テレワークのセキュリティ対策｜経営者が確認する端末・ID・通信・データ管理

テレワークでは、社員が使う端末や通信環境が会社の外へ広がります。

オフィス勤務と比べると、会社側から利用状況を把握しにくくなるため、社員一人ひとりの注意だけでは見落としが起こりやすくなります。

だからこそ、「誰が何を管理するのか」「何かあったときに誰が判断するのか」を、会社としてあらかじめ決めておくことが大切です。

この記事では、端末、IDと権限、通信、データ、社員への教育と報告経路について、テレワークを安全に続けるために押さえておきたいポイントをご紹介します。

あわせてスタートアップのセキュリティ診断計画も確認しておくと、対策後にWebサイトや業務システムをどこまで診断するか、いつ確認するかを考えやすくなります。

セキュリティー診断さん

家のWi-Fi使うのって危ないの？ 会社と同じように仕事してるだけなのに…。

テレワークでは会社から見えにくい部分が増える

テレワークで注意したいのは、自宅や社外で仕事をすること自体が危険だからではありません。

問題は、端末や通信、ログイン状況、データの保存先が社外へ広がり、会社から状況を把握しにくくなることです。

社員それぞれの判断に任せることが増えるほど、OSの更新忘れや異常の見落とし、報告の遅れにも気づきにくくなります。

そのため、何を誰が確認し、どのように記録するのかを会社で決めておきましょう。

異常が起きたときに、誰がアカウント停止や端末の隔離を判断するのかまで明確にしておけば、いざというときにも動きやすくなります。

テレワークで起こりやすい3つの事故

テレワークでは、偽のログイン画面や私物端末、公共Wi-Fiなどが、思わぬセキュリティ事故のきっかけになることがあります。

具体的にどのような危険があるのか、3つの例を見てみましょう。

1. 偽のログイン画面でIDやパスワードを盗まれる

会社やクラウドサービスを装ったメールから、本物そっくりの偽ログイン画面へ誘導されることがあります。

そこで社員がIDやパスワードを入力してしまうと、攻撃者に業務システムへ不正ログインされるおそれがあるのです。

こうした被害を防ぐには、IDや権限を適切に管理することはもちろん、社員が「怪しいかも」と感じたときに、気軽に相談できる環境も大切です。

2. 私物端末からマルウェアが入り込む

会社が管理していない私物端末では、OSやソフトウェアが古いまま使われていることがあります。

もし、その端末がマルウェア（悪意のあるプログラム）に感染した状態で業務システムへ接続すると、ログイン情報や業務データにまで被害が広がるかもしれません。

私物端末を仕事で使う場合は、利用できる業務や必要な設定、データの保存先などを会社で決めておくと安心です。

3. 公共Wi-Fiから情報が漏れる

カフェや駅などで使える公共Wi-Fiは便利ですが、誰が設置しているのか、通信が安全に守られているのかを判断しにくい場合があります。

なかには、正規のWi-Fiに見せかけた偽物もあり、知らずに接続すると通信内容を盗み見られるおそれもあるのです。

そのため、公共Wi-Fiを利用してよい条件や、会社が認める接続方法をあらかじめ決めておきましょう。

社員が迷ったときに相談できる窓口も用意しておけば、より安心です。

セキュリティー診断さん

うわっ、カフェのWi-Fiって便利だからよく使ってた…。 もしかして、僕の見てたデータも誰かに見られてたのかな？

会社で進めるテレワークの5つのセキュリティ対策

テレワークのセキュリティ対策をするうえでまず押さえておきたいのは、端末、IDと権限、通信、データ、社員教育と報告先の5つです。

それぞれについて、担当者、確認する内容、記録方法、異常時に判断する人を決めておきましょう。

1. 端末は会社で管理する範囲を決める

会社支給の端末は資産台帳へ登録し、利用者、機種、OS、更新状況を記録しておきます。

更新や暗号化の状態を確認する担当者も決め、確認日と結果を台帳に残しましょう。

私物端末を業務で使う場合は、利用できる業務と必要な設定を会社側で定めることが大切です。

紛失時の連絡先に加え、遠隔ロックや業務アカウントの停止を誰が判断するのかも明確にしておきましょう。

2. IDと権限は「誰が何を使えるか」を定期的に見直す

業務システムには、パスワード以外の方法でも本人確認を行う「多要素認証」を設定しておくと安心です。

社員に与える権限は担当する業務に必要な範囲へ絞り、入社、異動、退職のタイミングで見直しましょう。

アカウント一覧には、利用者、権限、確認日、停止日を記録しておくと管理しやすくなります。

普段とは異なるログインを誰が確認し、どの段階でアカウントを止めるのかも決めておくことが大切です。

3. 通信方法は社員任せにしない

会社が認める接続方法と、公共Wi-Fiを使ってよい条件を決めておきましょう。

たとえば、会社指定の接続方法を使い、利用できない場合はモバイル回線へ切り替えるといったルールです。

社員が判断に迷ったときの相談先も伝え、通常とは異なる方法で接続した場合は記録を残せるようにしておきます。

4. データの保存先と持ち出しルールを決める

業務データは、会社が認めたクラウドストレージや業務システムなど、保存してよい場所を明確にしましょう。

私物端末へ保存してよいかどうかや、社員同士・取引先と共有するときの方法も決めておく必要があります。

退職や端末交換の際は、誰がデータの削除を確認するのか、完了日と対象をどう記録するのかまで定めておくと安心です。

5. 社員教育では「迷ったときの連絡先」まで伝える

社員教育では、偽のログイン画面や不審な添付ファイルの見分け方と、判断に迷ったときの相談先を伝えましょう。

普段使っている社内チャットが使えない場合に備え、電話など別の報告方法も用意しておくと安心です。

誤ってパスワードを入力した場合は、操作を止め、決められた窓口へすぐ連絡できるようにしておきます。

誰が報告を受け、誰がアカウントや端末の停止を判断するのかも明確にしておきましょう。

担当者や報告経路は、定期的な見直しが必要です。

事故が起きたときの初動対応

セキュリティ上の異常が疑われる報告を受けたら、慌てて端末を初期化したり、記録を削除したりせず、決めておいた手順に沿って対応しましょう。

1. 発生時刻、利用者、端末、操作内容を聞き取り、社内の対応窓口へ報告します。
2. 関係するアカウントを停止するか、パスワードや認証情報を変更しましょう。
3. 感染や不正操作が疑われる端末は、ネットワークから切り離します。
4. メール、認証、端末、クラウドサービスのログは、上書きされないように保存しておきましょう。
5. アクセスされた情報や、影響を受けた利用者・取引先、業務への影響を確認します。

事故が起きてから誰が判断するのかを決め始めると、対応が遅れるおそれがあります。

報告先や対応を決める責任者、取引先や関係機関へ連絡する条件などは、平時から決めておきましょう。

定期的に訓練を行い、実際に手順どおり動けるか確かめておくことも大切です。

セキュリティー診断さん

ルールを決めるのは大事だね！ でも、自分たちのサイトに弱点があるかなんて、どうやって調べればいいんだろう？

会社で管理する部分とWeb診断で確認する部分

ここまでご紹介した端末や通信、データの管理、社員教育などは、会社でルールや担当者を決めて対策できる部分です。

ですが、社外から使うログイン画面や社員向けWebシステム、Webアプリ、公開APIなどには、専門家でなければ気づきにくい弱点が潜んでいることもあります。

普段どおりログインして仕事ができていても、セキュリティ面まで安全とは限らないのです。

こうした自社では見つけにくい弱点を調べたいときに役立つのが、AIを活用した『セキュリティー診断さん』です。

専門的な知識がなくても、Webサイトや業務システムの弱点を調べられるので、テレワークで利用している画面や機能の安全性が気になる場合は、ぜひ活用してみてください。

診断結果を修正と再確認につなげる

診断で問題のある画面や機能が見つかったら、その結果をもとに開発会社や管理を任せている会社へ修正を依頼しましょう。

どの画面に問題があるのか、何を優先して直すべきかを伝えておくと、やり取りもスムーズです。

修正後は、指摘された問題がきちんと解消されているか、もう一度確認しておくと安心です。

診断結果や修正の状況を社内に残しておけば、対応がどこまで進んでいるのかも把握しやすくなります。

社内ルールとWeb診断でテレワークの安全を守ろう

テレワークでは、社員が会社の外で仕事をするからこそ、個人任せにせず、会社として安全を守ることが大切です。

端末やID、通信、データの扱いについてルールや担当者を決めておけば、万が一のときにも落ち着いて対応しやすくなります。

また、ログイン画面やWebシステムには、社内の管理だけでは見つけにくい弱点が潜んでいることもあります。

「自社のWebシステムは本当に安全なのかな？」と不安を感じたら、ぜひ『セキュリティー診断さん』を活用してみてください。

社内でできる対策と専門的なセキュリティ診断を組み合わせて、社員が安心してテレワークを続けられる環境を整えていきましょう。

セキュリティー診断さん

会社で管理する部分を整えて、Webシステムの弱点は専門診断で確認すればいいんだね！ ヨシ(๑•̀ㅂ•́)و✧