大学構成員全員を対象とした予防と事後対応
手順の紹介: 教職員・学生への周知方法

武藏 泰雄
熊本大学総合情報統括センター
情報セキュリティ室
musashi@cc.kumamoto-u.ac.jp
http://www.cc.kumamoto-u.ac.jp/-1-

2019年度 大学情報セキュリティ研究講習会

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

熊本大学の概要について○位置 熊本県熊本市中央区○職員数 （H28.6.1現在）
教員
９９３⼈
事務・技術職員 １，６３４⼈
合計

２，６２７⼈○学⽣数 （R1.5.1現在）
学部
７，７５７⼈
⼤ 学 院
１，９０６⼈（博⼠前期課程 １，２４３⼈）（博⼠後期課程６６３⼈）
その他
８２⼈
合計
９，７２７⼈
2019年度 大学情報セキュリティ研究講習会-2-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティ管理体制本学では、トップダウンでのセキュリティを実現するために、以下の推進体制を構成しています。
ICT戦略会議で決定した事項に基づき役割・権限を持った者が段階的に全学に展開することになります。
情報セキュリティ監査責任者（監査室⻑）

全学システム管理責任者（総合情報統括センター⻑）部局等

部局情報セキュリティ責任者
（部局⻑）

部局等
・・・・

ＩＣＴ戦略会議

情報セキュリティ専⾨委員会

部局等
・・・・

運⽤の実現

部局情報システム
運⽤委員会

部局システム管理責任者（部局⻑が指名した者）
情報システム
運⽤・管理者

2019年度 大学情報セキュリティ研究講習会

本学全体の⽅針決定

監査実施者（総合情報統括センター情報セキュリティ室⻑）

最⾼情報セキュリティ責任者〔 最⾼情報責任者 〕（情報ガバナンス担当理事）

ICT戦略会議の役割
次の事項に関して決定する① ポリシー及び全学向け教育の実施のためのガイドラインの改廃② 情報システムの運⽤リスク管理に係る規則の制定及び改廃並びにその実施状況の把握 など
情報セキュリティ専⾨委員会の役割
次の事項に関して審議する① 情報セキュリティポリシー及び実施⼿順書に関すること② その他情報セキュリティに関して必要な事項
部局情報システム運⽤委員会の役割
次の事項に関して推進する① 部局等におけるポリシーの遵守状況調査及び周知徹底② 部局におけるセキュリティ教育 など

教職員学⽣

-3-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

情報セキュリティ室と熊大CSIRTz 情報セキュリティ室構成員7名（2014年5月～）
室長
総合情報統括センター教授
副室長
情報企画課情報セキュリティ担当係長
スタッフ（主担当） 総合情報統括センター技術職員
スタッフ（副担当） 技術職員1＋事務職員3
z 毎週１回 定例会議を開催
総合情報統括センター長、情報企画課長、副課長も参加
案件の意思決定、活動の報告、情報共有等を実施
z 熊⼤CSIRT創設準備開始(2015年2⽉26⽇-11⽉30⽇)

2019年度 大学情報セキュリティ研究講習会-4-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティ室としての活動● eラーニングによる全教職員・学生向け情報セキュリティ研修

英語版も用意、2013年から実施、2018年では受講率98.6%● 部局長には毎月の定例会で、部局の実務担当者・事務部各課の課長及び副課長には年1回の集合研修● 準拠性監査と技術監査の実施、内部監査人研修の実施● セキュリティ啓発印刷物の配布● 標的型メール攻撃訓練● セキュリティ啓発ビデオの配信● セキュリティ管理体制の調査● セキュリティポリシーや手順書・運用規定の見直し● KU-CSIRTの設置・運用2015年11月～現在-5-

2019年度 大学情報セキュリティ研究講習会

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

本日の内容1
1. 情報セキュリティeラーニング研修の実施の概略
2. 行動計画およびスケジュールの策定と承認
3. H31/R1年度情報セキュリティ運営費（概算見積）
4. 情報セキュリティ教育支援委託仕様書
5. ポスター（ポスター）の制作・部局長連絡会議での事前連絡
6. 情報セキュリティeラニング研修コンテンツ一式納入
7. 情報セキュリティeラーニング研修の実施と受講率の報告
8. 実施後の分析評価
9. まとめ2019年度 大学情報セキュリティ研究講習会-6-Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティeラーニング研修の実施の概略
z ガイドライン・規則およびサイバーセキュリティ一般について全学Moodle eラーニングシステムを用いて教職員・学生に受講していただくz 毎年10月～12月に掛けて実施する
z テキスト・自己点検・アンケートおよび英訳は外注する
z Moodleへの流し込みは情報セキュリティ室実施する
z 実施開始から受講率を調査し、受講率が低い部局・学科や部署については部局長連絡会議で報告する
z 自己点検の正答率からフィードバックを得る

2019年度 大学情報セキュリティ研究講習会-7-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認● 毎年3月～5月の期間「セキュリティ行動計画」の計画のスケジュールを策定する● 学内の情報セキュリティ専門委員会・ICT戦略会議で承認● 主として以下の事項が含まれる① 主要施策1：次期情報セキュリティ対策計画策定② 主要施策2：情報セキュリティ教育・啓発活動③ 主要施策3：情報セキュリティ監査④ 強化施策（標的型メール攻撃対策訓練・CSIRT訓練）⑤ 一般業務（管理体制整備、プライベートIP化、情報格付けの更新

2019年度 大学情報セキュリティ研究講習会-8-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認
z 情報セキュリティ教育・啓発① 部局情報セキュリティ責任者向け説明（年4回）② 部局システム管理責任者向け集合研修（年1回8月下旬）③ 事務系課長・副課長向け集合研修（年1回9月下旬・アンケートによる課題分析）④ 利用者（教職員）向けｅラーニング研修（年1回10月～11月・自己点検・課題分析）⑤ 利用者（学生）向けｅラーニング研修（年1回10月～12月自己点検・課題分析）⑥ 留学生等を対象とした英語による情報セキュリティ研修会の実施（年2回4月と10月）

2019年度 大学情報セキュリティ研究講習会-9-

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認● 情報セキュリティ監査① 準拠性監査（毎年11月に実施、内部監査人＋外部監査人）② 技術監査（毎年11月に実施、Nesus/Open VAS等を使用）③ フォローアップ監査（毎年11月・対象は是正指示をした部署等）④ 妥当性監査⑤ 内部監査人育成研修（9月）2019年度 大学情報セキュリティ研究講習会- 10 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認
z 一般業務
① 情報セキュリティ管理体制整備（毎年4月）② グローバルIP管理の調査・再調査（通年）③ プライベートIP化継続（クライアントPC系は、今年度、サーバ系は次年度）④ 情報の格付け分類表の見直し（監査・教育課題分析の結果やCSIRTの対応事例に基づく）

2019年度 大学情報セキュリティ研究講習会- 11 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

行動計画およびスケジュールの策定と承認
z 強化施策
① 標的型メール攻撃対策訓練（年1回、今年度は7月に実施、実施後のアンケート実施・集計により訓練者に対する 理解度・認知度を把握、以降の教育・啓発活動へフィードバックする）② 基本的なセキュリティ対策の実施③ 情報セキュリティポリシー、関連規則及び手順等の見直し④ ＣＳＩＲＴ訓練（インシデント想定緊急対応訓練）

2019年度 大学情報セキュリティ研究講習会- 12 -

Copyright (c) Yasuo Musashi, 2019, All Rights ReservedH31/R1年度情報セキュリティ運営費の決定
z 毎年5月ごろにセキュリティ運営費を決定
z 「セキュリティ行動計画」に基づいて運営費を見積を取り、順次契約を結び執行z 下記の事項に予算を付ける① 部局情報セキュリティ責任者向け説明・資料作成② 部局システム管理者向け集合研修教材・アンケート③ 教職員向けセキュリティ研修eラーニング教材作成・アンケート集計・自己点検の結果考察・課題分析④ 準拠性監査・技術監査・フォローアップ監査・妥当性監査⑤ 基本計画の見直し、作成関する助言
2019年度 大学情報セキュリティ研究講習会- 13 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

情報セキュリティ教育支援委託仕様書の作成
z 毎年5月末ごろ「セキュリティ行動計画」に基づいて「情報セキュリティ教育支援委託仕様書を作成し、業者と契約
z 業者は官公庁で過去3年間で3件以上の請負実績を有すること
z 下記の事項について発注する① 部局情報セキュリティ責任者向け説明・資料作成② 部局システム管理者向け集合研修教材・アンケート③ 教職員向けセキュリティ研修eラーニング教材作成・アンケート集計・自己点検の結果考察・課題分析④ サイバーセキュリティ対策基本計画の見直し、作成関する助言⑤ 啓発ポスター・情報セキュリティハンドブック⑥ 本学に情報セキュリティ教育のまとめ
2019年度 大学情報セキュリティ研究講習会- 14 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reservedポスター（ポスター）の制作・部局長連絡会議での事前連絡
z 毎年7月末ごろ「セキュリティ行動計画」に基づいて、「情報セキュリティeラーニング研修」の受講促進のため、ポスター・リーフレットおよび部局長連絡会議・部局システム管理者向け・事務系課長・副課長向け集合研修で事前通知を行う。
z ポスターには研修教材の重要ポイントをまとめたものにする

2019年度 大学情報セキュリティ研究講習会- 15 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

ポスター（ポスター）の制作・部局長連絡会議での事前連絡
z CISO＋CISOから部局長連絡会議（9月）、部局システム管理者向け集合研修（8月）、事務系課長・副課長向け集合研修（9月）において研修教材とともに口頭で通知する
z 全学メーリングリストおよびポータルサイトに未受講者への警告メッセージが表示されるように設定する

2019年度 大学情報セキュリティ研究講習会- 16 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティeラニング研修コンテンツ一式納入
z 毎年8月末ごろ、情報セキュリティ教育支援委託業者より「情報セキュリティeラニング研修コンテンツ一式」が納入される① 教職員向けセキュリティ研修eラーニング教材（pptx）
平成30年度教職員向け情報セキュリティ⾃⼰点検② 自己点検項目（xlsx）

⽇常業務におけるセキュリティ対策状況について点検をお願いします。
できていないセキュリティ対策に関しては、直ちに改善をお願いします。
No.

③ アンケート項目（xlsx）

選択肢点検事項

1 ユーザアカウント・パスワードは他⼈に知られないように管理している。
（例：パソコンやデスクマットに貼っていない）

2 管理していない

パスワードは必ず8ケタ以上とし、最低3種類以上を組み合わせ、他⼈が類推困難な複雑な設定にしましょう。パソコンスペックの向上により、6桁のパスワードの解析は数分です。

2 ⼤学のシステムにログインする際のパスワードは、8ケタ以上とし、31 設定している種類以上の⽂字種を混在して設定している。
※⽂字種とは、英⼤⽂字・英⼩⽂字・数字・記号となります。
2 設定していない
本学の情報セキュリティ向上のため、本研修に関する次のアンケートにご協⼒ください。

平成30年度学⽣向けe-learning研修のアンケート

3 ⼊試関連情報や学⽣成績関連情報（極秘情報）を含むデー
タは、ファイルを暗号化している（またはパスワード設定してい教材についてる）。
1）e-learning研修教材のボリュームはいかがでしたか

1 設定している

解説
世間では、ユーザアカウント・パスワードの窃取により、不正ショッピングや情報の搾取などが多く発⽣しています。パスワードは、他⼈に知られないように厳重に管理してください。また、メモに書く場合には、パスワードの⼀部を記録するなど⼯夫してください。

1 管理している

選択肢

1 多かった2 設定していない暗号化（またはパスワード設定）をしておくことで、関係者以外に閲覧されることを防⽌できます。また、攻撃者によってファイルを盗まれた場合の対策としても有効です。

2 ちょうどよかった

3 極秘情報を扱っていない
3 少なかった

1 ちょうどよかった
2 難しかった２）e-learning研修教材の難易度はいかがでしたか
4 離席時には、パソコンの画⾯ロックをしている。

1 している

離席時の画⾯ロックを習慣化することで、覗き⾒やパソコンの不正利⽤を防⽌することができます。

3 簡単だった
2 していない
5 パソコンには、パスワード付きスクリーンセーバーを設定している

離席時の画⾯ロックの忘却への対策として、必ず設定してください。

1 設定している
選択肢
理解度について（推奨：5分以内）。
１）著作権の引⽤に関する問題（卒論や課題の作成にあたって注意が必要）について理解で 1 理解できた
2 設定していない
2 概ね理解できた
きましたか。
3 あまり理解できなかった
3 わからない
4 理解できなかった
個⼈が購⼊・所有した（私物の）情報システム機器から情報漏えい等が発⽣し6 個⼈が購⼊・所有した（私物の）情報システム機器には、職務1 保存していない
1 理解できた２）インターネットショッピングにおける失敗（運営会社を⼗分に確認せず購⼊してしまった）につ（業務）情報を保存していない。
た場合には、懲戒処分の対象となることがあります。
2 概ね理解できた
いて理解できましたか。
※情報システム機器とは、パソコン・タブレット・スマートフォン・USBメモリ・デジタルカメラ（SDカードを含む）・ICレコーダーなどがあり 2 保存している
3 あまり理解できなかったます。
4 理解できなかった
３）スマートフォンでのアプリインストールの注意点（個⼈情報搾取が⽬的のアプリのインストー
1 理解できたル）について理解できましたか。
2 概ね理解できた
3 あまり理解できなかった
4 理解できなかった2019年度 大学情報セキュリティ研究講習会- 17 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

情報セキュリティeラニング研修コンテンツ一式納入・英訳
z 毎年8月末ごろ、情報セキュリティ教育支援委託業者より「情報セキュリティeラニング研修コンテンツ一式」が納入される（英訳は別の業者へ発注）① 教職員向けセキュリティ研修eラーニング教材（pptx）
平成30年度教職員向け情報セキュリティ⾃⼰点検
⽇常業務におけるセキュリティ対策状況について点検をお願いします。
できていないセキュリティ対策に関しては、直ちに改善をお願いします。

② 自己点検項目（xlsx）

No.

選択肢

点検事項

1 ユーザアカウント・パスワードは他⼈に知られないように管理している。
（例：パソコンやデスクマットに貼っていない）③ アンケート項目（xlsx）

2 管理していない

パスワードは必ず8ケタ以上とし、最低3種類以上を組み合わせ、他⼈が類推困難な複雑な設定にしましょう。パソコンスペックの向上により、6桁のパスワードの解析は数分です。

2 ⼤学のシステムにログインする際のパスワードは、8ケタ以上とし、31 設定している種類以上の⽂字種を混在して設定している。
※⽂字種とは、英⼤⽂字・英⼩⽂字・数字・記号となります。
2 設定していない
本学の情報セキュリティ向上のため、本研修に関する次のアンケートにご協⼒ください。

平成30年度学⽣向けe-learning研修のアンケート

3 ⼊試関連情報や学⽣成績関連情報（極秘情報）を含むデー
タは、ファイルを暗号化している（またはパスワード設定してい教材についてる）。
1）e-learning研修教材のボリュームはいかがでしたか

1 設定している

解説
世間では、ユーザアカウント・パスワードの窃取により、不正ショッピングや情報の搾取などが多く発⽣しています。パスワードは、他⼈に知られないように厳重に管理してください。また、メモに書く場合には、パスワードの⼀部を記録するなど⼯夫してください。

1 管理している

選択肢

1 多かった2 設定していない暗号化（またはパスワード設定）をしておくことで、関係者以外に閲覧されることを防⽌できます。また、攻撃者によってファイルを盗まれた場合の対策としても有効です。

2 ちょうどよかった

3 極秘情報を扱っていない
3 少なかった

1 ちょうどよかった
2 難しかった２）e-learning研修教材の難易度はいかがでしたか
4 離席時には、パソコンの画⾯ロックをしている。

1 している離席時の画⾯ロックを習慣化することで、覗き⾒やパソコンの不正利⽤を防⽌することができます。

3 簡単だった
2 していない
5 パソコンには、パスワード付きスクリーンセーバーを設定している

離席時の画⾯ロックの忘却への対策として、必ず設定してください。

1 設定している
選択肢
理解度について（推奨：5分以内）。
１）著作権の引⽤に関する問題（卒論や課題の作成にあたって注意が必要）について理解で 1 理解できた
2 設定していない
2 概ね理解できた
きましたか。
3 あまり理解できなかった
3 わからない
4 理解できなかった
個⼈が購⼊・所有した（私物の）情報システム機器から情報漏えい等が発⽣し6 個⼈が購⼊・所有した（私物の）情報システム機器には、職務1 保存していない
1 理解できた２）インターネットショッピングにおける失敗（運営会社を⼗分に確認せず購⼊してしまった）につた場合には、懲戒処分の対象となることがあります。
（業務）情報を保存していない。
2 概ね理解できた
いて理解できましたか。
※情報システム機器とは、パソコン・タブレット・スマートフォン・USBメモリ・デジタルカメラ（SDカードを含む）・ICレコーダーなどがあり 2 保存している
3 あまり理解できなかったます。
4 理解できなかった
1 理解できた３）スマートフォンでのアプリインストールの注意点（個⼈情報搾取が⽬的のアプリのインストー
2 概ね理解できたル）について理解できましたか。
3 あまり理解できなかった
4 理解できなかった2019年度 大学情報セキュリティ研究講習会- 18 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティeラーニング研修の実施と受講率の報告
z 情報セキュリティeラーニング教材をMoodleへ流し込む① 教職員向けセキュリティ研修eラーニング教材（HTML形式）② 自己点検項目（Moodleアセスメント）③ アンケート項目（Moodleアンケート）

2019年度 大学情報セキュリティ研究講習会- 19 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

情報セキュリティeラーニング研修の実施と受講率の報告
z 情報セキュリティeラーニング研修を実施（10月～11月上旬）① 受講率を調査（翌年1月まで）② 受講率は部局長連絡会議などで報告する（毎週調査し、各部局へ通達）③ Moodleの研修コンテンツはずっと公開している

2019年度 大学情報セキュリティ研究講習会- 20 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved情報セキュリティeラーニング研修の実施と受講率の報告
z 受講率を部局長（部局情報セキュリティ責任者）へ報告① 受講率の報告とともに未受講者リストの通達も実施② ポータルサイトを全学Moodle学習支援システム（LMS）と連携させ、未受講の旨をログイン時に教職員へ連絡- 21 -

2019年度 大学情報セキュリティ研究講習会

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

実施後の分析評価
z 情報セキュリティeラーニング研修の理解度を計算① 全受講者数3957人、91の部局等（部局、学科、部署など）② 自己点検の各質問事項について、正答者の人数を数え、それを各部局等ごとに頻度分布を作成し、正答率の低い箇所について、次回の行動計画、実施手順書・学内規則の改定時に考慮する【点検事項1】ユーザ 【点検事項2】大学の 【点検事項3】入試関 【点検事項4】離席時 【点検事項5】パソコン 【点検事項6】個人がアカウント・パスワード システムにログインす 連情報や学生成績関 には、パソコンの画面 には、パスワード付き 購入・所有した（私物は他人に知られない る際のパスワードは、 連情報（極秘情報）を ロックをしている。
スクリーンセーバーを の）情報システム機ように管理している。 8ケタ以上とし、3種類 含むデータは、ファイ設定している（推奨：5 器には、職務（業務）（例：パソコンやデス 以上の文字種を混在 ルを暗号化している分以内）。
情報を保存していなクマットに貼っていな して設定している。
（またはパスワード設い。
い）※文字種とは、英大 定している）。
※情報システム機器
文字・英小文字・数とは、パソコン・タブ
字・記号となります。
レット・スマートフォン・USBメモリ・デジタルカ
メラ（SDカードを含む）・ICレコーダーなどがあります。

Q1正解数
94
12145
11918
126
2019年度 大学情報セキュリティ研究講習会

（正解率）
（正解率）
（正解率）
（正解率）
（正解率）
（正解率）
Q2正解数
Q3正解数
Q4正解数
Q5正解数
Q6正解数
意識度
意識度
意識度
意識度
意識度
意識度
100%
100%
100%
100%
100%
100%
100%
100%
100%
100%

94
12145
11918
126

100%
100%
100%
100%
100%
100%
100%
100%
100%100%

93
118
44
11918
125

100%
75%
100%
86%
98%
100%
100%
100%
100%
96%

74
11939
11617
125- 22 -

78%
100%
100%
90%
87%100%
84%
94%
100%
96%

941194111617125

100%
100%
100%
90%
91%
100%
84%
94%
100%
96%

94204511918
126

100%
100%
0%
95%
100%
100%
100%
100%
100%
100%

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

まとめz 本日は以下のことについて説明した① スライド2-5: 本日の前提条件② スライド7: 情セキュリティeラーニング研修（以下単に研修）実施の概略③ スライド8-12: この研修が、情報セキュリティ教育・啓発の一環であること④ スライド13-14: 研修の教材コンテンツは、他の教育・啓発と同様に外注していること⑤ スライド15-16: 研修の実施期日や教職員へ連絡方法⑥ スライド17-19: 研修コンテンツを全学Moodleシステムに導入およびテキス
ト、自己点検、アンケートが構成されること⑦ スライド20-22: 研修の受講率を用いた受講促進活動にかんすること⑧ スライド23: 実施後の正答率による分析評価を行っていること

2019年度 大学情報セキュリティ研究講習会- 23 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved

謝辞
ご清聴ありがとうございます。
●参加者の皆様、ありがとうございます。
●講演の機会を一度どころか二度も作っていただいた皆様方、誠にありがとうございます。
●熊本大学情報統括センター情報セキュリティ室・情報企画課の皆様

2019年度 大学情報セキュリティ研究講習会- 24 -

Copyright (c) Yasuo Musashi, 2019, All Rights Reserved