国立大学法人名古屋工業大学保有個人情報等の取扱い等に関する細則

 

平成17年3月22日 制定

 

   第1章 総則

(趣旨)

第1条 この細則は,国立大学法人名古屋工業大学(以下「法人」という。)における保有個人情報及び個人番号(以下「保有個人情報等」という。以下同じ。)の取扱い等に関し,必要な事項を定める。

 

   第2章 保有個人情報等の取扱い

(アクセス制限)

第2条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,当該保有個人情報等にアクセスする権限を有する職員とその権限の内容を,当該職員が業務を行う上で必要最小限の範囲に限る。

2 アクセス権限を有しない職員は,保有個人情報等にアクセスしてはならない。

3 職員は,アクセス権限を有する場合であっても,業務上の目的以外の目的で保有個人情報等にアクセスしてはならない。

(複製等の制限)

第3条 職員が業務上の目的で保有個人情報等を取り扱う場合であっても,保護管理者は,次に掲げる行為については,当該保有個人情報等の秘匿性等その内容に応じて,当該行為を行うことができる場合を限定し,職員は,保護管理者の指示に従い行う。

一 保有個人情報等の複製

二 保有個人情報等の送信

三 保有個人情報等が記録されている媒体の外部への送付又は持出し

四 その他保有個人情報等の適切な管理に支障を及ぼすおそれのある行為

(誤りの訂正等)

第4条 職員は,保有個人情報等の内容に誤り等を発見した場合には,保護管理者の指示に従い,訂正等を行う。

(媒体の管理等)

第5条 職員は,保護管理者の指示に従い,保有個人情報等が記録されている媒体を定められた場所に保管するとともに,必要があると認めるときは,耐火金庫への保管,施錠等を行う。

(廃棄等)

第6条 職員は,保有個人情報等又は保有個人情報等が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には,保護管理者の指示に従い,当該保有個人情報等の復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。

(保有個人情報等の取扱状況の記録)

第7条 保護管理者は,保有個人情報の秘匿性等その内容に応じて,台帳等を整備して,当該保有個人情報の利用及び保管等の取扱いの状況について記録する。

2 保護管理者は,特定個人情報ファイルの取扱状況を確認する手段として,特定個人情報ファイル管理簿を作成し,次の各号に掲げる事項を記録する。

 一 特定個人情報ファイルの種類

 二 法人の名称

三 利用目的

 四 作成者

 五 作成年月日

 六 廃棄年月日

3 前項に規定する特定個人情報ファイル管理簿は,電子データについてはログを保存し,紙媒体については台帳により管理する。

(取扱区域)

第8条 保護管理者は,個人番号及び特定個人情報(以下「特定個人情報等」という。)を取り扱う事務を実施する区域(以下「取扱区域」という。)を明確にし,物理的な安全管理措置を講ずる。

 

第3章 情報システムにおける安全の確保等

(アクセス制御)

第9条 保護管理者は,保有個人情報等(情報システムで取り扱うものに限る。以下この章(第21条を除く。)において同じ。)の秘匿性等その内容に応じて,パスワード等(パスワード,ICカード, 生体情報等をいう。以下同じ。)を使用して権限識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずる。

2 保護管理者は,前項の措置を講ずる場合には,パスワード等の管理に関する定めを整備(その定期又は随時の見直しを含む。)するとともに,パスワード等の読取防止等を行うために必要な措置を講ずる。

(アクセス記録)

第10条 保護管理者は,保有個人情報の秘匿性等その内容に応じて,当該保有個人情報へのアクセス状況を記録し,その記録(以下「アクセス記録」という。)を一定の期間保存し,及びアクセス記録を定期的に分析するために必要な措置を講ずる。

2 保護管理者は,アクセス記録の改ざん,窃取又は不正な消去の防止のために必要な措置を講ずる。

3 保護管理者は,特定個人情報等へのアクセス状況を記録し,その記録を一定の期間保存し,定期に又は随時に分析するために必要な措置を講ずる。また,アクセス記録の改ざん,窃取又は不正な削除の防止のために必要な措置を講ずる。

 (アクセス状況の監視)

第11条 保護管理者は,保有個人情報の秘匿性等その内容及びその量に応じて,当該保有個人情報への不適切なアクセスの監視のため,定期的なアクセス記録の確認等の必要な措置を講ずる。 

(管理者権限の設定)

第12条 保護管理者は,保有個人情報の秘匿性等その内容に応じて,情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため,当該特権を最小限とする等の必要な措置を講ずる。

(外部からの不正アクセスの防止)

第13条 保護管理者は,保有個人情報等を取り扱う情報システムへの外部からの不正アクセスを防止するため,ファイアウォールの設定による経路制御等の必要な措置を講ずる。

(不正プログラムによる漏えい等の防止)

第14条 保護管理者は,不正プログラムによる保有個人情報等の漏えい,滅失又は毀損等(以下「情報漏えい等」という。)の防止のため,ソフトウェアに関する公開された脆弱性の解消,把握された不正プログラムの感染防止等に必要な措置(導入したソフトウェアを常に最新の状態に保つことを含む。)を講ずる。

(情報システムにおける保有個人情報等の処理)

第15条 職員は,保有個人情報等について,一時的に加工等の処理を行うため複製等を行う場合には,その対象を必要最小限に限り,処理終了後は不要となった情報を速やかに消去する。

2 保護管理者は,当該保有個人情報等の秘匿性等その内容に応じて,随時,消去等の実施状況を重点的に確認する。

(暗号化)

第16条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,その暗号化のために必要な措置を講ずる。

2 職員は,前項の規定を踏まえ,その処理する保有個人情報等について,当該保有個人情報等の秘匿性等その内容に応じて,適切に暗号化を行う。

(記録機能を有する機器・媒体の接続制限)

第17条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,当該保有個人情報等の情報漏えい等の防止のため,スマートフォン,USBメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講ずる。

(端末の限定)

第18条 保護管理者は,保有個人情報等の秘匿性等その内容に応じて,その処理を行う端末を限定するために必要な措置を講ずる。

(端末の盗難防止等)

第19条 保護管理者は,端末の盗難又は紛失の防止のため,端末の固定,執務室の施錠等の必要な措置を講ずる。

2 職員は,保護管理者が必要があると認めるときを除き,端末を外部へ持ち出し,又は外部から持ち込んではならない。

(第三者の閲覧防止)

第20条 職員は,端末の使用に当たっては,保有個人情報等が第三者に閲覧されることがないよう,使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。

(入力情報の照合等)

第21条 職員は,情報システムで取り扱う保有個人情報の重要度に応じて,入力原票と入力内容との照合,処理前後の当該保有個人情報の内容の確認,既存の保有個人情報との照合等を行う。

(バックアップ)

第22条 保護管理者は,保有個人情報の重要度に応じて,バックアップを作成し,分散保管するために必要な措置を講ずる。

(情報システム設計書等の管理)

第23条 保護管理者は,保有個人情報に係る情報システムの設計書,構成図等の文書について外部に知られることがないよう,その保管,複製,廃棄等について必要な措置を講ずる。

 

第4章 情報システム室等の安全管理

(入退管理)

第24条 保護管理者は,保有個人情報等を取り扱う基幹的なサーバ等の機器を設置する室その他の区域(以下「情報システム室等」という。)に立ち入る権限を有する者を定めるとともに,用件の確認,入退の記録,部外者についての識別化,部外者が立ち入る場合の職員の立会い又は監視設備による監視,外部電磁的記録媒体等の持込み,利用及び持ち出しの制限又は検査等の措置を講ずる。また,保有個人情報等を記録する媒体を保管するための施設を設けている場合においても,必要があると認めるときは,同様の措置を講ずる。

2 保護管理者は,必要があると認めるときは,情報システム室等の出入口の特定化による入退の管理の容易化,所在表示の制限等の措置を講ずる。

3 保護管理者は,情報システム室等及び保管施設の入退の管理について,必要があると認めるときは,立入りに係る認証機能を設定し,及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。),パスワード等の読取防止等を行うために必要な措置を講ずる。

(情報システム室等の管理)

第25条 保護管理者は,外部からの不正な侵入に備え,情報システム室等に施錠装置,警報装置,監視設備の設置等の措置を講ずる。

2 保護管理者は,災害等に備え,情報システム室等に,耐震,防火,防煙,防水等の必要な措置を講ずるとともに,サーバ等の機器の予備電源の確保,配線の損傷防止等の措置を講ずる。

 

第5章 安全確保上の問題への対応

(事案の報告及び再発防止措置)

第26条 保有個人情報等の情報漏えい等の事案の発生又は兆候を把握した場合及び事務取扱担当者が取扱規程等に違反している事実又は兆候を把握した場合等,安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に,その事案等を認識した職員は,直ちに当該保有個人情報等を管理する保護管理者に報告する。

2 保護管理者は,被害の拡大防止又は復旧等のために必要な措置を速やかに講ずる。ただし,外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど,被害拡大防止のため直ちに行い得る措置については,直ちに行う(職員に行わせることを含む。)ものとする。

3 保護管理者は,事案の発生した経緯,被害状況等を調査し,総括保護管理者に報告する。ただし,特に重大と認める事案が発生した場合には,直ちに総括保護管理者に当該事案の内容等について報告する。

4 総括保護管理者は,前項の規定に基づく報告を受けた場合には,事案の内容等に応じて,当該事案の内容,経緯,被害状況等を学長に速やかに報告する。

5 総括保護管理者は,事案の内容等に応じて,事案の内容,経緯,被害状況等について,文部科学省に対し,速やかに情報提供を行う。

6 保護管理者は,事案の発生した原因を分析し,再発防止のために必要な措置を講ずる。

  (公表等)

第27条 事案の内容,影響等に応じて,事実関係及び再発防止策の公表,当該事案に係る保有個人情報等の本人への対応等の措置を講ずる。

2 公表を行う事案については,当該事案の内容,経緯,被害状況等について,速やかに総務省(行政管理局)に情報提供を行う。 

 

第6章 監査及び点検の実施

(監査)

第28条 監査責任者は,保有個人情報等の適切な管理を検証するため,国立大学法人名古屋工業大学の保有する個人情報の保護等に関する規程及びこの細則に規定する措置の状況を含む法人における保有個人情報等の管理の状況について,定期に及び必要に応じ随時に監査(外部監査を含む。以下同じ。)を行い,その結果を総括保護管理者に報告する。

(点検)

第29条 保護管理者は,各課室等における保有個人情報等の記録媒体,処理経路,保管方法等について,定期に及び必要に応じ随時に点検を行い,必要があると認めるときは,その結果を総括保護管理者に報告する。

(評価及び見直し)

第30条 総括保護管理者,保護管理者等は,監査又は点検の結果等を踏まえ,実効性等の観点から保有個人情報等の適切な管理のための措置について評価し,必要があると認めるときは,その見直し等の措置を講ずる。

 

第7章 行政機関との連携

第31条 法人は,「個人情報の保護に関する基本方針」(平成16年4月2日閣議決定)4を踏まえ,文部科学省と緊密に連携して,その保有する個人情報の適切な管理を行う。 

   附 則

 この細則は,平成17年4月1日から施行する。

附 則(平成27年3月17日細則第10号)

 この細則は,平成27年4月1日から施行する。

附 則(平成271028日細則第3号)

 この細則は,平成271028日から施行する。

附 則(平成271216日細則第4号)

この細則は,平成271216日から施行する。