KDS 国大協サービス

国立大学リスクマネジメント情報
2011(平成２3)年２月号

http://www.ｊanu-s.co.jp/

特集テーマ

情報セキュリティ、個人情報関連事故
大学には多くの個人情報が存在し、厳格な管理を求められています。また、進化するネットワーク環境の下、その安全対策も重要な課題です。
本号では、情報メディア、ネットワーク、個人情報漏えいに関連する事故例をご紹介するとともに、その保険適用についてご説明します。

１．情報セキュリティ、個人情報関連事故の状況
独立行政法人情報処理推進機構がまとめた平成２２年１月から１２月のコンピュータ不正アクセ
ス届出状況によると、年間届出件数は１９７件で、そのうち実際に被害があった１４０件についてその内容と原因の内訳を見ると以下のとおりとなります。
2010 年被害原因2010 年不正アクセス被害内容

また、個人情報の漏洩については、NPO 日本ネットワークセキュリティ協会（JNSA）の2009 年度「情報セキュリティインシデントに関する調査報告書」によると、平成２１年の１年間に報道された個人情報漏えい事件・事故による漏えい人数は 572 万人であり、その原因は右のグラフのとおりでその１位は「管理ミス」となっています。
表 1 2009 年個人情報漏えいインシデント概要データ
漏えい人数
インシデント件数
想定損害賠償総額
一件あたりの漏えい人数
一件あたり平均想定損害賠償額
一人あたり平均想定損害賠償額

572 万 1,498 人
1,539 件3,890 億 4,289 万円
3,924 人2 億 6,683 万円
4 万 9,961 円

図8

漏えい原因比率（件数）

情報処理推進機構まとめ ⇒ http://www.ipa.go.jp/security/txt/2011/documents/2010all-cra.pdf
JNSA 報告書 ⇒ http://www.jnsa.org/result/incident/data/2009incident_survey_v1.1.pdf

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（１）

KDS 国大協サービス

２．情報メディアの被害と保険対応
大学が管理する情報の多くは、今日では電子媒体に保存されています。また、研究や業務の処理のために多くのソフトウエア、プログラムが利用されています。これら電子媒体に記憶された情報（ソフトウエア、プログラムを含む）が被害を受けた場合、その補償はどうなるのでしょうか。
電子媒体に記憶された情報は、火災保険等の財産系保険では補償対象となりません。財産系保険の補償対象は有体物としての「物」であり、電子的に記憶されている状態は含みません。電子媒体に記憶された情報が火災や外部からの不正アクセスにより被害を受けた場合、その再取得にかかる費用を補償するのが国大協保険メニュー１情報メディア特約です。
＜情報メディア特約の事故例＞
年月日
H16.11.18
H18.10.14
H18. 5.26

事故状況
パソコンの盗難によりインストールしてあったプログラム損失。
構内に設置されているサーバー２台が不正アクセス被害。
図書館サーバーの一部が不正にアクセスされ改ざん。

保険金支払額
76 万円
約 100 万円
免責金額内

H19. 4.15

ウイルスの侵入により附属病院の全システムがダウン。

約 1,600 万円

なお、情報メディア特約による支払われる保険金は、情報の再取得費用に限られ、システムチェックや安全対策のための作業に要した超過勤務手当、業者委託費用は支払われないため、不正アクセスやウイルス侵入による実際の被害額は保険金支払額を上回るものとなります。
また、補償の対象となるのは大学が所有、使用、管理する情報メディアですので、個人所有の情報メディアは対象となりません。

３．ネットワークに関連する賠償事故（１）ネットワーク関連賠償事故
大学が管理するネットワークに関連する賠償事故としては、次のようなものが考えられます。

大学のネットワークが踏み台にされネットワーク攻撃が行われた例、大学ホームページにフィッシングサイトが設置された例では、攻撃を行った者、不正にサイトを開設した者に当然賠償責任が発生しますが、大学もネットワーク管理上の過失を問われ賠償責任を負う可能性があります。

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（２）

KDS 国大協サービス（２）ネットワーク関連賠償事故の保険適用
ネットワークに関連する賠償事故ではケガや病気、財物の物理的な損壊が発生しないため国大協保険メニュー１総合賠償責任保険では補償対象とならないため、同メニュー１インターネット賠償責任補償特約に加入する必要があります。本特約では、実際に発生した損害費用に対する賠償のほか、大学ホームページに掲載された内容による名誉棄損、著作権侵害を理由とする訴訟に関する費用についても保険金が支払われます。
＜インターネット賠償責任補償特約の事故例＞
年月日
H19.06.07
H20.09.03

事故状況
大学が管理するサイトに書き込みされ名誉が毀損されたと訴えられた。
大学 HP への掲載内容に関する著作権に対する訴訟。

保険金支払額
約 200 万円
約 200 万円

４．個人情報漏えい事故（１）個人情報漏えい事故の賠償責任と保険適用
国立大学法人・大学共同利用機関法人は、「独立行政法人等の保有する個人情報の保護に関する法律」により、個人情報保護法における個人情報取扱事業者に準ずる個人情報の厳格な取扱い管理が求められています。
個人情報漏えい事故が発生した場合、大学に十分な管理を行っていない過失があるとも考えられ、その場合は、漏えいされた個人の経済損害や精神的損害に対し大学が損害賠償を行う可能性があります。実際の漏えい事故を起こした者が教職員であれば、併せて大学には使用者責任が発生します。学生の場合には使用者責任は発生しませんが、上記の個人情報管理の過失による賠償責任は逃れることができません。
個人情報漏えい事故により発生する損害は、ネットワーク関連事故の場合と同様、ケガや病気、財物の物理的な損壊が発生していないため国大協保険メニュー１総合賠償責任保険では補償対象とならず、同メニュー１個人情報漏えい賠償責任補償特約に加入する必要があります。
なお、本特約に加入した場合に限り、オプションで個人情報漏えい費用損害補償特約を付けることができます。この費用特約は、個人情報の漏えいがあった場合、または漏えいのおそれがある場合に、法律相談費用、事故対応費用、広告宣伝活動費用、コンサルティング費用、見舞金・見舞品費用を保険金として支払うものです。記憶媒体の盗難や紛失、ネットワーク上への掲載事故でも実際の漏えいは起こっていない場合があります。このような漏えいのおそれがある場合でも費用特約を使うことができます。

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（３）

KDS 国大協サービス（２）インターンシップ中の個人情報漏えい
学生がインターンシップ中に受入先企業の個人情報を漏えいしてしまった場合、まず、受入先企業に管理上の過失による賠償責任が発生すると考えられます。しかし、企業によっては、被害者に対して行った賠償分を大学や学生に求償することが考えられます。
大学については、派遣にあたって学生に個人情報管理に関する教育を十分行っていれば漏えいに関する責任が問われる可能性は少ないと考えられます。しかし、賠償責任が発生する場合には、漏えいされた個人情報は大学が管理すべき個人情報ではないため、国大協保険メニュー
１個人情報漏えい賠償特約・費用特約に加入していても対応することはできません。同メニュー１総合賠償責任保険でも、ケガや病気、財物の物理的な損壊が発生していないため補償対象となりません。留意して下さい。
次に、学生個人については、個人情報の漏えいに関して過失があると考えられ、企業から損害賠償を求められれば賠償する必要があると思われます。この場合、学生が学研災付帯賠償責任保険に加入していたとしても個人情報漏えいによる経済損害、精神損害は補償対象となりません。（法科大学院の法学実習を対象とするLコースの場合は、個人情報の表示行為による人格権侵害が補償されます。）また、学研災付帯学生生活総合保険等、他に学生が加入する賠償責任保険があっても補償対象となりません。
インターンシップ中の学生による受入企業等の個人情報漏えいについては、以上のように保険での対応ができませんので、十分な注意喚起等が必要です。

５．情報セキュリティ、個人情報漏えい防止策
情報セキュリティ対策は基本的にアクセスコントロール対策であり、かつ、単にセキュリティ技術に偏重して、情報セキュリティを考えていくだけでは不十分とされています。セキュリティに関するマネジメントシステムを組織内に定着させ、セキュリティ技術とセキュリティ管理の双方をバランスよく実施するトータルなセキュリティ対策が必要であるといわれています。
個人情報の漏えい防止策については、厳格な外部への持出し禁止措置が求められますが、教育・研究の現場では、完全に禁止することは難しいようです。このような場合でも、持出すに当たっての許可制と暗号化の徹底は最低限必要な措置と考えます。

お役立ち情報JPCERT／CC

http://www.jpcert.or.jp/

総務省 国民のための情報セキュリティサイト
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/index.htm（独）情報処理推進機構 情報セキュリティ
http://www.ipa.go.jp/security/index.html

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（４）

KDS 国大協サービス

リスクマネジメント最新情報

米国 12 大学の「H1N1＆大学の教訓」
ミネソタ大学感染症研究及び政策センター（CIDRAP）が「H1N1 & Higher Ed LESSONSLEARNED」という報告書を 2010 年 11 月に公表しました。この報告書には、シカゴ大学、イリノイ大学等、米国の 12 大学が新型インフルエンザへの対応でどのような教訓を学んだかが書かれていますので、その要旨をご紹介します。

2009 年 4 月下旬に出現した新型インフルエンザは、大学のすべての局面に影響を及ぼしました。特に学生の住、食、医療は最も脆弱であり、新型インフルエンザによる影響は、大きいものでしたが、対策は成果をあげました。
新型インフルエンザ対策計画は、まだ策定途中の大学が多かったのですが、策定途中であったがゆえに、パンデミックにうまく対応できる実務的なチームの組成ができたというのです。
報告書に取り上げられた１２大学では、新型インフルエンザにどのように対応したか、次の9 つのトピックにまとめられています。
①インシデント・マネジメント、②学生寮、③大学の保健管理サービス、④コミュニケーシ
ョン、⑤ワクチン配布、⑥授業、⑦人的資源、⑧学生の積極的参加、⑨共同作業
これらについて、共通的な重要な教訓として次の４つが掲げられています。
1. パートナーシップを構築し維持すること
新型インフルエンザに対する対応には、発生前の長期間、学内外の組織とうまく強調して行う共同作業が必要でした。例えば地方の公衆衛生局と協力することによって、大学は重大な決定をするための感染情報等の情報にアクセスできました。一方、大学の保健管理の取り組みと保健衛生局との共同の取り組みによって学生の受診を確実に実施することができたといいます。
2. 大学の資源を広く把握すること
１２大学では、クリエイティブ（創造的）に考えることによって自分たちの対応を拡大・進展させることができたとしています。また、学生は大学の最も重要な財産であり、大量のワクチン接種のスケジュール化、患者の監視、感染管理の戦略などの活動を効率的かつ合理的に行うために、他の分野で活用されている技術が応用されました。
3. 対応計画を柔軟にすること
大学は、早い段階で、策定した計画が眼前の脅威に必ずしも当てはまるものではないことを知りました。大学は、H5N1 という現実と合致しないトリガー事象に基づいて作られた計画を棚上げして、比較的平穏だった夏の数ヶ月の間に、ロジックモデル（訳注：組織の目的を実現するために最も有効な道程が描かれた見取り図）を使って計画を改定しました。
また、大学は、帰郷できずに学生寮やアパートに自分を隔離する病気の学生を激励する方法を探し求めたといいます。これは今後予想される強毒型インフルエンザでも重要な課題になるでしょう。
4. 保留している取り組みには今取り組むこと
新型インフルエンザは、未解決の重要な問題を残したままです。ひとつは特徴的なパンデミックの本質によるものであり、もうひとつは H1N1 が出現する前に、計画が完全には策定できなかったことです。
この問題には、遠隔教育を通じて教育の継続性を確実にする方法、職員が病気の場合に家にいることができるように傷病休暇の実務をやりくりする方法、そして教員が進んでパンデミックインフルエンザの感染証明を認める、つまり休暇扱いする方法が含まれます。これらは容易に答えの見つからない複雑な問題ですが、もし未解決のままにしておけば、より厳しく、広範囲の病気を引き起こし、より多くの死をもたらし、より長く続く強毒型のパンデミックに対する対応が混乱するでしょう。

http://www.cidrappractices.org/cidrap/files/54/big10+2webfinal.pdf#search='CIDRAP H1N1& Higher Ed LESSONS LEARNED'＜日本語訳：㈱インターリスク総研研究開発部部長 主席研究員 小林 誠＞

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（５）

KDS 国大協サービス

大学リスクマネジメント News PickUp

2011/1 月＜大学の管理・経営＞◆1.6○大で08年度から10年度にかけ、通学実態のない留学生が多数に上り、122人が除籍されていたことが報道。
除籍処分となった多くが中国内部からの留学生で、大阪や東京でアルバイトをしており、就労目的の偽装留学の疑いがある。

◆1.6○大は 昨年、部のコンパで学生が飲酒後に死亡した事故を受け、再発防止策とし、サークルがコンパなどを開催する際には、計画書と一気飲みをしない誓約書を事前に提出させる方針を決定。

◆1.12 ○大は、PCB（ポリ塩化ビフェニール）を含む絶縁油入りの変圧器２台を紛失したと発表。08年に終えた変電室の解体工事の際に廃棄されたとみられる。
◆1.17 ○大は、企業向けメンタルヘルスケア支援プログラムの導入を開始したと発表。同大学職員を対象に、メンタル不調者の早期発見・早期対応に努める。
◆1.18 担任する女子児童の保護者から再三抗議を受けたことで不眠症に陥ったとし、小学校の女性教諭が保護者を相手取り、慰謝料500万円を求め提訴していたことが報道。
◆1.26 外部委員会の運営を県が主導しているとした論文が、県のＨＰで実名批判され、精神的苦痛を受けたとして、執筆者の○大教授が県を相手取り、300万円の損害賠償を求めた裁判で、地裁は原告の請求を棄却。原告の社会的評価を低下させると認められないと判断。

＜事件・事故＞◆1.12

スキー実習中に立ち入り禁止のコースに侵入し女子学生2人が雪崩に遭い死亡した事故で、当時、同大学の非常勤講師として学生を引率した教授が業務上過失致死容疑で書類送検。

＜ハラスメント＞◆1.20 ○大の教員が、アカハラで懲戒処分を受けた後も学生の指導をさせなかったのは違法とし、提訴していた裁判の控訴審判決で、原告の准教授側が逆転敗訴。裁判長は、教員が懲戒処分後も「学生の人格を認めた個別指導をしていたら大学はつぶれる」などの発言をしていたことを重視、「再発を防止して学生の学習する権利を実現するため、教員の教育活動を一定の範囲で停止する必要があった」と判断。
◆1.25 ○大の教員が、学生にパワハラをしたとして出勤停止処分を受けたのは不当とし訴えていた裁判で、地裁は大学側の処分理由を一部認めるものの、大学の懲戒権の裁量を逸脱し重すぎるとし、同大学に処分の無効と未払い賃金など380万円の支払いを命じる判決。

＜情報漏えい＞◆1.12 ○大は、工学部の助教の自宅が空き巣被害に遭い、卒業生や学生ら延べ7738人の個人情報が入ったＰＣが盗まれたと発表。
◆1.28 ○大は、寄付を受け付けるサイトのウェブサーバーが不正アクセスを受け、寄付を申し込んだ計810人分の個人情報が流出したと発表。寄付のためのクレジット番号の管理は別のサーバーで行っていた。

＜学生・教員の不祥事＞◆1.13 大学の卒論の調査のため訪れた母校で、教諭からわいせつ行為を受けたことを苦に、院生の娘が自殺し、精神的苦痛を受けたとして両親が、4000万円の損害賠償を求め、県と教諭を提訴。県教委は、女性と示談が成立したことなどから、教諭を懲戒処分にせず、文書訓告処分にしていた。
◆1.14 ○大は、複数の未成年の学生に飲酒させ、自ら飲酒後に自動車を運転したとして同大の准教授を、減給2カ月の懲戒処分にしたと発表。
◆1.18 ○大は、博士課程を修了した元留学生の博士論文に盗用があったとして、博士号を取り消したことを発表。
◆1.19 ○大の学生が路上で刺されけがをした事件が、同学生の自作自演だったことが報道。就職や卒業に対する不安から、自殺を試みたが痛さから断念し、他人に刺されたことにしようと思ったという。
◆1.28 ○大学院生が、教員による不公正な指導やいじめで卒業できず、精神的苦痛を受けたとし、教員や大学に対し計2200万円の損害賠償を求め提訴していたことが報道。いじめを黙認した安全配慮義務違反があったと主張。

配信についてバックナンバー

本誌は、各国立大学・大学共同利用機関の国大協保険ご担当者、国大協連絡登録先、ご登録いただいた方にメールで配信させていただいております。（無料） 配信登録、解除は弊社ホームページからお願いします。⇒http://www.janu-s.co.jp/

11. 1月 ◆国大協保険、学研災の次年度改定概要
10.12月 ◆国大協保険における賠償事例
10.11月 ◆附属学校、学内保育所での事故
10.10月 ◆大学の危機管理事例紹介
10. 9月 ◆ボランティア活動中の事故
10. 8月 ◆海外活動中のリスクと保険
10. 7月 ◆スポーツ活動中の事故
10. 6月 ◆正課としての野外活動の安全情報提供のお願い
各大学等でのリスクマネジメントに関する取組み、事故・事件への対応のご経験、ご感想、ご要望等をお寄せください。

⇒ info@janu-s.co.jp

発 行

有限会社 国大協サービス
東京都千代田区神田錦町３-２３※弊社ホームページからダウンロードできます。

協 力株式会社インターリスク総研
三井住友海上火災保険株式会社

Tel:050-3533-8794,03-5283-0051 Fax:03-5283-0052 E-mail:info@janu-s.co.jp（６）