セキュリティ事故が起きたとき、学校が従うべき対応マニュアル

どれほど入念に検討しても、事故は起こり得ます。事業者のサーバーが侵入されることもあれば、教師が誤って名簿を共有してしまうことも、AIが不適切な回答を生徒に返してしまうこともあります。事故の被害の大きさを決めるのは、起きたかどうかではなく、対応の速さです。 マニュアルがなければ、ゴールデンタイムを右往左往しているうちに流してしまいます。危機は平穏なときにつくった手順で乗り切るものであり、直面してからつくるものではありません。

事故直後の最初の24時間

最初の一日が最も重要です。順序をあらかじめ決めておきます。動揺した状態では、決められた順序だけが道しるべになります。

1. 遮断: 疑わしいアカウントや機能をただちに止めます。原因の分析よりも拡散を止めることが先です。漏れている箇所をふさぐ前に原因から突き詰めていては、被害が広がり続けます。
2. 記録: 何がいつ起きたのかを時系列で書き留めます。記憶は急速に薄れますが、記録は後日の責任の所在と再発防止の根拠になります。
3. 報告: 定められた責任者に知らせます。個人情報の流出であれば法定の通知義務を確認します。一定規模以上であれば、定められた期限内に本人と監督機関へ知らせなければなりません。
4. 範囲の把握: 誰のどのデータが影響を受けたのかを洗い出します。範囲がわかって初めて、通知の対象と対策が定まります。

事故を大きくしないための原則

• 隠さない: 隠蔽はほぼ必ず、事故そのものよりも大きな信頼の崩壊を招きます。迅速で透明な通知が正解です。遅れて発覚した隠蔽は、二倍の怒りを呼びます。
• 窓口の一本化: 保護者からの問い合わせは一つの窓口に集約し、一貫した情報をお伝えします。ばらばらに答えれば、噂が大きくなります。
• 再発防止: 収束したあとは原因を手順の問題として分析し、チェックリストを更新します。人を責めれば、本当の穴はそのまま残ります。

事故が起きたとき学校を守るのは、完璧さではなく、誠実さと備えられた手順です。

平時に準備しておくこと

事故対応の8割は、平時の備えで決まります。

• 連絡網の整備: 責任者・事業者・監督機関の連絡先を一枚にまとめておきます。事故の当日に連絡先を探して時間を失うようなことがあってはなりません。
• 模擬訓練: 学期ごとに一度、仮想のシナリオで対応の順序を点検します。
• バックアップと権限の点検: データのバックアップ周期とアクセス権限を定期的に確認し、被害が生じる可能性そのものを減らします。

事故の類型ごとに対応を分けておく

事故は一種類ではありません。類型ごとに最初の対応が異なるため、あらかじめ切り分けておきます。

• データ流出: 通知義務と期限が要になります。法定の期限内に本人と機関へ知らせる手順を優先します。
• AIの不適切な回答: 該当する機能を止め、生徒に表示された内容を確認したうえで、教育的なフォローアップの対話を用意します。
• アカウントの乗っ取り・誤った共有: ただちに権限を回収して影響範囲を絞り込み、再発防止のために権限の仕組みを見直します。

まとめ

セキュリティ事故は、防ぐことと同じくらい対応を準備しておくことが重要です。遮断・記録・報告・範囲把握という最初の24時間の手順と、隠蔽せず窓口を一本化するという原則を、あらかじめ文書として備えていただきたいと思います。平穏なときにつくったマニュアルが、危機に陥った学校を救います。