⼤学等におけるクラウドサービス利⽤シンポジウム2017＠広島, 2017/3/10

クラウドサービス利⽤に向けた情報セキュリティガバナンス実態調査に関する取り組み
渡邉英伸
広島⼤学 情報メディア教育研究センター

発表内容• クラウド利⽤実態調査の現状と課題• 情報セキュリティガバナンス評価モデル• アンケート質問事項• アンケート実施結果の⼀部紹介• まとめ*渡邉英伸, 他, “学術機関におけるクラウド化成熟度モデルに関する検討” 大学ICT推進協議会2016年度年次大会論文集,2016.
**渡邉英伸, 他, “クラウドサービス利用に向けた学術機関のための情報セキュリティガバナンスの実態調査” 情報処理学会
研究報告, Vol.2017-IOT-36, No.19, 2017.

2

はじめに
• 学術機関においてもクラウドの活⽤が求められる時代– アカデミッククラウドに関する検討会(H24年度),⽂科省– 先導的な教育体制構築事業(H26〜H28年度),⽂科省• 学術機関のクラウド利⽤実態調査が多く実施されている– コミュニティで紡ぐ次世代⼤学ICT環境としてのアカデミッククラウド（平成25年度）【⼀般公開】• 主管︓⽂部科学省、実施︓九州⼤学ほか• 対象︓国公私⽴⼤学、研究所783組織– クラウドコンピューティングの運⽤状況及び導⼊計画等（平成26年度）【⾮公開】• 主管︓⽂部科学省、実施︓国⽴情報学研究所(NII)• 対象︓国⽴⼤学86校– 学術情報基盤実態調査（クラウド関連は平成24年度〜）【⼀般公開】• 主管・実施︓⽂部科学省• 対象︓国公私⽴⼤学779校（国⽴86、公⽴86、私⽴607）– 国⽴⼤学法⼈情報系センター協議会調査書（クラウド関連は平成23年度〜）【限定公開】• 主管・実施︓国⽴⼤学法⼈情報系センター協議会(NIPC)• 対象︓国⽴⼤学74校（国⽴⼤学法⼈情報系センター協議会加盟校）

3

平成27年度学術情報基盤実態調査• クラウドの運⽤（平成27年5⽉1⽇現在）– ⽬的︓国公私⽴⼤学の⼤学図書館やコンピュータ・ネットワーク・クラウド環境の現状を明らかにし、その改善・充実への基礎資料とする• 学術機関がクラウドを利⽤するために、改善・充実の⼿助けとなる基礎資料となっているか︖– 具体的な情報や有⽤性が不明では…

クラウド化によって改革が期待される部分はまだまだ
4学術機関のクラウド活⽤を妨げる要因• 学術機関がクラウド化をしない1番の理由– 情報セキュリティの不安＞

数年間変化なし

コストの不安 パブリッククラウドサービスを利⽤しない、あるいは利⽤を妨げている理由

学術機関(n=594)

企業(n=722)

 情報漏洩などセキュリティに不安がある

49.2

34.0

 クラウドの導⼊に伴う既存システムの改修コストが⼤きい

19.0

22.6

 ニーズに応じたアプリケーションのカスタマイズができない

19.0

12.8

 ネットワークの安定性に対する不安がある

17.8

15.2

 法制度や所属機関の諸規則が整っていない

16.8

6.3

 メリットが分からない、判断できない

16.0

21.5

 通信費⽤がかさむ

9.8

10.9

 クラウドの導⼊によって所属機関の諸規則との整合性に⽀障をきたす

8.9

6.2

 必要がない8.2

41.2

 その他

8.2

5.8

＜出展＞
コミュニティで紡ぐ次世代⼤学ICT環境としてのアカデミッククラウド（セキュリティ分野）︓http://www.icer.kyushu-u.ac.jp/ac
平成24年通信利⽤動向調査（企業編）（総務省）︓http://www.soumu.go.jp/johotsusintokei/statistics/statistics05.html

5

クラウド利⽤を後押しするためには︖• 回答組織のセキュリティの取り組みを客観的かつ定量的に評価し、個々に適切なフィードバック情報を提供する調査が必要– クラウドを導⼊する以前に⾃組織のセキュリティの取り組みは望まれる⽔準をみたしているか︖– ⾃組織のセキュリティレベルは学術機関全体の位置付けはどの辺りか︖– クラウド利⽤に向けて次に何をすればよいか︖

回答組織（学術機関）がクラウド利⽤を促進するための新たな評価モデルが必要

6

クラウドサービス利⽤推進に向けて• クラウド利⽤の推進と公平な評価のため、情報セキュリティガバナンスをベースとした評価モデルを提案

低⾼情報セキュリティガバナンス

⾼少多

低

クラウド化の評価

クラウド導⼊・運⽤実績

従来クラウド化の評価

⾼低多少
クラウド導⼊・運⽤実績

提案

7

情報セキュリティガバナンス
評価モデル

評価モデルの要求事項• 学術機関全体として⼀定⽔準の情報セキュリティレベルの確保とその状況が確認できること– 全体の傾向を把握するため• ⾃組織のセキュリティレベルの現状と望まれる⽔準との差を把握し⽬標を明確にできること– 個別の現状を把握するため• 実態調査の回答を続けることで徐々に情報セキュリティレベルの向上を促すことが可能なこと– フィードバックによりステップアップを⽀援するため• クラウドサービスを利⽤する場合としない場合の差を把握し⽬標を明確にできること– クラウド利⽤の推進に必要な要素を⽰すため
9提案評価モデル• 5つのステージレベルで組織の情報セキュリティガバナンスを定量的に評価する

10

提案評価モデルの特徴• 情報セキュリティガバナンスの多段評価⽅式– １段階︓組織内運⽤管理（オンプレ運⽤）に対する評価– ２段階︓外部委託（連携）運⽤に対する加点減点評価

クラウドＡ

クラウドB

外部委託(連携)運⽤
遠隔管理

オンプレ運⽤
学術機関Ａ

セキュリティ
制度適応範囲

外部委託（連携）運⽤
組織内運⽤管理（オンプレ運⽤）
情報セキュリティガバナンス
11

ステージ求め⽅• 4つの評価基準の各ステージレベルの平均を最終的なステージレベルとする（総合評価）

124つの評価基準• 適応⼒︓– 既存の情報システム運⽤管理が変化することに対して，情報セキュリティ制度の適応範囲を合わせられることを判断する評価基準
 適切な情報セキュリティ制度の整備できるか否か• 管理⼒︓– 情報セキュリティの統括体制で⽰される担当組織が共同して諸規則等の順守を⽰す運⽤が可能であることを判断する評価基準
 適切な情報セキュリティマネージメントが実施できるか否か• 対処⼒︓– 迅速な情報セキュリティインシデントの対処及び対応の評価・⾒直し・改善が可能であることを判断する評価基準
 適切な情報セキュリティインシデント管理が実施できるか否か• ⾃⼰啓発⼒︓– 組織全体の情報セキュリティの向上を促す制度および統括体制であることを判断する評価基準
 適切な情報セキュリティマネージメントの教育・⼈材育成ができるか否か
13

報告書のイメージ「クラウドサービス利用に向けた学術機関のための情報セキュリティガバナンス実態調査」報告書○○大学の評価結果：ステージ3（適応力：4、管理力：4、対処力：2、自己啓発力：5）
全体平均

概説
・

内訳説明
・適応力：・管理力：
・対処力：
・自己啓発力：

自己啓発力

適応力
5
4
3
2
10

貴組織

管理力

対処力

今後のポイント
・情報セキュリティガバナンスの観点：
・クラウドサービス導入・運用の観点：
14アンケート質問事項

アンケート質問（25問作成）• 対象– 組織運営業務に必要な情報システム・情報セキュリ
ティの運⽤管理を実際に担当している情報系センター• 質問内容– ISMS[3]および情報セキュリティガバナンス[4]の重要事項を参考• 望まれる⽔準は国際標準の情報セキュリティ管理規格相当– 過去の情報セキュリティ実態調査には無い質問事項を追加• 質問構成– オンプレ運⽤に伴う情報セキュリティガバナンスの取り組み状況を把握するための質問がベース– クラウドサービス利⽤に伴う質問をアドオンする[3] JIPDEC，ISMSユーザーズガイド -JIS Q 27001:2014(ISO/IEC 27001:2013)対応- リスクマネジメント編，2015，[4] 経済産業省，情報セキュリティガバナンス導入ガイダンス，

16

質問事項（PLAN）:8問• 組織的セキュリティ制度・体制状況とクラウドに対する理解・準備等の実態を把握する質問
Ⅰ

情報セキュリティに関する組織的な制度・体制の実態について問1

情報システムの運⽤管理に関する諸規則（情報セキュリティポリシー、管理策等）を策定していますか︖

問2
問3

情報システムの運⽤管理に関する諸規則の中で、情報の格付け（重要度に応じた取り扱い）に関する事項を定めていますか︖
情報システムの運⽤管理に関する諸規則の中で、情報処理を外部委託する場合の情報セキュリティに関する事項を定めていますか︖

問4

情報セキュリティ委員会やCISO等を中⼼とする情報セキュリティの統括体制を整備していますか︖

問5

CSIRT等の情報セキュリティインシデントを対応するチームを構築していますか︖

問6

クラウドサービスの特性や利⽤におけるメリット・デメリットを把握していますか︖

問7
問8

適切なクラウドサービスを利⽤するための情報セキュリティ関連の要求要件（標準仕様）の⽂書化（ガイドライン作成等）をしていますか︖
⽂書化した情報セキュリティ関連の要求要件（標準仕様）とクラウドサービスのセキュリティ対策状況の対応を確認をしていますか︖

17

質問事項（DO）︓7問• 組織的セキュリティ対策・情報セキュリティ運⽤状況とクラウドの導⼊・運⽤実態を把握する質問
Ⅱ
問9

情報セキュリティに関する導⼊・運⽤の実態について
情報、情報システム、ネットワークへのサイバー攻撃に対して情報セキュリティ対策（※1）を実施していますか︖
情報セキュリティインシデント（⽂部科学省等の外部組織に報告するまでに⾄った事案）・情報セキュリ

問10

ティトラブル（⽂部科学省等の外部組織に報告するまでに⾄らなかった事案）の発覚から解決までの対応事項に関する記録を残していますか︖

問11
問12
問13

警察や情報セキュリティ企業等の外部組織と連携して、脆弱性や脅威等の情報セキュリティに関連する最新情報を収集していますか︖
脆弱性診断等、情報システムの情報セキュリティ点検を実施していますか︖
管理策等を作成し、特定の運⽤管理者に依存しない運⽤・管理の共通化を実施していますか︖あるいは属⼈化を解消する⼯夫を実施していますか︖

問14

情報システムの運⽤を外部の事業者に委託しているものはありますか︖

問15

クラウドサービスを運⽤していますか︖※1 情報に対する情報セキュリティ対策はデータの暗号化やバックアップ等を⽰します。情報システムに対するセキュリティ対策はウイルス対策ソフトの導⼊やアクセス制御の設定等を⽰します。ネットワー
クに対する情報セキュリティ対策はファイヤウォールやIPS(侵⼊検知システム)の設置等を⽰します。
18

質問事項（CHECK）︓5問• 情報セキュリティインシデント対応チームの対応状況と国際標準セキュリティ基準の対応確認の実態を把握する質問
Ⅲ
問16
問17
問18
問19
問20

情報セキュリティに関する評価・点検の実態について
情報、情報システム、ネットワークの情報セキュリティ特性（機密性・完全性・可⽤性）に対する情報セキュリティリスクアセスメントを実施していますか︖
適切なクラウドサービスを利⽤するための情報セキュリティ関連の要求要件（標準仕様）を満たすことを確認するチェックリストを作成していますか︖
発⽣した情報セキュリティインシデント（⽂部科学省等の外部組織に報告するまでに⾄った事案）に対して対処はできていますか︖
過去1年間に発⽣した情報セキュリティインシデントの発⾒から最終報告までの対処についての評価を実施していますか︖
契約している外部委託業者は国際的な情報セキュリティ基準(ISMS、CSゴールドマーク等)を満たしていますか︖

19

質問事項（ACT）︓5問• 情報セキュリティ教育・訓練状況と内部・外部監査の実態を把握する質問
Ⅳ
問21
問22
問23
問24
問25

情報セキュリティに関する⾒直しの実態について
情報システムの運⽤管理に関する諸規則や統括体制（制度・体制的セキュリティ）、情報セキュリティ対策（システム的セキュリティ）等についての⾒直し・改善を過去1年間に実施しましたか︖
情報セキュリティの観点で情報システムの運⽤管理に関する監査を実施していますか︖
情報セキュリティ委員会やCISO等を中⼼とする情報セキュリティの統括体制の中で情報共有ができていますか︖
情報システムの運⽤管理に関する諸規則や最新のサイバー攻撃に関する情報を全構成員（利⽤者）に周知する⽬的の教育を実施していますか︖
情報セキュリティインシデント対応関係者の対応⼒を向上する⽬的の教育・訓練を実施していますか︖

20

補⾜︓過去の調査から関連する質問を抽出
クラウド導⼊・運⽤と情報セキュリティに関連する質問事項••

コミュニティで紡ぐ次世代⼤学ICT環境としてのアカデミッククラウド（平成25年度）
A) 情報システムの運⽤に関して定めている諸規則の有無
B) 情報の格付けに関して定めている事項の有無
C) 情報処理を外部委託する場合に関して定めている事項の有無
D) 情報システムの運⽤に関する諸規則を構成員に周知するための教育の有無
E) 情報セキュリティマネジメントシステムの認
証取得の有無F) 過去1年間に発⽣したセキュリティインシデン
トの有無G) 利⽤しているクラウドサービスの種類
H) パブリッククラウドサービス利⽤の有無
I) 構成員のパブリッククラウドサービス利⽤状
況の把握の可否

クラウドコンピューティングの運⽤状況及び導⼊計画等（平成26年度）
J)

利⽤しているクラウドの種類（プライベートクラウド、パブリッククラウド、コミュニティクラウド）K) クラウド運⽤している情報システムの⽤途（管理運営基盤、教育・学習基盤・図書館、研究基盤、その他ICT基盤）•L) クラウド運⽤している情報システムの種類
M) 情報システムの学外運⽤の有無

国⽴⼤学法⼈情報系センター協議会調査書（平成28年度）

N) セキュリティポリシー策定の有無
O) 情報セキュリティマネジメントにおいて中⼼となる組織の有無
P) CSIRTなどの専⾨組織の構築の有無、または既存の組織による対応の可否
Q) 標的型攻撃対策として特別に実施した訓練の有無
R) 利⽤しているクラウドの種別（パブリックク
ラウド、プライベートクラウド、学外ネット
ワークからの利⽤）S) クラウド運⽤している情報システムの⽤途（管理運営基盤、教育・学習基盤・図書館、研究基盤、その他ICT基盤）
T) クラウド運⽤している情報システムの種類
U) 導⼊前後のパブリッククラウド、プライベー
トクラウドの評価（ハードウェアコスト、ソフトウェアコスト、管理者の負担、システムの消費電⼒、障害復旧に要する時間、データの安全性）

21

補⾜︓評価基準と過去の質問との対応付け• 評価基準１︓組織的制度・体制の有無– 情報セキュリティポリシー︓– 情報セキュリティ管理組織︓– 情報セキュリティ対応体制︓– 情報格付け・外部委託関連⽂書︓

A), N)O)P)B), C)– 情報システムの学外運⽤︓– パブリッククラウドサービスの導⼊︓– ⼤規模クラウドサービスの導⼊︓– 複数クラウドサービス形態の導⼊︓

M)H)K), L), S), T)
G), J), R)– リスクアセスメント・管理の実施︓– 研修・教育・訓練の実施︓– インシデント発⽣時の対応︓– クラウド化の確認項⽬の⽂書化︓－D), Q)F), I)－– 内部監査の実施︓– 情報セキュリティガバナンスの評価・改善︓– クラウド導⼊前後の評価︓– 国際標準クラウドセキュリティ基準対応確認

－E)
U)
－

• 評価基準２︓組織的導⼊・運⽤の有無• 評価基準３︓組織的管理・統制の有無• 評価基準４︓内部監査・外部評価等の有無

重複しない質問を洗い出した

不足の質問を洗い出した22

ステージ判定表(質問事項・能⼒ステージ関係)

23

ステージ判定表(質問事項・能⼒ステージ関係)

24ステージ判定表(質問事項・能⼒ステージ関係)

25

ステージ判定表(質問事項・能⼒ステージ関係)26

質問事項と評価ポイント
評価軸

質問事項

評価ポイント

適応力

問１：諸規則の策定

ステージ１～３を評価

問２：情報格付け策定
問４：統括体制の整備
問５：対応チームの構築
問３：外部委託の情報セキュリティ事項策定

ステージ４を評価

問７：クラウドのセキュリティ対策の確認
問６：クラウドの特性の把握

ステージ５を評価

問８：クラウド化の要求事項の文書化
問１４：外部委託の実施
問１５：クラウドサービスの導入・運用状況

アドオン（外部委託連携運用）質問27

質問事項と評価ポイント
評価軸

質問事項

評価ポイント

適応力

問１：諸規則の策定

ステージ１～３を評価

問２：情報格付け策定
問４：統括体制の整備
問５：対応チームの構築
問３：外部委託の情報セキュリティ事項策定
管理力 問９：情報セキュリティ対策

ステージ４を評価
ステージ１～３を評価

問７：クラウドのセキュリティ対策の確認
問１０：インシデントの対応記録
問６：クラウドの特性の把握
問１１：情報セキュリティ情報の収集

ステージ５を評価

問８：クラウド化の要求事項の文書化
問１２：情報セキュリティ点検
問１４：外部委託の実施
問２３：統括体制の情報共有
問１５：クラウドサービスの導入・運用状況
問１３：運用管理の共通化

ステージ２～５を評価

問１６：情報セキュリティリスクアセスメント
問１７：クラウドチェックリストの作成

アドオン（外部委託連携運用）質問28

質問事項と評価ポイント
評価軸

質問事項

評価ポイント

適応力

問１：諸規則の策定

ステージ１～３を評価

問２：情報格付け策定
問４：統括体制の整備
問５：対応チームの構築
問３：外部委託の情報セキュリティ事項策定
管理力 問９：情報セキュリティ対策

ステージ４を評価
ステージ１～３を評価

問７：クラウドのセキュリティ対策の確認
問１０：インシデントの対応記録
問６：クラウドの特性の把握
問１１：情報セキュリティ情報の収集

ステージ５を評価

問８：クラウド化の要求事項の文書化
問１２：情報セキュリティ点検
問１４：外部委託の実施
問２３：統括体制の情報共有
対処力 問１９：早急なインシデント対処
問１５：クラウドサービスの導入・運用状況
問１３：運用管理の共通化

ステージ１～３を評価
ステージ２～５を評価

問２１：対処チームの見直し・改善
問１６：情報セキュリティリスクアセスメント
問１８：情報セキュリティインシデント
問１７：クラウドチェックリストの作成

ステージ４～５を評価

問２０：国際標準クラウドセキュリティ基準対応の確認
アドオン（外部委託連携運用）質問29

質問事項と評価ポイント
評価軸

質問事項

評価ポイント

適応力

問１：諸規則の策定

ステージ１～３を評価

問２：情報格付け策定
問４：統括体制の整備
問５：対応チームの構築
問３：外部委託の情報セキュリティ事項策定
管理力 問９：情報セキュリティ対策

ステージ４を評価
ステージ１～３を評価

問７：クラウドのセキュリティ対策の確認
問１０：インシデントの対応記録
問６：クラウドの特性の把握
問１１：情報セキュリティ情報の収集

ステージ５を評価

問８：クラウド化の要求事項の文書化
問１２：情報セキュリティ点検
問１４：外部委託の実施
問２３：統括体制の情報共有
対処力 問１９：早急なインシデント対処
問１５：クラウドサービスの導入・運用状況
問１３：運用管理の共通化

ステージ１～３を評価
ステージ２～５を評価

問２１：対処チームの見直し・改善
問１６：情報セキュリティリスクアセスメント
ステージ１～３を評価する
問１８：情報セキュリティインシデント
ステージ４～５を評価
自己啓 問２４：構成員への教育
問１７：クラウドチェックリストの作成
発力
問２５：インシデント対応チームの訓練
問２０：国際標準クラウドセキュリティ基準対応の確認
問２２：監査の有無
ステージ２～５を評価する
アドオン（外部委託連携運用）質問30

アンケート実施結果の⼀部紹介

アンケート依頼先とスケジュール• 以下に協⼒を依頼し、ご賛同および調査に参加して頂いた
28学術機関に対して実施– 学認クラウド導⼊⽀援サービスの参加機関– NIIクラウド作業部会のメンバー機関– AXIESのクラウド部会– その他、知り合いがいる⼤学等• 調査スケジュール– 1⽉18⽇ ご協⼒いただける機関への調査票送付– 2⽉3⽇ 調査票回収締切• ２⽉２４⽇ すべて調査票を回収– 3⽉中旬 評価結果送付

32

28学術機関の最終ステージ
最終ステージ平均2.5（オンプレ運用のみは平均2.4）

33

28学術機関の能⼒別平均ステージ
対処力が最も低い
対処力が最も低い（平均2.1）（平均2.１）34

設問別の平均ステージ

対処⼒問19.インシデント対処
チームの⾒直し・改善35

考察• 今回の評価結果について– ⾃組織のセキュリティガバナンス実態を把握しフィードバックとステップアップを⽀援ができる⾒込みを得た• 望まれる⽔準との差分• 学術機関全体のセキュリティ取り組みの進捗具合• 次に実施すべき取り組み• 改善すべきポイントについて– 質問事項と選択肢• より簡潔かつ明瞭に– 評価⽅法• ステージ判定表（能⼒と質問事項と選択肢の関係）• クラウドサービス利⽤有無におけるステージ加点判定36

まとめ• クラウドサービス利⽤に向けた学術機関のための情報セキュリティガバナンスの実態調査の評価モデルとアンケート内容を提案– ISMSなどの重要事項がベース– オンプレ運⽤から外部委託(連携)運⽤へ段階的にセキュリティガバナンスの実態を把握する質問構成• 今後の課題– 学術機関毎の個別ステージ判定と報告書作成– アンケートシステムの評価と⾒直し• 回答機関からのヒアリングによる質問事項、ステージ判定の妥当性• 質問事項・選択肢および評価⽅法の⾒直し37