大阪河﨑リハビリテーション大学情報セキュリティーポリシー
平 成 18年 ７ 月 ３ 日
教授会制定

はじめに
大阪河﨑リハビリテーション大学における教育・研究・診療活動には多大な情報の発生と管理が伴うが、それらを情報資産ととらえて、その有効利用と管理・保全について以下にまとめ、本学における情報セキュリティーポリシーとする。
１．基本方針情 報 は 大 阪 河 﨑 リ ハ ビ リ テ ー シ ョ ン 大 学 (以 下 、 本 学 )に と っ て 重 要 な
資 産 で あ る 。本 学 に お け る 教 育・研 究・診 療 活 動 は 、情 報 の 収 集 、格 納 、解析、伝達、報告といった手段で行われている。その情報資産には、積極的に開示し利用を図るべきものから、慎重にとり扱い遺漏や改竄の無いよう保全に努める情報まで各種ある。基本的には大学の扱う情報資産は有効活用を前提として、公開するべき性質のものが多いが、近年組織情報や個人情報等に関して非開示が望ましい種類の情報資産が、特にコンピューターネットワークを通じて改竄されあるいは遺漏する事件が相次 い で い る 。そ こ で 、本 ポ リ シ ー で は 、本 学 に お け る 情 報 資 産 に つ い て 、第一には、開示利用すべき情報資産は積極的にその公開に努めるものと確認し、第二に、内部利用のみに留めて遺漏流出等から守るべき情報資産の取扱いについて、あるいは本学情報資産を経由して外部情報への脅
威 と な る 事 態 が 発 生 し な い よ う 、教 職 員 、学 生 、お よ び す べ て の 関 係 者
が不断の努力により、情報資産の保全を行うことが必要であると宣言する。本学において教育・研究・診療活動に関わり、媒体によらず学内情報資産を利用するものは、本情報セキュリティポリシーを遵守する責任があり、意図の有無を問わず、学内外の情報資産に対する権限のないアクセスや改竄、複写、破壊、漏洩等をしてはならない。本学情報セキュリティ委員会は、利用者が本ポリシー、情報セキュリティガイドラインおよび関連各種内規等を理解し、実施できるように教育、指導をする責任を持つ。具体的には、このポリシーの元に、情報セキュリティーガイ
ド ラ イ ン を 策 定 し 、学 内 各 施 設 の 利 用 規 程 、各 種 内 規 を 置 く も の と す る 。

1

２．定義
情報資産の定義は、情報ならびに情報を管理する仕組みとする。
３ .対 象 範 囲 な ら び に 対 象 者
本学におけるポリシーの対象範囲は、本学の管理する情報機器、学内情報ネットワークおよびネットワークに接続された機器、および情報資産である、ポリシーの対象者は上記機器および情報資産を利用するすべての者とする（以下利用者という）。
４．実施手順ポリシーの実施手順は、本学の規程、内規等によって別途定めるものとする。関連する規程、内規等は内規・ガイドラインに示すとおりである。
（別途ガイドラインや利用規程を作成）
５．組織・体制
情 報 セ キ ュ リ テ ィ 委 員 会 委 員 長 (以 下 、 委 員 長 )は 、 情 報 セ キ ュ リ テ ィに関する総括的な意思決定を行い、学長が承認し、学内外に対する責任を負うものとする。ポリシーの策定ならびに重要事項の決定は、委員会が行うものとする。委員会は、システム管理の実施、緊急時の対応等にあたるものとする。情報セキュリティに関する啓発および教育については、本委員会あるいは本学ＦＤ委員会が担当し、利用者に対する幅広い教育を行う。
(１ )公開すべき情報に対するアクセスへの対応
外部または内部から正式な手続きを経て本学情報資産の開示を求められた場合、その公開について本委員会が審議の上決定し、学長に答申するものとする。また、学生の成績等の保護者への開示については本学教務委員会の方針に従い、広域災害等の緊急時における個人情報の取扱いについては、別に定める本学緊急災害時対策委員会（仮名）の基本方針に従い取り扱うものとする。公開に関しては、以下の４（４）および（５）に従うものとする。
(２ )情報セキュリティ侵害の阻止①

不正アクセス等への対応外 部 ま た は 内 部 か ら の 不 正 ア ク セ ス が 検 出 さ れ た 場 合 、委 員 会 は 、

2緊急措置手順に従って関連する通信の遮断または該当する情報機器の切り放しを実施する。不正アクセスが継続する場合には、所定の手続きに基づいて当該情報機器またはそれを接続するネットワークに対し、事態を警告、対策をとるよう勧告、定常的な利用を禁止するなどの抑止措置をとることができる。
②

アクセス制限委員会は情報の内容に応じて、アクセス可能な利用者を定め、不正なアクセスを阻止するべく必要なアクセス制限を行わなければならない。利用者は、アクセス権限のない情報にアクセスしたり、許可されていない情報を利用したりしてはならない。
(３ )学内外の情報セキュリティを侵害する行為の抑止
学内外を問わず、利用者はあらゆる研究・教育機関、企業、組織、団体、個人等の情報資産を侵害してはならない。また、情報セキュリ
ティに関連する条約、諸法規ならびに本学が定める規約等を遵守しなければならない。
(４ )

情報資産の分類と管理
利用者は、本学の提供する情報に関しては、それが果たす役割と影響を十分認識し、常にその情報の正確性と健全性に配慮しなければならない。また、提供することによって他の利用者が被害を受けるいかなる情報も扱ってはならない。情報提供の際には、関連する条約、諸法規ならびに本学が定める規約等を遵守しなければならない。
①

情報資産の管理者
本学の管理する機器に保存された情報は、委員会が管理しなければならない。本学の管理するネットワークに個人の機器を接続した場合、当該機器内の情報は、利用者、または当該機器の管理者がセキュリティポリシーに従い管理しなければならない。
②

非公開情報資産
利用者は、個人情報、事務、研究・教育等の非公開情報を不当に利用してはならない。情報は適切に管理されなければならず、権限のない情報に対してアクセスを行ったり利用したりしてはならない。
情報の盗難・漏洩等を防止するため、非公開情報を扱うネットワー
クは、暗号化や盗聴防止策を講じることが望ましい。また、情報が記録された媒体は、適切に管理されなければならない。

3

③

限定公開情報資産特定の利用者に特定の情報を公開する場合、その情報の登録・閲

覧は、許可された者が許可された操作だけを行えるように、認証、アクセス制御等が実施されなければならない。非公開情報を扱う場
合と同じく、ネットワークは、暗号化や盗聴防止策を講じることが望ましい。さらに、委員会は意図によらずシステムに影響を及ぼす
異常な登録、閲覧および操作が行われていないか、定期的に調査・確認しなければならない。
④

公開情報資産情報資産の管理者を含む利用者は、あらゆる公開情報を不当に利用してはならない。情報は破壊されないように適切に管理されなければならない。また、非公開情報を公開する場合には、個人情報の漏洩、プライバシーや著作権の侵害に十分注意し、公開できる情報
だ け を 抽 出 し 、あ る い は 公 開 し て よ い 形 に 加 工 し な け れ ば な ら な い 。
情報が記録された媒体は、適切に管理されなければならない。
⑤

情報機器および記憶媒体の処分
非公開・限定公開・公開を問わず、情報機器および記憶媒体を破棄する場合は、その処分方法に注意しなければならない。
(５ )情報セキュリティならびにポリシーの評価と更新①情報セキュリティの評価と更新
本 学 の 情 報 資 産 を 守 る た め に 、委 員 会 は 常 に 最 新 の 情 報 を 取 得 し 、
適切な物理的・技術的・人的セキュリティが実施されているか、定期的に評価・調査・監査を実施しなければならない。改善が必要と認められた場合は、速やかに情報セキュリティの更新を行わなければならない。
②ポリシーの評価と更新
情報セキュリティの調査とともに、ポリシーの実効性を定期的に評価し、改善が必要と認められた場合には、変更内容とその実施時期の決定を行い、セキュリティレベルの高い、かつ遵守可能なポリシーに更新しなければならない。

4