教育情報セキュリティーポリシーに関するガイドライン改訂と生体認証のこと

2022.12.27

よみもの

こんにちは、ICカード.comです。

文部科学省が令和４年３月に教育情報セキュリティポリシーを改訂しました。

本記事ではICカード.com的に気になるところとして、今後の情報保護の手立てとして生体認証を進める記述がありましたのでこの点を中心とした内容となっております。

これからの学校施設などのセキュリティについて考える際のお役に立てば嬉しいです。（ガイドラインの全文は文科省のサイトで読むことができます。）

教育情報セキュリティポリシーガイドラインとは

まずはじめに教育情報セキュリティポリシーガイドラインとは

『地方公共団体の各教育委員会が教育情報セキュリティポリシーの策定や見直しを行う際の参考として、教育情報セキュリティポリシーの基本理念と検討する際の考え方について解説したもの』

とあります。

年々の技術の進歩とともにセキュリティに対する備えも複雑化している中で、各地方自治体の教育委員会はどう対策するべきかを示す指針となっています。

つまりこのガイドラインを参考に策定されたポリシーに沿って各学校では情報資産を適切に守っていくための対応をしていく、という事になりますね。

多要素認証は今後欠かせないものに

教職員が利用するパソコンなどの端末や記録媒体の管理が不十分だと当然のことながら情報漏洩や紛失、盗難、不正利用などの被害にあう恐れがあります。

平成30年度のデータですが、学校・教育機関における個人情報漏えい事故の発生状況（参照：ISEN資料）という資料には年間198件の個人情報漏洩事故があり、個人情報漏洩人数としては57,628人（約300人/1件あたり）と調査結果がでています。

漏洩事故の場所は学校内が最も多く、半数以上を占めています。このため個人の意識を高めるだけではなく組織全体で事故が起こり得ない環境をと問えていく必要が重要であることがうかがい知れます。

こうした事故件数の増大への対策のひとつとして、教育情報セキュリティ―ポリシーに関するガイドラインには教職員が使う端末ついての指針の例として以下のようなものがありました。

—————————————————————-
◆教員等の利用する端末に関する例文　※一部抜粋
教育情報システム管理者は、取り扱う情報の重要度に応じてパスワード以外に生体認証や物理認証等の多要素認証を設定しなければならない。特にアクセス制御による対策を講じたシステム構成の場合、校務情報等の重要な情報資産へのアクセスについては、多要素認証を必須とすること。　
—————————————————————-

とあります。ICカード.com的にはこの中で「多要素認証」というワードが気になります。

多要素認証について簡単にご説明しますと・・・

例えばPCのログイン管理に職員証（ICカード）をかざす必要があるケースだとそれは「カードの所有者」という単一の要素で認証としているとみなし多要素認証とは言いません。

この個人を認証する要素は他にもたくさんあり、多要素認証とは以下の３つのタイプの認証方法から２つの認証を掛け合わせたものを指します。二つの場合は二要素認証や二段階認証と言われたりもしているので、耳にしたことがある方も多いと思います。

①知識認証

本人が知っている要素での認証
例：パスワード、暗証番号、秘密の質問など

②所持認証

本人が所有しているものでの認証
例：携帯電話、社員証などのICカード、ワンタイムパスワードなど

③生体認証

本人の身体的特徴を利用した認証
例：指紋認証、顔認証、網膜認証、静脈認証など

つまり、多要素認証と言っても特定の組み合わせが決まっているわけではありません。

実際の施設利用状況にフィットするもの選ぶ必要があります。

多要素認証を導入する時に留意するポイント

と、いうことでこれからセキュリティの強度を高めていくとした場合、どんなところに気を付けながら対策を講じていけばよいのでしょうか？

そのヒントも教育情報セキュリティポリシーに関するガイドラインのなかに散りばめられていました。

「多要素認証の設定においては、導入後の運用面（認証装置の配布方法や紛失対策など）について留意すること」

「運用実態や教職員等の負担も考慮し検討する必要がある。」

とあるように前提として無理なく運用できる対策であることが指摘されています。

意外と見落としがちなところで、要件は満たしているけど毎日使ってるとだんだん手間がかかるのが負担になる、と言ったことはよくあります。

例えば知識認証は忘れない為と言ってもメモは残せないので管理が地味に大変だったり、所持認証は方法によりますが貸し借りやなりすましの事例も多く発生しています。

その点、生体認証は身体的な特徴で認証を行うため貸し借りが不可能です。これによりなりすましのリスクが極端に低いという強みから個人認証に適しています。

そのため多要素認証のうち一つは生体認証を採用するのが学校施設においても適切と言えると思いますが、どの生体認証を取り入れるかは施設規模や利用者数によって費用と合わせて検討しなくてはいけません。

参考：学校に先生（教員）って何人くらいいるの？

学校などの教育施設には先生（教員）って何人くらいいるのか調べてみました。
これも文部科学省ホームページに「令和４年度学校基本調査」というがありましたので、小中高校に関する数字を拾ってみました。

小学校の教員数は平均すると一校当たり約22人という結果に。人数は比較的少ないが施設数が多いので、初期費用は抑えたいところ。