障がい者転職を検討中の方必読！
絶対に読むべき必読記事
NPO法人にとって、情報セキュリティ対策は重要な経営課題のひとつです。
しかし、限られた人員と予算で運営している団体では、専任のIT担当者を置いたり、専門業者に継続的に依頼したりすることが難しい場合があります。
特に、支援対象者の個人情報や相談記録、寄付者情報などを扱うNPOでは、情報漏えいや不正アクセスへの備えが欠かせません。
そこで注目されているのが、企業のIT・DX人材が仕事で培った専門知識や経験を活かしてNPOを支援する「プロボノ」です。
この記事では、プロボノの基本的な意味から、NPOがDX人材の支援を受けるメリット、情報セキュリティ対策への活用方法、依頼時に確認したいポイントまで、わかりやすく解説します。
1．プロボノとはどのような活動か
プロボノとは、「公共善のために」を意味するラテン語を語源とし、職業上の専門知識やスキルを活かして社会課題の解決を支援する活動です。
一般的なボランティアが幅広い活動を担うのに対して、プロボノではIT、法律、会計、マーケティング、人事など、参加者が仕事で身につけた専門性を活用する点に特徴があります。
たとえばIT・DX分野では、業務フローの整理、データベースの設計、Webサイトの改善、クラウドサービスの導入、データ管理方法の見直しなどが支援内容になります。
期間を限定したプロジェクト型や、複数の専門人材がチームで参加する形式など、さまざまな方法があります。
NPOにとっては、通常であれば費用や人材面の問題から取り組みにくい専門的な課題について、外部の知見を取り入れられることが大きなメリットです。
2．NPOが抱えやすいIT・セキュリティの課題
NPOでは、事業を優先するあまり、IT環境の整備や情報セキュリティ対策が後回しになることがあります。
たとえば、職員ごとにパスワード管理の方法が異なる、退職者のアカウントが残っている、共有フォルダに多くの職員がアクセスできるといった状態は、情報管理上のリスクになります。
また、個人情報を含むファイルをメールで送信したり、私物のパソコンやUSBメモリでデータを管理したりするなど、担当者の経験や判断に依存した運用が残っているケースもあります。
NPOが扱う情報には、支援対象者の氏名や住所だけでなく、相談内容、生活状況、病歴など、特に慎重な取り扱いが求められる情報が含まれる場合があります。
そのため、単に「ウイルス対策ソフトを導入する」だけでは十分とはいえません。
誰が、どの情報に、どのような方法でアクセスできるのかを整理し、組織全体で安全な運用ルールを作ることが重要です。
3．企業のDX人材プロボノでできること
企業のDX人材によるプロボノでは、NPOの業務をITの専門家が外部から見直すことで、これまで気づかなかった課題を整理できる可能性があります。
たとえば、利用者管理の業務フローを整理し、必要なデータ項目を洗い出したうえでデータベースの要件を整理することが考えられます。
寄付者管理についても、情報が複数のExcelファイルや担当者のパソコンに分散している場合、管理方法を整理することで業務効率と情報管理の両方を改善できる可能性があります。
さらに、クラウドサービスの利用状況を確認し、アカウント管理やアクセス権限を見直すことも重要です。
DXというと、高額なシステムを導入するイメージを持たれがちですが、必ずしも大規模なシステム開発が必要なわけではありません。
「紙やExcelで行っている業務を整理する」「重複入力を減らす」「情報へのアクセス権限を適切にする」といった小さな改善も、NPOのDXの第一歩になります。
4．情報セキュリティに特化したプロボノ支援
近年は、NPOの情報セキュリティ対策を支援する取り組みも見られます。
支援の内容としては、現在のセキュリティ対策をチェックして課題を見える化すること、職員向けの研修を実施すること、情報管理に関するルールを整理することなどが考えられます。
たとえば、次のような項目をチェックするだけでも、組織の現状を把握するきっかけになります。
・パスワードを適切に管理しているか
・多要素認証を利用できるサービスでは設定しているか
・退職者や異動者のアカウントを適切に停止しているか
・重要なデータを定期的にバックアップしているか
・個人情報を保存する場所とアクセスできる人を把握しているか
・不審なメールやフィッシング詐欺への対応方法を職員が理解しているか
重要なのは、専門用語を並べるだけでなく、職員が日常業務の中で実践できるルールに落とし込むことです。
5．プロボノを依頼するときの流れ
NPOがプロボノ支援を受ける場合、最初に取り組みたい課題を整理しておくことが大切です。
「ITを強化したい」という漠然とした依頼よりも、「個人情報の管理方法を見直したい」「職員のアカウント管理を整理したい」「セキュリティ研修の資料を作りたい」など、具体的な課題を示したほうが支援内容を決めやすくなります。
コーディネート団体を利用する場合は、ヒアリングを通じて課題を整理し、必要なスキルを持つ人材とのマッチングを進めます。
その後、プロジェクトの目的、期間、担当者、成果物、連絡方法などを確認してから支援を開始するのが一般的です。
特に情報セキュリティを扱う場合は、支援者にどの範囲まで情報やシステムへのアクセスを認めるのかを事前に決めておく必要があります。
「専門家だから任せれば大丈夫」と考えるのではなく、必要最小限の権限で作業してもらうことが安全な運用につながります。
6．セキュリティ対策を進める際のポイント
プロボノでセキュリティ対策を進める際には、「何を作るか」だけでなく「支援終了後にどう維持するか」まで考えることが重要です。
たとえば、セキュリティポリシー、職員向け研修資料、アカウント管理表、情報資産の一覧、インシデント発生時の対応手順などを成果物として残す方法があります。
また、支援者だけが内容を理解している状態では、プロジェクト終了後に運用できなくなる可能性があります。
そのため、担当職員への説明やマニュアルの引き継ぎを行い、団体内に知識を残すことが大切です。
さらに、情報セキュリティは一度対策すれば終わりではありません。
職員の入れ替わり、新しいクラウドサービスの導入、パソコンやスマートフォンの変更などによって、新しいリスクが生じることがあります。
定期的にルールを見直し、少なくとも年1回程度は組織の情報管理体制を点検する仕組みを作っておくと、継続的な対策につなげやすくなります。
7．プロボノ活用で注意したいこと
プロボノは専門人材の知識を活用できる一方、すべてのIT課題を無償のプロボノだけで解決できるとは限りません。
たとえば、重大な脆弱性への対応、大規模なシステム開発、専門的なセキュリティ診断、事故発生後の高度なフォレンジック調査などは、必要に応じて専門事業者への依頼を検討する必要があります。
また、支援者に個人情報を見せる場合には、情報の取り扱いについて事前にルールを定めることが重要です。
可能であれば、実際の個人情報を使用せず、匿名化・マスキングしたデータを利用するなど、支援の目的に必要な範囲に情報を限定します。
プロボノを「無料のIT業者」と考えるのではなく、専門家と一緒に自団体の課題を整理し、今後も自分たちで改善できる仕組みを作る機会と捉えることがポイントです。
まとめ
企業のDX人材プロボノは、限られた人員や予算で運営するNPOが、IT・DXや情報セキュリティの専門知識を取り入れる方法のひとつです。
業務フローの整理、データベースの設計、クラウドサービスの活用、アカウント管理、職員研修など、支援できる分野は幅広くあります。
特に個人情報を扱うNPOでは、情報漏えいや不正アクセスを防ぐため、技術面だけでなく職員教育や組織内のルールづくりも欠かせません。
プロボノを活用する際は、「何を改善したいのか」「どのような成果物を残すのか」「支援終了後に誰が運用するのか」をあらかじめ明確にしておきましょう。
外部のDX人材と連携することで、NPO内部だけでは気づきにくい課題を発見し、業務効率化と情報セキュリティの両面から組織基盤を整えるきっかけになります。
限られたリソースだからこそ、専門人材の力を上手に取り入れながら、無理なく継続できるセキュリティ対策を進めることが大切です。
