全学セキュリティ教育のクラウド認証基盤での実現
玉造 潤史 1), 杉山 洋子 2), 今田 哲也 2), 田川 善教 2), 松岡 喜美代 2)
1) 東京大学情報システム本部
2) 東京大学情報システム部情報環境課
tamatsukuri.junji@mail.u-tokyo.ac.jp
jouhou-security.adm@gs.mail.u-tokyo.ac.jp

University Security Education on Cloud Authentication platform
Junji Tamatsukuri 1), Yoko Sugiyama 2), Tetsuya Imada2)
Yoshinori Tagawa2), Kimiyo Matsuoka 2)1) Division for Information and Communication Systems, the University of Tokyo.
2) Information Systems Department, Information Environment Group, the University of Tokyo.
概要
東京大学では情報システムを利用する全構成員に対して毎年必須の情報セキュリティ教育を実施している。全構成員に対して研修やテストを実施するには専用の研修用プラットフォームが必要であったり、大規模な受講管理が必要であったりと困難点が多い。特に本学では、情報セキュリティ教育の未受講者に対してサービス利用を停止するという措置を実施しており、効率的な運営のためには情報セキュリティ教育の受講とサービス運用を連携させて実施する方法が不可欠であった。しかし、認証基盤としてクラウドサービス
Microsoft AzureAD(Entra ID)を利用しているため、ローコード実装により大学が契約する包括ライセンスの範疇でこれらの要件を満たす機能を実現できることが分かった。そして2023 年度から予算をかけずにアカウント全利用者に対して情報セキュリティ教育を実施できるようになった。本稿ではその実施方法と成果について示す。

1「情報セキュリティ教育」の実施方法として、はじめにこれまでもアカウント利用と研修の受講状態が東京大学では全学の情報システム利用者を対象対応付く、すなわち、「情報セキュリティ教育」に適切な情報システム利用と安全性確保を目的を受講しなければアカウントが利用できない形として「情報セキュリティ教育」という研修をでの研修実施が求められてきた。アカウント利実施している。大学の学生・教職員からなる全用者が必ず受講しなければならないということ構成員に対して情報システムを統合的に利用すを「システムが利用できないこと」で認識できることができる 「UTokyo Account」を発行しれば、受講が必須であることを認識でき、シスており、その運用規程ですべてのアカウント利テム利用におけるセキュリティに対する認識の用者がセキュリティ研修を受講することが定め必要性を理解することができるであろうというられている。すなわち、本学の「情報セキュリ考え方に基づいた方針である。

テ ィ教育」 は全学 的なア カウント 「UTokyo

このような方針は非常にシンプルである一方、Account」に紐づいて管理されている構成員に実現方法を考えた場合、アカウントを管理する対して、情報システム利用によって生じる可能認証基盤と密に連携した研修機能が必要となり、性のある情報セキュリティインシデント事案を受講と受講後のアカウント制御を実現するため未然に防ぐことを目的に、セキュリティに関すにある程度のシステム開発工数が必要となる。

る現状と対応策を確認するために行う研修とな

しかし、このような特定の研修活動のために専っている。

260

用のシステムを用意するコストは相対的に非常は一般的であり、学生においては実施が当たりに高くなる。そのため、2022 年度までの情報セ前の状況である。[2][3] しかし、現状においてキュリティ教育では研修機能については授業管

大規模な大学機関において全構成員に対してセ理システムである 「ITC-LMS」を利用し、キュリティ教育が困難な事業であることに変わ「UTokyo Account」本体と直接連携はせず実施りはない。

管理を行なってきた。サービスの停止措置には

これらの状況を踏まえ、本稿では東京大学でそれぞれのサービス担当に受講情報を提供し運行われている「情報セキュリティ教育」研修を用的な対応（手動でアカウント停止を実施）すコストのかかる特別なシステム改修を行わず実ることで対応してきた。そうすることで、アカ現した方法とその結果を示す。

ウントでのサービス利用と研修受講の関係を作

なお、「情報セキュリティ教育」の成果の本質り、利用者に提供し実施してきた。

はセキュリティ事案の抑止と利用者のセキュリ

この方法は既存システムの活用により特別なティへの認識の確保である。これらの源泉は情コストを必要とせず実施できた。一方、サービ

報理工学研究科情報セキュリティ教育センター

ス運用担当者の負担と、なによりアカウント利と協力して作り上げたコンテンツである。その用者の受講負担（未受講の場合の停止ペナルテ内容、教育成果も重要な観点であるがこれらにィは１ヶ月単位であった）など運営上の問題がついては別の機会での報告とさせていただきたあった。

い。

2020 年からのコロナ禍対応で大学全体のデジ

以下、本稿ではこれまでの取り組みについて紹

タル化と連携するサービスの利用が進み介した後、実装方法と教育の実施方法を示し、「UTokyo Account」の重要性が改めて高まった。

実施結果についてまとめる。

合わせて認証基盤や導入した情報サービスへの2 これまでの取り組み理解も深まり、情報システムの活用が進んだ。

本学では学内でのセキュリティインシデントの特に、学内で実施されているコンプライアンス増加を受け、2017 年度から情報セキュリティ教研修等で導入済みの包括ライセンスにより利用育を開始することとした。開始に向け当初よりできる Microsoft Forms を用いて実施される学内で授業管理に提供されている「ITC-LMS」

も の が 散 見 さ れ る よ う に な っ た 。 Microsoftを想定し、研修受講のためのプラットフォーム

Forms はアンケートなどを実施するクラウドサとして利用できるよう情報基盤センターに協力

ービスであるが、工夫すると研修など回答者のを依頼した。元来、ITC―LMS では授業を実施

理解を確認するようなコンテンツを作ることがに必要な教職員と学生がどちらも利用できるよできる。そうした工夫を学内利用者が多数行なうアカウントが設定されており、情報セキュリった結果 Microsoft Forms を利用する研修がティ教育の対象者である UTokyo Account の全学内で違和感ないものとなってきた。結果とし利用者がサインインすることができた。ITC-て、これまで我々が認証基盤の改修や受講方法

LMS にはクラスという概念があり、受講者をそを必要だと考えていた研修の受講とアカウントのクラスに割り当てることで教育を実施できた。

利用の関連付けが既存のライセンス契約によりクラス人数の上限が 5000 人だったため、受講利用できるソフトウェアの既存機能の活用だけ者を所属する（管理する）部局ごとに割り当てで概ね実現できるのではないかと考えるに至っることとし、全体で約 20 クラスほどのクラスをた。

作成して実施してきた。

既に大学における情報セキュリティ教育の実施

例として 2021 年度は、学生は 5 月から 6 月に261図 1

認証基盤の構成実施し、教職員は 7 月から 8 月に実施し、10 月から半年間未受講者のサービスアカウントを停

3 新たな情報セキュリティ教育の実装止するという形で運営された。

これらの問題点への対応として考えたのが当初より情報セキュリティ教育を受講しない

2023 年度の情報セキュリティ教育の実施方法と利用を停止するサービスが設定されており、である。ここではその実装について説明する。

2022 年 度 に お い て は 学 内 Wi-Fi で あ る

本学の認証基盤は利用者情報を集め、管理する

UTokyo Wi-Fi および VPN サービスである

人事システムと学務システムから連携されたア

UTokyo VPN である。停止するサービス側では、カウント情報を管理する LDAP Manager と認

未受講者のアカウントのサインイン禁止設定を証 自 体 を 行 う Active Directory お よ び

追加することで利用不能とし、追加で受講したAzureAD(EntraID)の連携で構成されたハイブ

利用者の情報は毎月禁止設定を解除するというリッドな認証基盤である[1]（図 1）。 アカウン

形で運用実装した。

トの発行と情報セキュリティ教育の受講状態を適時改善を行いながら実施してきたが、いくつ

連 携 す る こ と を 考 え る と 直 接 的 に は LDAP

かの問題点があった。

Manager への機能改修が必須となる。本学が1.

実施時期を定める必要があり、年度途中か2021 年に行なった多要素認証機能の導入では、らの対象者（秋入学や中途雇用者、休学者、多要素認証の制御は LDAP Manager の機能改休職者）への実施が難しかった。

修で実装した。しかし、多要素認証を必須とす利用を停止するサービスの運用負担が大きるサービスの制御の大部分は AzureAD が持つく連携頻度を上げることが難しかった。

条件付きアクセス機能への設定を管理者が自らそしてなによりも、本来セキュリティ教育はア行った。この経験から LDAP Manager と連携

カウント利用開始時に行われるべきものである

する機能はアカウントの発行管理と密に結合しが、本方式ではアカウントの利用開始後の受講た機能として実現できるが、サービスの利用制となるため、実質的な効果が薄いと思われた。

御とだけ連携することができればよい機能であそのため、持続的なセキュリティ教育活動としれば、AzureAD の機能を管理者が用いることだて定着させることはできたが実施方法の検討をけで十分実現できることが運用上の知見として続ける必要が依然としてあった。

分かった。

2.

さらに、在宅勤務の定着で研修活動も多くがオンラインとなり学内の DX 活動も盛んとなった。

262

そして前述した通り、いくつかの研修活動が図 2 に設定した連携のイメージを示す。実際のMicrosoft Forms を工夫して利用して行われ始設定方法は PowerAutomate が利用できるものめた。それらの多くは Microsoft Forms の機能である管理者であれば、誰でも設定可能な平易を活用した研修コンテンツで非常に精緻なものなものである。

であった。同様の活用ができれば情報セキュリ

セキュリティ教育の実施管理を担当する情報環

ティ教育を実施するのに十分な研修クオリティ境課において、Microsoft Forms で研修コンテを実現できるものであると考えられた。そして、ンツを作成した。ここで工夫したのは、利用者

採点およびアカウント制御についてはに受講結果が少しでも分かりやすいように「クMicrosoft PowerAutomate（内部で、AzureADイズ機能」を利用したことである。クイズ機能にアクセスするコネクタを利用） を用いること

では受講後に正解を採点して示すことができる。

で、Microsoft Forms で作った情報セキュリテ

しかし、クイズ機能には、多言語に対応していィ教育コンテンツとその受講状況を判定し合格ないという機能的な不備もあり、情報セキュリ者を AzureAD に登録し、サービス管理に連携

ティ教育では対象者である教職員と学生にそれして実装することとした。AzureAD 内部では、ぞれ異なる研修内容を実施することしている。

情報セキュリティ教育合格者をメンバーとする

そのため、実施言語として日本語および英語をセキュリティグループを年度ごとに作成してい設定したことで、フロントエンドとなるる。そのセキュリティグループを制御するアプ

Microsoft Forms は計 4 個作成することとなっ

リ ケ ー シ ョ ン （ 本 学 で は UTokyo Wi-Fi,

た。作成した Forms の画面を図 3 に示す。

UTokyo VPN, UTokyo Slack）のユーザとして受講者が Microsoft Forms で回答を送出する登録する。こうすることで、毎年必須の研修にと PowerAutomate が受け取り、採点を実施し、対して対応することができるようにした。

身分を判断した上で AzureAD にあるセキュリ

この方法は、全学契約の包括ライセンスで利用ティグループに追加する。

で き る Microsoft365 の 機 能 だ け で UTokyo

受講者は、MS Forms の最後の画面で採点結果

Account の全利用者が研修を受講でき、利用すを確認できるが、加えて合格者のセキュリティるに提供するサービスと研修の受講状態を連携グループだけにアクセス権を付与したできる。結果として、全学研修をアカウントとSharepoint サイトを作成し合格判定サイトと連携させながらシステム改修における費用を全して提供した。

く生じさせなかった。

図 3 情報セキュリティ教育の画面
図 2

情報セキュリティ教育実施機能利用停止措置は直接認証連携しているサービス

263

では、利用権が合格者グループそのものに付与されるので、サービス側ですることはない。
UTokyo Wi-Fi では、アカウントコントロールのため、認証アプライアンスを利用して Wi-Fi用のアカウントを発行している。そのため、利用停止措置を行う際には合格者ではないアカウントを削除する必要がある。また、Slack のようにクライアントが一定期間認証状態を保持しシステム対象者数

停止者数

受講率

全体

55627

-65.1%

UTokyo

37783

8978

76.2%

13844

4340

68.7%

Wi-Fi
UTokyoSlack
表 1 情報セキュリティ教育の受講者数とサービス停止数てしまうサービスにおいてもサインアウトを強制し、再認証を求めるようにする必要がある。
さらに、これまでは ITC-LMS に受講者の登録をあらかじめ行う必要があった。しかし、この方法では、認証基盤と直接連携しており、Microsoft Forms にアクセス可能な利用者、すなわち、すべての UTokyo Account 利用者を自動的に受講対象者とすることができる。結果として、これまで受講対象とできていなかった、受講開始後に在籍開始となった利用者や復帰した利用者すべてに受講を必須とすることができた。
現在、新たに本学に在籍する構成員は UTokyo
Account を受け取った後、情報セキュリティ教育を受講しないと Wi-Fi, VPN などのサービスは利用できない。こうして全構成員必須の講習

情報セキュリティ教育の未受講または不合格によりサービスでアカウント削除または停止となった UTokyo Account 利用者は表 1 のとおりである。受講期間中での受講率は概ね 65%であり相応する未受講者のサービスの利用停止措置を実施した。明確に利用者数が分かる UTokyo WiFi でのアカウント発行数は 9 月中に研修開始前と同様の 40000 人を超えており、その人数が情報セキュリティ教育を受講済みであることが分かる。
情報セキュリティ教育の実施開始前に、2 回学内に周知を行い、実施結果を集計して、定期的に各部局ごとの受講率を Sharepoint サイトに掲載した。これらによって受講促進を行った。

として情報セキュリティ教育を実現した。
これらの機能実装については、2022 年度中に簡単な検証を行い、実現性を確認したのち、2023 年度に入って実施準備をし、全体としては概ね３ヶ月で実施準備を行なった。

4 情報セキュリティ教育実施結果
このようにして準備した情報セキュリティ教育
は 2023 年 7 月 5 日から 8 月 7 日までの約１ヶ月を受講期間として実施した。8 月 8 日に受講者データの検証を行い、8 月 9 日より各システムにおける利用停止措置を実施した。

図 4 情報セキュリティ教育の受講状況
情報セキュリティ教育の受講状況を示したグラフが図 4 である。7 月 5 日の開始直後に多くの受講者が受講し、その後週ごとに同じような受講状況を繰り返していることがわかる。これは、学内で定期的にアナウンス等が繰り返されているためである。学生向けにはアカウント停止に264より教育を受ける機会を失うことにつながるこ

員、共同研究などでの関係者、名誉教授などのとから学務システム UTAS で全学生へのメール構成員に対しては、大学本部からの周知や各部通知を教育開始時と終了前とに実施した。その局での周知が届きづらく、UTokyo Account をため、受講期限である 8 月 7 日前に駆け込みで利用しながらも情報セキュリティ教育の実施情の受講が大きくあった。受講期限である 8 月 9

報自体も届かない、あるいは届いても認識でき日以降にサービス停止により未受講に気づいたていないという状況がある。これはサービス利利用者の受講が若干あり、その後は 1 日あたり用時になんらかの表示を行うような対応ができ数名から 10 名程度の未受講者の受講が続いてればよいが、今回のように定型化されたクラウいる状況にある。

ドサービスを活用した方法では困難であり、せ受講期限以降に利用を開始するユーザに対してっかくの有益性を失わせてしまうことになる。

は、新規構成員向けに utelecon サイト上で提供

また、もう一つの理由として、情報リテラシーしている「大学生活に必要な情報システムの準全般において言えることであるが、情報セキュ備について（新入生向け）」と「東京大学の情報リティの常識的な内容を問うような平易な研修システムの準備について（教員向け）」の開始手では、その平易さのためか用意されているコン順においてアカウントの新規利用時の設定手順

テンツや指示の全てを読むことをせず、正しくに、情報セキュリティ教育の受講を織り込んで理解できないために受講を完了できないといっいる。その手順に従い、おそらく後期授業が始た状況を生じる者が多くでてしまうことである。

まる前に若干の増加が見込まれるが新規利用者

これらの問題については、技術的な対応での改も受講すればすぐに各サービスを利用できるの善よりも、情報セキュリティ教育の実施自体をで、速やかに受講いただけるものと考える。

定着させ、毎年確実に実施することが情報システム利用において必須であるという認識を作る

5 実施評価ことが有効であるように思われる。

情報セキュリティ教育を認証基盤と連携して実現行の方法として利用している Microsoft施した結果についてまとめる。

Forms の機能は未だ完成しておらず、今回の研情報サービス利用者全員が受講するしくみとな修準備中にも少なからぬ改善が図られている。っているため制御対象である UTokyo Wi-Fi,

そのため、今回の研修受講においてはクラウド

UTokyo VPN, UTokyo Slack を利用するネッ

サービス特有のカスタマイズできない機能上のトワークセキュリティへの認識が必要な者の受穴については、ドキュメント等で説明を補い受講率は 100％である。

講しやすくなるような対応を行なっている。し一方で情報システム利用者へのサポートへの負かし、それらを読むことなく、うまく受講でき担は大きくなっている。具体的には utelecon サ

ず、機能改善（特に、Microsoft Forms の終了

イトで提供しているユーザサポート窓口[5] に画面での結果表示があまりうまくできていないは情報セキュリティ教育の受講を知らず、Wi-Fi

ことに起因する意見）を求める声は大きい。当が利用できない、VPN が利用できないといっ然、機能的に改善すべきものは要望していくこた状況で問い合わせをしてくる利用者が受講期とを考えている。しかし、クラウドサービスの限以降、ずっと来続けている。

活用によって、特別な費用を一切生じることなこれには、いくつか理由があると考えられる。

く全構成員に対して提供できており、そのためまず、一つには、大学情報システムの利用意識の制約であることがユーザに理解されることがが低い所属関係、具体的には附属病院の医療職DX というものの一部であると思われる。今後

265

の実施において考慮していきたい。の協力を頂きました。特にサービス停止措置では情報システム本部野口昌志氏、竹内朗氏には5 まとめ対応いただきました。また、適切な受講に向け

本稿では、本学で実施した情報セキュリティ教てユーザサポートでの多大な協力をしていただ

育の認証基盤との連携による費用をかけない効いているサポート窓口のコモンサポーターの皆率的な実現方法について紹介した。今回紹介しさんには敬意を表します。

た方式での情報セキュリティ教育はまだ始めたばかりで多くの改善点があると思われる。受講結果（特に不合格であった場合）を受講者に的確に提示することは必要な機能であると思われる。認証基盤への機能追加による改善ではせっ

参考文献[1] 中村 誠、東京大学における認証基盤の取り組み、学術情報基盤オープンフォー
ラム、かくのローコスト手法での効果がうすくなってしまうので、クラウドサービスを活用した DX的な対応方法を考えていきたいと考える。
先にも述べたが、デジタル化によって全学的な認証基盤である UTokyo Account と連携した機能を活用したオンラインでの研修が増加している状況にある。我々が情報セキュリティ教育を実施した後にも全学構成員を対象としたコンプライアンス研修や調査が 3 種類も実施された。
当然のことながら受講者からはこれらの研修受講状況を分かりやすく提示することが求められ始めている。
そういった大学全体の研修活動への対応としても、本件で活用したようなクラウドサービス機能は有効であるため、さらにクラウド認証基盤を活用して受講管理ができるような方向での対応を検討中である。
大学のような学生、共同研究者など多くの構成員がコラボレーションするインフラとして情報システムは必須であり、コロナ禍によってさらに拡大したオンライン化によってさらに不可欠なものとなった。そうしたことで情報システムを利用するもののセキュリティ教育の重要性もまた高くなっている。その重要性を鑑みて今後も工夫と改善を続けていきたい。

謝辞
情報セキュリティ教育の実施に当たっては情報システム部、情報システム本部の諸氏には多く

266[2] 符 儒徳, 情報セキュリティ教育の現状と大学の課題, 開智国際大学紀要 第 19 号
（2020）
https://doi.org/10.24581/kaichi.19.0_121[3] 中西 貴裕, 川村 暁, 尾中 夏美, 松岡 洋子, 岩手大学における留学生向け情報セキ
ュリティ教育と他組織との教材の共有,
AXIES 2019, SF1-3[4] 竹内 朗, 玉造 潤史, 学生・教職員の協働によるワンストップの ICT サポート窓口運営の実践, AXIES2022, 13PM2C-5.pdf