CSIRTの役割は、次の各号に定めるところによる。情報セキュリティ事象や情報セキュリティインシデントの報告を受け付ける。外部機関等(公的機関や他大学、各種団体を含む)との情報交換を行う。必要に応じて関連機関に報告し、あるいは公表を行う。その他情報セキュリティインシデントの対応に関する必要な事項を実施する。Contactという。PoCの役割は、次の各号に定めるところによる。学内外からの第2項1号の受付を行い、それを記録する。必要に応じて通報に関係する者との的確な連絡役を担う。外部のPoC等と円滑なコミュニケーションを行えるよう信頼関係を構築する。その他通報の対応に関する必要な事項を実施する。CSIRTとPoCに関する必要な事項は、情報セキュリティインシデント対応細則で定めることができる。CISOは、年度始めに学園の経営方針に沿って情報セキュリティ目的と目標を設定し、委員会の意見を聞いた上で決定する。ISDは、年1回以上、自組織の情報セキュリティ目的と目標の達成度を自己点検・評価するようISMに指示し、取りまとめを行う。ISMは、年1回以上、自組織の本ポリシーの対象者に対して情報セキュリティ目的と目標を周知し、その達成度を調査する。本ポリシーの対象者は、年1回以上、担当する職務の情報セキュリティ目的と目標の達成度について、ISMに報告する。ISMは、年度末までに本ポリシーの対象者からの報告を受けて、自組織の情報セキュリティ目的と目標の達成度を自己点検・評価としてまとめ、ISDに報告する。ISDは、年度末までに自組織の情報セキュリティ目的と目標の達成度を自己点検・評価として取りまとめ、それを委員会(事務局)に報告する。CISOは、年度末に委員会を招集して、各部署の情報セキュリティ目的と目標の達成度を評価し、理事長に報告する。情報セキュリティ目的と目標に関する必要な事項は、情報セキュリティ目的と目標に関する実施細則を定めることができる。CISOは、委員会での検討結果に基づいて、情報セキュリティ目的と目標に関するリスクアセスメントの手法を定める。リスクアセスメントの手法は、主に次のいずれかによる。ISDは、CISOの指示に従い、年度毎に自組織におけるリスクアセスメントを行い、リスク対応を計画し、実施を取りまとめる。ISMは、ISDの指示に従い、それを補佐する。本ポリシーの対象者は、ISMの指示に従い、実行ないし報告する。ハード・ソフトの更新など)が変わった場合にも実施する。リスクアセスメントとリスク対応に関する必要な事項は、情報セキュリティリスクアセスメントとリスク対応細則で定めることができる。機密性とは、情報資産に対して、アクセスを認められた者だけがアクセスできる状態を確保することをいう。機密性に応じた分類は、次の各号の定めるところによる。ISMは、自組織の情報資産と情報システムを別表1の機密性管理要件にしたがって分類し、厳秘の情報について管理台帳を作成し、ISDに報告しなければならない。ISDは、自組織内の管理台帳をまとめて委員会(事務局)に届け出なければならない。本ポリシーの対象者は、取り扱う情報の機密性分類に応じた管理要件を守らなければならない。機密性区分に関する必要な事項は、情報資産セキュリティ管理細則による。完全性とは、情報資産の内容が変更(破壊、改ざん又は消去など)されていない状態を確保することをいう。完全性による分類は、次の各号の定めるところによる。ISMは、自組織の情報資産を第1項にしたがって分類し、完全性分類Aの情報について管理台帳を作成し、ISDに報告しなければならない。ISDは、自組織内の管理台帳をまとめて委員会(事務局)に届け出なければならない。本ポリシーの対象者は、取り扱う情報の完全性分類に応じた管理要件を守らなければならない。完全性分類に関する必要な事項は、情報資産セキュリティ管理細則による。可用性とは、情報資産へのアクセスを認められた者が、必要時に中断することなく、情報資産にアクセスできる状態を確保することをいう。可用性による分類は、次の各号の定めるところによる。ISMは、自組織の情報資産と登録情報システムを第1項にしたがって分類し、可用性分類Iの情報について管理台帳を作成し、ISDに報告しなければならない。ISDは、自組織内の管理台帳をまとめて委員会(事務局)に届け出なければならない。本ポリシーの対象者は、取り扱う情報の可用性分類に応じた管理要件を守らなければならない。可用性分類に関する必要な事項は、情報資産セキュリティ管理細則による。学園の教職員の採用にあたっては、情報セキュリティ施策の順守に支障がない人物であることを確認し、本ポリシー及び関連規程の順守を誓約させ、守秘義務契約を締結する。本ポリシー対象者は、CISOが定めた情報セキュリティ目的と目標を達成するための重点項目を含む情報セキュリティ施策の教育・研修を定期的に受講しなければならない。委員会(事務局)は、情報セキュリティに関する教育・研修の受講履歴を記録し、部署毎の受講管理や研修改善に役立てる。本ポリシー対象者の情報セキュリティの教育・研修に関する必要な事項は、情報セキュリティポリシー対象者の教育・研修細則で定めることができる。学園の教職員等が異動または退職する際に、上司は教職員が業務上手に入れた学園の厳秘及び学外秘の情報資産を全て返却させ、未返却の厳秘及び学外秘の情報資産がないことを確認させる。業務上知り得た機密情報について、守秘義務を退職後も一定期間負うことを確認させる。本ポリシーの対象者がポリシー違反を行ったときは、懲戒規程、その他の諸規程・諸契約に従って処分を受けることがある。Area)として区分を定める。情報セキュリティエリアのクラスは、次の各号に定めるところによる。開放エリア本ポリシー対象者に限らず部外者も出入りできる場所をいう。一般エリア主として教育を行う場所をいう。学内諸規程に基づき、第三者に貸し出す場合がある。管理エリア学園の関係者が業務を行う場所をいい、学園関係者以外の立ち入りを制限する。このエリアに立ち入る者は身分証の提示が求められる。外部の訪問者が立ち入る場合は教職員の許可及び同行または準ずる行為が必要となる。フロア単位で管理する場合がある。限定エリア管理エリアのうち、より強固な情報セキュリティを確保するための厳重な管理対策及び利用制限対策を実施する場所をいい、このエリア内の業務に関係する特定の関係者のみに立ち入りを許可する。このエリアには限定エリア責任者を置く。限定エリアへの立ち入りは、限定エリア責任者の許可が必要で、その入退出記録並びに許可の記録を残さなければならない。情報セキュリティエリアに関する必要な事項は、情報セキュリティエリア管理細則による。ISDは、自組織の情報機器の情報セキュリティ対策が適正に実施できるように立案し、統括しなければならない。年度末には、自組織の情報機器の管理状況を委員会(事務局)に報告しなければならない。ISMは、自組織の情報機器の情報セキュリティ対策が適正に実施されていることを確認し、管理をしなければならない。本ポリシーの対象者は、使用している情報機器に対し、情報機器の情報セキュリティガイドラインに従い、適切な情報セキュリティ対策を行わなければならない。情報機器は、所有者により、次の3つに分類して管理される。情報機器は、使用する業務の性質により、次の2つに分類して管理される。本ポリシーの対象者は、個人所有の情報機器を業務利用する場合、個人所有の情報機器の業務利用ガイドラインに準拠した情報機器を使用し、かつ、所属のISDの許可を得なければならない。本ポリシーの対象者は、第5項(i)に該当する情報機器の設置と移動については各種法令や学内諸規程、個別のソフトウェアライセンス等を順守し、所属および該当する情報セキュリティエリアのISDの承諾を得てから行わなければならない。本ポリシーの対象者は、第5項(ii)の情報機器を学園の敷地外に持ち出す場合、情報機器の持ち出しガイドラインに準拠した適合端末であることを確認し、必要な手続きを経なければならない。ISDは自組織の持ち出し記録の管理方法を定めて情報セキュリティを確保し、その管理状況を委員会(事務局)へ報告しなければならない。本ポリシーの対象者は、当該情報機器において、情報セキュリティインシデントが疑われる場合は、直ちにPoCに通報しなければならない。情報機器のセキュリティ対策に関する必要な事項は、情報機器セキュリティ対策実施細則による。ISDは、当該登録情報システムの情報セキュリティ対策が適正に実施できるよう立案し、統括しなければならない。ISMは、当該登録情報システムの情報セキュリティ対策が適正に実施されていることを確認しなければならない。ISAは、システム管理を行っている登録情報システムに対し、当該登録情報システムのリスクに応じた情報セキュリティ対策を行わなければならない。本ポリシーの対象者は、当該登録情報システムに問題を発見した場合は、それをISAに報告し、ISAは調査や対応を行う。情報セキュリティインシデントが疑われる場合は、直ちにPoCに通報しなければならない。登録情報システムのセキュリティ対策に関する必要な事項は、登録情報システムセキュリティ対策実施細則による。本ポリシーの対象者は、厳秘の情報資産の学外持ち出しまたは学外からのアクセスを行う場合は、別表1や当該登録情報システムのガイドライン等に従わなければならない。情報資産の学外持ち出しと外部からのアクセスに関する必要な事項は、情報資産セキュリティ管理細則による。ISMは、業務上の理由により、第三者に対して厳秘及び学外秘の情報資産の取り扱いを許可する場合、ISDの承認を得た上で情報資産の使用制限を定め、かつ、必要な事項を記載した秘密保持契約を結ばなければならない。)した上で行うものとする。第三者による情報資産の取り扱いについての必要な事項は、第三者による情報資産取扱細則で定めることができる。本ポリシーの対象者は、情報セキュリティインシデント、または情報セキュリティ事象や不正利用等を発見した場合は、速やかにPoCに届け出なければならない。情報システム部は、主に情報セキュリティ事象をモニタリングし、必要に応じて、ISMやISAと協業しながら、情報セキュリティインシデントや不正利用等の発生抑制に努める。