(目的)

第1条　公立大学法人都留文科大学(以下「本学」という。)は、本学の理念である「グローバル化・情報化の進展に伴い専門的な知識のみならず幅広い教養を備えた職業人・社会人育成」を実現するために、その研究活動や教育及び大学運営の過程において、多種多様な情報資産を取り扱っている。

(定義)

第2条　ポリシーにおいて、次の各号に掲げる用語の定義は、それぞれ当該各号のとおりとする。

(適用範囲及び責務)

第3条　ポリシーの対象範囲は、本学で扱うすべての情報資産とする。

(情報セキュリティ管理体制)

第4条　本学の情報資産について、教職員等及び学生等が一体となって情報セキュリティ対策を推進・管理するための体制を確立するものとする。

(情報資産の分類)

第5条　情報資産は、機密性、完全性及び可用性を踏まえ、別に定める重要性分類に従って分類し、その重要度に応じた情報セキュリティ対策を行うものとする。

(情報資産への脅威)

第6条　ポリシーは、次に掲げる情報資産に関わる脅威に対処するものとする。

(情報セキュリティ対策)

第7条　前条の脅威から情報資産を保護するために、次に掲げる情報セキュリティ対策を講ずるものとする。

(ポリシーの評価と更新)

第8条　ポリシーの遵守状況や有効性等を定期的に評価し、改善が必要と認められた場合には、速やかに実効性のあるポリシーに更新しなければならない。

(基本方針の公開について)

第9条　ポリシーのうち、情報セキュリティ基本方針については原則公開とする。

(組織)

第10条　ポリシーに基づく具体的事項について、立案、策定、管理、運用、評価及び見直しを行うため、次に掲げる組織を設けるものとする。

(最高情報セキュリティ責任者)

第11条　最高情報セキュリティ責任者は、全学における情報セキュリティ対策の最高責任者として業務を統括する。

(情報セキュリティ管理責任者)

第12条　情報セキュリティ管理責任者は、本学の情報セキュリティ管理の実施に関し、緊急時の連絡等、総括的な対応に当り、最高情報セキュリティ責任者を補佐する。

(情報セキュリティ審議会)

第13条　情報セキュリティ審議会は、本学における情報セキュリティ対策の最高の審議機関であり、次に掲げる事項を審議する。

(情報セキュリティ運営委員会)

第14条　情報セキュリティ運営委員会は、情報セキュリティの運用管理に関する現場の実態把握を踏まえ、運用管理上の課題と対策に関する実務担当者レベルの審議を行う機関であり、次に掲げる事項を審議する。

(情報セキュリティ担当者)

第15条　情報セキュリティ担当者は、情報セキュリティ管理責任者の指示により、情報利用者への情報セキュリティに関する教育、啓蒙及び助言・指示を行う。

(情報基盤管理者)

第16条　情報基盤管理者は、学内共用のネットワークに係る情報システム、データ等の情報資産の管理、開発、設定の変更、運用、見直し等を行う。

(情報資産の分類に応じた管理)

第17条　本学が保有する情報資産は、重要度に応じて適切に管理されなければならない。

(情報資産の分類)

第18条　情報資産を重要度に応じ次のように分類する。

(情報資産の管理)

第19条　情報資産は、前条に掲げた分類に応じて次のように管理しなければならない。

(情報の部分的公開)

第20条　非公開情報及び限定公開情報の一部を不特定の者に開示する場合には、個人情報の漏洩、プライバシーや著作権の侵害に十分注意し、公開できる情報だけを抽出するか、あるいは統計処理などの加工を行わなければならない。

(外部委託に伴う情報の持ち出し)

第21条　外部業務委託等のため、非公開情報を限定された第三者に開示する必要がある場合は、守秘義務契約を結ばなければならない。

(情報改ざん及び偽情報流布)

第22条　公開情報は、改ざんへの対策を講じるとともに、常に進化する不正アクセス技術の脅威を想定しておかなくてはならない。

(情報機器及び記憶媒体の処分)

第23条　非公開情報及び限定公開情報が納められた情報機器及び記憶媒体を破棄する場合は、その処分方法に注意しなければならない。特に、物理的な記憶媒体は、通常の消去操作では管理情報のみが消去されるだけでデータそのものは消去されないこと、また、数回の上書き消去では残留磁気情報等の読み出しによって情報を復元できることに、十分配慮しなければならない。

(物理的対策)

第24条　ポリシーに基づき、本学のネットワークに接続するすべてのクライアント機器、サーバ機器及びネットワーク機器に関する情報セキュリティの維持に必要な物理的対策を講じなければならない。

(クライアント機器の物理的対策)

第25条　クライアント機器をネットワークへ接続する場合、次に掲げるような物理的対策を講じなければならない。

第26条　クライアント機器は、許可なく学外に持ち出されないよう次に掲げるような物理的対策を講じなければならない。

第27条　クライアント機器の取扱いについて、次に掲げるような物理的対策を講じなければならない。

(サーバ機器の物理的対策)

第28条　サーバ機器は、次に掲げる条件を満たす管理区域に設置されなければならない。

第29条　電源を供給する際には、電圧の変動や突発的な停電、過電流に対応する装置を経由しなければならない。

第30条　サーバ機器をネットワークへ接続する場合、次に掲げるような物理的対策を講じなければならない。

第31条　サーバ機器に記録されるデータは、定期的にバックアップをしなければならない。

第32条　サーバ機器の管理者は、サーバ機器が管理区域から許可なく持ち出されないよう、ラックへの固定、設置場所の施錠などの対策を施さなければならない。

第33条　サーバ機器や管理区域については、次に掲げるような災害への対策を講じなければならない。

第34条　保守については、迅速に対応できる体制を整えなければならない。

(ネットワーク機器の物理的対策)

第35条　ネットワークの制御・管理機器は、許可された特定の者以外は使用できないように、施錠などによって物理的に隔離された区域に設置しなければならない。

第36条　ネットワークの制御・管理機器については、その設置場所を許可された特定の者以外に公開してはならない。

第37条　ネットワークの制御・管理機器については、多重化による信頼性の向上に努めなければならない。

第38条　保守については、迅速に対応できる体制を整えなければならない。

(技術的対策)

第39条　ポリシーに基づき、本学のネットワーク及び機器の設定、運用等に関する情報セキュリティの維持に必要な技術的対策を講じなければならない。

第40条　本学のネットワークにはファイアウォール、侵入検知システム及びその他必要と思われるセキュリティ機器を導入し、外部からの脅威に対処できるようにしなければならない。

第41条　情報基盤管理者及び情報セキュリティ担当者は、クライアント機器、サーバ機器及びネットワーク機器に対して、次に掲げるようなアクセス制御を行わなければならない。

第42条　情報基盤管理者及び情報セキュリティ担当者は、クライアント機器、サーバ機器及びネットワーク機器について、適宜システムを更新し、最新のものにするよう努めなければならない。

第43条　情報基盤管理者及び情報セキュリティ担当者は、クライアント機器、サーバ機器について、次に掲げるようなウイルス対策を行わなければならない。

第44条　本学が所有及び管理するクライアント機器、サーバ機器及びネットワーク機器を新たにネットワークに接続する際には、第41条から前条までの対策が施された状態でなければならない。

第45条　情報基盤管理者及び情報セキュリティ担当者は、サーバ機器及びネットワーク機器について、次に掲げる履歴情報(ログ)を取得すること。

第46条　情報基盤管理者及び情報セキュリティ担当者は、履歴情報及び通信内容の解析等にあたって、次に掲げる事項を遵守しなければならない。

(人的対策)

第47条　情報基盤管理者及び情報セキュリティ担当者は、次に掲げる事項を遵守しなければならない。

第48条　情報利用者は、次に掲げる事項を遵守しなければならない。

(不正アクセス、事故等への対応)

第49条　情報利用者は、情報セキュリティに関する事故、情報システムの不審な動作、不正アクセス(侵入、情報漏えい、改ざん等)、システム上の障害及び誤動作を発見した場合には、直ちに情報基盤管理者及び情報セキュリティ担当者に報告しなければならない。

第50条　情報基盤管理者及び情報セキュリティ担当者は、発生した事故等が第三者による不正アクセスによるものである場合、直ちに当該機器をネットワークから分離するとともに、アクセス記録の保全、適切なデータや設定の回復、原因の分析等必要な措置を行い、再発防止のための対策を講じなければならない。

第51条　情報基盤管理者及び情報セキュリティ担当者は、発生した事故等がウイルスの感染や第三者からの攻撃等である場合、直ちに当該機器をネットワークから分離するとともに、アクセス記録の保全、ウイルスの駆除、セキュリティホールの除去等必要な措置を行い、再発防止のための対策を講じなければならない。

第52条　学内からの不正アクセス等によって学内外に被害を及ぼし、社会的に重大な信用問題等が発生する場合は、直ちに最高情報セキュリティ責任者の判断のもと、関連する通信を遮断し、又は該当する機器を切り離すとともに、被害者や関係者への事実関係の説明、再発防止のための対策その他必要な措置を実施しなければならない。

第53条　情報利用者に対する情報セキュリティ上の事故・障害の通知は、問題の程度に応じた適切な表現に配慮し、速やかに行わなければならない。

(調査分析及び再発防止)

第54条　情報セキュリティ管理責任者は、情報セキュリティに関する事故又は欠陥に関する内容を速やかに最高情報セキュリティ責任者に報告するとともに、必要に応じ、これらの事故等についての調査分析及び再発防止策等の検討のため、情報セキュリティ運営委員会を開催するよう指示し、再発防止のためにその記録を保存管理しなければならない。

(教職員・学生以外の利用)

第55条　情報システムの開発・保守及びシステム管理業務を外部委託事業者に発注する場合は、外部委託事業者から下請けとして受託する業者を含めて、ポリシーに基づき外部委託事業者が守るべき内容の遵守を明記した契約を行わなければならない。

第56条　教職員等又は学生等以外の者が、クライアント機器を持ち込み、本学のネットワークに接続して利用する場合、情報基盤管理者は学外利用者にポリシーの内容を理解させ、実施及び遵守させるための適切な措置を施さなければならない。

(ポリシーの見直し)

第57条　情報セキュリティ運営委員会は定期的又は必要に応じてポリシーの実効性を評価する。見直しが必要な場合は、ポリシーの必要な部分の見直しについて審議しなければならない。