マネジメントシステムの情報セキュリティ版がもたらすもの―信頼？姿勢？安⼼心？―
徳島⼤大学・情報センター
上⽥田哲史

1

徳島⼤大・情報センターのご紹介• 理理系（医⻭歯薬，⼯工，総合科学）５学部– 学部  5,900⼈人 　⼤大学院  1,600⼈人– 教員  960⼈人，事務職員＋技術職員  1,300⼈人– 合計約1万⼈人 　（徳島市⼈人⼝口：約26万⼈人）• 情報センター沿⾰革– S41  電⼦子計算機センター– S58  情報処理理センター– H  6  総合情報処理理センター– H14  ⾼高度度情報化基盤センター– H22  情報化推進センター 　← 　H24  ISMS  取得– H26  情報センター• 情報センターの⽬目的– ⼤大学全体の情報システム・サービスの統括的管理理（事務系も含む）
2

マネジメントシステム• ⽣生産・品質管理理  • 「組織が⽅方針及び⽬目標を定め、その⽬目標を達成するためのシステム」に関する規格• PDCAサイクルを回して向上させていく– P:  Plan;  計画– D:  Do;  実施・実⾏行行– C:  Check;  点検・評価– A:  Act;  処置・改善– PDCA→PDCA  とスパイラルアップ• 環境  ISO14000  series,  品質  ISO9000  series  3

ISMSのPDCAサイクル
利利害関係者

利利害関係者

ISMSの確⽴立立
Plan：計画

⼊入⼒力力
要求事項等

Do：実⾏行行

Act：処置

ISMSの導⼊入及び運⽤用ISMSの維持及び改善
Check：点検

ISMSの監視及びレビュー
マネジメントプロセスとフレームワーク
4

出⼒力力
運営管理理された情報セ
キュリティ

さっそくのクリッカー質問
ISMSを組織で導⼊入をされている，もしくは導⼊入検討をされていますか？
1. 導⼊入している
2. 導⼊入を現在検討している
3. 導⼊入を検討した結果，やめた4. 導⼊入予定はない

5

何故ISMS導⼊入を検討するのか？
• 何らかのよい噂を聞いたので• 情報セキュリティは抜かり無くやっとかないと…
• ISOの枠組みと似てるらしいから• 保険相当• 連携先・取引先がISMS取得を要求している• 情報セキュリティ対策の⾒見見える化6⽇日本のISMS取得⼤大学
登録番号

組織名称

所在地

取得年年⽉月⽇日

認定機関

IC03J0027 国⽴立立⼤大学法⼈人  静岡⼤大学（情報基盤センター）

静岡県

2003年年11⽉月25⽇日 ISR007

IS 90359 学校法⼈人 　⽇日本福祉⼤大学

愛知県

2005年年3⽉月16⽇日

ISR004

IS 509958 早稲⽥田⼤大学（メディアネットワークセンター）

⾮非公開

2007年年1⽉月24⽇日

ISR004栃⽊木県

2007年年11⽉月15⽇日 ISR002

IS 523803 学校法⼈人⽇日本⼤大学（総合学術情報センター）

⾮非公開

2007年年12⽉月4⽇日

IC08J0241 国⽴立立⼤大学法⼈人⼭山⼝口⼤大学

⼭山⼝口県

2008年年10⽉月24⽇日 ISR007

IC11J0338 国⽴立立⼤大学法⼈人徳島⼤大学（情報化推進センター）

徳島県

2012年年3⽉月9⽇日

ISR007

IS 582429 国⽴立立⼤大学法⼈人九州⼤大学（情報統括本部）

福岡県

2012年年3⽉月22⽇日

ISR004

IS 590859 国⽴立立⼤大学法⼈人⻑⾧長崎⼤大学

⻑⾧長崎県

2013年年3⽉月4⽇日

ISR004

JUSE-IR-289 国⽴立立⼤大学法⼈人  ⿅鹿鹿児島⼤大学（学術情報基盤センター）

⿅鹿鹿児島県 2013年年4⽉月23⽇日

ISR005

IS 601919 国⽴立立⼤大学法⼈人岡⼭山⼤大学（情報統括センター）

岡⼭山県

I165

I327

国⽴立立⼤大学法⼈人宇都宮⼤大学（総合メディア基盤センター）

国⽴立立⼤大学法⼈人横浜国⽴立立⼤大学（情報基盤センター）

ISR0042013年年11⽉月12⽇日 ISR004

神奈奈川県 2014年年3⽉月6⽇日

ISR0027

静岡⼤大学項⽬目内容

組織名称

国⽴立立⼤大学法⼈人  静岡⼤大学

組織部⾨門名称

情報基盤センター

所在地

静岡県静岡市駿河区⼤大⾕谷836

認証基準

JIS Q 27001:2006(ISO/IEC 27001:2005)

認証登録番号IC03J0027

登録範囲

学内ネットワークおよび各種情報基盤サービスの管理理･運営･提供ならびに学術ネットワークハブ拠点の管理理･運営

適⽤用宣⾔言書

静⼤大情セ-ISMS- 2009年年9⽉月15⽇日発⾏行行

初回登録⽇日2003年年11⽉月25⽇日

有効期限

2015年年11⽉月24⽇日

認証機関

株式会社⽇日本環境認証機構(JACO)

8

⼭山⼝口⼤大学
項⽬目

内容

組織名称

国⽴立立⼤大学法⼈人⼭山⼝口⼤大学

全学が範囲⻑⾧長崎⼤大学と類似

組織部⾨門名称 －所在地

⼭山⼝口県⼭山⼝口市吉⽥田1677-1

認証基準

JIS Q 27001:2006(ISO/IEC 27001:2005)

認証登録番号 IC08J0241
登録範囲

１. 基幹ネットワークシステムの管理理運⽤用
２. ⼤大学情報機構が提供する教育・研究⽤用コンピュータの管理理運⽤用
３. 学内業務情報システムの運⽤用⽀支援
４. 修学⽀支援システムサーバの管理理運⽤用

適⽤用宣⾔言書

国⽴立立⼤大学法⼈人⼭山⼝口⼤大学ISMS適⽤用宣⾔言書（⼝口⼤大情環  第20号、2013/7/3）

初回登録⽇日2008年年10⽉月24⽇日

有効期限

2014年年10⽉月23⽇日

認証機関

株式会社⽇日本環境認証機構(JACO)
9

九州⼤大学
項⽬目

内容

組織名称

国⽴立立⼤大学法⼈人九州⼤大学

組織部⾨門名称

情報統括本部

所在地

福岡県福岡市東区箱崎6-10-1

認証基準

JIS Q 27001:2006(ISO/IEC 27001:2005)

認証登録番号

IS 582429

登録範囲

1.情報環境整備推進室が提供する情報サービス
2.情報システム部・情報企画課・事務ICT⽀支援グループが提供する業務シ
ステムサービス

適⽤用宣⾔言書2012年年3⽉月15⽇日付適⽤用宣⾔言書  第3版

【他の事業所】

1)⾺馬出病院キャンパス
2)伊都キャンパス

初回登録⽇日2012年年3⽉月22⽇日

有効期限

2015年年3⽉月21⽇日

認証機関

BSIグループジャパン株式会社

センターは⼊入ってない！

10徳島⼤大学項⽬目

内容

組織名称

国⽴立立⼤大学法⼈人徳島⼤大学

組織部⾨門名称

情報化推進センター所在地

徳島県徳島市南常三島町2-1

認証基準

JIS Q 27001:2006(ISO/IEC 27001:2005)

認証登録番号

IC11J0338

登録範囲

全学情報ネットワークシステムの運⽤用管理理､ハウジング･ホスティングシ
ステムの運⽤用管理理､教育⽤用システムの運⽤用管理理及び専⾨門技術アドバイス
サービス

適⽤用宣⾔言書

ISMS-B06-D04 2011/11/25

初回登録⽇日2012年年3⽉月9⽇日

有効期限

2015年年3⽉月8⽇日

認証機関

株式会社⽇日本環境認証機構(JACO)
11

Why  ISMS?

• 体制作り／維持• セキュリティ活動の可視化• Public  Relation• 認証取得を保険とみなす

12

ISMSの効果―端的にいうと• ベネッセ事件がありました• 凄まじい数の顧客情報が流流出• ベネッセ⼦子会社のシンフォームが顧客情報の管理理をしていた• 犯⼈人は，シンフォームへ派遣されたSE• シンフォームはISMSを取得していた

さあ，どう思います？？
13

国⽴立立⼤大がISMSを取る意義• クラウド利利⽤用には不不可⽋欠• セキュリティポリシー等に応じた⼈人的・技術的・環境物理理的セキュリティ対策が明確にされる• 情報資産が洗い出され，組織の責任境界が明らかにされる• 経営層が関わり，セキュリティ対策にかける各コストが把握・承認され，組織ぐるみの取り組みとなる• 規格が取れたことが広報(publicity)に資する• 情報資産の⼤大学間持ち合いなどに関して，互いを信頼するに⾜足りる資格となる• 外部評価等の対策が楽になる

14

組織としての最悪のケース• ⼗十分な技術的，環境・物理理的セキュリティ対策が整備されていない• 責任体制（⼈人事構成や緊急時体制）が明確になっていない• 事故時の緊急連絡・指⽰示⼿手順が無い（もちろん訓練もできていない）• 適切切な報告が上がって来ない⇒社会への説明がなされない• 保険等に⼊入っていない■当然の帰結• 社会的な⾮非難• 信⽤用失墜，⼊入学希望者減• 事故対応に組織メンバーが疲弊• 損害賠償など，組織として無意味な⽀支出• 保険に⼊入りにくくなる？
15

宣伝：国⽴立立⼤大学法⼈人情報系センター協議会(NIPC)
ISMS研究会• 2011.07.15 第８回  IOT通算第14回研究会と合同開催（幹事校:  静岡⼤大）• 2012.03.15-‐‑‒16  第９回  IOT通算第16回研究会と合同開催（幹事校:  宇都宮⼤大）• 2012.09.13-‐‑‒14  第10回  第7回国⽴立立⼤大学法⼈人情報系センター
研究交流流・連絡会議／第16回学術情報処理理研究集会と合同開
催  （幹事校:  徳島⼤大）• 2013.09.09-‐‑‒10  第11回  第8回国⽴立立⼤大学法⼈人情報系センター
研究交流流・連絡会議／第17回学術情報処理理研究集会と合同開
催  （幹事校:  ⼭山⼝口⼤大）• 2014.9.26-‐‑‒27  第12回 　信州⼤大にて予定
16

情報セキュリティ対策• 技術的セキュリティ対策，環境・物理理的セキュリ
ティ対策では，脅威への未然対応は限界があるのは明らか…今回の会合のテーマ• では，インシデント，アクシデントが発⽣生したときは！
☞スマートな機械や仕組みが，後始末をしてくれることはない• 万が⼀一の場合における組織防衛の担保は？？
☞そんなものはありません17学⻑⾧長やCIOは謝罪がお嫌い
事故が起きてしまったとき

また，謝れば何とかなる問題ではなく…
・組織の信⽤用失墜→⼊入学者減，公募応募者減・直接制裁→賠償など
・間接的制裁→運営交付⾦金金削減
⼀一度度押された烙烙印（レッテル）はなかなか剥がすことができない

18

続いてのクリッカー質問
組織において情報セキュリティと⾔言えば，どれにポイントを置かれますか？
1. ファイアウォールなど，⽔水際での技術対策
2. アンチウィルス導⼊入など，クライアント対策
3. サーバでのソフトウェア更更新，コンテンツのチェック
4. 構成員に対するセキュリティ教育※どれも⼤大事です19

対策の適切切さ：費⽤用対効果の観点より多い種類の脅威に対応かもしれないがコスト対効果は？
危険組織

批判の⽕火種対策
コスト
過少な対策と投資

組織

対策
コス
ト

⾝身の丈に応じた適切切な対策・投資組織

対策
コス
ト

過剰な対策と投資
20

対策の適切切さ

組織

対策
コス
ト

⾝身の丈に応じた適切切な対策・投資

ISMS: 組織の情報セキュリ
ティ対策が「適切切な対策・投資」となっているかを客観的に第三者が評価・監査する規格の要求事項に対する対策の実装確認（適⽤用宣⾔言書の妥当性，およびその通り運⽤用されているかどうか，規定・記録から判定）
21

情報セキュリティ３要素：CIA• 機密性(Conﬁdentiality)– ある情報が許可された者にのみアクセスできる– 例例：個⼈人認証による保護• 完全性(Integrity)– プロセスが正確で改ざんされないこと– 例例：デジタル署名，⼊入⼒力力フォームのサニタイジング• 可⽤用性(Availability)– 許可された者がある情報に随時アクセスできること– 例例：SLAでの稼働率率率・遅延時間などの指定，維持22

ISMS＝リスクマネジメント• 情報資産について，CIAの観点からリスク値を評価し，それに応じた対策を⾏行行う• リスク値＝資産価値×脅威×脆弱性– 資産価値：情報やシステムのCIA観点における重要度度– 脅威：原因とその頻度度– 脆弱性：脅威の発⽣生に対する頑健度度• ⼀一次元のリスク値という数値に応じて，通常はリスク対応策を講じる– リスク低減，リスク移転，リスク回避，リスク受容によりリスク値を下げる

23

情報資産の洗い出し，リスク分析• 業務に関する情報システム，情報，情報機器を漏漏れなくリストアップ• BYODも意識識（業務に⽤用いるなら対象情報機器とすべし）• CIAの観点からリスク値を算出– 重要性：どの種類の情報が重要かを定義する– 脆弱性：盗難，改ざんなど典型例例アリ– 脅威：影響度度を定義する• リスク受容値以上であれば，リスク対応計画– 受容値内であっても管理理24リスク対応リス他
クの移 ⼿手転段を取る

リスク回避（それをやめる）（損害・影響度度）

リスク低減（対策を施す）リスク保有（受け⼊入れる）

リスク許容レベル

脅威×脆弱性25さまざまな困難• リスク対応策が終わっても…
• 管理理策は133ある– 取捨選択できるようにはなっているが，恐らく通常の⼤大学運営であればほとんど全部適⽤用せざるを得ない（徳島⼤大学は131選択）– 「…しなければならない」という絶対要求事項に対してエビデンスとともに，適⽤用する理理由と対応する規定を⽰示した表を，適⽤用宣⾔言書といい，ISMSのもっともキモの⽂文書となる– 対策の有効性を測定しなければならない
26

事故• 未知の脅威に堪えうる完璧な対策が無い• しかし，ISMSの仕組みの実装，PDCAによる継続管理理により，事故・事件の⽣生起確率率率は，無策の場合に⽐比して相当に低く抑えられる（はず）– その時点で考えうる限りの合理理的な管理理策・リスク対応策の集合であるISMSに合格した☞もっともらしい• それでも，事故は起こりうる27

事後• 初期対応は迅速に⾏行行われないといけない• 事後の検証も⼤大切切– 普段⼗十分備えていた（管理理策をとり，リスクを認識識し，対策していた）– その備えようは恣意的，主観的ではなく，国際規格に沿って改善を続けていた☞構成員，⽗父兄，ステークホルダ，社会は「最⼤大限努⼒力力していたのね，やむを得なかったのね」と理理解してくれる（はずだ）
28

ISMSの本質• ⼈人的セキュリティ対策を策定– 性悪説に基づく規定と責任組織体制作り• 組織の親規則に準拠し，管理理規定を策定• 役職だけでなく委員会組織も構成• 内部監査組織，監査⼈人も任命• 事故時の判断基準や連絡網整備が重要（ISMSとしてではなく組織としてもともと整備すべき）– 範囲，⽅方針を決め– リスクマネジメント• 資産（価値）を洗い出し，それらに対して想定される脅威・脆弱性を評価• リスク値＝価値×脅威×脆弱性• そのリスク値の軽減策を策定
29

徳島⼤大学の情報ガバナンス体制• 学内の情報ガバナンスの強化
学⻑⾧長
情報
ガバナン
ス

情報戦略略の策定

情報戦略室

情報戦略略の実施

情報センター

サービスの利利⽤用

学内部局等

情報化推進センターのISMS推進体制
全学情報セキュリティ統括責任者（CIO，CISO）
全学情報セキュリティ管理理運⽤用責任者（CIO補佐）

他部局
情報センター⻑⾧長
情報セキュリティ委員会

室⻑⾧長（教員）
室員（教員×2）
室員（技術職員）

内部監査委員会
イ情 家 ネザ報
セトキ
ワ

ISMS推進責任者
ICT推進部⾨門
室⻑⾧長（教員）
室員（教員）
室員（技術補佐職員×２）
室員（SE派遣職員×４）

リ
テ
アド
バー

情報統括部⾨門ISMS適⽤用範囲クシス
テ
ムの専
⾨門

その他、
関係者

韓国セウォル号事故• 企業の事業継続性の観点– ルールや法令令等に基づく平時の安全管理理– 事故発⽣生時の対応– 事故原因究明• これらが全て不不⼗十分⇒社会的に⾮非難を浴びる• 企業（海運会社）そのものの事業はもはや⽴立立て直し不不可能– 損害賠償– 信⽤用失墜

32

ありあけ沈沈没事故(2009)• セウォル号と類似の船舶に関する事故– 過積載ではなく，強い波を受けたため固定していた荷物が急激に移動した– 沈沈没したが全員無事（乗員・乗客数は少なかった）• 船員，船⻑⾧長による適切切な誘導• 組織的な対応• 平時に適切切な対策が施され，（訓練による経験が活かされ）事故時も被害は最⼩小限– 遵法だったと社会に理理解される⇒誹りは最⼩小限– 恐らくは保険⾦金金も満額⽀支払われたのではないか– 会社は事業は継続できた• 国や業界はコンテナ固定に関する対策を強化– PDCAの成果

33

⼆二重のPDCAサイクル• ISMS全体を運⽤用するためのPDCAサイクル– 内部監査、マネジメントレビュー(MR)等• 各管理理策についてのPDCA– 管理理策毎の有効性測定/評価/改善等– MR結果、是正措置/予防措置等の要求により変化
管理理策のPDCAISMSのPDCA

PA

MR⼊入⼒力力

DC

MR出⼒力力

管理理
策
A管理理
策
B管理理
策
CPP

PA

DC

A

DC

A

DC34

もちろんお墨付きなど，実質ではない• 性悪説的⽴立立場に沿って対策しているISO各規格– 監査⽇日予告つきの定期監査は完璧ではない– 構成員の意識識が「性悪」であればいくらでも抜け道• 書類上の証左は表⾯面的なものでしかなく，組織が⼀一丸となって「情報資産を護ろう」という意
識識作りが必要• 周知・教育は重要35

ベネッセ事件1/2• ベネッセ社の下請けシンフォーム社に勤める派遣SEが，堅固なデータベースの脆弱性を突き，顧客情報を抜き取り，転売．
• シンフォームはISMSを取得していた– 通信・運⽤用管理理に職務の分割，開発・試験・運⽤用の場所の分離離やログ監視が規定されているはず– 管理理策は有効であったのか？リスク分析がなされていたかどうかは調べられる– ISMS審査機関，認定機関の瑕疵も調べられることに☞恣意的な運営ではなかったのね，とは思われている☞ISMSを取っていなければ…

36ベネッセ事件2/2
以下の批判にも⽿耳を傾けて改善せねばならない• 対策が有効なら漏漏洩するはずがなかった• 相⼿手先が認証を持っていたら警戒せずに取引というのも問題• 情報漏漏えいが起きたときの責任逃れに認証取得が使われている• 認証審査が通れば、運⽤用は形式化しがち※PRESIDENT  2014/8/18号
37結局，教育• 教育の実施– 情報セキュリティの諸問題と対策の理理解– ISMSの仕組みそのものの理理解• 仕組みが出来ているから情報セキュリティ管理理ができるのではない• 情報セキュリティを管理理するために仕組みを導⼊入し，⽬目標を設定し，達成・改善してゆく• 教育の効果測定– ⼒力力量量測定と併せて– 気づきなどを通してPDCAに構成員が貢献する奨励

38

転換期
• 今までは…

– CISOはあて職だったかもしれない• 今後は…

– ⼤大学ではインターネット＋コンピュータはどんどん運営・経営に⾷食い込んでくる（退潮は無い）– クラウド利利⽤用は不不可避（むしろ積極利利⽤用）なので，情報セキュリティポリシー，情報ガバナンス，ISMSを束ね，判断・指⽰示・予算確保できる⼈人物が必要– 国⽴立立は特に概算要求等，国に対策費⽤用を求めることは今後は困難⇒運営交付⾦金金から定常予算に組込む
39

ISMS取得の効果は？徳島⼤大の場合• 良良い点– 曖昧だった業務プロセスの明確化、業務⼿手順の⾒見見直し– 様々な問題点を可視化– 職員の意識識の変化– 学内外に対してのアピール• 苦労した（している？）点– 業務プロセスの明確化– 情報資産の洗い出し，リスク評価– 記録！
– 派遣職員の教育• 導⼊入後の課題– 課題は⼭山積、PDCAの継続で改善を！
40

内部監査指摘数累累計

41内部監査分類別指摘数42

有効性評価達成率率率43

ISMS取得2,000事業所への調査
1. 効果について『セキュリティ意識識が従業員に浸透した』や『情報資産が明確になり整理理できた』という回答が上位
2. ⼀一般の情報セキュリティ調査に⽐比べて本調査対象組織はマルウェアへの感染率率率が半分程度度であり、認証取得は情報セキュリティ対策実質化に効果があると思われる
3. コンサルタントや審査員に対しては全般的に不不満など，受審者からは厳しい評価がある
4. 審査員やISMS推進担当者等の考えに、「リスクマネジメント」概念念の理理解が不不⾜足している感じ※星，畑上，内⽥田「ISMS認証取得組織のアンケート調査からみる現状と課題」⽇日
本セキュリティマネジメント学会全国⼤大会，2011.
44

ISMS維持は損か得か？
• 費⽤用– 初期費⽤用100万円，年年間50万円程度度– パブリシティ効果 　＜ 　体制維持の客観的評価• ⼿手間– 定常時：記録を残す「くせ」をどうつけるか• ⾃自動集計や定期サーベイでルーチン化，効率率率化– ⾮非常時：BCP規定やマニュアルが効⼒力力発揮– 審査時：段取りは慣れるとできるようになる

45

終わりに
• 情報セキュリティ対策に「完全なる技術パッケージ」が出現し得ない限り，ISMSの存在感は
⼤大きい• 事件・事故のほとんどはヒトがやってしまうので，ヒトの性悪説的管理理，⼈人的セキュリティ対策は必須• ISMS⾃自体がなんらかの保険として機能しうるかどうかは「ISMSの実質運⽤用」にかかっている46