東京大学の全学無線LANサービスである UTokyo WiFi では、情報セキュリティ対策として、「教育・研究活動に必要ないサイト」へのアクセス制限が行われている

右丼　タロウ @udon_tarou

さて、3月下旬と6月中旬の回答からは、 #UTokyoWiFi で「教育・研究活動に必要ないサイトへのアクセスの制限」が行われていることはわかりますが、全学ファイアウォールによって行われているのかはわかりません。

右丼　タロウ @udon_tarou

6月上旬の回答と、6月中旬の回答からは、次のことがわかります。 「情報セキュリティ対策基本計画の一部である全学ファイアウォールは、教育・研究活動に不要なアクセスを制限し、その上で、アクセスの安全性を確保するものである」 #UTokyoWiFi

右丼　タロウ @udon_tarou

#UTokyoWiFi で、全学ファイアウォールによるフィルタリングがなされていることと、上をあわせると、次がわかります。

右丼　タロウ @udon_tarou

「#UTokyoWiFi では、情報セキュリティ対策基本計画の一部である全学ファイアウォールによって、教育・研究活動に不要なアクセスが制限され、その上で、アクセスの安全性の確保がなされている」

右丼　タロウ @udon_tarou

以下では、箇条書きで、これらの事態を、さらなる資料にもとづいて評価します。 #UTokyoWiFi

右丼　タロウ @udon_tarou

1. 「教育・研究活動に不要なアクセスの制限」は、「情報セキュリティ対策」であるか #UTokyoWiFi

右丼　タロウ @udon_tarou

「教育・研究活動に不要なアクセスの制限」が「情報セキュリティ対策」としてなされているという事態は、東京大学が、「教育・研究活動に不要なアクセスの制限」を含むようなものとして、「情報セキュリティ対策」を定義、または、理解していることを示唆します。 #UTokyoWiFi

右丼　タロウ @udon_tarou

東京大学が「情報セキュリティ」について述べたものに、東京大学セキュリティ・ポリシー[11]があります。これに対しては、#UTokyoWiFi の説明[3] において、リンクがはられています。

右丼　タロウ @udon_tarou

東京大学セキュリティ・ポリシーは、「2 情報セキュリティ・ポリシーの目標」において、情報セキュリティ・ポリシーの目標を、次のように定めています。 「東京大学情報セキュリティ・ポリシーが目指すものは次の通りである。 #UTokyoWiFi

右丼　タロウ @udon_tarou

1. 東京大学保有の情報資産に関する、重要度による分類と相応の管理の徹底 2. 東京大学保有の情報資産に対する侵害からの防衛 3. 東京大学内外の情報資産に対する加害行為の防止 4. 東京大学内におけるセキュリティ侵害等の早期検出と迅速な対応の実現」 #UTokyoWiFi

右丼　タロウ @udon_tarou

なお、同ポリシーでは、「情報資産」を、「情報」と「情報システム」と定めています。 #UTokyoWiFi

右丼　タロウ @udon_tarou

上は、実質的に、「情報セキュリティ」を、東京大学が定義したものとして理解することができます。このような理解のもとでは、「教育・研究活動に不要なアクセスの制限」は、東京大学が定義する「情報セキュリティ」の範囲に収まらないように見えます。 #UTokyoWiFi

右丼　タロウ @udon_tarou

2. 「情報セキュリティ」の範囲に収まらないような、「教育・研究活動に不要なアクセスの制限」が、全学ファイアウォールの中で、仮に、全学一律になされるとしたら、そのことは、東京大学規則[12] の中で、認められるか #UTokyoWiFi

右丼　タロウ @udon_tarou

東京大学規則の一つである東京大学情報ネットワークシステム運用規則[13]は、第8条第2項で、「設置責任者は、支線ネットワークに接続している機器の利用者が、教育研究などの一定の目的でのみ利用をするようにする責任を負う」という内容のことを定めています。 #UTokyoWiFi

右丼　タロウ @udon_tarou

#UTokyoWiFi については、UTokyoWiFi は支線ネットワークであり、設置責任者は情報システム本部長であることが、情報システム本部からの、私の質問への2017年5月の回答からわかっています。

右丼　タロウ @udon_tarou

しかし、#UTokyoWiFiにおける、「教育・研究活動に必要ないサイトへのアクセス制限」は、情報システム本部長の設置責任者としての責任のもとで行われているのか、という質問に対しては、情報システム本部からは、明確なお答えをいただいておりません。

右丼　タロウ @udon_tarou

同項を、各支線ネットワークの設置責任者に、利用者の利用目的を教育研究などの一定のものに限定する権限をあたえたものと解釈すると、「教育・研究活動に不要なアクセスの制限」の全学一律での実施は、すべての設置責任者の同意にもとづいてのみ可能であることになります。 #UTokyoWiFi

右丼　タロウ @udon_tarou

なお、情報セキュリティ対策基本計画[9]を読むと、全学ファイアウォールが、その名の通り、「全学」なものとして計画されていることがわかります。 #UTokyoWiFi

右丼　タロウ @udon_tarou

3. #UTokyoWiFi では、現在、「教育・研究活動に不要なアクセスの制限」として何が行われているか 2017/06/22に、UTokyoWiFi から、川崎競馬場[14]にアクセスしようとしたところ、「gambling」のカテゴリーに属するため、ブロックされました。

右丼　タロウ @udon_tarou

また、DMM.R18[15]にアクセスしようとしたところ「adult」のカテゴリーに属するため、ブロックされました。 #UTokyoWiFi

右丼　タロウ @udon_tarou

東京大学は、事務システムのセキュリティ強化に、パロアルトネットワークスの次世代セキュリティプラットフォームを導入し、URLフィルタリングも導入しました[16]。 #UTokyoWiFi

右丼　タロウ @udon_tarou

パロアルトネットワークスが提供するURLフィルタリングのサービスは、「adult」や「gambling」など、希望するカテゴリーリストに属するサイトへのアクセスを制限します[17, 18]。 全学ファイアウォール整備の項目[7]を、詳しくご覧ください。 #UTokyoWiFi

右丼　タロウ @udon_tarou

4. utroamから UTokyoWiFi への移行は、事前に通知されるべき、重大なシステム変更を含むか #UTokyoWiFi

右丼　タロウ @udon_tarou

Digital Life Vol. 28[6] のP.16によれば、#UTokyoWiFi は、utroam などを統合したものなので、utroamの利用者にとっては、この統合は、システム変更であったことになります。

右丼　タロウ @udon_tarou

私は、utroamでアクセスできたサイトに #UTokyoWiFi でアクセスできない経験をしました。これらのことから、utroamからUTokyoWiFi への移行は、全学ファイアウォールの導入などを含む、重大なシステム変更とみなせます。