band アプリ 安全性で検索する場面は、だいたい決まっています。町内会やPTAの連絡を移そうという話が出て、名簿と行事の写真を預けることになり、役員会で「そのアプリは大丈夫なのか」と聞かれた場面です。ここで求められている答えは、漠然とした安心感ではありません。誰に見えるのか、誰が入ってこられるのか、預けたものは消えないのか。この3つに分けて、公開されている仕様で確かめれば、会として説明できる形になります。逆に言えば、この3つを確かめずに始めた会は、半年後に必ずもめます。
安全性という言葉を3つに割る
とりまとめる立場の人が「安全か」と聞かれて答えに詰まるのは、質問が大きすぎるからです。会で扱うのは、住所と電話番号が並んだ名簿、行事で撮った子どもの写真、そして役員だけで共有したい相談ごとです。それぞれ守りたいものが違います。
1つ目は、中身が誰に見えるかです。検索したら出てくるのか、参加していない人が投稿を読めるのか、写真がインターネット上に露出するのか。これはアプリの設定で決まる部分で、設定を間違えれば公開されます。
2つ目は、誰が入ってこられるかです。連絡網に無関係の人が混ざると、名簿がそのまま流出したのと同じ意味になります。入口に関門があるか、承認する人が誰か、承認するときに相手が誰なのか分かるか、という話です。
3つ目は、預けたものが消えないかです。事故として語られるのは流出ばかりですが、実務で困るのは消失のほうが多いです。数年分の行事写真が保存期間の設定で消えた、リーダーが辞めてBandごと無くなった、という相談は珍しくありません。
この3つを混ぜたまま「安全そう」「不安」と言い合っても結論は出ません。役員会でこの話が長引くのは、たいてい誰かが1つ目の話をしていて、別の誰かが3つ目の話をしているからです。議題を分けて、それぞれ設定で解決するのか、会のルールで解決するのかを決めていくと、1回の会議で片が付きます。
もう1つ、最初に言葉を揃えておいたほうがよいことがあります。ここでいう安全性は、事業者がどれだけ立派な対策をしているかという話とは別だという点です。世界中で使われているサービスであれば、通信の暗号化やデータセンターの管理は当然に行われています。それでも会の名簿が漏れるときは、設定が緩かったか、招待リンクが外へ出たか、辞めた人をメンバーから外していなかったか、のいずれかです。会が手を出せる範囲に絞って確認すれば、判断はそれほど難しくありません。以下、順に仕様を確かめます。他のサービスと横に並べて見たいときは、BANDとの比較に、同じ観点で機能を並べた表があります。まずは1つのアプリの中身を押さえてから、比較に進むほうが判断が早くなります。
見える範囲はBandタイプで決まる
BANDでは、グループごとに公開の度合いを3段階から選びます。ここが安全性の土台で、他のどの設定よりも先に確認すべき箇所です。ヘルプセンターには次のように書かれています。
- 秘密Band ・『Bandを探す』でBandと紹介文が検索/公開されず、招待を通じてのみ参加可能です。 ・主に家族/保護者会/オフィス/学校関係などのメンバーが制限されたグループで利用します。 出典: help.band.us
残る2つのうち、一部公開Bandは誰でも検索して見つけられますが、投稿は参加したメンバーしか読めません。ただし「参加前に投稿プレビューを提供」をオンにすると、直近に作成された5つの投稿が参加前の人にも見えます。公開Bandは、参加しなくても投稿を確認できます。
町内会・PTA・部活・教室のように、参加者が決まっている集まりで選ぶべきなのは秘密Bandです。ここを一部公開のまま運用していて、後から「うちの連絡が検索で出るのか」と騒ぎになる例があります。設定は個別Bandの画面右下の歯車から「Band設定」に入り、「設定を変更する」の中の「Bandタイプ」で選びます。
注意すべき点が2つあります。1つは、Bandタイプを変更するとメンバー全員に新しいお知らせが送られること。もう1つは、Band名の公開設定や公開Bandへの設定変更は7日間で2回までという制限があることです。試しに切り替えて戻す、という操作を何度も繰り返すことはできません。最初に決めてから招待を始めるのが正しい順番です。
入口の関門をどこまで作れるか
名簿が漏れる典型は、招待リンクが会の外へ回ることです。BANDには入口を絞る仕組みがいくつか用意されています。
参加条件では、リーダーが性別と年齢を条件にできます。プロフィールに登録された性別や年齢が条件に合わないと参加できません。あわせて「電話番号認証」をオンにすると、参加申請者の一覧に「番号認証済み」と表示されるようになり、電話番号を認証済みの人だけを承認できます。捨てアカウントを弾く関門としては、この番号認証がいちばん効きます。
さらに「メンバー承認設定」の中の「電話番号公開リクエスト」をオンにすると、承認するときに申請者の電話番号を確認できます。町内会の役員が「誰だか分からない申請を承認してよいのか」と迷う場面は多いのですが、番号が見えれば名簿と突き合わせて判断できます。
投稿の側にも関門があります。「メンバーの権限設定」から「投稿自動承認」をオフにすると、リーダーが内容を確認してから投稿が載る形になります。承認待ちの投稿は最大1,000個まで選択して一度に承認や削除ができます。ただし、この設定は日常の連絡には向きません。誰かが投稿するたびにリーダーの承認待ちになり、リーダーが見るまで会に情報が流れなくなるからです。トラブルが起きている期間だけ使う、緊急の弁として持っておく設定だと考えてください。
役員の負担配分も安全性の一部です。サブリーダーは最大50人まで設定でき、運営に必要な権限を分けて渡せます。承認作業を1人に集中させないほうが、確認漏れによる誤承認は減ります。
名簿として何が見えているか
会で預かる情報のうち、いちばん敏感なのが電話番号と誕生日です。BANDではこの2つの表示を、リーダーとメンバーの二段構えで決めます。
リーダー側は、個別Bandの「Band設定」から「メンバーの電話番号・誕生日」を表示するかどうかを設定します。表示に設定した場合に限り、メンバーは自分の携帯番号や誕生日を公開するかどうかを個別に選べます。リーダーが非公開に設定すると、すべてのメンバーの公開範囲が非公開に固定されます。
つまり、名簿としてどこまで見せるかの主導権はリーダーにあります。ここが会の判断どころです。連絡を取り合いやすくするために番号を見せるのか、名簿は役員だけが持つ形にするのか。町内会のように高齢の会員が多い会では、番号を出さない設定にしたうえで、役員が別に紙の名簿を保管している例が多いようです。
もう1つ知っておくべきなのは、1人の利用者が複数のプロフィールを作れることです。Bandごとにプロフィールを設定できるため、仕事用の名前と、地域の集まりで使う名前を分けている人がいます。参加者名簿と表示名が一致しない場合があるので、承認の段階で本名の確認をどうするかは会で決めておいたほうがよいです。運用の型を先に見ておきたい場合は、町内会での使われかたに、名簿と役員の引き継ぎを前提にした進め方をまとめています。
トークの中身は誰が読めるのか
「リーダーは会員同士のやり取りを読めるのか」という質問は、保護者会や部活の連絡でよく出ます。BANDの説明は明確です。
非公開トークルームのやり取りは、そのトークの参加メンバーのみ閲覧可能です。このルールはリーダーおよび共同リーダーにも適用されます。また、非公開トークルーム自体も、参加メンバー以外には表示されません。 出典: help.band.us
読めないことは、会にとって良い面と悪い面の両方があります。良い面は、私的なやり取りが運営側に筒抜けにならないこと。悪い面は、会の中で起きたいざこざの経緯を運営側が確認できないことです。学校関係の集まりでは、後者を重く見て、そもそもメンバー同士が個別のやり取りを始められないようにする例があります。
その場合は「トークに招待できる人」を「リーダーのみ」または「リーダーとサブリーダー」に変更します。一般メンバーは他のメンバーをトークに招待できなくなり、新しいトークルームを作れなくなります。ただし、設定を変更する前に作成されたトークルームでは会話が続きます。運用の途中で締める場合、既にできているルームは残る点に注意してください。
トークルーム自体は3種類あります。Band作成時に自動でできる全員のトークルーム、メンバー全員が入れる公開トークルーム、招待された人だけの個別トークです。公開Bandや一部公開Bandでは、参加前でも公開トークルームの中身を確認できる場合があります。ここも、秘密Bandを選んでおけば悩まずに済む部分です。似た論点でLINEと比べたい場合は、LINEグループとの比較とLINEオープンチャットとの比較に、それぞれの見え方の違いを整理しています。
乗っ取られたときに何が壊れるか
アプリそのものが破られるより、個人のアカウントが乗っ取られるほうが、現実には桁違いに多く起きます。役員のアカウントが取られると、その会のすべての投稿と名簿が相手の手に渡ります。
対策として案内されているのは、まず2段階認証です。普段使っていない機器からログインがあったときに認証手続きが入り、他人のログインを防げます。設定はホームから「設定」に進み、「アカウントのセキュリティ確認」の中の「2段階認証によるログイン」で行います。SMS認証と外部の認証アプリのどちらかを選べます。
もう1つが海外ログイン制限です。オンにすると、海外のIPアドレスからのログインを防げます。国内だけで活動する会の役員には、ほぼ副作用がない設定です。
パスワードについては、他のサイトと同じものを使い回さないことが繰り返し案内されています。乗っ取りの入口は、セキュリティの弱い別のサイトから漏れたパスワードの使い回しであることが多いためです。会としてできるのは、役員に交代するタイミングで、この3点を確認する手順を引き継ぎ書に入れておくことです。役員が代わるたびに一から説明し直すのは現実的ではないので、紙1枚にまとめて渡す形にしておくと続きます。
預けた写真は永久には残らない
安全性の話でいちばん見落とされるのが、保存の条件です。BANDでは添付の種類によって扱いが分かれています。
写真と3分以下の動画は、保存容量を占めていない場合は永久保管とされています。3分を超える大容量動画や一般のファイルは、保存容量の中で永久保管です。そして10MB以上の大容量ファイルとライブ配信は、Band設定の「ファイル・動画保管設定」で選んだ方法で保存されます。選択肢は「30日保存」と「Bandストレージに保存」の2つです。
30日保存を選ぶとストレージは使いませんが、30日間しか確認できません。Bandストレージに保存を選ぶと容量の範囲で保存できますが、容量がいっぱいになると古い順に添付が削除されることがあります。保存期間が満了したファイルや動画は復旧できないと明記されています。
会の記録として残したいものがあるなら、アプリの中だけに置いてはいけません。総会資料、会計の書類、周年行事の写真といった「後から必ず要るもの」は、端末やパソコンに落として別に保管する。この一手間を役員の年間予定に組み込んでおくと、引き継ぎのときに慌てずに済みます。追加の保存容量はアプリ内で有料で購入できますが、追加ストレージの有効期限が切れると、そこに入っていたファイルは一定期間後に削除され、猶予期間は設けられていないとされています。有料で足したから安心、とはならない設計です。
子どもが関わる集まりで確認しておくこと
部活、少年団、教室のように未成年が関わる会では、確認する箇所が増えます。
まず、13歳未満は通常のBANDに登録できません。子ども向けの別アプリが用意されていて、そちらではBandの作成、公開Bandの検索と閲覧、位置情報の共有、有料サービスの利用ができない設計になっています。子ども向けアプリには広告が表示されず、今後も追加される予定はないと案内されています。
通常のBANDについても、18歳未満の利用者には広告が表示されないとされています。保護者側の設定としては「保護者関係設定」があり、18歳未満の子と保護者が連動すると、保護者は子が他のBandを検索できないように設定でき、参加したBandと購読中のページの一覧を確認できます。連動後に子が18歳になると、この関係は自動的に解除されます。
会として決めておきたいのは、子どもの写真の扱いです。誰が撮った写真をどこまで載せるか、卒業や退部のときにどう消すか。この点はアプリの機能ではなく会のルールの問題で、法律の解釈を役員が断定するのは危険です。個人情報の一般的な考え方は個人情報保護委員会が公開しています。実務では、写真の掲載可否を年度初めに保護者へ確認し、その結果を紙で残している会が多いようです。運用の形は学校での使われかたやPTAでの使われかたにも例があります。
会の中で問題が起きたときの手当て
安全性は、事前の設定だけで完結しません。会の中で誰かが不適切な投稿をした、外部から迷惑な書き込みが来た、というときに何ができるかも含めて安全性です。
公開Bandや一部公開Bandでは、クリーンフィルターという仕組みがあります。オンにすると、スパムの可能性が高いコンテンツを自動で非表示にでき、スパムの活動が感知された利用者のコメントや回答が自動的に隠れます。リーダーの投稿や、削除権限を持つサブリーダーの書き込みは非表示になりません。ただし、システムが自動で動くためフィルタリングは正確ではないことがあると明記されています。会の正当な投稿が隠れる可能性もあるので、オンにするなら見落としがないか定期的に確認する運用が要ります。
会の外に対しては、通報の窓口が用意されています。ヘルプセンターには通報センターと権利侵害申告の案内があり、迷惑行為や詐欺、著作権の侵害などを申告する経路がまとめられています。写真を無断で持ち出された、会の資料が他所で使われている、といった相談は、まずここを確認するのが早道です。
会の内側に対しては、段階を踏むのが基本です。まず本人に伝える、次に投稿の承認をオンにして一時的に流れを止める、それでも収まらなければ強制退会という順です。いきなり強制退会に踏み切ると、先に述べたとおり3回で二度と参加できなくなるうえ、会の人間関係にも長く残ります。手当ての順番を役員会で共有しておくと、いざというときに1人の判断で走らずに済みます。
招待の経路を管理できているか
名簿の安全は、入口の設定だけでなく、招待リンクがどこを通って配られたかで決まります。会でよくある事故は、参加を増やしたい一心で招待リンクを回覧板に載せる、掲示板に貼る、地域のメーリングリストへ転送する、といった配り方です。この瞬間に、入口の関門は事実上なくなります。
BAND側にも、招待が無限に広がらないための仕組みがあります。招待リンクには使用期限があり、期限が切れると同じリンクからは参加できません。ヘルプでは、期限切れの表示が出る理由として、招待がキャンセルされた場合、リンクの使用期限が切れた場合、招待を作成したメンバーの権限が変更された場合、招待を作成したメンバーがBandを退会した場合の4つが挙げられています。役員が交代して権限が変わると、その役員が配った古いリンクは使えなくなるということです。会としては、招待は毎年配り直すもの、と考えておくのが現実的です。
招待の回数にも制限があります。1日に招待できる回数には上限があり、これはスパム招待から利用者を守るためのポリシーだと説明されています。新年度に一気に数十人を入れようとして途中で止まる場合、不具合ではなくこの制限に当たっていることがあります。名簿の移行は数日に分けて計画したほうが確実です。
出ていってもらう側の仕組みも確認しておきます。強制退会を実行できるのはリーダーとサブリーダーだけです。強制退会になったメンバーは、再び招待を受けるか、申請して承認されない限り参加できません。そして3回以上の強制退会処分を受けると、二度とそのBandには参加できなくなります。会員資格の話に直結するので、誰が強制退会の権限を持つかは会として決めておくべきです。会費の未納や引っ越しによる退会を、役員の一存で処理してしまうと後で戻せません。
リーダーが動かなくなった会はどうなるか
とりまとめる立場の人が本当に困るのは、流出よりもこちらです。リーダーを引き受けた人が忙しくなって開かなくなる、体調を崩す、転居する。この状態になると、設定を変えることも、新しい人を招待することもできなくなります。
BANDでは、リーダー権限の委任はリーダー本人しか行えません。サブリーダーであっても、リーダーの委任はできない仕組みです。したがって、元気なうちに委任する以外の道は基本的にありません。
ただし救済の道は用意されています。リーダーが長期間アクセスしておらずログイン履歴が確認できない場合、サブリーダーがいるBandは3か月、いないBandは1か月アクセスがなければ、メンバーの合意を得た1名にリーダー権限を委譲できるとされています。手順としては、投票機能で新しいリーダーを選び、その結果を添えてカスタマーセンターへ問い合わせる形です。委譲先のメンバーに活動履歴や委譲履歴の問題があると判断された場合は、申請が却下される可能性があるとも書かれています。また、メンバーから見て活動していないように見えても、実際に接続履歴があればサポートの対象外です。
ここから引き出せる会の運用は1つです。リーダーは1人にせず、サブリーダーを最初から複数置く。役員が代わる会では、これを規約に近い形で決めておくと事故が減ります。
閉じ方も先に決めておきます。Bandを削除すると、中のすべてのコンテンツが削除され、復元できません。削除されたBandはサーバーからも自動的に削除されるため、あらゆるデータが戻らないと明記されています。学年やシーズンが終わって今後の活動予定がない場合は、削除ではなくアーカイブを使う案内になっています。アーカイブすると読み取り専用の状態で保存され、リーダーがいつでも再び有効にできます。年度で入れ替わる集まりほど、この違いを役員会で共有しておく価値があります。
事業者が個人情報をどう扱うと説明しているか
最後に、会社側の説明です。ヘルプセンターには、収集した情報の使い道について次のように書かれています。
BANDは、ユーザーの個人情報を自社または第三者の収益目的で使用することはありません。 今後も、この方針は変わりません。 出典: help.band.us
同じページから、情報保護に関する認証の情報とプライバシーポリシーへのリンクが案内されています。無料で使えるアプリについて「どこで儲けているのか」が気になる場合は、収益の仕組みそのものを確認しておくと納得しやすくなります。BANDについては、コンテンツ販売と広告の2つが事業モデルとして説明されており、その中身は別の記事で扱っています。
会として説明責任を果たすなら、覚えておくべきは次の点です。事業者の方針は方針であって、会の運用の甘さを埋めてくれるものではありません。秘密Bandにしていなかった、番号認証をオンにしていなかった、退会した人をメンバーから外していなかった。実際に起きる問題のほとんどは、この種の運用側の抜けです。
会として決めるときの並べ方
ここまでを、役員会で説明できる順番に並べ直します。
・見える範囲。秘密Bandにする。設定変更の回数制限があるので最初に決める ・入口。参加条件で電話番号認証をオンにし、承認時に番号を確認できるようにする ・名簿。電話番号と誕生日を表示するかをリーダーが決め、会として文書に残す ・私的なやり取り。メンバー同士のトークを許すかを決め、必要ならトーク招待権限を絞る ・アカウント。役員は2段階認証と海外ログイン制限をオンにする ・記録。残すべき資料と写真は、アプリの外にも保管する ・子ども。写真の扱いを年度初めに確認し、紙で残す
この7つが決まれば、会としての説明はできます。決まらないまま人を集め始めると、後から設定を変えるたびに全員へ通知が飛び、混乱します。決めた内容は口頭で共有せず、紙1枚にまとめて引き継ぎ書に綴じてください。役員が代わるたびに設定を確認し直す会と、前任の判断がそのまま残る会では、3年後の状態がまったく違ってきます。
そのうえで、そもそも道具を移すかどうかという判断が残ります。判断材料になるのは、いま困っていることが道具で解決する種類のものかどうかです。流れて消える連絡、毎回同じ説明の繰り返し、役員が代わるたびの引き継ぎ。この3つが理由なら、道具を変える価値はあります。単に「安全そうな名前のものに替えたい」だけなら、いま使っているものの設定を締めるほうが早く終わります。
他のサービスと横に並べて考えるなら、いくつか出発点があります。写真の共有が中心ならFacebookグループとの比較が近く、若い世代が多い集まりならDiscordとの比較で通知と権限の考え方の違いを確かめられます。習い事や教室のように、参加者と主催者の関係がはっきりしている集まりは教室での使われかた、学年や班で分ける形を知りたい場合はサークルでの使われかたが参考になります。判断の途中で出てくる細かい疑問はよくある質問にまとまっているので、役員会の前に一度目を通しておくと、その場での質問に答えやすくなります。
道具を移すと決めた場合も、いきなり全員を動かさないほうが安全です。役員だけで1か月使い、行事を1つ通してみて、そこで出た困りごとを設定に反映してから会員に案内する。この順番なら、会員に対して「使い方が分からない」という質問に役員が答えられる状態で始められます。移行の途中で古い連絡手段を残しておくかどうかも、先に期限を決めておくと引きずりません。
最後にもう一度だけ。安全性の議論は、アプリの評判ではなく設定の話です。同じアプリでも、秘密Bandで番号認証を入れた会と、公開Bandのまま招待リンクを回覧板で配った会では、まったく別の危険度になります。会として決められるのは後者の部分で、そこが決まっていれば、どの道具を選んでも説明はできます。
Q1. BANDは会の名簿を預けても大丈夫ですか？
アプリの仕様よりも、会の設定次第です。秘密Bandにして検索されない状態にし、参加条件で電話番号認証をオンにして、承認時に申請者の番号を確認できるようにすれば、無関係の人が入る余地はかなり狭まります。電話番号と誕生日を一覧で見せるかどうかはリーダーが決められるので、会として方針を文書に残しておくことをおすすめします。
Q2. リーダーはメンバー同士のトークを読めますか？
読めません。非公開トークルームのやり取りは参加メンバーだけが見られ、リーダーと共同リーダーにも同じルールが適用されると案内されています。運営として個別のやり取りを発生させたくない場合は、トークに招待できる人をリーダーのみに絞る設定があります。ただし設定変更より前に作られたルームでは会話が続きます。
Q3. 行事の写真はずっと残りますか？
条件によります。写真と3分以下の動画は保存容量を占めていなければ永久保管とされますが、10MB以上の大容量ファイルやライブ配信は「30日保存」か「Bandストレージに保存」を選ぶ形で、30日保存を選ぶと30日間しか見られません。ストレージが一杯になると古い順に削除されることもあるため、残したい資料は端末にも保管してください。
Q4. 子どもが使う場合に注意することはありますか？
13歳未満は通常のBANDに登録できず、子ども向けの別アプリを使う形になります。そちらではBandの作成や公開Bandの検索ができず、広告も表示されません。18歳未満の利用者には通常のBANDでも広告が表示されないとされています。保護者と連動する設定もあるので、会として写真の掲載可否を年度初めに確認しておくと安全です。