認証情報の漏洩
教育分野では、フィッシングやソーシャルエンジニアリングが最も一般的な攻撃手法となっており、1人の教師やIT管理者のアカウントが侵害されるだけで、攻撃者は特権システムへアクセスできてしまう恐れがあります。さらに、パスワードを使い回したり、管理者アカウントを共有したりしている場合、被害の特定や封じ込めが難しくなるため、リスクはいっそう高まります。
強固な認証方法の欠如
これまで初等・中等教育機関では、単一要素のログインや弱いパスワードポリシーに依存してきました。多要素認証 (MFA) などの強固な保護策が導入されていない場合、特権アカウントはサイバー犯罪者にとって格好の標的となり、攻撃が発生した際にはシステム全体に被害が広がるリスクが高まります。
ユーザー権限の管理不備
学校では、最小権限の原則 (PoLP) を徹底することが難しいケースが多くあります。その結果、時間の経過とともに教職員が本来の業務に必要のない権限を持つようになったり、広範な管理者権限を持つアカウントを使い続けたりする事態が発生します。こうした過剰な権限を持つユーザーが存在することで、組織の攻撃対象領域が拡大し、初等・中等教育機関が大規模な情報漏洩を受けるリスクが高まります。
リアルタイム監視の欠如
初等・中等教育機関のIT環境は分散していることが多く、その結果、セキュリティ対策にばらつきが生じ、可視性が限られます。適切な監視がなければ、疑わしい活動が見過ごされる可能性があります。中央集権的な監視が欠如していると、データ損失などの被害が発生した後になってからでないと、不正アクセスに気づかない可能性が高くなります。
コンプライアンスの遵守
FERPA (家族教育権利およびプライバシー法) などの教育プライバシー法は、学校が保護された情報にアクセスする人物を把握することを求めています。しかし、多くの学区は、適切なPAMプロセスの不足により、これらの監視義務を果たすのに苦労しています。監査や確認作業が不十分だと、盲点が生まれるだけでなく、コンプライアンス違反や規制違反による罰金につながる可能性もあります。
サードパーティからのアクセス
初等・中等教育機関は頻繁に外部のベンダーやサービスプロバイダに依存しています。学校は、ベンダーが必要な時に必要な権限のみを持つようにすべきですが、実際にはそうでない場合が多いです。多くの学区では、ベンダーアクセスの管理に対する厳格な制御や監視が不足しており、不正アクセスやデータ漏洩のリスクが高まっています。
