富谷市教育情報セキュリティポリシー
（令和２年８月版）

令和２年８月２６日策定

富谷市教育委員会

はじめにSociety5.0 時代がすぐそこまで来ています。学習指導要領では，この社会構造の大きな変化に対応するため，その前文に「多様な人々と協働しながら様々な社会的変化を乗り越え，豊かな人生を切り拓き，持続可能な社会の創り手となることができるようにする」という，これからの教育の在り方を明示しているところです。
折しも，新型コロナ対策で前倒しされることになった政府の「GIGA スクール構想」では，各学校に１人１台端末と高速大容量の通信ネットワークが一体的に整備されることになり，個人の学習情報はクラウドに保存活用することが標準となります。今後の学習活動では，ＩＣＴを「いつでも・どこでも・すぐに」活用することが当たり前となり，学びの転換が急速に図られることになります。また，学校の働き方改革等の流れも踏まえ教職員の業務についても，ＩＣＴを積極的に活用した改革が求められています。
このような変革期にあっては，児童生徒や教職員が安心してＩＣＴを活用できるようにするため，外部からの不正アクセス防止等の十分な情報セキュリテ
ィ対策を講じることが必要不可欠です。
富谷市教育委員会では，時代が求める学習環境や校務環境を守るために教育
情報セキュリティポリシーを策定しました。次代を担う児童生徒に情報活用能
力等学習の基盤となる力を確かに身に付けられる学校教育を目指し，技術の進
歩や状況の変化に応じて，今後もきめ細かく改訂を重ねてまいります。
令和２年８月２６日
富谷市教育委員会○教育情報セキュリティポリシーの構成
・富谷市の情報セキュリティ対

教育情報
セキュリティ
ポリシー

策を踏まえた基本的な考え方
・学校を想定して情報セキュリ
ティ対策の基準を定めたもの
・具体的なシステムや手順，手続について個別の実施事項を定めたもの（非公開）

目
第１章

次

富谷市教育情報セキュリティ基本方針

１ 目的.................................................................................................................................................... 1
２ 定義.................................................................................................................................................... 1
３ 対象とする脅威............................................................................................................................. 1
４ 対象範囲........................................................................................................................................... 2５ 職員の義務...................................................................................................................................... 2
６ 管理体制........................................................................................................................................... 2
７ 情報資産の分類............................................................................................................................. 2
８ 情報セキュリティ対策............................................................................................................... 2
９ 情報セキュリティ監査及び自己点検の実施...................................................................... 3
10 教育情報セキュリティポリシーの見直し.......................................................................... 3
11 情報セキュリティ対策基準の策定........................................................................................ 3
12 情報セキュリティ実施手順の策定........................................................................................ 3第2章

富谷市教育情報セキュリティ対策基準

１ 対象範囲及び用語説明............................................................................................................... 4
２ 組織体制.......................................................................................................................................... 5
３ 情報資産の分類と管理方法...................................................................................................... 7
４ 物理的セキュリティ...................................................................................................................10
５ 人的セキュリティ........................................................................................................................14
６ 技術的セキュリティ....................................................................................................................18
７ 運用....................................................................................................................................................29
８ 外部委託...........................................................................................................................................32
９ クラウドサービスの利用...........................................................................................................33
10 事業者に対して確認すべきプライバシー保護に関する事項......................................38
11 評価・見直し.................................................................................................................................39

【更新情報】
・令和２年 8 月２６日

策定

第１章 富谷市教育情報セキュリティ基本方針
１ 目的
本基本方針は，富谷市教育委員会及び学校が保有する情報資産の機密性，完全性及び可用性（注）を維持するため，市教育委員会及び学校が実施する情報セキュリティ対策について基本的な事項を定めることを目的とする。
（注）：国際標準化機構（ISO）が定めるもの（ISO7498-2：1989）
・機密性（confidentiality）：
情報にアクセスすることが認可された者だけがアクセスできることを確実にすること。
・完全性（integrity）：
情報及び処理の方法の正確さ及び完全である状態を完全防護すること。
・可用性（availability）：
許可された利用者が必要なときに情報にアクセスできることを確実にすること。

２ 定義(１)ネットワーク
コンピュータ等を相互に接続するための通信網，その構成機器（ハードウェア，ソフトウェア）をいう。
(２)教育情報システム
コンピュータ，ソフトウェア，ネットワーク，電磁的記録媒体で構成され，情報処理を行う仕組みをいう。
(３)情報セキュリティ
情報資産の機密性，完全性及び可用性を維持することをいう。
(４)インターネット接続系
インターネットメール，ホームページ管理システム等に関わるインターネットに接続された情報システム及びその情報システムで取り扱うデータをいう。
３ 対象とする脅威
情報資産に対する脅威として，以下の脅威を想定し，情報セキュリティ対策を実施する。
(１)不正アクセス，ウイルス攻撃，サービス不能攻撃等のサイバー攻撃や部外者の侵入等の意図的な要因による情報資産の漏えい・破壊・改ざん・消去，重要情報の詐取，
内部不正等(２)情報資産の無断持ち出し，無許可ソフトウェアの使用等の規定違反，設計・開発の不備，プログラム上の欠陥，操作・設定ミス，メンテナンス不備，内部・外部監査機
能の不備，外部委託管理の不備，マネジメントの欠陥，機器故障等の非意図的要因による情報資産の漏えい・破壊・消去等(３)地震，落雷，火災等の災害によるサービス及び業務の停止等(４)大規模・広範囲にわたる疾病による要員不足に伴うシステム運用の機能不全等(５)電力供給の途絶，通信の途絶，水道供給の途絶等のインフラの障害からの波及等- 1 -４ 対象範囲(１)適用範囲
本基本方針を適用する範囲は，富谷市教育委員会及び市立学校とする。
(２)情報資産の範囲
本基本方針が対象とする情報資産は，次のとおりとする。
①ネットワーク，情報システム及びこれらに関する設備，電磁的記録媒体②ネットワーク及び情報システムで取り扱う情報（これらを印刷した文書を含む。）③情報システムの仕様書及びネットワーク図等のシステム関連文書
５ 職員の義務
市教育委員会及び学校に勤務する常勤職員，非常勤職員及び臨時職員（以下「職員等」という。）は，情報セキュリティの重要性について共通の認識をもち，業務の遂行に当たっては教育情報セキュリティポリシー及び教育情報セキュリティ実施手順を遵守しなければならない。
６ 管理体制
本市教育委員会及び学校の情報資産について，市長部局とも連携し情報セキュリテ
ィ対策を推進するための組織体制を確立する。
７ 情報資産の分類
本市教育委員会及び学校の保有する情報資産を機密性，完全性及び可用性に応じて分類し，当該分類に基づき情報セキュリティ対策を実施する。
８ 情報セキュリティ対策(１)物理的セキュリティ
サーバ等，情報システム室等，通信回線等及び職員等のパソコンやモバイル端末等の管理について，物理的な対策を講じる。
(２)人的セキュリティ
情報セキュリティに関し，職員等が遵守すべき事項を定めるとともに，十分な教育及び啓発を行う等の人的な対策を講じる。
(３)技術的セキュリティ
コンピュータ等の管理，アクセス制御，不正プログラム対策，不正アクセス対策等の技術的対策を講じる。
(４)運用
情報システムの監視，情報セキュリティポリシーの遵守状況の確認，外部委託を行う際のセキュリティ確保等，情報セキュリティポリシーの運用面の対策を講じるものとする。また，情報資産に対するセキュリティ侵害が発生した場合等に迅速かつ適正に対応するため，緊急時対応計画を策定する。
(５)評価・見直し
教育情報セキュリティポリシーの遵守状況を検証するため，定期的又は必要に応じ- 2 -て情報セキュリティ監査及び自己点検を実施し，運用改善を行い情報セキュリティの向上を図る。教育情報セキュリティポリシーの見直しが必要な場合は，直ちに教育情報セキュリティポリシーの見直しを行う。
９ 情報セキュリティ監査及び自己点検の実施
教育情報セキュリティポリシーの遵守状況を検証するため，定期的又は必要に応じて情報セキュリティ監査及び自己点検を実施する。
10 教育情報セキュリティポリシーの見直し
情報セキュリティ監査及び自己点検の結果，教育情報セキュリティポリシーの見直しが必要となった場合及び情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には，直ちに教育情報セキュリティポリシーを見直す。
11 教育情報セキュリティ対策基準の策定
上記８，９及び10に規定する対策等を実施するために，具体的な遵守事項及び判断基準等を定める教育情報セキュリティ対策基準を策定する。
12 教育情報セキュリティ実施手順の策定
情報セキュリティ対策基準に基づき，情報セキュリティ対策を実施するための具体的な手順を定めた教育情報セキュリティ実施手順を策定するものとする。
なお，教育情報セキュリティ実施手順は，公にすることにより本市の行政運営に重大な支障を及ぼすおそれがあることから非公開とする。

- 3 -第２章 富谷市教育情報セキュリティ対策基準
１ 対象範囲及び用語説明(１)行政機関等の範囲
本対策基準が適用される行政機関等は，市教育委員会及び学校とする。
(２)情報資産の範囲
本対策基準が対象とする情報資産は，次のとおりとする。
①教育ネットワーク，教育情報システム及びこれらに関する設備，電磁的記録媒体②教育ネットワーク及び教育情報システムで取り扱う情報（これらを印刷した文書を含む。）③教育情報システムの仕様書及びネットワーク図等のシステム関連文書(３)用語説明
本対策基準における用語は，以下のとおりとする。
用語

校務系情報

校務外部接続系情報

学習系情報

校務用端末
校務外部接続用端末
学習者用端末指導者用端末校務系システム
校務外部接続系シス
テム
学習系システム
教育情報システム

定義
児童生徒の成績，出欠席及びその理由，健康診断結果，指導要録，教員の個人情報など，学校が保有する情報資産のうち，それら情報を学校・学級の管理運営，学習指導，生
徒指導，生活指導等に活用することを想定しており，かつ，当該情報に児童生徒がアクセスすることが想定されていない情報
校務系情報のうち，保護者メールや学校ホームページ等イ
ンターネット接続を前提とした校務で利用される情報
児童生徒のワークシート，作品など，学校が保有する情報資産のうち，それら情報を学校における教育活動において活用することを想定しており，かつ当該情報に教員及び児童生徒がアクセスすることが想定されている情報
校務系情報にアクセス可能な端末
校務外部接続系情報にアクセス可能な端末
学習系情報にアクセス可能な端末で，児童生徒が利用する端末
学習系情報にアクセス可能な端末で，教員のみが利用可能
な端末
校務系ネットワーク，校務系サーバ及び校務用端末から構成される校務系情報を取り扱うシステム
校務外部接続系ネットワーク，メールサーバ，ホームペー
ジ運用サーバ（CMS)及び校務外部接続用端末等から構成される校務外部接続系情報を取り扱うシステム
学習系ネットワーク，学習系サーバ，学習者用端末及び指導者用端末から構成される学習系情報を取り扱うシステム
校務系システム，校務外部接続系システム及び学習系シス
テムを合わせた総称- 4 -校務系サーバ
校務外部接続系サー
バ
学習系サーバ

校務系情報を取り扱うサーバ
校務外部接続系情報を取り扱うサーバ
学習系情報を取り扱うサーバ

２ 組織体制(１)最高情報セキュリティ責任者（CISO: Chief Information Security Officer，以下「CISO」という。）①副市長を，CISO とする。CISO は，本市における全ての教育ネットワーク，教育情報システム等の情報資産の管理及び情報セキュリティ対策に関する最終決定権限及び責任を有する。
②CISO は，必要に応じ，情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとして置き，その業務内容を定めるものとする。
(２)統括教育情報セキュリティ責任者①教育長を，CISO直属の統括教育情報セキュリティ責任者とする。統括教育情報セキ
ュリティ責任者はCISOを補佐しなければならない。
②統括教育情報セキュリティ責任者は，本市の全ての教育ネットワークにおける開発，設定の変更，運用，見直し等を行う権限及び責任を有する。
③統括教育情報セキュリティ責任者は，本市の全ての教育ネットワークにおける情報
セキュリティ対策に関する権限及び責任を有する。
④統括教育情報セキュリティ責任者は，教育情報セキュリティ責任者，教育情報セキ
ュリティ管理者，教育情報システム管理者及び教育情報システム担当者に対して，
情報セキュリティに関する指導及び助言を行う権限を有する。
⑤統括教育情報セキュリティ責任者は，本市の情報資産に対するセキュリティ侵害が発生した場合又はセキュリティ侵害のおそれがある場合に，CISOの指示に従い，CISOが不在の場合には自らの判断に基づき，必要かつ十分な措置を行う権限及び責任を有する。
⑥統括教育情報セキュリティ責任者は，本市の共通的な教育ネットワーク，教育情報システム及び情報資産に関する情報セキュリティ実施手順の維持・管理を行う権限
及び責任を有する。
⑦統括教育情報セキュリティ責任者は，緊急時等の円滑な情報共有を図るため，
CISO，統括教育情報セキュリティ責任者，教育情報セキュリティ責任者，教育情報
セキュリティ管理者，教育情報システム管理者，教育情報システム担当者を網羅する連絡体制を含めた緊急連絡網を整備しなければならない。
⑧統括教育情報セキュリティ責任者は，緊急時にはCISOに早急に報告を行うとともに，回復のための対策を講じなければならない。
(３)教育情報セキュリティ責任者①教育委員会の教育次長を教育情報セキュリティ責任者とする。
②教育情報セキュリティ責任者は，本市の教育情報セキュリティ対策に関する統括的- 5 -な権限及び責任を有する。
③教育情報セキュリティ責任者は，本市において所有している教育情報システムにおける開発，設定の変更，運用，見直し等を行う際の情報セキュリティに関する統括的な権限及び責任を有する。
④教育情報セキュリティ責任者は，本市において所有している教育情報システムについて，緊急時等における連絡体制の整備，情報セキュリティポリシーの遵守に関する意見の集約及び教職員等（教職員，非常勤教職員及び臨時教職員をいう。以下同じ。）に対する教育，訓練，助言及び指示を行う。
(４)教育情報セキュリティ管理者①校長を，教育情報セキュリティ管理者とする。
②教育情報セキュリティ管理者は当該学校の情報セキュリティ対策に関する権限及び責任を有する。
③教育情報セキュリティ管理者は，当該学校において，情報資産に対するセキュリテ
ィ侵害が発生した場合又はセキュリティ侵害のおそれがある場合には，教育情報セ
キュリティ責任者，統括教育情報セキュリティ責任者及びCISO へ速やかに報告を行い，指示を仰がなければならない。
(５)教育情報システム管理者①教育委員会の学校教育課長を，教育情報システムに関する教育情報システム管理者とする。
②教育情報システム管理者は，所管する教育情報システムにおける開発，設定の変更，運用，見直し等を行う権限及び責任を有する。
③教育情報システム管理者は，所管する教育情報システムにおける情報セキュリティ
に関する権限及び責任を有する。
④教育情報システム管理者は，所管する教育情報システムに係る情報セキュリティ実
施手順の維持・管理を行う。
(６)教育情報システム担当者①教育委員会の学校教育課の職員を，教育情報システムに関する教育情報システム担当者とする。
②教育情報システム担当者は，教育情報システム管理者の指示等に従い，教育情報システムの開発，設定の変更，運用，更新等の作業を行う。
(７)情報セキュリティ委員会①本市の情報セキュリティ対策を統一的に行うため，情報セキュリティ委員会において，情報セキュリティポリシー等，情報セキュリティに関する重要な事項を決定する。
②情報セキュリティ委員会は，毎年度，本市における情報セキュリティ対策の改善計
画を策定し，その実施状況を確認しなければならない。
(８)兼務の禁止①情報セキュリティ対策の実施において，やむを得ない場合を除き，承認又は許可の申請を行う者とその承認者又は許可者は，同じ者が兼務してはならない。
②監査を受ける者とその監査を実施する者は，やむを得ない場合を除き，同じ者が兼- 6 -

務してはならない。
(９)情報セキュリティに関する統一的な窓口の設置①CISO は，情報セキュリティインシデントの統一的な窓口の機能を有する組織を整備し，情報セキュリティインシデントについて部局等より報告を受けた場合には，その状況を確認し，自らへの報告が行われる体制を整備する。
②CISO による情報セキュリティ戦略の意思決定が行われた際には，その内容を関係部局等に提供する。
③情報セキュリティインシデントを認知した場合には，その重要度や影響範囲等を勘案し，報道機関への通知・公表対応を行わなければならない。
④情報セキュリティに関して，関係機関や他の市町村の情報セキュリティに関する統一的な窓口の機能を有する部署，外部の事業者等との情報共有を行う。
３ 情報資産の分類と管理方法(１)情報資産の分類
本市における情報資産は，機密性，完全性及び可用性により，次のとおり分類し，必要に応じて取扱制限を行うものとする。
機密性による情報資産の分類
分類
機密性３

機密性２Ｂ

機密性２Ａ

分類基準

該当する情報資産のイメージ

学校で取り扱う情報資産のうち，秘密文書に相当する機密性を要す
る情報資産
学校で取り扱う情報資産のうち，秘密文書に相当する機密性は要しないが，直ちに一般に公表することを前提としていない情報資産

特定の教職員のみが知り得る状態を確保する必要のある情報で秘密文書に相当するもの
教職員のみが知り得る状態を確保する必要がある情報資産（教職員のうち特定の教職員のみが知り得る状態を確保する必要があるものを含む）
教職員及び児童生徒同士のみが知り得る状態を確保する必要がある
情報資産（教職員及び児童生徒のうち特定の教職員及び児童生徒のみが知り得る状態を確保する必要があるものを含む）
公表されている情報資産又は公表することを前提として作成された情報資産（教職員及び児童生徒以外の者が知り得ても支障がないと認められるものを含む）

学校で取り扱う情報資産のうち，直ちに一般に公表することを前提としていないが，児童生徒がアクセスすることを想定している情報
資産
機密性2A，機密性2B又は機密性3の情報資産以外の情報資産

機密性１

- 7 -

完全性による情報資産の分類
分類

機密性２Ｂ

機密性２Ａ

機密性１

分類基準

該当する情報資産のイメージ

学校で取り扱う情報資産のうち，改ざん，誤びゅう又は破損により，学校関係者の権利が侵害される又は学校事務及び教育活動の的
確な遂行に支障（軽微なものを除く）を及ぼすおそれがある情報資産学校で取り扱う情報資産のうち，改ざん，誤びゅう又は破損により，学校関係者の権利が侵害される又は学校事務及び教育活動の的
確な遂行に軽微な支障を及ぼすおそれがある情報資産
完全性2A又は完全性2Bの情報資産
以外の情報資産情報が正確・完全な状態である必要があり，破壊，改ざん，破損又は第三者による削除等の事故があった場合，業務の遂行に支障ある
情報

情報が正確・完全な状態である必要があり，破壊，改ざん，破損又は第三者による削除等の事故があった場合，業務の遂行に軽微な支障ある情報事故があった場合でも業務の遂行に支障がない情報

可用性による情報資産の分類
分類

機密性２Ｂ

機密性２Ａ

機密性１

分類基準

該当する情報資産のイメージ

学校で取り扱う情報資産のうち，滅失，紛失又は当該情報資産が利用不可能であることにより，学校関係者の権利が侵害される又は学校事務及び教育活動の安定的な遂行に支障（軽微なものを除く。）
を及ぼすおそれがある情報資産
学校で取り扱う情報資産のうち，滅失，紛失又は当該情報資産が利用不可能であることにより，学校関係者の権利が侵害される又は学校事務及び教育活動の安定的な遂行に軽微な支障を及ぼすおそれがある情報資産可用性2A又は可用性2Bの情報資産
以外の情報資産必要な時にいつでも利用できる必要があり，情報システムの障害等による滅失紛失や，情報システムの停止等があった場合，業務の安定的な遂行に支障がある情報必要な時にいつでも利用できる必要があり，情報システムの障害等による滅失紛失や，情報システムの停止等があった場合，業務の安定的な遂行に軽微な支障がある情報
滅失，紛失や情報システムの停止等があっても業務の遂行に支障がない情報(２)情報資産の管理①管理責任(ア)教育情報セキュリティ管理者は，その所管する情報資産について管理責任を有す
る。

- 8 -

(イ)情報資産が複製又は伝送された場合には，複製等された情報資産も（１）の分類に基づき管理しなければならない。
②情報資産の分類の表示
教職員等は，情報資産について，その分類を表示し，必要に応じて取扱制限についても明示する等適切な管理を行わなければならない。
※情報資産の分類の表示先 ファイル（ファイル名，ファイルの属性（プロパティ），ヘッダー・フッター等），格納する電磁的記録媒体のラベル，文書の隅 等③情報の作成(ア)教職員等は，業務上必要のない情報を作成してはならない。
(イ)情報を作成する者は，情報の作成時に（１）の分類に基づき，当該情報の分類と取扱制限を定めなければならない。
(ウ)情報を作成する者は，作成途上の情報についても，紛失や流出等を防止しなければならない。また，情報の作成途上で不要になった場合は，当該情報を消去しなければならない。
④情報資産の入手(ア)学校内の者が作成した情報資産を入手した者は，入手元の情報資産の分類に基づいた取扱いをしなければならない。
(イ)学校外の者が作成した情報資産を入手した者は，（１）の分類に基づき，当該情報の分類と取扱制限を定めなければならない。
(ウ)情報資産を入手した者は，その情報資産の分類が不明な場合，教育情報セキュリ
ティ管理者に判断を仰がなければならない。
⑤情報資産の利用(ア)情報資産を利用する者は，業務以外の目的に情報資産を利用してはならない。
(イ)情報資産を利用する者は，情報資産の分類に応じ，適切な取扱いをしなければならない。
(ウ)情報資産を利用する者は，電磁的記録媒体に情報資産の分類が異なる情報が複数記録されている場合，最高度の分類に従って，当該電磁的記録媒体を取り扱わなけ
ればならない。
⑥情報資産の保管(ア)教育情報セキュリティ管理者又は教育情報システム管理者は，情報資産の分類に従って，情報資産を適切に保管しなければならない。
(イ)教育情報セキュリティ管理者又は教育情報システム管理者は，情報資産を記録した電磁的記録媒体を保管する場合は，書込禁止の措置を講じなければならない。
(ウ)教育情報セキュリティ管理者又は教育情報システム管理者は，利用頻度が低い電磁的記録媒体や情報システムのバックアップで取得したデータを記録する電磁的記
録媒体を保管する場合は，自然災害を被る可能性が低い地域に保管しなければならない。
(エ)教育情報セキュリティ管理者又は教育情報システム管理者は，機密性2A以上，完全性2A以上又は可用性2A以上の情報を記録した電磁的記録媒体を保管する場合，耐火，耐震，耐熱，耐水及び耐湿を講じた施錠可能な場所に保管しなければならな

- 9 -

い。
⑦情報の送信電子メールにより機密性2A以上の情報を外部送信する者は，必要に応じ暗号化又はパスワード設定を行わなければならない。
⑧情報資産の運搬(ア)車両等により機密性2A以上の情報資産を運搬する者は，必要に応じ鍵付きのケー
ス等に格納し，暗号化又はパスワードの設定を行う等，情報資産の不正利用を防止するための措置を講じなければならない。
(イ)機密性2A以上の情報資産を運搬する者は，教育情報セキュリティ管理者に許可を得なければならない。
⑨情報資産の提供・公表(ア)機密性2A以上の情報資産を外部に提供する者は，必要に応じ暗号化又はパスワードの設定を行わなければならない。
(イ)機密性2A以上の情報資産を外部に提供する者は，教育情報セキュリティ管理者に許可を得なければならない。
(ウ)教育情報セキュリティ管理者及び教育情報システム管理者は，住民に公開する情報資産について，完全性を確保しなければならない。
⑩情報資産の廃棄(ア)機密性2A以上の情報資産を廃棄する者は，情報を記録している電磁的記録媒体が不要になった場合，電磁的記録媒体の初期化等，情報を復元できないように処置した上で廃棄しなければならない。
(イ)情報資産の廃棄を行う者は，行った処理について，日時，担当者及び処理内容を記録しなければならない。
(ウ)情報資産の廃棄を行う者は，教育情報セキュリティ管理者の許可を得なければならない。
４ 物理的セキュリティ(１)サーバ等の管理■教育委員会設置のサーバ①機器の取付け
教育情報システム管理者は，サーバ等の機器の取付けを行う場合，地震，火災，水害，埃，振動，温度，湿度等の影響を可能な限り排除した場所に設置し，容易に取り外せないよう適切に固定する等，必要な措置を講じなければならない。
②サーバの冗長化(ア)教育情報システム管理者は，校務系サーバその他の校務系情報を格納しているサーバを冗長化し，同一データを保持しなければならない。また，メインサーバに障害が発生した場合に，速やかにセカンダリサーバを起動し，システムの運用停止時
間を最小限にしなければならない。
(イ)教育情報システム管理者は，学習系サーバその他の学習系情報を格納しているサ- 10 -

ーバのハードディスクを冗長化しなければならない。
③機器の電源(ア)教育情報システム管理者は，統括教育情報セキュリティ責任者及び施設管理部門と連携し，校務系サーバ等の機器の電源について，停電等による電源供給の停止に備え，当該機器が適切に停止するまでの間に十分な電力を供給する容量の予備電源を備え付けなければならない。
(イ)教育情報システム管理者は，統括教育情報セキュリティ責任者及び施設管理部門と連携し，落雷等による過電流に対して，サーバ等の機器を保護するための措置を講じなければならない。
④通信ケーブル等の配線(ア)統括教育情報セキュリティ責任者及び教育情報システム管理者は，施設管理部門と連携し，通信ケーブル及び電源ケーブルの損傷等を防止するために，配線収納管を使用する等必要な措置を講じなければならない。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，主要な箇所の通信ケーブル及び電源ケーブルについて，施設管理部門から損傷等の報告があった
場合，連携して対応しなければならない。
(ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，ネットワーク
接続口（ハブのポート等）を他者が容易に接続できない場所に設置する等適切に管理しなければならない。
(エ)統括教育情報セキュリティ責任者，教育情報システム管理者は，自ら又は教育情報システム担当者及び契約により操作を認められた外部委託事業者以外の者が配線を変更又は追加できないように必要な措置を施さなければならない。
⑤機器の定期保守及び修理(ア)教育情報システム管理者は，可用性2A以上のサーバ等の機器の定期保守を実施しなければならない。
(イ)教育情報システム管理者は，電磁的記録媒体を内蔵する機器を外部の事業者に修理させる場合，内容を消去した状態で行わせなければならない。内容を消去できない場合，教育情報システム管理者は，外部の事業者に故障を修理させるに当たり，修理を委託する事業者との間で，守秘義務契約を締結するとともに秘密保持体制の確認等を行わなければならない。
⑥施設外又は学校外への機器の設置
統括教育情報セキュリティ責任者及び教育情報システム管理者は，施設外又は学校
外にサーバ等の機器を設置する場合，CISOの承認を得なければならない。また，定期的に当該機器への情報セキュリティ対策状況について確認しなければならない。
⑦機器の廃棄等教育情報システム管理者は，機器を廃棄又はリース返却等をする場合，機器内部の記憶装置から，全ての情報を消去の上，復元不可能な状態にする措置を講じなければならない。

- 11 -

■学校設置のサーバ①管理区域の構造等(ア)管理区域とは，ネットワークの基幹機器及び重要な情報システムを設置し，当該機器等の管理並びに運用を行うための部屋（以下「情報システム室」という。）や電磁的記録媒体の保管庫をいう。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，ネットワークの基幹機器及び重要な情報システムについて，サーバラックに固定した上で，サーバラックの施錠管理を行わなければならない。
(ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，サーバラック
を，立ち入りを許可されていない不特定多数の者が出入りできる場所に設置してはならない。
(エ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，施設管理部門と連携して，管理区域から外部に通ずるドアは必要最小限とし，鍵，監視機能，警報装置等によって許可されていない立入りを防止しなければならない。
(オ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，情報システム
室内の機器等に，転倒及び落下防止等の耐震対策，防火措置，防水措置等を講じなければならない。
(カ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，管理区域に配置する消火薬剤や消防用設備等が，機器等及び電磁的記録媒体に影響を与えないよ
うにしなければならない。
②管理区域の入退室管理等(ア)教育情報システム管理者は，管理区域への入退室を許可された者のみに制限すること。
(イ)教育情報システム管理者は，サーバラックの施錠管理にあたり，管理簿の記載等
による管理を行わなければならない。
(ウ)教職員は，児童生徒が管理区域に入室する場合，必要に応じて立ち入り区域を制限した上で，児童生徒に付き添うものとする。
(エ)外部委託事業者は，管理区域に入室する場合，身分証明書等を携帯し，求めにより提示しなければならない。
(オ)教育情報システム管理者は，外部からの訪問者が管理区域に入る場合には，必要に応じて立ち入り区域を制限した上で，管理区域への入退室を許可された教職員等が付き添うものとし，外見上教職員等と区別できる措置を講じなければならない。
③機器等の搬入出(ア)教育情報システム管理者は，搬入する機器等が，既存の情報システムに与える影響について，あらかじめ委託した業者に確認を行わせなければならない。
(イ)教育情報システム管理者は，情報システム室の機器等の搬入出について，管理区域への入退室を許可された教職員を立ち会わせなければならない。
(２)管理区域の管理①管理区域の構造等(ア)管理区域とは，ネットワークの基幹機器及び重要な情報システムを設置し，当該- 12 -

機器等の管理並びに運用を行うための場所や電磁的記録媒体の保管庫をいう。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，管理区域を市役所庁舎内に設ける。
(ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，施設管理部門と連携して，許可されていない立入りを防止しなければならない。
(エ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，情報システム
室内の機器等に，転倒及び落下防止等の耐震対策等を講じなければならない。
②管理区域の管理等(ア)教育情報システム管理者は，管理区域への立ち入りを許可された者のみに制限
し，入退室管理簿の記載による入退室管理を行わなければならない。
(イ)市職員等及び外部委託事業者が，管理区域に立ち入りを許可する場合，これらの者に身分証明書等を携帯させ，必要に応じ，その提示を求めなければならない。
(ウ)教育情報システム管理者は，外部からの訪問者が管理区域に入る場合には，必要に応じて立ち入り区域を制限した上で，管理区域への入退室を許可された市職員等が付き添うものとし，外見上市職員等と区別できる措置を講じなければならない。
(エ)教育情報システム管理者は，機密性2B以上の情報資産を扱うシステムを設置している管理区域について，当該情報システムに関連しないコンピュータ，モバイル端末，通信回線装置，電磁的記録媒体等を持ち込ませないようにしなければならない。
③機器等の搬入出(ア)教育情報システム管理者は，搬入する機器等が既存の情報システムに与える影響について，あらかじめ市職員又は委託した業者に確認を行わせなければならない。
(イ)教育情報システム管理者は，情報システム室の機器等の搬出入について，市職員を立ち会わせなければならない。
(３)通信回線及び通信回線装置の管理①統括教育情報セキュリティ責任者は，施設内の通信回線及び通信回線装置を，施設管理部門と連携し，適切に管理しなければならない。また，通信回線及び通信回線装置に関連する文書を適切に保管しなければならない。
②統括教育情報セキュリティ責任者は，外部へのネットワーク接続を必要最低限に限定し，できる限り接続ポイントを減らさなければならない。
③統括教育情報セキュリティ責任者は，機密性2A以上の情報資産を取り扱う情報シス
テムに通信回線を接続する場合，必要なセキュリティ水準を検討の上，適切な回線を選択しなければならない。また，必要に応じ，送受信される情報の暗号化を行わなければならない。
④統括教育情報セキュリティ責任者は，ネットワークに使用する回線について，伝送途上に情報が破壊，盗聴，改ざん，消去等が生じないように十分なセキュリティ対策を実施しなければならない。
⑤統括教育情報セキュリティ責任者は，可用性2B以上の情報資産を取り扱う情報シス
テムが接続される通信回線について，継続的な運用を可能とする回線を選択しなけ- 13 -

ればならない。
(４)教職員等の利用する端末や電磁的記録媒体等の管理（校務用端末，校務外部接続用端末及び指導者用端末について）①教育情報システム管理者は，盗難防止のため，職員室等で利用する校務用端末及び校務外部接続用端末のワイヤーによる固定，教室等で使用する指導者用端末の保管庫による管理等，使用する目的に応じた適切な物理的措置を講じなければならない。電磁的記録媒体については，情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。
②教育情報システム管理者は，情報システムへのログインパスワードの入力を必要とするように設定しなければならない。
③教育情報システム管理者は，端末の電源起動時のパスワード（BIOSパスワード，ハードディスクパスワード等）を設定しなければならない。
④教育情報システム管理者は，取り扱う情報の重要度に応じてパスワード以外に物理認証等の多要素認証を設定しなければならない。
⑤教育情報システム管理者は，パソコンやモバイル端末等におけるデータの暗号化等の機能を有効に利用しなければならない。端末にセキュリティチップが搭載されている場合，その機能を有効に活用しなければならない。同様に，電磁的記録媒体についてもデータ暗号化機能を備える媒体を使用しなければならない。
⑥教育情報システム管理者は，モバイル端末の学校外での業務利用の際は，上記対策に加え，遠隔消去機能を利用する等の措置を講じなければならない。
（学習者用端末について）①教育情報システム管理者は，盗難防止のため，教室等で利用するパソコンの保管庫による管理等の物理的措置を講じなければならない。電磁的記録媒体については，情報が保存される必要がなくなった時点で速やかに記録した情報を消去しなければならない。
②教育情報システム管理者は，情報システムへのログインパスワードの入力を必要とするように設定しなければならない。
５ 人的セキュリティ(１)教職員の遵守事項①教育情報セキュリティポリシー等の遵守
教職員等は，教育情報セキュリティポリシー及び実施手順を遵守しなければならない。また，情報セキュリティ対策について不明な点，遵守することが困難な点等がある場合は，速やかに教育情報セキュリティ管理者に相談し，指示を仰がなければならない。
【児童生徒への指導について】
児童生徒は，教職員等でないことから，教育情報セキュリティポリシーを遵守する義務を負うものではないが，学校の学習系システムを利用することから，教職員等- 14 -

は，児童生徒に対し，学習者用端末等を活用させるにあたり，以下の事項について指導するものとする。
・モバイル端末やＵＳＢメモリ等を，学校外に持ち出す場合は，担任等の許可を得ること。
・学校では，承認されていない個人のパソコン，モバイル端末等を学校の情報シ
ステムに接続してはいけないこと。
・学校では，承認されていない個人のＵＳＢメモリ等をパソコン，モバイル端末
等に接続してはいけないこと。
・モバイル端末等のソフトウェアに関するセキュリティ機能の設定を，許可なく変更してはならないこと。
・モバイル端末が動かない，勝手に操作されている，いつもと異なる画面が出るといった症状がでた場合，すぐに担任等に報告すること。
・自分のＩＤやアカウントは，他人に利用させてはいけないこと。
・パスワードは他人に知られないようにすること。
・受信したメールについて，送り主やタイトルで不審をいだいたメールは，クリックする前に担任等に報告すること。

②業務以外の目的での使用の禁止
教職員等は，業務以外の目的で情報資産の外部への持ち出し，教育情報システムへのアクセス，電子メールアドレスの使用及びインターネットへのアクセスを行ってはならない。
③モバイル端末や電磁的記録媒体等の持ち出し及び外部における情報処理作業の制限(ア)CISOは，機密性2B以上，可用性2B以上，完全性2B以上の情報資産を外部で処理する場合における安全管理措置を定めなければならない。
(イ)教職員等は，学校のモバイル端末，電磁的記録媒体，情報資産及びソフトウェア
を外部に持ち出す場合には，教育情報セキュリティ管理者の許可を得なければならない。
(ウ)教職員等は，外部で情報処理業務を行う場合には，教育情報セキュリティ管理者の許可を得なければならない。
④支給以外のパソコン，モバイル端末及び電磁的記録媒体等の業務利用(ア)教職員等は，支給以外のパソコン，モバイル端末及び電磁的記録媒体等を原則業務に利用してはならない。ただし，業務上必要な場合は，教育情報セキュリティ管理者の許可を得て利用することができる。
(イ)教職員等は，支給以外のパソコン，モバイル端末及び電磁的記録媒体等を用いる
場合には，教育情報セキュリティ管理者の許可を得た上で，外部で情報処理作業を行う際に安全管理措置を遵守しなければならない。
⑤持ち出し及び持ち込みの記録
教育情報セキュリティ管理者は，端末等の持ち出し及び持ち込みについて，記録を作成し，保管しなければならない。

- 15 -

⑥パソコンやモバイル端末におけるセキュリティ設定変更の禁止
教職員等は，パソコンやモバイル端末のソフトウェアに関するセキュリティ機能の設定を教育情報セキュリティ管理者の許可なく変更してはならない。
⑦机上の端末等の管理
教職員等は，パソコン，モバイル端末，電磁的記録媒体及び情報が印刷された文書等について，第三者に使用されること又は教育情報セキュリティ管理者の許可なく情報を閲覧されることがないように，離席時のパソコン，モバイル端末のロックや電磁的記録媒体，文書等の容易に閲覧されない場所への保管等，適切な措置を講じなければならない。
⑧退職時等の遵守事項
教職員等は，異動，退職等により業務を離れる場合には，利用していた情報資産を，返却しなければならない。また，その後も業務上知り得た情報を漏らしてはならない。
⑨非常勤及び臨時の教職員への対応(ア)教育情報セキュリティポリシー等の遵守
教育情報セキュリティ管理者は，非常勤及び臨時の教職員に対し，採用時に教育
情報セキュリティポリシー等のうち，非常勤及び臨時の教職員が守るべき内容を理解させ，また実施及び遵守させなければならない。
(イ)教育情報セキュリティポリシー等の遵守に対する同意
教育情報セキュリティ管理者は，非常勤及び臨時の教職員の採用の際，必要に応じ，教育情報セキュリティポリシー等を遵守する旨の同意書への署名を求めるものとする。
(ウ)インターネット接続及び電子メール使用等の制限
教育情報セキュリティ管理者は，非常勤及び臨時の教職員にパソコンやモバイル端末による作業を行わせる場合において，インターネットへの接続及び電子メールの使用等が不要の場合，これを利用できないようにしなければならない。
⑩情報セキュリティポリシー等の掲示
教育情報セキュリティ管理者は，教職員等が常に教育情報セキュリティポリシー及び実施手順を閲覧できるように掲示しなければならない。
⑪外部委託事業者に対する説明
教育情報システム管理者は，ネットワーク及び情報システムの開発・保守等を外部委託事業者に発注する場合，外部委託事業者から再委託を受ける事業者も含めて，情報セキュリティポリシー等のうち外部委託事業者が守るべき内容の遵守及びその機密事項を説明しなければならない。
(２)研修・訓練①情報セキュリティに関する研修・訓練
CISOは，定期的に情報セキュリティに関する研修・訓練を実施しなければならない。
②研修計画の策定及び実施(ア)CISOは，教職員等に対する情報セキュリティに関する研修計画の策定とその実施- 16 -

体制の構築を定期的に行い，情報セキュリティ委員会の承認を得なければならな
い。
(イ)研修計画において，教職員等は，毎年度最低１回は情報セキュリティ研修を受講できるようにしなければならない。
(ウ)新規採用の教職員等を対象とする情報セキュリティに関する研修を実施しなければならない。
(エ)研修は，統括教育情報セキュリティ責任者，教育情報セキュリティ責任者，教育情報セキュリティ管理者，教育情報システム管理者，教育情報システム担当者及びその他教職員等に対して，それぞれの役割，情報セキュリティに関する理解度等に応じたものにしなければならない。
(オ)CISOは，毎年度１回，情報セキュリティ委員会に対して，教職員等の情報セキュリティ研修の実施状況について報告しなければならない。
③緊急時対応訓練
CISOは，緊急時対応を想定した訓練を定期的に実施しなければならない。訓練計画
は，ネットワーク及び各情報システムの規模等を考慮し，訓練実施の体制，範囲等を定め，また，効果的に実施できるようにしなければならない。
④研修・訓練への参加
全ての教職員等は，定められた研修・訓練に参加しなければならない。
(３)情報セキュリティインシデト※の報告※マルウェア感染，不正アクセス，情報漏洩，情報改ざん，Dos攻撃，記録媒体の紛失や盗難等①学校内からの情報セキュリティインシデントの報告(ア)教職員等は，情報セキュリティインシデントを認知した場合，速やかに教育情報
セキュリティ管理者に報告しなければならない。
(イ)報告を受けた教育情報セキュリティ管理者は，速やかに統括教育情報セキュリテ
ィ責任者，教育情報システム管理者及び情報セキュリティに関する統一的な窓口に報告しなければならない。
(ウ)教育情報セキュリティ管理者は，報告のあった情報セキュリティインシデントについて，必要に応じてCISO及び教育情報セキュリティ責任者に報告しなければならない。
②住民等外部からの情報セキュリティインシデントの報告(ア)教職員等は，管理対象のネットワーク及び教育情報システム等の情報資産に関する情報セキュリティインシデントについて，住民等外部から報告を受けた場合，教育情報セキュリティ管理者に報告しなければならない。
(イ)報告を受けた教育情報セキュリティ管理者は，速やかに統括教育情報セキュリテ
ィ責任者及び教育情報システム管理者に報告しなければならない。
(ウ)教育情報セキュリティ管理者は，当該情報セキュリティインシデントについて，
必要に応じてCISO及び教育情報セキュリティ責任者に報告しなければならない。
(エ)CISOは，教育情報システム等の情報資産に関する情報セキュリティインシデント
について，住民等外部から報告を受けるための窓口を設置し，当該窓口への連絡手段を公表しなければならない。

- 17 -

③情報セキュリティインシデント原因の究明・記録，再発防止等(ア)統括教育情報セキュリティ責任者は，情報セキュリティインシデントについて，
教育情報セキュリティ管理者，教育情報システム管理者及び情報セキュリティに関する統一的な窓口と連携し，これらの情報セキュリティインシデント原因を究明
し，記録を保存しなければならない。また，情報セキュリティインシデントの原因究明の結果から，再発防止策を検討し，CISOに報告しなければならない。
(イ)CISOは，統括教育情報セキュリティ責任者から，情報セキュリティインシデント
について報告を受けた場合は，その内容を確認し，再発防止策を実施するために必要な措置を指示しなければならない。
(４)ＩＤ及びパスワード等の管理①ID及びアカウントの取扱い
教職員等は，自己の管理するID及びアカウント（以下，ID等）に関し，次の事項を遵守しなければならない。
(ア)自己が利用しているID等は，他人に利用させてはならない。
(イ)共用ID等を利用する場合は，共用ID等の利用者以外に利用させてはならない。
③パスワードの取扱い
教職員等は，自己の管理するパスワードに関し，次の事項を遵守しなければならない。
(ア)パスワードは，他者に知られないように管理しなければならない。
(イ)パスワードを秘密にし，パスワードの照会等には一切応じてはならない。
(ウ)パスワードは十分な長さとし，文字列は想像しにくいものにしなければならない。
(エ)パスワードが流出したおそれがある場合には，教育情報セキュリティ管理者に速やかに報告し，パスワードを速やかに変更しなければならない。
(オ)複数の教育情報システムを扱う教職員等は，同一のパスワードを複数のシステム間で用いてはならない。 （シングルサインオンを除く）(カ)仮のパスワード（初期パスワードを含む）は，最初のログイン時点で変更しなけ
ればならない。
(キ)サーバ，ネットワーク機器及びパソコン等の端末にパスワードを記憶させてはならない。
(ク)教職員等間でパスワードを共有してはならない。（ただし，共有ID等に対するパスワードは除く）(ケ)共有ID等に対するパスワードは定期的に又はアクセス回数に基づいて変更しなけ
ればならない。
６ 技術的セキュリティ(１)コンピュータ及びネットワークの管理①文書サーバ及び端末の設定等(ア)教育情報システム管理者は，教職員等が使用できる文書サーバの容量を設定し，教職員等に周知しなければならない。

- 18 -

(イ)教育情報システム管理者は，文書サーバを学校等の単位で構成し，教職員等が他の学校等のフォルダ及びファイルを閲覧及び使用できないように，設定しなければならない。
(ウ)教育情報システム管理者は，住民の個人情報，人事記録等，特定の教職員等しか取り扱えないデータについて，別途ディレクトリを作成する等の措置を講じ，同一学校等であっても，担当職員以外の教職員等が閲覧及び使用できないようにしなければならない。
(エ)教育情報システム管理者は，インターネット接続を前提とする校務外部接続系サーバ及び学習系サーバに保管する情報（学習系サーバにおいては，機微な個人情報を保管する場合に限る）については，標的型攻撃等によるファイルの外部流出の可能性を考慮し，ファイル暗号化等による安全管理措置を講じなければならない。
②バックアップの実施
統括教育情報セキュリティ責任者及び教育情報システム管理者は，ファイルサーバ
等に記録された情報について，サーバの冗長化対策に関わらず，次の①及び②に基づきバックアップを実施するものとする。
(ア)校務系情報及び校務外部接続系情報については，必要に応じて定期的にバックアップを実施しなければならない。
(イ)学習系情報については，必要に応じて定期的にバックアップを実施しなければならない。
③他団体との情報システムに関する情報等の交換
教育情報システム管理者は，他の団体と情報システムに関する情報及びソフトウ
ェアを交換する場合，その取扱いに関する事項をあらかじめ定め，統括教育情報セ
キュリティ責任者及び教育情報セキュリティ責任者の許可を得なければならない。
④システム管理記録及び作業の確認(ア)教育情報システム管理者は，所管する教育情報システムの運用において実施した作業について，作業記録を作成しなければならない。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，所管するシ
ステムにおいて，システム変更等の作業を行った場合は，作業内容について記録を作成し，詐取，改ざん等をされないように適切に管理しなければならない。
(ウ)統括教育情報セキュリティ責任者，教育情報システム管理者又は教育情報シス
テム担当者及び契約により操作を認められた外部委託事業者がシステム変更等の作業を行う場合は，2名以上で作業し，互いにその作業を確認しなければならな
い。
⑤情報システム仕様書等の管理
統括教育情報セキュリティ責任者及び教育情報システム管理者は，ネットワーク
構成図，情報システム仕様書等について，電磁的記録媒体に関わらず，業務上必要とする者以外の者が閲覧や，紛失等をしないよう，適切に管理しなければならな
い。
⑥ログの取得等(ア)統括教育情報セキュリティ責任者及び教育情報システム管理者は，各種ログ及- 19 -

び情報セキュリティの確保に必要な記録を取得し，一定の期間保存しなければならない。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，ログとして取得する項目，保存期間，取扱方法及びログが取得できなくなった場合の対処等について定め，適切にログを管理しなければならない。
(ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，取得したログを定期的に点検又は分析する機能を設け，必要に応じて悪意ある第三者等からの不正侵入，不正操作等の有無について点検又は分析を実施しなければならない。
⑦障害記録
統括教育情報セキュリティ責任者及び教育情報システム管理者は，教職員等からのシステム障害の報告，システム障害に対する処理結果又は問題等を，障害記録として記録し，適切に保存しなければならない。
⑧ネットワークの接続制御，経路制御等(ア)統括教育情報セキュリティ責任者は，フィルタリング及びルーティングについて，設定の不整合が発生しないように，ファイアウォール，ルータ等の通信ソフト
ウェア等を設定しなければならない。
(イ)統括教育情報セキュリティ責任者は，不正アクセスを防止するため，ネットワー
クに適切なアクセス制御を施さなければならない。
⑨外部の者が利用できるシステムの分離等
教育情報システム管理者は，電子申請の汎用受付システム等，外部の者が利用できるシステムについて，必要に応じ教育ネットワーク及び教育情報システム分離する等の措置を講じなければならない。
⑩外部ネットワークとの接続制限等(ア)教育情報システム管理者は，所管するネットワークを外部ネットワークと接続しようとする場合には，CISO及び統括教育情報セキュリティ責任者の許可を得なければならない。
(イ)教育情報システム管理者は，接続しようとする外部ネットワークに係るネットワ
ーク構成，機器構成，セキュリティ技術等を詳細に調査し，庁内及び学校の全てのネットワーク，情報システム等の情報資産に影響が生じないことを確認しなければならない。
(ウ)教育情報システム管理者は，接続した外部ネットワークの瑕疵によりデータの漏
えい，破壊，改ざん又はシステムダウン等による業務への影響が生じた場合に対処するため，当該外部ネットワークの管理責任者による損害賠償責任を契約上担保しなければならない。
(エ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，ウェブサーバ
等をインターネットに公開する場合，教育ネットワークへの侵入を防御するために，ファイアウォール等を外部ネットワークとの境界に設置した上で接続しなければならない。
(オ)教育情報システム管理者は，接続した外部ネットワークのセキュリティに問題が- 20 -

認められ，情報資産に脅威が生じることが想定される場合には，統括教育情報セキ
ュリティ責任者の判断に従い，速やかに当該外部ネットワークを物理的に遮断しなければならない。
⑪機微情報に対するインターネットリスク，児童生徒による機微情報へのアクセスリ
スクへの対応(ア)教育情報システム管理者は，校務系システム及び学習系システム間の通信経路の論理的又は物理的な分離をするとともに，ウェブ閲覧やインターネットメールなどのインターネットリスクの高いシステムと機微情報（特に校務系）を論理的又は物理的に分離をする，もしくはこれらに類する安全管理措置を講じなければならない。特にクラウドについても，通信経路の論理的又は物理的な分離によるセキュリ
ティの品質に準じた安全管理措置を講じること。
(イ)教育情報システム管理者は，校務系システムとその他のシステム（校務外部接続
系システム，学習系システム）との間で通信する場合には，ウイルス感染のない無害化通信など，適切な措置を図らなければならない。
⑫複合機のセキュリティ管理(ア)統括教育情報セキュリティ責任者は，複合機を調達する場合，当該複合機が備える機能，設置環境並びに取り扱う情報資産の分類及び管理方法に応じ，適切なセキ
ュリティ要件を策定しなければならない。
(イ)統括教育情報セキュリティ責任者は，複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講じなければならない。
(ウ)統括教育情報セキュリティ責任者は，複合機の運用を終了する場合，複合機の持
つ電磁的記録媒体の全ての情報を抹消又は再利用できないようにする対策を講じなければならない。
⑬特定用途機器のセキュリティ管理
統括教育情報セキュリティ責任者は，特定用途機器について，取り扱う情報，利用方法，通信回線への接続形態等により，何らかの脅威が想定される場合は，当該機器の特性に応じた対策を実施しなければならない。
⑭無線LAN及びネットワークの盗聴対策(ア)統括教育情報セキュリティ責任者は，無線LANの利用を認める場合，解読が困難
な暗号化及び認証技術の使用を義務付けなければならない。
(イ)統括教育情報セキュリティ責任者は，機密性の高い情報を取り扱うネットワーク
について，情報の盗聴等を防ぐため，暗号化等の措置を講じなければならない。
⑮電子メールのセキュリティ管理(ア)統括教育情報セキュリティ責任者は，権限のない利用者により，外部から外部への電子メール転送（電子メールの中継処理）が行われることを不可能とするよう，
電子メールサーバの設定を行わなければならない。
(イ)統括教育情報セキュリティ責任者は，大量のスパムメール等の受信又は送信を検知した場合は，メールサーバの運用を停止しなければならない。
(ウ)統括教育情報セキュリティ責任者は，電子メールの送受信容量の上限を設定し，- 21 -

上限を超える電子メールの送受信を不可能にしなければならない。
(エ)統括教育情報セキュリティ責任者は，教職員等が使用できる電子メールボックスの容量の上限を設定し，上限を超えた場合の対応を教職員等に周知しなければならない。
(オ)統括教育情報セキュリティ責任者は，システム開発や運用，保守等のため施設内に常駐している外部委託事業者の作業員による電子メールアドレス利用について，
外部委託事業者との間で利用方法を取り決めなければならない。
(カ)統括教育情報セキュリティ責任者は，教職員等が電子メールの送信等により情報資産を無断で外部に持ち出すことが不可能となるように添付ファイルの監視等によりシステム上措置しなければならない。
⑯電子メールの利用制限(ア)教職員等は，自動転送機能を用いて，電子メールを転送してはならない。
(イ)教職員等は，業務上必要のない送信先に電子メールを送信してはならない。
(ウ)教職員等は，複数人に電子メールを送信する場合，必要がある場合を除き，他の送信先の電子メールアドレスが分からないようにしなければならない。
(エ)教職員等は，重要な電子メールを誤送信した場合，教育情報セキュリティ管理者に報告しなければならない。
(オ)教職員等は，ウェブで利用できるフリーメールサービス等を統括教育情報セキュ
リティ責任者の許可無しに使用してはならない。
⑰電子署名・暗号化(ア)教職員等は，情報資産の分類により定めた取扱制限に従い，外部に送るデータの機密性又は完全性を確保することが必要な場合には，CISOが定めた電子署名，暗号化又はパスワード設定等，セキュリティを考慮して，送信しなければならない。
(イ)教職員等は，暗号化を行う場合にCISOが定める以外の方法を用いてはならない。
また，CISOが定めた方法で暗号のための鍵を管理しなければならない。
(ウ)CISOは，電子署名の正当性を検証するための情報又は手段を，署名検証者へ安全に提供しなければならない。
⑱無許可ソフトウェアの導入等の禁止(ア)教職員等は，パソコンやモバイル端末に無断でソフトウェアを導入してはならな
い。
(イ)教職員等は，業務上の必要がある場合は，統括教育情報セキュリティ責任者及び教育情報システム管理者の許可を得て，ソフトウェアを導入することができる。なお，導入する際は，教育情報セキュリティ管理者又は教育情報システム管理者は，
ソフトウェアのライセンスを管理しなければならない。
(ウ)教職員等は，不正にコピーしたソフトウェアを利用してはならない。
⑲機器構成の変更の制限(ア)教職員等は，パソコンやモバイル端末に対し機器の改造及び増設・交換を行ってはならない。
(イ)教職員等は，業務上，パソコンやモバイル端末に対し機器の改造及び増設・交換を行う必要がある場合には，統括教育情報セキュリティ責任者及び教育情報システ- 22 -

ム管理者の許可を得なければならない。
⑳無許可でのネットワーク接続の禁止
教職員等は，統括教育情報セキュリティ責任者の許可なくパソコンやモバイル端末
をネットワークに接続してはならない。
㉑業務以外の目的でのウェブ閲覧の禁止(ア)教職員等は，業務以外の目的でウェブを閲覧してはならない。
(イ)統括教育情報セキュリティ責任者は，教職員等のウェブ利用について，明らかに業務に関係のないサイトを閲覧していることを発見した場合は，教育情報セキュリ
ティ管理者に通知し適切な措置を求めなければならない。
(２)アクセス制御①アクセス制御等(ア)アクセス制御
統括教育情報セキュリティ責任者又は教育情報システム管理者は，所管するネッ
トワーク又は情報システムごとにアクセスする権限のない教職員等がアクセスできないように，システム上制限しなければならない。
(イ)利用者ID等の取扱い
ア)統括教育情報セキュリティ責任者及び教育情報システム管理者は，利用者の登録，変更，抹消等の情報管理，教職員等の異動，退職等に伴う利用者ID等の取扱
い等の方法を定めなければならない。
イ)教職員等は，業務上必要がなくなった場合は，利用者登録を抹消するよう，統括教育情報セキュリティ責任者又は教育情報システム管理者に通知しなければならない。
ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，利用されていないID等が放置されないよう，人事管理部門と連携し，点検しなければならない。
(ウ)特権を付与されたID等の管理等
ア) 統括教育情報セキュリティ責任者及び教育情報システム管理者は，管理者権限
等の特権を付与されたID等の利用者を限定し，当該ID等のパスワード漏えい等が発生しないよう，当該ID等及びパスワードを厳重に管理しなければならない。
イ) 統括教育情報セキュリティ責任者及び教育情報システム管理者の特権を代行する者は，統括教育情報セキュリティ責任者及び教育情報システム管理者が指名し，CISOが認めた者でなければならない。
ウ) CISOは，代行者を認めた場合，速やかに統括教育情報セキュリティ責任者，教育情報セキュリティ責任者，教育情報セキュリティ管理者及び教育情報システム
管理者に通知しなければならない。
エ) 統括教育情報セキュリティ責任者及び教育情報システム管理者は，特権を付与されたID等及びパスワードの変更について，外部委託事業者に行わせてはならない。
オ) 統括教育情報セキュリティ責任者及び教育情報システム管理者は，特権を付与されたID等及びパスワードについて，その利用期間に合わせて特権ID等を作成・- 23 -

削除する，もしくは，入力回数制限を設ける等のセキュリティ機能を強化しなければならない。
カ) 統括教育情報セキュリティ責任者及び教育情報システム管理者は，特権を付与されたID等のログ監視を行わなければならない。
②教職員等による外部からのアクセス等の制限(ア)教職員等が外部から内部のネットワーク又は情報システムにアクセスする場合
は，統括教育情報セキュリティ責任者及び当該情報システムを管理する教育情報シ
ステム管理者の許可を得なければならない。
(イ)統括教育情報セキュリティ責任者は，内部のネットワーク又は情報システムに対する外部からのアクセスを，アクセスが必要な合理的理由を有する必要最小限の者に限定しなければならない。
(ウ)統括教育情報セキュリティ責任者は，外部からのアクセスを認める場合，システ
ム上利用者の本人確認を行う機能を確保しなければならない。
(エ)統括教育情報セキュリティ責任者は，外部からのアクセスを認める場合，通信途
上の盗聴を防御するために暗号化等の措置を講じなければならない。
(オ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，外部からのア
クセスに利用するモバイル端末を教職員等に貸与する場合，セキュリティ確保のために必要な措置を講じなければならない。
(カ)教職員等は，持ち込んだ又は外部から持ち帰ったモバイル端末を施設内のネット
ワークに接続する前に，コンピュータウイルスに感染していないこと，パッチの適用状況等を確認しなければならない。
(キ)統括教育情報セキュリティ責任者は，公衆通信回線（公衆無線LAN等）を教育ネ
ットワークに接続することは原則として禁止しなければならない。ただし，やむを得ず接続を許可する場合は，利用者のID等及びパスワード，通信内容の暗号化等，
情報セキュリティ確保のために必要な措置を講じなければならない。
③自動識別の設定
統括教育情報セキュリティ責任者及び教育情報システム管理者は，ネットワークで使用される機器について，機器固有情報によって端末とネットワークとの接続の可否が自動的に識別されるようシステムを設定しなければならない。
④ログイン時の表示等
教育情報システム管理者は，ログイン時におけるメッセージ，ログイン試行回数の制限，アクセスタイムアウトの設定及びログイン・ログアウト時刻の表示等により，正当なアクセス権を持つ教職員等がログインしたことを確認することができるようシステムを設定しなければならない。
⑤パスワードに関する情報の管理(ア)統括教育情報セキュリティ責任者又は教育情報システム管理者は，教職員等のパスワードに関する情報を厳重に管理しなければならない。パスワードファイルを不正利用から保護するため，オペレーティングシステム等でパスワード設定のセキュ
リティ強化機能がある場合は，これを有効に活用しなければならない。
(イ)統括教育情報セキュリティ責任者又は教育情報システム管理者は，教職員等に対- 24 -

してパスワードを発行する場合は，仮のパスワードを発行し，ログイン後直ちに仮のパスワードを変更させなければならない。
⑥特権による接続時間の制限
教育情報システム管理者は，特権によるネットワーク及び情報システムへの接続時間を必要最小限に制限しなければならない。
(３)システム開発，導入，保守等①情報システムの調達(ア)統括教育情報セキュリティ責任者及び教育情報システム管理者は，情報システム
開発，導入，保守等の調達に当たっては，調達仕様書に必要とする技術的なセキュリティ機能を明記しなければならない。
(イ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，機器及びソフ
トウェアの調達に当たっては，当該製品のセキュリティ機能を調査し，情報セキュ
リティ上問題のないことを確認しなければならない。
②情報システムの開発(ア)システム開発における責任者及び作業者の特定
教育情報システム管理者は，システム開発の責任者及び作業者を特定しなければならない。また，システム開発のための規則を確立しなければならない。
(イ)システム開発における責任者，作業者のID等の管理
ア) 教育情報システム管理者は，システム開発の責任者及び作業者が使用するID等を管理し，開発完了後，開発用ID等を削除しなければならない。
イ) 教育情報システム管理者は，システム開発の責任者及び作業者のアクセス権限を設定しなければならならない。
(ウ)システム開発に用いるハードウェア及びソフトウェアの管理ア) 教育情報システム管理者は，システム開発の責任者及び作業者が使用するハードウェア及びソフトウェアを特定しなければならない。
イ) 教育情報システム管理者は，利用を認めたソフトウェア以外のソフトウェアが導入されている場合，当該ソフトウェアをシステムから削除しなければならな
い。
③情報システムの導入(ア)開発環境と運用環境の分離及び移行手順の明確化
ア) 教育情報システム管理者は，システム開発，保守及びテスト環境とシステム運用環境を分離しなければならない。
イ) 教育情報システム管理者は，システム開発・保守及びテスト環境からシステム
運用環境への移行について，システム開発・保守計画の策定時に手順を明確にしなければならない。
ウ) 教育情報システム管理者は，移行の際，情報システムに記録されている情報資産の保存を確実に行い，移行に伴う情報システムの停止等の影響が最小限になるよう配慮しなければならない。
エ) 教育情報システム管理者は，導入するシステムやサービスの可用性が確保されていることを確認した上で導入しなければならない。

- 25 -

(イ)テストア) 教育情報システム管理者は，新たに情報システムを導入する場合，既に稼働している情報システムに接続する前に十分な試験を行わなければならない。
イ) 教育情報システム管理者は，運用テストを行う場合，あらかじめ擬似環境による操作確認を行わなければならない。
ウ) 教育情報システム管理者は，個人情報及び機密性の高い生データを，テストデータに使用してはならない。
エ) 教育情報システム管理者は，開発したシステムについて受け入れテストを行う
場合，開発した組織と導入する組織が，それぞれ独立したテストを行わなければならない。
オ）教育情報システム管理者は，運用環境への移行に先立ち，システムの脆弱性テストを行い，その結果を確認しなければならない。
④システム開発・保守に関連する資料等の整備・保管(ア)教育情報システム管理者は，システム開発・保守に関連する資料及びシステム関連文書を適切に整備・保管しなければならない。
(イ)教育情報システム管理者は，テスト結果を一定期間保管しなければならない。
(ウ)教育情報システム管理者は，情報システムに係るソースコードならびに使用した
オープンソースのバージョン（リポジトリ）を適切な方法で保管しなければならな
い。
⑤情報システムにおける入出力データの正確性の確保(ア)教育情報システム管理者は，情報システムに入力されるデータについて，範囲，
妥当性のチェック機能及び不正な文字列等の入力を除去する機能を組み込むように
情報システムを設計しなければならない。
(イ)教育情報システム管理者は，故意又は過失により情報が改ざんされる又は漏えいするおそれがある場合に，これを検出するチェック機能を組み込むように情報シス
テムを設計しなければならない。
(ウ)教育情報システム管理者は，情報システムから出力されるデータについて，情報の処理が正しく反映され，出力されるように情報システムを設計しなければならな
い。
⑥情報システムの変更管理
教育情報システム管理者は，情報システムを変更した場合，プログラム仕様書等の変更履歴を作成しなければならない。
⑦開発・保守用のソフトウェアの更新等
教育情報システム管理者は，開発・保守用のソフトウェア等を更新又はパッチの適用をする場合，他の情報システムとの整合性を確認しなければならない。
⑧システム更新又は統合時の検証等
教育情報システム管理者は，システム更新・統合時に伴うリスク管理体制の構
築，移行基準の明確化及び更新・統合後の業務運営体制の検証を行わなければならない。
(４)不正プログラム対策- 26 -

①統括教育情報セキュリティ責任者の措置事項
統括教育情報セキュリティ責任者は，不正プログラム対策として，次の事項を措置しなければならない。
(ア)外部ネットワークから受信したファイルは，インターネットのゲートウェイにおいてコンピュータウイルス等の不正プログラムのチェックを行い，不正プログラムのシステムへの侵入を防止しなければならない。
(イ)外部ネットワークに送信するファイルは，インターネットのゲートウェイにおいてコンピュータウイルス等不正プログラムのチェックを行い，不正プログラムの外部への拡散を防止しなければならない。
(ウ)コンピュータウイルス等の不正プログラム情報を収集し，必要に応じ教職員等に対して注意喚起しなければならない。
(エ)所掌するサーバ及びパソコン等の端末に，コンピュータウイルス等の不正プログ
ラム対策ソフトウェアを常駐させなければならない。
(オ)不正プログラム対策ソフトウェアのパターンファイルは，常に最新の状態に保たなければならない。
(カ)不正プログラム対策のソフトウェアは，常に最新の状態に保たなければならない。
(キ)業務で利用するソフトウェアは，パッチやバージョンアップなどの開発元のサポートが終了したソフトウェアを利用してはならない。
②教育情報システム管理者の措置事項
教育情報システム管理者は，不正プログラム対策に関し，次の事項を措置しなければならない。
(ア)教育情報システム管理者は，その所掌するサーバ及びパソコン等の端末を守るため，コンピュータウイルス等の不正プログラムへの対策を講じなければならない。
(イ)不正プログラム対策は，常に最新の状態に保たなければならない。
(ウ)インターネットに接続していないシステムにおいて，電磁的記録媒体を使う場
合，コンピュータウイルス等の感染を防止するために，市が管理している電磁的記
録媒体以外を教職員等に利用させてはならない。また，不正プログラムの感染，侵入が生じる可能性が著しく低い場合を除き，不正プログラム対策ソフトウェアを導入し，定期的に当該ソフトウェア及びパターンファイルの更新を実施しなければならない。
③教職員等の遵守事項
教職員等は，不正プログラム対策に関し，次の事項を遵守しなければならない。
(ア)パソコンやモバイル端末において，不正プログラム対策ソフトウェアが導入されている場合は，当該ソフトウェアの設定を変更してはならない。
(イ)外部からデータ又はソフトウェアを取り入れる場合には，必ず不正プログラム対策ソフトウェアによるチェックを行わなければならない。
(ウ)差出人が不明又は不自然に添付されたファイルを受信した場合は，速やかに削除しなければならない。
(エ)端末に対して，不正プログラム対策ソフトウェアによるフルチェックを定期的に- 27 -

実施しなければならない。
(オ)添付ファイルが付いた電子メールを送受信する場合は，不正プログラム対策ソフ
トウェアでチェックを行わなければならない。
(カ)統括教育情報セキュリティ責任者が提供するウイルス情報を，常に確認しなければならない。
(キ)コンピュータウイルス等の不正プログラムに感染した場合又は感染が疑われる場
合は，以下の対応を行わなければならない。
ア)パソコン等の端末の場合
LANケーブルの即時取り外しを行わなければならない。
イ)モバイル端末の場合直ちに利用を中止し，通信を行わない設定へ変更を行わなければならない。
④専門家の支援体制
統括教育情報セキュリティ責任者は，実施している不正プログラム対策では不十分な事態が発生した場合に備え，外部の専門家の支援を受けられるようにしておかなけ
ればならない。
(５)不正アクセス対策①統括教育情報セキュリティ責任者の措置事項
統括教育情報セキュリティ責任者は，不正アクセス対策として，以下の事項を措置しなければならない。
(ア)使用されていないポートを閉鎖しなければならない。
(イ)不要なサービスについて，機能を削除又は停止しなければならない。
(ウ)不正アクセスによるウェブページの改ざんを防止するために，データの書換えを検出し，統括教育情報セキュリティ責任者及び教育情報システム管理者へ通報する
よう，設定しなければならない。
(エ)重要なシステムの設定を行ったファイル等について，定期的に当該ファイルの改
ざんの有無を検査しなければならない。
(オ)統括教育情報セキュリティ責任者は，情報セキュリティに関する統一的な窓口と連携し，監視，通知，外部連絡窓口及び適切な対応などを実施できる体制並びに連絡網を構築しなければならない。
②攻撃の予告CISO及び統括教育情報セキュリティ責任者は，サーバ等に攻撃を受けることが明確になった場合，システムの停止を含む必要な措置を講じなければならない。また，関係機関と連絡を密にして情報の収集に努めなければならない。
③記録の保存CISO及び統括教育情報セキュリティ責任者は，サーバ等に攻撃を受け，当該攻撃が不正アクセス禁止法違反等の犯罪の可能性がある場合には，攻撃の記録を保存するとともに，警察及び関係機関との緊密な連携に努めなければならない。
④内部からの攻撃
統括教育情報セキュリティ責任者及び教育情報システム管理者は，教職員等及び外部委託事業者が使用しているパソコン等の端末からの庁内のサーバ等に対する攻撃や- 28 -

外部のサイトに対する攻撃を監視しなければならない。
⑤教職員等による不正アクセス
統括教育情報セキュリティ責任者及び教育情報システム管理者は，教職員等による不正アクセスを発見した場合は，当該教職員等が所属する学校等の教育情報セキュリ
ティ管理者に通知し，適切な処置を求めなければならない。
⑥サービス不能攻撃
統括教育情報セキュリティ責任者及び教育情報システム管理者は，外部からアクセ
スできる情報システムに対して，第三者からサービス不能攻撃を受け，利用者がサービスを利用できなくなることを防止するため，情報システムの可用性を確保する対策を講じなければならない。
⑦標的型攻撃統括教育情報セキュリティ責任者及び教育情報システム管理者は，情報システムにおいて，標的型攻撃による内部への侵入を防止するために，教育や自動再生無効化等の人的対策や入口対策を講じなければならない。また，内部に侵入した攻撃を早期検知して対処するために，通信をチェックする等の内部対策を講じなければならない。
(６)セキュリティ情報の収集①セキュリティホールに関する情報の収集及び共有並びにソフトウェアの更新等
統括教育情報セキュリティ責任者及び教育情報システム管理者は，セキュリティホ
ールに関する情報を収集し，必要に応じ，関係者間で共有しなければならない。また，当該セキュリティホールの緊急度に応じて，ソフトウェア更新等の対策を実施しなければならない。
②不正プログラム等のセキュリティ情報の収集及び周知
統括教育情報セキュリティ責任者は，不正プログラム等のセキュリティ情報を収集し，必要に応じ対応方法について，教職員等に周知しなければならない。
③情報セキュリティに関する情報の収集及び共有
統括教育情報セキュリティ責任者及び教育情報システム管理者は，情報セキュリテ
ィに関する情報を収集し，必要に応じ，関係者間で共有しなければならない。また，
情報セキュリティに関する社会環境や技術環境等の変化によって新たな脅威を認識した場合は，セキュリティ侵害を未然に防止するための対策を速やかに講じなければな
らない。
７ 運用
(１)情報システムの監視①統括教育情報セキュリティ責任者及び教育情報システム管理者は，セキュリティに関する事案を検知するため，情報システムを常時監視しなければならない。
②統括教育情報セキュリティ責任者及び教育情報システム管理者は，重要なログ等を取得するサーバの正確な時刻設定及びサーバ間の時刻同期ができる措置を講じなければならない。
③統括教育情報セキュリティ責任者及び教育情報システム管理者は，機密性2B以上，完全性2B以上，可用性2B以上の情報資産を格納する校務系システム及び校務外部接- 29 -

続系システムを常時監視しなければならない。
④統括教育情報セキュリティ責任者及び教育情報システム管理者は，機密性2A，完全性2A，可用性2Aの情報資産を格納する学習系システムを常時監視しなければならな
い。
(２)教育情報セキュリティポリシーの遵守状況の確認①遵守状況の確認及び対処(ア)教育情報セキュリティ責任者及び教育情報セキュリティ管理者は，教育情報セキュリティポリシーの遵守状況について確認を行い，問題を認めた場合には，速やかにCISO及び統括教育情報セキュリティ責任者に報告しなければならない。
(イ)CISOは，発生した問題について，適切かつ速やかに対処しなければならない。
(ウ)統括教育情報セキュリティ責任者及び教育情報システム管理者は，ネットワーク
及びサーバ等のシステム設定等における情報セキュリティポリシーの遵守状況について，定期的に確認を行い，問題が発生していた場合には適切かつ速やかに対処しなければならない。
②パソコン，モバイル端末及び電磁的記録媒体等の利用状況調査
CISO及びCISOが指名した者は，不正アクセス，不正プログラム等の調査のために，教職員等が使用しているパソコン，モバイル端末及び電磁的記録媒体等のログ，電子メールの送受信記録等の利用状況を調査することができる。
③教職員等の報告義務(ア)教職員等は，教育情報セキュリティポリシーに対する違反行為を発見した場合，直ちに統括教育情報セキュリティ責任者及び教育情報セキュリティ管理者に報告を行わなければならない。
(イ)違反行為が直ちに情報セキュリティ上重大な影響を及ぼす可能性があると統括教
育情報セキュリティ責任者が判断した場合は，緊急時対応計画に従って適切に対処しなければならない。
(３)侵害時の対応等①緊急時対応計画の策定
CISO又は情報セキュリティ委員会は，情報セキュリティインシデント，情報セキュ
リティポリシーの違反等により情報資産に対するセキュリティ侵害が発生した場合又は発生するおそれがある場合において連絡，証拠保全，被害拡大の防止，復旧，再発防止等の措置を迅速かつ適切に実施するために，緊急時対応計画を定めておき，セキ
ュリティ侵害時には当該計画に従って適切に対処しなければならない。
②緊急時対応計画に盛り込むべき内容
緊急時対応計画には，以下の内容を定めなければならない。
(ア)関係者の連絡先(イ)発生した事案に係る報告すべき事項(ウ)発生した事案への対応措置(エ)再発防止措置の策定③業務継続計画との整合性確保
自然災害，大規模又は広範囲に及ぶ疾病等に備えて別途業務継続計画を策定し，情- 30 -

報セキュリティ委員会は当該計画と情報セキュリティポリシーの整合性を確保しなけ
ればならない。
④緊急時対応計画の見直し
CISO又は情報セキュリティ委員会は，情報セキュリティを取り巻く状況の変化や組織体制の変動等に応じ，緊急時対応計画の規定を見直さなければならない。
(４)例外措置①例外措置の許可
教育情報セキュリティ管理者及び教育情報システム管理者は，情報セキュリティ関係規定を遵守することが困難な状況で，学校事務及び教育活動の適正な遂行を継続するため，遵守事項とは異なる方法を採用し又は遵守事項を実施しないことについて合理的な理由がある場合には，CISOの許可を得て，例外措置を取ることができる。
②緊急時の例外措置
教育情報セキュリティ管理者及び教育情報システム管理者は，学校事務及び教育活動の遂行に緊急を要する等の場合であって，例外措置を実施することが不可避のときは，事後速やかにCISOに報告しなければならない。
③例外措置の申請書の管理
CISOは，例外措置の申請書及び審査結果を適切に保管し，定期的に申請状況を確認しなければならない。
(５)法令等遵守
教職員等は，職務の遂行において使用する情報資産を保護するために，次の法令のほか関係法令等を遵守し，これに従わなければならない。
①地方公務員法(昭和25年12月13日法律第261号）②教育公務員特例法（昭和24年1月12日法律第1号）③著作権法（昭和45年法律第48号）④不正アクセス行為の禁止等に関する法律（平成11年法律第128号）⑤個人情報の保護に関する法律（平成15年5月30日法律第57号）⑥行政手続における特定の個人を識別するための番号の利用等に関する法律（平成25年法律第27 号）⑦富谷市個人情報の保護に関する条例（平成17年条例第2号）(６)懲戒処分等①懲戒処分
教育情報セキュリティポリシーに違反した教職員等及びその監督責任者は，その重大性，発生した事案の状況等に応じて，地方公務員法をはじめとするによる懲戒処分の対象とする。
②違反時の対応
教職員等の教育情報セキュリティポリシーに違反する行動を確認した場合には，速やかに次の措置を講じなければならない。
(ア)統括教育情報セキュリティ責任者が違反を確認した場合は，統括教育情報セキュ
リティ責任者は当該教職員等が所属する学校の教育情報セキュリティ管理者に通知し，適切な措置を求めなければならない。

- 31 -

(イ)教育情報システム管理者等が違反を確認した場合は，違反を確認した者は速やかに統括教育情報セキュリティ責任者及び当該教職員等が所属する学校の教育情報セ
キュリティ管理者に通知し，適切な措置を求めなければならない。
(ウ)教育情報セキュリティ管理者の指導によっても改善されない場合，統括教育情報
セキュリティ責任者は，当該教職員等の教育ネットワーク又は教育情報システムを使用する権利を停止あるいは剥奪することができる。その後速やかに，統括教育情報セキュリティ責任者は，教職員等の権利を停止あるいは剥奪した旨をCISO 及び
当該教職員等が所属する学校の教育情報セキュリティ管理者に通知しなければならない。
８ 外部委託（１）外部委託事業者の選定基準①教育情報システム管理者は，外部委託事業者の選定に当たり，委託内容に応じた情報セキュリティ対策が確保されることを確認しなければならない。
②教育情報システム管理者は，情報セキュリティマネジメントシステムの国際規格の認証取得状況，情報セキュリティ監査の実施状況等を参考にして，事業者を選定しなければならない。
（２）契約項目
情報システムの運用，保守等を外部委託する場合には，外部委託事業者との間で必要に応じて次の情報セキュリティ要件を明記した契約を締結しなければならない。
・教育情報セキュリティポリシー及び教育情報セキュリティ実施手順の遵守
・外部委託事業者の責任者，委託内容，作業者，作業場所の特定・提供されるサービスレベルの保証
・外部委託事業者にアクセスを許可する情報の種類と範囲，アクセス方法
・外部委託事業者の従業員に対する教育の実施・提供された情報の目的外利用及び受託者以外の者への提供の禁止
・業務上知り得た情報の守秘義務・再委託に関する制限事項の遵守
・委託業務終了時の情報資産の返還，廃棄等・委託業務の定期報告及び緊急時報告義務
・市による監査，検査・市による情報セキュリティインシデント発生時の公表
・教育情報セキュリティポリシーが遵守されなかった場合の規定(損害賠償等)③確認・措置等
教育情報システム管理者は，外部委託事業者において必要なセキュリティ対策が確保されていることを定期的に確認し，必要に応じ，（２）の契約に基づき措置しなけ
ればならない。また，その内容を統括教育情報セキュリティ責任者に報告するとともに，その重要度に応じてCISOに報告しなければならない。

- 32 -

９ クラウドサービスの利用(１)学校におけるクラウドサービスの利用
市教育委員会（以下，クラウド利用者）がクラウドサービスを利用する際は，国際的な規格であるクラウドセキュリティ認証等の取得・準拠状況を確認することや，後述する対策（２），（３）を適切に講じ，リスクを最小限に抑えることとする。
(２)クラウドサービスの利用における情報セキュリティ対策①利用者認証(ア)クラウド利用者は，クラウド事業者における当該クラウドサービスを提供する情報システムの運用もしくは開発に従事する者又は管理者権限を有する者について，
適切な利用者確認がなされていることをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意サービス提供定款や契約書面上で確認または合意しなければならない。
(イ)クラウド利用者は，当該クラウドサービスのログインに関わる認証機能の提供をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(ウ)クラウド利用者側管理者権限を有する者のID等の管理について，６(２)①（ウ）を遵守しなければならない。
②アクセス制御(ア)クラウド利用者は，当該クラウドサービスに対して，アクセスする権限のない者
がアクセスできないように，システム上制限する機能の提供をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(イ)クラウド利用者は，クラウド事業者の提供するアクセス制御機能を用いて，情報
資産ごとに，許可されたエンドユーザのみがアクセスできる環境を設定しなければならない。
③クラウドに保管するデータの暗号化
クラウド利用者は，当該クラウドサービスへのデータの保管に際し，情報漏えい等に備えて，暗号化等の保護措置を講じられていることを，クラウド事業者にサービス提供定款や契約書面上で確認または合意しなければならない。
④マルチテナント環境におけるテナント間の安全な管理
クラウド利用者は，複数のクラウド利用者がクラウドリソースを共用する環境において，特定のクラウド利用者に対して発生したセキュリティ侵害が，他のクラウド利
用者に影響を与えないように対策が講じられていることを，クラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
⑤クラウドサービスを提供する情報システムに対する外部からの悪意のある脅威の侵入を想定した技術的セキュリティ対策(ア)クラウド利用者は，当該クラウドサービスを提供する情報システムを監視し，セキュリティ侵害を検知することを，クラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(イ)クラウド利用者は，当該クラウドサービスを提供する情報システムのインターネ
ット接続境界において，クラウド利用者以外による不正な通信・侵入を防ぐ措置を- 33 -

講じるとともに，外部脅威の侵入を検知し，防御する対策を講ずることを，クラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
⑥情報の通信経路のセキュリティ確保(ア)クラウド利用者は，教育情報システムのインターネット境界から当該クラウドサービスを提供する情報システムまでの情報の通信経路において，情報の盗聴，改ざん，誤った経路での通信，破壊等から保護するために必要な措置（情報交換の実施
基準･手順等の整備，通信の暗号化等）をクラウド事業者に求め，合意のうえ，利用しなければない。
(イ)クラウド利用者は，クラウド事業者が保守運用等を遠隔で行う場合の，保守運用
拠点と管理区域間での通信回線及び通信回線装置の管理について，情報の盗聴，改ざん，誤った経路での通信，破壊等から保護するために必要な措置（情報交換の実
施基準･手順等の整備，通信の暗号化等）をクラウド事業者に求め，サービス提供
定款や契約書面上で確認または合意しなければならない。
⑦クラウドサービスを提供する情報システムの物理的セキュリティ対策(ア)クラウド利用者は，当該クラウドサービスのサーバ等の管理条件を4(1)（サーバ等の管理）に準じた対策をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(イ)クラウド利用者は，クラウド事業者側の管理区域（サーバ等を設置）及び保守運用拠点の管理において，4(2)（教育委員会等のサーバ室にサーバを設置している場合）に準じた対策をクラウド事業者に求め，サービス提供定款や契約書面上で確認
または合意しなければならない。
⑧クラウドサービスを提供する情報システムの運用管理(ア)クラウド利用者は，クラウド事業者に対して，サービスの一時停止等クラウド利
用者に影響があり得る運用手順の有無，有る場合にはクラウド利用者への影響範囲（時間，サービス内容），連絡方法等について情報提供を求め，クラウド利用者が業務運営に支障がないことを確認し，合意しなければならない。
(イ)クラウド利用者は，当該クラウドサービスにおけるサーバの冗長化について，
4(1)②に準じた対策をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(ウ)クラウド利用者は，当該クラウドサービスにおけるデータバックアップについて，6(1)②に準じた対策をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(エ)クラウド利用者は，当該クラウドサービスにおける情報セキュリティの確保や監査に必要なログの取得について，6(1)⑥に準じた対策をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
⑨クラウドサービスを提供する情報システムのマルウェア対策(ア)クラウド利用者は，クラウドサービスを提供する情報システムを構成するサーバ及び運用管理端末等について，マルウェア対策を講じることをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。

- 34 -

(イ)クラウド利用者は，内部システムに侵入した攻撃を検知して対処するために，通信をチェックする等の対策を講じることをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
⑩クラウド利用者側のセキュリティ確保(ア)クラウド利用者は，クラウドサービスにアクセスする利用者側端末について，保管するデータの外部流出，改ざん等から保護するために必要な措置を講じなければならない。
(イ)クラウド利用者は，標的型攻撃による外部からの脅威の侵入を防止するために，
エンドユーザへの教育や入口対策を講じなければならない。
⑪クラウド事業者従業員の人的セキュリティ対策(ア)クラウド利用者は，クラウドサービスに関わるクラウド事業者従業員に対して，
クラウド事業者の情報セキュリティポリシー及び保守運用管理規程等を遵守することをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(イ)クラウド利用者は，クラウドサービスに関わるクラウド事業者従業員に対して，業務に用いるID等及びパスワードその他の個人認証に必要な情報及び媒体について，部外者及び業務に関わらない従業員に漏えいすることがないように，適切に管理することをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(ウ)クラウド利用者は，クラウドサービスに関わらない従業員等がクラウド利用者のデータを知り得る状態にならないよう，業務に関わるクラウド事業者従業員に対して秘匿を義務づけることをクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(エ)クラウド利用者は，クラウド利用者のデータ及びデータを格納した端末機器又は電磁的記録媒体の外部持ち出しについて，クラウド利用者の許可なく外部持ち出し
できないこと及び外部持ち出しにおける安全管理手順をクラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
(オ)クラウド利用者は，クラウドサービスを提供する情報システムを構成するサーバ及び運用管理端末等に，マルウェアを侵入させないよう，クラウド事業者に求め，サービス提供定款や契約書面上で確認または合意しなければならない。
⑫データの破棄等について(ア)クラウド利用者は，サービス利用終了時等において，クラウド利用者のデータが不用意に残置されないよう，適切に破棄するための流れについてサービス提供定款や契約書面上で確認または合意しておかなければならない。
(イ)クラウド利用者は，サービス利用終了時等におけるデータの扱いについて，スムーズに回収，次期システムへの移行等を行えるよう，その措置の流れについてサー
ビス提供定款や契約書面上で確認または合意しておかなければならない。
(３)パブリッククラウド事業者のサービス提供に係るポリシー等に関する事項①守秘義務，目的外利用及び第三者への提供の禁止
クラウド利用者は，クラウド事業者と契約時に守秘義務，目的外利用及び第三者へ- 35 -

の提供の禁止条項を締結しなければならない。クラウドサービス事業者がコンテンツにアクセスできるかどうかを確認し，サービスに係る情報及び受託した情報に関する守秘義務，目的外利用及び第三者への提供の禁止条項について，サービス提供に係る契約に含めなければならない。契約には，当該条項に違反したクラウドサービス事業者に対する損害賠償規定を含める。
②準拠する法令，情報セキュリティポリシー等の確認
クラウド利用者は，クラウド事業者がどのような規範に基づいてサービス提供するか開示を求め，クラウド利用者の準拠する法令，情報セキュリティポリシーを確認し，それらとの整合を確認しなければならない。（クラウド事業者の準拠する認証制
度，個人情報保護指針，プライバシーポリシー，情報セキュリティに関する基本方針
及び対策基準，保守運用管理規程等）③クラウド事業者の管理体制(ア)クラウド利用者は，クラウド事業者に対して，情報セキュリティポリシー等の遵守を担保する管理体制が整備されているか，クラウド事業者の組織体制を確認し，合意しなければならない。確認すべき項目例を下記に示す。
ア）サービスの提供についての管理責任を有する責任者の設置
イ）情報システムについての管理責任を負い，これについて十分な技術的能力及び経験を有する責任者（システム管理者）の設置
ウ）サービスの提供に係る情報システムの運用に関する事務を統括する責任者④クラウド事業者従業員への教育(ア) クラウド利用者は，クラウド事業者に，従業員に対して個人情報保護等の関係
法令，守秘義務等，業務遂行に必要な知識，意識向上のための適切な教育及び訓練を実施し，充分な知識とセキュリティ意識を醸成することをに求めなければならない。
(イ)クラウド利用者は，クラウド事業者に，従業員への上記育成計画，教育実績等の情報を提示させ，自らデータを管理する場合と同様の教育・訓練を実施しているかを確認しなければならない。
⑤情報セキュリティに関する役割の範囲，責任分界点(ア)クラウド利用者は，クラウド事業者の情報セキュリティに関する役割の範囲と責任分界点について開示するよう求めなければならない。
(イ)クラウド利用者は，クラウド事業者の情報セキュリティに関する役割の範囲と責任分界点がクラウド利用者側で講ずる情報セキュリティ対策の役割の範囲と整合することを確認し，合意しなければならない。
⑥監査(ア)クラウド利用者は，クラウドサービスの監査状況，範囲・条件，内容等について
クラウド事業者に開示するようもとめなければならない。
(イ)クラウド利用者は，クラウド事業者によるクラウドサービスに関する監査レポート等を根拠にして，自らの関係法令，情報セキュリティポリシーと照らし合わせ，
安全性が確保されているかについて確認しなければならない。
⑦情報インシデント管理及び対応フローの合意- 36 -

(ア)クラウド利用者は，情報セキュリティインシデント管理に関する責任範囲と及び
インシデント対応フローを，サービス仕様の一部として定めることについて，クラウド事業者に対してもとめなければならない。
(イ) クラウド利用者は情報セキュリティインシデント管理に関する責任範囲と及び
インシデント対応フローを検証しなければならない。
⑧クラウドサービスの提供水準及び品質保証
クラウド利用者は，クラウドサービスの提供水準（サービス内容，提供範囲等）と品質保証（サービス稼働率，故障等の復旧時間等）を確認するとともに，それらの水準・品質が，業務遂行に求められる要求水準を満たすことを確認し，合意しなければならない。
⑨クラウド事業者の再委託先等との合意事項(ア)クラウド利用者は，クラウド事業者と合意したサービス履行内容及び情報セキュ
リティ対策について，クラウド事業者自らが実施する内容と，再委託先等に委託する内容も含めて提示することをクラウド事業者に求めなければならない。また，サプライチェーンリスク対策が適切に講じられていることをクラウド事業者に求めなければならない。
(イ) クラウド利用者は，①の提示内容が，クラウド事業者と合意したサービス履行
内容及び情報セキュリティ対策と整合していることを確認しなければならない。
⑩その他の留意事項(ア)クラウド利用者は，クラウド事業者がサービスを安定して提供可能な企業・団体
であるかについて考慮しなければならない。
(イ) クラウド利用者は，クラウド事業者間でのデータ形成の互換性が必ずしも保証されている訳ではないことから，事業者を変更する際のデータ移行の方法などについて，クラウド事業者にサービス提供定款や契約書面上で確認または合意しなければならない。
(ウ)クラウド利用者は，クラウド事業者に対して，クラウドサービスにおいて扱う情報資産や情報システム等について，日本の法令が適用されること及び係争等における管轄裁判所が日本国内であることを確認すること。
(４)約款による外部サービスの利用①約款による外部サービスの利用に係る規定の整備
教育情報システム管理者は，以下を含む約款による外部サービスの利用に関する規定を整備しなければならない。また，当該サービスの利用において，機密性の高い情報の取扱いには十分に留意するように規定しなければならない。
（ア）約款によるサービスを利用してよい範囲（イ）業務により利用する約款による外部サービス（ウ）利用手続及び運用手順②約款による外部サービスの利用における対策の実施
教職員等は，利用するサービスの約款，その他提供条件から，利用に当たってのリ
スクが許容できることを確認した上で約款による外部サービスの利用を申請し，適切な措置を講じた上で利用しなければならない。

- 37 -

(５)ソーシャルメディアサービスの利用①教育情報システム管理者は，教育委員会又は学校が管理するアカウントでソーシャ
ルメディアサービスを利用する場合，情報セキュリティ対策に関する次の事項を含めたソーシャルメディアサービス運用手順を定めなければならない。
（ア）本市のアカウントによる情報発信が，実際の本市のものであることを明らかにするために，本市の自己管理ウェブサイトに当該情報を掲載して参照可能とするとともに，当該アカウントの自由記述欄等にアカウントの運用組織を明示する等の方法でなりすまし対策を行うこと。
（イ）パスワードや認証のためのコード等の認証情報及びこれを記録した媒体（ICカード等）等を適切に管理するなどの方法で，不正アクセス対策を行うこと②機密性2A以上の情報はソーシャルメディアサービスで発信してはならない。
③利用するソーシャルメディアサービスごとの責任者を定めなければならない。
10 事業者に対して確認すべきプライバシー保護に関する事項
外部委託やクラウドサービスの利用に当たっては，事業者における個人情報の適切な管理が行われていることが必須であることから，個人情報の収集・利用範囲や管理
期間，データの統制と所有の在り方等について，事業者に確認を行う。
なお，これらの項目については，調達時においてサービスの過剰な排除にならない
よう留意した上で，契約要件等として定める。
(１)個人情報の利用範囲
教育・学校の目的に必要な情報，または児童生徒・保護者の許可した情報を超えて個人情報の収集，維持，使用，共有をしないこと。
(２)個人情報の無断提供
クラウドサービスの導入によって知り得た個人情報について，売買も含め，無断提供をしないこと。
(３)個人情報を利用した利用者に対する広告活動等の無断使用の禁止
教育・学校の目的を達成すること以外に，個人情報について児童生徒・保護者に対する行動ターゲティング広告をはじめとする，広告活動その他無断使用をしないこと。
(４)不必要な個人プロファイル作成禁止
教育・学校の目的を達成するため，または児童生徒・保護者によって許可された場
合を除き，不必要な個人プロファイルを作成しないこと。
(５)不適切なポリシー等の変更の禁止
クラウドサービスの運用等において，利用者に対する明確な通知・相談等の対応もなく，利用者のプライバシーポリシーに重大な影響を与えるような変更を行わないこと。
(６)個人情報の保持期間定義
サービス提供期間（利用者と合意した期間）を超えて個人を特定する情報を保持しないこと。
(７)個人情報の利用目的- 38 -

個人情報を収集，使用，共有，および保持するのは，教育機関，教師，または利用者によって承認された目的に限ること。
(８)個人情報の取扱いについての情報開示
個人情報の取扱いについて，契約またはプライバシーポリシーで明確に示すこと。
(９)利用者による個人情報管理
個人情報の登録，変更，削除に関するサービスを利用者に提供すること。
(10)個人情報の適正管理
個人情報に対する不正アクセス又は個人情報の紛失，破壊，改ざん，漏洩，盗難等のリスクに対し，適切な安全対策を講じること。また，個人情報を正確かつ最新の状態で管理すること。
(11)再委託
サービス提供の全部又は一部を第三者に再委託又は代行実施させる場合には，個人情報保護法制等を遵守し，当該再委託先又は代行実施先について，同等の義務を課し，管理するものとすること。
(12)合併/買収合併または他社による買収を伴う場合，後継企業が以前に収集した個人
情報について同様の義務を負うことを条件に，個人情報を継続して管理するものとすること。
11 評価・見直し
(１)監査
①実施方法
CISOは，情報セキュリティ監査統括責任者を指名し，教育ネットワーク及び教育情報システム等の情報資産における情報セキュリティ対策状況について，毎年度及び必要に応じて監査を行わせなければならない。
②監査を行う者の要件(ア)情報セキュリティ監査統括責任者は，監査を実施する場合には，被監査部門から独立した者に対して，監査の実施を依頼しなければならない。
(イ)監査を行う者は，監査及び情報セキュリティに関する専門知識を有する者でなければならない。
③監査実施計画の立案及び実施への協力(ア)情報セキュリティ監査統括責任者は，監査を行うに当たって，監査実施計画を立案し，情報セキュリティ委員会の承認を得なければならない。
(イ)被監査部門は，監査の実施に協力しなければならない。
④外部委託事業者に対する監査
外部委託事業者に委託している場合，情報セキュリティ監査統括責任者は外部委託事業者から下請けとして受託している事業者も含めて，教育情報セキュリティポリシーの遵守について監査を定期的に又は必要に応じて行わなければならない。
⑤報告
情報セキュリティ監査統括責任者は，監査結果を取りまとめ，情報セキュリティ委員会に報告する。

- 39 -

⑥保管
情報セキュリティ監査統括責任者は，監査の実施を通して収集した監査証拠，監査報告書の作成のための監査調書を，紛失等が発生しないように適切に保管しなければならない。
⑦監査結果への対応
CISOは，監査結果を踏まえ，指摘事項を所管する教育情報セキュリティ管理者に対し，当該事項への対処を指示しなければならない。また，指摘事項を所管していない
教育情報セキュリティ管理者に対しても，同種の課題及び問題点がある可能性が高い
場合には，当該課題及び問題点の有無を確認させなければならない。
⑧情報セキュリティポリシー及び関係規程等の見直し等への活用
情報セキュリティ委員会は，監査結果を情報セキュリティポリシー及び関係規定等の見直し，その他情報セキュリティ対策の見直し時に活用しなければならない。
(２)自己点検①実施方法(ア)統括教育情報セキュリティ責任者及び教育情報システム管理者は，所管するネッ
トワーク及び情報システムについて，毎年度及び必要に応じて自己点検を実施しなければならない。
(イ)教育情報セキュリティ責任者は，教育情報セキュリティ管理者と連携して，所管する部局における教育情報セキュリティポリシーに沿った情報セキュリティ対策状
況について，毎年度及び必要に応じて自己点検を行わなければならない。
②報告
統括教育情報セキュリティ責任者，教育情報システム管理者及び教育情報セキュリ
ティ責任者は，自己点検結果と自己点検結果に基づく改善策を取りまとめ，情報セキ
ュリティ委員会に報告しなければならない。
③自己点検結果の活用(ア)教職員等は，自己点検の結果に基づき，自己の権限の範囲内で改善を図らなければならない。
(イ)情報セキュリティ委員会は，この点検結果を情報セキュリティポリシー及び関係規程等の見直し，その他情報セキュリティ対策の見直し時に活用しなければならない。
(３)教育情報セキュリティポリシー及び関係規定等の見直し
情報セキュリティ委員会は，情報セキュリティ監査及び自己点検の結果並びに情報
セキュリティに関する状況の変化等をふまえ，情報セキュリティポリシー及び関係規程等について毎年度及び重大な変化が発生した場合に評価を行い，必要があると認めた場合，改善を行うものとする。

- 40 -