大学のファイル転送ソリューション：キャンパス全体ガイド

個人情報保護委員会（PPC）は2023年の個人情報保護法（APPI）改正で、大学が保有する学生・研究者の個人データについて厳格な安全管理措置を義務付けた。キャンパス全体のファイル転送基盤を正しく設計しなければ、法令違反と情報漏洩の両方のリスクを同時に抱えることになる。

キャンパス全体のスタック構成

在籍1万5千〜4万人規模の大学では、ファイル転送基盤は4層で構成されるのが標準だ。①Microsoft 365またはGoogle Workspace for Educationによる日常的な同期（OneDrive/Drive、容量5GB程度）、②Canvas・Moodle・BrightspaceなどのLMSによる授業課題提出（最大2GB）、③GlobusとS3互換オブジェクトストレージを使った研究データ基盤（TB規模）、④いずれにも収まらない単発の共有に使う暗号化転送チャネル。全体をShibboleth SSOで束ね、eduPersonの単一ログインで横断的に利用できる構成にする。年間コストはユーザー1人あたり2,500〜6,000円が目安だ。

IdP連携：Shibboleth、InCommon、eduGAIN

Shibboleth IdP 5.xは北米の多くの大学で稼働し、InCommonの900以上の加盟機関と連携している。学生は大学の認証情報でログインするとSAML 2.0アサーションを取得でき、InCommon連携サービスであればどこでも検証可能だ。Research and ScholarshipエンティティカテゴリはeduPersonPrincipalName・displayName・mail・affiliationの標準属性セットを、サービスごとの交渉なしに提供する。eduGAINは連携をグローバルに拡張するため、東京の客員研究者がゲストアカウントなしで図書館のJSTORにアクセスできる。転送ツールは独自アカウントではなくSAMLまたはOIDCアサーションを直接受け付けるものを選ぶべきだ。

ストレージ層のコスト比較

OneDrive for EducationはA1/A3ライセンスでユーザー1人あたり1TBを提供し、A5では無制限（要申請）になる。Google Workspace for Education Plusは機関全体で100TB共有＋ユーザー1人あたり20GBを提供する。オンプレミスでは、Cephクラスターの500TB生容量（3重複製後の実効量約330TB）が機器費用約2,000万円＋0.5 FTEの管理コストとなる。AWS S3 Standardは月額1TBあたり約3,400円、Glacier Deep Archiveは月額約150円（12時間リトリーバル）。5年以上手をつけない研究データならGlacier Deepがハードディスクより経済的だ。

研究コンピューティング：GlobusとHPCエンドポイント

Globusの大学向けサブスクリプションは在籍規模によって年間約115万〜450万円。HPCクラスター・実験機器・研究者端末にGridFTPまたはHTTPS転送のエンドポイントを設定し、Globusのウェブコンソールで管理する。典型的なシナリオ：顕微鏡施設が夜間に生成した500GBの.cziファイルを、連携機関の研究者が保存済み転送ルールで取得し、Internet2 AL2Sバックボーン経由で8Gbpsで転送される。Globus Python SDKを使えばパイプライン自動化も可能で、globus-cli transfer submitをcronジョブで定期実行できる。

LMSを大容量受け渡し先として活用する

CanvasはファイルアップロードをファイルあたりMAX 5GB、コースあたり50GBに制限している。Moodleはより柔軟でPHPのupload_max_filesizeをadminが制御でき、多くのキャンパスで2GBまで引き上げている。コース全体のメディアライブラリにはPanopto（LTI 1.3でCanvasに埋め込み）が有効で、Panopto Proのストレージはユーザーあたり年間約450円。50GBの4K講義映像をCanvas Filesに直接アップロードさせると、第3週でクォータが消滅しサポートチケットが殺到する。

例外対応のための暗号化アドホック転送

エッジケースは全体の「80%のうちの20%」を占める。教員が12GBの電子メールアーカイブを外部弁護士に送る必要がある、大学院生が30GBのデータセットを大学アカウントを持たない査読者に送りたい、財務部門がDropbox禁止の調達規則の中でベンダーにPCIスコープのファイルを送らなければならない。ゼロ知識暗号化転送サービス（10〜50GB/転送、受信者アカウント不要、ブラウザ内復号）がこれらをカバーする。比較：WeTransfer Pro（月額約1,800円/ユーザー）、Dropbox Transfer（月額約1,800円/ユーザー）、SwissTransfer（最大50GB無料）、HexaTransfer（最大10GB無料）。

APPI・個人情報保護委員会と大学の義務

個人情報保護法（APPI）は学生の教育記録・健康情報・財務データを網羅する。個人情報保護委員会（PPC）は2023年施行の改正でデータ侵害の72時間以内報告を義務付けており、経済産業省（METI）のガイドラインは情報システムの安全管理措置を詳細に規定している。NISCが公開するサイバーセキュリティ対策チェックリストは大学附属病院にも適用される。医学部・保健センターが扱うデータはAPPIの要配慮個人情報に該当し、財務援助部門のデータはGLBA相当の保護が求められる。単一の転送ツールがすべてをカバーすることはまずない。ドメインごとに個別の契約を結び、適用範囲を文書化することが不可欠だ。

アクセシビリティとWCAG 2.2

マウス専用のドラッグ&ドロップに依存しキーボード代替手段を持たないファイル転送インターフェースは、WCAG 2.2 Level AAおよびJIS X 8341-3:2016の要件を満たさない。調達前にベンダーのVPAT（自発的アクセシビリティ適合テンプレート）を確認し、内部ツールは年次のDeque axeスキャンをQAプロセスに組み込むべきだ。

調達の現実

大学のファイル転送ソリューション調達は、要件定義（2ヶ月）→RFP発行（1ヶ月）→ベンダー提案（6週間）→デモ・参照先確認（1ヶ月）→セキュリティレビュー・SOC 2 Type II評価（6〜8週間）→法務契約・DPA（2〜3ヶ月）→パイロット（1学期）→段階的展開（もう1学期）という流れが典型で、着手から全学展開まで14〜18ヶ月かかる。調達が14ヶ月かかる間に、化学の教授が明日6GBのNMRデータセットを査読者に送る必要が生じる。ゼロ知識リンクがベンダー契約なしで即座にギャップを埋める。

https://hexatransfer.com — 無料・アカウント不要・最大10GB。