大学のシステム停止で、履修と支援をどう続けるか

2026年11月10日更新: 2026年11月5日ヨコタナオヤ（横田直也）約10分で読めます

大阪公立大学の障害案内とIPAの公開資料から、履修・経済支援の代替手続き、復旧判断、継続性の検証を考える。

日本ガバナンス公共政策

X Facebook Threads

ざっくり言うと

大学は10月8日、調査・復旧を続けながら10月9日から対面授業を再開すると告知した。
代替機能の提供と、学生が履修・支援申請を完了できたことは別に検証する必要がある。
10月21日の続報を踏まえ、調査対象の情報と範囲を分け、手続きの継続を検証する方法を提案する。

記事の画像はAI生成による架空のイメージであり、実際の調査現場・大学・人物や記録を撮影した写真ではない。

本稿は公開資料に基づく一般情報であり、個別の法律・個人情報の扱いに関する助言ではない。具体的な判断は所管機関や有資格者に確認する必要がある。

何が起きているのか

障害、授業再開の告知、原因報告と手続きの完了を分ける。

大阪公立大学は2026年10月8日、情報基盤の障害について第4報を公表し、原因調査と復旧作業を続けながら、10月9日から全キャンパスの対面授業を再開すると告知した。同報では、資料配布や課題提出に使う臨時Moodleなど、授業を支える代替機能も案内している。授業の再開を告知したことと、元の情報基盤が全面復旧したことは区別する必要がある。

障害の発生は10月2日未明である。大学の一般向け案内は、10月8日15時時点の事実関係として、原因と個人情報流出の有無を調査中、復旧のめどを未定としている。これは10月8日時点の記載である。その後、大学は10月21日の第5報（外部サイト、新しいタブで開きます）で、再委託先へのサイバー攻撃と正規アカウントによる不正アクセスが原因との報告をNECから受け、NECのストレージに保存された大学関連情報の漏洩も報告されたと説明した。一方、大学の仮想化基盤からの漏洩の有無は別に調査中としており、両者を混同しない。公表内容から攻撃の手段をランサムウェアと断定するものでもない。大学の事実関係の整理（外部サイト、新しいタブで開きます）

影響を受けたのは授業だけではない。10月2日付の障害案内には、履修登録の修正と先着申請を伴う手続きの延期、経済支援申請での個人メールアドレスの利用が記されている。制度が存続していても、利用に必要な連絡や受付が止まれば、学生は通常どおりには手続きを進められない。大学の障害・手続き案内（外部サイト、新しいタブで開きます）

ここから検討できるのは、原因の推定よりも、大学が情報基盤を使えない間にどの手続きを続け、何を延期し、学生にどこまで判断材料を届けるかという運用の問題だ。停止した機能の数だけでは、その重さを測れない。課題提出の遅れと、授業料支援の申請に関わる遅れでは、確認すべき期限や担当部署が異なるためである。

また、臨時のサービスを設けた事実だけで、不利益を防げたと結論づけることもできない。必要な学生に案内が届き、利用でき、受付結果を確認できたかが残る。デジタル化された大学の継続性は、サーバーの稼働に加え、学ぶための手続きが実際に成立するところまで見る必要がある。

機能の提供

案内: 使える機能と時点
限界: 各学生の操作成功を示さない

手続きの完了

確認: 案内の到達・受付結果
対象: 手続きごとの対象者と期間

既存本文から筆者が整理した確認事項。大学で実施済みの評価や、完了率の計測結果ではない。

機能の提供と手続きの完了は別に確かめる

背景と文脈

IPA資料の対象と時点を確認し、技術対応と業務継続を考える。

一般的なサイバー攻撃への備えについて、独立行政法人情報処理推進機構（IPA）は2026年9月8日に、国内の被害組織への聞き取りを基にしたランサムウェアの教訓集を公開した。現在の紹介ページは10月16日更新で、取得した本文はVer.1.2である。紹介ページでは、侵害調査、復旧、業務継続、外部公表に、情報システム部門だけでなく事業部門と経営者の判断が求められると説明している。これは大学の障害より前に公開された資料で、10月12日の新発表ではない。

ただし、教訓集は全国の被害実態を数えた統計ではない。本文の留意点では、聞き取りから得た知見とIPAによる選定に基づくこと、包括的な方法論を示すものではないことを明記している。したがって、個々の教訓を大学全体に当てはまる実証結果や、この大学で対策が不足していた証拠として扱うことはできない。教訓集本文・留意点（外部サイト、新しいタブで開きます）

それでも、技術対応と業務継続を一緒に検討するという整理は、大学の手続きにも応用して考えられる。情報担当者はシステムの状態を調べられても、履修の順番をどう扱うか、申請期限を変更できるか、授業計画をどう調整するかを単独では決められない。各手続きの担当者と大学の意思決定者が、変更する条件とその理由を共有する必要がある。これは本稿の運用上の提案である。

バックアップにも別の論点がある。IPAが2020年8月20日に公開した注意喚起は、組織のネットワークにつながったバックアップサーバーも被害に遭う可能性を説明していた。また、データの暗号化に加えて、窃取した情報の公開を材料に脅迫する手口も整理している。古い資料から確認できる一般的なリスクであり、今回の大学でバックアップが損なわれた、情報が窃取されたと示すものではない。IPAの2020年注意喚起（外部サイト、新しいタブで開きます）

この整理から分かるのは、保存したデータを戻せることと、情報を外に持ち出されたかを確かめることが、別の課題だという点だ。同様に、学生の記録を復元できても、停止中に受け付けた申請と一致しているかは別に確認する必要がある。複数の受付方法を併用した場合、同じ人の重複申請や、受理したのに記録へ反映されない申請がないかという照合も生じる。後者は大学の実態を述べたものではなく、代替受付を設計する際の確認事項である。

大学には、教材や成績、学生支援など目的の異なる情報と業務がある。すべての機能を同じ期限で戻す計画だけでは、先に必要となる手続きを説明しにくい。どのサービスが何に依存するかという技術面と、誰にどんな期限が迫っているかという利用面を対応させれば、復旧の優先順位を具体的に検討できる。優先する業務を決める際には、延期で調整できるものと、代替の連絡手段が先に必要なものを分けて考えたい。

技術側で確認

状態: 利用可能な機能と依存先
復元: 記録を戻した範囲

業務側で確認

受付: 期限・順番・本人確認
照合: 代替受付と復元記録

既存本文から筆者が整理した確認事項。大学で実施済みの評価や、完了率の計測結果ではない。

技術対応と業務の判断をつなぐ確認事項

構造を読む

受付順、本人確認、照合、通知と手続き別の対象者を検討する。

本稿が提案する評価の対象は、復旧した機能と、完了できた手続きの両方である。たとえば臨時の学習管理システムで課題を提出できるようになったとしても、締切を知らなかった学生や、利用開始に必要な認証でつまずいた学生の状況は、その機能一覧からは分からない。授業担当者が受付の例外をどう判断し、学生に結果をどう知らせるかまで定めておくと、機能の追加を学習の継続につなげられる。

経済支援申請で個人メールを認める対応も、連絡を続けるための選択肢である一方、本人確認、通知先の変更、相談内容の保存をどう扱うかという運用が必要になる。ここで個人メールの利用を一律に危険、あるいは安全と評価することはできない。必要な情報の範囲と取扱方法を大学が説明し、学生が受理や不足書類の連絡を確かめられるかを検討することが先になる。

履修のように順番が結果へ関わる手続きでは、単に新しい日時を設定するだけで調整が終わるとは限らない。先着方式を再開するなら、既に送られた申請の扱い、再開の告知期間、アクセスできない人への対応をどう揃えるかという問題がある。抽選など別の方式を選ぶ場合にも、途中で条件が変わることの説明が必要だ。いずれも今回採用された方法を述べているのではなく、延期後のルールを評価するための選択肢である。

代替受付の記録は、元のシステムへ戻す段階にも関わる。受付日時、申請者、受理した内容、修正の履歴、最終的な反映先を対応させることができなければ、学生が持つ受付証明と大学側の記録が食い違う可能性が残る。問い合わせの件数だけを減らす目標では、この問題を見落とし得る。問い合わせが減った理由には、解決のほかに、連絡先を見つけられない、諦めたといった可能性もあるからだ。

公表する情報にも用途の違いがある。侵入経路や機器の設定を詳しく公表することと、学生が使えるサービス、延期された期限、次の更新予定を伝えることは、同じ判断ではない。原因調査が終わるまで利用案内も待つ設計では、学生が手続きを選べない時間が延びる。一方、未確認の原因や復旧日を確定情報として示せば、予定を立てた人に再調整を求めることになる。確認済みの範囲と未定の項目を併記する発信が有用だ。

その際、資料の公表時点とサービスの利用時点も分けたい。10月8日の文書に「利用可能」とあることは、10月12日に各学生の操作が成功したことを示さない。大学の臨時サイトは公式サイトから案内されているが、公開ページへ到達できたことだけで、ログイン後のサービスや受付の完了まで確認できたことにはならない。公式案内からの臨時サイトへの導線（外部サイト、新しいタブで開きます）この違いを明らかにすれば、発表を読んだ人が自分の手続きについて何を確かめるべきかが分かる。

対応の練習にも、こうした業務上の判断を入れられる。IPAは2025年4月15日に、ランサムウェア感染を想定して対応方針を議論する机上演習教材を公開した。対象は一般企業と医療機関であり、大学向けの手続きをそのまま定めた教材ではない。IPAの机上演習教材（外部サイト、新しいタブで開きます）大学に応用するなら、メールとポータルが同時に使えず、履修と支援の期限が近い状況を仮定し、教務、学生支援、情報担当、意思決定者が何を決めるかを検証する方法が考えられる。

演習で測る項目も、通知の作成時間だけに限らない。連絡先を知らない学生に案内が届くか、代替受付の内容が復旧後の記録と照合できるか、期限変更の判断を誰が担うかを確かめる。学生の代表や支援を必要とする人の参加は、担当部署には当然でも利用者には分からない条件を見つけるための選択肢となる。ただし、演習が成功しても、実際の障害時に同じ成果が出る保証にはならない。

こうした評価で分母となる集団は、手続きごとに定める必要がある。履修変更の対象者と、経済支援申請を予定していた人は同じ集団ではない。全学生を分母にした完了率では、特定の申請者が受けた影響を薄めてしまう。対象者数が把握できない場合は、相談者や受理した申請の範囲で何が分かるかを示し、未接触の人を含む効果まで推計しない。本稿は、そのような人数や効果を確認できる統計を得ていない。

BCP〈事業継続計画〉入門

緒方順一・石丸英治 (2012)

Amazonで見るPR

統計・公開データを読むガイド（このサイトの記事）

残る問い

未確認の成果を残し、大学の担当者と学生による評価案を問う。

10月2日から8日の資料で確認できるのは、障害に伴う手続きの変更と、臨時機能を使った授業再開の告知である。10月21日の続報は原因と漏洩の報告を追加したが、手続き完了の実績を示したものではない。変更によって申請を完了できなかった学生がいたか、締切や受付順の調整で不利益を防げたかは分からない。原因や情報流出の調査と併せて、教育・支援の継続についても、どの期間と対象者を調べた結果なのかを示す検証が残る。

選択肢には、期限の延期、対面や電話での相談、別の連絡先を使った受付、独立した臨時システムの利用がある。延期は後続の日程へ影響し、対面受付は移動と職員配置を必要とする。臨時システムにも認証と記録照合の負担がある。どれか一つを万能とせず、手続きの期限、本人確認の必要性、学生が利用できる条件に応じて組み合わせ、その条件を公表することが考えられる。

大学の教務・学生支援部門が対象者と受付結果を整理し、情報担当者が利用可能だった機能と期間を照合する。大学の意思決定者は期限変更や代替措置の理由を説明し、学生代表は案内の到達と利用上の困難を確かめる。個人を特定しない集計と、異議や未処理の申請を再確認する方法を公開できれば、検証結果を次の継続計画へ反映できる。これは今後の評価案であり、既に実施された検証ではない。