児童生徒の情報流出事故、最初の一時間が決めます

普段は起こらないと思っていたことが、ある日突然起こります。AI学習プラットフォームの設定ミスによって、あるクラスの児童生徒の答案と氏名が外部に露出していたことを、保護者からの電話で知ることになります。そこで慌てて担当業者に連絡しますが、週末のため応答がなく、時間が経つほど露出の範囲は広がっていきます。事故が起きたときに被害を大きくするのは、事故そのものではなく、右往左往しながら流してしまう最初の一時間です。 あらかじめ描いておいた対応シナリオがあるかないかが、結果を分けます。

事故はどんな姿でやってくるのか

情報流出は大がかりなハッキングだけではありません。よくある形から知っておいてこそ、前もって備えられます。

• 設定ミス: 共有リンクの権限を「全体公開」のままにしていた場合。
• アカウントの乗っ取り: 教師アカウントのパスワードが流出した場合。
• 誤った入力: 機微情報を外部のAIにそのまま入力した場合。
• 業者側の事故: 利用中のサービス会社そのもので流出が発生した場合。

「うちは安全だ」という思い込みが最も危険です。事故はいつも予想外の小さな隙間から始まります。

初動対応の手順

発見したら直ちに次の順序で動きます。順序をあらかじめ覚えておくことが肝心です。事故当日に何を先にすべきか悩み始めた時点で、すでに手遅れです。

1. 遮断: 露出したリンク・アカウントを直ちに止め、追加の流出を食い止めます。
2. 報告: 管理職とAI委員会、必要に応じて韓国の教育庁（日本の教育委員会にあたる）へ直ちに知らせます。
3. 記録: いつ、何が、誰に露出したのかを時系列で書き留めます。
4. 通知: 影響を受けた児童生徒と保護者に、事実と対応を正直に案内します。
5. 再発防止: 原因を分析し、ガイドラインを補強します。

事故対応で最も悪い選択は「静かに伏せること」です。隠蔽は小さな事故を大きな不信へと育ててしまいます。

法的にも、一定規模以上の個人情報の流出は遅滞なく情報主体へ通知し、関係機関に届け出る義務がありますので、隠さずに知らせることが原則です。普段からこの五つの段階と担当者の連絡先を一枚にまとめて職員室に貼っておけば、いざ事故が起きたときにも慌てずに動くことができます。

要点の整理

事故対応の成否は、普段の備えにかかっています。第一に、設定ミス・アカウントの乗っ取り・誤った入力・業者側の事故など、流出の形をあらかじめ把握します。第二に、遮断・報告・記録・通知・再発防止という五つの段階を覚えておきます。第三に、隠蔽ではなく迅速で正直な通知を原則とします。備えのある学校は事故を経験しても信頼を守りますが、備えのない学校は小さなミスにも揺らぎます。 今日、自校の一時間対応シナリオを一枚にまとめておいていただきたいと思います。可能であれば、学期の初めに模擬訓練を一度行ってみるのもよいでしょう。「今、流出が発見されたら誰が何を先にするか」を5分間点検するだけで、実際の場面での対応速度は大きく変わります。備えられた一時間が、児童生徒の情報と学校の信頼をともに守ります。