大学特有のセキュリティリスクと脆弱性

大学や専門学校は他業界にはないセキュリティリスクをはらんでいます。まずは、大学特有のセキュリティリスクと脆弱性について解説します。

なお、小学校・中学校・高等学校含めた教育機関全体のセキュリティリスクなどについては、以下のコラムで詳しく解説していますので併せてご覧ください。

大学・専門学校は膨大な個人情報を抱えている

大学などの教育・研究機関は、以下のような膨大かつ様々な機密情報を抱えています。

こうした情報資産は、ランサムウェア攻撃などで窃取・暗号化された場合、業務停止や情報漏えいにつながるなど、大学に大きな影響を及ぼす可能性があります。情報資産がどこに存在し、どのようなリスクを抱えているのかを一元的に把握することが難しい点も、大学のセキュリティ対策における課題です。

私物端末利用（BYOD）などを統制できずセキュリティリスクが高い

リモート授業や研究システムへのリモートアクセスが増加し、学生・教職員が各デバイスで学内ネットワークにアクセスする機会も多くなっています。ユーザ側の利便性が高い一方で、大学側からすると端末・アクセス経路などが多岐に渡るため管理しにくい状況です。端末そのものを信頼するのではなく、ユーザ・アクセス経路・OSなどを考慮してアクセス制御する考え方が必要になります。

【2026年最新】大学を標的としたサイバー攻撃事例5選

近年、大学を標的としたサイバー攻撃が増加しています。ここでは、2026年に明らかになった大学へのサイバー攻撃事例の一部を紹介します。

インシデントを経験して多層防御対策に着手へ

2026年6月、全国各地にキャンパスを構えるマンモス学校・A大学が、不正アクセスおよび多数の不審メール送信の被害に遭いました。第三者によって一部の学生のメールアカウントの認証情報が窃取され、アカウントが不正利用されたことが明らかになっています。

同大学は認証プロセスの強化を図るため多要素認証（MFA）の導入推進、アカウントの管理適正化といった再発防止策を発表しています。多層防御などについて詳細は後述します。

ソーシャルエンジニアリング被害からセキュリティ教育の重要性を再認識

九州の公立B大学は、2026年5月に同学事務職員が使用するパソコンに不正アクセスが発生し、教員や学生の個人情報が漏えいした可能性があると公表しました。ファイル共有サービスの利用過程で、偽の警告画面に誘導されてファイルを実行し、第三者による当該パソコンへの不正な遠隔操作が行われたとのことです。

同学のみならず、「ソーシャルエンジニアリング」などに対する職員・学生へのセキュリティ教育の必要性が求められます。

システム閲覧権限の管理不備で情報漏えい

東京にあるC女子大学にて卒業生数名の個人情報が匿名掲示板経由で漏えいしました。2026年5月時点での発表によると、同学の元職員が学事システムの閲覧権限設定の不備を悪用し、個人情報を匿名掲示板に投稿したとされています。

システムの管理者は各関係者に対して必要最小限の権限を付与し、特権IDについては利用者・権限・利用状況を厳格に管理することが大切です。特権ID管理に関しては本記事後半で解説します。

委託先サーバへの攻撃を経由した機密情報の漏えい

2026年3月、関東の国立D大学は特許管理システムへの不正アクセスを公表しました。業務委託先のサーバーが第三者による不正アクセスを受け、特許管理システムのデータが外部からアクセス可能な状態になっており、1,516人分の個人情報の漏えいの可能性があるとしています。

機密情報の漏えいの原因は学内外に潜んでいます。「自学のIT資産がどのサービス内に保管されているのか、委託先のセキュリティ状態はどのようなものか」をあらかじめ把握しておき、可能な限りのセキュリティ対策につなげましょう。

大学の研究室サーバや共同研究者を狙ったアカウント悪用

2026年3月、東京の国立E大学が不正アクセス被害を公表しました。同学の研究室のサーバにアカウントを持つ、学外の共同研究者のサーバ侵害を起点にアカウントが悪用され、当該サーバから学内外へ不正アクセスが行われたとのことです。

学外ネットワークを経由した攻撃に対しては「アクセスするユーザ・端末・利用するシステムなどに応じてアクセス権限を細かく設定し、必要な範囲に限定する」ことが大切です。また、共同研究者など外部ユーザのアクセス権限を制御することは、被害の拡大防止にもつながります。

文部科学省が大学に求めるセキュリティ対策とは？

前述のように大学を標的にしたサイバー攻撃は後を絶たないこともあり、文部科学省の「学校法人の運営等に関する協議会」では、私学振興の一環として「情報セキュリティインシデント」の発生防止の重要性が述べられています。ここからは同協議会が整理する大学に求めるインシデント発生防止案を整理します。学内のIT環境によって実施可能かを判断することが大切ですが、自学のセキュリティ対策を考える際の一つの参考としてください。

情報セキュリティポリシーの策定と基本構成

情報セキュリティポリシーの策定は「情報セキュリティ対策の第一歩」として考えられています。組織内の情報セキュリティ確保の方針・体制・対策などを包括的にまとめることで、自学のセキュリティ対策の骨子となります。なお、文部科学省の「令和7年度 学術情報基盤実態調査」によればセキュリティポリシー策定済の大学数は増加傾向ですが、依然として全国の国立/公立/私立大学の全体の13.3％、私立大学では16.6％が情報セキュリティポリシーが未策定とされています。

CISO選任と役割の明確化

情報セキュリティポリシーの策定と並び重要なのが、最高情報セキュリティ責任者であるCISO（Chief Information Security Officer）の選定です。CISOは、情報セキュリティポリシーの策定や必要な人材の確保、セキュリティ体制の整備などを統括する責任者です。学内システムに精通した特定の人物が担うほか、人的リソースが限られる場合は他業務と兼任する場合や、セキュリティの専門家を外注して進めるなどのパターンがあります。

情報セキュリティセンターの設置やCSIRT整備

インシデント対応体制のCSIRT（Computer Security Incident Response Team）を整備することも重要です。CSIRTの整備によって、セキュリティインシデントの受付や対応指示、復旧支援など実効性が生まれます。大学によっては情報セキュリティセンターなどを設置し、その中にCSIRT機能を置く場合もあります。

大学によって実施できるセキュリティ対策は異なる

文部科学省は、大学に対して情報セキュリティポリシーの策定やCISO・CSIRTなどの体制整備を推進しています。一方で、大学ごとに人的・財政的リソースやIT環境は異なるため、すべての大学が同じ体制・対策をそのまま実施できるわけではありません。

すでに国立大学を中心に、自学の環境に合わせたセキュリティ対策への取り組みが進められています。その中には前述したCSIRTやCISOの設置やセキュリティポリシー策定といった基本的なものから、多層防御による認証強化など具体的な施策まで様々です。ただし、実際には大学を標的とした攻撃は止む事がない状況です。国や国立大学のセキュリティ方針を参考にしつつ、各大学の情報システム部門やセキュリティ担当者の方は、自学に適切なセキュリティ対策を実施することが重要です。

大学ができる実践的なセキュリティ対策

文部科学省が求めるセキュリティ対策は参考になりますが、実際の運用は大学ごとのIT人材のリソースや規模感、財政面などに依存しがちです。教科書通りにソリューション導入やセキュリティ対策をするのではなく、まず自学のIT資産やリスクを把握したうえで優先順位を決めましょう。

最後に、大学の現状ごとで実施するべき現実的なセキュリティ対策を解説します。「自学の現状に近い対策はどれか、何を優先的に施策を打つべきか」という視点で、以下のセキュリティ対策から最重要の施策を検討ください。

学内システムにおけるIT資産の現状の把握

セキュリティ対策を打ち出す前に必要なのがIT資産の棚卸しや調査です。自学で把握できる範囲を整理したうえで、必要に応じてセキュリティベンダーなど第三者による調査・評価を活用するのが一般的です。

いくつかある調査手法の中でも特に幅広い分野で実施されているのが、外部に公開しているIT資産を把握する「セキュリティレーティング」「ASM」です。例えば、委託先経由で情報漏えいに繋がったD大学のようなケースであれば、セキュリティレーティングなどで「外部公開されているIT資産や委託先に公開されている資産を可視化」し、委託先経由のリスク把握の一助にできます。

下記コンテンツはIT資産の棚卸しや調査・評価について解説しており、自学に最適な調査方法を比較検討できる内容になっています。もし、現段階で未詳なセキュリティリスクを把握する手段を模索している場合は併せてご参照ください。

属性・立場ごとに学内システムへの認証強化・徹底したID管理

学内システムには様々な立場の人々がアクセスするため、一元的なID管理では不十分な可能性があります。前述したC大学では学内システムのアクセス管理に不備があったことで、本来認可されないはずの卒業生が閲覧権限を悪用して情報が流出しました。大学ではアカウントライフサイクルの管理を徹底したうえで、卒業生・非常勤講師・共同研究者などの外部関係者に対しては、厳格なアクセス管理と作業制御を目的とした特権ID管理が必要です。

また、システムへの認証についても強化することで、仮にID管理にミスが発生していても悪意ある人物が不正侵入するリスクを低減できます。実際に、不正アクセスを経験したA大学は、重要な対策の一つとしてMFAの採用を公表しています。A大学をはじめ多数の大学や一般企業では採用が進められている技術のため、認証強化が懸念点の場合は検討する価値があるでしょう。

下記コンテンツではビジネスにおけるID管理の基礎知識や、組織ごとに適したアクセス管理の選び方などを解説しています。

教職員・委託先のアクセスを効率的に管理

様々な立場の人がアクセスする大学では、学内外に大別してアクセス経路を分けて管理し、効率的にアクセス管理をすることが大切です。特に人的リソースの限られている大学では、在学生・非常勤講師・共同研究者・委託先など、立場や業務内容に応じてアクセスできる情報やシステムを限定し、必要な期間だけ権限を付与することが重要です。

IIJの提供するアタックサーフェス診断サービスでネクストアクションを整理

文部科学省などが基本的なセキュリティ方針を示す通り、大学ではCISO・CSIRTなどの設置によって包括的にサイバー脅威へ対応していく必要があります。しかし、大学では少人数の情報システムチームで学内全体のシステムを管理する場合も多く、国が示すセキュリティ対策を十分に実施できるだけの人的・財政的リソースを確保できているとは限りません。

下記はIIJ編集部が考える「大学のセキュリティ対策の現実的な進め方の一つ」です。

1. IT資産の把握と棚卸を実施する
   学内外にどのようなシステム・サーバ・サービスが存在するかを整理する
2. IT資産のリスクの有無をセキュリティレーティング・ASMなどで調べる
   必要に応じて自学に潜むリスクを客観的に評価・調査する
3. セキュリティリスクに対応する
   判明したリスクの優先度を整理し、必要な対策を講じる
4. 定期的なセキュリティアセスメントで再評価する
   最新の脅威やシステム環境の変化に合わせて 継続的にアセスメントと改善を繰り返す

すでにIT資産やリスクが把握できていればステップ3から始めることも多いですが、学内のIT資産やリスクを十分に把握できていない場合はステップ1～2から始めるのが現実的です。「学生の個人情報・研究資料・産学連携データ・財務情報などが学内外のどこに保管され、その保管状態がどれくらいのセキュリティリスクを抱えているのか」を把握したうえで、ステップ3で自学の環境に応じた個別具体的な対策を検討することが重要です。

IIJが提供する「IIJ Safous Security Assessment アタックサーフェス診断」は、ドメインやIPアドレス情報をもとに攻撃者からの狙われやすさを可視化するアタックサーフェス調査・診断サービスです。詳細なスコア評価をミニマム66,000円で提供するほか、継続的な診断・監視を行う年間契約プランもあり、セキュリティアナリストによるミーティング（オプション）も追加実施できます。

上記のような目的を持つ全国の教育機関で採用実績があり、限られたリソースで運営される小規模ITチームでも過度な負担をかけることなくセキュリティ体制の土台作りを進めることが可能です。サービスについての詳細は下記サービスページや問い合わせフォームにアクセスください。また、サービスについての資料も無料配布中です。ぜひ併せてご確認ください。