令和 3 年 5 月に文部科学省「教育情報セキュリティポリシーに関するガイドライン」(以下、「ガイドライン」と言います) が改訂されました。この改訂により、「外部の者による不正アクセスといった脅威への対策」は旧ガイドラインではインターネット接続を制限するいわゆるネットワーク分離の考え方でしたが、新ガイドラインでは認証を強化するいわゆるゼロトラストの考え方に変わっています。

また、サービスごとの ID・パスワードの管理の運用効率化と負荷の最小化に加え、パスワードの使い回しによるセキュリティ リスクの低減などの観点から、学習系ツール・サービスへのシングル サインオン (SSO) の導入を行うことが望ましいと推奨しています。

シングル サインオン (SSO) の仕組みとメリットについて

新しいガイドラインで推奨されている SSO とは、一つの ID・パスワードの認証により複数の学習系クラウド サービスの認証にも利用できアクセスが可能になる仕組みです。それにより、児童生徒や学校管理者にとって下記のメリットが考えられます。

１．児童生徒はサービスごとに ID・パスワードを入力する必要がなくなり、利便性が向上します。

２．ユーザー認証が一元化されるため、児童生徒がパスワードを忘れた際も、 Microsoft 365 のパスワードを再発行すればよく、他のクラウド サービスのパスワードは再発行しなくてよいため、パスワード管理業務が効率化されます。

教育機関向けの学習系クラウドサービスで Microsoft 365 のアカウントとの SSO 連携が利用可能なサービスは下記のページに公開されています。

Microsoft 365 Education サービス パートナー | Microsoft Education

学校では公務系、学習系などさまざまなアプリケーションが利用されていますが、アプリケーション  (以下、アプリ) の提供側ではどのような対応が求められるのでしょうか。

マイクロソフトではこのゼロトラストおよび情報漏洩対策を実現するサービスとして Microsoft 365 A5 を提供しています。

この中には認証を強化するサービス Azure Active Directory Premium Plan 2 が含まれています。

Azure Active Directory (以下、Azure AD) は IDaaS (ID as a Service) と呼ばれるクラウド ID サービスで、全世界で 70 万社以上、4.25 億ユーザーに日々ご利用いただいており、1 日あたり 300 億以上の認証処理を行っています。

また 2021 年 4 月からは SLA を 99.9% から 99.99% にアップしており、信頼性強化にも努めています。

この Azure AD は Office 365 の認証だけではなく他のアプリの認証に利用することができ、全世界で 200 万以上のアプリと連携し認証強化に利用されています。

Azure AD とアプリの連携方法

それでは、ここから Azure AD とアプリの連携方法を見ていきましょう。

アプリの認証を Azure AD で実現するには世界標準である OpenID Connect (以下、OIDC) もしくは SAML 2.0 を利用するのが一般的です。

すでにどちらかを利用している場合には Azure AD 対応ができていますので設定のみで連携が可能です。

ここでは OIDC を利用している場合の設定方法のリンクを掲載しておきますので、ご参照ください。

Azure AD アプリ ギャラリーの OpenID および OAuth アプリケーションを構成する | Microsoft Docs

どちらも利用していない場合は開発が必要になります。

マイクロソフトでは新規開発するアプリは OIDC を利用することを推奨しております。

このあたりを分かり易く紹介しているサイト、外部にはなりますがマイクロソフトの記事になっていますのでご参照ください。

Identity マスターへの道 第四回 ： IDaaS 導入の課題とプランニング – IDaaS って何？シンプルなID 管理とは？ – ZDNet Japan

ただ、どう開発していけばいいかすぐに理解するのは難しいですので、マイクロソフトでは Azure AD とアプリの連携方法についての学習コンテンツを提供しております。

1 つ目に紹介するのは、Microsoft Learn です。

OpenID Connect と Azure AD を使用してアプリケーションをセキュリティで保護する – Learn | Microsoft Docs こちらを利用すると、約 50 分でブラウザのみで Azure AD 対応アプリの開発、設定方法を学ぶことができますので、開発イメージをつかむためにもぜひお試しください。

2 つ目に紹介するのは MSTEP Online 「Azure Active Directory 対応アプリケーション実践開発手法 – サンプル コードを実際に動かしてみる -」です。

テキストおよび動画を公開していますので、実際の開発のご参考にしてください。

また、このトレーニングと連動したサンプル コードを含むスクリーンショット付きのステップ バイ ステップ資料を Github 上に公開していますので、こちらを利用することでより詳細な開発方法を習得することができます。

本ブログでは説明を割愛しておりますが、マイクロソフトでは Azure AD との認証連携などを効率よく開発するための基盤となる Microsoft ID プラットフォームも提供しております。

詳しくは関連情報のリンクをご参照ください。

最後になりますが、SAML または OIDC に対応済みのアプリをお持ちの場合、もしくは今後開発が完了した場合、Azure AD ギャラリーに公開しましょう。Azure AD ギャラリーは、Azure ポータル内にある、Azure AD 連携アプリを紹介、およびお客様の Azure AD テナントへの SSO を設定するための仕組みです。こちらにアプリを公開いただく場合には、マイクロソフト側で Azure AD への SSO 連携についての検証を実施し、マイクロソフトのドキュメントとしてチュートリアルを作成します。実際にアプリをお使いいただくお客様にとっては、Azure AD ギャラリーを利用することでテナントへのアプリ登録や SSO 連携の設定が容易になるため、アプリのさらなる利用率向上が期待できます。

Azure AD で使用する SaaS アプリの統合に関するチュートリアル | Microsoft Docs

また、日本マイクロソフト独自の取り組みとして 日本のパートナー様による Azure AD ギャラリーに公開済みの対応アプリを紹介しています。

Azure AD に統合化可能な SaaS アプリ | Microsoft Security

現在は企業向けアプリが中心となっていますが、今後は教育機関向けアプリも掲載予定です。

Azure AD ギャラリーに公開したいアプリをお持ちのパートナー様は、jpaadag@microsoft.com までご連絡ください。

関連情報

Azure AD Webinar シリーズ

Microsoft ID プラットフォームのドキュメント | Microsoft Docs

Microsoft 365 Education サービス パートナー | Microsoft Education

The post 教育クラウド アプリケーションのシングル サインオン連携に向けて appeared first on マイクロソフト業界別の記事.

ガイドライン改訂で変わったこと・変わらないこと

新ガイドライン対応の環境をマイクロソフト製品で実現

教育委員会様向けオンラインセミナーのご案内

お問合せ先

ガイドライン改訂で変わったこと・変わらないこと

令和 3 年 5 月に「文部科学省情報セキュリティポリシーに関するガイドライン」(以下、「ガイドライン」と言います) が改訂されました。ガイドライン改訂に関する説明資料 (注 1) では「ネットワーク分離を前提としない」などクラウド時代に対応した新しい考え方が説明されています。
^{(注 1) 教育情報セキュリティポリシーガイドライン」の第２回改訂に関する説明資料}

図 １ ガイドライン改訂に関する説明資料 (抜粋)

新ガイドラインでは校務系・学習系の両方でクラウドを活用することが「目指すべき構成」であると明記されています。「目指すべき構成」が実現されると教育環境は以下の図に示すとおり、どこからでも・どんな端末からでも自由に利用できる利便性の高いものに進化すると考えられます。

図 2 目指すべき教育環境

では、この改訂によりガイドラインの内容はどう変わったのでしょうか。また、これまでと変わらないのは何でしょうか。
変わらないのは「教員」「児童・生徒」「外部」に分ける考え方、変わったのはその区別をどんな技術で実現するかということです。
学校現場ではさまざまな情報を扱いますが、それらの情報は、成績や進路に関する情報などの「教員だけが見てよい情報」、教材や課題など「教員と児童・生徒が見る情報」、校外とのメールのやりとりやインターネットでの検索など「外とのやりとり」の 3 種類に大別することができます。
これまでのガイドラインではその 3 種類を分離する (混じり合わないようにする) ことを、ネットワークを分けることで実現していました。「教員だけが見てよい情報」を扱うネットワークに児童・生徒が入り込まないようにすることで、「教員だけが見てよい情報」が児童・生徒の目に触れないようにし、また、インターネット接続を制限することで、外部からの不正アクセスやマルウェア感染のリスクをなくそうという考え方です。

しかし、ここで問題になるのは以下の 4 点です。

• 実際には教員の業務では 3 種類の情報すべてを使うため、教員はそれぞれのネットワーク用の端末を使い分けなければならない。また、異なるネットワークの間で情報をやりとりする必要があり、ネットワークを厳密に分離することが困難。
• 校務・教務でクラウドを活用するためにはインターネット接続が必要不可欠だが、その点が考慮されていない。
• 児童・生徒が端末を持ち帰って学習することが考慮されていない。
• 情報の持ち出しは「禁止」という考え方であり、学校外との情報共有が考慮されていない。また、教員が作業をする場所が職員室（学校）に限定される。

図 3 ネットワーク分離の考え方と実際

これらの問題点を克服し、クラウド時代に合ったセキュリティを実現するため、新しいガイドラインでは以下の技術的な対策を実施することが求められています。また、マルウェア等の攻撃手段が日々巧妙化しており、従来のガイドラインに沿った対策では対処しきれなくなっていることも、新しい対策が求められている理由の 1 つです。

表 1 新しいガイドラインで求められている技術的対策

^{(注 2)「教育情報セキュリティポリシーに関するガイドライン」(令和  3  年 5 月版) ハンドブック「5-4 技術的対策 (1)児童生徒ID・PW」および「6-4 技術的対策 (2)教職員の個人認証強化」「6-4 技術的対策 (3)アカウント情報の使い回し防止」
(注 3)  同「5-4 技術的対策 (2)端末のセキュリティ（管理設定）」「6-4 技術的対策 (4)潜在的なセキュリティリスクへの対応」
(注 4) 同「5-4 技術的対策 (3) 学校外での利用（持ち帰り）を前提とした際の技術的ポイント」
(注 5) 同「6-4 技術的対策 (5)外部への情報資産持ち出しリスクへの対応」}

以上を踏まえて改訂前後のガイドラインを比較すると、以下のような考え方の変化を読み取ることができます。

表 2 改訂前後のガイドラインの考え方の変化

図 4 新旧ガイドラインの比較

繰り返しになりますが、「教員」「児童・生徒」「外部」という分け方は以前と変わりません。しかし、「教員」も「児童・生徒」もクラウドを積極活用する時代となった今、「インターネットにつながっているか」がセキュリティの基準として意味をなさなくなったことを受け、新しい時代に適した考え方・技術によるセキュリティが必要になりました。文部科学省による情報セキュリティポリシーに関するガイドラインの改訂もこの流れに沿ったものであると言えます。

新ガイドライン対応の環境を実現するには

先ほど説明したゼロトラストおよび情報漏洩対策を実現する上で中核となるセキュリティ製品が Microsoft 365 A5 です。次の表に示すとおり、Microsoft 365 A5 に含まれる各種機能を利用することにより、改訂後の新しい文部科学省情報セキュリティポリシーに沿ったセキュアな教育環境を実現することができます。

図 6 新ガイドラインで求められる対策とマイクロソフト製品の対応

表 4 新ガイドラインで求められる対策とマイクロソフト製品の対応

教育委員会様向けオンラインセミナーのご案内

日本マイクロソフトはガイドラインの改訂に際し、教育委員会様を対象に、ゼロトラストの考え方に基づいたこれからのセキュリティのあり方をご説明するオンラインセミナーを開催いたします。
本セミナーでは、いち早く省内情報システムをゼロトラスト型のセキュリティへ移行することを決めた文部科学省様より、マイクロソフトソリューション採用の経緯などをご紹介いただき、各教育委員会でガイドライン改訂への対応を検討される際にお役立ていただける情報をお届けいたします。
さらに、日本マイクロソフトからは、Microsoft 365 Educationを軸としたゼロトラストの考え方と、教育委員会における導入のポイントや活用例をご紹介いたします。校務や教務運営、端末の持ち帰り対応等、教育現場や先生の働き方にもたらすメリットの数々について先行事例を交えてわかりやすく解説いたしますので、ぜひご参加くださいませ。

オンラインセミナー概要
テーマ: 「教育情報セキュリティポリシーに関するガイドライン」改訂への対応ご提案- 校務も教務も1台の端末で完結! クラウドを徹底活用して安全かつ便利に運用 –
日時: 2021 年 9 月 3 日 (金) 16:00-17:10
実施形態: オンラインセミナー
お申込み: こちらから
対象: 教育委員会ご関係者様、教職員、教育関係者
参加費用: 無料
登壇者:

• 文部科学省 大臣官房政策課サイバーセキュリティ・情報化推進室 情報システム専門官 (併) 室長補佐 福井 孝典氏
• 日本マイクロソフト株式会社 パブリックセクター事業本部 文教営業統括本部 統括本部長 中井 陽子
• 日本マイクロソフト株式会社 パブリックセクター事業本部 文教営業統括本部 文教営業本部 モダンワークスペシャリスト 山越 梨沙子

主催: 日本マイクロソフト株式会社

お問合せ先

マイクロソフトではクラウドをフルに活用した先進的かつ安心・安全な学びの環境を実現するため、教育機関のお客様をご支援させていただいております。クラウド時代の新しい学習環境実現に向けてお役に立ちたいと考えております。ぜひ弊社までご連絡ください。

なお、当ブログでは新ガイドラインに沿った教育環境を実現するための技術について次回以降でさらに詳しくご紹介してく予定です。

教育機関ご担当者様向け お問い合わせ窓口
電話番号: 0120-933-308
メール: gigams@microsoft.com
受付時間: 9:00-17:30
月曜日～金曜日 (祝祭日、年末年始、マイクロソフト休業日を除く)​

関連情報

「教育情報セキュリティポリシーに関するガイドライン」公表について：文部科学省 (mext.go.jp)
「教育情報セキュリティポリシーガイドライン」の第２回改訂に関する説明 – YouTube
ホーム | Microsoft Education
Microsoft Education Blog | Microsoft EDU (英語)

執筆者:

日本マイクロソフト株式会社 クラウド＆ソリューション事業本部
テクノロジー ソリューション プロフェッショナル 教育部門担当
廣瀬 望

The post 文部科学省「情報セキュリティポリシー ガイドライン」改訂のポイントと、便利かつ安全な環境の実現に向けて appeared first on マイクロソフト業界別の記事.