佐賀県教育情報システムでの情報漏洩問題について(9)＋50円ブロガー＋10分AWSなブロガー

　こんばんは。ここ数日佐賀県教育委員会の教育情報システムの運用・管理などの問題点について追いかけていました。佐賀新聞をはじめとする新聞社各社は、どうも17歳少年の問題に焦点を絞って、県教委や構築・管理業者の不備からは目を逸らせるよう誘導しているようにも映ります。

佐賀県：平成27年度第4回佐賀県総合教育会議によると、SEI-Netは当初来年更新の予定を1年延長して抜本的検討を行うとあります。何が何でも現システムを使う気満々なのでしょうね。失敗を認めたくないからでしょうか。現システムを廃棄して、全く別のシステムを業者を変えてゼロから作り直した方がいろいろな意味で結果的に安くつくと思います。発注側も現システムに関わった職員は一切関わらないようにした上で、専門家の指導の下に設計し直した全く別のシステムを導入するようにすべきでしょう。もちろん、監査はきちんと実行してもらわないといけませんね。内部監査は期待出来なさそうなので、しかるべき監査法人に依頼するのが筋でしょう。

　そうこうしているうちに、文部科学省から教育の情報化に伴う情報セキュリティの確保について（通知）：文部科学省という通知がありました。「情報セキュリティの確保に万全を期していただきますようお願いします。」とありますが、そもそも「情報セキュリティとは何たるか？」を知らない人向けには全く響かないので、直接文科省に呼び出してみっちり研修を受けてもらった方がいいんじゃないでしょうか。「通知を出してしまい」では済まないほど根が深いと思います。

　数日にわたって佐賀県教育委員会の教育情報システムの構築・管理・運用の不備について追いかけていましたが、同時期に50円ブロガーの中の人のあまりにも orz な対応で炎上していました。彼にも何か同じ匂いを感じたんです。あまりにも性善説すぎるというか、自分に都合のいいルールで動いて叩かれるという点が共通しているように思えました。県教委が生徒や教員など誰でもアクセス出来る場所に置いておきながら、「情報漏洩なんて起きるはずないだろう」と高をくくって安心しまくっていたのでしょうし、50円ブロガーな人も「50円でなんでもやります！」と書いたものの、「（自分基準の）非常識なものは来ないだろう」とお気楽に考えていたんだろうと推察します。

　そして、ちょっと前になりますが、10分AWSな人が現れてこちらも地味に炎上しましたね。「とりあえずwebサーバを動かせればいいや」という風にしか考えてなくて、セキュリティ面に関する配慮はなかったので、思いっきりつっこまれていました。

　あまりにも無防備な考え方とその後の対応の拙さが共通しているなと思った次第です。orz