第13回でゼロトラストの全体像を整理しました。MFAの設定、データの分類、フィッシング対策——セキュリティの土台が整い始めた学校で、次に浮かび上がってくる問題があります。それが「IDとパスワードが増え続ける」という問題です。

「4月になるとアカウント設定作業だけで何日もかかる。」
「退職した先生のアカウントが、気づいたらまだ生きていた。」
「システムごとにパスワードが違って、先生から毎回問い合わせが来る。」

これらはすべて「IDとパスワードが一元管理されていない」ことから生まれる問題です。セキュリティをいくら強化しても、ID管理が崩れていると穴が残り続けます。次のステージへ進むための鍵は、ID管理の整備にあります。

GIGAスクール構想でデジタルツールが一気に増えた結果、学校では想定外の問題が生まれています。
　
　

Google Workspace・校務支援システム・学習eポータル・デジタルドリル・成績管理システム……。それぞれ別のID・パスワードを持ち、管理方法も異なります。「同じ先生のアカウントなのに、システムごとに何度も同じ作業を繰り返している」という声は全国の教育委員会から聞かれます（デジタル庁調査）。

年度末・年度初めのアカウント作成・更新作業には、1校あたり約70時間かかるという調査結果があります（「初等中等教育段階のデジタル化の現状と課題」デジタル庁・2025年3月）。異動した先生の削除、新任の先生の登録、学年・クラスの変更……これをシステムの数だけ繰り返すため、作業が終わらず学習アプリの利用開始が6月以降になっている事例もあります。

R5年度の個人情報漏えい事故231件・14万人のうち、4月の発生が特に多いというデータもあります。「急いでアカウントを設定する4月」はセキュリティ事故のリスクも高い時期です。（教育ネットワーク情報セキュリティ推進委員会（ISEN））

「システムごとにアカウントを削除する」作業が漏れると、退職した先生や異動した先生が以前のシステムにアクセスできる状態が続きます。これはゼロトラストの観点から見ると「認証済みだが権限のないはずの人がアクセスできている」という深刻な状態です。悪意がなくても、このような「幽霊アカウント」はセキュリティ上の穴になります。

管理するパスワードが増えると、先生はどうするか——多くの場合、同じパスワードを使い回します。1か所で漏えいすると全サービスに波及するリスクが生まれます。また「パスワードを忘れた」という問い合わせが情報担当者に集中し、本来の業務が圧迫されます。

たとえて言うと……
スタンプカードが50枚入った財布か、1枚のポイントカードで全店舗使えるか

サービスごとに別のIDとパスワードを持つ現状は、お店ごとに別のスタンプカードを作らされるようなものです。財布はパンパンになり、どこかで失くし、更新も大変です。
一方、ID管理を整備すると「1枚のカード（1つのID）でどのお店（サービス）にも入れる」状態になります。管理する側も使う側も、圧倒的に楽になります。

「ID管理の問題」は単なる事務作業の話ではありません。セキュリティの根幹に直結します。

第13回で解説したゼロトラストの5つの視点の中で、「①アイデンティティ（誰が？）」は最重要と位置づけました。アイデンティティ管理が崩れると、MFAを設定しても「削除し忘れた幽霊アカウント」から侵入される、という逆転現象が起きます。MFAの次のステップは、IDそのものを正しく管理することです。

デジタル庁は「教育分野の認証基盤の在り方に関する検討会」（2025年3月〜）を設置し、学校のID管理を整備するための標準化を進めています。「現状のままアカウント管理がバラバラに進んでいくと、自治体を越えた進学・転校のデータ連携が困難になる」という認識のもと、国を挙げて取り組む課題として位置づけられています

AIツールの導入・校務支援システムの刷新など、これから学校に入ってくるあらゆるサービスは「誰のアカウントで使うか」という問題に行き着きます。ID管理が整っていないと、AI活用も「個人アカウントでこっそり使う」という状態に陥りやすくなります。

ID管理を整備すると、先生の「パスワード忘れ」問い合わせが減り、情報担当者の4月の作業負担も大幅に軽減されます。セキュリティを高めながら、先生が本来の仕事に集中できる環境を作ることが、ID管理整備の最大の効果です。

「IDを一元管理する」とはどういうことか

「IDを一元管理する」とは、SSO（シングルサインオン）やIDaaSと呼ばれる仕組みを使い、一つのIDとパスワード（＋MFA）で複数のサービスにアクセスできる状態を作ることです。入職・異動・退職のたびに一か所を更新するだけで全サービスに反映される——これが実現すると、問題はほぼ解消します。この具体的な仕組みと学校での実装方法は、次回（第15回）詳しく解説します。

SSOやIDaaSの本格導入は教育委員会レベルの取り組みが必要です。しかし今日からできることも確実にあります。

使っているシステムと、それぞれのアカウント管理状況を一覧化します。「退職した先生のアカウントが残っていないか」を各システムで確認するだけで、幽霊アカウントのリスクを大きく減らせます。年度末に必ず実施するルールとして定めることが重要です。

多くの学校がすでにGoogle WorkspaceまたはMicrosoft 365を使っています。これをメインのIDとして、他のサービスへのログインにも積極的に使う（「Googleでログイン」「Microsoftでサインイン」を活用する）だけで、パスワードの数を減らせます。これがSSOの入り口です。

人事情報と連動して自動でアカウントを作成・更新・削除する「プロビジョニング」の仕組みを入れると、4月の手作業が大幅に減ります。これは教育委員会レベルの整備が必要ですが、「システム選定時にプロビジョニングに対応しているか」を確認するだけでも将来の選択肢が広がります。

MFAを設定し、データを分類し、フィッシングを学んだ——その次に立ちはだかるのは「IDとパスワードが増え続ける問題」です。この問題を放置すると、セキュリティを高めても穴が残り続けます。

次回（第15回）では、SSOとIDaaSの具体的な仕組みと、学校・教育委員会での実装の考え方を詳しく解説します。

確認してみましょう

この記事の著者