セキュリティ
学校はサイバーセキュリティを優先せず、その重要性も理解していないことが多いようです
PWNED ようこそ、今週もPWNEDのコーナーへ。このコラムでは、コンピューターやネットワークを「こう使ってはいけない」という実例をご紹介しています。今週の「間抜けな失態」の物語では、セキュリティについて学ぶべきことが山ほどあったある教師の話をお届けします。
ネットワークに大きな穴を開けてしまった誰かのエピソードをお持ちの方は、ぜひ[email protected]までご一報ください。ご希望があれば匿名での掲載も可能です。
今回の話は、英国在住のベテランIT技術者、Kevin Walker氏からの提供です。同氏はある学校にサービスを提供していた際、校長のノートパソコンを目にする機会がありました。
そのノートパソコンの底面には、この女性のユーザー名とパスワードが書かれた付箋が貼られていました。仮に複雑な組み合わせであったとしても、付箋を貼っている時点で情報は筒抜けになってしまいますが、実際の組み合わせは次のようなものでした。
ユーザー名: headteacher
パスワード: headteacher
このノートパソコンを悪用すれば、悪意ある人物は生徒の個人情報や内部のやり取り、メール、その他あらゆる学校の機密ファイルにアクセスできてしまいます。学校で働く人、通う人全員にとって深刻な問題になりかねません。
「校長のノートパソコンは、ただのノートパソコンではありません。学校が保有する最も機密性の高い情報への入り口なのです」とWalker氏は語ります。サイバー犯罪者がアクセスできれば、実際に校舎に足を踏み入れることなく、事実上学校に侵入できてしまうというわけです。
Walker氏が学校のIT業務で目にしたお粗末なセキュリティ対策は、これだけではありませんでした。ある学校では「Passwords.xlsx」という名前のExcelファイルを作成し、生徒もアクセスできる共有ドライブに置いていたそうです。その名の通り、Passwords.xlsxにはログイン認証情報がぎっしり詰まっており、悪意ある者ならいくらでも悪用できる状態でした。
Walker氏はほかにも、退職者のアカウントが有効なまま放置されている例、バックアップドライブが常時接続されたままのサーバー(これではハッカーがバックアップごと消去できてしまいます)、受付のホワイトボードに書かれたWi-Fiパスワード、そして重要なシステムが旧式のノートパソコンからしかアクセスできない状況などを目にしています。
また、「電源を切らないでください」という貼り紙がされたまま隅に置かれ、誰もが触るのを恐れているマシンもありました。さらに、Windows XPが現役プラットフォームでなくなってから何年も経つというのに、その学校ではいまだにこの古いOSが動くCCTVモニターが使われていました。加えて、本来セキュアであるはずのサーバールームは、文房具やクリスマスの飾り付けの物置としても使われていたそうです。
Walker氏によれば、彼が関わってきた学校ではサイバーセキュリティ以外のことが優先され、その重要性も理解されていなかったといいます。あるボスに至っては、データを安全に守ることの重要性自体を否定したこともあったそうです。
Walker氏がクラウドバックアップの導入を進めようとした際、その上司はこう告げたといいます。「サイバーセキュリティなんて気にする必要はない。うちはただの小学校なんだから」
Walker氏の見解では、問題は学校が往々にして旧式の機材で運用せざるを得ず、教師や学校administratorには他に気にかけるべきことが多いという点にあります。氏が提案する解決策はシンプルです。
「安全な選択を、簡単な選択にすることです」とWalker氏は言います。「職員にパスワードマネージャーを配布する。多要素認証を使う。アカウントをきちんと見直す。バックアップをテストする。共有の管理者ログインを廃止する。システムを常に最新の状態に保つ。適切なパスワードポリシーを徹底し、すでにデータ漏洩で流出済みのパスワードはブロックする。あるパスワードがすでにネット上に出回っているのなら、それが学校のシステムを守る資格はありません。どれも真新しいiPadを大量導入するほど華やかな話ではありませんが、確実に効果があります」®
