教育情報セキュリティポリシーガイドライン、改訂ポイントをチェック！

教育情報セキュリティポリシーガイドラインとは？

「教育情報セキュリティポリシーに関するガイドライン」とは、文部科学省が策定した学校において教職員および児童・生徒が安心してICTを活用できるようにするための対策や考え方を整理したものです。

学校・教育現場では、ICTの活用が進んでいる一方で、児童・生徒や外部者による不正アクセスの事例も実際に発生しています。そのような状況を受け、これらの不正アクセスを防止するためにも、学校・教育現場における情報セキュリティ対策が急務となっていることは言うまでもありません。

「教育情報セキュリティポリシーに関するガイドライン」は、このような背景から学校・教育現場において、情報セキュリティ対策の考え方を整理するために、文部科学省において教育情報セキュリティ対策推進チームが策定したガイドラインとなります。

目的

「教育情報セキュリティポリシーガイドライン」の目的は、教職員及び児童・生徒が学校において安心してICTの活用を可能にするために、各教育委員会・学校が情報セキュリティポリシーの作成や見直しを行う際の参考にするものとして策定されています。

地方公共団体における教育情報セキュリティの基本的な考え方

教育情報セキュリティポリシーガイドラインでは、これからご紹介する６つの基本的な考え方に基づき、策定されています。

1. 組織体制を確立すること
2. 児童生徒による重要性の高い情報へのアクセスリスクへの対応を行うこと
3. 標的型および不特定多数を対象とした攻撃等のリスクへの対応を行うこと
4. 教育現場の実態を踏まえた情報セキュリティ対策を確立させること
5. 教職員の情報セキュリティに関する意識の醸成を図ること
6. 教職員の業務負担軽減及びICTを活用した多様な学習の実現を図ること

各教育委員会・学校においては、上記の基本理念を参考にして、情報セキュリティポリシーの作成や運用ルールの見直しを進めていくことが期待されています。

地方公共団体における教育情報セキュリティの基本的な考え方の詳細については、文部科学省の公式サイトにてご確認ください。
≫教育情報セキュリティポリシーに関するガイドライン

教育情報セキュリティーポリシーガイドラインの改訂ポイント

本記事では、「教育情報セキュリティーポリシーガイドライン」における令和3年、令和4年それぞれの改訂ポイントについて詳しく解説していきたいと思います。

令和3年、令和4年それぞれで改訂が続く

「教育情報セキュリティーポリシーガイドライン」は、2017年10月にはじめて策定された指針となります。本ガイドラインは、ICT環境における技術的な進展などを踏まえながら随時見直しを行っていくべきものとされ、令和元年（2019年）12月に第一回目の改訂が実施されました。
次いで、令和3年（2021年）5月に第二回目となる改訂が実施され、この度令和4年（2022年）3月3日に一部改訂版が公表されることになりました。

「教育情報セキュリティポリシーガイドライン」の策定から改訂までの流れについては以下の表をご覧ください。

令和3年の改訂ポイント

令和3年（2021年）5月に実施された第２回目の改訂では、GIGAスクール構想の前倒しにより、1人1台端末配備などの急速な学校ICT環境整備の推進に対応するために、ガイドラインの改訂が行われています。なお改訂ポイントは大きく以下の2点となっており、それぞれ明確に記述されています。

• 端末整備推進に伴う新たなセキュリティ対策
• 教育情報ネットワークの在り方について

令和4年の改訂ポイント

つづいて、令和4年（2022年）3月に公表された「教育情報セキュリティーポリシーガイドライン」では、対策方針や組織体制の在り方などの基本的な方針の変更はなく、第2回目に改訂されたガイドラインが一部改訂されたものとなります。令和4年の改訂版では、おもに以下の箇所について追記、記述されています。

• 「教職員等の利用する端末や電磁的記録媒体等の管理」にふるまい検知等の記述が追加
• 「教職員の順守事項」に校務端末の持ち出しに関する記述を修正
• 「コンピュータ及びネットワークの管理」に校務端末の使い分けについて記述

なお、これらの改訂ポイントの詳細については、次項より順を追って詳しく解説していきます。

端末整備推進に伴う新たなセキュリティ対策の改訂ポイント

まず第2回目の改訂において、ポイントの一つとなる「端末整備推進に伴う新たなセキュリティ対策」では、具体的な取組みとして以下の２つが挙げられています。

1人1台端末の活用における新たなセキュリティ対策の追加

学校・教育現場において、1人1台の端末配備と利活用をしていくにあたり、クラウドサービスが日常的に活用されることになります。それに伴い、端末やクラウドサービスを利用するネットワークや場所にとらわれないセキュリティ対策の記述を充実化していくと明記しています。具体的な対策については以下のとおりです。

参照：教育情報セキュリティポリシーに関するガイドライン資料より

※１）MDM（モバイル端末管理：Mobile Device Management）：タブレットやスマートフォンなどのモバイル端末を一元管理するシステム。学校・教育現場ではGIGAスクール構想の標準仕様として採用されている。

MDMの機能やできることについては、以下の記事で詳しく解説しています！
≫MDMとは？基本機能や目的、選定ポイント、メリットデメリットを徹底解説

1人1ID化に対する新たなセキュリティ対策の追加

児童・生徒1人ずつに対し個別のIDを付与することで、学びを蓄積しながらも、教員やAIによるフィードバックが行われることで、個別に最適化された学びを提供できると期待されています。
しかしその便利さが高まる一方で、個人が利用する学習用ツールやクラウド上のアプリケーションのIDやパスワードに対して、安全な管理を行うことも必須となってきます。
そのため、教育情報セキュリティポリシーガイドラインでは、以下で挙げる1人1IDにおけるセキュリティ対策について記述を充実するとしています。

シングルサインオンでどのようなことができるのか？については、以下の記事で詳しく解説しています！
≫シングルサインオンの仕組みや機能については以下の記事をチェック！

教育情報ネットワークの在り方についての改訂ポイント

令和3年（2021年）5月に実施された第2回の改訂では、教育情報ネットワークの在り方についても大きな改訂ポイントになっています。具体的な以下の３つの改訂ポイントについて順にみていきましょう。

ネットワーク分離を必要としない構成の明確化

教育情報ネットワークの在り方における一つめの改訂ポイントとして、ネットワーク分離を必要としない認証によるアクセス制御を踏まえた構成を明確化すると言ったことが挙げられます。
これは、一部の通信を直接インターネットへ接続するローカルブレイクアウト構成および、クラウドサービスの利活用を行うことが前提として置かれています。

情報資産の「持ち出し」「外部送信」の適正化

情報資産を扱うにあたり、「持ち出し制限」「外部送信」についても内容が適正化されています。とくに組織外部への「持ち出し制限」については、これまでの表現において実質禁止と捉えられており、利活用の弊害になっているケースが少なからずありました。

この点において適正化が図られ、今後のデータ活用に向けてガイドラインに準拠することを前提として、「真にやむを得ない場合に限り、情報セキュリティ管理者の判断で持ち出しを可」と見直しが行われ、利活用ができるよう表現が適正化されています。

個人情報保護に関する確認事項の追加

改正個人情報保護法に準じて、クラウドサービス活用における個人情報保護に関する確認事項が追加されています。クラウドサービスにて個人情報を取り扱う際には、個人情報保護審議会に諮る上で必要とされる主な項目例が以下のとおり整理されています。

教職員等への管理、遵守事項の記載追加のポイント

つぎに、令和4年（2022年）3月に公表されたガイドラインの改訂ポイントについてみていきましょう。まずは改訂ポイントの一つめとなる「教職員等への管理」「遵守事項の記載」などについてご紹介していきます。

教職員等の利用する端末や電磁的記録媒体等の管理

教職員が利用するPCやモバイルデバイス、電磁的記録媒体などが適切に管理されていない場合は、端末の紛失や盗難、情報漏えいなどに遭うリスクがあります。ガイドラインでは、このような被害を防止するために以下のような対策を講じるよう明記されています。

人的セキュリティとしての教職員等の遵守事項規定

つぎに、教職員等が情報資産を扱う際に多様な脅威から「どのように」守るのかという手段についても記載されています。起こりうる過失によるセキュリティ上のリスクを最小限に抑えるための対策基準として以下の４つが明記されています。

教職員等の遵守事項

教職員等が情報資産を扱う際に、不正利用や適正な取扱いを怠った場合における情報漏えいのリスクを防ぐために、以下のとおり遵守すべき事項を明確に規定するとしています。

非常勤及び臨時の教職員への対応

教育情報セキュリティ管理者は、非常勤及び臨時の教職員等を採用する際は、情報セキュリティポリシー等のうち守るべき内容を理解させることが必要です。また、必要に応じて情報セキュリティポリシーの遵守の同意書への署名を求めることもあると記載されています。
PCやモバイル端末の機能については、非常勤の教職員等の業務内容によって不必要な機能は制限することが適切であるとしています。

情報セキュリティポリシー等の掲示

教職員等が情報セキュリティポリシーを遵守することを前提として、イントラネット等に掲示する方法を取るよう明記されています。
これにより、つねに教職員等が最新の情報セキュリティポリシー及び実施手順を閲覧できるようにしなければなりません。

外部委託事業者に対する説明

ガイドラインでは、外部委託事業者に対する説明についても記載されています。

昨今では、外部委託事業者の内部管理が不十分であることから、情報の漏えい等が発生する事例が多発しています。そのため事業者（外部委託事業者から再委託を受けた事業者を含む）等に情報システムの開発及び運用管理を委託する場合については、教育情報システム管理者は、契約の遵守を求めることが必要とされています。
また、委託の業務範囲に従い、情報セキュリティポリシー及び実施手順に関する事項を説明する必要があります。

コンピュータ及びネットワークの管理

つづいて、「コンピュータ及びネットワークの管理」については、以下のとおり校務端末の使い分けにおいて21の対策が明記されています。
なお、それぞれの対策に関する詳細については、文部科学省の公式サイトにて掲載されているガイドラインをご確認ください。

参照：教育情報セキュリティポリシーに関するガイドライン(令和4年3月)

まとめ

今回は、「教育情報セキュリティポリシーガイドライン」の改訂されたポイントを中心にわかりやすく解説してきました。GIGAスクール構想の実現に向け、学校・教育現場では急速なICT環境の整備が行われていますが、安心してICTを活用できるような情報セキュリティ対策は必須です。教育関係者の方は、本ガイドラインを活用し安全かつ快適なICT教育を推進していきましょう。