○久留米市教育委員会教育情報セキュリティ規則
令和6年3月27日
久留米市教育委員会規則第2号
久留米市教育委員会学校情報セキュリティ規則(平成29年久留米市教育委員会規則第2号)の全部を改正する。
(目的)
第1条 この規則は、教育情報セキュリティ確保のための体制及び方策に係る基本的な事項を定めることにより、学校等(学校その他の教育機関であって教育委員会が所管するもの及び教育委員会をいう。以下同じ。)が保有する教育情報資産の機密性、完全性及び可用性の維持を図り、もって教育行政サービスを安全かつ効率的に提供することを目的とする。
(1) ネットワーク コンピュータ等を相互に接続するための通信網並びにその構成機器であるハードウェア及びソフトウェアをいう。
(2) 教育情報システム コンピュータ、ネットワーク及び電磁的記録媒体で構成され、情報処理を行う仕組みをいう。
(3) 教育情報資産 学校等において教育の用に供するために保有するもので、次に掲げるものをいう。
ア ネットワーク及び教育情報システム並びにこれらに関する設備及び電磁的記録媒体
イ ネットワーク及び教育情報システムで取り扱う情報
ウ 教育情報システムの仕様書、ネットワーク図等のシステム関連文書
(4) 機密性 情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保することをいう。
(5) 完全性 情報が破壊、改ざん又は消去されていない状態を確保することをいう。
(6) 可用性 情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保することをいう。
(7) 教育情報セキュリティ 教育情報資産の機密性、完全性及び可用性を維持することをいう。
(8) 教育情報セキュリティインシデント ウイルス感染、不正アクセスその他の校務運営に影響を及ぼし、教育情報セキュリティを脅かす事件及び事故並びにセキュリティ上好ましくない事象及び事態のことをいう。
(9) 教育CSIRT 教育情報セキュリティインシデントの関連情報、脆弱性情報、攻撃予兆情報等を収集及び分析し、適切な対処を行うための組織をいう。
(10) 教職員等 学校等に勤務する校長、副校長、教頭、主幹教諭、指導教諭、教諭、助教諭、養護教諭、養護助教諭、栄養教諭、実習助手、講師、事務職員、技術職員、学校栄養職員及び指導主事並びにこれらに準ずるものをいう。
(11) 教育情報セキュリティポリシー この規則及び第4条第1項の教育情報セキュリティ対策基準を総称する。
(想定する脅威)
第3条 教育情報資産の機密性、完全性及び可用性を維持するため、次に掲げる脅威を想定し、教育情報セキュリティに関するあらゆる方策を実施する。
(1) 不正アクセス、ウイルス攻撃、サービス不能攻撃等のサイバー攻撃、部外者の侵入等の意図的な要因による教育情報資産の漏えい、破壊、改ざん及び消去、重要情報の詐取、内部不正等
(2) 教育情報資産の無断持ち出し、無許可ソフトウェアの使用等の規定違反、設計及び開発の不備、プログラム上の欠陥、操作及び設定のミス、メンテナンス不備、内部及び外部の監査機能の不備、委託管理の不備、マネジメントの欠陥、機器故障等の非意図的要因による教育情報資産の漏えい、破壊、消去等
(3) 地震、落雷、火災等の災害によるサービス及び業務の停止等
(4) 要員不足に伴うシステム運用の機能不全等
(5) 電力供給の途絶、通信の途絶、水道供給の途絶等のインフラの障害からの波及等
(規範)
第4条 教育情報セキュリティに関する方策は、この規則を最上位の規範とし、具体的な遵守事項及び判断基準等を定めた教育情報セキュリティ対策基準(以下「教育情報セキュリティ対策基準」という。)並びに教育情報セキュリティ対策基準を実施するための具体的な手順を定めた教育情報セキュリティ実施手順(以下「教育情報セキュリティ実施手順」という。)に基づき実施するものとする。
2 教育情報セキュリティ対策基準及び教育情報セキュリティ実施手順は、公にすることにより本市の教育行政運営に重大な支障を及ぼすおそれがあることから、非公開とする。
(教職員等の遵守義務)
第5条 全ての教職員等は、教育情報セキュリティの重要性を理解し、業務の遂行に当たっては、教育情報セキュリティポリシー及び教育情報セキュリティ実施手順を遵守しなければならない。
2 教職員等は、職務の遂行において使用する教育情報資産を保護するため、次に掲げる法令のほか関係法令を遵守し、これに従わなければならない。
(1) 地方公務員法(昭和25年法律第261号)
(2) 教育公務員特例法(昭和24年法律第1号)
(3) 著作権法(昭和45年法律第48号)
(4) 不正アクセス行為の禁止等に関する法律(平成11年法律第128号)
(5) 個人情報の保護に関する法律(平成15年法律第57号)
(6) 行政手続における特定の個人を識別するための番号の利用等に関する法律(平成25年法律第27号)
(7) サイバーセキュリティ基本法(平成26年法律第104号)
(1) 最高教育情報セキュリティ責任者 教育部長
(2) 統括教育情報セキュリティ責任者 教育部次長
(3) 教育情報セキュリティ責任者 教育ICT推進課長(高等学校にあっては校長)
(4) 教育情報セキュリティ管理者 校長、課長及び教育センター所長
(5) 教育情報システム管理者 校長(高等学校にあっては事務長)、教育情報システムを所管する課の課長及び教育センター所長
(6) 教育情報システム担当者 教育情報システム管理者が指名した者
(最高教育情報セキュリティ責任者)
第7条 最高教育情報セキュリティ責任者(以下「CISO」という。)は、学校等における全てのネットワーク、教育情報システム等の教育情報資産の管理及び教育情報セキュリティ対策に関する最終決定権限及び責任を有する。
(統括教育情報セキュリティ責任者)
第8条 統括教育情報セキュリティ責任者は、CISOを補佐し、次に掲げる事項について統括的権限及び責任を有する。
(1) 学校等の全てのネットワークにおける開発、設定の変更、運用、見直し等
(2) 学校等の全てのネットワーク及びシステムにおける教育情報セキュリティ対策
(3) 教育情報セキュリティ責任者、教育情報セキュリティ管理者、教育情報システム管理者及び教育情報システム担当者に対する教育情報セキュリティに関する指導及び助言
(4) 教育情報セキュリティインシデントが発生した場合(セキュリティ侵害が発生するおそれがある場合を含む。以下同じ。)における措置の実施等
(5) 学校等の共通的なネットワーク、教育情報セキュリティ実施手順の維持及び管理
(6) 緊急時のCISOへの早急な報告及び教育情報資産の回復のための対策の実施
(教育情報セキュリティ責任者)
第9条 教育情報セキュリティ責任者は、次に掲げる事項について、所管する学校等における統括的権限及び責任を有する。
(1) 教育情報セキュリティ対策に関する事案
(2) 教育情報システムにおける開発、設定の変更、運用、見直し等
(3) 緊急時等における教育情報システムに係る連絡体制の整備、教育情報セキュリティポリシーの遵守に関する意見の集約及び教職員等に対する教育、訓練、助言及び指示
(4) 全ての教育情報資産及びそれらに関する教育情報セキュリティ対策に関する統括的な管理
(教育情報セキュリティ管理者)
第10条 教育情報セキュリティ管理者は、次に掲げる事項について、その所管する学校等における権限及び責任を有する。
(1) 所管する学校等における教育情報セキュリティ対策の実施、見直し等
(2) 所管する学校等において教育情報セキュリティインシデントが発生した場合における措置の実施等
(3) 所管する学校等における教育情報セキュリティポリシー及び教育情報セキュリティ実施手順を遵守した教育情報セキュリティの実施、行動規範の違反への対応等
(教育情報システム管理者)
第11条 教育情報システム管理者は、次に掲げる事項について、その所管する教育情報システムにおける権限及び責任を有する。
(1) 所管する教育情報システムにおける開発、設定の変更、運用、見直し等
(2) 所管する教育情報システムにおける教育情報セキュリティに関する事案
(3) 所管する教育情報システムに係る教育情報セキュリティ実施手順の維持及び管理
(教育情報システム担当者)
第12条 教育情報システム担当者は、教育情報システム管理者の指示等に従い、教育情報システムの開発、設定の変更、運用、更新等の作業を行う。
(教育CSIRTの設置)
第13条 教育情報システムに対するサイバー攻撃等の教育情報セキュリティインシデントが発生した際、発生した教育情報セキュリティインシデントを正確に把握し、及び分析し、被害の拡大防止、復旧、再発防止等を迅速かつ的確に行うため、教育CSIRTを置く。
(1) 教育情報資産の分類及び管理 学校等の保有する教育情報資産の重要性及び事故等が起きた場合の影響範囲に応じた分類に基づく教育情報セキュリティ対策
(2) 教育情報システム全体の強靭性の向上 教育情報セキュリティの強化目的として業務の効率性及び利便性の観点を踏まえた教育情報システム全体に対する対策
(3) 物理的セキュリティ サーバ、情報システム室、通信回線及び教職員等のパソコン等の管理に係る物理的な対策
(4) 人的セキュリティ 教育情報セキュリティに関する教職員等が遵守すべき事項の制定及び十分な教育並びに啓発を行う等の人的な対策
(5) 技術的セキュリティ コンピュータ等の管理、アクセス制御、不正プログラム対策、不正アクセス対策等の技術的対策
(6) 運用 教育情報システムの監視、教育情報セキュリティポリシー及び教育情報セキュリティ実施手順の遵守状況の確認、業務委託を行う際のセキュリティ確保等、教育情報セキュリティの運用面の対策及び教育情報資産に対するセキュリティ侵害が発生した場合等における迅速かつ適正に対応するための緊急時対応計画の策定
(7) 業務委託及び外部サービスの利用 業務委託、外部サービスの利用、ソーシャルメディアサービスの利用等における必要なセキュリティ対策
(緊急時の連絡及び報告体制)
第15条 統括教育情報セキュリティ責任者は、緊急時等の円滑な情報共有を図るため、CISO、統括教育情報セキュリティ責任者、教育情報セキュリティ責任者、教育情報セキュリティ管理者、教育情報システム管理者及び教育情報システム担当者間の緊急連絡網を整備しなければならない。
2 教育情報セキュリティ管理者は、緊急時等に必要な情報を報告するため、その所管する学校等における緊急時の報告体制を整備しなければならない。
(教育情報セキュリティに関する監査等)
第16条 教育情報セキュリティポリシー、教育情報セキュリティ実施手順その他の教育情報セキュリティに関する遵守状況を検証するため、必要に応じ、監査及び自己点検を実施するものとする。
(教育情報セキュリティポリシー等の見直し)
第17条 教育情報セキュリティ監査及び自己点検の結果、教育情報セキュリティポリシー等の見直しが必要となった場合、又は教育情報セキュリティに関する状況の変化に対応するため新たに対策が必要になった場合には、教育情報セキュリティポリシー等を見直すものとする。
(補則)
第18条 この規則に定めるもののほか必要な事項は、別に定める。
附則
この規則は、令和6年4月1日から施行する。