新学期の始まりを迎え、全国の学生たちがキャンパスに戻ってくる中、教育機関の管理者たちは、教育分野に蔓延するランサムウェア 攻撃の な増加という、懸念すべき傾向に対処すべく備えています。
例えば6月には、ハワイ・コミュニティ・カレッジのネットワークが、名前の明かされていない悪意のある攻撃者による ランサムウェア攻撃（ ）の被害に遭い、28,000 人の個人情報が流出してしまいました。 その4か月前、ノースカロライナ州のガストン・カレッジがランサムウェア攻撃を受けました。その後、「Snatch」というランサムウェアグループが犯行を主張し、 は同校のデータベースから社会保障番号を含む 件の個人情報を流出させ、ダークウェブ上に公開しました。 この攻撃により、教職員や学生向けのさまざまなシステムが停止し、学内のWi-Fiも数週間にわたって利用できなくなりました。
From January through June, more than 120 schools—both K-12 and higher education institutions—suffered ransomware attacks, a significant spike from the 188 total incidents reported in 2022, according to a recent report from the Global Resilience Federation (GRF). この増加により、GRFがまとめたセクター別の総攻撃件数において、教育セクターは前回の報告期間と比較して 7 位から6 位へと順位を下げました。
こうした動向を注視してきた米国政府は、この問題に対して全面的な取り組みを開始しているようです。 ここ数ヶ月、 ホワイトハウス、連邦捜査局（FBI）、教育省（DOE）およびその他の機関は、教育関係者に対し、サイバーセキュリティ のベストプラクティス に関する知識を深めていただくため、一連の計画、戦略、およびガイドブックを発表しました。
しかし、彼らはその呼びかけに応えているのでしょうか？ あるいは、もっと端的に言えば、彼らはそもそもそれを聞いたことがあるのでしょうか？
「政府が成し遂げている素晴らしい取り組みをより効果的に社会に広めるためには、チーフ・マーケティング・オフィサー（CMO）のポストを設けることが有益であるという考えを、私はかねてより抱いてきました」と、重要インフラ技術研究所（ICIT）の創設者兼会長であるパーハム・エフテカリ氏は述べています。 彼は、政府から発信される膨大な量の資料が、限られたマーケティングや広報活動によってその効果が損なわれていると主張しています。 「どの分野の関係者にとっても、利用可能なガイダンス資料について完全な状況把握を行うことは困難です」と彼は述べています。
サイバーセキュリティの専門家たちは、この状況は変えなければならないと主張しています。 教育分野は魅力的すぎる標的であり、サイバー犯罪者たちは、学校から手に入れられる限りのデータを1ギガバイトたりとも逃さぬよう、一刻も無駄にせずに搾り取ろうとしています。
サイバー犯罪集団が学校を標的にする理由――そしてそのタイミング
ランサムウェア による学校への攻撃がもたらす な影響は甚大です。 米国政府監査院（GAO） によると、サイバー攻撃後の学習の遅れは3日から3週間の範囲に及び、事件からの完全な復旧には最大9か月を要し、学校側の金銭的損失は50,000 ドルから100万ドルの範囲でした。
「教育分野はいくつかの理由から魅力的なターゲットとなっていますが、その主な理由は、販売可能な学生データの量が膨大であることを踏まえると、投資対効果が比較的高いという点です」と、サイバーセキュリティソフトウェア企業Tanium（本誌を発行している）のチーフ・エデュケーション・アーキテクト、ダグ・トンプソン氏は述べています。 さらに、彼は「タイミングもまた重要な要素だ」と付け加えています。
企業の最も脆弱な時期を予測するのは難しい場合がありますが――それには、 企業の内部事情や 、業界全体の動向に関する深い知識が必要となります――一方、学校には決まったスケジュールがあります。 「攻撃は、新学期や春学期の開始時期によく発生する傾向があります。この時期は、大勢の新入生がキャンパスにやって来たり、教員の入れ替わりがあったり、既存のITスタッフがパスワードのリセットや基本的なシステムメンテナンスといった日常業務に追われているからです」とトンプソン氏は述べています。
このランサムウェア攻撃の増加は、 サイバー保険の 保険料にも影響を及ぼしており、フィッチ・レーティングスの報告書によると、その保険料は驚異的な 51％も上昇しました。。 トンプソン氏は、この傾向に対抗するため、教育機関に対し、サイバー保険以外の手段として、人材、ツール、およびリソースへの投資をより重視するよう助言しています。 「サイバー保険料の高騰が深刻化していることに加え、脅威アクターによる攻撃が、悪意のある暗号化から完全なデータ窃取へと移行していることから、このモデルからのパラダイムシフトが余儀なくされ始めています」と彼は述べています。
教育分野に対するこうした脅威の先頭に立っているのが、Vice Societyというランサムウェアグループです。このグループは、医療業界や製造業に対する恐喝攻撃でよりよく知られています。 FBI、サイバーセキュリティ・インフラセキュリティ庁（CISA）、および多州情報共有・分析センターが昨秋に発表した「 」の共同報告書（ ）によると、Vice Societyは2022 年の下半期に教育セクターを標的とした21 件のランサムウェア攻撃を仕掛け、2023年の上半期には 15 件の攻撃を仕掛けたとのことです。 Vice Societyに続いて、LockBit 3.0というランサムウェアグループが台頭しています。このグループは、 2022 年の第1四半期に13 件、2023年の上半期には 25 件のインシデントを引き起こしました。 同報告書によると、 Cl0p ランサムウェアグループ（直近ではのMOVEit情報漏洩事件 との関連が指摘されています）も、今年上半期に 13 件のインシデントを記録し、急増しました。
連邦および州の計画は、教育分野におけるサイバーリスクへの対策に貢献しています
ランサムウェア攻撃が増加する中、GRFの報告書は、強固な防御体制、先を見据えた対策、そして業界全体の連携の必要性を強調しています。
「どの分野の関係者にとっても、利用可能なガイダンス資料について完全な状況把握を行うことは困難です。」パーハム・エフテカリ氏、クリティカル・インフラストラクチャー・テクノロジー研究所 創設者兼会長
7月、ホワイトハウスは『 』国家サイバーセキュリティ戦略実施計画（）を発表しました。同計画では、米国の重要インフラを防衛の第一の柱として位置づけ、国家安全保障と公共の安全を強化する必要性を強調しています。 同報告書は、これらの重要分野におけるサイバーセキュリティの標準化を求めており、国の重要インフラを保護するために不可欠な措置として、連携の強化やサイバーセキュリティ人材の育成への投資を挙げています。
米国の幼稚園から高校までの学校システムのサイバーセキュリティ対策を強化するため、バイデン政権は 、8月に と題した一連の戦略的措置および資源投入の取り組みを発表しました。 Leading the initiative, Federal Communications Commission Chairwoman Jessica Rosenworcel proposed a pilot program under the Universal Service Fund that aims to allocate up to $200 million over three years for cyberdefenses in K-12 schools and libraries.
連邦、州、地方、部族、および準州の教育関係者間の効果的な連携を確保するため、教育省（DOE）は、 に基づき、 政府調整協議会を設立する計画です。 DOEによると、GCCは、コミュニケーションの促進、政策の策定、および共同活動の推進を通じて、K-12学校におけるサイバーセキュリティのレジリエンス強化に向けた取り組みを主導するとのことです。
[関連記事：新学期がさらに充実しました――ある学区がサイバーセキュリティ対策を強化した方法をご紹介します]
さらに、DOEとCISAは共同で包括的なガイダンス資料を発表し、来年度、新たに 300 のK-12教育機関を対象に、個別の評価の実施、サイバー演習の実施、およびサイバーセキュリティ研修の提供を行うことを約束しました。 FBIと州兵局も、州当局者がサイバーセキュリティインシデントを報告し、連邦政府のサイバー防衛能力を効果的に活用するためのリソースを確保できるよう、リソースガイドを更新することで、この取り組みに貢献しています。
学校の防犯体制の強化はここから始まります
こうした政府の取り組みの一部は、昨年公表されたGAO（政府監査院）の懸念すべき報告書『 』（ ）に部分的に後押しされている可能性があります。この報告書の中で、同監査機関は、重大なコミュニケーションの齟齬について指摘しています。 「サイバーセキュリティ上のリスクやインシデントに対処するために、各機関が互いに、あるいは幼稚園から高校までの学校とどのように連携するかについて、正式な枠組みは存在しません」と、報告書は述べています。 GAOは、各機関によるサイバーセキュリティ支援の連携体制を改善するため、 の提言を提示しました（ ）。
「こうした攻撃は、新入生が大量にキャンパスにやってくる新学年の初めや春学期の開始時期に発生しやすい傾向があります。」Tanium社のチーフ・エデュケーション・アーキテクト、ダグ・トンプソン氏
あまり話題には上らないものの、重要なもう一つの障壁は、学校管理者たちが、彼らにとってはまさに「新たな複雑な情報の洪水」のように映るであろう情報に対して、どれほど柔軟に対応できるかという点です。 その極めて重要な役割にもかかわらず、政府機関から発表される指針は、一部の人にとっては圧倒されるような印象を与えることもあると、ICITのエフテカリ氏は認めています。
とはいえ、サイバーセキュリティにあまり詳しくない指導者であっても、学校の防御体制を強化するために講じることができる、比較的簡単な最初の対策がいくつかあります。 まずはこの4つから始めてみてください：
1. 新しい情報をチェックしておきましょう
エフテカリ氏によると、教育関係者は、情報源を多様化させるために、米国国立標準技術研究所（NIST）、CISA、DOE、ICITなどの機関から発信されるアラートに登録すべきだとのことです。 また、彼は「教育分野のサイバーセキュリティ」や「サイバーセキュリティ教育者向けの連邦政府の指針」といった関連キーワードでGoogleアラートを設定し、最新のニュースや情報を常に把握しておくことを提案しています。
2。 早い段階からサイバーセキュリティへの関心を育みましょう
教育者は、学校のカリキュラムや課外活動が、 科学や数学を基盤とする職業への関心 や熱意をどのように喚起できるかを検討すべきだと、エフテカリ氏は述べています。 「CISA、NIST、教育省、およびその他の機関は、サイバーセキュリティ教育や人材育成に関するプログラムをこれまで支援してきており、今後も支援を続けていく予定ですが、教育者にとっては、革新を図り、デジタル学習の新たな時代を切り拓くことが急務となっています。」
3。 単なるデバイスだけでなく、それ以上のものに投資しましょう
Tanium社のトンプソン氏は、学校が生徒の学習を促進するために、教室にX台のコンピュータを導入することにばかり過度に注力しがちだと指摘しています。 「適切な安全対策が講じられていない教室でのテクノロジー活用は、端末がないことよりも危険です」と彼は述べています。
では、予算が限られている学校は、高額なサイバーセキュリティプラットフォームやIT担当者をどのように賄っているのでしょうか？ 彼らは分かち合います。
現在、ますます広がりを見せている傾向として、多くの自治体や幼稚園から高校までの学区が、連携して資源を共有することで、「」という州全体を網羅するソリューションを導入しています。 この取り組みは、サイバー防衛体制を強化するため、事前承認済みのツール、脅威インテリジェンス、安全な報告手段、研修、あるいは資金提供などを通じて、州が小規模な地方自治体団体、学校、先住民団体に対するサイバーセキュリティ管理を支援することを促進するものです。
[関連記事：州全体にわたるサイバーセキュリティ戦略の策定に関する実践ガイド]
4。 専門家に頼りましょう
エフテカリ氏はさらに、学校のサイバーセキュリティ対策を強化するためにどこから手をつければよいかについて、さらなるアドバイスを得るために、地元のFBI現地捜査官や地域のCISAに連絡を取るよう付け加えています。 その他の専門知識については、全米郡協会や学校経営協会などの団体で得ることができます。
教育関係者の皆様は、サイバーセキュリティ関連団体の地域支部（InfraGard、Cybersecurity Collaboration Forums、ISACA、 ISC2など、ほんの一例ですが）を探し、どのようなリソースや支援が得られるか確認されることをお勧めします。 エフテカリ氏は、課外活動への参加に最初は躊躇してしまう生徒たちと同様に、学校関係者にとっても、こうした働きかけには費やした時間に見合うだけの価値があると助言しています。
「サイバーセキュリティ界隈は、親しみやすく、コミュニティ意識の高い専門家たちのネットワークです」と彼は述べています。 「彼らは、レジリエンスと国家安全保障という私たちの共通の使命を支援するために、ほぼ常に喜んで時間を割いてくださいます。」
