テレワークセキュリティ対策の全体像を実務目線で解説

テレワークのセキュリティ対策は、ルール・人・技術の3つを同時に設計することが土台になります。技術対策だけを整えても、運用ルールが曖昧だったり、従業員の理解が伴わなければ、抜け漏れは防げません。

まず結論：テレワーク対策は「ルール・人・技術」の同時設計

総務省ガイドラインの全体像

総務省が2021年5月に公表した「テレワークセキュリティガイドライン（第5版）」では、テレワークにおけるセキュリティ対策を13の対策分類・98項目に整理し、「経営者」「システム・セキュリティ管理者」「テレワーク勤務者」それぞれの立場で実施すべき対策が示されています。また第5版では、ゼロトラストセキュリティの考え方やクラウドサービス活用の視点も新たに盛り込まれました。

▼参照：総務省「テレワークセキュリティガイドライン（第5版）」

経営者・管理者・従業員の役割分担

同ガイドラインが示す通り、テレワークセキュリティは情シス部門だけで完結するものではありません。経営者はリスクを踏まえた方針決定とルール整備を、システム・セキュリティ管理者は技術的対策の実装と運用を、従業員は日々の業務の中でルールを守ることを、それぞれ担う必要があります。

現場で漏れやすい対策ポイント

総務省ガイドラインが示す対策項目は網羅的ですが、実際のインシデントは特定の場所で繰り返し起きています。ここでは、テレワーク環境で特に抜けやすい4つの領域について、対策内容と、管理者が確認しておくべきポイントを整理します。

端末管理とパッチ適用

OSやソフトウェアの更新を放置した端末は、既知の脆弱性を突かれるリスクが高くなります。テレワーク端末は社内ネットワークの外で稼働する時間が長いため、パッチ適用状況を可視化・管理する仕組みが重要です。

オフィス勤務であれば、社内ネットワークに接続した時点で更新が配信されますが、テレワークでは端末が長期間オフィスに戻らないこともあります。「更新は各自で」とすると、業務中の再起動を避けるために先送りされ、数か月前の状態で使い続けられる端末が発生します。

対策の基本は、MDMなどの端末管理ツールを用い、社外にある端末に対しても更新プログラムの適用状況や端末の状態を把握できるようにすることです。あわせて、EDRなどを活用し、端末上の不審な挙動を検知・調査できる体制を整えます。 あわせて、業務に不要なソフトウェアのインストール制限、USBメモリなど外部媒体の利用制限、紛失時のリモートロック・リモートワイプの手順を事前に決めておくことも、端末管理の一部として整理しておく必要があります。

管理者が確認すべき点は、「更新が適用されていない端末を一覧で把握できるか」「最終接続日から一定期間が経過した端末を検知できるか」の2点です。この2つが即答できない状態は、社外にある端末の状態が見えていないことを意味します。

認証・アクセス制御

パスワードのみに依存した認証は突破されるリスクがあるため、多要素認証（MFA）の導入や、アクセス権限の最小化が基本的な対策として求められます。

テレワークでは、社内システムやクラウドサービスへ社外ネットワークからアクセスする機会が増えます オフィスの入口が「物理的な入館」から「ID・パスワード」に置き換わったと考えると、認証の強度がそのまま組織の入口の強度になります。フィッシングや過去の漏洩情報を使ったパスワードリスト攻撃は、正規のID・パスワードでログインしてくるため、ログ上は通常のアクセスと区別がつきにくいのが特徴です。

MFAは、VPNやリモートデスクトップの接続時だけでなく、メールやファイル共有などのクラウドサービスにも適用するのが原則です。特に管理者権限を持つアカウントは最優先の対象になります。あわせて、退職・異動時のアカウント停止、共用アカウントの廃止、業務に必要な範囲に権限を絞る運用を、定期的な棚卸しとセットで回すことが求められます。

管理者が確認すべき点は、「MFAが未設定のまま外部から接続できるサービス・アカウントが残っていないか」「退職者や異動者のアカウントが停止されているか」です。MFAの導入率を数字で追えるようにしておくと、後述するKPIにもそのまま使えます。

自宅Wi-Fi・公衆Wi-Fi・Web会議設定

IPAが公開している「テレワークを行う際のセキュリティ上の注意事項」では、自宅ルーターのファームウェアを最新の状態に保つこと、Web会議サービスを新たに使い始める際は事前に初期設定内容を確認しセキュリティ機能を活用すること、公共の場所ではパソコンの画面を覗き見されないよう注意することなどが挙げられています。

▼参照：IPA「テレワークを行う際のセキュリティ上の注意事項」

自宅のネットワーク環境は会社が直接管理できない領域です。購入時のまま初期パスワードで運用されているルーターや、ファームウェアが更新されていないルーターは、家庭内の他の機器と同じ経路で業務端末をリスクにさらします。

会社としては、ルーターの管理画面のパスワード変更と暗号化方式（WPA2以上）の設定を最低条件として社員に案内し、業務通信は会社が用意したVPNやゼロトラスト型のアクセス基盤を必ず経由する運用にしておくことが現実的な対策です。

公衆Wi-Fiは、通信の盗聴や偽アクセスポイントへの誘導といったリスクがあるため、「原則利用しない」とルール化し、やむを得ない場合はスマートフォンのテザリングを使うか、VPN接続を必須とする形が一般的です。

Web会議については、会議URLやパスコードの共有範囲、待機室機能の有効化、画面共有の許可範囲、録画データの保存先といった初期設定を会社側で標準化しておくことで、参加者ごとの判断のばらつきを減らせます。会議中に別の資料や通知が画面共有で映り込む事故も、テレワークでは典型的なパターンです。

管理者が確認すべき点は、「自宅・外出先の通信について、社員に示している具体的な手順があるか」「Web会議ツールの推奨設定を配布しているか」の2点です。

紙資料・画面の覗き見対策

カフェなど公共の場所での作業では、画面の覗き見だけでなく、Web会議での会話が周囲に聞こえてしまうリスクにも注意が必要です。紙資料を持ち出す場合は、置き忘れや廃棄時の情報漏洩にも配慮が必要です。

技術対策が整っていても、この領域は最終的に「人」の行動に依存するため、ルールの具体性が対策の実効性を決めます。たとえば「公共の場所での作業に注意する」ではなく、「機密区分◯以上の資料は公共の場所で開かない」「Web会議は個室または自宅で行う」「覗き見防止フィルターを貸与端末に標準装着する」といった、判断を挟まない形にしておくことが定着の条件になります。

紙資料については、そもそも持ち出しを許可する範囲を絞ることが第一です。持ち出す場合は、持ち出し記録、自宅での保管場所、シュレッダーなど廃棄方法までを一連のルールとして示し、「印刷しなくても業務が回る」環境を整えることが根本的な対策になります。

家族と同居している場合、画面や書類が家族の目に触れることも、業務情報の観点では外部への露出にあたります。同居者への配慮も含めて社員に案内しておくと、自宅を「安全な場所」と無条件に扱う運用から一歩踏み込めます。

管理者が確認すべき点は、「持ち出し可能な情報の区分と、場所ごとの作業可否をルールで明文化しているか」です。

なぜ対策が定着しないのか

ルール不在・自己判断・BYOD

明確なルールがないまま「各自の判断」に委ねられている状態は、対策が定着しない典型的なパターンです。私物端末（BYOD）の業務利用についても、会社としての方針を明確にしておく必要があります。

端末に業務データを残す運用

端末そのものにデータを保存する運用は、紛失・盗難時にそのまま情報漏洩につながるリスクを抱えています。

テレワークでは、社内のファイルサーバーやクラウドから資料を端末にダウンロードして作業する場面が日常的に発生します。「作業が終わったら削除する」というルールがあっても、ダウンロードフォルダやデスクトップ、メールの添付ファイル、Web会議の録画データなど、意識しないうちに端末内に業務データが蓄積されていくのが実態です。

本人が「重要なデータは端末に置いていない」と認識していても、実際に端末を調べると数か月分の資料が残っている、というケースは珍しくありません。

このリスクが見落とされやすいのは、ここまでの対策がすべて「端末が手元にある状態」を前提にしているためです。パッチ適用も認証もネットワーク対策も、端末が正規の利用者の手にある限りは機能しますが、端末が第三者の手に渡った瞬間、守っているのはディスク暗号化とログインパスワードだけになります。ディスク暗号化は有効な対策ですが、端末内のデータにアクセスできる状態で置き忘れた場合や、パスワードが推測されやすい場合には十分とは言えません。

対策の方向は2つあります。ひとつは、VDIのように業務データを端末に一切保存させない方式です。もうひとつは、端末を使い続けながら、保存されるデータを人が読める形で端末内に残さない方式で、いわゆるデータレスクライアントと呼ばれる考え方です。どちらを選ぶかは後述しますが、共通しているのは「社員が削除を徹底する」という人の努力に頼らず、仕組みとして端末内のデータを漏洩の材料にしない点です。

管理者が確認すべき点は、「貸与端末を今この瞬間に紛失した場合、その端末から何が読み取れるか」を具体的に答えられるかどうかです。この問いに「ディスク暗号化があるので大丈夫」以上の答えが出ない場合、端末内のデータ管理は運用ルール任せになっていると考えられます。端末にデータを残さない方式の全体像は、[データレスクライアントとは]で解説しています。

セキュリティと生産性のトレードオフ

セキュリティを重視するあまり、業務効率が大きく損なわれてしまうと、現場でルールが形骸化しやすくなります。両立を意識した設計が求められます。

漏洩を減らす運用設計

FAQ化して社員が迷わない運用へ

細かなルールを羅列するだけでなく、社員が実際に迷う場面を想定したFAQ形式で整理しておくと、現場での判断のばらつきを減らせます。

端末内に可読データを残さない仕組み

仮に端末を紛失・盗難されても、保護対象の業務データが端末単体では読み取れない状態になっていれば、情報漏洩リスクを低減できます。当社のZENMU Virtual Driveでは、仮想ドライブに保存されたデータを独自の秘密分散技術で無意味化し、PC内とクラウド等に分散保管します。必要な分散ファイルがそろわない限り、PC側の分散ファイルだけから仮想ドライブ内のデータを復元することはできません。

社員教育など「人」への対策だけに依存せず、技術的にも情報漏洩リスクを低減するという発想です。 社員教育など「人」への対策だけに依存せず、技術的にも情報漏洩を防ぐという発想です。

導入前後で見るべきKPI

対策の効果を可視化するため、インシデント報告件数や、パッチ適用率、MFA導入率といった指標を、導入前後で比較できるようにしておくことをおすすめします。

 

 

 

FAQ

Q. 自宅PCを業務に使ってもよいか？

A．会社が許可し、適切なセキュリティ対策（ウイルス対策ソフトの導入、最新のOS状態の維持、業務用アカウントの分離など）が取られている場合に限り、検討の余地があります。ただし、私物端末は会社が管理しきれない部分が多いため、慎重な判断が必要です。可能であれば会社支給端末の利用を基本とし、やむを得ず私物端末を使う場合は、利用範囲や保存できるデータの種類について、事前に社内ルールを明確にしておくことが望まれます。

Q. 公衆Wi-Fi利用時の最重要ポイントは？

A． IPAの注意事項でも挙げられている通り、公衆Wi-Fiを利用する際はVPNを経由する、あるいはファイル共有機能をオフにしておくといった対策が基本です。また、通信の暗号化状況が不明なアクセスポイントでは、業務上の機密情報を扱う操作は避け、やむを得ない場合はスマートフォンのテザリングなど、より信頼できる回線を利用することも選択肢のひとつです。

Q. VDIかローカル保護か、どう判断するか？

A．VDI（仮想デスクトップ）は、データを一切端末に保存させない点で高いセキュリティを実現できますが、導入・運用コストやネットワーク環境への依存度が課題になりやすい方式です。一方、ローカル保護（セキュアFAT）型のアプローチは、既存のPCをそのまま活用しながら、データそのものを無意味化して端末内に読み取れる形で残さない設計により、VDIに近い安全性を、比較的低コスト・短期間で実現しやすい選択肢です。自社の予算やIT運用体制、対象となる業務の性質に応じて、どちらか一方、あるいは両者の使い分けを検討することをおすすめします。

テレワークセキュリティは、総務省やIPAが示す指針を土台にしながら、自社の業務実態に合わせて運用に落とし込んでいくことが欠かせません。次回は、VDIとセキュアFATという2つのアプローチの違いに焦点を当て、それぞれのメリット・デメリットをより具体的に比較していく予定ですので、あわせてご参考にしていただければ幸いです。

自社のテレワーク環境に抜け漏れがないか気になる方は、無料セキュリティ診断をご利用ください。

テレワーク環境の抜け漏れを洗い出す無料診断はこちら