特集：学校情報のセキュリティー対策
旧来の情報セキュリティに関するイメージが教育の情報化を妨げている面がある。安心して教育の情報化を推進できる基盤を整備するためには、情報セキュリティ対策とその周知が必要だ。教育の情報化推進に向けた教育情報セキュリティ対策を考える。
文部科学省では9月7日、「教育情報セキュリティ対策推進チーム」（以下、「対策推進チーム」）を設置して今年度中に「教育版の情報セキュリティポリシーガイドライン」（初版）を策定する。これにより、国としての学校における情報セキュリティの考え方を整理。総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」を検討のベースとしつつ学校の実情に対応した枠組みを構築して、各教育委員会・学校が校務支援システムの導入を始めとする教育の情報化を進めるための基盤とする。
対策推進チームでは、物理的セキュリティの在り方や校務用端末・学習用端末それぞれにおける管理の在り方、自宅での成績処理など情報資産の持ち出し、研修体制について討議。また、無線LAN及びネットワークの盗聴対策やネットワーク接続制御、不正プログラム・アクセス対策などの技術的セキュリティや、情報システムの監視、侵害時の対応など運用・処分等について検討する。「学習系システム」を議論の中心に据える方向で、下書きデータを含めた学校における情報資産を分類してそのあり方を検討する。小規模校や大規模災害対策も想定していく。対象範囲は公立小学校、中学校、義務教育学校、高等学校、中等教育学校及び特別支援学校。
１１月８日・第2回会議 佐賀県の対応に学ぶ
11月8日に実施された第2回会議では非公開で、佐賀県学校教育ネットワークセキュリティ対策検討委員会の提言と「教育情報セキュリティポリシー策定及び対策実施状況に関するWebアンケート調査項目」について討議。調査は年度内に教育委員会を対象に実現予定。次回開催予定は1月。
佐賀県学校教育ネットワークセキュリティ対策検討委員会の提言書では、「運用上の課題」として、「管理者パスワードの設定（規則性があり推測できた）」、「管理者ID、パスワード等の管理（引き継ぎ書などに保存）」などを挙げている。
このほか、平成27年6月に教員が校内LANにアクセスできない状況があった際、その重大性を理解できずに情報共有が疎かであった点、運用後のセキュリティ監査不足（脆弱性の未発見）など。問題生徒は、フィッシングや無線LANからの侵入により、ID・パスワードを入手。サーバなどに不正にアクセスして設定変更や大量のファイルを不正取得。一般に公開していない情報を公開している。
佐賀県警では、県教育委員会に対して11項目の脆弱性を指摘した。主なものは以下。▼管理者パスワードが推測できる▼管理者でログインしたまま生徒に情報端末を返却した▼教員権限と推測されるフォルダに管理者パスワードが記載されたファイルがある▼テスト用アカウントが無効化されていない▼パスワードを定期的に変更していない▼学習用サーバから認証ハブを経由せずに校務用サーバにアクセスできる▼ログから不正な行動を検知できない
事件発覚後、佐賀県では以下の対策を行った。
【校内LAN関係】▼夜間・休日の無線LANを停止▼学習者用端末及び校務用端末のネットワークから各サーバへのリモートデスクトップ接続ができないようにファイヤウォールを設定▼学習者用サーバから校務用サーバにアクセスできないように論理的に分離▼校内LANにログ追跡機能を導入。校務サーバのファイルを暗号化
【運用関係】▼漏えい済の管理者ID・パスワードを変更。ヘルプデスク等がパスワードを伴う作業を行う場合はワンタイムパスワードを使用▼情報通信技術に関する専門家（県情報監）を教育総務課に併任
■教育情報セキュリティ対策推進チーム委員＝◎主査＝山﨑文明・会津大学特任教授／○副主査＝高橋邦夫・豊島区区民部税務課長／岩﨑進・文部科学省最高情報セキュリティアドバイザー／岡村久道・弁護士・国立情報学研究所客員教授／加藤剛史・静岡県立静岡東高等学校教頭／後藤厚宏・情報セキュリティ大学院大学教授／宍戸常寿・東京大学大学院法学政治学研究科教授／新保元康・札幌市立発寒西小学校校長／高倉弘喜・国立情報学研究所アーキテクチャ科学研究系教授／田島康義・三鷹市教育委員会教育部総務課課長補佐／玉置崇・岐阜聖徳学園大学教育学部教授／藤村裕一・鳴門教育大学大学院学校教育研究科准教授
【2017年1月1日】
＞＞情報セキュリティーで業務を効率化
＞＞リスク対策は"3本柱"で＜デジタルアーツ＞
＞＞無線LANでセキュリティーを確保＜ウォッチガード＞
＞＞子供を危険から守る仕組みを作る＜サイバーソリューションズ＞
関連記事
