大阪公立大学は10月21日、10月２日から続く大規模なシステム障害について、大学のシステム構築・運用を担う日本電気株式会社（NEC）の再委託先が受けたサイバー攻撃を起点とする不正アクセスだったと発表した。再委託先から窃取された正規アカウントが悪用されたという。

　NECによると、再委託先は９月下旬にサイバー攻撃を受け、サーバー内のファイルが暗号化されるなどの被害が発生した。調査の結果、正規アカウントを利用した不正アクセスが確認され、NECが使用するクラウドストレージに保存されていた複数の顧客に関するファイルが流出したことが分かった。

　流出したファイルには、大阪公立大学に関係する個人情報とシステム関連情報が含まれていた。対象となる個人情報の内容や件数については調査中で、大学は詳細が判明次第、公表するとしている。

　大学では別に、教育系システム関連のデータ約13万件が保存されていた仮想基盤が攻撃を受けた可能性も調べている。この仮想基盤からデータが外部へ持ち出されたかどうかは、10月21日時点で確認が続いている。電子メールなど一部サービスは再開したが、システム全体の復旧作業は継続中である。

　今回の事案は、教育機関の情報セキュリティーが、自組織と直接の契約先だけでは完結しないことを示した。学習塾でも、学習管理、保護者連絡、決済、入退室管理、オンライン授業などで外部のクラウドサービスを利用する場面が増えている。

　サービス選定や契約更新時には、再委託の有無、個人情報の保存場所、アクセス権限の管理、事故発生時の通知手順、代替運用の準備などを確認する必要がある。委託先を含む供給網全体の管理と、システム停止を前提にした事業継続計画が、教育事業者にとっても重要性を増している。