○奈良国立大学機構情報システム非常時行動計画
| (令和4年4月1日機構規程第28号) |
|
|
(目的)
第1条 この規程は、奈良国立大学機構(以下「機構」という。)の情報システム運用において、非常事態が発生した場合の行動を非常時行動計画として事前に定め、早期発見・早期対応により、情報セキュリティインシデントの影響を最小限に抑え、早急な情報システムの復旧と再発防止に努めるために必要な措置を講じることを目的とする。
(定義)
第2条 この規程において、次の各号に掲げる用語の意義は、それぞれ当該各号の定めるところによる。
(1) ポリシー 奈良国立大学機構情報セキュリティポリシー(令和4年度機構規程第23号)をいう。
(2) CSIRT規程 奈良国立大学機構情報セキュリティインシデント対応チーム(CSIRT)規程(令和4年度機構規程第27号)をいう。
(3) 非常事態 機構情報システムの運用に関する情報セキュリティインシデントのうち、特に重要かつ緊急性を要する案件が発生したことをいう。
2 前項に規定するもののほか、この規程において使用する用語の意義は、この規程、ポリシー及びCSIRT規程の定めるところによる。
(インシデントの報告)
第3条 ポリシー第12条第1項に規定するCSIRT(以下「CSIRT」という。)は、機構内外からの情報セキュリティインシデントについての通報を受け、迅速に情報を集約し、周知・公表する。
2 CSIRTは、認知した情報セキュリティインシデントのうち、非常事態の発生又はそのおそれがある場合には、速やかに最高情報セキュリティ責任者(以下「CISO」という。)へ報告し、情報システム非常時対策本部の設置を提案する。
(非常時対策本部)
第4条 CISOは、前条第2項による情報セキュリティインシデントの内容が非常事態と判断される場合には、被害の拡大防止及び早急な復旧のために情報システム非常時対策本部(以下、「非常時対策本部」という。)を設置するものとする。
2 非常時対策本部は次の各号に定める委員(以下「本部委員」という。)をもって構成する。
(1) CISO
(2) CSIRT構成員
(3) 当該インシデントに関係する情報化責任者
3 非常時対策本部に非常時対策本部長(以下「本部長」という。)を置き、CISOをもって充てる。
4 本部長は、非常時において迅速かつ適切に対応するため、理事長からあらかじめ権限の委譲を受けておくものとする。
5 本部長が必要と認めたときは、本部委員以外の者を出席させることができる。
(非常時連絡網)
第5条 非常時対策本部には、緊急連絡及び情報共有等を行うためにCSIRTが担当する非常時連絡窓口を設置し、関係者に周知徹底する。
2 非常時連絡窓口は、本部長の指示に基づき、通報者及び捜査当局、クレームの相手方、関係各省庁等、報道関係者等その他の外部との対応を直接又は広報窓口を通じて行う。
3 非常時連絡窓口は、本部長の指示に基づき、学内関係者からの情報の受付及び収集並びに被害拡大防止、復旧のための緊急対策等を行う。
4 本部長は、非常時連絡窓口を中心とする非常時連絡網を整備する。
5 非常時連絡網の連絡先には、委員のほか、総務担当部署及び広報担当部署を加え、必要に応じて法律専門家並びにインシデント対応部局の情報化責任者等を加えるものとする。
(インシデント対応手順)
第6条 具体的な情報セキュリティインシデント対応は、奈良国立大学機構情報セキュリティインシデント対応手順に基づき対処する。
2 非常時対策本部設置後においては、非常時対策本部の指示が情報セキュリティインシデント対応手順に優先する。
(再発防止策の検討)
第7条 本部長は、非常事態への対応が終了した場合、非常時対策本部からポリシー第13条第1項に規定する情報システム委員会(以下「情報システム委員会」という。)への報告書の提出をもって、非常時対策本部を解散するものとする。
2 情報システム委員会は、報告書をもとに再発防止策の実施を図る。
(各大学における対応)
第8条 大学に発生した非常事態については、大学であらかじめ定められた手順に従い対応する。
(災害発生時等における対応)
第9条 非常事態を含む複合的な災害発生時等においては、本計画のほか機構及び大学であらかじめ定められた危機管理マニュアル及び各種ガイドラインに従い対応する。
附 則
この規程は令和4年4月1日から施行する。