事件を左右した4つのポイント

　今回の事件で佐賀県が取った対応内容のうち、重要な4点は以下の通りだ。

1. 不正アクセス対策はパスワード変更のみ
   1. 2015年6月、佐賀県立致遠館中学校・高等学校で校内LANへ正規のアクセスができないことが発覚。ネットワーク管理会社も不正アクセスを確認し、即日パスワードを変更したという（朝日新聞「佐賀）不正アクセス、昨年6月も被害　情報共有されず」）。外部の指摘ではなく、システム運用の中で不正アクセスの事実を確認できたにもかかわらず、原因究明や対策のための協議を怠り「パスワード変更」という場当たり的な対応のみを実施し、それをもって「対処済み」としてしまった
2. 行政監査の指摘後も内部監査を未実施
   1. 佐賀新聞などの報道によると、2015年8月からの佐賀県監査委員による行政監査で、「佐賀県情報セキュリティ基本方針」で規定されている内部監査が、SEI-Netや校内LANで未実施だったことが明らかになっている。つまり違反状態の指摘があったにもかかわらず放置してしまったことになる
3. 警察からの連絡後も対策はパスワード変更のみ
   1. 警察の捜査の過程で押収したクライアントPCという、明確な証拠に基づく連絡があったにもかかわらず、佐賀県は数カ月にわたって具体的な是正処置ができなかった。そして2016年5月には、別の16歳少年による不正アクセスをさらに許す結果となってしまった（佐賀新聞「不正アクセス　17歳少年の審判開始」）
4. 少年逮捕で初めて事件を公表
   1. 2016年6月27日に17歳少年が不正アクセス禁止法違反の容疑で再逮捕されるまで、佐賀県は不正アクセスの事案自体を公表しなかった

　この一連の流れで筆者が一番気になったのは、不正アクセスがあったことが分かった機会が2度もあったにもかかわらず、その2度とも「パスワード変更」のみで対処済みとしてしまったことだ。もちろん、不正アクセスの原因としてパスワード情報の漏えいを疑うことは当然のことで、パスワード変更は暫定的な対策としては全く間違っていない。だが、そこまでは迅速に対処できているにもかかわらず、その後の原因究明はもちろん、協議もしていないというのはどういうことだろう。

　なぜ、原因究明もせずにパスワードを変更したのか。あくまでも推測になるが、システム設計の段階で、今回の不正アクセスのような事態を想定していなかったのだろう。だから、そのための対策はもちろん、予算も計上していない。システム運用の範囲内で実行でき、かつ予算の掛からない対策がパスワード変更だったのだと考えられる。

　システムの運用とセキュリティの運用は、そのシステムを適正に動かすという目的は同じだが、その対応や手法は全く異なる。SEI-Netや校内LANには、残念ながらシステムの運用者はいても、セキュリティの運用者はいなかったのだろう。そのことを踏まえると、システム運用者は精いっぱいの対応をしたのではないかと考える。しかしながら、システムの運用はできてもセキュリティの対策は専門外だったのだ。だから、どれだけ効果があるか疑問を持ちながら、自らにできるほぼ唯一の対策であるパスワード変更を繰り返したのだろう。

　本来であればパスワード変更の後に、システムを運営している佐賀県教育委員会自身が、その問題を「問題だ」と認識して対処すべきだった。それをせずに放置してしまったのが、今回の事件における最大の問題だということだ。

　「2015年6月の時点の不正アクセスで対策ができていたら」「内部監査を実施していたら」と強く感じる人は少なくないだろう。予算の関係で十分なセキュリティ対策ができないという“大人の事情”があったとしても、少なくとも2015年6月時点から状況を少しずつ是正していけば、2016年春には具体的な対策を取ることができていたはずだ。だからといって17歳少年の不正アクセス禁止法違反の事実をなくすことはできないものの、1万4355人分の情報漏えい（2016年8月9日佐賀県発表）という実害を阻止できる可能性は高まったと考えられる。

　対策や是正の機会と時間が何度もあったにもかかわらず、佐賀県は状況を改善できなかった。このことは、佐賀県教育委員会にセキュリティインシデントに対処できる人材がいなかったとしても見逃すことはできない。このシステムで扱う情報の重要性を理解していれば、このようなずさんな管理にはならないはずだからだ。

　いずれにせよ、このようにして教育システムを舞台とした日本最大の情報漏えい事件が発生してしまった。