英国教育省は、学校およびカレッジ向けのデジタル・テクノロジー基準の一部として、サイバーセキュリティに関する核となる基準を定めました。この基準は2030年までの達成を目指すもので、学校や高等教育機関がサイバー攻撃や不正アクセスから身を守るための包括的な枠組みを提供しています。
基準の背景として、サイバー事件や攻撃がもたらす影響が指摘されています。データ漏洩による児童・生徒の安全保障上の懸念、教育成果への悪影響、重大な運営停止、経済的損失、評判の毀損など、学校運営に深刻な影響を及ぼすことが強調されています。
基準の達成には、複数の関係者による連携が必要とされています。上級経営層のデジタル責任者が全体の調整を担う一方、IT支援スタッフが具体的な実施を行います。また、データ保護責任者、校長、財務チーム、学校運営委員会など、様々な部門が関与することが求められています。
具体的な実施内容として、まずデジタル資産の洗い出しと確認が挙げられます。すべてのテクノロジー機器が適切にライセンス登録され、サポートを受け、更新されているかを検証する必要があります。次に、データの処理、アクセス権限、パスワードポリシーの確認が重要です。個人情報や機密情報を取り扱うすべてのシステムについて、処理活動の記録を完成させることとされています。
ネットワーク管理も重要な要素です。ネットワーク図の更新、変更履歴の記録、ログ記録レベルの検討などを通じて、ネットワーク環境を常に把握することが必要です。
リスク評価については、学校が直面する最大のサイバーリスク、その発生可能性、影響度を把握することが求められています。過去に発生した事件や攻撃の記録を整理し、改善が必要な分野を特定することも重要です。
リスク管理プロセスと対応計画の策定も必須です。サイバーリスクを報告・報告・対応するための仕組みを整備し、対応計画を事業継続計画に組み込むことが求められています。基準では、サイバー事件発生時の経費削減のため、保険加入の検討も推奨されています。
基準の実施時期については、リスク評価をできるだけ早期に実施し、その後は毎年繰り返すことが求められています。また、重大な技術的・プロセス上の変化や事件発生時には、追加の評価が必要です。定期的な見直しは学期ごとに行われることが推奨されています。
なお、この基準は政府認定の「サイバーエッセンシャル」認証とは異なります。基準は全校種・全機関向けの施策原理とプロセスに焦点を当てる一方、認証は技術的要素に特化した年次認証制度です。カレッジでの認証取得は資金協約条件となっています。
出典:UK Department for Education, OGL v3.0
https://www.gov.uk/guidance/meeting-digital-and-technology-standards-in-schools-and-colleges/cyber-security-core-standard