情報資産の管理・運⽤事例

2019年8⽉30⽇
早稲⽥⼤学 ⾼橋 智広

事例紹介内容1. 情報資産の取り扱いを定めた経緯
 技術的対策 ⼈的・組織的対策

2. 従来の情報資産の取り扱い状況
3. 情報資産管理ルールの制定
 従来の情報資産の管理・運⽤状況の問題点
 情報資産管理の対策・⽅針

4. 情報資産の管理・運⽤フロー概要
 情報資産の機密レベル
 情報資産の保管場所
 その他運⽤ルール
 管理検査2１．情報資産の取り扱いを定めた背景
 技術的対策•2014年12⽉のマルウェア感染による情報流出の疑いが発⽣した事案を受けて、主に職員が利⽤する事務系システムを対象に以下の技術的対策を講じた。

9 事務系システム・ファイルサーバーのファイル暗号化
9 事務系システム・PCへのエンドポイントセキュリティソフトの追加導⼊
9 事務系ネットワークでの不審通信検知・遮断ソリューションの導⼊ 等 ⼈的・組織的対策••

攻撃⼿法は⽇々⾼度化・巧妙化しており、技術的対策でマルウェア感染・感染拡⼤・情報流出等のリスクを「ゼロ」にすることはできない。
リスクの最⼩化のために事務系システム利⽤者を対象に以下の⼈的・組織的対策も講じた。

9 標的型攻撃メール対策訓練・研修を通した利⽤者教育（毎年実施）
9 情報資産の取り扱いを定め、組織的に情報資産を把握・管理
3

２．従来の情報資産の取り扱い状況
情報資産の管理⽅法について、明確なルールは存在しなかった。そのため情報資産が発⽣するたびに部署や担当者の裁量で⾃由に保管場所・⽅法を決めて管理していた。

部署や担当者の判断に基づき保管場所を決定
新しい情報資産
発⽣

事務系PC

教研PC・個⼈PC

学内ファイルサーバ

⼤学ポータルサイト等

クラウドストレージ

保管後は部署や担当者の裁量で廃棄・整理

USBメモリ

CD・DVD等
外部記憶媒体4

２．従来の情報資産の取り扱い状況
技術的対策だけでは情報流出のリスクが⾼い。取り扱い状況を網羅的に把握できていないため、情報流出時に影響範囲の特定も出来ない。

部署や担当者の判断に基づき保管場所を決定
新しい情報資産
発⽣①情報資産の機密レベルに関わらず保管場所を⾃由に決めている④保管場所に対するセキュリティレベルが定義されていない

事務系PC本体②保管場所は部署や個⼈の裁量で決定しており、属⼈化している③決定された保管場
所・⽅法に対するチェッ
クや承認⾏為がない

学内ファイルサーバ⑤保管場所が散在し、ど教研PC・個⼈PC
⼤学ポータルサイト等
こに、どのような情報資産が保管されているか把握できない

USBメモリクラウドストレージ

保管後は部署や担当者の裁量で廃棄・整理

CD・DVD等
外部記憶媒体⑥廃棄や整理の⽅針
は個⼈や部署によってまちまちで、保管されている情報資産が把握できない
5

３．情報資産管理ルールの制定
 従来の情報資産の管理・運⽤状況の問題点••

機密レベルに応じて情報資産が保管されていないため、情報流出のリスクが⾼い。
情報資産の破棄・保管状況等、運⽤状況が網羅的に把握できていないため、情報流出時に影響範囲の特定が困難となっている。

① 情報資産の機密レベルに関わらず保管場所を⾃由に決めている② 保管場所は個⼈や箇所の裁量で決定しており、属⼈化している③ 決定された保管場所・⽅法に対するチェックや承認⾏為がない④ 保管場所に対するセキュリティレベルが定義されていない⑤ 保管場所が散在し、どこに、どのような情報資産が保管されているか把握できない⑥ 廃棄や整理の⽅針は個⼈や箇所によってまちまちで、保管されている情報資産が把握できない 情報資産管理の対策・⽅針（2016年1⽉〜）• 情報資産の管理⽅法について要綱を制定する• 情報資産の機密レベルを定め、保管場所と運⽤ルールを定義する• 担当者、担当管理職、部署、管理検査チームによる管理検査を導⼊する

学内全体で継続的に情報資産を管理・運⽤する

6

４．情報資産の管理・運⽤フロー概要
新しい情報資産発⽣

公開データの場合

情報資産の機密レベルを判断する

制限データの場合

ファイルサーバのみで保管・運⽤できるか判断する

ファイルサーバのみで保管・運⽤できる場合
その他の保管先での運⽤が必要な場合は「情報資産管理窓⼝」
への届出・承認も必要ファイルサーバ
での運⽤

ファイルサーバのみで保管・運⽤できない場合

台帳に起票担当管理職による承認

⾼リスクデータの場合

保管場所・取扱を検討

台帳に起票担当管理職による承認「情報資産管理窓⼝」に届出「情報資産管理窓⼝」
による承認

クラウドストレージ、⼤学ポータルサイト等を併⽤した運⽤を開始

届出に則った運⽤を開始

7４．情報資産の管理・運⽤フロー概要
 情報資産の機密レベル••

機密レベルは「⾼リスクデータ」、「制限データ」、「公開データ」の3つに分類
⾼リスクデータは個別に保管場所および取扱いを定め、事前に情報資産管理窓⼝に届出、承認を得る① ⾼リスクデータ

9 データの保護が法律・規則によって要求されているもしくは機密性、完全性、可⽤性の損失が⼤学に重⼤な影響を及ぼす可能性がある。
9 （例）クレジットカード情報、外為法の規制対象となる情報、出題前の⼊試問題、相談事項のうち、部署が必要と判断したデータ（ハラスメント防⽌・法務等の相談記録・報告書等）、公益通報関連データ。。等② 制限データ

9 データは⼀般に公開されておらず、機密性、完全性、可⽤性の損失は⼤学に悪影響を及ぼす可能性がある。
9 （例）各種事務系システム内データ、業務情報（⼤学の規約、⼤学内部の業務情報、メール、⾮公開報告書、予算、計画、財務情報、教職員番号等）、教育情報（出席簿・採点簿・学⽣からの提出物等）。。等③ 公開データ

9 ⾼リスクデータ、制限データのいずれにも該当せず、すでに公開されているか、機密性、完全性、可⽤性の損失が⼤学に悪影響を与えないデータ
9 （例）⼀般公開されているコンテンツ、教材、⼤学規則、⽅針、公募情報、公式な連絡先。。等
8

４．情報資産の管理・運⽤フロー概要
 情報資産の保管場所••

保管場所は「ファイルサーバ」、「クラウドストレージ」、「事務系PC」、「⼤学ポータルサイト等」の４つに分類
上記以外の保管場所を利⽤する場合は「例外的な保管場所」として、個別に保管場所、取扱いを定め、事前に情報資産管理窓⼝に届出、承認を得る① ファイルサーバ

9 学外へデータ等を持ち出されたとしても暗号化対策により参照することが出来ず、セキュリティレベルが⾼いため、原則として、全ての⾼リスクデータ、制限データの保管場所とする。

②

クラウドストレージ

9 セキュリティ設定や認証機能、利⽤者制限などセキュリティレベルは⾼いが、ファイル共有機能や公開機能を有することから、原則として⾼リスクデータ、制限データの保管場所としない。
9 ただし、制限データのうち業務上必要がある場合（教員・学外への共有、ペーパーレス会議等）のみ、部署ごとの台帳に保管対象となるファイル群を記録し、担当管理職の承認を得たうえで、部署共有フォルダを保管場所とできる。
9 保管の際には、学内との共有なのか、学外との共有なのかによって共有範囲を適切に設定する。
9 不特定多数に対して共有する場合には、必ず共有設定有効期限およびパスワードを設定する。

③ 事務系PC

9 作業のための⼀時的な保管場所とし、永続的な保管場所としない。

④ ⼤学ポータルサイト等

9 教育利⽤のほか、会議資料や規約、学内向け各種マニュアル等の情報資産を、学⽣・教職員・校友と共有することを利⽤⽬的として保管場所とできる。

9４．情報資産の管理・運⽤フロー概要
 その他運⽤ルール① ファイル添付メールの送信禁⽌

9 誤送信（送信先の誤り、誤ったファイルの添付等）による情報流出の危険性があることからファイル添付メールの送信・転送は禁⽌とする。
9 事務系PC利⽤者はファイルサーバを利⽤し、事務系PC利⽤者以外はクラウドストレージを利⽤してファイルを提供する。
9 ただし、相⼿⽅の事情によりクラウドストレージを利⽤した提供が出来ない場合に限り、台帳に起票し、担当管理職の承認のもとファイル添付メールを送付することができる。

② 学外への持出し

9 ⾼リスクデータ、制限データを学外へ持ち出すことは原則禁⽌する。
9 ただし、業務上、やむを得ず持ち出す必要がある場合は、事前に情報資産管理窓⼝へ届出、承認を得て持ち出すことができる。

10

４．情報資産の管理・運⽤フロー概要
 管理検査• 情報資産の管理を適切かつ継続的に運⽤するため、4段階のチェックと管理検査を実施
情報資産の機密レベルと保管場所について、適切に保管・運⽤出来ているかをチェック

保管後①担当者による随時のチェック

報告

監督、承認、是正②担当管理職による四半期のチェック

報告

確認、是正

③管理検査チームへの報告
部署で情報資産の保管・運⽤が正しく⾏われているか確認し、⾏われていない場合は是正を求める

新たに発⽣した情報資産の保管・運⽤が正しく⾏わ
れているかをチェック

部署内の全ての情報資産の保管・運⽤が正しく⾏われているかをチェック④部署による年次のチェック（9⽉）

報告・説明

ヒアリング、レビュー、結果報告、是正⑤管理検査チームによる管理検査（10〜11⽉）

部署で情報資産の保管・運⽤が正しく⾏われているか実地で確認し、⾏われていない場合は是正を求める

ご清聴ありがとうございました。
本学の事例が皆様のご参考になれば幸いです。

11