教育情報セキュリティポリシーに関するガイドライン9
大江 香織皆さんこんにちは。
令和4年3月、教育情報セキュリティポリシーに関するガイドラインが一部改訂されました。
平成29年10月18日 策定後、何度か改訂を繰り返しているガイドラインです。HBI通信でもたびたび取り上げてきましたが、今回は最新版をご一緒に読んでいくことにしましょう。
ガイドライン、と聞くと私は「やったー！ いろんな専門家のいろんな知見が集まって解説してくれているこんなラッキーなことはない、私一人で調べるよりよっぽど早い。本当にありがとうございます！！」と思って見に行きます。自分で一から調べるのも糧になりますが、既に知見が集まっているのならそれをもとに、批判的に読み、自分にあてはめて落とし込んでいくことができるとよりいいなと思っています。
ご一緒にゆっくり読んでいくことで、教育情報セキュリティポリシーを、少しずつ身近なものにしていってもらえればと思います。よろしくお願いいたします。
第３章 地方公共団体における教育情報セキュリティの考え方
図表：学校におけるネットワーク等の構成のイメージ
セキュリティをどのように確保するのか、というのは文章でいくら言われてもイメージができない部分は出てきてしまいます。そのため、ガイドラインも図を使って説明を試みています。
ただ、ここにも「画一的な方策を示しているものではない。教育委員会・学校においては、自らが実現したい環境、コスト等を踏まえながらネットワーク構成を検討すること」という注意書きがあります。絶対これにしなければならない、ということではないことを繰り返し言っています。
＜データセンターとクラウドを併用し、ネットワーク分離を基本としたネットワーク構成イメージ
（ネットワーク分離による対策を講じたシステム構成）＞
「GIGA スクール構想の実現に向けたクラウドの活用を前提とした今後の推奨ネットワーク構成である」という注釈のある図の2つ目は以下の通りです。
行政系のネットワークは左端で独立しているのは変わりません。
教育ネットワークと、インターネットが分離していますね。教育ネットワークを分離させる方法として、IP-VPNやインターネットVPNが例示されています。
インターネットの接続形態としては、「センター集約型」、「学校直収型」が想定される。上記の図は、データセンターやインターネットへの接続は「センター集約型」で行い、ネットワークを論理分離している場合のイメージである、という注釈があります。センター集約型は先週もお伝えしたとおり自治体の規模によってはとても難しいと思います。信頼できる技術者とお話ししておく必要がありますね。
また、二つ目の注には「上記図表におけるクラウド（破線部分）とは、校務系や学習系ごと等に構築される、いわゆるマルチクラウドで運用する場合のイメージである。」とあります。校務系には校務系のクラウド、学習系には学習系のクラウドを構築する、というイメージだとありますね。同じようなものを２種類構築しなければならないとしたら単純に考えてコストがかかります。
このネットワーク分離は、何が良いのでしょうか。
様々な約束、決まり事、ルールを無視しても、情報漏洩につながりにくい、ハッキングされにくい、という風に見えるのが良いと考えられています。
ネットワークが統合されていて、すべてがシームレスにつながればそんな良いことはないですが、情報のレベル付けによって、絶対外に出してはいけないものがシームレスに持ち出されてしまっては困ります。そうならないような手立てで間違いないのはネットワーク分離でしょう。
システムを利用する人間が増えれば増える程事故や事件の可能性も高くなります。児童生徒の数が多く、教員や学校に入る他の大人もシステムを利用する、となると人数は多くなります。情報モラルやデジタル・シティズンシップの授業や研修を実施しても、万全だといえるわけではありません。安全のために、ということでネットワーク分離が推奨されてきた背景もあります。
このネットワークについては、注の３番目、４番目は必ず確認しておきましょう。
「一部の通信を直接インターネットへ接続するローカルブレイクアウトについては学校から直接インターネットへ接続する構成となるため、ローカルブレイクアウトによるインターネットとの接続ポイントについては、学校直収型と同様のセキュリティ対策を実施すること。」とあります。すべてセンターサーバー型で実現するのは不可能ですね。特に学校数が多い自治体だと検討しなければなりません。その場合、セキュリティ対策ももう一か所増える、ということを考えなければならないと言っています。
また、「 ローカルブレイクアウト構成については、「新たなインターネット回線を個別に準備」、「既存機器から特定の通信のみインターネットへ接続」することが想定される。既存機器の性能や回線費用などを考慮し、適切に選択すること。」ということも書かれています。
新たな設備を考えなければならないのですから、適切な選択を実施することが必要ですね。
人的セキュリティは最も対策が難しい部分ですから、それを技術とお金の力で解決しよう、という考え方もあります。自治体の実情に合わせて考えていく必要があるということですね。
これで絶対正解、というものがないのがとても難しいですが、考慮する内容が多ければ多いほど、関わる人の知恵を出し合えば出し合うほど、その結果導き出されたネットワークは自治体にあったものになるでしょう。
来週は第４章 教育情報セキュリティポリシーの構成と学校を対象とした「対策基準」の必要性 を読んでいきます。
投稿者プロフィール
-
株式会社ハイパーブレインの取締役教育DX推進部長 広報室長です。
教育情報化コーディネータ1級
愛知教育大学非常勤講師です。専門はICT支援員の研究です。
最新の投稿
HBI通信2024年11月18日教育情報セキュリティポリシーに関するガイドライン(令和6年1月)24
HBI通信2024年11月11日教育情報セキュリティポリシーに関するガイドライン(令和6年1月)23
HBI通信2024年10月28日教育情報セキュリティポリシーに関するガイドライン(令和6年1月)22
HBI通信2024年10月21日教育情報セキュリティポリシーに関するガイドライン(令和6年1月)21
