― 36 ―SENAC Vol. 52, No. （1 2019. 1）［大学 ICT 推進協議会

2018 年度年次大会論文集より］

東北大学における教職員を対象とした情報セキュリティ教育小野﨑 伸久 1), 曽根 秀昭 2), 水木 敬明 2)1) 東北大学 情報部情報基盤課
2) 東北大学 サイバーサイエンスセンター
i-security@grp.tohoku.ac.jp

Information Security Training for Staff in Tohoku University
Nobuhisa Onozaki 1), Hideaki Sone 2), Takaaki Mizuki 2)
1) Information Infrastructure Division of Information Department, Tohoku Univ.
2) Cyberscience Center, Tohoku Univ.
概要
東北大学では、平成 29 年度から全教職員を対象にした情報セキュリティ教育をｅラーニング形式で実施しているが、本学の情報セキュリティポリシー及び情報システム利用環境の実態に合わせた教育コンテンツを提供するため、これを内製で作成している。本稿では、
この取組みについて紹介する。

1 はじめにり替えをクリック操作ではなく自動的に行われるように設定したうえで、エクスポート機能を用い本学では、平成 29 年 3 月に策定した情報セキてビデオ形式(mp4)に変換した。また、動画に流す

ュリティ対策基本計画をもとに、平成 29 年度から音声は、音声合成ソフトで作成したデータをスラ

全教職員約 12,000 人を対象にした情報セキュリテ

イドに挿入し、アニメーションと同じように自動ィ教育をｅラーニング形式で年 1 回実施している。

的に再生されるようにした。

このような情報セキュリティ教育の実施にあたっ

2.3 e ラーニング基盤ては、自組織の情報セキュリティポリシー及び情情報セキュリティ教育のコンテンツ配信と理報システム利用環境の実態に合わせて、非現実的解度確認テストの実施には、本学の教員向けに提な理想論に終始せず、きちんと実践できる内容の供されている e ラーニング基盤である東北大学イ教育コンテンツを作成することが重要であると考ンターネットスクール（ISTU）を使用した。

え、内製で取り組んでいる。

3 教育コンテンツの内製

本稿では、この情報セキュリティ教育の取組みについて紹介する。

3.1 平成 29 年度の教育コンテンツ
平成 29 年度では、本学として初の試みである

2 情報セキュリティ教育の概要

ため、情報セキュリティ関連機関の公開情報及び2.1 教育コンテンツの構成

本学の事前アンケートをもとに教育コンテンツを教育コンテンツは、動画教材及び理解度確認テ
ストの２つである。各コンテンツは日本語版と英語版を作成している。

検討した。
IPA の情報セキュリティ 10 大脅威 2016 [1]によると、この 10 年、様々な脅威が現れ、攻撃者の手受講者は動画教材を視聴し、理解度確認テスト

口は年々巧妙になってきているが、攻撃の糸口はに合格することで受講完了となる。なお、理解度あまり変わっておらず、表１に示す「情報セキュ確認テストは 10 問中 8 問以上の正答で合格となるリティ対策の基本」による効果は多いに期待できこととした。

るとのことであるため、これを動画教材に取り入2.2 動画教材の作成方法れることにした。また、事前アンケートによると、

動画教材は、Microsoft 社の PowerPoint を使用

ＯＳ・ソフトウェアのアップデート状況、セキュしてスライドを作成し、アニメーションや画面切リティ対策ソフトのインストール状況及び定時ス

東北大学における教職員を対象とした情報セキュリティ教育― 37 ―

キャンの実施状況、パスワードの設定状況が不十● 正しい分であることがわかったため、原点に立ち返って、○ 正しくない

これらの対策の必要性や設定方法などを動画教材

Windows Update は時間がかかるうえに、パソに取り入れることにした。その他、当時の情報セコンの動作が遅くなるので、業務の繁忙期がキュリティの動向・情勢を踏まえて、表２に示す4内容に絞り込んだ。

終わるまでは行わない。
○ 正しい

理解度確認テストについては、どの程度の難易● 正しくない度が適切であるか判断できず、手探りの状態であセキュリティ対策ソフトをインストールすれったため、ひとまずは情報セキュリティの初級者ば安全なので、定期的なフルスキャンは不要に照準を合わせることにし、表３の通りに作成し5た。

である。
○ 正しい

このようにして作成した動画教材及び理解度● 正しくない

確認テストについては、本学の情報セキュリティ

普段使用しているパソコンを持ち出すことにポリシー等を検討する「情報セキュリティＷＧ（ワなった際の対処として、推奨されないものはーキンググループ）」において審議を行った。

どれか。
○ 事前に、個人情報や機密情報を含むデー

表１ 情報セキュリティ対策の基本
情報セキュリティ対策

攻撃の糸口の基本

ソフトウェアの脆弱性
ウイルス感染パスワード窃取

ソフトウェアの更新
ウ イ ル ス 対 策 ソ フト の導入
パスワード管理・認証のタを持っていないことを確認した。
8○ パソコンのログオンパスワードをかけた。
○ パソコンのハードディスクを暗号化した。
● 出先で困らないように、パスワードのメモをパソコンに貼りつけた。

強化

設定不備

設定の見直し3.2 平成 30 年度の教育コンテンツ

誘導（罠にはめる）

脅威・手口を知る

平成 30 年度では、前回の事後アンケートをもとに教育コンテンツを検討した。

表２

平成 29 年度動画教材№

内容

動画教材は以下の通りに内容を検討し、表４の通りに作成した。

1

最近の動向

① 本学や他大学のインシデント事例を踏まえて2今回の範囲対策例を紹介してほしいという要望を取り入情報セキュリティ対策れた。

・ソフトウェアを最新に保つ
3② 前回の内容を復習するため、ダイジェスト版・セキュリティ対策ソフトとしてブラッシュアップして再度取り扱うこ・パスワードの取扱いとにした。

・騙されないために手口を知る③ クラウドサービス利用時の対策及びソーシャ・持ち出し時の対策

ルメディアによる情報発信時の対策に関する・インシデント発生時の初動対応要望を取り入れた。
④ NII-SOCS の要確認情報の調査時によく見かけ

表３№

平成 29 年度理解度確認テスト（抜粋）
設問・選択肢情報セキュリティ対策は、ウイルス感染のよ2られる事例を踏まえて、研究室における私物の持ち込み PC、ルータの設定、及びバックアップについて、取り扱うことにした。

うな特殊な技術を駆使したサイバー攻撃だけ⑤ 別途要望があり、情報セキュリティの範囲外でなく、人的ミス（メール誤送信、設定ミス、ではあるが、情報資産の適切な利用として利盗難、紛失）についても対策が必要である。

用目的の遵守並びに著作権の尊重について、取り扱うことにした。

― 38 ―

SENAC Vol. 52, No. （1 2019. 1）⑥ 前回の動画教材は約 23 分であったが、長すぎ・利用目的を遵守するて受講の負担が大きいとの意見が寄せられた・著作権侵害行為を行わないため、約 13 分に短縮した。
この短縮によって、説明が不十分になってしまった部分は、ウェブサイトに詳細を掲載し、必要に応じて参照研究室での対策・私物の持ち込みＰＣ7・ルータできるようにして補った。

・バックアップ⑦ 教職員向けのｅラーニングが他にも複数あり、表５受講者の負担が大きいとの意見を考慮して、各教育の実施時期を合わせ、個人情報保護に

平成 30 年度理解度確認テスト（抜粋）№

関する教育とは合同で実施することにした。

設問・選択肢クラウドサービスとは、ネットワーク経由で、他人のコンピュータにデータを渡して各種サ確認テストについては、動画教材を視聴しなくービスを受けることです。ストレージ、翻訳、ても正答できるほど問題が易しすぎるという意見

PDF 編集、日程調整など、様々なサービスがが多かったため、動画教材を視聴していないと容あります。

易に正答できないようにレベルを見直し、表５のそこで、クラウドサービス利用時の対策とし通りに作成した。て、適切なものを全て選択してください。

このようにして作成した教育コンテンツにつ■ 無名だけれども便利そうな翻訳サービス

いて、今回も情報セキュリティＷＧで審議した。

を見つけたが、2015 年 2 月に翻訳サービ

表４スに入力した文章がネット上にそのまま

平成 30 年度動画教材№

内容公開されていた事例があり、万が一の可
3

はじめに
1

・CISO のメッセージつけたが、万が一の可能性があるので、・詳細はウェブサイトで個人情報や機密情報を含むファイルを編

情報セキュリティインシデントの事例
2

3

4■ 日程調整サービスは便利だが、万が一の・大阪大学可能性があるので、氏名や会議内容は書・東北大学き込まないようにした。

基本的な情報セキュリティ対策□ アカウントのセキュリティオプション・ソフトウェアを最新に保つ（ログイン通知、二段階認証など）が提・セキュリティ対策ソフト供されていたが、面倒なので使用しなか・パスワードの取扱いった。

・騙されないために手口を知る

ソーシャルメディアによる情報発信では、そ・持ち出し時の対策の特性を理解し、慎重に取り扱うことが重要・インシデント発生時の初動対応です。それは組織の公式アカウントのみならクラウドサービス利用時の対策ず、個人アカウントであっても同様です。

・クラウドサービスとは

それでは、ソーシャルメディアによる情報発・主な対策

信時の対策として、適切なものを全て選択し・心構え
・公開範囲
ソーシャルメディアによる情報発信時の対策・ソーシャルメディアの特性を理解する
・慎重に取り扱う

6集しないようにした。

・富山大学

・アカウント管理

5

能性があるので、利用しないことにした。
■ 無料で PDF 編集が行えるサービスを見

情報資産の適切な利用4てください。
■ 発信した情報は、誰にもコントロールできず、完全に削除できないので、常に慎重に吟味し、責任のもてる内容を発信する。
■ 匿名のつもりでも、個人を特定されてしまうことがあるので、常に慎重に吟味し、東北大学における教職員を対象とした情報セキュリティ教育

責任のもてる内容を発信する。

ＯＳ・ソフトウェアが最新版にアップデ■ 「東北大学ではなく個人としての発言」

ートしていること、本学が提供するセキと明記していても、社会的問題になればュリティ対策ソフトでフルスキャンして東北大学の信用を損ねることがあるのいること、海賊版ソフト等の不正ソフトで、法令を遵守し、他者の人格を尊重すがインストールされていないことを確認る。

する。また、初回だけでなく定期的に確□ 職務上知り得た個人情報を発信する。

認する。
■ ルータは接続機器のログを保存するよう東北大学のネットワークに接続する場合は、に設定する。

例え私物の機器であっても、利用目的を遵守■ 研究データは定期的にバックアップをとしなければなりません。

る。

それでは、不適切な行為を全て選択してくだ□ ＵＳＢ型の外付けハードディスクをパソさい。
5― 39 ―

■ 私的なインターネットゲーム

コンデータのバックアップとして使用す□ 学会出張のための旅行サイトの閲覧る場合は、パソコンに常時接続したまま□ 研究室の備品購入のためのショッピングにする。

サイトの閲覧
■ ビットコイン等の仮想通貨の採掘（マイニング）

4 おわりに
本稿では、情報セキュリティ教育の実施にあた知の創造体として社会に貢献してきた東北大って、自組織の情報セキュリティポリシー及び情学が著作権を尊重しないことは、大学の存在報システム利用環境の実態に合わせて、非現実的を否定することと同じです。著作権侵害行為な理想論に終始せず、きちんと実践できる内容のを行った場合は、本人に加えて、法人も責任教育コンテンツを内製で作成するための取組みにを負うことになります。

ついて紹介した。

それでは、著作権侵害行為にあたるものを全て選択してください。

他機関において、教育コンテンツのブラッシュアップに寄与できれば幸いである。

■ 研究・教育などの業務に必要なソフトウ
ェアが高価だったため、海賊版ソフトウ

参考文献

ェアを入手し、パソコンにインストール[1] 独立行政法人情報処理推進機構（IPA）、情報セキュリティ 10 大脅威 2016、P12、独立行政法人情報処理推進機構、2016.

して使用した。
（海賊版とは、著作権者の6許諾を受けずに複製された著作物のこと）"■ ソフトウェアの購入を申請したところ、予算の都合で数を減らされたが、「それで情報セキュリティ教育コンテンツの作成にあも業務上必要だから」「どうせチェックしたり、ご助言をいただいた情報セキュリティＷＧないだろう」と考え、ソフトウェアを必の皆さまに謹んで感謝の意を表します．

要台数分インストールした。
■ 漫画の切り抜きをスキャナーで取り込みPDF ファイルにしてインターネットで公開した。
□ 国内の大手家電量販店などの正規販売店で購入したビジネスソフトウェアをインストールして使用した。
研究室での情報セキュリティ対策として、適7

謝辞

切なものを全て選択してください。
■ 研究室に持ち込まれた私物パソコンは、