大阪大学の最高情報セキュリティ責任者（CISO）を務める猪俣敦夫氏は、サイバーセキュリティを専門とする現役教授だ。大学のCISOは理事や副学長が就くケースが多い中、猪俣氏は大学の枠を越えて自治体や企業のセキュリティ支援も行う異色の存在である。今回、同氏にCISOとしての取り組みや考えを聞いた。
就任のきっかけは「大規模な個人情報漏洩」
猪俣氏は、2017年に大阪大学で発生した不正アクセスによる大規模な個人情報漏洩がきっかけでCISOに就任した。当時、学内にはセキュリティの研究者は複数いたが、事故対応や組織復旧を実務で担える専門チームはなく、システム運用はベンダーに全面的に委ねられていたという。
「事故があってはじめて、『自分たちで対応できる組織を作らなければならない』ということに気付いたのです」と猪俣氏は振り返る。セキュリティ研究者で実務対応が可能な数名の教員に白羽の矢が立ち、「OU-CSIRT」が発足。猪俣氏がそのリーダーを務めることになった。「志が高くて手を挙げたわけではなく、必要に迫られて『組織のセキュリティ課題がわかっていそうな人物』として選ばれたのかなと思っています」と述べる。
「何かあったら早く報告を」の徹底
猪俣氏は、インシデント発生時の迅速な報告の重要性を強調する。大学では、教職員が何か異変を感じたらすぐに報告する文化を浸透させる取り組みを進めている。また、大学が抱えるリスクとして、個人情報漏洩による訴訟リスクも指摘する。大学は多くの個人情報を扱うため、適切な対策と備えが欠かせない。
大学CISOでは珍しい「一教員の兼務」
多くの大学ではCISOが理事や副学長など管理職の兼任だが、猪俣氏は一教員としてCISOを兼務する。これにより、現場の研究者の視点をセキュリティ対策に反映できる利点がある。一方で、教授としての研究や教育業務との両立に苦労することもあるという。
重要なのは「平時にどう準備できるか」
猪俣氏は、セキュリティ対策において平常時の準備が最も重要だと強調する。インシデント発生時には迅速な対応が求められるが、その基盤となるのは日頃の訓練や体制整備だ。同氏は大阪府警察や奈良県警察のサイバーセキュリティアドバイザー、大阪急性期・総合医療センターのインシデント調査委員長なども務め、多様な組織の事例から教訓を得ている。
セキュリティは「投資」ではなく「必須コスト」
猪俣氏は、セキュリティ対策を「投資」と捉えるのではなく、組織運営に不可欠な「必須コスト」と考えるべきだと主張する。大学は限られた予算の中で優先順位を決めるが、情報漏洩などのインシデントが発生した場合の損害を考慮すれば、適切なコスト配分が必要だという。
猪俣氏の活動は大学に留まらず、大阪・関西万博のサイバーセキュリティ委員や、自治体・企業への支援にまで及ぶ。この異色のCISOは、多彩な経験を活かして大阪大学のセキュリティ向上に取り組んでいる。
