テレワークセキュリティガイドライン(第4版)とは？立場別の対策と現行・第5版での変更点を解説

テレワークのルールや技術対策を整えるとき、よりどころになるのが総務省の「テレワークセキュリティガイドライン」です。企業が何を備えればよいかを、経営者・システム管理者・勤務者それぞれの立場や、テレワークの方式ごとに整理した公的な資料として広く参照されています。

ただし「第4版」で情報を探している場合は、一点だけ先にお伝えすべきことがあります。第4版は2018年（平成30年）4月に公表された版で、現在の最新版は2021年（令和3年）5月に公表された第5版です。第4版をもとに自社ルールを固めてしまうと、その後に見直された内容（テレワーク方式の再整理や、ゼロトラスト〈社内外を問わず常に検証する考え方〉・クラウド利用を踏まえた見直し）を取りこぼしかねません。

この記事では、第4版の中身（章構成・立場別の対策・テレワーク方式ごとの注意点）を押さえたうえで、第5版で何が変わったのか、いま自社はどちらを基準に備えればよいのかまでを解説します。あわせて、ガイドラインが求める技術対策を実際に実現するサービスも紹介します。

テレワークセキュリティガイドライン（第4版）とは

テレワークセキュリティガイドライン（第4版）とは、総務省が2018年（平成30年）4月に公表した、テレワークを導入する企業が情報セキュリティ対策を検討するための補助資料です。守るべき対策を一律に義務づけるものではなく、基本的なテレワーク形態で想定される危険性をもとに、モデルケースとしての対策例を示す位置づけになっています。

本ガイドラインで示した内容は、あくまでも基本的なテレワーク形態において想定される危険性を前提に、モデルケースとしての対策等を例示するものであり、様々な形で実施されるテレワークのすべてにおいて、ここに示したような情報セキュリティ対策を行わなければならないというものではありません。

出典：テレワークセキュリティガイドライン 第４版｜総務省

第4版の基本的な考え方は現行の第5版にも引き継がれているため、第4版を読む意義は今もあります。ただし実際の対策設計では、後述する第5版の見直し内容まで押さえておくと確実です。

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第４版｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）

ガイドラインの版の履歴（初版2004年〜第5版2021年）

テレワークセキュリティガイドラインは2004年の初版以降、テレワークの普及やサイバー攻撃の動向に合わせて改訂を重ねてきました。版の履歴は次のとおりで、2026年11月時点の最新版は第5版です。

原本や概要版、中小企業向けの手引き（チェックリスト）は、いずれも総務省の「テレワークにおけるセキュリティ確保」のページから入手できます。解説だけで済ませず、総務省の原本にあたっておくと確実です。各版の原本には、次のリンクから直接アクセスできます。

出典・参考資料（5件）

• 参考資料：テレワークにおけるセキュリティ確保｜総務省（https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/）
• 参考資料：テレワークセキュリティガイドライン 第４版（PDF）｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）
• 参考資料：テレワークセキュリティガイドライン 第５版（PDF）｜総務省（https://www.soumu.go.jp/main_content/000752925.pdf）
• 参考資料：テレワークセキュリティガイドライン 第５版 概要版（PDF）｜総務省（https://www.soumu.go.jp/main_content/000752926.pdf）
• 参考資料：中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）第３版（PDF）｜総務省（https://www.soumu.go.jp/main_content/000816096.pdf）

第4版の章構成と対策の考え方

ここからは、第4版が企業に何を求めているのかを、原本の章立てに沿って見ていきます。第4版は大きく3つの章で構成されています。

1. テレワークにおける情報セキュリティ対策の考え方（「ルール」「人」「技術」のバランス、方法に応じた対策の考え方、経営者・システム管理者・テレワーク勤務者それぞれの立場）
2. テレワークセキュリティ対策のポイント（経営者・システム管理者・テレワーク勤務者が実施すべき対策）
3. テレワークセキュリティ対策の解説（6分類ごとの具体的な対策）

対策の考え方は「ルール」「人」「技術」のバランス

第4版が最初に示すのは、「ルール」「人」「技術」のバランスがとれた対策を実施するという考え方です。技術的な仕組みを導入するだけでは守りきれず、社内ルールの整備と、従業員一人ひとりの理解・行動がそろって初めて実効性が出る、という前提に立っています。システム管理者による技術対策だけに頼らない姿勢が、ガイドライン全体を貫く基本方針です。

対策の解説は6つの分類で整理

第3章の「テレワークセキュリティ対策の解説」では、具体的な対策が次の6つに分類されています。自社のテレワーク環境で、どの分類の対策が手薄になっているかを確認する手がかりになります。

• 情報セキュリティ保全対策の大枠
• マルウェアに対する対策
• 端末の紛失・盗難に対する対策
• 重要情報の盗聴に対する対策
• 不正アクセスに対する対策
• 外部サービスの利用に対する対策

第4版では各対策を重要度で2段階に分け、すべての関係者が実施すべき「基本対策事項」と、後回しにしても構わないが実現できれば望ましい「推奨対策事項」として示しています。まず基本対策事項から着手するという優先順位づけがしやすい構成です。

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第４版｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）

立場別の対策（経営者・システム管理者・テレワーク勤務者）

ここからは、第4版の第2章「テレワークセキュリティ対策のポイント」をもとに、立場ごとの主な役割を整理します。自分の立場の行から読むと、何を担うべきかを素早く確認できます。

原本では、これらの役割が6つの対策分類ごとにさらに細かく整理されています。たとえば経営者の対策として、次のように明記されています。

経営者は、テレワークの実施を考慮した情報セキュリティポリシーを定め定期的に監査し、その内容に応じて見直しを行う。

出典：テレワークセキュリティガイドライン 第４版 ２. テレワークセキュリティ対策のポイント｜総務省

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第４版｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）

テレワーク方式ごとの注意点

ここからは、テレワークの方式ごとの考え方を見ていきます。第4版は、テレワークの方法を分類したうえで、方式に応じて必要な対策が変わると説明しています。分類の軸は原本で次のように示されています。

ここでは、「テレワーク端末への電子データの保存の有無」と「オフィスで利用する端末との関係」と「クラウドサービスを利用するかどうか」をもとに、次のような６種類のパターンに分類します。

出典：テレワークセキュリティガイドライン 第４版 １. テレワークにおける情報セキュリティ対策の考え方｜総務省

第4版が整理する6つの方式と、手元の端末にデータが残りやすいかどうかの傾向は次のとおりです。端末にデータが残りにくい方式ほど、紛失・盗難時の情報漏えいリスクは下げやすくなります。

自社がどの方式を採っているかによって、重点的に備えるべき対策は変わります。端末にデータが残る方式ほど、紛失・盗難への備えの優先度が高くなります。

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第４版｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）

第4版から第5版への主な変更点

ここからは、第4版から現行の第5版（2021年5月公表）で何が変わったのかを整理します。第5版は、クラウド活用やサイバー攻撃の高度化を踏まえて全面的に見直され、第4版の3章構成から6章構成へと再編されました。主な変更点は次のとおりです。

• テレワーク方式を7種類に再整理：第4版の6方式を見直し、VPN方式・リモートデスクトップ方式・仮想デスクトップ（VDI）方式・セキュアコンテナ方式・セキュアブラウザ方式・クラウドサービス方式・スタンドアロン方式の7方式に整理した
• 方式選定のフローチャートを新設：自社に合う方式を検討しやすいよう、選定の手順が追加された
• 方式の特性比較表を追加：各方式を、オフィス業務の再現性・通信集中時の影響度・システム導入コスト・システム導入作業負荷・セキュリティ統制の容易性という5軸で、S・A・B・C・Dの5段階評価で比較できるようにした
• 対策を13分類に再整理：共通の対策を、ガバナンス・リスク管理、資産・構成管理、脆弱性管理、特権管理、データ保護、マルウェア対策、通信の保護・暗号化、アカウント・認証管理、アクセス制御・認可、インシデント対応・ログ管理、物理的セキュリティ、脅威インテリジェンス、教育というA〜M・13分類に組み替え、立場別に整理し直した
• 対策の区分を変更：第4版の「基本対策事項／推奨対策事項」から、第5版では「基本対策／発展対策」へと区分の呼び方が変わった
• トラブル事例を15種類に全面更新：VPN機器の脆弱性の放置やランサムウェア、クラウドサービスの設定ミス、サプライチェーンなど、近年の事例に入れ替えて解説している

方式の再整理については、第5版が次のように理由を説明しています。

第４版において「会社PCの持ち帰り方式」としていたものについて、VPN接続を行う場合とスタンドアロンで業務を行う場合とで、セキュリティ上の考慮事項が異なることから分類を細分化したほか、一部の名称についてより理解しやすい方式名に変更しています。

出典：テレワークセキュリティガイドライン 第５版 第３章 テレワーク方式の解説｜総務省

クラウド活用とゼロトラストの考え方を追加

第5版で特に大きいのが、クラウドサービスの活用とゼロトラストセキュリティの考え方が加わった点です。社外からのアクセスが前提になり、社内ネットワークの内と外という境界だけで守る発想に限界が出てきたことを背景に、第4版にはなかった観点が盛り込まれました。第5版は次のように述べています。

また、近年のテレワークを取り巻く環境やセキュリティ動向の変化を踏まえ、クラウドサービスの活用やゼロトラストセキュリティに関する考え方も示しています。

出典：テレワークセキュリティガイドライン 第５版｜総務省

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第５版｜総務省（https://www.soumu.go.jp/main_content/000752925.pdf）

いま自社が沿うべき版と対策

第4版と第5版、どちらを基準にすべきか

結論として、これから自社のルールや対策を整えるなら、基準にすべきは現行の第5版です。第4版は、ルール・人・技術のバランスや立場別の対策といった基本的な考え方を理解するうえで今も参考になりますが、方式の再整理やクラウド・ゼロトラストを踏まえた見直しは第5版にしか反映されていません。第4版は経緯として押さえ、実際の対策設計は第5版に合わせましょう。

第5版そのものの対策項目一覧や、自社が具体的に何をやればよいかは、第5版を単独で扱った次の記事で詳しく解説しています。第4版から乗り換えるときの確認にも使えます。

ルール・人・技術への落とし込み

ガイドラインが求める対策は、「ルール」「人」「技術」の3つに分けて自社に落とし込むと整理しやすくなります。ルールは規程やポリシーの整備、人は従業員教育と周知、技術は実際の仕組みの導入です。

このうちルール面では、ガイドラインの内容を自社の規程に落とし込む作業が要になります。規程に盛り込むべき項目や作り方、チェックリストは、次の記事で具体的にまとめています。

人の面では、ルールを守れるようにする従業員教育と周知が欠かせません。なぜその対策が必要かを勤務者に具体的に伝え、定期的に研修する運用が実効性を支えます。

技術面では、ガイドラインが求める対策のカテゴリに照らすと、次のような備えが要点になります。いずれも第5版の対策分類（アカウント・認証管理、アクセス制御・認可、データ保護、インシデント対応・ログ管理、マルウェア対策など）に対応するものです。

• 多要素認証とアクセス制限による、不正アクセス・なりすましへの備え
• 端末にデータを残さない仕組みによる、紛失・盗難時の情報漏えい対策
• 操作ログの記録・可視化による、内部不正の抑止と状況把握
• 端末向けセキュリティソフトによる、マルウェア・ランサムウェア対策

次の章では、これらの技術対策を実際に実現する具体的なサービスを紹介します。

ガイドラインの対策を実現するサービス

ここからは、前章で挙げた技術対策を実現するサービスを、ガイドラインが求める対策と対応づけて紹介します。認証強化・アクセス制限なら「アカウント・認証管理／アクセス制御・認可」、端末にデータを残さない仕組みなら「データ保護」、操作ログなら「インシデント対応・ログ管理」、端末向けセキュリティソフトなら「マルウェア対策」に対応します。それぞれの概要は次の比較表のとおりです。

※2026年11月時点の各社公式情報にもとづく

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、国産で自社開発されたクラウド型のID基盤（IDaaS）です。シングルサインオン（一度の認証で複数のクラウドサービスへアクセスする仕組み）を軸に、多要素認証やパスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理までをまとめて提供します。第5版の対策分類では「アカウント・認証管理」「アクセス制御・認可」に正面から対応するサービスです。

特徴的なのが、端末・場所・時間の3つの軸で設定できる柔軟なアクセス制限です。私用端末からのアクセスを禁止したり、特定の拠点や時間帯に限定したりと、テレワークで広がりがちなアクセス経路を細かく制御できます。認証方式もパスキーによるパスワードレスに対応し、フィッシングに強い仕組みを選べます。公式サイトでは導入実績1,400社以上と案内されています（2026年11月時点）。

提供元であるインターナショナルシステムリサーチの担当者は、ガイドライン準拠に関する導入相談の傾向について、次のように話しています。

2. Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）

Eye”247″ Work Smart Cloudは、PCの操作ログから「誰が・いつ・どこで・どれだけ・何を操作したか」を記録・可視化するクラウド型のサービスです。情報漏えい対策やIT資産管理に加え、ログにもとづく客観的な労働時間の把握にも使えます。第5版の対策分類では「インシデント対応・ログ管理」にあたり、ログの記録による内部不正の抑止に対応します。

テレワークでは管理者の目が届きにくくなるため、誰がどの情報にアクセスしたかを記録しておくことが、内部不正の抑止と、万一の際の原因究明の両面で役立ちます。初期費用は無料で、契約台数に応じた1台あたりの月額従量制を採っています。導入実績は3,000社以上と公表されています（2026年10月時点）。

3. Eye”247″ Safety Zone（株式会社フーバーブレイン）

Eye”247″ Safety Zoneは、EPP（ウイルス対策などの防御）とEDR（侵入後の検知・対応）を組み合わせた、端末向けのセキュリティソフトです。Bitdefenderと共同開発したエンジンを採用し、第5版の対策分類では「マルウェア対策」に対応します。テレワークで社外に出る端末を、攻撃の入口として守る役割を担います。

アプリケーションの動作を常時監視する振る舞い検知や、ランサムウェアの動作を監視してファイルを自動でバックアップする機能を備えます。フィッシングサイトの自動ブロックや、時間帯を指定できるWebアクセスの制御にも対応し、専任のセキュリティ担当者を置きにくい中小企業でも扱いやすい構成です。

4. Shadow Desktop（アップデータ株式会社）

Shadow Desktopは、PC内のユーザーデータをクラウドなどの外部ストレージへ自動的に退避し、PC本体にデータを物理的に残さない「データレスクライアント」です。既存のWindows PCにインストールして使え、仮想デスクトップ（VDI）のようなサーバー構築を必要としない点が特徴です。第5版の対策分類では「データ保護」にあたり、端末の紛失・盗難時の情報漏えい対策に対応します。

手元の端末にデータが残らないため、PCを紛失・盗難しても情報漏えいのリスクを抑えられます。ダウンロードしたファイルの一時キャッシュは暗号化され、管理コンソールから端末の利用停止も行えます。私物端末（BYOD）では業務用と私物のデータを混在させずに使える設計で、持ち帰りや私物利用のテレワークに向いています。

ここで挙げたのは、ガイドラインの対策に対応するサービスの一例です。認証強化・端末のデータレス化・操作ログ・マルウェア対策など、守りたい対象ごとにどんなタイプのサービスがあり、どう選べばよいかを一覧で比較したい場合は、社内セキュリティソリューション全体を整理した次の記事が参考になります。

まとめ

テレワークセキュリティガイドライン（第4版）は、総務省が2018年に公表した、テレワーク導入時の情報セキュリティ対策例を示す補助資料です。ルール・人・技術のバランスという考え方のもと、経営者・システム管理者・テレワーク勤務者の立場別の対策と、方式ごとの注意点を整理しています。

ただし現行の最新版は2021年5月の第5版で、方式の再整理やゼロトラスト・クラウドを踏まえた見直しが加わっています。これから自社のルールや対策を整えるなら、第4版の考え方を踏まえつつ、基準は第5版に合わせるのが安全です。

ガイドラインが求める技術対策は、認証強化・端末のデータレス化・操作ログの可視化・マルウェア対策といった具体的なサービスで実現できます。まずは資料を取り寄せ、自社の方式と立場に合う対策から着手してみてください。

よくあるご質問（FAQ）

Q. テレワークセキュリティガイドラインとは何ですか？

A. テレワークセキュリティガイドラインとは、総務省がテレワーク導入企業向けに、情報セキュリティ対策の考え方と具体例をまとめた公的な資料です。守るべき対策を一律に義務づけるものではなく、経営者・システム管理者・テレワーク勤務者の立場別、テレワーク方式別に、推奨される対策をモデルケースとして示しています。2004年の初版以降、テレワークの普及やサイバー攻撃の動向に合わせて改訂を重ねてきました。

Q. テレワークセキュリティガイドラインの最新版は第何版ですか？第6版は出ていますか？

A. テレワークセキュリティガイドラインの最新版は、2021年（令和3年）5月に公表された第5版です（2026年11月時点）。第6版は公表されておらず、第4版（2018年4月）は現行の最新版ではありません。第5版では、クラウド活用やゼロトラストセキュリティを踏まえた見直しが加えられているため、これから対策を整えるなら第5版を確認しておくと安心です。

Q. テレワークセキュリティガイドライン第4版の原本（PDF）はどこでダウンロードできますか？

A. テレワークセキュリティガイドライン第4版の原本PDFは、総務省の「テレワークにおけるセキュリティ確保」ページから無料でダウンロードできます。同ページには第4版・第5版の原本のほか、概要版や中小企業向けの手引き（チェックリスト）もまとまっています。解説記事で概要を掴んだうえで、総務省の原本にあたっておくと確実です。

出典・参考資料（1件）

• 出典：テレワークにおけるセキュリティ確保｜総務省（https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/）

Q. テレワークセキュリティガイドラインに法的拘束力はありますか？従わないと罰則がありますか？

A. テレワークセキュリティガイドラインに法的拘束力はなく、従わなくても罰則はありません。ガイドライン自体が、示した対策をすべてのテレワークで行わなければならないものではないと明記しており、あくまでモデルケースとしての対策例を示す補助資料です。ただし、自社の情報資産を守るための実務上の指針として広く参照されており、公的基準に沿って社内ルールを整えたい企業にとって有用な土台になります。

出典・参考資料（1件）

• 出典：テレワークセキュリティガイドライン 第４版｜総務省（https://www.soumu.go.jp/main_content/000545372.pdf）

Q. 中小企業向けのテレワークセキュリティのチェックリストや手引きはありますか？

A. テレワークセキュリティには、ガイドライン本体とは別に、中小企業の担当者向けの手引き（チェックリスト）が総務省から提供されています。専任のセキュリティ担当者を置きにくい企業でも実践しやすいよう、最低限実施すべき対策がチェックリスト形式で整理されています。

ガイドライン本体をすべて読み込む余裕がない場合は、この手引きから着手し、必要に応じて本体で詳細を確認する進め方が現実的です。いずれも総務省の公式ページから入手できます。

出典・参考資料（1件）

• 参考資料：テレワークにおけるセキュリティ確保｜総務省（https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/）

Q. テレワークセキュリティガイドライン第4版をもとに作った社内ルールは、そのまま使い続けて大丈夫ですか？

A. 第4版をもとに作った社内ルールは、基本的な考え方は引き続き有効ですが、第5版の見直し内容を反映して点検することをおすすめします。ルール・人・技術のバランスや立場別・方式別の対策という骨格は第5版にも引き継がれています。

一方で、クラウドやゼロトラストの観点、方式の再整理（VPN方式・スタンドアロン方式などへの細分化）は第4版には含まれていません。第5版と照らし合わせ、不足する観点がないかを確認したうえで運用すると安全です。

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、テレワークのセキュリティ対策に使える認証基盤・データレスクライアント・操作ログ・端末セキュリティなどの最新資料を無料で一括請求できます。ガイドラインが求める対策を、どのサービスで実現できるかをまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。