新型コロナウイルスのパンデミックが始まった当時、アイルウィン・リベイロ氏は、ブリティッシュコロンビア州で4番目に大きな公立学区であるバーナビー第 41学区のネットワーク・セキュリティ担当マネージャーとして、まだ着任したばかりでした。 彼の使命は、この学区の約 25,000 人の生徒と4,000 人の教職員の機密情報を保護することです。
自宅に十分なパソコンを持たない生徒や教職員の遠隔学習のニーズに応えるため、この学区が所有する数千台の端末が、わずか数ヶ月のうちに文字通り持ち出されてしまいました。 彼らは、管理がはるかに手薄なホームネットワーク環境という未開の領域に足を踏み入れましたが、そこでも定期的なメンテナンスとセキュリティ対策が必要でした。
同学区は端末を配布しましたが、すぐに、これらの端末がどのような状況にあるのか把握できていないことに気づきました。 例えば、デバイスのパッチ適用状況や、ウイルス対策ソフトが最新の状態であるかどうか、またプライバシーやセキュリティに関する規則に準拠しているかどうかといった情報を把握していませんでした。 「あらゆるモバイルデバイス上のリモートエンドポイントを積極的に把握できる、単一のツールが必要でした」とリベイロ氏は述べています。
同地区で主にオンプレミスで運用されていた のレガシーツール は、他のシステムとの連携がうまくいかず、スタッフはそれらを適切に活用するために、数多くのアプリケーションやツールの専門家になる必要がありました。 そのシステムは複雑で、使いにくく、何時間もの研修が必要でした。 バーナビー市は、直面している高まる治安上の脅威に対処するための新たな手段を必要としていました。
現代的なツールの導入
同学区では、VPNの提供を継続するか、あるいはデータやファイルの管理をOneDriveやSharePointといったクラウドベースのツールに移行するかについて検討しました。 その代わりに、バーナビー市は、生徒や教員が使用している端末の管理を簡素化する方針を選びました。 同社は、 9,000 カ所に分散するエンドポイントをリモートで管理・保護するため、最新のウイルス対策ソフトおよびのエンドポイント管理技術 を、新たな方法で導入しました。
新しいセキュリティ管理プラットフォームの一つである「 Tanium Cloud」は、リリース当日から稼働を開始しました。 「導入後、エンドポイントの状況を即座に把握できるようになりました」と、同学区のITサービスマネージャーであるケン・キーウィッツ氏は述べています。 「当社の新しいツールは、管理が格段に容易になったシンプルなアプリケーション・プログラミング・インターフェース（API）を通じて、あらゆる機能を統合しています。」
クラウドベースのサービスのおかげで、バーナビーのITチームは、各エンドポイントで何が実行されているかを把握できるようになりました。 この機能により、 の更新やのパッチ適用、およびユーザーがどこから、どのような方法でログインしても、ソフトウェアを展開することが可能です。 「これは、私たちにとってこれまで経験したことのない、まったく新しいレベルの管理体制なのです」とリベイロ氏は述べています。
この新しいクラウドサービスは、生徒たちがオンライン上でどのような活動を行っているか、またネットワークやウェブサイトを不適切に使用していないかどうかも含めて把握することができます。 「校庭での喧嘩であれ、不適切なサイトへのアクセスであれ、私たちには行動規範があります」とキエヴィッツ氏は述べています。
「当社の新しいツールは、管理が格段に容易になったシンプルなアプリケーション・プログラミング・インターフェース（API）を通じて、あらゆる機能を統合しています。」バーナビー第 41学区 ネットワーク・セキュリティ担当マネージャー、アイルウィン・リベイロ氏
同氏は、自身の部署が「ビッグ・ブラザー」のような役割を果たしているわけではないと述べています。「特に問題のある事案については注意を払い、利用者の意識を高めたいと考えています」と同氏は語っています。 「子供たちは、このネットワークに所属する他の 30,000 人のメンバーと何ら変わりません。」 「私たちは、それが物理的な環境であれオンライン上であれ、安全な環境を提供する義務があります。」
この学区の25名からなるIT部門は、インターネット上で容易に入手できるツールを使って攻撃を仕掛けてくる学生ハッカーの脅威に対処せざるを得ませんでした。 「私たちは彼らを『好奇心旺盛な人々』と呼んでいます」とキエヴィッツ氏は述べています。 一部の生徒は、学区の高速ネットワークを、高速マルチプレイヤーゲームを楽しむ機会だと捉えています。 しかし、悪意のあるソフトウェアをインストールしようとする彼らの試みは、これまでのところ成功していません。
キエヴィッツ氏によると、数年前、ある好奇心旺盛な10代の若者が、学区のシステムに侵入し、ネットワークレベルであれこれと調べ回ることができたそうです。 「私たちは彼の熱意をうまく活かし、それを好転させて、学生としてより積極的に取り組めるようにすることができました」と彼は言います。 「それから数年後、彼と偶然再会したのですが、その時はIBMの子会社のトップを務めていました。」
2021年にランサムウェア攻撃の被害を受けた、 1,000 校近くを管轄する73 の学区とは異なり、バーナビーではこれまで大規模なセキュリティ侵害は一度も発生しておらず、今後もその状態を維持していきたいと考えています。
「私たちは、新聞の一面を飾るような事態にならないよう、環境の強化に引き続き取り組んでいます」とキエヴィッツ氏は述べています。 特に保護が重要なのは、社会保障番号、自宅の住所、電話番号といった個人データの「至宝」です。ハッカーはこれらを利用して、 子どもの身元を盗用したり、 クレジットカードを開設したり、公的給付を申請したり、その他の違法行為を行ったりすることが可能です。
「経営陣と実際のデータについて話し合えるようになれば、人々は耳を傾けてくれます。」バーナビー第 41学区 ITサービスマネージャー、ケン・キーウィッツ氏
「先見の明のある地区では、運用面や物流面、そして災害管理の観点から、セキュリティ体制を強化する方法を検討しています」と彼は述べています。 「人々は、攻撃が起こるかどうかではなく、いつ起こるかという問題だと理解しつつあります。」
備えは昨日から始まります
教育現場におけるセキュリティ強化には、それ特有の課題が伴います。 この地区の約 30,000 人の利用者の中には、オンライン上の危険について他の人よりも詳しい人もいます。 目標は、知識の全体的な向上を図ることです。 「ユーザーこそが、最初の防衛線なのです」とリベイロ氏は述べています。
当地区では、 実際のフィッシング攻撃を再現した 利用者向け啓発キャンペーンを実施しています。 また、ユーザーがハッカーによるパスワード窃取や偽のメールを利用した不正アクセスへの手口に騙された場合にも、IT部門に通知されます。 情報漏洩がどのように、またなぜ発生したかに関するデータを分析した後、IT担当者が、さらなる支援や研修が必要かどうかを確認するために連絡を取ります。 また、IT部門では、経時的な傾向を分析し、繰り返し攻撃の被害に遭っている従業員を特定することで、その従業員に対して的を絞った研修を提供できるようにしています。
[関連記事：サイバーセキュリティを強化するために、技術科の教員を支援しましょう]
優れたツール、研修、そして事前の準備がもたらす重要なメリットの一つは、バーナビーのITチームが、十分に活用されていないソフトウェアを特定できることです。こうしたソフトウェアに対して、学区は時に多額のサブスクリプション料金を支払っていることがあります。 これにより、学区では、ツールを提供された人々のうち、実際に定期的に利用している人が誰なのか、あるいは利用者の大部分がツールの特定の機能を利用していないかどうかを、正確に把握できるようになりました。
「これにより、導入計画とそれに伴うコストを見直す機会が得られます」とキエヴィッツ氏は述べています。 「そうすれば、その節約分を、ネットワークやセキュリティ分野における他の取り組みに充てることができます。」 戦略的な観点から言えば、キエヴィッツ社は実際の利用状況に関するデータを用いて、意思決定を裏付けることができます。 「経営陣と実際のデータについて話し合えるようになれば、人々は耳を傾けてくれます。」
