製品のお問い合わせ 
総合窓口 
サポート 
ENGLISH 
教育情報のセキュリティ対策
文部科学省が2017年10月18日、「教育情報セキュリティポリシーに関するガイドライン」を発表しました。
ガイドラインの基本的な考え方について「組織体制を確立」「児童生徒による機微情報へのアクセスリスクへの対応」「インターネット経由による標的型攻撃などのリスクへの対応」「教育現場の実態を踏まえた情報セキュリティ対策を確立」「教職員の情報セキュリティに関する意識の醸成」「教職員の業務負担軽減およびICTを活用した多様な学習の実現」の６点を示しています。
また、技術的対策を中心とした教育情報システム全体の強靱性向上については、「学校が保有する機微情報に対するセキュリティ強化」「学校単位で機微情報を管理するリスクの低減」「教職員による人的な機微情報漏えいリスクの最小化」の３つを対策のポイントとしています。
有識者に聞く、ガイドライン策定のポイントと今後
教育機関の情報セキュリティ対策
情報安全保障研究所 首席研究員
山﨑 文明 氏
── 対策推進チームの設置から「ガイドライン」策定までの一連の流れを教えてください。
山崎氏：2016年9月に初会合を開き、以後1～2カ月ごとに5回にわたって検討を重ね、その結果を2017年7月に「ガイドライン（案）」として公開。さらにパプリックコメントに寄せられた意見を受けて内容を調整し、今回の発表に至りました。
── 「ガイドライン」の特色を簡単にご説明ください。
山崎氏：地方公共団体が運営する学校（小学校、中学校、義務教育学校、高等学校、中等教育学校および特別支援学校）を対象としていることから、総務省が2001年3月に策定（2015年3月 改訂）した「地方公共団体における情報セキュリティポリシーに関するガイドライン」をベースに検討を進めました。ただし多くの学校では、コンピュータを用いた学習活動などが取り入れられており、教職員だけでなく、児童・生徒も日常的に情報システムを利用することから、現場の実情に応じた内容を目指しました。
―― 「ガイドライン」の内容はどのようなものなのでしょうか？
山崎氏：「ガイドライン」そのものは文部科学省のWebサイトに公開されていますから、それを読んでいただくのが一番ですが、以下6つの基本的な考え方に基づき、具体的な対策基準を示しました。
- 組織体制を確立すること
- 児童生徒による機微情報へのアクセスリスクに対応すること
- インターネット経由による標的型攻撃等のリスクへの対応を行うこと
- 教育現場の実態をふまえた情報セキュリティ対策を確立させること
- 教職員の情報セキュリティに関する意識の醸成を図ること
- 教職員の業務負担軽減及びICTを活用した多様な学習の実現を図ること
「ガイドライン」ではこれらの対策基準をもとに、地方公共団体の教育委員会が各学校における情報セキュリティポリシーの策定と運用ルールの見直しを行うことを求めています。組織や対策の例は「ガイドライン」に図示してありますが、地方公共団体や学校ごとに内容は変わってきますので、これが絶対というわけではありません。あくまで参考ですね。
── 「ガイドライン」の策定にあたってはどんなことを重視されましたか？
山崎氏：対策によって現場の教職員に負荷がかからないよう配慮しました。昨今、教職員の長時間労働が問題になっている中、そこへさらに対策の実務まで担ってもらうのは難しいと判断しました。もちろん、各教職員は情報システムのユーザーでもありますから、情報セキュリティについて高い意識を持ってもらう必要がありますが、対策そのものは教育委員会が主体となって行うとしています。
── 今回の「ガイドライン」でポイントとなるところをご紹介ください。
山崎氏：では順を追って説明していきましょう。
【組織体制】
副知事あるいは副市長にCISO（Chief Information Security Officer：最高情報セキュリティ責任者）の権限を持たせることを求めています。副知事や副市長がトップに立つことで、話の取りまとめや予算措置、部局間調整などが容易になるだろうという判断です。
【機密性の区分】
扱う情報をその機密性に応じて「1」「2A」「2B」「3」、以上4つのカテゴリーに分けました。「2」を「2A」と「2B」の2つに分けたのは、一般に地方公共団体では「1」～「3」で区分することが多いため、これに準じることで運用性を高めました。
【暗号化】
前項の区分のうち、「３」と「２B」の情報について暗号化を求めていますが、教職員の負担軽減という観点では、全ての情報を暗号化することで教員がいちいち判断を下す負荷をなくすことも非常に有用だと考えています。
【ネットワークの分離】
学校のネットワークは大きく分けて学習系と校務系の2つがあり、そのうち学習系はインターネットへの接続が不可欠です。一方の校務系はセキュリティ面を考えると閉じたネットワークで運用するのが理想ですが、インターネットにアクセスせざるを得ないケースもあることから、これを2つに分け、合計3系統で運用することを求めました。
【ログの保存期間】
「6カ月以上」という保存期間を設けました。本来ならば2年ほど保存しておくべきなのかもしれませんが、現場で無理なく対応できる範囲ということで「6カ月以上」にしています。
【電子メールのセキュリティ対策】
スパムメール、フィッシングメールなどへの対策として、送信ドメイン認証技術（SPF、DKIM）およびDMARC（Domain-based Message Authentication, Reporting & Conformance）の導入を推奨しました。
なお、これらのポイントは「ガイドライン」上で箇条書きになっているわけではありません。過去の議論を振り返っての私の思いを述べたものだと理解してください。例えば最後に挙げたDMARCについては、注釈の解説記事として入っています。本文であまり詳細な技術情報に踏み込むべきではありませんので、注釈として記載することにしたのです。他にも「脆弱性の定期的な検査」なども重要なポイントだと考えていますが、全体的なバランスから本文では大きく扱っていません。こうした機微を文字だけで正確に伝えるのは困難ですので、セミナーなどで随時補足していく必要があると考えています。
── いずれにせよ、「ガイドライン」をしっかり読み込むことが大切ですね。
山崎氏：その通りです。とはいえ、情報セキュリティ対策を効果的に実施するためには高度な専門技術が求められますが、教育委員会や現場の教職員が対応するのは容易ではありません。もちろん、各地方公共団体の情報システム部門から支援を受けることも可能でしょうが、リソース的にあまり余裕はないはずなので、「ガイドライン」では外部サービスの積極的な活用をうたっています。情報セキュリティ対策について豊富な実績があり、かつ信頼できる業者へ委託するのが現実的な解ではないでしょうか。
── いかにして質の高い外部サービスや業者を選ぶかがカギということですか？
山崎氏：そうです。ですから「ガイドライン」でも、業者選定に際しての留意事項にページを割いていますので参考にしてください。ある意味、学校は特殊な現場ですので、たとえ情報セキュリティ対策の経験が豊富でも、現場を知らない業者では実効性のある提案は難しいでしょう。ですから学校に出入りする業者にも、情報セキュリティの専門家として「ガイドライン」の内容を理解した上で、学校と密にコミュニケーションをとり、現場への理解を深めることを求めたいですね。
── 最後に、今後の予定について教えてください。
山崎氏：まずはモデルとなる学校や教育委員会を選択。ガイドラインに沿った実証実験を行い、その結果をふまえて全国の学校へ展開することになるでしょう。なお、対策推進チームはその名の通り本来は緊急対策のために設立されたものですから、「ガイドライン」を定着させていく活動には参画しません。ただ、何か重大なインシデントが発生したり、「ガイドライン」の改訂が必要になったりした際には、再招集されることになるかと思います。
ALSIがご提案するガイドライン対応ソリューション
ガイドラインに沿った情報セキュリティ対策が必要です。
学校における情報セキュリティ対策イメージ
ALSIがご提案するソリューション
| 対応項目 | 対応ソリューション | |
|---|---|---|
| 教育情報システム
全体の強靭性向上 |
P.10(2)(主な対策)③ 校務系サーバ及び 学習系サーバの暗号化 |
ファイル単位の暗号化で 万一の外部流出時もデータを保護 |
| P.10(3)(主な対策)①② 管理されたUSB等の 電磁的記録媒体以外の使用禁止 電磁的記録媒体の暗号化の徹底 |
使用できるデバイスを暗号化USBに限定 ファイル書き出し時は自動で暗号化 |
|
| 物理的セキュリティ | P.41【例文】⑤ パソコンやモバイル端末での データの暗号化 データ暗号化機能を備える 電磁的記録媒体の使用 |
ファイル・USBメモリの暗号化 |
| 人的セキュリティ | P.44 2.5.1(1)④ 支給以外の端末及び 電磁的記録媒体の業務利用禁止 業務上必要な場合は、 管理者の許可取得が必要 |
使用できるデバイスを限定 支給外デバイスはワークフローで許可 ファイル書き出し時は自動で暗号化 |
| 技術的セキュリティ | P.56 2.6.1【例文】(1)④ 校務外部接続系サーバ及び 学習系サーバ保管情報の ファイル暗号化 |
ファイル保存時に自動で暗号化 業務効率を落とさず対策 SBC環境でのファイル暗号化 |
| P.61(解説)(1) ファイルの自動暗号化による 教職員の業務負担軽減 |
||
| P.57【例文】(6)① 各種ログ及び記録の取得・ 一定期間保存 |
各種ログの一元取得による証跡管理
InterSafe ILP※
|
|
- 教育情報システム全体の強靭性向上
- 全体の強靭性向上
- P.10(2)(主な対策)③
校務系サーバ及び学習系サーバの暗号化
- P.10(3)(主な対策)①②
管理されたUSB等の電磁的記録媒体以外の使用禁止
電磁的記録媒体の暗号化の徹底
使用できるデバイスを暗号化USBに限定
ファイル書き出し時は自動で暗号化- 物理的セキュリティ
- P.41【例文】⑤
パソコンやモバイル端末でのデータの暗号化
データ暗号化機能を備える電磁的記録媒体の使用
- 人的セキュリティ
- P.44 2.5.1(1)④
支給以外の端末及び電磁的記録媒体の業務利用禁止
業務上必要な場合は、管理者の許可取得が必要
- 技術的セキュリティ
- P.56 2.6.1【例文】(1)④
校務外部接続系サーバ及び学習系サーバ保管情報のファイル暗号化 - P.61(解説)(1)
ファイルの自動暗号化による教職員の業務負担軽減
- P.57【例文】(6)①
各種ログ及び記録の取得・一定期間保存
各種ログの一元取得による証跡管理InterSafe ILP※※InterSafe ILPは、情報漏洩対策シリーズInterSafe FileProtection/SecureDevice Ultimate/DeviceControl/WorkFlowの総称です。自由な組み合わせで一元的に管理が可能です。
ファイル暗号化
ファイルを保存するタイミングで自動的に暗号化
・拡張子そのまま ・パスワード不要 ・フォルダ保存時自動暗号化も可能
セキュリティUSBメモリ作成
詳細はこちら→USBメモリを暗号化、パスワード・コピーガードで情報漏洩防止
・汎用USBメモリを変換 ・有効期限超過時のデータ破棄 ・ウイルス対策
デバイス制御
詳細はこちら→USBメモリなど電磁的記録媒体の利用を許可されたデバイスに限定
テザリングや公衆無線LANなどのネットワーク接続、プリンタ印刷も制限
ワークフロー
詳細はこちら→デバイス制御と組み合わせて柔軟な持ち出し管理が可能
・持ち出しを申請/承認 ・原本保管 ・書き出し時の自動暗号化も可能
単品製品 製品 製品に含まれる機能 単価※ InterSafe DeviceControl 管理コンソール、デバイス制御 ¥4,900 InterSafe WorkFlow 管理コンソール、ワークフロー ¥3,150 InterSafe SecureDevice Ultimate 管理コンソール、セキュアUSBメモリ作成 ¥8,750 InterSafe FileProtection 管理コンソール、ファイル暗号化 ¥22,400 InterSafe FileProtecrion Basic
ファイル暗号化 ¥16,800 セット製品 製品 製品に含まれる機能 単価※ InterSafe デバイス管理セット 管理コンソール、デバイス制御、ワークフロー ¥7,350 InterSafe デバイス書出し暗号セット 管理コンソール、デバイス制御、ワークフロー、デバイス書出し時ファイル暗号化 ¥8,750 InterSafe SD基本セット 管理コンソール、デバイス制御、セキュアUSBメモリ作成 ¥12,250 InterSafe SD管理セット 管理コンソール、デバイス制御、セキュアUSBメモリ作成、ワークフロー ¥14,350 ※500ライセンスの場合。5年間のサポートサービス費込。
ホワイトペーパー資料ダウンロード
- P.10(2)(主な対策)③
