2022年10月13日（木）、SCSK株式会社主催、ジェイズ・コミュニケーション株式会社共催の「教育機関におけるセキュリティ強靭化セミナー～簡単、安全、便利に多要素認証を実現する方法～」と題したオンラインセミナーを開催いたしました。
2022年3月に文部科学省が発行する教育情報セキュリティポリシーに関するガイドラインが一部改訂されました。その中で重要な情報資産へのアクセス、教職員等の利用する端末、電磁的記録媒体等の管理について多要素認証が必須になると盛り込まれています。
近年、教育機関へのサイバー攻撃が増加していることが一因ですが、どのように認証強化をすれば良いか課題を抱えている教育機関も多くいらっしゃいます。
そこで、本セミナーでは教育機関における認証基盤の整備をテーマに、文部科学省の教育情報セキュリティポリシーに関するガイドラインと教育機関向けの認証強化システムWisePoint8、そしてYubico社製のセキュリティキーYubiKeyの3セッションを発表させていただきました。
本セミナーは非常に多くの方が聴講され、質疑応答では、参加者の方々の関心度の高さがわかるほど多くのご質問が寄せられ、盛況のまま終了いたしました。
本稿ではセミナーの概要を記載いたします。ご興味がある方は是非ご一読ください。
SCSKが見る 教育情報セキュリティポリシーに関するガイドライン（文部科学省策定）について
まずは、教育機関の現状をお伝えします。教育現場において、90％の自治体がテレワークを導入できていない、構内システムの認証方式がID/パスワードが70％以上というデータがあります。
ID/パスワードの認証方式は今や有効なセキュリティ対策ではなくなってきているため、ID/パスワードを超えたセキュアな認証方式への対応が必要と言えます。
文部科学省から、教育情報セキュリティポリシーに関するガイドラインが2022年3月に改定されました。この改定によって、教育現場の中で意識するべきポイントとして、SCSKは2つあると考えています。
- 端末整備の推進（1人1端末）に伴うセキュリティ対策の充実
- 教育効果/利便性を損なわない工夫をする
それでは詳しく見ていきます。
端末整備の推進（1人1端末）に伴うセキュリティ対策の充実のポイントとしては、多要素認証が必要であることです。特に教育現場の事情を考えると、直感的に使えるようなハードウェアであることが最適で、例えばYubiKeyのようなセキュリティキーを使うことでセキュリティを向上することが可能です。
ちなみに、多要素認証とは、「知識情報」「所有情報」「生体情報」の3つの認証要素のうち、2つ以上を組み合わせて認証する事を言います。例えば、知識情報であるID/パスワードと所持情報であるハードウェアを組み合わせてセキュリティを高めるような形になります。
もう1つ、教育効果/利便性を損なわない工夫については、セキュリティを向上すると発生する煩雑さの解消として、シングルサインオンの利用などを検討することが重要です。教育機関での実績があるWisePointの認証基盤を利用することでカバーができます。
YubiKey、WisePointについてはこの後のセッションで取り上げていきます。
WisePoint8で利便性工場と認証強化を〜教育機関に豊富な導入実績〜
ジェイズ・コミュニケーション株式会社は、情報通信システムのインテグレーション事業やコンサルティング業務、セキュリティシステムの構築、サービス展開を行っている会社です。本日は、文教のお客様がよく利用頂いているWisePoint8についてお伝えします。
まずは、このアンケートを見ていただきます。認証に関する自治体・教育委員会へのアンケート結果です。
多要素認証を利用していない、知らないという回答が半数以上おり、その中でも興味はあると回答された方は85％でした。また、ガイドラインの認証については、まずは教職員のみでの利用を考えているところが多く、方法としては指紋認証の利用を考えている方が40%以上ということでした。
この中に、WisePointも入っているのですがWisePointは学校から認証を取り入れたいということでご相談をいただくことが多くあります。
実際に教育現場が抱えている課題をお伝えします。例えば教育現場では様々な年齢層の方がいるため、情報リテラシーの格差があります。また、校務システムへのアクセスが必要というケースも存在します。
そこで、認証のレベル分けを行い、校外からの場合は多要素認証、多段階認証を設定するといった対策なども必要となってきます。これを解消できるのがWisePoint8です。
WisePoint8は、セキュリティと利便性を向上するFIDO認証・SAML2.0対応の認証シングルサインオンシステムです。SAML非対応のケースでも対応可能です。
これを利用すると、教育現場で求められている認証を実現することができます。
Shibboleth（シボレス）という主に大学などで使われている認証方式に対応し、SP（サービス・プロバイダー）単位で認証方式を変えられ、利用者によって認証方式を選べる仕組みです。
WisePoint8ですが、多要素認証として対応しているものがいくつも存在しており、WisePointの認証になりますイメージングマトリクス認証や、指紋認証、顔認証、YubiKeyによる認証も可能です。その他、スマートフォンを使ったTOTP認証にも対応していますので、様々な利用者の方にご利用いただける環境になっています。
このように、パスワードを利用しなくても多要素認証が利用できます。
WisePoint8の利用パターンを紹介します。
中心にあるWisePoint8から各種認証を連携させて運用していくケースや、SAML未対応のWebシステムへのSSOについても対応できます。
実際の利用として、アクセスコントロールで一番利用頻度が多いのは、IPアドレスによる制御です。学内のIPアドレスからはID/パスワードを使った認証とし、学外では多要素認証でセキュリティを担保するというような使い分けになります。
その他、時間帯での認証制御、ユーザーエージェントによる制御など様々な制御が可能です。
今の時代でしたら、教職員がテレワークをする際の認証基盤として利用したい、というお声を多く聞くようになってきました。
教職員の対応ができたら次は生徒向けにリモートでの学習環境の認証として利用することもあります。
WisePoint8の利用実績としては、右下の各種高等教育機関で利用を頂いておりますので、実績豊富です。
ぜひ、教育機関での認証強化と利便性向上をお考えの皆様はWisePoint8をご検討ください。
コモディティ化する多要素認証 : YubiKey
まずはYubico社についてお話させていただきます。
Yubico社は、 2007年にスウェーデンで設立されました。YubiKeyという他要素認証のデバイスを製造、販売しており現在では世界160カ国以上、4,500社以上の企業利用の実績があります。
本日は、コモディティ化する多要素認証ということで、大きな環境の変化が起こる現在、安心してシステムやサービスにアクセスし利用するにはどうしたらいいのかをお伝えします。
まず、これからの世の中ですが私達のログイン情報が盗まれる危険性が増してきます。これは、サイバー犯罪の被害の規模感や金額が年々上昇していること、クレデンシャルの盗難（ID/パスワードが盗まれる状況）が情報漏えいの80%以上にまでなっていることなどの事実からわかります。
その対策として強力な多要素認証が唯一の防御策であると考えています。
ニューノーマルという言葉が出てから久しいですが、サイバー犯罪は300%に増加しています。
こういった状況の中で、セキュリティとしては強力なパスワードというのが普及してきました。例えば、長いパスワードや定期的に変更を求められるパスワードなどです。
しかし、皆さんもおそらく、しっかり運用できている方は少ないのではと思いますが、この運用は今や破綻しているのです。理由としては複雑なパスワードを何個も覚えておけないからです。
そして今ではモバイルが主流になっていますが、そもそもスマートフォンはセキュリティ用のデバイスではないこと、そして企業での利用として全員がスマートフォンを持っているわけではないことなどから、十分な対策とは言えません。
そこで、YubiKeyがこの課題を解決できます。
YubiKeyの利用は簡単で、ID/パスワードなどの知識情報を入力した後にYubiKeyを使った所持情報、生体情報を組み合わせた多要素認証で認証することができます。
仮に、ID/パスワードが外部に漏れてしまったとしても、YubiKeyを持っていないと認証は完了しないようになります。企業単体ではなく、関係会社や委託会社など協力社員が存在するような場合でもセキュリティの向上が見込めます。
企業情報、組織情報、学校情報などについては、モバイル端末ではなくセキュリティ対策として、専用端末であるYubiKeyを使うことで防御が強くなりますので、ただのUSBキーではありません。
今後は、パスワードがなくなる流れになっていきます。YubiKeyはパスワードレスへの架け橋として利用者の方により安心して使っていただけるようになっていきたいと思います。
ちなみに、Googleでもご利用いただいているのですが、他の認証方式と比べてYubiKeyはアカウントの乗っ取りが0%という結果を出しています。
次は、YubiKeyの教育系の事例を紹介します。
過去に教師のアカウント情報が流出したことによる情報漏えいが問題になったため、十分なセキュリティ対策を取るために、YubiKeyを利用いただきました。非常に多くの職員の利用で、機密性の高い生徒のデータベースなどへのアクセスについても対応ができた事例です。
最後に、YubiKeyはいくつかのシリーズがありますので、そこの選び方をお伝えいたします。
左側のYubiKey 5 Seriesは様々な環境での認証を必要とする場合に適しています。一方右側のYubiKey Bio SeriesやSecurity Key NFCについては、クラウドファーストでの利用を検討されている場合に利用できます。Bio Seriesは指紋認証にも対応しています。
ぜひ、教育機関でのセキュリティ向上でYubiKeyにご興味を持っていただいた方は、お問い合わせください。
質疑応答
本セミナーに寄せられたご質問の中から、当日回答された質問について以下に記載いたします。
Q. 学校現場でどのくらい認証の方法を利用されていますか？
（相良氏）
７割ほどが、ID/パスワードを使った認証で、３割はそれ以外です。その３割のうちの２割はID/パスワードすら利用していないという状況（文科省）そのため、推進していく必要があると考えています。
Q. アクティブディレクトリとの連携は可能でしょうか？
（山下様）
WisePoint8では、アクティブディレクトリとの連携が可能です。
認証情報を見に行く形で認証が行われるため、アクティブディレクトリの部分だけで管理してもられれば大丈夫です。二重登録の手間などは発生しないので運用におけるコストも軽減されて便利になります。
Q. 校務システムとの連携実績はありますか？
（山下様）
複数ございます。詳細は個別にご連絡ください。
Q. YubiKeyのタッチは指紋に対応していますでしょうか？
（大友さん）
普通のYubiKeyには指紋認証の機能は無いのですが、YubiKey Bioは指紋センサーがついていますので、指紋を認証方法として利用することができます。
お問い合わせ
本セミナーに関するお問い合わせやWisePoint8、YubiKeyに関するご質問、ご相談、お見積もりなど お気軽にお問い合わせください。
お問い合わせ
ご質問、ご相談、お見積もりなど お気軽にお問い合わせください。
プラットフォームソリューション事業部門
ITプロダクト＆サービス事業本部
セキュリティプロダクト部
