大阪大学"異色のCISO"は｢セキュリティ専門の現役教授｣､数々のインシデント調査も関わり確信する｢日頃の準備｣の重要性

――17年のインシデントでは、教職員や学生、一部の学外関係者の個人情報が約8万件漏洩しました。大学ならではの課題をどう捉えていらっしゃいますか。

大学は教職員や学生がたくさんいるのでいわば“個人情報の宝庫”ですが、企業に比べ、企業でいう部署数が膨大であることからも、管理がすべて見通せておらず運用が疎かだったことは否めません。それでも何とか問題なくやれてきたのですが、とうとう事故を起こしてしまったのです。

また、大学は企業との共同研究を通じて、遺伝子ゲノム情報など非常に高度な研究データを扱っています。17年の事故では幸い、こうした知的財産に関する情報は守られましたが、もし漏洩すれば被害は大学内にとどまりません。共同研究先に甚大な損害を与え、裁判沙汰になるリスクもはらんでいます。

事故によって本学もようやくその重要性に気付き、とくにオンライン化が進んだコロナ禍頃以降は加速度的にセキュリティ対策が強化されていきました。

猪俣敦夫（いのまた・あつお）／大阪大学D3センターCISO・教授・情報セキュリティ本部長。博士（情報科学）。2008年奈良先端科学技術大学院大学准教授、16年東京電機大学教授、19年より現職。一般社団法人公衆無線LAN認証機構代表理事、一般社団法人JPCERT/CC理事、一般社団法人大学ICT推進協議会理事、一般社団法人ライフデータイニシアティブ理事なども務め、教育・研究のかたわらサイバーセキュリティの若手人材育成に取り組む。省庁・自治体をはじめ、ベネッセHD、カプコン、阪急阪神HD、NTT西日本など企業・組織におけるセキュリティ支援も多数（写真：本人提供）

｢何かあったら早く報告を｣の徹底

――現在のセキュリティチーム「OU-CSIRT」はどのような体制ですか。

教員と技術系職員など8名ほどで構成されています。特定の部局にメンバーが集中すると、学内全体を見渡す視点が欠けてしまいますので、各部局でネットワークに詳しい人などを推薦する形を取っています。全員、本来の業務と兼務です。

事故後は対応・報告ルートなどを明確に定めました。また、メンバーには何かあったら些細なことも含めてとにかく早く連絡をくれと言っています。迅速な情報共有があれば、関係各所に連絡できますし、ケースによっては警察とも連携できます。初動が大事だと常々伝えています。