このコラムでは、前回まで、DXの基本からクラウド管理・フィッシング対策まで幅広く紹介してきました。今回はここで一度立ち止まり、「これまでのことが、どうつながっているのか」を整理します。そのキーワードがゼロトラストです。

「ゼロトラストって聞いたことはあるけど、何から始めればいいの？」
「MFAやMDMはバラバラに入れてきたが、全体像が見えない。」
「文科省がゼロトラストと言っているが、うちの学校は何ができていて何が足りないのか。」

ゼロトラストは「一つの製品を入れれば完成」するものではありません。これまで紹介してきたMFA・MDM・クラウド管理・フィッシング対策……これらはすべてゼロトラストの構成要素です。まず「今どこにいるか」を確認することが第一歩です。

（第５回（「境界を守れば安全」は もう通用しない ～ゼロトラストという考え方～）の振り返り）

ゼロトラストの本質は、文部科学省の「GIGAスクール構想の下での校務DXについて」（2023年3月発表）に次のように示されています。
「一切の情報アクセスを信頼せず（＝ゼロトラスト）、権限を持つ利用者からの適正なアクセスかを常に確認すること（＝アクセス制御）で、不正アクセスを防止する」

——これがゼロトラストの定義です。

たとえて言うと……
「城壁で囲む」から「全員に入場時・移動のたびに身分証を確認する」へ

従来は「学校の敷地内（校内ネットワーク）に入れた人は信頼する」という考え方でした。ゼロトラストは「敷地内にいても、アクセスするリソースに応じて本人確認と入室許可を確かめる」という考え方です。
学校で言えば、「職員室に入った先生は全員信頼する」から「職員室の中でも、成績データにアクセスするたびに本人確認が必要」へ——これがゼロトラストです。

ゼロトラストは「誰が・どの端末で・何のデータに・どこからアクセスするか」を5つの視点で整理する考え方です。「教育DX お役立ちコラム」第1〜12回の内容がすべてこの地図に収まります。

• 最重要・最初に着手

本人確認が最も重要な防衛線です。パスワードだけに頼らず、アクセスのたびに正しい人かを確かめます。
関連コラム：第7回（MFA・多要素認証）、第12回（フィッシングメール対策）
具体策：MFA（多要素認証）の全教職員への設定、休眠アカウントの定期削除、年度末の権限棚卸し

• GIGA端末と連動

管理された端末からのアクセスかを確認します。私物端末や管理外端末からのアクセスを制御します。
関連コラム：第2回（GIGA端末）、第8回（MDM）
具体策：MDM（端末管理）の導入、端末証明書の活用、私物端末の利用ルール整備

• 個人情報の核心

何のデータにアクセスするかによって、必要な認証レベルを変えます。成績データへのアクセスは特に厳格に管理します。
関連コラム：第9回（情報漏えい）、第10回（クラウドデータ管理）
具体策：データを重要度に応じて分類（自治体によって3〜4分類など異なる）、最小権限の設定、バックアップ

• クラウド移行と直結

組織が許可したクラウドサービスかどうかを確認します。個人アカウントへの校務データ保存を防ぎます。
関連コラム：第3回（クラウド vs オンプレ）、第11回（クラウド移行）
具体策：組織アカウントへの統一、IDaaS・SSOの活用、ブラウザポリシーによる承認外クラウドサービスの利用制限（シャドーIT防止）

• 三層分離からの移行先

校内か校外かに関わらず、すべての通信を検証します。「校内ネットワーク内だから安全」という前提を取り除きます。
関連コラム：第4回（三層分離）、第5回（ゼロトラスト）、第6回（在宅勤務）
具体策：「校内だから安全」という前提を見直す構成への移行検討、通信の暗号化、アクセスログの取得・監視

文科省ガイドラインとの対応

2025年3月改訂の教育情報セキュリティポリシーガイドラインでは「強固なアクセス制御による対策（ゼロトラスト構成）」が中心に据えられました。ゼロトラスト構成では、まず「認証基盤」（アイデンティティ管理）の整備が出発点になります。多要素認証の整備から着手することがガイドラインの方向性とも一致しています。

ゼロトラストは一度に完成させるものではありません。予算・人員・既存システムの状況に合わせて段階的に進めることが現実的です。

• フェーズ 01

MFAの設定——Google WorkspaceやMicrosoft 365では多要素認証機能を利用できます。まず管理職・情報担当から

データの分類整理——成績・授業資料・配布物を重要度に応じて分類（一例：「厳重管理・校内限定・外部公開」）

フィッシング研修——第12回の5つの確認ポイントを全職員に周知

共有設定の見直し——「リンクを知っている全員」設定のファイルを洗い出して修正

• フェーズ 02 

情報セキュリティポリシーの策定・更新——誰が・何を・どこに保存するかのルールを文書化

MDMの整備——GIGA端末の一元管理、年度末のアカウント棚卸しを仕組み化

OSサポート期限の把握——校内サーバー・端末のサポート切れを確認し更新計画を立てる

クラウド移行の計画策定——校務支援システムのクラウド化を教育委員会と協議開始

• フェーズ 03 

次世代校務DX環境の整備——都道府県単位での共同調達・クラウド校務支援システムへの移行

認証基盤の強化——IDaaS・SSOの導入でアカウント管理を一元化。ロケーションフリーを実現

ログ監視の整備——不審なアクセスを検知できる仕組みを構築

※ フェーズ 03は自治体・教育委員会が主体となって進める領域です。個別の学校単独ではなく、都道府県・教育委員会との連携が前提です。

ゼロトラストに「完成」はありません。脅威は日々進化し、学校環境も変わり続けます。大切なのは「全部できていないからダメ」ではなく、「今できることから始め、継続的に見直し続ける」ことです。まずはMFAの設定とデータの整理——これだけでも、学校のセキュリティは大きく前進します。

ゼロトラストとは「校内だから安全・校外だから危険」という考え方をやめ、「誰が・どの端末で・何にアクセスするか」を継続的に確認する考え方です。この連載で学んできたことは、すべてその実践につながっています。

確認してみましょう

この記事の著者