情報セキュリティ A/B (2019) Information Security

この授業では，大学の eラーニングシステム YeStudy を使って出席を確認したり，講師からの連絡をしたりします．スマフォに gmail アプリをインストールしておく（または携帯などに gmail 画面右上のギアからメールの転送設定をしておく）ことを強く奨めます．

質問は YeStudy の Q&A で受け付けます．ただし，試験直前に多数の質問がきた場合，応答できない可能性があります．オフィスアワー以外の時間に会って質問したい学生諸君は，まずメールなどで予約してください．（講師の時間割）

授業で用いる資料と概説

予習として各項目を眺め，到達目標を読んでおくことを勧めます（{回数} は今年度，{回数'} は前年度，{回数''} は前々年度の授業進度例です）．欠席した場合にも，リンク先を読めば補えるでしょう．ただし，文章量が多いので，試験直前に全部を読むのは無理でしょう．授業中に，どこが重要か，どこに誤りがあるかを話します．

参照先の方々に：利用させていただきありがとうございます．皆で似たような教材を作らず互いに利用しようというのが，教材についての私のポリシーです．私は，Wikipedia に書くことなどで貢献しているつもりです．私が作った教材でお役に立つものがあれば，自由にリンクなさってください．

Wikipedia 参照の適切性：下記のリンク先には次第に Wikipedia の記事が多くなってきています．授業における Wikipedia 利用の適切性を Wikipedia 上に書きました．

情報セキュリティ A

シラバス A， KONECO

この色の枠の部分の講義は簡単にしますが，試験範囲には入ります．きちんと自習してください．

0. ガイダンス

0.0 履修順序（戦略デザインコース）

0.1 自己紹介 ♪；　この Web ページへのたどり着き方

0.2 過去の授業評価，知識の増加量，サンプル問題.pdf, 持込み

0.3 情報セキュリティ A の目標

0.4 参考書

0.5 情報セキュリティマネジメント試験, 試験区分, 過去問題

0.6 シラバスの説明，成績評価の方法

0.7 成績発表の方法，抜き打ちテスト

0.8 事前知識アンケート → YeStudy {1''}

0.9 昼食後に眠くならないようにするには {1} {1'}

到達目標：サンプル問題を見たことがあり，似た問題が出ることを知っている．情報処理技術者試験のどの分野の問題を参考にすればよいかを知っている．授業の進行の概要と，成績評価の方法を知っている．駒澤大学の学生データに対する教員の参照可能性を知っている．

1. 情報セキュリティリテラシー +

1.1 最近の話題となった事件

1.2 簡単！やさしいセキュリティ教室 ~~（問題 4～6）~~

到達目標：電子署名法があることを知っている．信頼できるメールの確認方法を知っている．電子署名つきメールの確認要件３点が言える．ブラウザに鍵マークが現れた状態が何かを知っている．SSL/TLS の用途を知っている．信頼できない Web ページの見分け方を知っている．フィッシングが説明できる．スパイウェアの挙動と感染経路を知っている．

1.3 事例と対策

1.3.1 ランサムウェア（身代金要求）の流行

1.3.2 システム障害

1.3.3 情報の漏洩と紛失

1.3.4 国家間のサイバー戦争

1.3.5 その他

1.3.* YeStudy のフォーラムでの議論（反転授業） {3} {3'} {4''}

1.4 参考となる授業

到達目標：個人情報漏洩事件・事故の例を見たことがあり，頻度の概数を知っている．個人情報漏洩事件・事故の主要な原因を知っている． DDoS 攻撃の概要を知っている．

2. 情報セキュリティ

2.0 情報の資産価値：情報の資産.pdf（p.34 まで）

2.1 セキュリティ

2.2 情報セキュリティの定義と用語

2.3 機密性と可用性のトレードオフ

到達目標：情報は資産の一つであり，資産価値があることを知っている．情報資産の例をいくつか挙げることができる．リスク，脆弱性，脅威，インシデント，対抗策の定義を述べ，例を挙げて説明できる．情報セキュリティの３要素を挙げ，その内容が説明できる． DDoS 攻撃の概要が説明できる．ボットウイルスの概要を知っている．電子メールの脆弱性を知っている．機密性と可用性のトレードオフを知っている． CAPTCHA の使用目的を知っている．

2.4 パスワードへの攻撃

2.5 Web サイトへの攻撃

2.6 リスク管理

2.7 歴史 -：孫子 +, 国際規格化

2.8 脆弱性の公開 …… 公開か／非公開か

到達目標：パスワードに対する攻撃手法の概要を知っている．リスク管理の流れが説明できる．リスク管理の要素の概要が説明できる．リスク対応の４方針が説明できる．情報管理の４手法を知っている．世界と日本の情報セキュリティの歴史の概略を知っている．脆弱性の公開についての経緯と現在の主流を知っている．

3. 危機管理における情報セキュリティ → 詳細は別ページ

3.1 速報（可用性と完全性）の重要性

3.2 危機管理

危機管理の３段階：　予防・準備 → 応急 → 復旧・復興
危機状態では，拙速は巧遅に勝る．タイミング！
ヘリコプターの利用（ロンドンの救急ヘリコプター）
9.11 での危機管理（閉ざされた非常口）
危機状態で，組織的な行動をするための要点：異なる組織間の連携 +
即断・即実行するための要点：下位への権限の委譲
現場指揮システム： ICS (Incident Command System) +

3.3 個人の応急

準備：　実践的な，非常用枕元＋携行＋備蓄品 {9}

3.4 駒澤大学での応急

緊急連絡先（正門守衛室）： 03-3418-9021

災害時用シャベル 7 本は，~~警備室脇の駐車場の奥にある“防災”と書かれたプレハブ倉庫~~ 本部棟地下にあります．（学校での災害時のトイレ対策, 駒沢公園の非常用トイレ +） {7'} {9''}

到達目標：危機発生時における速報の重要性を知っている．冠婚葬祭の中で日頃の準備が必要なものを知っている．危機発生時における速報の重要性を知っている．危機管理の３段階が説明できる．危機状態における即断・即実行の重要性を知っている．また，そのための要点が言える．危機状態において組織的な行動をするための要点が言える．非常用の枕元と携行の備品が説明できる．

4. 組織の取組み

4.1 国の取組み

4.2 民間の取組み

4.3 各企業（組織）の取組み

4.4 国際規格 {8'} + +： ISO/IEC 27000 シリーズ

到達目標：国と民間の情報セキュリティに取り組んでいる組織の概要を知っている．情報セキュリティインシデントが発生したときの届け先を知っている．プライバシーマークの意味と，その取得のしかたを知っている．情報セキュリティマネジメントシステム (ISMS) の存在と，適合性評価制度のしくみを知っている．日付の表記の国際規格を知っている．国際標準化機構が発行した ISO/IEC 27000 シリーズを知っている．

5. プライバシー

5.0 盗聴： Street View

5.1 情報漏洩の現状：情報流出, 一覧,

5.2 法制化の起源： OECD プライバシー8原則（原文）, 個人情報

{11} {11''}

5.3 個人情報保護法 + ＜ EU-US プライバシーシールド + ＜ EU 指令 {9'} [5. ノート].pdf
個人情報保護法の詳細については，情報セキュリティ B で講義する．

5.4 個人情報の管理

5.5 個人情報保護マネジメントシステム (PMS)

到達目標： “積極的プライバシー権”の定義が説明できる．情報漏洩事件・事故の多さを知っている． OECD のプライバシー 8 原則について，知見がある．個人情報保護法における“個人情報”の定義が説明できる．個人情報保護法と EU 指令の厳しさの違いを知っている．個人情報の所有者，提供者，利用者の違いを知っている．オプトアウト，オプトインについて，説明できる．個人情報保護マネジメントシステムと，JIS Q 15001，プライバシーマークの関係について説明できる．

6. 情報セキュリティポリシー (policy)

6.1 最高情報セキュリティ責任者 (CISO), CIO, CSO

6.2 情報セキュリティポリシー（基本方針，対策基準），実施手順 {12} {10'}

6.3 事業継続計画 (BCP) からの要請

6.4 社会的責任 (SR) からの要請

到達目標： CISO が果たす役割が説明できる．情報セキュリティポリシーの構成と内容が説明できる．

ここは難しいので，注意して聴いてください（独習は困難でしょう）．

7. 情報セキュリティマネジメントシステム (ISMS) + ++ {13''}

概要.pdf（付録２, p. 91）：

P 確立（図付2.2） → D 導入・運用（図付2.6） → C 監視・レビュー（図付2.7） → A 維持・改善（図付2.8） → PDCA... {11'}

国際的な ISMS の認証基準

(1) ISO/IEC 27001 "Information security management systems — Requirements"

(2) ISO/IEC 27002 "Code of practice for information security management"

日本での ISMS の認証基準　日本産業規格 ↓（翻訳）

(1') JIS Q 27001 “情報セキュリティマネジメントシステム ― 要求事項” （規格票）

(2') JIS Q 27002 “情報セキュリティマネジメントの実践のための規範” （規格票）

(*) 用語 “力量 (competence)”：　意図した結果を達成するために，知識及び技能を適用する能力．(JIS Q 27000, 2.11) {13}

(3') JIS Q 13335-1 “情報通信技術セキュリティのマネジメント ― 第1部：情報通信技術のセキュリティマネジメントのための概念及びモデル”

(4') JIS X 5070-1 “セキュリティ技術 ― 情報技術セキュリティの評価基準”

到達目標：情報セキュリティマネジメントシステムの概要が説明できる． PDCA の各過程で具体的に何をすべきかを知っている．各組織の ISMS と JIS Q 27001 との関係が説明できる．

8. 情報セキュリティ監査

8.2 情報セキュリティ監査：制度, 監査人

8.3 コンピュータ・フォレンシクス + (forensics +) {14}

到達目標：監査証拠と監査証跡について説明できる．コンピュータ・フォレンシクスの概要が説明できる．ログ取得の三つの目的が説明できる．文書と記録，バックアップとアーカイブの差が説明できる．

9. 情報セキュリティガバナンス

9.1 実際の組織の取組み

9.2 情報セキュリティガバナンス：情報セキュリティ報告書 F, R.pdf, 10

~~9.* ITサービスマネジメント： ITIL → ISO/IEC 20000 +~~

到達目標：情報セキュリティガバナンスの定義を知っている．情報セキュリティ報告書の作成が推奨されていることを知っている．情報セキュリティ報告書モデルの存在を知っている．情報セキュリティ報告書を見たことがある．

10. 情報セキュリティ文化

10.1 従業者教育の必要性.pdf PPT.ppt：現状 (標的型メール訓練)

10.2 情報倫理：著作権侵害事件 +

10.3 事後知識アンケート → YeStudy {13'} {15''} → 結果

到達目標：用語“情報セキュリティ文化”を知っている．用語“従業者”が説明できる．従業者教育の重要性を知っている．情報倫理の重要性を知っている．

β. 符号

β.1 符号：データコード

β.2 文字符号： ASCII → ISO 646 → JIS X 0201，
JIS漢字符号（日本における漢字），国際符号化文字集合 (UCS)

β.3 不等長符号 +：モールス符号，Ｇコード

β.4 誤り耐性：検査数字 (チェックディジット＝CD, ISBN)，

到達目標： ASCII, ISO 646, JIS X 0201 の関係と差異を知っている． JIS X 0208 と UNICODE, UCS との関係を知っている．不等長符号があることを知っていて，例が挙げられる．チェックディジットの概要が説明できる．誤り検出符号と誤り訂正符号の概要が説明できる．

事後知識アンケート {15} {14'} {14''} → 結果

後記

成績発表

情報セキュリティ B → 今日の授業 YeStudy（情セ B）

シラバス B， KONECO

この色の枠の部分の講義は簡単にしますが，試験範囲には入ります．きちんと自習してください．

B0. ガイダンス

B0.0 履修順序（戦略デザインコース）

B0.1 自己紹介；この Web ページへのたどり着き方

B0.2 過去の授業評価，知識の増加量，サンプル問題.pdf, 持込み

B0.3 情報セキュリティマネジメント試験, 過去問題

B0.4 シラバスの説明（成績評価の方法），参考図書の紹介

B0.5 成績発表の方法，抜き打ちテスト ♪ {1''}

B0.6 暗号技術の重要性（電子投票，電子署名法）

B0.7 事前知識アンケート → YeStudy

2.3 機密性と可用性のトレードオフ（復習）

2.6 リスク管理（復習）

到達目標：授業の進行の概要と，成績評価の方法を知っている．

11. 法律による保護

11.0 条文の読み方：及び・並びに／又は・若しくは, +
法律におけるＩＴ用語（後半）／（前半）

11.1 情報セキュリティに関する国内法規（総覧）, 未遂

11.2 刑法（全文）抜粋（解説）

11.3 不正アクセス禁止法

11.4 個人情報保護法改正部分.pdf

11.5 著作権法（全文, 学校での複製, 保護期間 +）, 問題 + {3}

11.6 サイバーセキュリティ基本法

11.7 その他関連する主な法律（電波法など＋事例）

到達目標：公用文において“及び・並びに／又は・若しくは”の使い分けがあることを知っている．情報セキュリティに関連する 4 つの法規の名称を示すことができ，それらの概要が説明でき，簡単な事例の違法性が判断できる．それら以外の法律を 2 つ以上挙げることができる．日本における著作権の保護期間を具体例を用いて正確に示すことができる． OSS のライセンス方式と内容について，基本的な事項（共通部分＋α）を理解している．

12. アクセス制御（access, 物理的，コンピュータ，ネットワーク）

12.1 物理的：警備員，ID カード, 虹彩認識 + -

12.2 アクセス制御行列（アクセス制御リスト, +, パーミッション -）

どの能動体 (subject) から，どの受動体 (object) への，
どのアクセス（読み／書き／実行）が許可されているか．+

ファイル属性の変更の実習（FFFTP による）．
　　

実習用ページ {4} {4'} {4''}

12.3 アクセス制御の代表的な 3 方式（任意，強制，ロールベース） ♪ + +

到達目標：物理的なアクセス制御方式の代表例を知っている．アクセス制御行列の概念が説明できる．アクセス制御リストの方式と機能が説明できる．用語“ファイルパーミッション”を知っている．アクセス制御の 3 方式（任意，強制，ロールベース）が説明できる．

13. 暗号 - 概要

量子コンピューターの開発に成功！ + + + (Google, 2019-10-23), +.

13.0 情報機関 (intelligence)： HUMINT / SIGINT (Echelon, PRISM)
米 NSA が各国首相や一般市民の通信を盗聴 + （スノーデンによる暴露 + ++ +++） {5'}

アフガニスタンで銃撃され中村哲医師死亡 ☆ + +

13.1 暗号の価値：解読事実の秘匿 {6''}

13.2 暗号とは：暗号理論，暗号系と用語（クリプトン） {6}

到達目標：世界の諜報機関の現状の概要を知っている．暗号の定義を知っている．暗号系の基本的な用語が説明できる．暗号解読の 3 段階の状況が説明できる．暗号解読の成功を秘匿した例をいくつか知っている．暗号技術を使って実現できることが 3 つ以上，例を挙げて説明できる．

13.3 共通鍵暗号

到達目標：共通鍵暗号系の概念が説明できる．単換え字式暗号が，例を挙げて説明できる．多表式暗号を知っている．転置式暗号が，例を挙げて説明できる．具体的な古典的暗号を，(1)単換え字式暗号，(2)多表式暗号，(3)転置式暗号に分類することができる． (1) と (3) とブロック暗号に属する各暗号方式の鍵の総数が示せる． (1), (2), (3) の暗号化と復号のしかた，および解読のしかたを知っている．解読不可能な暗号が，例を挙げて説明できる．ブロック暗号の利用モードのうち，ECB, CBC, OFB を知っている． AES の外部仕様（データと鍵のビット数）が説明できる．

13.4 公開鍵暗号

13.5 一方向性関数 {13} {12''}

13.6 量子暗号 + 量子情報

到達目標：公開鍵暗号系の概念が説明できる．剰余演算での加算と乗算と累乗ができる． RSA 方式の概要が説明できる．公開鍵認証系の概念が説明でき，何が実現できるかが示せる．秘匿と認証において，誰のどの鍵を使うかが区別できる．署名つきの暗号文の作り方を知っている．暗号技術を使ってできることの例をいくつか知っている．ハッシュ関数の概要を知っている．一方向性関数の概念を知っている．量子暗号を知っている．

14. 暗号プロトコル

14.1 チャレンジ応答プロトコル {14''}

14.2 電子マネー ⊃ 暗号通貨 ∋ ビットコイン + {13'}

14.3 SSL/TLS

到達目標：暗号プロトコルのいくつかを知っている．チャレンジ応答プロトコルの目的と概要を知っている．電子マネーの概要を知っている． TLS の概要を知っている．

15. 情報セキュリティ基盤

15.1 公開鍵基盤 (PKI), 認証局 (CA), +

15.2 情報セキュリティ・サービス {15''}

到達目標：公開鍵基盤の概要を知っている．認証局の機能が説明できる．情報セキュリティ・サービスのいくつかを知っている．

16. 情報セキュリティ評価基準 (Common Criteria)

16.1 JIS X 5070-1 (ISO/IEC 15408-1) “セキュリティ技術 ― 情報技術セキュリティの評価基準”

16.2 認証製品リスト +

到達目標：情報セキュリティ評価基準の概要を知っている． Common Criteria という単語を憶えている．

17. 符号

17.1 符号：データコード

17.2 文字符号： ASCII → ISO 646 → JIS X 0201，
JIS漢字符号（日本における漢字），国際符号化文字集合 (UCS)

17.3 不等長符号：モールス符号，Ｇコード

17.4 誤り耐性：検査数字 (チェックディジット＝CD, ISBN)，

用語 + ：		リスク	脆弱性	脅威	インシデント	対抗策
例	住宅	火災	可燃物質	タバコ +	昨晩の火事	難燃物質, 禁煙
例	情報	漏洩	運搬	置き忘れ	先日の漏洩未遂	暗号化, 禁帯出

対象	管理システム	認証基準	認定機関	使用許諾
プライバシー	PMS	JIS Q 15001	JIPDEC	P マーク
情報セキュリティ	ISMS	ISO/IEC 27001 (＝ JIS Q 27001)	ISMS-AC	IMS 認定シンボル

		判　　　定		備　　　考
		受入	拒否	備　　　考
被験者	本人	○	本人拒否率（第１種の誤り）	本人拒否率＝ FRR (False Rejection Rate)
被験者	他人	他人受入率（第２種の誤り）	○	他人受入率 + ＝ FAR (False Acceptance Rate)

	ひとつ戻る
	西村和夫のページに戻る
2018	昨年度のページ

2019 年度に使ったページ

情報セキュリティ A/B YeStudy（情セ B）

授業で用いる資料と概説