「うちの園の情報セキュリティどうしたら」と焦ったときに確認したい基本の話
高価なセキュリティソフトを導入しても、アカウントの使い回しやファイルの乱雑な管理があれば、十分な安全性は確保できません。
日常の整理整頓と「人は必ずミスをする」前提の仕組みづくりを土台に、必要な技術的対策を組み合わせることが大切です。
現場で無理なく取り組むための本質と「7つの視点」をまとめました。
1. 情報セキュリティに「銀の弾丸」はない
情報セキュリティについて、「何をすればよいのか」「どのような対策を導入すれば安全になるのか」という相談は少なくありません。
しかし、情報セキュリティには、これさえ実施すれば安全になるという万能な解決策、いわゆる「銀の弾丸」はありません。
高機能なセキュリティソフトを導入しても、アカウントを複数の職員で共有していたり、パスワードを使い回していたりすれば、リスクは残ったままです。また、情報がどこに保存され、誰がアクセスできるのか把握できていなければ、適切な対策を講じること自体ができません。つまりザルというわけです。
一方で、パスワードの適切な管理、端末の更新、情報の整理整頓、アクセス権限の見直しなど、基本的な取り組みを徹底することで、防げる事故や軽減できる被害も数多くあります。すごく地味でよく言われていることですが、結局これを地道に徹底するしかありません。
大切なのは、何か特別な対策を一つ導入することではなく、基本的な対策を一つひとつ確実に実施し、情報や技術の仕組みを理解し、日々の業務を見直しながら改善を積み重ねていくことです。
また、人は必ずミスをするという前提に立つことも重要です。
職員一人ひとりの注意力や努力だけに依存するのではなく、ミスが起こりにくく、万が一起きても被害が広がりにくい環境を整える必要があります。
情報セキュリティは、専門的な技術だけの問題でも、個人の意識だけの問題でもありません。
一人ひとりの日々の実践と、それを支える組織の仕組み、さらに必要な技術的対策を組み合わせることで、安全性を高めていく取り組みそのものと言えます。
2. 情報セキュリティ対策の全体像
情報セキュリティ対策は、「一人ひとりの理解と行動」と「組織の仕組み」の2つを両輪として考えます。
そして、それらを支え、補強する手段が技術的な対策です。
これらは独立したものではなく、相互に関係しています。
① 一人ひとりの理解と行動 ― 知り、理解し、適切に行動する
日常的な業務の中で、一人ひとりが情報や機器を適切に取り扱い、基本的な安全対策を実践することです。
具体的には、次のような取り組みが挙げられます。
- アカウントの適切な管理： パスワードの使い回しをしない、アカウント共有をしない、多要素認証の利用など。
- 端末の安全な利用： OSやアプリの更新、画面ロック、私物端末やUSBメモリの不適切な利用を避けることなど。
- 情報の整理整頓： 保存先の統一、フォルダの整理、不要なファイルの削除、適切な情報共有など。
- 情報の取り扱い： 個人情報の送信先や共有範囲の確認、必要以上に情報を複製・持ち出さないことなど。
- リテラシーの向上： PC、インターネット、クラウド、AIなどの基本的な仕組みを理解し、リスクを判断できるようになること。
- リスクへの気づき： 日常のヒヤリハットを振り返り、「もしこのようなことが起きたら」と想定して考えること。
ここで重要なのは、単にルールを覚えて守るだけではないということです。
例えば、「USBメモリを使用しない」というルールがあったとしても、その理由が分からなければ、別の危険な方法で情報を持ち出してしまうかもしれません。
情報がどこに保存され、どのように共有され、どのような経路で漏えいする可能性があるのかを理解することで、今後また未知の新しい技術やサービスに直面したときにも、自分で考えて判断できるようになります。
また、仕組みを理解していることで、日常業務の中に潜んでいるリスクにも気づきやすくなります。
「決められたルールを守れること」に加え、「なぜ必要なのかを理解し、状況に応じて適切に判断できること」がまずは大切です。
② 組織の仕組み ― 個人の注意力だけに依存しない環境を整える
職員が正しく理解して行動しようとしても、組織の管理体制や業務の仕組みに問題があれば事故は防げません。
例えば、情報の保存場所が職員ごとに異なる、誰がどの情報にアクセスできるかあやふや、退職者のアカウントが残っている、事故発生時の報告先が決まっていないといった状況です。
これらは、個人が注意するだけでは解決できません。
組織として、次のような仕組みを整える必要があります。
- 管理体制の整備： 情報・端末・アカウント・サービスの利用状況や管理状況を把握し、それぞれの管理責任を明確にする。
- ルールと環境の整備： 情報の保存先、情報共有、アクセス権限、サービスの導入・利用などに関するルールづくり。
- ミスを防ぐ仕組み： 安全な情報共有手段の用意、必要な範囲に限定した権限設定、端末管理など。
- 事故への備え： 情報漏えいやシステム障害が起きた場合の対応手順、バックアップ、業務継続方法の整備。
- 学びと改善の仕組み： ヒヤリハットの共有、職員研修、定期的な点検、課題を改善する機会の確保。
例えば、USBメモリの使用を禁止するのであれば、安全にファイルを共有できる代替手段を検討して用意する必要があります。
また、情報の誤送信を防ぐよう注意喚起するだけでなく、共有権限の設定や送信方法そのものを見直すことも重要です。
「職員に気をつけてもらう」だけでなく、「適切な行動を無理なく実践できる環境をつくる」という発想が求められます。
③ 技術的な対策 ― 日々の実践と組織の仕組みを支え、補強する
情報セキュリティ対策では、セキュリティソフトや端末管理ツール、アクセス制御、監視システムなど、技術的な対策も重要な役割を担います。
しかし、こうしたツールを導入するだけで、安全性が保証されるわけではありません。
例えば、高機能な情報漏えい対策ツールを導入しても、デスクトップにファイルが散乱していたり、同じ情報のコピーがパソコン内のあちこちに保存されていたりして、そもそも管理すべき情報がどこに存在するのか把握できていなければ、その効果を十分に発揮できません。
物が散乱した部屋に高性能な鍵付きクローゼットを設置しても、外に置きっぱなしの物まで守れるわけではないのと同じです。
他にも、誰がいつシステムやデータを操作したのかを記録できる機能やツールを導入しても、複数の職員で同じアカウントを共有していれば、記録上は同じ利用者として扱われるため、実際に誰が操作したのか分からなくなってしまいます。
せっかく記録を残す仕組みがあっても、アカウントを一人ひとりに割り当てるという基本的な管理ができていなければ、その効果は期待できません。
情報や端末が整理され、管理責任やルールが明確になっていることで、技術的な対策も適切に設定・運用しやすくなります。
一方で、技術的な対策には、人の注意力や判断に依存する部分を減らす役割もあります。
例えば、次のようなものです。
- 多要素認証： パスワードが漏えいした場合でも、不正ログインのリスクを下げる。
- 端末の自動更新： 職員一人ひとりの更新作業に依存せず、脆弱性への対応を進める。
- アクセス制御： 職員が必要な情報だけにアクセスできるよう制限する。
- 端末管理ツール： 端末の設定や更新状況をまとめて把握・管理する。
- セキュリティソフトや監視・検知機能： 不正なプログラムや不審な動きを検知・防御する。
- バックアップの自動化： 人による作業忘れを防ぎ、データを復旧できる可能性を高める。
これらの技術的な対策は、人が対応しきれないリスクをカバーするだけでなく、基本的な安全対策を確実に実施するための手段でもあります。
そのため、「基本的な取り組みがすべて整ってから技術的な対策を導入する」という順番で考える必要はありません。
多要素認証、端末の更新、適切なバックアップなど、基本的で効果の高い技術的対策は、初期段階から取り入れることが可能です。
一方、より高度なセキュリティ製品や専門的な対策の導入を検討する際には、自分たちがどのような情報や端末を管理し、何を守る必要があり、どのようなリスクを抱えているのかを把握することが重要になります。
例えば、寝室に貴重品があるのに浴室の鍵を強化しても、守りたいものは守れません。また、想定される被害の大きさに対して、必要以上の費用や手間をかけていないかという視点も大切です。
「何を、どのようなリスクから守るための対策なのか」「その対策にかける費用や手間は、リスクに見合っているのか」を考え、必要な対策を選択しましょう。技術的な対策は、基本的な取り組みの代わりになるものではなく、その実践を支え、組織の安全性をさらに高めるためのものです。
④ すべてを継続的に振り返り、改善する
「一人ひとりの理解と行動」「組織の仕組み」「技術的な対策」は、いずれも一度整えれば終わりというものではありません。
業務の変化、新たな技術やサービスの導入、事故やヒヤリハットから得た気づきなどによって、必要な対策も変化します。
そのため、取り組みが実際に機能しているかを確認し、必要に応じて改善することが重要です。
一人ひとりの理解と行動を組織の仕組みで支え、技術的な対策によって補強する。そして、それらを継続的に見直す。
これが情報セキュリティ対策の基本的な構造です。
3. 情報セキュリティで見落としてはいけない7つの視点
情報セキュリティ対策を考える際には、基本的な実践や管理体制、技術的な対策に加え、次の7つの視点を意識することが重要です。
これらは、保育施設だけが取り組むべき項目ではありません。また、「日々の実践」「組織の仕組み」「技術的な対策」のいずれか一つに限定されるものでもありません。
情報セキュリティ対策を検討・実施・改善するうえで、見落としがないかを確認するための視点です。
① 管理すべきものを必要以上に増やさない
情報セキュリティを考える際には、今あるものをどう守るかだけでなく、そもそも何を管理する必要があるのかを考えることが重要です。
管理対象には、園児や保護者などの個人情報だけでなく、PCやタブレットなどの端末、アカウント、クラウドサービスなども含まれます。
よく、端末増やしたい・増やしてほしいという意見を耳にしますが、管理対象が増えるほど、保存場所や利用状況の把握、アクセス権限の設定、端末の更新、不要になった際の削除や廃棄など、管理すべきことも増えていきます。
例えば、同じ情報が複数の場所に保存されていないか、使われていない端末が放置されていないか、退職した職員のアカウントが残っていないかなどを確認します。
ただし、管理するものを減らせば減らすほどよいというわけではありません。例えば、故障時のことも考慮された端末数や、データの消失に備えたバックアップなど、安全確保や業務継続のために必要なものまで削減してしまうと、かえってリスクが高まる可能性があります。
大切なのは、管理対象をやみくもに減らすことではなく、必要性を判断したうえで、必要なものを適切に管理することです。
重要なのは、何が、どこに、どれだけあり、誰が管理しているのかを把握し、本当に必要なものを適切に管理することです。
② 責任と権限を明確にする
情報セキュリティ対策では、誰が何を管理し、誰が判断するのかを明確にすることが重要です。
例えば、職員のアカウントを誰が発行・削除するのか、園児の情報を誰が閲覧できるかを誰が決めるのか、ICTやAIなどの新しいサービスの導入を誰が承認するのか、といったことです。
また、端末の紛失や情報の誤送信などが発生した際に、誰に報告し、誰が対応を判断するのかを決めておくことも必要です。
こうした役割が曖昧なままだと、必要な対応が行われなかったり、問題が発生した際に対応が遅れたりする可能性があります。
保育施設では、施設長、主任、ICT担当者、法人本部、現場職員など、それぞれの立場に応じた役割分担を考える必要があります。
ただし、すべての管理を施設長やICT担当者など、特定の人に集中させればよいわけではありません。組織の規模や実情に合わせて、無理なく役割を分担し、担当者が不在の場合にも対応できるようにしておくことが大切です。
「誰かがやっているはず」という状態をなくし、必要なことを、適切な人が判断・実行できる組織の仕組みを整えることが重要です。
③ トラブルや事故に備え、被害を最小化する
どれだけ対策を徹底しても、情報漏えいや端末の紛失、システム障害、サイバー攻撃などのリスクを完全になくすことはできません。
そのため、事故を防ぐ取り組みと同時に、トラブルが発生した際に被害を小さくし、必要な業務を継続・復旧できるように備えることが重要です。
例えば、個人情報を誤送信した場合、職員が端末を紛失した場合、フィッシングメールにだまされてパスワードを入力してしまった場合、サポート詐欺の指示に従ってしまった場合、保育ICTシステムが突然利用できなくなった場合などを考えてみましょう。
それぞれの状況で、まず何をすべきか、何をしてはいけないか、誰に報告・相談するのか、どのように被害の拡大を防ぐのかなどを事前に整理しておくことが大切です。
さらに、実際にそのような状況が発生したことを想定し、職員同士で対応を確認するシミュレーション訓練を行うことも有効です。実際に考えたり、訓練したりすることで、対応手順が曖昧な部分や、必要な準備が不足していることに気づくことができます。
また、保育現場では、システムが使えなくても、園児の安全確認、登降園の把握、アレルギー情報の確認、緊急時の保護者連絡などを継続する必要があります。そのため、システムが利用できない場合の代替手段も用意しておくことが重要です。
バックアップについても、データを保存しておくだけでなく、必要なときに実際に復元できるかを確認しておく必要があります。
トラブルや事故が起きる可能性を減らすだけでなく、起きたときに適切に行動し、被害を広げず、必要な業務を継続できるように備えることが重要です。
④ リスクに応じて対策の優先順位をつける
情報セキュリティ対策には多くの取り組みがありますが、限られた時間・人員・予算の中で、すべてを一度に完璧にすることは困難です。
そのため、どのようなリスクがあるのかを把握し、事故が発生する可能性や、発生した場合の影響の大きさを考え、対策の優先順位をつけることが重要です。
例えば、園児の健康状態や家庭状況などの個人情報が外部に漏えいすることと、一般公開している資料が誤って削除されることでは、想定される影響が異なります。
また、同じようなリスクであっても、すでに十分な対策が行われている場合と、何も対策されていない場合とでは、優先して取り組むべきことが変わります。
ただし、パスワードの使い回し防止、多要素認証、ソフトウェアの更新、バックアップなど、基本的かつ効果の高い対策は、重大な事故を防ぐためにも早い段階から整えておく必要があります。これらの中には費用をかけずに、すぐに取り組めるものもあります。
すべてのリスクをゼロにしようとするのではなく、事故の起こりやすさや影響の大きさ、現在の対策状況を踏まえ、何から取り組むべきかを判断することが重要です。
⑤ 外部サービスを任せっぱなしにしない
保育ICTシステム、写真販売サービス、ホームページ、クラウドストレージ、生成AIなど、保育施設が外部サービスを利用する場面は増えています。
これらのサービスを利用する際には、事業者が行う安全管理と、利用する側が行う管理の両方が重要になります。
ただし、保育施設がそれぞれのサービスで使われている専門的なセキュリティ技術を理解し、サービス事業者の安全性をすべて自力で評価することは現実的ではありません。
例えるなら、「金庫そのものを頑丈に作るのは金庫屋さん（サービス事業者）の仕事」ですが、「鍵を正しく保管し、金庫に鍵をかけるのは園の仕事」です。技術的な仕組みすべてはわからなくても、その鍵（パスワードやアクセス権限）をどう扱うかという運用の責任は、利用する側にあります。
「デジタルが苦手だから分からない」「専門的なことは事業者に任せている」という理由で、自分たちがどのような情報を預け、何を管理する必要があるのかも把握しないまま利用することは、適切とはいえません。
すべてを自分たちだけで判断する必要はありませんが、分からないことをそのままにせず、事業者に質問したり、説明を受けたり、必要に応じて専門家に相談したりする姿勢が大切です。
まずは、次のような基本的な確認から始めてみてはいかがでしょうか。
- 利用状況の把握： 自園でどのような外部サービスを利用し、どのような情報を入れているか。
- 安全対策の確認： 事業者はどのような安全対策を実施しているか。
- 役割分担の確認： アカウントの発行・削除、アクセス権限の設定、端末やアプリの更新など、園側で行う必要がある管理や設定は何か。
- トラブルへの備え： 情報漏えいやシステム障害が起きた場合、どのように連絡され、対応されるか。
- 利用終了時の確認： 契約を終了する際、どのデータをどの形で取り出せるか、どのように削除されるか。
専門的な判断が難しい場合は、法人本部や自治体、外部専門家などに相談することも必要です。
また、サービス事業者には、安全なサービスを提供するだけでなく、利用者が適切に管理できるよう、分かりやすい情報提供や支援を行うことが求められます。
デジタルが得意か苦手かにかかわらず、自分たちが利用するサービスについて理解し、必要な管理を行う必要があります。外部サービスに任せることと、情報管理を丸投げすることは違います。
⑥ 問題を報告しやすい組織文化をつくる
情報セキュリティ対策では、ミスやヒヤリハットを早期に発見し、共有できる環境も重要です。
例えば、個人情報を誤った相手に送信してしまった場合、報告することで責められると感じてしまうと、報告が遅れたり、問題が隠されたりする可能性があります。
しかし、情報セキュリティ事故では、早期に対応することで被害の拡大を防げる場合があります。
そのため、ミスを報告した職員を一方的に責めるのではなく、何が起きたのか、なぜ起きたのか、どのように改善できるのかを考える文化が必要です。
これは、報告義務や個人の責任をなくすという意味ではありません。速やかな報告と適切な対応を前提に、再発防止を個人の注意力だけに求めないということです。
保育現場では、子どもの安全のためのヒヤリハットがありますが、情報セキュリティについても、同じように日常の気づきや経験を組織の改善につなげる取り組みが考えられます。
ミスを隠さず、経験から学べること自体が、組織の安全性を高めることにつながります。
⑦ 対策が機能しているか継続的に確認する
情報セキュリティ対策は、ルールを策定したり、システムを導入したり、職員研修を実施したりすれば完了するものではありません。
決めた対策が日々の業務の中で実践されているか、想定どおりに機能しているかを確認することが必要です。
例えば、退職者のアカウントが残っていないか、共有フォルダのアクセス権限が適切か、端末の更新が行われているか、バックアップから復元できるか、職員がルールを理解しているかなどを確認します。
技術的な対策についても、ツールを導入したこと自体を成果とせず、適切に設定・運用されているか、必要なリスクに対応できているかを確認する必要があります。
また、業務の変化や新しいサービスの導入によって、以前は適切だった対策が十分でなくなる場合もあります。
ヒヤリハットや事故の経験、職員の意見、日々の業務の変化などを踏まえ、必要に応じてルールや仕組み、技術的な対策を見直します。
ルールを決めたり、対策ツールを導入したりするだけで終わらず、それらが実際の業務の中で適切に使われ、必要なときに機能する状態になっているかを確認し、改善し続けることが重要です。
4. 情報セキュリティは、園だけで完結するものではない
保育現場における情報セキュリティ対策を考える場合、すべてを園や保育者の努力に委ねることは適切ではありません。
関係するそれぞれの立場で、担うべき役割があります。
職員一人ひとり
基本的なルールとその理由を理解し、適切に情報を取り扱うこと。日常の業務の中でリスクに気づき、問題が発生した場合には速やかに報告すること。
園・運営法人
安全に業務を行える環境を整え、情報や端末などの管理体制、責任と権限、事故への対応方法を明確にすること。
職員への教育や、基本的な技術的対策の導入・運用なども含まれます。
ICTサービス事業者
サービスそのものの安全性を確保するとともに、利用者が安全に利用できる機能や分かりやすい説明を提供すること。また、システム障害や情報漏えいなどが発生した際には、速やかな状況確認や利用者への情報提供、復旧や被害の拡大防止など、適切に対応すること。
また、園側で必要となる設定や管理方法を、専門家ではない利用者にも分かるように伝えることが重要です。
自治体・関係機関・支援者
必要に応じて、情報提供、相談対応、専門的な支援、共通ルールの整備などを通じて、施設が適切に取り組める環境を支えること。
園や法人だけでは判断が難しい技術的な問題について、専門的な知見を持つ関係者につなぐことも考えられます。
それぞれの具体的な役割や責任は、施設の運営形態や契約内容、法令などによって異なります。
大切なのは、「誰か一人が頑張る」「園だけで何とかする」という考え方ではなく、それぞれが適切な役割を果たし、連携して安全性を高めることです。
5. 情報セキュリティを日常の業務改善につなげる
日常的な情報の整理整頓、適切な情報共有、業務手順の見直し、ヒヤリハットの共有、事故を想定したシミュレーションなど、普段の業務改善やリスクマネジメントと共通する部分が数多くあります。
例えば、情報の保存先を統一することは、情報漏えいのリスクを減らすだけでなく、必要な情報を探しやすくすることにもつながります。
アカウントを職員ごとに管理することは、安全性の向上だけでなく、誰がどの情報を扱えるのかを明確にすることにもつながります。
また、業務手順を見直し、不要な情報の転記や複製を減らすことは、情報の取り扱いに伴うリスクを減らすとともに、職員の業務負担軽減にもつながる可能性があります。
ただし、利便性や効率性を高めることが、必ずしも安全性の向上につながるわけではありません。業務上の必要性とリスクを考え、その園やその法人における適切な方法を選択する必要があります。
情報セキュリティを、日常業務から切り離された特別な取り組みとして捉えるのではなく、普段の業務のあり方を見直す中で、安全性も高めていくことが重要です。
6. 目指すべき状態
情報セキュリティ対策の目的は、ルールを増やすことでも、職員に不安を与えることでも、最新のシステムを導入することでもありません。
また、事故を絶対に起こさないという、現実的には達成が難しい状態だけを目指すものでもありません。
目指すべきなのは、日常的に適切な対策が実践され、組織として安全に業務を行える環境が整い、必要な技術的対策によってそれらが支えられている状態です。
そして、問題が発生した際にも速やかに対応し、被害を最小限に抑え、経験を次の改善につなげられることが重要です。
こうした取り組みを積み重ねることで、子どもや保護者、職員に関する大切な情報を守り、保育を安全かつ安定的に継続できる環境をつくっていくことが、情報セキュリティ対策の目的です。
そのためには、職員一人ひとりのリテラシーを高めることと、個人の注意力だけに依存しない組織の仕組みを整えることが欠かせません。
さらに、必要な技術的対策を適切に組み合わせながら、管理するものを把握し、責任を明確にし、リスクに優先順位をつけ、事故に備え、外部サービスとも適切に関わり、日々の経験をもとに改善を続けていく必要があります。
まずは、普段使っている情報の保存先やアカウント、困ったときの報告先を、職員同士で確認してみてください。そこで見つかった課題の中から、優先して見直すことを一つ決め、誰が、いつまでに取り組むのかを具体的にしてみましょう。
一人で抱え込まず、園や法人、サービス事業者、必要に応じて専門家とも相談しながら、自園に合った方法を考えていく。その積み重ねが、大切な情報と、子どもたちの毎日の保育を守ることにつながります。
保育ICT推進協会のサポートについて
保育ICT推進協会では、保育現場の実情に合わせた学びと、日々の業務に定着するICT活用を支援しています。
職員一人ひとりが情報の扱い方やリスクへの理解を深める機会として、個人情報保護や情報セキュリティの基礎を学べる保育ICTリテラシー検定（中級）をご用意しています。
また、園や法人の課題に合わせたセミナー・研修や、情報共有の方法・運用ルールを一緒に見直すICT導入・活用支援（施設向け伴走支援）も行っています。「何から手をつければよいか分からない」という段階から、お気軽にご相談ください。
研修・検定・巡回支援など、ご関心のある方はぜひお問い合わせください。
