福岡2016」のレポート前編をお届けする。叫ばれる情報セキュリティ人材不足の問題について、特に危機感を抱いているのが地方都市だ。大手を含むセキュリティ企業やIT企業が東京に集中する現在、貴重な若手人材や専門家の流出は、地方にとって深刻な課題の1つとなっている。企業や学生主催の勉強会・交流会なども、東京の方が盛んに行われているのが実情だ。SNS以外の交流やコミュニティー参加の機会が必然的に少ない地方の学生たちなどにとって、セキュリティ技術への関心を維持し学習を継続するのは簡単ではない。した課題を解消すべく発足されたのが、セキュリティ・キャンプ九州実施協議会だ。福岡」をきっかけに、九州ドメインの実施協議会が設置され、2014年からは同協議会が中心となってキャンプを運営している。福岡2016」を開催した。同イベントの初日には、一般向けの講座として、サイバーセキュリティ攻撃の現状や法制定の取り組み、セキュリティ人材や育成のヒントを中心に、有識者たちによる講演が行われた。本稿ではこの一般講座の様子をレポートしよう。初めに行われたのは、IPAセキュリティセンターの加賀谷伸一郎氏による講演「個人の身近に迫る情報セキュリティ脅威」だ。同氏は講演の中で、スマートフォンのITセキュリティ脅威に関する最新動向を紹介した。加賀谷氏は、スマートフォンなどに不正なアプリをダウンロードさせる「だましの手口」がますます巧妙化していると説明し、メールやSNSのメッセージなどを巧みに使って公式アプリストア以外のサイトへ誘導させる方法や、「ウイルスを検出した」というポップアップの表示や音声を流すことで偽ウイルス対策アプリをインストールさせ、有料機能の購入を促す手口などを解説。不正アプリを利用したスマートフォンの遠隔操作デモにより、カメラを勝手に使って盗撮を行ったり、電話をかけて周囲の音を盗聴したりできることを示した。した「だまし」への対策としては、「信頼できないアプリを安易にインストールせず、公式アプリストアを利用するように心掛けること」や、「アプリをインストールする前のアクセス許可の内容をしっかり確認すること」「スマホには画面ロックを掛けること」などが挙げられる。「IPAでは、『スマートフォンを安全に使用するための6か条』を公開している。参考にしてほしい」(加賀谷氏)。課長補佐の石見賢蔵氏が、経産省のサイバーセキュリティ対策の取り組みとして、「サイバーセキュリティ経営ガイドライン」と「IoTセキュリティガイドライン」を紹介した。サイバーセキュリティ経営ガイドラインは、セキュリティマインドを持った企業経営を推進し、サイバーセキュリティ人材の育成、組織能力の向上を進めることを目指したガイドラインだ。「個人情報や営業秘密の流出、インフラの供給停止など、サイバー攻撃のリスクは企業運営に関わります。経営者は企業戦略としてセキュリティへの投資を考えなければなりません」。Officer)などに指示すべき重要10項目(体制作りやPDCA策定、事後対策など)を含むガイドラインの概要を解説した(関連記事)。おける指針を定めた他、一般利用者のためのルールもまとめてある。安全なITの利活用のために、指針として活用してほしい」(石見氏)。セキュリティ人材育成の前に、「正しい情報管理ができる組織作り」を後半には、「セキュリティ人材育成」をテーマにした3つの講演が行われた。(ISC)2特別講師の河野省二氏が、セキュリティ人材育成において企業が陥りがちなポイントを解説した。「企業のITセキュリティは、個人の仕事ではなく組織の役割の1つ。それなのに、個人に必要とされる知識やスキルだけを考えているからうまくいかない」(河野氏)そう述べた河野氏は、まずはセキュリティの情報が正しくエスカレーションされ、把握できる組織作りと、セキュリティ対策を人間任せにしないIT基盤作りを行い、その上で組織におけるITセキュリティ人材の役割や仕事の在り方、評価方法などを考えるべきだと強調した。河野氏は、リスクがあるからといってクラウドやUSBの利用を禁止して業務効率や生産性を低下させたり、覚えられないほど長いパスワードの設定を義務付けたり、人力でインシデント情報の収集や管理を任せるCSIRTを作ったりするような、「従業員の判断に依存した組織運営」はいずれ機能しなくなると指摘。経営層や責任者が適切な判断を行えるような情報セキュリティ対策、運用を計画し、実施する必要があると訴えた。「ITが肩代わりできることは可能な限りITに任せて、人間は精査された情報を事業利益や業務効率化の観点に変換することに集中し、定期的にエスカレーションしながら学習と成長のPDCAを回す。続いて教育機関が取り組む人材育成について紹介したのは、講演「人材育成のためのサイバーセキュリティ教育」に登壇した九州大学サイバーセキュリティセンター長の岡村耕二氏だ。ネットワーク分野出身の岡村氏は、学生のいたずらからネットワークを守ってきたところ、セキュリティに相通じるものがあるとしてセキュリティ業務も任せられるようになったという。ところが、組織という枠組みの中で安定運用を目指し、ネットワーク機器の設定や仕様を相手にするネットワーク分野に対し、セキュリティは「攻撃者」という人間と対峙するものだ。問題が発生したときは社会的インパクトに発生する可能性が高く、法律や倫理を身につける必要があるなど、ネットワーク分野とは違ったチャレンジが存在する。「難しい領域だが、世間からセキュリティに対する注目が集まる現在、学生には積極的に挑戦してもらいたい分野だ」(同氏)。実際、九州大学ではITを利用する上で最低限知っておくべき知識を教える講座を2014年後期から基幹教育オープン科目として開講しているが、当初は38人だった履修者が2016年度の前期には220人が膨れ上がるなど、関心の高まりが見られるという。文系・理系に依存しない内容で構成する予定」と述べる岡村氏は、ITパスポート試験に合格する程度の基礎レベルの知識を身に付けてもらえるように取り組みを進めているとした。最後は、ラックの長谷川長一氏が「実践的情報セキュリティ人材のつくりかた」と題し、企業でセキュリティ人材を育成するための事例やヒントを語った。ある中でも予測し対応できるシナリオ思考、新たな技術や環境変化に対する継続的な適応力など、実践的な能力だ。これは知識と技術だけで賄えるものではなく、経験が必要となる」(長谷川氏)そう述べた長谷川氏は、経験を振り返って概念化し、行動に結び付ける「経験学習モデル」を繰り返すことで実践的スキルを得られると説明。Flag)」やチームでネットワーク障害の原因を特定して対応する自社コンテスト「ラックサバイバルチャレンジ」などの事例を紹介し、学習目標を設定して演習、評価につなげる教育モデルの重要性を伝えた。「ポイントは、心置きなく失敗できる環境を提供すること。欠点を見つけて修正するのではなく、長所を見つけて伸ばすこと。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。