情報セキュリティ勉強会(SC4Y)のご紹介と技術を学び続ける価値について考える

情報セキュリティ勉強会(SC4Y)のご紹介と技術を学び続ける価値について考える公立千歳科学技術大学砂原悟ストーリー情報セキュリティ LOCAL Developer Day
Online ’21 Session2

ravicot ravicot ad.jp歴 7年[ネットワーク] ac.jp歴 6年[高等教育機関](Now) ハッカーに憧れる無邪気なエンジニアネットワークの設計/運用サーバ設計/運用情報セキュリティインシデント対応
など whoami

謝辞情報セキュリティというご縁に感謝 2021年 1995～2005年 2060年 2030年 2040年 2050年専門・高校・高専・大学(院) 同じ時代を生きる皆様とお会いできた

なんで今日ここにいるの北海道の地域コミュニティで取り組んでいる情報セキュリティ勉強会(SC4Y)を振り返らんか？ SC4Y：Security College for Youth の略北海道地域情報セキュリティ連絡会(HAISL)が主催する人材育成事業 Hokkaido
Area Information Security Liaison (北海道で情報セキュリティに対する熱量を持った大人たちの挑戦) ※個人的な見解です

今日私はどんな話をするつもり専門・高校・高専・大学(院) 2021年 1995～2005年 2060年 2030年 2040年 2050年時間軸からストーリーを組み立てる

今日私はどんな話をするつもり 2021年 1995～2005年 2060年 2030年 2040年 2050年専門・高校・高専・大学(院) 2020～2021年 SC4Y
時間軸からストーリーを組み立てる

今日私はどんな話をするつもり 2021年 1995～2005年 2060年 2030年 2040年 2050年専門・高校・高専・大学(院) 20２０～2021年 SC4Y
(ネットを悪用されるかもしれない時代をサバイブするためのストーリー) 困難な状況を何とかやっていくそれぞれのストーリー時間軸からストーリーを組み立てる

(ネットを悪用されるかもしれない時代をサバイブするためのストーリー) 困難な状況を何とかやっていくそれぞれのストーリー困難って何だ？困難の尺度？

(ネットを悪用されるかもしれない時代をサバイブするためのストーリー) 困難な状況を何とかやっていくそれぞれのストーリー困難って何だ？生理的要求安全要求所属・愛情要求自尊要求自己実現要求ここではマズローの要求階層説
を用いてみることにしてみた超越者困難の尺度？

を用いてみることにしてみた超越者困難の尺度？生理的要求睡眠欲、食欲、呼吸など

を用いてみることにしてみた超越者困難の尺度？安全要求食糧の安定確保安心できる寝床安定した収入など

を用いてみることにしてみた超越者困難の尺度？社会的要求家族愛・ギルド仲間を求めるなど

を用いてみることにしてみた超越者困難の尺度？自尊要求承認要求・褒められたい頑張ったから評価してほしいなど

を用いてみることにしてみた超越者困難の尺度？自己実現要求なりたい自分になる成長したい

を用いてみることにしてみた超越者困難の尺度？なりたい自分になる物語における自己実現の困難さ

を用いてみることにしてみた超越者困難の尺度？なりたい自分になる物語における自己実現の困難さなりたい自分のために情報セキュリティはどのような関係がありますか？

なりたい自分になる忍者諜報謀略破壊工作 BC ６００年スタキュレー暗号スパルタ人が作戦
中の通信に使ったとされる BC １９００年どの時代に生まれたとしても情報セキュリティやってみたい？ヒエログリフ最古の暗号？ BC １００年シーザー暗号文字列をシフト AD １５５０年 AD ２０２０年私たち暗号アルゴリズム RSA RC4 AES 限られた人が利用する数多くのインターネットユーザが利用する

なりたい自分になる忍者諜報謀略破壊工作 BC ６００年スタキュレー暗号スパルタ人が作戦
中の通信に使ったとされる BC １９００年どの時代に生まれたとしても情報セキュリティやってみたい？ヒエログリフ最古の暗号？ BC １００年シーザー暗号文字列をシフト AD １５５０年 AD ２０２０年限られた人が利用する数多くのインターネットユーザが利用する SC4Y インターネットの登場

なりたい自分になる 1959年どの時代に生まれたとしても情報セキュリティやってみたい？インターネット歴史年表 https://www.nic.ad.jp/timeline/ ARPA発足７７年 RSA暗号発表８８年モリスワーム事件
CERT/CC発足 1985年 NTT設立８７年国際電子メールサービス開始(東大) ８９年世界初の商用ISP誕生９２年日本初の商用ISP設立９４年 Amazon創業９５年 windows95発売９７年 Google検索誕生 2000年 2000年問題９９年住民基本台帳漏洩事件(京都) ９５年ウイルス対策基準公示 (通産省) 中央省庁 Web改ざん事件 2000年 I Love You ウイルス流行 2001年サイバー犯罪条約採択 2001年日本世界 windowsXP発売ファイアーウォール標準搭載

なりたい自分になるどの時代に生まれたとしても情報セキュリティやってみたい？インターネット歴史年表 https://www.nic.ad.jp/timeline/ Facebook誕生 04年 200３年０４年 JPCERT/CC 法人化
０５年 APWG初会合 (フィッシング対策) 0６年１０年イラン核施設にてサイバー攻撃が発生 11年 0９年日本シーサート協議会設立 07年大手ゲームメーカーにて大規模な情報漏洩発生日本世界 IPA発足迷惑メールの対応研究会 (総務省) mixi運営開始 200３年フィッシング対策協議会設立 Gumblar流行 1０年岡崎市中央図書館事件参衆議院及び国内の防衛関連企業に対するサイバー攻撃が発生 1２年日本がサイバー犯罪条約に批准 (条約の効力発生) サイバー攻撃解析協議会発足 1３年マイナンバー制度関連法案成立ロシア証券取引所ウイルス感染で一時取引中止 1４年 Shell Shock (bash脆弱性)

国内法の成立と施行について公布年度施行年度法律名の通称 1987 1987 電子計算機使用詐欺罪 1987 1987 電子計算機損壊等業務妨害罪
1998 1998 電子帳簿保存法 1999 1999 児童ポルノ禁止法 1999 2000 不正アクセス禁止法１９９９２０００通信傍受法 2000 2001 IT基本法 2000 2001 電子署名法２００１２００１不正競争防止法(第3次改正) 2001 2002 プロバイダ責任制限法 2002 2002 迷惑メール防止法 2003 2005 個人情報保護法 2004 2005 e-文書法 2008 2009 青少年インターネット環境整備法所持どころか有償配信できる可能性あり盗用された他人のパスワードを利用してもOK？ (わいせつ物頒布等罪が適用される可能性はある) (電子計算機損壊等業務妨害罪が適用される可能性はある) サイバースクワッティング(ドメイン転売)で儲けれた？ (その後も改正が続いて現在は9次改正) 迷惑メールが送信し放題だった？個人情報の売買が可能だった？携帯電話事業者にフィルタリング機能提供を義務付け

個人情報の売買が可能だった？

個人情報の保護おとーさんの時代って個人情報が売買されてたってマジ？ https://www.mext.go.jp/b_menu/shingi/chousa/shotou/056/shiryo/attach/1249674.htm お父さん (1980年生まれ) 娘さん (2010年生まれ) あー、名簿屋のことかな… 昔は役所で住民基本台帳の確認がしやすかったので
民間企業の商品案内とか塾の募集に活用されてたらしいよ

総務省住民基本台帳事務処理要領の一部改正について https://www.gender.go.jp/policy/no_violence/evaw/kanrentsuchi/pdf/05/s_04_130.pdf 住民基本台帳の一部の写しの閲覧は、何人でも市町村長に対してこれを請求することができるが、市町村長は、住民基本台帳の一部の写しの閲覧により知り得た事項を不当な目的に使用される恐れがあることその他の該当請求を拒むに足りる相当な理由があると認めるときには、その請求を拒むことができる
住民基本台帳の一部の写しを閲覧する者の職名及び氏名等を明らかにしたうえで、国又は地方公共団体の職員で該当国又は地方公共団体の機関が指定するものに閲覧させることを請求することができる。また、 ①統計調査、世論調査、学術研究その他の調査研究のうち、総務大臣が定める基準に照らして公益性が高いと認められるものの実施、②公共的団体が行う地域住民の福祉の向上に寄与する活動のうち、公益性が高いと認められるものの実施及び③ 営利以外の目的で行う居住関係の確認のうち、訴訟の提起その他特別の事情による (中略) これらのうち、①については、公益性告示において、次に掲げる基準が定められており、これに照らして、公益性が高いと認められるか否かを判断すること (以下略) 住民基本台帳の大量閲覧問題 2006年(平成18年) 住民基本台帳法の一部を改正する法律の概要何人でも！

個人情報の保護 https://www.mext.go.jp/b_menu/shingi/chousa/shotou/056/shiryo/attach/1249674.htm お父さん (1980年生まれ) 娘さん (2010年生まれ) 個人情報は第三者に教えちゃダメって先生がいってた大人になったら売買していいの？えー… (グレーゾーンな質問だな…)
(倫理的に)売買はダメだと思うよ。学校でやっていないけれども今は違法であることを知っている学校でやっている

情報モラル教育 20０８年3月～発達の段階に応じた情報モラル教育の必要性や具体的な指導第5章情報モラル教育(文部科学省) https://www.mext.go.jp/b_menu/shingi/chousa/shotou/056/shiryo/attach/1249674.htm 日常モラル情報安全教育心を磨く領域知恵を磨く領域
情報社会の倫理法の理解と遵守安全への知恵情報セキュリティ公共的なネットワークの構築情報モラル教育は１３年前から

公布年度施行年度法律名の通称ロシア 2015 連邦法 242FZ 日本２０１７個人情報保護(改正)
中国 2017 網絡安全法(国家安全法第25条) (中国サイバーセキュリティ法) EEA(EU+α) 2018 GDPR イギリス 2018 GDPRを支持ロシア２019 連邦法 90FZ ブラジル 2020 (2021に延期?) LGPD カルフォルニア2020 CCPA タイ 2020 (202２に延期?) PDPA インド審議中 (2021？) PDPB 中国 2020 DSL 中国 2021 PIPL 日本 2022 個人情報保護(改正) 個人情報の保護（ここ数年の世界の動き）プライバシーに関する法案が各国で成立しているようである自国のユーザを守るため？安全保障上の理由？

JETRO 日本貿易振興機構 https://www.jetro.go.jp/biz/areareports/2021/e178293b9f08889a.html ASEAN主要国における個人情報保護規程越境データ移転やローカリゼーション要求の観点から

JETRO 日本貿易振興機構 ASEAN主要国における個人情報保護規程越境データ移転やローカリゼーション要求の観点から

今年(2021)に報道された日本国内ニュース LINEアプリの個人情報が中国へ流出している？ Zホールディングス社金融庁利用者情報等の管理状況に関して報告徴求命令個人情報保護委員会内閣府資金決済に関する法律の登録事業 LINE
Pay社 LINE社内閣総務省業務再委託先である LINE China 社の管理及び「通報」機能の表示の誤りについて行政指導電気通信事業者個人情報保護法41条に基づく指導 LINE China社から不正に閲覧されてる？

グローバルなデータガバナンスに関する特別委員会 https://www.z-holdings.co.jp/notice/20210804a/ グローバルなデータガバナンスに関する特別委員会を設置されました (現在検証中) 今年(2021)に報道された日本国内ニュース２０２１年8月4日に第二次報告が公開されましたよー一体何が問題だったのか？すぐに答えが出る話ではありません(未解決)

グローバルなデータガバナンスに関する特別委員会 https://www.z-holdings.co.jp/notice/20210804a/ 今年(2021)に報道された日本国内ニュース実際、個人情報は不正に閲覧されたりしたの？データは国内に移行しよう申請・説明などに虚偽がなかった？安全保障上のリスク考慮してた？

本委員会は、LINE アプリの日本ユーザーの個人情報（通報されたメッセージの内容を含む。）が、LINE 社の中国子会社であり業務再委託先でもある LINE China 社からアクセス可能であったことに関して、以下の点について
検証を行った。 LINEのトーク内容や個人情報すべてが丸見えだったの？通報機能利用者が受信したメッセージに対して、フィッシングの疑いがあるなど不適切であると判断した場合にLINE社に送信する機能「LINE 利用規約」に基づき必要に応じてメッセージの削除等の送信者のサービス利用の制限、送信者のアカウントの停止又は削除等の措置を講じている。

グローバルなデータガバナンスに関する特別委員会特別委員会第二次報告書 16～17ページ LINE China社からアクセスした可能性のある情報の調査 2020年3月19日～2021年3月19日までの間に139件メッセージの内容を直接閲覧できるURLへのアクセスは35件メッセージの内容を閲覧し得るが、実際に閲覧するためにはサブ画面等を開く必要があるURLへのアクセスが19 件
メッセージの内容を閲覧できないURLへのアクセス８５件いずれも開発及び保守プロセスにおける正規の作業であるということが確認されている。

グローバルなデータガバナンスに関する特別委員会特別委員会第二次報告書２０ページ越境データの問題が予期できたのか？総務省、経済産業省、国家安全保障局から中国の国家情報法のリスクに関する具体的な情報発信はなかった「個人情報の適正な取扱いに関する実態調査（令和元年度）報告書」にて198 社のうち、67.7%が「中国」に個人情報を移転していると回答第175
回個人情報保護委員会資料一部の金融機関を含む 55 事業者が個人データを中国に移転していると回答していたもっとも、2017 年 6 月 28 日の国家情報法施行以降あるいはそれ以前であっても、中国拠点における情報の取扱いについて慎重な対応をとる企業が一部に存在する LINE 社は通信の秘密を含むユーザーの個人情報を扱う以上、本件移管決定を行ったことを契機として、中国法に関するリサーチの対象やリスク評価の範囲を継続的に見直すのが望ましい姿であったといえる。

正直よくわからない違法じゃないけど問題がある？＝数年後は違法になる？サービス開発時(数年前)は問題じゃなかったはずでも時代の要請(変化)に応える必要がありそうだテクノロジーにルールが追い付いていない？後付けのルールにテクノロジーが制約されている？何が起きてるの？

情報資産のリスク分析の常識が変わろうとしている？機密性完全性可用性プライバシーの「権利」知的財産権？所有権？人格権？＋

さて、では 2021年のSC4Yの取り組みって何なんです？ 2021年 1995～2005年 2060年 2030年 2040年 2050年 SC4Y：Security College
for Youth の略北海道地域情報セキュリティ連絡会(HAISL)が主催する人材育成事業 Hokkaido Area Information Security Liaison 2015年 HAISL 2019年 SC4Y せきゅぽろ 2008年北海道情報セキュリティ勉強会

HAISLのストーリーサイバー空間における脅威が増大し、情報セキュリティ対策の重要性が高まる中、産学官が保有する幅広い情報を共有するとともに、これらの情報を広く発信することにより、北海道地域における情報セキュリティ意識の向上等を図ることを目的に、北海道経済産業局・北海道総合通信局・北海道警察の3機関を事務局として平成26年9月に発足。開催時期主催・協力組織/会社名イベント概要２０１5 トレンドマイクロ
情報交換会道警サイバー犯罪対策課スマートフォンの危険性とサイバー犯罪の傾向さくらインターネット abuse(不正行為や乱用)通報の状況北海道総合通信局他電気通信分野における個人情報保護セミナー Yahoo Yahooサービスと安全・安心の取り組みせきゅぽろせきゅぽろの設立と活動について北海道ソフトウェア技術開発機構 IPA中小企業情報セキュリティ講習能力養成セミナーの実施案内 JNSA JNSAセキュリティセミナー in 札幌北海道クレジットカード犯罪対策連絡協議会今知っておきたいクレジットカード犯罪について (HAISL facebookに記載されていたイベントの一部を抜粋)

開催時期主催・協力組織/会社名イベント概要２０１６トレンドマイクロ 2015年脅威動向ラウンドアップと必要なセキュリティ対策小樽商科大学小樽商科大学における標的型攻撃を踏まえたセキュリティ対策北海道総合通信局他
電気通信分野における個人情報保護セミナー北海道経済産業局 IoTセキュリティガイドライン北海道大学サイバーセキュリティセンター北海道大学におけるインバウンド通信制御に関する事例報告総務省情報セキュリティ対策室実践的サイバー防御演習CYDERの強化について北海道ソフトウェア技術開発機構 IPA中小企業情報セキュリティ講習能力養成セミナー開催ＮＥＣソリューションイノベータサイバー攻撃の状況と対策 2017 北海道警察情報セキュリティコンクール作品展北海道警察 Apache Struts2 脆弱性注意喚起 IPA ＩＰＡ中小企業情報セキュリティ講習能力養成セミナー北海道総合通信網ランサムウェア･不正アクセス対策セミナー JPCERT/CC フィッシングの現状と対策 LAC 中小企業のサイバーセキュリティ 2018 … … (HAISL facebookに記載されていたイベントの一部を抜粋) メインターゲットは現役社会人？ HAISLのストーリー

HAISLのストーリー 2019 Hardening II SU (サッポロファクトリーホール) 攻撃者に叩きのめされて覚える情報セキュリティ kuromame6

HAISLのストーリー 2019 Hardening II SU (サッポロファクトリーホール)

SC4Yのストーリー 2019 Micro Hardening for Youth 2019 (安全な環境で) 実際に攻撃されて覚える情報セキュリティ
学生・若手がスキルアップできる環境を整えたい！

SC4Yのストーリー 2019 Micro Hardening for Youth 2019 ２０２０サイバーセキュリティ脆弱性対応(防災訓練)
Webシステムにまつわる脆弱性の検査手法 IT・情報系北海道まったりLT大会 (ナイトセッション) Ghidra ハンズオンワークショップ２０２１ Chobi Hardening(ちょびっとハードニング) Web脆弱性対応演習入門編 Micro Hardening Basic インシデントハンドリング Micro Hardening for Youth 20２１ online LT大会(予定) 世界的な感染症の流行によりオンライン化を迫られるボローニャ大学における1350年代の講義風景を描いた写本挿絵(wikipedia)

https://sc4y.connpass.com/event/223405/ SC4Yのストーリー (2021)

(ネットを悪用されるかもしれない時代をサバイブするためのストーリー) 私たちのストーリー生理的要求安全要求所属・愛情要求自尊要求自己実現要求超越者あなたにとって情報セキュリティとは？
↑ LDD2021 sesion1（米内貴志さん）の資料から抜粋

↑ LDD2021 sesion1（米内貴志さん）の資料から抜粋ストーリにおける価値観の共有

ウイルスや不正アクセスの被害にあったから？コンピュータの魔力に魅せられた？これからのビジネスのために？これが生業なので仕方なく？思い起こせば幼い頃にきっかけがあった？開発の仕事を目指すうえで不可欠だと思うから？

物語における自己実現の困難に立ち向かう安全要求？社会的要求？自尊要求？自己実現要求？技術を学び続けることは時代をサバイブする手段？それ以外？情報セキュリティ

謝辞情報セキュリティというご縁に感謝 2021年 1995～2005年 2060年 2030年 2040年 2050年同じ時代を生きる皆様とお会いできた 2015年
HAISL 2019年 SC4Y BC ６００年 BC １９００年 BC １００年 AD １５５０年 AD ２０２０年

情報セキュリティ勉強会(SC4Y)のご紹介と技術を学び続ける価値について考える

情報セキュリティ勉強会(SC4Y)のご紹介と技術を学び続ける価値について考える

ravicot

More Decks by ravicot

Other Decks in Education

Featured

Transcript