＜本文のポイント＞
・園にとって身近な情報漏えい事例
・自園HPやサーバーのセキュリティ対策の見直し
・こども性暴力防止法を見据えた、園専用スマホへの切替
・各種ツールへのログイン時における「2段階認証」の導入
・生成AIツール利用の個人情報入力禁止ルールの共有

ここ最近、ハッカーによるサイバー攻撃や
サーバー障害のニュースが連日メディアを騒がせています。
就学前教育・保育施設向けの登降園管理システムを提供する事業者も含め、
各所でセキュリティ対策に追われるなど、身近なところでも大きな混乱が生じています。

国が保育政策の方向性として示しているものの一つに、
「テクノロジーの活用等による業務改善」があります。
保育ワンストップ化やICT活用といった保育DX化に伴い、
現場でも様々なツールの導入が進められています。

加えて、「こども性暴力防止法」への対応も求められています。
園内では、職員情報の確認・管理を行う
「こまもろうシステム（こども性暴力防止法関連システム）」という
国が開発・運用する専用のオンラインシステム運用が予定されているほか、
国のガイドラインや関連報道を受け
保育室内での「私物スマホの取り扱い」に対する
保護者の視線が極めて厳しくなっていくことが想定されます。

実際に、幼保関連システムや教育現場を取り巻くセキュリティリスクは、
すでに深刻な被害として表面化しています。

2024年12月には、保育所や学童クラブを全国展開する
大手運営会社の園児情報管理システムが、
ネットワーク機器の脆弱性を突いたサイバー攻撃を受けました。
その結果、約158,000人分もの園児や保護者の個人情報が
外部から閲覧可能な状態となり、大きな混乱を招きました。

また2025年には、ある学校法人立の幼稚園において、
日常的に利用されていた登降園管理システムの管理アカウントが
第三者による不正アクセスを受ける被害が発生しました。
攻撃者はシステムのメッセージ配信機能を悪用し、
登録されていた保護者や教職員宛てに、
虚偽の脅迫を含む不審な迷惑メールを一斉送信しました。
園からの公式連絡と信じた保護者の一部が危険なリンクを開いてしまうなど、
園の信用を揺るがす事態に発展しました。

さらに、外部からのサイバー攻撃だけでなく、
現場の身近な運用から生じる情報漏えいも後を絶ちません。
保育士が私物スマートフォンで園児の写真を撮影したり
緊急連絡先リストを持ち出したりした結果、
端末の紛失や個人クラウドへの自動同期によって
情報流出の危機に直面した事例が報告されています。

このように、外部からのサイバー攻撃やアカウントの乗っ取り、
現場の運用ルールやヒューマンエラーによるトラブルまで、
園を取り巻くリスクは極めて身近なものとなっています。

デジタル化を単なる業務効率化で終わるのではなく、
安心・安全な園運営につなげるためのICT管理体制が
これまで以上に問われています。

そうしたタイミングだからこそ、
想定外のトラブルを防ぐための情報管理やセキュリティの基本を
改めて確認しておくことが重要になってきます。

ここからは、今だからこそ見直したい
園内ツールのセキュリティ対策についてご紹介いたします。

（１）ホームページやサーバーの保守・バージョンアップ
デザイナーや制作会社と連携して、
自園のホームページのセキュリティ強化をしましょう。
WordPressなどの更新が滞っている古いWebサイトは、
不正改ざんやウイルス配布の踏み台にされやすい標的です。

管理システムがアップデートされていない状態を
空き巣に例えると、
「鍵の壊し方や裏口の場所が、泥棒（ハッカー）の間で
全世界にバラされている空き家」のような状態になっています。

ハッカーは、特定のサイトを狙って攻撃するのではなく、
古いシステムを扱っているホームページを
自動プログラム（ロボット）を使用して手当たり次第に探して侵入しています。
その標的として最も引っかかりやすいのが、
システム更新がされていないホームページなのです。

園児の写真や行事案内を安全に届けるためにも、
サーバーの定期バックアップやシステムのバージョン更新について、
契約しているデザイナーや制作会社へ相談し、
定期的な点検・保守体制を整えておきましょう。

また、契約しているプラン内容が、
定期的なセキュリティ対策がなされるものになっているかどうか
この機会に点検することをお勧めいたします。

（２）個人スマホから、園支給スマホへの切り替え
こども性暴力防止法への対応に伴い、
保育室への私物スマホ持ち込みに対する
保護者の視線は、ますます厳しくなっていくと想定されます。

個人の端末で園児を撮影したり保護者とやり取りしたりすることは、
不適切な行為を疑われるリスクや、
先生自身が冤罪に巻き込まれる原因にもなりかねません。

こども性暴力防止法への対策において、
法施行までに各園で様々な対応が求められていますが
（詳細は、8月25日メルマガよりご確認いただけます）、
その中で、園側で不適切な行為の範囲を検討・確定する必要があります。

国が事業者用準備ガイドの中で示している「不適切な行為の参考例」の一つに
「私物のスマートフォンや、ルール外の方法で児童等の写真・動画を撮影・管理する」
という内容があります。
基準の設定自体は各園に委ねられているものの、
法施行をきっかけに保護者の意識が一層高まることが想定されます。

私物スマホの保育室持ち込みを原則禁止とし、
写真撮影や緊急連絡には「園専用端末（タブレットやスマホ）」を
施設側で配備するといった環境整備が推奨されます。

（３）各種システム・クラウドへの「2段階認証」の導入
登降園管理システムや保護者連絡アプリ、園児台帳など、
個人情報を扱うツールには、IDとパスワードだけでなく
スマートフォン等の認証コードを組み合わせた2段階認証を設定すると安心です。

近年、サイバー攻撃の手口は非常に巧妙化しています。
どれほど気をつけていても、
他サービスから漏洩したパスワード情報を使った攻撃などによって
パスワードが見破られてしまうリスクが常に潜んでいます。
また、使い回しやすい簡単なパスワードを設定しているケースも少なくありません。

IDとパスワードだけでなく、２段階認証を設定することで、
複数の鍵をつけたドアの状態をつくることができます。
万が一パスワードが外部に漏れたり推測されたりしても、
２段階認証コードが届く端末が手元にない限り
第三者は侵入できず、不正ログインを水際でブロックできます。

設定が手間だったり、ログインが面倒になったりする懸念もあるかもしれませんが、
まずは園児の全個人情報や請求データを一括操作できるアカウントだけでも
優先して設定することをお勧めいたします。

（４）個人利用する「生成AIツール」におけるセキュリティ対策と共通理解
教職員が指導計画の作成や園だよりの文章づくりなどに、
ChatGPTやGemini等の生成AIツールを個人で活用するケースが増えています。
非常に便利なツールである反面、最も警戒すべきは
園児の個人情報をそのままAIに入力してしまうことです。
入力したデータが外部に流出したり、AI学習に利用されたりするリスクに繋がります。

法人契約しているAI生成ツールではなく、
個人利用しているアカウントを使用している場合には、特に注意が必要です。
無料版アカウントで「学習オフ」に設定することで
外部流出リスクは下がりますが、完全なセキュリティ対策とはいえません。
AIの再学習には使われなくなっても、
規約上、不正利用防止の目的で運営会社のサーバーに
一定期間データが一時保存されるため、
サイバー攻撃やアカウント乗っ取り時の漏えいリスクは残ります。

自宅のパソコンや私物スマホを使い、
業務に必要な情報を生成AIで調べたり文章化したりする場面は
現場でも実際に増えているのではないでしょうか。
「個人を特定できる情報は絶対に入力しない」といった、
園としての利用ルールを設けて、職員間で共通理解を図っておきましょう。

情報セキュリティの強化は、
外部からのサイバー攻撃から園児情報を守ることはもちろん、
私物端末の制限やAI利用ルールの整備は、
先生方がトラブルや誤解に巻き込まれるのを未然に防ぎ
安心して保育に集中するための対策でもあります。

ハッカーによるサーバー攻撃が騒がれており、
そしてシステム導入や法対応が重なる過渡期の今だからこそ、
園内ルールやICTツールの環境点検を進めてみてください。