学校の情報セキュリティポリシーは、文部科学省のガイドラインに沿った3層構造（基本方針・対策基準・実施手順）で作ります。ただし、ひな型をそのまま使うと現場と乖離して形骸化します。先に「誰が守るのか」の範囲を決めること、そして持ち帰り端末や保護者連絡といった学校特有の論点を自校の実態に合わせて書くことが、機能するポリシーの条件です。
ポリシーが「あるのに機能しない」理由
多くの学校にはすでに情報セキュリティポリシーがあります。それでも事故が起きるのは、次のような状態になっているためです。
- ひな型のまま：自校で使っていないシステムの記述が残り、実際に使っているものが書かれていない
- 誰も読んでいない：策定時に配布したきりで、その後の異動者に届いていない
- 現場が守れない内容：実務上どうしても必要な運用が禁止されており、黙認が常態化している
- 改訂されていない：GIGA端末の配備や校務システムのクラウド化が反映されていない
3番目が最も深刻です。守れないルールがあると、ポリシー全体が「建前」として扱われるようになります。実態に合わせて緩めるか、代替手段を用意して守れるようにするか、どちらかの判断が要ります。
3層構造で作る
文部科学省の「教育情報セキュリティポリシーに関するガイドライン」は、3層構造を前提にしています。
| 層 | 書くこと | 更新の頻度 |
|---|---|---|
| 基本方針 | 何のために情報を守るのか、誰が責任を持つのか。数ページで足りる | ほとんど変わらない |
| 対策基準 | 守るべき事項を分野別に。組織体制、情報の分類、アクセス制御、事故対応など | 制度や環境の変化に応じて |
| 実施手順 | 実際の操作手順。アカウント発行、端末の設定、事故発生時の連絡先 | 頻繁。システム変更のたび |
分けておく利点は更新の負荷が下がることです。システムを入れ替えても実施手順だけ直せばよく、基本方針の承認手続きをやり直す必要がありません。1つの文書にまとめてしまうと、小さな変更のたびに全体の改訂手続きが必要になります。
自治体立の学校の場合は、設置者である自治体のポリシーとの整合も要ります。自治体のセキュリティネットワークの構成を踏まえて、どこまでが学校の裁量かを確認してください。
学校特有の論点
一般企業のポリシーを流用すると必ず抜ける論点があります。
| 論点 | 決めるべきこと |
|---|---|
| 児童生徒の情報 | 成績、健康、家庭状況といった配慮が必要な情報の取扱い。閲覧できる教職員の範囲 |
| 端末の持ち帰り | 家庭での利用範囲、フィルタリング、破損・紛失時の連絡経路、保護者の同意 |
| 保護者との連絡 | 連絡アプリ、緊急連絡網、写真の取扱い。私物端末からの連絡の可否 |
| 教職員の異動 | 年度替わりに一斉に入れ替わる。アカウントの発行・停止を年間行事に組み込む |
| 校務系と学習系の分離 | どこまで分けるか。教職員が両方を使う場面での運用 |
| 外部の指導員・委託先 | 部活動指導員、ICT支援員、システム保守業者のアクセス範囲と記録 |
とくに端末の持ち帰りは、禁止事項を並べるより「困ったときに誰へ連絡するか」を明確にするほうが機能します。家庭で起きたことを学校が完全に統制することはできません。早く連絡が来る状態を作るほうが、実際の被害を抑えられます。
誰が守るのかを先に決める
ポリシーを書き始める前に、適用範囲を決めてください。学校の場合、対象は教職員だけではありません。
- 教職員（常勤・非常勤・臨時）
- 児童生徒
- 保護者（連絡アプリや学習システムを使う場合）
- 外部の指導員、ICT支援員、ボランティア
- システム保守・運用の委託先
それぞれに求める内容は違います。児童生徒に対策基準をそのまま示しても意味がないため、対象ごとに「その人が読むべきもの」を用意するのが現実的です。教職員には対策基準と実施手順、児童生徒と保護者には利用のきまり、委託先には契約条項という形で分けます。
形骸化させない運用
ポリシーは作った後の運用で価値が決まります。最低限、次の4つを回してください。
| やること | 頻度 | 記録に残すもの |
|---|---|---|
| 教職員への周知 | 年度初め＋異動者の着任時 | 実施日、対象者、使用資料 |
| アカウントの棚卸し | 年度替わり | 削除・変更した件数と対象 |
| ポリシーの見直し | 年1回 | 見直しの実施記録、変更点、承認者 |
| 事故対応の確認 | 年1回 | 連絡経路の確認結果、更新した連絡先 |
年度替わりに集中させるのが学校では現実的です。異動でアカウントが大量に入れ替わるタイミングと、棚卸しのタイミングを合わせると、追加の工数がほとんど発生しません。
教職員への周知は、記録を残すことが重要です。事故が起きたときに「誰が知っていたか」を示す資料になります。教育の内容や進め方は従業員教育の要件の考え方が流用できます。
よくある質問
学校の情報セキュリティポリシーは何を参考に作ればよいですか？
文部科学省が公開している「教育情報セキュリティポリシーに関するガイドライン」が基準になります。基本方針・対策基準・実施手順の3層構造で、学校が扱う情報の特性を踏まえた記述になっています。自治体立の学校の場合は、設置者である自治体のポリシーとの整合も必要です。
ポリシーは誰が守る前提で書けばよいですか？
教職員だけではありません。児童生徒、保護者、外部の指導員や業務委託先、そして学校のシステムに接続する事業者まで含めて範囲を決めます。範囲を書かないまま作ると、実際の運用で「この人は対象か」という判断ができなくなります。
端末の持ち帰りはポリシーにどう書くべきですか？
持ち帰りの可否だけでなく、家庭内での利用範囲、破損・紛失時の連絡経路、フィルタリングの適用、保護者の同意の取り方までを書きます。持ち帰りは学校の管理が及ばない場所での利用になるため、禁止事項を並べるより「困ったときに誰へ連絡するか」を明確にするほうが機能します。
小規模な学校でも同じ分量が必要ですか？
必要ありません。分量ではなく、決めるべきことが決まっているかが重要です。基本方針は数ページ、実施手順は運用している範囲だけを書けば足ります。ひな型をそのまま使って現場と乖離するより、実態に合った短いものを維持するほうが有効です。
ポリシーを作った後、何を記録に残せばよいですか？
策定・改訂の履歴と承認者、教職員への周知の記録（実施日と対象者）、年次の見直し記録、そしてインシデント発生時の対応記録です。とくに周知の記録は、事故が起きたときに「誰が知っていたか」を示す資料になります。
まとめ
学校の情報セキュリティポリシーは、文部科学省のガイドラインに沿った3層構造で作ります。分けておくことで、システム変更時に実施手順だけを直せるようになり、更新の負荷が下がります。
作る前に適用範囲を決めてください。教職員、児童生徒、保護者、外部の指導員、委託先で求める内容は異なるため、対象ごとに「その人が読むべきもの」を分けるのが現実的です。持ち帰り端末については、禁止事項を並べるより連絡経路を明確にするほうが機能します。
そして運用です。年度替わりの異動に合わせてアカウント棚卸しと周知を行い、記録を残してください。年1回の見直しまで回れば、ポリシーは建前ではなく実際に使われるものになります。