info-security_casestudy-youryo.indd

(1)

文部科学省●

成長分野等における中核的専門人材養成の戦略的推進事業

情報セキュリティ

基礎

学習指導要領

(2)

目

次

第 1 章情報セキュリティ技術基礎

1-1 情報セキュリティ概論 ... 2 1-2 TCP/IPモデルとそのセキュリティ ... 3 1-3 ネットワークセキュリティ（1） ... 4 1-4 ネットワークセキュリティ（2） ... 5 1-5 ネットワークセキュリティ（3） ... 6

第 2 章情報セキュリティ上のリスク

2-1 ネットワークへの攻撃（1） ... 8 2-1 ネットワークへの攻撃（2） ... 9 2-1 ネットワークへの攻撃（3） ... 10 2-1 ネットワーク障害 ... 11

第 3 章情報セキュリティの運用、対策

3-1 情報セキュリティマネジメント ... 13 3-2 認証技術 ... 14 3-3 暗号の基本技術 ... 15 3-4 暗号の応用技術 ... 16 3-5 ネットワークセキュリティ対策 ... 17 3-6 セキュリティ運用技術 ... 18

(3)

第

1

_章

情報セキュリティ

技術基礎

(4)

情報セキュリティ技術基礎

1

情報セキュリティ上のリスク

2

情報セキュリティの運用、対策

3 1-1

指導のポイント

情報セキュリティ概論

履修目標情報セキュリティの基本的な概念や定義を理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。概念や定義は、このあとに出てくる知識や技術に共通する重要な要素です。説明する際は、単に読み上げるのではなく、どの技術にかかわってくるかなども説明しましょう。たとえば、「機密性」や「否認防止」は暗号、「完全性」はログ管理、「可用性」は事業継続計画、「責任追跡性（アカウンタビリティ）」は認証などの技術で説明するとわかりやすいでしょう。最新の定義に関しては、JIS Q 27000シリーズや一般財団法人日本情報経済社会推進協会（JIPDEC）のISMS 関連資料等を参照してください。 ISMS適合性評価制度・ISMS認証に関するガイド類～JIPDEC https://www.isms.jipdec.or.jp/std/index.html 「脅威」に関しては、IPAセキュリティセンターで公開されている「10大脅威」の最新版や最近起こった情報セキュリティインシデント事例などと併せて説明するとわかりやすいでしょう。 2016年版「10大脅威」～IPAセキュリティセンター https://www.ipa.go.jp/security/vuln/10threats2016.html

「脆弱性」に関しては、最近公開された脆弱性を「JVN（Japan Vulnerability Notes）」などの情報をもとに説明す

標準学習時間

(5)

1

2

3 1-2

TCP/IP モデルと

そのセキュリティ

履修目標ネットワーク技術の基本となるTCP/IPの基本的な機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ネットワークやTCP/IPの基本的な機能を丁寧に説明してください。詳細については、公開されているRFCなどを参考にしてください。インターネットセキュリティに関するRFCは、下記を参照してください。「インターネットセキュリティに関するRFC」～IPAセキュリティセンター https://www.ipa.go.jp/security/rfc/RFC.html 標準学習時間

(6)

1

2

3 1-3

ネットワークセキュリティ（1）

履修目標ネットワーク技術の基本となるTCP/IPの基本的な機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。単にプロトコルやサービスの説明をするだけではなく、ネットワークやクラウドコンピューティングでどのように使われるかを説明するようにしましょう。 標準学習時間

主なプロトコル（ARP、ICMP、HTTP、FTP、DNS、SMTP）の機能とリスク①

(7)

1

2

3 1-4

ネットワークセキュリティ（2）

履修目標ネットワークの主なプロトコルの基本的な機能について理解する（1-3と同様）。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。 1-3と同様に、単にプロトコルやサービスの説明をするだけではなく、ネットワークやクラウドコンピューティングでどのように使われるかを説明するようにしましょう。 標準学習時間

主なプロトコル（ARP、ICMP、HTTP、FTP、DNS、SMTP）の機能とリスク②

(8)

1

2

3 1-5

ネットワークセキュリティ（3）

履修目標主なネットワーク機器の基本的な機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ネットワーク機器の種類とその役割や機能を説明しましょう。ネットワーク機器の実物を見てもらったり、機器の写真などで見てもらったりすると、さらに理解を深めることができるでしょう。ネットワークやクラウドコンピューティングでどのように使われるかを説明するようにしましょう。 標準学習時間

主なネットワーク機器（HUB、スイッチ、ルータ、無線ネットワーク）の機能とリスク

(9)

第

2

_章

情報セキュリティ上の

リスク

(10)

1

2

3 2-1

ネットワークへの攻撃（1）

履修目標ネットワークに対する攻撃のプロセスと、それを行う攻撃者やその目的と動機について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ここでは、攻撃者の種類や目的と動機等を説明しています。最近実際に起こったサイバー攻撃やサイバー犯罪の事件などを取り上げ、それに当てはめて説明したり、逆に受講者に説明させたりしてみましょう。また、攻撃の手法やプロセスに関しては、決して悪用しないよう注意と倫理教育を行ってください。インターネットの倫理については、RFC 1087「倫理とインターネット」が一般的です。RFC 1087では、以下の5つの項目が非倫理的であり、許容できない行為であるとされています。 (a) インターネットの資源への認可されていないアクセスを得ようとすること (b) インターネットの意図された利用を混乱させること (c) そのような活動を通じて資源（人、能力およびコンピュータ）を無駄にすること (d) コンピュータベースの情報のインテグリティ（完全性）を破壊すること (e) ユーザのプライバシーを侵すこと日本語訳全文等の詳細は、下記を参照してください。

RFC 1087 ”Ethics and the Internet”（日本語訳「倫理とインターネット」） https://www.ipa.go.jp/security/rfc/RFC1087JA.html

標準学習時間

(11)

1

2

3 2-2

ネットワークへの攻撃（2）

履修目標ネットワークに対する攻撃のプロセスのうち、侵入や攻撃の具体的な手法について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。可能であれば、取り上げられているネットワークコマンドを使った実演デモや演習などをしてください。主なツールやサービスは、以下の通りです。 nmap https://nmap.org/ 「Whoisサービス」～株式会社日本レジストリサービス（JPRS） http://whois.jprs.jp/ Google詳細検索 https://www.google.co.jp/advanced_search 標準学習時間

情報収集・偵察行為（ポートスキャン、バナーチェック、Whois サービス、

Google ハッキング等）

(12)

1

2

3 2-3

ネットワークへの攻撃（3）

履修目標ネットワークに対する攻撃のプロセスのうち、侵入や攻撃の具体的な手法について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ここでも、2-1と同様に、最近実際に起こったサイバー攻撃やサイバー犯罪の事件などを取り上げ、それに当てはめて説明したり、逆に受講者に説明させたりしてみましょう。その事件をもとに、その原因や防止や検知の方法等を検討するとよいでしょう。 標準学習時間

侵入・攻撃（不正アクセス、DoS/DDoS、ウイルス、盗聴、なりすまし等）

(13)

1

2

3 2-4

ネットワーク障害

履修目標ネットワーク障害の主な種類や原因について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ここでは、最近実際に起こったネットワーク障害の事故などを取り上げ、それに当てはめて説明したり、逆に受講者に説明させたりしてみましょう。ネットワーク障害の事故は、身の回りに起こっていることも多いと思います。実際に、自分が体験したネットワーク障害の事故があれば、それを事例に説明をするとよいでしょう。または、受講者の中にネットワーク障害の事故を体験している人がいれば、説明してもらうのもいいでしょう。その事例をもとに、その原因の分析や障害の対応の方法や手順を検討してみましょう。 標準学習時間

主なネットワーク障害とその原因（設計ミス、設定ミス、運用ミス、H/W 障害、

S/W 障害等）

(14)

第

3

_章

情報セキュリティの

運用、対策

(15)

1

2

3 3-1

情報セキュリティマネジメント

履修目標情報セキュリティマネジメントの全体のプロセスとリスクマネジメントの作業の概要について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。情報セキュリティマネジメントのプロセスやリスクアセスメントの手法やそのプロセスを説明するだけではなく、仮想ケースなどの題材を使い、リスクアセスメント等を擬似的に行ってみるなどするとさらに理解が深まるでしょう。情報セキュリティマネジメントのプロセスやリスクアセスメントの手法やそのプロセスに関しては、JIS Q 3 27000 シリーズや一般財団法人日本情報経済社会推進協会（JIPDEC）のISMS関連資料等を参照してください。 ISMS適合性評価制度・ISMS認証に関するガイド類～JIPDEC https://www.isms.jipdec.or.jp/std/index.html 標準学習時間

リスク分析、リスク評価、リスク対応、情報資産の分類

(16)

1

2

3 3-2

認証技術

履修目標アクセス制御の方式と認証のプロセス、基本的な機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。認証技術は、クラウドコンピューティングでは利用者を識別する重要な技術です。ここで学んだ技術を、実際のクラウドコンピューティングサービス（Google、AWS、Microsoft、Yahoo! 等）での認証に、当てはめて説明してみましょう。 標準学習時間

アクセス制御方式、識別、認証、認可、フィルタリング等

(17)

1

2

3 3-3

暗号の基本技術

履修目標暗号の用語の定義、基本的技術の方式とそのプロセスについて理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。暗号技術は、暗号化そのものだけではなく、3-2の認証や電子証明書、電子署名等に使われている要素技術です。そのため、用語や定義、基本的な技術、プロセスを丁寧に説明してください。 標準学習時間

定義、共通鍵暗号、公開鍵暗号、ハッシュ関数、ハイブリッド方式等

(18)

1

2

3 3-4

暗号の応用技術

履修目標暗号の用語の定義、応用技術の方式とそのプロセスについて理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。 3-3で学んだ暗号の基本的な技術をもとに、PKIや電子証明書、電子署名、VPNなどを説明してください。さらに、これらの技術がクラウドコンピューティングでは、どこにどういう目的で使われているか説明してください。 標準学習時間

VPN、PKI、電子証明書、電子署名、電子透かし等

(19)

1

2

3 3-5

ネットワークセキュリティ対策

履修目標ネットワークセキュリティ対策の基本的な機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ここでは、ネットワークセキュリティの基本的な対策技術を説明します。単に対策技術を説明するだけではなく、第2章で学んだ攻撃や障害などに対してどのように機能するのかを説明してください。 標準学習時間

ファイアウォール、IDS/IPS、ウイルス対策

(20)

1

2

3 3-6

セキュリティ運用技術

履修目標ネットワーク運用技術の基本的なプロセスと機能について理解する。 90分 ※ 授業時間が50分の場合は、2回に分けて実施してください。ここでは、セキュリティの運用技術について説明します。単に対策技術を説明するだけではなく、第2章で学んだ攻撃や障害などに対してどのように機能するのかを説明してください。また、実際の攻撃や障害の事例などを使い、実際にどのように使えるのかを検討してみましょう。 標準学習時間