愛知大学
情報セキュリティ
情報セキュリティ対策基準
セキュリティ対策基準

制 定 日：平成 18 年 4 月 20 日
最終修正日：平成 21 年 2 月 18 日

目次

１ 目 的 ........................................................................................................................................ 1２ 基本的な考え方 ......................................................................................................................... 1
３ 適用範囲 ................................................................................................................................... 1
４ 定義 .......................................................................................................................................... 1
５ 情報セキュリティのための規則 .................................................................................................... 1(1) アクセスコントロールに関わる規則 ............................................................................................. 1(2) 情報システムの開発に関わる規則 ............................................................................................. 2(3) 情報システムの運用に関わる規則 ............................................................................................. 2(4) 情報の収集、利用、管理に関わる規則 ...................................................................................... 3(5) 情報資産の学外への持ち出し、学内への持ち込みに関わる規則 ............................................... 3(6) 派遣要員、委託先の情報取り扱いに関わる規則 ........................................................................ 4(7) コンプライアンスに関わる規則 ................................................................................................... 4(8) 啓発、教育に関わる規則........................................................................................................... 4(9) 情報セキュリティ確保のための自主点検に関わる規則 ............................................................... 4(10) 例外に関わる規則 .................................................................................................................. 4(11) 危機管理に関わる規則 ........................................................................................................... 4(12) 処罰 ....................................................................................................................................... 5１ 目 的
この基準は、学校法人愛知大学（以下、「大学」という）の情報セキュリティポリシーに基づくとともに、大学の情報資産が、改竄や破壊から保護され、定められた方法で常に利用でき、情報のセキュリティを確保した状態で、情報の利用が行われることで、大学運営の安定、継続、繁栄に寄与することを目的とする。
２ 基本的な考え方
情報のセキュリティを確保した状態で、大学の情報を利 用するため、別途定める「情報 セキュリティ管理 マニュアル」に則ったリスクアセスメントの結 果を踏 まえて、適 用すべき情報 セキュリティのための管理策を策定する。
この基準では、当該のリスクアセスメントの結果に基づいて管理策を策 定するにあたり、踏まえるべき基本的な規則を記載する。昨今の情報技術の進展の速さ及び情報管理に対する社会的な変化の急激さを考慮すると、一時点における情報セキュリティ確保のための画一的な規則を策定する作業は困難であり、かつ、有意性の薄い作業であるとも考えられ得る。そのため、「情報セキュリティ管理マニュアル」に則り、本基準も含めて管理策の見直しを適宜実施する。
３ 適用範囲本 対 策 基 準 及び各 対 策ガイドラインは、本 学の所 有 する全ての情 報 資 産ならびに本 学の情 報 資産を利用する全ての者に対して適用するものとする。ただし学生については、別に定める学生向け対策基準を適用するものとする。
４ 定義(1) 「完 全 性 」とは、情 報 及 び 処 理 方 法 の 正 確 さ 及 び 完 全 で あ る 状 態 を 安 全 防 護 す る こ と をいう。
(2) 「機 密 性 」とは、情 報 に ア ク セ ス す る こ と が 許 可 さ れ た 者 だ け が ア ク セ ス で き る こ と を 確実にすることをいう。
(3) 「可用性」とは、許可された利用者が、必要なときに情報にアクセスできることを確実にすることをいう。
(4) 「情報セキュリティ」とは、情報資産の完全性、機密性及び可用性を維持することをいう。
(5) 「アクセスコントロール」とは、情 報の内 容 に応じて、情 報にアクセス可 能な利 用 者 を定 めることをいう。
(6) 「オペレーティングシステム」とは、入出力機能やディスクやメモリの管理など、多くのアプリケーションソフトから共通して利用される基本的な機能を提供し、コンピュータシステム全体を管理するソフトウェアのことをいう。
(7) 「コンピュータウィルス」とは、第 三者のプログラムやデータベースに対して意 図的になんらかの被害を及ぼすように作られたプログラムであり、自己伝染 機能、潜伏機能、発病機 能を一つ以上有するものをいう。
(8) 「コンプライアンス」とは、守られるべき倫理や行動規範なども含んだル－ルを遵守し、社会秩序を乱す行動や社会から非難される行動をしないことをいう。
(9) 「情報 資 産」とは、情 報 （ 個 人 情 報 を 含 む ） 及 び 情 報 を 管 理 す る 仕 組 み （ 情 報 シ ス テ ム
な ら び に シ ス テ ム 開 発 、 運 用 及 び 保 守 の た め の 資 料 等 ） の 総 称 をいう。
５ 情報セキュリティのための規則
情報セキュリティ責任者は、「情報セキュリティ管理マニュアル」に則ったリスクアセスメントの結果及び以 下の規 則に基づき、情 報 保護のための管 理 策を策 定する。管 理策 は、リスクの受 容レベルを特定した上で、個別案件のリスクの受容の決定、リスクの移転、リスクを受容できるまで低減等を行う。
(1) アクセスコントロールに関わる規則
ア 大学の組織外の者が利用する情報システムについては、大学の関係者のみで利用する情報システムに比べ、情報システムの無断使 用や情報 漏洩 、改竄等が発生しやすいことが懸念されるため、アクセスコントロールを厳格に実施しなければならない。また、適切であれば利用者に対し契約上の利用制限を明記しなければならない。

1

イ 情報資産及び情報 資 産の設置場所には、その情報資産の盗難及び物 理 的な破壊等による被害を防止するために、物理 的なアクセスコントロールを実施し、アクセスは必要最 低限の要員に限定しなければならない。
ウ 情報へのアクセスコントロールについては、大学 が正当と認める利用者が業務上の必要 性に応じて確実に必要な情報へアクセスできるとともに、業務上の必要性がなく、情報を利用する権限のない者の情報へのアクセスを防止するため、業務上必要な情報へのアクセス者を明確に定め、その定めに沿って情報へのアクセスの権限を付与しなければならない。
エ 情 報へのアクセス権 限の付 与を確実に行うため、情報の利 用者の登 録及 び権限の付 与をしなければならない。特にシステムを管理するための権限等、権限の及ぶ範囲の広い権限を保有する利用者については厳格な管理を実施しなければならない。
オ 情報へアクセスする権限のない者による成りすましによる情報の不正利用を防止するため、利用者が情報の利用権限を適切に管理しなければならない。
カ コンピュータネットワーク（以下 、「ネットワーク」）を利 用した論理 的な不 正アクセスを防 止するため、ネットワーク利 用 者 の特 定 によるアクセスコントロールを講 じるとともに、利 用 場 所 や接 続 機器の特定によるアクセスコントロールを可能な限り実施しなければならない。
キ 情報システムの不正利用を防止するため、ネットワークのアクセスコントロール、オペレーティングシステムのアクセスコントロール、情 報 システムのアプリケーション毎 のアクセスコントロールを可能な限り実施しなければならない。
ク 情報システムの不正利用を防止するため、情報システムは業務上必要な者のみが利用できるよ
うに利 用 者 権 限 による論 理 的 アクセスコントロールに加 え、必 要に応じて端 末の設 置 場 所 に物理的なアクセスコントロールを実施しなければならない。
(2) 情報システムの開発に関わる規則
ア 新規に開発、あるいは変更を加える情報システムにおいて、必要な情報セキュリティを確保するため、業務要件定義の際、機能要件だけでなく、必要なセキュリティ要件を明確にし、その要件を確実にシステムに反映しなければならない。
イ 情報システムの開発にあたっては、情報システムで取り扱う情報の完全性を確保するため、データの入力、処理、出力時に完全性を可能な限り確認しなければならない。
ウ 暗 号 技 術の不適 切な又 は正しくない使 用を避けるために、暗 号 技 術の利用 に関わる規 則を定め、規則に基づいて暗号技術の導入検討を実施しなければならない。
エ 作 成される情 報システムの信 頼 性 及び安 全 性 を確 保 するため、情 報システムの開 発 環 境におけるソフトウェア、プログラムソース、テストデータに対し改竄を防止しなければならない。
オ 新規に開発、あるいは変更を加えるアプリケーションの不備に起因して、本番システムに悪影響が発 生 することを防 止 するため、アプリケーションの開 発 及 び変 更 に関 わる規 則 及 び手 続 を定めなければならない。
(3) 情報システムの運用に関わる規則
ア 情報処理設備の不備に起因する情報システムの停止を防止するため、情報処理設備には物理的なアクセスコントロールを講じるとともに、情報処理設備の設置にあたっては、当該設備を保護しなければならない。

2

イ 情 報システムの信 頼 性 及び安全 性 を確 保するため、運 用 手順 及び障 害 対 応手 順 等の運 用手続を標準化し、それに準拠した運用を実施しなければならない。また、開発者の誤謬、不正から本番稼動する情報システムで処理される情報を保護するため、本番稼 動する情報 システムと開発用の情報システムを可能な限り分離しなければならない。加えて、開発要員の運用業務兼務及び本番システムにある全ての情報資産へのアクセスを可能な限り防止しなければならない。
ウ 情報システムの信頼性及び安全性を確保するため、将来的に必要なキャパシティ及びパフォーマンスの計画を策定し、その状況を監視しなければならない。
エ 情報システムの信頼性及び安全性を確保するため、システムを本番システムへ移行する際の受け入れ基準を明確にしなければならない。また、受け入れ時には当該基準を満たしていることが確実に保証されなければならない。
オ コンピュータウィルスが情報システムで取り扱う情報の完全性を損なうことを防止するため、コンピュータウィルスに感染することを予防しなければならない。また、感染時の被害を最小化するための対応を実施しなければならない。
カ 情報システムの信頼 性及び安全 性を確保するため、情 報のバックアップ手続 及びオペレーション記録、障害記録等の取得、管理を実施しなければならない。
キ ネットワークの信頼性 及び安全性を確保するため、ネットワーク機器の管理 を実施しなければならない。また、公 共 のネットワークに接 続 する場 合 に通 過 するデータの機 密 性 及 び完 全 性 を保護しなければならない。
(4) 情報の収集、利用、管理に関わる規則
ア 情 報の利 用 権 限の無 い者への情 報の開 示 、情 報の利 用 権 限の無 い者による情 報の変 更、窃盗を防 止するため、ハードディスクのデータ消 去（無 効化）、離 席時にはパソコンのログオフやスクリーンセーバーを実施しなければならない。
イ 装置 および電 子記 録 媒 体に記 録されている情 報の漏 洩、改 竄、破 壊 を防 止するため、電 子 記録媒体の利用、保管、破棄、持ち出しについて管理を実施しなければならない。
ウ 情 報システムの不 正 利 用を早期 に発 見し、不 正 利用に起 因する悪 影 響 を最 小 化するため、情報システムの利 用状 況を正 しく記録し、監視 を実 施しなければならない。また、記 録された利用状況は、定期的に確認しなければならない。
エ 情報システムの保守やシステム監査等、通常業務とは別の目的で情報システムを利用する場合においても、情報システムの信頼性及び安全性を確保しなければならない。
(5) 情報資産の学外への持ち出し、学内への持ち込みに関わる規則
ア 大 学 外 への重 要 な情 報 資 産の持 ち出しは、持ち出し手 続 及び大 学 外 へ持 ち出した情 報 資 産が適切に取り扱われなければならない。
イ 情 報の利 用 権 限 の無 い者 への情 報 の開 示 、情 報 の利 用 権 限 の無 い者による情 報 の変 更 、窃盗を防止するため、情報資産の持ち出し状況について把握し、管理しなければならない。
ウ 情報資産の紛失、改竄、誤用を防止するため、大学以外の組織との情報（ソフトウェア、電子記録媒体、電子メール、電子商取引、情報公開等）のやり取りを管理しなければならない。
エ 情 報の利 用 権限 の無 い者 への情報 の開 示 、情 報の利 用 権限 の無 い者による情 報の変 更、窃盗を防止するため、モバイルコンピューティング又は在宅勤務等大学の物理的 セキュリティが有効でない場所からアクセスする場合に必要な対策を明確にし、利用者は当該の対策を講じなけ

3

ればならない。
オ 情 報の利 用 権限 の無 い者 への情報 の開 示 、情 報の利 用 権限 の無 い者による情 報の変 更、窃盗を防止するため、私有するコンピュータ機器及び可搬媒体の持ち込みについて把握し、管理しなければならない。
カ ネットワーク上の不正アクセス、ネットワーク障害を防止するため、私有するコンピュータをネットワーク機器に接続することを把握し、管理しなければならない。
キ 不 正なソフトウェアの利 用、コンピュータの誤 作 動を防 止するため、私 有 するソフトウェアを大 学内のコンピュータへ利用、インストールすることを把握し、管理しなければならない。
(6) 派遣要員、委託先の情報取り扱いに関わる規則
ア 外 部 委 託 先 の情 報 セキュリティが確 保 されないことに起 因して、預 託した情 報 が委 託 先 から漏洩すること、及び、預託した情報が委託先で無断使用されること等を防止するため、大学の情報の預 託が発 生 する業 務 委 託については必 要 な対 策 を契 約 書 に明 記し、業 務 委 託 先での情 報の取り扱い状況を監視しなければならない。
(7) コンプライアンスに関わる規則
ア 大学の関係者が情報保護に関する法的要求事項及び学内規程等に確実に準拠しなければならない。
(8) 啓発、教育に関わる規則
ア 大学の関 係者の情 報保護への認識不足 から情報が漏洩、改竄、破 壊されることを防止するため、大学の関係者へ情報保護に関わる教育、訓練を実施しなければならない。
(9) 情報セキュリティ確保のための自主点検に関わる規則
ア 情 報 資 産 に対 する情 報 保 護 対 策 が実 施 され有 効 に機 能していることを確 認 するために、情 報資産を所管する責を負う者は、定期的に自主的な点検を実施しなければならない。
(10) 例外に関わる規則
ア 大学で定める情報保護対策の実施が、費用対効果の分析や技術的な難易度により、困難であるような例外 的な事項が発 生する場合、関係する情 報 資産を所管する責を負う者 が、情報セキ
ュリティ委員会へ報告しなければならない。情報セキュリティ委員会は情報保護対策から逸脱する当該の例外事項を取りまとめ、情報セキュリティ責任者に報告しなければならない。
イ 「情報セキュリティポリシー」に記載の例外的な事項が発生する場合、当該の例外事項の取り扱いは、「情報セキュリティポリシー」の定める規則に拠る。
(11) 危機管理に関わる規則
ア 情報セキュリティ危機管理体制
情 報 セキュリティに関 わるリスクは可 能 な限り、軽 減 、回 避 を行なうこととするが、万 一リスクが発現してしまった場 合、情 報セキュリティ責 任者 は情 報セキュリティ危 機管 理 体 制を構 築しなければならない。
イ 情報セキュリティ危機管理計画(ア)情報セキュリティ責任者は情報セキュリティ委員会で取り纏めた情報資産の重要度から、情報システムを復旧させる優先順位を決定しなければならない。
(イ)情報セキュリティ委 員会は情報セキュリティ責任者が定める手続に沿って情報システムの復旧優先順位を策定しなければならない。
(ウ)情報セキュリティ委員会は復旧優先順位に沿ってシステムを復旧させるための計画を策定しなければならない。

4

ウ 情報セキュリティ危機管理計画の教育、訓練
情 報 セキュリティ責 任 者 は、情報 セキュリティ危 機 管 理 計 画を効 率 的 かつ有 効 に機 能させる
ため、情報セキュリティ危機管理計画について定期的に訓練を実施しなければならない。
エ 情報セキュリティ危機管理計画の定期的な見直し
情報セキュリティ責任者は、情報セキュリティ危機管理計画を実態に沿って有効に機能させる
ため、情報セキュリティ危機管理計画を定期的に見直さなければならない。
(12) 処罰
ア この基準又はこの基準に則って策定された情報セキュリティ確保のための管理策に違反する不正な行為者を発見した場合、当該の行為者は就業規則並びに学則に基づき処罰される。

附則（リスクアセスメントの限定実施による適用範囲の制限）
当面の間、本対策基準及び各対策ガイドラインの適用範囲は、以下の部門に対して適用するものとする。
(1) 教学系 課室の職 員（豊橋 教務課、名古 屋教務 課、車道教 学課、豊橋学 生課 、名古屋 学生課、短期大学部事務課）(2) 法人系課室の職員（人事課、財務課、名古屋総務課、車道総務課）(3) 情報企画課の職員
ただし、上記以外の課室事務職員、学生、教育職員等については、平成 18 年度以降のリクスアセスメント実施後に適用範囲を拡大するものとする。
附則（適用範囲の拡大に伴う改正）
当面の間、本対策基準及び各対策ガイドラインの適用範囲は、以下の部門に対して適用するものとする。
(1) 教育職員(2) 教学系 課室の職 員（豊橋 教務課、名古 屋教務 課、車道教 学課、豊橋学 生課 、名古屋 学生課 、豊 橋キャリア支 援 課 、名 古屋キャリア支援 課、車道キャリア支援 課、豊 橋 研究 支 援課 、名 古 屋 研 究 支 援 課 、国 際 交 流 センター事 務 課 、名 古 屋 国 際 交 流 センター事 務 課 、
豊橋図書館事務課、名古屋図書館事務課、車道図書館事務室、短期大学部事務課）(3) 法人系課室の職員（入試課、広報課、人事課、財務課、豊橋総務課、名古屋総務課、車道総務課、校友課）(4) 情報企画課の職員
ただし、上記以外の課室事務職員等については、平成 19 年度以降のリクスアセスメント実施後に適用範囲を拡大するものとする。
附則（事務組織体系の変更及び適用範囲の拡大に伴う改正）
当面の間、本対策基準及び各対策ガイドラインの適用範囲は、以下の部門に対して適用するものとする。
(1) 教育職員(2) 教学系課室の職員（豊橋教学課、豊橋キャリア支援課、豊橋研究支援課、国際交流セン
ター事務課、豊橋図書館事務課、短期大学部事務課、名古屋教学課、名古屋キャリア支援課、名古屋 研究支 援課 、名古屋国際 交流センター事務課、名古 屋図書 館事 務課、車道教学課、車道キャリア支援課、車道図書館事務室）(3) 法 人 系課 室 の職 員（企 画・広 報 課、入 試 課、校 友 課、総 務 課、人 事 課、財 務 課、名 古 屋
総務課、車道総務課、企画・広報課車道広報室）(4) 情報 システム課、豊 橋 情 報 メディアセンター事務 室、名古 屋 情 報メディアセンター事 務室の職員(5) 研究所・研究室等の職員（豊橋一般教育研究室、豊橋語学教育研究室、豊橋体育研究室、三遠南信地域連携センター事務室、中部地方産業研究所事務室、綜合郷土研究所

5

事務室、東亜 同文書 院大 学記念センター、大学史事 務室、経済学 会事務 室、文学会事務室、国際コミュニケーション学会事務室、名古屋一 般教育研究室、名 古屋語 学教育研
究 室 、名 古 屋 体 育 研 究 室 、国 際 問 題 研 究 所 事 務 室 、経 営 総 合 科 学 研 究 所 事 務 室 、国際中 国 学研 究 センター事 務室 、中 日 大辞 典 編纂 所 事務 室、法 学会・経営 学 会事 務 室、現代中国学会事務室）

6