参考 2 インシデント対応手順による学外クレーム対応時の留意点
13. 本書に関する相談窓口
(1) 教職員等は、緊急時の対応又は本書の内容を超えた対応が必要とされる場合には、部 局技術責任者に相談し、指示を受けること。
(2) 教職員等は、本書の内容について不明な点又は質問がある場合には、部局技術担当者 に連絡し、回答を得ること。
付録A： 格付け及び取扱制限の判断基準
格付けの区分
【ポリシーの格付け分類に準拠する場合】
機密性についての情報の格付け 格付けの区分 分類の基準
機密性３情報 本学情報システムで取り扱う情報のうち、秘密文書に相当する機 密性を要する情報
機密性２情報 本学情報システムで取り扱う情報のうち、秘密文書に相当する機 密性は要しないが、その漏えいにより利用者の権利が侵害され又 は本学活動の遂行に支障を及ぼすおそれがある情報
機密性１情報 機密性２情報又は機密性３情報以外の情報
完全性についての情報の格付け 格付けの区分 分類の基準
完全性２情報 本学情報システムで取り扱う情報（書面を除く。）のうち、改ざ ん、誤びゅう又は破損により、利用者の権利が侵害され又は本学 活動の適確な遂行に支障（軽微なものを除く。）を及ぼすおそれ がある情報
完全性１情報 完全性２情報以外の情報（書面を除く。）
可用性についての情報の格付け 格付けの区分 分類の基準
可用性２情報 情報システムで取り扱う情報（書面を除く。）のうち、滅失、紛 失又は当該情報が利用不可能であることにより、利用者の権利が 侵害され又は本学活動の安定的な遂行に支障（軽微なものを除 く。）を及ぼすおそれがある情報
可用性１情報 可用性２情報以外の情報（書面を除く。）
取扱制限の種類
機密性についての取扱制限 取扱制限の種類 概要
○○禁止 ○○で指定した行為を禁止する必要がある場合に指定す る。
例）複製禁止、配付禁止、印刷禁止、転送禁止、転記禁 止、再利用禁止、送信禁止
○○要許可 ○○で指定した行為をするに際して、許可を得る必要が ある場合に指定する。
例）複製要許可、配付要許可、印刷要許可、転送要許可、
転記要許可、再利用要許可、送信要許可
○○必須 ○○で指定した行為を必須とする必要がある場合に指定 する。また、必須とする際の条件を設定する必要がある 場合には、当該条件を付与する。
例）暗号化必須、通信時暗号化必須
○○限り 提供する範囲を○○に限定する必要がある場合に指定す る。
例）教職員限り、課内限り
完全性についての取扱制限 取扱制限の種類 概要
○○まで保存 ○○の期日まで保存する必要がある場合に指定する。
例）平成１８年７月３１日まで保存
○○において保存 完全性が確保可能な○○の場所において保存する必要が ある場合に指定する。
例）共有ファイルサーバにおいて保存
保存期間満了後要廃棄 指定した保存期日を越えた際に廃棄する必要がある場合 に指定する。
○○禁止 ○○で指定した行為を禁止する必要がある場合に指定す る。
例）書換禁止、削除禁止
○○要許可 ○○で指定した行為をするに際して、許可を得る必要が ある場合に指定する。
例）書換要許可、削除要許可
可用性についての取扱制限 取扱制限の種類 概要
○○以内復旧 復旧に要する時間として許容可能な時間を設定する必要 がある場合に指定する。
例）１時間以内復旧
○○において保存 可用性が確保可能な○○の場所において保存する必要が ある場合に指定する。
例）年度内保存文書用共有ファイルサーバにおいて保存
格付け及び取扱制限の判断例
情報類型 格付け 取扱制限
○○資料 機密性２情報 完全性２情報 可用性２情報
複製禁止、配付禁止
△△資料 機密性２情報 完全性２情報 可用性２情報
暗号化必須
□□資料 機密性２情報 完全性２情報 可用性２情報
教職員限り
●●資料 機密性１情報 完全性２情報 可用性２情報
３日以内復旧、バックアップ必須
▲▲報告書 機密性２情報 完全性２情報 可用性２情報
５年間保存
■■情報 機密性３情報 完全性２情報 可用性２情報
複製禁止、配付禁止、暗号化必須、転送禁止、再 利用禁止、送信禁止、関係者限り、Ａシステムに おいて保存、書換禁止、保存期間満了後要廃棄
… … …
【手順書策定者への補足説明】
※ 取扱制限の種類については、情報を取り扱う他の者が制限すべき事項を理解できる 形式であれば、例示したものである必要はない。
※ 判断例の構成としては、文書の種類に基づくもの、特定文書に対応させたもの、本 学活動の内容に基づくもの等があるため、適宜の方法を採用する。
付録B： 格付け及び取扱制限の明記不要な情報一覧
教職員等に当該情報に関する格付け及び取扱制限の認識が周知徹底されているため、格付 け及び取扱制限を明記する必要がないと定められた情報は以下のとおりである。
• ○○資料
• ■■情報
• …
A3105 情報システム運用リスク評価手順
情報資産の管理者が行うリスク評価は、次に掲げる方法によるものとする。
(1) 情報資産の洗い出し
「リスク分析票」(添付１)の中項目ごとに関係する情報資産をすべて洗い出す。例えば、
「6.6.1 コンピュータの取外し可能な付属媒体」の場合、テープ、ディスク、カセット、MO、
USB媒体等、保有するすべての可搬媒体が該当する。これら情報資産を一つのセルに一つず つ記入する1。
(2) 脆弱性分析
「リスク分析票」(添付１)の安全対策項目と現状を比較し、脆弱性を数値で記入する。この とき、必要に応じ技術担当者の意見を取り入れ、現状を正確に把握する。脆弱性をあらわす 数値は以下のとおりである。なお、未実施または即実施のものについては現在の状況を備考 欄にメモしておくとよい。
数値 意味 判断基準
１ 実施済み 関連のドキュメントが整理され、それに則った運用 がなされている。
２ 一部実施 関連のドキュメントが不足しているか、または運用 が正確に行われていない。
３ 未実施 ドキュメントもなく、運用もされていない。
(3) 資産価値判断
上記で洗い出した情報資産を機密性 (C)、完全性(I)、可用性(A)の観点で情報資産をリスク 判断し、数値を記入する。判断基準は、これらの性格が損なわれたときに、その業務継続性 に与える影響度から判断する。
機密性(C)
３：情報資産に対し、基準となる安全性が確保されなかった場合、秘密性が著しく下が る。その結果、利用者や社会、本学情報システムの継続性など広範囲に影響が出る。
２：情報資産に対し、基準となる安全性が確保されなかった場合、秘密性が下がる。そ の結果、利用者や社会、本学情報システムの継続性など一部に影響が出る。
１：情報資産に対し、基準となる安全性が確保されなかった場合、秘密性が下がる危険 性が低い。また、利用者や社会、本学情報システムの継続性などに影響は出ない。
完全性(I)
1 リスク分析票の安全対策項目は次を参照されたい。
http://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Audit_Annex01_2.xls
３：情報資産に対し、基準となる安全性が確保されなかった場合、その情報の正確性ま たは業務処理の正確な運用ができなくなる。その結果、利用者や社会、本学情報シ ステムの継続性など広範囲に影響が出る。
２：情報資産に対し、基準となる安全性が確保されなかった場合、その情報の正確性ま たは業務処理の正確な運用ができなくなる。その結果、利用者や社会、本学情報シ ステムの継続性など一部に影響が出る。
１：情報資産に対し、基準となる安全性が確保されなくても、その情報の正確性または 業務処理は継続可能である。その結果、利用者や社会または本学情報システム運用 など、どの面にも影響が少ない。
可用性(A)
３：情報資産に対し、基準となる安全性が確保されなかった場合、利用すべき立場にあ る者が、必要なときに、情報及び関連する資産にアクセスできなくなり、利用者や 社会または本学情報システム運用など、広範囲に影響がある。
２：情報資産に対し、基準となる安全性が確保されなかった場合、利用すべき立場にあ る者が、必要なときに、情報及び関連する資産にアクセスできなくなり、利用者や 社会または本学情報システム運用などの一部に影響がある。
１：情報資産に対し、基準となる安全性が確保されなくても、利用すべき立場にある者 が、必要なときに、情報及び関連する資産にアクセスでき、利用者や社会または本 学情報システム運用など、どの面にも影響が少ない。
(4) 脅威の判断
上記(2)で洗い出した情報資産について、脅威を判断する。脅威の判断は、CIAが損なわれ る頻度によって判断する。
機密性(C)
３：機密性が失われる危険が常にある。
２：機密性が失われる危険が週に一度程度ある。
１：機密性が失われる危険が年に一度程度ある。
完全性(I)
３：情報の正確性や円滑な運用が失われる危険が常にある。
２：情報の正確性や円滑な運用が失われる危険が週に一度程度ある。
１：情報の正確性や円滑な運用が失われる危険が年に一度程度ある。
可用性(A)
３：利用すべき立場にあるものが、利用不可能に陥る危険が常にある。
２：利用すべき立場にあるものが、利用不可能に陥る危険が週に一度程度ある。
１：利用すべき立場にあるものが、利用不可能に陥る危険が年に一度程度ある。
(5) リスク値の算出
脆弱性と資産価値と脅威の値を足しリスク値を算出する。