〒151-0053 東京都渋谷区代々木4-15-6-107
受付時間 | 9:00～17:00 |
|---|
定休日 | 土・日・祝 |
|---|
本ページでは教育機関のサイバーリスク（個人情報漏洩リスク）について説明いたします。
●はじめに
サイバーリスクは、個人情報を大量に扱う教育機関において重要な経営課題となっています。教育現場におけるICT化の進展により、ネットワークやクラウドサービスへの依存度は年々高まっています。一方で、サイバー攻撃の対象は規模の大小問わず、セキュリティ対策が十分でない教育機関にも広がっています。特に学生・生徒の個人情報を大量に保有している点から、教育機関は攻撃者にとって魅力的な標的となっています。警察庁、IPA（情報処理推進機構）が直近のデータをもとに注意喚起を行っています。こうした状況を受け、経済産業省は2027年より、サプライチェーン全体の安全性向上を目的とした「SCS(サプライチェーンセキュリティ)評価制度」の運用開始を予定しています。
●教育機関がサイバー攻撃で狙われる理由?
① セキュリティ対策のばらつき
組織全体で統一されたセキュリティ対策が整備されていないケースが多く、攻撃者にとって侵入しやすい環境となっています。
② 多様な端末・利用者
教職員だけでなく、学生・生徒が個人端末を利用するケースが多く、管理が行き届きにくい環境です。これにより、不正アクセスやマルウェア感染のリスクが高まります。
③ ネットワークの開放性
教育機関は利便性を重視するため、外部との接続が多く、ネットワークが比較的開かれた構造になっています。
④ ランサムウェア攻撃の対象
データの復旧が困難な場合、授業や運営に支障が出るため、身代金を支払う可能性がある組織として狙われやすい傾向があります。
●教育機関における3つのサイバーリスク
① 踏み台リスク ＜外部への被害拡大・加害者化＝賠償リスク＞
教育機関のネットワークやアカウントが攻撃者に悪用され、取引先企業、委託業者、保護者などに対する攻撃の起点となるリスクです。損害賠償に発展する場合もあります。
② 個人情報漏洩リスク
学生・生徒・保護者情報の流出。教育機関が保有する大量の個人情報が外部に流出するリスクです。信用の毀損だけでなく損害賠償が伴い、運営継続の危機に直面しかねない重大な経営課題です。
③ 学校の運営リスク＜サイバー被害への対応＞
サイバー被害を受けた場合、学校の運営（授業・試験・入試業務など）を再開するための初動対応は多岐にわたります。被害状況の把握、被害拡大防止、証拠保全、ログの解析などのデジタル・フォレンジックが必要です。
●教育機関のサイバー被害例
▼日本大学 文理学部（2026年6月公表） 【WEBサイトの改ざん（不正アクセス）】
概要：文理学部のWebサイトシステムに残っていた既知の脆弱性が悪用され、不正プログラムを設置されました。サイトにアクセスするとカジノサイトを模した不正な画面へ誘導される状態になりました。個人情報の漏えいは確認されませんでしたが、システムの一部における脆弱性対応やアカウント管理の不備が原因とされています。
▼ 東京大学（2026年3月公表） 【アカウント乗っ取り（不正アクセス・踏み台攻撃）】
概要：学内の研究室サーバーが不正アクセスを受けました。共同研究者が利用していた学外のサーバーが先にハッキングされ、その研究者のアカウントを使って東大のサーバーに侵入されました。さらにその東大サーバーを起点として、学内外の別サーバーへ攻撃を仕掛ける「踏み台」として悪用されました。
▼ 東海大学（2026年2月最終調査報告） 【サプライチェーン攻撃（委託先からの踏み台攻撃】
概要：ネットワークの保守・管理を委託していた外部のIT企業がランサムウェア攻撃を受けました。そのサーバーから、東海大学の学生や卒業生など最大19万人超の個人情報が漏えいした可能性があることが判明しました。自組織だけでなく、委託先のセキュリティ脆弱性が引き金となった典型的な「サプライチェーン攻撃」の事例です。
▼沖縄県立看護大学（2025年12月発生） 【ランサムウエアによる暗号化】
概要：大学が利用している教務支援システムが外部から不正アクセスを受け、ランサムウェアによって内部のファイルが暗号化される被害が発生しました。この影響によりシステムの一部が利用不能となり、管理されていた学生情報の漏えいの可能性も含めた調査が行われました。
概要：事務職員が使用しているパソコンが不正アクセス を受けた事案が発生しました。 本学で調査した結果、パソコンに保存していた個人情報が漏洩した可能性があることが 排除できないということが判明しました。
●サイバー攻撃に対する主な対策
サイバー攻撃への対策は、「技術的対策」と「人的対策」を組み合わせることが重要です。攻撃手法は日々巧妙化しているため、一つの対策だけに依存せず、複数の防御を重ねる「多層防御」の考え方が求められます。
▼技術的な対策
① OSやソフトウェアの最新化 ② ウィルス対策ソフトの導入 ③ 多要素認証の活用
▼人的な対策
① 教員・職員教育の実施
② 組織内でセキュリティポリシーを策定し、最新の攻撃事例や対策を周知徹底する。
▼取引先のセキュリティ状態の確認
取引先のサイバー攻撃に対する対応を確認する。※SCS評価の提出等。
▼SCS（サプライチェーンセキュリティ）評価制度の活用
SCS制度を活用することで、自社及び取引先のセキュリティ対策状況を可視化し、改善につなげることが可能です。
●SCS（サプライチェーンセキュリティ）評価制度とは？
経済産業省が2027年3月から本格運用を予定している、企業のセキュリティ対策レベルを客観的に可視化・評価する制度です。サプライチェーン全体のサイバーレジリエンス（対応力・復旧力）向上を目的としており、IPA（情報処理推進機構）が運用を担います。
▼主なポイント
・セキュリティ対策の実施状況に応じて、星★1〜★5などで評価される仕組みが想定されています。
・専門機関などの第三者によるレビューを通じて自社の自己評価だけでなく客観的なセキュリティ対策が可能。
▼評価のレベル
・星★1～2：IPAが推進する自己宣言などの下位レベル。
・星★3～5：専門家や評価機関による客観的な評価が必要となる上位レベル。
▼取引先、受託企業に対して
経済産業省が主導する「SCS（サプライチェーン強化に向けたセキュリティ対策評価制度）」は、企業のセキュリティ対策状況を共通の基準で可視化する仕組みです。教育機関においても、システム等の受託事業者や取引先に対して、一定の根拠をもってセキュリティレベルを求めることができます。
※SCS評価制度に関する問い合わせ先：IPAセキュリティセンター リスクマネジメント部 セキュリティ制度グループ 【メール】isec-scs@ipa.go.jp
●教育機関がサイバー攻撃を受けて個人情報が漏洩したら？
教育機関がサイバー攻撃を受け個人情報が漏洩したら、経済的な損失だけでなく行政上のリスクもあります。
学校には、生徒・学生の氏名、住所、電話番号、メールアドレス、成績、出欠情報、保護者の連絡先など、多くの個人情報が保管されています。
サイバー攻撃によってこれらの情報が漏洩した場合、被害は情報が外部に流出することだけではありません。原因の調査、被害範囲の特定、本人への通知、問い合わせへの対応、再発防止など、さまざまな対応が必要となり、経済的な損失が発生する可能性があります。
生徒数1000人の教育機関でのサイバー事故の事例や補償相場に基づき、項目ごとの想定損害額の内訳は以下の通り予測されます。
1. 被害者への謝罪・賠償費用（約300万円 ～ 5,000万円）
・見舞金・補償額の相場： 一般的な個人情報（氏名、住所、電話番号など）が流出した場合、被害者1人あたり3,000円～5,000円程度の金券（クオカードなど）を送るのが日本のこれまでの慣習的な相場です。ただし、近年では身分証明書画像や機微な情報の流出を伴う場合、1～5万円に跳ね上がるケースもあります。
・試算： 専門学校の在学生・卒業生や予備校の受講生・受験生データが仮に「1万人分」漏洩したと仮定した場合、1人あたり3,000円の対応でも約3,000万円の費用が発生します。
2. 事故調査およびシステム復旧費用（約1,500万円 ～ 5,000万円）
・原因特定・フォレンジック調査： 外部のセキュリティ専門機関に依頼するサイバーインシデントの調査費用は、駿台観光＆外語ビジネス専門学校などの他校の事例を見ても不可欠であり、これだけで数百万円から1,500万円以上かかります。
・ システムの再構築・セキュリティ強化： サーバーや校務・事務管理システムの復旧、およびEDR（監視システム）の導入といった再発防止策に数千万円規模の追加投資が必要になります。
3. コールセンター設置および案内費用（約200万円 ～ 1,000万円）
・漏洩対象者（学生、保護者、卒業生など）からの問い合わせに対応するための特設コールセンターの設置、運営委託費、およびお詫び状の郵送費用（郵送代だけで1万人あたり約100万円超）が発生します。