〒151-0053 東京都渋谷区代々木4-15-6-107
受付時間 | 9:00～17:00 |
|---|
定休日 | 土・日・祝 |
|---|
本ページでは教育機関のサイバーリスク（個人情報漏洩リスク）について説明いたします。
●はじめに
サイバーリスクは、個人情報を大量に扱う教育機関において重要な経営課題となっています。教育現場におけるICT化の進展により、ネットワークやクラウドサービスへの依存度は年々高まっています。一方で、サイバー攻撃の対象は規模の大小問わず、セキュリティ対策が十分でない教育機関にも広がっています。特に学生・生徒の個人情報を大量に保有している点から、教育機関は攻撃者にとって魅力的な標的となっています。警察庁、IPA（情報処理推進機構）が直近のデータをもとに注意喚起を行っています。こうした状況を受け、経済産業省は2027年より、サプライチェーン全体の安全性向上を目的とした「SCS(サプライチェーンセキュリティ)評価制度」の運用開始を予定しています。
●教育機関がサイバー攻撃で狙われる理由?
① セキュリティ対策のばらつき
組織全体で統一されたセキュリティ対策が整備されていないケースが多く、攻撃者にとって侵入しやすい環境となっています。
② 多様な端末・利用者
教職員だけでなく、学生・生徒が個人端末を利用するケースが多く、管理が行き届きにくい環境です。これにより、不正アクセスやマルウェア感染のリスクが高まります。
③ ネットワークの開放性
教育機関は利便性を重視するため、外部との接続が多く、ネットワークが比較的開かれた構造になっています。
④ ランサムウェア攻撃の対象
データの復旧が困難な場合、授業や運営に支障が出るため、身代金を支払う可能性がある組織として狙われやすい傾向があります。
●教育機関における3つのサイバーリスク
① 踏み台リスク ＜外部への被害拡大・加害者化＝賠償リスク＞
教育機関のネットワークやアカウントが攻撃者に悪用され、取引先企業、委託業者、保護者などに対する攻撃の起点となるリスクです。損害賠償に発展する場合もあります。
② 個人情報漏洩リスク
学生・生徒・保護者情報の流出。教育機関が保有する大量の個人情報が外部に流出するリスクです。信用の毀損だけでなく損害賠償が伴い、運営継続の危機に直面しかねない重大な経営課題です。
③ 学校の運営リスク＜サイバー被害への対応＞
サイバー被害を受けた場合、学校の運営（授業・試験・入試業務など）を再開するための初動対応は多岐にわたります。被害状況の把握、被害拡大防止、証拠保全、ログの解析などのデジタル・フォレンジックが必要です。
●教育機関のサイバー被害例
▼日本大学 文理学部（2026年6月公表） 【WEBサイトの改ざん（不正アクセス）】
概要：文理学部のWebサイトシステムに残っていた既知の脆弱性が悪用され、不正プログラムを設置されました。サイトにアクセスするとカジノサイトを模した不正な画面へ誘導される状態になりました。個人情報の漏えいは確認されませんでしたが、システムの一部における脆弱性対応やアカウント管理の不備が原因とされています。
▼ 東京大学（2026年3月公表） 【アカウント乗っ取り（不正アクセス・踏み台攻撃）】
概要：学内の研究室サーバーが不正アクセスを受けました。共同研究者が利用していた学外のサーバーが先にハッキングされ、その研究者のアカウントを使って東大のサーバーに侵入されました。さらにその東大サーバーを起点として、学内外の別サーバーへ攻撃を仕掛ける「踏み台」として悪用されました。
▼ 東海大学（2026年2月最終調査報告） 【サプライチェーン攻撃（委託先からの踏み台攻撃】
概要：ネットワークの保守・管理を委託していた外部のIT企業がランサムウェア攻撃を受けました。そのサーバーから、東海大学の学生や卒業生など最大19万人超の個人情報が漏えいした可能性があることが判明しました。自組織だけでなく、委託先のセキュリティ脆弱性が引き金となった典型的な「サプライチェーン攻撃」の事例です。
▼沖縄県立看護大学（2025年12月発生） 【ランサムウエアによる暗号化】
概要：大学が利用している教務支援システムが外部から不正アクセスを受け、ランサムウェアによって内部のファイルが暗号化される被害が発生しました。この影響によりシステムの一部が利用不能となり、管理されていた学生情報の漏えいの可能性も含めた調査が行われました。
概要：事務職員が使用しているパソコンが不正アクセス を受けた事案が発生しました。 本学で調査した結果、パソコンに保存していた個人情報が漏洩した可能性があることが 排除できないということが判明しました。
●サイバー攻撃に対する主な対策
サイバー攻撃への対策は、「技術的対策」と「人的対策」を組み合わせることが重要です。攻撃手法は日々巧妙化しているため、一つの対策だけに依存せず、複数の防御を重ねる「多層防御」の考え方が求められます。
▼技術的な対策
① OSやソフトウェアの最新化 ② ウィルス対策ソフトの導入 ③ 多要素認証の活用
▼人的な対策
① 教員・職員教育の実施
② 組織内でセキュリティポリシーを策定し、最新の攻撃事例や対策を周知徹底する。
▼取引先のセキュリティ状態の確認
取引先のサイバー攻撃に対する対応を確認する。※SCS評価の提出等。
▼SCS（サプライチェーンセキュリティ）評価制度の活用
SCS制度を活用することで、自社及び取引先のセキュリティ対策状況を可視化し、改善につなげることが可能です。
●SCS（サプライチェーンセキュリティ）評価制度とは？
経済産業省が2027年3月から本格運用を予定している、企業のセキュリティ対策レベルを客観的に可視化・評価する制度です。サプライチェーン全体のサイバーレジリエンス（対応力・復旧力）向上を目的としており、IPA（情報処理推進機構）が運用を担います。
▼主なポイント
・セキュリティ対策の実施状況に応じて、星★1〜★5などで評価される仕組みが想定されています。
・専門機関などの第三者によるレビューを通じて自社の自己評価だけでなく客観的なセキュリティ対策が可能。
▼評価のレベル
・星★1～2：IPAが推進する自己宣言などの下位レベル。
・星★3～5：専門家や評価機関による客観的な評価が必要となる上位レベル。
▼取引先、受託企業に対して
経済産業省が主導する「SCS（サプライチェーン強化に向けたセキュリティ対策評価制度）」は、企業のセキュリティ対策状況を共通の基準で可視化する仕組みです。教育機関においても、システム等の受託事業者や取引先に対して、一定の根拠をもってセキュリティレベルを求めることができます。
※SCS評価制度に関する問い合わせ先：IPAセキュリティセンター リスクマネジメント部 セキュリティ制度グループ 【メール】isec-scs@ipa.go.jp