「高等教育機関の情報セキュリティ対策のためのサンプル規程集」（案）に関する意見・要望の募集の結果について

国立情報学研究所　国立大学法人等における情報セキュリティポリシー策定作業部会

電子情報通信学会 ネットワーク運用ガイドライン検討WG

平成１９年１月１６日付けで実施しました，「高等教育機関の情報セキュリティ対策のためのサンプル規程集」（案）に関する意見・要望の募集の結果について，お知らせします。

１．意見公募手続きの概要

（１）意見募集期間：平成１９年１月１６日〜平成１９年１月２２日

（２）告知方法：国立情報学研究所ホームページ，電子情報通信学会ホームページ

（３）意見提出方法：電子メール

２．提出意見総数

４件

３．提出意見の概要

番号	意見・要望提出者	意見・要望等の概要				扱い
１	国立大学教員	○大学と研究者の関係は、雇用者と被雇用者との関係というより、組合と構成員の関係に近い。本サンプル規定集において、雇用者・被雇用者関係にもとづいており、現実の大学の活動を鑑みた場合、円滑に実施運用できると考えることは非常に困難である。 以上のことから、情報システムの規定を、学術活動と大学の経営活動の2つに分離し、それぞれについて整備する方が合理的であり、実効的であると考える。				学術・教育活動と規律ある利用を調和させる方策について検討すべきであるが，本サンプル規程集において，国立大学法人A大学では、大学と研究者の関係が雇用契約に基づいていることから、サンプル規程集もそうなっているので，原案のままとした。
２	国立大学職員	規定名称	現状	修正案	修正理由
		定義の記載箇所	各所地に記載	一カ所に集約表記	余りにも定義が多すぎる。各手順を通した共通定義としてまとめて表示した資料が必要ではなかろうか？	規程として，必要な箇所で定義しているものであり，原文のままとした。 用語一覧について，今後検討する。
		情報システム運用基準	四　事務局情報システム　・・・・・・・	削除 ｏｒ 事務局情報システム以外のシステム、若しくは全体を包括したシステムの定義が必要	事務局システム以外の情報システムの定義がなくアンバランスである。 　後述されているＡ２５０１事務情報セキュリティ対策基準の用語の定義（７１頁）においても”情報システム”しか定義されていない。	意見の通り削除により修正した。
		情報システム運用基準	五　ポリシー ・・・運用基準をいう。	五　ポリシー ・・本運用基準をいう。	他の手順の表現との整合性を執りました。	意見の通り修正した。
		情報システム運用基準	世話部局	管理運営部局	”世話”という表現では責任の所在が不明瞭な感じを受ける。	意見の通り修正した。（同様１箇所）
		情報システム運用基準	第二十二条 　本方針及び運用基準	ポリシー（情報システム運用基本方針及び本運用基準）	次の２３条との条文表現の整合性を執りました。	意見の通り修正した。
		情報システム運用基準	第二十三条 　本ポリシー・・・・	ポリシー（情報システム運用基本方針及び本運用基準）	前条との条文表現の整合性を執り ました。	意見の通り修正した。
		情報システム運用・管理規定	第七条　解説 　・・・例えば、差出人が不明な電子メールに添付された不審なファイルを実行しないこと。	・・・不審な添付ファイルは差出人によらずとも実行しないこと。なお、差出人が判明している場合には相手に確認すること。	送信者名が詐称されている場合があるので、添付ファイルが不審と感じた場合には差出人が誰であろうと実行しないのが慎重な対応と思われる。	意見の通り修正した。
		情報システム運用・管理規定	第十四条　６ 部局技術責任者は、要保護情報・・・・	部局技術責任者は、要保全情報・・・・	前項において要機密情報に特化して記述しています。 本項の解説では、盗聴・改ざん防止を主体に説明しています。	政府機関統一基準の表記に準拠して必要なので、原文のままとした。
		情報システム管理運用規定	第二十一条解説末尾 ・・・、ポリシーによるものとする。	・・・、ポリシー（情報システム運用基本方針、情報システム運用基準）により実施するとともに、本規定第五条（禁止事項）の内容を遵守すること。	本規定五条にある管理者権限の乱用に配慮することを明示しておくほうが好ましいと考えました。	意見の通り修正した。
		情報システム運用・管理規定	第三十九条　第四十条１項・２項 　教職員等は・・・・	利用者等は・・・	修正漏れでは？	本サンプル規定集において、他規程への影響を考慮し、教職員以外を除外する必要があるところなので、原文のままとした。（同様２箇所）
		情報システム運用・管理規定	第四十六条２項 ・・・アカウント管理を行う者を定めること。	・・・部局技術担当者からアカウント管理を行うものを定めること。	定める対象者を限定かつ明示しては如何でしょうか？ 　なお、この場合、第５４条に至るまでの「アカウント管理を行う者」の表記を、「アカウント管理を行う者（部局技術担当者）」としては如何でしょうか？	意見を踏まえ、解説を修正した。
		情報システム運用管理規定	第七十条 ２　・・・要保護情報（機密性２情報を除く。）・・・ ３　・・・機密性２情報について・・・	質問	要保護情報は、 　要安定情報 　　　（可用性２情報） 　要保全情報 　　　（完全性２情報） 　要機密情報 　　　（機密性２及び３情報）から構成されているものと理解していますが、このうち機密性２情報だけが別扱いになっているのはなぜでしょうか？ 　 　また、本項が仮に機密性情報に特化した記述を想定しているのであれば、”要保護情報（機密性情報２除く）”　ではなく　”要機密情報（機密性３情報）”　とした方が良いのではないでしょうか？	政府機関統一基準の表記に準拠して、原文のままとした。
		利用規程	第七条 　教職員等（利用者）は、・・・・ 第九条 　教職員等は、・・・	利用者は、・・・・	修正漏れでは？	本サンプル規定集において、他規程への影響を考慮し、教職員以外を除外する必要があるところなので、原文のままとした。
		利用規程	第十二条 　・・・端末の適切に保護に注意・・・	・・・端末の適切な保護に注意・・・	誤字	意見の通り修正した。
		インシデント対応手順	複数箇所 ・・技術担当者・・・	・・部局技術担当者・・	表記統一	意見の通り修正した。
		インシデント対応手順	（５）（オ）　末尾 　実施の改善提案を行う。	実施規定の改善提案を行う。	表記統一	意見の通り修正した。
		インシデント対応手順	６　コンテンツに関する緊急対応	６　コンテンツインシデントに対する緊急対応	表記統一	意見の通り修正した。
		情報取扱い手順	４．２　（１） 　・・・格付け及び取扱制限を指定し、当該指定の結果を電磁的記録であるか書面であるかに応じて・・・	・・・格付けする。格付けの結果、要保護情報（機密性情報２・３、完全性情報２、可用性情報２）に該当する場合には取扱制限についても指定する。これら格付け及び取扱制限の結果については、電磁的記録であるか書面であるかに応じて・・・	要保護情報に該当するデータのみ取扱制限の指定をすれば良いと理解しています。 この内容理解に基づき、少しでも齟齬なく伝達できるよう補足しました。 如何でしょうか？	政府機関統一基準の考え方に準拠するものとし，原文のままとした。なお情報格付け手順について今後検討する。
		情報取扱い手順	５．２　（３） 　・・・電磁的記録の場合には、ソフトウエアを利用して電磁的記録を参照せずに格付け及び・・・	・・・電磁的記録の場合には、当該ファイルの内容を参照せずとも格付け及び・・・	ソフトウエアを利用して電磁的記録を参照するとしているが、ここでいうソフトウエアが特別なツールを想定しているようにも解せてしまうため。	意見の通り修正した。
		情報取扱い手順	５．２　（４） 　・・・なお、明記が不要な情報については、「付録Ｂ：格付け及び取扱制限不要な情報一覧」を参照すること。	・・・なお、明記が不要な情報については、情報システム運用委員会において「付録Ｂ：格付け及び取扱制限不要な情報一覧」に逐次反映することとし、利用者は同資料を参照すること。	情報システム運用委員会が定めた明記不要情報と、「付録Ｂ」が同一のものではなく、それぞれ別個のものであるとの誤解を招く恐れがある。	政府機関統一基準の表記に準拠して、原文のままとした。
		情報取扱い手順	５．３．２　（２）	５．３．２　（３）	内容が実行段階であることから後項番が望ましい。	政府機関統一基準の表記に準拠して、原文のままとした。
		情報取扱い手順	５．３．２　（４） 　・・・見直した場合には、指定者の責任として、・・・・	・・・見直した場合には、指定者に対して見直した旨を連絡する。当該指定者は、見直し後においても引き続き指定者として位置付けることとし、その責任として、・・・	【見直した場合の指定者を元の格付けを行った利用者とする場合】の表題の内容に準拠させる。	政府機関統一基準の表記に準拠して、原文のままとした。
		ＰＣ取扱い手順	１−２−ｂ 　演習室で大声で騒ぐ行為や、ゴミを放置する行為。 １−２−ｃ 　プリンタの紙詰まりや紙切れ、トナー切れを放置する行為。	削除	一般常識のことであり、あえて情報システムセキュリティの観点で記述するのではないと思われる。	意見を踏まえ、解説を修正した。
３	国立大学教員	○Ａ２２０１−１４　第１４条　「部局情報ネットワーク運営委員会」とあるが、「部局情報システム運用委員会」の修正漏れと思われる。				意見の通り修正した。
		○Ａ２１０１−３６　の第３６条の「研究教育事務以外の情報」について解説を付け加えていただきたい。				意見を踏まえ、解説を修正した。
４	国立大学教員	○「本学情報システム」（A大学情報システム）の範囲がよく分からない。対象となる「情報」の範囲について、規程により文言が異なり、範囲が不明確である。規律をする情報資産の対象範囲について、明確にしていただきたい。				今後検討する。