個人店がAIを使う前に見直すセキュリティ:パスワード・共有アカウント・端末の基本対策

見直しの順番と、先に台帳を作る理由

守る対象が分からないまま対策を始めると、抜けが出ます。予約サイト、SNS、メール、会計ソフト、決済端末の管理画面、そしてAIサービス。個人店は、この全部を数人、ときには一人で回しています。

IPAの中小企業の情報セキュリティ対策ガイドラインは、個人事業主から中小企業までを対象にしています。2026年3月27日公開の第4.0版では、はじめに取り組む項目が5か条から6か条に拡充され、「バックアップを取ろう!」が加わりました。付録には「5分でできる自社診断」「資産管理台帳サンプル」「クラウドサービス安全利用手引き」なども含まれています。

アカウント台帳の項目例

台帳は表計算ソフトで足ります。パスワード本体は書きません。 パスワードはパスワード管理アプリやブラウザの管理機能など、別の場所に置きます。

• サービス名、書く内容：予約サイト、会計ソフト、AIサービスなど、理由：棚卸しの土台
• 用途、書く内容：何のために使うか、理由：不要なものを見つける
• ログインID(メールアドレス)、書く内容：どのアドレスで登録したか、理由：登録したアカウントを特定する
• 管理者、書く内容：最終責任者の名前、理由：退職・引き継ぎで迷わない
• 利用者、書く内容：誰が使うか、理由：共有の実態を把握する
• 共有の有無、書く内容：個人ID/共有ID、理由：後述の判断表で使う
• 多要素認証、書く内容：有効/無効/未対応、理由：優先順位をつける
• 回復手段、書く内容：登録電話番号、予備コードの保管場所、理由：端末紛失時に締め出されない
• 支払い方法、書く内容：カード、請求先、理由：不正利用に気づきやすい
• 扱う情報、書く内容：売上、顧客連絡先、従業員情報など、理由：重要度の判断
• 退職時の対応、書く内容：パスワード変更、ID削除など、理由：抜け漏れ防止
• 最終確認日、書く内容：見直した日、理由：放置を防ぐ

以下は説明用の例です。実在のサービスや運用ではありません。

• 予約サイト管理画面、用途：予約受付、共有：共有ID、多要素認証：未対応、扱う情報：顧客氏名・電話、管理者：店主
• 会計ソフト、用途：帳簿、共有：個人ID、多要素認証：有効、扱う情報：売上・取引先、管理者：店主
• 生成AIサービス、用途：文章下書き、共有：個人ID、多要素認証：有効、扱う情報：原則、顧客情報は入れない、管理者：店主

共有アカウントは「やめる」か「管理する」かを決める

共有IDの問題は、誰が操作したか分からなくなること、そして誰かが辞めたときに全員分のパスワード変更が必要になることです。まず、サービスの規約やヘルプで共有が認められるか確認します。例えば、OpenAIはアカウントを個人用とし、他の利用者には自分のアカウントの作成を求めています。これは編集上の整理ですが、次の表で判断できます。

• サービスが利用者ごとのIDや権限設定に対応している、判断：人ごとにIDを作り、権限を絞る
• 共有IDしか使えず、サービスが共有を認めている、判断：管理者を一人決め、利用者を台帳に記録し、退職時にパスワードを変更する
• 認証コードが店主のスマホにしか届かない、判断：運用を決める。コードを口頭で渡す運用が常態化するなら、IDを分けられないか再検討する
• 家族の個人アカウントを店用に流用している、判断：店専用のアドレスとアカウントを作って移す

多要素認証は、重要度の高いアカウントから入れます。IPAの不正ログイン対策特集ページは、パスワードを「できるだけ長く」「複雑で」「使い回さない」ことを基本とし、さらに多要素認証の設定を勧めています。主要サービスの設定手順へのリンクも載っています。ただし、このページの最終更新は2023年9月29日で、パスキーには触れていません。パスキーの扱いは、使うサービス自身のヘルプで確認してください。

AIサービスの例として、OpenAIのMFAの管理ページ(英語、2026年10月29日に本文確認)には次の記載があります。

• 認証アプリ、プッシュ通知、SMS/WhatsApp、パスキーが選べる
• 有効にするとChatGPTとAPI Platformの両方に適用される
• メールはMFAの方法にできない
• 使える方法は端末・国・アカウントの種類などで変わる
• すべての方法が使えなくなったときの回復は一度きりで、確認に数日かかることがある

最後の点から、サービスが対応していれば別の認証手段も登録します。予備コードが発行されるサービスでは、コード本体を安全に保管し、その保管場所を台帳の「回復手段」欄に書いておきます。他のサービスでも、設定画面の名称や選べる方法は変わります。

端末の確認は「持ち出し・ロック・更新・バックアップ」

端末は、次の項目を一つずつ「はい/いいえ」で確認します。

• 画面ロック(PINや生体認証)をかけているか
• OSとアプリがサポート期間内で、更新しているか
• ウイルス対策を入れているか
• 私物のスマホで店のアカウントにログインしている場合、紛失時にどうするか決めているか
• 売上データや顧客情報のバックアップを取っているか
• 店の端末を家族や来店客が触れる場所に置いていないか

IPAのガイドラインの付録にある「5分でできる！情報セキュリティ自社診断」には、更新、ウイルス対策、バックアップ、紛失・盗難防止、画面の保護、私物端末の業務利用などの確認項目があります。

公的資料で確認する点の一覧

• IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版、確認すること：6か条、5分でできる自社診断、資産管理台帳サンプル、クラウドサービス安全利用手引き、インシデント対応手引き、補足：台帳の項目を自店用に増減するときの参考。この記事のアカウント台帳は編集上の項目例です
• IPA 不正ログイン対策特集ページ、確認すること：パスワードの考え方、多要素認証に対応するサービスと設定手順、補足：最終更新2023年9月29日。新しいサービスは掲載外のことがある
• 個人情報保護委員会 FAQ(中小規模事業者の安全管理措置)、確認すること：中小規模事業者は大企業と同じ措置が必須ではなく、被害の大きさ、事業の規模・性質、データの取扱状況などに応じて決める、補足：顧客名簿などを扱う個人情報取扱事業者(日本の法制度)の話。個別の適法判断はできません
• 個人情報保護委員会 ガイドライン(通則編)、確認すること：別添に、組織的・人的・物理的・技術的の安全管理措置と、中小規模事業者向けの手法例示がある。「中小規模事業者」の定義と除外条件も確認する、補足：顧客情報を扱うなら、台帳の「扱う情報」欄と照らす
• 使うAIサービスのヘルプ、確認すること：MFAの方法、アカウント共有のルール、回復手順、補足：利用規約は更新されるため、契約するプランのものを読む

AIに台帳づくりを手伝わせる依頼文

AIに渡してよいのは、サービス名、用途、共有の有無といった構造の情報までです。パスワード、認証コード、予備コード、顧客の個人情報は貼りません。学習に使われない設定にしても、それは秘密保持とは別の話なので、入れない前提で運用します。

以下は未実行の依頼文の例です。

あなたは小さな飲食店の事務を手伝うアシスタントです。
次のサービス一覧から、アカウント台帳の表を作ってください。
列は「サービス名/用途/共有の有無/多要素認証の状況/扱う情報/
確認が必要な点」です。
パスワードやコードは入力していません。推測で埋めず、
不明な欄は「要確認」としてください。
最後に、共有IDのものを優先度の高い順に並べてください。

【一覧(説明用の例)】
- 予約サイト管理画面:予約受付、スタッフ2人で同じIDを使用
- 会計ソフト:店主のみ
- 生成AIサービス:店主のみ、文章の下書き用

人が確認するのは三点です。AIが埋めた「多要素認証の状況」を実際の画面で確かめること。「要確認」の欄を自分で埋めること。優先順位を店の事情に合わせて並べ替えることです。AIは推測で補う場合があるので、事実の欄は必ず元の画面と突き合わせます。

まず台帳を作り、共有IDと多要素認証が未設定のものを3つ選んで1週間で対応する。この程度の範囲から始め、残った項目も順に見直していきます。