「佐賀県情報漏えい事件」で再考する学校セキュリティ【中編】

佐賀県教育システム「SEI-Net」を情報漏えいの舞台に変えた“真犯人”とは？（3/3 ページ）

公開 2016年09月14日 09時01分

更新 2022年10月05日 10時11分

著者

森無礼

[著]

印刷する

教育機関が本当に守るべきもの

　今回の佐賀県の不正アクセスは、システム運用側が一定レベルのセキュリティ対策を施し、その対策が破られていないかどうかを定期的に検査し、それに加えて第三者の内部監査などをしていれば十分に防げたレベルだと考えられる。外部からの指摘もなされていたし、むしろ自分たちで気付ける機会さえあった。にもかかわらず、これらの機会を見逃し、あるいは放置してしまったシステム運用に対する考えの甘さが、今回の事件を招いたのだろう。

　こうした事件は佐賀県に限らず、全国の自治体や学校で発生する可能性は十分にある。しかし、セキュリティ対策にはコストが掛かり、何より十分なセキュリティ対策と運用のできる人材を全国に配置することは現実的には不可能だ。そのため、最小のリソースで最大の効果を上げるための工夫が必要になる。

　日本で現在進んでいる教育機関のIT導入の対象は、全国約3万6000校にも及ぶ国公私立の小中学校、高校の全てだ。教育機関がIT活用を通じて扱うほとんどの情報は、教科書やノートに記載されているような機密性の低い情報のはずだ。こうした情報と、本当に守るべき情報とを同一のセキュリティレベルで管理する必要はない。守るべき範囲を限定する工夫をするだけで、セキュリティ対策のためのリソースは大きく減らせるはずだ。

　教育機関が持つ情報のうち、最も重要かつ守るべき情報は、学習者の安全にかかわる情報だ。学習者のプライバシー情報が悪意のある人に悪用されないことを第一に考える必要がある。つまり、まさに今回の不正アクセス事件で漏えいした成績情報などを含む個人情報こそ守るべき情報だったのだ。この肝心要の情報保護を軽視してしまっては、教育IT活用に未来はないだろう。ただし逆に言えば、教育機関のITシステムでは、この部分を重点的に守ることに注力すればよい。それが、セキュリティ対策の範囲をできるだけ少なくして、リソースを有効活用するためのコツにもなるからだ。

　次回はこのシリーズの最終回として、「教育ITの目指すべきものとセキュリティ対策」をどう実現するかに切り込んでいく。