 |
| 文部科学省事務局 生涯学習政策局 情報教育課 松本眞課長補佐 |
文部科学省は7月4日、｢教育情報セキュリティポリシーに関するガイドライン｣(案)を公開した。本ガイドライン案を検討した｢教育情報セキュリティ対策推進チーム｣で文部科学省事務局を務めた松本眞課長補佐(生涯学習政策局・情報教育課)に、策定の目的とポイント、今後について聞いた。なお本ガイドラインは8月2日までパブリックコメントを募集中。8月中旬を目途に教育委員会に通知予定。
新学習指導要領の実施に合わせて、教育活動におけるICTの積極的な活用は、今後、ますます求められます。｢2020年代に向けた教育の情報化に関する懇談会｣を受けた｢教育の情報化加速化プラン｣(文部科学大臣決定)では、校務支援システムの普及推進を図ることとされています。また、校務の情報を学習記録データ等と有効につなげ、学びを可視化することを通じ、教員による学習指導や生徒指導等の質の向上や、学級・学校運営の改善等に資するための実証研究｢次世代学校支援モデル構築事業｣も、今後実施することとしています。授業においても、校務においても、ICTを積極的に活用していくためには、情報セキュリティ対策を徹底することが重要です。行政事務の方はマイナンバー施行もあり、自治体情報セキュリティ対策がより強化されている中、学校において情報漏えいの事案も発生したこともあり、文部科学省では｢教育の情報化に伴う情報セキュリティの確保について(通知)｣(平成28年7月4日付)及び｢｢教育情報セキュリティのための緊急提言｣等について(事務連絡)｣(同年8月5日付)を通知。多くの自治体から｢どのような対策を行えばよいのか｣等の問い合わせがありました。早急な検討が求められたことから｢教育情報セキュリティポリシーに関するガイドライン｣(案)を検討、公開に至りました。
 |
本ガイドライン(案)は、総務省の｢地方公共団体における情報セキュリティポリシーに関するガイドライン(以下、自治体ガイドライン)｣の考え方を基本として、学校ならではの事項をピックアップして検討し、具体的な対策基準としてまとめたものです。｢自治体ガイドライン｣は、主に行政の内部部局を対象としたガイドラインであって、学校を対象とするか否かについては明示されておらず、また、記載内容も学校を想定した記載とはなっていません。しかし現在は校務支援システムの導入が4割を超え、業務改善加速の方針からも今後、より一層の校務の情報化が見込まれます。タブレットPCの普及など、ICTの活用方法も多様になっており、ネットワークの設計に不備があると、児童生徒が教員向けの重要情報に直接アクセスするという危険も生じます。
｢児童生徒が情報システムにアクセスする｣ことを始めとして、行政事務にはない学校独自のリスクにも対応できる、学校向けの情報セキュリティの確立が求められます。十分な情報セキュリティ対策を講じることは、教員及び児童生徒が、安心して学校においてICTを活用できるようにするために不可欠な条件と言えます。
基本的な考え方は次になります。▼組織体制の確立 ▼児童生徒による機微情報へのアクセスリスクへの対応 ▼インターネット経由による標的型攻撃等リスクへの対応 ▼教育現場の実態を踏まえた情報セキュリティ対策の確立 ▼教職員の情報セキュリティに関する意識の醸成 ▼教職員の業務負担軽減及びICTを活用した多様な学習の実現
最初に検討したのが、管理運用体制です。セキュリティを担保するためには役割分担が必要です。調査によると、情報セキュリティの最終的な責任を有する｢最高情報セキュリティ責任者(CISO)｣は47%が教育長、32%が副市長や副知事など、管理体制が自治体によりバラつきがありました。また、情報システムの運用等の権限が、校長等の教育現場に下ろされる傾向も強いことがわかりました。しかし、セキュリティ管理を教員の仕事とすることは、妥当ではありません。
そこで、教育委員会事務局に情報システムを管理する部局を設置してセキュリティ面を一括して管理運用することを明確にしました。また、情報セキュリティのインシデントの対応やリスク情報の共有等は、地方公共団体が一括して管理することが効果的であることから、CISOを副市長もしくは副知事としました(下図参照)。学校は、ウイルス感染他の危険等の情報漏えいインシデントを察知して担当部局に円滑に連絡する、という役割です。
行政部局と同様に、標的型攻撃等インターネット上の脅威に対する対策を講じると共に、教員の業務が過度に増えないよう、授業では比較的自由にインターネット活用ができる仕組みが可能になるように配慮しています。
物理的セキュリティでは、サーバ等ハードを設置する際の配慮事項等を記載しました。76・6%の学校は、何かしらのサーバを学校に設置しています。一方で、学校の多くはサーバの保管に特化した｢サーバ室｣などを有しているわけではありません。そこで、サーバラックを用意して鍵付きにする、児童生徒の入退室管理等の対応を例示しています。清掃活動などで児童生徒は日常的に職員室などサーバが置かれている部屋に出入りする可能性もあり、細かい配慮も必要です。
端末管理については、｢情報の重要度｣に従って二要素認証等安全対策を講じる、という内容になっています。学習者用端末は現状、共用活用が多いことから、より自由に対応できるようしています。
情報セキュリティポリシーの遵守は公務員としての義務であり、遵守しなければ懲戒対象となることも、自治体ガイドラインと同様に明示しています。児童生徒には情報セキュリティポリシーは適用されず、指導の対象となります。学校の指導の参考となるよう児童生徒に対する指導事項についても明記しています。
支給以外の端末の使用は原則禁止ですが、業務上必要な場合は、教育情報セキュリティ管理者である校長の許可を得た場合は、利用可能としています。
CISOが責任者となり、研修の計画と実施状況の報告、緊急時対応を想定した訓練の実施義務についても規定。全ての教職員は、定められた研修・訓練に参加する必要があることも明記しています。
技術的対策では、標的型攻撃等の多発など｢最新の動向を踏まえた内容とする｣こととし、総務省｢新たな自治体情報セキュリティ対策の抜本的強化に向けて(平成27年11月)｣の考え方も踏まえた内容になりました。首長部局の情報システム部門の方には見慣れた内容ですが教育関係者には初めて聞く内容も多いかもしれません。
主な対策の1つが、学校ならではの｢児童生徒の機微情報へのアクセスリスク｣を防ぐための｢校務系システムと学習系システムの物理的又は論理的な分離の徹底｣です。校務関連はネット接続が生じる｢校務外部接続系｣と、生じない｢校務系｣2つに分けて対応する方向です。
｢標的型攻撃｣対策として、｢校務系｣はインターネットに直接接続しないこと、｢校務系｣とWeb閲覧やメール等情報をやりとりする｢校務外部接続系｣及び｢学習系｣間で通信などを行う際にはウイルス感染のない無害化通信を講じるなど適切な措置を図るとしています。
学習系にも原則、機微情報を入れないこととしていますが、個人情報が入らざるを得ない性質もあり、これについては｢機微度に応じて暗号化などの安全管理措置をとる｣こととし、校務系ほど高度なセキュリティを求めていません。例えば皆に見せる前提で作成した作品や制作物などは、機微度が低いと判断することもできます。なおガイドラインには情報資産の機微度の分類について例示しています。
｢校務系｣については、可能な限り教育委員会による一元管理を求める、という点も大きな方針です。校務用サーバを学校に設置して各校で管理する場合、学校ごとに情報セキュリティ管理をする必要があり、学校の負担が増加します。安全を担保することも難しくなりますから、教育委員会で集約して管理することが望ましいことを明示しています。｢学習系｣についても教育委員会による一元管理が望ましいのですが、教育委員会から学校までの通信回線が狭帯域である場合があるなど、通信インフラ上の課題もあるため、｢安定的な稼働を担保する前提｣で｢将来的に｣一元管理することとしています。
教職員による人的な機微情報漏えいリスクを最小化するため、USB等の使用は原則禁止、暗号化等安全対策の徹底も求めています。
複合機のセキュリティ要件の策定や、無線LAN及びネットワークの盗聴対策として、解読が困難な暗号化及び認証技術の使用の義務付け、標的型攻撃による内部への侵入防止のための対策や自動再生無効化等の人的対策と入口対策、内部に侵入した攻撃を早期検知して対処するための通信をチェックする等の内部対策等も求めています。
不正プログラム対策としては、不正プログラム対策ソフトウェアの導入やパターンファイルの更新、ソフトウェアのパッチの適用等を確実に実施することが基本であり、被害の拡大を防止することになります。
不正利用に対する証拠の保全のため、ログの管理やシステム管理記録の作成、バックアップ、無許可ソフトウェアの導入禁止、機器構成の変更禁止等のセキュリティ対策も規定。ログについては｢校務系｣の場合｢6か月以上｣の保存を目安としました。
情報システムの調達についてはアクセス制御の機能、パスワード設定機能、ログ取得機能、データの暗号化等必要となるセキュリティ機能を洗い出し、調達要件に含めることとしています。
不正プログラム対策では不十分な事態が発生した場合に備え、外部の専門家の支援を受けられるようにしておくことも必要です。
同日に｢次世代学校支援モデル事業｣も公表、実証地域を公募中です。全国5地域程度で、校務系と学習系間で安全にデータを連携する方法やパブリッククラウドの安全な活用方法を、総務省とも連携しながら検証します。パブリッククラウド活用については、一定の基準を保証する仕組みとなることも考えられます。検証結果を踏まえ、可能な限り早期に、ガイドラインの改訂につなげていきたいと考えています。
本ポリシー案は対策基準であり、各地方公共団体・教育委員会でポリシーを策定する際に参考にして頂くことを想定しています。それぞれの記載について各教育委員会・学校における実際の運用をイメージしながら、様々なご指摘、ご意見を頂きたいと考えています。
