開催報告
A．情報セキュリティ対策技術部門コース
1．概要
本年度の情報セキュリティ研究講習会では、近年、大学で発生した情報セキュリティインシデントでは、情報漏洩、不正アクセス、なりすましなどが大学全体の持続的事業の継続や信頼を脅かす事態を招いていることが多い。これらの脅威を防ぐためには、大学組織内にセキュリティマネジメントのPDCAサイクルを確立させて、セキュリティレベルの維持・向上に努めることが必須である。特に、大学のネットワーク管理やシステム管理に携わる部門から、マネジメント層の方針に基づき事前対策や事後対応に関するルールや体制の案を作成する役割が必要となっている。
本コースでは、私情協が作成した「情報セキュリティ対策チェックリスト」の結果より、インシデント対応演習とその事後対応についてシミュレーションを行って課題を探り、その解決策を提言できる能力を身につける。
2．大学のセキュリティ対策とリスクの把握
平成22年度「情報セキュリティ対策の自己点検・評価チェックリスト」の結果をもとに、大学のおかれているセキュリティ状況について概観し、情報資産目録のモデルによるリスク評価を学習した。
3．インシデント対応
前半では、「インシデント対応概説」を講義して、基本的な対応知識を確認した。
後半には、大学から教員や学生のアカウント情報が漏洩したという想定で、
インシデント対応演習を行った。
具体的には、教員や学生へのヒアリングのロールプレイやメールシステムのログ解析を
通して、情報漏洩のルートの推測などを行って、インシデント報告書にまとめた。
4．技術的な事後対応と改善
インシデント対応実習で情報漏洩やなりすましなどのインシデントの原因と
推測された問題点から「不要アカウントの整理・管理」や「PCの処分」に注目し、
受講生自身の大学の状況を分析した。また、対応策のデモンストレーションや
議論を行い、大学への再発防止のための提言書を作成した。
5．体制とルールの見直し
クラウドコンピューティングによるメールや教育支援システムの 運用についてセキュリティの観点から事例紹介を行った。 また、受講生の作成したインシデント報告書や提言書について講評を行って、 体制やルールの見直しについて方向性を議論した。 最後に、情報漏洩防止という観点で先進的な運用事例として、 専修大学の事例も紹介した。
B．情報セキュリティマネジメントコース
��.コース概要
本コースでは、情報セキュリティ部門として取り組むべき課題を整理・確認した上で、対応すべき取り組みの内容・手法及び課題について共通理解を形成する。その上で、大学全体の問題として対応が展開されるよう、情報センター等部門から情報管理の徹底に関する政策や構成員への意識付け、罰則の設定など、種々の提案を大学執行部へ働きかけられるようマネジメント力の強化を目指し、講習プログラムを構成した。
本コースの参加者は、多くが情報センター関連の所属であったが、教務･図書館部門や総務などの法人部門の職員や教員からの参加もあった。これは、情報セキュリティの問題が、大学運営の全般に関わっていることを反映していると思われる。
�供ゥ廛蹈哀薀狷睛�
１．情報セキュリティポリシー策定に伴う留意点の確認
情報セキュリティポリシー作成の意義、規定すべき主な内容、規程を運用する際の留意点について、大学および企業からの事例を紹介いただいた。
(1) 大学における事例
同志社大学における情報セキュリティポリシー策定の事例紹介として、�ヾ靄槓�針、対策基準、実施手順の策定について具体的な検討内容を紹介頂くともに、�▲櫂螢掘爾詫�解し易いものとすること、�３杏瑤妨�開することの重要性などについて、同志社大学研究開発推進機構研究開発推進室長の正木卓氏にご講演頂いた。
(2) 企業における事例
企業における情報セキュリティ対策の取組みとして、�ヾ覿箸砲�けるリスクマネジメント、�⊆卞發離札�ュリティマネジメント、�２樵朶超�でのセキュリティ要件、�ぬ唄峇覿箸罰惺史／佑離札�ュリティマネジメントについて、日本電気株式会社プラットフォームマーケティング戦略本部シニアマネージャーの原田典明氏にご講演いただいた。
２．情報セキュリティ対策の現状把握と課題解決に向けた準備確認
私情協の「情報セキュリティ対策の自己点検・評価チェックリスト」の回答結果を基に�．札�ュリティ対策への取り組み方の傾向分析、��対応が遅れているセキュリティ対応項目の洗い出し、��先進的に取り組んでいる大学の事例紹介を行った。上述の分析結果を題材とし、受講者によるグループディスカッションを通じて、取り組みに必要な課題の洗い出し・優先度の確認、ＰＤＣＡサイクルによるセキュリティマネジメントの在り方を確認した。
３．大学全体の問題とするための戦略の考察
「情報漏えい対策の推進」を話題に、情報セキュリティ対策を推進するための具体的な施策と大学執行部への関与の在り方について、グループディスカッションを行い、議論の結果をアクションプランとしてまとめた。
作成されたアクションプランの主な項目は次の通り。
(1)情報セキュリティに対する意識向上
各大学とも全体的に情報セキュリティへの認識が甘く、意識向上が課題となる。課題解決の手段として、�‐霾鵐札�ュリティインシデント報告書を分かり易く作成し、情報共有を促進する、��教員の意識向上を課題として認識する、�６軌蕁ΩΦ罅�事務を包含する危機管理体制を構築する、などが挙げられた。
(2)人的対応への課題
多くの情報セキュリティインシデントでは人的対応への取り組みの弱さが要因となっていることから、人的対応が情報セキュリティ対策への重要課題になる。課題解決の手段として、�‐霾鷸饂困悗離▲�セス権を明確にする、�⊂霾鶸慙△琉儖�会で情報資産と権限のあり方について相互牽制できる仕組みを作る、��トップの意思決定を明確に伝えるルートを確保する、�ぞ霾鵐札�ュリティ教育を具体化していく、などが挙げられた。
(3) 安易な情報持ち出しへの警鐘
情報漏えい事故の要因の多くが、USBメモリーなどの媒体による情報の持ち出しであることから、安易な情報持ち出しへの警鐘が必要である。その中で、USBメモリーの業務利用を許可制にするなどの提案がなされた。また一方で、こうした媒体の活用に関する管理の難しさが指摘された。
(4) 情報セキュリティポリシー策定とPDCAサイクルの実現について
情報セキュリティポリシーの策定については、基本方針までは整備が進んでいるが、対策基準、実施手順の策定に至っていない状況が報告された。課題解決の手段として、�．櫂螢掘爾瞭睛討�抽象的であり、具体的な行動計画の策定が必要である、��大学構成員への教育を含む周知を手立てする、��実施手順策定での学内組織間での不整合を是正する、�ぅ櫂螢掘爾涼罎粘躓ヾ浜�対応を明確にする、�コ杏瑤箸侶戚鵑砲�いて、ポリシーに関わる事項を反映できる仕組みを作る、などが挙げられた。
(5) 大学執行部への関与のあり方について
情報セキュリティへの対応に関して、現場部門と大学執行部との間に温度差があることが指摘された。解決の手段として、�‖荵絢團灰鵐汽襯織鵐箸鯒標�する、�∧�理的対応から人的対応への重点課題の移行を共通認識とする、�８�平性のある罰則規定を整備する、�ぅ肇奪廛瀬Ε鵑肇椒肇爛▲奪廚料佇�向からアプローチする、などが挙げられた。
グループディスカッションでは、各参加者が活発な発言がなされ、有意義な討議が行われていた。アクションプランの発表についても、グループ毎に得られた知見に関して、コース参加者全体での共有が図れた。
本コースにて作成したアクションプランが、情報セキュリティ対策推進の手立てとして活用されることを、期待したい。