テレワークのセキュリティ対策｜経営者が確認する端末・ID・通信・データ管理

テレワークでは、社員が使う端末や通信環境が会社の外へ広がります。

オフィス勤務と比べると、会社側から利用状況を把握しにくくなるため、社員一人ひとりの注意だけでは見落としが起こりやすくなります。

だからこそ、「誰が何を管理するのか」「何かあったときに誰が判断するのか」を、会社としてあらかじめ決めておくことが大切です。

この記事では、端末、IDと権限、通信、データ、社員への教育と報告経路について、テレワークを安全に続けるために押さえておきたいポイントをご紹介します。

あわせてスタートアップのセキュリティ診断計画も確認しておくと、対策後にWebサイトや業務システムをどこまで診断するか、いつ確認するかを考えやすくなります。

セキュリティー診断さん

家のWi-Fi使うのって危ないの？ 会社と同じように仕事してるだけなのに…。

テレワークでは会社から見えにくい部分が増える

テレワークで注意したいのは、自宅や社外で仕事をすること自体が危険だからではありません。

問題は、端末や通信、ログイン状況、データの保存先が社外へ広がり、会社から状況を把握しにくくなることです。

社員それぞれの判断に任せることが増えるほど、OSの更新忘れや異常の見落とし、報告の遅れにも気づきにくくなります。

そのため、何を誰が確認し、どのように記録するのかを会社で決めておきましょう。

異常が起きたときに、誰がアカウント停止や端末の隔離を判断するのかまで明確にしておけば、いざというときにも動きやすくなります。

テレワークで起こりやすい3つの事故

テレワークでは、偽のログイン画面、会社が管理していない私物端末、安全性を確認しにくい公共Wi-Fiなどが、事故のきっかけになることがあります。

それぞれ、どのような危険があるのか見てみましょう。

偽のログイン画面でIDやパスワードを盗まれる

会社やクラウドサービスを装ったメールから、本物そっくりの偽ログイン画面へ誘導されることがあります。

そこで社員がIDやパスワードを入力してしまうと、攻撃者に業務システムへ不正ログインされるおそれがあるのです。

こうした被害を防ぐには、IDや権限を適切に管理するだけでなく、社員が「怪しいかもしれない」と感じたときにすぐ相談できる環境も欠かせません。

私物端末からマルウェアが入り込む

会社が管理していない私物端末では、OSやソフトウェアが古いまま使われていることがあります。

その端末がマルウェアに感染した状態で業務システムへ接続すると、認証情報や業務データにまで被害が広がりかねません。

私物端末を仕事で使うのであれば、利用できる業務や必要な設定、業務データの保存先などを会社側で決めておくことが大切です。

公共Wi-Fiから情報が漏れる

公共Wi-Fiは、誰が設置しているのか、通信がきちんと守られているのかを利用者が判断しにくい場合があります。

正規のWi-Fiに見せかけた偽のアクセスポイントへ接続してしまうと、通信内容を盗み見られるおそれも否定できません。

だからこそ、公共Wi-Fiを使ってよい条件や、会社が認める接続方法をあらかじめ決めておく必要があります。

社員が判断に迷ったときの相談先も用意し、個人任せにしないルールを整えておきましょう。

セキュリティー診断さん

うわっ、カフェのWi-Fiって便利だからよく使ってた…。 もしかして、僕の見てたデータも誰かに見られてたのかな？

会社で進めるテレワークのセキュリティ対策

会社で管理したい内容は、端末、IDと権限、通信、データ、社員への教育と報告経路の5つに分けると考えやすくなります。

それぞれについて、担当者、確認する内容、記録方法、異常時に判断する人を決めておきましょう。

端末は会社で管理する範囲を決める

会社支給の端末は資産台帳へ登録し、利用者、機種、OS、更新状況を記録しておきます。

更新や暗号化の状態を確認する担当者も決め、確認日と結果を台帳に残しましょう。

私物端末を業務で使う場合は、利用できる業務と必要な設定を会社側で定めることが大切です。

紛失時の連絡先に加え、遠隔ロックや業務アカウントの停止を誰が判断するのかも明確にしておきましょう。

IDと権限は「誰が何を使えるか」を定期的に見直す

業務システムには、パスワード以外の方法でも本人確認を行う「多要素認証」を設定しておくと安心です。

社員に与える権限は担当する業務に必要な範囲へ絞り、入社、異動、退職のタイミングで見直しましょう。

アカウント一覧には、利用者、権限、確認日、停止日を記録しておくと管理しやすくなります。

普段とは異なるログインを誰が確認し、どの段階でアカウントを止めるのかも決めておくことが大切です。

通信方法は社員任せにしない

会社が認める接続方法と、公共Wi-Fiを使ってよい条件を決めておきましょう。

たとえば、会社指定の接続方法を使い、利用できない場合はモバイル回線へ切り替えるといったルールです。

社員が判断に迷ったときの相談先も伝え、通常とは異なる方法で接続した場合は記録を残せるようにしておきます。

データの保存先と持ち出しルールを決める

業務データは、会社が認めたクラウドストレージや業務システムなど、保存してよい場所を明確にしましょう。

私物端末へ保存してよいかどうかや、社員同士・取引先と共有するときの方法も決めておく必要があります。

退職や端末交換の際は、誰がデータの削除を確認するのか、完了日と対象をどう記録するのかまで定めておくと安心です。

社員教育では「迷ったときの連絡先」まで伝える

社員教育では、偽のログイン画面や不審な添付ファイルの見分け方と、判断に迷ったときの相談先を伝えましょう。

普段使っている社内チャットが使えない場合に備え、電話など別の報告方法も用意しておくと安心です。

誤ってパスワードを入力した場合は、操作を止め、決められた窓口へすぐ連絡できるようにしておきます。

誰が報告を受け、誰がアカウントや端末の停止を判断するのかも明確にしておきましょう。

担当者や報告経路は、定期的な見直しが必要です。

事故が起きたときの初動対応

セキュリティ上の異常が疑われる報告を受けたら、慌てて端末を初期化したり、記録を削除したりせず、決めておいた手順に沿って対応しましょう。

1. 発生時刻、利用者、端末、操作内容を聞き取り、社内の対応窓口へ報告します。
2. 関係するアカウントを停止するか、パスワードや認証情報を変更しましょう。
3. 感染や不正操作が疑われる端末は、ネットワークから切り離します。
4. メール、認証、端末、クラウドサービスのログは、上書きされないように保存しておきましょう。
5. アクセスされた情報や、影響を受けた利用者・取引先、業務への影響を確認します。

事故が起きてから誰が判断するのかを決め始めると、対応が遅れるおそれがあります。

報告先や対応を決める責任者、取引先や関係機関へ連絡する条件などは、平時から決めておきましょう。

定期的に訓練を行い、実際に手順どおり動けるか確かめておくことも大切です。

セキュリティー診断さん

ルールを決めるのは大事だね！ でも、自分たちのサイトに弱点があるかなんて、どうやって調べればいいんだろう？

会社で管理する部分とWeb診断で確認する部分

端末、通信ルール、データの保存、社員教育などは、会社が担当者や手順を決めて管理する部分です。

その一方で、社外から使うログイン画面、社員向けWebシステム、Webアプリ、公開APIなどは、専門的に確認しなければわからない弱点もあります。

普段どおりログインして仕事ができていても、認証や権限の不備、想定外の入力に対する弱さまでは簡単に判断できません。

こうした自社だけでは確認しにくい部分は、『セキュリティー診断さん』を活用して専門的に調べることができます。

診断する範囲は、実際にテレワークで利用している公開画面や機能をもとに考えてみましょう。

セキュリティー診断さん

AIがそんなふうに調べてくれるなんてすごい！ これなら自分たちじゃ見つけられない弱点もわかりそうだね！

診断結果を修正と再確認につなげる

診断で問題のある画面や機能が見つかったら、その結果をもとに開発会社や運用会社へ修正を依頼しましょう。

対象の画面、見つかった問題、対応の優先度を共有しておくと、その後のやり取りも進めやすくなります。

修正後は指摘された箇所をもう一度確認し、問題が解消されているか確かめることが大切です。

診断結果、修正依頼、再確認の結果を社内に残しておけば、経営者側でも対応状況を把握しやすいでしょう。

社内ルールとWeb診断でテレワークの安全を守ろう

テレワークでは、端末や通信環境が会社の外へ広がるからこそ、社員任せにせず会社として管理することが大切です。

端末やID、通信、データの扱いについて担当者やルールを決めておけば、異常が起きたときにも対応しやすくなります。

その一方で、ログイン画面やWebシステムなどには、社内の管理だけでは気づきにくい弱点が潜んでいることもあります。

技術面まで自社で判断するのが難しい場合は、『セキュリティー診断さん』を活用し、Webシステムに問題がないか確認してみてください。

社内で守る部分と専門的な診断に任せる部分をうまく分け、安心してテレワークを続けられる環境を整えておきましょう。

セキュリティー診断さん

会社で管理する部分を整えて、Webシステムの弱点は専門診断で確認すればいいんだね！ ヨシ(๑•̀ㅂ•́)و✧