職員が自分のスマートフォンで、無料の生成AIを使い始めている。悪意があるわけではなく、記録を早く書きたいだけです。しかしその瞬間、法人が把握していないアカウントの中に、利用者の情報が入り得る経路ができます。
この記事は、介護・障がい福祉・児童福祉の事業所を運営する経営者・管理者に向けて、生成AIを使う際のパスワードと多要素認証について、法人として決めておくべき実務基準を整理します。職員のITスキルに依存せず、仕組みとして統制を効かせることが目的です。
なぜ認証が個人情報保護の問題になるのか
安全管理措置の一部として位置づけられる
個人情報保護法第23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じることを義務付けています。その具体的な内容は、個人情報保護委員会のガイドライン（通則編）の別添「講ずべき安全管理措置の内容」で示されており、技術的安全管理措置としてアクセス制御やアクセス者の識別と認証が挙げられています（出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）。
つまり「誰がそのアカウントを使えるのか」を管理することは、任意のセキュリティ強化ではなく、安全管理措置の枠組みの中で考えるべき事項です。生成AIのアカウントも、そこに利用者の情報を入力し得る以上、例外ではありません。
福祉事業所特有の事情
福祉の現場には、専任の情報システム担当者がいないことがほとんどです。設定は「詳しい職員」に任され、その職員が異動すれば誰も状態を把握できなくなります。また、パソコンが共用で、夜勤帯には複数人が同じ端末を触るという運用も珍しくありません。この環境では、パスワードは共有されやすく、記録として残りにくいという前提に立って設計する必要があります。
認証の考え方を図で整理する
ポイントは2つです。1つは、パスワードという「知識情報」だけでは、漏れた時点で誰でもログインできてしまうこと。もう1つは、要素を重ねる以前に、そのアカウントを法人が握っているかどうかが前提になることです。個人契約のアカウントに対しては、法人は多要素認証を必須にすることも、退職時に止めることもできません。
法人として決めておく4つの実務基準
1. 業務利用は法人契約アカウントに限定する
最初に決めるべきは、技術的な設定ではなく契約の形です。業務で生成AIを使うなら法人が契約したアカウントを配布し、個人アカウントでの業務利用は禁止する。これを利用ルールに明記します。台帳で「誰に、どのサービスの、どの権限を配ったか」を管理できる状態が、以降のすべての統制の土台になります。運用ルールの整え方は福祉×生成AIの利用ルール雛形もあわせてご確認ください。
2. パスワードは「長さ」と「使い回さないこと」を優先する
総務省の「国民のためのサイバーセキュリティサイト」では、ある程度長いランダムな英数字の並びが理想的とされ、複数のサービスで同じパスワードを使い回さないことが求められています。使い回しが危険なのは、あるサービスから流出したアカウント情報を使って他のサービスへの不正ログインを試す攻撃があるためです（出典: 総務省「国民のためのサイバーセキュリティサイト」）。
一方で、定期的な変更については考え方が変わっています。同サイトでは、2017年の米国NISTのガイドラインや内閣サイバーセキュリティセンター（NISC）の示す内容を踏まえ、パスワードは定期的に変更する必要はなく、流出した場合に速やかに変更することが重要だとされています。定期変更を強いると、かえって作り方がパターン化して単純になったり、使い回しにつながることが問題とされています（出典: 総務省「国民のためのサイバーセキュリティサイト」）。
法人の内規に「3か月ごとに変更」と書いてある場合は、この機会に見直しの検討をおすすめします。現場に負担をかけている割に、効果が薄い可能性があるためです。
3. 多要素認証は「任意」にせず既定にする
多要素認証は、IDとパスワード（知識情報）に加えて、利用者が持っている機器に送られるパスコードを入力させるなど、種類の異なる要素を組み合わせる方法です（出典: 総務省「国民のためのサイバーセキュリティサイト」）。IPAの「情報セキュリティ10大脅威」でも、攻撃の糸口となるパスワードの窃取に対して、パスワードの管理・認証の強化が基本的な対策として位置づけられています（出典: 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威」）。
実務上の分かれ目は、多要素認証を職員の任意設定にするか、法人側で既定として有効にするかです。任意にすると、設定した人としない人が混在し、結局いちばん弱いアカウントが狙われます。管理機能で組織全体に適用できるサービスであれば、それを使うのが最も確実です。
ただし福祉の現場では、私用スマートフォンを業務で使わせてよいのかという論点が必ず出ます。認証アプリを私用端末に入れることを求めるのか、事業所の端末を認証用として置くのか。ここを曖昧にしたまま「各自で設定して」と伝えると、運用は必ず止まります。方針として決め、書面に残してください。
4. 停止のタイミングを人事手続きに組み込む
アカウントの発行より難しいのは停止です。退職・異動が決まったときに誰がどのアカウントを止めるのかを、退職手続きのチェックリストに組み込みます。担当者の記憶に頼っている限り、いつか漏れます。具体的な手順は退職職員のアカウント管理と生成AIの安全運用で詳しく整理しています。
また、認証を固めても、正規の権限を持つ職員が情報を外部へ持ち出す経路は残ります。認証は入口の対策であり、出口の対策とは別物です。この点は生成AI利用時の内部不正・持ち出しリスク対策で扱っています。
小規模事業所でどこから着手するか
すべてを一度に整えるのは現実的ではありません。優先順位をつけるなら、まず「業務で使ってよいサービスを法人が指定し、法人アカウントを配る」。次に「そのアカウントで多要素認証を有効にする」。この2つだけでも、把握できないアカウントに情報が入る状態からは抜け出せます。パスワードの文字数を細かく規定することよりも、こちらが先です。
そして、決めた内容は職員に説明してください。理由を伝えずに手順だけ増やすと、現場は抜け道を探します。「なぜ個人アカウントではいけないのか」を、利用者の情報を預かる立場として説明できることが、実は最も効く統制です。
よくあるご質問
Q. パスワードの定期変更をやめても問題ないのでしょうか。
A. 総務省の「国民のためのサイバーセキュリティサイト」では、定期的な変更は不要とされ、流出した場合に速やかに変更することが重要だとされています。定期変更によってパスワードが単純化したり使い回しにつながることの方が問題とされているためです。ただし、監査や委託元との契約で定期変更が求められている場合は、その要求内容を優先して確認してください。
Q. 職員の私用スマートフォンに認証アプリを入れてもらう必要がありますか。
A. 私用端末の業務利用は労務・費用負担の論点を含むため、法人として方針を決める事項です。私用端末を使わない選択をする場合は、事業所に認証用の端末を置く、認証コードを受け取る共有端末を管理者が管理するなど、代替手段を用意したうえでルール化してください。方針を決めずに個人任せにすると運用が定着しません。
Q. 共用パソコンで複数の職員が同じアカウントを使うのは避けるべきですか。
A. アカウントを共有すると、誰が操作したのかを識別できなくなります。ガイドライン（通則編）で技術的安全管理措置としてアクセス者の識別と認証が挙げられている趣旨からも、可能な限り個人ごとのアカウントとし、端末を共用する場合でも利用者を識別できる形にすることが望ましい運用です。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。