NBDCヒトデータ取扱いセキュリティガイドラインおよびNBDCヒトデータグループ共有データ取扱いセキュリティガイドライン チェックリスト（「機関外サーバ」運⽤責任者向け）
項番

2021/6

チェック内容チェック欄

Ver.3.0

実施不可能な場合は理由を記⼊すること

２. セキュリティ対策について
２－１. 運⽤責任者が実施すべきこと＜運⽤全般について＞
1

運⽤責任者は、NBDCヒトデータ共有ガイドライン及びNBDCヒトデータ取扱いセキュリティガイドライン / NBDCヒトデータグループ共有ガイドライン及びNBDCヒトデータグループ共有データ取扱いセキュリティガイドラインに準拠した運⽤を⾏うこと。

実施します

2

運⽤責任者は、作業者⼀覧を作成し、常に最新の状態を維持すること。

実施します

3

運⽤責任者は、NBDCヒトデータ取扱いセキュリティガイドライン / NBDCヒトデータグループ共有データ取扱いセキュリティガイドラインを、作業者に周知して遵守させること。

実施します

4

運⽤責任者は、運⽤責任者及び全ての作業者に、所属機関等が実施する情報セキュリティに関する教育を受講させること。

実施します

5

運⽤責任者は、作業者とデータサーバ（ファイルシステム内での格納場所を含む）に関する情報を、運⽤責任者及び作業者のみがアクセス可能な電⼦ファイル等で台帳管理し、変更が発⽣する都度、内容を更新すること。なお、変更履歴が確認できるように実施します
管理を⾏うこと。

6

運⽤責任者は、NBDCあるいはNBDCから依頼された第三者が実施する、セキュリティ対策の実施状況についての監査に応じること。

実施します

7

運⽤責任者は、システム構築時及び2~3年に⼀度を⽬途に、システムセキュリティの専⾨家による監査を⾃主的に受けること。監査結果の写しを、NBDCに提出すること。

実施します

8

データの漏えい等セキュリティに関する事故が発⽣した場合、運⽤責任者は直ちに対策を実施するものとし、速やかにNBDCに報告すること。

実施します＜データサーバについて＞

1

運⽤責任者は、以下の条件①〜③を全て満たすサーバ室にデータサーバを設置すること。
① 以下の３つの認証⽅法の内、2つ以上を組み合わせた多要素認証で⼊室者を限定すること。
・⽣体認証（例︓静脈、指紋、虹彩、顔）・所有物認証（例︓ICカード、ワンタイムパスワード、USBトークン）
・知識認証（例︓パスワード）② ⼊室記録を⾃動取得し、後⽇監査可能であること。
③ 専⽤のサーバ室であること。専⽤のサーバ室を確保できない場合は、常時施錠された専⽤の サーバラックにデータサーバを格納すること。

実施します

2

運⽤責任者は、データサーバのデータ保存領域、及びデータ利⽤者がデータの保存や計算処理に利⽤する領域について、適切にアクセス制御を⾏うこと。
データサーバやインターネットを介して、作業者及びデータ利⽤者のみが、許可されたデータのみにアクセスできるよう管理すること。

実施します

3

運⽤責任者は、データサーバを設置しているLANと外部ネットワークとの間にファイアウォールを設置し、外部とのアクセスを必要最⼩限(例︓アクセス元、アクセス先のIPアドレスやポートが限定されている）に管理して⾼いセキュリティを保つこと。

実施します

4

運⽤責任者は、データサーバを設置しているLANからの通信に対しても、最低限OS付属のファイアウォール機能（例︓iptables（Linuxの場合））等により、適切に制限を⾏うこと。

実施します

5

運⽤責任者は、データサーバのユーザIDやパスワードは、データ利⽤者間での共有を認めないこと、かつ、パスワードは他⼈が類推できない⼗分な強度に設定させること。
（８⽂字以上とすること。数値、英⼤⼩⽂字と記号を組合せたものが望ましい。⽒名、電話番号、誕⽣⽇等の推測し易いものを利⽤しないこと。）

実施します

6

運⽤責任者は、データサーバにインストールした全てのソフトウェアについて、できる限り最新のセキュリティパッチを適⽤すること。

実施します

7

運⽤責任者は、サービスに不要なソフトウェアをインストールしないこと。特にファイル共有（ファイル交換、P2P）ソフト（例︓Winny、BitTorrent）をインストールしないこと。

実施します

8

運⽤責任者は、ウィルス対策ソフトをインストールし、データサーバ外からNBDCヒトデータベースを介して⼊⼿したデータ（制限公開データ[Japanese Genotype-phenotype Archive: JGA]、制限共有データ[AMED Genome AGD]、⾮制限公開
データ[DDBJ Sequence Read Archive: DRA, Genomic Expression Archive: GEA]）以外のファイルを取り込む場合はその場でウイルススキャンを実施すること。また、ウィルス対策ソフト及びウィルス定義ファイルは最新の状態を維持すること。

実施します

9

運⽤責任者は、OS起動時等に不要なプロセスはできるだけ起動させないこと。

実施します

10

運⽤責任者は、データサーバでのアクセスログを取得し、定期的に確認すること。

実施します

11

運⽤責任者は、取扱いデータを保存した機器を廃棄する場合には、データの保存領域を復元不可能な⽅法で初期化すること。もしくは、復元不可能となるように物理的に破壊すること。

実施します

12

運⽤責任者は、データの漏えい等セキュリティに関する事故が発⽣した場合、直ちに対策を実施するものとする。

実施します２－２. 作業者が実施すべきこと
1

作業者は、所属機関等が実施する情報セキュリティに関する教育を受講すること。

2

作業者は、データアクセス端末から、データサーバが設置されているLAN外の通信経路を介してデータサーバにログインする場合は、データアクセス端末とデータサーバ間のデータ伝送の都度、全ての通信経路を⼗分な強度で暗号化する、またはデータ⾃体を暗実施します
号化した上で伝送すること。データサーバが設置されているLAN内からデータサーバにログインする場合も、同様の暗号化を⾏うことが望ましい。

3

作業者は、不特定多数が利⽤する機器（例︓ネットカフェのPC）上の端末からデータにアクセスしないこと。

実施します

4

作業者は、データアクセス端末には出来る限り最新のセキュリティパッチを適⽤すること。

実施します

5

作業者は、データアクセス端末から離れる場合は、データサーバからログアウトするか、データアクセス端末をロックすること。また、⼀定時間（１５分程度を⽬安）以上無操作の場合はデータアクセス端末画⾯がロックされるように設定すること。

実施します

6

作業者は、運⽤責任者またはデータ利⽤者から許可を得ていないデータにはアクセスしないこと。

実施します

7

作業者は、データアクセス端末画⾯上の取扱いデータをコピーしてローカルディスクに保存しないこと。データアクセス端末画⾯上に表⽰された取扱いデータを、コピーしてローカルディスクに保存することができないデータアクセス端末の利⽤が望ましい。

実施します

8

作業者は、データアクセス端末にデータを⾃動的に保存する機能（いわゆるキャッシュ機能）がある場合は当該機能を無効にすること。

実施します

9

作業者は、取扱いデータのコピーを作成したり、取扱いデータをデータサーバ外に移動したりしないこと。 但し、以下の場合は例外とする。これらの場合も、利⽤後速やかに復元不可能な⽅法で消去すること。
・取扱いデータをバックアップする場合
・取扱いデータの移動時に⼀時的に作成する場合・ソフトウェアによって⼀時的に作成される場合

実施します

10

作業者は、データのバックアップ取得の際は、以下のいずれかの条件を満たすこと。
・データサーバに保存すること。
実施します・移動可能機器（例︓テープ、USBメモリ、CD-ROM、ノートPC）に保存する場合は、取扱いデータを暗号化し、使⽤後は復元不可能な⽅法で消去すること。また、移動可能機器及びバックアップした取扱いデータについて、「２－１．運⽤責任者が遵守すべきこと ＜運⽤全般について＞５．」に記載の台帳に記録し、盗難や紛失の可能性を最⼩限にするとともに、当該事実が発⽣した場合の早期発⾒を可能にすること。

11

作業者は、やむを得ず⼀時的なデータ移動に移動可能機器を利⽤する場合も、バックアップデータと同様に取り扱うこと。

実施します

12

作業者は、やむを得ず取扱いデータを印刷する場合には、データ作業者以外の⽬に触れることがないよう印刷物を厳重に管理し、利⽤終了時にはシュレッダ処理すること。

実施します

13

作業者は、データの漏えい等セキュリティに関する事故が発⽣した場合、直ちに対策を実施するものとし、運⽤責任者に報告すること。

実施します※本申請書は、NBDCヒトデータ審査委員会による各種審査に関わる業務以外での⽬的では⼀切使⽤いたしません。

実施します

⽇付

セキュリティ状態を確認した機関・部署名

2021/7/6

大学共同利用機関法人 情報・システム研究機構
国立遺伝学研究所 生命情報・DDBJセンター

記⼊者名
システム管理部⾨⻑・⼩笠原 理