ＩＰＡ新試験対応の授業実践効果と産学官連携したセキュリティ⼈材教育

埼⽟県⽴新座柳瀬⾼等学校
藤巻朗

昨年度の発表概要
単位制の特徴を活かして系統⽴てた情報教育の実践↓
内閣サイバーセキュリティセンター（NISC）が提唱した

内閣サイバーセキュリティセンター
（NISC）『教育機関で育てる⼈材のレベルと企業が必要とする⼈材のレベルを明確に双⽅が認識できる仕組みが重要』↓レベル定義と情報処理技術者試験
レベル1（⼊⾨レベル）〜レベル7（超⾼度レベル）「ＩＴパスポート試験」⇒

レベル1に相当「情報セキュリティマネジメント試験」⇒

レベル2に相当↓
３年間系統⽴てた情報教育の実践により

CCSFが定める分野・分類
分野

テクノロジ系
マネジメント系
ストラテジ系

大分類
基礎理論
コンピュータシステム
技術要素
開発技術
プロジェクトマネジメント
サービスマネジメント
システム戦略
経営戦略
企業と法務

３年間系統⽴てた情報教育の実践

１年次
情報の科学 または社会と情報

２年次
ＩＣＴ演習

３年次
情報テクノロジ
ビジネス情報プレゼンテーション情報セキュリティ⼈材育成プログラムの内容
情報モラルの徹底

１年次

情報技術分野の基礎知識

２年次
問題解決能⼒の向上
３年次
経営者的視点の育成

Ｐ検

ＩＴ
パスポート試験

今年度は「情報セキュリティ⼈材育成プログラム」↓「情報セキュリティマネジメント試験」を活⽤して、CCSFレベル2の定着を検証する

（先に）結論として「情報セキュリティマネジメント試験」（ＣＣＳＦレベル２）への対応が確認できた（後述）↓
そこで、政府各省庁機関等で取り組んでいるについて検討する

「具体的な授業事例を教えて欲しい」との昨年度全国神奈川県⼤会発表コメントより

ファイアウォールとボットウイルス武田一城 「日本の終戦までの最後の1年間とサイバーセキュリティの現状の共通点」
http://www.itmedia.co.jp 2016年09月01日

「ボット」と「C&Cサーバ」
ボットとはコンピュータを外部から遠隔操作するためのバックドア型不正プログラムの⼀種

C&Cサーバとは遠隔操作のための指令を送るサーバ

最⼤の特徴
C&Cサーバから⼀括して複数のボット感染環境を遠隔操作できる仕組み（ボットネットワーク）を構成する

如何にしてボットウイルスをＦＷ内部へ侵⼊させるか？

C&C サーバ振る舞い情報抽出・分析システムの提案
情報セキュリティ⼤学院⼤学

⽥中英彦研究室

「絶対国防圏」の設置

サイパン島の陥落
1944年7⽉18⽇ サイパン島の陥落により太平洋戦争の⽇本の敗戦は決定的↓
このサイパン島を⾶び⽴った爆撃機の空襲に⽇本がさらされるようになるボットネットの構築

指令・制御

C&C サーバ振る舞い情報抽出・分析システムの提案
情報セキュリティ⼤学院⼤学

⽥中英彦研究室

公開鍵暗号⽅式
南京錠

太平洋戦争における⽇本海軍の暗号• ミッドウェイ海戦• ⼭本五⼗六連合艦隊司令⻑官の戦死

⽶国海軍は⽇本側の暗号通信を傍受し解読して、⽇本軍の作戦計画の全容を事前に知り尽くして待ち伏せ攻撃をかけた

暗号化技術共通鍵暗号⽅式
共通鍵暗号⽅式では、暗号化と復号で同じ鍵を利⽤する。
あらかじめ両者の間で鍵情報を共有しておく必要がある。

公開鍵暗号⽅式
公開鍵（暗号化）と秘密鍵（復号）の別の鍵が利⽤される。
受信者は、⾃分の秘密鍵で受け取った暗号⽂を復号すればよい。

公開鍵暗号⽅式（を考える）
公開する「暗号化鍵」と秘密に保持する「復号鍵」↓
２つの別な鍵
鍵の開いた「南京錠」が「公開鍵」

南京錠を開錠する「鍵」が「秘密鍵」

暗号化と復号
公開鍵を利⽤した暗号化は世界中の誰でもできる↓復号できるのは公開鍵とペアになる秘密鍵だけ開ける鍵と閉める鍵が別の例
コインロッカーなど

ディジタル署名と認証局（ＣＡ）
南京錠を開錠する「鍵」が「公開鍵」

鍵の開いた「南京錠」が「秘密鍵」

情報セキュリティマネジメント試験

情報セキュリティマネジメント試験とは2016年春期より新たな試験区分として創設（ＣＣＳＦレベル２）
ITパスポート試験を合格した次のステップとして活⽤されることを想定

毎年春・秋の年２回実施
時間区分

午前

午後

試験時間

90分

90分

出題形式

四肢択⼀

多肢選択式

出題数

50問

3問

ＩＴパスポート試験との⽐較
レベル１のITパスポート試験範囲と⽐較して、セキュリティ・法務といった重点分野を中⼼に更に掘り下げられた内容が出題される↓より⾼度なセキュリティ関連分野の知識が要求される

「情報テクノロジ」の期末考査において、情報セキュリティマネジメント試験の2016年度春期と秋期午前問題からも⼀部出題した。
本試験でも60％の正答率で合格 → 60ポイントが⽬安27

実際の出題①
春問14
PCで⾏うマルウェア対策のうち、適切なものはどれか。
解答

イ

ウイルスがPCの脆弱性を突いて感染しないように、OS及びアプリケーションの修正パッチを適切に適⽤する
IPA 情報処理推進機構 https://www.jitec.ipa.go.jp/

マルウェア対策としてOSやアプリケーションの最新の修正パッチを適⽤すること
は、CCSFレベルに関係なく重要事項として出題される

29

実際の出題②
秋問27
ランサムウェアに分類されるものはどれか。
解答エ

感染したPCのファイルを暗号化し、ファイルの復号と引換えに⾦銭を要求するマルウェア
IPA 情報処理推進機構

https://www.jitec.ipa.go.jp/

他の解答群ア

感染したPCが外部と通信できるようプログラムを起動し、遠隔操作を可能にするマルウェア

イ

感染したPCに保存されているパスワード情報を盗み出す
マルウェア

ウ

ボットウイルス

スパイウェア

感染したPCのキー操作を記録し、ネットバンキングの暗証番号を盗むマルウェア

キーロガー

31

実際の出題③
春問24
公開鍵暗号を利⽤した電⼦商取引において、認証局（CA）の役割はどれか。
解答

イ

取引当事者の公開鍵に対するディジタル証明書を発⾏する。
IPA 情報処理推進機構 https://www.jitec.ipa.go.jp/

32

実際の出題④
秋問28
なりすましメールでなく、EC(電⼦商取引)サイトから届いたものであることを確認できる電⼦メールはどれか。
解答

ウ

ディジタル署名の署名者のメールアドレスのドメインがECサイトのものであり、署名者のディジタル証明書の発⾏元が信頼できる組織のものである。
IPA 情報処理推進機構 https://www.jitec.ipa.go.jp/

認証局（CA）の役割
ＣＣＳＦレベル１の共通・公開鍵暗号⽅式の基礎知識の定着が、それらの応⽤技術であるPKI（公開鍵認証基盤）の仕組みの理解に繋がる。

34

実際の出題⑤
春問15
システム管理者による内部不正を防⽌する対策として、適切なものはどれか。
解答

ウシステム管理者の作業を本⼈以外の者に監視させる。
IPA 情報処理推進機構 https://www.jitec.ipa.go.jp/

セキュリティ管理・運⽤分野
ＣＣＳＦレベル1の内部統制や監査の基礎知識や経営者的視点の養成により対応可能である。

①〜⑤の正答率合格基準程度（６０％）の正答率が得られた
①

正答率

②

③

④⑤

マルウェア
対策

ランサム
ウェア

認証局の役割ＰＫＩの仕組み内部不正の防⽌

76.9%

69.2%

69.2%

69.2%

57.7%

（数問のみの結果からでは完全ではない部分もあるが）ＩＴパスポート試験対応の授業内容が午後問題
実際に起こった情報漏えい等に類似した事例解析が中⼼春午後問1
情報セキュリティインシデントの管理に関する記述を読んで、標的型攻撃メールの実際の脅威と具体的な対策を選ぶ設問

11問

内容的に⾼校⽣には難易度は⾼いがITパスポート試験の早期合格者数名は６０％程度正解→

午後問題対策としても対応可能であるサイバーセキュリティ
⼈材確保加担の第⼀歩
ITパスポート試験の早期合格者（今年度既に2名）に対して情報セキュリティマネジメント試験の受験を積極的に推奨することで試験勉強を通して知識を確実に定着できる。

↓
更に上位試験である 情報処理安全対策⽀援⼠ まで視野に⼊れた施策を検討していく必要あり

２０２０年

東京五輪開催を控えサイバー攻撃の恰好のターゲットとなる機会の増⼤は確実
実際、2012年ロンドン五輪期間中は2億件超えのサイバー攻撃が確認されている↓
情報セキュリティマネジメント試験に合格した⾼校⽣に対して、（その後も⾒据えて）更なる学修が求められることは容易に予想できる。

2016年10⽉創設

CCSFレベル4

通称：登録セキスペ「情報セキュリティスペシャリスト試験」
を独⽴させ、別制度として資格試験を新設。
合格者はIPAに申請・登録する事により情報処理安全確保⽀援⼠と成ることが出来る「情報処理安全確保⽀援⼠」集合研修 配布資料

2017.8.5

情報セキュリティマネジメント試験との⽐較
情報セキュリティマネジメント

情報処理安全確保⽀援⼠

CCSFレベル２

CCSFレベル４

組織の情報セキュリティ確保に情報セキュリティ技術の専⾨家貢献し、脅威から継続的にとして、セキュアな情報組織を守るための基本的なシステムを企画・要件定義・スキルを有する

開発・運⽤・保守する情報セキュリティマネジメント試験との⽐較
情報セキュリティマネジメント

情報処理安全確保⽀援⼠

CCSFレベル２

CCSFレベル４

利⽤者側

技術・管理者側

２０２０年

東京五輪開催を控え2016年4⽉ 改正サイバー法が成⽴しNISCの機能強化が盛り込まれた↓サイバーセキュリティに関する専⾨的な知識・技能を有する専⾨⼈材の育成と確保のため国家資格化

東京五輪に向けて情報処理安全確保⽀援⼠
情報セキュリティマネジメント試験
ITパスポート試験

今後必要とされる
セキュリティ⼈材育成計画
政府各省庁でも各々セキュリティ⼈材育成施策を策定している。

↓
特に⾼校の情報教育では、橋渡し役としてのセキュリティ⼈材教育が求められる今後必要とされる
セキュリティ⼈材育成計画①

⾼等教育機関との連携による系統的なスキル習得②

サイバー対策を踏まえたプログラミング教育③

産学官連携による実践的演習の充実

①

系統的なスキル習得
早期（できれば⼊社まで）に情報処理安全確保⽀援⼠の有資格者へブラッシュアップが可能となるような⼈材スキル習得の系統化が必要

系統的なスキル習得
情報セキュリティに関連した⼆つの国家試験「情報セキュリティマネジメント試験」「情報処理安全確保⽀援⼠」の間には、CCSFレベル3である「応⽤情報技術者試験」が存在する。

系統的なスキル習得
レベル２

レベル３

レベル４

情報セキュリティ
マネジメン
ト

応用情報技術者

情報処理
安全確保支援士

⾼等教育機関中⼼で養成

情報処理技術者試験の活⽤（⼤学）
情報処理技術者試験を活⽤している⼤学・短⼤は全国で344校（2016年度）
応⽤情報技術者試験のシラバスを参考としたカリキュラムを取り⼊れている理⼯・情報系学部↓
ITパスポート試験等の合格者に対する⼊試優遇や⼊学後の単位認定

情報処理技術者試験の活⽤（⼤学）
活用内容

大学数

情報処理技術者試験を活用している大学

344校

・入試優遇

228校

・単位認定

106校

・シラバスの一部又は全部を参考とした授業カリキュラムの策定

93校

・受験対策支援講座の実施

151校

・受験を推奨（受験料補助、合格者の表彰、報奨金等支給）

132校

2016年12月21日現在
https://www3.jitec.ipa.go.jp/JitesCbt/index.html

系統的なスキル習得
⾼校：ＣＣＳＦレベル１、２
ＩＴパスポート試験

情報セキュリティマネジメント試験

⼤学・専⾨学校：ＣＣＳＦレベル３
応⽤情報技術者試験（基本情報技術者）
就職前まで（または就職後早期）情報処理安全確保⽀援⼠

②

サイバー対策を踏まえたプログラミング教育

2020年度から⼩学校におけるプログラミング教育が必修化
コンピュータ技術の原理や思考⽅法などを学ぶ事で、問題解決のための⼿順を順序⽴てて明確に出来る「論理的思考⼒」や「問題解決能⼒」の向上を⽬指す↓
特定のプログラム⾔語の習得には踏み込まない「サイバー攻撃対策の⼿段」として⾔語習得の需要が⾼まる と考えている

マルウェアに代表される不正プログラムのコード解析により相⼿の⼿⼝を知るが、より効果的な対策を考える第⼀歩に繋がる不正プログラムのコード解析
プログラミング• 問題解決力の向上

不正プログラムのコード解析• サイバー攻撃対策の手段

脆弱性があるプログラム例（Ｃ⾔語）出典
IPA 情報セキュリティスペシャリスト試験
Ｈ２８秋 午後Ⅰ問２
https://www.jitec.ipa.go.jp

バッファオーバーフローの脆弱性

ヒープベースＢＯＦの脆弱性

不正な uid、passを⼊⼒する事で利⽤者認証を回避することが可能になる

③ 産学官連携による実践的演習の充実
ＮＩＳＣの「サイバーセキュリティ2016」の横断的施策の⼀つ

実践的サイバー防御演習（CYDER）等を通じたサイバー⼈材育成
産学関係機関との協⼒体制の整備を推進

実践的演習の充実を⽬指す

実践的サイバー防御演習（CYDER）
標的型攻撃によるインシデントの検知から対応、報告といったインシデントハンドリングを⼀連の流れで体験↓
実際の機器やソフトウェア等利⽤した未知の攻撃によるインシデント発⽣を想定した訓練

（参考）「情報処理安全確保⽀援⼠」
資格維持集合研修（H29.8.5)
ＩＰＡ・内⽥洋⾏⼈材開発センター主催

グループワークによるケースステディ• インシデント対応• 予防策の検討

初等中等教育機関では実際に⼿を動かして学ぶ機会を増やす教育が必要とされると考える
Wire shark ・コマンド等によるパケット解析含企業等との連携が必要

今後詳細等調査予定↓
特にタブレット端末やスマートフォンの急激な普及により逆に扱う機会が減ったキーボードを利⽤した『タイピング⼒』など、重要な要素の⼀つになる

ICTプロフィシエンシー試験（Ｐ検）
タイピング

３０％以上

かつ⼀般問題 及びＷｏｒｄ・Ｅｘｃｅｌ

６０％以上の得点で合格（４級）

H28 １年次Ｐ検（４級）結果より
受験者

１０１名

合格率

８４．２％

不合格者のうちタイピングのみの不合格

９３．８％

↓
タブレット端末やスマートフォンの急激な普及により

実践的演習の充実のためにアンプラグド

実機で手を動かす今後必要とされる
セキュリティ⼈材育成（まとめ）①

スキル習得の系統化→②

プログラミング教育→③（⾼⼤連携による）ＣＣＳＦレベル３の定着（不正プログラムなどの）コード解析⼒の養成

実践的演習の充実（産学連携による）→タイピング⼒の強化