お客様の声

半世紀以上の歴史を持つ帝京大学。板橋キャンパスにある本部事務部では、2019年10月から情報セキュリティ教育クラウド「セキュリオ」が活用されています。ISO/IEC27001で求められる情報セキュリティ教育からスタートし、現在は認証範囲外にも活用が広がっているそうです。「セキュリオ」の導入と運用に関わる二人のキーパーソンに、導入の経緯や活用状況、成果などを伺いました。

帝京大学について

約23,000名の学生が学ぶ日本有数の総合大学。10学部32学科に10の研究科を併設し、板橋、八王子、宇都宮、福岡、霞ヶ関の5つの国内キャンパスに加え、イギリス、マレーシアなどに海外グループ校、さらには附属病院やクリニックも展開している。「自分流」という教育理念、「実学・国際性・開放性」という教育指針のもと、創造力と専門性のある人材育成に取り組んでいる。創設者が医学者であることもあり、医療分野の研究に重点を置くことも大きな特徴である。

• 本部：東京都板橋区
• 創立：1966年
• 教職員数：約5,000名(2021年1月現在)
• Webサイト：https://www.teikyo-u.ac.jp/

帝京大学スポーツ医科学センターについて

スポーツ医科学に関する研究の推進とアスリートサポート体制の強化を目的に設置された。
メディカル、フィジカル、サイエンス、テクノロジー各分野の専門スタッフが分野を超え、連携しながらアスリートをサポート。
スポーツ医科学の発展に貢献するため、アスリートサポートに関する実践的な研究活動を行い、その知見を公開している。
また、スポーツ医科学クリニックも併設し、有名アスリートのサポートも行う。

• 創立：2011年
• 教職員数：約50名(2021年1月現在)

集合研修から「セキュリオ」によるeラーニングへ移行。ISMS認証の範囲外にも拡大

本日は帝京大学様における情報セキュリティ教育クラウド「セキュリオ」の活用状況について伺います。
よろしくお願いいたします。

日座様（以下、敬称略）　よろしくお願いします。まず自己紹介をさせていただきます。私が、帝京大学で「セキュリオ」の運用を担当しております日座と申します。また、本日同席しておりますのが、私の上長で古川と申します。古川は、本部情報センターだけではなく、スポーツ医科学センター・特任研究員も兼ねています。

古川様（以下、敬称略）　よろしくお願いいたします。私はスポーツ医科学センターの中では、情報テクノロジーを担当しています。

日座　古川は、このスポーツ医科学センターに「セキュリオ」によるeラーニングを導入した責任者でもあります。

本部情報センターはどのような部署ですか。

日座　本部情報センターは、板橋キャンパスにある本部事務部に属し、業務システムの開発・運用・保守を担っています。私は業務で使用するツールの選定にも携わっています。

帝京大学様はスポーツに力を入れて取り組まれているイメージが強いですね。

日座　はい。本学では、2021年の箱根駅伝でシード権を獲得した駅伝や、惜しくも先日の「第57回全国大学選手権」では準決勝で敗退したラグビーの他、チアリーディング、空手など、強化指定して取り組む部活がいくつかあります。こういった部活を指導している先生やコーチの方がいらっしゃるわけですが、そういった方々がこのスポーツ医科学センターに所属しています。一般に知られているのが、駅伝競走部の中野監督、ラグビー部を9年連続で大学日本一に導いた岩出監督です。また当センターに所属する管理栄養士が、プロ野球球団の食事を担当しています。

スポーツ医科学センターは研究と実践の場です。管理栄養士もいれば、アスレチックトレーナーもいれば、スポーツ競技の監督やコーチもいる、クリニックのドクターや看護師、医療事務スタッフもいるという多様性のある組織です。そのスポーツ医科学センターで、2019年秋、「セキュリオ」のeラーニングを全教職員に配信しました。教員を含めて「セキュリオ」のeラーニングを受講しているのは帝京大学の中ではここだけです。本日、古川に同席してもらったのは、このような背景があります。

「セキュリオ」はスポーツ医科学センター以外でもご利用になっているのですか。

日座　帝京大学で「セキュリオ」を最初に導入したのは板橋キャンパスにある本部事務部です。本部事務部には、情報センターの他、人事、総務、会計など8つの課が存在し、約120名の職員が在籍しています。この本部事務部は、2016年9月にISO/IEC27001（以下、ISMS）を取得していますが、その要求事項には、定期的なセキュリティ教育の実施があります。これまでは、集合研修で実施していましたが、職員約120名全員に集合研修を実施するのは大変です。私も講師を務めて、その大変さを痛感しました。そこでeラーニングに移行しようと考えて、インターネット検索でたどり着いたのが、「セキュリオ」のWEBサイトでした。

「セキュリオ」のWEBサイトを見ますと、本部事務部が導入している『Backlog』の開発・運営をしているヌーラボ社が使っていることがわかり、「これは間違いないだろう」と思ってLRMにコンタクトを取りました。
それが2018年です。そして2019年3月から本部事務部で試しに使い始め、本格運用に至りました。

契約されている「セキュリオ」のプランを教えて下さい。

日座　帝京大学として契約しているのはスタンダードプランの月間配信コースです。(プラン改定により、現在新規のお客様は選択できないプランです）月間200配信まで出来ます。本部事務部で年6回、約120名に配信し、スポーツ医科学センターで年2回、約50名に配信しています。さらに2020年春以降は、人事課主催の職員研修でも使い始めました。現在、コロナ禍の影響で集合研修の実施が難しくなっていますので、eラーニングの重要性は高まっています。

ISMS認証の適用範囲外の部署で「セキュリオ」のeラーニングを実施する理由

本部事務部以外にも帝京大学様の中にISMS認証の対象となっている部署はありますか。

日座　いいえ、ありません。スポーツ医科学センターもISMS認証の対象外です。

スポーツ医科学センターで「セキュリオ」のeラーニングを実施している理由をお話し下さい。

古川　スポーツ医科学センターでは、当センターに所属する教職員全員の情報セキュリティ意識を向上させ、正しい知識を身につけさせるために「セキュリオ」のeラーニングを実施しています。

当センターでは体育会系の部活に所属する学生のメディカルチェックなどを行っています。また常設するクリニックでは、故障した学生のみならず一般の患者さんに対しても、けがの要因を分析したり、リハビリの方針を決めたり、栄養指導をしたりしています。

その一方で、当センターには様々な立場のスタッフが所属しています。クリニックのドクターや看護師、医療事務スタッフのように、教育を受けている人もいますが、そうではない人もいます。センター内の活動で蓄積される個人情報の漏洩を未然に防ぐには、各スタッフの意識や知識のレベルを一定以上に揃える必要があると考え、危機管理の一貫として「セキュリオ」のeラーニングを導入しました。

これまでそういう教育を皆さんに施そうとされたことはあるのでしょうか。

古川　多分ないと思います。私は帝京大学に入って3年目ですが、特にそういうことはなかったと思います。

古川先生が入られて実態を見て、このままではまずいと感じられたということですか。

古川　まずいというか、情報の取り扱いに関しては、皆さん知っていることがバラバラですので、きちんと系統立てた研修を受けた方が良いと思ったことが出発点です。そういう課題意識を持つ中で、日座に「セキュリオ」を紹介され、幹部会に提案をしてみたところ受諾されました。

日座　近年、特に気をつけなければいけないのはSNSです。学生だけではなく教職員もアカウントを開設して自ら発信しています。そこで業務に関わることを発信されては困ります。特に帝京大学には有名な部活がいくつもありますので、内情を漏らすようなことがあってはいけません。何か問題が起きる前に意識の醸成をしたいという相談を古川から受けまして、「セキュリオ」を紹介しました。「セキュリオ」には、SNSや個人情報保護に関連する研修コンテンツも用意されていますので勧めやすかったです。

ISMSの適用範囲をスポーツ医科学センターに広げることも考えておられるのですか。

日座　適用範囲を本部事務部以外にも広げようという議論は、各拠点の情報セキュリティ担当者が集まる会議で議題になったこともあります。ただ、教員も含めようとすると簡単ではありません。

実は、大学がISMS認証を取得する場合、情報システム部門のみで取得するケースがほとんどです。情報システム部門以外の部署がISMS認証を取得している例は少ないです。
情報資産の洗い出しも膨大な量になることが予想されますので、教育や研究に支障をきたす可能性も出てきます。監査も大変ですので、全学を範囲として取得するのは負担が大きいように思います。

ですが、ISMSで求められる要求事項の中で特に重要な部分は全学に普及させていきたいと考えています。
今は、各キャンパスの事務部が持つ情報資産の洗い出しから始めようとお願いしているところです。

ISMS認証を教員も含めた全学で取得することは難しいということはわかりました。一方では、情報セキュリティ教育の重要性は確実に高まっているというご実感も持たれているということですね。

日座　その通りです。大学で起きる情報セキュリティ事故で多いのは、メールの誤送信、クラウドサービスのアカウント乗っ取り、SNS上での情報漏洩、USBメモリなど記憶媒体の紛失の4つです。このいずれかが、毎月のようにどこかの大学で報告されています。本学ではこういった事故を未然に防ぐことが非常に重要であるという認識を全学で共有しています。

本学の本部事務部における情報セキュリティ教育は10年以上の歴史があります。ISMS認証取得や「セキュリオ」の導入も、そういった取り組みの一環です。毎年4月と10月には、各キャンパスの新人事務職員を対象に『IS新人勉強会』を行うなど、啓蒙にも力を入れています。

人事課が主催する研修会で「セキュリオ」を導入された経緯と、活用状況を教えて下さい。

日座　人事課では毎年、年次別や階層別の研修を実施しています。例年は集合研修で実施していましたが、昨年（2020年度）はコロナ禍の影響で集合研修がほとんど出来ませんでした。そこで人事課が注目したのが「セキュリオ」です。人事課の職員も本部事務部に所属していますので、2年前から「セキュリオ」のeラーニングを受講していました。そこで、コロナ禍で集合研修が困難になった際に、人事課から情報センターに、「セキュリオ」を研修に使えないかと相談がありました。

2020年度は、年次別の研修で「セキュリオ」のeラーニングを配信しました。配信の対象は5つのキャンパスに加え、附属病院も含まれています。病院では事務職員が対象となりました。

教材をゼロから作る労力を考えれば「セキュリオ」の利用料は破格

先ほど「セキュリオ」を導入したきっかけをうかがいましたが、貴学にはeラーニングの研究をされている研究室がありますよね。

日座　はい、LT開発室ですね。LT開発室は、学内で『LMS』と呼ぶ学習管理システムを運用しています。そのシステムにコンテンツを載せて配信することは可能です。実際、「セキュリオ」の導入を上司に相談した際に『LMS』の活用も検討しました。

私が「セキュリオ」導入を推した最大の理由は、コンテンツの制作コストにあります。「セキュリオ」のスタンダードプランの料金は年額で15万円程度で、40種類を超える教材コンテンツが含まれます。ゼロから教材を作成すれば、コストに見合わないことは明らかでした。

他社サービスとの比較もされませんでしたか。

日座 「セキュリオ」を検討する前に、試しに契約して使ってみたサービスはありました。情報セキュリティに特化したサービスではありませんが、情報セキュリティに関連するコンテンツもありました。そのサービスを試した最大の理由は大学の教職員向けのコンテンツがあったことです。その中に、大学教職員を対象とした情報セキュリティのコンテンツがありました。

ただ、コンテンツ数が比較になりませんでした。また、コストの問題もありました。定額制ではなく、1ユーザー1コンテンツ3,000円ぐらいの使用料が課金されるシステムでしたので、100名に配信しようと思えば30万円ぐらいになる計算です。とても負担できる金額ではありませんでした。

情報セキュリティは重要性を理解していても、コストを割きづらい側面がありますね。

日座　コストとのバランスは非常に重要です。集合研修で外部から講師を招へいすると高額ですから、「セキュリオ」の料金設定は破格です。

本部事務部では、ISMSの運用を軸に教材を選定

本部事務部では年6回の配信とおっしゃいましたね。

日座　はい。事務部のトップである事務長の方針で1人6本を受講することになっています。

配信する教材はどのような視点で選ばれているのでしょうか。

日座　本部事務部に関しては情報セキュリティ事務局を担う私がコンテンツをピックアップし、情報セキュリティ委員会に諮って最終決定しています。

まず、ISMSで要求される情報セキュリティ教育という観点ではISMSに準拠した「情報セキュリティ基本研修」に加えて「個人情報保護研修」を配信しています。もう1つISMS上欠かせないものとして「内部監査委員向け基本研修」があります。またどのような事故が発生しやすいかを認識してもらうために「情報漏えい事件・事故事例」と「SNS炎上に備える」をピックアップしています。さらに委託先から漏れる可能性を認識してもらうために「サプライチェーンセキュリティの重要性」も配信しています。「サプライチェーンセキュリティの重要性」は、このコンテンツがあること自体、素晴らしいと思いました。この他、部署によって「改正著作権法について知ろう」も配信しています。

スポーツ医科学センターの教職員には肖像権や著作権の基礎知識も必要

スポーツ医科学センターではどのような観点でコンテンツをピックアップされているのですか。

古川　スポーツ医科学センターの場合、基本的には、いかに個人情報を守るかがポイントです。
また、肖像権や著作権の基礎知識も重要です。当センターに集まる人の中には、オリンピックの出場権を争うような方や、各競技のトップリーグで活躍するようなトップアスリートがいます。学内にも将来を有望視されている学生もいます。そういった方々と当センターの教職員が仲良くなることは悪いことではありませんが、一緒に撮った写真を不用意にSNSに投稿してしまうようなことがあると、取り返しのつかない事態に発展しかねません。

例えばシーズン中にどこかで治療しているということは、コンディションが悪いということです。
そうすると、その選手は次の試合には出てこないことが予測出来ます。つまり対戦相手に情報を漏らしてしまうことになってしまいます。プロの選手になれば、所属するチームや個人が契約するマネジメント会社などが守ってくれますが、アマチュアのアスリートにはそういう存在がいません。このような情報漏洩からアスリートを守ることもスポーツ医科学センターの仕事の一つだと思っています。

以上のような観点から、「個人情報保護研修」「SNS炎上に備える」「改正著作権法について知ろう」「情報漏えい事件・事故事例」等のコンテンツを配信してきました。

人事課は情報セキュリティの総論を学べる教材を選定

人事課主催の年次別研修に関してはいかがでしょうか。

日座　人事課の研修では、「情報セキュリティ定期研修（2020年冬）」という教材を配信しました。

コンテンツ選定のポイントは、まず、人事課が実施する定期的な研修に堪えうるだけのボリュームがあることです。これは5分で終わる教材では物足りないという人事課からの要望です。また、対象となる部署は、学生との直接の関わりが少ない部署、各キャンパスで学生と向き合う部署、さらに病院まで多種多様です。どこに所属していても参考になるコンテンツであることが重要でした。
これらの条件を満たしていたのが、「情報セキュリティ定期研修（2020年冬）」です。具体的な情報漏洩事故を軸に、セキュリティインシデントが発生した際の心構えや対応などを含めた総論を学べるというところが採用の決め手になりました。

必要に応じて教材コンテンツを選べるところが「セキュリオ」の最大の価値です。

eラーニングの定期配信で、コミュニケーションの質が変わった

「セキュリオ」導入の成果をお話し下さい。

日座　本部事務部に関しては、集合研修一辺倒からの脱却を図るという目的は達成出来ました。集合研修は相応の時間を確保する必要がありますが、「セキュリオ」のeラーニングは、1コンテンツ約5分で、6本受ければ約30分ぐらいで終わらせることも可能ですので、受講する職員にとっても効率的です。一方、人事課の研修に関しては、そもそも集合研修は無理だというところからスタートして、自ら使った経験がある「セキュリオ」を導入したということですので、目的は達せられたということになります。

本部事務部の情報セキュリティ教育で、職員全員に集合研修を実施したのは8年ぶりでした。その間は『IS新人勉強会』と、月1回のアンケートを実施していました。久々の集合研修は、そのアンケートのマンネリ化が指摘されたことがきっかけで実施されました。ただ、大変な労力を要しましたので、eラーニングに切り替えた次第です。結果として、研修費用を削減出来ましたし、労力面でのコストも下げることが出来ました。

研修の実施にかかる負担が軽くなったことで、職員の方々の意識や行動に変化はありましたか。

日座　あります。一般的に、事故につながりかねないヒヤリ・ハットはどんな組織にでもあるはずですが、表面化しないこともあります。しかし本部事務部では、「セキュリオ」でeラーニングを配信し始めてから現在に至るまで、情報セキュリティ関連の相談が増えました。また、何か迷った時の問い合わせも増えました。例えばUSBメモリやHDD、CD-ROM、DVD、フロッピーディスクなど記録媒体の廃棄や取り扱い、迷惑メール等の疑わしい受信メールの処理などに関する問い合わせが多いです。

理由としては情報セキュリティに関する研修を受ける頻度が高くなったことが挙げられます。年1回の集合研修ではなく、2ヶ月に1回ぐらいの頻度で定期的に情報セキュリティ関係のコンテンツに触れることで、これまで以上に情報の取り扱いに注意が向くようになりました。

ただ、どの組織でもeラーニングが上手く効果を発揮出来るかというと疑問があります。帝京大学の本部事務部では過去10年間、コツコツと情報セキュリティ教育を積み重ねてきた素地があります。その積み重ねがあるからこそ、職員にとっても情報セキュリティ教育が当たり前に受け入れられているところがあります。この蓄積がなく、いきなりeラーニングからスタートしていた場合、浸透したかどうかはわかりません。

また、eラーニングだけで十分だとも考えていません。情報センターが主催する『IS新人勉強会』は、4月と10月に集合研修で実施しました。適宜、組み合わせながらやっていくのがベストだと考えています。

スポーツ医科学センターにおける導入効果はいかがでしょうか。

古川　明確に効果を測定することは出来ませんが、導入して良かったとは思います。

例えば教員の方々はUSBメモリの取り扱いなど、基本的なことは一通り知ってはいます。USBメモリの紛失のリスクを認識していますし、どこに保管すべきか、ということも常々考えています。しかしインフラが整っていない部分がありまして、その中でどう扱えば良いかということまでは考えが及びません。「セキュリオ」の研修を始めてからは、私のところに相談に来るようになり、一緒に考えながら解決する機会が増えました。

また、幹部の反応も変わりました。データの取り扱いにおけるリスクを指摘すると、「ではどうするか」と一緒に考えてくれるようになりました。従来のような「何で？」という反応がなくなりました。これは大きな前進です。今後も継続していくべきだと考えています。

委託先管理と法令管理。eラーニング以外の機能について

「セキュリオ」は様々な機能を備えています。eラーニング以外に活用している機能はありますか。

日座　ニュース機能で情報セキュリティ関連のニュースが定期的に配信されていますので常にチェックしています。他に便利だなと思って使っているのが1.サプライチェーンセキュリティ（委託先管理）機能、2.法令管理機能の2つです。

今後使ってみたい機能はありますか。

日座　社内アンケートを使おうかなと思っています。ISMSの要求事項に有効性評価というものがあります。ISMSの規定を職員がきちんと認識して実行しているかどうかを評価する必要があるのですが、「セキュリオ」を導入するまではExcelを使って実施していましたが、手間がかかるので止めました。次からどうしようかと考えていた時に「セキュリオ」内でリリースされたので、次年度からは使ってみようと考えています。

「セキュリオ」の活用セミナーが開催されていることはご存知でしたか。

日座　存じ上げていますが参加したことはありません。なぜなら、新機能がリリースされても使い方は一目瞭然です。特に説明を受ける必要を感じません。新機能がリリースされた際に「使えそうだけど、ちょっとわからないな」と思うことがあれば参加したいと思います。

情報セキュリティの啓蒙を続けることは大学の信用向上にも繋がる

「セキュリオ」にはeラーニングを入り口に、様々な機能が増えてきていますが、ユーザー様から見ると「セキュリオ」を一言で表現するとすれば、「何のツール」ということになるでしょうか。

日座　ISMSの観点からすると、情報セキュリティ教育のeラーニング以外の管理機能が増えてきていますので「ISMSの運用ツール」ということになりますね。しかしISMS認証の適用範囲外にまで目を向ければ、やはりeラーニングの「セキュリオ」です。別の表現をすれば啓蒙ツールという性格が強いのかなと思います。「他大学ではこういう事故が起きているから我々もルールを作って、きちんと守っていかないと駄目だ」という意識を醸成していくためのツールですね。

古川　学校で働いていると世の中の情報を収集することが困難です。「セキュリオ」のようなツールを使えば、世間とのギャップを埋めることが出来ます。「最近こういう事故が多いから気をつけようよ」といった啓蒙活動は必要です。時間が経てば世の中の傾向も変わってきます。そういった情報を提供してくれるツールですね。

全学でISMS認証やPマークを取ることが難しいというお話がありましたが、そういった認証を取れないとしても、情報セキュリティ教育を実施して意識や行動のベースを揃えていくことは、大学を運営していく上でメリットに繋がるでしょうか。

日座　繋がっていくと思います。インシデントが公表されてしまえば、今はネット社会ですから、印象を良くすることは絶対にありません。反対に普段からしっかり取り組んで、その取り組みを示していけば、「学生や保護者、あるいは取引先などの情報をきちんと守っていますよ」という証になり、信用力は向上します。そういった取り組みの一環として「セキュリオ」』は有効に使えていると感じます。

貴学における情報セキュリティ活動において、今後、全学に「セキュリオ」の活用を広めていくことはあり得ますか。

日座　以前から他部署にそういう呼びかけはしてきました。その呼びかけにまず応えてくれたのがスポーツ医科学センターと人事課でした。

今後の利用拡大については、各キャンパスとも相談になりますね。教員や学生にいかに情報セキュリティの啓蒙活動をしていくかという大きな課題がございますので、その中で、こういったツールを使うこともあるかもしれません。

教育機関向けに特化したコンテンツに期待

「セキュリオ」へのご期待やご要望をお話し下さい。

日座　現状、「セキュリオ」の教材は、民間企業寄りのコンテンツが多いと思いますが、教育機関向けのコンテンツが1本ぐらいあってもいいのかなという気はします。大学だけではなく、中学校、高校などで起きている情報セキュリティのインシデントはパターン化しているので、そういうコンテンツを一本作っていただけるとありがたいです。

古川　小学校から大学まで、USBメモリの紛失や盗難被害のニュースは数え切れないほどあります。それがきっかけとなって情報が漏洩したり、事故が発生してから発表までのスピードが遅いことで隠蔽を疑われたりするような事例があります。そういったニュースをまとめていただくだけでも情報システム屋としてはありがたいです。

なぜかと言いますと、既存の慣例を変える提案がしやすくなるからです。例えばUSBメモリの使用をやめましょうということも言いやすくなります。代わりにクラウドストレージを導入すれば、紛失などのインシデントを防げるということが理解されやすくなります。そういった啓蒙につながるコンテンツ配信は継続していただきたいです。

日座　記録メディアだけではなく、業務システムの基盤にも同様の問題があります。帝京大学の本部事務部では『Microsoft Azure』であらゆるシステムを運用しています。他に『アマゾン ウェブ サービス（AWS）』を使っている大学もありますが、オンプレミス環境で運用されるシステムも多く、システム管理者のクラウドに関する意識や知識に差があります。

「セキュリオ」の「クラウドサービスを利用する際に気をつけること」というコンテンツにあるように、クラウドの特性やリスクを理解して使えば、より安全に使えるはずです。しかし、大学のシステム管理には情報システム部門だけが関わっているわけではありません。
業務で使うソフトウェアやアプリを管理している現場の担当者を含めますと、色々な人が携わっていて、知識や意識のレベルは一律ではありません。そのように、何らかの形でシステム管理に携わっている担当者を啓蒙するコンテンツがあれば、クラウド環境への移行を推し進める1つのきっかけになるかもしれません。

帝京大学の皆様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。

取材日：2021年1月