大学構成員全員を対象とした予防と事後対応
手順の紹介: 遵守確認方法の取り組事例

武藏 泰雄
熊本大学総合情報統括センター
情報セキュリティ室
musashi@cc.kumamoto-u.ac.jp
http://www.cc.kumamoto-u.ac.jp/-1-

2019年度 大学情報セキュリティ研究講習会

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

本日の内容2
1. 準拠性・技術・フォローアップ・妥当性監査について
2. 情報セキュリティ監査支援委託仕様書
3. 監査対象の選定と監査計画書の作成
4. 部局長連絡会議での事前連絡
5. 内部監査人研修会の実施
6. 準拠性監査、技術監査、フォローアップ監査の実施
7. 監査報告書の作成と是正の指示
8. まとめ2019年度 大学情報セキュリティ研究講習会-2-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved準拠性・技術・フォローアップ・妥当性監査の概略
z 情報セキュリティ教育・啓発活動実施の効果測定が必要
z 準拠性監査、技術監査、フォローアップ監査、妥当性監査についてすべて外部支援を外部発注する
z 毎年11月中に内部監査人＋外部監査人で準拠性監査・技術監査・フォローアップ監査を実施する
z 監査対象を決定し、8月ごろから監査対象部署へ通知し、監査担当者、日程の調整を実施する。その後9月～10月までに監査準備を完了する（9月上旬に内部監査人研修を実施）
z 監査実施後、監査報告書を監査室と共同で作成し、監査室長名で、監査対象へ監査調書を送付する
z 是正事項があれば、通達し、是正報告書を求める
2019年度 大学情報セキュリティ研究講習会-3-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認● 毎年3月～5月の期間「セキュリティ行動計画」の計画のスケジュールを策定する● 学内の情報セキュリティ専門委員会・ICT戦略会議で承認● 主として以下の事項が含まれる① 次期情報セキュリティ対策計画策定② 情報セキュリティ教育・啓発活動③ 情報セキュリティ監査④ 強化施策（標的型メール攻撃対策訓練・CSIRT訓練）⑤ 一般業務（管理体制整備、プライベートIP化、情報格付けの更新

2019年度 大学情報セキュリティ研究講習会-4-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認● 情報セキュリティ監査① 準拠性監査（毎年11月に実施、内部監査人＋外部監査人）② 技術監査（毎年11月に実施、Nesus/Open VAS等を使用）③ フォローアップ監査（毎年11月・対象は是正指示をした部署等）④ 妥当性監査⑤ 内部監査人育成研修（9月）2019年度 大学情報セキュリティ研究講習会-5-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

H31/R1年度情報セキュリティ運営費の決定
z 毎年5月ごろにセキュリティ運営費を決定
z 「セキュリティ行動計画」に基づいて運営費を見積を取り、順次契約を結び執行z 下記の事項に予算を付ける① 部局情報セキュリティ責任者向け説明・資料作成② 部局システム管理者向け集合研修教材・アンケート③ 教職員向けセキュリティ研修eラーニング教材作成・アンケー
ト集計・自己点検の結果考察・課題分析④ 準拠性監査・技術監査・フォローアップ監査・妥当性監査⑤ 基本計画の見直し、作成関する助言
2019年度 大学情報セキュリティ研究講習会-6-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティ監査支援委託仕様書
z 毎年6月末ごろ「セキュリティ行動計画」に基づいて「情報セキュリティ監査支援委託仕様書を作成し、業者と契約
z 業者は、官公庁で過去3年間で3件以上の請負実績を有し、またISO27001/ISO9001/Pマークのどれかを取得していること
z 下記の事項について発注する① 監査実施計画の作成② 内部監査人研修の実施③ 準拠性監査の実施④ 妥当性監査の実施⑤ フォローアップ監査の実施⑥ 準拠性監査、妥当性監査及びフォローアップ監査結果の報告
2019年度 大学情報セキュリティ研究講習会-7-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

監査対象の選定と監査計画書の作成
z 毎年7月～8月にかけて本学準拠性監査実施手順書に基づいて監査対象の選定と監査計画書の作成を依頼する① 監査計画書の作成は毎年3月あたりから作成開始② 準拠性監査選定対象は20部局等で、毎年対象をすべて変更③ 技術監査対象は10サーバ（10 IPアドレス、毎年対象をすべて変更）④ 妥当性監査は監査結果に基づく、セキュリティ関連規則・実施手順の妥当性を評価する（セキュリティフレームワーク、サンプル規定と政府統一基準群などの差分評価）⑤ フォローアップ監査の対象は前年度の準拠性監査対象部局等で特に再監査が必要と思われる3部局等⑥ 準拠性監査人名簿: 監査責任者1名、監査実施者14名（総括・準拠性監査）⑦ フォローアップ監査は準拠性監査期間に同時に実施
2019年度 大学情報セキュリティ研究講習会-8-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

部局長連絡会議での事前連絡
z 発信者はCISO＋CISO補佐で、部局長連絡会議（9月）、部局システム管理者向け集合研修（8月）、事務系課長・副課長向け集合研修（9月）において研修教材とともに口頭で通知する
z 監査対象者へメールで正式に通知
z 情報セキュリティeラーニング研修の受講も指示-9-

2019年度 大学情報セキュリティ研究講習会

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

内部監査人研修会の実施
z 毎年8月末または9月上旬ごろに、準拠性監査実施者の養成のため内部監査人研修会を実施① グループワークで実施② 準拠性監査の意義と監査方法の注意③ 監査人と監査対象者に分かれて準拠性監査実施訓練④ 監査調書の作成訓練⑤ 是正指示書の作成訓練

2019年度 大学情報セキュリティ研究講習会- 10 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

準拠性監査、技術監査、フォローアップ監査の実施
z 準拠性監査に必要な書類を準備と実施① 監査対象情報の作成（docx）：監査会場、監査対象者名、監査人名等② 監査日程表の作成（xlsx）：監査の期日・日時。監査対象名、監査人名等

2019年度 大学情報セキュリティ研究講習会- 11 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved準拠性監査、技術監査、フォローアップ監査の実施
z 準拠性監査に必要な書類を準備と実施① 準拠性監査項目の作成（xlsx）：項目、監査内容と要点、監査技法、適合の有無、監査調書、学内規則などの出典根拠② 技術監査対象表の作成（xlsx）：監査の期日・日時、対応者、監査対象機器の完全ドメイン名（FQDN）とIPアドレス、OS、サーバ機能名など

2019年度 大学情報セキュリティ研究講習会- 12 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

準拠性監査、技術監査、フォローアップ監査の実施
z 準拠性監査に必要な書類を準備と実施① フォローアップ監査の対象表の作成（docx）:監査会場、監査対象者名、監査人名等② 監査調書案（docx）：各監査実施後、速やかに監査調書案を作成

2019年度 大学情報セキュリティ研究講習会- 13 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

監査報告書の作成と是正の指示
z 監査報告書の作成（docx）:監査調書案を関係者に同意を得て確定し、総括して監査報告書を作成する① 監査の方針と目的② 監査実施期間③ 監査/評価の基準及び対象範囲
1) 準拠性監査
2) 技術監査
3) 妥当性監査
4) フォローアップ監査④ 監査の実施体制⑤ 監査結果2019年度 大学情報セキュリティ研究講習会- 14 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

まとめz 本日は以下のことについて説明した① スライド3:準拠性・技術・フォローアップ・妥当性監（以下監査）の概略② スライド4-5: この監査が、遵守確認方法の取り組事例であること③ スライド6-8: 監査は、教育・啓発と同様に外注していること④ スライド9: 監査の実施期日や教職員へ連絡方法⑤ スライド10: 内部監査人研修を実施していること⑥ スライド11-13: 監査の実施に必要な書類と監査調書を作成していること⑦ スライド14: 監査報告書を作成していること

2019年度 大学情報セキュリティ研究講習会- 15 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

謝辞
ご清聴ありがとうございます。
●参加者の皆様、ありがとうございます。
●講演の機会を一度どころか二度も作っていただいた皆様方、誠にありがとうございます。
●熊本大学情報統括センター情報セキュリティ室・情報企画課の皆様

2019年度 大学情報セキュリティ研究講習会- 16 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

講演者履歴職歴● 1994年熊本大学大学院自然研究科博士課程修了(博士(学術))● 1994年熊本大学総合情報処理センター助手● 1997年熊本大学総合情報処理センター講師● 2002年熊本大学総合情報基盤センター助教授● 2005年1月-7月ドイツ・フランクフルト大学客員研究員● 2007年4月熊本大学総合情報基盤センター准教授● 2014年5月熊本大学総合情報統括センター准教授● 2015年1月～現在熊本大学総合情報統括センター教授・情報セキュリティ室長

2019年度 大学情報セキュリティ研究講習会- 17 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved