東北大学におけるBasic SecCapの取り組みとその教育効果の検証

全文

(1)45 特集●実践的 IT 教育. 解説. 東北大学における Basic SecCap の取り組みとその教育効果の検証和泉諭金谷吉成庄子栄光水木敬明菅沼拓夫中尾光之曽根秀昭喫緊の課題であるサイバーセキュリティ分野の人材育成のため，東北大学では文部科学省支援のもと，平成 28 年度から「成長分野を支える情報技術人材の育成拠点の形成 (enPiT 第 2 期) セキュリティ分野」を推進している．このプロジェクトは，14 の大学が連携して運営する「Basic SecCap」を立ち上げ，先進技術の知識に加え，実践的能力の開発も含む人材育成を達成する教育の実施を目指し，大学間や産業界との連携による実践的人材育成の教育コースを実施している．本稿では東北大学における Basic SecCap の取り組みについて紹介し，その教育効果について検証する．検証結果から多くの受講生は Basic SecCap コースについて満足し，さらにセキュリティに関する意識や実践力が高まったと感じていることが確認できた．. Japanese universities, including our university, launched the Education Network for Practical Information Technologies (enPiT2) project in 2016. We collaborate with 14 universities to establish the Information Security Education Program (Basic SecCap), which will provide various types of lectures, practical exercises, and project-based learning (PBL). This course aims to build human resources that are able to apply information technology toward the creation of new social values and new industries. In this paper, we explain Basic SecCap in Tohoku University and verify its education eﬀectiveness. From the questionnaire results, we confirm that most of students satisfied the Basic SecCap course, and felt that they increased awareness of information security and its practical skill.. 不正な機器も容易にネットワークに接続できるように. 1 はじめに. なっていることから情報セキュリティの脅威が高まっ. PC や携帯端末，センサ，家電，医療機器など様々な. ている [4]．具体的には，自動車の遠隔操作や医療機. 機器がネットワークに接続する (Internet of Things). 器へのハッキングが検出されるなど人命に関わるよう. IoT 環境が実現しつつある今日の IT 社会において，. な事例もあり，情報セキュリティの対策は重要になってきている [5]．そのようなことから，高いセキュリ. Basic SecCap Cource in Tohoku University and Its Verification of Education Eﬀectiveness. Satoru Izumi, Yoshinari Kanaya, Hidemitsu Shoji, Mitsuyuki Nakao, 東北大学大学院情報科学研究科, Graduate School of Information Sciences, Tohoku University. Takaaki Mizuki, Takuo Suganuma, Hideaki Sone, 東北大学サイバーサイエンスセンター/大学院情報科学研究科, Cyberscience Center / Graduate School of Information Sciences, Tohoku University. コンピュータソフトウェア, Vol.38, No.1 (2021), pp.45–51. [解説論文] 2020 年 11 月 11 日受付.. ティレベルを有する人材育成が求められている．我々はこれまで，文部科学省情報技術人材育成のための実践教育ネットワーク形成事業「分野・地域を越えた実践的情報教育協働ネットワーク」(enPiT 第. 1 期) のセキュリティ分野を実施し，セキュリティ人材の育成を行ってきた．具体的には 5 つの連携大学. (東北大学，情報セキュリティ大学院大学，慶應義塾大学，北陸先端科学技術大学院大学，奈良先端科学技術大学院大学) と協力して実践セキュリティ人材の育.

(2) コンピュータソフトウェア. 46. 図1. Basic SecCap の位置づけ. 成コース (SecCap) を展開してきた [1]．SecCap コー. 図2. Basic SecCap の実施体制. スでは，大学院生を対象とし，幅広い IT 分野においてセキュリティ実践力を有して社会や産業をリード. 本プログラムは 2017 年 4 月から本格的に展開をし. する人材 (実践セキュリティ人材) の育成を目的とし. ており，これまで 3 年間にわたり 500 名以上の学生. ている．その実現のために，技術的知識から法制度や. が受講している．本稿では Basic SecCap コースの実. リスク管理などの社会科学的な知識に至るまで幅広. 施体制やカリキュラムについて説明する．また，東北. い内容の講義や実践演習・PBL を提供してきた．受. 大学において提供している講義や演習を紹介し，受講. 講者はそれぞれが目指すキャリアパスに応じて，学習. 生によるアンケート調査をもとにその教育効果につ. プログラムを作って受講することができる．我々は. いて議論する．アンケート結果から，受講生は Basic. SecCap コースを修了認定付きのカリキュラムとして. SecCap コースについて満足し，さらにセキュリティ. 2012 年から展開し，2017 年 3 月までに約 300 名の修. に関する意識や実践力が高まったと感じていること. 了認定者を輩出してきた．. が確認できた．. これらの経験を踏まえ，現在，我々はセキュリティ人材のすそ野の更なる拡大を目指し，文部科学省「成長. 2 Basic SecCap コース. 分野を支える情報技術人材の育成拠点の形成」(enPiT. 2. 1 実施体制. 第 2 期) のセキュリティ分野において，大学の学部. Basic SecCap コースは，大学の学部 3 年生を対象. 生を対象とした Basic SecCap コースを展開してい. として，14 の大学が連携して様々な講義や演習を提. る [3]．この Basic SecCap コースでは東北大学が中. 供する．Basic SecCap コースの実施体制を図 2 に示. 心となり，14 の連携大学 (東北大学，北海道大学，北. す．セキュリティ分野において，重点実施校准拠点の. 陸先端科学技術大学院大学，大阪大学，奈良先端科学. 役割を設け，中核拠点を含めた 6 校が重点実施校連. 技術大学院大学，和歌山大学，岡山大学，九州大学，. 携校として専門科目の提供及び運営の補助にあたる．. 慶應義塾大学，東京電機大学，情報セキュリティ大. そして，中核拠点校である東北大学が分野内を総合的. 学院大学，静岡大学，京都大学，長崎県立大学) と協. にとりまとめながら，14 の大学が協定を結んで連携. 力して，展開している． Basic SecCap コースの位置. して実践的人材育成コース「Basic SecCap」の開発. づけを図 1 に示す．Basic SecCap コースは学部生向. と実施に取り組む．. けカリキュラムとして展開し，学部教育における基. Basic SecCap コースの特徴の 1 つとして，各大学. 礎的なセキュリティ人材の育成を目指している．ま. がそれぞれ特徴的な PBL 演習を開発し，演習科目と. た，enPiT 第 1 期 SecCap コースで培った経験を基. して提供する点が挙げられる．多様な教育による高. に，他大学へのカリキュラム提供を継続し，他学部，. い能力の人材を輩出するために，多くの連携校による. 他大学・高専等からの聴講生を積極的に受け入れ，多. ネットワークを構成している．さらに大学院大学と. 様な学生の中での実践的な人材育成を目指している．. も連携し，より高度な演習科目を提供する．.

(3) Vol. 38 No. 1 Feb. 2021. 47. 2. 2 カリキュラム. 2. 3 コース修了認定. Basic SecCap コースは次の「基礎科目」「専門科. Basic SecCap コースでは，以下に示す所定の科目. 目」「演習科目」「先進演習科目」の 4 種類の科目を開. を履修し要件を満たした学生にコース修了認定証を. 講する．. 授与する．修了認定は以下に示すように 3 つのレベ. • 基礎科目：情報セキュリティに携わる人材が身に付けるべき基礎知識を習得する．. • 専門科目：基礎知識を応用した総合的な知識を習得する．5 つの重点実施校で実施する．遠隔配信を行い，他校でも遠隔受講が可能となっている．. • 演習科目 (PBL 演習)：基礎科目，演習科目で学んだ知識を実践し，経験的知識を習得する．重点実施校を含む連携校がそれぞれの専門や特徴を. ルに別れており，到達目標と内容を多様化している．従って，受講者はそれぞれの目標に応じたカリキュラムの構成が可能となっている．. • Basic SecCap 7 (BC7)：専門科目 2 単位，演習科目 1 単位，及び基礎科目 4 単位 (所属校指定科目の中から選択) の合計 7 単位以上を取得. • Basic SecCap 8 (BS8)：Basic SecCap 7 授与要件に加え，先進演習科目より 1 単位を取得. 活かして多岐にわたる PBL 演習を提供する [2]．. • Basic SecCap 10 (BS10)：Basic SecCap 7 授与. 産学連携により企業インターンシップを取り入. 要件に加え，先進演習科目より 3 単位を取得. れるものもある．演習科目の一例を以下に示す．. このように基礎知識，専門知識を学習し，演習の実. – ログ解析演習. 施に経験的な知識を習得する，そしてさらにより高い. – クラウド・セキュリティ演習. レベルを望む学生に対しては高度な演習を提供する. – インシデントレスポンス演習. ことで，その知識を発展させることができるように段. – サーバプログラミング演習. 階的に知識を習得できる構成になっており，それぞれ. – CSIRT 基礎演習. の目標や意欲に応じて修了認定を選択することがで. • 先進演習科目：高度な実践演習を通し，経験的. きることもコースの特徴の 1 つである．表 1 に Basic. 知識を発展させる．大学院インターンシップ及. SecCap コース修了者数の推移を示す．2017 年度か. び先進 PBL の 2 種類がある．大学院インターン. ら 2018 年度にかけて修了生が大幅に増加しているこ. シップは，第 1 期で実施した SecCap コース教育. とが確認できる．2019 年度は修了生が前年度と比較. の蓄積を活用して高度な人材育成をするために，. して減少した．これは学部 3 年生時において 1 年間. 先進演習科目の一つとして大学院大学が学部生. での修了は目指さず，次年度にかけて継続受講し，2. を受け入れて学部生向け内容により集中講義的. 年間で修了を目指す受講生が増えたことが要因とし. に演習させるものである．先進 PBL は，より先. て考えられる．. 進的で高度な演習として重点実施校が提供する．以下に先進 PBL の一例を示す．. – 制御システムセキュリティ演習. 3 東北大学における Basic SecCap の取り組み. – サイバーセキュリティ対策演習. 3. 1 東北大学開講科目. – インシデントハンドリング演習. 東北大学における Basic SecCap の取り組みについ. また，大学院インターンシップの例を以下に示す．. て説明する．Basic SecCap において東北大学では以. – セキュアクラウド構築演習. 下に示す専門科目，演習科目，先進演習科目を提供し. – 脅威分析演習. ている．. 複数の大学が異なるコンテンツを提供するにあたっ. • 専門科目：セキュリティ総論 A. て，科目開設時に運営委員会にシラバスを提出し，審. • 演習科目：クラウド・セキュリティ演習. 議することで，内容を調整して内容の偏りを防ぎ，レ. • 演習科目：ネットワークセキュリティ基礎演習. ベルの均質化を図っている．. • 先進演習科目 (先進 PBL)：制御システムセキュ.

(4) コンピュータソフトウェア. 48 表1. Basic SecCap コース修了者数の推移. 2017 年度. 2018 年度. 2019 年度. BC7. BC8. BC10. BC7. BC8. BC10. BC7. BC8. BC10. 東北大学. 27. 12. 2. 23. 10. 1. 26. 15. 6. 東北地区. 38. 12. 2. 70. 17. 1. 69. 21. 10. 全体. 213. 70. 9. 326. 113. 22. 267. 111. 40. リティ演習. • 先進演習科目 (先進 PBL)：Cyber OPS 演習 • 先進演習科目 (先進 PBL)：サイバー攻撃演習 • 先進演習科目 (大学院インターンシップ)：ネットワークセキュリティ実践東北大学の演習科目は企業インターンシップとして実施するクラウド・セキュリティ演習と大学で実施するネットワークセキュリティ基礎演習の 2 種類を提供している．企業インターンシップにおける演習では. 図3. セキュリティ総論 A の講義の様子. 図4. クラウド・セキュリティ演習の様子. 主にセキュリティに関する要件抽出や定義を行っており，主にシステム開発において上流工程におけるセキュリティを対象としている．大学で実施する演習では実際にネットワーク機器を設定して環境を構築し，ローカルネットワーク内に設置したサーバを対象として様々な攻撃を行う．すなわちシステム開発における下流工程におけるセキュリティを対象としている．また，先進演習科目は連携企業協力のもと，より先進的かつ高度な演習を提供している．さらに大学院インターンシップにおいては大学院科目と同時開講することで大学院の受講生と共に演習を受講するこ. セキュリティ対策のためのポリシーなどの制度及び. とができ，より多様な人材と交流することが可能と. 組織体制と利用者における情報倫理について述べた．. なっている．. 図 3 にセキュリティ総論 A の講義の様子を示す．. 以下に各科目の概要について説明する．. 3. 3 演習科目：クラウド・セキュリティ演習 3. 2 専門科目：セキュリティ総論 A. クラウド・セキュリティ演習では，クラウドサービ. 専門科目であるセキュリティ総論 A では，情報セ. スの開発から提供までの工程と実装時のセキュリティ. キュリティについて，その基礎となる知識を広く説明. マネジメントを学んだ．具体的には，IDC (インター. した．具体的には，ユーザの視点から，情報セキュリ. ネット・データセンター) 上への模擬システムをテー. ティに関する基本的なリテラシー，攻撃・防御の事例. マとし，クラウドサービスのセキュリティ要件と運用. を紹介した．また，開発・運用者の視点からプログラ. 要件の抽出を行い，要件に従ってセキュリティ対策，. ムやネットワークにおけるセキュリティリスクを説明. 具体的にはファイアウォールの設定を行った．これ. した．さらに暗号技術がどのように世の中で利用され. らを企業インターンシップとして実施した．図 4 に. ているかについて述べ，大学などの組織における情報. クラウド・セキュリティ演習の様子を示す．.

(5) Vol. 38 No. 1 Feb. 2021. 49. 3. 8 大学院インターンシップ：ネットワークセキュリティ実践ネットワークセキュリティ実践では，様々なプロトコルやアプリケーションが有する基本的な脆弱性について確認し，それらの脆弱性が攻撃者による偵察行為や攻撃にどのように利用されるのかを検証した．また，いくつかの一般的な攻撃に関する基本的な手口図5. ネットワークセキュリティ基礎演習の様子. やそれに対する対策の基本について演習を通じて体験し，グループで議論した．. 3. 4 演習科目：ネットワークセキュリティ基礎演習ネットワークセキュリティ基礎演習では，TCP/IP. 受講者はシンプルかつ実践的なハンズオンを通じて上記の各項目に関する理解を深める．発生した場合の各分野における影響と対応策について議論した．. ネットワーク及びそのセキュリティ対策の基礎について学んだ．具体的には実際にネットワーク機器を. 4 評価・検証. 設定してネットワーク環境を構築し，そのネットワー. 4. 1 アンケート評価. クを用いて攻撃の実例を体験することで，その脅威や. 東北大学における Basic SecCap コースの教育効果. 対策について理解を深めた．図 5 にネットワークセ. を検証するためにアンケート調査を行った．本稿で. キュリティ基礎演習の様子を示す．. は 2019 年度に開講した Basic SecCap コースにおける東北大学の上記の科目を主に受講した学生のうち，. 3. 5 先進 PBL：制御システムセキュリティ演習. 大学の学部生 (東北大学，東北工業大学，石巻専修大. 制御システムセキュリティ演習では，電力やビルな. 学，東北福祉大学) 25 名と高等専門学校の学生 (仙台. どの制御システムのサイバーセキュリティの基礎と. 高等専門学校，一関工業高等専門学校) 31 名の合計. 対策を学んだ．また，実際に模擬システムを用いて，. 56 名を対象としたアンケート調査をまとめた．具体. サイバー攻撃が発生した場合の各分野における影響. 的には受講生に対して以下の項目について 4 段階で. と対応策について議論した．. アンケート調査を実施した．. 3. 6 先進 PBL：Cyber OPS 演習 Cyber OPS 演習では，シスコ技術者認定 CCNA Cyber Ops の取得を目的として，アソシエイトレベルの SOC (Security Operations Center) アナリストに必要な知識・スキルをオンライン上で学習し，シ. Q1. この講義・演習に参加して満足したか. Q2. この講義・演習の内容は自分にとって有益で. あると感じたか. Q3. この講義・演習に参加して，興味を持ち，よ. り深く学びたいと感じたか. Q4. 受講する前に比べて，この講義・演習で学. ミュレーション上で基本的な脅威分析，イベントの関. んだ技術の実践力 (技術を適用する能力) が高く. 連性分析，悪意のあるアクティビティの識別，インシ. なったと感じたか. デント対応について演習を実施した．. これらのアンケート結果を図 6 に示す．グラフから参加した全ての受講生が講義や演習に満足している. 3. 7 先進 PBL：サイバー攻撃演習. ことが確認できた．また，参加した全ての受講生が講. サイバー攻撃演習では，バッファオーバーフローや. 義や演習が有益であったことが確認できた．さらにグ. クロスサイトスクリプティングなど脆弱性について，. ラフから多くの学生がより深く学びたいと感じたこ. クラウド上の演習環境にて実際に攻撃を行い理解を. と，受講する前に比べて多くの学生がセキュリティに. 深めた．. ついてより深く学び，さらにセキュリティについて実.

(6) コンピュータソフトウェア. 50. 表2. コンピテンシーテストの結果 (平均). 総合評価受講前. 2.68. 受講後. 2.75. 講後にテストを実施して，その総合評価の比較を行った．結果を表 2 に示す．結果から受講生のスキル向上が確認できた．図6. アンケート結果. 5 おわりに践力が身についたと感じていることがうかがえる．. 本稿では，セキュリティ人材育成のすそ野の更なる. これらは基礎科目，専門科目，演習科目と段階的に. 拡大のために，学部教育における基礎的なセキュリ. セキュリティについて学ぶことができたためと考え. ティ人材の育成を実現する Basic SecCap コースにつ. られる．具体的には基礎科目，専門科目で基本的な知. いて紹介した．さらに，東北大学における取り組みを. 識を学び，その後，演習により実際に体験すること. 説明し，その教育効果を検証した．その結果，多くの. でより理解を深めることができたためと考えられる．. 受講生は Basic SecCap コースについて満足し，さら. 受講生の中には実際に自分で機材を購入して復習をし. にセキュリティに関する意識や実践力が高まったと. たという事例やアルバイト先でのセキュリティ環境を. 感じていることが確認できた．. 見直し，設定を修正したという行動変容も見られた．. 今後はさらに参加校や連携企業を募集し，全国に. 以上から，多くの受講生は Basic SecCap コースに. Basic SecCap コースを展開していく．また，そのノ. ついて満足し，さらにセキュリティに関する意識や実. ウハウを蓄積・共有していくことで幅広くセキュリ. 践力が高まったことがわかった．. ティ人材の育成を目指していく．. また，アンケート結果から，一部の受講生は興味を感じなかったことや実践力が身についたと感じな. 謝辞. かったという意見も見受けられた．これは一部の受. した高度技術人材育成事業成長分野を支える情報技. 講生にとっては演習のレベルについていけず，十分. 術人材の育成拠点の形成 (enPiT)」の支援のもと実施. に理解が追い付かなかったためと考えられる．Basic. している．また，Basic SecCap コースの運営に携わ. SecCap コースでは学部生を対象としていることから. る連携校，参加校の先生方，連携企業の関係各位，事. 情報系だけではなく様々なバックグラウンドを持っ. 務局の方々のご支援，並びにアンケートにご協力いた. た受講生が参加するようになり，受講生の個人のスキ. だいた連携校・参加校の受講生の方々に心より感謝い. ルの差が大きくなっている．そのため特に演習では. たします．. 個人やグループによって進捗に差が表れやすくなっていることが見受けられた．今後は受講生のスキルに応じて追加課題や初学者向けのプレ講義・プレ演習など差を埋める工夫を検討していく必要がある．. 4. 2 コンピテンシーテストによる教育効果の検証さらに，東北大学受講生 17 名を対象とした PROG コンピテンシーテスト [6] による客観的評価を実施し，その教育効果の検証を行った．コース受講前と受. 本プログラムは文部科学省「Society5.0 に対応. 参考文献 [ 1 ] 後藤厚宏，曽根秀昭，宮地充子，藤川和利，砂原秀樹：実践セキュリティ人材育成コース, コンピュータソフトウェア, Vol. 34, No. 1, pp. 18–23, 2017. [ 2 ] 五百旗頭健吾，上竹嘉紀，手嶋俊彰，眞田晃宏，野上保之：市販マイコンモジュールを利用した暗号ハードウェアセキュリティ演習の開発, コンピュータソフトウェア, Vol. 36, No. 1, p. 30–36, 2019. [ 3 ] 和泉諭，庄子栄光，水木敬明，菅沼拓夫，中尾光之，曽根秀昭：東北大学における enPiT 第 2 期セキュリティ分野 Basic SecCap の取り組み, コンピュータセキュリティシンポジウム 2017(CSS2017), pp. 1449–1452, 2017..

(7) Vol. 38 No. 1 Feb. 2021 [ 4 ] 総務省 : 令和元年度情報通信白書, 2019. [ 5 ] 総務省経済産業省 : IoT セキュリティガイドライン ver.10, IoT 推進コンソーシアム 2016. [ 6 ] 山本雅基，沢田篤史，小林隆志，岡村耕二，宮地充子，佐藤和彦，奥野拓，粂野文洋：コンピテンシー能力を向上する PBL の解析, 信学技報, Vol. 119, No. 451, SS2019-41, pp. 1–6, 2020.. 51. 同サイバーサイエンスセンター) 准教授．カードベース暗号の研究及び情報基盤の企画・運用等に従事．博士 (情報科学)．電子情報通信学会，情報処理学会，. IEEE 会員．菅沼拓夫. 1997 年 3 月千葉工業大学大学院博士和泉諭. 後期課程修了．博士 (工学)．同年東. 2012 年 3 月東北大学大学院情報科学. 北大学電気通信研究所助手．同大学. 研究科博士後期課程修了．博士 (情. 助教授，准教授を経て，2010 年から. 報科学)．2009 年 (独) 日本学術振興. 東北大学サイバーサイエンスセンター教授．2019 年. 会特別研究員 (DC1)．2017 年より東. から同センター長．エージェント指向コンピューティ. 北大学大学院情報科学研究科特任准教授．知識処理，. ング，共生コンピューティング，新世代ネットワーク. ネットワーク管理技術，情報セキュリティ等の研究開. 管理，サイバーフィジカルシステム等の研究開発に. 発に従事．. 従事．金谷吉成. 中尾光之. 1994 年東北大学法学部卒．学士 (法. 1984 年東北大学工学研究科情報工学. 学)．(財) 仙台応用情報学研究振興財. 専攻博士後期 3 年の課程修了 (工学. 団研究員，東北大学法学部助手，同. 博士)．同年 (財) 東京都老人総合研. 法学研究科講師・准教授，同法学研究科法政実務教育研究センター講師を経て，2019 年. 1 月より同情報科学研究科特任准教授 (研究)．専門分野はサイバー法・法情報学．高等教育機関におけるセキュリティポリシーの策定，実践的セキュリティ人材育成などの研究に従事．庄子栄光. 究所研究助手，1985 年東北大学情報処理教育センター助手，1993 年東北大学大学院情報科学研究科助教授，2003 年教授，2014 年教育研究評議員 (2018 年まで)，2018 年情報科学研究科長．2020 年度より東北大学副理事 (AI 人材)．この間，多くの産学連携による実践的情報人材育成プログラムの遂行に携わる．. 1993 年東北大学経済学部卒．学士 (経済学)．(株) 仙台ソフトウェアセ. 曽根秀昭. ンターに勤務し IT 人材育成，産学連. 1980 年東北大学大学院工学研究科修. 携 IT 教育，IT 産業振興等に係る地. 了，2001 年東北大学情報シナジーセ. 域プロジェクトの推進などに従事，2018 年 4 月より. ンター教授，現在東北大学サイバー. (一社) 宮城県情報サービス産業協会において地域高. サイエンスセンター教授．電子応用. 度 IT 人材育成事業の企画推進に従事．. 計測，環境電磁工学の研究と実践的情報人材育成及び大学の情報基盤の企画・運用，広報，評価等に従事．. 水木敬明. 2000 年 3 月東北大学大学院情報科学研究科博士課程修了，同年同大学大学院情報科学研究科助手，2001 年同大学情報シナジーセンター (2008 年. 電子情報通信学会，IEEE，計測自動制御学会等各会員．博士 (工学)．.

(8)