Cloudvocacy現場で起きていること
「うちは狙われない」が通用しない
攻撃の多くは、団体を選んで狙うのではなく、ウイルス付きメールやフィッシングを無差別にばらまく型です。「小さい団体だから大丈夫」ではなく、「対策する人がいない団体ほど引っかかりやすい」のが実態です。
メールの乗っ取りがいちばん怖い
パスワードだけで守られたメールアカウントは、パスワードが漏れれば誰でも入れます。乗っ取られたメールは、利用者・家族・寄付者への詐欺メールの発信元になり、団体の信頼を直接傷つけます。
ウイルス対策がパソコンごとにバラバラ
期限切れの体験版、無料ソフトの寄せ集め、そもそも入っているかどうか誰も知らない——事業所ごとにパソコンを買い足してきた団体でよく見る状態です。1台の感染が共有フォルダ経由で全体に広がります。
要配慮個人情報を扱うのに、専任がいない
福祉の現場は、病歴・障害・生活状況といった特に慎重な扱いが必要な情報を日常的に扱います。それでも情報システムの専任担当がいる団体はまれで、「何から手を付ければいいか分からない」まま後回しになりがちです。
対策の4本柱
高価な製品を買い足す前に、無料・寄贈でできることから、取り組みやすい順に並べました。
①まず多要素認証(MFA)を全員に — 追加費用ゼロ
パスワードに加えてスマホアプリなどでの確認を挟む多要素認証(MFA)は、「パスワードが漏れてもログインさせない」効果の高い対策です。しかも手元のスイート(Microsoft 365やGoogle Workspaceなど、メール・文書作成・保存をまとめて提供するサービス群)に標準で入っています。Microsoft 365は無償のBusiness Basicを含む全プランに「セキュリティの既定値群」(MFAなどの基本対策を一括で有効にする設定)が含まれ、有効にすれば全員にMFAが適用されます。Google Workspaceも全プラン(エディションと呼ばれる契約段階)で2段階認証プロセスを導入・強制(職員が拒否・後回しにできない設定にすること)できます。管理者アカウントには、この強制適用が段階的に進んでいます。
向いているケース: すべての団体。設定自体はブラウザの管理画面だけで完了しますが、全職員に影響する変更なので、実施は管理者・情報システム担当が行います。
②ウイルス対策はTechSoupの寄贈で揃える
TechSoup Japanのカタログには、ウイルス対策ソフトの寄贈プログラムがあります。Nortonは1会計年度(7月1日〜翌6月30日)につき20ライセンスまで、Bitdefender(Windows/Mac/サーバー対応)は同50ライセンスまで申請できます。バラバラだった端末のウイルス対策を、寄贈で同じ製品に統一するのが現実的な着地点です。
向いているケース: 端末が数台〜20台規模の団体。TechSoup Japanの団体登録が入口です。
寄贈でも、TechSoup Japanの管理手数料(製品ごとに設定)はかかります。申請前にカタログで実費をご確認ください。
③パスワードとIDの管理を仕組みにする
「サービスごとにパスワードが増えて付箋だらけ」「退職者のアカウントが残り続ける」という問題は、注意喚起ではなくSSO(複数のサービスに1回のログインでまとめてアクセスできる仕組み)やパスワード管理ツールという仕組みで解決します。非営利団体はOkta for Goodでフル機能を50ライセンスまで無料で使えるなど、選択肢が充実しています。
向いているケース: 使うクラウドサービスが増えてきた団体。導入は各サービスの連携設定が必要なため、管理者・技術担当への相談が前提です。
方式の選び方や導入の流れはパスワード問題の解決ガイドで詳しく解説しています。
④団体サイトの保護とVPN(2つの対策)
1つ目は団体の公式サイト向けです。CloudflareのProject Galileoという無償保護プログラムがあります(大量アクセスでサイトを落とす攻撃への対策=DDoS対策、Webサイトへの不正な通信を遮断する仕組み=WAFなど、Businessプラン相当の機能が無料)。ただし対象は人権・市民社会・ジャーナリズム・民主主義の分野で攻撃を受けやすい団体とされており、一般の福祉団体が対象になるかは審査次第です。2つ目は外出先や在宅から団体のネットワーク(共有フォルダや業務システムなど内部の資源)へ安全につなぐVPN(通信経路を暗号化して外部から見えないようにする仕組み)です。NordLayerには非営利向けの割引(最大60%OFF・問い合わせ制)があります。どちらも設定はドメインやネットワークに関わるため、技術担当や導入支援業者に相談して進める工程です。
向いているケース: 権利擁護・アドボカシー活動でサイトが攻撃対象になり得る団体(Galileo)、在宅・外出先からのアクセスが多い団体(VPN)。
コラム: 「狙われるのは大企業」という思い込み
ニュースで報じられるサイバー被害は大企業ばかりです。ところが警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害を組織の規模別に見ると、中小企業が約6割——前年と同じ構図です。政府広報が「中小企業で被害多数」と題した啓発動画を作るほど、被害の主役は「守る人がいない小さな組織」に移っています。この統計自体は中小企業を対象にしたものですが、専任の情報システム担当を置きにくいという点は非営利団体も同じであり、規模の小さい組織も例外ではないと考えられます。
被害に遭ったあとの数字は、さらに重いものです。同資料によれば、復旧に総額1,000万円以上を要した組織は全体の5割超。1か月未満で復旧できた組織は5割強にとどまります。非営利団体の予算規模でこの出費と業務停止に耐えるのは、現実的ではありません。「起きたら直す」が成立しないからこそ、「起きにくくする」に価値があります。
出典: 警察庁「サイバー空間をめぐる脅威の情勢等について」。当サイトではこの統計を当ページに集約しています(数値は報告・調査ベースであり、実際の被害総数そのものではありません)。フィッシングの手口と無料でできる設定は 予算ゼロのフィッシング対策 で扱っています。
それでも、朗報があります
このガイドの①(多要素認証)は0円、②(ウイルス対策の寄贈)も管理手数料程度で始められます。「予算がないから対策できない」は、少なくとも最初の二歩には当てはまりません。
導入前の注意点
Project Galileoの対象は限定的
Galileoは「公共の利益のために活動し、攻撃を受けやすい脆弱な団体」を守るためのプログラムです。申請にはミッションや攻撃リスクの説明が求められ、すべての非営利団体が対象になるわけではありません。該当しそうな活動分野の団体が、選択肢の一つとして検討するのが現実的です。
寄贈には年度上限がある(Norton 20本・Bitdefender 50本)
上限や管理手数料の詳細は上の②で解説したとおりです。上限を超える台数がある団体は、どの端末を優先するかを先に決めてから申請しましょう。
道具の前に「やめること」を決める
私物USBメモリでのデータ持ち出し、全員で使い回す共有アカウント、退職者アカウントの放置——道具を入れても、これらの習慣が残っていれば穴は塞がりません。IPA(情報処理推進機構)の「中小企業の情報セキュリティ対策ガイドライン」(2026年3月の第4.0版で「バックアップを取ろう！」が加わり「情報セキュリティ6か条」に拡充)が、無料で使えるルールづくりのひな型になります。
取り組みはSECURITY ACTIONで外に示せる — ただし団体としての宣言
IPAのSECURITY ACTIONは、情報セキュリティ対策への取り組みを自己宣言する無料の制度です。中小企業向けの制度ですが、NPO法人や公益法人の宣言事例も多数あります。「一つ星」は情報セキュリティ6か条(2026年3月に5か条から拡充)に取り組む宣言で、行政や取引先への信頼の見せ方としても使えます。宣言は団体名で外部に公開される取り組みなので、団体としての承認を経てから登録してください。
はじめの一歩
多要素認証(MFA)を有効にする — 今日・無料
設定自体は無料で、Microsoft 365は「セキュリティの既定値群」を有効に、Google Workspaceは2段階認証プロセスの導入からです。ただし全職員のログイン方法が変わる変更なので、設定にはスイートの管理者権限が必要です(自分に権限がない場合は、権限を持つ担当者への依頼が必要です)。まず管理者アカウント、次に全職員の順で広げ、事前に「スマホを忘れた日はどうするか」など職員への周知もセットで進めると混乱を防げます。
端末を棚卸しして、ウイルス対策を寄贈で統一する
団体のパソコンを書き出し、ウイルス対策の状態(製品名・期限)を確認します。バラバラなら、TechSoup Japanの寄贈(Norton/Bitdefender)で同じ製品に揃えます。
ルールを1枚にまとめ、団体として宣言する
IPAの「情報セキュリティ6か条」(OSとソフトの更新・ウイルス対策・パスワード・共有設定・バックアップ・手口を知る)をベースに、団体のルールを1枚の文書にします。SECURITY ACTIONの宣言は団体名で外部に公開されるため、文書がまとまったら団体として内容を確認・承認したうえで「一つ星」を登録します。
このガイドは2026年7月時点のMicrosoft・Google・TechSoup Japan・Cloudflare・IPAの公式情報にもとづいています。各プログラムの内容は変更されることがあるため、導入前に公式ページで最新の条件をご確認ください。
関連ガイド
ウイルス対策の寄贈はTechSoup Japanの団体登録から。パスワードとIDの仕組み化は専用ガイドでどうぞ。