150828大学のセキュリティ
•Download as PPTX, PDF•
9 likes•2,965 views
大学のセキュリティについて 大阪いばらきキャンパスにて講演
Recommended
More Related Content
What's hot
What's hot (12)
Viewers also liked
Similar to 150828大学のセキュリティ
More from UEHARA, Tetsutaro
More from UEHARA, Tetsutaro (17)
Recently uploaded
150828大学のセキュリティ
- 2. 本日お伝えしたいこと まずは「内部不正」と「ミス」に備えよう ベネッセ事件が残した教訓はなにか サイバー攻撃による「事故」は防げない 年金機構事件が残した教訓はなにか 大学の特殊事情はある 一方で大学故の優位性もある 「これをしておけば大丈夫」なんてない これをやっておかねば炎上する、があるだけ
- 4. ベネッセ事件の雑感 内部犯行については システムのわずかな隙も命取り しかもシステム管理権限を持つと… 個人情報は「本当に」金になる 家族構成と年齢がわかった住所録だけで 十分な小遣い稼ぎになる しかし世間の騒ぎ方はピンボケ 漏えい当事者が最初に心配するべきなのは？
- 5. ベネッセの事後対応 LACと共同で情報管理 専門会社を設立 徹底したゾーニング 第三者委員会による 定期的監査
- 6. それでも大きなインパクト 5次に渡る集団訴訟 1次訴訟1700人 最終的に万人単位？ 会員数減少 365万人→270万人
- 8. 年金機構事件雑感 個人情報漏洩「だけ」が騒ぎになる不幸 「個人識別情報」だから事件化に 防ぐべきは悪用 守るべきはプライバシー 今回の攻撃は「高度標的型」ではない 正しい備えがあれば防げていた 今回GSOCが発見できたのは既知だったから 相変わらずの「業務IT化」への無理解 現場で業務が「回ってしまっている」ことへの 甘えが根底にある
- 9. 機構は何を反省するべきか IT投資の不足 基幹系だけで業務が完結すべきところ システム側の機能不足で処理できないため 情報側に移して処理する エンドユーザコンピューティング（EUC）常態化 EUCを「情報系」で行う危険の認知が不足 不可避ならEUCだけの閉鎖環境を作るべき インシデントレスポンス体制の不足 事件を前提にしたシステム構成になってない GSOCからの連絡後にリスク判断が出来ていない
- 10. 詫び状の出来が… 来たのが遅いのに 情報量がない（6/26着） 被害者の最大の関心である 「年金の支払い」に 影響がない旨が 書かれてない 年金払込情報や 銀行口座情報が どうだったかが 書かれてない どんなリスクがあるか 今後何に気をつけるべきか わからない
- 11. 現在進行形で貴重な資料が残る 第三者による報告書が3種類 機構自体の第三者報告書 厚生労働省の報告書 内閣官房サイバーセキュリティセンター （NISC）の報告書 民間からも「教訓と対策」が多く出る カルペルスキー社 マクニカ社 LAC社（具体的な対策がある）
- 12. 2011年頃から我が国において 重要機関における事故が続く 2011年9月 三菱重工へのサイバー攻撃 防衛関連機密が狙われたとみられる 2011年10～11月 衆参両院へのサイバー攻撃 標的型メール攻撃を用いてサーバに侵入 議員のメールが盗み見されるなどの被害 2012年1月 JAXAでウィルス感染発覚 NASA関連技術を含む重要機密が漏洩 2012年7月 財務省でウィルス感染発覚 過去2年にわたって継続的に情報漏えい？ 2013年1月 農水省へのサイバー攻撃 内部文書124点（うち機密性2が85点）流出 TPP交渉に関わる記録など漏洩 2014年は（あまり報道されなかったが） ほぼ常時政府機関でのインシデントがある状態
- 17. 問題の所在はどこか ITが戦略に「正しく」組み込まれていない ITの業務への使われ方が本質的でない ワープロを清書ツール、Excelをそろばんの代替 メールを郵便の代替として使っている 本質は業務における「データフロー」の最適化 それが整理されないので情報管理ができず リスクポイントばかりが増えてゆく まずは業務をITに合わせ見直し効率化 それがリスクの所在を顕在化させ 効率のよい守りに繋がってゆく
- 19. 何をするべきなのか 時代に合わせ業務を見直しながら 「堅牢で効率的なシステムを作ること」 敵に先んじるために 「あらかじめ情報を集めること」 それでも事故は起きるため 「被害が拡大する前に発見する体制を整備」 起きてしまった事故に対し 「速やかに適切に対応すること」 最後はヒトの問題になる 「責任ある体制を整えること」
- 20. まずは入り口を固める 「IDS/IPS（侵入検知/防御）」 「次世代ファイアウォール」は 使いこなせなければ効果は薄い 多くの攻撃は「メール」と「Web」が入口 電子メールと業務の関係の見直し 外部Webアクセスと業務との関係の見直し 両者が必要なら、それをPCで行う限り マルウェア感染は前提にしなくてはならない 次に狙われるのがデータの流入経路
- 21. 「入れないようにする」のは困難 多層防御 多段階防御はもう常識 入口対策＋出口対策＋「真ん中対策」 攻撃の各段階で可能な限り 攻撃者の手を縛る「意地悪セキュリティ」 初期侵入から目的達成までは 時間がかかっているはず 時間を稼げる対策をして その間に発見することを期待
- 23. IPA高度標的型攻撃対策 ポイント 「次世代ファイアウォール」やIDS/IPS、 「サンドボックス」などの入口対策に 期待しない ひたすら内部を「複雑」にして 侵入した敵（マルウェア）が 目的達成しようとあれこれ「不審な」 動きをするのを捕らえる ファイアウォールやProxyのログを徹底活用 特に「内部から外部」への参照ログを活用
- 27. IPA「内部不正防止ガイドライン」 「情報の管理」 格付け 所在の確認 管理者の任命と委任 監視体制の構築 人的にも技術的にも 内部通報制度の 確立など
- 28. インシデントレスポンスは どうあるべきか 組織内体制の整備（CSIRT）が必要 シーサート（CSIRT: Computer Security Incident Response Team）とは、コンピュータセキュリ ティにかかるインシデントに対処するための組織 の総称です。インシデント関連情報、脆弱性情報、 攻撃予兆情報を常に収集、分析し、対応方針や手 順の策定などの活動をします。（日本シーサート 協議会HPより） IRは技術だけでは不十分 システム停止などの対処は業務インパクト大 現場だけでは判断が出来ない 法的対応には法務部門等とのリンクが不可欠
- 30. システム設計における 「フォレンジック的思考のススメ」 デジタル・フォレンジックとは？ Forensic:Websterによると・・・ the application of scientific knowledge to legal problems; especially : scientific analysis of physical evidence (as from a crime scene) 例：Forensic Medicine : 「法医学」 事故や不正発生時に、関連した情報システムから、 事故・不正の『証拠』を集めて分析し、 法的問題の解決に役立てるための一連の技術や手法 世間ではしばしば「法的問題に役立てる」が無視される システムを「フォレンジック対応」で設計運用 ＝ユーザの操作履歴を記録して事故発生に備える 外部攻撃でも内部犯行でも「履歴（ログ）取得と保全」が なされていないと事後対応が困難になるが、真正性は？
- 33. 初期対応のあり方の例として 「証拠保全ガイドライン」 デジタル・フォレンジック 研究会 技術分科会WG編 事故発生時にどのように 「現状保全」するか
- 34. セキュリティのカナメ： 大学の情報セキュリティポリシー H12年7月政府の「情報セキュリティポリシー に関するガイドライン」で大枠が決定 H14年3月「大学における情報セキュリティポリ シーの考え方」 H17年12月「政府機関の情報セキュリティ対策 のための統一基準」を受けてサンプルが作ら れる H19年2月「高等教育機関の情報セキュリティ対策 のためのサンプル規程集」 その後、政府機関統一基準は改訂を繰り返す 「高等教育機関の～サンプル規程集」も追随
- 36. 大学での情報セキュリティーポリシーは 機能しているか 政府統一基準はほぼ毎年変更 サンプル規定集は少し遅れて変更 各大学のレベルではどうか PDCAが機能するためには組織にメスが必要 国公立に比べて私学は…？ そもそも大学はより 「セキュア」になったか？ 変化する外的要因に対し リスクの見直しは出来ているか？？？
- 37. かつてのリスク要因 「踏み台」 サーバ乗っ取り →他への攻撃 SPAMばらまき Bot植え付け 学生の「悪さ」 著作権違反事案など 「個人情報漏洩」 多くは事故 （紛失＆盗難） 被害実態はとにかく 報道＆世論は 漏洩件数に敏感 →ブランド毀損を 避けるために 対策が必要 結局、あまり直接的被害ではなかった…
- 38. 今はサイバー犯罪は「金になる」 2013年「リスト型アカウント攻撃」の急増 ネットバンキング等を狙った不正送金激増 2012年 64件 4800万円 2013年 1315件 14億円 2014年 1876件 29億円 特に法人向け口座が狙われる マルウェアの高度化 詐欺手口の多様化 SNSアカウント乗っ取りによる詐欺など
- 39. いま大学が本当に恐れるべきは… 「サイバー諜報」 不正アクセスや マルウェアを きっかけにした 高度な諜報戦 攻撃の高度化により 従来の対策では 検知が困難に 「内部犯罪」 業務の電算化が進み 効率化と引き替えに リスクは高まる 定員外職員の増加 アウトソーシング増加 ロイヤリティに頼った 人的セキュリティは無理 どんな情報でも換金出来る時代になり 潜在的脅威は高まっているはず…？
- 43. ITリスクの特殊性 ITが生む利便性は比較的見えやすいが 同時に持ち込むリスクはなかなか見えない 運用コストや情報セキュリティ上の危機の見えにくさ ITは複雑な技術：評価が難しい たとえ利便性が見えても、必要性や費用対効果の即断は困難 ITによるインシデントは発生確率が 外的要因に激しく左右される 脆弱性の発見、攻撃法の流行、見えない「攻撃者の意思」 攻撃力は「資金」や「マンパワー」ではなく 純粋に「技術」で決まる ITでは「生産者責任」がなかなか取られない歴史的経緯 いくらバグを出しても免責されるソフトウェア会社 43
- 44. 経営層やシステム管理者に 求められる常識・・・ ITによる効率化は危機も呼び込むことになる 業者はリスクには責任を負わない・負えない →事故発生時の被害は経営層が評価すべき →業務単位のリスク評価は経営層の責任 リスク対策の勘所は「運用現場」にこそ見えている →細部のリスク対策は現場から上に上げるべき →システム担当者はシステムを常に把握せよ 丸投げ厳禁！ 事故の発生確率は0にできない だからこそ事故の 予防策だけではなく 事後対策も重要 44
- 46. トップダウンのメリット 重要な情報（機密）の保護にはコストがかかる リソースの配分に権限がある人は 細部のどこに重要な「情報」があるか 理解が及ばない 一方、重要な「業務」は把握しやすい リスクも想像が及びやすい 決定の迅速化、対策のメリハリ 但し適切なリソース配分には 結局細部のリスク評価が欠かせないことに注意 それを現場から「リスク対策案」とともに吸い上げる
- 47. 役割分担 CISO:権限を与え、対策を指示し、責任を負う 緊急時の分限の範囲は予め決めておくべき システム管理者は普段からCISOと仲良く♪ 信頼関係が必要 予算が必要な場合「お願い」も必要 必要に応じてCISOを普段から「教育」しておく 渉外担当：情報を一元化 勝手にそれぞれが応対すると混乱を招く （特にマスコミ相手） 情報公開が遅れても批判の矢面 だから専従は必須 ただし独断で動いてはいけない システム担当 実際のトラブルシューター 必要に応じてCISOや渉外に情報をあげる
- 48. おわりに ITに関するトップの無理解が 潜在的脅威を膨らませる 業務効率化とセキュリティは 決して相反しない！ 一番なおざりなのは業務の効率的IT化 セキュリティ対策の重点は事前の予防より 事後の早期発見と拡大防止に移っている そのためにも今から意識改革を
- 49. 必要なリソース IPAがいくつもよい資料を作っています https://www.ipa.go.jp/security/vuln/newattac k.html インシデントレスポンスについては 米国NIST SP800-61をIPAが日本語訳 https://www.ipa.go.jp/security/publications/nis t/ デジタルフォレンジック研究会が 証拠保全についてガイドライン http://www.digitalforensic.jp/ ただしこれはかなりシビアな（外部の専門家によ る調査が入るような）状況が想定されている
- 50. 攻撃に関しては年金機構に関する 各種報道が貴重な資料 日経コンピュータ：ラッコの眼 ～サイバーセキュリティ最前線～ 「標的型攻撃 対策指南書」を読み解く LAC取締役西本逸郎氏による LAC対策指南書解説 日経コンピュータ：マイナンバー前夜、 自治体を襲うサイバー攻撃 長野県上田市の標的型攻撃メール事案 大変参考になる