コンサルティングにより文部科学省の教育情報セキュリティポリシーガイドラインに対応し、学院全体のセキュリティ向上を推進
多様な立場の関係者が携わり幅広い情報を扱う専門学校ならではの状況に即した個人情報取り扱いに関する規定類を整備し、定着するまでサポート
事例企業： 学校法人ミクニ学園 大阪文化服装学院
事例カテゴリ：企業統治法令準拠サイバーセキュリティ対策
目的： 教育情報セキュリティポリシーガイドラインに対応した個人情報保護体制の確立
導入前の課題
以前の情報資産・個人情報の運用・管理体制は管理ルールや判断が個々の教職員に委ねられており、深刻なセキュリティ事故の発生を防ぐには適切なリスク管理体制を整える必要があると判断し、「セキュリティプロジェクト」を発足した。しかし、ポリシーを定めて情報資産管理や具体的な規定類を整備し、教職員に定着させるまでを、他の業務と兼務する担当者だけで進めるのは専門性の面で困難な上、作業工数の大きさも懸念材料となっていた。
導入の目的・解決手段
教育業界におけるセキュリティコンサルティングの経験を持つサイバートラストから、さまざまな立場の教職員が入り交じる専門学校ならではの特質を踏まえた具体的な提案を得ることにした。最新のセキュリティ動向を反映した専門的なアドバイスを踏まえながら、専門学校の現場に即した具体的な規定類の整備と、その定着に向けた講習会の実施、アセスメント内容のチェックといったアクションを推進した。
導入効果
文部科学省のセキュリティガイドラインや改正個人情報保護法といった最新の知見や事例を元に、専門的なアドバイスが得られる上に、専門学校という現場に即した形で具体的なルールやマニュアル類の整備に向けたロードマップを示し、かゆいところに手の届く支援が得られている。また、ただルールを定めるだけでなく、定着のための講習会を通して、学院全体のセキュリティ意識向上が進んでいる。
背景
「ファッションで社会に貢献する」という方針の下、多くの人材を輩出してきた大阪文化服装学院。近年は国際感覚とデジタルスキルに力点を置き、AI 技術を活用したファッショントレンドのリサーチや、3D CG を駆使した次世代の服作りを先取りしたカリキュラムを導入し、デジタル時代に求められる即戦力の育成に力を入れています。
「学生に IT リテラシーやデジタルスキルを持たせ、人材としての価値を高めようとしています」（学校法人ミクニ学園 大阪文化服装学院 経営企画本部 副本部長 国際戦略・産学連携担当、豊田晃敏氏）。コロナ禍が到来した時も学生に Chromebook を配布してオンラインで授業を継続し、教育内容だけでなく、学習環境の面でもデジタルトランスフォーメーション（DX）を推進してきました。
ただ、DX と表裏一体で求められるのがセキュリティ対策でした。学校法人では生徒の個人情報や成績といったセンシティブな情報を扱うためリスク管理が欠かせません。しかし小規模な事故をきっかけに、「このままの状態では、もっと大きなインシデントが発生してしまう恐れもある。そうなれば学生の募集はもちろん、最悪の場合は事業そのものに深刻な影響を与えかねない」といった懸念が顕在化し、真剣にセキュリティ対策に取り組むべきという機運が高まりました。
「経営に対してもセキュリティ対策の必要性を訴え、2021 年 6 月に学内で『セキュリティプロジェクト』を立ち上げ、改善活動に取り組み始めました。まず見えている課題から着手し、個人情報をはじめとする学内の情報資産を洗い出し、資産価値を特定することから始めました」（豊田氏）
しかし、大阪文化服装学院の本業はあくまでも学生への教育です。情報システムやセキュリティ対策の運用も、専門の部署があるわけではなく、教職員が兼業の形で担当しています。「どのような仕組みやルールを作るべきか」「どこまで細かく、具体的な手順を定められるか」まで自前でやりきるには限界を感じるようになりました。兼務という立場上、工数の大きさも懸念材料となったといいます。
選択のポイント
こうした背景から大阪文化服装学院では、外部のセキュリティ専門家の力を借りることにしました。
その際に重視したのは、教育機関、特に、常勤の教員や職員、非常勤講師などさまざまな立場の関係者が業務に携わり、在校生、卒業生、入学予定者、イベントやガイダンスで接した高校生など多くの個人情報を取り扱う専門学校ならではの特質を踏まえ、かゆいところに手の届く適切な提案ができるかどうかでした。教育機関と一口に言っても、規模や運用体制はまちまちです。教育委員会や大学などが公開しているセキュリティポリシーやルールを、そのまま大阪文化服装学院に適用しようとしても必要十分ではなく、自分たちの実情に合わせたルールの整備が必要だと考えました。
「情報システム部を持つ民間企業に対してならば、セキュリティコンサルティングを提案できる企業は多数ありますが、教育機関向けにしっかりとした実績があるところとなると限られており、その一社がサイバートラストでした」（豊田氏）
2022 年 4 月に施行された改正個人情報保護法をはじめ、セキュリティを取り巻く最新の法規制やガイドラインの動向を踏まえ、先を見据えたアドバイスが得られるかどうかも要件の1つでした。「インターネットで探して出てくるものは情報が古く、そのまま使うには不十分なところが多いと判断していました。我々の狙いに専門的な見地から肉付けし、規定化していくなど、自分たちで行った資産の洗い出しなどについて客観的な評価を下してもらうための力を借りたいと考えました」（豊田氏）。ISMS よりも事細かく対応が求められる文部科学省のセキュリティガイドラインに対応できる知見も必須でした。
こうした条件を兼ね備えるプロフェッショナルとして大阪文化服装学院の情報インフラ構築を支援してきた三谷商事経由でサイバートラストにコンタクトを取りました。ミーティングを重ね提案の内容を聞くにつれ、サイバートラストへの信頼は高まっていったといいます。
決め手の 1 つは、上位概念のポリシー作成だけでなく、現場の運用に即した規定類やマニュアルレベルまで落とし込む部分にもおよぶ提案であったことでした。「以前は個人がそれぞれの判断で情報を管理していたため、あらためて一貫性のあるルールを作るだけでなく、現場の運用に近いところまで作り込みたいと依頼した際に、躊躇なく『そこまで一緒にやりましょう』と言ってもらえ、われわれのニーズを満たすホスピタリティを感じました」（豊田氏）
外部の専門家の力を借りようと決断した理由の一つでもある、「何を、どのように進めていくべきか」に対する明快な答えが得られたことも心強かったと振り返ります。「『まずこのようなポリシーを作り、規定を作り、現場のマニュアルに落とし込んでいく』という一連の内容が非常に具体的で、これからやっていくことを、素人の我々にもわかりやすいように丁寧に説明してくれました」（豊田氏）。専門用語やカタカナを並べて煙に巻くのではなく、シンプルでわかりやすい言葉によってゴールまでの道筋を示したことで、信頼感はさらに高まりました。
大阪文化服装学院では、ルールを作るだけでは意味がなく、定着させていく必要性も感じていたが、その部分についても、教職員に対する定期的な研修会の実施や啓蒙・啓発に関する提案を受けることができました。「啓蒙・啓発活動も織り込んだ三年計画の提案を受け、ルールを定着させるところまで伴走してもらえるという確信を得ることができました」（豊田氏）
効果
実際に契約を結び、コンサルティングを受けるにつれて感じたのは、サイバートラストの専門性の高さでした。「これまでのやりとりはオンラインがほとんどですが、改正個人情報保護法をはじめ、周辺の状況についてもよくご存じですし、いろいろな事例を交えて説明してもらえます。常日頃から専門知識の高さを感じており、導入時の提案以上の対応を取っていただいていると思います」と、同IR・広報課 課長兼入学広報課課長兼 ICT 推進リーダーの齊藤佳孝氏は振り返ります。
まず実施したのは、その前年に自力で行った情報資産の棚卸し内容の確認でした。サイバートラストの専門家が学校内に出向いて細かく現地調査を行い、「終業時 PC を机の上に置いて帰宅するのではなく、きちんと収納する」「プリンターからの出力はしかるべきところに格納するか、廃棄する」など、見落としていたさまざまな事柄を約 100 項目指摘されたといいます。「学校にはアナログの情報資産も非常に多くあります。自分たちでは見落としていた部分を指摘してもらい、非常に助かりました」（齊藤氏）
その上で現場に即したルール・マニュアルも作成していったが、トップダウンで強制的に決めるやり方は取りませんでした。すべての部署からプロジェクトにメンバーを招き、どのような業務を行っているかと照らし合わせながら、一定のセキュリティ水準を保ちながら現場が円滑に回るようなルールを作成していきました。
その上で、このルールを定着させるため、サイバートラストが講師となって教職員に対する「講習会」も 2022 年 6 月に実施しました。「『ルールを作りました』というだけではなかなか理解が深まらなかったり、勘違いすることもあるでしょう。そこで、プロジェクトメンバーを通して現場への浸透を図ると同時に、勉強会を行い、理解度テストを実施して情報資産の管理方法についての理解を深めました」（齊藤氏）
セキュリティに関する面倒なルールが作られると現場からの反発もありそうですが、実際は逆だったといいます。「アンケートの声を見ると、個人情報や情報資産の管理状態がこのままでいいのか、以前から薄々不安を感じていた教職員が多かったことがわかりました。今回の勉強会をきっかけに、きちんと管理していくべきだという意識をあらためて持つことができたように思います」（齊藤氏）
今後
こうして一年目の取り組みを終えた大阪文化服装学院ですが、今後もサイバートラストとともにルールの整備を進め、「新しいフリーソフトを使いたいときにはどうすべきか」といった具体例に則したマニュアルの整備などを進めていくといいます。「これさえ見れば、教職員も次にどうすればいいかがわかるレベルの具体的なマニュアルを作成していければと思います」（豊田氏）
作成したルールやマニュアルの定着に向けた努力を継続するとともに、三谷商事の協力を得て PC のセキュリティ管理を徹底するためのソフトウェアを導入し、組織と人、技術にまたがる対策を推進していく予定です。近々職員室のリノベーションも予定しており、より適切な情報管理ができる空間を目指すといいます。
「各部署から情報セキュリティ委員会にメンバーを出してもらっていますが、ずっと同じ担当者では頼り切りになり、属人化しがちです。ですので、若い人も含めさまざまな教職員に交代で委員を担当してもらい、全体の意識向上を進めていきたいと考えています」（豊田氏）。三谷商事情報システム事業部 文教営業部 関西文教課課長の南部元彦氏は、「特定の教職員だけに頼るのではなく、学校全体を挙げて対策に取り組んでいくプロジェクトは他にあまりなく、非常に素晴らしい取り組みだと思います」と述べています。
同学院は引き続きサイバートラストの力に期待しています。「取り組みの中では、やはり自力ではどうにもならない部分、気付かない部分が生じます。法改正などの最新情報も含めてルールをブラッシュアップし、定着させ、適切に管理していくのが当たり前の職場になるよう、これからもサイバートラストのサポートをお願いできればと思います」（齊藤氏）
導入企業様のご紹介
1946 年創設の西日本最大級のファッション専門学校。「ファッションで社会に貢献する」という経営方針のもと、近年は海外のファッションスクールとの連携を高め、国際的に活躍できる人材の育成に注力しています。また、世界的に DX へのニーズが高まるなか、デジタルコンテンツへの投資も積極的に行い、「国際感覚」と「デジタルスキル」を融合し、新たな価値を生み出す創造力を養成しています。「日本で最も高い成果をあげ、アジアを牽引する発信力を持ち、世界から信頼されるファッション教育機関であり続ける」ことをビジョンに掲げています。
https://www.osaka-bunka.com/この事例の製品・サービスのウェブサイト
この事例に関連のある他の事例
リビエラグループ
X 社
H 社
すべての事例を参照
