大阪大学では、不正アクセスによる個人情報漏洩を機にセキュリティ対策が加速した。同大学の最高情報セキュリティ責任者（CISO）は、現役の教授が兼務する異色の存在だ。
学内のセキュリティ教育
OU-CSIRT発足後、学内で研修教材を内製し、教職員や新入生に対する研修を必須で実施している。学生は期限までに研修を受けないと学内のWi-Fiに一定期間接続できなくなるなど、必ず受講させる仕組みだ。内容は被害トレンドに応じてアップデートされる。CISOは「何か起きたら24時間365日、いつでも報告してほしい」と全教職員・学生に伝えている。定期的に標的型メール攻撃の訓練も行うが、怪しいURLを踏むことよりも「踏んだ後に報告できるかどうかが重要」と強調する。
外部ITツールの規定
学内で利用する外部のITツールやサービスについては、原則としてISMS認証を取得していることを基本要件としている。研究上どうしてもそれ以外のツールが必要な場合は例外として扱い、必ず申請してもらい、セキュリティチームが個別に審査・判断する仕組みを設けている。
大学CISOの兼務の実情
多くの大学では理事や副学長がCISOを担うが、一教員の兼務はレアだという。教育・研究の仕事がある中、CISO業務は3割程度の形で兼務しており、国立大学は予算も決まっているため、通常の教員とまったく同じ給与である。CISOは「自分が所属する組織が好きで守りたいからこの業務にあたっている。言いたいことも遠慮せず言わせてもらえている」と述べ、企業のCISOよりもやりやすいかもしれないと語る。
教育者・研究者としての利点
教育者・研究者としての仕事は、学生の将来を見据えて未解決の新しいテーマを探究することだ。一方、CISOの仕事は事故が起きれば誰かが被害を受ける厳しい業務で、大学には病院もあるため人命に関わる。休日もすぐに対応できるよう常に緊張感を持って備えなければならない。研究者は日常的に最新の技術動向や脅威情報に触れており、自然と知識が更新される。また、CISOとしての実務経験が学生にリアルな現実を伝えることにつながっている。方向性は異なるが、双方の実務が補い合っている部分があるという。
次ページ：【「一人前の人材」に育つには5年かかる】
