大阪公立大学で２０２６年10月２日から発生した大規模システム障害は、大学がシステム運用を委託するＮＥＣではなく、ＮＥＣが開発・保守業務を委託していた企業へのサイバー攻撃が発端だった。大学から見れば「再委託先」に当たる企業を経由して、大学のシステム環境に不正アクセスされた形である。

学習塾でも、校務システムや保護者連絡、授業料決済、学習管理などで外部サービスの利用が拡大している。今回の事案は、契約先企業だけでなく、その先で業務を担う再委託先まで含めて情報管理体制を確認する必要性を示している。

正規アカウントを使って大学のシステムへ侵入

　ＮＥＣによると、９月下旬、システムの開発・保守を委託している企業がサイバー攻撃を受け、正規アカウントの認証情報が窃取された。攻撃者は、その認証情報と委託先企業の端末を利用し、複数の顧客システム環境へ不正アクセスした。

　侵入先では、サーバー内のファイルが暗号化され、システムが利用できない状態になった。また、顧客、ＮＥＣ、委託先企業の間で情報共有に使用していたクラウドストレージから、顧客の個人情報やシステム関連情報が流出したことも確認された。ＮＥＣは、流出した個人情報の内容について、詳細が判明次第、対象者に報告するとしている。

　大阪公立大学では10月２日午前０時30分ごろから、全キャンパスでネットワークや学内システムが利用できなくなった。公式ウェブサイトも一時閲覧できなくなり、履修登録の修正期限や抽選科目の追加選考、奨学金などの手続きにも影響が及んだ。

　電子メールは10月13日から順次再開されたが、旧学生用アドレスやメーリングリスト、共有アドレスなど、一部のサービスは停止が続いた。

　大学側は、ＮＥＣが管理するクラウドストレージから大学関係の個人情報とシステム関連情報が流出したと発表している。別の仮想環境には、教務システム関連のデータ約13万件が保存されていたが、同環境から外部への持ち出しがあったかは調査中である。

「大手企業との契約」だけでは安全を担保できない

　再委託は、専門的な開発や保守を分担する一般的な事業形態であり、それ自体が問題なのではない。課題は、委託関係が多層化するほど、「誰が、どの情報に、どの権限でアクセスできるか」を発注者が把握しにくくなることにある。

　今回の攻撃では、認証情報を盗まれた正規アカウントが使われた。正規アカウントを用いた操作は、システム上では通常の保守作業に見える可能性がある。このため、ＩＤとパスワードによる認証だけでなく、多要素認証、アクセス元端末の制限、必要最小限の権限設定、操作記録の保存と監視が重要になる。

　特に注意すべきなのは、サービス提供会社の内部だけでなく、保守会社や開発会社にも本番環境へ接続できるアカウントが付与される場合である。契約先の社名や企業規模だけで安全性を判断するのではなく、実際にシステムへ接続する企業と担当者まで把握する必要がある。

　ただし、現時点の公表資料だけでは、大阪公立大学、ＮＥＣ、委託先企業のどの管理措置に不足があったか、あるいは契約上の責任がどこにあるかを断定することはできない。今後、侵入経路や権限設定、被害範囲、再発防止策についての続報を確認する必要がある。

委託しても個人情報の管理責任はなくならない

　個人情報保護委員会のガイドラインは、個人データの取り扱いを委託する場合、委託元が委託先に対して必要かつ適切な監督を行わなければならないと示している。委託先が再委託する場合についても、最初の委託元には、再委託先に対する間接的な監督が求められる。

　つまり、学習塾が生徒情報の管理を外部サービスに任せても、「サービス会社に預けたので、自塾には責任がない」とはならない。再委託の有無や管理方法を確認し、必要な安全管理措置が継続されているかを把握する必要がある。

　文部科学省の教育情報セキュリティーに関する手引きでも、外部委託時の契約には、再委託の制限、情報資産の返還・廃棄、事故発生時の対応などを盛り込む考え方が示されている。同資料は主に教育委員会や学校を対象とするものだが、児童生徒の情報を扱う民間教育事業者にも参考になる。

学習塾が確認しておきたい５項目

今回の事案を踏まえ、学習塾が外部サービスについて確認すべき事項は、次の５点に整理できる。

１．再委託先の把握
開発、運用、保守、問い合わせ対応などを別会社に再委託しているか。再委託に事前承認や通知の手続きがあるか。

２．アクセス権限の管理
外部事業者のアカウントが共用になっていないか。多要素認証、端末制限、接続時間の制限、操作記録の保存が行われているか。退職者や契約終了者の権限が直ちに停止されるか。

３．事故発生時の連絡条件
情報漏えいやシステム停止が起きた際、何時間以内に、誰から、どの連絡先へ報告される契約になっているか。再委託先で起きた事故も報告対象に含まれるか。

４．データの保存・返還・削除
生徒氏名、成績、志望校、保護者連絡先、授業料情報などが、どの国・地域のサーバーに保存されるか。契約終了後の返還方法と削除証明の有無も確認する。

５．停止を前提とした代替運用
保護者連絡、出欠確認、授業実施、請求、入退室管理が停止した場合の代替手段を用意しているか。復旧目標時間と、どの時点までデータを戻せるかを確認し、重要情報は別系統でも取り出せる状態にする。

　情報処理推進機構も、委託先との契約でセキュリティー要件や事故時の連絡先を明確にし、事業継続に必要な復旧目標時間、バックアップ、訓練などを定めることを求めている。

再委託先を含む「供給網」の管理へ

　学習塾のデジタル化は、限られた人員で教室を運営し、保護者との連絡や学習状況の把握を効率化する上で欠かせない。一方、複数のクラウドサービスを組み合わせるほど、障害や情報漏えいが授業運営全体へ連鎖する可能性も高まる。

　求められるのは、外部委託を避けることではなく、契約先の先にいる事業者まで含めた管理である。サービス導入時の機能や価格の比較だけでなく、再委託先、保守用アカウント、事故時の連絡、データの返還、業務継続までを確認する。大阪公立大学の事案は、教育機関にとって、サイバーセキュリティーが情報システム部門だけの問題ではなく、授業と教室運営を継続するための経営課題であることを改めて示した。

　株式会社WEAVE（広島市、久保直樹代表）は10月17日、学習塾「学び舎SORA」を運営する株式会社ラスタディオの全株式を取得し、完全子会社化した。久保氏がラスタディオの代表取締役に就任した。取得金額は公表していない。

　学び舎SORAは２００４年に開校し、広島市西区で小学５年生から高校３年生を対象に指導している。１クラス10人程度の少人数制を特徴とする。買収後も既存の指導体制や教室の雰囲気を維持しながら、WEAVEが企業・自治体向け研修で蓄積した生成ＡＩ活用の知見を取り入れる。

　新たに中学生向けの「ippo!コース」を開始した。週２回、１回80分で２教科を指導し、月１回のＡＩワークショップとチャレンジ活動を組み合わせる。受講料は税込み月額２万５０００円。学力に加え、ＡＩを使う力や自ら行動する力の育成を掲げる。

　WEAVEは２０２２年設立で、生成ＡＩ研修や業務改善支援を展開してきた。今回の買収は、ＡＩ研修会社が既存の地域塾を事業基盤として教育事業へ参入する事例となる。地域塾の事業承継と、新たな教育サービスの開発を同時に進めるモデルとして、今後の運営実績が注目される。