View Point 第15号

Transcription

1 大 学 における 情 報 セキュリティインシデントの 現 状 と 対 策 そして 今 後 西 村 浩 二 広 島 大 学 情 報 メディア 教 育 研 究 センター 教 授 概 要 : 多 くの 大 学 では 在 籍 する 構 成 員 に 対 してコンピューティングサービスやネットワークサービスを 提 供 することを 主 なミッションとする 情 報 系 センターを 擁 している 昨 今 の 情 報 セキュリティインシデントの 変 化 や 増 加 により これら のセンターが 果 たす 役 割 は 大 きく 変 化 してきている 広 島 大 学 における 情 報 セキュリティインシデントの 現 状 を 概 観 し これまでに 行 っている 対 策 を 紹 介 するとともに 今 後 検 討 すべき 課 題 について 述 べる キーワード: 情 報 セキュリティ クラウド 1. 広 島 大 学 の 情 報 セキュリティに 対 する 取 り 組 み 広 島 大 学 は 構 成 員 数 18,936 名 1 の 比 較 的 大 きい 国 立 大 学 である 東 広 島 霞 東 千 田 の 3 つのキャンパスの 他 に 遠 隔 地 区 施 設 県 外 海 外 オフィスがある 大 学 は 自 由 に 研 究 ができて 制 約 を 受 けな い 場 所 という 風 潮 があり ファイアウォール を 嫌 う 傾 向 があるが 広 島 大 学 では 2006 年 に 初 めてファイアウォールを 導 入 した 導 入 後 に ファイアウォールがブロックしたア クセス 数 をグラフにしたものが 図 1 である 対 策 の 必 要 性 をアピールしていった さらに 実 際 に 使 っている 利 用 者 に 対 してもこの 結 果 を 見 せて ファイアウォールの 必 要 性 をきち んと 認 識 してもらうようにした その 後 ウイルスチェックやアクセス 制 御 ウィルス 対 策 ソフト 全 学 ファイアウォール 迷 惑 メールの 振 分 の 機 能 を 加 えていくことに より 2007 年 ごろには セキュリティイン シデントの 報 告 が 急 激 に 減 った( 図 2) ネッ トワーク 環 境 に 対 して 技 術 的 に 対 策 を 取 る ことにより 一 定 の 効 果 が 出 ることが 証 明 さ れた 図 2 セキュリティ 対 策 の 効 果 図 1 ファイアウォールでのブロック 数 サブネット 単 位 で 管 理 をしており 少 しず つファイアウォールの 下 に 追 加 をしていった ところ 適 用 サブネット 数 が 50 近 くになっ たところで ブロックされるアクセス 数 がぐ んと 上 がった 大 学 は 自 由 な 反 面 非 常 に 多 くの 攻 撃 を 受 けていることがわかる この 数 値 を 大 学 の 上 層 部 に 提 示 し セキュリティ 1 平 成 26 年 5 月 1 日 現 在 2. 大 学 のネットワークに 求 められるもの 大 学 には 高 度 で 柔 軟 なキャンパスネット ワークが 求 められる これまでは 学 部 や 学 科 研 究 室 単 位 でサブネットを 運 用 し 好 き なように 使 っていたが ネットワークがライ フライン 化 してくることにより セキュリティ インシデントが 増 えてきた 研 究 室 は 独 立 し た 企 業 と 一 緒 であり 教 授 は 社 長 や 船 頭 に 例 えられることが 多 い しかし 外 部 からは 一 42

2 つの 組 織 として 見 られてしまうので 一 人 の 先 生 が 問 題 を 起 こすと 広 島 大 学 としての 問 題 となってしまう そして トップや 大 学 の 経 営 陣 からは 効 率 的 に 運 用 することを 求 め られた そのため 2007 年 のネットワーク 更 新 (HINET2007)では 管 理 方 針 を 根 本 的 に 見 直 した 3. HINET2007 HINET2007 では 中 央 にスイッチを 置 き そこから 放 射 線 状 にネットワークを 展 開 して いる( 図 3) エッジには 利 用 者 認 証 機 能 を 持 つスイッチを 配 置 した ポート 数 として は 14,000 ポートあり このすべてのポート をメディアセンターが 管 理 し 一 人 一 人 に 対 して 割 り 当 てていった 提 供 したことである それぞれの 研 究 室 で 完 全 に 独 立 したネットワークを 持 てるように 約 2,000 人 の 教 員 それぞれにブロードバンド ルータ 相 当 のファイアウォールを 提 供 した その 中 は 各 自 で 管 理 してもらい それ 以 外 の 見 えない 部 分 はセンターが 中 心 になって 管 理 した これは 当 時 注 目 されたが 最 近 でもよ く 導 入 されており キャンパスネットワーク の 新 しいカタチを 提 案 できたのではないか 最 後 は VLAN による 柔 軟 な 仮 想 配 線 の 提 供 である 当 時 耐 震 改 修 が 多 く 研 究 室 が 変 わることも 多 かった そこで 異 なる 建 物 等 に 研 究 室 が 分 散 しても 一 つの 研 究 室 と して 機 能 できるようにした ネットワーク 上 には 4 つのゾーンを 作 っ た 学 外 向 けのサーバ 接 続 用 のグローバル ゾーンと 学 外 と 学 内 を 仕 切 るファイア ウォールゾーン そして 研 究 室 とその 外 を 仕 切 るローカルゾーン 無 線 LAN 等 をつなぐ 公 衆 ゾーンである 図 4 が 構 成 である 大 学 のファイアウォー ルの 下 にファイアウォールゾーンがあり さ らにその 下 に 約 2,000 の 個 別 のファイアウォー ルがあり 研 究 室 がある そのため 同 じネッ トワーク 上 でも 隣 の 研 究 室 は 見 えない 学 内 で 共 有 する 情 報 は 学 内 で 共 通 に 見 える ファイアウォールゾーンに 置 くように 運 用 し た 図 3 HINET2007 の 概 要 HINET2007 の 特 徴 は 大 きく 4 つある 一 つ 目 は 全 学 的 な 一 元 管 理 体 制 である それ までは ボランティアベースでそれぞれ 管 理 を 行 っていたが セキュリティインシデント への 対 応 がいい 加 減 になったり 均 一 でな かったりしたため 各 フロアに 設 置 するスイッ チまで 全 学 で 一 元 管 理 した そして そのた めの 登 録 システムや 申 請 システムを 整 備 した 二 つ 目 は すべての 接 続 場 所 において 利 用 者 認 証 を 要 求 したことである 多 様 な 機 器 に 対 応 するために Web/MAC アドレス 認 証 を 採 用 し 認 証 後 はワイヤレートでの 通 信 を 必 要 とした 私 は 1999 年 から 利 用 者 認 証 を 研 究 しており NetSpring 社 の FEREC 2 も 製 品 化 した それを 導 入 し 製 品 として 運 用 改 善 していくということも 行 った 三 つ 目 は 個 別 のファイアウォール 機 能 を 図 4 ゾーン 種 別 とアクセス 制 限 利 用 者 認 証 に 関 しては それぞれのスイッ チにサーバ 証 明 書 を 入 れ そこに 利 用 者 は Web ブラウザでアクセスすることで 認 証 を 行 った ネットワーク 機 器 やプリンターの 場 合 は 事 前 に 登 録 をした Mac アドレスで 認 証 を 行 った( 図 5)

3 図 5 利 用 者 認 証 の 概 要 また 教 育 用 端 末 へのログインには 二 要 素 認 証 を 取 り 入 れた 電 源 を 入 れて OS を 選 択 した 後 学 生 証 の IC カードをかざし そ れに 対 応 するユーザー ID とパスワードを 入 力 しないと 端 末 が 使 えないようにした それ までは ID とパスワードを 人 に 貸 すことが 頻 繁 に 行 われていたが 学 生 証 の ID カード に 生 協 の 電 子 マネーを 入 れたことにより ID の 貸 し 借 りは 無 くなった 広 島 大 学 では 平 成 26 年 8 月 から 次 期 ネッ トワークシステムとなる HINET2014 の 運 用 を 開 始 し て い る HINET2014 で は HINET2007 の 特 徴 を 継 承 しつつ 以 下 のよ うな 機 能 強 化 等 を 行 っている ゾーン A ホストに 対 するアクセス 制 御 機 能 (ACL)の 提 供 ゾーン C に 接 続 可 能 な VPN(SSL)サー ビスの 提 供 不 正 侵 入 防 止 システム(IPS)の 導 入 ゾーン C での IPv6 標 準 サポート 4. 情 報 セキュリティ 教 育 の 必 須 化 このような 対 策 をしていく 中 で セキュリ ティインシデントは 少 なくなったが ゼロに はならなかった 文 部 科 学 省 からの 要 請 や 著 作 権 等 権 利 者 団 体 等 より 著 作 権 の 侵 害 につ いての 情 報 が 寄 せられたこともあり 大 学 と して 対 策 する 必 要 があった これまで 技 術 的 制 度 的 な 対 策 を 行 ってきたが それだけ ではなく 構 成 員 の 意 識 や 行 動 を 根 本 的 に 変 化 させる 必 要 があると 考 え 情 報 セキュリ ティ 教 育 を 必 須 化 した まず 情 報 関 係 のガバナンスの 再 構 築 のた め 情 報 メディア 教 育 研 究 センターに 情 報 セ キュリティ 研 究 部 門 が 作 られた ここでは 情 報 セキュリティに 関 する 研 究 開 発 や 強 化 策 の 実 施 そして 情 報 セキュリティとコンプ ライアンス 教 育 の 企 画 立 案 を 行 うことになっ た 広 島 大 学 では 平 成 23 年 度 から 全 学 的 に 情 報 セキュリティコンプライアンス 教 育 を 始 めた フレッシュマン 講 習 として 1 年 生 は 大 学 のルールを 知 ってもらうためにも 座 学 の 講 義 とオンラインテストを 必 須 とした 一 方 で 問 題 なのは 2 年 目 以 降 の 学 生 や 教 職 員 に 対 しての 教 育 だった そこで フレッ シュマン 講 習 に 対 して フォローアップ 講 習 として 平 成 24 年 度 から 年 に 1 回 すべての 構 成 員 が 受 講 することを 義 務 付 けた 翌 年 に は 自 分 の 1 年 間 の 活 動 や 行 動 を 振 り 返 る 意 味 での 自 己 点 検 も 行 うようにした 5. フレッシュマン 講 習 フレッシュマン 講 習 の 対 象 者 は 初 めて 広 島 大 学 にきた 人 である 例 えば 過 去 に 広 島 大 学 にいて 座 学 を 受 けたことがある 人 が 大 学 院 生 として 再 入 学 した 場 合 には 座 学 は 免 除 し オンライン 講 座 については 毎 年 内 容 が 変 わるので 受 けてもらうようにした 平 成 25 年 度 の 対 象 者 は 座 学 が 3,350 名 オンラ インは 4,559 名 であった 我 々が 重 視 したのは 外 国 からの 留 学 生 に 対 しての 講 習 だった 平 成 26 年 5 月 現 在 約 1,000 人 の 留 学 生 が 広 島 大 学 で 学 んでいる 50% 超 が 中 国 からの 留 学 生 である 残 りの 大 部 分 は 英 語 圏 の 国 の 留 学 生 である そのた め 中 国 語 と 英 語 に 対 して 何 らかの 策 を 講 じないと 1,000 人 の 留 学 生 をカバーできな い 英 語 に 関 しては 担 当 教 員 が 資 料 を 翻 訳 し 講 習 会 も 英 語 で 実 施 しているが 中 国 語 に 関 しては 中 国 人 留 学 生 に 学 生 アルバイトとして 資 料 の 翻 訳 と 講 習 会 での 逐 次 通 訳 を 担 当 して もらっている 講 義 資 料 の 中 には 講 義 の 際 に 話 すべきことをノートに 全 て 書 いている それらもすべて 翻 訳 することにより 研 究 室 の 中 でセキュリティ 教 育 が 必 要 となった 場 合 に 教 員 がその 資 料 をダウンロードして 内 容 の 説 明 ができる 講 習 会 でも 中 国 語 での 説 明 は 学 生 アルバイトに 通 訳 をしてもらうが その 際 にも 翻 訳 されたノートが 役 立 ってい る 座 学 の 資 料 は 約 50 ページで 代 表 的 なト ラブルの 例 としてウィルス 感 染 の 様 子 や 情 報 44

4 漏 えいの 様 子 をビデオで 見 せたり ニュース で 話 題 になった 一 般 的 なトラブルも 例 として 掲 載 したりしている また 広 島 大 学 で 実 際 に 起 こったトラブルも 例 として 紹 介 すること により 身 の 回 りでも 起 こり 得 ることを 認 識 してもらう そして なぜ 広 島 大 学 は ファ イル 共 有 ソフトウェア の 使 用 を 禁 止 するの かなど 説 明 して 個 人 がどのようなことに 気 をつけ 実 践 していくべきか そして 大 学 が 実 施 している 取 組 みを 説 明 し 最 後 に トラ ブルにあった 場 合 は 相 談 に 来 るようにと 教 え ている 講 習 会 にどうしても 参 加 できない 人 のため には 講 義 をビデオ 撮 影 したものを 提 供 し 受 講 率 を 上 げた 話 している 先 生 を 撮 影 し 音 声 は 日 本 語 のみであるが 講 義 の 資 料 は 3 か 国 語 を 用 意 した 講 習 会 ビデオで 受 講 した 学 生 にも オンライン 講 座 と 試 験 を 必 須 とし た 6. アカウントの 年 度 更 新 アカウントは メディアセンターで 発 行 し ているが それを 使 わずに 部 局 のアドレスを 使 っている 人 もいるので 発 行 されているが 使 われていない 遊 休 アカウントが 多 く 存 在 し ていた そのアカウントが 脆 弱 性 の 元 になる 可 能 性 があった そのため 平 成 20 年 度 か らは 毎 年 アカウントの 年 度 更 新 を 行 い 更 新 する 意 思 表 示 を 明 確 にさせている それを しない 場 合 は アカウントをロックして 大 部 分 のサービスを 利 用 不 可 にした セキュリティ 教 育 が 始 まるまでは 利 用 者 が 毎 年 春 に 利 用 規 則 へ 同 意 するというボタン を 押 すだけだった しかし 平 成 23 年 度 か らは アカウント 年 度 更 新 をするためには フォローアップ 講 習 を 受 けることを 必 須 とし た 平 成 25 年 度 からは さらに 自 己 点 検 と して 過 去 1 年 間 の 自 らの 行 動 を 振 り 返 る 約 20 問 のチェック 項 目 を 確 認 し オンライン 資 料 で 知 識 の 更 新 をして 確 認 テストに 合 格 することで アカウントの 更 新 ができるよう に し た 2014 年 度 は 対 象 の 90% の 約 15,000 人 がオンライン 講 座 と 確 認 テストを 受 けて アカウントを 更 新 した ここで 更 新 さ れないアカウントについては ロックしてい る 7. 情 報 セキュリティインシデントの 現 状 2011 年 度 からセキュリティ 教 育 を 始 め この 4 年 間 で 著 作 権 侵 害 等 のセキュリティ インシデントは 減 少 しているが ゼロにはなっ ていない 逆 に 最 近 増 加 傾 向 にあるのが 不 正 アクセスである 特 に 多 いのが アクティ ブメールを 対 象 にしたフィッシングメールで ある メールのログイン 画 面 の 大 学 ロゴと 画 面 がそっくりに 作 られている 広 島 大 学 の 1 日 のファイアウォールのログ は 約 8GB にもなる ある 脆 弱 性 に 対 しての 注 意 喚 起 がくると 4,500 万 行 あるログの 中 から 該 当 のものを 検 索 し ターゲットになるアドレスを 見 つけ て 通 信 制 限 をかけることを 都 度 行 っている サイバーセキュリティ 基 本 法 3 が 成 立 したの で 通 信 のログを 取 得 して 調 査 できること が 組 織 としての 責 任 となっている 一 方 で ログは 肥 大 化 し プライバシーの 問 題 で 組 織 間 の 連 携 は 難 しくなっている そして クラ ウドサービスを 利 用 している 場 合 はどうなる かが 重 要 な 問 題 となっている 8. クラウドサービス 利 用 ガイドラインの 整 備 クラウドサービスが 出 てくるまでは メディ アセンターが 大 学 内 の 利 用 者 に 対 してサービ スを 提 供 してきたので こういうサービス がほしい と 言 われても 検 討 しますと 答 え ていた しかし 平 成 23 年 頃 からクラウド サービスが 増 えてくると このサービスを 使 ってもいいか と 学 生 や 教 職 員 から 言 わ れることが 多 くなった Dropbox に 学 生 の 情 報 を 置 いていいか? サービスの 良 い 使 い 方 悪 い 使 い 方 を 教 えてほしい という 問 い 合 わせもあった そして 平 成 17 年 に 作 っ た 広 島 大 学 セキュリティポリシーとの 整 合 性 が 取 れなくなってきていた クラウドサービスの 利 用 については クラ ウド 事 業 者 に 外 部 委 託 契 約 をすることになる が クラウドサービスと 一 言 でいっても さ まざまな 定 義 がある 現 時 点 ではクラウド 事 業 者 および 使 用 するサービス 内 容 に 対 する 基 準 等 が 定 められていない そこで 平 成 24 年 度 の 一 年 をかけて ク ラウドサービス 利 用 ガイドライン 4 を 整 備 し た 45 項 目 のチェックリストを 設 け 利 用 3 nsf/html/gian/honbun/houan/g htm 4 cloudguide/toppage 45

5 開 始 前 に 確 認 をするように 推 奨 した そして インシデント 発 生 時 には 確 認 結 果 の 提 出 を 求 められる 場 合 があるとした 2013 年 に 改 訂 発 行 さ れ た ISO/IEC ISO/IEC27002 を 受 け クラウドサー ビス 利 用 のためのセキュリティマネジメント ガイドライン 5 も 修 正 されている そして クラウドコンピューティングにおける 情 報 セ キュリティの 国 際 標 準 である ISO/IEC27017 が 2015 年 に 発 効 する( 図 6) 広 島 大 学 のク ラウドサービス 利 用 ガイドラインも これら を 盛 り 込 んでいるので クラウドサービスの 提 供 者 に 確 認 すればそれに 見 合 ったサービス を 提 供 してもらえ 利 用 者 側 もこのガイドラ インに 沿 って 利 用 すれば ISMS の 基 準 を 満 たして 安 心 して 使 うことができる 図 6 ISMS 規 格 改 定 への 対 応 9. 広 島 大 学 のクラウド 化 手 順 クラウドサービスのガイドラインを 整 備 し た 目 的 は 大 学 システムのクラウド 化 を 進 め ることでもあった このチェックリストがあ ることにより 運 用 上 注 意 すべき 点 が 明 確 に なる そして オンプレミスでシステムを 作 っ た 場 合 でも 同 じように 考 えなければならず 担 当 者 レベルで 確 認 や 判 断 ができるように なった これを 受 け 財 務 会 計 や 人 事 システムと いった 大 学 の 中 ではかなり 機 微 な 情 報 を 持 っていると 思 われるシステムが 真 っ 先 に クラウド 化 された 国 立 大 学 法 人 で 初 めての 財 務 会 計 システムのクラウド 化 である / pdf さらに 人 事 労 務 システムや 公 式 Web サ イト 事 務 用 のメールシステムをパブリック クラウド 化 し 研 究 者 総 覧 研 究 力 分 析 シス テムや 学 生 教 職 員 用 のメールも 準 備 を 進 め ている このように 広 島 大 学 内 の 事 務 系 シ ステムが 次 々と 外 に 出 ていっている 10. ガイドライン 策 定 の 功 罪 クラウドサービス 利 用 ガイドライン 策 定 の 功 罪 を 考 えたい 一 つは 確 認 すべきポイン トが 明 確 になったことである それまでは オンプレミスのシステムは 安 全 で 外 に 出 す ことは 不 安 だと 漠 然 と 思 っていたが 実 はそ れは 安 全 神 話 で PDCA サイクルでチェッ クし 改 善 していくというサイクルが 重 要 で あることを 再 認 識 させられた また ポイン トが 明 確 になったことで 担 当 者 レベルで 確 認 できるようにもなった しかし 危 惧 して いるのは 定 期 的 に 再 チェックするようには なっていないため 安 易 なクラウド 化 を 冗 長 するのではないかということである 今 後 見 直 すことも 検 討 している もう 一 つは システム 構 築 手 法 を 見 直 す 契 機 になったことである 例 えば ハードウェ アについては 4 ~ 5 年 で 新 しいものと 入 れ 替 えていたが クラウドサービスでは 必 要 な 時 に 必 要 なものを 使 うことができる 大 型 システムの 調 達 の 際 に その 性 能 をどう 評 価 していくかも 課 題 である そして ソフトウェ アライセンスのクラウド 上 での 利 用 について 制 限 がでてくるという 問 題 もある 11. 大 学 における 情 報 セキュリティ 対 応 の 課 題 これまでは 大 学 の 計 算 機 やネットワーク インフラの 整 備 や 運 用 は 情 報 系 のセンター が 担 っていた 大 学 側 が 情 報 環 境 を 提 供 する 立 場 であったが PC の 必 携 化 や BYOD が 進 む 中 で 大 学 側 が 情 報 環 境 を 提 供 する 範 囲 が 狭 まっている それは ガバナンスを 喪 失 す る 恐 れがあるということだ そして クラウドサービスが 出 てきたこと により 財 政 的 なメリットを 求 める 経 営 陣 と 便 利 さや 手 軽 さを 求 める 利 用 者 からの 圧 力 が かかってくる 計 算 機 のリソースの 調 達 方 法 も 変 わり セキュリティポリシーとの 折 り 合 いをどうつけていくかという 問 題 もあり こ こでもガバナンス 喪 失 につながる 恐 れがある 46

6 一 方 で サイバーセキュリティ 基 本 法 にあ るように セキュリティに 対 する 責 任 は 増 大 傾 向 にある そして 情 報 センターがクラウ ドサービス 利 用 の 可 否 判 断 を 迫 られるため 迅 速 かつ 適 切 なインシデント 対 応 が 求 められ るが 果 たして ガバナンスを 失 いつつある 状 況 で 本 当 にできるのだろうか 2014 年 10 月 のサイエンティフィック シ ステム 研 究 会 7 で " 溶 け 込 んでいく 情 報 "い わゆるビックデータをどう 活 用 していくかを テーマにしたセミナーがあった これまでは とにかくデータを 集 めることに 注 力 していた が これからはまず 何 がしたいかがあり そ の 次 に 必 要 な 技 術 を 考 えるべきだという ま さ に Seeds oriented か ら Needs oriented へ 変 わっていかなければならない そして ビックデータは 気 づきを 見 つけ るためのものである 非 日 常 的 なところから 気 付 きは 出 てくる ロングテールデータとも 言 われる メディアセンターに 当 てはめると ログの 活 用 が 重 要 だということである クラウドサービスは アップロードするこ と つまり データを 集 めるところは 無 料 で ある 処 理 やデータを 蓄 積 することも 安 価 に できる しかし ダウンロードには 課 金 がさ れる クラウドサービスの 事 業 者 は 単 にサー ビスをしているのではなく データを 集 めて 何 かに 使 おうと 考 えているのだろう 我 々も それぞれの 組 織 にあるさまざまなデータをき ちんと 処 理 し うまく 使 う 方 法 を 考 えるべき である 図 7 発 生 源 処 理 の 必 要 性 12. 発 生 源 処 理 の 必 要 性 組 織 の 中 で 集 めた 情 報 ソースを 他 大 学 と 一 緒 に 連 携 して 使 うことになった 時 には 匿 名 化 をし 暗 号 化 する 必 要 がある 現 在 は すべてのデータを 暗 号 化 しないと 外 に 出 せな いという 風 潮 になっているように 思 える 発 生 源 ですべてのデータを 匿 名 化 暗 号 化 する のは 大 きな 負 担 であり データの 取 りこぼし があったり 大 部 分 の 不 要 なデータにコスト をかけて 非 効 率 になったりしていることが あった 今 後 は データをまず 貯 めて その 蓄 積 場 所 で 必 要 な 価 値 あるデータのみを 処 理 して 匿 名 化 暗 号 化 して 他 大 学 と 共 有 連 携 していくことを 考 えたい( 図 7) これ には 組 織 横 断 的 に 実 行 できる 仕 組 みが 必 要 である