保育園には、園児や保護者、職員に関わる多くの個人情報が集まっています。子どもの成長記録や健康情報、家庭の連絡先など、機微な情報を日常的に取り扱う保育の現場では、情報セキュリティへの意識が欠かせません。
本記事では、保育園における情報セキュリティの基本的な考え方から、想定されるリスク、個人情報管理の体制づくり、具体的な対策、ICT化におけるセキュリティのポイントまで解説します。
目次
保育園における情報セキュリティとは
まず、保育園が扱う情報とはどのようなものか、情報セキュリティの基本的な考え方とあわせて整理します。紙とパソコン、それぞれに存在するリスクについても確認しておきましょう。
園が扱う情報（園児・保護者・職員の個人情報）と情報資産
保育園では、園児の氏名や生年月日、住所、健康状態、発達に関する記録に加え、保護者の連絡先や勤務先、緊急連絡先、職員の個人情報や給与情報など、多岐にわたる情報を日常的に取り扱っています。
行事の様子を記録した写真や動画、連絡帳に記載された家庭の状況なども、園が保有する情報資産に含まれます。
これらは、保育の質を支える重要な情報資産である一方、外部に漏れれば子どもや家庭の安全・プライバシーに直結する機微な情報でもあります。
紙の書類だけでなく、パソコンやタブレット、クラウドサービス上のデータもすべて情報資産に含まれる点を理解しておくことが必要です。
情報セキュリティの3要素（機密性・完全性・可用性）
情報セキュリティには、機密性・完全性・可用性という3つの基本的なポイントがあります。
機密性とは、許可された人だけが情報にアクセスできる状態を保つこと、完全性とは情報が改ざんされず正確な状態を保つこと、可用性とは必要なときに必要な情報を利用できる状態を保つことを指します。
保育園の情報管理においても、この3要素をバランスよく維持することが基本になります。
紙・パソコン双方にあるリスク（紛失・漏洩・改ざん）
保育園の情報漏洩というと、パソコンへの不正アクセスをイメージしがちですが、実際には紙の書類や名簿の紛失、置き忘れによるリスクも少なくありません。
持ち帰り業務の際に、園児名簿やUSBメモリを鞄に入れたまま車上荒らしや置き忘れに遭うといった事例も報告されています。
紙・電子データのどちらにもリスクがあることを前提に、両面からの対策を考える必要があります。
保育園で想定される脅威とリスク
保育園を取り巻く情報セキュリティ上の脅威は、人的なものから技術的なもの、物理的なものまで多岐にわたります。実際の影響とあわせて確認していきましょう。
人的脅威（誤操作・持ち出し・意識不足）
メールの誤送信や、園児名簿を私物のパソコンやUSBメモリに保存して持ち出すといった行為は、悪意がなくても情報漏洩につながる典型的な人的脅威です。
セキュリティに関する意識や知識が不足していると、こうしたリスクに気づかないまま日常業務の中で情報を持ち出してしまうケースが少なくありません。
技術的脅威（不正アクセス・マルウェア）
保育業務にICTシステムを利用する園が増えるなか、外部からの不正アクセスや、ウイルス・ランサムウェアなどのマルウェア感染も無視できないリスクです。
パスワードの使い回しや古いソフトウェアの利用は、こうした技術的脅威に対する脆弱性を高める要因になります。
物理的脅威（盗難・災害・端末の紛失）
パソコンやタブレット、USBメモリなどの端末そのものが盗難や紛失に遭うリスクも、保育現場では現実的な脅威です。
持ち帰り業務中の車上荒らしや、園内での置き忘れなど、物理的な管理の甘さが漏洩につながるケースが多く報告されています。
地震や火災などの災害による機器の破損・喪失も、可用性の観点から対策が必要です。
情報漏洩が起きたときの影響（信頼失墜・法的責任）
情報漏洩が発生すると、保護者や地域からの信頼を大きく損なうだけでなく、個人情報保護法に基づく行政への報告義務や、被害者からの損害賠償請求といった法的リスクも生じます。
園児募集や採用活動にも悪影響が及ぶ可能性があり、園の運営体制そのものが問われる事態にもなりかねません。日頃からの予防と、発生時の迅速な対応体制の両方が求められます。
参考：どのようにセキュリティー強化し、個人情報を守ればよいか？｜SEOホームページ
保育施設での漏洩・インシデント事例
保育施設の情報漏洩は、外部からの攻撃よりも持ち帰り業務中の紛失・盗難によるものが目立ちます。
兵庫県赤穂市では2023年、職員が使用していたUSBメモリが所在不明になり、在園児と一時預かり利用者を含む26人分の個人情報や行事写真が記録されていたことが公表されました。
福井県福井市でも2024年、自宅作業のため持ち帰ったUSBメモリを車上荒らしで盗まれる被害が発生し、データは暗号化されていませんでした。
いずれも保育施設のシステムやデータを狙った標的型のサイバー攻撃ではなく、USBメモリの管理・持ち出しルールの徹底不足が被害の背景にあります。
福井市の事例のように第三者による盗難であっても、データが暗号化されていれば被害を防げた可能性があり、どの園にも起こりうるリスクといえます。
保育園に求められる個人情報管理の体制
情報セキュリティ対策を組織として機能させるためには、法律に基づいた基本的な取り扱いの理解と、園としての方針・ルールづくりが欠かせません。
個人情報保護法で園に求められる取り扱い
保育園は、園児や保護者の個人情報を取り扱う事業者として、個人情報保護法上の義務を負います。主な対応事項は以下のとおりです。
- 利用目的を明確にする
- 目的の範囲を超えて利用しない
- 安全管理措置を講じる
- 職員や委託先を適切に管理する
かつては取り扱う個人情報の数が一定以下の小規模事業者を対象外とする規定がありましたが、現在は事業規模による適用除外はありません。
小規模な保育施設も同様に義務を負います。写真や動画など、ICTを活用した保育記録を扱う園が増えているため、これらの情報についても適切な管理が求められます。
セキュリティポリシー（基本方針・規程）の策定
組織的な対策の土台となるのが、情報セキュリティに関する基本方針や規程の策定です。
どのような情報を、誰が、どのように取り扱うのかというルールを文書化すれば、職員による対応のばらつきを防げます。
IPAが公開している中小企業向けの情報セキュリティ対策ガイドラインには、基本方針や規程のひな形も用意されており、園の実情に合わせて活用できます。
職員教育・研修とルールの周知
どれだけ立派な規程を整えても、職員一人ひとりに周知され、実践されなければ効果を十分に発揮できません。定期的な研修を通じて、個人情報の取り扱いルールや、情報漏洩が起きた場合の影響について共有し、日常業務の中で意識づけを行うことが重要です。
新任職員への研修はもちろん、既存職員に対しても定期的な見直しの機会を設けることが望ましいといえます。
園で実施すべき具体的なセキュリティ対策
セキュリティポリシーを実際の業務に落とし込むためには、具体的な対策を一つひとつ実行していく必要があります。ここでは代表的な対策を紹介します。
アクセス制限・権限設定（役職別の閲覧・編集）
すべての職員が全ての情報に自由にアクセスできる状態は、情報漏洩や誤操作のリスクを高めます。園長・主任・担任・事務職員など役職や業務内容に応じて、閲覧・編集できる情報の範囲を制限することが基本的な対策です。
例えば、給与情報は事務担当者のみが閲覧できるようにし、園児の保育記録は担当クラスの職員のみが編集できるようにするなど、必要な人に必要な範囲でアクセスを許可する仕組みを整えることが望ましいといえます。
異動や担当替えがあった際には、権限設定を速やかに見直す運用も忘れずに行いましょう。
ID・パスワード管理と端末・IPアドレス制限
システムやパソコンのID・パスワードは、職員ごとに個別に発行し、他の職員と共有しないことが基本です。推測されやすい文字列を避け、定期的に変更するといった運用ルールも重要です。
あわせて、業務用システムへのアクセスを園内のネットワークや特定の端末に限定するIPアドレス制限を導入すれば、外部の見知らぬ端末からの不正アクセスを防ぐ効果が期待できます。私物端末での業務利用を制限することも、あわせて検討したいポイントです。
通信の暗号化・バックアップ・操作ログの取得
インターネットを通じてやり取りするデータは、通信の暗号化によって、第三者に盗み見られるリスクを減らすことができます。
また、IPAの情報セキュリティ対策ガイドラインでも、基本的な対策として新たにバックアップの実施が加えられており、万が一のデータ消失や改ざんに備えて定期的なバックアップを取得しておくことが推奨されています。
誰がいつどの情報にアクセスしたかを記録する操作ログの取得も、不正の抑止や、問題発生時の原因究明に役立ちます。
認証・制度でセキュリティ体制を示す
情報セキュリティへの取り組みを対外的に示す方法として、国や第三者機関による認証・宣言制度を活用する方法もあります。代表的なものを紹介します。
SECURITY ACTION（中小事業者の自己宣言制度）
SECURITY ACTIONとは、IPAが実施している、中小事業者が情報セキュリティ対策への取り組みを自ら宣言する制度です。
IPAの情報セキュリティ対策ガイドラインに示された対策に取り組むことを宣言するもので、小規模な保育園でも比較的取り組みやすい制度といえます。
宣言することで、保護者や取引先に対して、情報管理への姿勢を示すことができます。
プライバシーマーク・ISO/IEC 27001
より高い水準での認証を目指す場合は、プライバシーマークやISO/IEC 27001（情報セキュリティマネジメントシステム）の取得が選択肢になります。
プライバシーマークは個人情報の取り扱いに特化した認証、ISO/IEC 27001は情報資産全般を対象とした国際的なマネジメント規格です。
いずれも取得・維持に一定の費用と体制整備が必要なため、園の規模や運営方針に応じて検討することが望ましいといえます。
LGWAN対応など公立園で求められる要件
公立の保育園や、自治体と連携してシステムを利用する施設では、自治体のネットワークであるLGWANへの対応が求められる場合があります。
LGWAN対応のシステムは、自治体のセキュリティ基準を満たした環境でデータをやり取りできるため、公立園がICTシステムを導入する際は、対応状況を事前に確認しておくことが重要です。
ICTシステム選びとセキュリティ
保育業務のICT化が進むなかで、システムそのもののセキュリティ水準を見極めることも、園の情報を守るうえで欠かせない視点です。
システム選定時に確認すべきセキュリティ機能
ICTシステムを選ぶ際は、アクセス権限の設定機能や操作ログの記録機能、通信の暗号化に対応しているかなど、セキュリティに関わる機能を具体的に確認することが大切です。
パスワードの複雑性を強制する仕組みや、二段階認証に対応しているかどうかも、不正アクセスへの耐性を左右するポイントになります。
機能の有無だけで判断せず、園での運用を想定したうえで、必要な機能がそろっているかを確認しましょう。
運営会社の体制・第三者認証・データセンター
システムを提供する運営会社が、プライバシーマークやISO/IEC 27001などの第三者認証を取得しているかは、信頼性を判断する一つの目安になります。
また、データがどのようなデータセンターで管理されているか、障害発生時のバックアップ体制が整っているかについても、契約前に確認しておくと安心です。
クラウド利用の可否と自園ポリシーの確認
クラウド型のシステムは利便性が高い一方、園によっては自治体の方針やセキュリティポリシー上、クラウド利用に制約がある場合があります。
導入を検討する際は、自園や自治体のセキュリティポリシーと照らし合わせ、クラウド利用が可能かどうかを事前に確認しておくことが大切です。
よくある質問
小規模な施設でも個人情報保護法の対象になりますか？
はい、対象になります。
従来は取り扱う個人情報が一定数以下の小規模事業者は対象外とされていましたが、現在の個人情報保護法ではこうした規模による適用除外はなく、小規模な保育施設であっても法律上の義務を負います。
保育園で実際に起こりやすい情報漏洩には、どんなケースがありますか？
持ち帰り業務のためにUSBメモリやパソコンを持ち出し、車上荒らしや置き忘れに遭うケースが多く報告されています。
メールの誤送信や、SNSへの写真投稿時に園児が特定できてしまう情報が写り込むケースにも注意が必要です。
職員のID・パスワード管理で気をつけるべきことは何ですか？
IDやパスワードは個人ごとに発行し、他の職員との共有を避けることが基本です。推測されやすい文字列を避け、定期的に変更するとともに、退職者のIDは速やかに削除・無効化することも重要です。
保育業務用のパソコンやタブレットは、職員全員が同じ権限で使ってもいいですか？
おすすめできません。役職や業務内容に応じて閲覧・編集できる情報の範囲を分けておくことで、誤操作や不要な情報へのアクセスを防ぎやすくなります。
特に給与情報など機微な情報は、担当者のみがアクセスできるよう制限することが基本です。
SECURITY ACTIONとプライバシーマーク・ISO27001はどう違いますか？
SECURITY ACTIONは、ガイドラインに沿った対策への取り組みを自ら宣言する制度であり、比較的取り組みやすい点が特徴です。
一方、プライバシーマークやISO/IEC 27001は第三者機関による審査を経て取得する認証であり、より高い水準の体制整備が求められます。
まとめ
保育園には、園児や保護者、職員に関する多くの個人情報が集まるため、情報セキュリティ対策は重要な課題です。個人情報保護法のルールを理解し、利用目的の明確化やアクセス権限の管理、職員への教育など、日頃から適切な管理体制を整えておく必要があります。
また、ICT化を進める際は、業務効率だけでなくセキュリティ面も確認したうえでシステムを選ぶことが大切です。必要に応じてSECURITY ACTIONなどの制度も活用しながら、情報を安全に扱える環境を整えることで、保護者から信頼される園運営につながります。
園でホームページを運営・検討している場合は、以下のようなサービスも参考にしてみてください。
参考：WordPress保守サービス – WP KEEPER
さらに、外部からの不法侵入や盗難による情報漏洩を防ぐためには、物理的な防犯対策も非常に重要です。ぜひ以下の記事も参考にしてみてください。
