PowerPoint プレゼンテーション

(1)

ＩＰＡの活動紹介

～情報セキュリティを中心として～

２０１5年１２月４日

独立行政法人情報処理推進機構

IT人材育成本部長

理事田中久也

1

(2)

本日お話すること

１．

_{IPAの事業概要}

２. 情報セキュリティに関する事業

３. 人材育成事業

（１）ＩＰＡの人材育成事業

（２）情報セキュリティ人材の育成

2

(3)

3

(4)

4

IPAは

「頼れるIT社会」

の実現を目指します

国民のだれもがITのメリットを実感し、享受で

きる社会の実現を目指し、ソフトウエアおよび

情報システムの安全性・信頼性の向上や優

れたIT人材の育成を通じ我が国のIT戦略を

推進します。

理念

(5)

5

ＩＰＡの組織と主な活動

技

術

本

部

セキュリティセンター

ソフトウエア高信頼化センター

国際標準化推進センター

Ｉ

Ｔ

人

材

育

成

本

部

ＩＴ人材育成企画部

イノベーション人材センター

ＨＲＤイニシアティブセンター

情報処理技術者試験センター

Ｊ－ＳＩＰ（サイバー攻撃の情報共有）Ｊ－ＣＲＡＴ（サイバー攻撃のレスキュー隊）セキュリティ認証（ＣＣ）暗号認証（ＪＣＭＶＰ）ｾｷｭﾘﾃｨ啓発ｾｷｭﾘﾃｨ対策ソフトウエア信頼性の見える化、第三者認証重要ｲﾝﾌﾗ障害対策文字情報基盤整備共通語彙基盤整備ＩＴ人材白書ＩＴＰＥＣ（アジア地区統一情報処理技術者試験）突出した技術者の発掘･育成（未踏セキュリティキャンプ）スキル標準の制定普及試験問題の作成試験の運営試験の普及促進

(6)

6

２. 情報セキュリティに関する事業

セキュリティセンター（ＩＳＥＣ）

(7)

SSL/TLS暗号設定ガイドライン発行 CRYPTREC暗号リスト公開 第1回第2回第3回

暗号技術の標準化と普及活動概要

暗号技術検討会 ◇安全性・実装に関する監視 ◇暗号の利活用 ◇国産暗号の普及促進 2015年度第2回暗号技術検討会第1回暗号技術検討会 CRYTPRECレポート2014発行暗号評価委員会暗号活用委員会上期実績下期計画 IPA主担当 NICT主担当学会監視活動 CRYPTRECのあり方に関する検討グループ第1回第2回第3回第4回第1回第2回重点課題検討タスクフォース今後の活動内容・対象範囲の議論活動全般の方向性・体制等の議論 7

(8)

暗号利用による安全性の向上

SSL/TLS暗号設定ガイドラインの改訂

情報を暗号化して、安全に利用するためのガイドライン • 安全性と可用性のバランスを考慮した用途別の設定基準 • 複雑でわかりにくい設定を具体例を用いて製品毎に解説 • TLSを設定・利用するうえで配慮すべき事項以上に最新動向を反映 >>

new

• 詳細な設定ができない製品での最適な設定例 >>

new

 具体的な製品設定方法を拡充 • 詳細な設定ができない製品（ロードバランサーなど）を追加  あわせて最新動向を反映 • RC4／SSL3.0に関する動向 • SHA-1の取り扱いに関する動向 2015年5月に公開 1ヶ月間で1万件のダウンロード数（暗号関係としては異例）。

① 「SSL/TLS暗号設定ガイドライン」を一般向けに公開し、実際の環境・状況に

応じた適切な設定を示すことでWebサイト等の安全性向上に寄与。

② 解説する製品を拡充させ、適用範囲を拡大すべく、改訂案策定に着手。

8

(9)

MFPの課題 ◆MFP特有の潜在脆弱性について、一般的なツールでは確認が困難 ◆国際標準化によるセキュリティ要件の画一化脆弱性検証環境 MFPに特有な印刷ジョブや 連携機能に対する脆弱性検査シナリオを入力し、応答を確認する。テストデータ送信応答・サーバ間通信データ解析 MFP開発者

デジタル複合機（MFP）のための

脆弱性評価リファレンスツール

ＭＦＰ特有の脆弱性について、攻撃シナリオを作成 ●調査及び認証作業におけるノウハウの活用、MFPベンダ各社との協力による情報交換（JBMIA*協力）により、攻撃シナリオの内容を確定 ●シナリオ内容を例示するツールを開発し、MFPベンダに提供検査対象MFP MFP利用者により安全な製品を提供国際的な競争力の確保 *JBMIA:一般社団法人ビジネス機械・情報システム産業協会 MFPの脆弱性検査範囲汎用インタフェース、汎用プロトコル外部記憶メディア（HDD, USB） MFP特有のアーキテクチャファイル転送（SMB, FTP）暗号通信（IPSec, SSL ）印刷、ジョブ管理プロトコル PCL PostScrip t 装置管理 UPnP ユーザ認証 AD ベンダ独自アーキテクチャ操作パネルメンテナンス従来の汎用ツールにより対応可本ツールを拡張し対応可 Webコンソール（HTTP） 9

(10)

ICカードのハードウェア評価

最先端の評価技術評価基準の追従評価機関への貸_{与環境を整備} マイナンバーカードパスポートの認証に活用予定・国民の生活に広く浸透しているICカードは、金融、公共、交通等様々な分野に活用される基盤製品となっており、「個人番号カード」もICカードでの交付を予定。・近年ICカードに対する攻撃手法は高度化し、新しい攻撃手法が次々と出現しており、我が国において、これらへの耐性を評価する人材の育成が必須となっている。レーザー照射評価装置高度な回路解析ダブルレーザー照射評価装置電磁波照射評価装置レーザー顕微鏡レーザー照射故障利用攻撃ダブルレーザー照射故障利用攻撃電磁波照射故障利用攻撃故障利用攻撃とは、動作中のIC チップに物理的な操作を行い、故障を意図的に発生させることで秘密情報の漏えいを誘発する攻撃。横浜国大、電通大、神戸大、立命館大、名城大による20回、延べ34名が評価装置を利用。技術セミナー（入門編）を実施。座学に加えて評価装置を使用したデモを行い、企業、大学等の約100名が参加。＜上期の利用実績＞ 10

(11)

サイバー情報共有イニシアティブ（J-CSIP)

2012年4月、標的型サイバー攻撃の情報共有と早期対応の場として、J-CSIPを発足。

7

Initiative for Cyber Security Information sharing Partnership of Japan http://www.ipa.go.jp/security/J-CSIP/index.html

(12)

J-CSIPの活動成果と情報共有実績

2012年度 2013年度 2014年度参加組織からIPAへの情報提供件数 246件 385件 626件標的型攻撃メールとみなした件数 201件 233件 505件参加組織への情報共有実施件数 160件 180件 195件同種の攻撃が業界内の複数組織に行われている実態を把握競合他社間でも情報を共有し、共同で検知・防御を実現情報の集約・分析により、「やり取り型」攻撃の実態を解明

J-CSIP

は、公的機関であるIPAを情報ハブ（集約点）の役割として、

参加組

織間で情報共有

を行い、高度なサイバー攻撃対策に繋げていく取り組みで、

現在６業界、61組織が加入している。

具体的には、IPAと各参加組織（あるいは参加組織を束ねる業界団体）間で締結した秘密保持契約（NDA）のもと、参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに集約。情報提供元に関する情報や機微情報の匿名化を行い、IPAによる分析情報を付加した上で、情報提供元の承認を得て共有可能な情報とし、参加組織間での情報共有を行っている。 https://www.ipa.go.jp/security/J-CSIP/ 詳しくは 2014年度レポート http://www.ipa.go.jp/files/000046018.pdf 多数の攻撃の相関分析により、執拗な「攻撃者X」の絞込み

(13)

J-CSIPにおける分析事例～攻撃者「X」～

攻撃者「X」

114通

の攻撃メール

31ヵ月

に渡り攻撃を継続

9組織

へ攻撃

4種

のウイルス

多様な

騙しの手口 問い合わせ… 連絡帳… クレーム…

浮かび上がった執拗な攻撃者の存在

活動開始から3年、これまでIPAに提供された情報は1,257件、

そのうち標的型攻撃メールとみなしたものは939件、

これら得られた攻撃メールを分析した結果、12%に相当する114件が

同一の攻撃者（またはグループ）による一連の攻撃行為と推定される

(14)

14

サイバーレスキュー隊(J-CRAT)

公的機関業界団体、社団・財団重要産業関連企業重要産業取引先アドバイス情報発信情報提供支援相談 Web検索サイト巡回標的型サイバー攻撃特別相談窓口公開情報の分析・収集公開情報ケース１ケース２ケース３サイバーレスキュー隊 (J-CRAT) サイバーレスキュー活動支援内容解析攻撃・被害の可視化情報収集

JPCERT/CC

情報提供着手アプローチエスカレーションエスカレーションケース1：標的型サイバー攻撃特別相談窓口に寄せられた支援対象組織からの相談ケース2：受付した相談から、連鎖的な被害（の可能性のある）組織が推定された場合ケース3：公開情報の分析、収集により被害（の可能性のある）組織が推定された場合攻撃・被害の把握助言レスキュー活動その他

J-CSIP

セキュリティ対策ベンダ技術連携

2014年7月発足、標的型攻撃の把握、被害の分析、対策の早期着手を支援

Cyber Recue and Advice Team against targeted attacks of Japan http://www.ipa.go.jp/security/J-CRAT/index.html

(15)

サイバーレスキュー隊の目的と活動実績

活動内容：攻撃を検知できずに「潜伏被害」を受けている組織や、検知した「

インシデント発生」の状況や深刻度が認識できずにいる組織に対して、以下を

支援：

・

攻撃の把握

・

被害の分析

・

対策の早期着手

活動の目的：標的型サイバー攻撃に対する相談対応、事案によりレスキュー

活動を実施することで、以下を達成する：

① 標的型サイバー攻撃被害の拡大防止、被害の低減を図る

② 攻撃の連鎖を解明、遮断する

レスキュー活動の実績：

■

昨年度実績(2014年度 )：

相談件数107件、レスキュー対応38件(うちオンサイト11件)

■今年度上半期（2015/4～9）： 6月の

年金機構事案以降、相談件数急増

。

相談件数246件、レスキュー対応104件(うちオンサイト31件)

15 2014年度レポート http://www.ipa.go.jp/files/000047193.pdf

(16)

J-CRATにおけるレスキュー事例

16 組織D 攻撃者 ①組織Bを騙った攻撃を確認 ②新たな攻撃先 (組織C)を確認標的型攻撃メール分析不審ファイル調査通信ログ分析共有情報作成情報提供情報提供・調査支援情報提供・調査支援・対策支援組織A 組織B 組織C ③組織Cから組織Dへ攻撃メールが送られていた事実が判明・攻撃の連鎖(組織をまたがった攻撃)が行われている事を確認・その連鎖を追跡することで、他組織の被害を検出、被害低減と攻撃連鎖を遮断攻撃遠隔操作

～複数組織をまたがる標的型攻撃の連鎖～

(17)

ご紹介：標的型攻撃対策の参考資料

• IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」

https://www.ipa.go.jp/security/technicalwatch/20150109.html

＜メールの見分け方＞

• 注意するときの着眼点 • 標的型攻撃メールの例 • 添付ファイルの種類と解説 17 ６月以降、ダウンロードが急増！累計10万件以上のダウンロード：・組織での教育素材に・個人のリテラシー向上にご活用下さい。

(18)

セキュリティ意識の国民への普及啓発

国民向け原宿ファッションジョイボード文化展への出展若者向け施策としてマンガで表現したパスワード啓発の看板17枚を原宿駅に掲出。メディアやSNSから大きな反響を呼んだ(4/3-10/8) TV 6回、新聞 4回、ネットニュース 200本以上 Twitter投稿 : 4,635件(4/3-4/9の期間)  警察の協力を得て、全国に同マンガを活用したパスワード啓発ポスター約3万枚、チラシ約 25万枚を掲示・配布（9月予定）  大学・企業からの掲示したい旨の要望を受け、一般向け販売を開始（8月より）子供向け学習マンガ制作小学生向け情報セキュリティ学習マンガを制作し、小学校および図書館に献本。子供への情報セキュリティ啓発を目的とし、また将来のセキュリティ人材へ導くことを期待。  本事業をセキュリティ業界全体として取り組むべく、関係府省の活動も紹介  業界各社へは協賛を通じて普及活動への協力を呼びかけ（協賛企業2社）・全国の小学校図書室約2.3万校・全国の公立図書館約3千館配布予定日 2016年1月末 18

(19)

企業・国民への普及啓発

企業向け 「第12回情報セキュリティEXPO」（5/13-5/15） ブースプレゼン・パネル展示・資料配布を通じてIPAブース来場者約１万人に対してIPAの成果を広めた。実績（３日間） IPAブース来場者数：10,639名・ブースプレゼン（各２０分）計４１回・パネル展示計３６枚・資料配布 9,000セット配布映像を用いた組織内研修「内部不正防止」等の最新テーマの啓発映像を社内研修用に作成。情報を漏らしたのは誰だ？～内部不正と情報漏えい対策～前年から更に１０％増加  中小企業向け「講習能力養成セミナー」において、IPAの映像教材を利用した講義方法を伝授する施策を実施。  開発中の、中小企業向け学習支援システムでは、eLearningコンテンツとして活用予定。「標的型攻撃」「新入社員向け」「SNS」等 YouTube再生回数：上期 124,734回（累積489,248回）企業内研修向け配布：上期 1,043社（研修対象 595,549名） 19

(20)

20

３. 人材育成事業

(21)

21

(22)

22 ＩＴＳＳＵＩＳＳＥＴＳＳ参照ｉコンピテンシ・ディクショナリキャリアフレームワークスキルディクショナリキャリアフレームワーク機能・役割定義キャリアフレームワークスキル基準タスク・スキル CCSF追補版

スキル標準体系の変遷

３つのスキル標準 CCSFへの展開スキル標準・ＣＣＳＦからｉコンピテンシ・ディクショナリへの変遷は、下図のようにイメージできる。  大企業・中小企業・組織（各種スキル指標等）  個人（IT資格・試験等）  学校等教育機関（教育プログラム）などＣＣＳＦ第一版人材モデル（類型）今後の活用  タスクの拡張  スキルの新設  分類サンプルの提供（タスクプロフィール、職種）  広範囲な参照元（SLCP､ITIL、試験、BOK系等）  ITヒューマンスキルの提供など活用拡充参照

(23)

ｉコンピテンシ・ディクショナリの公開

23 ｉコンピテンシ・ディクショナリ（試用版）を、平成26年7月末に公開した。今後は、欧米調査やパブコメ等のレビュー結果を尊重して確定版を構築とするとともに、その活用システムの構築も推進する。タスクディクショナリスキルディクショナリ IT技術者のスキル一覧 スキル 分類 スキル項目 知識項目 (システム）ソフトウェアの基礎技術ソフトウェア構築の基礎知識 … ソフトウェア設計の基礎知識 … プログラミング … (システム）ソフトウェアの構築技術システム開発の概念と方法論 … システム開発のアプローチ … 連係

i コンピテンシ・ディクショナリ

企業のタスク一覧 タスク 大分類 タスク 中分類 タスク 小分類 顧客の事業戦略把握要求（構想）の確認 … … IT製品・サービス戦略策定市場動向の調査・分析・予測 … … ＩＴ製品・サービス戦略の策定 … … … 活用活用 教育プログラム IT資格・試験 スキル分類 スキル項目 資格試験 ○○技術者 試験 △△技術者 試験 □□技術者 試験 (システム）ソフトウェアの基礎技術ソフトウェア構築の基礎知識 ◎ プログラミング ◎ オープンソフトウェア ◎ (システム）ソフトウェアの構築技術システム開発のアプローチ ○ 個人での利活用（IT技術者、学生） 学校等教育機関での利活用 各種スキル指標等 大企業・中小企業・組織での利活用（ITベンダー、ユーザ企業）

(24)

11 22

タスクディクショナリ

タスクフレームワーク（タスク大分類）

(25)

◆ タスクの一覧（抜粋） 【A】タスクプロフィール（タスクの分類サンプル） タスク大分類約50分類タスク中分類約200分類タスク小分類約500分類評価項目約2000項目 25

タスクディクショナリの詳細

診断基準ランク４他者を指導できる、またはその経験ありランク３独力で実施できる、またはその経験ありランク２サポートがあれば実施できる、またはその経験ありランク１トレーニングを受けた程度の知識ありランク０知識、経験無し 【B】タスク評価の診断基準例

(26)

スキルディクショナリ

スキルディクショナリ構成図高低広狭 企業固有スキル（ビジネス・関連業務）※ テクノロジ メソドロジ ITヒューマンスキル 関連知識 ビジネスインダストリ／企業活動／法規・基準・標準創造力／実行・実践力／コミュニケーション力・情報処理技術者試験午前の出題範囲（知識体系） (IPA) ・CCSF BOK (IPA) ・ITSS V3 2011 (IPA) ・ITS (IPA)

・UISS Ver.2.2 (IPA) ・ETSS 200 8(IPA) ・J07（情報処理学会）・BABOK 第1.2版 (IIBA) ・REBOK 第１版 (JISA) ・SABOK （日本ITストラテジスト協会）・SWEBOK 2004 (IEEE/ACM) ・PMBOK 第４版 (PMI) ・ITIL V3 (itSMF Japan) ・SQuBOK Ver1.0 （日本科学技術連盟）・DMBOK 第１版 (DAMA) ・CBK ((ISC)² Japan) IT固有性 利用対象領域保守・運用 ITサービスマネジメント業務管理技術 ITサービスオペレーション技術システム保守・運用・評価障害修理技術施工実務技術ファシリティ設計技術サポートセンター基盤技術開発システムアーキテクティング技術システム開発管理技術非機能要件非機能要件（可用性、性能・拡張性）セキュリティ技術（基礎、構築、利用）組込み・制御組込み技術（基礎、構築、利用）ディジタル技術ヒューマンインターフェース技術マルチメディア技術グラフィック技術計測・制御技術共通技術 IT基礎ナレッジマネジメント技術システム（基礎、構築、利用） Webシステム技術プラットフォーム技術ネットワーク技術ソフトウエア技術データベース技術ハードウェア技術戦略分野企画分野システム企画立案手法セールス事務管理手法実装分野利活用分野アーキテクチャ設計手法ソフトウェアエンジニアリング手法カスタマーサービス手法業務パッケージ活用手法データマイニング手法見積り手法プロジェクトマネジメント手法要求分析手法非機能要件設計手法サービスマネジメントサービスの設計・移行サービスマネジメントプロセスサービスの運用支援活動分野品質マネジメント手法リスクマネジメント手法 ITガバナンス資産管理手法ファシリティマネジメント手法事業継続計画システム監査手法標準化・再利用手法人材育成・教育・研修市場機会の評価と選定マーケティング製品・サービス戦略販売戦略製品・サービス開発戦略システム戦略立案手法コンサルティング手法業務動向把握手法参照元名称（発行団体） ※ 企業固有スキルは、個々の企業が自社のビジネスや業務の遂行に必要なスキルを独自に定義する。 26

(27)

27 ◆ スキルの一覧（抜粋） 16種類の知識体系を参照し、 MECEに整理 5分類スキルカテゴリ約90分類スキル分類約400分類スキル項目約8000項目知識項目

スキルディクショナリの詳細

【A】職種（スキルの分類サンプル・３スキル標準等の職種で構成） × スキル対応表 (抜粋）【C】 ITヒューマンスキルの構成：３つの分類【D】情報処理技術者試験 × スキル対応表（抜粋）テクノロジメソトロジ関連知識レベル７業界をリードし市場への影響力があるレベルにあるレベル６業界に貢献し認知されるレベルにあるレベル５所属団体・組織内で貢献し認知されるレベルにあるレベル４非機能要件を考慮して最適化できる、最適解が出せる／定石外しができる／高度情報処理試験に合格するレベル最適な手法を使いこなす／最適な手法を選択できる／手法を状況に応じて自在に駆使できる関与する業種・業務の上級管理者に対しあるべき姿について議論できるレベル３機能要件が作成できる／自立してある限定条件で仕事ができる課題に応じて手法の使い分けができる／現場にて手法を活用し結論を導いた事がある関与する業種・業務のIT領域の課題点に対し解決策を提案した事があるレベル２指示があると使える、活用できる／実装経験がある当該手法で分析できる／メソトロジを指導下で使える関与する業種・業務のIT領域の課題点を知っているレベル１技術内容を講義などを受講し知っている／知識がある手法内容を講義などを受講して知っている／どんなものか知っている、言える／テキストで知っている関与する業種・業務がどのようなものか知っている、言える／有報などの公開情報で知っている【B】スキル熟達度判定基準

(28)

スキル 分類 スキル項目 知識項目 (システム）ソフトウェアの基礎技術ソフトウェア構築の基礎知識 … ソフトウェア設計の基礎知識 … プログラミング _… (システム）ソフトウェアの構築技術システム開発の概念と方法論 … システム開発のアプローチ … タスク 大分類 タスク 中分類 タスク 小分類 顧客の事業戦略把握要求（構想）の確認 … … IT製品・サービス戦略策定市場動向の調査・分析・予測 … … ＩＴ製品・サービス戦略の策定 … … … 活用 _活用 教育プログラム スキル分類 スキル項目 資格試験 ○○技術者 試験 △△技術者 試験 □□技術者 試験 (システム）ソフトウェアの基礎技術ソフトウェア構築の基礎知識 ◎ プログラミング _◎ オープンソフトウェア ◎ (システム）ソフトウェアの構築技術システム開発のアプローチ ○ 個人での利活用 教育機関での利活用 各種スキル指標等 企業・組織での利活用

ｉＣＤ2015 ＆活用ｼｽﾃﾑ

タスクディクショナリスキルディクショナリ・自タスク選定機能・診断機能・診断結果分析機能データベースアプリケーション（タスク編） 現場知見のフィードバック 現場での活用 2015年度リリースアプリケーション（スキル編）成果１ 3種のタスクを追加・ラインマネジメント・総務・人事・経理・営業業務

「ｉＣＤ2015」及び「ｉＣＤ活用システム」の公開

新時代に必要な人材育成（情報セキュリティ、攻めのITなど）に対応した「ｉＣＤ 2015」を公開。また、ウェブ上で利用できる「ｉＣＤ活用システム」を公開し、提供を開始。成果３・自スキル選定機能・診断機能・資格連携機能 2015年度リリース成果２ IT資格・試験企業のタスク一覧ＩＴ技術者のスキル一覧 28

(29)

活用システム（データベース）

29 活用システムでは豊富なINDEXが用意されており、iCDは必要な領域または上位階層のみで活用できる。タスクディクショナリスキルディクショナリタスクプロフィールタスク大分類約５０中分類約２００小分類約５００評価項目約２０００網羅的に参照し整理 BOKを網羅的に参照し整理ＩＴヒューマンスキルはレベルアップの可能なものを定義スキル定義もある程度の階層で止めて活用できる職種タスクディクショナリから該当部分のみを抜き出すことができるINDEX スキルを参照するためのＩＮＤＥＸ自社向けシステム開発・保守・運用受託開発組込みソフトウエア開発 Webサイト構築・運用 システム運用サービス（業務受託）システム運用サービス（ﾃﾞｰﾀｾﾝﾀ）ＩＴコンサルティングビジネスタイプ別クラウドビジネス情報セキュリティマネジメント業務別プログラムマネジメントリスクマネジメントデータサイエンス（ﾋﾞｼﾞﾈｽｱﾅﾘｽﾄ）人材開発開発対象別開発手法別役割別ビジネスタイプ別業務別開発対象別開発手法別役割別マーケティングセールスコンサルティングＩＴアーキテクトプロジェクトマネージメントＩＴスペシャリスト IT SS アプリケーションスペシャリストソフトウエアデベロップメントカスタマーサービスＩＴサービスマネージメントエデュケーションビジネスストラテジストＩＴストラテジストプログラムマネージャＩＳアナリストＩＳアーキテクトプロジェクトマネージャ UISS アプリケーションデザイナシステムデザイナＩＳオペレーションＩＳアドミニストレータセキュリティアドミニストレータＩＳスタッフＩＳオーディタプロダクトマネージャシステムアーキテクト(ｱﾌﾟﾘ） プロジェクトマネージャブリッジＳＥ開発プロセス改善スペシャリストドメインスペシャリスト ET SS ソフトウエアエンジニア開発環境エンジニアＱＡスペシャリストテストエンジニアシステムアーキテクト(ﾌﾟﾗｯﾄﾌｫｰﾑ) 情報セキュリティデータサイエンス情報システム部門大規模ﾌﾟﾛｼﾞｪｸﾄ中小規模ﾌﾟﾛｼﾞｪｸﾄｲﾝﾀｰﾈｯﾄ関連企業クラウドサービス

(30)

30

(31)

情報処理技術者試験

・情報セキュリティの重要性の一層の高まりや情報セキュリティ人材が不足している状況を踏まえ、情報セキュリティ人材の育成に資する活動を実施。  情報セキュリティに関する知識を含め、国民全体のＩＴリテラシーの向上を図ることが必要（世界最先端IT国家創造宣言 ※ ２０１３年６月１４日閣議決定）  情報セキュリティ人材の発掘、育成、活用を進めることが必要（サイバーセキュリティ戦略 ※ ２０１３年６月１０日政府公表）

「iパス」をはじめとする情報処理技術者試験の

全試験区分において、

「情報セキュリティ」に関する出題の強化・拡充

を実施

iパス  情報セキュリティに関する出題比率の大幅な引き上げ（2倍 10⇒20問程度）基本情報技術者試験（FE）応用情報技術者試験（AP）  午前試験において「中分類11 セキュリティ」の出題比率を引き上げ  午後試験において「情報セキュリティ分野」を選択問題から必須問題に変更高度試験  午前Ⅰ試験（共通知識）、午前Ⅱ試験において、「中分類11 セキュリティ」の出題比率を引き上げ  ITストラテジスト試験（ST）、プロジェクトマネージャ試験（PM）において、午前II試験の出題範囲に新たに「中分類11 セキュリティ」を追加（高度全区分で出題）（※）ｉパスは平成26年5月7日以降、ｉパス以外は26春試験から適用₃₁

(32)

(33)

日本における創造的人材

(34)

2015年度未踏PM一覧

竹内郁雄氏早稲田大学教授東京大学名誉教授夏野剛氏慶應義塾大学特別招聘教授石黒浩氏大阪大学大学院教授後藤真孝氏産総研研究グループ長首藤一幸氏東京工業大学准教授藤井彰人氏ＫＤＤＩシニアマネージャー統括PM

(35)

35

３. 人材育成事業

(36)

情報セキュリティ人材像の整理

36  今後必要となる情報セキュリティ人材は、 ①ホワイトハッカーのような高度セキュリティ技術者 ②安全な情報システムを作るために必要なセキュリティ技術を身につけた人材 ③ユーザ企業において、社内セキュリティ技術者と連携して企業の情報セキュリティ確保を管理する人材セキュアなシステムの構築、サービス提供 ＩＴベンダ（Sier等） セキュリティベンダ提供セキュリティ製品・ツールの開発者セキュリティサービスプロバイダセキュリティ監視・運用サービス技術者システム開発者システム運用・保守技術者情シス部門事業部門自社の製品・サービスにセキュリティを実装する技術者自社システムの開発技術者自社システムの運用技術者情報システムの利用者

ユーザー企業

委託先高度セキュリティ技術者（いわゆるホワイトハッカー）部門の情報セキュリティ管理者全社の情報セキュリティ管理者 _{指示・協力} 指示・協力ＣＩＳＯセキュリティ_監査者

①

②

③

製品・サービスにセキュリティを実装する技術者

②

(37)

ホワイトハッカー養成事業

37

夏休みにｵｰﾃﾞｨｼｮﾝに受かった

学生を日本のﾄｯﾌﾟﾊｯｶｰが

集中トレーニング

セキュリティキャンプ

(38)

• グループワーク、セキュリティ有識者による特別講義・倫理教育の特別講義、企業プレゼン等（約15時間）全体講義 • それぞれの受講生が４つのトラックから選択した講義（約 30時間）

専門

講義

プログラム概要：最年少(応募時) 13歳最年長 22歳男性 46名女性 4名大学生 70%（35人）高等専門学校生 8％（4人）専門学校生 8％（4人）高校生 8％（4人）中学生 6％（3人）平均年齢 19.2歳 セキュリティ・キャンプ全国大会2015は、2015年8月11日～15日に千葉県千葉市のクロス・ウェーブ幕張にて開催。 全国から応募のあった228名に対して書面による審査を実施し50名が選出され、受講しました。 受講者概要： 1日目

-開講式 (全体・専門講義) 2日目専門講義専門講義・全体講義 3日目専門講義 CTF 4日目専門講義専門講義・全体講義 5日目全体講義修了式

セキュリティキャンプ2015 概要

(39)

全国大会とは別に、若年層を対象としたサイバーセキュリティ人材育成に関心の

高い地域において「セキュリティ・ミニキャンプ（地方大会）」を開催、セキュリティ

人材育成の裾野を広げています。

●２０１４年開催実績名古屋 2014年5月31日（土）～6月1日（日）福岡 2014年8月29日（金）～31日（日）東北 2014年9月13日（土）～14日（日）北海道 2014年11月1日（土）～2日（日）沖縄 2014年12月19日（金）～21日（日） ●２０１５年開催実績と予定新潟 2015年5月16日（土）～17日（日）九州（福岡） 2015年8月28日（金）～30日（日）北陸（金沢） 2015年9月26日（土）～27日（日）東北（仙台） 2015年 11月14日（土）～15日（日）北海道（札幌） 2015年 12月12日（土）～13日（日）沖縄 2015年 12月18日（金）～20日（日）

セキュリティミニキャンプ（地方大会）

(40)

株式会社アズジェントさくらインターネット株式会社富士通株式会社株式会社イーセクター株式会社セキュアソフト富士通エフ・アイ・ピー株式会社伊藤忠テクノソリューションズ株式会社ソニー株式会社株式会社三菱総合研究所株式会社インテリジェントウェイブトレンドマイクロ株式会社三菱電機株式会社 SCSK株式会社一般財団法人日本情報経済社会推進協会ヤフー株式会社エヌ・ティ・ティ・コミュニケーションズ株式会社一般社団法人日本情報システム・ユーザー協会 LINE株式会社株式会社エヌ・ティ・ティ・データ日本電気株式会社株式会社ラック株式会社オービックビジネスコンサルタント日本電信電話株式会社株式会社リクルートテクノロジーズグーグル株式会社株式会社野村総合研究所株式会社サイバーエージェント _{パナソニック}_株式_会社セキュリティ・キャンプ九州実施協議会（特別会員）サイボウズ株式会社株式会社日立製作所独立行政法人情報処理推進機構（特別会員） 協賛企業・団体名（50音順）全32企業・団体平成27年7月31日現在・セキュリティ・キャンプの実施に関する方針と企画立案・セキュリティ・キャンプに関する情報発信、広報活動・セキュリティ・キャンプ普及促進のための関連諸団体との連携活動 次代を担う日本発で世界に通用する若年層の情報セキュリティ人材を発掘・育成するため、産業界、教育界を結集した講師による「セキュリティ・キャンプ」を実施し、それを全国的に普及、拡大していくことを目的とする会です。 2012年2月に設立され、現在（2015年7月）32の企業・団体が参加しています。 セキュリティ・キャンプ実施協議会は、以下を行います。

セキュリティキャンプ実施協議会

(41)

情報セキュリティマネジメント人材（情報セキュリティを利用者側の現場で管理する者）情報セキュリティスペシャリスト人材_{（安全な情報システムを作る者）}  安全な情報システムの構築やサービスを実現するために専門的なIT技術者については、従来から情報処理技術者試験において情報セキュリティ分野を専門とする情報セキュリティスペシャリスト試験を実施。

情報セキュリティスペシャリスト

（典型的な人材像：セキュリティ技術者） 情報セキュリティ分野を専門とするIT技術者であり、情報シ ステムのセキュリティ機能を実装し、また、情報セキュリティ技術の専門家として情報セキュリティ管理を支援する。 41 連携して情報セキュリティ対策を実施

(42)

情報セキュリティスペシャリスト試験の概要

平成26年度平成25年度平成24年度応募者数 54,981 56,452 57,944 （全体に占める　応募者割合） (12.0%) (12.0%) （11.9%）合格率 14.0% 13.9% 13.8% 【情報セキュリティスペシャリスト試験の応募者数等（直近3年分）】 【情報処理技術者試験における位置づけ】【対象者像】高度IT人材として確立した専門分野をもち、情報システムの企画・要件定義・開発・運用・保守において、情報セキュリティポリシに準拠してセキュリティ機能の実現を支援し、又は情報システム基盤を整備し、情報セキュリティ技術の専門家として情報セキュリティ管理を支援する者・標的型サイバー攻撃の増加・新手の不正アクセス・新型ウィルスの出現機密盗難・機器停止の恐れ（企業の損失拡大の恐れ）脅威専門家による適切なセキュリティ管理が必要国家試験による評価セキュリティの専門家を評価する国家試験【出題範囲（午後）】 ○情報セキュリティシステムの企画・要件定義・開発・運用・保守に関すること（セキュアプログラミングなど） ○情報セキュリティの運用に関すること（不正アクセス対策など） ○情報セキュリティ技術に関すること（ウイルス対策技術など） ○開発の管理に関すること（開発環境の情報セキュリティ管理など） ○情報セキュリティ関連の法的要求事項などに関すること（著作権法、個人情報保護など）情報セキュリティスペシャリスト試験とは・・・ _{累計合格者数} _約3万人 42

(43)

 今後必要となるセキュリティ人材のうち、ユーザー企業において、一定の技術知識を持ちつつ、自社内で情報セキュリティ対策の実務をリードできるマネジメント人材を対象とする新試験を創設。（平成２８年４月から実施予定。）

情報ｾｷｭﾘﾃｨﾏﾈｰｼﾞﾒﾝﾄ人材

43 情報セキュリティマネジメント人材（情報セキュリティを利用者側の現場で管理する者）（参考）情報セキュリティスペシャリスト人材（安全な情報システムを作る者）（典型的な人材像：セキュリティ技術者）情報セキュリティ分野を専門とするIT技術者であり、情報システムのセキュリティ機能を実装し、また、情報セキュリティ技術の専門家として情報セキュリティ管理を支援する。様々な機密情報を、各重要度やリスクを踏まえて管理できる情報漏えい等を防止するためのルール作りができるメンバに対して情報セキュリティの重要性を教育できる業務を委託する際、委託先における情報セキュリティ対策の実施状況を確認し指導できる情報セキュリティ上のトラブルが発生した際に、適切な事後対応が取れる情報システムを調達する際、必要な情報セキュリティ要件をまとめられる（典型的な人材像：業務部門セキュリティ管理者）業務部門において、普段は総務や企画等を担当しつつ、情報セキュリティトラブルの発生時には部門長やセキュリティ技術者と連携して被害の最小化を図る。連携して情報セキュリティ対策を実施

(44)

44

情報セキュリティマネジメント試験の内容

 情報セキュリティマネジメント試験を通じて確認する、情報セキュリティマネジメントを行う上で最低限必要な「知識」内容は以下のとおり。１．情報セキュリティマネジメントの計画、情報セキュリティ要求事項に関すること２．情報セキュリティマネジメントの運用・継続的改善に関すること３．外部委託、コンプライアンス（遵守指導等）に関すること４．（上記１～３の前提となる）情報セキュリティマネジメントの基礎知識に関すること ITシステム _{外部記憶媒体事業関連情報など} ガイドラインなどを参考にして、ITシステムなど情報セキュリティ対策をすべき対象を特定し、業務継続等に配慮しつつリスク評価を行い、戦略の立案に参画。機密保持の教育訓練等機密情報等の管理監視報告・相談・・・契約通りにセキュリティ対策してますか？勝手に再委託してないでしょうね？必要に応じて規程の見直し関連法規ガイドラインセキュリティ対策技術セキュリティ管理・監査手法ＩＴの基礎知識事後対応

PowerPoint プレゼンテーション

ＩＰＡの活動紹介

～情報セキュリティを中心として～

２０１5年１２月４日

独立行政法人情報処理推進機構

IT人材育成本部長

理事 田中 久也

本日お話すること

１．

IPAの事業概要

２. 情報セキュリティに関する事業

３. 人材育成事業

（１）ＩＰＡの人材育成事業

（２）情報セキュリティ人材の育成

IPAは

「頼れるIT社会」

の実現を目指します

国民のだれもがITのメリットを実感し、享受で

きる社会の実現を目指し、ソフトウエアおよび

情報システムの安全性・信頼性の向上や優

れたIT人材の育成を通じ我が国のIT戦略を

推進します。

理念

ＩＰＡの組織と主な活動

技

術

本

部

セキュリティセンター

ソフトウエア高信頼化センター

国際標準化推進センター

Ｉ

Ｔ

人

材

育

成

本

部

ＩＴ人材育成企画部

イノベーション人材センター

ＨＲＤイニシアティブセンター

情報処理技術者試験センター

２. 情報セキュリティに関する事業

セキュリティセンター（ＩＳＥＣ）

暗号技術の標準化と普及活動概要

暗号利用による安全性の向上

SSL/TLS暗号設定ガイドラインの改訂

new

new

① 「SSL/TLS暗号設定ガイドライン」を一般向けに公開し、実際の環境・状況に

応じた適切な設定を示すことでWebサイト等の安全性向上に寄与。

② 解説する製品を拡充させ、適用範囲を拡大すべく、改訂案策定に着手。

デジタル複合機（MFP）のための

脆弱性評価リファレンスツール

ICカードのハードウェア評価

サイバー情報共有イニシアティブ（J-CSIP)

J-CSIPの活動成果と情報共有実績

J-CSIP

は、公的機関であるIPAを情報ハブ（集約点）の役割として、

参加組

織間で情報共有

を行い、高度なサイバー攻撃対策に繋げていく取り組みで、

現在６業界、61組織が加入している。

J-CSIPにおける分析事例～攻撃者「X」～

攻撃者「X」

114通

31ヵ月

9組織

4種

多様な

浮かび上がった執拗な攻撃者の存在

活動開始から3年、これまでIPAに提供された情報は1,257件、

そのうち標的型攻撃メールとみなしたものは939件、

これら得られた攻撃メールを分析した結果、12%に相当する114件が

同一の攻撃者（またはグループ）による一連の攻撃行為と推定される

サイバーレスキュー隊(J-CRAT)

JPCERT/CC

J-CSIP

2014年7月発足、標的型攻撃の把握、被害の分析、対策の早期着手を支援

理事田中久也

_{IPAの事業概要}

活動内容：攻撃を検知できずに「潜伏被害」を受けている組織や、検知した「

活動の目的：標的型サイバー攻撃に対する相談対応、事案によりレスキュー

ｉＣＤ2015 ＆活用ｼｽﾃﾑ

2015年度未踏PM一覧

セキュリティミニキャンプ（地方大会）