「データ主権」から考える、ベンダーやサービス選定のポイント
──次世代の校務DXにおけるゼロトラスト実現に向けて、クラウドサービスを選定する際、特定のベンダーの統合型製品で統一することも考えられます。そのメリットとリスクについては、どのようにお考えでしょうか。
GoogleやMicrosoftといった大手ベンダーの統合スイート製品は、導入側からすると一気通貫でシステムを構築できるため、運用が非常に楽で、任せやすいというメリットがあります。また、災害時にもクラウドサービスであれば業務を継続しやすいというレジリエンスの観点からも、その導入のメリットは大きいでしょう。
ただし、リスクも存在します。まず、特定のベンダーに依存しすぎると、将来的なシステムの変更や他社製品との連携が難しくなる「ベンダーロックイン」の状態に陥る可能性があります。大手企業の倒産は考えにくいですが、サービスの大きな方針変更や料金体系の見直しなどがあった場合に、ほかの選択肢へ切り替えることが困難となる可能性があります。
さらに重要なのは、データの主権と国内法の適用です。クラウドサービスの中には、データの保管場所が日本国外になるケースや、訴訟の際の法律の適用が海外の裁判所であるケース、ベンダー側のエンジニアがデータにアクセスできる可能性があるものも存在します。デジタル庁や総務省を含め、国全体としてデータの保管場所や国内法の適用については、非常にセンシティブになっています。教育現場で扱うデータ、特に児童生徒の機微な情報については、国内法が適用される環境に保管されていること、訴訟時には国内法の適用ができること、さらにはデータの透明性が確保されていることが重要です。具体的には、利用者のデータは利用者のみの暗号鍵でしか開くことができず、経由しているクラウドサービスベンダーは中身を見れない仕組みの実現が必要です。すでに、国や自治体の調達要件にはこうした条件が明記されはじめています。
まず取り組むべきは「ユーザー認証の強化」
──ガイドラインには、引き続き「ネットワーク分離による対策を講じたシステム構成例」も示されています。これは、すべての自治体が直ちに「強固なアクセス制御」に移行できないことによるものだと思われますが、これから移行を進める自治体が始める「第一歩」としては、どこから始めればよいでしょうか。
自治体ごとにシステム更新の時期が異なるため、一斉に次世代校務DXへ移行することは難しいのが現状でしょう。ガイドラインには、すべてを強固なアクセス制御型に移行すべきとは記載されておらず、それは従来のネットワーク分離そのものを否定するものではないことを意味しています。
私が考える「第一歩」は、まず「ユーザー認証の強化」から始めることです。現在、多くの自治体ではユーザーIDと固定パスワードによる認証が中心ですが、これは非常に脆弱です。万が一、パスワードが漏洩すれば、なりすましによる不正アクセスが容易になり、システム全体に重大な被害が及ぶ可能性があります。
多要素認証（MFA）を導入するだけでも、セキュリティレベルは大きく向上します。MFAは、パスワードに加えて指紋認証やワンタイムパスワードなど、複数の異なる要素を組み合わせて本人確認を行うため、不正アクセスを防ぐ上で非常に効果的です。多要素認証の導入は、ゼロトラストの最初の重要なステップであり、まずはここから着実に進めることを強く推奨します。
また、新しいシステムへの移行や技術導入を検討する際は、各自治体のシステム更新サイクルに合わせて進めることが現実的です。その際、文科省に対して、将来のガイドライン改訂の方向性や、セキュリティ要件がどのように変化する可能性があるかを問い合わせてみるのもよいでしょう。調達プロセスに入る前に、可能な範囲で最新の情報を把握し、長期的な視点での投資計画を立てることが重要です。
また、文科省では、ガイドラインに記載されている構成モデルを前提としたリスクアセスメントを机上で実施済みです。前回のガイドライン改訂時には、パブリックコメントの募集も行われています。今後、リスクが高いと洗い出された部分については、ガイドラインに対策を加筆することでリスクを低減していくことになります。その結果が、来年度以降に開催される検討会で議論され、さらなる改訂に反映されていく可能性があります。
