学校・教育現場における情報セキュリティとは？ 教育的位置づけも紹介

情報セキュリティとは、情報の機密性・完全性・可用性を維持すること

現実社会において、暴力行為や窃盗といった多様な犯罪があるのと同じように、ICTが発達した社会にも、情報の盗難やコンピュータシステムの破壊といった犯罪があります。また、悪意ある行為による情報の窃取だけではなく、火事や地震などの災害から情報を守ることも情報セキュリティに含まれます。

一般に情報セキュリティは、単に情報の漏えいを防ぐことだけを指すのではなく、情報の機密性・完全性・可用性を維持することと定義されています。これは学校・教育現場においても同じです。なお、3つの守るべき性質を表す英単語「Confidentiality（機密性）」「Integrity（完全性）」「Availability（可用性）」の頭文字を取って、「情報のCIA」ということもあります。情報の機密性・完全性・可用性の、それぞれの意味は次のとおりです。

学校・教育現場における情報資産の分類

学校・教育現場において情報セキュリティを維持するためには、保有する情報資産について理解することが重要です。情報資産とは有形・無形を問わず、組織の財産である情報と、その情報を活用するすべてのものが対象となります。つまり、学校においては、教育活動を行うために必要とされるすべての情報と捉えることができます。

文部科学省の「学校における情報セキュリティ及びICT環境整備等に関する研修教材 （教職員・指導主事向け）」（以下、セキュリティ研修教材）では、学校における情報資産を「校務系情報」と「学習系情報」の2つに分類しています。このうち校務系情報には個人情報や機密情報が多く、特に保護する必要があります。一方の学習系情報は、学習用教材データや児童生徒の学習成果などです。校務系情報、学習系情報それぞれの具体例は、以下のとおりです。

情報セキュリティを維持するために必要なこと

学校が保有する情報資産をきちんと理解し、情報セキュリティを維持するには適切に「情報資産の洗い出し」を行い、教職員1人ひとりが「洗い出した結果の確認」することが重要です。その上で、これらの情報を誰が・どこに・何を保管しているかリストとして管理します。

前述のセキュリティ研修教材では、リストに保存形態や保存場所、公開対象者などを明記するとともに、情報資産に対して想定される脅威を洗い出し、脅威の大きさをおおよそ、大・中・小の3段階程度に分類し、リスクの評価を行うことを推奨しています。また、後述する「教育情報セキュリティポリシーに関するガイドライン」では、情報資産の「重要性分類」について記載があります。具体的な分類例が示されていますので、ぜひ参考にしてください。

情報資産の重要性と想定される脅威を、学校が正しく認識しなければ情報セキュリティを維持することはできません。情報資産の重要性やリスクは、教職員1人ひとりが十分に理解しておかなければならない事項だといえます。

情報セキュリティ上の脅威

学校・教育現場でも、PCやタブレット端末の紛失・盗難による情報の漏えいや、ファイル共有ソフトウェアによる情報流出など、これまで多くのトラブルが発生しています。ここでは、セキュリティ研修教材の中で取り上げられた、代表的な情報セキュリティ上の脅威を紹介します。

マルウェア

マルウェアとは「Malicious Software（悪意のあるソフトウェア）」を略したもので、さまざまな脆弱性や情報を利用して攻撃をするソフトウェア（コード）の総称です。一般的にはコンピュータウイルスと同じ意味で使われますが、厳密にはさらに広義な用語として使われています。ウイルスのほか、ワーム、スパイウェア、アドウェア、フィッシング、ファーミング、スパム、ボット、キーロガー（キーストロークロガー）、トロイの木馬、論理爆弾など、さまざまな種類のマルウェアが存在しています。

不正アクセス

不正アクセスとは、利用権限が与えられていないコンピュータなどに対して、不正に接続する（接続を試みる）ことです。実際にそのコンピュータに侵入したり、利用したりすることを不正アクセスに含むこともあります。

情報の持ち帰り、コンピュータやメディアなどの紛失

コンピュータやUSBメモリ、外付けハードディスクなど「可搬型記憶装置」といわれる機器も、取り扱い方を一つ誤ると情報セキュリティの脅威になります。特にUSBメモリなどは小さく持ち運びしやすい一方で、紛失や盗難のリスクが高いので取り扱いに注意が必要です。

教育情報セキュリティポリシーに関するガイドライン

「教育情報セキュリティポリシーに関するガイドライン」（以下、ガイドライン）は、地方公共団体の各教育委員会が教育情報セキュリティポリシーの策定や見直しを行う際の参考にするため、教育情報セキュリティポリシーの基本理念と検討する際の考え方について解説したものとして、2017年に文部科学省によって策定されました。ガイドラインの総則では、学校・教育現場を想定した教育情報セキュリティポリシーの策定とその遵守、児童生徒への適切な指導が必要だとしています。以下で、詳しく確認します。

教育情報セキュリティポリシーガイドラインの目的

ガイドラインでは、「情報セキュリティポリシーは、情報セキュリティ対策の頂点に位置するものであり、本来は地方公共団体全てを包括するポリシーでなければならない」とした上で、「学校教育においては、児童生徒の存在及び取り扱う情報の多様性・多目的性等を考慮した情報セキュリティ対策を講ずる必要がある」とし、学校・教育現場特有の環境条件を踏まえて、教育情報セキュリティポリシーを策定する必要性を強調しています。

そして、教育情報セキュリティポリシーの「基本方針」については、総務省の定める「地方公共団体における情報セキュリティポリシーに関するガイドライン」に基づいて策定し、「対策基準」については本ガイドラインに基づいて策定するとしています。また、「実施手順」については本ガイドラインに参考にして、各教育委員会がひな形を作成し、各学校の実情に応じて「実施手順」を策定いただきたいとしています。

また、学校は児童生徒が過ごし、ICTを活用した学習活動などで日常的に情報システムにアクセスする機会があることから、「児童生徒においても情報セキュリティポリシーにて規定した対策について遵守するよう、職員、教員、保護者等が適切に指導を行うことが求められる」としています。

教育情報セキュリティポリシーガイドラインの改訂について

ガイドラインは、各教育委員会が教育情報セキュリティポリシーの策定や見直しを行う際の参考として使用されるものです。しかし、ICTの発達や社会情勢の変化のほか、児童生徒の学び方、教職員の働き方の変化も加わり、学校・教育現場に必要とされる情報システムと情報セキュリティも日々変化しています。こうした環境変化に適応するため、文部科学省はガイドラインの改訂を重ねてきました。これまでの改訂の概要をご紹介します。

令和元年12月版

学校・教育現場における多様な学習環境の実現、教員の働き方改革の実現に対応したシステム・情報インフラとしてクラウドが有力な解決策と認識されるようになったこと。さらに、2017年のガイドラインの策定・普及に伴って、教育情報活用のコストが増加したり硬直化したりする懸念が生じたことを踏まえ、改訂が行われました。クラウドを活用した環境構築に力点を置いた第5章を追加し、その視点での情報セキュリティ対策について追記されました。

令和3年5月版

GIGAスクール構想の推進により、児童生徒の1人1台端末および高速大容量の通信環境などの学校のICT環境整備が急速に進んだことに伴い改訂されました。令和3年5月版では、1人1台端末を活用するために必要な情報セキュリティ対策やクラウドサービスの活用を前提としたネットワーク構成の課題に対応するとともに、学習者用端末と指導者用端末から得られる教育データを効果的に活用して教育の質的改善を図るための改訂も行われています。

令和4年3月版

令和4年3月版は、従来の「ネットワーク分離による対策を講じたシステム構成」から「アクセス制御による対策を講じたシステム構成」（ゼロトラストなど）への円滑な移行を図るため、詳細な技術的対策を追記するとともに、両構成を明示的に書き分けるといった一部改訂が行われました。なお、本改訂は2021年9月に発足したデジタル庁の協力の下で実施されました。

令和6年1月版

2023年3月に公開した「GIGAスクール構想の下での校務DXについて」では、「次世代の校務DX」の在り方が示されました。次世代の校務DXは教職員の働き方改革の観点、データ連携の観点、レジリエンスの観点から、学校教育における課題解決を図るものです。次世代の校務DXを実現するため、校務系・学習系システムをパブリッククラウド上で運用しつつ、情報セキュリティを維持することがこれまで以上に重要になり、コストとベネフィットを総合的に勘案し検討することが必要であるとしています。

これにより、次世代の校務DXを踏まえた教育情報セキュリティの考え方として、ネットワーク統合を前提としたパブリッククラウド活用における適切なセキュリティ対策について追記しています。

情報セキュリティの教育的位置づけ

学校・教育現場における情報セキュリティは、情報モラルの中の一つに位置づけられています。情報モラルとは、「他者への影響を考え、人権、知的財産権など自他の権利を尊重し情報社会での行動に責任を持つこと」「犯罪被害を含む危険の回避など情報を正しく安全に利用できること」「コンピュータなどの情報機器の使用による健康との関わりを理解すること」です。情報モラルと情報セキュリティは、情報活用能力の中に含まれる能力で、情報活用能力の学習と併せて行うものとされており、「小学校学習指導要領（平成29年告示）解説【総則編】」において、情報活用能力は以下のように定められています。

情報活用能力の体系表例

学校・教育現場では、どのように情報活用能力を育成していけばいいのでしょうか。文部科学省が発表している「情報活用能力の体系表例」では、情報活用能力の具体例が発達の段階等を踏まえた5段階（ステップ1～5）で示されています。ステップ1は小学校低学年の段階を、ステップ5は高等学校修了段階をそれぞれイメージした、情報活用能力の体系表例となっています。

情報モラル指導モデルカリキュラム表

文部科学省は情報モラル教育を体系的に推進するため、情報モラルの指導内容を5つの分類に整理し、分類ごとに児童生徒の発達段階に応じて大目標・中目標レベルの指導目標を設定したものが、「情報モラル指導モデルカリキュラム表」です。ICT化が急速に進み、違法・有害情報に起因する問題が多発するなかで、児童生徒の「情報を適切に判断する力」を育むため、参考となるカリキュラムといえます。

情報モラル・情報セキュリティ教育に役立つ資料や教材

適切な情報活用能力を身につけるために、情報モラル教育・情報セキュリティ教育は重要です。ここからは、情報モラル・情報セキュリティ教育を行う上で役立つ資料などをご紹介します。

文部科学省「情報モラル教育ポータルサイト」

「情報モラル教育ポータルサイト」は、文部科学省が運営する情報モラル教育に特化したポータルサイトです。情報モラルは「情報社会で適正な活動を行うための基になる考え方と態度」と位置づけられ、情報発信による他者への影響を考え、人権、知的財産権など自他の権利を尊重し情報社会での行動に責任を持つことや、犯罪被害を含む危険の回避など情報を正しく安全に利用できること、コンピュータなどの情報機器の使用による健康との関わりを理解することなど、さまざまな事柄を含んでいます。「情報モラル教育ポータルサイト」には、情報モラルに関する自治体の「授業実践・活用事例」や他省庁の「情報モラル教育関連サイト」が掲載されており、学校や家庭における情報教育の資料として活用できます。

文部科学省「情報モラル学習サイト」

「情報モラル学習サイト」は、小学校1年生～高等学校3年生を対象に、文部科学省が運営するWebサイトです。写真やイラスト、動画を見ながら約3つの問題に挑戦することで、情報モラルについて学べます。それぞれの問題にかかる時間は約5～10分です。

情報処理推進機構「#今こそ考えよう 情報モラル・セキュリティ」

「#今こそ考えよう 情報モラル・セキュリティ」は、家庭学習を行う児童生徒用の無料オンライン学習ツールをまとめたWebサイトです。独立行政法人情報処理推進機構（IPA）が運営しており、教員用のeラーニングツールもあり、児童生徒だけではなく教員も活用できます。

学校・教育現場における情報セキュリティは、情報の保全の意味でも教育の意味でも重要

学校・教育現場は、多くの個人情報、機密情報を保有しています。また、1人1台端末の整備によって、これまで以上に教職員や児童生徒の情報モラルが問われる環境になりました。安全で安心できる環境で児童生徒の情報活用能力を育成するためにも情報セキュリティの重要性を理解し、適切な対策や指導を行うことが求められています。

ICTを活用した学習活動を支援する「SKYMENU Cloud」

GIGAスクール構想によって、児童生徒1人1台の端末が配備され、ICTを基盤とした新しい学びのかたちが広がっています。児童生徒が自己調整しながら学びを進める「個別最適な学び」と多様な個性を最大限に生かす「協働的な学び」、これらを一体的に充実させ、児童生徒が自らの手で未来を豊かに創り出していく力の育成を「SKYMENU Cloud」は支援します。

また、「情報漏えい対策」や「IT運用管理」を支援する機能を搭載した「SKYSEA Client View」は、「学習指導要領」や「教育情報セキュリティポリシーガイドライン」に則したICT機器の運用管理をサポートしています。安全性の高い教育環境の構築のため「SKYMENU Cloud」と併せてご活用ください。