平成21年度　大学情報セキュリティ研究講習会

開催報告

A．情報セキュリティインシデント対応コース　

1．概要

本年度の情報セキュリティ研究講習会では、「事故対応社会」というキーワードに注目し、実習コースとしては「インシデント対応」をテーマに取り上げることにした。
大学では、所謂、セキュリティインシデント以外にも、システムの故障トラブルや利用者間の人的トラブルにも見舞われる。
本年度のセッションでは、「大学でセキュリティインシデントが発生した」という想定で、運用面での対応と被害状況調査、また技術面での対策という複数の側面から実習を行った。

2．監視システムの整備

コンピューターセキュリティインシデントに対処するには、正確で信頼できるログが必須となる。そのためには、コンピュータシステムの時刻同期とログの適正な設定および安全な保管が基礎となる。そこで、NTPサービスの設定およびsyslogサービスの設定を題材に選んで実習を行った。

3．インシデント調査と対応

大学で発生したセキュリティインシデントに対応する実習を行った。具体的には、学生宛てに大学を装ったフィッシングメールが届き、数名の学生がIDとパスワードを詐取され、学内のメールシステムや学習支援システムへの不正アクセスを受けたという状況を想定した。実習では、窓口対応、緊急対応や組織体制について触れた後、被害状況調査の技術的なアプローチ、更には外部調査機関や警察への捜査依頼の際の留意点を扱った。同時に、メールの信頼性についても、技術的な観点から詳細な解説を行った。

4．フィッシング詐欺とDNSキャッシュポイズニング

　本講習で扱ったセキュリティインシデントでは、フィッシング詐欺が重要なポイントとなっている。そこで、フィッシング技法の内でもURLの秘匿を主眼に、クロスサイトスクリプティング脆弱性の悪用とDNSキャッシュ汚染について、講義とデモで理解を深めた。
　また、キャッシュ汚染への一時的対策として、DNSソースポートランダマイズ、コンテンツサーバとキャッシュサーバの分離について紹介し、本質的な対応策としてはDNSSECが必要であることについて説明した。

5．DNSSEC ～DNS SECurity extensions～

　DNSキャッシュ汚染は、IPAの示す10大脅威の1位でもあり、大学としても対応を検討するべき課題である。特に、DNSの脆弱性を本質的に解決するためには、DNSゾーン情報の信頼性のチェックを行う仕組みが必須となる。
　そこで、今後の大学サイト運営のヒントとなるよう、DNSSECの導入を実習した。また、DNSSECを巡るアプリケーションや管理ツールの開発状況についても触れた。

B．情報セキュリティマネジメントコース

Ⅰ.コース概要　

　各大学において必要なセキュリティ対策を行っているものの、組織全体を通してのマネジメントでは、不安感を持ち対応に苦慮しているケースが過去の情報セキュリティインシデントから浮かび上がっている。本コースでは、情報セキュリティの概要を理解し、私情協が作成した「情報セキュリティ対策チェックリスト」（http://www.juce.jp/sec2009/list.html)を題材に、グループディスカッションを通して大学における情報セキュリティ課題を鮮明にし、対応策の探究を行った。
本コースの参加者は、多くが情報センター関連の所属であったが、教務･学生部門や総務･管財などの事務部門、法人部門等からの参加もあった。これは、情報セキュリティの問題が、大学運営の全般に関わっていることを反映していると思われる。

Ⅱ．プログラム内容

１．情報セキュリティの概要
    本セッションでは、情報セキュリティの基礎知識の習得を目的とし講義を行った。基礎知識の項目としては、①情報セキュリティの定義、②情報セキュリティの三大要素、③情報資産の定義、④リスクの評価と対応、⑤情報セキュリティ対策の分類、⑥情報セキュリティポリシー、⑦情報セキュリティマネジメントプロセスとした。

２．情報セキュリティ対策の自己点検・評価について
    私情協が作成した情報セキュリティ対策チェックリストについて、作成の趣旨と対策チェックの視点（情報資産の把握、組織的対応、人的対応、技術的・物理的対応）を説明した。

３．企業における情報セキュリティ対策の自己評価・効果測定の事例紹介
    情報セキュリティ対策の自己評価・効果測定について、賛助会員より企業における事例を紹介いただいた。
(1) 日本電気（株）様
　企業におけるセキュリティマネジメント、NECのセキュリティマネジメント、民間企業と学校法人のセキュリティマネジメントについて講演いただいた。

(2) （株）日立製作所様
　情報セキュリティマネジメントにおける情報漏えい対策としての課題と解決手段としての指静脈認証の有効性について講演いただいた。

４．情報セキュリティ対策チェックリストのチェック作業とディスカッション
　事前課題としていたチェックリストの回答をもとに受講者間でディスカッションを行い、情報セキュリティ対策についての必要性、効果的な手法、対策の効果等について検討した。ディスカッション時のグループ編成には、参加者の所属大学の特徴や所属・役職等を考慮した。グループディスカッションにおいて出された主な意見としては以下のとおり。

(1)    情報資産の把握
・情報資産は、管理者別に職員管理、教員管理に大きく分けられる。教員管理の情報資産は統制が難しく、資産把握を課題化すべきである。
・目録を作成し、重要度を定めることで管理・運用を的確に行うことができる。そうすることでリスク分析・対応が可能となる。

(2)    組織的対応
・情報セキュリティの必要性について、経営者層に対する意識づけが重要である。
・セキュリティポリシーは策定したものの、実施基準に至っていない。また、構成員（学生、教員、職員、請負業者及び非常勤、臨時職員を含む）への周知ができていない。→PC起動時にポリシー遵守を問うなどの取り組みをしているとの紹介があった。
・監査体制の確立においては、学外からの有識者の招聘を含めた検討が必要。
・システム監査の実施は進められているが、監査対象範囲の基準化が必要。
・セキュリティ対策を進めるためには、外的要因・内的要因のそれぞれが必要。
・教員、学生、職員への啓蒙活動を実施すべき。

(3)    人的対応
・事故管理委員会を設置し、対応マニュアルを策定するなど手順を明確にすることで事故対応と報告義務を確実に実施。
・事例として、不適切なサイトを規制し、該当するサイトを閲覧した際、倫理規定にリンクさせているなど、具体的な手立てが紹介された。
・アクセス権の設定と権限管理を行うにあたり、人事異動の際の手立ての具体化が必要となる。

(4)    技術的・物理的対応
・対応のルール化を行うことが重要。
・研究室での対策は、十分な把握ができているとは言い難い、現状把握、手立てに取り組む必要がある。
・災害対策は、その重要性は認識されながらもコスト面から対応が困難となっている。
・高可用性が求められるサービスは、IDC（データセンター）を活用するケースが出てきている。

(5)    全体
・情報セキュリティ対策の年次目標を明確にし、段階的に対応していくこと。
・学生への情報セキュリティ教育は、大学内のセキュリティ対策だけでなく、将来の社会人への教育でもありその社会的責任は重い。
・最低限満たしておくべき基準を設ける。(1) 定めるべき基準の洗い出し・明確化。(2) 大学の規模別の情報戦略を構築。(3) 基準作成を目的化するのではなく、情報セキュリティ向上のためのプロセス及び必要性を重視し、「暗黙のルール」を明文化する。
・情報セキュリティの維持・向上は大学の信頼性を証明する指標のひとつになっているとも考えられる。今後、情報セキュリティ対策への取り組みが大学組織の重要要素となりえる。
・医療系大学では、学生を含めた守秘義務をより厳密な扱いとする必要がある。

Ⅲ．情報セキュリティ対策チェックリスト（事前課題）から見る現状

　本コース受講者に対し事前課題として「情報セキュリティ対策チェックリスト」への回答を求めた。回答は、本コース受講者53名全員から提出されている。ここでは、回答内容をもとに私立大学における情報セキュリティ対策の現状傾向を示したい。
設問は、情報資産の把握、組織的対応、人的対応、技術的・物理的対応に分け、７択回答としたが、分析においては、4択（できていない、できている（一部）、できている、よく分からない）に集約している。

１．情報資産の把握
　管理対象となる資産の洗い出しへの取り組みは一定進んでいると感じられる、ただし、脅威を想定した具体的な対策は、未着手となっているケースが多く、資産管理は、リスク分析、セキュリティ対策の具体化のための前提作業と認識し各手立てを進めることが重要と思われる。

２．組織的対応

　情報セキュリティ最高責任者を置くなど意思決定の明確化は一定進んでおり、情報セキュリティに取り組む体制も出来つつある。一方で機能の充実が課題となっている。特に監査体制の確立が不十分であることから体制の確保と役割の明確化が重要である。セキュリティポリシー策定は進んでいるが、ポリシーの策定に留まるケースが多く、特に公開や周知徹底が不十分であり、定期的な周知活動が課題である。具体的な手順化、マニュアル化がほぼ出来ていないことから、構成員毎の具体的手順化が必要。

３．人的対応

　構成員が多様化する中でもその把握は一定進んでおり、職務責任において情報セキュリティへの問題意識を明確化できてきている。一方で、セキュリティ教育の実施ができていない、不十分なケースが多く、まずは実施することが重要である。

４．技術的・物理的対応

　ネットワーク・サーバ対応は出来ているが、ルール化が不十分。 USBメモリなど情報媒体の取り扱いルールが定められていないケースが多く、対応が急務と感じられる。