開催報告

A．情報セキュリティ対策技術部門コース　

1．概要

　今年度は、私立大学の情報部門でも大きな関心が寄せられている「クラウドコンピューティング」と「災害対策」を柱に下記の3つのセッションに分けて実習を行った。
　1. クラウドコンピューティングのメリットとそれを支える技術の理解
　2. クラウドコンピューティングの技術的なリスクの理解
　3. 災害対策を視野にいれたクラウドコンピューティングの活用、BCPの概要

2．クラウドの仮想化技術

　Linux環境でKVMを活用して、ゲストOSの複製などの操作やライブマイグレーションのデモを通して、サービス内容やコストメリットのみが注目されるクラウドコンピューティングについて、基盤となる仮想化技術について理解を深めた。
　特に、サーバーに対して通常必要となるセキュリティ対策は、クラウドコンピューティングにおいても同様に大切であることを強調した。  

3．クラウドのリスク

　クラウドの技術的リスク分析には、幅広く包括的な観点が必要となる。
　今回は、「マルチテナント」という観点から、デバイス共有から発生するリスクについて、 産業技術総合研究所の須崎有康先生より、「VM/Cloud Systemの（技術的な）セキュリティ」という 題目で講演して頂いた。また、須崎先生の発見された「メモリ重複除外機能(KSM)を悪用したキャッシュの覗き見」について、実習環境で具体的に確認することで、そのリスクの理解を深めた。
　本実習で体験した共有メモリのリスクは、DaaSにおける標的型攻撃の準備段階でも悪用可能であり、クラウドコンピューティングの用途に慎重な検討が必要であることを示していると言えよう。  

4．クラウドを活用した災害時の大学情報システムのサービス可用性確保

　石巻専修大学における被災時のWeb復旧経験をモデルに、クラウドコンピューティングを 活用する想定でDNSサーバーやWebサーバーなどの代替運用の作業をシュミレーションした。特に、JRPSやSCINETなどへのDNS登録変更申請など盲点になりがちな点について注意喚起を行った。
　更に、今後の課題として、大学の情報部門としてのBCP策定推進の必要性とその概要について説明した。  

5．総括

　大学情報環境においても、クラウドはその大きなコストメリットから、経営陣からの導入命令が下ることが多くなってきている。一方、情報部門のスタッフが、大学の戦略的ICT活用に対して提言を行う場合には、技術的なリスクとそれから発生する脅威の大きさについて正確に把握して舵取りを行わねばならない。
　クラウドについては、リスク分析の際に目を配る技術要素が、デバイスドライバ、メモリ重複除外機能など従来のASPサービスのリスク分析の際の着目点より範囲が拡大している点に注意を喚起したい。
　従って、学籍や成績データを扱う教務系システムや事務局のデスクトップ環境をクラウドにアウトソーシングする場合は、学内でのリスク認識の共有に留意しなければならない。
　一方、災害時などの非常事態に大学情報システムの一部(Webなど)を復旧するなど可用性の確保には一定のメリットがあるのではないかとも考えられる。

B．情報セキュリティマネジメントコース

１． 概要　

　本コースでは、東日本大震災の発生による情報システムへの影響を教訓とし、今後検討しておくべき事柄として災害等の復旧対策をテーマに取り上げるとともに、近年企業だけでなく大学においても利用が進んでいるクラウドコンピューティングについて、最小の負担で最大の効果が得られる情報システムの機能整備の可能性もテーマに取り上げた。
　そして、両者を踏まえた上で、大学の情報システムのセキュリティの在り方について再点検を行い、取り組むべき方向性を探究することを目標として、講習を行った。

　コース参加者の所属は、約6割が情報部門と多いものの、図書館部門・教務部門・事務部門(総務部門)からの参加があった。役職では、管理職に就いている方が半数を占めた。また、所属名から情報管理・危機管理・安全対策等が主な職務と思われる参加者があり、これらの分野において大学が組織的に取り組むための体制整備が行われつつあることを窺わせた。

２． プログラム内容

１．情報セキュリティの概要

  大学における情報資産を守るために必要な情報セキュリティの考え方について、情報資産の定義、リスク分析、取り得る対策等に関する講義を行った。

２．大学の情報セキュリティ対策におけるクラウドコンピューティングの利用に関するチェックポイント

  昨年度に引き続き、私情協が今年度も実施した「大学の情報セキュリティ対策の自己点検・評価」について、結果及び昨年度との比較について解説した。また、クラウドの利用に際して大学が配慮すべき留意点と点検項目について、私情協で現在検討しているチェックリストの案を、クラウドコンピューティングに関する用語の解説とともに紹介した。

３．クラウドコンピューティング及び災害時の緊急対応の取り組みと情報セキュリティ対策

   東日本大震災を通じて各大学において浮かび上がった問題点、及び情報システムの運用コストの軽減や教育研究機能の高度化へ迅速に対応するための選択肢としてのクラウドコンピューティングの利用の可能性とその利用における課題をテーマとして、グループディスカッションを行った。グループ分けは、参加者の所属大学の規模や種別、地域等を考慮した。グループでのディスカッションの内容は、クラウドコンピューティングの利用及び災害時の緊急対応に関する今後の取り組みとしてアクションプランにまとめられ、グループ内で得られた知見とともに、コース全体での成果としてグループ発表を行った。


  コースの最後には、本講習会の全体会にて東日本大震災の発生時の状況及び被災からの情報システムの復旧について事例紹介をいただいた石巻専修大学の�盒胸瓩�らグループ発表に関する講評をいただき、本コースのまとめとした。