「　3分でわかる情報セキュリティ　」について
杏林学園の全教職員を対象とした、情報セキュリティ強化のための連載です。患者・学生・教職員の情報を守るため、閲覧の程よろしくお願いいたします。また、周りの教職員への周知にご協力いただければ幸いです。全記事と詳細は　こちら　から読むことができます。お問い合わせは総合情報センター（井の頭6232）まで。

学園が保有する学生情報、受験生情報、教職員情報などの情報資産は、教育・研究活動を支える重要な財産です。
これらの情報を適切に利用・管理することは、すべての教職員に求められる責務です。
近年、大学や企業では、私物端末の利用、USBメモリ等の紛失、ノートPCの置き忘れなどをきっかけとした情報漏えい事故が繰り返し発生しています。
改めて、学園の情報セキュリティ関連規程に則り、情報資産の適切な取扱いを徹底してください。

事例1　「自宅で作業したかった」― 私物PCの利用

授業資料の作成や名簿整理等のために、学園のデータをUSBメモリにコピーし、自宅で私物PCによる作業を行ったケースです。
私物PCは学園の管理下になく、セキュリティ対策の状況も確認できません。万一、ウイルス感染や不正アクセスが発生した場合、個人情報漏えいにつながるおそれがあります。

  • 規程上のルール
    学園支給以外の端末を用いて学園業務に係る情報処理を行う場合は、事前に情報セキュリティ責任者の許可が必要です。
    さらに、情報処理の目的が完了した後は、保存した要保護情報を消去しなければなりません。 [杏林学園情報システム利用規程 第6条]

  • ポイント
  • 無断で私物PC・私物タブレット・私物スマートフォンを業務に使用しない
  • やむを得ず利用する場合は事前に情報セキュリティ責任者（上長）の許可を得る
  • 使用後は保存した情報を速やかに削除する

事例2　「持ち運びに便利だから」― USBメモリ等への保存

学生名簿や会議資料をUSBメモリへ保存し、持ち歩いていたところ紛失したケースです。
USBメモリは小型であるため紛失しやすく、一度紛失すると情報漏えいにつながる危険性があります。USBメモリ等の持ち運びできる媒体ではなく、OneDrive・Dropbox（学園が提供するもの）を利用するようにしましょう。

  • 規程上のルール
    要保護情報が記録されたUSBメモリ等の外部電磁的記録媒体を学園管理区域外へ持ち出す場合は、情報セキュリティ責任者の許可が必要です。 [杏林学園情報システム利用規程 第2条]
    また、不要となった情報は速やかに消去しなければなりません。 [杏林学園情報セキュリティ対策基準 第36条]

  • ポイント
  • 個人情報をUSBメモリ等へ安易に保存しない
  • 学園管理区域外へ持ち出す場合は情報セキュリティ責任者（上長）の許可を得る
  • OneDrive・Dropboxを利用する
  • USBメモリ等の使用後は情報を速やかに削除する

事例3　「出張だから仕方ない」― ノートPCの持ち出し

出張や学外会議のためにノートPCを持ち出し、移動中に置き忘れたケースです。
端末自体を紛失しなくても、盗難や画面の盗み見などによって情報漏えいが発生する可能性があります。

  • 規程上のルール
    学園のモバイル端末、電磁的記録媒体、情報資産を外部へ持ち出す場合は、情報セキュリティ責任者の許可が必要です。 [杏林学園情報セキュリティ対策基準 第5条]
    また、教職員は盗難や紛失がないよう適切に管理しなければなりません。 [杏林学園情報システム利用規程 第7条]
  • ポイント
  • 業務上必要な場合のみ持ち出す
  • 必ず事前に上長・情報セキュリティ責任者（上長）の承認を得る
  • 移動中や出張先での管理を徹底する

「後で消そう」が事故の原因に

情報漏えい事故の調査では、

  • 一時的に保存したファイルを削除し忘れた
  • USBメモリ内またはノートPC内に過去の個人情報が残っていた
  • 異動後も不要なデータを保管していた

といった事例が少なくありません。
学園の情報セキュリティ対策基準では、保存された情報が業務上不要となった場合は、速やかに消去することが求められています。 [杏林学園情報セキュリティ対策基準 第36条]

規程違反がもたらす影響

情報漏えいが発生した場合、

  • 学生・患者・教職員への影響
  • 学園の社会的信用の低下
  • 原因調査や再発防止対応
  • 関係行政機関への報告
  • 損害賠償への対応

など、多大な影響が発生します。
また、学園の情報セキュリティ関係規程に違反した教職員および監督責任者は、その重大性や事案の状況に応じて就業規則に基づく懲戒処分の対象となることがあります。 [情報セキュリティ対策基準 第17条]

今一度確認しましょう

  1. 私物端末の利用
  • 無断利用は禁止
  • 利用する場合は情報セキュリティ責任者（上長）の許可を得る
  1. 個人情報の保存
  • 不要な保存を行わない
  • 利用後は速やかに削除する
  • やむを得ず保存する場合はパスワードを設定する
  1. 端末・USBメモリ等の持ち出し
  • OneDrive・Dropbox等を利用する
  • 業務上必要な場合のみ
  • 事前に情報セキュリティ責任者（上長）の許可を得る
  • 紛失・盗難防止を徹底する
  • 暗号化・パスワード設定等、被害極小化の工夫を行う

情報漏えいの代償は想像以上に大きい

前述の通り、情報漏えいは学園に対する社会的信用の低下だけでなく、学生・患者・教職員へ重大な影響を及ぼす可能性があります。
さらに、その後の対応において、本人だけではなく周囲の教職員も関係者への謝罪、行政機関への報告、外部への公表等で多大な労力と時間を費やすことになります。
情報漏えい事故の多くは、高度なサイバー攻撃ではなく、日常業務における「これくらいなら大丈夫」という油断から発生します。
教職員一人ひとりが規程を遵守し、学生・患者・教職員の大切な情報を守りましょう。