大学で相次ぐ｢サイバー被害｣狙われる3つの理由 ｢将来の金づる｣候補の学生情報が闇市場で売買

——現状の大学組織のセキュリティ体制には、どのような課題がありますか。

今の大学はほぼITシステムで運営されていて、とても人海戦術で管理できる規模ではありません。セキュリティ専門の教授がいない社会学系や文系の大学でも、クラウドやAIを使って研究・講義をしますから、自組織だけで対策するのは難しいでしょう。リスクの理解と最低限のセキュリティ対策は内部で実施し、具体的な対策は適宜アウトソースして外部の専門家の力を借りるべきです。

とはいえ、外部に仕組みを作ってもらっても、大学が侵入や不正アクセスを見分けるログのチェックなどを怠っているケースはよく聞きます。大学経営に携わる方々には、誰がどこまでやるかの責任を明確にし、ルールを遵守するのはあくまで内部の体制であることを意識してほしいです。

特に大学は毎年多くの入学生と卒業生が出るため、春に大量のID登録と破棄を行わなくてはいけません。この管理は相当負担が大きいのですが、担当者には覚悟を持って取り組んでもらうしかありません。今では一括でID管理ができる便利なツールもあるので、そうしたサポートを活用するのがよいでしょう。

——具体的に大学で情報漏洩が起きやすい状況としては、どのようなものがありますか。

企業でも問題となっている「シャドーIT」です。セキュリティ管理者に許可を得ず、独断でツールやシステムを導入してしまう例は、大学にも山ほどあります。特に、研究室で便利さを優先してしまったり、多忙となる入試前後の時期にシャドーITが増えます。

忙しくて家でも仕事をしないと終わらず、禁止されているはずの情報をコピーして持ち帰ってしまう。これを防ぐには対策を強化するだけでなく、教職員の負担を減らすことが重要です。

セキュリティ対策をしない研究は「その程度の価値」

——今後考えられる対策としてはどのようなものがあるでしょうか。

今働きかけていることの1つが、文科省が大学に公募をかける研究について、応募する大学が出す提案書にセキュリティ対策の費用項目を追加させることです。研究そのものの費用とは別にセキュリティ対策費用を必要とし、事前にチェックするのです。よい研究をするほど、攻撃の対象になるのは当然です。個人的には、セキュリティ対策を立てるつもりがない研究は、「その程度の価値なのですね」と思ってしまいますね。

——大学でセキュリティ対策が思うように進まない中、大学本部や学生はどのようなことに注意すればよいですか。