平成28年度講習会資料

平成28年度
情報セキュリティ講習会
http://www.fir.riec.tohoku.ac.jp/
1.情報システムの利用にあたって
2.電子メールのセキュリティ対策
3.情報機器を学外へ持ち出す際の注意点
4.非常時の対応
5.通研における情報サービス
1
1. 情報システムの利用にあたって
1.1 適切なパスワードの設定・取扱
• 使用するパソコンにはログインパスワードを設定する
– 空パスワードや、自動ログイン機能は使わない
• 強いパスワードを設定する
– 大文字、小文字、数字、記号を混ぜ、８桁以上推奨
– 良いパスワードの例：「26Jector」「Kei5ou10」「kaN502ii」
• 使用するシステムに応じパスワードを使い分ける
– 学内で使用しているパスワードを学外のサービス（Gmail, Yahoo, Twitter,
Facebook等）に使用しない
• パスワードをメモして放置しない
– どうしても忘れそうな人は、パスワードを思い出せるヒントだけをメモしておく
学内の過去の事例
• 学内メールと外部サービスで同じパスワードを設定していたところ、外部サービスか
らパスワードが漏れ、学内のメールサーバから大量のSPAMメールを発信された
• 当該メールサーバのIPアドレスがブラックリストに入り、他の利用者もメールが
送信できず、メールサーバのIPアドレスを変更せざるを得なくなった。
2
1.2 TAINS提供のセキュリティソフト
TAINSのWebページ http://www.tains.tohoku.ac.jp/ （必ず学内から）
セキュリティソフトの
インストール
学内の過去の事例
• 学生に研究データを入れ
るようUSBメモリを手渡し、
学生がデータを入れて返
却したUSBメモリを教員の
PCに差したところ、ウィル
スが検出された。教員の
PCへの感染は防止できた。
セキュリティ対策ソフトインストール後も、常に最新の状態に！
3
「情報システムの利用に関する総則」より
1.3 情報システム利用に関する禁止事項
• 個人情報やプライバシーを侵害する情報を発信しない
• 著作権等の財産権を侵害するデータを公開しない
• 法令若しくは学内規則に違反し、又は不法行為に当た
るおそれのある情報を発信しない
• ファイルの自動公衆送信機能を持ったP2Pソフトウェア
を使用しない
学内の過去の事例
• 個人的な利用のため、自分しかURLを知らない場所に電子書籍を保存していたとこ
ろ、数年後に行われたWebサーバの改修によりファイル一覧が取得できるようにな
り、上記の電子書籍が検索エンジンに載ってしまったことが、学外からの通報で発
覚した
個人情報：「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特
定の個人を識別することができるもの(他の情報と照合することができ、それにより特定の個人を識別するこ
とができることとなるものを含む。)をいう。」（国立大学法人東北大学個人情報保護規程より）
4
2. 電子メールのセキュリティ対策
• 誤送信の防止
– アドレス入力補助機能による誤入力に注意
• 一斉送信時の受信者メールアドレスの漏えいに注意
– 受信者にアドレスが見えてしまうTo: （宛先）やCc：（カーボン
コピー）を使わず、Bcc:（ブラインドカーボンコピー）を使う
• 秘匿性の高い添付ファイルは暗号化する
• USBメモリの郵送や手渡し等、メール以外の方法で
送信すべき案件ではないか検討する
5
2.1 秘匿性の高いデータを送る際は暗号化する
• アプリケーションソフトに内蔵された暗号化機能を利用
• ZIPファイル作成時にパスワードをかける
– Windows: Lhaplus, Frostice等
– MacOS: CleanArchiver, 標準zipコマンドの「-e」オプション等
１
１
２
３
Acrobatの場合（Adobe Readerでは不可）
２
MS-Officeの場合
6
2.2 迷惑メール対策
1. 迷惑メール学習機能が付いているメールソフトを使用する
•
Thunderbird（無料，各種OS版（Windows/Mac/Unix）有）
2. 通研メールサーバが付加するSPAM判定結果を利用
•
•
Thunderbirdの「迷惑メールヘッダを信用する」機能を利用
メールの自動振り分け機能を利用
SPAMファイアウォール
（Barracuda）
通研メールサーバ
（mail.riec.tohoku.ac.jp）
• 明らかな迷惑メールを削除
• 判定は緩め
• 迷惑メールの判定結果をメー
ルヘッダに付加
• 削除は行わない
スパムフィルタ
（SpamAssassin）
メールソフト
送信（SMTP）
受信
フォルダ
FIR
受信（IMAP，POP）
利用者ＰＣ
7
3. 情報機器を学外へ持ち出す際の注意点
（１）漏えい原因
（２）漏えい媒体・経路
（引用：日本ネットワークセキュリティ協会2012年情報セキュリティインシデントに関する調査報告書 2014年8月12日改訂）
8
「情報システム関連細則」より
3.1 要保護情報について
要保護情報
情報の漏えい、改ざん、紛失等により
利用者の権利が侵害され、又は本学の活動の遂行に
支障を及ぼすおそれがある情報
要保護情報に
該当する例
未実施の試験問題、
学生の成績表及び名簿、住所録
要保護情報に
イベント開催案内、既発表の論文、
該当しない例
音楽ファイル、映画ファイル、
（公開されている情報）ダウンロードしたファイル
情報：
①情報システム内部に記録された情報
②情報システム外部の電磁的記録媒体に記録された情報
③情報システムに関係がある書面に記載された情報
9
3.2 モバイルデバイスの安全な利用のために
１．セキュリティ対策ソフトを
イントールする
５．要保護情報を
含む端末のドライブ
を暗号化する
２．強いパスワード
をかける
３．他者に画面を見せない
（プライバシーフィルム
が有効）、操作させない
４．離席時に机に
放置しない
10
3.2 モバイルデバイスの安全な利用のために
モバイルPCのドライブの暗号化
OS
OS標準の暗号化ツール
利用できるOSのバージョン
Windows
BitLocker(デバイスの暗号化)
Windows8 以降の全エディション
Mac
FileVault2
MacOS X Lion以降
ドライブ全体を暗号化する意義
• 盗難にあった際、パスワードをかけていても、ハードディスクを
取り出して他のPCに繋げば、データは容易に読み出せます
• ドライブ全体を暗号化しておけば、ハードディスクを他のPCに接
続して読み出しても、データは解読できません
注意点
• 既に使用中のPCの場合、暗号化の前に必要なファイル、あるいはドライブ全
体を外付けディスク等にバックアップしておいて下さい
• 必ず回復キーを保管しておいてください（回復キーがあれば、パスワードを
忘れてもドライブの中身を復元できます）
11
3.2 モバイルデバイスの安全な利用のために
暗号化したドライブのパフォーマンス
Windows 10 （CPU: Intel® Core™ M-5 900MHz） USB3.0 転送ファイル6GB
暗号化なし
３３秒
暗号化あり
３３秒
USBメモリ → HDD
暗号化なし
４７秒
暗号化あり
４７秒
HDD → USBメモリ
Mac OS X El Capitan （CPU: Intel® Core™ i7 2.0GHz） USB3.0 転送ファイル6GB
暗号化なし
３１秒
暗号化あり
３１秒
USBメモリ → HDD
暗号化なし
４４秒
暗号化あり
４４秒
HDD → USBメモリ
12
4. 非常時の対応
研究室でインシデントの発生
学外からのクレーム、紛失・盗難、ウィルス感染等
原因の究明
再発防止策の実施
部局技術担当者（ＦＩＲ）へ報告
（内線）5079
E-mail: fir@riec.tohoku.ac.jp
情報部情報推進課情報
セキュリティ係へ届け出
E-mail: abuse@grp.tohoku.ac.jp
重大な違反や、非常事態
である場合
部局総括責任者（所長）
へ報告
重大な違反行為
である場合
全学総括責任者
（情報システム担当理事）
へ報告
インシデント：情報セキュリティに反して、意図的又は偶発的に生じた事故または事件をいう
13
5. 通研における情報サービス
• FIRのWebページ http://www.fir.riec.tohoku.ac.jp/
– 通研内における情報サービスの窓口
– 情報サービスの申請や、利用方法などを掲載
各種申請はこちらから
1.通研アカウント
パスワード変更
2.Webメール
3.通研セキュア
ウェブアクセス
4.今月の通研無線LAN
アクセスポイントKey
14
5.1 新サービス：FIR Cloud サービス
概要
1.ファイル同期
-指定フォルダを複数デバイスに同期することが可能
2.ファイル共有
-容量の大きいファイルの受け渡しが可能
3.ブラウザ経由でファイルにアクセス
-どこからでもファイルにアクセスが可能
4.通研内のサーバーでデータを保管
-外部サーバを利用しない為、中身の秘密が守られる
-１人当たり５０GBまで使用可能
FIRCloudサービス URL
マニュアル URL
https://fsa.fir.riec.tohoku.ac.jp/fircloud/
http://fir.riec.tohoku.ac.jp/fircloud
15
5.2 概要：FIR Cloud サービス
インターネット
データの
同期
学生
指定フォルダー内を
自動的に同期
FIRCloud
大容量データの
アップロード・ダウンロード
学内・外との
情報共有
教員
共同研究者
共同プロジェクトメン
バーとの情報共有
学内・外向け
一時提供
職員
学生
授業の資料を指定URLか
ら一括ダウンロード
学生
実験データをインターネット経由
でアップロード・ダウンロード
注意事項
– いつでもどこでもデータを取り出すことが可能になりますので、パスワードは、次の要
件を推奨します.
• 長さは 8 文字以上
• 次の文字のうち 3 つ以上を組合せる.
英大文字、英小文字、数字、記号 (句読点).
– パスワードの変更は、https://fsa.fir.riec.tohoku.ac.jp/chpw/ から変更可能
16

Download Report