもなる。
４.６. パソコン教室等における学習者用端末や電磁的記録媒体の管理【趣旨】
パソコン教室等に設定されている児童生徒が共用利用する学習者用端末や電磁的記録媒体の管理については、児童生徒が共用で利用し、学校内で保管管理されることを前提とした管理が求められる。
【例文】（１）教育情報システム管理者は、盗難防止のため、教室等で利用するパソコンの保管庫による管理等の物理的措置を講じなければならない。
（２）教育情報システム管理者は、パソコン及び電磁的記録媒体について、情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。
（３）教育情報システム管理者は、情報システムへのアクセスにおけるログインパスワ
ードの入力等による認証を設定しなければならない。
（解説）（１）共用端末の場合は、運用管理責任が曖昧になる危険性があるため、モバイル型端末の場合は、保管庫からの取り出しから返却までの運用管理手順を規定する必要がある。
（２）端末及び電磁的記録媒体が共用であるため、学習活動で生成した情報は、学習活動
終了後には、共用の端末及び電磁的記録媒体から消去することが必要である。なお、情報の保存が必要な場合には、個人管理フォルダに移設することが望ましい。

67

（３）共用端末であっても利用にあたっては、ログインパスワードを設定し、正規な学習者のみがアクセスできる環境を整備しなければならない。

68

５. 人的セキュリティ
人による安全管理措置については、先に「第２編３.２. 情報資産の管理」として、情報の生成から廃棄までのライフサイクルにおける基本的な安全管理措置を規定している。本項では、「第２編３.２. 情報資産の管理」に加えて、セキュリティ侵害を予防するために必要となる人的な安全管理措置事項を記載している。
なお、クラウドサービスの利用においては、本節及び「第２編９. SaaS 型パブリックク
ラウドサービスの利用」を踏まえて確認・検討すること。
５.１. 教育情報セキュリティ管理者の措置事項【趣旨】
教育情報セキュリティ管理者が、当該学校における情報セキュリティ対策のため実施すべき措置について規定する。なお教職員等の遵守事項については「第２編５.２. 教職員等の遵守事項」に規定する。
【例文】（１）情報資産の管理① 情報資産の持ち出し及び持ち込みの記録管理
教育情報セキュリティ管理者は、教職員等による情報資産の外部持ち出しについて、記録管理しなければならない。
② 情報資産の廃棄管理(ア)教育情報セキュリティ管理者は、廃棄処理を外部に委託する場合は、学校の外に委託業者が持ち出す行為に教職員等が立ち合うように指示し、誤廃棄を予防しなければならない。
(イ)教育情報セキュリティ管理者は、廃棄した情報資産を記録管理しなければならない。
（２）教職員等の情報セキュリティ意識醸成① 教育情報セキュリティ管理者は、教職員等に対して、日頃から情報セキュリテ
ィに関する話題を積極的に提供し、情報セキュリティ研修を受講させるなど、積極的にセキュリティ認識の向上を図らなければならない。
② 教育情報セキュリティ管理者は、校内でセキュリティ事故につながりかねない
ヒヤリ・ハット事案を抑止するために、教職員等が事案を発見した際に、ただちに対処し、すみやかに報告が上がるよう、教職員等に対する情報セキュリテ
ィ意識の醸成と風通しのよい関係性維持に努めなければならない。
③ 情報セキュリティポリシー等の閲覧容易性確保
教育情報セキュリティ管理者は、教職員等が常に教育情報セキュリティポリシ
69

ー及び実施手順を閲覧・確認できるように配慮しなければならない。
（３）端末等の持ち出し及び持ち込みの記録
教育情報セキュリティ管理者は、端末等の持ち出し及び持ち込みについて、記録を作成し、保管しなければならない。
（４）教職員等への情報セキュリティポリシー等の遵守指導① 教育情報セキュリティ管理者は、新規採用教職員等及び他自治体から本市に新規赴任した教職員等、及び非常勤及び臨時の教職員に対し、教育情報セキュリ
ティポリシー等遵守すべき内容を理解・浸透するように指導を行わなければならない。
② 教育情報セキュリティ管理者は、教職員等に対して、必要に応じて情報セキュ
リティポリシーの遵守の同意書への署名を求める。
（５）新規ソフトウェア及びコンテンツの導入・利用判断
教育情報セキュリティ管理者は、教職員等から、導入したソフトウェア・コンテンツの制限解除や、業務上新たなソフトウェア・コンテンツの導入について、事前に相談があった場合は、教育情報システム管理者に上申して、判断を仰がなければならない。
（６）インターネット接続及び電子メール利用の制限① 教育情報セキュリティ管理者は、教職員等に業務端末による作業を行わせる場
合において、業務以外でのインターネット接続及び電子メールの利用をしない
よう教職員等に指導しなければならない。
なお Web フィルタリングの設定について、教職員等から相談があった場合は、
教育情報システム管理者に上申して、判断を仰がなければならない。
② 教育情報セキュリティ管理者は、パソコンやモバイル端末の機能は、教職員等の業務内容に応じて、不必要な機能については制限することが適切である。
（７）校内及び執務室での管理
教育情報セキュリティ管理者は、教職員等と協力して下記を管理しなければならない。
① 来校者の氏名及び入退時刻を記録しなければならない。
② 来校者には名札などを着用させ、第三者であることが識別できるようにしなければならない。
③ 地域住民、保護者などに校内施設を開放する場合、執務室等開放していない施
70

設へは入場できないよう制限を設けなければならない。
（８）自己点検の実施① 教育情報セキュリティ管理者は、年 1 回、学校の自己点検を行わなければならない。
② 教育情報セキュリティ管理者は、自己点検の結果を情報セキュリティ委員会に報告しなければならない。
（解説）（１）情報資産の管理
教育情報セキュリティ管理者は、教職員等による情報資産の外部持ち出し及び外部委託による廃棄処理について、記録管理の運用を行わなければならない。
① 情報資産の持ち出し及び持ち込みの記録管理
記録簿に記録を作成する場合は、持ち出しの項目として、所属名、名前、日時、持出物、個数、用途、持出の場所、返却日、管理者の確認欄等を設ける。
持ち込みの項目としては、所属名、名前、日時、持込物、個数、用途、持込の場所、持ち帰り日、管理者の確認欄等を設ける。
（２）教職員等の情報セキュリティ意識醸成
教育情報セキュリティ管理者は、教職員等に対する情報セキュリティ意識の醸成及び風通しのよい関係性維持を行わなければならない。また、教職員等が情報セキュリティポリ
シーを遵守する前提として、イントラネット等に掲示する方法により、教職員等が常に最新の情報セキュリティポリシー及び実施手順を閲覧できるようにしなければならない。
（３）端末等の持ち出し及び持ち込みの記録
教育情報セキュリティ管理者は、（１）にて規定した情報資産の持ち出し及び持ち込み
だけではなく、端末そのもの等の持ち出し及び持ち込みについても、記録し保管しなければならない（４）教職員等への情報セキュリティポリシー等の遵守指導
教育情報セキュリティ管理者は、新規採用教職員等及び他自治体から本市に新規赴任した教職員等に、及び非常勤及び臨時の教職員に対し、情報セキュリティポリシー等のうち守るべき内容を理解させ、必要に応じて情報セキュリティポリシーの遵守の同意書への署名を求める。

71

（５）新規ソフトウェア及びコンテンツの導入・利用判断
教育情報セキュリティ管理者は、ソフトウェア・コンテンツの利用制限解除や新規導入について、教職員等から相談を受けた際、教育情報システム管理者に上申し判断を仰がなければならない。
（７）校内及び執務室での管理
教育情報セキュリティ管理者は教職員等と協力し、来校者の記録管理を行うとともに、来校者の識別や執務室等の開放していない施設への入場制限を行わなければならない。
（８）自己点検の実施
教育情報セキュリティ管理者は、当該学校の自己点検を行い、その結果を情報セキュリ
ティ委員会に報告しなければならない。
５.２. 教職員等の遵守事項【趣旨】
教職員等が情報資産を不正に利用したり、適正な取扱いを怠った場合、コンピュータウ
イルス等の感染、情報漏えい等の被害が発生し得る。このことから、情報セキュリティポ
リシーの遵守や情報資産の業務以外の目的での使用の禁止等、教職員等が情報資産を取り扱う際に遵守すべき事項を明確に規定する。
情報漏えい事案の多くが、教職員等の過失による規定違反から生じており、職場の実態等を踏まえつつ、教職員等の遵守事項を適正に定めるとともに、規程の実効性を高める環境を整備することが重要である。
【例文】
教職員等は、教育情報セキュリティ管理者の指導の下、以下の規定を遵守しなければならない。
（１）教育情報セキュリティポリシー等の遵守
教職員等は、教育情報セキュリティポリシー及び実施手順を遵守しなければならない。また、情報セキュリティ対策について不明な点、遵守することが困難な点等がある
場合は、速やかに教育情報セキュリティ管理者に相談し、指示を仰がなければならない。
（２）執務上での管理① 執務室の施錠管理
執務室にて教職員等が不在となる場合には、執務室を施錠しなければならない。
② 来校者等への対応
72

来校者等を執務室に入れる場合には、教育情報セキュリティ管理者または学校
情報セキュリティ担当者の許可を求めなければならない。
③ 机上の書類・端末等の管理
教職員等は、パソコン、モバイル端末、電磁的記録媒体及び情報が印刷された文書等について、第三者に使用されること又は教育情報セキュリティ管理者の許可なく情報を閲覧されることがないように、離席時のパソコン、モバイル端末のロックや電磁的記録媒体、文書等の容易に閲覧されない場所への保管等、適切な措置を講じなければならない。
（３）支給端末の取り扱い① 教職員等は、業務目的以外で支給端末を利用してはならない。
② 教職員等は、外部のソフトウェアを無断で支給端末にインストールしてはならない。
業務上必要な場合には、事前に学校セキュリティ管理者の許可を得ること。
③ 教職員等は、支給端末の利用において、下記のカスタマイズを無断でしてはならない。
(ア)セキュリティ機能に関する設定変更(イ)メモリ増設等の改造④ 教職員等は、モバイル端末を利用する場合は、盗難・紛失リスクに備えての安全管理をすること。
⑤ 業務端末から離れる時は、端末をロックするなど、他者が閲覧できないようにしなければならない。
⑥ 業務終了後と外出時には、電源を落とさなければならない。
（４）支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用① 教職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし、業務上必要な場合は、教育情報セキュリ
ティ管理者の許可を得て利用することができる。
② 教職員等は、支給以外のパソコン、モバイル端末及び電磁的記録媒体等を用いる場合には、教育情報セキュリティ管理者の許可を得た上で、外部で情報処理作業を行う際に安全管理措置を遵守しなければならない。
（５）モバイル端末や電磁的記録媒体等の持ち出し及び教育委員会・学校が構築・管理している環境（本ガイドラインが適用されているクラウドサービスや学校外での利用が認められている情報端末等を含む環境）の外部における情報処理作業の制限

73

① 教職員等は、学校のモバイル端末、電磁的記録媒体、情報資産及びソフトウェ
アを外部に持ち出す場合には、教育情報セキュリティ管理者の許可を得なければならない。
② 教職員等は、外部で情報処理業務を行う場合には、教育情報セキュリティ管理者の許可を得なければならない。
（６）IDの取扱い
教職員等は、自己の管理するIDに関し、次の事項を遵守しなければならない。
① 自己が利用しているIDは、他人に利用させてはならない。
② 共用IDを利用する場合は、共用IDの利用者以外に利用させてはならない。
③ 教職員等は、業務上必要がなくなった場合は、利用者登録を抹消するよう、統括教育情報セキュリティ責任者又は教育情報システム管理者に通知しなければならない。
（７）パスワードの取扱い
教職員等は、自己の管理するパスワードに関し、次の事項を遵守しなければならない。
① パスワードは、他者に知られないように管理しなければならない。
② パスワードを秘密にし、パスワードの照会等には一切応じてはならない。
③ パスワードは十分な長さとし、文字列は想像しにくいものにしなければならない。
④ パスワードが流出したおそれがある場合には、教育情報セキュリティ管理者に速やかに報告し、パスワードを速やかに変更しなければならない。
⑤ 複数の教育情報システムを扱う教職員等は、同一のパスワードを複数のシステム間で用いてはならない。 （シングルサインオンを除く）⑥ 仮のパスワード（初期パスワードを含む）は、最初のログイン時点で変更しなければならない。
⑦ サーバ、ネットワーク機器及びパソコン等の端末にパスワードを記憶させてはならない。
⑧ 教職員等間でパスワードを共有してはならない。（ただし、共有IDに対するパスワードは除く）⑨ 共有IDに対するパスワードは定期的に又はアクセス回数に基づいて変更しなけ
ればならない。
（８）ICカード等の取扱い
教職員等は、自己の管理するICカード等に関し、次の事項を遵守しなければならな
74

い。
① 認証に用いるICカード等を、教職員等間で共有してはならない。
② 業務上必要のないときは、ICカード等をカードリーダ若しくはパソコン等の端末のスロット等から抜いておかなければならない。
③ ICカード等を紛失した場合には、速やかに統括教育情報セキュリティ責任者及び教育情報システム管理者に通報し、指示に従わなければならない。
（９）外部電磁的記録媒体の取り扱い① 利用する外部電磁的記録媒体は教育委員会又は学校から支給された公式の媒体を使用しなければならない。その他の媒体の使用は禁止。
② 外部電磁的記録媒体は、職員室の書庫等の鍵のかかる場所に施錠保管しなければならない。
（１０）電子メールの利用制限① 教職員等は、自動転送機能を用いて、電子メールを転送してはならない。
② 教職員等は、業務上必要のない送信先に電子メールを送信してはならない。
③ 教職員等は、複数人に電子メールを送信する場合、必要がある場合を除き、他の送信先の電子メールアドレスが分からないようにしなければならない。
④ 教職員等は、重要な電子メールを誤送信した場合、教育情報セキュリティ管理者に報告しなければならない。
⑤ 教職員等は、ウェブで利用できるフリーメールサービス等を統括教育情報セキ
ュリティ責任者の許可無しに使用してはならない。
⑥ 情報ファイルを添付する場合には、パスワード設定等の対策を講じなければならない。その際、パスワードを同一メールに記載しないこと。
⑦ 送信時には誤送信を予防するため、送信先のメールアドレス、添付ファイルの内容を確認しなければならない。
⑧ 差出人、添付ファイル又は本文中のリンク先等が不審なメールを受信した場合には、添付ファイルの閲覧やリンク先（URL）にアクセスせずに、教育情報セキ
ュリティ管理者に指示を仰ぎなければならない。
（１１）クラウドサービス、ソーシャルメディアサービス利用制限① 重要性分類Ⅱ以上の情報資産を、インターネットを通信経路としたパブリック
クラウドサービスで取り扱ってはならない。なお、強固なアクセス制御による対策を講じたシステム構成の場合は、その限りではない。
② 私的に契約したクラウドサービスを業務利用してはならない。
③ ソーシャルメディアサービスを利用して、業務上知り得た情報を公開してはな
75

らない。
（１２）不正プログラム対策に関する教職員等の遵守事項
教職員等は、不正プログラム対策に関し、次の事項を遵守しなければならない。
① パソコンやモバイル端末において、不正プログラム対策ソフトウェアが導入されている場合は、当該ソフトウェアの設定を変更してはならない。
OS及びコンピュータウイルス対策ソフトウェアが常に最新の状態に保てるようにしなければならない。自動更新される設定の場合は、自動更新設定を変えてはならない。
② 外部からデータ又はソフトウェアを取り入れる場合には、必ず不正プログラム
対策ソフトウェアによるチェックを行わなければならない。
③ 差出人が不明又は不自然に添付されたファイルを受信した場合は、速やかに削除しなければならない。
④ 端末に対して、不正プログラム対策ソフトウェアによるフルチェックを定期的に実施しなければならない。
⑤ 添付ファイルが付いた電子メールを送受信する場合は、不正プログラム対策ソ
フトウェアでチェックを行わなければならない。
⑥ 統括教育情報セキュリティ責任者が提供するウイルス情報を、常に確認しなけ
ればならない。
⑦ コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる
場合は、すみやかに教育情報セキュリティ管理者に報告し、指示を仰がなければならない。また、以下の対応を行わなければならない。
(ア)パソコン等の端末の場合
有線LANにつながる業務端末（校務用端末等）の場合は、LANケーブルの即時取り外しを行わなければならない。
(イ)モバイル端末の場合
無線LANにつながる業務端末（指導者用端末及び学習者用端末）の場合
は、直ちに利用を中止し、通信を行わない設定への変更を行わなければならない。
(ウ)指示があるまでは、端末の電源は切らずに保持しなければならない。
（１３）電子署名・暗号化① 教職員等は、情報資産の分類により定めた取扱制限に従い、外部に送るデータの機密性又は完全性を確保することが必要な場合には、CISOが定めた電子署
名、暗号化又はパスワード設定等、セキュリティを考慮して、送信しなければ
ならない。
76

② 教職員等は、暗号化を行う場合にCISOが定める以外の方法を用いてはならな
い。また、CISOが定めた方法で暗号のための鍵を管理しなければならない。
③ CISO は、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全に提供しなければならない。
（１４）無許可ソフトウェアの導入等の禁止① 教職員等は、パソコンやモバイル端末に無断でソフトウェアを導入してはならない。
② 教職員等は、業務上の必要がある場合は、統括教育情報セキュリティ責任者及び教育情報システム管理者の許可を得て、ソフトウェアを導入することができる。なお、導入する際は、教育情報セキュリティ管理者又は教育情報システム
管理者は、ソフトウェアのライセンスを管理しなければならない。
③ 教職員等は、不正にコピーしたソフトウェアを利用してはならない。
（１５）機器構成の変更の制限① 教職員等は、パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。
② 教職員等は、業務上、パソコンやモバイル端末に対し機器の改造及び増設・交換を行う必要がある場合には、統括教育情報セキュリティ責任者及び教育情報システム管理者の許可を得なければならない。
（１６）無許可でのネットワーク接続の禁止
教職員等は、統括教育情報セキュリティ責任者の許可なくパソコンやモバイル端末をネットワークに接続してはならない。
（１７）業務以外の目的でのウェブ閲覧の禁止
教職員等は、業務以外の目的でウェブを閲覧してはならない。
（１８）外部からのアクセス等の制限① 教職員等が外部から内部のネットワーク又は情報システムにアクセスする場合
は、教育情報セキュリティ管理者を介して、統括教育情報セキュリティ責任者
及び当該情報システムを管理する教育情報システム管理者の許可を得なければならない。
② 教職員等は、持ち込んだ又は外部から持ち帰ったモバイル端末を施設内のネッ
トワークに接続する前に、アンチウイルス等を通じて、コンピュータウイルスに感染していないこと、パッチの適用状況等を確認しなければならない。
77

（１９）児童生徒への指導事項
教職員等は、児童生徒に学習者用端末等を利用させるにあたり、以下の事項について指導を行わなければならない。
① 学習用途の利用限定
学習者用端末及び学習系クラウドサービスは学習目的で利用すること。
② 利用者認証情報の秘匿管理
ID 及びパスワードは他の人に知られないようにすること。
③ ウイルス対策ソフトウェアの管理
ウイルス対策ソフトウェアは常に最新の状態に保つこと。
④ 端末のソフトウェアに関するセキュリティ機能の設定変更禁止
利用する端末のセキュリティ機能の設定を、許可なく変更してはならないこと。
⑤ 学習系情報は学習系クラウドに保管
端末で生成した情報の保存先を学習系クラウドに指定できる機能がある場合には、この機能を利用して原則学習系クラウドに保管し、学習者用端末にローカル保存は必要最小限とすること。
⑥ 無断で外部ソフトウェアをインストール禁止
無断で外部ソフトウェアをインストールしないようにすること⑦ コミュニケーションツールの利用制限
学校から許可されたコミュニケーションツール（SNS,チャット等）のみを利用すること⑧ ウイルス感染が疑われる場合の報告
学習用端末が動かない、勝手に操作されている、いつもと異なる画面や警告が表示されるなどの症状がでた場合、すぐに担任教員に報告すること⑨ 端末の安全な取り扱い
学習用端末は大事に取り扱い、盗難・紛失・破損等に注意すること。
⑩ 私物端末利用禁止
私物端末など承認されていない端末を学校に持ち込んで、学校のネットワークにつながないこと（２０）異動・退職時等の遵守事項
教職員等は、異動、退職等により業務を離れる場合には、利用していた情報資産（紙情報、データの格納された端末、外部記録媒体等）を、返却しなければならない。また、その後も業務上知り得た情報を漏らしてはならない。
（解説）（１）教育情報セキュリティポリシー等の遵守78

教育情報セキュリティを確保するために、情報セキュリティポリシー及び実施手順に定められている事項等、全ての教職員等が遵守すべき事項について定めたものである。
教育情報セキュリティ管理者は、異動、退職等により業務を離れる場合、教職員等が利用している情報資産を返却させる。またIDについても、速やかに利用停止等の措置を講じる必要がある。
（４）支給以外のパソコン、モバイル端末及び電磁的記録媒体等の業務利用
自宅や学校外等での情報処理作業においては支給された端末を使用することとし、支給以外の端末の使用は原則禁止とする。
やむを得ず支給以外の端末を使用する場合は、以下のような対策を実施することが必要である。
・ 教育情報セキュリティ管理者の許可を得る
・ パスワードによる端末ロック機能や遠隔消去機能などの要件を満たしていること
を教育情報セキュリティ管理者が確認する
・ 重要性分類Ⅱ以上の情報資産については支給以外の端末での作業を禁止とする・ 支給以外の端末のセキュリティに関する教育を受けた者のみ使用を許可する
・ 無許可で重要情報等を記録又は持ち出す行為を禁止する
・ 業務利用する必要がなくなった場合は、支給以外のパソコンやモバイル端末等から業務に関係する情報を削除する。さらに、支給以外の端末から教育ネットワー
クに接続を行う可能性がある場合は、情報漏えいを防ぐため、以下のような対策を講じる必要がある。
・ シンクライアント環境やセキュアブラウザを使用する
・ ファイル暗号化機能を持つアプリケーションでの接続のみを許可する
また、支給以外のパソコン、モバイル端末及び電磁的記録媒体を情報システム室に持ち込むことは禁止する。
（５）モバイル端末や電磁的記録媒体等の持ち出し及び外部における情報処理作業の制限
情報の漏えいは、モバイル端末の不正な持ち出しや移動中にモバイル端末が盗難に遭い、かつ不正アクセスに遭うことが原因で発生する場合が多い。ネットワーク分離による対策を講じたシステム構成の場合、教職員等が端末を持ち出す場合には、学校内の安全対策に加え、安全管理に関して追加的な措置を定めた上で、モバイル端末の持ち出しや外部での作業の実施については許可制とするのが適切である。一方で、強固なアクセス制御による対策を講じたシステム構成等においては、教育情報セキュリティ管理者の包括的承認を行う等、運用実態や教職員等の負担も考慮し検討する必要がある。また、端末アクセス
時のログインパスワードの徹底、多要素認証の利用を行い、不正アクセスを防ぐことが重
要である。
79

（注１）モバイル端末の持ち出しを許可した場合にも、モバイル端末は常に携行することを教職員等に周知する必要がある。特に交通機関（電車、バス、自家用車等）による移動時の携行に際しては、紛失、盗難等に留意する必要がある。
（注２）共用しているモバイル端末の持ち出しでは、管理者が不明確になりやすく、
その結果として所在不明になりやすいので特に注意する必要がある。
（注３）持ち出し専用パソコンによる情報の持ち出しにおいては、万一当該パソコンを紛失した場合に、記録されている情報を容易に特定するため、日常においては当該パソコンに情報を記録しないようにし、持ち出し時においては持ち出し情報が必要最小限であるかどうか確認を行った上で情報を記録し、返却時においては情報の完全削除をするといった運用を行う必要がある。
（注４）テレワークを導入する場合は、認証による本人確認手段の確保と、通信する情報の機密性に応じて、ファイル暗号化、通信経路の暗号化等の必要な措置を取ることが求められる。なお、テレワークセキュリティ対策については、「テレワークセキュリティガイドライン（第5版）」（令和3年5月 総務省）
を参照されたい。
（注５）教職員の場合、仕事の持ち帰りが多い実態に鑑み、校務系情報については、その多くが個人情報であることを改めて認識し、各地方公共団体において安全管理措置（安全確保の措置）を徹底すること。
（６）IDの取扱い
ID（Identification）とは本人確認の情報のことで、情報システムや端末にログインする際に本人であることを示すものであり、他者にこの情報が渡れば、本人になり代わってログインが可能（なりすましの脅威）となるため、IDは本人だけが分っている必要がある。共用IDの場合は、共用することが許される集団のみが知り得る情報であることから、集団の外に漏らしてはいけない。また、外部からのアクセスの場合には、共用IDの利用は避けることが望ましい。
なお、共有IDを利用することは避けることが望ましい一方で、利用せざるを得ない場合には多要素認証と組み合わせることにより、ログから利用者を特定できることもある。
（７）パスワードの取扱い
パスワードの秘密を担保するため、想像しにくいパスワード設定（例えば、名前などの個人情報からは推測できないこと、類推しやすい並び方やその安易な組合せにしないこと、パスワードの使い回しの禁止、英数（可能であれば記号も）を混在すること、英字は小文字と大文字を混在すること、12桁以上とすること等）、パスワードの共有禁止などを定める。なお、パスワードの定期的な変更はセキュリティ対策としては効果が薄く、上述
80

のとおり、想像しにくいパスワードを設定した上で流出時に速やかに変更をすることが推奨されるが、共有IDに対するパスワードにおいては、退職者/離職者によるなりすまし対策になり得る。
（注６）複数のシステムを取り扱う等により、複数の異なるパスワードが必要となる場合があるが、全てを覚えることの困難性から、安易なパスワードを数個使い回すといった運用が起こる可能性がある。
パスワードのメモを作成し、机上、キーボード、ディスプレイ周辺等にメモを置くことは禁止する必要はあるが、特定の場所に施錠して保存する等により他人が容易に見ることができないような措置をしていれば、メモの存在がパスワードの効果を削ぐものではないため、パスワードのメモそれ自体の作成を禁止するものではない。なお、パスワードの設定については、一度限り有効な使い捨てのワンタイムパスワードを利用することも効果的である。
（注７）サービス利用時に都度ID/パスワード等の認証情報を入力する場合、サービス毎のアカウント情報管理が非常に煩雑になるため、一度の認証により一定
時間は各種サービスにアクセスが行えるシングルサインオンの導入を行うことにより、運用効率化と運用負荷の最小化、煩雑な運用によるセキュリティ
リスクを低減することが期待できる。
（８）ICカード等の取扱い認証のため、ICカードやUSBトークン等の媒体を利用する場合は、情報のライフサイクルに着目し、利用、保管、返却、廃棄等の各段階における取扱い方法を定めておくことが必要である。
（１０）電子メールの利用制限及び留意事項
教職員等が電子メールを利用する際の取扱いについて規定したものである。不正な情報の持ち出しを防止する観点から、電子メールの自動転送を禁止する。
規約に基づかずに利用されているフリーメールサービス等に対しては、外部への不正な情報の持ち出し等に利用される場合があることから、これらのサービスを利用する場合
は、統括教育情報セキュリティ責任者の許可を前提とし、適切なセキュリティ対策を講じる必要がある。
複数の送信先に電子メールを送る場合、他の送信先の電子メールアドレスが分からないようにするには、宛先やCCではなく、BCCに送信先を入力する方法がある。
（注８）HTML形式の電子メールを使用禁止にする、メールソフトのプレビュー機能を使用しないことによってコンピュータウイルス感染の可能性の低減を図ることができる。

81

（１２）不正プログラム対策に関する教職員等の遵守事項
教職員等には、不正プログラムに関する情報及び対策を周知して、対策を徹底することが必要であり、特に、不審なメールやファイルの削除、不正プログラム対策ソフトウェア
を常に最新の状態に保たせることが重要である。コンピュータウイルスに感染した兆候がある場合には、即座にLANケーブルを取り外す（パソコン等の端末の場合）又は通信を行わない設定への変更（モバイル端末の場合）を行い、被害の拡大を防がなければならない。
（１３）電子署名・暗号化
暗号技術検討会及び関連委員会CRYPTREC）により安全性及び実装性能が確認された「電子政府推奨暗号リスト」を参照した上で暗号方法は、組織として特定の方法を定める。教職員等が自由に暗号方法を利用すると、暗号鍵を紛失した場合に、復号できなくなる可能性が高く、データ自体が完全に破壊されたのと同じ状態になってしまうことがあるためである。
また、署名検証者が電子署名を検証するための電子証明書を信頼できる機関からダウンロードできる環境を整備したり、電子署名の付与を行う教育情報システム管理者から電磁的記録媒体等で入手できる体制を整備する必要がある。
（１４）無許可ソフトウェアの導入等の禁止
インターネットからソフトウェアをダウンロードしパソコンやモバイル端末に導入すると、不正プログラムへの感染、侵入の可能性が高まることや、導入済みのソフトウェアに不具合が発生する場合もあり、許可を得ない導入は禁止する必要がある。
また、不正にコピーしたソフトウェアは、ライセンス違反や著作権法違反となることか
ら、明確に禁止しなければならない。なお、許可を得てインターネットからソフトウェア
をダウンロードする場合においても、提供元のサイト等の信頼性が確保できることを確認した上で入手する必要がある。
（注９）あらかじめ、一定のソフトウェアを指定して、その範囲では個別の許可を不要とする運用もあり得る。
（１５）機器構成の変更の制限
教職員等が、メモリ増設等の際に静電気を発生させるなど、パソコンを故障させたり、ネットワーク全体にも悪影響を及ぼす可能性があり、許可を得ない構成変更は禁止する必要がある。
（１６）無許可でのネットワーク接続の禁止
セキュリティ上、ネットワークとの接続には適切な管理が必要であることから、無許可
82

での接続を禁止する。
（注１０）特に、学校内で無線LANを使用している場合に、教職員等や外部委託事業者がパソコンやモバイル端末等を持込み、無許可でアクセスポイントへ接続する行為を禁止する必要がある。
（１７）業務以外の目的でのウェブ閲覧の禁止
業務外の外部サイトを閲覧している場合、不正プログラムの感染、侵入の可能性が高まるため、業務以外の目的でのウェブ閲覧は禁止しなければならない。また、閲覧先サイトのサーバにドメイン名等の組織を特定できる情報がログとして残ることにより、外部から指摘を受けるようなことがあってはならない。統括教育情報セキュリティ責任者は、業務外での閲覧を発見した場合は、教育情報セキュリティ管理者に通知し、対応を求めなければならない。
（１９）児童生徒への指導事項
学校における情報の取り扱いは、教職員等のみならず、児童生徒も含まれる。GIGAスク
ール整備以降、児童生徒による学習活動のデジタルシフトが加速化しており、児童生徒による情報セキュリティの確保は、学校の情報セキュリティ確保のなかで大きな比重を占めるものとなってきた。その意味で児童生徒に情報モラル・セキュリティ指導を通して情報
セキュリティ意識を醸成させる教員の役割は大きい。本項では、児童生徒に指導いただきたい内容について記載している。
５.３. 教育委員会事務局職員の遵守事項【趣旨】
教育委員会事務局では、学校の管理する一環として、教育情報システムの端末を事務局内に設置して必要に応じて学校の情報資産をモニタリングし、学校とのコミュニケーションに活用することが一般的である。そのため、教育情報システムを利用する教育委員会事務局
職員は、学校の情報資産にアクセスできる立場にあることを鑑み、遵守規定を示す。
【例文】
教育委員会事務局職員は、教育情報セキュリティ責任者の指導の下、以下の規定を遵守しなければならない。
(1) 教育情報セキュリティポリシー等の遵守(2) 業務以外の目的での使用の禁止(3) 校務用端末による外部における情報処理作業の禁止(4) 重要性分類Ⅱ以上の情報資産について校務用端末以外のパソコン、モバイル端
83

末及び電磁的記録媒体等によるアクセスの禁止(5) 知りえた情報の秘匿(6) 業務を離れる場合の遵守事項
異動、退職等により業務を離れる場合には、利用していた情報資産をすべて返却する。また、その後も業務上知り得た情報を漏らさない。
（解説）
教育委員会事務局職員は、学校の情報資産にアクセスできる立場にあることから、無断での情報外部持ち出しや改ざんが可能である点で、内部脅威であり、情報セキュリティの順守義務を負う。学校では、教育情報セキュリティ管理者が教職員等を管理・指導する立場であるが、教育委員会事務局職員の情報セキュリティ順守については、教育情報セキュリティ責任者が担うこととする。
５.４. 研修・訓練【趣旨】
情報セキュリティを適切に確保するためには、情報セキュリティ対策の必要性と内容を全ての教職員等が十分に理解していることが必要不可欠である。また、情報セキュリティ
インシデントの多くは、教職員等の規定違反に起因している場合もある。さらに、情報セキュリティの向上は、利便性の向上とは、必ずしも相容れない場合がある。教職員等が業務を優先することが、情報セキュリティ対策の軽視につながることもある。
また、情報セキュリティに関する脅威や技術の変化は早いことから、教職員等に対しては、常に最新の状況を周知することが重要である。
さらに、実際に情報セキュリティインシデントが発生した場合に的確に対応できるようにするため、緊急時に対応した訓練を実施しておくことが必要である。
これらのことから、教職員等に情報セキュリティに関する研修・訓練を行うことを規定する。
【例文】（１）情報セキュリティに関する研修・訓練
CISOは、定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
（２）研修計画の策定及び実施① CISOは、教職員等に対する情報セキュリティに関する研修計画の策定とその実施体制の構築を定期的に行い、情報セキュリティ委員会の承認を得なければならない。
② 研修計画において、教職員等は、毎年度最低1回は情報セキュリティ研修を受84

講できるようにしなければならない。【推奨事項】③ 新規採用の教職員等を対象とする情報セキュリティに関する研修を実施しなけ
ればならない。
④ 研修は、統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキュリティ管理者、教育情報システム管理者、教育情報システム担当
者及びその他教職員等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じたものにしなければならない。
⑤ CISOは、毎年度1回、情報セキュリティ委員会に対して、教職員等の情報セキュリティ研修の実施状況について報告しなければならない。
（３）緊急時対応訓練
CISOは、緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画
は、ネットワーク及び各情報システムの規模等を考慮し、訓練実施の体制、範囲等を定め、また、効果的に実施できるようにしなければならない。
（４）研修・訓練への参加
全ての教職員等は、定められた研修・訓練に参加しなければならない。
（解説）（１）情報セキュリティに関する研修・訓練
情報セキュリティに関する研修・訓練を実施する責任はCISOにあり、研修・訓練を定期的に行わなければならない。
（２）研修計画の立案及び実施
CISOは、全ての教職員等が、情報セキュリティの重要性を認識し、情報セキュリティポ
リシーを理解し、実践するために、研修及び訓練を定期的かつ計画的に実施する必要がある。
（注１）研修計画には、研修内容や受講対象者のほか、e-ラーニング、集合研修、説明会等の実施方法、時期、日程、講師等を盛り込む。
（注２）部外の研修等に、教職員等を参加させることも有益である。
情報セキュリティポリシーを運用する際、多くの部分は組織の責任者及び利用者の判断や行動に依存している。したがって、全ての教職員等を対象に研修を行う必要がある。情報セキュリティに関する環境変化は早いことから、毎年度最低1回は研修を受講するようにすることが望ましい。
研修内容は、毎回同じ内容ではなく、情報セキュリティ監査の結果や学校内外での情報85

セキュリティインシデントの発生状況等を踏まえ、継続的に更新することや教職員等が具体的に行動すべき事項を考慮することが望ましい。
新規採用の教職員等に対しては、採用時に情報セキュリティ研修を行うことによって、情報セキュリティの大切さを深く認識させることができる。
また、統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキ
ュリティ管理者、教育情報システム管理者、教育情報システム担当者及び教職員等に対して、それぞれの役割、情報セキュリティに関する理解度等に応じた研修を実施することが必要である。これは不正アクセスから情報資産を防御することはもとより、不正プログラ
ムの感染、侵入、内部者による情報の漏えい、外部への攻撃等を防ぐ観点からも重要である。
研修受講を確実にするため、CISOに、毎年度1回、情報セキュリティ委員会に対して教職員等の研修の実施状況を報告させる義務を負わせる。
また、CISOは、研修計画を通じて将来の情報セキュリティを担う人材の育成や要員の管理を行うとともに、地方公共団体の長によるメールでの周知等、研修効果を向上させる施策を講じることが望ましい。
なお、外部の専門家や内部の職員を最高情報セキュリティアドバイザー（CISOの補佐）等として登用している場合は、それら専門家等を内部教育に有効活用することも考えられる。
（３）緊急時対応訓練
実際に情報の漏えい等の情報セキュリティインシデントが発生した場合に、即応できる態勢を構築しておくため、緊急時を想定した訓練を定期的に実施しなければならない。
（４）研修・訓練への参加
全ての教職員等に対し、研修・訓練に参加させることが情報セキュリティ確保にとって必要であることから、義務規定を設ける。
（注３）教育・訓練の実施後、理解度試験等を行い、その有効性を評価し、次回の研修・訓練の改善に活用すれば、より効果を上げることができる。
５.５. 情報セキュリティインシデントの連絡体制の整備【趣旨】
情報セキュリティインシデントやその発生の予防が重要なことは言うまでもないが、実際に情報セキュリティインシデントを認知した場合に、責任者に報告を速やかに行うこと
により、被害の拡大を防ぎ、早期に回復を図れるようにしておく連絡体制を整備することも必要である。このことから、情報セキュリティインシデントを認知した場合の報告義務について規定する。
86

なお、報告に対する対応については、「第２編７.９. 侵害時の対応等」による。
【例文】（１）学校内からの情報セキュリティインシデントの報告① 教職員等は、情報セキュリティインシデントを認知した場合、速やかに教育情報セキュリティ管理者に報告しなければならない。
② 報告を受けた教育情報セキュリティ管理者は、速やかに統括教育情報セキュリ
ティ責任者、教育情報システム管理者及び情報セキュリティに関する統一的な窓口に報告しなければならない。
③ 教育情報セキュリティ管理者は、報告のあった情報セキュリティインシデント
について、必要に応じてCISO及び教育情報セキュリティ責任者に報告しなければならない。
（２）教職員等の報告義務① 教職員等は、教育情報セキュリティポリシーに対する違反行為を発見した場合、直ちに統括教育情報セキュリティ責任者及び教育情報セキュリティ管理者に報告を行わなければならない。
② 違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括
教育情報セキュリティ責任者が判断した場合は、緊急時対応計画に従って適切に対処しなければならない。
（３）住民等外部からの情報セキュリティインシデントの報告① 教職員等は、管理対象のネットワーク及び教育情報システム等の情報資産に関する情報セキュリティインシデントについて、住民等外部から報告を受けた場
合、教育情報セキュリティ管理者に報告しなければならない。
② 報告を受けた教育情報セキュリティ管理者は、速やかに統括教育情報セキュリ
ティ責任者及び教育情報システム管理者に報告しなければならない。
③ 教育情報セキュリティ管理者は、当該情報セキュリティインシデントについて、必要に応じてCISO及び教育情報セキュリティ責任者に報告しなければならない。
④ CISOは、教育情報システム等の情報資産に関する情報セキュリティインシデン
トについて、住民等外部から報告を受けるための窓口を設置し、当該窓口への連絡手段を公表しなければならない。【推奨事項】（４）情報セキュリティインシデント原因の究明・記録、再発防止等① 統括教育情報セキュリティ責任者は、情報セキュリティインシデントについて、教育情報セキュリティ管理者、教育情報システム管理者及び情報セキュリ
87ティに関する統一的な窓口と連携し、これらの情報セキュリティインシデント
原因を究明し、記録を保存しなければならない。また、情報セキュリティイン
シデントの原因究明の結果から、再発防止策を検討し、CISOに報告しなければならない。
② CISOは、統括教育情報セキュリティ責任者から、情報セキュリティインシデン
トについて報告を受けた場合は、その内容を確認し、再発防止策を実施するために必要な措置を指示しなければならない。
（５）支給端末の運用・連絡体制の整備
学校内外での支給端末の運用ルールを制定し、インシデント時の連絡先対応方法を各
学校にて整理し、実施手順に反映しなければならない。

（解説）（１）学校内からの情報セキュリティインシデントの報告
教職員等は、情報セキュリティインシデントを認知した場合に、自らの判断でその情報セキュリティインシデントの解決を図らずに速やかに教育情報セキュリティ管理者に報告し、その指示を仰ぐことが必要である。その情報セキュリティインシデントによる被害を拡大しないためにも、報告ルート及びその方法を事前に定めておく必要がある。
（注１）情報セキュリティインシデント発生時の報告ルートは、学校及び教育委員会の意思決定ルートと整合性を図ることが重要である。
（注２）教職員は、情報セキュリティインシデントかどうか判断に迷う場合も多いと想定されるため、少しでも疑わしいと思った時点で、速やかに教育情報セキ
ュリティ管理者に報告するとともに、教育情報セキュリティ管理者は情報セ
キュリティに関する統一的な窓口等の専門家による判断を仰ぐことが重要である。
（２）教職員等の報告義務
教職員等は、日々の業務で、教育情報セキュリティポリシーに違反した行為を発見した
場合、その報告が求められる。統括教育情報セキュリティ責任者は、その報告を受け、情報セキュリティ上重大な影響があると判断した場合に、緊急時対応計画に沿って適切に対処する。
（３）住民等外部からの情報セキュリティインシデントの報告
住民からの報告が契機となって、重大な情報セキュリティインシデントの発見につながる場合等も想定されることから、当該報告、連絡を受ける窓口を設置することが望まし
88

い。
（注３）住民からの報告に対しては、適切に処理し、必要に応じ対応した結果について、報告を行った住民等に通知する必要がある。
（４）情報セキュリティインシデント原因の究明・記録、再発防止等
情報セキュリティインシデント原因を究明し、効果的な再発防止策を検討するために、
教育情報セキュリティ管理者は、情報セキュリティインシデントの発生から対応までの記録を作成し、保存しておく必要がある。
（５）支給端末の運用・連絡体制の整備
1 人 1 台端末の利活用において、学校側が規定している各種ガイドラインを児童生徒 の保護者も正しく理解し、端末を活用する場所にかかわらず児童生徒の情報リテラシー教育を促すことは、学校として行うべき重要な活動である。
教職員等が利用する端末を含めて、特に紛失・盗難等インシデント発生時の報告に関してはマニュアル等を作成し周知徹底する必要がある。また、児童生徒に関しては定期的に報告
手順の確認や報告の訓練を実施することが望ましい。

89

６. 技術的セキュリティ
本項においては、特にサーバに関する部分の取扱いについては、オンプレミスの場合と民間事業者のデータセンターを利用する外部委託の両方を想定している。なお、IaaS,PaaS 型
クラウドを利用してコンピューティングリソースを調達して、教育情報システムを構築・運用する場合は「第 2 編８. 外部委託」を、SaaS 型パブリッククラウドを利用する場合は「第２編９. SaaS 型パブリッククラウドサービスの利用」を軸に検討すること。
６.１. コンピュータ及びネットワークの設定管理【趣旨】
ネットワークや情報システム等の設定管理が不十分な場合、不正利用による情報システ
ム等へのサイバー攻撃、情報漏えい、損傷、改ざん、重要情報の詐取、内部不正等の被害が生じるおそれがある。このことから、情報システム等の不正利用を防止し、また不正利用に対する証拠の保全をするために、ログの管理や、バックアップ、無許可ソフトウェアの導入禁止、機器構成の変更禁止等の技術的なセキュリティ対策を規定する。
なお、多くの情報システムにおいては、クラウドサービスを適切に利用することで、オンプレミスよりも効率的に情報セキュリティレベルを向上させることが可能となる。
【例文】（１）文書サーバ及び端末の設定等① 教育情報システム管理者は、教職員等が使用できる文書サーバの容量を設定
し、教職員等に周知しなければならない。
② 教育情報システム管理者は、文書サーバを学校等の単位で構成し、教職員等が他の学校等のフォルダ及びファイルを閲覧及び使用できないように、設定しなければならない。
③ 教育情報システム管理者は、住民の個人情報、人事記録等、特定の教職員等しか取扱えないデータについて、別途ディレクトリを作成する等の措置を講じ、同一学校等であっても、担当職員以外の教職員等が閲覧及び使用できないようにしなければならない。
④ 教育情報システム管理者は、インターネット接続を前提とする校務外部接続系
サーバ及び学習系サーバに保管する情報（学習系サーバにおいては、個人情報などを含む重要性が高い情報を保管する場合に限る）については、標的型攻撃等によるファイルの外部流出の可能性を考慮し、ファイル暗号化等による安全管理措置を講じなければならない。
（２）バックアップの実施
統括教育情報セキュリティ責任者及び教育情報システム管理者は、ファイルサーバ等に記録された情報について、サーバの冗長化対策に関わらず、次の①及び②に基づきバ90

ックアップを実施するものとする。
① 校務系情報及び校務外部接続系情報については、必要に応じて定期的にバックアップを実施しなければならない。
② 学習系情報については、必要に応じて定期的にバックアップを実施しなければならない。【推奨事項】（３）ログの取得等① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、各種ログ及び情報セキュリティの確保に必要な記録を取得し、一定の期間保存しなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ログとして取得する項目、保存期間、取扱方法及びログが取得できなくなった場合の対処等について定め、適切にログを管理しなければならない。
③ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、取得したログを定期的に点検又は分析する機能を設け、必要に応じて悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施しなければならない。
（４）ネットワークの接続制御、経路制御等① 統括教育情報セキュリティ責任者は、フィルタリング及びルーティングについて、設定の不整合が発生しないように、所管するネットワークの内部におけるファイアウォール、ルータ等の通信ソフトウェア等を設定しなければならない。
② 統括教育情報セキュリティ責任者は、不正アクセスを防止するため、所管する
ネットワークに適切なアクセス制御を施さなければならない。
（５）外部の者が利用できるシステムの分離等
教育情報システム管理者は、保護者等の外部の者が利用できるシステム等がある場
合、重要性が高い情報、特に情報資産重要性分類Ⅱ（セキュリティ侵害が学校事務及び教育活動の実施に重大な影響を及ぼす情報資産）以上を扱うシステムとの論理的又は物理的な分離、もしくは各システムにおけるアクセス権管理の徹底を行うこと。
（６）外部ネットワークとの接続制限等① 教育情報システム管理者は、所管するネットワークを外部ネットワークと接続
しようとする場合には、CISO及び統括教育情報セキュリティ責任者の許可を得なければならない。
91

② 教育情報システム管理者は、接続しようとする外部ネットワークに係るネット
ワーク構成、機器構成、セキュリティ技術等を詳細に調査し、庁内及び学校の全てのネットワーク、情報システム等の情報資産に影響が生じないことを確認しなければならない。
③ 教育情報システム管理者は、接続した外部ネットワークの瑕疵によりデータの漏えい、破壊、改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため、当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
④ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ウェブサー
バ等をインターネットに公開する場合、教育ネットワークへの侵入を防御するために、ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
⑤ 教育情報システム管理者は、接続した外部ネットワークのセキュリティに問題が認められ、情報資産に脅威が生じることが想定される場合には、統括教育情報セキュリティ責任者の判断に従い、速やかに当該外部ネットワークを物理的に遮断しなければならない。
（７）重要性が高い情報に対するインターネットを介した外部からのリスク、児童生徒による重要性が高い情報へのアクセスリスクへの対応① 教育情報システム管理者は、強固なアクセス制御による対策を講じたシステム
構成の場合は、各システムにおけるアクセス権管理の徹底をしなければならない。
ネットワーク分離による対策を講じたシステム構成の場合は、校務系システム
及び学習系システム間の通信経路の論理的又は物理的な分離をするとともに、
ウェブ閲覧やインターネットメールなどのインターネットを介した外部からのリスクの高いシステムと重要性が高い情報（特に校務系）を論理的又は物理的に分離をしなければならない。
② 教育情報システム管理者は、校務系システムとその他のシステム（校務外部接続系システム、学習系システム）との間で通信する場合には、各システムにおけるアクセス権管理の徹底を行う等の適切な措置を図らなければならない。また、ネットワーク分離による対策を講じたシステム構成ではウイルス感染のない無害化通信など、適切な措置を図らなければならない。
（８）複合機のセキュリティ管理① 統括教育情報セキュリティ責任者は、複合機を調達する場合、当該複合機が備える機能、設置環境並びに取り扱う情報資産の分類及び管理方法に応じ、適切92

なセキュリティ要件を策定しなければならない。
② 統括教育情報セキュリティ責任者は、複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。
③ 統括教育情報セキュリティ責任者は、複合機の運用を終了する場合、複合機の持つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。
（９）特定用途機器のセキュリティ管理
統括教育情報セキュリティ責任者は、特定用途機器について、取り扱う情報、利用方
法、通信回線への接続形態等により、何らかの脅威が想定される場合は、当該機器の特性に応じた対策を実施しなければならない。
（１０）無線LAN及びネットワークの盗聴対策① 統括教育情報セキュリティ責任者は、無線LANの利用を認める場合、解読が困
難な通信経路の暗号化及び認証技術の使用を義務付けなければならない。
② 統括教育情報セキュリティ責任者は、機密性の高い情報を取り扱うネットワー
クについて、情報の盗聴等を防ぐため、通信経路の暗号化等の措置を講じなければならない。
（１１）電子メールのセキュリティ管理① 統括教育情報セキュリティ責任者は、権限のない利用者により、外部から外部への電子メール転送（電子メールの中継処理）が行われることを不可能とする
よう、電子メールサーバの設定を行わなければならない。
② 統括教育情報セキュリティ責任者は、大量のスパムメール等の受信又は送信を検知した場合は、メールサーバの運用を停止しなければならない。
③ 統括教育情報セキュリティ責任者は、電子メールの送受信容量の上限を設定
し、上限を超える電子メールの送受信を不可能にしなければならない。
④ 統括教育情報セキュリティ責任者は、教職員等が使用できる電子メールボック
スの容量の上限を設定し、上限を超えた場合の対応を教職員等に周知しなければならない。
⑤ 統括教育情報セキュリティ責任者は、システム開発や運用、保守等のため施設内に常駐している外部委託事業者の作業員による電子メールアドレス利用について、外部委託事業者との間で利用方法を取り決めなければならない。
⑥ 統括教育情報セキュリティ責任者は、教職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことが不可能となるように添付ファイルの監視
93

等によりシステム上措置しなければならない。【推奨事項】（解説）（１）文書サーバ及び端末の設定等
文書サーバを教育委員会等に設置し、複数の学校等で共用している場合は、教職員等が利用可能な容量を取り決める必要がある。また学校間でのアクセス制御を行う必要がある。
教育情報システム管理者は、インターネット接続を前提とする校務外部接続系サーバ及び学習系サーバに保管する情報においては、標的型攻撃等によるファイルの外部流出の可能性を考慮し、ファイル暗号化等による安全管理措置を講じることが重要である。
なお、ファイル暗号化等による安全管理措置を講ずるに当たっては、教職員の業務負担軽減等に考慮して、作成したファイルの自動暗号化及び復号化等の対策を採ることも選択肢の一つとして考えられる。
（２）バックアップの実施
緊急時に備え、ファイルサーバ等に記録される情報について、バックアップを取ることが必要である。
校務系システムは、成績処理等、教員が毎日の業務において活用するものであり、校務系サーバ及び校務外部接続系サーバの情報資産を消失した場合、学校事務の遂行に支障を及ぼすことが予想される。このため、校務系サーバ及び校務外部接続系サーバについて
は、バックアップを行うことが重要である。
学習系サーバにおいても、児童生徒が作成した情報資産の消失を防ぐためにバックアップを行うことが望ましい。
（注１）バックアップを行う場合には、データの保全を確保するため、バックアップ
処理の成否の確認、災害等による同時被災を回避するためバックアップデー
タの別施設等への保管、システムを正常に再開するためのリストア手順の策定及びリストアテストによる検証が必要である。
（３）ログの取得等
ログ（アクセスログ、システム稼動ログ、障害時のシステム出力ログ）及び障害対応記
録は、悪意の第三者等による不正侵入や不正操作等の情報セキュリティインシデントを検知するための重要な材料となる。また、情報システムに係る情報セキュリティの上の問題が発生した場合には、当該ログ等は、事後の調査の過程で、問題を解明するための重要な材料となる。したがって、情報システムにおいては、仕様通りにログ等が取得され、また、改ざんや消失等が起こらないよう、ログ等が適切に保全されなければならない。
なお、校務系システム及び校務外部接続系システムのログについては6か月以上保存す94

ることが望ましい。
（注２）保管期限を設定し、期限が切れた場合は、これらの記録を確実に消去する必要がある。なお、ログの取得については、セキュリティインシデントに対して即時に対応するためには、リアルタイムでログの取得・分析等を行う手法を採用することも効果的である。
（４）ネットワークの接続制御、経路制御等
ネットワーク上では、フィルタリング、ルーティング、侵入検知システム等が機能しているが、これらの機能を十分活用するため、ハードウェア及びソフトウェアの設定を適切に行うよう注意する必要がある。また、不正アクセスを防止するため、ネットワークに適
切なアクセス制御を施さなければならない。
（５）外部の者が利用できるシステムの分離等
保護者や外部の教育関係者が訪問した際に利用するプリンタなど、外部の人々が利用できるシステムは、不正アクセス等を防御するため、必要に応じ、他のシステムとの論理的又は物理的な分離、もしくは各システムにおけるアクセス権管理の徹底を行うこと。
（６）外部ネットワークとの接続制限等所管するネットワークにおいて、インターネットに接続し、公開しているウェブサーバ
等が、外部から攻撃を受けた場合に、教育ネットワークへの侵入を可能な限り阻止するために、所管するネットワークと外部ネットワークの境界にファイアウォールを設置する必要がある。
（注３）このほか、非武装セグメントを設け公開サーバを接続すると有効である。また、非武装セグメントに接続している公開サーバについて、不要なポートの閉鎖、不要なサービスの無効化、エラーメッセージの簡略化（攻撃者に対して、システムの技術情報を過度に表示し、与えない対策）を実施することによって、防御能力を高めることができる。
（７）重要性が高い情報に対するインターネットを介した外部からのリスク、児童生徒による重要性が高い情報へのアクセスリスクへの対応
児童生徒の成績情報や生徒指導関連情報等の個人情報などを含む重要性が高い情報を扱う「校務系システム」に対するインターネット経由の標的型攻撃や児童生徒による「学習系システム」からの不正アクセスから防止するため、
・ ウェブ閲覧やインターネットメールなどのインターネットを介した外部からのリスクの高いシステムと重要性が高い情報（特に校務系）との論理的又は物理的な分
離、もしくは各システムにおけるアクセス権管理の徹底を行うこと。
95

・ 校務系システムと学習系システム間の通信経路の論理的又は物理的な分離などの対応、もしくは各システムにおけるアクセス権管理の徹底を行うこと。
また、ネットワーク分離による対策を講じたシステム構成の場合、「校務系システム」と「校務外部接続系システム」及び「学習系システム」の間で通信する場合には、各システム
におけるアクセス権管理の徹底、ウイルスの感染のない無害化通信など、適切な措置を図ること。あわせて、「校務外部接続系システム」についても、個人情報などを含む重要性が高い情報を扱う可能性があることから、適切な安全管理措置を講ずる必要がある。
① なお、上記のネットワーク分離による対策を講じたシステム構成での考え方に従った場合、校務用端末については、以下のような対応が考えられる。
「校務系システム」用と「校務外部接続系システム」用の 2 台の端末を使い分ける② 「校務系システム」と「校務外部接続系システム」の分離によるセキュリティの品
質に準ずる対策を行い、1 台の端末で運用する 等
一方、強固なアクセス制御による対策を講じたシステム構成においては、各システムにおけるアクセス権管理の徹底を行うとともに、端末に対して「第２編４.４. 教職員等の利用する端末や電磁的記録媒体等の管理」に示している適切な安全管理措置を行うことで、「校務系システム」「校務外部接続系システム」「学習系システム」に接続する端末を 1 台に統合し運用することが可能である。
各地方公共団体においては、学校現場における校務事務の実態と対策に係る費用等を勘案して、重要性が高い情報の保護に関する方法を判断する必要がある。
（８）複合機のセキュリティ管理
インターネット接続の機能を備えた複合機も、他の IT 機器と同様の対策が必要となる。
複合機の特性や業務上のリスクを勘案し、以下の観点に沿った対策を実施することが重要である。
① 管理の明確化
複合機の管理者を明確にする。あわせて、複合機のネットワーク接続に関して、ルールを定め、内部に周知させる。
② ネットワークによる保護必要性がない場合には、複合機を外部ネットワーク（インターネット）に接続しない。また、外部ネットワークと複合機を接続する場合には、ファイアウォールやブ
ロードバンドルータを経由させ、許可する通信だけに限定する。
③ 機器の適切な設定管理者用 ID、パスワードを工場出荷時に設定されているものから変更する。該当機器の製品ホームページを確認し、ソフトウェアを最新の状態に
更新する。

96

（注４）プリンタ、ファクシミリ、イメージスキャナ、コピー機等の機能が一つにまとめられている機器を「複合機」という。複合機は、施設内ネットワークや公衆電話網等の通信回線に接続して利用されることが多く、その場合には、
ウェブによる管理画面を始め、ファイル転送、ファイル共有、リモートメン
テナンス等多くのサービスが動作するため、様々な脅威が想定されることに注意が必要である。
（９）特定用途機器のセキュリティ管理
サーバやパソコンと同様にネットワーク接続の機能を備えたテレビ会議システム、IP 電話システム、ネットワークカメラシステム等もセキュリティ対策が必要となる。機器の特性や業務上のリスクを勘案し、以下の観点に沿った対策を実施することが重要である。
① 管理の明確化（管理対象の機器を正確に把握）
機器の管理者を明確にする。また、有線 LAN や無線 LAN に接続されている機器を洗い出し、機器がインターネットに直接接続していないか確認する。
② ネットワークによる保護必要性がない場合には、機器を外部ネットワーク（インターネット）に接続しない。
また、外部ネットワークと機器を接続する場合には、ファイアウォールやブロードバンドルータを経由させ、許可する通信だけに限定する。
③ 機器の適切な設定
管理者用 ID、パスワードを工場出荷時に設定されているものから変更する。機器のアクセス制御機能を有効にし、データアクセス時に ID、パスワード等の認証を求める運用にする。
（注５）テレビ会議システム、IP電話システム、ネットワークカメラシステム等の特定の用途に使用される情報システム特有の構成要素であって、通信回線に接続されている又は電磁的記録媒体を内蔵しているものを「特定用途機器」という。これらの機器についても当該機器の特性や取り扱う情報、利用方法、通信回線の接続形態等により想定される脅威に注意が必要である。
（１０）無線LAN及びネットワークの盗聴対策
無線LANを利用する場合は、解読が困難な暗号化及び認証技術を使用し、アクセスポイ
ントへの不正な接続を防御する必要がある。
（注６）暗号化方式の1つであるWEP（Wired Equivalent Privacy）及びWPA（WPA（Wi-Fi Protected Access）については、既に脆弱性が公知となっているた
め、暗号強度が確認されているWPA2以降の暗号方式を採用しなければならない。暗号化を含めた無線LAN全般に関するセキュリティ対策は「Wi-Fi提供者
向け セキュリティ対策の手引き」を参照されたい。
97

（https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/）（注７）無線LANの不正利用調査を行い、探査ツール等を用い、無許可のアクセスポ
イントや使用されていないアクセスポイントが設置されていないことを点検することも有益である。
（１１）電子メールのセキュリティ管理
メールサーバに対するセキュリティ対策等、電子メールのセキュリティ管理について定める。
中継処理の禁止は、メールサーバが踏み台となり他のサーバに攻撃を行うことを防止するために必要がある。
教職員等が電子メールの送信等により情報の外部への不正な持ち出しをしていないか監視するためには、フィルタリングソフト等を利用する。
（注８）上司など指定した職員に同報しなければ、送信できないように設定し、外部への持ち出しを牽制する方法等もある。
（注９）電子メールの送信に使われる通信方式の1つであるSMTP（Simple Mail
Transfer Protocol）では、差出人のメールアドレスを誰でも自由に名乗ることができるため、送信者のアドレス詐称（なりすまし）が容易にできる問題がある。このため、電子メールのなりすまし対策として、受信者側は送信ドメイン認証技術（SPF、DKIM）を導入するとともに、正規の送信者に対して受信者側の認証結果を通知する仕組み（DMARC）を導入し、社会インフラとしてのなりすましメール対策を図ることが効果的である。
６.２. アクセス制御【趣旨】
情報システム等をアクセス権限のない者に利用できる状態にしておくと、情報漏えいや情報資産の不正利用等の被害が発生し得る。そこで、アクセス制御を業務内容、権限ごとに明確に規定しておく必要がある。また、不用意なアクセス権限付与による不正アクセスを防ぐために、アクセス権限の管理は統括教育情報セキュリティ責任者及び教育情報シス
テム管理者に集約することが重要である。
このことから、利用者登録や特権管理等を用いた情報システムへのアクセス制御、ログ
イン手順、接続時間の制限等不正なアクセスを防止する手段について規定する。
【例文】（１）アクセス制御等
統括教育情報セキュリティ責任者又は教育情報システム管理者は、所管するネットワーク又は情報システムごとにアクセスする権限のない教職員等がアクセスできないよう98

に、システム上制限しなければならない。特に強固なアクセス制御による対策を講じたシステム構成の場合、重要な情報資産へのアクセスについては、多要素認証等のアクセスの真正性に関する要素技術を取り入れることで、当該システムへの認証強度の向上とアクセス権管理を徹底すること。
（２）外部からのアクセス等の制限① 統括教育情報セキュリティ責任者は、内部のネットワーク又は情報システムに対する外部からのアクセスを、アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
② 統括教育情報セキュリティ責任者は、民間事業者等の外部組織からのシステム
アクセスを認める場合、アクセスする利用者の本人確認、システムアクセスの対象となる児童生徒の本人（保護者）同意を得る等の措置を講じなければならない。
③ 統括教育情報セキュリティ責任者は、外部からのアクセスを認める場合、通信途上の盗聴を防御するために通信経路の暗号化等の措置を講じなければならない。
④ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、外部からのアクセスに利用するモバイル端末を教職員等に貸与する場合、モバイル端末管理（MDM）の導入等を通じて、セキュリティ確保のために必要な措置を講じなければならない。
⑤ 統括教育情報セキュリティ責任者は、外部から教育ネットワークに接続することを許可する場合は、利用者のID及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体（ICカード等）による認証に加えて通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講じなければならな
い。
（３）自動識別の設定
統括教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワークで使用される機器について、機器固有情報によって端末とネットワークとの接続の可否が自動的に識別されるようシステムを設定しなければならない。【推奨事項】（４）ログイン時の表示等
教育情報システム管理者は、ログイン時におけるメッセージ、ログイン試行回数の制
限、アクセスタイムアウトの設定及びログイン・ログアウト時刻の表示等により、正当なアクセス権を持つ教職員等がログインしたことを確認することができるようシステム
を設定しなければならない。
99

（５）特権による接続時間の制限
教育情報システム管理者は、特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。
（解説）（１）アクセス制御
各システムへのログインに多要素認証を用いる場合は、シングルサインオンを併用するなど、教職員等の負担を十分考慮した仕組みを導入することが望ましい。
また、各システムへのアクセスに対し、端末のIPアドレスやWebブラウザ、場所や時間などが通常と異なる際のリスクを判定し、追加の認証を行う方式であるリスクベース認証を用いることにより重要な情報資産へのアクセスに関するセキュリティを強化することができる。
（２）外部からのアクセス等の制限
外部から教育ネットワークや情報システムに接続を認める場合は、外部から攻撃を受けるリスクが高くなることから、本人確認手段の確保、通信途上の盗聴を防御するために、
原則、安全な通信回線サービスを利用しなければならない。その際、通信する情報の機密性に応じて、ファイル暗号化、通信経路の暗号化、専用回線の利用、適切な利用者認証等の必要な措置を取ることが求められる。また、接続に当たっては許可制とし、許可は必要
最小限の者に限定しなければならない。
（注１）持ち込んだモバイル端末を確認するシステムとして、検疫システムやモバイ
ルデバイス管理ツール（Mobile Device Management）がある。モバイル端末
を学校内に持ち帰った場合等に、OSのパッチやコンピュータウイルス対策ソ
フトウェアのパターンファイルが最新でないなど、十分なセキュリティ対策が取られていないモバイル端末を教育ネットワークに接続させないよう、検疫システムによる確認を義務付けたり、MDMによるモバイル端末の状況を確認
し、接続の可否を判断することなどにより、様々な脅威の発生を防止することができる。
（注２）学校外から教育ネットワークや情報システムにアクセスする場合は、統括教
育情報セキュリティ責任者の許可を得た上で、必要最小限の範囲のみのアクセスとする。さらに、ログを取得し、不正なアクセスがないかを定期的に確認することが求められる。
（３）自動識別の設定
ネットワークに不正な機器の接続を防止するために、電子証明書による端末認証を利用
100

し制限する必要がある。
（４）ログイン時の表示等
ソフトウェアに、ログイン試行回数の制限や、直近に使用された日時が表示される機能等がある場合は、それらを有効に活用し、不正にパソコン等の端末が利用されないようにする必要がある。
（５）特権による接続時間の制限
管理者権限等の特権を利用している際に、システムにログインしたままで端末を放置しておくと、他者に不正利用されるおそれがあることから、システムの未使用時には自動的にネットワーク接続を終了するなどの措置を講じる必要がある。
６.３. システム開発、導入、保守等【趣旨】
システム開発、導入、保守等において、技術的なセキュリティ対策が十分に行われない
場合は、プログラム上の欠陥（バグ）によるシステム障害等により業務に重大な支障が生じるおそれがある。このことから、システム開発、導入、保守のそれぞれの段階における対策を「第２編９. SaaS型パブリッククラウドサービスの利用」の記載も参照しつつ、規定する。なお、本規定にはシステムの更新又は統合時の十分な検証等も含まれる。
【例文】（１）情報システムの調達① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、情報システ
ム開発、導入、保守等の調達に当たっては、調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、機器及びソ
フトウェアの調達に当たっては、当該製品のセキュリティ機能を調査し、情報セキュリティ上問題のないことを確認しなければならない。
（２）情報システムの開発① システム開発における責任者及び作業者の特定
教育情報システム管理者は、システム開発の責任者及び作業者を特定しなければならない。また、システム開発のための規則を確立しなければならない。
② システム開発における責任者、作業者のIDの管理(ア)教育情報システム管理者は、システム開発の責任者及び作業者が使用するIDを管理し、開発完了後、開発用IDを削除しなければならない。
(イ)教育情報システム管理者は、システム開発の責任者及び作業者のアクセス
101

権限を設定しなければならならない。
③ システム開発に用いるハードウェア及びソフトウェアの管理(ア)教育情報システム管理者は、システム開発の責任者及び作業者が使用する
ハードウェア及びソフトウェアを特定しなければならない。
(イ)教育情報システム管理者は、利用を認めたソフトウェア以外のソフトウェ
アが導入されている場合、当該ソフトウェアをシステムから削除しなければならない。
（３）情報システムの導入① 開発環境と運用環境の分離及び移行手順の明確化(ア)教育情報システム管理者は、システム開発、保守及びテスト環境とシステ
ム運用環境を分離しなければならない。【推奨事項】(イ)教育情報システム管理者は、システム開発・保守及びテスト環境からシス
テム運用環境への移行について、システム開発・保守計画の策定時に手順を明確にしなければならない。
(ウ)教育情報システム管理者は、移行の際、情報システムに記録されている情報資産の保存を確実に行い、移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。
(エ)教育情報システム管理者は、導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。
② テスト(ア)教育情報システム管理者は、新たに情報システムを導入する場合、既に稼働している情報システムに接続する前に十分な試験を行わなければならない。
(イ)教育情報システム管理者は、運用テストを行う場合、あらかじめ擬似環境
による操作確認を行わなければならない。
(ウ)教育情報システム管理者は、個人情報及び機密性の高い生データを、テス
トデータに使用してはならない。
(エ)教育情報システム管理者は、開発したシステムについて受け入れテストを行う場合、開発した組織と導入する組織が、それぞれ独立したテストを行わなければならない。
(オ)教育情報システム管理者は、運用環境への移行に先立ち、システムの脆弱性テストを行い、その結果を確認しなければならない。
（４）システム開発・保守に関連する資料等の整備・保管① 教育情報システム管理者は、システム開発・保守に関連する資料及びシステム
102

関連文書を適切に整備・保管しなければならない。
② 教育情報システム管理者は、テスト結果を一定期間保管しなければならない。
③ 教育情報システム管理者は、情報システムに係るソースコードならびに使用したオープンソースのバージョン（リポジトリ）を適切な方法で保管しなければならない。
（５）情報システムにおける入出力データの正確性の確保① 教育情報システム管理者は、情報システムに入力されるデータについて、範囲、妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込
むように情報システムを設計しなければならない。
② 教育情報システム管理者は、故意又は過失により情報が改ざんされる又は漏え
いするおそれがある場合に、これを検出するチェック機能を組み込むように情報システムを設計しなければならない。
③ 教育情報システム管理者は、情報システムから出力されるデータについて、情報の処理が正しく反映され、出力されるように情報システムを設計しなければならない。
（６）情報システムの変更管理
教育情報システム管理者は、情報システムを変更した場合、プログラム仕様書等の変
更履歴を作成しなければならない。
（７）開発・保守用のソフトウェアの更新等
教育情報システム管理者は、開発・保守用のソフトウェア等を更新又はパッチの適用をする場合、他の情報システムとの整合性を確認しなければならない。
（８）システム更新又は統合時の検証等
教育情報システム管理者は、システム更新・統合時に伴うリスク管理体制の構築、移行基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。
（解説）（１）情報システムの調達
情報システムを調達する場合は、当該情報システムで取り扱う情報の重要性に応じて、
情報システムのライフサイクルで必要となるセキュリティ機能を洗い出し、調達要件に含める必要がある。例えば、アクセス制御の機能、パスワード設定機能、ログ取得機能、データの暗号化等である。
（注１）情報機器及びソフトウェア等の情報セキュリティ機能の評価に当たっては、
103

第三者機関による客観的な評価である、ISO/IEC15408に基づくITセキュリテ
ィ評価及び認証制度による認証の取得の有無を評価項目として活用すること又は構築する情報システムに重要な情報セキュリティ要件があると認められた場合には、第三者機関による当該情報システムのセキュリティ設計仕様書（ST: Security Target）のST評価・ST確認を活用することも考えられる。
「ITセキュリティ評価及び認証制度（JISEC）」については、独立行政法人情報処理推進機構のサイトを参照のこと。
（注２）システム調達、開発、導入を行うに当たっては、CISOの許可を得て実施することが望ましい。
（注３）情報システムの利用を満足できるものにするためには、情報システムが当該利用に足りる十分な処理能力と記憶容量を持つことが必要である。また、処理能力と記憶容量の使用状況を監視し、将来的に必要とされる能力・容量を予測して、ハードディスクの増強等適切な措置をとることが望まれる。
（注４）情報システムは可用性の観点から、冗長性を組み入れることを考慮することが望ましい。ただし、冗長性を組み入れることにより、情報システムの完全性、機密性に対するリスクが生じる可能性があるため、この点についても考慮すること。


機密性を高める対策例
サーバを二重化することにより場合によっては機密性の高い情報が二カ所に保存されることになるため、修正プログラムの適用やソフトウェアの最新化、不要なサービスの停止といったセキュリティの確保を二重化した双方のサーバに同時・同等に実施する。



完全性を高める対策例
二重化したサーバ内の情報の整合性を確保するために、双方のサーバ内のデータの突合確認や誤り訂正機能の実装などの対策を実施する。

（注５）IT製品の調達において、その製品に他の供給者から供給される構成部品やソフトウェアが含まれる場合には、そのサプライチェーン全体に適切なセキュ
リティ慣行を伝達し、サプライチェーンの過程において意図せざる変更が加えられないよう、直接の供給者に要求することが必要である。また、提供されたIT製品が機能要件として取り決められたとおりに機能すること、構成部
品やソフトウェアについてはその供給元が追跡可能であることを保証させることが望ましい。
（注６）調達する情報システムに応じた要件の詳細については、「非機能要求グレード（地方公共団体版）利用ガイド」（平成26年3月 地方自治情報センター）「IT製品の調達におけるセキュリティ要件リスト」（平成30年2月28日 経済産業省）を参照されたい。
104

（注７）オンラインでの申請及び届出等の手続を提供するシステムについては、「オンライン手続におけるリスク評価及び電子署名・認証ガイドライン」（平成22年8月31日 各府省情報化統括責任者（CIO）連絡会議決定）を参照された
い。
（２）情報システムの開発① システム開発における責任者及び作業者の特定システム開発においては、その責任の所在や実施体制を把握する観点から、責任者と作業者を特定する必要がある。また、システム開発の方針、手順等の規則を決定し、開発に適用する必要がある。
（注８）システム開発において、作業進捗が悪い場合等に、要員の投入が逐次行われるケースがあるが、これらのことが、要員の調整等に不備が生じるケースがある。特に、外部委託でシステム開発を行う場合等は、その理由を明確にして、要員の変更や増減の許可をする必要がある。
② システム開発における管理者及び作業者のIDの管理システム開発において、開発用のIDは、管理がずさんになりやすい傾向があることから、適切な管理が必要である。
③ システム開発に用いるハードウェア及びソフトウェアの管理
外部委託事業者が選定した開発用ソフトウェアについて、一般的に利用が知られていないソフトウェアは、その理由を確認する必要がある。また、利用することとしたソフトウェア以外のソフトウェアは削除することとする。
（３）情報システムの導入① 開発環境と運用環境の分離及び移行手順の明確化
システム開発において、開発環境と運用環境が同一であると、運用環境で使用しているプログラムやファイルを誤って書き換えてしまうことが発生しやすくなる
ので、システムの開発環境と運用環境は、できる限り分離し、セキュリティに配慮した設計にすることが必要である。
（注９）情報システムの導入に当たっては、利用する業務の内容や取り扱う情報の重要度に応じて、万一の障害に備えた冗長性や可用性が必要となる場合がある。事前に確認しておく事項としては、例えば次のものがある。
 その箇所が働かないとシステム全体が停止してしまう箇所の有無とその対策内容（冗長化・障害時の円滑な切り替えなど） 広域災害対策の有無（バックアップ設備を遠隔地に配置しているなど）や対応方針（サービス継続を優先するかセキュリティ対策の確保を優先するかなど）
105

② テスト
運用環境への移行は、業務に精通している利用部門の協力を得て、疑似環境における操作について、テストを行い、その結果を確認した後に行う必要がある。
（４）システム開発・保守に関連する資料等の整備・保管システム開発や機器等の導入において、開発や機器等の導入に関する資料やシステム関連文書等は、保守や機器更新の際に必要となることから、適切に整備し保管することが必要である。
（５）情報システムにおける入出力データの正確性の確保
情報システムの処理は、入力処理、内部処理、出力処理で構成されている。これらの処理を行うプログラムの設計が正確に行われないと、データが不正確なものになるおそれがある。
入力処理の際は、不正確なデータの取り込みが行われないよう、入力データの範囲チェ
ックや不正な文字列等の入力を除去する機能を組み込むことが必要になる。
内部処理においても、データの抽出条件の誤りやデータベースの更新処理での計算式のミス等で、データ内容を誤った結果に書き換えてしまうことのないよう、これらを検出するチェック機能を持たせる必要がある。さらには、内部処理が正確に行われていた場合であっても、出力処理で誤った処理がされると、端末画面の表示や印刷物を利用する者に対して、誤ったデータ内容を認識させてしまうおそれがある。このことから、情報システムの処理した結果の正確性が確保されるよう、システムの設計及びプログラムの設計を行う必要がある。
（注１０）ウェブシステムの設計においては、ソースコードの記述内容にセキュリテ
ィ機能の必要性を調査せずに設計が行われるとセキュリティホールを残してしまうことがある。そこで、セキュリティ上の機能要件を洗い出し、システム開発の計画時に盛り込む必要があるほか、現在、運用しているウェ
ブシステムについても、これらのソースコードの記述内容にセキュリティ
ホールが潜んでいる場合があるため、ソースコードを確認する必要がある。
（注１１）ウェブアプリケーションの開発においては、セキュリティを考慮した実装
を行わなければ脆弱性を作り込んでしまうおそれがある。適切なセキュリ
ティを考慮したウェブサイトを構築するための注意点や脆弱性の有無の判定基準については、「安全なウェブサイトの作り方 改訂第7版」及びその別冊資料（2016年1月27日 情報処理推進機構）を参照されたい。
（注１２）外部の者が学校の名前をタイトルに掲げるなどし、学校のウェブサイトと誤解されかねないウェブサイトを構築することがあり、これを完全に防ぐ106

ことは困難である。このため、このようなウェブサイトを発見した、又は報告を受けた場合は、速やかに教育情報セキュリティ責任者へ報告し、対処を検討しなければならない。
（注１３）ウェブサイトや電子メール等を利用し、外部の者が提供するウェブアプリ
ケーション又はコンテンツを告知する場合は、以下の対策を講ずること。
・ 告知するアプリケーション又はコンテンツを管理する組織名を明記する
・ 告知するアプリケーション又はコンテンツの所在場所の有効性（リンク先のURLのドメイン名の有効期限等）を確認した時期又は有効性を保証す
る機関について明記する
・ 電子メールにて告知する場合は、告知内容についての問合せ先を明記する（６）情報システムの変更管理
情報システムのプログラムを保守した場合は、必ず変更履歴を作成しておくことが必要になる。変更履歴がないと、プログラム仕様書と実際のソースコードに不整合が生じ、変更時の見落としからシステム障害を招く可能性が高まる。
（７）開発・保守用のソフトウェアの更新等
数年間のシステム開発等、長期の開発期間を要する場合には、運用環境のシステム保守
状況を踏まえて、移行時にシステム障害が生じないように、開発環境のソフトウェアの更新を行っておく必要がある。ソフトウェアのバージョンが違っていたために、運用環境でシステムが緊急停止をすることや、他のシステムに影響を与えることがあり、これを未然に防止することが重要である。
（８）システム更新又は統合時の検証等
システムを更新又は統合する場合は、システムの長時間の停止や誤動作等による業務への影響が生じないように、事前に慎重な検証等を行っておく必要がある。
（注１４）検証等を行う事項としては、例えば次のものがある。
・ システム更新又は統合作業時に遭遇する想定外の事象に対応する体制
・ システム及びデータ移行手続が失敗した場合や移行直後に障害等が生じた場合における、旧システムへ戻す計画とその手順
・ 更新又は統合によって影響される業務運営体制
・ システム及びデータ移行手続における検証チェックポイントや移行の妥
当性基準の明確化

107６.４. 不正プログラム対策【趣旨】
情報システムにコンピュータウイルス等の不正プログラム対策が十分に行われていない
場合は、システムの損傷、情報漏えい等の情報セキュリティインシデントが発生するおそれがある。不正プログラム対策としては、不正プログラム対策ソフトウェアを導入するとともに、パターンファイルの更新、ソフトウェアのパッチの適用等を確実に実施することが基本であり、被害の拡大を防止することになる。
これらを踏まえ、不正プログラムの感染、侵入を予防し、さらには感染時の対応として取るべき手段を規定する。
【例文】（１）統括教育情報セキュリティ責任者の措置事項
統括教育情報セキュリティ責任者は、不正プログラム対策として、次の事項を措置しなければならない。
① 外部ネットワークから受信したファイルは、インターネットのゲートウェイなどにおいてコンピュータウイルス等の不正プログラムのチェックを行い、不正プログラムのシステムへの侵入を防止しなければならない。
② 外部ネットワークに送信するファイルは、インターネットのゲートウェイなどにおいてコンピュータウイルス等不正プログラムのチェックを行い、不正プログラムの外部への拡散を防止しなければならない。
③ コンピュータウイルス等の不正プログラム情報を収集し、必要に応じ教職員等に対して注意喚起しなければならない。
④ 所掌するサーバ及びパソコン等の端末に、コンピュータウイルス等の不正プログラム対策ソフトウェアを常駐させなければならない。
⑤ 不正プログラム対策ソフトウェアのパターンファイルは、常に最新の状態に保たなければならない。
⑥ 不正プログラム対策のソフトウェアは、常に最新の状態に保たなければならない。
⑦ 業務で利用するソフトウェアは、パッチやバージョンアップなどの開発元のサポートが終了したソフトウェアを利用してはならない。
（２）教育情報システム管理者の措置事項
教育情報システム管理者は、不正プログラム対策に関し、次の事項を措置しなければならない。
① 教育情報システム管理者は、その所掌するサーバ及びパソコン等の端末を守るため、コンピュータウイルス等の不正プログラムへの対策を講じなければなら
108

ない。
② 不正プログラム対策は、常に最新の状態に保たなければならない。
③ インターネットに接続していないシステムにおいて、電磁的記録媒体を使う場
合、コンピュータウイルス等の感染を防止するために、市が管理している電磁的記録媒体以外を教職員等に利用させてはならない。また、不正プログラムの感染、侵入が生じる可能性が著しく低い場合を除き、不正プログラム対策ソフ
トウェアを導入し、定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。
（解説）（１）統括教育情報セキュリティ責任者の措置事項
インターネットからの不正プログラム感染、侵入を防御するためには、教育ネットワー
クとインターネットの境界で不正プログラム対策ソフトウェアを導入する必要がある。
なお、不正プログラム対策ソフトウェアに限らず、ハードウェア、オペレーティングシス
テムによって、システム改変検知や不正プログラムの侵入を防止するケースもある。
（注１）不正プログラムには、コンピュータシステムの破壊、無差別の電子メールの送信による感染の拡散を行うコンピュータウイルスのほか、暗証番号やパス
ワード等を盗むことを目的にしているスパイウェアなど、多くの種類が存在している。
（注２）ソフトウェアの更新は、開発元等から提供されるセキュリティホールのパッチ適用やバージョンアップ等で行うが、これらは開発元がサポートしている期間内でのみ行うことができるため、適宜サポートが終了していないソフト
ウェアへ切り替え等を行う必要がある。なお、ソフトウェアの更新について
はパソコン等の端末だけでなくサーバやモバイル端末についても同様にOSの更新や修正プログラムを適用する必要がある。
（注３）近年のサイバー攻撃は複雑、巧妙化しており、パターンファイルによる不正プログラム対策ソフトウェアでは検知出来ない攻撃が頻発している状況である。こうしたマルウェアを検知するためには、不正な挙動等を検知し、早期対処する仕組みを構築することにより迅速にマルウェアを検知することが出来る対策も重要である。なお、端末のリソース状況・実現したい機能・コストを鑑みて検討すること。
（注４）昨今特に大きな脅威となっているものとして「Emotet（エモテット）」が挙げられる。悪意のある者により、不正なメールに添付されるなどして、感染の拡大が試みられている。Emotet の感染を狙う不正なメールの中には「正規メールへの返信を装う」手口が使用される場合があり、受信者が違和感を抱
かないよう工夫されているのが特徴である。その他、添付ファイルを暗号化
109することでウイルス対策ソフトの検知を逃れるケースも報告されている。
Emotetへの感染を予防し、被害を最小限にとどめるための対策として「組織内への注意喚起の実施」、「信頼できない Word 文書や Excel ファイルにおいてマクロの実行禁止」、「メールの監査ログの取得や SOC による常時監視」のほか、Emotet 対策だけに限らないが「ダウンローダーが C&C サーバと通信できないネットワーク環境とすること」、「暗号化されたファイルが添付されたメールのゲートウェイでの着信拒否」などが挙げられる。
その他、Emotet の最新情報や対策の具体的な内容については、独立行政法人
情報処理推進機構やJPCERT コーディネーションセンター（JPCERT/CC）のウェブサイトで確認できるため、参照することが望ましい。
参考：独立行政法人情報処理推進機構「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて（https://www.ipa.go.jp/security/announce/20191202.html）
参考： JPCERT/CC「マルウエア Emotet への対応 FAQ」
（https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html#7）（注５）Emotet と並んで大きな被害を生んでいるウイルスの種類としてランサムウ
ェアが挙げられる。ランサムウェアとは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語である。従来は感染した端末等に特定の制限をかけ、その解除と引き換えに金銭を要求していたが、令和元年頃からパソコン内のファイルの暗号化に加え、身代金を支払わなけ
ればそのファイルの内容を公開するといった被害者に対して情報漏洩を迫る
脅迫手法も確認されるようになった。身代金を払ったとしても攻撃元が情報を正常な状態に戻す、又は外部に公表しないといった行為をとる確証は全くない。
ランサムウェアの感染経路としては、VPN 機器等のネットワーク機器の脆弱性を利用した侵入、リモートデスクトップからの侵入、不審メールやその添付ファイルが多い。（警察庁「令和 4 年上半期におけるサイバー空間をめぐる脅威の情報等について」）また、USB メモリ等の電磁的記録媒体を介して感染する場合も想定される。
ランサムウェアの対策を実施するための具体的な方法については、以下のドキュメントやウェブサイトが参考となるため、参照することが望ましい。
参考：NISC サイバーセキュリティ・ポータル（ストップ！ ランサムウェア
ランサムウェア特設ページ）（https://www.nisc.go.jp/tokusetsu/stopransomware/index.html）
参考： JPCERT/CC「ランサムウェア対策特設サイト」（https://www.jpcert.or.jp/magazine/security/nomore-ransom.html）
110

参考：独立行政法人情報処理推進機構「ランサムウェアの脅威と対策～ラン
サムウェアによる被害を低減するために～」（2017 年 1 月 27 日）（https://www.ipa.go.jp/files/000057314.pdf）（注６）フィッシングとは、公的機関や金融機関など、実在する組織や個人になりすました攻撃者がメールや SMS を送信し、正規のウェブサイトを模倣した偽サイトに誘導させることで、認証情報、ATM の認証番号、クレジットカード番
号といった重要な機密情報を詐取する手口である。昨今は、より一層利用者が気づきにくい手口で重要な機密情報の取得を試みるケースもあり、さらなる注意が必要になる。対策として、「メールや SMS に添付されている URLは安易にクリックせず、ウェブサイトにアクセスする際は、あらかじめ登録している URL からアクセスする」、「Web サービスにログインする場合に、多要素認証等の設定が可能な場合、有効化する」などが挙げられる。フィッ
シングメールに対する対策、対応の詳細は以下のドキュメントに記載されているため、参照することが望ましい。
参考：独立行政法人情報処理推進機構「情報セキュリティ 10 大脅威 2022」
解説書、フィッシングによる個人情報等の詐取（12 頁から 13 頁）（2022年3 月）（https://www.ipa.go.jp/files/000096258.pdf）（注７）昨今特に大きな脅威となっているものとして「詐欺サイト」が挙げられる。
インターネットで調べごとをしているとき、突然画面に「セキュリティの警告」が広がり、サポートに連絡してください、画面上のボタンを押してくだ
さいなどの指示が行われる。フィルタリングで多くのサイトへのアクセスは防げるが、完全な削除は技術的に困難であり、画面の中のボタンを押さない、画面に書いてある番号に電話しない、画面の指示につられて個人情報の入力や、料金の支払いを行わない、という基本対策の徹底が有効な対策 。

（２）教育情報システム管理者の措置事項
ウイルスチェック等のパターンファイルや不正プログラム対策ソフトウェアは常に最新の状態に保って利用することが不可欠である。
なお、インターネットに接続していないシステムは、不正プログラムの感染、侵入の可能性は低いが、原則として教職員等が持ち込んだ電磁的記録媒体や古くから保管していた
電磁的記録媒体から感染することもあり得るので、電磁的記録媒体の使用は組織内で管理しているものに限るとともに、不正プログラム対策ソフトウェアを開発元等から、定期的に取り寄せ、パターンファイルの更新やパッチの適用を確実に実施することが必要である。
111

６.５. 不正アクセス対策【趣旨】
情報システムに不正アクセス対策が十分に行われていない場合は、システムへの攻撃、
情報漏えい、損傷、改ざん等の被害を及ぼすおそれがある。このことから、不正アクセスの防止又は被害を最小限にするため、不正アクセス対策として取るべき措置、攻撃を受けた際の対処及び関係機関との連携等について規定する。
【例文】（１）統括教育情報セキュリティ責任者の措置事項
統括教育情報セキュリティ責任者は、不正アクセス対策として、以下の事項を措置しなければならない。
① 使用されていないポート及びSSID（無線LANネットワーク名）を閉鎖しなければならない。
② 不要なサービスについて、機能を削除又は停止しなければならない。
③ 不正アクセスによるウェブページの改ざんを防止するために、データの書換えを検出し、統括教育情報セキュリティ責任者及び教育情報システム管理者へ通報するよう、設定しなければならない。
④ 重要なシステムの設定を行ったファイル等について、定期的に当該ファイルの改ざんの有無を検査しなければならない。【推奨事項】⑤ 統括教育情報セキュリティ責任者は、情報セキュリティに関する統一的な窓口と連携し、監視、通知、外部連絡窓口及び適切な対応などを実施できる体制並
びに連絡網を構築しなければならない。
（２）攻撃の予告
CISO及び統括教育情報セキュリティ責任者は、サーバ等に攻撃を受けることが明確になった場合、システムの停止を含む必要な措置を講じなければならない。また、関係機
関と連絡を密にして情報の収集に努めなければならない。
（３）サービス不能攻撃
統括教育情報セキュリティ責任者及び教育情報システム管理者は、外部からアクセスできる情報システムに対して、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることを防止するため、情報システムの可用性を確保する対策を講じなければならない。
（４）標的型攻撃
統括教育情報セキュリティ責任者及び教育情報システム管理者は、情報システムにお112

いて、標的型攻撃による内部への侵入を防止するために、教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また、内部に侵入した攻撃を早期検知して対処するために、通信をチェックする等の内部対策を講じなければならない。
（解説）（１）統括教育情報セキュリティ責任者の措置事項
使用されていないTCP/UDPポート、SSID、不要なサービスは、不正アクセスによる侵入や悪用に利用される可能性が高いため、ポート閉鎖やサービス停止処理を行う。
（注１）重要なファイルの改ざんについては、改ざん検知ソフトウェアの利用に よって、不正アクセス、不正プログラムの侵入を検知することが可能である。
（注２）CSIRTを活用してCISOへの報告、各部部局への指示、ベンダとの情報共有及び報道機関への通知・公表などの対応を行うとともに、地方公共団体情報システム機構（自治体CEPTOAR）等の関係機関や他の地方公共団体の同様の窓口機能、外部の事業者等と連携して情報共有を行うことが望ましい。
（２）攻撃の予告
情報システムに対する攻撃予告があり、攻撃を受けることが確実な場合には、システム停止等の措置をとらなければならない。また、関係機関との連絡を密にし、情報収集に努めなければならない。
（注３）攻撃を受けた際の対応として、「緊急時対応計画」に基づき、ログの確保、被害を受けた場合の復旧手順の策定、庁内関係者の役割等を再確認しておく必要がある。
（３）サービス不能攻撃
サービス不能攻撃はDoS（Denial of Service）攻撃やDDoS（Distributed Denial ofService）攻撃とも呼ばれている。第三者からサービス不能攻撃を受けた場合でも、情報システムの可用性を維持するために次の例のような対策を行う必要がある。また、これらの対策が適切に実施されているかをモニタリングし、確かめる必要がある。
①情報システムを構成する機器の装備している機能による対策の実施
・ サーバ装置、端末及び通信回線装置について、サービス不能攻撃に対抗するための機能が実装されている場合は、これらを有効にする。
・ 通信事業者と協議し、サービス不能攻撃が発生時の対処手順や連絡体制を整備する。
②サービス不能攻撃を想定した情報システムの構築
・ サービス不能攻撃を受けた場合を想定し、直ちに情報システムを外部ネットワー
クから遮断したり、通信回線の通信量を制限したりするなどの手段を有する情報
113

システムを構築する。
・ サービスを提供する情報システムを構築するサーバ装置、端末、通信回線装置及び通信回線を冗長化し、許容される時間内に切り替えられるようにする。
・ サービス不能攻撃の影響を排除又は低減するための専用の対策装置を導入する。
③通信事業者の提供するサービスの利用
・ 通信事業者が別途提供する、サービス不能攻撃に係る通信の遮断等のサービスがある場合は、これを利用する。
④情報システムの監視及び監視記録の保存
・ 学校外からアクセスされるサーバ装置や、そのアクセスに利用される通信回線装
置及び通信回線の中から、特に高い可用性が求められるものを優先的に監視する。
・ 監視の記録については、監視対象の状態の変動を考慮した上で記録を一定期間保管する。
（４）標的型攻撃
標的型攻撃による外部から教育ネットワーク内への侵入を防ぐため、標的型攻撃メール
受信時の人的対策のほか、電磁的記録媒体やネットワークに対する技術的対策についても次の例のような対策を行うこと。また、これらの対策が適切に実施されているかをモニタリングし、確かめる必要がある。なお、対策の検討にあたっては、「高度サイバー攻撃対処のためのリスク評価等のガイドライン」（平成28年10月7日 情報セキュリティ対策推進会議）及び「高度サイバー攻撃対処のためのリスク評価等のガイドライン 付属書」（平成28年10月7日 内閣官房情報セキュリティセンター）も参照されたい。
①人的対策例（標的型攻撃メール対策）
・ 差出人に心当たりがないメールは、たとえ興味のある件名でも開封しない。
・ 不自然なメールが着信した際は、差出人にメール送信の事実を確認する。
・ メールを開いた後で標的型攻撃と気付いた場合、添付ファイルは絶対に開かず、
メールの本文に書かれたURLもクリックしない。
・ 標的型攻撃と気付いた場合、システム管理者に対して着信の事実を通知し、組織内への注意喚起を依頼した後に、メールを速やかに削除する。
・ システム管理者は、メールやログを確認し、不正なメールがなかったかチェックする。（事後対策）②電磁的記録媒体に対する対策例
・ 出所不明の電磁的記録媒体を内部ネットワーク上の端末に接続させない。
・ 電磁的記録媒体をパソコン等の端末に接続する際、不正プログラム対策ソフトウ
ェアを用いて検査する。
・ パソコン等の端末について、自動再生（オートラン）機能を無効化する。
114

・ パソコン等の端末について、電磁的記録媒体内にあるプログラムを媒体内から直接実行することを拒否する。
③ネットワークに対する対策例
・ ネットワーク機器のログ監視を強化することにより、情報を外部に持ち出そうとするなどの正常ではない振る舞いや外部との不正な通信を確認し、アラームを発したりその通信を遮断する等、ウェブアクセスによって引き起こされるマルウェ
ア感染を防ぐ。
・ 不正な通信がないか、ログをチェックする。（事後対策）
６.６. セキュリティ情報の収集【趣旨】
ソフトウェアにセキュリティホールが存在する場合、システムへの侵入、改ざん、損傷、漏えい等の被害を及ぼすおそれがある。また、情報セキュリティを取り巻く社会環境
や技術環境等は刻々と変化しており、新たな脅威により情報セキュリティインシデントを引き起こすおそれがある。これらのことから、セキュリティホールをはじめとするセキュ
リティ情報の収集、共有及び対策の実施について規定する。
【例文】（１）セキュリティホールに関する情報の収集及び共有並びにソフトウェアの更新等
統括教育情報セキュリティ責任者及び教育情報システム管理者は、セキュリティホー
ルに関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、当該セキュリティホールの緊急度に応じて、ソフトウェア更新等の対策を実施しなければならない。
（２）不正プログラム等のセキュリティ情報の収集及び周知
統括教育情報セキュリティ責任者は、不正プログラム等のセキュリティ情報を収集し、必要に応じ対応方法について、教職員等に周知しなければならない。
（３）情報セキュリティに関する情報の収集及び共有
統括教育情報セキュリティ責任者及び教育情報システム管理者は、情報セキュリティ
に関する情報を収集し、必要に応じ、関係者間で共有しなければならない。また、情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は、セキュリティ侵害を未然に防止するための対策を速やかに講じなければならない。
（解説）（１）セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等
セキュリティホールは日々発見される性質のものであることから、積極的に情報収集を115

行う必要がある。
（注１）セキュリティホールの情報収集に関しては、情報収集の体制、分析の手順、情報収集先、情報共有先等を決めておくことが望まれる。
（注２）セキュリティホールの緊急度のレベルに応じて、更新の実施の有無を検討する。深刻なセキュリティホールが発見された場合は、直ちに対応しなければならないが公開された脆弱性の情報がない段階においては、サーバ、端末及び通信回線上で取り得る対策を検討する。また更新計画を定め、他のシステ
ムへの影響、テスト方法、バックアップの実施、パッチの適用後のシステム障害が生じた場合の復旧手順等を盛り込むことが望ましい。
（注３）不正プログラム、セキュリティホールのパッチの適用情報については、必要に応じ、イントラネットを利用して閲覧できるようにし、教職員等に対して速やかに周知することが望ましい。
（２）不正プログラム等のセキュリティ情報の収集・周知（注４）セキュリティ情報の入手先としては、情報システムの納入業者のほかに、
JPCERT/CC（一般社団法人JPCERT コーディネーションセンター）、IPA（独立行
政法人 情報処理推進機構）等がある。
（３）情報セキュリティに関する情報の収集及び周知
情報セキュリティに関する技術は、新たな技術の開発や普及状況の変化により、期待した情報セキュリティの有効性が失われることや新技術への移行によって既存技術を利用したサービスを受けることができなくなる等、新たなリスクを発生する可能性もあり、情報システム等の情報セキュリティインシデントやセキュリティ侵害の未然の防止のために情報セキュリティに関する技術の動向や技術環境等の変化に関する情報収集と対策を行う必要がある。
（注５）情報セキュリティに関する技術の変化による新たな脅威として、「重要インフラにおける情報セキュリティ確保に関わる「安全基準等」策定にあたって
の指針（第3版）」（平成25年2月22日改定 情報セキュリティ政策会議）では、下記の事項が挙げられている。
・ 電子計算機の性能向上等により暗号の安全性が低下する「暗号の危殆化」
・ インターネットの普及によるIPv4アドレス枯渇化に伴う「IPv6移行」
また、情報収集と対策の検討に当たっては、必要に応じて、外部専門家等の活用も検討する必要がある。
（注６）暗号の危殆化については、「政府機関の情報システムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針」（平成20年4月22日
116

情報セキュリティ政策会議決定）、「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」（平成25年3月1日総務省及び経済産業省） を参照されたい。
（注７）IPv6への移行については、IPv6通信を導入する場合における他の情報システ
ムへの影響や、IPv6通信を想定していないネットワークに接続される全ての情報システム及びネットワークに対するIPv6通信を抑止するための措置、IPv6通信を想定していないネットワークを監視し、IPv6通信が検知された場
合には通信している装置を特定し、IPv6通信を遮断するための措置を考慮する必要がある。
（注８）導入しているソフトウェア（OSを含む。）のサポートが終了した場合、新たな脆弱性が発見されたとしても修正プログラムが製造元から提供されず、情報の流出や第三者を攻撃するための踏み台として利用される等の可能性が高まるため、サポート期間の情報を収集し適切な対策を実施する必要がある。

117

７. 運用
クラウドサービスの利用においては、本項及び「第２編９. SaaS 型パブリッククラウド
サービスの利用」を踏まえて確認・検討すること。
７.１. 情報システムの監視【趣旨】
情報システムにおいて、不正プログラム又は不正アクセス等による情報システムへの攻撃又は侵入、教職員の不正な利用、自らのシステムが他の情報システムに対する攻撃に悪用されること等を防ぐためには、ネットワーク監視等により情報システムの稼働状況について常時監視を行うことが必要である。したがって、情報システムの監視に係る対策について規定する。
【例文】（１）統括教育情報セキュリティ責任者及び教育情報システム管理者は、セキュリテ
ィに関する事案を検知するため、情報システムを常時監視しなければならない。特に強固なアクセス制御による対策を講じたシステム構成の場合、重要な情報資産へのア
クセスについては、侵入検知システム（IDS）や侵入防御システム（IPS）などの対策を講じなければならない。
（２）統括教育情報セキュリティ責任者及び教育情報システム管理者は、重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。
（３）統括教育情報セキュリティ責任者及び教育情報システム管理者は、重要性分類
Ⅱ以上の情報資産を格納する校務系システム及び校務外部接続系システムを常時監視しなければならない。
（４）統括教育情報セキュリティ責任者及び教育情報システム管理者は、重要性分類
Ⅲ以上の情報資産を格納する学習系システムを常時監視しなければならない。【推奨事項】（５）内部からの攻撃監視
統括教育情報セキュリティ責任者及び教育情報システム管理者は、教職員等及び外部委託事業者が使用しているパソコン等の端末からの所管するネットワークのサーバ等に対する攻撃や外部のサイトに対する攻撃を監視しなければならない。

118

（解説）
監視に必要な要素は、不正アクセスや不正利用の検知と記録（ログ等）である。情報システムの稼働状況について、インターネットからの不正アクセスの状況や教職員の利用状
況も含め、ネットワーク監視等により常時確認を行うことが必要である。また、記録については、証拠としての正確性を確保するために、サーバの時刻設定を正確に行う必要がある。サーバ間で時刻記録に矛盾が生じると、ログ解析等追跡が困難になるとともに、証拠としての正確性が担保できないことになる。
（注１）ネットワーク及び情報システムの稼働中は常時監視し、障害が起きた際にも速やかに対応できる体制である必要がある。このため、リスクに応じて侵入検知システム等の利用、監視体制の整備等の措置を講じる必要がある。ネットワーク監視で侵入検知に利用する、侵入検知システム（IDS: Intrusion
Detection System）は、不正プログラム対策ソフトウェアのパターンファイ
ルと同様に、不正アクセスのパターンを検知するためのファイルの更新を行
い、検知能力を維持する必要がある。また、侵入検知だけではなく、侵入を防御する、侵入防御システム（IPS:Intrusion Prevention System）も存在す
る。また、インターネットと繋がっているサーバ（Webサーバ）への外部からの攻撃を検知し、防御する機能であるWAF（Web Application Firewall）も存在する。
（注２）システム管理者などの特別な権限を持つIDの利用者の記録の確認について
は、本人以外のシステム管理者又はシステム管理者以外の者が確認するようにし、客観的に確認できる仕組みを構築する必要がある。
（注３）セキュリティ監視の観点からも、重要な情報資産は、教育委員会等によるセンターサーバ保管又はセキュリティ要件を満たしたデータセンター及びクラウドサービスでの管理が望ましい。
（注４）首長部局と連携しセキュリティの監視体制（都道府県単位等複数自治体による情報セキュリティの強化を含む）を整備することが望ましい。
（５）内部からの攻撃監視
教育ネットワークに接続したパソコン、モバイル端末及び不正プログラムに感染した庁
内サーバを使って、庁内のサーバや外部のサーバ等に攻撃を仕掛けられる場合があり、これらを監視しなければならない。
（注５）学校内で保護者等に公衆通信回線を提供する場合は、内部の情報システムとネットワークを切り分け、不正アクセスを防止する対策を行わなければなら
ない。

119

７.２. ドキュメントの管理【趣旨】
情報セキュリティ対策の詳細を記載したドキュメント類は機密事項に相当するものであり、外部情報漏えいによって攻撃者の手に渡ることを絶対に別ける必要がある。その意味で情報システムの仕様書、運用管理記録等情報セキュリティに関するドキュメント管理を厳格に行う必要がある。また、設計変更や障害での対策等の経緯を含めた記録管理により、常にアップデイトされた状態を保持することも、故障やセキュリティ侵害時の対応等で必要になるものであり、情報セキュリティ確保における必須事項である点に留意いただきたい。
【例文】（１）システム管理記録及び作業の確認① 教育情報システム管理者は、所管する教育情報システムの運用において実施した作業について、作業記録を作成しなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、所管するシ
ステムにおいて、システム変更等の作業を行った場合は、作業内容について記録を作成し、詐取、改ざん等をされないように適切に管理しなければならない。
③ 統括教育情報セキュリティ責任者、教育情報システム管理者又は教育情報シス
テム担当者及び契約により操作を認められた外部委託事業者がシステム変更等の作業を行う場合は、2名以上で作業し、互いにその作業を確認しなければならない。
（２）情報システム仕様書等の管理
統括教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワーク構成
図、情報システム仕様書等について、記録媒体に関わらず、業務上必要とする者以外の者が閲覧したり、紛失等がないよう、適切に管理しなければならない。
（３）障害記録の管理
統括教育情報セキュリティ責任者及び教育情報システム管理者は、教職員等からのシステム障害の報告、システム障害に対する処理結果又は問題等を、障害記録として記録し、適切に保存しなければならない。
（４）記録の保存
CISO及び統括教育情報セキュリティ責任者は、サーバ等に攻撃を受け、当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には、攻撃の記録を保存するとともに、警察及び関係機関との緊密な連携に努めなければならない。

120

（解説）
（１）システム管理記録及び作業の確認
情報システムに対して行った日常の運用作業については、記録を残しておくことが必要である。特に、システム変更等の作業を行った場合は、情報システムの現状を正確に把握するため、当該作業内容を記録し、詐取又は改ざん等のないよう適切に管理しておくことが必要である。
また、システム変更等の作業を行う場合は、2人以上で確認を行い、設定ミス又はプロ
グラムバグ等によるシステム障害のリスクを減らさなければならない。
（２）情報システム仕様書等の管理
情報システム及びネットワークに関する文書は、悪意を持つ者に攻撃材料として使われるおそれがあることから、機密性3相当の文書として扱い、業務上必要のある者以外が閲覧したり、紛失等が生じないように管理する必要がある。
（３）障害記録の管理
システム障害への対応を決める際、過去に起きた類似障害が参考になるので、障害記録を適切に保存しておく必要がある。
（注１）障害記録のデータベース化を図るなど、障害対応を決める場合に活用できるように保管しておくことが重要である。
（４）記録の保存
外部から不正アクセスを受けた場合に、その記録としてログ、対応した記録等を保存しておくことは、事実確認、原因追及及び対策検討のため、必要であり、記録の保存について定めておく必要がある。
（注２）不正アクセスについてログ解析を行う場合は、証拠保全用と解析用と分けて保管する必要がある。
７.３. 教職員等の ID 及びパスワードの管理【趣旨】
情報システムにおいて正規な利用者がどうかは利用者認証情報に基づき判断されるが、利用者認証情報の外部流出された場合には、簡単に不正アクセスにつながる。利用者認証情報の多くは、知識認証（ＩＤ及びパスワード）であり、ＩＤ及びパスワードを秘匿管理することが不正アクセス抑止の要であることに留意されたい。
【例文】（１）利用者 ID の取扱い
121

① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、利用者の登録、変更、抹消等の情報管理、教職員等の異動、出向、退職者に伴う利用者 IDの取扱い等の方法を定めなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、利用されていない ID が放置されないよう、人事管理部門と連携し、点検しなければならない。
（２）パスワードに関する情報の管理① 統括教育情報セキュリティ責任者又は教育情報システム管理者は、教職員等のパスワードに関する情報を厳重に管理しなければならない。パスワードファイ
ルを不正利用から保護するため、オペレーティングシステム等でパスワード設
定のセキュリティ強化機能がある場合は、これを有効に活用しなければならない。
② 統括教育情報セキュリティ責任者又は教育情報システム管理者は、教職員等に対してパスワードを発行する場合は、仮のパスワードを発行し、ログイン後直ちに仮のパスワードを変更させなければならない。
（解説）
実際に不正アクセスの多くは、利用者認証情報の外部流出に起因して発生している。情報セキュリティ強化において、利用者認証の強化が最優先で求められており、多要素認証導入が進む一方で、知識認証（IＤ及びパスワード）に頼るだけの情報システムも数多く存在する。教職員等のＩＤ及びパスワードの管理は不正アクセスを起こさないための要であり、管理の重要性は計り知れないことを念頭にすべきである。
７.４. IC カード等の取扱い【趣旨】
情報システムを利用する際のID及びパスワード、生体認証に係る情報等の認証情報及びこれを記録した媒体（ICカード等）の管理が適切に行われない場合は、情報システム等を不正に利用されるおそれがある。このことから、ID及びパスワード等の管理に関する遵守事項を規定する。
認証情報等は、人的な原因により漏えいしやすい情報である。教育情報システム管理者
からの認証情報等の発行から教職員等での管理に至るまで、人的な原因で情報の漏えいするリスクを最小限にとどめる必要がある。
なお、1人1台端末におけるID及びパスワード等の管理に関しては後述の「第２編７.５.
児童生徒におけるID及びパスワード等の管理」も参照すること。

122

【例文】
（１）ICカード等の取扱い① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ICカード等の紛失等の通報があり次第、当該ICカード等を使用したアクセス等を速やかに停止しなければならない。
② 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ICカード等を切り替える場合、切替え前のカードを回収し、破砕するなど復元不可能な処理を行った上で廃棄しなければならない。
（解説）（１）ICカード等の取扱い認証のため、IC カードや USB トークン等の媒体を利用する場合は、情報のライフサイクルに着目し、利用、保管、返却、廃棄等の各段階における取扱い方法を定めておくことが必要である。
７.５. 児童生徒における ID 及びパスワード等の管理【趣旨】
GIGAスクール構想における1人1台端末の整備と併せて、児童生徒一人一人に個別のIDを付与することで、児童生徒の学びを蓄積し、教員やAIによるフィードバックが行われ、個別最適化された学びを提供することが期待できる。一方で、なりすまし等によるIDの不正使用や不正アクセスによる情報漏洩等のセキュリティリスクも考えられるため、利用する
学習用ツールやクラウド上のアプリケーションのID/パスワードに対して安全管理措置を講じなければならない。例えば、パスワードに関しては定期的な更新を求める運用は廃止
し、複雑性を満たすパスワードを設定の上、パスワードの流出を検出した際には速やかに
新しいパスワードに変更しなければならない。
なお、クラウド上の学習用ツールごとに異なるID/パスワードでのログインが必要になるなど、学習面での利便性の低下が課題となることも考えられる。そこで、シングルサイ
ンオンを採用し、ID/パスワードなどによる認証を必要とする複数のシステム（アプリケーション）に対して、最初に1回だけ認証を行うことにより、その後の認証を全てシステ
ムにより自動化する技術もある。
【例文】（１）ID登録・変更・削除① 入学/転入時のID登録処理
IDについてはシンプル・ユニーク（唯一無二）・パーマネント/パーシスタント（永続的な識別）な構成要素になっていることや、児童生徒の発達段階に応じ
123

た複雑性を上げたパスワードポリシーによりセキュリティ強度を上げていくな
ど適切な措置を講じなければならない。
ID登録やパスワードポリシーにおいては情報セキュリティ対策として重要な要素であるため学校毎に管理するのではなく、同一の教育委員会等の組織にて一元管理することが望ましい。
② 進級/進学時のID関連情報の更新
IDについては原則として進級/進学にも変更不要とすることが望ましい。IDを変えることなくIDの属性情報（進級時の組・出席番号、進学先学校名など）の更新を行っておくことで、MDMによる各種ポリシーや使用アプリケーションの変更を効率的に行うことが可能となる。
さらに統合型校務支援システム等における児童生徒の氏名と連動したID管理を行うことで、校務側で管理している属性情報と一体となったIDを含んだマスタ
ー管理の一元化が望ましい。
③ 転出/卒業/退学時のID削除処理
ユニークなIDは個人を識別できる可能性があるため、個人情報保護の観点から、サービス提供期間を超えて個人を特定する情報を保持しないようにする必要がある。
転出や卒業/退学時に学習用ツールのサービス利用期間が終了する場合は、あらかじめ児童生徒本人によるデータ移行をサービス利用期間内に実施し、IDの利用停止後、最終的にはID及び関連するデータの完全削除を行うこと。
ただし、本人同意や個人情報保護条例に従った適切な管理の下、一部のデータを活用することは可能である。
（２）多要素認証によるなりすまし対策
本人確認を厳格に行う必要がある場合においては児童生徒の ID/パスワードに加えて多要素認証を設定することが望ましい。
（３）学習用ツールへのシングルサインオン
学習履歴を活用したり、個人の成果物を保存するアプリケーションが増えてくると、サービス利用時に都度 ID/パスワード等の認証情報を入力したり、サービス毎のアカウント
情報管理が非常に煩雑になるため、一度の認証により一定時間は各種サービスにアクセスが行えるシングルサインオンの導入を行うことが望ましい。
（解説）（１）ID登録・変更・削除① 入学/転入時のID登録処理
124

入学/転入時や端末配布時にはID登録が完了している必要があり、ID登録においては必要が生じた時にID発行が完了していることが重要である。また、IDの命名規則においてはユニーク（唯一無二）・パーマネント/パーシスタント（永続的な識別）であることに加え、同一組織内における転入/転出時等にID変更を不要とするような命名規則（学校IDを含めないなど）とすることにより、情報管理の効率化及び認証情報の流出や更新漏れなどを防ぐことができる。
② 進級/進学時のID関連情報の更新
IDはパーマネント/パーシスタント（永続的な識別）になるように考慮した上での命名規則のもと、ID変更については必要最小限になるような工夫が必要となる。そのため進級/進学時においてはIDそのものを変更するのではなく、IDに付随する属性情報を更新することにより、進級・進学に伴った適切なセキュリティポリシーの適用や、各種サービス利用がシームレスに行うことができるようにすることが重要である。
また属性情報については統合型校務支援システム等に最初に登録がされるものがほとんどであるため、各種児童生徒情報と連動したID管理を行うことで、IDのライ
フサイクル（IDの登録～停止～削除）を必要が生じた時に正確に行うことでセキュ
リティ確保を実現できる。なお、ID管理を日常的に運用する上で、必要に応じて事業者へ運用を依頼することも想定して環境整備の段階から運用面を踏まえた計画が必要である。
③ 転出/卒業/退学時のID削除処理
IDについては数字のみで構成したものや、児童生徒の氏名の一部を使うなど命名
規則はさまざまであるが、ユニークなIDについては個人を識別できる可能性があるため、個人情報保護法の観点から個人情報に相当するとも考えられる。そのため
個人のIDを集約した管理データは各自治体が制定する個人情報保護条例に照らした適切なID管理が求められている。
学習用ツールのサービス利用期間を超えて利用可能なIDの存在や、当該IDに付随する個人情報の保持や一部の継続利用においては、本人の同意や教育委員会による個人情報保護審議会の承認の下、IDや関連するデータの削除漏れがない適切な管理を実施する必要がある。
（２）多要素認証によるなりすまし対策
特にデータの秘匿性や完全性の確保が相応に求められる場合においては、児童生徒のID/
パスワードに加え、多要素認証を設定し、本人確認を厳格に行うことが有効である。なお、多要素認証の設定においては、導入後の運用面（認証装置の配布方法や紛失対策など）につ125

いて留意すること。
（３）学習用ツールへのシングルサインオン
個別最適化された学びの実現が期待される AI ドリル、授業支援システムによる成果物の保存、デジタル教科書などについては、各種サービスの利用にあたり ID/パスワードの入力など認証操作が必要になるが、サービスを利用する児童生徒側においては都度の認証情報
入力による運用の煩雑化や、児童生徒の認証情報を管理する教育委員会や学校現場からすると管理が複雑化して運用負荷やリスクが高くなる。
そのため、シングルサインオンと認証情報の一元管理により、運用効率化と運用負荷の最小化、煩雑な運用によるセキュリティリスクを低減することが可能である。また、シングルサインオンに利用するID/パスワードは漏洩した際の影響範囲が大きいため、必要に応じて多要素認証と組み合わせることでよりセキュリティリスクを低減することができる。
７.６. 特権を付与された ID の管理等
【趣旨】
管理者権限（クラウドサービス・サーバの全ての機能を利用できる権限）等の特権を付与されたIDは、全ての機能が利用可能であることから、限られた利用者のみが運用する等の厳格な管理が求められる。
このことから、特権を付与されたIDの管理に係る手続きについて規定する。
【例文】（１）統括教育情報セキュリティ責任者及び教育情報システム管理者は、管理者権限
等の特権を付与されたIDを利用する者を必要最小限にし、当該IDのパスワードの漏えい等が発生しないよう、当該ID及びパスワードを厳重に管理しなければならない。
（２）統括教育情報セキュリティ責任者及び教育情報システム管理者の特権を代行する者は、統括教育情報セキュリティ責任者及び教育情報システム管理者が指名し、CISOが認めた者でなければならない。
（３）CISOは、代行者を認めた場合、速やかに統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキュリティ管理者及び教育情報システム管理者に通知しなければならない。
（４）統括教育情報セキュリティ責任者及び教育情報システム管理者は、特権を付与されたID及びパスワードの変更について、外部委託事業者に行わせてはならない。
126

（５）統括教育情報セキュリティ責任者及び教育情報システム管理者は、特権を付与されたID及びパスワードについて、その利用期間に合わせて特権IDを作成・削除す
る、もしくは、入力回数制限を設ける等のセキュリティ機能を強化しなければならない。
（６）統括教育情報セキュリティ責任者及び教育情報システム管理者は、特権を付与されたIDを初期設定以外のものに変更しなければならない。
（７）統括教育情報セキュリティ責任者及び教育情報システム管理者は、特権を付与されたIDのログ監視を行わなければならない。【推奨事項】（解説）
管理者権限（サーバの全ての機能を利用できる権限）等の特権は、全ての機能を利用可能にするので、利用期間に合わせて、その都度作成し、本人確認の上で払い出しを行うことが望ましい。そのように運用しない場合であっても、利用者登録を厳格に行うとともに、特権で利用するID及びパスワードを厳重に管理する必要がある。
（注１）外部委託事業者が利用する場合にも、ID及びパスワードの利用については、
全て統括教育情報セキュリティ責任者及び教育情報システム管理者が管理しなければならない。
（注２）管理者権限等の特権の悪用を防ぐために、「セキュアOS」（これまでのOSでは対応できなかったアクセス制御を実施し、セキュリティ強化を図る機能）を利用することが考えられる。セキュアOSは、｢強制アクセス制御」及び「最小特権｣の機能に特徴がある。
強制アクセス制御

特権の操作に対しても、情報へのアクセス制御を実施させる機能

最小特権

特権のID を利用できる者でも、強制アクセス制御機能で必要最小限のアクセスしか認めない機能（注３）児童生徒が扱うIDについては本規定の範囲外となる。
７.７. 教育情報セキュリティポリシーの遵守状況の確認・管理【趣旨】
教育情報セキュリティポリシーの遵守を確保するため、教育情報セキュリティポリシー
の遵守状況等を確認する体制を整備するとともに、問題があった場合の対応について規定
127

する。
【例文】
（１）遵守状況の確認及び対処① 教育情報セキュリティ責任者及び教育情報セキュリティ管理者は、教育情報セ
キュリティポリシーの遵守状況について確認を行い、問題を認めた場合には、速やかにCISO及び統括教育情報セキュリティ責任者に報告しなければならない。
② CISOは、発生した問題について、適切かつ速やかに対処しなければならない。
③ 統括教育情報セキュリティ責任者及び教育情報システム管理者は、ネットワー
ク及びサーバ等のシステム設定等における情報セキュリティポリシーの遵守状
況について、定期的に確認を行い、問題が発生していた場合には適切かつ速やかに対処しなければならない。
（２）パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査
CISO及びCISOが指名した者は、不正アクセス、不正プログラム等の調査のために、教職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等のログ、電子メー
ルの送受信記録等の利用状況を調査することができる。
（３）業務以外の目的でのウェブ閲覧の禁止
統括教育情報セキュリティ責任者は、教職員等のウェブ利用について、明らかに業務に関係のないサイトを閲覧していることを発見した場合は、教育情報セキュリティ管理者に通知し適切な措置を求めなければならない。
（４）教職員等による不正アクセスの管理
統括教育情報セキュリティ責任者及び教育情報システム管理者は、教職員等による不正アクセスを発見した場合は、当該教職員等が所属する学校等の教育情報セキュリティ
管理者に通知し、適切な処置を求めなければならない。
（解説）（１）遵守状況の確認及び対処
教育情報セキュリティポリシーを運用する過程において、遵守状況を確認し、違反の有
無、教育情報セキュリティポリシーの問題点などを明らかにすることが求められる。確認の結果、問題があった場合には、CISOは速やかに対処する必要がある。
（注１）遵守状況の確認方法としては、自己点検等の実施、情報セキュリティイン
シデントの報告、日常の業務からの情報セキュリティ対策の問題事項の報
128

告、ログ等からの異常時の発見などがある。
（２）パソコン、モバイル端末及び電磁的記録媒体等の利用状況調査
教職員等はパソコン、モバイル端末及び電磁的記録媒体等を業務のため使用しているのであって、私的な使用はあってはならない。職員等の業務以外の目的での利用を抑止する
ため、電子メールの送受信記録等を調査できる権限をCISO及びその指名した者に付与する。
（注２）教職員等が使用しているパソコン、モバイル端末及び電磁的記録媒体等や電子メールの送受信記録等の情報を調査することをあらかじめ周知しておくことも重要である。調査が行われるかもしれないということが、不正行為に対する抑止力として効果がある。
（注３）教職員等が利用しているパソコン、モバイル端末及び電磁的記録媒体等の状況を調査することは、職員等のプライバシーとの関係が問題になるが、基本的には業務利用のパソコン、モバイル端末及び電磁的記録媒体等には、個人のプライバシー侵害になる記録は存在しないと考えられる。したがって、イ
ンターネット閲覧記録、電子メールの送受信記録等の調査権を確保しておくことは重要なことになる。ただし、調査は、CISO又はCISO が指名した者が行う必要がある。
（３）業務以外の目的でのウェブ閲覧の禁止
業務外の外部サイトを閲覧している場合、不正プログラムの感染、侵入の可能性が高まるため、業務以外の目的でのウェブ閲覧は禁止しなければならない。また、閲覧先サイトのサーバにドメイン名等の組織を特定できる情報がログとして残ることにより、外部から指摘を受けるようなことがあってはならない。統括教育情報セキュリティ責任者は、業務外での閲覧を発見した場合は、教育情報セキュリティ管理者に通知し、対応を求めなければならない。
（４）教職員等による不正アクセス
教職員等が学校内にあるパソコンやモバイル端末を利用し、不正アクセスを発見した場
合には、教育情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
７.８. 専門家の支援体制等【趣旨】
コンピュータウイルス等の不正プログラム対策が十分に行われていない場合に備え、不正プログラム感染時等に外部の専門家の支援を受けられるように支援体制を整備する必要がある。 このことから、外部との連携や情報等の交換について規定する。
129

【例文】
（１）専門家の支援体制
統括教育情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておかなければならない。
（２）他団体との情報システムに関する情報等の交換
教育情報システム管理者は、他の団体と情報システムに関する情報及びソフトウェアを交換する場合、その取扱いに関する事項をあらかじめ定め、統括教育情報セキュリテ
ィ責任者及び教育情報セキュリティ責任者の許可を得なければならない。
（解説）（１）専門家の支援体制
不正プログラム対策ソフトウェアの開発元等の専門家と連絡を密にし、不正プログラム
感染時等に、支援を受けられるようにしておく必要がある。
（２）他団体との情報システムに関する情報等の交換
他団体との間で情報システムに関する情報及びソフトウェアを交換する場合は、その用途等を明確にし、目的外利用や、紛失又は改ざん等が起こらないようにしなければならない。
（注１）これを担保するため、相手方の団体との間で当該内容を明記した合意文書を取り交わす等の対策を取ることが望ましい。
７.９. 侵害時の対応等【趣旨】
情報セキュリティインシデント、システム上の欠陥及び誤動作並びに情報セキュリティ
ポリシーの違反等により情報資産に対するセキュリティ侵害事案が発生した場合に、迅速かつ適切に被害の拡大防止、迅速な復旧等の対応を行うため、緊急時対応計画の策定について規定する。
【例文】（１）緊急時対応計画の策定
CISO又は情報セキュリティ委員会は、情報セキュリティインシデント、情報セキュリ
ティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において連絡、証拠保全、被害拡大の防止、復旧、再発防止等
130

の措置を迅速かつ適切に実施するために、緊急時対応計画を定めておき、セキュリティ
侵害時には当該計画に従って適切に対処しなければならない。
（２）緊急時対応計画に盛り込むべき内容
緊急時対応計画には、以下の内容を定めなければならない。
① 関係者の連絡先② 発生した事案に係る報告すべき事項③ 発生した事案への対応措置④ 再発防止措置の策定（３）業務継続計画との整合性確保
自然災害、大規模又は広範囲に及ぶ疾病等に備えて別途業務継続計画を策定し、情報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなければならない。
（４）緊急時対応計画の見直し
CISO又は情報セキュリティ委員会は、情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ、必要に応じて緊急時対応計画の規定を見直さなければならない。
（解説）（１）緊急時対応計画の策定
情報セキュリティが侵害された場合又は侵害されるおそれがある場合等における具体的な措置について、緊急時対応計画として定める。
緊急時対応計画には、情報資産に対するセキュリティ侵害が発生した場合等における連絡、証拠保全、被害拡大の防止、復旧等の迅速かつ円滑な実施と、再発防止策の措置を講じるために必要な事項を定める必要がある。
また、自らが所有する情報資産における被害拡大防止のほか、外部への被害拡大のおそれがある場合には、その防止に努めることを定める必要がある。情報が漏えいすることなどにより被害を受けるおそれのある関係者に対し早急に連絡することが重要である。
当該事案が不正アクセス禁止法違反等の犯罪の可能性がある場合には、警察・関係機関と緊密な連携に努めることも重要である。
（注１）緊急時対応計画を策定する場合は、他の危機管理に関する規程等と整合性を確保し策定する必要がある。また、他の危機管理に関する規程の改定と情報セキュリティポリシーの見直しの時期が異なることにより一時的に不整合が生じないよう、配慮する必要がある。
（注２）庁内のCSIRT が担う役割についても緊急時対応計画を策定する場合に考慮す
131

ることが望ましい。
（２）緊急時対応計画に盛り込むべき内容
緊急時対応計画に定める事項としては、例えば次のものがある。
① 関係者の連絡先
・ 地方公共団体の長・ CISO
・ 統括教育情報セキュリティ責任者
・ 教育情報システム管理者
・ 情報セキュリティに関する統一的な窓口（庁内のCSIRT）
・ 情報セキュリティに関する統一的な窓口（教育委員会内のCSIRT）
・ ネットワーク及び情報システムに係る外部委託事業者
・ 広報担当課
・ 都道府県の関係部局
・ 警察
・ 関係機関・ 被害を受けるおそれのある個人及び法人② 発生した事案に係る報告すべき事項
セキュリティに関する事案を発見した者は、次の項目について速やかに統括教育
情報セキュリティ責任者に報告しなければならない。
・ 事案の状況・ 事案が発生した原因として、想定される行為
・ 確認した被害及び影響範囲（事案の種類、損害規模、復旧に要する額等）
・ 事案が情報セキュリティインシデントに該当するか否かの判断結果
・ 記録
また、統括教育情報セキュリティ責任者は、事案の詳細な調査を行うとともに、
CISO及び情報セキュリティ委員会へ報告しなければならない。
（注３）統括教育情報セキュリティ責任者が事案の詳細な調査を行うに当たっては、
必要に応じて外部専門家のアドバイスを受ける、JPCERT/CC（一般社団法人
JPCERT コーディネーションセンター）及び地方公共団体情報システム機構（自治体CEPTOAR）等の関係機関に相談する等、事実確認を見誤らないように努める必要がある。
（注４）庁内のCSIRT に報告を集約し、窓口経由で外部への問合せや相談を行うことが考えられる。
（注５）情報共有や相談については、「地方公共団体における情報セキュリティ対策
及び政府の一層の充実・強化について（依頼）」（平成23年10月11日総務省
132

事務連絡）を参照されたい。
③ 発生した事案への対応措置(ア)統括教育情報セキュリティ責任者は、次の事案が発生した場合、定められた連絡
先へ連絡しなければならない。
・ サイバーテロその他の市民に重大な被害が生じるおそれのあるとき→地方公共団体の長、CISO、都道府県の関係部局、警察、影響が考えられる個人
及び法人に連絡・ 不正アクセスその他の犯罪と思慮されるとき→地方公共団体の長、CISO、都道府県の関係部局、警察に連絡
・ 踏み台となって他者に被害を与えるおそれがあるとき
・ →地方公共団体の長、CISO、都道府県の関係部局、警察に連絡
情報システムに関する被害→教育情報システム管理者、必要と認められる事業者に連絡
・ その他情報資産に係る被害→関係部局等に連絡(イ)統括教育情報セキュリティ責任者は、次の事案が発生し、情報資産を保護するためにネットワークを切断することがやむを得ない場合、ネットワークを切断する。
・ 異常なアクセスが継続しているとき又は不正アクセスが判明したとき・ システムの運用に著しい支障をきたす攻撃が継続しているとき
・ コンピュータウイルス等、不正プログラムがネットワーク経由で拡がっているとき・ 情報資産に係る重大な被害が想定されるとき(ウ)教育情報システム管理者は、次の事案が発生し、情報資産の防護のために情報シス
テムを停止することがやむを得ない場合、情報システムを停止する。
・ コンピュータウイルス等、不正プログラムが情報資産に深刻な被害を及ぼしているとき・ 災害等により電源を供給することが危険又は困難なとき
・ そのほかの情報資産に係る重大な被害が想定されるとき(エ)個々のパソコン等の端末のネットワークからの切断については、セキュリティポリ
シーにおいて特段の定めがあるものを除き、統括教育情報セキュリティ責任者の許可が必要である。
ただし、情報資産の被害の拡大を直ちに停止させる必要がある場合は、事後報告とすることができる。
(オ)事案に係るシステムのログ及び現状を保存する。
(カ)事案に対処した経過を記録する。
(キ)事案に係る証拠保全の実施を完了するとともに、暫定措置を検討する。
133

(ク)暫定措置を講じた後、復旧する。
(ケ)復旧後、必要と認められる期間、再発の監視を行う。
④ 再発防止措置の策定(ア)統括教育情報セキュリティ責任者は、当該事案に係る調査を実施し、情報セキュ
リティポリシー及び実施手順の改善を含め、再発防止計画を策定し、情報セキュリティ委員会へ報告する。
(イ)情報セキュリティ委員会は、再発防止計画が有効であると認められた場合はこれを承認し、事案の概要とあわせ教職員等に周知する。
（３）業務継続計画との整合性確保
地震及び風水害等の自然災害等や大規模・広範囲にわたる疾病等の事態に備えて、情報
セキュリティにとどまらない危機管理規定として業務継続計画（若しくは、ICT部門における業務継続計画）を策定することが重要である。ただし、業務継続計画と情報セキュリ
ティポリシーの間に矛盾があると、職員等は混乱し、適切な対応をとることができなくな
るおそれがあるため、各地方公共団体において業務継続計画を策定する際には、情報セキュリティポリシーとの整合性をあらかじめ検討し、必要があれば、情報セキュリティポリ
シーを改定しなければならない。
（注６）整合性を検討すべき事項は、例えば、施設の耐災害性対策、施設・情報シス
テムの地理的分散、非常用電源の確保、人手による業務処理や郵送・電話の利用を含む情報システム以外の通信手段の利用、事態発生時の対応体制及び要員計画などがある。
（注７）危機管理には、大規模又は広範囲に及ぶ疾病等によるコンピュータ施設の運用にかかる機能不全等への考慮も望まれる。
（注８）大地震を対象事態としたICT 部門における業務継続計画の策定については、「地方公共団体におけるICT 部門の業務継続計画（BCP）策定に関するガイド
ライン」（平成20年8月 総務省）及び「地方公共団体におけるICT部門の業務継続計画（ICT-BCP）初動版サンプル」（平成25年5月8日 総務省）を参照されたい。
（４）緊急時対応計画の見直し
緊急時対応計画の実効性を確保するため、新たな脅威の出現等の情報セキュリティに関する環境の変化や組織体制の変化等を盛り込んだ最新の内容となるよう、定期的に見直すことが必要である。また、緊急時対応計画の発動した場合を仮定した訓練や机上試験を定期的に実施しておくことも、緊急時対応計画の実効性を確保する観点から重要である。

134

７.１０. 例外措置
【趣旨】
情報セキュリティポリシーの規定をそのまま適用した場合に、学校事務及び教育活動の適正な遂行を著しく妨げるなどの理由により、これに代わる方法によることやポリシーに定められた事項を実施しないことを認めざるを得ない場合がある。このことから、あらか
じめ例外措置について規定する。
【例文】（１）例外措置の許可
教育情報セキュリティ管理者及び教育情報システム管理者は、情報セキュリティ関係規定を遵守することが困難な状況で、学校事務及び教育活動の適正な遂行を継続するた
め、遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には、CISOの許可を得て、例外措置を取ることができる。
（２）緊急時の例外措置
教育情報セキュリティ管理者及び教育情報システム管理者は、学校事務及び教育活動の遂行に緊急を要する等の場合であって、例外措置を実施することが不可避のときは、事後速やかにCISOに報告しなければならない。
（３）例外措置の申請書の管理
CISOは、例外措置の申請書及び審査結果を適切に保管し、定期的に申請状況を確認しなければならない。
（解説）
例外措置は、教育情報セキュリティポリシーの適用を例外的に排除するものであることから、その承認は、ポリシーの適用が著しく行政事務の遂行を妨げる、緊急を要し通常の手続きを取る時間的な猶予がない、技術的に困難であるなどの合理的な理由が必要である。なお、その場合でも、例外措置は単に適用を排除するだけでなく、リスクに応じて代替措置を定めること及び期限を設けて認めることが望ましい。
CISOは、例外措置についての手続きを定め、明示することによって、ローカルルールの氾濫や、対策の未実施を防止することができる。
（注１）例外措置の内容から判断し、教育情報セキュリティポリシーの遵守自体に無理があると判断される場合には、当該ポリシーの見直しについて検討する必
要がある。

135

７.１１. 法令等遵守【趣旨】
教職員等は、全ての法令を遵守することは当然であるが、教職員等が業務を行う際の参考として、情報セキュリティに関する主要な法令を明示し、法令の遵守を確実にする。
【例文】（１）教職員等は、職務の遂行において使用する情報資産を保護するために、次の法令のほか関係法令等を遵守し、これに従わなければならない。
① 地方公務員法（昭和25年12月13日法律第261号）② 教育公務員特例法（昭和24年1月12日法律第1号）③ 著作権法（昭和45年法律第48号）④ 不正アクセス行為の禁止等に関する法律（平成11年法律第128号）⑤ 個人情報の保護に関する法律（平成15年5月30日法律第57号）⑥ 行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27 号）⑦ サイバーセキュリティ基本法（平成26年法律第104号）（解説）
情報セキュリティ対策において関連のある主要な法令について明示し、法令遵守を確実にする。また、法令への適合を確実なものにするためには、必要に応じて有識者による法的な助言を受けることが望ましい。
また、関連する最新の法令に基づき定期的に情報セキュリティポリシーの見直しを行
い、最新に保つことが望ましい。
７.１２. 懲戒処分等【趣旨】
教育情報セキュリティポリシーの遵守事項に対して、教職員等が違反した場合の事項を定めておくことは、教育情報セキュリティポリシー違反の未然防止に、一定の効果が期待される。このことから、教育情報セキュリティポリシー違反に対する懲戒処分の規定及び懲戒に係る手続きについて規定する。
【例文】（１）懲戒処分
教育情報セキュリティポリシーに違反した教職員等及びその監督責任者は、その重大性、発生した事案の状況等に応じて、地方公務員法をはじめとするによる懲戒処分の対136

象とする。
（２）違反時の対応
教職員等の教育情報セキュリティポリシーに違反する行動を確認した場合には、速やかに次の措置を講じなければならない。
① 統括教育情報セキュリティ責任者が違反を確認した場合は、統括教育情報セキ
ュリティ責任者は当該教職員等が所属する学校の教育情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
② 教育情報システム管理者等が違反を確認した場合は、違反を確認した者は速やかに統括教育情報セキュリティ責任者及び当該教職員等が所属する学校の教育
情報セキュリティ管理者に通知し、適切な措置を求めなければならない。
③ 教育情報セキュリティ管理者の指導によっても改善されない場合、統括教育情報セキュリティ責任者は、当該教職員等の教育ネットワーク又は教育情報シス
テムを使用する権利を停止あるいは剥奪することができる。その後速やかに、統括教育情報セキュリティ責任者は、教職員等の権利を停止あるいは剥奪した
旨をCISO 及び当該教職員等が所属する学校の教育情報セキュリティ管理者に通知しなければならない。

137

８. 外部委託【趣旨】
情報システムの外部委託を行う際は、外部委託事業者からの情報漏えい等の事案を防止するために、情報セキュリティを確保できる外部委託事業者を選定し、契約で遵守事項を定めるとともに、定期的に対策の実施状況を確認する必要がある。
このことから、外部委託を行う際に、情報セキュリティ確保上必要な事項について規定する。
なお、個別の地方公共団体が単独で外部委託する場合だけでなく、共同アウトソーシン
グの形態等により地方公共団体が共同で外部委託する場合にも対策を行う必要があることに留意する。なお、SaaS型パブリッククラウドサービスを利用する場合は、「第２編９.
SaaS型パブリッククラウドサービスの利用」を参照すること。
【例文】（１）外部委託事業者の選定基準① 教育情報システム管理者は、外部委託事業者の選定に当たり、委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。
② 教育情報システム管理者は、情報セキュリティマネジメントシステムの国際規格の認証取得状況、情報セキュリティ監査の実施状況等を参考にして、事業者を選定しなければならない。【推奨事項】（２）契約項目
情報システムの運用、保守等を外部委託する場合には、外部委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。
・ 教育情報セキュリティポリシー及び教育情報セキュリティ実施手順の遵守
・ 外部委託事業者の責任者、委託内容、作業者、作業場所の特定
・ 提供されるサービスレベルの保証
・ 外部委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法
・ 外部委託事業者の従業員に対する教育の実施
・ 提供された情報の目的外利用及び受託者以外の者への提供の禁止
・ 業務上知り得た情報の守秘義務
・ 再委託に関する制限事項の遵守
・ 委託業務終了時の情報資産の返還、廃棄等
・ 委託業務の定期報告及び緊急時報告義務
・ 市による監査、検査
・ 市による情報セキュリティインシデント発生時の公表
・ 教育情報セキュリティポリシーが遵守されなかった場合の規定（損害賠償等）
138

（３）確認・措置等
教育情報システム管理者は、外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し、必要に応じ、（２）の契約に基づき措置しなければならない。また、その内容を統括教育情報セキュリティ責任者に報告するとともに、その重要度に応じてCISOに報告しなければならない。
（４）外部委託事業者に対する説明
教育情報システム管理者は、ネットワーク及び情報システムの開発・保守等を外部委
託事業者に発注する場合、外部委託事業者から再委託を受ける事業者も含めて、情報セ
キュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。

（解説）（１）外部委託事業者の選定基準
外部委託事業者を選定するに当たっては、情報セキュリティ上、重要な情報資産を取り扱う可能性があることから、技術的能力、信頼性等について考慮して、情報セキュリティ対策が確保されることを確認する必要がある。
また、外部委託事業者の選定にあたり、事業者の情報セキュリティ水準を評価する際には、国際規格の認証取得状況等を参考にして決定することが望ましい。
なお、外部委託事業者の選定条件として仕様等に盛り込む内容としては、例えば次のものがある。
・ 外部委託事業者に提供する情報の委託事業者における目的外使用の禁止
・ 外部委託事業者における情報セキュリティ対策の実施内容及び管理体制
・ 外部委託事業の実施にあたり、外部委託事業者の組織又はその従業員、再委託事
業者、若しくはその他の者による意図せざる変更が加えられないための管理体制
・ 外部委託事業者の資本関係・役員等の情報、委託事業の実施場所、委託事業従事者の所属・専門性（情報セキュリティに係る資格・研修実績等）
・ 実績及び国籍に関する情報提供
・ 情報セキュリティ要件の適切な実装
・ 情報セキュリティの観点に基づく試験の実施
・ 情報セキュリティインシデントへの対処方法
・ 情報セキュリティ対策その他の契約の履行状況の確認方法
・ 情報セキュリティ対策の履行が不十分な場合の対処方法（注１）外部委託事業者を選定する際に参照できる規格であるISO/IEC27001 につい139

ては、一般財団法人日本情報経済社会推進協会のホームページ（ISMS 適合性評価制度）又は一般財団法人日本規格協会のホームページを参照されたい。
（注２）ホスティングサービスの利用等においては、サービス提供者側のミスや機器の故障などの不測の事態によりデータの消失などの事態が発生するおそれがあるため、情報システムや取り扱う情報の重要度に応じたバックアップなどの必要な対策を講じておく必要がある。なお、ホスティング時のデータ消失に関する対策については、「ホスティングサービス等利用時におけるデータ
消失事象への対策実施及び契約内容の再確認等について（注意喚起）」（平成24年7月6日 総務省 事務連絡）を参照されたい。
（２）契約項目
外部委託事業者に起因する情報漏えい等の事案を防ぐため、各団体で実施する場合と同様の対策を当該委託事業者に実施させるよう必要な要件を契約等に定める必要がある。以下に示す項目について、委託する業務の内容に応じて明確に要件を規定することが必要である。
① 教育情報セキュリティポリシー及び教育情報セキュリティ実施手順の遵守
外部委託事業者の要員に対して、教育情報セキュリティポリシー及び教育情報セ
キュリティ実施手順について、委託業務に関係する事項を遵守することを定める。
② 外部委託事業者の責任者、委託内容、作業者、作業場所の特定
外部委託事業者の責任者や作業者を明確にするとともに、これらの者が変更する
場合の手続きを定めておき、担当者の変更を常に把握できるようにする。また、作業場所を特定することにより、情報資産の紛失等を防止する。
③ 提供されるサービスレベルの保証
通信の速度及び安定性、システムの信頼性の確保等の品質を維持するために、必要に応じて、サービスレベルを保証させる。
④ 委託事業者に許可する情報の種類とアクセス範囲、アクセス方法
委託に関わる情報の種類を定義し、種類ごとのアクセス許可とアクセス時の情報
セキュリティ要求事項、並びにアクセス方法の監視及び管理を行う。
⑤ 従業員に対する教育の実施
外部委託事業者において、情報セキュリティに対する意識の向上を図るために、従業員に対し教育を行うように規定しておく。
⑥ 提供された情報の目的外利用及び受託者以外の者への提供の禁止
外部委託事業者に提供した情報について、不正な利用を防止させるために、業務以外での利用を禁止する。
⑦ 業務上知り得た情報の守秘義務
140

業務中及び業務を終了した後も、情報の漏えいを防止するために、業務上知り得た秘密を漏らしてはならない旨を規定する。
⑧ 再委託に関する制限事項の遵守
一般的に、再委託した場合、再委託事業者のセキュリティレベルは下がることが懸念されるために、再委託は原則禁止する。例外的に再委託を認める場合には、再委託事業者における情報セキュリティ対策が十分取られており、外部委託事業者と同等の水準であることを確認し、外部委託事業者に担保させた上で許可しなければならない⑨ 委託業務終了時の情報資産の返還、廃棄等
委託業務終了時に、不要になった情報資産を返還させるか廃棄させるか等その取扱いについて明確に規定する必要がある。委託終了後の取扱いを明確にすること
により、不要になった情報資産から情報が漏えいする可能性を減らす。
⑩ 委託業務の定期報告及び緊急時報告義務
定期報告及び緊急時報告の手順を定め、委託業務の状況を適切かつ速やかに確認できるようにすることが必要である。緊急時の職員への連絡先は、外部委託業者に通知しておく必要がある。連絡網には、教職員等の個人情報が記載される場合もあるため、取扱いに注意する。
⑪ 地方公共団体による監査、検査
外部委託事業者が実施する情報システムの運用、保守、サービス提供（クラウドサービス含む）等の状況を確認するため、当該委託事業者に監査、検査を行うことを明確に規定しておくことが必要である。
なお、地方公共団体において、当該委託事業者に監査、検査を行うことが困難な場合は、地方公共団体による監査、検査に代えて、第三者や第三者監査に類似する客観性が認められる外部委託事業者の内部監査部門による監査、検査又は国際的なセキュリティの第三者認証（ISO/IEC27001 等）の取得等によって確認する。
⑫ 地方公共団体による情報セキュリティインシデントの公表
委託業務に関し、情報セキュリティインシデントが発生した場合、住民に対し適切な説明責任を果たすため、当該情報キュリティインシデントの公表を必要に応じ行うことについて、外部委託事業者と確認しておく。
⑬ 教育情報セキュリティポリシーが遵守されなかった場合の規定（損害賠償等）
外部委託事業者においての情報セキュリティポリシーが遵守されなかったため、被害を受けた場合には、当該委託事業者が損害賠償を行うことを契約書上明記しておく。
（注３）これらの契約項目については、「地方公共団体における業務の外部委託事業者に対する個人情報の管理に関する検討」報告書（平成21年3月 総務省）を141

参照し、「個人情報の取扱いに関する特記仕様書（雛型）」を活用されたい。
（注４）外部委託事業者に対して、情報セキュリティポリシーの該当部分について、十分に説明しておくことが必要である。
（注５）指定管理者制度に関する考慮事項
指定管理者制度においては、条例により、地方公共団体と指定管理者との間で協定を締結することになるが、その協定において、委託内容に応じた情報
セキュリティ対策が確保されるよう必要な事項を定める必要がある。
（注６）IT サプライチェーンを構成して提供されるサービスを利用する場合は、外部委託事業者との関係におけるリスク（サービスの供給の停止、故意又は過失による不正アクセス、外部委託事業者のセキュリティ管理レベルの低下など）を考慮しそのリスクを防止するための事項について外部委託事業者と合意し、その内容を文書化しておくことが望ましい。
（注７）外部委託事業者に適用される法令としては、法律のほか、各地方公共団体の制定する個人情報保護条例も適用されることを明記しておく必要がある。
（注８）業務の内容に応じて規定する要件の詳細については、「非機能要求グレード（地方公共団体版）利用ガイド」（平成26 年3 月 地方自治情報センター）を参照されたい。
（３）確認・措置等
教育情報システム管理者は、再委託先も含め、外部委託事業者において十分なセキュリ
ティ対策がなされているか、定期的に確認し、必要に応じ、改善要求等の措置を取る必要がある。
また、契約を行う際に「外部委託先に関するセキュリティ要件のチェックシート」（後述）に基づいて、委託事業者のセキュリティ要件の遵守状況を確認する必要があるほか、定期的に（１年に１回程度）確認することが有効である。確認した内容は定期的に統括情報セキュリティ責任者に報告する。個人情報の漏えい等の重大なセキュリティ侵害行為が発見された場合には、速やかにCISOに報告を行う。また、教育情報システム管理者は、情報システムの運用・保守を業務委託する場合は、委託先が実施する情報システムに対する情報セキュリティ対策を適切に把握するため、当該対策による情報システムの変更内容について、速やかに報告させる必要がある。
なお、外部委託事業者に対する監査については、本ガイドラインの「第２編１０.１.
監査（４）外部委託事業者に対する監査」を参照されたい。

142

図表 13

外部委託先に関するセキュリティ要件のチェックシート（サンプル）（出典：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」改定のポイントについて②（情報セキュリティインシデント関係）
https://www.soumu.go.jp/main_content/000857160.pdf）（４）外部委託事業者に対する説明
外部委託事業者の内部管理が不十分であることから、情報の漏えい等が発生する事例は多い。したがって、事業者（外部委託事業者から再委託を受けた事業者を含む）等に情報システムの開発及び運用管理を委託する場合、教育情報システム管理者は、契約の遵守を求め、委託の業務範囲に従って、情報セキュリティポリシー及び実施手順に関する事項を説明する必要がある。

143

９. SaaS 型パブリッククラウドサービスの利用
本項では、クラウドサービス利用のうち、SaaS 型パブリッククラウドサービスを教職員等及び児童生徒が直接利用する場合について、クラウドサービスの安全性及びクラウド事
業者の信頼性等を確認するプロセスについて記載する。尚、本ガイドラインは、IT 事業者
が、クラウドサービスの一類型である IaaS の上に自社や他社のサーバを運用し、クラウド
利用者にサービス提供するモデルでは、クラウド利用者は、当該事業者に対して SaaS と同等の契約を満たすことを求めることを推奨する。本項の「クラウド利用者」とは、クラウドサービスの選定・契約の主体である教育委員会等を指す。
※クラウドサービスの特徴や教育情報システムでの活用意義等については、「第１編第３
章 教育現場におけるクラウドの活用について」を参照すること。
SaaS 型パブリッククラウドサービス利用が安全であり、クラウド事業者が信頼できるパートナーであることについては「クラウド事業者が提供するクラウドサービスが必要充分な情報セキュリティ対策を講じられていること」「クラウド事業者のサービス提供ポリシー等から信頼できるパートナーであることを確認すること」の 2 つの観点で確認が必要である。各観点について、「第２編９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策」及び「第２編９.２. SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」にそれぞれ記載しているため、参照すること。
なお、SaaS 型クラウドサービスの情報セキュリティの実態を、クラウド利用者自らが詳細に調査することは困難である場合も多いため、クラウドの利用に関しては、第三者による認証や各クラウドサービス事業者が提供している監査報告書を利用することが重要である。
まずは第三者認証取得の有無、監査報告書等からクラウド事業者と提供するクラウドサ
ービスの安全性、信頼性を優先的に確認することを推奨する。
また第三者認証を有していない場合でも、インフラ基盤供給を受ける IaaS/PaaS 事業者
が第三者認証を有する場合もあるため、その場合は、SaaS 型パブリッククラウド事業者がSaaS 提供する範囲を優先して、「第２編９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策」及び「第２編９.２. SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」に示した規定を確認することが求められる。
９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策【趣旨】
本項では、SaaS 型パブリッククラウドサービス（学習 e ポータル、デジタル教科書、デ
ジタルドリル、協働学習支援サービス、デジタルコンテンツ配信サービス、校務支援システ
ム、学校ホームページ作成サービス、緊急連絡網サービス等）の情報セキュリティ対策が適切に講じられているかを確認する内容について記載する。尚、本ガイドラインは、IT 事業者が、クラウドサービスの一類型である IaaS の上に自社や他社のサーバを運用し、クラウド利用者にサービス提供するモデルでは、クラウド利用者は、当該事業者に対して SaaS と144

同等の契約を満たすことを求めることを推奨する。第三者認証取得の確認等から、クラウド事業者と提供するクラウドサービスの安全性、信頼性を間接的に確認できた場合について
も、各規定についてひととおり報告を求めて内容を確認し、契約内容に反映することが望ましい。
【例文】（１）利用者認証① クラウド利用者は、クラウド事業者における当該ク
ラウドサービスを提供する情報システムの運用もしくは開発に従事する者又は管理者権限を有する者について、適切な利用者確認がなされていることをクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。
② クラウド利用者は、当該クラウドサービスのログインに関わる認証機能の提供をクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。

③ ク ラ ウ ド 利 用 者 側 管 理 者 権 限 を 有 す る 者 の ID の 管 理
について、「 ７.６. 特権を付与された ID の管理等」を 遵 守しなければならない。
（２）アクセス制御① クラウド利用者は、当該クラウドサービスに対して、アクセスする権限のない者がアクセスできないように 、シ ス テ ム 上 制 限 す る 機 能 の 提 供 を ク ラ ウ ド 事 業 者に 求 め 、サ ー ビ ス 提 供 定 款 や 契 約 書 面 上 で 確 認 ま た は
合意しなければならない。
② ク ラ ウ ド 利 用 者 は 、ク ラ ウ ド 事 業 者 の 提 供 す る ア ク セス 制 御 機 能 を 用 い て 、 情 報 資 産 毎 に 、 許 可 さ れ た クラ
ウドを利用する教職員等及び児童生徒の み が ア ク セ ス で きる環境を設定しなければならない。
（３）クラウドに保管するデータの暗号化

145

① クラウド利用者は、当該クラウドサービスへのデー
タの保管に際し、情報漏えい等に備えて、暗号化等の保護措置を講じられていることを、クラウド事業者にサービス提供定款や契約書面上で確認または合意しなければならない。
（４）マルチテナント環境におけるテナント間の安全な管理① クラウド利用者は、複数のクラウド利用者がクラウドリソースを共用する環境において、特定のクラウド利用者に対して発生したセキュリティ侵害が、他のクラウド利用者に影響を与えないように対策が講じられていることを、クラウド事業者に求め、サー
ビス提供定款や契約書面上で確認または合意しなけ
ればならない。
（５）クラウドサービスを提供する情報システムに対する外部からの悪意のある脅威の侵入を想定した技術的セキュリティ対策① クラウド利用者は、当該クラウドサービスを提供する情報システムを監視し、セキュリティ侵害を検知することを、クラウド事業者に求め、サービス提供
定款や契約書面上で確認または合意しなければならない。

② ク ラ ウ ド 利 用 者 は 、当 該 ク ラ ウ ド サ ー ビ ス を 提 供 す る
情 報 シ ス テ ム の イ ン タ ー ネ ッ ト 接 続 境 界 に お い て 、クラ ウ ド 利 用 者 以 外 に よ る 不 正 な 通 信・侵 入 を 防 ぐ 措 置
を 講 じ る と と も に 、外 部 脅 威 の 侵 入 を 検 知 し 、防 御 す
る 対 策 を 講 ず る こ と を 、ク ラ ウ ド 事 業 者 に 求 め 、サ ービス提供定款や契約書面上で確認または合意しなけ
ればならない。

146

（６）情報の通信経路のセキュリティ確保① クラウド利用者は、教育情報システムのインターネ
ット境界から当該クラウドサービスを提供する情報システムまでの情報の通信経路において、情報の盗聴、改ざん、誤った経路での通信、破壊等から保護
す る た め に 必 要 な 措 置 （ 情 報 交 換 の 実 施 基 準 ･手 順 等の整備、通信の暗号化等）をクラウド事業者に求め、合意のうえ、利用しなければならない。
②

クラウド利用者は、クラウド事業者が保守運用等を遠隔で行う場合の、保守運用拠点と管理区域間での通信回線及び通信回線装置の管理について、情報の盗聴、改ざん、誤った経路での通信、破壊等から保護 す る た め に 必 要 な 措 置 （ 情 報 交 換 の 実 施 基 準 ･手 順等の整備、通信の暗号化等）をクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。

（７）クラウドサービスを提供する情報システムの物理的セキュリティ対策① クラウド利用者は、当該クラウドサービスのサーバ
等 の 管 理 条 件 を 「 ４.１. サーバ等の管理」 に 準 じ た 対策をクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。

② クラウド利用者は、クラウド事業者側の管理区域（サーバ等を設置）及び保守運用拠点の管理において 、「 ４.２. 管理区域（情報システム室等）の管理（ 教 育委 員 会 等 の サ ー バ 室 に サ ー バ を 設 置 し て い る 場 合 ）」に準じた対策をクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければな
らない。

147

③ クラウド利用者は、クラウドサービス事業者が利用する資源（装置等）の処分（廃棄）にあたり、セキ
ュリティを確保した対応となっているかをクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。
なお、当該確認に当たっては、クラウドサービス事
業者が利用者に提供可能な第三者による監査報告書や認証等を取得している場合には、その監査報告書や認証等を利用できる。
（８）クラウドサービスを提供する情報システムの運用管理① クラウド利用者は、クラウド事業者に対して、サービスの一
時停止等クラウド利用者に影響があり得る運用手順の有無、有る場合にはクラウド利用者への影響範囲（時間、サービス
内容）、連絡方法等について情報提供を求め、クラウド利用者
が業務運営に支障がないことを確認し、合意しなければならない。ま た 、 ク ラ ウ ド 事 業 者 の 設 定 不 備 等 に よ る イ ン
シデント発生時にも同様の確認をしなければならい 。【 推 奨 事 項 】②

クラウド利用者は、当該クラウドサービスにおける
サ ー バ の 冗 長 化 に つ い て 、「 ４.１. サーバ等の管理（ 2） サ ー バ の 冗 長 化 」 に 準 じ た 対 策 を ク ラ ウ ド 事
業者に求め、サービス提供定款や契約書面上で確認
または合意しなければならない。

③

クラウド利用者は、当該クラウドサービスにおけるデ ー タ バ ッ ク ア ッ プ 及 び 復 旧 手 順 に つ い て 、「 ６.１.
コンピュータ及びネットワークの設定管理（ 2） バ ッ ク ア
ップの実施」に準じた対策をクラウド事業者に求め、サービス提供定款や契約書面上で確認または合意しなければならない。

148

④

クラウド利用者は、当該クラウドサービスにおける情報セキュリティの確保や監査に必要なログの取得に つ い て 、「 ６.１. コンピュータ及びネットワークの設定
管理（ 3） ロ グ の 取 得 等 」 に 準 じ た 対 策 を ク ラ ウ ド 事
業者に求め、サービス提供定款や契約書面上で確認
または合意しなければならない。

（９）クラウドサービスを提供する情報システムのマルウェア対策①

クラウド利用者は、クラウドサービスを提供する情報システムを構成するサーバ及び運用管理端末等について、マルウェア対策を講じることをクラウド事
業者に求め、サービス提供定款や契約書面上で確認
または合意しなければならない。

②

クラウド利用者は、内部システムに侵入した攻撃を検知して対処するために、通信をチェックする等の対策を講じることをクラウド事業者に求め、サービ
ス提供定款や契約書面上で確認または合意しなければならない。

（１０）クラウド利用者側のセキュリティ確保①

クラウド利用者は、ク ラ ウ ド サ ー ビ ス に ア ク セ ス す る
クラウドを利用する教職員等及び児童生徒側端 末 に つ いて、保管するデータの外部流出、改ざん等から保護するために必要な措置を講じなければならない。

② ク ラ ウ ド 利 用 者 は 、 標 的 型 攻 撃 に よ る 外部からの脅威の侵入を 防 止 す る た め に 、 ク ラ ウ ド を 利 用 す る 教 職 員
等及び児童生徒への教育や入口対策を講じなければ
ならない。

149

（１１）クラウド事業者従業員の人的セキュリティ対策① クラウド利用者は、クラウドサービスに関わるクラウド事業者従業員に対して、クラウド事業者の情報セキュリティポリ
シー及び保守運用管理規程等を遵守することをク ラ ウ ド 事
業者に求め、サービス提供定款や契約書面上で確認
または合意しなければならない。

② クラウド利用者は、クラウドサービスに関わるクラウド事業者従業員に対して、業務に用いる ID 及びパスワードその他の個人認証に必要な情報及び媒体について、部外者及び業務に関わらない従業員に漏えいすることがないように、適切に管理することをク ラ ウ ド 事 業 者 に 求 め 、 サ ー ビ ス 提 供 定
款や契約書面上で確認または合意しなければならない。
③ クラウド利用者は、クラウドサービスに関わらない従業員等がクラウド利用者のデータを知り得る状態にならないよう、業務に関わるクラウド事業者従業員に対して秘匿を義務づけることをク ラ ウ ド 事 業 者 に 求 め 、 サ ー ビ ス 提 供 定 款 や 契 約
書面上で確認または合意しなければならない。

④ クラウド利用者は、クラウド利用者のデータ及びデータを格納した端末機器又は電磁的記録媒体の外部持ち出しについて、ク
ラウド利用者の許可なく外部持ち出しできないこと及び外部持ち出しにおける安全管理手順をク ラ ウ ド 事 業 者 に 求 め 、サービス提供定款や契約書面上で確認または合意しなければならない。
⑤ ク ラ ウ ド 利 用 者 は 、ク ラ ウ ド サ ー ビ ス を 提 供 す る 情 報
シ ス テ ム を 構 成 す る サ ー バ 及 び 運 用 管 理 端 末 等 に 、マルウェアを侵入させないよう、クラウド事業者に求め 、サ ー ビ ス 提 供 定 款 や 契 約 書 面 上 で 確 認 ま た は 合 意
しなければならない。

150

（１２）サービス終了時等のデータの廃棄及び利用者アカウント抹消について① クラウド利用者は、サービス利用終了時等において、クラウド利用者のデータ及び利用者アカウント情報が不用意に残置されないよう、適切に破棄するための流れについてサ ー ビ
ス 提 供 定 款 や 契 約 書 面 上 で 確 認 ま た は 合 意 しておか
なければならない。
② クラウド利用者は、サービス利用終了時等におけるデータの扱いについて、スムーズに回収、次期システムへの移行等を行えるよう、その措置の流れについてサ ー ビ ス 提 供 定 款や 契 約 書 面 上 で 確 認 ま た は 合 意 しておかなければならない。
③ クラウド利用者は、クラウドサービスで利用する全ての情報
資産について、クラウドサービスの利用終了時期を確認し、クラウドサービスで扱う情報資産が適切に移行及び削除されるよう管理しなければならない。
（１３）クラウドサービス要件基準を満たす配慮を含めたネットワーク設計① クラウド利用者は、利用するクラウドサービスの要件規準を確認し、要件規準を満たすネットワークを設計しなければな
らない。
【解説】
（１）利用者認証①、③ クラウド事業者、利用者に関わらず、クラウドサービスにおいて認証情報が漏えいした場合のセキュリティ侵害の影響度が甚大であることから、適切な本人確認が行われていることが必要。例 え ば 、 ク ラ ウ ド サ ー ビ ス へ の ロ グ イ ン 及
び 端 末 へ の ロ グ イ ン 時 に お け る 多 要 素 認 証 や 、管 理 者 が 操 作 す る エ リ
ア へ の 入 退 室 の 厳 格 な 管 理 等 が あ げ ら れ る が 、具 体 的 な 手 法 に つ い ては事業者によって異なることに留意すること。
②クラウドサービスへのログインにおける利用者認証は、権限のない者によるなりす
まし及びマルウェア感染した端末からの不正アクセスを防御する上で必要な機能である。特に、イ ン タ ー ネ ッ ト 接 続 前 提 の 端 末 で 重 要 な 情 報 資 産 を 扱 う
場 合 は 、 ID・ パ ス ワ ー ド 認 証 に 加 え 、 多 要 素 認 証 に よ る 対 応 な ど 、 よ151

り強度の高い認証方式を採用しなければならない。
（注１）教 職 員 等 の ク ラ ウ ド サ ー ビ ス へ の ロ グ イ ン に お け る 個 人 認 証 は 、なりすましによる不正アクセスに対する防御として必要な機能である。特に重要な情報資産を取り扱う場合は ID・ パ ス ワ ー ド 認 証 に 加 え 、 多 要 素認証を導入するなど、ネットワークの構築状況を踏まえつつ適切なセキュリティ対策を行うことが重要である。
（２）アクセス制御
ここでのアクセス制御の意味は、クラウドサービスでのデータ保管において、アクセス権
限に応じてアクセスできるフォルダを制限する機能（狭義のアクセス制御の機能）を指す。
学校には、学校管理者、一般教職員、児童生徒が存在し、各々の立場・役割に応じてアクセスできる情報が異なる。また、校務系情報と学習系情報を分類して管理する必要があることから、クラウド事業者によるアクセス制御機能の提供とクラウド利用者による適切なア
クセス権限の設定は必須な対策である。
なお、適切なアクセス権限設定を行うためには、情報資産を適切に分類し、情報資産毎に最小限のアクセス権限のみを付与することを原則とする必要がある。
（３）クラウドに保管するデータの暗号化
データの暗号化については、特にインターネット接続環境において重要な情報資産を扱う場合における情報漏えいを前提とした出口対策として有効である一方、その手段・方式によっては、高い情報処理能力が求められ、シス
テムの処理能力が低下する等の副作用が生じることや、そのコストを総合的に考慮し、必要に応じてクラウド利用者が選択すること。
対策については、クラウド事業者が機能を提供する場合とクラウド利用者が自ら機能を整備する場合がある。クラウド利用者が整備する場合でシステ
ム的に実施が困難な場合は、組織個別の暗号鍵を設定して暗号化機能を利用し た り 、 セ キ ュ リ テ ィ 強 度 は 低 下 す る が 、 クラウドを利用する教職員等及び児童生
徒が 取 り 扱 う フ ァ イ ル や フ ォ ル ダ に パ ス ワ ー ド 設 定 す る 形 で 、 情 報 漏 え い や
改ざんリスクに備えることも検討されたい。
（４）マルチテナント環境におけるテナント間の安全な管理
クラウドサービスでは、当該教育委員会以外の複数の利用者がリソースを共用するため、特定の利用者に対して発生したセキュリティ侵害が、他の利用者に対して影響を及ぼすことがないようにクラウド事業者は対策を講じる必要がある。

152

（５）クラウドサービスを提供する情報システムに対する外部からの悪意のある脅威の侵入を想定した技術的セキュリティ対策①～②

インターネットを通信経路とするクラウドサービスは、閉域網よりも、悪意を持った外部の脅威からの攻撃リスクが比較的高く、脅威の侵入に備えたセキュリティ対策を講ずる必要がある。
（６）情報の通信経路のセキュリティ確保① パ ブ リ ッ ク ク ラ ウ ド の 利 用 に お い て 、情 報 の 通 信 経 路 と し て イ ン タ ー ネ
ッ ト を 用 い る 場 合 は 、通 信 経 路 上 で の 暗 号 化 等 の 保 護 措 置 は 必 須 で ある こ と か ら 、ク ラ ウ ド 事 業 者 が 提 供 す る 保 護 措 置 を 確 認 し 、利 用 し なければならない。
②保守運用に用いる通信回線についても、送受信される情報の暗号化を行う等、情 報の 盗聴、改 ざん、誤っ た経路 での通 信、破 壊等か ら保護 するた めに必要 な 措 置 が求められる。具体的な手法については、事業者によって異なることに留意すること。
（７）クラウドサービスを提供する情報システムの物理的セキュリティ対策①～②クラウドサービスを提供する情報システムの設置場所における物理的セキュリ
ティ対策は、教 育 委 員 会 等 の サ ー バ 室 と同等レベルが求められる。保守運用拠点へのセキュリティ侵害は、その被害が広範囲に及ぶことから、保守運用拠点がデータセンターとは別ロケーションの場合には、その物理的セキュリティ対策も①と同等の充分な堅牢性と入退室管理が求められる。
③機器内部の記憶装置から全ての情報を消去のうえ復元不可能な状態にするなどの処
置は、情報資産が許可なく第三者に漏えいすることを防ぐためであり、装置等の資源が適切に処分されることをクラウドサービス事業者の方針及び手順が組織やシステムが求める基準を満たしているか確認することが重要である。
ただし、クラウド利用者側が直接装置等の資源に対して情報の抹消や破壊を行う
ことが暗号化消去以外には難しいクラウドサービスにおいては、監査報告書や媒体・装置の「廃棄証明書」等を入手して確認することが考えられる。特に重要性分類Ⅲ以上の情報資産の記録された資源の処分においては、記憶装置や記憶媒体の破壊など復元不可能な処理が行われていることを確認する必要がある。
（８）クラウドサービスを提供する情報システムの運用管理①利用者増減に伴う仮想環境の設定変更、容量拡張、機能追加等において、サービスの一時停止や機能制限等が起こりうることから、クラウド利用者に影響する運用作業に関しての事前連絡や回復の連絡など運用フローを確認し、クラウド利用者側
153

の業務への支障を最小限に抑える必要がある。なお、IaaS 事業者等からインフラの供給を受けている SaaS 事業者においても、インフラ供給者の保守・運用に伴うクラウド利用者への影響の有無、影響の範囲（内容、時間）等について把握し、クラウド利用者の告知が求められる。また、クラウド事業者による設定不備等によってセキュリティインシデントが発生する事例もあるため、利用しているサービスの正常性の確認やインシデント発生時には対応状況についてクラウド事業者へ情報を求めることも重要である。
②～④クラウド事業者においても、サーバ冗長化（サービス可用性）、データバックア
ップ、ログ取得について、４. 物理的セキュリティ及び６. 技術的セキュリティの規定に準じた対策が必要である。詳細は各クラウド事業者が提供するサービス・
対応を踏まえて検討すること。
ログ管理については、クラウド利用者の内部統制上、定期的な取得・管理が義務づけられる場合もあることから、監査やインシデント発生時における対応等、クラウドサービスにおけるモニタリング機能やインシデントの自動通知機能等も活用しつつ、必要に応じて、クラウド事業者にログの提出やログ管理レポートの提出を求める。
（９）クラウドサービスを提供する情報システムのマルウェア対策
クラウドサービスが悪意のある脅威に乗っ取られた場合、クラウド内に保管しているデータ全体に深刻なセキュリティ侵害が及ぶことから、その安全管理対策は最上位に位置付けられる。
既知のマルウェア対策に加えて、インターネットからの未知のマルウェア対策が重要になり、ネットワーク機器のログ監視を強化して、情報を外部に持ち出そうとするなどの正常ではないふるまいや外部との不正な通信を確認しアラームを発したり、その通信を遮断する等の対策が必要である。また、万が一、マルウェアが内部システムに侵入した場合の対策も必要である。
（１０）クラウド利用者側のセキュリティ確保
ここでは、クラウドサービスを利用する上で、クラウド利用者として特に重要な点について再掲している。
クラウドサービスにアクセスするクラウド利用者側端末は、クラウドサービスを提供する情報システム同様、マルウェア対策及び重要な情報保管における保護措置が求められる。
また、クラウド利用者は、一時的であっても、クラウド利用者側端末に重要な情報が保管される場合は、悪意のある外部脅威の侵入リスクに備えて、該当情報に暗号化等の安全管理措置を講じる必要がある。
154

（１１）クラウド事業者従業員の人的セキュリティ対策
クラウド事業者は、クラウド利用者のデータを預かる責務として、業務に関わる従業員の過失や不正行為により、データの機密性・完全性・可用性が脅かされる状態を排除しなければならない。そのために従業員に求めるセキュリティ遵守事項として、①クラウド事業者のセキュリティ規定等の遵守、②ID/パスワード等個人認証に必要な情報の適切な管理、③利用者データ取り扱いにおける秘匿、④利用者データの外部持ち出しにおける適切な管理、⑤
従業員によるサーバや端末へのマルウェア感染の抑止が必要になる。
（１２）デ ー タ の 廃 棄 等 に つ い て① 不 完 全 な デ ー タ の 廃 棄 及び利用者アカウント情報の抹消は 外 部 へ の 情 報 漏
洩 に つ な が る た め 、ク ラ ウ ド 事 業 者 に 預 け た 個 人 を 特 定 し う る デ ー タの 消去及 びデー タを格 納した 機器・媒 体等 の廃棄 につい て、規 約、プ
ラ イ バ シ ー ポ リ シ ー 、契 約 要 件 等 に よ っ て そ の 措 置 に つ い て 確 認 し て
お か な け れ ば な ら な い 。 ま た 、 ストレージ等の物理マシンの保守交換時においても、データを消去しないまま作業が行われないよう、保守作業時におけるデータの消去を確実に行うことも必要である。
（ 可 能 で あ れ ば 、 デ ー タ を 格 納 し た 機 器 ・ 媒 体 等 の 廃 棄 を確実にする手順を確 認 し て お く こ と が 望 ま し い 。）
な お 、デ ー タ の 特 性 や 重 要 性 に 応 じ て 、デ ー タ の 保 存 期 限 を 決 め て お
き、期限を過ぎたデータを定期的に消去することも重要である。
ま た 、 該 当 ク ラ ウ ド サ ー ビ ス が 「 NIST SP800-88（メディア廃棄）」に準拠
し て い る か ど う か 、 及 び 後 述 の 9.2（ 10） 解 説 内 に お け る 学 習 者 の プ
ライバシーに関する宣言書を宣言しているかどうかを確認することが望ましい。
② SaaS 型 パ ブ リ ッ ク ク ラ ウ ド サ ー ビ ス の 利 用 終 了 後 に 預 け た デ ー タ を回収することが必要になるが、その回収方法等についてはあらかじ
め手順・方法を確認しておくことが必要である。
③ SaaS 型パブリッククラウドサービスで扱う情報資産の移行及び削除にあたっては、クラウドサービスモデルにより異なり、情報資産が保管されているハードウ
ェアはクラウドサービス事業者が所有していること及びそのハードウェアがクラウドサービス利用者間で共有されることを、利用するサービスモデルに応じて考慮する必要がある。情報資産のクラウドサービスでの利用を終了する場合、利用終了時までには、そのデータがクラウドサービス事業者及び他のクラウドサービ
ス利用者 に参照されないような処理（例：暗号化等） を施す必要がある。これ
らのセキュリティ対策は、クラウドサービス選定や契約時における対策だけでな
155

く、契約後の情報システムの導入・構築、その後の運用・保守、更には契約終了時に至るまで情報システムのライフサイクル全般において行う必要があり、セキュリティ対策の実施状況やその可否は、①②に記載したとおり契約前に確認しておく必要がある。
（１３）クラウドサービス要件基準を満たす配慮を含めたネットワーク設計
クラウドサービスが所定の機能・性能を発揮する条件として、クラウドサービスが求める要件規準を満足する利用が求められるため、要件規準がクラウド利用者として受け入れられるかを確認する必要がある。特にネットワーク帯域・遅延特性により、クラウド利用者の体感するクラウドサービスの機能・性能が変わり、可用性を満たさないリスクがある
ため、クラウドサービスが求める要件規準を満足するネットワークを設計することが必要である。
９.２. SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項【趣旨】
クラウド利用者は、教育情報システムに SaaS 型パブリッククラウドサービス（学習 eポータル、デジタル教科書、デジタルドリル、協働学習支援サービス、デジタルコンテン
ツ配信サービス、校務支援システム、学校ホームページ作成サービス、緊急連絡網サービス等）を利用する場合においては、クラウド事業者及び提供サービスに対する信頼性や内在するリスクを評価し、総合的に情報セキュリティを確保ができるクラウド事業者が提供するサービスを選定する必要がある。この観点からクラウド事業者のサービス提供ポリシ
ーや体制等について確認・検証すべき事項について規定する。
第三者認証取得の確認等から、クラウド事業者と提供するクラウドサービスの安全性、信頼性を間接的に確認できた場合についても、外部サービス利用として契約により情報セキュリティを確保する観点から、各規定について報告を求めて内容を確認し、契約内容に反映することが必要である。
【例文】（１）守秘義務、目的外利用及び第三者への提供の禁止① クラウド利用者は、クラウド事業者と契約時に守秘義務、目 的
外 利 用 及 び 第 三 者 へ の 提 供 の 禁 止 条 項 を締結しなければならない。クラウドサービス事業者がコンテンツにアクセスできるかどうかを確認し、サ ー ビ ス に 係 る 情 報 及 び 受 託
し た 情 報 に 関 す る 守 秘 義 務 、目 的 外 利 用 及 び 第 三 者 への 提 供 の 禁 止 条 項 に つ い て 、サ ー ビ ス 提 供 に 係 る 契 約に 含 め な け れ ば な ら な い 。契 約 に は 、当 該 条 項 に 違 反156

したクラウドサービス事業者に対する損害賠償規定を含める。
（２）準拠する法令、情報セキュリティポリシー等の確認① クラウド利用者は、クラウド事業者がどのような規範に基づいてサービス提供するか開示を求め、クラウド利用者の準拠する
法令、情報セキュリティポリシーを確認し、それらとの整合を確認しなければならない。
（クラウド事業者の準拠する認証制度、個人情報保護指針、プライバシーポリシー、情報セキュリティに関する基本方針及び対策基準、保守運用管理規程 等）（３）クラウド事業者の管理体制① クラウド利用者は、クラウド事業者に対して、情報セキュリ
ティポリシー等の遵守を担保する管理体制が整備されているか、クラウド事業者の組織体制を確認し、合意しなければならない。
確認すべき項目例を下記に示す。
（ ア ） サービスの提供についての管理責任を有する責任者の設置（ イ ） 情報システムについての管理責任を負い、これについて十分な技術的能力及び経験を有する責任者（システム管理者）の設置（ ウ ） サービスの提供に係る情報システムの運用に関する事務を統括する責任者の設置（ ４ ） クラウド事業者従業員への教育① クラウド利用者は、クラウド事業者に、従業員に対して個人情報保護等の関係法令、守秘義務等、業務遂行に必要な知
識、意識向上のための適切な教育及び訓練を実施し、充分な知識とセキュリティ意識を醸成することを求めなければなら
ない。

157

② クラウド利用者は、クラウド事業者に、従業員への上記育成
計画、教育実績等の情報を提示させ、自らデータを管理する
場合と同様の教育・訓練を実施しているかを確認しなければならない。

（５）情報セキュリティに関する役割の範囲、責任分界点① クラウド利用者は、クラウド事業者の情報セキュリティに関する役割の範囲と責任分界点について開示するよう求めなけ
ればならない。

② クラウド利用者は、クラウド事業者の情報セキュリティに関する役割の範囲と責任分界点がクラウド利用者側で講ずる情報セキュリティ対策の役割の範囲と整合することを確認し、合意しなければならない。

（６）監査① クラウド利用者は、クラウドサービスの監査状況、範囲・条件、内容等についてクラウド事業者に開示するよう求めなけ
ればならない。

158

②

クラウド利用者は、クラウド事業者によるクラウドサービスに関する監査レポート等を根拠にして、自らの関係法令、情報セキュリティポリシーと照らし合わせ、安全性が確保されているかについて確認しなければならない。

（７）情報インシデント管理及び対応フローの合意① クラウド利用者は、情報セキュリティインシデント管理に関する責任範囲と及びインシデント対応フローを、サービス仕様の一部として定めることについて、クラウド事業者に対して求めなければならない。

② クラウド利用者は情報セキュリティインシデント管理に関する責任範囲と及びインシデント対応フローを検証し、インシデントに備えた組織体制を整備しなければならない。

（８）クラウドサービスの提供水準及び品質保証① クラウド利用者は、クラウドサービスの提供水準（サービス内容、提供範囲等）と品質保証（サービス稼働率、故障等の復旧時間等）を確認するとともに、それらの水準・品質が、業務遂行に求められる要求水準を満たすことを確認し、合意しなければならない。

159

（９）クラウド事業者の再委託先等との合意事項① クラウド利用者は、クラウド事業者と合意したサービス履行
内容及び情報セキュリティ対策について、クラウド事業者自らが実施する内容と、再委託先等に委託する内容も含めて提示することをクラウド事業者に求めなければならない。また、サプライチェーンリスク対策が適切に講じられていることをクラウド事業者に求めなければならない。
② クラウド利用者は、①の提示内容が、クラウド事業者と合意したサービス履行内容及び情報セキュリティ対策と整合していることを確認しなければならない。
（１０）その他留意事項① クラウド利用者は、クラウド事業者がサービスを安定して提供可能な企業・団体であるかについて考慮しなければならない。
② クラウド利用者は、クラウド事業者間でのデータ形成の互換性が必ずしも保証されている訳ではないことから、事業者を変更する際のデータ移行の方法などについて、クラウド事業者にサービス提供定款や契約書面上で確認または合意しなけ
ればならない。

③ クラウド利用者は、クラウド事業者に対して、クラウドサー
ビスにおいて扱う情報資産や情報システム等について、日本の法令が適用されること及び係争等における管轄裁判所が日本国内であることを確認すること。
④ クラウド利用者は、クラウド事業者において個人情報の適切な管理が行われているか確認するとともに、確認した項目については、調達時においてサービスの過剰な排除にならないよう留意した上で、契約要件等として定めなければならない。

160

（解説）
（１）守秘義務、目的外利用及び第三者への提供の禁止
SaaS 型 パ ブ リ ッ ク ク ラ ウ ド 事 業 者 は 、 ク ラ ウ ド 利 用 者 の デ ー タ を 預 か る 立場であるため、守秘義務を遵守するとともに、同意のない目的外利用及び第三者への提供は行ってはならない。また、自社のサービスの提供に従事する要員に対して、就業中に取り扱った情報に関する守秘義務、目的外利用及び第三者への提供の禁止条項を、雇用契約又は派遣契約に含めなければならない。なお、退職時又は契約終了時以降の守秘義務についても同契約に含めなければならない。
（２）準拠する法令、情報セキュリティポリシー等の確認
前述のとおり、現在の地方公共団体における教育情報セキュリティポリシーにおいては、「データセンターを（目視で）確認すること」など、クラウドサービスの利用にはなじまな
い内容となっているケースがあることから、クラウド利用者は、自らの情報セキュリティポ
リシーを、クラウドサービスの利用を前提とした内容に改めた上で、クラウド事業者の規範と照らし合わせなければならない。
な お 、法 令 、セ キ ュ リ テ ィ ポ リ シ ー 等 の 遵 守 義 務 の 実 効 性 を 担 保 す る た め 、
クラウド事業者に課せられるセキュリティポリシー等の遵守義務を怠った場合の損害賠償規定内容を確認しておくことが必要である。
（注１）クラウドに保管するデータの著作権については注意が必要である。アプリケーションやコンテンツ等で他者の著作物を複製してクラウドに保管する場合は、当該複製行為が契約違反や著作権侵害に相当しないことを確認しておくことが必要である。
（オンプレミスのサーバ用に購入したアプリケーションのライセンスを、クラウド上のサーバにインストールすることを認めていない
ソフトウェアベンダもあるため、注意が必要）（注２）クラウド利用者のデータの知的財産権について、帰属先をクラウド事業者とする場合があるので、クラウド利用者の不利益にならないよう契約内容等を十分に確認すること。
（３）クラウド事業者の管理体制
クラウド事業者が合意した内容を確実に遂行できるガバナンスを保有して
い る こ と を 確 認 す る 上 で 、適 切 に 従 業 員 、管 理 者 が 配 置 さ れ て い る 等 、ク ラ ウ
ド事業者の管理体制を確認することが有効である。
また、クラウド利用者とクラウド事業者は情報セキュリティの役割を分担
す る た め 、双 方 で 管 理 体 制 を 確 認・共 有 し 、円 滑 に 連 絡 を と る こ と が で き る 体制を整備しておく必要がある。
161

（４）クラウド事業者従業員への教育
クラウド事業者の従業員は、仮想環境の運用等で高度な専門スキルが求められる。また同時に、サイバー脅威とその防御策等情報セキュリティに関する専門性も求められるため、従業員のスキルやセキュリティ意識の育成はクラウド事業者の業務信頼性に直結するといって過言ではない。セキュリティインシデントの多くは、人的な不正行為や過失により生じることから、クラウド事業者従業員の育成方針や教育計画について確認する必要がある。
（５）情報セキュリティに関する役割の範囲、責任分界点
責任分界点が曖昧なままサービス利用することは、脆弱性を放置し、セキュリティ侵害を誘発する危険性が高いため、事前のすり合わせが重要である。また、クラウド事業者が機能を提供し、クラウド利用者が機能を利用するケース（例：利用者登録、アクセス制御）や運用事業者がクラウド利用者の作業を行うケース等についても、クラウド利用者、クラウド事業者、運用事業者それぞれの役割の範囲を確認することが必要である。
（６）監査
ク ラ ウ ド に お け る 監 査 は 、 第三者の外部検査機関が評価し、安全性が確保されていることをクラウド利用者にレポート報告する形態等が想定される。クラウド利用者は、これらのレポートを自ら実施する監査結果と同等と見なして安全性を確保することが可能かを確認する必要がある。
「第２編９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策」に示したとおり、機密性の観点から、クラウド利用者による直接監査（サーバルームを覗く等）ができない、データ保管場所を秘匿している場合があることから、自らのセキュ
リティポリシーをクラウドサービスの利用を前提とした内容に改めた上で、検討を行うこと。
（７）情報インシデント管理及び対応フローの合意
クラウド利用者はクラウド事業者によるログの定期的なチェック等の情報
インシデント管理手順を合意しておくことが必要である。また、クラウド利
用者内部不正によるインシデント発生等、クラウド事業者に対して、ログの提供等、原因究明に向けた調査協力を依頼する必要があるため、協力の範囲を合意しておくことも重要である。
イ ン シ デ ン ト 発 生 時 の 即 応 体 制 と し て 、ク ラ ウ ド 事 業 者 に 対 し て 調 査 協 力 、
情 報 提 供 等 を 速 や か に 指 示 で き る ク ラ ウ ド 利 用 者 側 で の 体 制（ 教 育 CSIRT）とクラウド利用者及び事業者との連絡体制を確立しておく必要がある。

162

（８）クラウドサービスの提供水準及び品質保証
利 用 し よ う と す る ク ラ ウ ド サ ー ビ ス に つ い て 、 利 用 規 約 、 SLA （ service
level agreement ）、 SLO（ service level objective ） な ど で 示 さ れ た 水 準 等
を、業務内容やコストと照らし合わせ、運用に支障がないことを確認すること。
（９）クラウド事業者の再委託先等との合意事項
ク ラ ウ ド 事 業 者 は 、 IT サ プ ラ イ チ ェ ー ン を 構 成 し て サ ー ビ ス を 提 供 す る 場
合もあり、その場合にはクラウド事業者と再委託先等との関係において、サービス供給の停止、故意または過失による不正アクセス、セキュリティ管理
レベルの低下などのリスクを考慮する必要がある。クラウド利用者は、これらのリスクに対して、クラウド事業者が合意した内容を確実に遂行できるガ
バナンスを保有していることを確認しておくことが望ましい。
（１０）その他留意事項① クラウド利用者が長期的に存続することを保証されている地方公共団 体 主 体 で あ る こ と 対 し て 、ク ラ ウ ド 事 業 者 は 民 間 企 業 で あ る ケ ー スが 多く、企 業存続 リス ク、一方 的なサ ービ ス停止 リスク につい て、ク
ラウド利用者の業務継続計画との整合性を確保する必要がある。
② サービス解約時のデータ返却方式や費用等、事業者を変更する際のデータ移行に関する条件を確認しておくことが望ましい。
③ クラウドサービスを利用にあたっては、クラウドサービス事業者の事業所の場所に関わらず、データセンターの所在地の国の法律の適用を受ける場合があることに留意する必要がある。具体的には、クラウドサービスの利用を通じて海外のデータセンター内に蓄積された地方公共団体の情報が、データセンターの設置されている国の法令により、日本の法令では認められていない場合であっても、海外の当局による情報の差し押さえや解析が行われる可能性があるため、重要な情報を蓄積する場合には、日本の法令の範囲内で運用でき、係争時の管轄裁判所が日本国内となるクラウドサービスを選択する必要がある。
重要性が相対的に低い情報であっても、パブリッククラウドサービスを利用する場合には、どの国の法令が適用されるかを確認し、リスク等を考慮した上で選択すること。
④ SaaS 型パブリッククラウド利用者は、個人情報の収集・利用範囲や管理期間、データの統制と所有の在り方等、プライバシー保護に関する事項についてクラウド
事業者に確認を行う必要がある。
特に、ISO／IEC 27018 等第三者認証の取得の確認や、下記の「学習者のプライバ
163

シーに関する宣言書」等を参考にされたい。なお、最新の情報については出典に記載したウェブサイトを確認すること。
※本項においては、学習システムに関するクラウドサービスを提供する事業者を「学習サービスプロバイダー」と呼称する（１）個人情報の定義
個人情報とは、学習者及びその保護者（以下「学習者等」といいます）に関する情報であって、氏名、性別、住所、生年月日、電話番号、メールアドレス等により、特定の学習者等を識別することができるものをいいます。
（２）個人情報の取得
個人情報を取得するときは、適正かつ公正な手段により行い、利用目的をあらかじめ公表するか、または取得後速やかに学習者等に通知もしくは公表いたします。
（３）個人情報の利用
利用目的の達成に必要な範囲内で、適正に学習者等の個人情報を取り扱います。 利
用目的のために必要な場合を除き、個人プロファイルを作成しません。
（４）利用目的
学習サービスプロバイダーが取得した個人情報は、当該学習サービスのためのみに利用するものとする。学習者等への当該学習サービスに関わらないターゲティング広告の目的には利用しません。利用目的の詳細は、学習サービスプロバイダーのプライバシー
ポリシーに明記します。
（５）個人情報の第三者への提供
事前に学習者等から同意を頂いている場合、法令等により提供が認められている場合を除き、学習者等の個人情報を第三者に提供しません。たとえば、学習者等への当該学習サービスに関わらないターゲティング広告の目的で個人情報を第三者へ提供しません。
（６）不適切なポリシー等の変更禁止
教育機関または学習者等に対する明確な通知、あるいは公表なしに、学習者等のプライバシーポリシーの実質的な変更を行いません。個人情報保護法その他の法令に反するような変更は行いません。
（７）個人情報の保持期間
学習サービスプロバイダーは、学習サービスの提供期間（利用者と合意した期間）が満了したときは、個人情報を廃棄・削除します。
（８）個人情報の取扱いについての情報開示収集する学習者等の個人情報の種類や、個人情報の利用目的、第三者提供、共同利用については、教育機関、学習者等が容易に理解できる表現にて、利用規約または学習者
サービスプロバイダーのプライバシーポリシーで明確に示します。
164

（９）利用者による個人情報の開示等の請求
個人情報を提供した教育機関または学習者等から、学習者サービスプロバイダーが保有する個人情報の開示・訂正・追加・削除および利用停止の要求があったときは法令に従い、速やかに対応いたします。
（１０）個人情報の適正管理
学習者等の個人情報は、細心の注意のもと、厳重に管理し、不正アクセス又は個人情報の紛失、破壊、改ざん、漏洩、盗難等のリスクに対し、適切な安全対策を講じます。
また、個人情報を正確かつ最新の状態で管理します。
（１１）委託学習サービスの提供について、その業務の全部又は一部を第三者に委託し、委託先に対して必要な範囲で学習者等の個人情報を提供する場合があります。この場合には、当該委託先との間で個人情報保護の契約を締結し、学習サービスプロバイダーと同等の義務を課し、個人情報保護法等を遵守するよう適切な監督を行います。
（１２）合併/事業譲渡
学習サービスプロバイダーの学習サービス事業が、合併、事業譲渡その他の事由により承継されたことに伴って、承継後の事業者が個人情報を取得した場合には、それまでに収集された個人情報については承継後の事業者は同様の義務を負い、あらかじめ学習者等の同意を得ないで、承継前における個人情報の利用目的の達成に必要な範囲を超えて、個人情報を取り扱いません。
（１３）匿名加工情報の取り扱い
学習サービスプロバイダーは、 同意を得ない場合、匿名加工情報とせずに第三者へ提供しません。学習サービスの利用状況の分析等のため、匿名加工情報を作成する場合
は、個人情報保護法等の法令に従い、個人情報を特定の個人を識別できないように加工して、「個人に関わる情報項目」「提供方法」を公表します。

※出典
・ 児童生徒のプライバシー誓約（https://studentprivacypledge.org/privacypledge/
US の「Future of Privacy Forum」（研究機関）及び「Software＆Information
Industry Association」（規格標準化推進団体）が運営する「生徒児童のプライバ
シーを保護するサービスプロバイダーの誓約」
・ 学習者のプライバシーに関する宣言書（https://giga.ictconnect21.jp/declare/）一般社団法人 ICT CONNECT 21 が国内の個人情報保護法等に合わせた日本版の「学習者プライバシー宣言書」
165なお、個人情報保護については、令和 3 年度改正個人情報保護法の施行により、地方公共団体の個人情報保護制度についても全国的な共通ルールを規定するとともに、個人情報保護に万全を期すため、個人情報保護委員会が、公的部門を含め、個人情報の取扱いを一元的に監視監督する体制を確立することとなった。
改正法においては、現状一定の地方公共団体の条例において規定されているいわゆる「オンライン結合」に特化した形での制限規定は設けず、今後その解釈が示される安全管理措置
や利用・提供の制限に係る規定等により、個人情報の安全性を確保することとなった。また、地方公共団体において個人情報を取り扱う際に個人情報保護審議会への諮問答申を得ることとしている例があるところ、こうした審議会への諮問については、法律による全国的な共通ルールの下で、国のガイドライン等により制度の適正な運用が図られることから、個人情報の適正な取扱いを確保するため「特に必要である」ときに限って認めることとなった。
よって、クラウドサービス活用において個人情報を取り扱う際は、令和 3 年度改正個人情報保護法に則った対応が必要であり、個人情報保護審議会への諮問については特に必要である場合のみ実施となった点に留意されたい。また、これまで個人情報保護審議会の諮問を通じて対応してきた事項については、個人情報保護委員会が監視機関に変わるような体制となっていることに留意されたい。
９.３. SaaS 型パブリッククラウドサービス利用における教職員等の留意点【趣旨】
クラウドサービスとは、システムを構成する端末、ネットワーク、サーバのうち、サーバの処理能力を貸し出す（提供する） サービスである。代表的なクラウドサービスとして、サーバ機能（アプリ・コンテンツ提供） を複数の利用者が共用し、通信回線としてインターネットを利用するSaaS型パブリッククラウドサービスがある。SaaS型パブリックク
ラウドサービスは、インターネットに接続できれば、どこからでもアクセス可能な点で、利用者は利用場所の制約から解放される点が大きなメリットである。
【例文】（１） ID・パスワード等の秘匿① 教職員等は、ID・パスワードについて秘匿管理を行わなければならない。
② 教職員等は、多要素認証に必要な要素（知識、生体、物理）についても適切に管理を行わなければならない。もし該当要素が流出等したと考えられる場合には、速やかに教育情報セキュリティ管理者に報告しなければならない。
（２） モバイル端末持ち歩きリスク
教職員等は、クラウドサービスにアクセスする際に活用するモバイル端末について、
166

紛失・盗難を避けるよう、適切に管理しなければならない。
（３） 重要性分類に基づく情報管理
パブリッククラウド上で重要な情報（重要性分類II以上）を取り扱う際には、多要素認証を含む強固なアクセス制御による対策を講じる必要がある。
（４） 学校外からのパブリッククラウド利用① 教職員等は、学校外からクラウドサービスを利用する際、情報資産の取扱いをクラウドサービス上のみで行うことを原則とする。
② クラウドサービスから端末にファイルをダウンロードする際は、情報資産の外部持ち出しに基づく安全管理措置として、端末の安全性を事前に確認するとともに、作業が終わり次第当該端末から情報資産をすみやかに消去しなければならない。
（５） SaaS型パブリッククラウドサービスの学習用途、校務用途混在リスクへの対応① 教職員等は、強固なアクセス制御による対策を講じたシステム構成にてクラウドサービスを利用している場合には、クラウドサービスを学習用途と校務用途で適切に使い分けるよう、共有先やダウンロード方法等の運用ルールについてあらかじめ確認し、適切に運用しなければならない。
② 教職員等は、ネットワーク分離による対策を講じたシステム構成の場合にてク
ラウドサービスを利用している場合には、クラウドサービスを学習用途と校務用途で使い分けるよう、適切に運用しなければならない。
（解説）（１）ID・パスワード等の秘匿
SaaS型パブリッククラウドサービスはインターネット上に存在するため、インターネッ
ト上のサイバー脅威から常に身を守る必要がある。また同じ機能を複数の利用者に提供しており、利用者を識別にするためにID・パスワードが用いられる。SaaS型パブリッククラ
ウドサービス利用でのリスクについて、このID・パスワードが利用者以外の他者に漏えいして、他者がなりすまし行為（不正アクセス）を行うことが最大のリスクと言える。そのため、なによりもID・パスワードの秘匿管理が重要となる。
また、特に強固なアクセス制御による対策を講じたシステム構成にてSaaS型クラウドサービスを利用している場合などにおいては、多要素認証を採用していることが考えられ、その場合、多要素認証に必要な要素（知識、生体、物理）について、適切に管理を行わなければならず、流出等したと考えられる場合には速やかに教育情報セキュリティ管理者に報告しなければならない。
167

そのため、認証キー（FIDO）利用時の紛失・破損の手順や、デバイスの管理や紛失・破損及び事件事故に巻き込まれた時の手順、パスワード管理の運用ルール等について、あらかじめ確認しておくことが望ましい。
（２）モバイル端末持ち歩きリスク
学校内外からインターネット経由でSaaS型パブリッククラウドサービスにアクセスができるため、モバイル端末持ち歩きによる家庭学習が可能となった。一方で、端末の紛失・盗難・破損リスクも増加している。モバイル端末が紛失・盗難に合うことは２つの側面で問題がある。ひとつは、端末に情報が保管されている場合は端末紛失自体が情報の漏えいにつながること、もうひとつは端末が使えなくなることで業務に支障がでる点である。
よって、教職員等はモバイル端末の紛失・盗難を避けるよう、留意する必要がある。それに加えて、モバイル端末の紛失・盗難が利用者の管理だけで100%守り切れるとは言い切れない以上、モバイル端末を一元的に監視・管理するMDM（Mobile Device Management）の導入を検討されたい。また、端末に情報を保管することを控えることが安全性を高める
ことから、情報の保管先をクラウドサービス側にデフォルト設定することを推奨する。
（３）重要性分類に基づく情報管理
SaaS型パブリッククラウドサービスはインターネット接続環境からのアクセスが前提となるため、常にサイバー脅威（ウイルス感染等）に晒されていることに加えて、利用者認証方式に知識認証（ID・パスワード）が多く採用されていることから、利用者認証情報が他者に漏れると、容易に「なりすまし」による不正アクセスが発生する等のリスクが存在することに留意する必要がある。パブリッククラウド上で重要な情報（重要性分類II以上）を取り扱う際には、多要素認証を含む強固なアクセス制御による対策を講じる必要がある。詳しくは「第１編第３章（３）学校現場におけるクラウドサービスの利用②③」を参照すること。
（４）学校外からのパブリッククラウド利用
SaaS型パブリッククラウドサービスは、アクセス制御による対策、通信経路の暗号化を講じる条件において、インターネットを通信経路として採用した利用ができる。学校が管理するパブリッククラウドサービスにおいては、パブリッククラウド内にデータを保管しても情報資産の外部持ち出しには該当しない。
SaaS型パブリッククラウドから教育委員会が貸与するなど管理が及ばない外部の端末にファイルをダウンロードして情報処理をする場合には、情報資産の外部持ち出しに該当するため、安全管理措置が必要になる。第一に、外部の端末の安全性確認、第二に情報処理した学校の情報資産を端末内に残置せず消去することが求められる。

168

（５）SaaS型パブリッククラウドサービスの学習用途、校務用途混在リスクへの対応
強固なアクセス制御による対策を講じたシステム構成にてクラウドサービスを利用している場合には、共有先を適切に設定しなければならず、共有先やダウンロード方法等の運用ルールについてあらかじめ確認しておくことが望ましい。なお、教職員端末上で重要な情報を表示する際の、児童生徒への誤表示や、児童生徒による不正閲覧が発生することのないよう、運用において留意することが望ましい。
ネットワーク分離による対策を講じたシステム構成にてクラウドサービスを利用している場合には、校務系情報が児童生徒のアクセスを想定していない以上、同一クラウドサー
ビスで学習用途と校務用途を混在させた場合、児童生徒への校務系情報の誤表示リスクが高まる。そのため、クラウドサービスを学習用途と校務用途で使い分ける形が望ましく、運用で誤表示リスクを軽減することが望ましい。
９.４. 約款による外部サービスの利用【趣旨】
本項でいう約款による外部サービスとは、インターネット上に約款を掲示し、同意した利用者に対して情報処理機能を提供するサービスであり、SaaS 型パブリッククラウドサービ
スの一種であるが、「第２編９.１. SaaS 型パブリッククラウドサービスの利用における情報セキュリティ対策」及び「第２編９.２. SaaS 型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項」で想定する個別契約締結型サービスとは別種であり、利用者が必要とする情報セキュリティに関する十分な条件設定の余地があるものを除くものである。
原則、約款に提示された提供条件だけで利用を判断することになるため、リスクを十分踏
まえて、利用に際して適切なセキュリティ対策を講じる必要がある。
【例文】（１）約款による外部サービスの利用に係る規定の整備① 教育情報システム管理者は、以下を含む約款による外部サービスの利用に関する規定を整備しなければならない。また、当該サービスの利用において、機密性の高い情報の取扱いには十分に留意するように規定しなければならない。
(ア)約款によるサービスを利用してよい範囲(イ)業務により利用する約款による外部サービス(ウ)利用手続及び運用手順（２）約款による外部サービスの利用における対策の実施
教職員等は、利用するサービスの約款、その他提供条件から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適切な措置169を講じた上で利用しなければならない。
（解説）（１） 約款による外部サービスの利用に係る規定の整備
前述のとおり、有料、無料に関わらず、利用者が必要とする情報セキュリティに関する十分な条件設定の余地があるものを除き、約款への同意及び簡易なアカウントの登録により当該機能を利用可能なサービスを想定しており、この代表例としては、以下のものがある。
・ 電子メール・ ファイルストレージ・ グループウェア等のクラウドサービス
・ ファイル転送サービス など
また、約款による外部サービスを利用する場合は、約款の範囲内でのサービス利用となり、特約等を個別に締結することが困難であることが多いため、提示された約款の範囲で利用の可否判断が求められることが一般的である。
このようなサービスを利用する場合の主なリスクとして、以下のことが想定される。
① 利用者データの取り扱いについてのセキュリティ遵守事項（知りえた情報の秘匿義務、目的外利用の禁止、無許可での第三者への提供の禁止、安全な廃棄手順等）が約款に示されていない場合がある。
② 利用者データの利用権限がサービス提供者側に帰属することを前提にサービス提供する場合がある。
③ セキュリティインシデント調査等においては、利用者の当該サービスへのアクセ
ス記録が必要になるが、利用者の求めに応じてアクセス記録を提供する等、利用者のインシデント対応に協力することが約款に示されていない場合が多い。
④ 当該サービスについて、物理的・人的・技術的セキュリティ対策等が約款に示されていないため、利用者データ保管における安全管理措置が不明な場合が多い。
⑤ 約款や利用規約が予告なく一方的に変更されたり、サービスが停止する可能性がある。
これらのリスクを十分踏まえた上で利用を判断し、セキュリティ対策を適切に講ずる必要がある。
留意すべき事項としては、具体的には以下の項目が考えられる。
① 約款による外部サービスの利用手順を定める
・ 利用できる情報資産の範囲
・ 利用申請の許可権限者の決定
170

・ 利用申請時の申請内容－利用する組織名－利用するサービス－利用目的（業務内容）－利用期間－利用責任者（利用アカウントの責任者） など② サービス利用中の安全管理に係る運用手順を定める
・ サービス機能の設定（例えば情報の公開範囲）に関する定期的な内容確認
・ 情報の滅失、破壊等に備えたバックアップの取得
・ 利用者への定期的な注意喚起
・ 情報セキュリティインシデント発生時の連絡体制③ 当該サービスの利用において、機密性の高い情報を取り扱う場合に当たっては、
以下の規定を確認することが望ましい。
(ア)利用者が登録した情報の目的外利用及びサービス事業者以外の者への提供の禁止(イ)サービス事業者が業務上知り得た情報の守秘義務（注１）「サービス約款」を提示するサービス提供形態は一般的であり、約款を提示する形態のサービス全般が、そのまま本項の「約款による外部サービス」に該当するものではない。本項で規定する「約款による外部サービス」とは、個人向けのWebサービスを想定しており、利用者が必要とする情報セキュリテ
ィに関する十分な条件設定の余地があるものを除くものである。
便利な反面、セキュリティ面での裏付けを確認できないことが多く、利用リ
スクが残るため、利用できる範囲を制限し、対策を講じた上で利用することを述べている。
（注２）教職員等が学校において、個人アカウントにより無断で約款による外部サー
ビスを取り扱うことはセキュリティポリシー違反であり、学校の情報セキュ
リティ管理をすり抜ける行為である。情報資産の重要性によっては外部漏えい事案に相当するため、教育情報セキュリティ管理者は充分注意が必要である。一概に利用を禁止するものではなく、教職員の私的利用を禁止し、情報
セキュリティ管理者が教職員等の利用を把握できる状態にすることが重要である。そのためには、約款内容をふまえて残存するリスクを明らかにして、リスクが許容できる範囲で利用規定を整備し、教育委員会や学校が契約したサービスのみを教職員等に提供することが望ましい。なお、約款による外部サービスの利用については「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」（令和3年4月30日）を参照されたい。

171

（２）約款による外部サービスの利用における対策の実施
約款による外部サービスの利用を検討する際は、当該サービスの約款、利用規約、その他の利用条件を確認し、利用の必要性を判断した上、セキュリティ対策も適切に講ずる必要がある。具体的には次の事項が考えられる。
・ 情報が分析され、漏えいすることを防ぐため、利用端末や送信元をインターネッ
ト上で匿名化する対策の導入を検討することや、グループメール等では、組織名を名乗らないといった運用面での対策を行うことが望ましい。
・ サーバ装置の故障や運用手順誤りに等により、サーバ装置上の情報が滅失し復元不可能となる場合に備えてバックアップを取得する
・ サービスの突然の停止に備え、予め代替サービスを確認しておく・ 約款や利用規約が予告なく一方的に変更され、セキュリティ設定が変更される場
合や一度記録された情報を確実に消去できない場合に備え、サービスで取り扱うことのできる情報をあらかじめ定めておく 等（注３）グループメールサービスの業務利用においても、その設定によってはメールの内容が外部から閲覧可能な状態となり、必要なセキュリティが確保できない場合があるため利用を禁止する必要がある。やむを得ず利用する場合は、利用の要否を十分に検討の上、必要な対策を講じた上で利用する。なお、グループメールサービス利用時の注意喚起については、「グループメールサー
ビスの利用について（注意喚起）」（平成25年7月11日 総務省 事務連絡）を参照されたい。
９.５. ソーシャルメディアサービスの利用【趣旨】
住民への情報提供など、ソーシャルメディアサービスを利用する場合は、約款による外部サービスを利用することが多くなるが、なりすましやサービス停止のおそれがあるた
め、ソーシャルメディアサービスによる情報発信時の対策を講じる必要がある。
なお、データの保存を伴う場合には９.１. SaaS型パブリッククラウドサービスの利用における情報セキュリティ対策及び９.２. SaaS型パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項で想定する個別契約締結型サービスの検討を行うこと。
【例文】（１）教育情報システム管理者は、教育委員会又は学校が管理するアカウントでソーシャルメディアサービスを利用する場合、情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。
① 本市のアカウントによる情報発信が、実際の本市のものであることを明らかに172するために、本市の自己管理ウェブサイトに当該情報を掲載して参照可能とす
るとともに、当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を行うこと。
② パスワードや認証のためのコード等の認証情報及びこれを記録した媒体（ICカード等）等を適切に管理するなどの方法で、不正アクセス対策を行うこと（２）重要性分類Ⅲ以上の情報はソーシャルメディアサービスで発信してはならない。
（３）利用するソーシャルメディアサービスごとの責任者を定めなければならない。
（解説）
インターネット上における、ブログ、ソーシャルネットワーキングサービス、動画共有サイト等のソーシャルメディアサービスは、積極的な広報活動等に利用することができるが、外部サービスを利用せざるを得ず、第三者によるなりすましやアカウントの乗っ取り、予告なしでサービスが停止するといった事態が発生する可能性がある。そのため、利用にあたっては、ソーシャルメディアサービスの運用ポリシーや運用手順を定め、ルールに沿った利用を行うことが求められる。具体的には次の事項が考えられる。
① なりすまし対策
・ 教育委員会又は学校で管理しているウェブサイト内において、利用するソーシャルメディアサービスのサービス名と当該アカウントページへのハイ
パーリンクを明記するページを設ける。
・ 運用しているソーシャルメディアサービスの自由記述欄において、庁内ウェブサイト上のページのURL を記載する。
・ ソーシャルメディアサービスの提供事業者が、「認証アカウント（公式アカウント）」と呼ばれるアカウントの発行を行っている場合は、これを利用する。
② アカウント乗っ取り対策
・ パスワードを適切に管理する。
・ 二段階認証やワンタイムパスワード等、アカウント認証の強化策が提供されている場合は、可能な限り利用する。
・ ソーシャルメディアサービスへのログインに利用する端末が不正アクセスや盗難されないよう、最新のセキュリティパッチや不正プログラム対策ソ
フトウェアの導入、端末管理等のセキュリティ対策を行う。
③ サービスが終了・停止した場合の対応
・ あらかじめ発信した情報のバックアップを教育委員会又は学校に保管しておく等、スムーズに別のサービスへの移行が行えるよう適切な準備をして
173

おく。
１０. 評価・見直し
１０.１. 監査【趣旨】
情報セキュリティポリシーの実施状況について、客観的に専門的見地から評価を行う監査が実施されない場合は、情報セキュリティ対策が徹底されない状態や情報セキュリティ
ポリシーが業務に沿わない状態が続くおそれがある。このことから、監査の実施及びその方法について規定する。
監査を行う者は、十分な専門的知識を有するものでなければならない。また、適正な監査の実施の観点から、監査の対象となる情報資産に直接関係しない者であることが望ましい。
また、地方公共団体内の情報セキュリティ対策の監査・報告について中立性を保証され、監査に必要な情報へのアクセス等の権限が明確に与えられる必要がある。監査作業に伴う情報の漏えいのリスクを最小限とするため、監査人等が取り扱う監査に係る情報について、漏えい、紛失等が発生しないように保管する必要がある。
【例文】（１）実施方法
CISOは、情報セキュリティ監査統括責任者を指名し、教育ネットワーク及び教育情報シ
ステム等の情報資産における情報セキュリティ対策状況について、毎年度及び必要に応じて監査を行わせなければならない。
（２）監査を行う者の要件① 情報セキュリティ監査統括責任者は、監査を実施する場合には、被監査部門から独立した者に対して、監査の実施を依頼しなければならない。
② 監査を行う者は、監査及び情報セキュリティに関する専門知識を有する者でなければならない。
（３）監査実施計画の立案及び実施への協力① 情報セキュリティ監査統括責任者は、監査を行うに当たって、監査実施計画を立案し、情報セキュリティ委員会の承認を得なければならない。
② 被監査部門は、監査の実施に協力しなければならない。
（４）外部委託事業者に対する監査
外部委託事業者に委託している場合、情報セキュリティ監査統括責任者は外部委託事
業者から下請けとして受託している事業者も含めて、教育情報セキュリティポリシーの174

遵守について監査を定期的に又は必要に応じて行わなければならない。
（５）報告
情報セキュリティ監査統括責任者は、監査結果を取りまとめ、情報セキュリティ委員会に報告する。
（６）保管
情報セキュリティ監査統括責任者は、監査の実施を通して収集した監査証拠、監査報告書の作成のための監査調書を、紛失等が発生しないように適切に保管しなければならない。
（７）監査結果への対応
CISOは、監査結果を踏まえ、指摘事項を所管する教育情報セキュリティ管理者に対し、当該事項への対処を指示しなければならない。また、指摘事項を所管していない教育情報
セキュリティ管理者に対しても、同種の課題及び問題点がある可能性が高い場合には、当該課題及び問題点の有無を確認させなければならない。
（８）情報セキュリティポリシー及び関係規程等の見直し等への活用
情報セキュリティ委員会は、監査結果を情報セキュリティポリシー及び関係規定等の見直し、その他情報セキュリティ対策の見直し時に活用しなければならない。
（解説）（１）実施方法
情報セキュリティ対策状況に対して、定期的な監査だけでなく、様々な状況に対応して監査が行えることを定めておく必要がある。随時監査を行うことを明確にすることにより、情報セキュリティポリシーの違反行為に対する抑止効果も期待できる。
（２）監査を行う者の要件
内部監査、外部監査、いずれの場合も、監査人は、監査対象範囲から独立性を有し、公平な立場で客観的に評価を行うことが求められる。監査人は、監査及び情報セキュリティについて、十分な専門的知識を有する者でなければならない。
（注１）一部又は全部の監査対象範囲に対して、小規模な組織等の理由によって、独立性を維持することができない場合又は組織内に十分な専門的知識を有する者が確保できない場合は、必要な範囲に対して外部の監査人を利用することを検討することが必要である。また、職員等が自らが所属しないその他の部門に対して監査をする相互監査や近隣の自治体との相互監査も有効である。
175

（注２）監査人は、監査項目が実施できているか否かだけでなく適切な記録が取得されているかについても確認する必要がある。また、監査項目が実施できていな
い又は適切な記録が取得されていない場合は、なぜできていないのかその原因にまで踏み込んで分析・報告できることが望ましい。
（３）監査実施計画の立案及び実施への協力
情報セキュリティ監査統括責任者は、情報セキュリティ監査を行うに当たって、監査人の権限、監査実施に関する項目及び内容を定め、これに基づいて監査実施計画を立案する。監査人は、この計画に基づき監査を実施する。なお、システムに対する監査の実施によって業務が中断される可能性があるため、計画の立案に当たっては中断のリスクを最小限に抑えるよう配慮することが必要である。また、システム監査を行うツールにより、監査人は特権的にデータ等へアクセスし得ることから、誤用・悪用を防止するための適切な管理が求められる。
（注３）情報セキュリティ監査統括責任者は、監査計画及びそれに付随するリスクを効果的かつ効率的に管理するのに必要な資質、並びに次の領域における知識及び技能を有することが望ましい。ただし、必要な資質、並びに知識及び技能を有することが困難な場合は、外部の専門家を充てて能力を補完することも考えられる。
・ 監査の原則、手順及び方法に関する知識・ マネジメントシステム規格及び基準文書に関する知識・ 被監査部門の業務、製品及びプロセスに関する知識・ 被監査部門の業務及び製品に関し、適用される法的及びその他の要求事項に関する知識・ 該当する場合には、被監査部門の利害関係者に関する知識
また、情報セキュリティ監査統括責任者は、監査計画を管理するのに必要な知識及び技能を維持するために適切な専門能力の継続的開発・維持活動に積極的にかかわることが望ましい。
（注４）監査項目の例としては、庁内外において発生した情報セキュリティインシデ
ントから学んだ対策等の遵守状況の確認や、電磁的記録媒体の管理、情報の持ち出し管理、ソフトウェアライセンス管理、FAX 誤送信防止策等の具体的な情報セキュリティ対策の運用状況の確認が挙げられる。
（４）外部委託事業者に対する監査情報システムの運用、保守等を外部委託している場合は、情報資産の管理が契約に従い適切に実施されているかを点検、評価する必要がある。また、これによって、セキュリティ侵
害行為に対する抑止効果も期待できる。
176

（５）報告情報セキュリティ監査統括責任者は、監査調書をもとに、被監査部門に対する監査人の指摘事項の正確性や指摘に対する改善提案の実現性を確認し監査報告書を作成し、監査報告書を情報セキュリティ委員会に報告する。
CISOは、監査報告を受けて、被監査部門に改善を指示する。被監査部門は、改善計画を立案し実施する。最後に監査人は、フォローアップ監査により、改善状況や改善計画の完了について確認を行う必要がある。
（６）保管監査により作成した監査調書には、脆弱性の情報等重要性が高い情報が含まれていることが多いことから、情報セキュリティ監査統括責任者は、紛失等が生じないように保管する必要がある。
（７）監査結果への対応
監査結果を適切にセキュリティ改善に結び付けるため、CISOに関係部局への指示を義務付けた規定である。また、監査の指摘事項と同種の課題が他の部署にも存在する場合がある
ことから、当該可能性の高い部署に対しては、課題や問題点の有無を確認させる必要がある。
（８）情報セキュリティポリシー及び関係規程の見直し等への活用
監査結果は、情報セキュリティポリシー及び関係規程の見直し等の基礎資料として活用
しなければならない。
（注５）情報セキュリティ監査の実施方法等については、「地方公共団体における情報
セキュリティ監査に関するガイドライン」（令和2年12月 総務省）及び「地方公共団体情報セキュリティ管理基準解説書」（平成17年2月 総務省）を参考にされたい。
１０.２. 自己点検
【趣旨】
情報セキュリティポリシーの履行状況等を自ら点検、評価することは、情報セキュリティ
ポリシーの遵守事項を改めて認識できる有効な手段である。自己点検は、情報システム等を運用する者又は利用する者自らが実施するので、監査のような客観性は担保されないが、監査と同様に、点検結果を踏まえ各部門で改善を図ったり、組織全体のセキュリティ対策の改善を図る上での重要な情報になる情報セキュリティ対策の評価を行い、対策の見直しに資するものである。また、教職員等の情報セキュリティに関する意識の向上や知識の習得にも有効である。
177このことから、自己点検を定期的に実施する規定を設け、その活用方法とあわせて規定する。
【例文】（１）実施方法① 統括教育情報セキュリティ責任者及び教育情報システム管理者は、所管するネットワーク及び情報システムについて、毎年度及び必要に応じて自己点検を実施しなければならない。
② 教育情報セキュリティ責任者は、教育情報セキュリティ管理者と連携して、所管する部局における教育情報セキュリティポリシーに沿った情報セキュリティ対策状況について、毎年度及び必要に応じて自己点検を行わなければならない。
（２）報告
統括教育情報セキュリティ責任者、教育情報システム管理者及び教育情報セキュリティ責任者は、自己点検結果と自己点検結果に基づく改善策を取りまとめ、情報セキュリテ
ィ委員会に報告しなければならない。
（３）自己点検結果の活用① 教職員等は、自己点検の結果に基づき、自己の権限の範囲内で改善を図らなければならない。
② 情報セキュリティ委員会は、この点検結果を情報セキュリティポリシー及び関係規程等の見直し、その他情報セキュリティ対策の見直し時に活用しなければ
ならない。
（解説）
（１）実施方法
情報セキュリティ対策の実施状況について、定期的な自己点検だけでなく、様々な状況に対応して自己点検を実施する。
（注１）自己点検は自己点検票を用いた、アンケート方式で行う場合が多い。アンケー
トを行う場合に留意すべき点は、そのセキュリティ対策上担う役割に応じたアンケート項目とすることである。アンケートは、回答者による再認識や新たな発見にもつながり得る。アンケート項目によって、自部門の対策で、何が欠落しているのか鮮明にすることが可能になるために、改善の必要性の認識をさせられる効果もある。
（注２）保有する個人情報の人的な要因による漏えいを踏まえた点検については、「地
方公共団体の保有する情報資産の管理状況等の再点検について（周知）」（平成178

24年10月29日 総務省 総行情第71号）及び「地方公共団体における個人情報の漏洩防止対策について（注意喚起）」（平成25年8月5日 総務省 事務連絡）を参照されたい。
（注３）技術的な脆弱性の悪用に対する点検については、「地方公共団体等が管理する
ウェブサイトに係る脆弱性の確認及び対策の点検・実施等について（依頼）」（平成24 年9 月26 日 総務省 総行情第66 号）を参照されたい。
（２）報告
自己点検結果を情報セキュリティ委員会に報告し、団体全体における対策の状況を把握することが必要である。
（３）自己点検結果の活用
自己点検結果は、教職員等が自らの業務の見直しに活用するとともに、監査結果と同様に、
情報セキュリティポリシーの見直し等の情報として活用することができる。
１０.３. 教育情報セキュリティポリシー及び関係規程等の見直し【趣旨】
情報セキュリティ対策は、情報セキュリティに関する脅威や技術等の変化に応じて、必要な対策が変化するものであり、教育情報セキュリティポリシー及び関係規程等は、定期的に見直すことが求められる。また監査や自己点検の結果等から、同ポリシー及び関係規程等の見直しの必要性が確認される場合もある。
このことから、教育情報セキュリティポリシー及び関係規程等の見直しについて規定する。
【例文】（１）情報セキュリティ委員会は、情報セキュリティ監査及び自己点検の結果並びに情報
セキュリティに関する状況の変化等をふまえ、情報セキュリティポリシー及び関係規程等について毎年度及び重大な変化が発生した場合に評価を行い、必要があると認めた場
合、改善を行うものとする。
（解説）
情報セキュリティ委員会は、情報セキュリティインシデント、監査や自己点検の結果を受けて、情報セキュリティ分野の専門家による評価等を活用しつつ、情報セキュリティポリシ
ー及び関係規程等の見直しを行う。
また、教育情報セキュリティポリシー及び関係規程等は、組織にとっての脅威の変化や組織体制の変更、新たな対策技術の提供等によっても見直すべきものであり、あらかじめ定め
179

た間隔及び重大な変化が発生した場合等、状況に応じて柔軟に運用していくことが必要である。
（注１）見直しに当たっては、教育情報セキュリティポリシー及び関係規程等と実態との相違を十分考慮することが重要であり、関係部局から意見聴取等を行い、実態把握を行うことが望ましい。また、教育情報セキュリティポリシー及び関係規程等を見直す際には、必要に応じてリスク分析の見直しを行うことが重要である。日頃から新たな攻撃方法や対策技術の情報収集に努め、教育情報セ
キュリティポリシー及び関係規程等の見直しに活用することも必要である。
（注２）教育情報セキュリティポリシー及び関係規程等の見直しは、地方公共団体の長及びこれに準じる者の決裁により正式に決定される。
（注３）教育情報セキュリティポリシー及び関係規程等を見直した際には、その内容
を教職員等や外部委託事業者に十分に周知する必要がある。
（注４）見直しの際は、教育情報セキュリティポリシー及び関係規程等に次の事項によって生じる要求事項が含まれているか確認すること。
・ 事業計画・ 規制、法令及び契約
・ 現在及び将来予想される情報セキュリティの脅威環境

180第３編 付録（１）本ガイドラインにおける用語定義
用語定義
児童生徒の成績、出欠席及びその理由、健康診断結果、指導要録、教員の個人情報など、学校が保有する情報資産の校務系情報

うち、それら情報を学校・学級の管理運営、学習指導、生
徒指導、生活指導等に活用することを想定しており、かつ、当該情報に児童生徒がアクセスすることが想定されていない情報校務外部接続系情報（公開系 校務系情報のうち、保護者メールや学校ホームページ等
情報）

インターネット接続を前提とした校務で利用される情報
児童生徒のワークシート、作品など、学校が保有する情報

学習系情報資産のうち、それら情報を学校における教育活動において活用することを想定しており、かつ当該情報に教員及び児童生徒がアクセスすることが想定されている情報

校務用端末

校務系情報にアクセス可能な端末

校務外部接続用端末

校務外部接続系情報にアクセス可能な端末

学習者用端末指導者用端末

学習系情報にアクセス可能な端末で、児童生徒が利用する端末
学習系情報にアクセス可能な端末で、教員のみが利用可
能な端末
校務系ネットワーク、校務系サーバ及び校務用端末から

校務系システム構成される校務系情報を取り扱うシステム
及び、校務系情報を扱う上で、適切なアクセス権が設定された領域で利用されるシステム
校務外部接続系ネットワーク、メールサーバ、ホームペー

校務外部接続系システム

ジ運用サーバ（CMS）及び校務外部接続用端末等から構成される校務外部接続系情報を取り扱うシステム
学習系ネットワーク、学習系サーバ、学習者用端末及び指導者用端末から構成される学習系情報を取り扱うシステ

学習系システムム
及び、学習系情報を扱う上で、適切なアクセス権が設定された領域で利用されるシステム

教育情報システム
校務系サーバ

校務系システム、校務外部接続系システム及び学習系シ
ステムを合わせた総称
校務系情報を取り扱うサーバ
181

校務外部接続系サーバ

校務外部接続系情報を取り扱うサーバ

学習系サーバ

学習系情報を取り扱うサーバ「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（https://www.mext.go.jp/content/20230308-

強固なアクセス制御

mxt_jogai01-000027984_001.pdf)（令和 5 年 3 月 8 日）
p.18 にて示されている、インターネットを通信経路とする前提で、内部・外部からの不正アクセスを防御するために、利用者認証（多要素認証）、端末認証、アクセス経路の監視・制御等を組み合わせたセキュリティ対策

182

（２）一般用語の解説
用語

定義・解説
機関等において発生した情報セキュリティインシデン

CSIRT（シーサート）*

トに対処するため、当該機関等に設置された体制をいう。ComputerSecurityIncidentResponseTeam の略。
パターンファイルの存在しない未知のマルウェアに対EDR応するため、外部のシステムと断続的に通信を行う等（Endpoint Detection andの不審な挙動をするプログラムを検出し、そのログをResponse）**

管理者等が分析して適切に対処することで、感染の拡大を防止する技術。
利用者に、CPU 機能、ストレージ、ネットワークその

IaaS

他の基礎的な情報システムの構築に係るリソースが提（InfrastructureasaService） 供されるもの。利用者は、そのリソース上に OS や任意*機能（情報セキュリティ機能を含む。）を構築することが可能である。

政府情報システムのためのセキュリティ評価制度（Information system Security Management and
ISMAP（Information system
Security Management andAssessment Program）***

Assessment Program: 通称、ISMAP（イスマップ））は、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録すること
により、政府のクラウドサービス調達におけるセキ
ュリティ水準の確保を図り、もってクラウドサービ
スの円滑な導入に資することを目的とした制度。
IaaS のサービスに加えて、OS、基本的機能、開発環境

PaaS（PlatformasaService）*

や運用管理環境等もサービスとして提供されるもの。
利用者は、基本機能等を組み合わせることにより情報システムを構築する。
利用者に、特定の業務系のアプリケーション、コミュ

SaaS（SoftwareasaService）*

ニケーション等の機能、運用管理系の機能、開発系の機能、セキュリティ系の機能等がサービスとして提供されるもの。

VPN（VirtualPrivateNetwork） 暗号技術等を利用し、インターネット等の公衆回線を*仮想的な専用回線として利用するための技術をいう。

183

専用のアプリケーションやウェブブラウザを利用し、映像又は音声を用いて会議参加者が対面せずに会議をWeb 会議サービス*

行えるクラウドサービスをいう。なお、特定用途機器同士で通信を行うもの（テレビ会議システム等）は含
まれない。

アクセス制御*情報又は情報システムへのアクセスを許可する主体を制限することをいう。
OS 上で動作し、サービスの提供、文書作成又は電子メアプリケーション*ールの送受信等の特定の目的のために動作するソフト
ウェアをいう。

アプリケーション・コンテンツ 機関等が開発し提供するアプリケーションプログラ*

ム、ウェブコンテンツ等の総称をいう。

アルゴリズム*

ある特定の目的を達成するための演算手順をいう。
事業者によって定義されたインタフェースを用いた、拡張性、柔軟性を持つ共用可能な物理的又は仮想的なリソースにネットワーク経由でアクセスするモデルを通じて提供され、利用者によって自由にリソースの設定・管理が可能なサービスであって、情報セキュリテ
ィに関する十分な条件設定の余地があるものをいう。
クラウドサービスの例としては、SaaS

クラウドサービス*（SoftwareasaService）、PaaS（PlatformasaService）、IaaS（InfrastructureasaService）等がある。なお、統一基準におけるクラウドサービスは、機関等外の一般の者が一般向けに情報システムの一部又は全部の機能を提供するクラウドサービスであって、当該サービスにおいて機関等の情報が取り扱われる場合に限るものとする。

クラウドサービス提供者*

クラウドサービスを提供する事業者（クラウドサービ
スプロバイダ）をいう。

184

情報システムの構成要素である機器のうち、通信回線
等を経由して接続してきた端末等に対して、自らが保持しているサービスを提供するもの（搭載されるソフ
トウェア及び直接接続され一体として扱われるキーボ
サーバ装置*ードやマウス等の周辺機器を含む。）をいい、特に断りがない限り、機関等が調達又は開発するもの（政府共通利用型システムが提供するものを含む。）をいう。また、物理的なハードウェアを有するサーバ装置
を「物理的なサーバ装置」という。
悪意ある第三者等が、ソフトウェアの脆弱性を悪用しサーバ装置又は通信回線装置のソフトウェアを動作不

サービス不能攻撃*

能にさせることや、サーバ装置、通信回線装置又は通信回線の容量を上回る大量のアクセスを行い通常の利用者のサービス利用を妨害する攻撃をいう。
発見された情報セキュリティ上の問題を解決するため

セキュリティパッチ*に提供される修正用のファイルをいう。提供元によって、更新プログラム、パッチ、ホットフィクス、サービスパック等名称が異なる。
インターネット上において、ブログ、ソーシャルネッ

ソーシャルメディア*

トワーキングサービス、動画共有サイト等の、利用者が情報を発信し、形成していくものをいう。
サーバ装置、端末、通信回線装置等を動作させる手順

ソフトウェア*

及び命令を、当該サーバ装置等が理解できる形式で記述したものをいう。OS や OS 上で動作するアプリケー
ションを含む広義の意味である。
情報通信技術（ICT＝InformationandCommunicationTechnology）を活用した、場所や時間を有効に活用できる柔軟な働き方のこ

テレワーク*とをいう。テレワークの形態は、業務を行う場所に応じて、自宅で業務を行う在宅勤務、主たる勤務官署以外に設けられた執務環境で業務を行うサテライトオフ
ィス勤務、モバイル端末等を活用して移動中や出先で業務を行うモバイル勤務に分類される。

185

国、組織、サービス等の単位で割り当てられたネット
ワーク上の名前であり、英数字及び一部の記号を用い
ドメイン名*て表したものをいう。例えば、www.nisc.go.jp という
ウェブサイトの場合は、nisc.go.jp の部分がこれに該当する。

クラウドサービスの提供方式のひとつ。CPU、スト
レージ、メモリ等のコンピュータリソースの利用率
パブリッククラウド**を最適化するために、一般ユーザーや複数の利用者でリソースを共用して実装されるクラウドコンピュ
ーティング方式。
クラウドサービスの提供方式のひとつ。クラウド事
業者が 1 つの組織に対してクラウドサービスを提供

プライベートクラウド**するものであり、当該組織外のユーザーは利用することができない、その組織専用に実装されるクラウ
ドコンピューティング方式。
端末のうち、業務上の必要に応じて移動させて使用す

モバイル端末*ることを目的としたものをいい、端末の形態は問わない。
目的に対する不確かさの影響をいう。ある事象（周辺リスク*

状況の変化を含む。）の結果とその発生の起こりやす
さとの組合せとして表現されることが多い。

暗号化*

第三者が復元することができないよう、定められた演算を施しデータを変換することをいう。
情報を電磁的記録媒体に暗号化して記録しておき、情報の抹消が必要になった際に情報の復号に用いる鍵を抹消することで情報の復号を不可能にし、情報を利用

暗号化消去****

不能にする論理的削除方法をいう。暗号化消去に用いられる暗号化機能の例としては、ソフトウェアによる暗号化、ハードウェアによる暗号化（自己暗号化ドライブ（Self-Encrypting Drive）等）などがある。

可用性*
完全性*
機密性*

情報へのアクセスを認められた者が、必要時に中断することなく、情報にアクセスできる特性をいう。
情報が破壊、改ざん又は消去されていない特性をいう。
情報に関して、アクセスを認められた者だけがこれにアクセスできる特性をいう。
186

情報が記録され、又は記載される有体物をいう。記録
媒体において、文字、図形等人の知覚によって認識することができる情報が記載された紙その他の有体物を「書面」といい、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られ記録媒体*る記録であって、情報システムによる情報処理の用に供されるものを「電磁的記録」といい、電磁的記録に係る記録媒体を「電磁的記録媒体」という。また、電磁的記録媒体には、サーバ装置、端末、通信回線装置
等に内蔵される内蔵電磁的記録媒体と、USB メモリ、
外付けハードディスクドライブ、DVD-R 等の外部電磁的記録媒体がある。

識別*情報システムにアクセスする主体を、当該情報システ
ムにおいて特定することをいう。
対策基準に定められた対策内容を個別の情報システム

実施手順*

や業務において実施するため、あらかじめ定める必要のある具体的な手順や手続をいう。
望まない単独若しくは一連の情報セキュリティ事象、

情報セキュリティインシデント 又は予期しない単独若しくは一連の情報セキュリティ*

事象であって、事業運営を危うくする確率及び情報セ
キュリティを脅かす確率が高いもの。
機関等における情報及び情報システムの情報セキュリ

対策基準*

ティを確保するための情報セキュリティ対策の基準をいう。
情報システムの構成要素である機器のうち、職員等が情報処理を行うために直接操作するもの（搭載される
ソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。）をいい、特に断りがない限り、機関等が調達又は開発するもの

端末*（政府共通利用型システムが提供するものを含む。）
をいう。端末には、モバイル端末も含まれる。特に断りを入れた例としては、機関等が調達又は開発するもの以外を指す「機関等支給以外の端末」がある。また、機関等が調達又は開発した端末と機関等支給以外の端末の双方を合わせて「端末（支給外端末を含187む）」という。さらに、物理的なハードウェアを有する端末を「物理的な端末」という。
複数の情報システム又は機器等（機関等が調達等を行うもの以外のものを含む。）の間で所定の方式に従って情報を送受信するための仕組みをいい、特に断りの通信回線*ない限り、機関等の情報システムにおいて利用される通信回線を総称したものをいう。通信回線には、機関等が直接管理していないものも含まれ、その種類（有線又は無線、物理回線又は仮想回線等）は問わない。
通信回線間又は通信回線と情報システムの接続のために設置され、回線上を送受信される情報の制御等を行

通信回線装置*うための装置をいう。通信回線装置には、いわゆるハブやスイッチ、ルータ等のほか、ファイアウォール等も含まれる。また、物理的なハードウェアを有する通信回線装置を「物理的な通信回線装置」という。
電子メールの送受信、振り分け、配送等を行うアプリ

電子メールサーバ*

ケーション及び当該アプリケーションを動作させるサーバ装置をいう。

電子署名*

情報の正当性を保証するための電子的な署名情報をいう。
悪意ある第三者等によって不正アクセスや迷惑メール

踏み台*

配信の中継地点に利用されている情報システムのことをいう。
テレビ会議システム、IP 電話システム、ネットワーク
カメラシステム、入退管理システム、施設管理システ

特定用途機器*ム、環境モニタリングシステム等の特定の用途に使用される情報システム特有の構成要素であって、通信回線に接続する機能を備えている又は内蔵電磁的記録媒体を備えているものをいう。
コンピュータウイルス、ワーム（他のプログラムに寄生せず単体で自己増殖するプログラム）、スパイウェ

不正プログラム*ア（プログラムの使用者の意図に反して様々な情報を収集するプログラム）等の、情報システムを利用する者が意図しない結果を当該情報システムにもたらすプ
ログラムの総称をいう。
188

複合機*

プリンタ、ファクシミリ、イメージスキャナ、コピー機等の機能が一つにまとめられている機器をいう。
IEEE802.11a、802.11b、802.11g、802.11n、

無線 LAN*

802.11ac、802.11ad 等の規格により、無線通信で情報を送受信する通信回線をいう。

*…「政府機関等のサイバーセキュリティ対策のための統一基準群」（令和 5 年改定）より引用**…「内閣サイバーセキュリティセンター「クラウドを利用したシステム運用に関するガイダンス」（詳細版）より引用***…「ISMAP –政府情報システムのためのセキュリティ評価制度-」より引用****…「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和 5 年
3 月版）」より引用

189

（３）技術的対策に関する考え方
ここに記されている内容は、主な対策の考え方を記載したものであり、全ての対策を網羅したものではない。対策については、「第２編 教育情報セキュリティ対策基準（例文・解説）」を参照しつつ、各教育委員会で整理・判断されたい。
（１）学校が保有する重要性が高い情報に対するセキュリティ強化（主な対策）① 標的型及び不特定多数を対象とした攻撃等による脅威への対応
 ウェブ閲覧やインターネットメールなどのインターネットを介した外部からのリスクの高いシステムと重要性が高い情報、特に重要性分類Ⅱ（セキュリティ侵害が学校事務及び教育活動の実施に重大な影響を及ぼす情報資産）以上を扱うシステムとの論理的又は物理的な分離、もしくは各システムにおけるアクセス権管理の徹底。
② 児童生徒によるアクセスリスクからの回避
 校務系システムと学習系システム間の通信経路の論理的又は物理的な分離、
もしくは各システムにおけるアクセス権管理の徹底。
③ アクセス権管理の徹底がされていない学習系システムへの重要性分類Ⅱ以上の保管の原則禁止（２）学校単位で重要性が高い情報を管理するリスクの低減（主な対策）① 校務系システムについて、クラウドの活用も含めた教育委員会による一元管理 学習系システムも含め、情報セキュリティ確保の観点からは教育委員会において一元管理することが効果的である。
② 学校のインターネット接続環境の一元管理によるセキュリティ対策強化
 教育委員会のデータセンター等でインターネット接続環境を集約することが想定される一方で、局所的にネットワークの負荷が増大し、授業における安定的な稼動に支障をきたす可能性もあることから、学校から直接インター
ネットへ接続する学校直収型や、センター集約において、一部の通信を直接インターネットへ接続するローカルブレイクアウト（インターネットブレイ
クアウトともいう。）の構成も想定される。GIGA スクール構想に基づき、児童生徒が 1 人 1 台端末を安定したクラウドサービスが利用可能な高速なネットワーク環境下で利用する、時代に即した学校直収型及びローカルブレイク
アウトの構成も積極的に検討されるべきである。なお、どのような構成においてもセキュリティ対策指針は教育委員会で統一であるべきであり、それに基づいて、セキュリティ対策機器を設置することや、インシデント発生時の190

体制の確立など、各学校で適切なセキュリティ対策を講じる必要がある。用途・目的に応じて柔軟に判断されたい。
③ 校務系システム及び学習系システムへのアクセス権限に関する最小権限の原則の徹底と通信の暗号化等の実装による安全管理措置の実施④ 大規模災害に備え、学校設置のシステムからの大規模災害対応済データセンタ
ー・自治体システム設置のデータセンターやクラウドサービスの活用への移行の推奨（３）教職員による人的な重要性が高い情報の漏えいリスクの最小化（主な対策）① 管理されたUSBメモリ等の電磁的記録媒体以外の使用禁止※ 具体的には、暗号化、パスワード設定等を実施し、教職員専用として管理されたもの② 電磁的記録媒体の暗号化の徹底※ 暗号化については、コストや実現したい環境を踏まえつつ、ストレージやファイル等に対し、適切なレベルの暗号化を行うことで、一層のセキュリティの向上が見込まれる

191

（図表：学校におけるネットワーク等の構成のイメージ）
以下の図表は、ネットワーク等の構成のイメージであり、画一的な方策を示しているものではない。教育委員会・学校においては、自らが実現したい環境、コスト等を踏まえながら
ネットワーク構成を検討すること。
＜1 人 1 台端末を活用するために必要なネットワーク構成イメージ（強固なアクセス制御による対策を講じたシステム構成例）＞
GIGA スクール構想の実現に向けたクラウドの活用を前提とした今後の推奨ネットワーク
構成である。なお「強固なアクセス制御」とは、「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（https://www.mext.go.jp/content/20230308-mxt_jogai01-000027984_001.pdf)（令和 5 年
3 月 8 日）p.18 にて示されている、インターネットを通信経路とする前提で、内部・外部からの不正アクセスを防御するために、利用者認証（多要素認証）、端末認証、アクセス経路の監視・制御等を組み合わせたセキュリティ対策のことを指す。

図表 14

強固なアクセス制御による対策を講じたシステム構成例※ 学校からのインターネットへの接続形態としては、「センター集約型」、「学校直収型」が想定される。上記の図は学校直収型を想定しているが、十分な帯域が確保されているセンター集約型も想定される。
※ クラウドサービスで管理されるデータは、サービス提供事業者により厳格に管理され192

ていることを前提としており、クラウドサービスへの接続形態を物理的又は論理的に分離する必要がない。
（利用するクラウドサービスの選定においては、「第２編９. SaaS
型パブリッククラウドサービスの利用」を参照）※ インターネットに接続する校務用端末に重要な情報資産が格納される可能性があるた
め、不正アクセスやマルウェア対策、さらには教員等の不注意による情報流出への対策を実施すること。
※ 強固なアクセス制御による対策に関する要素技術については「●必須：どのような自治体においても導入が必須の要素技術」「〇推奨：諸要素を比較考慮する必要はある
が、導入が望ましい要素技術」として示しているが、下記 2 点について留意すること。
① 要素技術についてはネットワークへの不正アクセスや情報資産の漏洩等の想定される脅威を考慮したうえで選定する必要がある。
② これらの要素技術は、それぞれ個別の製品・サービスを調達・導入するだけでな
く、GIGA スクール構想の下で整備された端末の標準的な機能・サービスで実現可能なものは積極的に採用すべきである。
いわゆる強固なアクセス制御による対策に関する要素技術については、第２編の各規定の例文・解説に下記のとおり記載している。
これらの要素技術は、本ガイドライン内で令和6年1月版時点において取り上げられているセキュリティ技術のみを整理したものであり、今後の技術動向等により変化しうるものであることに留意すること。
①アクセスの真正性に関する要素技術
４.４. 教職員等の利用する端末や電
①-1
①-2
①-3

多要素認証
リスクベース認証
シングルサインオン（SSO）

磁的記録媒体等の管理

例文・解説（１）（４）

６.２.アクセス制御

例文・解説（１）６.２.アクセス制御

解説（１）６.２.アクセス制御

例文・解説（１）７.５. 児童生徒における ID 及びパス
ワード等の管理

例文・解説（３）②通信の安全性に関する要素技術②-1

通信経路の暗号化

６.１. コンピュータ及びネットワー

例文・解説（１０）クの設定管理①②

６.２.アクセス制御

例文・解説（２）③

193

②-2

Web フィルタリン

４.４.教職員等の利用する端末や電磁グ

的記録媒体等の管理

例文・解説（９）③端末・サーバの安全性に関する要素技術③-1

モバイル端末管理

６.２.アクセス制御（MDM）

例文・解説（１８）③-2

アンチウイルス③-3

データ暗号化

③-4

EDR

③-5

IDS/IPS

７.１ 情報システムの監視

例文・解説（１）③-6

WAF

７.１ 情報システムの監視解説（注１）

図表 15

５.２.教職員等の遵守事項

例文・解説（２）④４.４.教職員等の利用する端末や電磁的記録媒体等の管理
４.４.教職員等の利用する端末や電磁的記録媒体等の管理②
例文・解説（６）
解説⑧

強固なアクセス制御による対策に関する要素技術の主な規定箇所（「GIGA スクール構想の下での校務 DX について～教職員の働きやすさと教育活動の一層の高度化を目指して～」（令和 5 年 3 月 8 日）より引用）

194＜データセンターとクラウドを併用し、ネットワーク分離を基本としたネットワーク構成
イメージ（ネットワーク分離による対策を講じたシステム構成例）＞

図表 16

ネットワーク分離による対策を講じたシステム構成例※ 学校からのインターネットへの接続形態としては、「センター集約型」、「学校直収型」が想定される。上記の図は、データセンターやインターネットへの接続は「センター集
約型」で行い、ネットワークを論理分離している場合のイメージである。
※ 図表 16 ネットワーク分離による対策を講じたシステム構成例におけるクラウド（破線部分）とは、校務系や学習系ごと等に構築される、いわゆるマルチクラウドで運用する場合のイメージである。
※ 一部の通信を直接インターネットへ接続するローカルブレイクアウトについては学校から直接インターネットへ接続する構成となるため、ローカルブレイクアウトによる
インターネットとの接続ポイントについては、学校直収型と同様のセキュリティ対策を実施すること。
※ ローカルブレイクアウト構成については、「新たなインターネット回線を個別に準備」、「既存機器から特定の通信のみインターネットへ接続」することが想定される。既存機器の性能や回線費用などを考慮し、適切に選択すること。

195

（４）権限・責任等一覧表※本一覧表は「第２編 教育情報セキュリティ対策基準（例文・解説）」で示した例文に基づき作成している参考例である。
※記号：「○」権限又は責任等を有している者。「△」記載がある者又は報告先等。「許」
許可を与える者。
「承」承認を与える者。
区分（対策基準の例文の規定箇所）

１．対象範囲及び用語説明
２．
（１）
組織体制
（２）

（３）

（４）

（５）

（６）
（７）
（８）
（９）

（１０）
（１１）
３．
情報資産
の分類と
管理方法

３．１
情報資産の分
類
３．２
情報資産の管理項適用される行政機関、情報資産の範囲の定義及び用語説明
最高情報セキュリティ責任者の設置
最高情報セキュリティアドバイザーの設置
統括教育情報セキュリティ責任者の設置
教育ネットワークにおける開発等の権限及び責任
教育ネットワークにおける情報セキュリティ対策に関する権限及び責任
教育情報セキュリティ責任者等に対する指導及び助言
情報資産に対するセキュリティ侵害が発生した場合等の権限及び責任
情報セキュリティ実施手順の維持・管理の権限及び責任
最高情報セキュリティ責任者との連絡体制の整備
緊急時の報告と回復のための対策
教育情報セキュリティ責任者の設置
教育情報セキュリティ対策に関する統括的な権限及び責任
教育情報システムにおける開発等を行う統括的な権限及び責任
教育情報システムにおける連絡体制の整備等
教育情報セキュリティ管理者の設置当該学校の情報セキュリティ対策に関する権限及び責任
情報資産に対するセキュリティ侵害が発生した場合の報告等
教育情報システム管理者の設置
教育情報システムにおける開発等を行う権限及び責任
教育情報システムにおける情報セキュリティに関する権限及び責任
教育情報システムに係る情報セキュリティ実施手順の維持・管理
教育情報システム担当者の設置
教育情報システム担当者の担う役割
情報セキュリティ委員会の設置
情報セキュリティ対策の改善計画を策定、実施状況の確認
情報セキュリティ対策の実施における承認等の申請者とその承認者等の兼務の禁止
監査を受ける者と監査を実施する者の兼務の禁止
情報セキュリティに関する統一的な窓口の設置
セキュリティ戦略の意思決定が行われた際に、内容を関係部局等に提供
情報セキュリティインシデントの報道機関への通知・公表等
情報セキュリティに関する他の関係機関や窓口等との情報共有
教職員等の範囲の定義
教職員等の遵守義務
教育委員会事務局職員の範囲の定義
教育委員会事務局職員の遵守義務
情報資産の分類

①
②
①
②
③
④
⑤
⑥
⑦
⑧
①
②
③
④
①
②
③
①
②
③
④
①
②
①
②
①
②
①
②
③
④
①
②
①
②

（１）
（１）

（２）

①
②
③
④
⑤
⑥
⑦
⑧
①
②

③

④

（３）

①

②
（４）

①
②
③
④
⑤
⑥

（５）

①
②
③
④

目

（ア）
（イ）
（ウ）
（ア）
（イ）
（ウ）
（ア）
（イ）
（ウ）
（ア）
（イ）
（ウ）
（エ）
（ア）
（イ）
（ア）
（イ）
（ア）
（イ）
（ア）
（イ）
（ア）
（イ）
（ア）
（イ）

学校教育情報セキュリティ対策基準の策定
情報セキュリティ運用管理に関する実施手順ひな形の作成
標準情報資産台帳の作成
実施手順ひな形に基づいた自校向け実施手順を作成
標準情報資産台帳に基づいた自校向け情報資産台帳整備
情報資産の管理責任
教職員等の台帳及び実施手順に基づいた運用管理
台帳及び実施手順に基いた適切な情報資産の取り扱い
情報資産の分類の表示
業務上必要のない情報の作成の禁止
情報作成時の情報の分類と取扱制限の設定
作成途上の情報の取扱
学校内の者が作成した情報資産の取扱
学校外の者が作成した情報資産の分類と取扱分類が不明な情報資産を入手した際の対応
情報資産の業務外目的の利用の禁止
情報資産の分類に応じた適切な取扱
情報資産の分類が異なる電磁的記録媒体の取扱【教育情報セキュリティ管理者又は教育情報システム管理者】
情報資産の分類に応じた適切な保管
長期保管する情報資産を記録した電磁的記録媒体の保管
利用頻度の低い電磁的記録媒体等の保管
電磁的記録媒体の施錠可能な場所への保管【教職員等】情報資産の分類に応じた適切な保管
情報資産の分類に応じた適切な保管指導
重要性分類Ⅱ以上の情報資産外部持ち出し制限
重要性分類Ⅲの情報資産外部持ち出しの包括的許可
電子メール、外部ストレージサービスでの情報送信時の対策
電子メール、外部ストレージサービスの適切な利用
外部電磁的記録媒体を用いた情報資産の外部持ち出し時の取り扱い
外部電磁的記録媒体を用いた情報資産の外部持ち出し時の対策
FAXによる情報の送信時の対策
車両等での情報資産運搬時の対策
情報資産運搬の許可
情報資産の外部への公開時の対策
住民に公開する情報資産の取扱
情報資産(紙媒体)廃棄時の対策
情報資産(電磁的記録媒体)廃棄時の対策
情報資産廃棄の許可と処理の記録
情報資産廃棄委託時の立会い

196

統括
情報
最高
教育 教育
教育
セ 情報
情報
情報 情報 教育 教育
情報
教育 キュ セセセ
セ 情報 情報外部セ
委員 リ キュ 統一
キュキュ キュ シス シス 教職
委託
キュ会事 ティ リ 的なリ
リ
リ テム テム 員等
関係
リ
務局 監査 ティ 窓口ティ
ティ ティ 管理 担当
規定ティ
職員 統括 委員
責任
責任 管理 者
者
責任
責任 会
者
者
者
者
者
○
○
△

△
△
△

○
○
○
○
○
○
○
○

△

△

△

△

△

△

△

△

○
○
○
○

△

△

△

○
○
○
○
○
○
○
△

○
○
○
○

○
△

○

△

△

△

△

○
○
○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

△

○

○

○
○
○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

許
許

許
○

許

○
○
○
○
○

区分
（対策基準の例文の規定箇所）

４．
４．１
物理的セ サーバ等の管キュリティ 理
対策

（１）
（２）

項

目

サーバ等取付け時の必要な措置
校務系サーバの冗長化
学習系サーバのハードディスクの冗長化（３）予備電源の設置
過電流に対する機器の保護措置（４）
通信ケーブル等の損傷防止措置
通信ケーブル等の損傷等時の対応
ネットワーク接続口の管理
配線の変更・追加の防止措置（５）
機器の定期保守の実施
修理時における外部事業者からの情報漏えい防止措置（６）
施設外又は学校外への機器の設置（７）
機器の廃棄等の措置
４．２（教育委員会等のサーバ室にサーバを設置している場合）
管理区域(情報 （１）①
管理区域の定義
システム室等)②
管理区域の構造の管理③
管理区域への立入制限等④
耐震対策等の対策⑤
外壁等の床下開口部における措置⑥
消火薬剤等の設置方法（２）①
入退室管理方法②
入室時の身分証明書等の携帯及び提示③
外部からの訪問者に対する入室管理④
情報システムに関連しないコンピュータ等の持ち込み禁止（３）①
搬入する機器の既存情報システムへの影響確認②
機器等の搬入時の職員の立ち会い（学校にサーバを設置している場合）（１）①
管理区域の定義②
サーバラックの施錠対策③
管理区域への立入制限等④
許可されていない者の立ち入り防止対策⑤
転倒及び落下防止等の措置⑥
消火薬剤等の設置方法（２）①
入退室管理方法②
サーバラックの施錠管理③
立ち入り区域の制限等④
外部委託事業者の管理区域への入室管理⑤
外部からの訪問者に対する入室管理（３）①
搬入する機器の既存情報システムへの影響確認②
機器等の搬入時の教職員の立ち会い
４．３（１）
庁内の通信回線等の適切な管理等
通信回線及び （２）
外部へのネットワーク接続の限定措置
通信回線装置 （３）重要性分類Ⅲ以上の情報を扱う通信回線の適切な選択の管理（４）回線の十分なセキュリティ対策の実施（５）
重要性分類Ⅱ以上の情報を扱う通信回線の可用性の確保（６）
授業に支障の出ない構成の選択（帯域や同時接続数など）
４．４（１）
パソコン、モバイル端末等の盗難防止措置
教職員等の利 （２）
情報システムへのログインパスワードの設定
用する端末や電 （３）端末の電源起動時のパスワード設定等措置
磁的記録媒体 （４）多要素認証の併用措置
等の管理（５）
パソコン、モバイル端末等におけるデータの暗号化等の利用（６）
端末に対する情報流出への対策（７）
モバイル端末に対する遠隔消去機能の利用（８）
パソコン、モバイル端末への適切なウイルス対策（９）
パソコン、モバイル端末に対するWebフィルタリング措置（１）
４．５
不適切なウェブページの閲覧防止
学習者用端末 （２）マルウェア感染対策のセキュリティ （３）
端末を不正利用させないための防止策（４）
対策
セキュリティ設定の一元管理（５）
端末の盗難・紛失時の情報漏洩対策
４．６
パソコン教室等で利用する学習者用端末の盗難防止措置（１）
パソコン教室等における学習者
パソコン教室等で利用する学習者用端末及び電磁的記録媒体に記録された情報の扱（２）用端末や電磁い的記録媒体のパソコン教室等で利用する学習者用端末へのログインパスワードの設定
（３）
管理
①
②
①
②
①
②
③
④
①
②

197

統括
情報
最高
教育 教育
教育
セ 情報
情報
情報 情報 教育 教育
情報
教育 キュ セセセ
セ 情報 情報外部セ
委員 リ キュ 統一
キュキュ キュ シス シス 教職
委託
キュ会事 ティ リ 的なリ
リ
リ テム テム 員等
関係
リ
務局 監査 ティ 窓口ティ
ティ ティ 管理 担当
規定ティ
職員 統括 委員
責任
責任 管理 者
者
責任
責任 会
者
者
者
者
者
○
○
○
△
○
△
○
○
○
○
○
○
○
○
○
△
○
○
△
承
○
○
○
○
○
○
○
○
○

○
○
○
○
○
○
○
○
○
○
○

○
○
○
○
○
○

○
○
○
○
○
○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

○
○
△

○
○

△
△

△

○
○
△

○
○

△
△

△

区分
（対策基準の例文の規定箇所）

５．
５．１
（１）
人的セ
教育情報セキュ
キュリティ リティ管理者の
対策
措置事項
（２）

（３）
（４）
（５）
（６）
（７）

（８）
５．２
教職員等の遵
守事項

（１）
（２）

（３）

（４）
（５）
（６）

（７）

（８）

（９）
（１０）

（１１）

（１２）

（１３）

（１４）

（１５）
（１６）
（１７）
（１８）
（１９）

５．３
教育委員会事
務局職員の遵
守事項

５．４
研修・訓練

（２０）
（１）
（２）
（３）
（４）
（５）
（６）
（１）
（２）

（３）
（４）
５．５
（１）
情報セキュリティインシデントの連絡体制整 （２）
備
（３）

（４）
（５）

①
②

項

（ア）
（イ）

①
②
③
①
②
①
②
①
②
③
①
②
①
②
③
①
②
③
④
⑤
⑥
①
②
①
②
①
②
③
①
②
③
④
⑤
⑥
⑦
⑧
⑨
①
②
③
①
②
①
②
③
④
⑤
⑥
⑦
⑧
①
②
③
①
②
③
④
⑤
⑥
⑦

①
②
③
①
②
③
①
②

①
②
①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩

①
②
③
④
⑤

①
②
③
①
②
①
②
③
④
①
②

（ア）
（イ）
（ウ）

目

報資産の持ち出し及び持ち込みの記録管理
情報資産の廃棄管理
廃棄した情報資産の記録管理
教職員等の情報セキュリティ意識醸成
教職員等に対する情報セキュリティ意識の醸成と風通しのよい関係性維持
情報セキュリティポリシー等の閲覧容易性確保
端末等の持ち出し及び持ち込みの記録
教職員等への情報セキュリティポリシー等の遵守指導
情報セキュリティポリシーの遵守の同意
新規ソフトウェア及びコンテンツの導入・利用判断
インターネット接続及び電子メール利用の制限
教職員等の業務内容に応じた機能制限
校内及び執務室で来校者管理
来校者の記録開放施設がいへの入場制限
自己点検の実施
教育情報セキュリティ委員会への自己点検の結果報告
情報セキュリティポリシー等の遵守
執務室の施錠管理
来校者等への対応
机上の端末等の管理支給端末の業務利用禁止
支給端末への無断ソフトウェアインストール禁止
支給端末のセキュリティ機能及びメモリ増設の設定変更禁止
モバイル端末の盗難防止対策
離席時の業務端末管理
業務終了後等の業務端末管理
支給以外のパソコン、モバイル端末及び電磁的記録媒体等の利用禁止
支給以外のパソコン、モバイル端末及び電磁的記録媒体等の安全管理措置
モバイル端末や電磁的記録媒体等の持ち出しの許可
外部での情報処理業務の許可
自己のIDの他人による利用の禁止
共用ID利用者以外による共用ID利用禁止
利用者登録抹消の申請
パスワードの管理
パスワードの秘密保持
パスワードの文字の選択
パスワードの流出したおそれのある時の措置
パスワードのシステム間の共有禁止
仮パスワードの変更
パスワードの記憶機能の利用禁止
職員等間でのパスワード共有禁止
パスワードの定期的な更新認証に用いるICカード等の職員等間共有の禁止
ICカード等のカードリーダへの常時挿入禁止
ICカード等紛失時の通報支給された外部電磁的記録媒体以外の利用禁止
外部電磁的記録媒体の施錠管理
自動転送機能の禁止
業務上必要のない送信先への送信禁止
複数人に電子メールを送信する際の方法
重要メールの誤送信時の報告
ウェブ上のフリーメール等の使用禁止
情報ファイルを添付する場合のパスワード設定
送信先のメールアドレス、添付ファイルの内容確認
不審メールを受信したときの対応
パブリッククラウドでの重要性分類Ⅱ以上の情報資産の扱い
私的に契約したクラウドサービスの業務利用禁止
ソーシャルメディアサービスでの情報公開の使い
不正プログラム対策ソフトウェアの設定変更の禁止
外部からのデータ取込時のウイルスチェックの実施
差出人が不明等のファイルの削除
不正プログラム対策ソフトウェアによる定期的なフルチェックの実施
添付ファイル送受信時のウイルスチェックの実施
ウイルス情報の確認
パソコン等の端末のウイルス感染時の対処方法
モバイル端末のウイルス感染時の対処方法
端末の電源保持電子署名、暗号化等による送信暗号化の方法及び鍵の管理
電子署名の正当性を確認する手段の提供
ソフトウェアの無断導入の禁止
ソフトウェアの導入の許可の取得
不正コピーしたソフトウェアの利用禁止
機器の改造及び増設・交換の禁止
機器の改造等の許可
無許可でのネットワーク接続の禁止
業務目的外のウェブ閲覧の禁止
外部から内部ネットワーク等へのアクセスの許可
外部から持ち込んだ端末等のウイルスの確認等
学習者用端末及び学習系クラウドサービスの利用限定
利用者認証情報の秘匿管理
ウイルス対策ソフトウェアの管理
端末のソフトウェアに関するセキュリティ機能の設定変更禁止
学習系情報の保管
無断外部ソフトウェアをインストール禁止
コミュニケーションツールの利用制限
ウイルス感染が疑われる場合の報告
学習者用端末の安全な取り扱い
私物端末の利用禁止
退職時等の遵守事項
教育情報セキュリティポリシー等の遵守
業務以外の目的での使用の禁止
校務用端末による外部における情報処理作業の禁止
重要性分類Ⅱ以上の情報資産へのアクセス制限
知りえた情報の秘匿業務を離れる場合の遵守事項
情報セキュリティに関する研修・訓練の実施
研修計画の策定等
情報セキュリティ研修の受講
新規採用の職員等に対する研修の設定
理解度等に応じた研修の実施
研修の受講状況の報告
緊急時対応訓練の実施
研修・訓練の参加義務
情報セキュリティインシデントの報告
情報システムに関連する情報セキュリティインシデントの報告
情報セキュリティインシデントの必要に応じた報告違反行為の発見時の報告
緊急時対応計画に従った対応
住民等外部からの報告時の対応
情報システム又はネットワークに関連する情報セキュリティインシデントの報告
情報セキュリティインシデントの必要に応じた報告
住民等外部に対する窓口の設置等
情報セキュリティインシデント原因の究明、再発防止策の報告
再発防止策に必要な措置の指示
支給端末の運用・連絡体制の整備

198

統括
情報
最高
教育 教育
教育
セ 情報
情報
情報 情報 教育 教育
情報
教育 キュ セセセ
セ 情報 情報外部セ
委員 リ キュ 統一
キュキュ キュ シス シス 教職
委託
キュ会事 ティ リ 的なリ
リ
リ テム テム 員等
関係
リ
務局 監査 ティ 窓口ティ
ティ ティ 管理 担当
規定ティ
職員 統括 委員
責任
責任 管理 者
者
責任
責任 会
者
者
者
者
者
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
△
○
○
許
○
許
○
許
○
○
○
○
○
○
許
○
許
○
許
○
許
○
○
○
△
△
○
○
○
○
△
○
○
○
○
○
○
○
○
△
△
○
○
○
○
○
○
△
○
○
○
○
○
○
○
○
○
○
○
○
○
△
○
○
○
○
○
○
○
○
○
○
許
許
○
○
○
許
許
○
許
○
○
許
許
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
承
○
○
△
○
△
△
△
△
△
△
○
△
○
○
△
○
△
○
△
△
△
△
○
△
△
○
○
△
○
△
○
△
△
△
○
○
△
○
△
△
△
○
○

区分
（対策基準の例文の規定箇所）

６．
６．１
技術的セ コンピュータ及キュリティ びネットワーク
の設定管理

（１）

（２）
（３）

（４）
（５）
（６）

（７）

（８）

（９）
（１０）
（１１）

６．２
アクセス制御

（１）
（２）

（３）
（４）
（５）
（１）

６．３
システム開発、導入、保守等
（２）

①
②
③
④
①
②
①
②
③
①
②
①
②
③
④
⑤
①
②
①
②
③
①
②
①
②
③
④
⑤
⑥
①
②
③
④
⑤

①
②
①
②
③

（３）

①

②

（４）

（５）

６．４
不正プログラム
対策

（６）
（７）
（８）
（１）

（２）

６．５
（１）
不正アクセス対策

６．６
セキュリティ情
報の収集

（２）
（３）
（４）
（１）
（２）
（３）

項

①
②
③
①
②
③

①
②
③
④
⑤
⑥
⑦
①
②
③
①
②
③
④
⑤

（ア）
（イ）
（ア）
（イ）
（ア）
（イ）
（ウ）
（エ）
（ア）
（イ）
（ウ）
（エ）
（オ）

目

文書サーバの容量の設定等
文書サーバの学校等単位での設定
特定の情報のためのディレクトリ設定
インターネット接続環境の機微な個人情報のファイル暗号化等
校務系情報及び校務外部接続系情報のバックアップの実施
学習系情報のバックアップの扱い
ログの取得等
ログの管理
ログの点検・分析
通信ソフトウェア等の設定情報の管理
ネットワークのアクセス制御
外部の者が利用できるシステムの分離等
ネットワークの外部接続の許可
外部ネットワークの接続による影響確認
外部ネットワーク管理責任者による損害賠償責任の契約上の担保
ファイアウォール等の設置問題発生時の物理的な遮断
校務系システム及び学習系システム間の通信経路の分離等
校務系システムと校務外部接続系システム及び学習系システム間で通信する場合の無害化
複合機を調達する場合のセキュリティ要件の策定
複合機に対するセキュリティ設定と情報セキュリティインシデント対策の実施
複合機の運用終了時の対策
特定用途機器に対する対策の実施
無線LAN利用時の暗号化等の使用義務設定
機密性の高いネットワークへの暗号化等の措置
電子メールの中継処理禁止の設定
スパムメール等を検知した際のサーバ運用停止
電子メールの送受信容量の上限設定等
電子メールボックスの容量の上限設定等
外部委託事業者の電子メールアドレス利用取り決め
添付ファイルの監視等
アクセス制御外部からのアクセス可能人数の制限
外部からのアクセス時の本人確認の機能の確保
外部からのアクセス時の暗号化等の措置
外部アクセス用端末等付与時のセキュリティの確保
公衆通信回線等の庁内ネットワークへの接続禁止
自動識別の設定
ログイン時のシステム設定
特権によるネットワーク等への接続時間の制限
調達仕様書への技術的なセキュリティ機能の明記
調達時のセキュリティ機能の調査等
システム開発の責任者及び作業者の特定と規則の確立
システム開発の責任者等のIDの管理等
システム開発の責任者等のアクセス権限の設定
システム開発におけるソフトウェア等の特定認定外のソフトウェアの削除
システム開発等環境とシステム運用環境の分離システム開発環境からシステム運用環境への移行の手順の明確化
移行に伴うシステム停止等の影響の最小化
導入されるシステムやサービスの可用性の確保確認
新たなシステム導入前の十分な試験の実施
運用テスト時の擬似環境による操作確認の実施
テストデータとして個人情報等の使用禁止
受け入れ時の別々の組織でのテストの実施システムの脆弱性テストの実施とその確認システム開発等の資料等の整備・保管
テスト結果の保管
情報システムに係るソースコードの保管
入力データの正確性を確保できる情報システム設計
情報の改ざん等を検出する情報システム設計
出力データの正確性を確保できる情報システム設計
プログラム仕様書等の変更履歴の作成
ソフトウェア更新等時の他の情報システムとの整合性確認
システム更新又は統合時の検証等の実施
不正プログラムのシステムへの侵入防止措置
不正プログラムの外部への拡散防止措置
不正プログラム情報の収集、職員等への注意喚起
不正プログラム対策ソフトウェアの常駐
不正プログラム対策ソフトウェアのパターンファイルの更新
不正プログラム対策ソフトウェアの更新
サポート終了ソフトウェアの使用禁止
不正プログラム対策ソフトウェアの常駐
不正プログラム対策ソフトウェアの更新
インターネットに接続していないシステムにおける電磁的記録媒体の制限及び不正プロ
グラム対策ソフトウェアの導入等使用されていないポートの閉鎖
不要なサービス機能の削除、停止
ウェブページの改ざんを防止するための設定
定期的なファイルの改ざんの有無の検査
監視、通知、外部連絡窓口などの体制及び連絡窓口の構築
攻撃の予告時の対応
サービス不能攻撃対策の実施
標的型攻撃対策の実施
セキュリティホールに関する情報の収集・共有及びソフトウェアの更新等
不正プログラム等のセキュリティ情報の収集・周知
情報セキュリティに関する技術情報の収集及び共有

199

統括
情報
最高
教育 教育
教育
セ 情報
情報
情報 情報 教育 教育
情報
教育 キュ セセセ
セ 情報 情報外部セ
委員 リ キュ 統一
キュキュ キュ シス シス 教職
委託
キュ会事 ティ リ 的なリ
リ
リ テム テム 員等
関係
リ
務局 監査 ティ 窓口ティ
ティ ティ 管理 担当
規定ティ
職員 統括 委員
責任
責任 管理 者
者
責任
責任 会
者
者
者
者
者
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
許
許
○
○
○
○
○
△
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

○
○

○
○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

○
○
○
○
○
○
○
○
○
○

○

○
○
○
○
○
○
○
○

△
○
○
○

○

○

○
○

○

区分
（対策基準の例文の規定箇所）

７．
運用

７．１
（１）
情報システムの （２）
監視
（３）
（４）
（５）
７．２
（１）
ドキュメントの管
理
（２）
（３）
（４）
７．３
（１）
教職員等のID及びパスワードの （２）
管理
７．４
（１）
ICカード等の取
扱い
７．５
（１）
児童生徒におけるID及びパスワード等の管理 （２）
（３）
７．６
（１）
特権を付与され （２）たIDの管理等 （３）
（４）
（５）
（６）
（７）
７．７
（１）
情報セキュリティポリシーの遵守状況の確 （２）
認・管理
（３）
（４）
７．８
（１）
専門家の支援（２）体制等
７．９
侵害時の対応
等
７．１０
例外措置
７．１１
法令遵守
７．１２
懲戒処分等

８．
外部委託

（１）
（２）

（１）

９．４
（１）
約款による外部サービスの利用（２）
９．５（１）
ソーシャルメディアサービスの利 （２）
用
（３）
１０．１
（１）
監査
（２）
（３）

１０．２
自己点検

（４）
（５）
（６）
（７）
（８）
（１）
（２）
（３）

１．１０．３（１）
教育情報セキュリティポリシー及び関係規程等
の見直し

目

①
②
①
②
①

情報システムの監視
サーバの正確な時刻設定等の措置
機微な校務系システムの監視
学習系システムの監視
内部からの攻撃等の監視
情報システムの運用に係る作業記録の作成
システム変更等時の作業内容記録作成等
システム変更の作業方法
ネットワーク構成図等の保管システム障害等の記録、保存
攻撃を受けた時の対応
利用者の情報管理やIDの取扱い等の設定利用されるIDの点検
職員等のパスワード情報の管理等
パスワード発行等
ICカード紛失時のアクセス停止措置②

Cカード切り替え時の旧カードの廃棄方法①②③

入学/転入時のID登録処理
進級/進学時のID関連情報の更新
転出/卒業/退学時のID削除処理
多要素認証によるなりすまし対策
学習用ツールへのシングルサインオン導入
ID及びパスワードの管理
統括情報セキュリティ責任者等の特権を代行する者の要件
特権代行者の通知特権付与されたID等の変更の外部事業者への委託禁止
特権付与されたID等のセキュリティ機能強化
特権付与されたIDの初期設定以外のものへの変更
特権を付与されたIDのログ監視
情報セキュリティポリシーの遵守状況の確認等
問題発生時の対処
システム設定等における情報セキュリティポリシー遵守状況の確認等
モバイル端末及び電磁的記録媒体等の利用状況調査
業務目的外のウェブ閲覧禁止と発見時の対応
職員等による不正アクセス時の対応
外部の専門家の支援体制の整備

①
②
③

①
②
③

○
○

△
○

緊急時対応計画の策定
緊急時対応計画に盛り込むべき内容
業務継続計画と情報セキュリティポリシーの整合性の確保
緊急時対応計画の見直し
例外措置の許可
緊急時の例外措置
例外措置の申請書の管理
主要な法令遵守

①
②
③
①
②

①
②

①
②
①
②
①

①
②

①
②
①
②

①
②
①
②

（ア）
（イ）
（ウ）

懲戒処分
違反時の対応（統括情報セキュリティ責任者確認時）
違反時の対応（情報システム管理者確認時）違反を改善しない職員等のシステム使用の権利の停止等
外部委託事業者の選定時の確認事項
国際規格の認証取得状況等を参考にした事業者の選定
契約項目
外部委託事業者のセキュリティ確保の確認等
外部委託事業者に対する説明
利用者認証
アクセス制御クラウドに保管するデータの暗号化
マルチテナント環境におけるテナント間の安全な管理
クラウドサービスを提供する情報システムに対する外部からの悪意のある脅威の侵入を想定した技術的セキュリティ対策
情報の通信経路のセキュリティ確保
クラウドサービスを提供する情報システムの物理的セキュリティ対策
クラウドサービスを提供する情報システムの運用管理
クラウドサービスを提供する情報システムのマルウェア対策
クラウド利用者側のセキュリティ確保
クラウド事業者従業員の人的セキュリティ対策
サービス終了時等のデータの廃棄及び利用者アカウント抹消
クラウドサービス要件基準を満たす配慮を含めたネットワーク設計
守秘義務、目的外利用及び第三者への提供の禁止
準拠する法令、情報セキュリティポリシー等の確認
クラウド事業者の管理体制
クラウド事業者従業員への教育
情報セキュリティに関する役割の範囲、責任分界点
監査
情報インシデント管理及び対応フローの合意
クラウドサービスの提供水準及び品質保証
クラウド事業者の再委託先及び供給者との合意事項
その他留意事項
ID・パスワード等の秘匿管理
多要素認証要素の管理と報告体制
モバイル端末の適切な管理
重要性分類に基づく情報の保管場所制限
学校外からクラウドサービスを利用する際の情報資産取扱い制限
クラウドサービスから端末にファイルをダウンロードする際の安全管理措置
SaaS型パブリッククラウドサービスの学習用途、校務用途混在リスクへの対応
SaaS型パブリッククラウドサービスの学習用途、校務用途混在リスクへの適切な運用約款によるサービスを利用可能な範囲の規定
業務により利用できる約款によるサービスの範囲の規定
約款によるサービスの利用手続及び運用手順の規定
約款によるサービスの利用における対策の実施
なりすまし対策の実施
不正アクセス対策の実施
重要性分類Ⅲ以上の情報の発信禁止
利用するソーシャルメディアサービスごとの責任者の決定
情報セキュリティ対策状況について監査の実施
被監査部門から独立した者への監査の実施依頼
監査を行う者の要件
監査実施計画の立案等監査の実施に対する協力
外部委託事業者に対する監査
監査結果の報告
監査証拠等の保管
監査結果への対応
監査結果の情報セキュリティポリシー及び関係規程等の見直し等への活用
ネットワーク等の自己点検の実施
情報セキュリティ対策状況の自己点検
点検結果と改善策の報告
自己の権限の範囲内での改善
点検結果の情報セキュリティポリシー及び関係規程等の見直し等への活用
情報セキュリティポリシー及び関係規程等の見直しに関する規定

200

○
○
○
○
○
○
○
○
△
○
○
○
○
△

△

○

△

○
○
○
○
○
○
○
○
△
○
○
○
○

○

○

○

○

○
○
○

△
△

○

○

他団体との情報システムに関する情報等の交換の許可等

（１）
（２）
（３）
（４）
（１）
（２）
（３）
（１）

（２）
（３）
（４）
９．
９．１
（１）
SaaS型パ SaaS型パブリッ （２）ブリックク ククラウドサービ （３）ラウド
スの利用におけ （４）サービス る情報セキュリ （５）
の利用
ティ対策
（６）
（７）
（８）
（９）
（１０）
（１１）
（１２）
（１３）
９．２
（１）
SaaS型パブリッ （２）ククラウド事業 （３）者のサービス提 （４）供に係るポリ（５）
シー等に関する （６）
事項
（７）
（８）
（９）
（１０）
９．３
（１）
SaaS型パブリッ
ククラウドサービ （２）ス利用における （３）
教職員等の留 （４）
意点
（５）

１０．
評価・見
直し

項

統括
情報
最高
教育 教育
教育
セ 情報
情報
情報 情報 教育 教育
情報
教育 キュ セセセ
セ 情報 情報外部セ
委員 リ キュ 統一
キュキュ キュ シス シス 教職
委託
キュ会事 ティ リ 的なリ
リ
リ テム テム 員等
関係
リ
務局 監査 ティ 窓口ティ
ティ ティ 管理 担当
規定ティ
職員 統括 委員
責任
責任 管理 者
者
責任
責任 会
者
者
者
者
者
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

許

許

○

○
○

○
○
○
○

○
許
△
○

○
○

○
○

○
△
△

○

○

△

○
○
△
○

△

△

○

○

○

○

○
△
○
○

○
○
○
○

○
○
△
○
○
○
○

○

○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○
○

○
○

○
○
○
○
○
○

△
○
○
○
○

○

○
○
○
○

承

○
○
△

△
○
○
○

○
○
○

○
○

△
○
○

○

「教育情報セキュリティポリシーに関するガイドライン」の改訂に係る検討会 委員

五十嵐 晶子梅嶋 真樹 （副座長）岡村 久道

教育ICT環境アドミニストレーター協会 理事長
合同会社かんがえる 代表
慶應義塾大学大学院 政策・メディア研究科 特任准教授
IEC System Committee Smart Energy 開発計画担当コンビナ
英知法律事務所 弁護士
国立情報学研究所 客員教授

高橋 邦夫 （座長）

合同会社ＫＵコンサルティング 代表社員

谷 正友

一般社団法人教育ICT政策支援機構 代表理事

西田 光昭

柏市教育委員会 指導課 教育専門アドバイザー

林山 耕寿

シスコシステムズ合同会社

藤村 裕一

公共事業 事業推進本部

国立大学法人鳴門教育大学大学院 学校教育研究科
遠隔教育プログラム推進室長

201

教授