名古屋大学は「自由闊達な学風の下、人間と社会と自然に関する研究と教育を通じて、人々の幸福に貢献すること」を大学の使命としている。研究・教育における情報の公開性・利便性は重要な社会的要請である一方で、不正アクセス、情報漏えい、サイバー犯罪などの問題も社会的に急増しており、安全性の確保が求められている。名古屋大学は、安全性に配慮しつつ、公開性・利便性を確保するという立場を選択する。多くの事項について事前に詳細で硬直化した制限を設けるよりは、各構成員が情報基盤の利用に関するあらゆる行動に責任をもち、情報利用技術の最新の成果を利用して柔軟な行動をとることを奨励する。公開性・利便性に伴う危険性を啓発し、利用者の情報セキュリティに関する自覚と技能の向上を目的とした教育・研修制度を導入する。確保、それらの適切な運用、保全及び検証の促進、ならびに、教育・研修制度に関する基本方針を定める。(基本姿勢)名古屋大学は、社会を構成する一員として、安心・安全な情報環境を整え、これを維持し、学術の府としての社会的責任を果たす。(未然防止)名古屋大学は、情報セキュリティ障害を未然に防止し、教育研究及び付随業務の円滑な遂行が可能な情報基盤の確立を目指す。(事後対策)名古屋大学は、情報セキュリティ・インシデントが発生した場合には、その被害の最小化と迅速な復旧、再発防止に努める。(運用及び保全のマネジメント)名古屋大学は、情報セキュリティにおける役割と責任を明確にし、情報セキュリティマネジメントシステムによる、情報基盤の継続的な改善に努める。アクセス防止、個人情報の保護等の法令遵守を通して、安心と信頼に応える情報セキュリティ環境の構築を進める。学術活動及び事業活動に関わるすべての関係者とその情報資産に適用する。破壊、漏洩等から保護し、事業の継続性を維持するために、以下の対策を策定する。行うための情報セキュリティ組織を名古屋大学に設ける。名古屋大学の情報セキュリティを全体として統合するため、情報セキュリティ戦略組織と全学情報セキュリティ組織を設ける一方、セキュリティポリシーを実施するため、関係部局その他を単位とする情報セキュリティ単位組織を設ける。情報セキュリティポリシーが遵守されているか否かを検証する情報セキュリティ監査組織を設置する。情報セキュリティ戦略組織は、全学情報セキュリティ組織と情報セキュリティ単位組織と協力して、以下の業務を担当する。これらの組織の行う決定や基準・ガイドライン設定は、全学の構成員および大学外の関係者に大きな影響を及ぼす可能性があるので、十分な情報公開の体制をあわせて整備する。全学情報セキュリティ組織は以下の業務を担当する。情報セキュリティ単位組織は以下の業務を担当する。情報セキュリティ監査組織は以下の業務を担当する。情報をオンライン化し、ネットワークに接続された機器に保存する場合には、通常の印刷物とは別個の慎重な取り扱いが求められる。準拠して扱うべきであるが、情報保存の特殊性に応じた体制と規程・手引きを別途整備する。第三者が保有する電子化情報に対しても適切な取り扱いが必要となる。その他情報管理に関わる事項について基準・手続を定め、それよって情報を管理しなければならない。公的情報の管理者は、情報セキュリティ組織の求めがあった場合、情報の管理状況を報告しなければならない。管理者により、秘密情報に指定された情報を個人の機器等に複製し、外部に持ち出す場合には、決められた手順によらなければならない。機器の認証情報その他の情報セキュリティに関わる情報は、情報セキュリティ組織の許可なしに公開してはならない。情報を利用しようとするものは、アクセス制御機構の有無にかかわらず、自己の権限外または権利侵害となるような情報へのアクセスを試みてはならない。各組織は、情報セキュリティとして組織でどのような情報の扱いが求められているかを周知徹底すると共に、その管理体制の見直しを適宜行い、その結果を広報することで各人の情報セキュリティ意識の向上を図る体制を整備しなければならない。名古屋大学の各組織は情報セキュリティ監査組織による情報セキュリティ監査を受けるものとする。情報セキュリティ監査とは、被監査部門とは独立性を有した組織又は者が行う情報セキュリティに関する確認行為(独立的評価)を意味する。情報セキュリティ監査では、自己点検結果等をサンプリングし、その確認・評価を行い、その結果を各組織に報告することにより、名古屋大学内におけるセキュリティレベルの向上に資する。本情報セキュリティポリシーで述べる情報セキュリティを実現するには、技術的な基本方針の設定が必要である。以下、名古屋大学が保有する情報機器に対する情報セキュリティ技術基本方針を設定するとともに、別途ガイドライン等を策定する。ネットワークは、外部からの接続に関しては、申請に基づき必要に応じて開放することを原則とする。不正アクセスその他の理由によって緊急の対処を必要とする場合には、被害の拡大を防止するために、日常のネットワーク管理を行う者は、情報セキュリティ組織の議を経ずに、特定のサービスを停止する、または、特定の機器から外部へのアクセスを遮断することができる。ネットワーク管理者は、ネットワーク機器の機器設置責任者がセキュリティポリシー、または、別途定める技術基準に違反していると認めた場合には、改善を求めることができる。情報セキュリティに関する義務を十分果たさなかった結果として、被害が学内外に発生した場合には、機器設置責任者だけでなく、大学全体が社会的に指弾される可能性がある。したがって、機器設置責任者は、情報セキュリティ確保のために最善の努力をしなければならない。ネットワークの利用者に対して、情報セキュリティに関する研修を実施するものとする。情報セキュリティ新たなネットワークの設計・構築にあたっては、情報セキュリティを十分に考慮した設計にしなければならない。新たにネットワークを設計・構築して運用に供する場合には、事前に情報セキュリティ組織と協議して、その承認を得なければならない。既設のネットワークを延長したり、改変を計画する場合にも、情報セキュリティ組織との協議と承認が必要である。情報セキュリティ組織の承認なく、外部から名古屋大学キャンパス情報ネットワーク内に直接アクセスするためのネットワーク設備を設置することは許されない。ネットワーク設備ネットワーク設備とは、ルータやハブ装置およびネームサービスを行う機器をいう。これらの機器の設置および管理の詳細は、別に定めるガイドラインによるが、ネットワーク設備設置および維持に関しては少なくとも以下のような基準を満たさなければならない。ソフトウエアの最新性ネットワーク機器のソフトウエアは、最新の状態に保つ最大の努力をしなければならない。ネットワーク管理者以外の者のアクセス防止ソフトウエアにより機能の設定が可能なネットワーク機器にあっては、ネットワーク管理者以外の者が機器にアクセスできないような対策をとらなければならない。新規のネットワーク設備の設置にあたっては、物理的な破壊行為等から機器を保護するために、安全な設置場所を選択しなければならない。管理下にない装置を無認証で名古屋大学キャンパス情報ネットワークに接続可能とする情報コンセントおよび無線LAN装置等のアクセス機器は設置してはならない。名古屋大学キャンパス情報ネットワークに接続する機器について所定の機器登録データベースに登録しなければならない。あった場合、ネットワーク機器の稼動状況を報告しなければならない。端末機器とは、ネットワーク機器以外のパーソナルコンピュータ、ワークステーション等をいう。端末機器の設置および管理の詳細は、別に定める「セキュリティ技術ガイドライン」によるが、少なくとも以下のような基準を満たさなければならない。特殊な機器をネットワークに接続して利用しようとする場合には、情報セキュリティ組織と事前に協議しなければならない。セキュリティ対策の不十分な機器の接続禁止セキュリティ技術ガイドラインに合致したセキュリティ対策の施されていない機器をネットワークに接続してはならない。端末機器は、その機器設置責任者の許可した者だけが利用できる状態でなければならない。端末機器の利用状況を把握可能にし、情報セキュリティ組織の求めがあった場合、機器の利用状況を報告しなければならない。所定の機器登録データベースに登録しなければならない。情報セキュリティ組織がセキュリティ確保上必要と認めた場合、情報セキュリティ組織は、機器設置責任者に対して、一定の具体的対策をとるよう求めることができる。セキュリティ機器を設置・維持・管理しなければならない。情報セキュリティ機器の設置および運用は、少なくとも以下のような基準を満たさなければならない。情報セキュリティ機器の最新性セキュリティ組織は、セキュリティ機器を可能なかぎり最新のものに保つよう努めなければならない。情報セキュリティ機器等で、セキュリティ上重要と考えられる事象が発見された場合、情報セキュリティ組織は、遅滞なく必要な対策をとらなければならない。情報セキュリティを確保するためには、セキュリティ機器によるネットワーク通信の監視が不可欠であり、全学構成員には、セキュリティ機器によるネットワーク通信の監視が行われることを通知し、その了承を求めなければならない。情報セキュリティ組織は、情報セキュリティ機器の運用状況をセキュリティ維持と矛盾しない範囲でできるだけ詳細に全学構成員に公表しなければならない。情報セキュリティに関する相談窓口、ならびに、情報セキュリティインシデント発生あるいはその恐れがあるときの連絡体制を整えなければならない。名古屋大学は情報セキュリティインシデント発生における迅速な対応を可能とするために、対応手順を別途定めなければならない。セキュリティガイドラインが遵守されるように最大限の努力を図る。ITヘルプデスクにお願いします。