少年野球チームの名簿を不正アクセスから守る5つのこと

チームの名簿には、子どもの名前と学年、保護者の名前と電話番号が入っています。出欠の回答まで合わせれば、どの子が何日にどこにいるかも分かる。チームの中では当たり前に回している情報ですが、外から見れば、これだけそろった個人情報の束はなかなかありません。

ここで扱うのは、紙の名簿や載せる項目の話ではなく、出欠や連絡のツールに入れた名簿を誰が開けるか、です。

漏れる道筋は、映画のような高度な攻撃より、もっと身近なところにあるはずです。3つのうち2つは引き継ぎや日々の連絡の中で起き、1つは外から届きます。どれも、役員の手元で決められることで防げると思います。

少年野球チームの名簿が漏れる3つの道筋

1つめは、合言葉が広がりすぎることです。保護者全員に配るパスワードは、退団した家庭の手元にも残る。管理者のパスワードも、役員が替わったあと前の役員が持ち続けがちです。数年たつと、誰が知っているかを誰も把握していない状態になります。

2つめは、偽のログイン画面にだまされることです。本物そっくりの画面へ案内するメッセージが外から届き、そこへパスワードと確認コードを入れてしまう。入れた時点で、相手は本物の画面にログインできます。見た目で見分けるのは、慣れた人でも難しいはずです。

3つめは、リンクが外に出ることです。出欠の回答リンクのように、開くだけで名簿の名前と回答が見えるリンクは、誰でも見られる場所に貼るとチームの外の人にも見えてしまいます。

チームの役員ができる5つのこと

3つの道筋のうち、合言葉の広がりには1・2・5、偽の画面には3、外に出たリンクには4で備えます。それぞれ、どのツールでも当てはまる守り方を先に書き、Dagout での操作を後に添えます。

1. 管理者のパスワードは役員だけで持つ

名簿を書き換えられる合言葉は、編集する役員だけが知っていれば足ります。保護者が使う合言葉とは分けて、知っている人の数を減らすほど守りやすくなります。役員が替わったら、そのときに変えてください。

Dagout では、保護者は保護者のパスワード（画面では「メンバー用パスワード」）で入るので、管理者のパスワードを配る必要はありません。Web の管理画面の設定「パスワード変更」で管理者用パスワードを変えると、ほかの端末の管理者のログインと、登録済みのパスキーがすべて無効になります。変えたあとは、各役員が自分の端末でパスキーを足し直します。

2. 確認コードが届くメールアドレスを、役員で引き継げる宛先にする

パスワードに加えてメールの確認コードを求めるツールなら、そのメールを見られる人が、実際にログインできる人です。おすすめは、チーム用のメールアドレスを作り、見られる人を今の役員2〜3人に絞ること。役員が替わってもアドレスは変えず、見られる人だけを入れ替えます。見られる人を広げると、そのアドレス自体が広がる合言葉になります。

Dagout では管理者のログインに、パスワードに加えて、登録したメールアドレスに届く6桁の確認コードが要ります。宛先は Web の管理画面の設定「管理者向け再設定メール」で決めます。宛先が前の役員の個人のアドレスのままだと、今の役員はコードが届かずログインできません。

宛先を変えるときにも、今の宛先に届く確認コードが要ります。前の役員がコードを受け取れるうちに、引き継ぎの場で一緒に済ませてください。連絡が取れなくなったときは、お問い合わせからご相談ください。

3. 管理者はパスキー（指紋・顔認証）でログインする

パスキーは、指紋や顔認証でログインする仕組みです。パスキーは本物のサイトでしか使えないので、パスキーで入る限り、偽のログイン画面にだまされません。 パスワードを打つ場面が減るぶん、だまされる機会そのものも減ります。使えるツールなら、管理者から使い始めるのがよいと思います。

Dagout では Web とアプリの両方でパスキーを使えます。パスキーは個人ごとではなく、チームの管理者として端末ごとに足します。足すのは Web の管理画面の設定「パスキー」からで、スマホでもブラウザで開けば足せます。

足す途中で、確認コードが管理者向け再設定メールに届きます。そのメールを見られない役員は、見られる役員から電話や対面で直接教えてもらってください。

4. 保護者のパスワードと回答リンクは、チームの中だけで共有する

保護者のパスワードや回答リンクは、今の保護者だけが入っているチームの LINE グループの中で回します。誰でも見られる SNS やブログ、他チームとのやり取りには貼りません。退団した家庭は、グループからも外します。「チームの中だけ」を、保護者にも一度伝えておくとよいと思います。

Dagout では、回答リンクを知っている人は名簿の名前と回答を見られます。回答リンクは作られてから最長60日で使えなくなりますが、それまでは、貼った場所が公開なら誰でも開けてしまいます。

5. スマホをなくしたとき、退団のときは、ログインを切る

スマホをなくしたときは、ログインを切れば足ります。退団のときは、ログインを切るだけでなく、保護者のパスワードも作り直します。退団した家庭はパスワードを知ったままなので、切ってもすぐ入り直せるからです。

Dagout では、管理者が Web の管理画面の設定「ログイン中の端末」から、管理者や保護者のログインをまとめて切れます。操作している端末はログインしたままです。保護者のログインを切るときは、招待リンクも作り直せます。

保護者のパスワードを変えた場合も、保護者全員がログインし直しになります。事前に「この日にログインし直してもらいます」と知らせておくとよいでしょう。

Dagoutがしていること

役員の5つと組み合わせて、Dagout 側では次のことをしています。

• 管理者のログインには、パスワードに加えてメールの確認コードが要る（パスキーでも入れる）
• 続けて間違えると、しばらくログインできない。確認コードは10分で切れ、同じコードを試せるのは5回まで
• 通信はすべて暗号化し、パスワードと確認コードはそのままの形では保存しない
• データベースは東京のデータセンターにあり、毎日バックアップして暗号化し、30日分保管している
• 広告は表示しない

詳しくは安全への取り組みにまとめています。

よくある質問

パスキーは管理者全員が登録したほうがいいですか

管理者がログインに使う端末ごとに足すのがおすすめです。パスキーで入る端末は、偽のログイン画面にだまされません。ただ、パスワードと確認コードのログインも残っているので、パスキーを足したあとも、パスワードを求める見慣れない画面には入力しないでください。

保護者にも確認コードは要りますか

要りません。Dagout で確認コードが要るのは管理者のログインだけです。保護者は保護者のパスワードと回答リンクで使うので、保護者側の守りは、その2つと、参加に使う招待リンクをチームの中だけで共有することです。

役員が替わったら何をすればいいですか

順番に3つです。まず確認コードの宛先（管理者向け再設定メール）を、新しい役員が見られるものにする。次に管理者のパスワードを変える。最後に、新しい役員が自分の端末でパスキーを足す。

宛先とパスワードの変更には今の宛先に届く確認コードが要るので、前の役員がいる引き継ぎの場で済ませます。パスワードを変えるとパスキーが全部消えるので、パスキーは最後です。役員全体の引き継ぎは少年野球保護者会の引き継ぎマニュアルにまとめています。

まとめ

名簿が漏れる道筋は、広がりすぎた合言葉、外から届く偽の画面、外に出たリンクの3つです。「気をつけよう」と呼びかけるだけでは、誰が合言葉を知っているかも、リンクがどこに貼られたかも分からないままになります。だからこそ、次の5つを役員の決めごとにしておくのがよいと思います。

• 管理者のパスワードは役員だけで持ち、替わったら変える
• 確認コードの宛先は、役員で引き継げるチーム用のアドレスにする
• 管理者はパスキーでログインする
• 保護者のパスワードと回答リンクは、チームの中だけで共有する
• スマホをなくしたら切る、退団なら切ってパスワードも作り直す

Dagoutでできること

この記事で挙げた確認コード、パスキー、ログインをまとめて切る操作は、Dagout の基本機能に入っていて、ずっと無料で使えます。出欠や配車、名簿も同じ場所で扱えるので、名簿のコピーをあちこちに置かずに済みます。

チームの登録は無料です。無料でチーム登録

ブログ一覧トップへ