中小企業が始める在宅勤務セキュリティ対策

中小企業が在宅勤務を始めるとき、セキュリティ対策は高価な製品を一度にそろえる話ではありません。まず守る情報、使う端末、接続方法、認証、クラウド利用、事故時の連絡先を決め、社員が迷わず守れる状態にすることが重要です。

この記事は、中小企業の情報システム担当者が、在宅勤務の開始または見直しで優先順位を決めるための実務整理です。IPA の中小企業向けガイドライン、IPA のテレワーク注意事項、NIST のテレワークと BYOD に関する文書、総務省のテレワークセキュリティ資料を確認し、日本企業の小規模な情シス体制でも着手しやすい形に落とし込みます。

• 最初に規程と利用範囲を決め、社員の自己判断を減らす
• 私物端末を使う場合は、会社端末より強い制約を置く
• 多要素認証、端末更新、バックアップは優先度が高い
• VPN だけで安全とは考えず、クラウドと端末の設定も確認する
• 事故時の初動連絡、証跡保全、復旧手順を先に決めておく

まず比較するべき対策領域

在宅勤務セキュリティは、技術だけでなく運用設計の問題です。次の表は、情シス担当者が最初に棚卸しすべき領域を、目的と確認項目に分けたものです。

表で見るべき点は、優先度が高い項目ほど「一度設定すれば終わり」ではないことです。認証や端末更新は、入退社、異動、端末故障、クラウドサービス追加のたびに崩れます。小さな会社ほど担当者が兼務になりやすいため、運用台帳と定期点検の形にして、属人的な記憶に頼らない設計にします。

在宅勤務のリスクは「社外に出る情報」と「社内へ入る経路」に分ける

在宅勤務では、社員が社外ネットワークから業務を行います。これにより、会社が管理しづらい家庭内ルータ、私物端末、公共 Wi-Fi、Web 会議、クラウド共有リンクなどが業務に関わります。情シス担当者は、すべてを一律に禁止するより、リスクを二つに分けると整理しやすくなります。

一つ目は、社外に出る情報です。顧客情報、見積書、設計資料、契約書、従業員情報などが、どの端末に保存され、どのクラウドに置かれ、誰と共有されるかを確認します。二つ目は、社内へ入る経路です。VPN、リモートデスクトップ、クラウド管理画面、メール、業務システムへのログインが該当します。この二つを分けると、「端末をなくしたら何が漏れるか」「認証情報を盗まれたらどこまで入られるか」を具体的に説明できます。

IPA は中小企業向けガイドライン第4.0版で、経営者が認識すべき指針と、社内で対策を実践する手順をまとめています。最新版ではバックアップなどの基本対策も強化されています。Source: IPA 中小企業の情報セキュリティ対策ガイドライン

バックアップを取ることは、在宅勤務でも重要です。端末がランサムウェアに感染した、クラウドのファイルを誤って削除した、退職者が引き継ぎ前にローカル保存していた、といった場面では、予防だけでなく復旧できることが事業継続に直結します。

最初に決めるべき社内ルール

在宅勤務を始める前に、情シス担当者だけで技術設定を進めると、現場とのずれが出やすくなります。総務、人事、法務、部門長と合わせて、社員が守れる粒度のルールを先に決めます。特に中小企業では、規程を大きく作りすぎると更新されなくなります。最初は1枚の利用ルールと、詳細な手順書を分ける形が現実的です。

最低限決める項目は、次の通りです。

1. 在宅勤務で使ってよい端末と禁止端末
2. 業務データを保存してよい場所
3. 印刷、USBメモリ、個人メール転送の可否
4. Web 会議での録画、画面共有、参加者確認
5. 家族共用 PC や共有アカウントの扱い
6. 紛失、誤送信、不審メール、マルウェア疑いの連絡先
7. 退職、異動、長期休職時のアカウント停止手順

ルールは「禁止」だけでなく、代替手段まで書く必要があります。たとえば個人メール転送を禁止するなら、安全にファイルを渡すクラウドストレージや承認済みの共有方法を用意します。USB メモリを禁止するなら、現場が顧客先で資料を渡す場面をどう処理するかまで決めます。現場の例外処理を放置すると、社員は業務を止めないために非公式な方法を選びます。

IPA のテレワーク注意事項でも、提供された環境について所属先の規程やルールに従うこと、不明点はシステム管理者に相談することが示されています。Source: IPA テレワークを行う際のセキュリティ上の注意事項

情シス側の役割は、相談される前提で、判断基準と連絡経路を見える化することです。

端末管理は会社端末を標準にする

在宅勤務の端末は、可能であれば会社が管理する端末を標準にします。会社端末なら、OS 更新、セキュリティソフト、ディスク暗号化、画面ロック、業務アプリ、リモートワイプ、資産台帳を一貫して管理できます。予算上すべてをすぐに会社端末へ置き換えられない場合でも、重要情報を扱う部門から優先します。

私物端末を認める場合は、例外ではなく別ルールとして扱います。家族共用 PC、古い OS、管理者権限を家族が使う端末、業務データのローカル保存が避けられない端末は、事故時の説明が難しくなります。私物端末では、ブラウザ経由のクラウド利用に限定する、ファイルのローカル保存を禁止する、画面ロックと OS 更新を条件にする、会社データの同期を制限するなど、利用範囲を狭く設定します。

NIST SP 800-46 Rev.2 は、組織支給端末と BYOD の両方を対象に、テレワークやリモートアクセス技術の構成要素を想定脅威に対して保護すべきだと説明しています。Source: NIST SP 800-46 Rev.2

日本の中小企業でそのまま全項目を実装する必要はありませんが、「私物だから管理外」という考え方ではなく、業務利用する範囲に応じて条件を決める考え方は有効です。

端末管理で最初に見るべき設定は、次の六つです。OS とアプリの自動更新、マルウェア対策、ディスク暗号化、画面ロック、管理者権限の制限、紛失時の連絡と停止手順です。高度な EDR をすぐ導入できない場合でも、これらを台帳で確認し、未対応端末を業務利用から外すだけでリスクは下げられます。

認証は多要素認証とアカウント棚卸しから始める

在宅勤務では、社外からログインできるサービスが増えます。攻撃者にとっては、VPN、メール、クラウドストレージ、グループウェア、会計システム、リモートデスクトップが入口になります。パスワードだけに頼ると、フィッシング、使い回し、漏えい済みパスワードの悪用に弱くなります。

優先すべき対策は、多要素認証の導入です。全システムへ一度に入れるのが難しい場合は、メール、クラウドストレージ、VPN、管理者アカウントから始めます。管理者アカウントは日常作業用と分け、共有管理者 ID を避けます。退職者、長期休職者、委託先、過去の検証用アカウントも棚卸しします。

認証強化では、社員の負担も設計に含めます。スマートフォンを認証に使う場合、紛失時の再設定、機種変更時の移行、個人端末利用への同意、代替手段を決めておきます。認証アプリを推奨するのか、SMS を許容するのか、ハードウェアキーを使うのかは、リスクと運用負荷のバランスで判断します。

パスワード規程も見直します。複雑すぎて覚えられない定期変更を強いると、メモや使い回しを誘発します。長く推測しにくいパスフレーズ、パスワードマネージャー、漏えい時の即時変更、多要素認証の組み合わせを説明した方が、実務では定着しやすくなります。

VPN とリモートデスクトップは入口管理として扱う

VPN は便利ですが、VPN を入れたから在宅勤務が安全になるわけではありません。VPN 装置の脆弱性、設定不備、弱い認証、不要な社内ネットワーク到達、退職者アカウントの残存があれば、むしろ攻撃者に広い入口を与えることがあります。

VPN を使う場合は、少なくとも次を確認します。多要素認証を有効にする、接続できるユーザーを限定する、不要な社内セグメントへ到達させない、管理画面を外部公開しない、ファームウェアを更新する、ログを保存する、異常な接続元を確認する、委託先アカウントの期限を設定する。リモートデスクトップを使う場合も、直接インターネットへ公開せず、VPN やリモートアクセス基盤を経由させます。

クラウドサービス中心の会社では、VPN よりも ID 管理と端末条件の方が重要になることがあります。たとえば Microsoft 365、Google Workspace、SaaS 型の業務システムを主に使うなら、条件付きアクセス、端末準拠、外部共有制限、監査ログが実効性のある対策になります。社内ファイルサーバへ常時 VPN 接続するより、管理されたクラウドストレージへ移行した方が安全で運用しやすい場合もあります。

総務省のテレワークセキュリティガイドラインは、テレワークを柔軟な働き方として位置づけつつ、セキュリティマネジメントと技術対策を扱う資料として案内されています。Source: NISC サイバーセキュリティポータル

情シス担当者は、通信経路だけでなく、働き方のルール、端末、クラウド、教育を一体で見直す必要があります。

クラウド共有とメール誤送信を管理する

在宅勤務では、ファイル共有とメールが情報漏えいの主要な経路になります。社員が自宅で作業すると、ちょっとした確認のためにファイルを個人メールへ送る、共有リンクを「リンクを知っている全員」にする、Web 会議の録画を広く共有する、といった運用が起きやすくなります。

クラウドストレージでは、外部共有の初期設定を確認します。社外共有を禁止するのか、特定ドメインだけ許可するのか、承認制にするのか、期限付きリンクを使うのかを決めます。共有リンクは便利ですが、後から誰が閲覧できる状態か分からなくなることがあります。重要ファイルは、フォルダ単位で権限を設計し、定期的に外部共有の棚卸しをします。

メールでは、誤送信対策とフィッシング対策を分けます。誤送信には宛先確認、添付ファイルの扱い、送信保留、暗号化よりも安全な共有方法の利用が効きます。フィッシングには多要素認証、不審メール報告ボタン、訓練、ログ確認が必要です。添付ファイルをパスワード付き ZIP にして別メールで送る運用は、受信者の安全性を高めるとは限らず、監査やマルウェア検査を難しくする場合があります。可能なら、アクセス権を制御できる共有リンクへ移行します。

Web 会議も見落としがちな領域です。会議 URL の公開範囲、待機室、録画データ、画面共有権限、参加者名の確認、機密資料を表示する場面をルール化します。会議中に家族や来客が画面や音声に触れる可能性もあるため、社員向けの注意事項は具体例で伝える方が効果的です。

社員教育は短く、繰り返し、相談しやすくする

中小企業の情シス担当者は、教育資料を作る時間を十分に取れないことがあります。それでも、在宅勤務では社員の判断がセキュリティを左右します。教育は年1回の長い研修だけでなく、短い注意喚起を繰り返す形にします。

特に扱うべきテーマは、不審メール、偽のサポート連絡、Web 会議の招待、端末紛失、家庭内 Wi-Fi、個人クラウド、印刷物の処分です。IPA のテレワーク注意事項でも、自宅ルータのファームウェア更新や、公共の場でののぞき見、Web 会議の話し声など、在宅勤務・社外勤務特有の注意点が挙げられています。Source: IPA テレワークを行う際のセキュリティ上の注意事項

教育で避けたいのは、社員に「気をつけてください」だけを求めることです。何を見たら怪しいのか、どこへ報告するのか、報告した社員を責めないこと、誤ってクリックした後に何を止めるべきかを明確にします。早く報告されれば被害を抑えられる可能性があります。遅れる理由が「怒られるから」なら、それは教育ではなく文化の問題です。

社内告知は、業務の言葉で書きます。「ゼロトラスト」「EDR」「CASB」といった用語は、必要な場面以外では前面に出しません。社員には、「会社データを個人の保存先へ置かない」「知らない認証画面でパスワードを入れない」「迷ったらこの窓口へ送る」という行動に落とし込んで伝えます。

事故対応と復旧を開始前に決める

在宅勤務セキュリティでは、事故をゼロにする前提ではなく、起きたときに早く止めて復旧する前提が必要です。中小企業では、専任の CSIRT がないことも多いため、最初は小さな初動手順で十分です。

最低限、次の流れを文書化します。第一に、社員が異常に気づいたら、端末の電源を切るべきか、ネットワークを切るべきか、画面を残すべきかを決めます。第二に、情シス、上長、総務、委託先、経営者への連絡順を決めます。第三に、アカウント停止、パスワード変更、端末隔離、ログ取得、関係先への連絡判断を担当者別に分けます。第四に、復旧後の再発防止として、設定変更、教育、規程改定を記録します。

バックアップは、取得しているだけでは不十分です。復元できること、攻撃者に同時に削除されないこと、復旧に必要なアカウント情報や手順が残っていることを確認します。クラウドサービスのゴミ箱や履歴機能だけに頼ると、保持期間や権限の問題で必要な復旧ができない場合があります。重要データは、頻度、保管先、世代数、復元テストの結果を管理します。

インシデント対応では、法的判断や顧客通知が必要になることもあります。個人情報、取引先秘密、契約上の報告義務が関わる場合は、情シスだけで判断せず、経営、法務、顧問先、必要に応じて専門機関へ相談できる体制にします。この記事は一般的な整理であり、個別の法的判断を置き換えるものではありません。

導入順序の現実的な進め方

限られた予算と人員で始めるなら、在宅勤務セキュリティは三段階で進めます。

第一段階は、現状把握と最低限の統制です。誰が、どの端末で、どのサービスへ、どこからアクセスしているかを棚卸しします。全社員の利用サービス、管理者アカウント、共有フォルダ、外部共有、VPN ユーザー、私物端末利用を一覧にします。そのうえで、多要素認証、退職者アカウント停止、OS 更新、ウイルス対策、画面ロック、重要データの保存先統一を先に実施します。

第二段階は、運用ルールとログ確認です。規程、手順書、問い合わせ窓口、インシデント初動、バックアップ復元テストを整備します。ログはすべてを高度に分析する必要はありません。まずは管理者ログイン、海外からのログイン、外部共有の増加、失敗ログインの急増、退職者アカウントの利用有無を見ます。

第三段階は、仕組みの強化です。端末管理ツール、条件付きアクセス、EDR、セキュアなクラウド移行、ゼロトラスト型のアクセス制御、委託先管理、訓練の定例化を検討します。この段階では製品選定だけでなく、誰が運用するか、アラートを誰が見るか、夜間休日はどうするかを決めます。導入しても見ないアラートは、安心材料にはなりません。

情シス担当者向けチェックリスト

最後に、初回点検で使えるチェックリストをまとめます。すべてを一日で完了させる必要はありません。未対応項目に担当者と期限を付け、経営者にリスクと必要な判断を説明できる状態にします。

• 在宅勤務で扱う情報の重要度を分類している
• 会社端末と私物端末の利用条件を分けている
• OS、アプリ、セキュリティソフトの更新状況を確認している
• メール、クラウド、VPN、管理者アカウントに多要素認証を入れている
• 退職者、委託先、検証用アカウントを棚卸ししている
• VPN やリモートデスクトップを直接公開していない
• クラウドストレージの外部共有を定期確認している
• Web 会議の録画、画面共有、参加者確認のルールがある
• 個人メール転送、個人クラウド保存、USB 利用の扱いを決めている
• 端末紛失、不審メール、誤送信時の連絡先が明確である
• 重要データのバックアップと復元テストを実施している
• 経営者へ、未対応リスクと必要な予算を説明している

まとめ

中小企業の在宅勤務セキュリティは、最初から大企業並みの仕組みを目指すより、守る情報、使う端末、接続経路、認証、共有、復旧を順番に固める方が現実的です。特に、会社端末の標準化、多要素認証、アカウント棚卸し、クラウド共有管理、バックアップ復元テストは、効果が大きく説明もしやすい対策です。

情シス担当者は、技術設定だけを背負う必要はありません。在宅勤務は働き方の設計でもあるため、経営者、総務、人事、法務、各部門長と分担して進めます。大切なのは、社員が迷わず守れるルールにし、事故が起きたときに早く報告され、復旧できる状態を作ることです。

この記事では、2026年4月時点で確認できる一次情報をもとに、中小企業の実務に合わせて整理しました。個別の業種規制、顧客契約、個人情報の扱い、監査要件がある場合は、その条件を優先して追加確認してください。