教育機関とID管理コラム
校務DXにおけるID管理とアクセス制御の重要性
2023年（令和5年）3月に文部科学省は「GIGAスクール構想の下での校務DXについて」を公開し、次世代の日本型学校教育を支える基盤としての校務DXのあり方について、現状と課題、その方向性等についての提言を行いました。そこで今回のコラムでは、その概要や目的、校務DXを実現するために欠かせないアクセス制御とID管理やゼロトラスト対応に関する考え方をまとめました。
校務DXの目的
近年、教育機関におけるデジタル化が急速に進んでおり、校務DXが注目を集めています。令和5年3月に文部科学省が公開した「 GIGAスクール構想の下での校務DXについて 」では、校務系システム、学習系システム共にクラウド化を行い、ネットワーク統合による相互接続を推奨しています。1台の端末で校務系システム、学習系システムにアクセスできる環境の構築、適切な権限によるアクセス制限を可能とするインフラ基盤を構築し、1台の端末からロケーションを選ばずシステムにアクセスするためのセキュリティ対策が求められています。そのためには、「権限（認可）によるアクセス制限」「ゼロトラストセキュリティ」への対応が必要となります。これらの対策を行い、校務DXを実現することで、教育機関が持つ情報資産を効果的に活用し、教職員や児童・生徒の利便性を向上させることを目的としています。
校務DXにおけるアクセス制御とID管理の課題
クラウドを軸としたインフラ基盤へのシフトを行うためには、校務系システム、学習系システムにおいて、アクセス制御を前提としたネットワークセキュリティを用意する必要があります。各自治体において分類、整理される情報資産の重要度に応じて、適切に権限を管理し、アクセス制限を行うことが重要です。
各システム（eポータル、学習ツール、校務系システム、管理システム、アプリケーションなど）にてアクセス制御を行うためにはログインIDに認可情報（役職、所属、学年など）を付与し管理を行う必要があります。特に教育機関では、教職員や児童・生徒の登録情報が変更されることが頻繁にあります。このため、ID管理において認可情報を最新の状態に保つことが重要です。これにより、アクセス制限が適切に機能し、情報資産の保護が実現されます。
IDと認可情報の最新データについて、教職員は人事給与システム、児童・生徒は校務系システムが保持しているケースがほとんどです。それぞれのシステムから、各システム（eポータル、学習ツール、校務系システム、管理システム、アプリケーションなど）にアクセス権を管理する認可情報を連携する場合、必要な項目やフォーマットが違うために、個別に管理・更新するのは大変です。年に少なくとも1回、教職員だけでなく児童・生徒全員の大量のアカウント情報に対する更新が必要となります。これをシステムごとに反映する作業が複雑化し、ミスが起こると、不正アクセスや情報漏えいのリスクが高まります。
ゼロトラストセキュリティへの対応の課題
これまでの校務系システムでは、重要性分類Ⅰ～Ⅱに分類される教職員の人事情報、入学者選抜問題、教育情報システムの仕様、学校運営情報などの校務系情報へのアクセスを物理的に制御するためにネットワーク分離を行い、ICカードや生体認証などを用いて本人認証を行ってきました。これにより、教職員や児童・生徒が自分に与えられた権限に基づいてシステムにアクセスすることができ、重要資産へのアクセス制御が実現されていましたが、校務系システム、学習系システムのクラウド化によるネットワーク統合によって、ICカードや生体認証などに変わるゼロトラストセキュリティへの対応が求められます。
「 GIGAスクール構想の下での校務DXについて 」では、アクセスの真正性に関する要素技術として下記3点が挙げられています。
- 多要素認証
情報・データへのアクセスに対する認証に当たり、記憶（ID・PW等）、所持（端末の電子証明書、ICカード等）、生体（指紋、顔等）の3要素のうち、2つ以上の要素を求めることで、なりすましや不正アクセスを防止する技術 - リスクベース認証
情報・データへのアクセスに対する認証に当たり、端末のIPアドレスや位置情報、使用されているWebブラウザ、アクセス時間が通常と異なる等の際にリスクを判定し、追加の認証を求める技術 - シングルサインオン（SSO）
セキュリティが確保された複数のクラウドサービスを一回の認証でアクセス可能とすることで、 利便性の向上と認証の煩雑化によるリスクの低減を図る技術※パスワード管理の煩雑化は 、 複数のサービスで共通かつ推測容易なパスワードを設定する温床となる
「GIGAスクール構想の下での校務DXについて～教職員の働きやすさと教育活動の一層の高度化を目指して～（令和5年3月8日）」 （文部科学省） より引用
アクセス制御とゼロトラストセキュリティを解決する統合ID管理システム
校務DXの実現に向けて、アクセス制御とゼロトラストセキュリティの課題に対処するために、統合ID管理システムが求められます。統合ID管理システムでは、教職員と児童・生徒のアカウント情報と認可情報を一元管理し、各システムやアプリケーションへのアクセス権限を効率的に管理できます。これにより、個別に管理・更新を行う手間を減らし、情報の最新化が容易になります。
例えば、人事給与システムから教職員情報、校務系システムからは児童・生徒情報を統合ID管理システムにて受け取ることで、一意のIDを生成し、IDのライフサイクル管理（登録、削除、変更など）を行い最新のID情報を管理できます。プロビジョニング機能を活用することで、教職員や児童・生徒の登録情報の変更があった際に、自動的にシステムやアプリケーションへのアクセス権限が更新されるようになり、アクセス制御を正しく管理することが可能となります。 これにより、手作業でのミスや漏れが減り、情報漏えいのリスクを軽減できます。
多要素認証としてFIDO2に対応し、シングルサインオン（SSO）などのゼロトラストセキュリティに必要な機能を持っている統合ID管理システムもあり、アクセス制御と合わせて一度に対策が可能です。これにより、ネットワーク統合に伴うセキュリティリスクを最小限に抑えることが可能です。
Active DirectoryやLDAPでのID管理の課題
Active Directory（AD）やLDAPにてID管理を行う場合、アクセス制御とゼロトラストセキュリティ対応ではいくつかの課題があります。
- 異なる認可情報の管理：
アプリケーションやシステムごとに異なる認可情報が必要となり、個別に管理・更新を行う必要があります。また、システムごとに取り込みフォーマットや取り込み形式（全更新、部分更新など）が違うことが想定され、個別に認可情報の更新対応が必要となります。 - アカウント情報の更新：
年に1回の教職員や児童・生徒全員のアカウント情報更新時に、システムごとに反映するデータ量が膨大となることで、各情報の源泉となる人事給与システム、校務系システムからの反映や更新の確認の対応が必要となります。
まとめ
校務DXを実現するためには、アクセス制御とゼロトラストセキュリティへの対応が重要です。以下のポイントが特に重要です。
- 教育機関におけるデジタル化が進み、校務系システムと学習系システムのクラウド化とネットワーク統合が必要。
- アクセス制御には、適切な権限管理と最新の認可情報を保持するID管理が必要。
ゼロトラストセキュリティへの対応には、多要素認証、リスクベース認証、シングルサインオンなどの技術で対応が可能。 - 統合ID管理システムは、教職員と児童・生徒のアカウント情報と認可情報を一元管理し、アクセス制御とゼロトラストセキュリティの課題に対応可能。
これらのポイントを押さえ、適切なアクセス制御とゼロトラストセキュリティ対策を実施することが、校務DXを成功させる鍵となります。また、統合ID管理システムを導入することで、ID管理の効率化やセキュリティリスクを最小化できます。
なお、校務DXを支える統合ID管理基盤「Extic」については、こちらの資料を参考にしてみてください。