医学系の教職員・学生向け情報セキュリティ教育
葭葉 純子, 中村 直毅, 長瀬 祥子 , 伊藤 和哉 ,高畑 知香, 鈴木 麻里恵, 冨永 悌二
東北大学大学院 医学系研究科・医学部 情報基盤室
yoshiba@med.tohoku.ac.jp

Information Security Education for
Faculty and Students of School of Medicine
Junko Yoshiba, Naoki Nakamura, Sachiko Nagase, Kazuya Ito,
Chika Takahata, Marie Suzuki, Teiji Tominaga
Information Infrastructure Office, School of Medicine, Tohoku University
概要
医学系の学生は、患者情報に接する機会が多数あるため、教職員と同様に、個人情報保護や情報漏えいに関して充分な啓発を行う必要がある。そこで、情報基盤室では、平成 20年度から、学部生、大学院生、教職員向けに個人情報保護や情報セキュリティに関する教育を実施してきた。
情報セキュリティ教育の実施内容は、個人情報保護、情報漏えい事例、情報漏えいを起こさないための情報セキュリティ対策等の項目からなる。さらに、学生には、教育実施後に簡単な選択式テストを実施するとともに、教育内容を理解した上で誓約書に署名することを義務付けている。これまで教育内容を充実させるために、アンケートを実施し、その結果を反映して教育コンテンツを改善してきた。また、理解度を向上させるために、できるだけ身近な事例で解説したり、ウィルス解説動画の活用等も行っている。
平成 28 年度まで教育を継続して実施した結果、平成 20 年の教育開始時と比較すると、個人パソコンでもウィルス対策ソフトが導入され OS がアップデートされている、USB メ
モリの紛失トラブル報告も聞かなくなるなどの効果が得られている。今後は、東北大学の公式 e-learning システムの活用、警察や企業に講演を依頼して外部講師による最新の情報セキュリティセミナーの開催等を行い、さらに情報セキュリティ啓発活動を進めていきたい。

1 はじめに医学系研究科・医学部の学生は、臨床実習等

近年では、多くの人が自分の携帯電話やパで直接患者様に接する機会や、病院情報システ

ソコンを所有しており、簡単にインターネットムで患者情報を参照する機会が多数あるため、に接続してウェブサイトの情報を閲覧したり、教職員と同様に個人情報保護や情報漏えいに関SNS で情報発信したりできる環境が整っていして充分な啓発が必要である。そこで、情報基る。また、大学で学習や研究をする上でもイン盤室では、平成 20 年から毎年少しずつ内容を改ターネットはなくてはならないものとなってい良しながら、学部生・大学院生・教職員向けにる。一方、大規模な個人情報漏えいなどの情報個人情報保護、情報セキュリティの教育を実施

セキュリティに関するニュースは後を絶たず、している。本稿では、情報セキュリティ教育の安易にインターネットを利用することで、誰で実施内容、スケジュール、教育内容を充実させも意図せずに情報漏えいの被害者、加害者になるために行った改良点、結果と現在の問題点、りうることが懸念される。

今後の進め方について述べる。

2 情報セキュリティ教育
2.1 実施計画

表１ 平成 28 年度の情報セキュリティ教育実施計画
実施日時

対象者

新任教職員

1年

実施日

実施時間

4/7(木)

14:00-14:304/8（金）13:00－14:00

②病院
①個人情
情報
所要時間 報保護・システ
守秘義務
ム
30分
60分

○
○

実施内容
③情報セキュリティ
④SNS利用上の注意⑤情報システム利用方法⑥電子ジャーナルの適正利用

－－

○
○

⑦テスト ⑧誓約書記入
回収不要
回収－－

○

－○

－－－

△
（後で回収）

○

○

○

○

－

○

○

○

○

－

大学院生

学部生
医学科

学部生
保健学科

配布書類
安全 SNS
利用 倫理 利用 誓約
テスト
手引 ガイド ガイド 書
ライン ライン1年

10/3(金)

10::00－11:00

60分

○

－○

－

△
（後で回収）

１年

5/9（月）

8:50－10:50

130分

○

－○

○

○

－－

○

○

○

２年

4/6（水）

9:10－10:25

75分

○

－○

○

○

－－

○

○

○

３年

4/5（火）

10:10－11:10

60分

○

－○

○

○

－－

○

○

○

４年4/22（金）13:10－14:10

60分

○

－○

○

○

－－

○

○

○

５年4/4(月)10:55－12:05

70分

○

○

○

○

○

－－○

○

○

６年4/4(月)13:10－14:10

60分

○

－○

○

○

－－

○

○

○

１年4/7（木）14:00-15:00

60分

○

－○

○

○

－－

○

○

○

２年4/8（金）9:05－10:05

60分

○

－○

○

○

－－

○

○

○

３年4/8（金）13:00－13:40

40分

○

－○

○

○

－－

○

○

○

４年4/8（金）14:30－15:10

40分

○

－○

○

○

－－○

○

○

表１は、平成 28 年度の情報セキュリティ教育の実施計画である。教育の対象者は、新任教職員、大学院新入生、学部生全学年としている。

①個人情報保護・患者情報、個人情報とは・医師等医療関係者の守秘義務

実施日時は、基本的に 4 月のオリエンテーション時とし、具体的な日程は、学生向けを教務課、教職員向けを総務課が調整しており、事務部と協力して情報セキュリティ教育を行っている。
実施内容は、教職員学生とも基本部分は同じものを使用し、学生に対しては、誓約書の配布と説明、テストの実施を行うなど、対象者によって調整している。また、配布書類として、教職員と大学院生に情報基盤室作成の「情報システム利用手引き」を、大学院生にはさらに、東北大学情報シナジー機構作成の「コンピュータネットワーク安全倫理に関するガイドライン」[1]

図 1 ①個人情報保護の資料例②情報漏えい事例・過去半年以内に起きた病院での個人情報漏えい事例の提示と解説
・情報漏えい後どうなるか（新聞発表･･･）を、全対象者に医学系研究科広報室作成の「SNS 利用ガイドライン」を配布している。
2.2 説明内容

説明資料は、パワーポイントで作成しており、以下の①から⑤の内容からなる。内容の作成にあたっては、IPA の「対策のしおり」[2]を参考にした。

図 2 ②情報漏えい事例の資料例

平成 28 年度は、図 5 の警察庁のランサムウ③情報セキュリティ対策「情報漏えいを起こさないため」というェア説明動画を使用した。過去には、セキュリ観点から、情報セキュリティ対策をまとめティメーカー作成の USB メモリで感染するウている。

ィルスの解説動画や、スマートフォンを乗っ取・見る必要のない情報を見ない、書かないるウィルスの解説動画等を活用している。

・廊下、エレベーターで実習内容を話さない・USB メモリは持ち歩かず、医学部提供のネットワークストレージの使用を推奨
・ウィルス感染対策
・最新のセキュリティ脅威事例の情報提供
・セキュリティ被害事例

https://www.npa.go.jp/cyberpolice/topics/?seq=17666より引用

図 5 警察庁のランサムウェア説明動画④SNS 利用上の注意
・アップロードしてはいけない情報

図 3 ③情報セキュリティ対策の資料例

・ダウンロードしてはいけない情報、著作権・安易に写真等をアップロードしたことによ特に、セキュリティ被害事例は、自部局でるトラブル事例の被害事例や先輩達の失敗事例が記憶に残りやすいため、なるべく身近な事例を提示し(他大学の事例)て説明するようにした。図 4 は、医学部のメールアドレス宛に多数届いた東北大学の管理者を装ったフィッシングメールの事例である。
フィッシングメール被害事例

医学部での実際の被害

2014年2月 多数の教員宛に、URLリンク付メールが届いた

図 6 ④SNS 利用上の注意の資料例

From: 東北大学 Support [mailto:support-sysadm@admin.in.th]
Sent: Friday, February 28, 2014 6:17 AM
Subject: 重要通知
親愛なるユーザー、ためにあなたのメールアカウントを再検証し、次のリンクをクリックしてくださ い、非常に重要な、保守およびウイルススキャンのためにあなたの電子メールの IDとパスワードを入力します。

⑤情報システム利用方法<http://xxx.xxx.com/> こちらをクリックしてフィッシングメール被害事例
メールのURLクリックで表示される画面

医学部での実際の被害
メールアカウントは永久に私たちの緊急通知を守らないために短時間で終了しま す。
メールアカウント、パスワードご協力、ありがとうございます。
を入力し「Submit」をクリック
東北メール管理サポート
すると自分のメールアカウン
トが盗まれる©2014東北大学。すべての権利予約されています。

・情報共有用のグループウェアの利用方法

URLをクリックすると次ページのような画面が表示される
29

迷惑メールを大量に送信されたり、メールを受信できなくなる可能性もどう対応する？
→ 怪しいメールのURL,添付ファイルは開かない
怪しいメールとは・日本語の文章がおかしい、漢字がおかしい
・問い合わせ先が書かれていない
・URLのドメインがおかしい ・内容が事実と異なる・ネットワークストレージ、無線 LAN、VPN
接続、メール取得方法など

4-6. ネットワークストレージなど
30

図 4 セキュリティ被害事例
また、パワーポイントの文字と図の説明だ

けでは、ウィルス感染の仕組みはわかりづら「学部生向けネットワークサービス」の「ネットワークストレージサービス」を参照

接続時に東北大ID
パスワード を入力

く、説明も聞き飽きてしまうため、その年に流行った攻撃に関する解説動画を活用して、理解しやすい内容にしている。

63

図 7 ⑤情報システム利用方法の資料例

2.3 確認テスト（学部生対象）

全学部生に対し、毎年、教育を実施している
ため、上級生ほど私語が多く説明を聞かない傾向にある。そこで、学部生には最後にテストを実施することをあらかじめ伝え、なるべく聞かせるようにするとともに、テストの答え合わせの際に解説をすることで、説明内容の理解が深まるようにしている。
図 8 は、平成 28 年度のテストと解説資料の3 教育内容の充実
情報セキュリティ教育の内容をより効果的に理解してもらうために、アンケートを実施しアンケート記入内容に関し結果の反映を行った。
具体的には、平成 22 年度の教育の際に学部生を対象として、図 10 の簡単なレポートの記入を依頼した。対象者は、医学科 2 年から 6 年生、保健学科 1 年から 4 年生の約 1,200 名である。

抜粋である。テストは、簡単な選択式問題 6 問程度からなり、毎年、少しずつその年度の説明内容に合わせて変更している。

図 8 テストと解説資料
2.4 誓約書

大学院生、学部生には、教育実施後に誓約書

図 10 情報システム利用に関するレポートを配布し、内容を理解した上で署名・捺印してこのレポートの「②ネットワーク、コンピュもらい教務課で保管している。誓約書の細かなータを利用していて不安に思ったこと、わから内容については、大学院、学部（医学科、保健なかったこと」に関し、「あった」と記入したの学科）の各教務委員会で検討し決定している。

は、1,200 人中約 200 人であった。この「不安図 9 に誓約書のイメージを示す。に思ったこと、わからなかったこと」に記入された内容を集計しまとめた結果の一部を表 2 に示す。

ｈ
図 9 大学院生の誓約書イメージ

表 2 レポート集計結果抜粋
分類
セキュリティ対策について

記入内容

記入者数

どこまでウィルス対策したら良いのか？ウィルス対策ソフトでどこまで防げるのか？

ウィルスに感染してしまったらどうしたら良いのか？

3

ウィルス対策ソフトで駆除できない場合は、HP等でウィルス対策方法を調べてそれに従ってウィルスを削除してください。それが無理な場合は、パソコンを初期状態に（クリーンインストール）し、バックアップデータから復旧してください。

以下の対策を行ってください。
１．ウィルス対策①OSは最新の状態に②ウィルス対策ソフトをインストールする③ウィルス対策ソフトの定義ファイルは最新にする
7④最低、週1回は全ファイルスキャンする->ウィルス対策ソフトを入れていても最新のウィルス（定義ファイルが対応していないウィルス）には感染してしまうことがあるため、週1回全ファイルスキャンしてください。

ウィルス対策がしっかりできるか不安その他
小計
ウィルス対策ソフトについてウィルス対策ソフトインストール方法、更新方法がわからない

どんなウィルス対策ソフトを使えば良いのか？

２．それでもウィルス感染した場合への対処
32 －①データのバックアップをとる
55 －大学で提供しているウィルス対策ソフトをインストール場合は、EASTの学生ネットワークサービスメニューからF-secureなどのリンク先よりダウンロードできます。その際は自分のパソコンを大学に持ってきて無線LANに接続してダウンロードする
6 か、または、自宅からVPN接続してダウンロードしてください。ダウンロード後の操作は、マニュアルに従ってください。
ウィルス対策ソフトをインストールすると標準で、定義ファイルを自動更新、リアルタイム検索等の設定が有効になっています。さらに、最低、週1回は全ファイルスキャンをするように設定してください。
5

ウィルスバスターなどのウィルス対策ソフトを入れていれば大丈夫なのか？
その他
小計

どのソフトが一番良いというのはありません。既にウィルス対策ソフトを利用している場合は、そのソフトを利用してください。検討中の場合は、大学で提供しているソフトを使ってみてはいかがでしょうか。

ウィルス対策ソフトを入れていても、最新のウィルス（定義ファイルが対応していないもの）には、感染していまいます。最1 低、週に１回は、全ファイルスキャンを行って、ウィルスの駆除等を行ってください。ウィルス対策ソフトで駆除できないウィルスの場合は、該当するホームページのウィルス対応方法に従って作業をしてください。
10 －
22 －

OSの更新について個人情報保護について記入内容に対する回答

残念ながらこれを行えば絶対大丈夫というものはありませんが、以下の対策を行ってください。
１．ウィルス対策①OSは最新の状態に②ウィルス対策ソフトをインストールする③ウィルス対策ソフトの定義ファイルは最新にする
13④最低、週1回は全ファイルスキャンする->ウィルス対策ソフトを入れていても最新のウィルス（定義ファイルが対応していないウィルス）には感染してしまうことがあるため、週1回全ファイルスキャンしてください。
２．それでもウィルス感染した場合への対処①データのバックアップをとる->ウィルスを駆除できない場合は、クリーンインストールした後、バックアップデータから復旧することになります。

Windowsの場合は、Windows Updateの設定で「更新プログラムを自動的にアップデートする」にしておけば、自動的に最新にできます。手動でWindows Updateを実行する場合は、IEのメニューより「Windows Update」を選択してください。

OSの更新方法がわからない

3

その他

2 －
5 －

小計
個人情報を保護するために何を心がけるべきかメ
ンタルな注意も教えてほしい
レポートを書く際にどこまで情報を伏せるべきか
小計

1 知る必要の無い情報は知ろうとしないこと。個人情報に関係あることは話さない・書かないことを心がけて下さい。
1 個人が特定されないように注意する必要があります。不安な場合には、担当の先生に相談してください。
2 －

表 2 のレポート集計結果では、・ウィルス対策ソフトでどこまで防げるのかわからないに改良した。
例えば、ウィルス対策ソフトの導入では、大学で提供するウィルス対策ソフトを、グループ・どのウィルス対策ソフトを使えばいいのかウェア上のどのページのどの項目からリンクし・ウィルス対策ソフトのインストール方法、更ていけばインストールできるか、OS のアップ

新方法がわからない・コンピュータ用語がわからない

デートは、画面上のどこで何を設定すれば良いかをそれぞれ画面で説明する。また、ウィルス等の意見が多くみられた。また、教育の内容に対策を行っても感染する可能性はあるため、「重関しては、要なデータは必ずバックアップ」することが大・色々複雑すぎてわからない切であることも伝えている。

・情報が多いのでどれが正しいかわかりづらい・なんとなくわかったが具体的に何をして良いかわかりづらいという意見も見られた。
そこで、表 2 の一番右側に「記入内容に関する回答」を記入し、グループウェア上に掲載して学生に周知することとした。

4 結果と現在の問題点
具体的な数値では出せていないが、平成 20
年に情報セキュリティ教育を開始した頃と比較すると、以下の改善が見られるようになった。
・以前は、OS がアップデートされておらずウ

また、教育への「情報が多い」「具体的に何をィルス対策ソフトも入っていない個人パソコすれば良いかわかりづらい」という意見に対しンをしばしば見かけたが、最近は、OS のアては、翌年からの教育の資料を「情報セキュリップデートが徹底され、ウィルス対策ソフトティ対策として最低限行うことを各自がすぐにもインストールされて定義ファイルも更新さ対応できる具体的な作業内容で提示」するようれている。

・USB の代わりにネットワークストレージの使い。そこで、東北大学公式 e-learning システム用が浸透したため、USB メモリを紛失したこ（以下、ISTU と記載）を使用して教育用コンとによるトラブル報告を聞かなくなった。

テンツを作成し、教職員の在籍者には必ず 1 回・安易な考えで SNS を使って不適切な情報発受講してもらうなどの対策を検討中である。病信をしてしまったという報告を聞かなくなっ院側では既に ISTU 用の個人情報保護の教育コた。

ンテンツを準備しているため、病院と共同して現在は、学生のウィルス感染や SNS での不適情報セキュリティ対策コンテンツを追加作成し、不審なメールの URL に入力しない、添付ファイ切な情報発信等の報告はほぼなくなっているが、ルを開かない等も含めたメールアカウントのハ

教職員宛のフィッシングメールが多数届く、教ッキング対策も行っていきたい。なお、教育と職員がメールアカウントをハッキングされスパ平行してメールサーバ側でもスパムメールを発ム発信されてしまうといった被害が増えてきて信させないための認証方法の変更を検討中であいる。

る。

図 11 に、2014 年から 2016 年 10 月までの医さらに、警察や企業に講演を依頼してセキュ学系研究科のメールサーバでのこれまでのスパリティセミナーを開催し、内部講師だけでなく、ム発信対応件数を示す。管理対象のメールアカ

外部の講師による最新の情報セキュリティ啓発

ウントは約 3,000 アカウントである。2014 年の11 月、12 月にフィッシングメールが多数届き、活動も進めていきたい。

被害数が多くなってしまった。その際の対応として、メールパスワードの変更依頼、パスワー

6 おわりにドチェックの強化、グループウェアを利用した

平成 20 年より、毎年、学生や教職員対象に個フィッシングメールへの注意喚起通知などを行人情報保護、情報漏えい対策を中心とした情報うことで被害がやや収束した。しかし、2016 年

セキュリティ教育を行ってきた。情報を漏えいに入り、またスパムメール発信の被害が増えてさせないための対策方法を継続して伝えてきたきている。

ことで、成果が得られてきている。しかし、情16

報セキュリティの脅威は日々変化し、次々に新15しい攻撃が行われるため、その都度、グループ

14

ウェアからの緊急通知や ISTU での教育コンテ

1210

ンツを活用した啓発を実施し、情報セキュリテ

86

ィ対策を行っていきたい。

5444321032 2 2 2

20 0 0 00 0 0

3 3211 1 1021

100 00

参考文献

1月 3月 5月 7月 9月 11月 1月 3月 5月 7月 9月 11月 1月 3月 5月 7月 9月
2014年

2015年

2016年

図 11 スパム発信対応状況

5 今後の進め方
学部生は毎年全学年を、大学院生は新入生全員を対象としているため、学生の在籍者には、ほぼ全員に教育を実施できている。しかし、教職員は、新任者のみを対象として毎年 4 月に 1回だけ実施しているため、5 月以降の採用者や、以前からの在籍者には、教育を実施できていな[1] 東北大学情報シナジー機構、情報セキュリ
ティポリシー・情報システム関連規程、コンピュータネットワーク安全倫理に関するガイドライン、2016．（東北大学学内限定）[2] 情報処理推進機構 IPA、情報セキュリティ対策のしおり、
https://www.ipa.go.jp/security/antivirus/shiori.html 、 2014年．