教育情報セキュリティポリシーに関するガイドライン(令和6年1月)2

皆さんこんにちは。

2024年1月（令和6年1月）教育情報セキュリティポリシーに関するガイドライン改訂版が公開されました。

平成29年10月に第1版が公開されて以降、時代の要請にあわせて何度か改訂が行われてきました。令和4年3月以来約2年ぶりの改訂です。セキュリティ、と聞くと身構えてしまいがちですが、今後の世界を生き抜くためにはどうしても必要な知識となります。過剰に恐れることなく、甘くみて大変なことになることもなく、ちょうどよい塩梅をご自分で見つけられるよう、まずはガイドラインに触れていただきたいと思います。

今回も見え消し版を使いながら、ご一緒にゆっくり読んでいきましょう。

重要：はじめに

自治体にはセキュリティポリシーがあるのだから、それに従えばよい、という考え方をする人は一定数います。

ところが、文部科学省がわざわざ「教育情報セキュリティポリシーに関するガイドライン」を出している、しかも頻繁に改訂している、という事実があります。どうしてでしょうか。自治体のセキュリティポリシーを遵守する、の方針であれば労力をかけて「教育」情報セキュリティポリシーに関するガイドラインを制定する必要はありません。

つまり、自治体のセキュリティポリシーでは賄えない部分が教育にはある、ということを意味しています。

その最も大きなものは、「教職員や児童生徒が守るべき情報資産に触れる」ことです。ガイドラインに述べられています。

自治体のポリシーで、「担当者以外個人情報に触れないよう対策を講じる」というのはよくある設定です。学校だって極力担当者以外個人情報に触りたくありません。ですが、学校の「担当者」って誰でしょうか。担任でしょうか。例えば、子どもの命に係わる個人情報、例えばアレルギーだとか、そのような情報を、担任だけが知っている、というのは非常に危険だと私は感じます。学年主任、校務・教務主任、管理職、栄養教諭、養護教諭、その学級に入るスクールサポートスタッフ等、隣のクラスの担任などなどなどなど。個人情報を守る、ということと、命を守る、ということの塩梅を探っていく必要があると思います。

もちろん、本人や保護者の同意が必要ですが、私は命を守るための情報を、学校にいる大人が共有することは必要なのではないかと思います。白か黒かではなく、どのラインならみんな納得するのか、ということが話し合いによって導かれるととてもいいですね。

というような「個別に事情のある案件」が学校には非常に多いです。ただ、それだけなら役所だって多種多様な人に対応するのだから、と思う人もいるでしょう。

学校の特徴は「児童生徒」が「教職員」と同じネットワークでICT機器を活用しているところです。

ネットワークに繋がずにICT機器を使う、というのはもう考えられない時代です。協働学習を推進するには、教員と児童生徒が同じネットワーク内で情報のやり取りをしたり、共有したり、考えを述べたり、ファイルを作成したりする必要があります。

そして、教職員は、児童生徒の成績をつけたり、出欠席の状況を取ったり、就学援助の手続きをしたり、ととにかく機密情報を扱います。

情報は単独で手元に置いておくより、集約して分析したほうが活用できるのは間違いないので、それらの情報も、パソコンで処理をし、管理をします。通知表の所感を管理職が確認する際、ネットワーク上に置いておきいつでも見られる、という状況の方が話が進むのが確実に早いでしょう。

そういう状況で、どのようにセキュリティを確保していくか、ということがとても重要です。自分の成績を改ざんする、という誘惑にかられる児童生徒は存在し、実際に逮捕者まで出ています。https://www.niikei.jp/27666/

ですから、学校に適用するためのポリシーを策定する必要があるわけですね。

ところが、ガイドラインによると、「令和 5 年時点で学校教育独自の教育情報セキュリティポリシーを定めている割合は 50%程度に留まり、教育委員会が所属する地方公共団体の情報セキュリティポリシーを準用している割合が 35%、残る 15%は準用もせず情報セキュリティポリシー自体を策定していない状況にあり、大変憂慮すべき事態である。」とあります。

ポリシーがあると、「それを守っていればいい」ということがわかり、セキュリティを守るハードルが下がります。何にもない状態で「セキュリティに気をつけろ」と言われても、何を守ればよいのかわからないですね。

セキュリティなんて面倒になるだけ。手順を増やすな。今まで何も起こってなかったんだからいいじゃないか。そういう風な声が一昔前はずいぶん強かったのですが、今はだいぶん変わりました。学校現場が大変なことは重々承知の上で、それでも、悪気なく、たまたま事故で、事件の加害者になる、という可能性を少しでも減らすために、教育情報セキュリティポリシーに関するガイドラインをご一緒に読んでいければと思います。

来週は教育情報セキュリティポリシーに関するガイドライン（令和6年１月版）第１編総則を読んでいきます。