2023年の前半に米国の学校全体に対する攻撃が急増したことを受け、今シーズンの新学期を迎えたこの時期、10数以上のK-12学校区でサイバー攻撃が相次いでいます。 とりわけ、ダグ・レビン氏は、このことに驚きはしていません。
教育分野をリードする非営利団体「 K12 Security Information eXchange（K12 SIX）」の共同創設者兼全国ディレクターとして、レビン氏（写真右）は、学校をサイバー脅威から守るためのサイバーセキュリティのベストプラクティスの策定を主導しています。
最新作『 』『ミッション：インポッシブル』 に出演するトム・クルーズのように、攻撃的な 人工知能と対峙するレヴィン氏は、学校区をサイバー攻撃から守ろうと、人間対機械のサイバーバトルにますます深く巻き込まれていきます。もっとも、クルーズが運転するような派手なスポーツカーやバイクは登場しませんが。 何しろ、レビン氏の非営利団体の予算には限りがあるのですから。
ランサムウェア「 」が、今年、教育分野を襲っています。 グローバル・レジリエンス・フェデレーション（Global Resilience Federation）が発表した「 」の最新レポート『 』によると、1月から6月にかけて、幼稚園から高校までの教育機関および高等教育機関を含む120 校以上がランサムウェア攻撃の被害に遭いました。これは、2022校中 188 校が被害を受けた前年同期と比較したものです。 専門家によると、 といったサイバー犯罪グループ （そして 不満を抱えた10代の若者たち も間違いなく）がAIをますます活用するようになるため、こうした数字はさらに悪化する見込みです。
米国サイバーセキュリティ・情報セキュリティ庁（CISA）によると、K-12（幼稚園から高校まで）の教育分野では特に状況が厳しく、平均して1学日あたり1件以上のサイバーインシデントが発生しています。 今年はその統計を上回る可能性があります。非営利の教育ニュースサイト「The 74」による『 』の分析（ ）によると、8月だけで、ランサムウェア集団がニュージャージー州、コロラド州、ワシントン州、およびアラスカ州の地方にある学区を含む、K-12の学校システムに対する新たな攻撃11 件の犯行を自認したとのことです。 今月は、全米で7番目に規模の大きいフロリダ州ヒルズボロ郡公立学校区で情報漏洩が発生したほか、ペンシルベニア州チェンバーズバーグ地区学区ではランサムウェア攻撃を受け、学校が3日間休校となりました。
[関連記事：サイバーレジリエンスとは？] (新しいタブで開きます)
英国でも同様の深刻な傾向が見られ、新学期が始まって以来、 サイバー攻撃の相次ぐ発生 により、少なくとも4つのキャンパスが被害を受けています。
では、ランサムウェアの被害に遭った場合、学校管理者や教育関係者はどう対応すべきでしょうか？ CISAおよび連邦捜査局（FBI）はともに、身代金を支払わないよう呼びかけています。 そうですね……でも、そのあとはどうするんですか？ のフォーカルポイント『』との独占インタビューで、今年CISAのサイバーセキュリティ諮問委員会に新たに任命されたばかりのレビン氏は、学校が抱える特有の脆弱性について解説し、避けられないサイバー攻撃に備えて防御体制を強化するためのリソースを紹介しています。
[以下のインタビューは、読みやすさと分量を考慮して編集されています。]
ランサムウェアの被害に遭った組織はすべて苦境に立たされますが、学校にとっては特に厳しい状況となります。 教育分野特有の課題にはどのようなものがありますか？
学校システムに対するランサムウェア攻撃には、主に3つの点で独特な特徴があると考えます。
「学校システムには、現在の生徒や教職員だけでなく、ボランティア、業者、[および]教育委員会の委員など、過去に学校システムに関わった人々に関する機密情報の宝庫が保管されています。」ダグ・レビン氏（ K12 SIXの共同創業者兼全国ディレクター）
まず、多くの場合、ランサムウェア攻撃にはデータの持ち出しも伴うものであり、学校システムには、 に記載されているような機密情報の宝庫があります。 これには、現在の生徒や教職員だけでなく、ボランティア、業者、教育委員会の委員など、過去に学校システムに関わった人々に関する情報も含まれています。
それはかなりの数の銀行口座と社会保障番号ですね。
保有されているデータには、心理・医療報告書から、法執行機関との関わり、法的問題、ホームレス状態に関連する居住状況、家庭崩壊や保護命令、在留資格、性別や宗教的アイデンティティなど、あらゆる情報が含まれる可能性があります。 被害者は、クレジット詐欺や税務詐欺による個人情報盗用被害に遭うだけでなく、学校が収集するデータの性質上、その他の被害に遭う可能性もあります。
第二に、学校は資源が極めて限られています。 および への対応、ならびにランサムウェア攻撃からの の復旧にかかる中長期的な のコストを算出すると、ランサムウェアの被害を受けた学校システムは、システムの復旧に数百万ドルもの費用を費やすことになる可能性があります。 この資金は、必然的に、 指導や 学習といった、学校制度における他の優先事項から流用されることになってしまいます。
第三に、ランサムウェアによって学校システムの運営が妨げられると、場合によっては休校となることがあります。 生徒が学校に通えなくなると、保護者や養育者は代替の措置を講じなければなりません。また、生徒は学校給食やその他の学校資源の恩恵を受けられなくなる可能性があり、そしてもちろん、教育が中断されてしまいます。
秋になると、新学期が始まり、新入生が入学し、さまざまな変化が起きるため、学校を標的としたサイバー攻撃が増加する傾向にあると聞いています。
新学期の始まりは、教育機関にとって確かに大変な時期です。 攻撃者は、新学期の初めや感謝祭のような学校休業期間中、学校システムが特に脆弱であることを理解していることを示しています。 そのような時期には、小中高校のIT担当者は、学校ネットワークをこれまでほど綿密に監視できない可能性があり、また、職員もフィッシング詐欺への対応において、普段ほど注意を払えなくなる恐れがあります。
バイス・ソサエティは、学校への攻撃で知られるサイバーギャングです。 Viceが教育分野をターゲットにしている理由について、何か見解はありますか？ この子たちは、校長先生から何度も罰を受けすぎたのでしょうか？ つまり、標的となり得る対象は他にもたくさんあり、その中にははるかに巨額の資産を持つ人々も大勢いるのに、なぜ学校にこれほどまでに的を絞るのでしょうか？
「Vice Society」は、サイバー犯罪によって教育分野を標的とする数多くの海外犯罪組織のうちの1つに過ぎません。 学校システムは裕福な組織とは見なされていませんが、こうしたグループは、学校システムの防御体制が比較的未熟であることを踏まえると、サイバー攻撃を行うことで高い利益が得られることを突き止めたのです。 彼らの主な動機は金銭であり、学校を標的にしようが病院を標的にしようが、攻撃がもたらす広範な影響については、まったく気にかけていません。
では、学校の管理者はサイバー防御を強化するために、どのような対策を取ればよいのでしょうか？ 彼らはどこから始めればいいのでしょうか？
While there is no shortage of guidance for organizations looking to shore up their cybersecurity risk management practices, we’d encourage school systems to look for K-12–specific guidance.
[Read also: Securing K-12—here’s how to build a safer learning environment for our nation’s schools]
K12 SIXでは、すべての学校区が導入すべきであると私たちが考える、サイバーセキュリティ対策の基本指針を策定いたしました。 （詳細については、こちら（ ）の「 」をクリックしてご覧ください。）
また、学校の管理者の方々には、CISAが作成した「 K-12–specific 」のアドバイスや指針を参考にしていただくことをお勧めいたします。 （その連邦政府のガイダンスについては、こちら（ ）の「 」をクリックしてください。）
