福祉法人の情報セキュリティ基本方針｜雛形7項目と運用3つのコツ

この記事は、福祉法人の経営者・管理者の方に向けて、利用者情報を守るための「情報セキュリティ基本方針」の作り方と運用のコツを解説します。障がい福祉・介護・児童福祉のいずれの事業でも、利用者の心身の状況や家族関係といった機微な個人情報を日常的に扱う以上、セキュリティ対策は経営課題そのものです。とはいえ「何から手を付ければよいか分からない」という声は少なくありません。本記事では、公的機関の雛形を活用して、自法人の基本方針を無理なく整備する手順を紹介します。

なぜ福祉法人に情報セキュリティ基本方針が必要なのか

福祉事業所が扱う情報は、氏名や住所だけではありません。障がいの内容、既往歴、服薬、家庭環境など、漏えいすれば利用者本人と家族に深刻な影響を与える情報ばかりです。近年は記録の電子化やクラウドサービスの利用が広がり、紙の時代とは異なるリスク管理が求められるようになりました。

情報セキュリティ基本方針とは、「わが法人は情報をこう守る」という経営者の意思表明を1枚にまとめた文書です。基本方針があることで、次の3つの効果が期待できます。

• 判断の軸ができる: 新しいツール導入や委託契約の際に、セキュリティ面の判断基準を職員全員が共有できる
• 対外的な信頼になる: 行政・取引先・利用者家族に対して、組織として対策に取り組む姿勢を示せる
• 職員教育の出発点になる: 研修や誓約書など、個別ルールの根拠として機能する

逆に方針がないまま個別ルールだけを増やすと、対策が場当たりになり、現場の負担感だけが積み上がります。まず経営者が方針を示すことが出発点です。

まず活用したいIPAの2つの公的リソース

基本方針をゼロから書く必要はありません。IPA(独立行政法人情報処理推進機構)が中小企業向けに公開している資料に、そのまま土台にできる雛形が含まれています。

中小企業の情報セキュリティ対策ガイドライン(第4.0版)

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者編と実践編で構成され、個人事業主や小規模事業者を含む中小企業での利用を想定した公的ガイドラインです。2026年3月に第4.0版が公開されました(出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版、2026年)。福祉法人の多くは規模的にこのガイドラインの対象に含まれ、付録として次のような実用的な雛形が公開されています。

• 付録2「情報セキュリティ基本方針(サンプル)」: 法人名を入れて調整すればそのまま土台にできる雛形
• 付録3「5分でできる!情報セキュリティ自社診断」: 25項目の設問で自法人の対策状況を確認できる診断ツール
• 付録5「情報セキュリティ関連規程(サンプル)」: 基本方針の下位に置く具体的な社内規程の雛形

また同ガイドラインには、OSやソフトウェアの更新、ウイルス対策ソフトの導入、パスワードの強化、共有設定の見直し、バックアップの取得、脅威や攻撃の手口を知ること、という「情報セキュリティ6か条」が示されており、基本方針と併せて最初に取り組む具体策の目安になります。

SECURITY ACTION(セキュリティ対策自己宣言)

「SECURITY ACTION」は、中小企業が情報セキュリティ対策に取り組むことを自己宣言するIPA創設の制度です(出典: IPA「SECURITY ACTION」)。取り組み段階に応じて2つの区分があります。

• 一つ星(★): 「情報セキュリティ6か条」に取り組むことを宣言する
• 二つ星(★★): 「5分でできる!情報セキュリティ自社診断」を実施したうえで、情報セキュリティ基本方針を策定・外部公開し、対策に取り組むことを宣言する

つまり、基本方針を作って公開することは、二つ星の宣言要件を満たす取り組みでもあります。宣言事業者はロゴマークを名刺やホームページで使用でき、対外的なアピールにもつながります。なお、これはIPAが対策状況を認定する制度ではなく、あくまで自己宣言である点には注意してください。デジタル化・AI導入補助金(旧IT導入補助金)の申請要件に同宣言が含まれるなど、行政手続きで求められる場面も出てきています。

情報セキュリティ基本方針に盛り込む7項目(雛形)

IPAのサンプルを福祉法人向けに読み替えると、盛り込むべき項目は次の7つに整理できます。箇条書きの例文を自法人の言葉に置き換えて使ってください。

• 1. 目的: 「当法人は、利用者およびご家族の個人情報をはじめとする情報資産を事故・災害・犯罪などの脅威から守り、安心して利用いただける事業運営を行う」
• 2. 適用範囲: 「本方針は、当法人の役員・職員(常勤・非常勤・実習生を含む)および当法人が管理するすべての情報資産に適用する」
• 3. 経営者の責任: 「経営者は、本方針の実現に必要な体制と資源を確保し、率先して情報セキュリティの向上に取り組む」
• 4. 組織体制: 「情報セキュリティ責任者を定め、対策の実施状況を把握し、事故発生時の報告・対応手順を整備する」
• 5. 法令等の遵守: 「個人情報保護法をはじめとする関連法令、行政の通知、契約上の義務を遵守する」
• 6. 職員教育と委託先管理: 「全職員に定期的な教育を実施し、業務委託先に対しても当法人と同水準の情報管理を求める」
• 7. 継続的改善: 「対策の実施状況を定期的に点検し、本方針および関連規程を継続的に見直し、改善する」

図のとおり、基本方針は抽象度の高い「宣言」にとどめ、パスワードの管理方法やUSBメモリの扱いといった具体策は下位の規程・手順に書くのが原則です。こうしておけば、ツールの入れ替えがあっても基本方針自体は改訂せずに済みます。介護記録の電子化運用を成功させる5ステップで解説した記録の電子化も、基本方針という土台があってこそ安全に進められます。

運用を形骸化させない3つのコツ

コツ1: 策定したら必ず「公開」して退路を断つ

基本方針は作って終わりではなく、法人ホームページへの掲載や事業所内の掲示で公開することが重要です。公開すれば行政や家族の目に触れるため、「作っただけ」で放置しにくくなります。前述のSECURITY ACTION二つ星も、基本方針の外部公開が宣言の要件です。

コツ2: 年1回の自社診断とセットで見直す

IPAの「5分でできる!情報セキュリティ自社診断」を年1回の恒例行事にし、その結果を踏まえて規程や手順を更新しましょう。診断結果は経営会議で共有し、改善の優先順位を経営判断として決めることが大切です。人材確保や事業運営と同じテーブルで扱うことで、セキュリティが「情報担当者任せ」になるのを防げます。組織づくりの観点は生活支援員の悩みを解決する5つの経営戦略も参考になります。

コツ3: 新しいツール導入時のチェックリストとして使う

AIやクラウドサービスの導入を検討する際、基本方針と関連規程を「導入可否のチェックリスト」として使うと、方針が日常業務に組み込まれます。たとえば「委託先管理」の項目があれば、サービス提供事業者のセキュリティ体制を確認するという行動が自然に生まれます。AI導入時の進め方は介護AI導入の担当者向けガイドで詳しく解説しています。

よくある質問(FAQ)

Q1. 情報セキュリティ基本方針と個人情報保護方針(プライバシーポリシー)は別に必要ですか?
A. 目的が異なる文書です。個人情報保護方針は個人情報の取り扱いに特化した対外的な約束であるのに対し、情報セキュリティ基本方針は個人情報を含む情報資産全般を守るための経営方針です。両方を整備し、内容に矛盾がないよう揃えておくのが望ましい形です。

Q2. 小規模な事業所でも基本方針は必要ですか?
A. 規模にかかわらず必要です。IPAのガイドラインも個人事業主や小規模事業者を含む中小企業を対象としています。小規模であるほど1件の情報漏えいが事業の信頼に与える影響は大きく、A4で1枚の基本方針から始める価値があります。

Q3. 雛形をそのまま使ってもよいのでしょうか?
A. 土台として使うのは問題ありませんが、法人名を入れ替えるだけの流用は避けましょう。自法人が扱う情報(利用者記録・支援計画・請求データなど)と事業の実態に合わせて適用範囲や体制の記述を調整し、経営者自身が内容を説明できる状態にしておくことが、運用を続けるうえでの前提になります。