非営利活動と情報セキュリティ
その現状と支援の試み

認定NPO法人イーパーツ
東京電機大学サイバーセキュリティ研究所

理事

研究員
会田和弘

1.非営利組織の概要①▶

非営利組織とは– 営利を目的とせず、公益的な活動している組織• 医療法人、学校法人、介護施設、宗教法人• 財団法人、社団法人、社会福祉法人• 特定非営利活動法人（NPO法人）• ボランティア団体– 通常は政府組織は含まない※「営利を目的とせず」とは利益を上げることを禁止しているのではなく、利益を再分配しないということ。
※「公益的な活動」は、法人の場合、その範囲が法によって定められている。

1.非営利組織の概要②▶

特定非営利活動法人の数– 54,832

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要③▶

所在地– 4割が首都圏

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要④▶

活動– 保険・医療・福祉が大半

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑤▶

スタッフ– 有給常勤NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑥▶

スタッフ– 有給非常勤

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑦▶

スタッフ– 無給常勤NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑧▶

スタッフ– 無給非常勤

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑨▶

Webの有無NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑩▶

総収入– 2013年度

NPOひろば NPO法人データベース
http://www.npo-hiroba.or.jp/know/analysis.html

1.非営利組織の概要⑩▶

総収入の中央値– 2013年度

内閣府「平成25年度 特定非営利活動法人に関する実態調査」
https://www.npo-homepage.go.jp/uploads/h25̲houjin̲chousa̲point.pdf

2. 対象のプロフィール▶

想定– 資金規模が3,000万円以下– 有給スタッフが5名程度以下• 常勤1名程度、非常勤4名• ボランティア10名程度が活動を支える– 保険医療福祉を始め機微な情報を扱う活動– または、非営利組織を支援する活動▶

上記のような団体へは、県市に設置してある市民活動センターを通じてアクセスが可能2.対象のプロフィール▶

アンケートの実施– 次の意見は正しい？

Yes/Noで回答

No

質問文

解答

Q1PC ソフトウェアのアップデートって大事だよね。

yes

Q2

大事な情報が入っているPC は、インターネットに接続しないで使おう。

noQ3

無料のWiFi（無線LAN）はいろいろあるけど、有名な企業や行政がやっているものなら安全だ。

noQ4

ホームページに大事な情報を入力する時には、まず鍵マークを確認！

yes

Q5

パスワードはたくさんあると管理が大変！長く複雑なものなら、使いまわしても安全。

noQ6

個人情報保護法は、多くの個人情報を扱う企業が守るべき法律だけど、非営利組織も個人情報の漏洩には注意しよう。

noQ7

PCがウイルスに感染したら、すぐに初期化しソフトウェアをインストールし直そう。

yes

Q8

団体の活動が新聞に取り上げられた。非営利だから、そのコピーをみんなに配っても大丈夫。

no2.対象のプロフィール▶

アンケートの結果– 正答率（N=52）
No

分野

詳細を理解せずにステレオタイプ的な回答か？
正解

不正解

Q1

アップデート

84.6%

15.4%

Q2

重要情報ネットに接続なし

28.6%

71.4%

Q3

安全なWiFi

62.5%

37.5%

Q4

SSL/TLS

63.5%

36.5%

Q5

パスワード

87.5%

12.5%

Q6

個人情報保護法

0.0%

100.0%

Q7

ウイルス感染

23.1%

76.9%

Q8

著作権

70.8%

29.2%

2.対象のプロフィール▶

情報セキュリティ関連の支援– 三重県の某市民活動センターの2014-16年度の例

513
61002016

2.対象のプロフィール▶

市民活動センターへの聞き取り– 非営利組織のスタッフには、アップデートやウイルス対策ソフトなどセキュリティ対策が必要であること、個人情報保護などの大切さの意識はある。

– その一方で何をしなければならないのかは明確ではない人が多い。
– やるべきことがわかっても技術的にできない人が目立つ。

– PCが不調になった場合、自分では対応できない人が多い。

– セキュリティ、パソコンは難しいという意識から、講座は不人気。
– PCの不調には対応できても、セキュリティについて教えられる人がいない。
– 本来の業務で忙しい2.対象のプロフィール▶

本人たちが気がつかない問題行動

1) 機密情報を含むメールを誤って他団体へ転送しても、転送先への削除依頼だけですませる。
2) 脆弱なパスワードを使用。
3) 肖像権についての意識が希薄。
4) 新聞記事をWebにアップ。
5) メールでBccを活用しない。
6) 「アップデートしておけば、セキュリティ対策ソフトを入れておけば大丈夫」。
7) 「名前は個人情報ではない」など間違った解釈。
8) タブレットにより、問題行動が加速している。
9) 事後対策について意識がない。

2.対象のプロフィール▶

我々が対象とする非営利組織が抱える課題① スタッフへの教育が一度は必要② 啓発のみではなく、事務所内での作業など実践に結びついた教育であること③ やる気を活かし、苦手意識を極力なくしてもらう工夫が必要④ スタッフへの指導、トラブルの解決をある程度可能な人材の育成⑤ 組織としてのルール（セキュリティポリシー）の構築

3.課題解決への試み（実施中）
1)

2)

苦手意識払拭のツールとして①“セキュろく”②“クイズde◯◯◯”

手法として③寄り添う形の支援プログラム•“一緒にやろうよプロジェクト”•

事務所内のネットワーク構築、クラウドの利用を団体の担当者と一緒に行う

① セキュろく▶

楽しくセキュリティを学ぶツール– キッズ版と一般版

① セキュろく▶

それぞれのマス目で、やって良いことと悪いことを学ぶ

① セキュろく▶

実施実績と受講数
一般版

実施年度

キッズ版

開催地

開催回数

受講生数

開催地

開催回数

受講生数

2010

21

21

306

-

-

-

2011

25

25

620

-

--

2012

26

27729

6

9208

2013

20

20578

10181054

2014

99285

5

7206

2015

1212359

3

5111

2016

1111240

6

12512

計

124

125311730512091

① セキュろく▶

2016年度、非営利組織向けに、ワンポイント講座とセットで実施

92.3%

2624① セキュろく▶

効果を事後アンケートとテストで評価（キッズのみ）– セキュろくを使用した場合としない場合を比較

248① セキュろく▶

アンケート結果（キッズのみ）– 難しさの敷居を下げる効果はあると思われる。

248① セキュろく▶

学習効果（キッズのみ）– 難しさの敷居を下げる効果はあると思われる。

グループA

グループB（セキュろく）

正解人数

220/248

24/26

正答率

88.7%

92.3%

②クイズde◯◯◯▶

クイズ形式の講座– 茅ヶ崎（著作権）と名古屋（個人情報）で実施– クイズにすることで、参加型となる– 「クイズと答」から解説内容を広げていく方式– 回答札や袋とじテキストで遊び心を演出

③一緒にやろうよプロジェクト（実施中）▶

概要

赤字までを実施

プロジェクトのフェーズ
立志編

格闘編

自立編

旅立ち編

概要
••

スタッフのスキル、事務所内ネットワークの現状確認など団体の現状を確認すると共に、団体のプログラム担当者、プロジェク
トのゴール、スケジュールの確定等

4ヶ月

•••••

事務所内ネットワークの整備（クラウドの導入）
その共同作業を通じてプログラム担当者への個別教育
スタッフへの新たなネット環境およびセキュリティについての教育
運用ルールの抽出サポーターの募集

3ヶ月

••
•
•

プログラム担当者が中心となる運営
サポーターを交えた定期的なスカイプ会議
必要であればリモートによる支援組織としてのルール（ セキュリティポリシー）の策定

6ヶ月

••
•
•

プログラム担当者とサポーターを中心とした運営へ移行
プログラム担当者によるスタッフ教育
他地点へ展開を計画
将来的には各地のプログラム担当者のコミュニティを構築

2ヶ月

③一緒にやろうよプロジェクト（実施中）▶

狙いプロジェクトのフェーズ

イーパーツの狙い

立志編

•
•
•

非営利組織の扱う情報、ネットワーク環境のリサーチ
非営利組織の情報管理の現状と課題をリサーチ
非営利組織の人材のスキルをリサート

格闘編

••
•
•
•

対象の組織において、どのようなネットワーク環境が適当か情報共有の仕方
どのようなセキュリティ対策が実施でき有効か担当者にはどの程度のスキルが必要か
スタッフへの教育のためのテキスト

自立編

••

プログラム担当者が中心となる運営での課題
サポーターとの連携の仕方

旅立ち編

•••

プログラム担当者とサポーターを中心とした運営の課題
他地点へ展開のためのスターターキットの整備と課題プログラム担当者のコミュニティに必要な機能

③一緒にやろうよプロジェクト（実施中）▶

実施方法– イーパーツ側人材：4人体制• ディレクター1、アシスタント2、事務局1– 費用：銀行系の助成金（1,000,000円）– 支援先：公募の結果、名古屋の中間支援1組織に決定• スタッフ5人• ボランティア約50人• 受益者数：10,000人• 扱う情報：スタッフ・支援者、ボランティア募集、東日本大震災被災者情報（一部）» 今回は、機微な情報をあまり含まない団体、ガバナンスが取れている団体を選出

③一緒にやろうよプロジェクト（実施中）▶

講座テキスト– IPA「中小企業の情報セキュリティ対策ガイドライン」参照• https://www.ipa.go.jp/security/keihatsu/sme/guideline/– 実際の活動、組織の体力から必要なものを選出/追加するアプ
ローチ

③一緒にやろうよプロジェクト（実施中）▶

講座テキスト（製作中）
No項目

内容

スタッフプログラム担当者

1

インターネットのしくみ

サーバ・クライアント、ルーター、無線LANなどごく基礎的な内容

◯

◯

2

ネットワークの基礎

LANを構築するために必要な知識、エラーの確認方法

3

クラウドの利用Oﬃce365の利用法

4

クラウドの管理Oﬃce365の基礎的な管理方法

5

情報社会への脅威

マルウェア、情報漏洩、個人情報流出など◯◯

6

セキュリティ対策の基礎

アップデート、セキュリティ対策ソフト◯◯

7

情報社会の法とモラル

著作権、個人情報、モラルなど

◯

◯

8

組織のセキュリティ対策

ルールづくり、スタッフ教育に向けて

9

もしもの時の事後対策1

マルウェア感染、情報漏洩の際の報告の仕方

10

もしもの時の事後対策2組織としての対応

◯◯

◯
◯

◯
◯

◯
◯

五里霧中です
ご意見・ご指導よろしくお願いいたします