日本女子体育大学情報処理センターサイバーセキュリティ対策基本規程（令和 4 年 学承 第 11 号）
令和5年

2月9 日制定（目的）
第１条 本規程は，日本女子体育大学（以下「本学」という。）情報処理センターが管轄する情報及び情報システムのサイバーセキュリティ対策について基本的な事項を定め，もって本学情報処理センターが管轄する情報及び情報システムの保護と活用及び情報セキュリティ水準の適切な維持向上を図ることを目的とする。
（適用範囲）
第２条 本規程において適用対象とする者は，本学情報処理センターにおける情報システムを運用・管理するすべての者，並びに利用者及び臨時利用者とする。
２ 本規程において適用対象とする情報は，情報処理センターの管轄下にある以下のものとする。
（１）教職員等が職務上使用することを目的として本学が調達し，又は開発した情報処理若しくは通信の用に供するシステム又は外部電磁的記録媒体に記録された情報（当該情報システムから出力された書面に記載された情報及び書面から情報システムに入力された情報を含む。）（２）その他の情報システム又は外部電磁的記録媒体に記録された情報（当該情報システムから出力された書面に記載された情報及び書面から情報システムに入力された情報を含む。）であって，教職員等が職務上取り扱う情報（３）前２号のほか，本学が調達し，又は開発した情報システムの設計又は運用管理に関する情報
３ 本規程において適用対象とする情報システムは，本規程の適用対象となる情報を取り扱う全てのものとする。
（用語定義）
第３条 本規程において，次の各号に掲げる用語の定義は，当該各号に定めるところによる。
（１）外部委託
本学の情報処理業務の一部又は全部について，契約をもって外部の者に実施させることをいう。「委任」「準委任」「請負」といった契約形態を問わず，全て含むものとする。
（２）学生等
本学通則に定める学部学生，大学院学生，科目等履修生，研究生等，その他，本学が認めた者をいう。
（３）機器等
情報システムの構成要素（サーバ装置，端末，通信回線装置，複合機，特定用途機器等，ソフトウェア等），外部電磁的記録媒体等の総称をいう。
（４）教職員等
本学を設置する法人の役員及び，本学に勤務する常勤又は非常勤の教職員（派遣職員を含む）その他，本学が認めた者をいう。教職員等には，個々の勤務条件にもよるが，例えば，派遣労働者，一時的に受け入れる研修生等も含まれている。
（５）情報システム
ハードウェア及びソフトウェアから成るシステムであって，情報処理又は通信の用に供するものをいい，特に断りのない限り，本学が調達又は開発するもの（管理を外部委託しているシステムを含む。）若しくは本学情報ネットワークに接続されるものをいう。
（６）利用者
教職員等及び学生等で，本学情報システムを利用する許可を受けて利用するものをいう。
（７）臨時利用者
教職員等及び学生等以外の者で，本学情報システムを臨時に利用する許可を受けて利用するものをいう。
（８）記録媒体
情報が記録され，又は記載される有体物をいう。記録媒体には，文字，図形等人の知覚によって認識することができる情報が記載された紙その他の有体物（以下「書面」という。）と，電子的方式，磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって，情報システムによる情報処理の用に供されるもの（以下「電磁的記録」という。）に係る記録媒体（以下「電磁的記録媒体」という。）がある。また，電磁的記録媒体には，サーバ装置，端末，通信回線装置等に内蔵される内蔵電磁的記録媒体と，USB メモリ，外付けハードディスクドライブ，DVD-R 等の外部電磁的記録媒体がある。
（９）サーバ装置
情報システムの構成要素である機器のうち，通信回線等を経由して接続してきた端末等に対して，自らが保持しているサービスを提供するもの（搭載されるソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。）をいい，特に断りがない限り，本学が調達又は開発するものをいう。
（10）情報処理センターCSIRT（シーサート。Computer Security Incident Response
Team の略。）
本学において発生したサイバーセキュリティインシデントに対処するため，本学情報処理センターに設置された体制をいう。
（11）情報処理センターサイバーセキュリティ対策推進体制
本学情報処理センターのサイバーセキュリティ対策の推進に係る業務を遂行するため，学内に設置された体制をいう。
（12）実施手順
対策基準に定められた対策内容を個別の情報システムや業務において実施するた
め，あらかじめ定める必要のある具体的な手順をいう。
（13）情報本規程第２条第２項に定めるものをいう。
（14）サイバーセキュリティインシデント
望まない単独若しくは一連の情報セキュリティ事象，又は予期しない単独若しくは一連の情報セキュリティ事象であって，事業運営を危うくする確率及び情報セキ
ュリティを脅かす確率が高いものを情報セキュリティインシデントという。このうち，サイバーセキュリティに関連するものをサイバーセキュリティインシデントという。
（15）情報処理センターサイバーセキュリティポリシー
本学情報処理センターが定めるサイバーセキュリティ対策基本方針及び本規程をいう。
（16）情報セキュリティ関連規程
ポリシーに基づいて策定される規程，基準及び計画を総称したものをいう。
（17）対策基準
本学情報処理センターが定めるサイバーセキュリティ対策に関連する基準及び同基準から参照される関連基準をいう。
（18）端末情報システムの構成要素である機器のうち，利用者が情報処理を扱うために直接-2-操作するもの（搭載されるソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。）をいい，特に断りがない限り，本学が調達又は開発するものをいう。端末には，モバイル端末も含まれる。特に断りを入れた
例としては，本学が調達又は開発するもの以外を指す「本学支給以外の端末」がある。また，本学が調達又は開発した端末と本学支給以外の端末の双方を合わせて「端末（支給外端末を含む）」という。
（19）モバイル端末
端末のうち，必要に応じて移動させて使用することを目的としたものをいい，端末の形態は問わない。
（20）通信回線
複数の情報システム又は機器等（本学が調達等を行うもの以外のものを含む。）の間で所定の方式に従って情報を送受信するための仕組みをいい，特に断りのない限り，本学情報処理センターの情報システムにおいて利用される通信回線を総称したものをいう。通信回線には，本学が直接管理していないものも含まれ，その種類（有線又は無線，物理回線又は仮想回線等）は問わない。
（21）通信回線装置
通信回線間又は通信回線と情報システムの接続のために設置され，回線上を送受信される情報の制御等を行うための装置をいう。通信回線装置には，いわゆるハブやスイッチ，ルータ等のほか，ファイアウォール等も含まれる。
（22）要管理対策区域
本学情報処理センターの管理下にある区域（学外組織から借用している施設等における区域を含む。）であって，取り扱う情報を保護するために，施設及び執務環境に係る対策が必要な区域をいう。
（大学最高情報セキュリティ責任者）
第４条 本学に情報セキュリティに関する業務を統括する大学最高情報セキュリティ責任者（以下「CISO」という。Chief Information Security Officer の略。）を置き，本学危機管理対応本部における副本部長をもって充てる。
２ CISO は，本学における情報セキュリティに関する業務を統括する。
３ CISO は，大学の情報基盤として供される本学情報システムのうち情報セキュリティが侵害された場合の影響が特に大きいと評価される情報システムを指定することができる。
この指定された情報システムを「大学情報システム」という。
（大学最高情報セキュリティ責任者補佐）
第５条 本学に CISO の業務を補佐するため大学最高情報セキュリティ責任者補佐（以下「CISO 補佐」という。）を置き，CISO がこれを任命する。
２ CISO 補佐は，CISO を補佐し，本学における情報セキュリティに係る技術的支援を行う。
（サイバーセキュリティ実施責任者）
第６条 本学にサイバーセキュリティ実施責任者を置き，情報処理センター長をもって充てる。
２ サイバーセキュリティ実施責任者は，命を受け，次の業務を統括する。
（１）要管理対策区域の決定並びに当該区域における施設及び環境に係る対策の決定（２）サイバーセキュリティ対策に関する実施手順の整備及び見直し並びに実施手順に関する業務の取りまとめ（３）サイバーセキュリティ対策に係る教育実施計画の策定及び当該実施体制の整備（４）例外措置の適用審査記録の台帳整備等（５）サイバーセキュリティインシデントに対処するための緊急連絡窓口の整備等（６）前各号に掲げるもののほか，サイバーセキュリティ対策に係る業務（情報処理センターサイバーセキュリティ委員会の設置）
第７条 対策基準等の審議を行う機能を持つ組織として，情報処理センターサイバーセキ
ュリティ委員会を置き，情報処理センター運営委員会をもって充てる。

-3-

２

情報処理センターサイバーセキュリティ委員会に委員長を置き，情報処理センター長をもって充てる。
３ 情報処理センターサイバーセキュリティ委員会は，次に掲げる事項を審議する。
（１）サイバーセキュリティ対策基準（２）対策推進計画（３）前各号に掲げるもののほか，サイバーセキュリティに関し必要な事項（サイバーセキュリティ監査責任者）
第８条 CISO は，その指示に基づき実施する監査に関する業務を統括する者として，サイバーセキュリティ監査責任者を置き，学園監事をもって充てる。
（管理運営部局）
第９条 本学に，本学情報システムの管理運営部局を置き，情報処理センター員会議構成員をもって充てる。
（管理運営部局が行う業務）
第 10 条 管理運営部局は，サイバーセキュリティ実施責任者の指示により，以下の各号に定める業務を行う。
（１）情報処理センターサイバーセキュリティ委員会の運営に関する業務（２）本学情報システムの運用と利用におけるポリシーの実施状況の取りまとめ（３）講習計画，リスク管理及び非常時行動計画等の実施状況の取りまとめ（４）本学の情報システムのセキュリティに関する連絡と通報（５）大学最高情報セキュリティ責任者及びサイバーセキュリティ実施責任者の支援（部局技術責任者の設置）
第 11 条 情報システムに対するサイバーセキュリティ対策に関する業務の責任者として，部局技術責任者を置き，事務局学術情報課長をもって充てる。
２ 部局技術責任者は，命を受け，情報システムにおけるサイバーセキュリティ対策に関する業務を担うこと。
３ 部局技術責任者は，情報システムの管理業務において部局技術担当者を置き，事務局学術情報課員（技術員）をもって充てる。
（サイバーセキュリティアドバイザーの設置）
第 12 条 CISO は，サイバーセキュリティについて専門的な知識及び経験を有する者をサイバーセキュリティアドバイザーとして置くことができる。
２ CISO は，以下を例とするサイバーセキュリティアドバイザーの業務内容を定める。
（１）情報処理センターのサイバーセキュリティ対策の推進に係る CISO 及び CISO 補佐への助言（２）サイバーセキュリティ関係規程の整備に係る助言（３）対策推進計画の策定に係る助言（４）教育実施計画の立案に係る助言並びに教材開発及び教育実施の支援（５）情報システムに係る技術的事項に係る助言（６）情報システムの設計・開発を外部委託により行う場合に調達仕様に含めて提示するサイバーセキュリティに係る要求仕様の策定に係る助言（７）利用者に対する日常的な相談対応（８）サイバーセキュリティインシデントへの対処の支援（９）前各号に掲げるもののほか，サイバーセキュリティ対策への助言又は支援（情報処理センターサイバーセキュリティ対策推進体制の整備）
第 13 条 CISO は，本学情報処理センターのサイバーセキュリティ対策推進体制を整備し，その役割を規定する。
２ CISO は，サイバーセキュリティ対策推進体制責任者を定める。
３ サイバーセキュリティ対策推進体制責任者は，以下を含むサイバーセキュリティ対策推進体制の役割を規定すること。
（１）サイバーセキュリティ関係規程及び対策推進計画の策定に係る業務-4-

（２）サイバーセキュリティ関係規程の運用に係る業務（３）例外措置に係る業務（４）サイバーセキュリティ対策の教育の実施に係る業務（５）サイバーセキュリティ対策の自己点検に係る業務（６）サイバーセキュリティ関係規程及び対策推進計画の見直しに係る業務（サイバーセキュリティインシデントに備えた体制の整備）
第 14 条 CISO は，情報処理センターCSIRT を整備し，その役割を明確化する。
２ CSIRT に関する事項は別に定める。
（兼務を禁止する役割）
第 15 条 教職員等は，サイバーセキュリティ対策の運用において，以下の役割を兼務しない。
（１）承認又は許可（以下本条において「承認等」という。）の申請者と当該承認を行う者（以下，本条において「承認権限者等」という。）（２）監査を受ける者とその監査を実施する者（対策基準の策定）
第 16 条 CISO は，情報処理センターサイバーセキュリティ委員会における審議を経て，サイバーセキュリティ戦略本部決定「政府機関等の情報セキュリティ対策のための統一基準」に準拠した対策基準を定める。また，対策基準は，本学の業務，取り扱う情報及び保有する情報システムに関するリスク評価の結果を踏まえた上で定める。
（改廃）第 17 条 本規程の改廃は，教授会の議を経て，学長が行う。
附 則
この規程は，令和 5 年2月9 日より施行する。

-5-