⾃⼰紹介（いのまたあつお）• ⼤阪⼤学 教授• 情報セキュリティ対策室 室⻑, OU-CSIRT隊⻑

• ⽴命館⼤学 客員教授

情報セキュリティリスクマネジメントにおける⼈材育成の考え⽅

⼤阪⼤学教授

猪俣敦夫, Ph.DCISSP• (⼀社) JPCERTコーディネーションセンター 理事• (⼀社) 公衆無線LAN認証管理機構 代表理事
• 京都⼥⼦⼤学、東京薬科⼤学、慶應義塾⼤学、奈良先端⼤ ⾮常勤講師• 経済産業省 IoTセキュリティ座⻑、セキュリティソフトウェアTF委員• 総務省 公衆無線LAN WG委員
• JNSA情報セキュリティ⼈材育成検討会委員• ベネッセHD株式会社 情報セキュリティ監視委員• ⽇本適合性認定協会(JAB) ISO/IEC認定審査員• IPAセキュリティキャンプ全国⼤会 講師• NICT CYDER委員、SecHack365コースマスター• 関⻄サイバーセキュリティ・ネットワーク 講師• 奈良県警察 サイバーセキュリティ対策アドバイザー。。。等諸々• 専⾨分野：暗号（楕円曲線）、制御システム/IoTセキュリティ、情報セキュリティ⼈材育成• 主に関⻄エリアにて⽂部科学省の⽀援をいただき、情報セキュリティ⼈材育成に取り組んできました

情報処理安全確保⽀援⼠• 奈良市在住2

サイバー犯罪の実話

本⽇の話題• 凄腕ハッカー達が最先端の技術でひたすら攻撃、それによる被害が主流と思われている現実??

• 暗号の濃いお話をさせていただきたかったのですが、それは別に譲るとして、本⽇は組織として⼤切な考え⽅である情報セキ
ュリティにおけるリスクマネジメントについて触れます• 映画の世界のような• 実のところ情報漏洩事件の原因のほとんどは「普通の⼈」が発端• ソーシャルエンジニアリング• リスクアセスメント• 情報セキュリティマネジメントシステム• リスク対応• ⼈材育成• ハリーアップ• フレンドシップ• ラストワン など• ⼈間の起因による設定ミス• 私達の⽣活の⼀部にもなったSNS• Twitter• Facebook• Instagram• ….。

• これらが適切に繋がることに気づいていただくことが本⽇のゴールです• などなど34

だましだまされ、なにわ⾦融道の世界

ソーシャルエンジニアリング攻撃•

権威に弱いタイプは注意――「ネームドロップ」•• 情報を仕⼊れるために、話術や⾝なりなどで⼈を信⽤させ⼈を騙す• オレオレ詐欺もある意味同じ⼿⼝• いくつかのテクニックを巧みに合わせ技で使われることが多く、決して新しい⼿段ではない。されどセキュリティ意識の低さによって情報は簡単に引き出されてしまう• ⼈は恐怖が強ければ強いほど⾃らを防護せねばという（⼼理的）動機が働く• 防護動機理論• ただしそれが適切に情報セキュリティ対策になるかというとそうはならないのが現実• 普通の⽣活、会話、やりとり、そして優しさ、、・・・そのような場に隙が⽣まれる•

振り込み詐欺の常套⼿段――「ハリーアップ」•••
5

インターネットのOSIレイヤ構造におけるL3のICMPプロトコルのECHOメッセージが…

先⼿を取られないように注意――「ギブアンドテイク」•• 実例を⾒ていきましょう

QRコード認証使って専⽤アプリでIoTデバイス設定してそこからMACアドレス登録して…

この⼈は何を⾔っているんだろう？――「バッファオーバーフロー」••

もうこんな時間やし、最後にサインだけもらっとくわ

専⾨⽤語を多⽤する⼈に注意――「テクニカルワード」••

今⽇からあんたは⼀⽣涯の友達や！

疲れたころに最後の質問――「ロングタイム」••

明⽇の朝までに実⾏しないと⼤変なことになりまっせ善意があだに――「フレンドシップ」••

わしに逆らえるとおもてるん？

ワシの秘密情報あんたにだけ教えたんやから、あんたのこともこっそり教えてな

アンケートと称した⼿法も――「ラストワン」•

⼤したことあれへん、みんなやってるさかい、あんたがいつも思いつく数字４桁は

6

たかがメアド、されど個⼈情報• 情報漏えい事案は、今や組織の存続すら危ぶまれる事態を招く脅威• 謝れば済むものではない。時間は何も解決してくれない• ⾃分は注意しているから問題ない！
• と思って油断している時をずっと攻撃者は⾒ている• 何故、個⼈情報漏えいが発⽣するのか？
• 「カネ」になる• クレジットカード（CVC(Master) / CVV(VISA) / CID(AMEX) , 有効期限) 5 – 100 over USD• 誕⽣⽇、旧姓、出⽣地• 医療、健康情報 その10倍以上-->保険詐欺、なりすまし• アカウントの連鎖• ⼀般的なサイトに登録されたID, パスワード à 例えばgmailなどに連鎖• Gmailが乗っ取られることにより、例えばSNSアカウントもやられる可能性も• たとえばLINEやPayPayなどいまやQR決済システムなどにもà即現⾦化• 他にもWebカメラ管理⽤アプリのIDとパスワードが別システムに連鎖• スマートホームのシステム全体に影響が起こることも。。。

78

https://www.experian.com/blogs/ask-experian/heres-how-much-your-personal-information-is-selling-for-on-the-dark-web/https://www.armor.com/blog/credit-card-skimming-data-thieves-dark-web/

試験にも必ず出る(笑)
情報セキュリティ3⼤要素CIA

最近ではCIA3+3=6⼤要素とも？

• Confidentiality（機密性）• Reliability（信頼性）• 許可のある⼈だけが情報へアクセスできること• システムやプロセスが⽭盾なく動作すること• アクセス制御、暗号化、ID/パスワード認証• データ、動作の突き合わせ、頑健なシステム・OS等• Integrity（完全性）• Accountability（責任追跡性）• 情報そのものに正確性が保証されていること• 利⽤者やサービスの振る舞い、責任が説明できること• 電⼦署名、改ざん検知• ログ調査（デジタルフォレンジック）、否認防⽌(Non-Repudiation)• Availability（可⽤性）• Authenticity（真正性）• 情報そのものに必要な時はいつでもアクセスできること• 故意または過失による虚偽や改ざん等を防⽌すること。第３者から⾒て作成の責任の所在が明確であること• システム/ネットワークの⼆重化・冗⻑化、（クラウド）• 改ざん検知、電⼦署名• OECDの情報セキュリティガイドラインにて定義• ISO/IEC27001(JIS Q 27001)にて規定• 新たにISO/IEC TR13335にて規定• ISMS(情報セキュリティマネジメントシステム）を構築する際にも重要910

情報セキュリティ：基本３脅威
セキュリティの脅威（釈迦に説法）• 情報資産の流出（例えば、個⼈情報漏洩など）• 物理的脅威盗聴

ネットワークを利⽤して計算機間でやり取りしているデータを不正に傍受すること

不正侵⼊権限を持たない第三者がネットワークなどを経由してシステムに不正アクセスすること

不正使⽤

権限を持たない第三者が、計算機やネットワークなどの情報資産を不正に使⽤することなりすまし権限を持つユーザIDやパスワードを不正に取得し、正当なユーザのふりをして⾏為を⾏うこと

改ざん

計算機やネットワーク内の情報や不正な⼿段によって書き換えること否認

電⼦商取引などで⾃分の⾏った⾏為（買い物発注など）を後から否定すること

妨害

サーバなどに対して⼀度に⼤量のパケットを送信することなどによって、サービスやサーバを停⽌させたりすること

踏み台

攻撃などを⾏う際に、⾃分の⾝元を隠すために不正なアクセス⼿段によってサーバへ侵⼊し、⾏為を⾏うこと• パソコンやHDDの物理的盗難• 技術的脅威• アンケート・懸賞、掲⽰板やSNSの書き込み、ホームページからの情報流出• スパイウェアの侵⼊やキーロガーによる監視• ⼈(為)的脅威• 設定⽅法ミス、安易なパスワード設定、内部での情報収集• 組織が傾きかけない重⼤なインシデント

脆弱性
情報システムのリスク
11＝守るべき情報資産

様々な脅威

12

2018年インシデント事例

2018年度のインシデント事例

©JNSA
14
2018年情報セキュリティインシデントに関する調査報告書(速報)より

©JNSA
13
2018年情報セキュリティインシデント
に関する調査報告書(速報)より2018年度のインシデント事例

JNSA

©JNSA
2018年情報セキュリティインシデント
に関する調査報告書(報告)より

16

©JNSA

IPA：情報セキュリティ10⼤脅威 2020
不正アクセス届出件数の年別推移

IPAに届出のあった不正アクセス件数推移
18

©IPA

不正アクセス届出種別の推移

IPAに届出のあった不正アクセス種別の推移

不正アクセス被害原因の推移

19

IPAに届出のあった不正アクセス被害原因の推移

20

我々の決断は?

そうは⾔っても脅威はやってくる• 隊⻑である私は即座にプレスリリースを出すべき！という決断にEmotet弊社2019年
10⽉に…

• 実は⾊々意⾒もあったのだが、外部に対していち早く情報を公開し、⼆次被害を可能な限り減らす必要がある。
それは我々の責務だ

本気で最初は全く分からなかった21

https://www.jpcert.or.jp/newsflash/2020072001.html

練習問題• ソーシャルエンジニアリングに該当するものはどれか。

光栄なことにpiyologに捕捉(苦笑)1. オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す
2. キー⼊⼒を記録するソフトウェアを，不特定多数が利⽤するPCで動作させて，利⽤者IDやパスワードを窃取する
3. ⽇本⼈の名前や⽇本語の単語が登録された辞書を⽤意して，プログラムによってパスワードを解読する
4. 利⽤者IDとパスワードの対応リストを⽤いて，プログラムによってWebサイトへのログインを⾃動的かつ連続的に試みる

piyoさん的Emotet第1号

24https://piyolog.hatenadiary.jp/entry/2019/11/26/054443

情報セキュリティマネジメント平成29年春期

「情報資産における」リスクアセスメント

安全規格とは(ISO/IECガイド51より)• ISO/IECガイド51• 名称：安全側⾯ー規格への導⼊指針• 第１版1990年、第２版1999年• 内容：• リスク低減の⽅法論• 安全はリスクを経由して定義• リスクアセスメントの実施要求• 定義：リスク• 危害の発⽣確率およびその危害の程度の組み合わせ• Rリスク=P・S=危害 x 発⽣確率

• 定義：安全• 受容できないリスクがないこと• 安全であったとしても受容できるリスクは存在する、ということ• 守るべき情報資産で発⽣する可能性のある脅威と、脅威の発⽣確率や発⽣した場合の影響度、等を評価する⽅法• リスク分析

章

⽬次

１
章

適⽤範囲

２
章

引⽤規格

３
章

⽤語及び定義４章“安全”および”安全な”という⽤語の使⽤

５章

安全という概念６
章

許容可能なリスクの達成

７
章

規格における安全側⾯• リスク因⼦の特定• リスク算定• リスク評価

参考
⽂
献25

26

IPA(リスクアセスメント)より引用

広義でのリスクアセスメント

リスクアセスメント：種類開始• ベースラインアプローチ• 既存の標準や基準をもとにベースライン（⾃組織の対策基準）を策定しチェックする⽅法

意図する使⽤および予⾒可能な誤使⽤の明確化
危険源の同定• 選択する標準や基準によっては求める対策のレベルが⾼すぎたり、低すぎたりする
場合

リスク分析

• ⾮形式的アプローチ• コンサルタント⼜は組織や担当者の経験、判断によるリスクの低減• 本質的安全設計• 安全防護及び付加保護方策• 使用上の保護NO• 短時間に実施することが可能であるが、属⼈的な判断に偏る恐れ

リスクの⾒積もり• 詳細リスク分析• 情報資産に対し「資産価値」「脅威」「脆弱性」「セキュリティ要件」を識別リスクの評価リスクアセスメント
許容可能リスクは達成されたか• 多⼤な⼯数や費⽤• 組み合わせアプローチ• 上記アプローチの併⽤

YES
終了

28

ベースラインアプローチと詳細リスク分析

詳細リスク分析のプロセス• ベースラインアプローチはやっぱりベースラインが重要• 基準を参照し、リスク分析対象の管理策を確定• 質問紙調査等によりリスク分析が⾏えることから組織への展開が容易• ⼀⽅、規定の基準を⽤いることから対象組織にそぐわない箇所も出てくる可能性もあり結果の意義がずれることもある• 詳細リスク分析はなんといっても情報資産の洗い出し• 情報資産ごとにリスクを評価（脅威と脆弱性を識別しリスクを定量化）• 価値ある管理策を⾒出すことができるための定量化されたデータに基づくことから精度が⾼い分析が⾏える• ⼀⽅、その⼿間からコストが⼤幅にかかることも。組織におけるトップマネジメントの理解が難しいこともある

29

30

IPA情報セキュリティセミナー資料より

リスクアセスメントとリスクへの対応
リス
クアセス
メン
ト

リスクへの対応の考え⽅

管理すべき情報資産の洗い出し

情報の暗号化や情報セキュリティ教育

高サーバ公開停止

情報資産に対するリスクの識別と分析

リスク回避

特定したリスクの評価(発⽣頻度, 影響度)

リス
ク
への対応

リスクは許容レベル内か?

Yes

リスクの受容No

リス
脅
ク
威のx
発脆
生弱
可性
能性

リスク低減

リスク移転

認証、決済を他社に委託

リスク受容
低リスクの低減

リスクの移転リスクの回避JNSA資料より書き起こし

小リスク発生の際の損害の大きさ（影響度）(情報資産の価値)

大32

セキュリティ管理策の全体像

リスクへの対応(PMBOK2000によると)• PMBOK (Project Management Body of Knowledge):1987年⽶国PMIにより発表されたプロジェクトマネジメントの世界標準（みたいなもの）• 識別：広範に渡るリスク全体に網をかけて主要なものをもれなく捉えるステップ• 評価：顕在化した時の⼤きさ（インパクト）と顕在化する可能性（発⽣可能性）との両⾯の把握を通して個別リスクを測定• 回避：原因を取り除くことでリスクの脅威を避けること• 移転：リスクの結果と責任を第３者へ移すこと（転嫁）• 低減：リスクを受容可能なレベルまで減らす試み。影響度と可能性双⽅を減らす（軽減）• 受容：「何もしない」決定を下す消極的受容とコンティンジェンシーを⽴てる
積極的受容
33

34

IPA(情報セキュリティマネジメント)より引用

情報セキュリティマネジメント？
２７０００シリーズ?
• ISO/IEC (国際標準化機構: International Organization for Standardization /国際電気標準会議: International Electrotechnical Commission)• 27000シリーズ：情報セキュリティマネジメントシステム(ISMS: Information
Security Management System)における情報セキュリティの管理・リスク・制御に対するベストプラクティス• 情報セキュリティの⽤語定義• JIS Q 27000:2019 (2019年3⽉に公開)• ⻑らく⽇本⼯業規格と呼ばれていた• 法改正により2019年7⽉から⽇本産業規格35

総務省「国民のための情報セキュリティサイト」より

JIS Q シリーズは日本規格協会グループで2-3000円程度で販売されている。
またISO/IEC規格書も同様に15000円程度（英語版)で販売されている、審査員は必携である

36

ISMSの歴史

なんとなくのセキュリティではなく？
• 情報セキュリティ3⼤要素CIAの「実は？」• ISO/IEC 27001 (情報技術-セキュリティ技術-情報セキュリティマネジメントシステム(ISMS: Information Security Management System)-要求事項の「⽤語・定義」の部分に記載されている•

世界初のISMSであるBS7799（英国規格）
⽇本国内規格であるISMS認証基準 Ver2.0••

セキュリティの対象となる情報資産について、機密性、完全性、可⽤性をマネジメントシステムとして維持、管理、改善することを基本コンセプト• 情報セキュリティマネジメントシステム(ISMS)の新しい国際規格として、現在はISO/IEC 27001:2013• 国内規格JIS Q 27001:2014• 我が国における⼯業標準化法の審議を経て、経済産業⼤⾂が制定した⽇本⼯業規格• すでに改訂が開始されたが発⾏されるのは2022年以降の⾒通し 37

38

https://www.ipa.go.jp/security/manager/protect/pdca/standard.html

ISO/IEC 17799およびJIS X 5080

BS7799-2:2002• 情報セキュリティにおけるベストプラクティス（最適慣⾏）をまとめ、基本的な管理項⽬を規定するために英国規格協会（BSI）によって作成された管理基準• 審査は英国貿易産業省によって権威付けされた英国認定機関（UKAS）の下、BS7799審査機関と認定された各国の企業・団体 により実施• 第1部は「情報セキュリ ティマネジメントシステム（ISMS）の実施基準」
Code of practice for information security management• 2000年に国際標準化機構(ISO)と国際電気標準会議(IEC)よりISO/IEC17799が与えられ国際標準化• 第2部は「情報セキュリティマネジメントシステムの仕様」について記載
Specification for information security management systems• 2002年に改訂され、世界的に情報セキュリティ管理に関する事実上の標準規格
39

BS7799は身元調査まで行われていた!?。。

• BS7799 第1部1999年版をベースとして作成• 2000年Part1がISO/IEC17799:2000として採⽤, Part2はBS7799-2:2002• ISO/IEC 17799:2000の翻訳が2002年3⽉にJIS X 5080:2002として⽇本⼯業規格（JIS化）• BS7799-2:2002はISMS適合性評価制度における基準となり、財団法⼈⽇本情報処理開発協会により2002年４⽉ISMS認証基準(Ver.1.0)• 2003年4⽉ISMS認証基準(Ver.2.0)が制定• 情報セキュリティ管理実施基準、すなわち実践のためのガイド（規範）• 認証のための基準ではない• 10の管理分野• 36の管理⽬的• 127の管理策
40ISO/IEC 17799およびJIS X 5080
管理分野（10分野）

ISO/IEC27001:20134142

http://www.atmarkit.co.jp/ait/articles/0207/12/news002.html

ISO/IEC 27001:2013 (JIS Q 27001:2014)

トップマネジメントに求められること• リーダーシップ及びコミットメントを実証するための事項• 適⽤させる事が必須である要求事項（本⽂）と、事業の特性により適⽤除外が可能である要求事項（附属書Aの管理策）で構成• 幅広く利⽤可能な基準としてあらゆる組織に適⽤できるよう配慮• リスクを内包した情報及び情報に関連する資産を保護するには、それらがもつ価値や脅威、脆弱性等のリスクの源を明確にし、リスクの⼤⼩を判別して適切な対策を講じなければならない• 安易な適⽤除外または理由の明確でない適⽤は、マネジメントシステムの⼀貫性に⼤きな影響を与える可能性が！？

• 「除外の原則」• ISMSの能⼒、責任に影響を及ぼさないこと• 情報セキュリティ⽬的と相反しないこと• 関連法規や規制に関する要求事項でないこと

43

1. 情報セキュリティ⽅針及び情報セキュリティ⽬的を確⽴しそれらが組織の戦略的な⽅向性と両⽴することを確実にする
2. 組織のプロセスへのISMS要求事項の統合を確実にする
3. ISMSに必要な資源が利⽤可能であることを確実にする
4. 有効な情報セキュリティマネジメント及び ISMS 要求事項への適合の重要性を伝達する
5. ISMSがその意図した成果を達成することを確実にする
6. ISMSの有効性に寄与するよう⼈々を指揮し、⽀援する
7. 継続的改善を促進する
8. その他の関連する管理層がその責任の領域においてリーダーシップを実証するよう管理層の役割を⽀援する
44

ISMS：それでは実際に申請の流れを⾒てみよう

45

ISO/IEC 27017:2015(JIS Q 27017) ⽇本発祥!

46

練習問題

• 昨今データセンタのストレージに格納されていたデータの消失や想定外のファイルシステム等の共有などの問題、リスク• クラウドサービス利⽤における不安• 経済産業省から「クラウドサービス利⽤のための情報セキュリティマネジメントガイドライン」• 2015年12⽉ ISO/IEC27017:2015として国際標準化

47

https://www.jaco.co.jp/env_cls_management.htm• 組織の活動に関する記述1〜4のうち，ISMSの特徴として，適切なものだけを全て挙げたものはどれか
1.
2.
3.
4.

⼀過性の活動でなく改善と活動を継続する
現場が主導するボトムアップ活動である
導⼊及び活動は経営層を頂点とした組織的な取組みである
⽬標と期限を定めて活動し，⽬標達成によって終了する

48

私のセキュリティ⼈材育成の歩み（2008より）• 2016年に亡くなられた⼭⼝英先⽣から、携帯電話に「たまちゃん奈良に来ない?」これが最初でした

練習問題• リスクアセスメントに基づく監査対象の選定として，適切なものはどれか
1.
2.
3.
4.

運⽤開始時期の順に，全てのシステムを対象とする監査実施体制を踏まえて，実施可能なシステムを対象とする無作為に抽出したシステムを対象とする
問題発⽣の可能性とその影響の⼤きなシステムを対象とする

49• 2008-2012 ⽂部科学省 先導的ITスペシャリスト育成推進プログラム(セキュリティ) IT Keys ⼤学院⽣向け国内初のコースウェア• 主に関⻄圏を中⼼に、NAIST、阪⼤、京⼤、JAISTを中⼼に• 関東圏ではIISECによるISSスクエアが並⾏• 某◯による事業仕分けで打ち切り..orz• 2013-2015 ⽂部科学省 分野・地域を越えた実践的情報教育協働ネットワーク(enPiT1) セキュリティ分野 SecCap ⼤学院⽣向け• 2016- ⽂部科学省 成⻑分野を⽀える情報技術⼈材の育成拠点の形成(enPiT2) セキュリティ分野 Basic SecCap 学部⽣向け• 2018- ⽂部科学省 enPiT 情報セキュリティプロ⼈材育成短期集中プログラム
enPiT ProSec 社会⼈向け• 東京電機⼤学 国際化サイバーセキュリティ学特別コース(CySec) 社会⼈向け学び直し履修証明プログラム• IPA セキュリティキャンプ、ネクストキャンプ講師• NICT CYDER, SecHack365 コースマスター
50• 沖縄オープンラボラトリスペシャリスト育成
他

enPiT2 Basic SecCap
enPiT-Security （第２期）(2016年度～2020年度)（スペースの都合のため社名・大学名の表示を短縮しています）

中核拠点（重点実施校）• 実践⼈材の養成連携校• 学部⽣向けセキュリティ分野の実践的スキルの基礎• Basic SecCapカリキュラムを協同で開講• 「Basic SecCap」コース修了(7単位以上)を認定

京都⼤

近畿⼤

参加校
参加校（⾼専）

岡山大

Cyber
Links

岡⼭理科⼤

• ⼤学間で遠隔講義や集中講義（演習）を相互に提供• 多様な学⽣の中での実践的な⼈材育成

⽇本総研

岡⼭県⽴⼤

• 専⾨科⽬の担当と履修運営は重点実施校6校が担当

⾼知⾼専• 幅のある演習• 多数のPBL演習により多様な経験の機会を提供してセキュリティ⼈材輩出の要請に対応• ⾼度な内容を扱う先進演習科⽬によりレベルと内容を多様化

北九州市⽴⼤システムズ
ナカシマ

ヤフー

九州⼤

⽊更津⾼専専⾨科⽬

情報スペース⻑崎県⽴⼤

⾼崎健康福祉⼤

⼭形⼤

CySols

⽇⽴
CSSC
東⽇本
テクノ・マインドシスコ

東北大

NTTデータ

⽇⽴IA

⽇⽴

ラック

NEC

インテック

⽇本Androidの会

東北⼯業⼤

NTT

⽯巻専修⼤

NTT-AT

仙台⾼専

Mamoto JA

静岡⼤

慶應大

東北福祉⼤

ネットワン TOINX
JNSA

トレンド
マイクロ

宮城⼤
東北学院⼤

エスクルー

基礎科⽬

タオソフト

佐世保⾼専

51

富⼠通
北陸

先進演習科⽬

演習科⽬

苫⼩牧⾼専
北海道⼤

富⼠通

DS I

九州産業⼤ ⼤分⼤

NTT
⻄⽇本

三菱
電機

Capy

情報セキュ研北海道情報⼤

北陸先端⼤

奈良先端⼤

和歌⼭⼤

連携企業

• 他⼤学・⾼専等・他学部との授業交流

福井⼤ ⽯川⾼専

大阪大

連携校（重点実施校）

情報ｾｷｭﾘﾃｨ大
東京電機大

秋⽥⼤
⼀関⾼専

2019/1現在
52

実践的⼈材の育成のための体系的，総合的，経験的知識と科⽬群

演習科⽬
演習科⽬（PBL 演習）（ＰＢＬ演習）（先進ＰＢＬ，大学院インターンシップ）［ＰＢＬ基礎］［発展学習］

全連携校で提供＋相互履修

重点実施校・大学院大学で提供＋相互履修

経験的知識

高度な実践知識

経験と実施
実践能力
危機対応訓練

経験的知識の発展
少人数受講者

サイバーセキュリティ基礎演習 (北⼤, 集中)
クラウド・セキュリティ演習 (東北⼤, 6セメ集中)
ビッグデータのプライバシー保護プロトコル演習 (阪⼤, 夏期集中)
インシデントレスポンス演習 (和⼤, 夏期集中)
暗号ハードウェアセキュリティ演習 (岡⼭⼤, 後期集中)
クロスサイトスクリプティング対策演習 (岡⼭⼤, 夏期集中)
セキュリティエンジニアリング演習 (九⼤，集中)
サイバーセキュリティ演習 (九⼤, 夏期集中)
サイバーセキュリティハンズオン演習 (九⼤, 集中)
情報ネットワーク演習（セキュリティPBL） (電機⼤, 集中)
CSIRTとリスクマネジメント演習 (電機⼤, 集中)PBL演習 K (慶應, 集中)
情報セキュリティ演習 (京⼤，夏期集中)
Webアプリケーションファイアウォールによる攻撃検知演習 (⻑県⼤，後期）• サイバー攻防基礎演習 (静⼤，夏期集中)••••••••••••••（セキュリティ総論）［分散型・基礎知識学習］
各連携校・参加校内で提供体系化された基礎知識
ネットワーク技術
セキュリティ技術
情報理論［集中型・基礎知識学習］
重点実施校５大学が提供＋遠隔配信

総合的知識
基礎知識応用
リスク・評価・監査
法律・政策・経営・倫理
組織・運用

53

54

先進演習科⽬先進演習科⽬（先進PBL）
制御システムセキュリティ演習 (東北⼤, 6セメ集中，1〜2⽉)
システム構築におけるセキュリティ機能実装とセキュリティ監視・運⽤演習 (阪⼤,夏期集中，8⽉)• 実践安全な公開鍵暗号の設計と解読演習 (阪⼤, 夏期集中)• 物理セキュリティ攻撃と対策（先端セキュリティ） (電機⼤, 集中，1⽉)• インシデントハンドリング演習 (慶應⼤, 集中，2⽉)• 安全性評価のための衝突型暗号攻撃演習 (岡⼭⼤，夏期集中，9⽉)• Cyber OPS演習 (東北⼤, 5セメ集中，8〜9⽉)• サイバー攻撃演習 (東北⼤, 6セメ集中，1〜2⽉)• Cyber OPS演習 (慶應⼤, 集中，11〜12⽉)••

先進演習科⽬（⼤学院インターンシップ）
••
•
•
•
•
•
•

セキュアクラウド理論演習 (JAIST, 夏期集中)認証技術によるWebシステムのセキュリティ対策実践 (JAIST, 夏期集中)
ハードウェアセキュリティ基礎演習 (NAIST, 夏期集中)
電磁波セキュリティ基礎演習 (NAIST, 夏期集中)
⼤学院インターンシップC (モバイルアプリの脆弱性検出とその対策) (慶應⼤，集中，9⽉)
IoT脅威分析演習 (情セ⼤, 集中, 8⽉)
ハードニング基礎演習 (情セ⼤, 集中, 8⽉)
55
ネットワークセキュリティ実践 (東北⼤, 集中, 8〜9⽉)

ProSec 大阪大学

で検索！
56

IPA セキュリティキャンプ

NICT CYDER(Cyber Defense Exercise with Recurrence)

57

NICT SecHack365(Security+Hackathon 365Days)
U25限定
セキュリティキャンプとは異なりアイデア力をベースとしたハッカソン。家にいるときも、手を動かし続けるトレーニング。Nulab社のコミュニケーションツールやSlackを活用し、積極的にオンライン、オフラインでの活動を推進

2019年度は成果発表会ができなかったた
め9/26にオンラインで開催いたします。
是⾮、お気軽にお申し込みください60