――学内のセキュリティ教育はどのように行っていますか。
OU-CSIRT発足後は、学内で研修教材を内製し、教職員や新入生に対する研修を必須で実施しています。学生は期限までに研修を受けないと学内のWi-Fiに一定期間接続できなくなるなど、必ず受講させる仕組みにしています。内容はそのときの被害トレンドなども踏まえてアップデートしています。
何か起きたら24時間365日、いつでも報告してほしいという点は、全教職員、全学生に対しても研修を通じて伝えています。定期的に標的型メール攻撃の訓練もやっていますが、怪しいURLを踏んでしまうことよりも、踏んでしまった後に報告できるかどうかが重要だと思っています。
――学内で利用する外部のITツールやサービスに対する規定はありますか。
原則としてISMS認証を取得していることを基本要件としています。研究上どうしてもそれ以外のツールが必要な場合は例外として扱いますが、必ず申請してもらい、セキュリティチームが利用可否を個別に審査・判断する仕組みを設けています。
大学CISOでは珍しい｢一教員の兼務｣
――企業のCISOは役員待遇となるケースが多いですが、大学でも教授との兼務は珍しいのではないでしょうか。
多くの大学も理事や副学長がCISOを担うので、一教員の兼務はレアだと思います。教育・研究の仕事がある中、CISO業務は3割程度の形で兼務しており、国立大学は予算も決まっていますので、通常の教員とまったく同じ給与です。
自分が所属する組織が好きで守りたいからこの業務にあたっています。言いたいことも遠慮せず言わせてもらえていますし、企業のCISOよりもやりやすいのではないでしょうか。
――セキュリティの教育者・研究者であることは、CISO業務にどう生きていますか。
教育者・研究者としての仕事は、学生の将来を見据えて「まだ解決されていない新しいテーマ」を一緒に探究することです。一方、CISOの仕事は事故が起きれば必ず誰かが被害を受ける厳しい業務。本学は病院もあるので、何かあれば人の命に関わりますし、休日もすぐに対応できるよう常に緊張感を持って備えなければなりません。
研究者は日常的に最新の技術動向や脅威情報に触れているので、企業の担当者が業務として情報収集するのとは違い、自然と知識が更新されていきます。また、CISOとしての実務経験があるからこそ、学生に対してリアルな現実を伝えることができます。そう考えると、方向性はまったく異なりますが、双方の実務が補い合っている部分があると言えます。
