ISMSクラウドセキュリティ認証の受審報告
情報メディア教育研究センター
⻄村 浩⼆

⼤学等におけるクラウドサービス利⽤シンポジウム2017
2017/3/10

12年前の報告2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

2

ISMS認証取得の表⽰

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017
http://www.media.hiroshima-u.ac.jp/

3ISMS認証取得の取り組み

予定

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017
http://www.media.hiroshima-u.ac.jp/news/isms/4

情報メディア教育研究センターについて• ⽇本語名称（略称）– 情報メディア教育研究センター（メディアセンター）• 英語名称（略称）– Information Media Center（IMC）• ⽬的（広島⼤学情報メディア教育研究センター規則第２条）– センターは，広島⼤学(以下「本学」という。)の学内共同教育研究施設として，本学の情報通信基盤を⽀え，情報メディアを活⽤した教育の企画・⽴案・実施の⽀援及び業務への⽀援を⾏い，情報メディア活⽤のための研究開発の推進を図ることを⽬的とする。

• 沿⾰– 情報メディア教育研究センター（2001年4⽉〜）• 4センターを統合– 総合情報処理センター（1962年4⽉〜）– 情報教育研究センター（1996年10⽉〜）– 外国語教育研究センター（1997年4⽉〜2004年3⽉）– 情報メディア教育研究霞センター（1999年10⽉〜）• 外国語教育研究センターが分離独⽴（2004年4⽉〜）
2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム20175メディアセンターの状況について
2014
HINET2007
HINET2014

8⽉

2015
初回
審査

HUC11
HUC12

基幹システム端末システム

PC必携化

9⽉

2016

1年次サーベイランス
審査

2017

2018

2年次サー
ベイランス
審査＋クラウドセキュ
リティ審査

2019

2020

5年
5年
3年

4⽉

• メディアセンターシステムの管理・運⽤を取り巻く状況– HINET2014は2014年8⽉運⽤開始（1年⽬）– PC必携化は2015年度新⼊⽣（2015年4⽉）より開始– HUC12は2015年9⽉運⽤開始（HUC11は2015年8⽉末運⽤終了）• 基幹システムの運⽤期間は5年間• 端末システムは3年後に終息予定（PC必携化の進捗状況により判断）• 2016年度はHUC12運⽤の定常化およびセキュリティ体制強化– 利⽤者管理（認証）システムを中⼼とした適⽤対象の再確認と拡⼤– クラウドサービスカスタマとして、ISMSクラウドセキュリティ認証（ISO/IEC27017:2015）の取得

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

6

HUC12構成（オンプレミス計算機／仮想化基盤）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

7

HUC12構成（ユーザ占⽤型パブリッククラウド）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

8

HUC12構成（ユーザ共⽤型パブリッククラウド）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

9

HUC12全体構成(2017年2⽉現在)

利⽤者／サービス管理基盤•

2017/3/10

⼤学ICTシステムの将来像––

複数事業者のクラウドサービスを使い分け
⼤学はサービスポータル機能（認証情報とサービス内容情報）のみを構築・管理→『利⽤者／サービス管理基盤』

⼤学等におけるクラウドサービス利⽤シンポジウム2017

10適⽤範囲拡⼤の考え⽅〜利⽤者管理(認証)情報の流れを遡る〜
今回の適⽤範囲

学外者情報

⼈事情報
正しい情報が⽣成されるよう管理

学⽣情報
構成員情報発⽣源

広⼤ID
情報

アカウント
情報付加
2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

常に正しい情報が来ることを想定

これまでの適⽤範囲
11

ISMSクラウドセキュリティ認証制度とは• ISO/IEC 27001のアドオン認証としての認証登録制度– ⼀般社団法⼈ ⽇本情報経済社会推進協会(JIPDEC) ISMS適合性評価制度における特定の分野固有の規格による認証• ISMSクラウドセキュリティ認証の認証基準、及び認証基準の概要• ISMS認証機関認定基準及び指針 JIP-ISAC100-3.1• ISO/IEC 27017:2015に基づくISMSクラウドセキュ
リティ認証に関する要求事項 JIP-ISMS517-1.0

2017/3/10

27017

270XX

…

…

ISMS(ISO/IEC 27001)認証
⼤学等におけるクラウドサービス利⽤シンポジウム2017

12ISO/IEC 27001要求事項との関係
ISO/IEC 27001 情報セキュリティマネジメントシステム―要求事項
ISO/IEC 27000 本⽂
マネジメントプロセス要求
JIP-ISMS517-1.0
ISMSクラウドセキュリティ認証に関する要求事項

管理策実践の規範を認証要求事項に変換

ISO/IEC 27001 附属書A
管理⽬的と管理策
クラウド固有要素を拡張

クラウド固有要素を追加

ISO/IEC 27017:2015 ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範
ISO/IEC 27017 本⽂①ISO/IEC 27002を参照②クラウド固有の実施の⼿引、関連情報を追加

ISO/IEC 27002 情報セキュリ
ティ管理策の実践のための規範管理⽬的と管理策、実施の⼿引、関連情報

クラウド固有の管理策の追加

ISO/IEC 27017 附属書A
クラウド固有の管理⽬的と管理策、実施の⼿引、関連情報を追加
2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

13

JIP-ISMS517-1.0の構造
ISMSクラウドセキュリティ認証に関する要求事項（JIP-ISMS517-1.0）
ISO/IEC 27001:2013

要求事項

本⽂（マネジメントシステム）

4.3 適⽤範囲
6.1.2 情報セキュリティリスクアセスメント
6.1.3 b) 情報セキュリティリスク対応の管理策決定
9.2 内部監査

ISO/IEC 27002:2013
実践の規範

附属書A（管理策×114個）

A.5 情報セキュリティのための⽅針群
︓
A.18 順守

5

本⽂（管理策、実施の⼿引・関連情報）

情報セキュリティのための⽅針群
︓
18 順守

ISO/IEC 27017:2015
本⽂（管理策、クラウド固有の実施の⼿引・関連情報×37個）

4.1 クラウドサービスを含むISMSの適⽤範囲の決定
4.2.1 情報セキュリティリスクアセスメント
4.2.2 情報セキュリティリスク対応
4.3 内部監査
5 情報セキュリティのための⽅針群
︓
18 順守

附属書A（クラウド固有の管理策×7個、実施の⼿引・関連情報）

CLD.6.3.1 クラウドコンピューティング環境内の役割分担及び責任︓
CLD.13.1.4 仮想及び物理ネットワークのためのセキュリティ管理の整合2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201714

カスタマとプロバイダの⽴場を区別
外部のクラウドサービス
プロバイダ

クラウドサービスカスタマ

サービス
利⽤

クラウドサービスを利⽤する組織で、利⽤に際しての情報セキュリティをISMSクラウドセキュリティ認証によって確保したい組織

クラウドサービスプロバイダ
クラウドサービスを提供する組織で、提供に際しての情報セキュリティをISMSクラウドセキュリティ認証によって確保したい組織

外部のクラウドサービス
プロバイダ

2017/3/10

サービス
提供

クラウドサービスカスタマ＆クラウドサービスプロバイダ

サービス
利⽤

他のクラウドサービスを利⽤して、⾃らのクラウドサービスを提供する組織で、利⽤及び提供の情報セキュリティをISMSクラウドセキュリティ
認証によって確保したい組織

サービス
提供

⼤学等におけるクラウドサービス利⽤シンポジウム2017

外部のクラウドサービス
カスタマ

外部のクラウドサービス
カスタマ

15

適⽤範囲（ISMS+CLD）• 今回の認証におけるクラウドサービスの考え⽅

2017/3/10– HUC12の実装⽅法としてのクラウドサービス– HUC12を構成する仕組みとして適切かどうかをISMSク
ラウドセキュリティの仕組みを⽤いて確認する⼤学等におけるクラウドサービス利⽤シンポジウム201716広島⼤学クラウドサービス利⽤ガイドライン・チェックリスト• 第⼆版（2015（平成27）年9⽉1⽇改訂）• チェックリスト– ガイドラインチェック項⽬︓46個– 詳細チェック項⽬︓88個（それぞれ最⼤．サービス類型により異なる）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201717

ガイドライン整備の流れ
広島⼤学情報セキュリティポリシー
（2005年（平成17年）〜）
クラウドコンピューティングの概要と推奨事項
クラウドコンピューティング
情報セキュリティに関わる利点・リスクおよび推奨事項
中⼩企業のためのクラウドサービス安全利⽤の⼿引き
クラウド事業者による情報開⽰の参照ガイド
クラウドサービス利⽤のための情報セキュリティマネジメントガイドライン
広島⼤学クラウドサービス利⽤ガイドライン・チェックリスト
第⼀版（2013年（平成25年）3⽉15⽇策定）
広島⼤学クラウドサービス利⽤ガイドライン・チェックリスト
第⼆版（2015年（平成27年）9⽉1⽇改訂）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201718

クラウドコンピューティング
情報セキュリティに関わる利点・リスクおよび推奨事項••

http://www.enisa.europa.eu/activities/riskmanagement/files/deliverables/cloud-computing-risk-assessment
http://www.ipa.go.jp/security/publications/enisa/documents/Cloud%20
Computing%20Security%20Risk%20Assessment.pdf（⽇本語訳）

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201719リスク項⽬ (R1〜R35)••

ポリシーと組織関連のリスク(R1) ロックイン(R2) ガバナンスの喪失(R3) コンプライアンスの課題(R4) 他の共同利⽤者の⾏為による信頼の喪失(R5) クラウドサービスの終了または障害(R6) クラウドプロバイダの買収(R7) サプライチェーンにおける障害技術関連のリスク(R8) リソースの枯渇（リソース割当の過不⾜）(R9) 隔離の失敗(R10) クラウドプロバイダ従事者の不正－特権の悪⽤(R11) 管理⽤インタフェースの悪⽤（操作、インフラストラクチャアクセス）(R12) データ転送途上における攻撃(R13) データ漏えい（アップロード時、ダウンロード時、クラウド間転送）(R14) セキュリティが確保されていない、または不完全なデータ削除(R15) DDoS攻撃（分散サービス運⽤妨害攻撃）(R16) EDoS攻撃（経済的な損失を狙ったサービス運⽤妨害攻撃）(R17) 暗号鍵の喪失(R18) 不正な探査またはスキャンの実施(R19) サービスエンジンの侵害(R20) 利⽤者側の強化⼿順と、クラウド環境との間に⽣じる⽭盾

2017/3/10•

法的なリスク•クラウドに特化していないリスク(R21) 証拠提出命令と電⼦証拠開⽰(R22) 司法権の違いから来るリスク(R23) データ保護に関するリスク(R24) ライセンスに関するリスク(R25) ネットワークの途絶(R26) ネットワークの管理（ネットワークの混雑、接続ミス、適切でない使⽤）(R27) ネットワークトラフィックの改変(R28) 特権の（勝⼿な）拡⼤(R29) ソーシャルエンジニアリング攻撃（なりすまし）(R30) 運⽤ログの喪失または改ざん(R31) セキュリティログの喪失または改ざん（フォレンジック捜査の操作）(R32) バックアップの喪失、盗難(R33) 構内への無権限アクセス（装置その他の設備への物理的アクセスを含む）(R34) コンピュータ設備の盗難(R35) ⾃然災害

⼤学等におけるクラウドサービス利⽤シンポジウム2017

20

ガイドラインのチェック項⽬
4.

利⽤に向けた準備– 取り扱う情報の確認

5.

• 情報の格付け• クラウドサービスの選択

利⽤範囲の明確化– サービスの品質• SLA• メンテナンス• 問い合わせ窓⼝・サポート体制(2)• サービスの継続性– 本学の組織・体制• クラウドサービス利⽤責任者• クラウドサービス利⽤担当者

7.

••
•
•
•
•

• 規則との整合性(3)• 契約の取扱い(2)

契約条件の確認– 責任範囲とペナルティ

検討• 責任範囲の明確化(2)• クラウド事業者のペナルティ– データの所有権、返却・消去• データの所有権• データの返却(2)• データの消去(2)– 準拠法と管轄裁判所• 準拠法• 管轄裁判所

2017/3/10

クラウド事業者の選定– データセンター

8.

• データセンターの場所
• 堅牢性
• 機密性

– クラウド事業者の信頼性– 機能とコスト– 規則・契約

準備6.

コンピューティング
ストレージネットワーク(3)管理機能ライセンス(2)コスト(2)• 経営状況の確認• 委託関係の確認

運⽤体制の確認– システムの運⽤に関する項⽬• セキュリティ対策• ログの監視– データの管理に関する項⽬• 秘密鍵の管理• バックアップ(2)– インシデントの管理に関する項⽬

運⽤• インシデントの記録(2)

⼤学等におけるクラウドサービス利⽤シンポジウム201721

クラウドサービス利⽤ガイドライン・チェックリスト – リスク対応表

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201722

クラウドサービス利⽤ガイドライン・チェックリスト – チェック例

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

23

ISMSクラウドセキュリティ適⽤宣⾔書(⼀部)

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201724

学認クラウド 導⼊⽀援サービス
⼤学向けクラウドソリューションカタログ

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム2017

https://cloud.gakunin.jp/

https://axies.jp/

25

審査報告書5/6

2/6

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201726

審査報告書(2/6)

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201727

審査報告書(5/6)

Microsoft Azure
チェックリスト
No.10

占⽤型パブリッククラウド
チェックリスト
No.35

2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201728

クラウドサービスを利⽤するということ既存システムに対するPDCAが確⽴されていることが前提→セキュリティ
ガバナンス
実態調査

情報システムのセキュリティ
2017/3/10

変化に気づき、対策を講じる
リスクアセスメント

セキュリティ対策

⾃営設備による
機能実現

クラ
ウ
ド化

管理策

セキュリティ対策
既存の運⽤とのギャップ
リスクアセスメント＆管理策

⾃営設備による

クラウドサービスによる機能実現
機能実現

⼤学等におけるクラウドサービス利⽤シンポジウム201729まとめ• ISMSクラウドセキュリティ認証を受審してみた– JIP-ISMS517-1.0（ISO/IEC 27017:2015に基づくISMSクラウドセキュリティ認証に関する要求事項）• 本審査は2017年2⽉27⽇〜3⽉1⽇• 判定委員会は2017年3⽉23⽇（予定）– クラウドサービスカスタマとして⽇本初の認証取得– 広島⼤学クラウドサービス利⽤ガイドライン／チェックリ
ストのリスクアセスメント⼿法としての有効性を検証• チェックリスト作成のための資料も有効活⽤– 学認クラウド 導⼊⽀援サービス（チェックリスト）– AXIES ⼤学向けクラウドソリューションカタログ2016• 認証審査を通して– 「クラウドサービスを利⽤する」ということ• 「変化に気づき、対策を講じる」– 既存システムに対するPDCAが確⽴している必要あり• ISMS本体とISMSクラウドセキュリティの関係と同じ建付け• セキュリティガバナンス実態調査（渡邉報告）2017/3/10

⼤学等におけるクラウドサービス利⽤シンポジウム201730