教育情報セキュリティポリシーに関するガイドライン31

皆さんこんにちは。

令和4年3月、教育情報セキュリティポリシーに関するガイドラインが一部改訂されました。

平成29年10月18日 策定後、何度か改訂を繰り返しているガイドラインです。HBI通信でもたびたび取り上げてきましたが、今回は最新版をご一緒に読んでいくことにしましょう。

参考資料については、繰り返し申し上げますが、あくまで「一例」です。ご自分の自治体に合ったものにするために、よく理解をして、具体的に落とし込めるくらいご確認いただければと思います。難しい言葉が頻繁に出てきますが、ご一緒にゆっくり読んでいくことで、教育情報セキュリティポリシーを、少しずつ身近なものにしていってもらえればと思います。よろしくお願いいたします。

参考資料　1.9.1. 学校現場におけるクラウドサービスの利用について

クラウドに関しては、ガイドラインでも詳細に触れられています。今週も1.9.1学校現場におけるクラウドサービスの利用について、を読みます。

その中の「クラウドサービスのメリット」を取り上げます。

ガイドラインで多くのメリットが紹介されています。今までの経緯を考えると、「クラウド上に児童生徒の機密情報を置くなんてとんでもない」という考え方があったことを思い出すでしょう。最初のインパクトがそれだと、怖くなってしまいますね。

ガイドラインでは6点を取り上げて説明されています。特に「セキュリティの向上」については、不安な方がいるということを念頭にお読みください。行政職の皆様には、学校現場では「クラウドがセキュリティが弱い、怖い」と思っている方が一定数いる、ということをご理解いただければと思います。

• 効率性の向上

リソースの共用、既に設定済みのサービスを利用することから導入期間の短縮が見込まれます。

また、特に「教育委員会自らがサーバ等を用意する（オンプレミス）ことがなく、初期費用を大幅に抑えられる」ことがガイドラインでは謳われています。もちろん、運用コストについての十分な検討が必要なこと、いくらコストが安いと言っても毎年業者が変わる状況は安定的な運用につながらないことなどが注意として述べられています。

• セキュリティ水準の向上

　セキュリティ水準が第三者認証等によって担保されたクラウドサービスを選択することによって、一定水準のセキュリティは守られますし、必要に応じてより高度なセキュリティ機能の追加もできます。ガイドラインでは「サーバ等の管理を教育委員会・学校が行うのではなく、専門的な知識を有し、かつ最新の情報に基づく情報セキュリティ対策を随時実施するクラウド事業者に一定程度委ねることができるため、より効率的・効果的に情報セキュリティを担保することが可能となる。」とあります。

　セキュリティは日進月歩です。専門家でも毎日必死に学ばないとついていけない世界ですから、片手間にできる仕事ではありません。きちんとした専門家を選び、一定程度委ねることはセキュリティの強化につながります。

• 技術革新対応力の向上

クラウドは、「最新技術を活用し、試行することが容易であるため、技術革新対応力が高い。」とされています。教育系クラウドサービス（例えば、デジタルコンテンツ、協働学習ツール、個別学習向けデジタルドリル等）も、どんどん開発、改良が進んでいます。

• 柔軟性向上

オンプレミスの場合、5年後を見越したファイルサーバの容量を予測し、リソースが足りなければ「削除してください」という選択肢しかありませんでした。クラウドの場合、スモールスタートで開始し、必要に応じて機能追加をしていくことが可能です。そのための予算はもちろん必要ですし、ファイルサーバでいうなら無駄なファイルは削減するのは当然ですが、必要なファイルしかないのに削除を強いられる、ということは減るでしょう。

• 可用性・完全性の効率的確保

ガイドラインでは「仮想化等の技術により、複数の物理サーバのリソースを統合されたリソースとして利用でき、統合されたリソースの中で、利用者が必要なリソース分だけ柔軟に設定することができる。」とまとめています。オンプレミスの場合、定期点検でサーバが停止したり、突然の故障で長時間接続できなかったりするインシデントが発生することがありますが、クラウドではその可能性が低くなる、ということです。

もちろん、払う費用によってSLAは変わりますので、ご自分の自治体に合った必要なサービスレベルを考える必要があります。

• 保守・運用稼働の削減

「クラウド側の保守・運用をクラウド事業者に一元的に任せることから、オンプレミスと比較して、教育委員会・学校の稼働を削減することができる。」という観点も重要です。

　オンプレミスだって事業者に保守・運用を任せたら同じだろう、と言う意見は出ますが、教育委員会や学校現場は、「何かアラートが出ている」ことを業者に知らせるということ自体がとても負担になるということをご理解ください。専門家でもない先生や指導主事が、「オレンジ色のランプがついています」とだけ連絡して業者に動いてもらうことはできません。

　業者は「オレンジ色のランプはどの機械ですか」から始まり、「どの部分ですか」「他のランプの状態は」など、その場に行って解決するために必要な技術や人員を、調べてから保守対応をします。そうでなければ、現場で「必要な部品が違う」「必要な技術が違うので違う人員でないと直せない」ということが発生してしまうからです。

　そんなの頑張ればできるだろう、という意見については、「そんなの頑張ればできる」ことを現場にたくさんたくさんたくさん依頼してきたがために、現場の先生がどれだけ大変なのか、実際に頼まれてみてやってみるといいのになと思います。「それだけ」やればいいのであれば、先生方も頑張ってくれますが、「それだけ」が例えるならば100個も200個もたまっているのが現場です。1つ頑張ってやっているところに、違う仕事が横やりで入り、それを片付けようとしたらまた新たな頑張ってやる仕事が……という状況もありえるのです。この認識はぜひ行政職の皆様に持っていただきたいところです。

来週は参考資料の続き、クラウドサービスの利用について読んでいきます。