公立大学法人横浜市立大学情報セキュリティ基本規程制

定

平 成 30 年 ４ 月 １ 日 規 程 第 32 号

最近改正

令 和 ４ 年 ４ 月 １ 日 規 程 第 45 号

（目的）
第１条

本 規 程 は 、公 立 大 学 法 人 横 浜 市 立 大 学（ 以 下「 本 学 」と い う 。）に お け る 情 報

システムの運用及び管理について必要な基本事項を定め、もって本学が保有する情報の保護と活用及び適切な情報セキュリティ対策を図ることを目的とする。
（適用範囲）
第２条

本規程は、本学情報システムを運用・管理するすべての者、 及び利用者並びに一時利用者に適用する。
（定義）
第３条

本規程及び本規程に基づいて別に定める実施規程及び手順等において、次の各号に掲げる用語は、それぞれ当該各号の定めるところによる。
１

情報システム
情報処理及び情報ネットワークに関わるシステムで、次のものをいい、本学の情報ネットワークに接続する機器を含む。

(1)

本学により、所有又は管理されているもの(2)

本学との契約又は他の協定によって学外の他機関から提供されるもの

２

情報
情報には次のものを含む。

(1)

情報システム内部、又は情報システムに接続される電磁的記憶媒体 に記録された情報(2)

情報システムから出力され、外部保存や搬送を主たる目的とする電磁的記憶媒体に記録された情報(3)
３

情報システムに関連する書面に記載された情報
情報資産
情報システム並びに情報システム内部、又は情報システムに接続される電磁的記憶媒体に記録された情報、情報システムから出力され、外部保存や搬送を主たる目的とする電磁的記録媒体に記録された情報、及び情報システムに関連する書面に記載された情報をいう。
４

ポリシー
本学が定める「公立大学法人横浜市立大学情報セキュリティ基本方針」及び「公立大学法人横浜市立大学情報セキュリティ基本規程」をいう。

５

実施規程
ポリシーに基づいて制定及び運用される規程及び、基準、計画をいう。

６

手順等
実施規程に基づいて制定及び運用される具体的な手順や規約、ガイドラインを指す。

７

利用者及び一時利用者
教職員等及び学生等で、許可を受けて本学情報システムを利用する者をいう。また一時利用者は、これら以外の者で、一時的に許可を受けて本学情報システムを利用する者をいう。

８

教職員等
公立大学法人横浜市立大学職員就業規則第３条第１項に規定された職員（教育職員 、一 般 職 員 及 び 派 遣 職 員 を い う 。）及 び 同 非 常 勤 職 員 就 業 規 則 第 ２ 条 第 １ 項 に 規 定された非常勤職員、その他情報セキュリティ総括管理者又は情報セキュリティ統括責任者が認めた者をいう。

９

学生等
本学学則及び大学院学則に定める学部学生、大学院学生、科目等履修生、特別聴講学生、学生入学者、特別研究学生、研究生、長期履修学生及び留学生、 その他情報セキュリティ総括管理者又は情報セキュリティ統括責任者が認めた者をいう 。

10

情報セキュリティ
全ての情報資産に対して、重要度に応じた機密性を確保しつつ、完全性及び可用性を維持すること、又はその維持された状態をいう。

11

電磁的記録
電子的方式、磁気的方式その他人間の知覚によっては認識することができない方式で作られる記録であって、コンピュータによる情報処理の用に供されるものをいう。

12

情報セキュリティ事故
情報セキュリティに関し、本学規程や法律等に反すること、あるいは自然災害等による物理的損壊や滅失など、意図的または偶発的な要因により情報セキュリティが侵害される状態をいう。

13

明示等
情報を取り扱う全ての者が当該情報の格付けについて共通の認識となるようにする措置をいう。
（最高情報責任者）

第４条

本学に、理事長及び学長の下で、本学の情報資産の運用及び管理を総括し、情報戦略や情報セキュリティ対策を含む情報全般の企画、立案及び実施に関するす
べ て の 権 限 及 び 責 任 を 有 す る 者 と し て 最 高 情 報 責 任 者（ Chief Information Officer。
以 下 「 CIO」 と い う 。） を 置 く 。
２

CIO は 、 本 学 の 事 務 局 長 を も っ て 充 て る 。

３

CIO は 、 ポ リ シ ー 及 び そ れ に 基 づ く 規 程 の 決 定 や 情 報 資 産 の 運 用 上 で の 各 種 問 題に対する処置を行う。

４

CIO は 、 全 学 向 け 教 育 及 び 各 部 局 の シ ス テ ム 管 理 者 向 け 教 育 を 総 括 す る 。

５

CIO は 、 必 要 に 応 じ て 、 情 報 セ キ ュ リ テ ィ に 関 す る 専 門 的 な 知 識 及 び 経 験 を 有 した者を情報セキュリティアドバイザーとして設置することができる。

（情報セキュリティ管理体制）
第５条

本学に、情報セキュリティ総括管理者、情報セキュリティ 運用管理者、部局情報セキュリティ統括責任者、部局情報セキュリティ運用責任者、情報セキュリティ担当者を置く。
２

情報セキュリティ総括管理者、情報セキュリティ運用管理者、情報セキュリティ統括責任者、情報セキュリティ運用責任者、情報セキュリティ担当者は、次の各号の区分に応じ、当該各号に掲げる職にあるものを充てる。

(1)

情報セキュリティ総括管理者

CIO（ 事 務 局 長 ）(2)

情報セキュリティ運用管理者

ICT 推 進 課 を 所 管 す る 部 長(3)

部局情報セキュリティ統括責任者

職員組織にあっては各部の部長、教員組織にあっては各学系列長、医学科長、看護学科長、先端医科学研究センター長、次世代臨床研究センター長、病院にあっては各病院長(4)

部局情報セキュリティ運用責任者

職員組織にあっては各課の課長、教員組織にあっては各コース長、各教室長、部局情報セキュリティ統括責任者以外の各センター長、病院にあっては各診療科部長、各中央部門長、各センター長、看護部長(5)

情報セキュリティ担当者

必要に応じて部局情報セキュリティ運用責任者が所属ごとに指名した者（情報セキュリティ総括管理者）
第６条

情報セキュリティ総括管理者は、情報セキュリティ運用管理者及び 部局情報セキュリティ総括責任者を総括し、これらの者に対し情報セキュリティに関する事項に関して指示及び指導を行う。
２

情報セキュリティ総括管理者は、ポリシー及びそれに基づく規程の決定や 学内周知のほか、情報システムで生じた全学的な課題、問題への対処を行う。

３

情報セキュリティ総括管理者は、全学の情報基盤として供される本学情報システムのうち情報セキュリティが侵害された場合の影響が特に大きいと評価される情報システムを指定することができる。この指定された情報システムを「全学情報システム」という。

４

情報セキュリティ総括管理者が欠けたときは、情報セキュリティ運用管理者又は情報セキュリティ総括管理者があらかじめ指名する者が、その職務を代行する。
（情報セキュリティ運用管理者）

第７条

情報セキュリティ運用管理者は、情報セキュリティ総括管理者を補佐するとともに、情報セキュリティ対策の 周知徹底を図るため、部局情報セキュリティ総括責任者に対し情報セキュリティ対策に係る 指示及び指導を行う。
２

情報セキュリティ運用管理者は、情報セキュリティ総括管理者の下で、本学情報システムの整備と運用に関し、ポリシー及びそれに基づく規程並びに手順等の 制定及び改廃、実施を行う。

３

情報セキュリティ運用管理者は、情報システムの運用に携わる者及び利用者に対して、情報システムの運用並びに利用及び情報システムのセキュリティに関する教育を企画及び実施し、ポリシー及びそれに基づく規程並びに手順等の遵守を確実にするための措置を講じる。

４情報セキュリティ運用管理者は、セキュリティに関する学内外との連絡調整、周知徹底を行う。
５

情報セキュリティ運用管理者は、その実務を、本学情報システムの管理運営部局に委任することができる。
（部局情報セキュリティ総括責任者）

第８条

部局情報セキュリティ総括責任者は、部局情報セキュリティ運用責任者及び情報セキュリティ担当者を総括し、これらの者に対し情報セキュリティに関する事項に関して指示及び指導を行う。
（部局情報セキュリティ運用責任者）
第９条

部局情報セキュリティ運用責任者は、部局情報セキュリティ総括責任者を補佐するとともに、当該部局の職員への情報セキュリティ対策実施の徹底を図るため、情報セキュリティ担当者に対し情報セキュリティ対策に係る指示及び指導を行う。
（情報セキュリティ担当者）
第 10 条情報セキュリティ担当者は、当該所属内の情報セキュリティ対策を実施するため、所属内の情報資産及び情報システムを利用する職員に対して指導及び監督を行う。
（ ICT 推 進 委 員 会 ）第 11 条本学情報資産の運用及び管理及び情報セキュリティ、情報戦略等に関する事 項 を 審 議 し 、 必 要 な 事 項 を 決 定 し て 周 知 す る た め 、 ICT 推 進 委 員 会 を 置 く 。
２

ICT 推 進 委 員 会 の 委 員 長 は 、 情 報 セ キ ュ リ テ ィ 総 括 管 理 者 （ CIO） が 務 め る 。

３

そ の 他 、 委 員 会 の 運 営 に 関 す る こ と は 「 公 立 大 学 法 人 横 浜 市 立 大 学 ICT 推 進 委 員会規程」に定める。
（管理運営部局）

第 12 条本 学 情 報 シ ス テ ム の 管 理 運 営 部 局 を 総 務 部 ICT 推 進 課 と 定 め る 。

（管理運営部局が行う事務）
第 13 条管 理 運 営 部 局 は 、情 報 セ キ ュ リ テ ィ 運 用 管 理 者 の 指 示 に よ り 、以 下 の 各 号 に定める事務を行う。
(1)

ICT 推 進 委 員 会 の 運 営 に 関 す る 事 務(2)

本学情報システムの運用と利用におけるポリシーの実施状況の取りまとめ(3)

情報セキュリティに関する連絡調整、周知徹底（情報セキュリティアドバイザーの設置）
第 14 条CIO は 、情 報 セ キ ュ リ テ ィ ア ド バ イ ザ ー を 設 置 す る 場 合 に 業 務 内 容 を 以 下 のとおり定める。
(1)

本学全体の情報セキュリティ対策の推進に係る最高情報責任者への助言(2)

情報セキュリティ関係規程の整備に係る助言(3)

個別のセキュリティ対策推進計画の策定に係る助言(4)

セキュリティ教育実施計画の立案に係る助言並びに教材開発及び教育実施の支援(5)

情報システムに係る技術的事項に係る助言(6)

情報システムの設計・開発を外部委託により行う場合に調達仕様に含めて提示する情報セキュリティに係る要求仕様の策定に係る助言

(7)情報セキュリティ事故への対処の支援(8)

前各号に掲げるもののほか、情報セキュリティ対策への助言又は支援（情報の格付け）
第 15 条

情 報 セ キ ュ リ テ ィ 総 括 管 理 者 は 、情 報 シ ス テ ム で 取 り 扱 う 情 報 に つ い て 、機密性、完全性及び可用性の観点から、当該情報の格付け及び取扱制限の指定並びに明示等の規定を整備する。
（学外の情報セキュリティ水準の低下を招く行為の防止）
第 16 条情報セキュリティ運用管理者は、本学からの情報を受け取る 上でセキュリティ脆弱性につながる設定を相手方に強いるなど、学外の情報セキュリティ水準の低下を招く行為の防止に関する措置についての規定を整備する。
２

本学情報システムを運用・管理する者、及び利用者は、学外の情報セキュリティ水準の低下を招く行為の防止に関する措置を講ずる。
（情報システム運用の外部委託管理）

第 17 条情報セキュリティ総括管理者は、本学情報システムに関わる業務の全部又は一部を第三者に委託する場合には、当該第三者による情報セキュリティの確保が徹底されるよう必要な措置を講じるものとする。
（情報セキュリティの確認及び検査）
第 18条

情報セキュリティ担当者は、情報セキュリティ対策の実施状況を必要に応じ確認及び検査し、問題がある場合には、速やかに是正しなければならない。
２

情報セキュリティ運用管理者は、必要に応じ部局の情報セキュリティ対策の実施状況について確認及び検査を行い、問題がある場合には、是正を命じることができる。
３

情報セキュリティ対策の実施状況に係る前２項の確認及び検査は、客観性を確保するために、外部の専門的知識・見識を有する者の協力を得て実施することができる。
（情報セキュリティ監査責任者）
第 19 条２

情報セキュリティ総括管理者は、情報セキュリティ監査責任者を置く。

情報セキュリティ監査責任者は、情報セキュリティ総括管理者の指示に基づき、監査に関する事務を統括するとともに、情報システムのセキュリティ対策がポリシーに基づく手順に従って確実に実施されていることを必要に応じて監査する。

３

情報セキュリティ総括管理者が学外の者を情報セキュリティアドバイザーとして設置する場合、その者が情報セキュリティ監査責任者を兼務することができる。
（情報セキュリティ事故対策）

第 20 条情報セキュリティ運用管理者は、情報セキュリティ事故が発生した場合に備え、本学の事業及び事務の継続が困 難となることのないよう、緊 急対応手順、緊急 連 絡 体 制 、応 急 措 置 等 に つ い て 、「 情 報 セ キ ュ リ テ ィ 事 故 対 応 手 順 」を 別 に 策 定 する と と も に 、技 術 の 進 展 や こ れ に 伴 う セ キ ュ リ テ ィ リ ス ク の 動 向 等 を 踏 ま え 、適 宜 、見直しを行わなければならない。
２

万一、情報セキュリティに係る問題事案が生じた場合、その事象を把握した、又は通報を受けた本学情報システムの管理運営部局（総務部ＩＣＴ推進課）が、第１項により定められる「情報セキュリティ事故対応手順」に沿って、学内外への影響等を十分考慮のうえ、情報セキュリティ事故として扱うべき事案かどうかを判断する。
３

第 ２ 項 に よ り 情 報 セ キ ュ リ テ ィ 事 故 と 認 め ら れ る 案 件 に つ い て は 、「 公 立 大 学 法人横浜市立大学コンプライアンス推進規程」にて定める「コンプライアンス推進委員会」をすみやかに招集し、当該事故の原因究明及び影響調査を正確 かつ迅速に進めるとともに、問題解決や再発防止に向けた適切な対処を行わなければならない 。
（見直し）

第 21 条

情 報 セ キ ュ リ テ ィ 運 用 管 理 者 は 、ポ リ シ ー 、及 び ポ リ シ ー に 基 づ く 実 施 規 程及び手順について、課題及び問題点が認められる場合には、 その見直しを行う。
２

本学情報システムを運用・管理する者、及び利用者は、自らが実施した情報セキュリティ対策に関連する事項に課題及び問題点が認められる場合には、当該事項の見直しを行う。
附

則 （ 平 成 30 年 規 程 第 32 号 ）こ の 規 程 は 、 平 成 30 年 ４ 月 １ 日 か ら 施 行 す る 。
附則 （ 令 和 ４ 年 規 程 第 32 号 ）この規程は、令和４年４月１日から施行する。
附則 （ 令 和 ４ 年 規 程 第 45 号 ）この規程は、令和４年４月１日から施行する。