SS 研 ICT フォーラム 2021
学術機関×オンライン×セキュリティ×コンプライアンス ～オンラインの課題と明日～九州大学 サイバーセキュリティセンター
小野貴臣
サイエンティフィック・システム研究会（SS 研）の ICT フォーラムが 2021 年 9 月 13 日にオンライン上で開催された。本会合は、“学術機関 x オンライン x セキュリティ x コンプライアンス～ オンラインの課題と明日 ～“をテーマに、「学術機関×コンプライアン
ス×オンライン授業×試験」、「CIA+HSE からみたオンライン利用の再考」、「新型コロナウイルス感染拡大に対する社内 IT の取り組みご紹介」の３件の発表およびパネルディスカッションで構成されている。
はじめに福岡大学の藤村丞氏の挨拶が行われた。あいさつの中で藤村氏は、新型コロナウイルス感染症が蔓延する前と異なる環境下で業務や講義を進めるうえで忘れてはならないのが、セキュリティとコンプライアンスの課題であると述べた。テレワークやオンライン授業を安全に実施していくために、学術機関がオンラインにおいて考えるべきセキュリティと気が付くべきコンプライアンスなどの課題について議論が行われた。
1. 「学術機関×コンプライアンス×オンライン授業×試験」
最初の講演は、京都大学の中村泰典氏から昨今の新型コロナウイルスが蔓延している状況において、京都大学がセキュリティの観点でどのような取り組みを行っているのかについて紹介された。
まず京都大学の活動制限状況について、2020 年 4 月からオンライン授業に向けて Zoomの利用方法の講習および在宅勤務の準備を行っていた。オンラインでの試験の取り組みに関する問い合わせへの対応や、学生のサークル活動制限に対するレベルの緩和などの情報を整理した。京都大学は対応レベルを５段階用意しており、レベルが上になるにつれ授業や緊急度の高いものはオンラインでの開催が主になる。
オンラインでの問題点として、会議終了後に席上配布するような機密性の高い資料の扱い方、試験問題の扱い方および試験の開催方法などがある。政府統一基準の機密性情報には 3 つのレベルが定義されており、より機密性の高い機密性 3 情報 政府機関等の情報セキュリティ対策のための統一基準を参考にし、大学のセキュリティポリシーを作成する。
情報のライフサイクル(作成、入手、利用、保存管理、移送、公表提供、消去)および格付において、情報の入手者は、その情報を扱う上で講ずるべきセキュリティ対策を明確にし、格付けと取り扱い制限を定める必要がある。CIA の中でセキュリティの観点から機密性を明確にすることが多くの場面で行われている。大学では、研究をする上で安全保障にかかわるような情報や技術を取り扱うような場合に、格付けや取り扱い方法を定める必要がある。機密性 3 情報の取り扱いについて、機密性レベルの決定方法は、大学の各部局および教職員ごとに判断するようサンプル規定にて紹介されている。資料の各ページに明記する、電磁的記録の場合にはファイル名に明記するなどが例として挙げられている。新型コロナウイルスによる活動制限下では、従来の格付け基準とは別に、活動制限下での制約に合わせて再検討した格付け基準を定めるべきであり、過度に緩和することなくできる限り最小限の緩和にとどめる必要がある。平常時に戻った際に緩和してやり取りしていた情報の取り扱いについて決める必要も生じる。
連絡手段に関して、秘密の漏洩がされないよう留意すべきである。送信エラーおよび宛先の間違い、あるいは会議予定の公開範囲の確認不足から生じる情報漏洩のおそれがある。要機密情報のオンライン共有方法での検討項目として、通信時およびファイル保存時の暗号化、共有範囲や可能な操作などのアクセス制限、閲覧・編集記録の確認がある。暗号化されたファイルの取り扱いに関して、クラウドストレージをマウントし、PC 上で通常のフォルダとしてアクセス可能にする Cryptomator を使用した方法や、ファイル送受信サービス、グループウェア、およびオンライン会議でのファイル共有・画面共有といった方法がある。共有パスワードに関して、手渡し、本人限定受け取り郵便、E2EE(End-toEnd Encryption)オンライン、会議システムでの周知、S/MIME・PGP(OpenPGP、GnuPG 等)を利用した配布などがある。
技術的制限の限界として、画面キャプチャや撮影による複製対策、アクセス制限が正しく設定されていることの確認が容易であるか、複数の操作手順が徹底されるかどうかなどを考慮する必要がある。
オンライン会議について、端末上でのみデータが復号可能となる E2EE が Cisco Webex
や Zoom にて利用可能であること、ミーティングの管理情報、端末側の情報漏洩に注意しないといけないこと、データセンターのリージョンについて考慮しなければならない。
オンライン会議における意思決定手段として、Google Forms を利用した記名投票、Zoom 等に付属の投票機能を利用した無記名投票を紹介した。
試験の手段について、カメラを ON にしギャラリービューで観察するといった試験を監督する手段、問題の掲示方法について紹介した。
情報格付け及び取り扱い制限は、情報の作成者または入手者が情報をどのように取り扱うべきかを他のものに認知させ、情報の重要性や講ずべき情報セキュリティ対策を明確にするための手段であり、多くの場合、情報を入手者が従うべき取り扱う制限を示すために用いられていて、手段などは明示されていないことがこの 1 年半を通して判明してきた。
コンプライアンスを守るための情報の格付けと取り扱い制限は、平常時でも確実な運用は容易ではなく、確定までの検討段階の情報の格付けと取り扱い制限の運用は複雑で未定義である。暗号化を含むアクセス制限のための技術を用いた取り扱い制限の安全性担保はどう取り扱うべきについて引き続き考慮する必要がある。

2. 「CIA+HSE からみたオンライン利用の再考 学術機関でのオンライン活用におけるセキュリティ、コンプライアンスの観点から」２件目は、東京電機大学の寺田真敏教授が、昨今の新型コロナウイルスが蔓延した状況下において、「オンライン」がおおよそ浸透し、様々な場面で利活用されるようになってきたことについて、振り返りつつ再考を行った。
2020 年にオンライン授業が開始し、学術系の大学はオンライン授業を前提として動き始めた。しかし、４月ごろ Zoom のセキュリティ問題が浮上し、企業から Zoom の使用を推奨しない提起がなされた。この提起により、外部講師によるオンライン授業が行い難くなる可能性、あるいは、サプライチェーンを考慮すると使用せざるを得ないオンラインツールを使用できないことによりビジネスの機会を損なう可能性がある。したがって、サプラ
イチェーン・オンライン会合世代に向けては、禁止ではなく、よりよくするために育てる発想が必要である。
2021 年は、オンラインとオフライン、および 2 つの形式を混合したハイブリッドの授業が行われている。オンラインでは授業後も⾧時間質問を受け付けることができる点は良いが、文章および映像でどのように伝えていくのか、かつ時間にルーズになりがちである点に留意する必要がある。ハイブリッドの授業では、授業後の質問は休み時間内の短時間に限られ、オフライン側とオンライン側ではコミュニケーション格差が生じる問題がある。
大学では、ハイブリッドを推奨しているが、学生はハイブリッドであってもオンライン聴講を好む傾向が強い。また、ハイブリッドの授業において、オフライン側の学生であってもプロジェクタで投影したスライドを見るより、自分の PC にオンライン授業のスライドを映す傾向にあることから、今後の聴講形態が変化していくことが推測される。
オンライン活用を進めていくためには、情報セキュリティ管理視点の CIA（機密性、完全性、可用性）だけでなく、ISO 14001:2015（環境パフォーマンス向上マネジメントシス
テム規格）、ISO 45001:2018（労働安全衛生におけるリスク除去マネジメントシステム規格）に準拠した HSE（健康、安全、環境）についても考慮していく必要がある。
CIA＋HSE に該当するものとして、
C:参加者がどこから参加しているのか、隣で誰が聞いているのかわからない
I:参加者はそこにいるのかわからない、トラフィック負荷を減らすためにビデオをオフにしていることも多いことからオフラインで会ったときに相手を識別することができない
A：参加者はどの程度集中しているのかわからない
H：時間にルーズとなりがち、休み時間なく連続する打合せ、打合せのダブルブッキン
グによる疲弊S：ながら仕事による集中力低下、容赦のない割込みによる集中力低下、すなわち、注意散漫による潜在的な事故要因の増加
E:画面共有により共通認識が取れているという勝手な思い込みなどが挙げられる。
また、オンライン化により記録が取りやすくなったが、その一方、記録という証拠により、「否認防止」への悪用、「やったという事実は説明しやすいがやっていないという事実を説明することは難しい」への悪用が懸念される。
オンラインの利活用の幅は確実に広がっているが、情報セキュリティ管理の側面だけではなく健康面など考慮することも多く存在する。この発表がそれらの課題へのヒントになれば幸いと考えている。

3. 「新型コロナウイルス感染拡大に対する社内 IT の取り組みご紹介」
３件目は、富士通株式会社の菅野克彦氏から、新型コロナウイルスの蔓延に対し、富士通の社内 IT はどのようにして乗り越えてきたかについて紹介された。
コロナ前のテレワーク勤務制度に関し、2017 年 4 月より全社員を対象に、場所にとらわれないフレキシブルな働き方を可能とするテレワーク勤務制度を導入した。テレワークに必
須な 3 つのサービスとして、Web 会議、ペーパレスサービス、仮想デスクトップが挙げられている。それぞれの利点として、Web 会議では、在籍状況を確認して会話、資料の共有が可能である。ペーパレスサービスでは、クラウドによりデバイスを選ばず資料を参照できる。仮想デスクトップでは、自宅の PC をモニター替わりにして、いつでもどこからでも会社と同じデスクトップが閲覧できる点がある。自宅の私物 PC における仮想デスクトップの制限として、サーバからローカルへコピーを不可とすることで情報漏洩リスクを回避し、ローカルからサーバへコピーを不可とすることでウイルスの侵入を防ぐことで安全性を確保した。
新型コロナウイルス発生直後のユーザの問い合わせが殺到したことから、リモート環境増強に取り組んだ。3 月 27 日からの首都圏全域、原則在宅テレワーク勤務に沿い、富士通
でも全社員の 25%がテレワーク勤務となるように取り組んだ。ネットワーク VPN の利用者が急増したため、4 月時点で VPN 装置や VDI のリソースなどの増強が完了した。また、テレワーク急増に伴い、会議数が 3 倍以上に急増したため、Microsoft Teams の展開を前倒しして開始した。結果として、問い合わせ件数は 0.09 件/日に改善し、VPN 同時接続数、ネットワーク回線使用料、VDI 登録者数、オンライン会議数も軒並み増加した。
人事施策として、勤務制度、手当、福利厚生を全面的に見直しした。具体的には、通勤定期券の廃止、テレワーク補助費用として月額 5 千円の支給、社給スマホ支給（またはBYOD）を実施し、段階的にオフィス面積を現状の 50％程度にする計画である。
社内 IT における今後の方針として、Secure Internet Gateway による FAT パソコンでも直接インターネット接続を許可するためのセキュリティの高度化、顧客との契約上 PC ローカルに一切データを置けない機密レベルの高い情報を扱う部門へのセーフティ FAT パソコンの提供、および仮想デスクトップのクラウド化を挙げている。
情報保護 IT 施策として、当社グループにおける DX ビジネスのグローバル推進に向け、グローバルレベルでの情報共有時の情報保護の観点から、日本国内と海外で独自に行われていた「情報分類・秘密表示」の統一を実施した。

4.パネルディスカッション
講演者３名に、モデレーターとして高エネルギー加速器研究機構の加茂聡氏を加え、講演に対する質疑応答をベースとしたパネルディスカッションが行われた。主に、学生がスマートフォンの原稿を見つつ発表することの是非について、テレワークによる勤務形態の遷移や新人教育について、オンライン会議の欠点、アフターコロナ後もテレワークや大学の講義を行うかどうかについて、対面による指導の機会の有無によるオンラインコミュニケーションの頻度などについて議論が行われた。