{参照：文部科学省 「教育情報セキュリティポリシーに関するガイドライン」(平成29年10月18日)
及び　文部科学省「教育情報セキュリティポリシーに関するガイドライン」ハンドブック(平成29年11月)}

教育情報セキュリティポリシーに関するガイドラインとは、「地方公共団体が設置する教育機関を対象とする情報セキュリティポリシーの策定や見直しを行う際の参考として、教育情報セキュリティポリシーに関するガイドラインの考え方」を説明したものです。
また、教育情報セキュリティポリシーに関するガイドラインは、基本方針と対策基準の2つより構成されています。基本方針は、「総務省 地方公共団体における情報セキュリティポリシーに関するガイドラインに基づき策定」され、対策基準は「文部科学省 教育情報セキュリティポリシーに関するガイドライン」に基づき策定されています。特に対策基準については、「各教育機関において、実態を踏まえて整備していくこと」が望ましいと記載されています。

このコラムでは、ガイドラインを読み進めていく中でのポイントをまとめています。
コラムを読むことでガイドライン全てを網羅出来るわけではありませんが、重要なポイントを一緒に押さえていきましょう。

教育情報セキュリティポリシーに関するガイドラインが策定された背景

教育機関では、教室やパソコン教室に児童生徒が自由に使用できるパソコンが設置され、授業中に限らず、休み時間にもパソコンを自由に利用でき、教育機関のシステムなどにアクセスできる環境があります。
そのような環境の中で、昨今では、データへの不正アクセスが増える等、教育機関に対してもデータへの不正アクセスが増えています。
不正アクセス等により機密情報等に影響が可能な限り及ばないようにするためにも、情報セキュリティをより高める必要があります。

教育情報セキュリティポリシーに関するガイドラインの考え方について

教育情報セキュリティポリシーに関するガイドラインでは、下記の6つの考え方を基本に、具体的な対策基準を設けています。

• ①：「組織体制を確立すること」
• ②：「児童生徒による機微情報へのアクセスリスクへの対応を行うこと」
• ③：「インターネット経由による標的型攻撃等のリスクへの対応を行うこと」
• ④：「教育現場の実態を踏まえた情報セキュリティ対策を確立させること」
• ⑤：「教職員の情報セキュリティに関する意識の醸成を図ること」
• ⑥：「教職員の業務負担軽減及びICTを活用した多様な学習の実現を図ること」

上記の基準を基にし、現在の各教育機関における情報セキュリティポリシーの策定と運用ルールの見直しを必要とされています。

教育情報セキュリティポリシーに関するガイドラインの構成について

地方公共団体では、情報セキュリティポリシー対策を徹底するにあたり、その対策を組織的に統一する必要があるとされており、その体系は、下記の図のように示されています

各地方公共団体の情報セキュリティポリシーガイドラインの基本的な考え方が「基本方針」として定めされており、「基本方針」は地方公共団体及び、教育機関の情報セキュリティポリシーが共通して持つ考え方とされております。「対策基準」については、教育機関と行政の特異性があるため、それぞれに適した対策を講じる必要性があります。

教育情報セキュリティポリシーに関するガイドラインでの{情報資産}とはなにか

教育情報セキュリティポリシーに関するガイドラインに関するの「対象基準」にて守るべき情報資産は、「教育ネットワーク、教育情報システムで取り扱うデータを印刷した文書及びシステム関連文書」と定められています。これに含まれていない、各教育機関が保管している情報資産については、文書管理規定等により適切に管理される必要があります。

セキュリティ対策の範囲は、下記の図のように分類をされています。

上の図のように、情報セキュリティポリシーの対象となるのは、紫の点線で囲まれている部分に当たります。この対象範囲となっている部分には、それぞれ重要性が付けられ、下記の図のように区分されています。

それぞれの情報資産では具体的にどのような機器や媒体を想定してるかを、教育情報セキュリティポリシーに関するでは下記の表のように示しています。

何から情報資産を守るのか

情報資産は常に外部及び内部の脅威の危険にさらされています。教育情報セキュリティポリシーに関するガイドラインでは、大きく分けると5つの脅威があるとされています。

• ①：内部者による情報資産の窃取・改ざん
• ②：自然災害等による情報資産の減失等
• ③：児童生徒のいたずら等による情報資産の窃取・改ざん等
• ④：悪意のある外部者による浄法資産の窃取・改ざん等
• ⑤：教職員の過失による情報資産の漏えい・紛失等

近年では、標的型攻撃による情報流出や、ランサムウェアによる被害などで、個人情報が多く流失しております。さらに、人為的なミスが情報漏洩につながる場面も多くあることが実情です。

情報資産の窃取・改ざんから守るには

教育情報セキュリティポリシーに関するガイドラインでは、大きく下記の3点がセキュリティを維持し、高めるために必要とされています。

• ①：組織体制の考えかについて
• ②：サーバの物理的対策について
• ③：情報資産を保護するための技術的対策について

①：組織体制の考え方について

「教育情報セキュリティポリシーに関するガイドライン」においては、「情報教育セキュリティの最高責任者(CISO)」は、地方公共団体におけるCISOと同一とすることを基本としており、副市長等、地方公共団体を統一で気、教育委員会と連携しながら情報セキュリティの確保に取り組めることが重要とされています。
「教育情報セキュリティポリシーに関するガイドライン」においては、下記のような体制が望ましいとされています。

②：サーバ等の物理的対策について

教育機関内には、入室制限を行う箇所が困難な場所もあり、物理サーバの窃盗や、破損等を防ぐためにも、校務系サーバは教育委員会等が所有しているセンターサーバまたは、条件を満たすデータセンターを利用し、自然災害等にも十分耐えうる場所に設置するなどの対策が必要となります。

③：情報資産を保護するための技術的対策について

児童や児童・学生が機微な校務系の情報にアクセスすることに対するセキュリティ－として、「ネットワーク分離」の考えがあります。これを実現することにより、児童生徒が校務系システムにアクセスすることを抑制し、不正アクセスを防止します。また、校務系システムと児童生徒が使用するシステムは物理的、もしくは論理的な分離を徹底させることが大切とされています。下記がそのイメージ図となります。

しかしながら、教育機関のように、職員室等に児童・学生が自由に出入りできる環境もあり、ネットワーク分離を行うだけでは、十分なセキュリティの担保とはなりません。そのため、教職員の個人認証の強化が必要となります。従来では、記憶に頼るIDとパスワードでの運用が一般的でしたが、外部にIDとパスワードが流失した場合、遠隔操作などで、情報が流出する恐れがあります。そのため、IDやパスワードに加え、生体認証や物理認証を併用する「二要素認証」を用いることが推奨されています。

ファイルの暗号化の必要性

保護者からのメール等、インターネット接続を前提とし、保管される情報も多くあります。それが仮に流出した際でも、関係者以外が閲覧できないようにファイルを暗号化する必要があります。

教育情報セキュリティポリシーに関するガイドラインでは、管理されたUSBメモリ等の電磁的記録媒体以外の使用は禁止されています。これは、運用のルールのみで情報漏洩を防ぐことは難しいため、教職員の校務端末においては、電磁的記録媒体へのコピー制限等システムによる制御を併用することで、情報漏洩を防止することができます。管理されたUSBメモリ等にも、暗号化機能付のUSBを利用するなど、データを暗号化して保存したり、データ保存領域へのアクセスにパスワードロックをかけたりすることにより、さらにセキュリティを高めることができます。

ネットワークの無害化

校務系や学習系などのネットワーク分離はもちろんのこと、校務系システムと校務外部接続システムもしくは学習系システム間にて通信する場合は、ウィルス感染のない無害化通信などの策を講じる必要があります。無害化通信とは、インターネット経由で取得したウィルス付のファイルを削除したメールを閲覧したり、インターネット接続を前提としたシステムからのウィルス感染をしたりしないようにすること等を含んでいます。しかし、このようなシステムは、すべてのファイルに対応していない等があるため、選定を行う必要があります。

また、このようなセキュリティを講じていた場合でも、セキュリティ事故は発生する可能性はあるため、その場合にログを取得し、原因を追究する必要があります。またそのようなログは、一定期間の保管が必要となり、特に校務系情報については、6か月以上の保管が望ましいとされています。