在宅勤務やリモートワークを続けるなかで、「このまま自社の情報を外に持ち出す運用を続けて大丈夫なのか」と不安を感じていませんか。実際、テレワークの普及にあわせて、社外のPCや通信を狙った情報漏えい・不正アクセスの事故が各所で起きています。
事故の多くは、特別な標的型攻撃ではなく、VPN機器の脆弱性を放置した、端末を持ち出して紛失した、アクセス権限の設定を誤った、といった「普段の運用の穴」から発生しています。どの会社でも起こりうる事故だからこそ、実例から原因をたどり、自社に同じ穴がないかを点検することが対策の出発点になります。
この記事では、テレワークのセキュリティ事故を、時期・被害規模・原因とともに整理します。そのうえで、事故を防ぐルール・人・技術の対策、事故が起きたときの初動対応の流れ、対策の拠りどころになる公的ガイドラインまでをまとめました。
目次
一括ダウンロードする
実際に起きたテレワークのセキュリティ事故の事例
まずは、実際に起きたテレワーク関連の事故を見ていきます。いずれも在宅勤務や社外での業務、リモートアクセスに伴って発生したもので、原因と被害規模が明らかになっている事例です。
| テレワークのセキュリティ事故事例 | VPN機器の脆弱性の放置 | アクセス権限の設定不備 | 新種マルウェアへの感染 | 社外接続からのマルウェア感染・社内拡大 | USBメモリの紛失 | VPN機器の脆弱性放置によるランサムウェア感染 | 自宅・社外での人的ミス（特定の1件ではなく共通する類型） |
|---|---|---|---|---|---|---|---|
| 時期・対象 | 2020年8月／国内約40社（住友林業などの大手企業を含む） | 2020年12月／PayPay株式会社（電子決済サービス） | 2020年5月／あるグループ会社（総務省ガイドライン掲載の事例） | 2020年4〜5月（同年8月公表）／三菱重工業（製造業） | 2020年6月／教育機関 | 2021年10月／つるぎ町立半田病院（医療機関） | 特定の事故ではなく、複数の報告に共通する類型／業種横断 |
| 何が起きたか | 既知の脆弱性を放置したVPN機器（Pulse Connect Secure）が攻撃を受け、IDとパスワードが流出。これを悪用した不正アクセスが行われた | 加盟店情報のデータベースが外部から到達できる状態になり、不正アクセスを受けた | フリーメールに添付されたファイルを開封し、PC1台がマルウェアに感染した | 社有PCで在宅勤務中、社内ネットワークを経由せず外部に接続し、SNS利用時にウイルスへ感染。出社して社内ネットワークに接続した際に感染が広がった | テレワークのためUSBメモリを外部へ持ち出した際に紛失した | リモートアクセス用のVPN機器の脆弱性を突かれてランサムウェア「LockBit 2.0」に感染し、電子カルテをはじめ院内の主要システムが暗号化されて停止した | 自宅の小さい画面での作業でファイルを見間違えて個人情報を誤送信。共有スペースのWeb会議で会話に含まれる顧客情報が漏れ聞こえ、離席中に画面をのぞき見された |
| 原因 | 脆弱性の修正プログラム（2019年4月公開済み）を適用せず運用を継続していた | サーバーのメンテナンス時にアクセス権限を変更し、外部からもアクセス可能な状態になっていた | 検知システムは導入していたが、添付ファイルのマルウェアが新種で検知が遅れた | 社外接続時の感染を検知できないまま、その端末を社内ネットワークに接続した | 個人情報を記録したUSBメモリを持ち出す運用があった | VPN機器の脆弱性が修正されないまま運用され、侵入経路になった | オフィスと異なる作業環境によるミス、認識・意識の欠如、管理の不手際 |
| 被害規模 | 世界で約900件の認証情報（VPNサーバーのID・パスワード）が流出・公開された。これを悪用した不正アクセスの被害が各国で生じた | 加盟店の名称・住所・代表者名等、最大2,000万件以上の情報が流出した可能性 | 氏名・メールアドレス等を含む個人情報1万件以上が漏えい | 社内ネットワークへウイルス感染が拡大 | 児童・関係者 延べ3,000人以上の氏名・住所・電話番号等 | 電子カルテ・医事会計・予約などの主要システムが停止し、通常診療の再開まで約2か月を要した | 個人情報の誤送信・第三者への漏えい |
※上表は公的機関の資料・公表情報に基づく代表的な事例です。被害規模の数値は各出典の公表時点のものです。最下行は特定の1件の事故ではなく、公的資料が注意を促す自宅・社外での人的ミスの類型を整理したものです。
VPN機器の事故では、既知の脆弱性を放置したVPNサーバーのID・パスワードが世界で約900件流出・公開され、日本でも住友林業など約40社が被害を受けました。約900件は世界全体で流出した認証情報の件数、約40社は国内の被害企業数です。原因は、2019年4月に修正プログラムが公開されていた既知の脆弱性を放置していたことで、どの企業でも起こりうる事故です。
電子決済サービスの事故は、サーバーのメンテナンス時にアクセス権限の設定を誤り、本来は外部から見えないはずの加盟店情報へ到達できる状態になっていたものです。攻撃によって最大2,000万件以上の情報が流出した可能性があるとされ、設定の確認漏れが大規模な漏えいにつながった例といえます。在宅から社内システムへアクセスする運用が広がるなかで、権限管理の重要性を示す事例として公的資料に挙げられています。
これらはテレワークが急速に広がった2020年に公表された事故ですが、VPN機器の脆弱性を突く攻撃やランサムウェアによる被害は、その後も続いています。
2021年10月には、つるぎ町立半田病院がリモートアクセス用VPN機器の脆弱性を突かれてランサムウェアに感染し、電子カルテなど主要システムが停止して、通常診療の再開まで約2か月を要しました。攻撃の特別さよりも、普段の運用の穴が事故につながっている点は今も変わりません。
被害は流出した件数だけにとどまりません。事故が起きると、原因の調査、個人情報保護委員会への報告や本人への通知の対応、信用の低下といった負担が重なり、事業への影響や対応コストも大きくなります。
出典・参考資料（7件）
- 出典：テレワークセキュリティガイドライン（第5版）第6章 テレワークにおけるトラブル事例と対策｜総務省（VPN機器・アクセス権限・マルウェア・USBメモリの各事例）
- 出典：テレワークの情報セキュリティ｜独立行政法人情報処理推進機構（IPA）（VPN製品からの認証情報 約900件の公開、社外接続からの社内感染拡大）
- 出典：個人情報の取扱いに関する事故を起こさないために【テレワーク時に注意すべきこと】｜一般財団法人日本情報経済社会推進協会（JIPDEC）（誤送信・Web会議の音漏れ・のぞき見の事例）
- 出典：Authentication data of 38 Japanese firms stolen amid surge of teleworkers｜The Japan Times（VPN機器の脆弱性による国内被害企業）
- 出典：PayPay、加盟店情報 最大2,000万件超にアクセスの可能性｜ScanNetSecurity（電子決済サービスの加盟店情報流出の件数・経緯）
- 出典：在宅勤務時 SNS経由で社用PCが感染、社内ネットワーク接続で被害拡大（三菱重工業）｜ScanNetSecurity
- 出典：つるぎ町立半田病院「コンピュータウイルス感染事案有識者会議調査報告書」を公開｜ScanNetSecurity（VPN機器の脆弱性を突いたランサムウェア感染・約2か月のシステム停止）
事故はなぜ起きたのか（事故の類型と原因のつながり）
ここからは、事例を原因でとらえ直します。自社に同じ弱点がないかを照らせるよう、テレワーク特有の事故を技術・ルール・人の3つの類型に分け、それぞれの原因を整理します。
端末やネットワーク機器の「技術」の穴
VPN機器の脆弱性放置や、マルウェア検知の遅れは、技術的な保守・更新の欠落から起きています。修正プログラムが公開されていても適用しなければ既知の脆弱性は残り、パターン検知に頼る対策では新種のマルウェアに対応が遅れます。社外接続した端末がそのまま社内ネットワークにつながれば、感染は社内へ広がります。
設定・権限管理という「ルール」の穴
電子決済サービスの事故は、メンテナンス時のアクセス権限の変更が外部公開につながった例です。誰がどの情報にアクセスできるかを定め、変更時に確認する手順がなければ、設定ミスはそのまま漏えいの経路になります。権限と設定を管理するルールの不在は、技術対策を入れていても事故を招きます。
持ち出し・作業環境という「人」の穴
USBメモリの紛失や、自宅での誤送信・のぞき見・Web会議の音漏れは、オフィスとは異なる作業環境と、一人ひとりの意識に関わる事故です。小さな画面での確認ミスや、周囲に人がいる場所での会話・画面表示など、オフィスでは起こりにくい状況が在宅・社外では日常的に生じます。
これらの原因は、特定の対策ひとつでは塞ぎきれません。総務省のテレワークセキュリティガイドラインは、情報資産を守るには「ルール」「人」「技術」のバランスがとれた対策が必要だとしています。
情報資産を守るためには、「ルール」・「人」・「技術」のバランスがとれた対策を実施
出典：テレワークセキュリティガイドライン（第5版）｜総務省
どれか1つに偏ると、他の穴から事故が起きます。たとえば高機能なセキュリティソフトを入れても（技術）、持ち出しのルールがなく（ルール）、社員が危険を認識していなければ（人）、紛失や誤操作は防げません。次章では、この3つの軸で対策を整理します。
自社で同じ事故を防ぐ対策（ルール・人・技術）
ここからは、総務省ガイドラインの「ルール」「人」「技術」の枠組みに沿って、自社で取り組める対策を整理します。前章の事故の原因と結びつけながら読むと、自社に足りない対策が見えてきます。
ルールを整備する
テレワークで扱ってよい情報の範囲、端末やUSBメモリの持ち出し可否、情報へのアクセス権限、機器の更新手順、事故が起きたときの連絡先を、文書化したルールとして定めます。権限の変更時に確認する手順を設ければ、設定不備による外部公開を防ぎやすくなります。
総務省のテレワークセキュリティガイドラインは、こうしたルールを経営者・システム管理者・勤務者の役割に分けて整理しています。経営者が扱う情報の重要度と取扱い方針を決め、システム管理者がテレワークでの利用可否や取扱方法を整理して勤務者に周知します。
さらにシステム管理者が、情報にアクセスできる人と端末を必要最小限に絞ってアクセス権限を設定し、勤務者は定められた取扱方法に従って情報を扱います。「誰が何を決め、誰が守るか」まで決めておくと、ルールが運用で形骸化しにくくなります。
ルールは作って終わりではなく、作業環境の変化や新しいサービスの利用にあわせて見直します。会社が認めていないクラウドサービスへ機密情報を上げる運用が生まれていないか、定期的に点検することも含めて整備します。
テレワークのルールを実際に規程へ落とし込む段階では、盛り込むべき項目や作り方、確認用のチェックリストをまとめた次の記事が下敷きになります。
リモートワークのセキュリティルール｜規程に盛り込む項目・作り方・チェックリストを解説
在宅勤務やハイブリッドワークが定着し、社員が自宅や外出先で業務を行う機会が増えています。オフィスと違い会社の目が届かない環境では、情報漏えいや端末の紛失といったリスクが高まるため、何をどこまで社員に守らせるのかを「ルール」として定めておく必…
人（教育・意識）を高める
ルールを決めても、使う一人ひとりがその趣旨を理解し守らなければ機能しません。自宅や共有スペースでの作業に潜むリスク（画面ののぞき見、Web会議の音漏れ、ファイルの誤送信など）を具体的に伝え、なぜその対策が必要かまで共有します。
実際に起きた事故を題材にした研修は、「自分ごと」として受け止めてもらううえで効果的です。おかしいと感じたときに自己判断せず相談・報告する姿勢も、日頃の教育で根づかせておきます。役割としては、経営者・システム管理者が研修や周知を定期的に行い、勤務者は学んだ取扱方法を日々の業務で守ります。
技術で補う
ルールと教育で防ぎきれない部分は、技術で補います。IPAの資料は、脅威ごとに有効な技術対策を対応づけて示しています。代表的な手段と、それが主に防ぐ事故の類型を整理すると次のとおりです。
- 多要素認証・パスワードレス認証、VPN機器の更新：IDやパスワードの漏えい、VPNの脆弱性を突いた不正アクセスを防ぐ
- アクセス権限の管理（設定の確認・棚卸し）：サーバーや情報へのアクセス権限の設定不備による外部公開を防ぐ
- 操作ログの記録・可視化：内部不正・誤操作や、会社が認めていないサービスの利用（シャドーIT）を検知する
- 端末のセキュリティソフト（振る舞い検知を含む）・OSやソフトの最新化：マルウェア感染を防ぎ、新種にも挙動から対応する
- 端末のデータ暗号化・データを端末に残さない運用：端末やUSBメモリの紛失による情報漏えいを防ぐ
- 通信の暗号化（VPN）、のぞき見防止フィルター：公衆Wi-Fiでの盗聴や画面ののぞき見を防ぐ
これらを機能させる前提になるのが、機器やソフトを最新に保つ脆弱性管理です。総務省ガイドラインは、システム管理者が担う基本対策として、VPN機器やリモートデスクトップのアップデート・パッチ適用を定期的に行うことを挙げています。あわせて、メーカーのサポートが終了した機器やソフトを使わないことも求めています。
前章のVPN機器の事故や半田病院の事故は、いずれもこの更新が滞ったために起きています。導入した対策が「入れっぱなし」にならないよう、更新の担当と頻度まで決めておくことが大切です。
出典・参考資料（2件）
- 出典：テレワークの情報セキュリティ（個人・組織が直面する脅威と対策の例）｜独立行政法人情報処理推進機構（IPA）
- 参考資料：テレワークセキュリティガイドライン（第5版）｜総務省（脆弱性管理・アクセス権限などシステム管理者の基本対策）
これらの技術対策を、自社の規模や運用にあわせてどう組み合わせるかは判断が分かれます。具体的なサービスの選択肢は、記事後半の事故の原因を塞ぐ手段とサービスの活用で紹介します。
一括ダウンロードする
事故が起きた・起きそうなときの初動対応の流れ
対策を講じても、事故の可能性をゼロにはできません。実際に事故が起きた、あるいは起きそうなときに、被害を最小限に抑えるための初動の流れを整理します。
- 発覚・発見（検知）：端末の動作が急に重い、見覚えのない通信や画面が出る、ファイルが開けない・暗号化された、端末を紛失した、ファイルを誤送信したなど、異常に気づいたら、自己判断で操作を続けず、まず定められた窓口へ連絡する
- 報告：社内のルールに従い、速やかに情報システム担当や責任者へ報告する。いつ・何が起きたか、どの情報や端末が関係するかを添えると、その後の判断が速くなる。あらかじめ連絡先と報告手順を決めておくことで、初動が遅れない
- 被害の最小化（隔離・調査）：感染の疑いがある端末は、LANケーブルを抜く・無線を切るなどしてネットワークから切り離し、被害の拡大を止める。紛失した端末は遠隔でロック・データ消去し、漏れた可能性のあるID・パスワードは変更する。原因や影響範囲（どの情報がどこまで及んだか）を調べるため、むやみに初期化せず端末の状態を保全し、必要に応じて専門の事業者に調査を依頼する
- 再発防止（復旧・見直し）：影響範囲を確認したうえで、安全な状態に戻してからシステムを復旧する。そのうえで、原因を確認し、ルール・教育・技術のどこに穴があったかを踏まえて対策を見直す
事故発生時の行動で重要なのは、早期に発見し、速やかに報告することです。JIPDECの資料も、事故を起こした場合は定められた手順により速やかに報告し、早期の対応で被害を最小限にすることを求めています。
事故を起こした場合は、定められた手順により速やかに報告を行う。早期の対応により被害を最小限にする。
出典：個人情報の取扱いに関する事故を起こさないために【テレワーク時に注意すべきこと】｜一般財団法人日本情報経済社会推進協会（JIPDEC）
個人情報の漏えいが起きた場合は、法律上の対応も必要です。個人情報の保護に関する法律（個人情報保護法）では、一定の個人データの漏えい等が生じたときに、個人情報保護委員会への報告と本人への通知が義務づけられています。
報告の対象になるのは、要配慮個人情報が含まれる場合、不正アクセスなど不正な目的による行為で生じた場合、本人の数が1,000人を超える場合などで、報告には速報・確報の期限が定められています。自社が報告の対象になるかを含め、詳細は個人情報保護委員会の案内を確認してください。
出典・参考資料（2件）
個人情報の漏えいが絡むときは、初動から事実調査、個人情報保護委員会への報告・本人通知、再発防止までの流れと、報告義務の対象になる基準を一続きで押さえておくと、発覚直後に迷いません。具体的な手順は次の記事で順を追って解説しています。
対策の拠りどころ（公的ガイドライン・資料）
自社の対策を点検・見直すときは、公的機関が公開している資料が拠りどころになります。いずれも無料で入手でき、経営層への説明や社内ルールの整備にそのまま使えます。
- テレワークセキュリティガイドライン（総務省）：テレワークのセキュリティ対策を「ルール・人・技術」の枠組みで体系的に整理した資料。トラブル事例と対策もまとめられている
- 中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）（総務省）：専任の担当者を置きにくい中小企業でも、優先的に実施すべき対策をチェックリスト形式で確認できる
- テレワークの情報セキュリティ（IPA）：脅威と対策を個人・組織に分けて整理した資料。どの脅威にどの対策が有効かを対応づけて把握できる
出典・参考資料（2件）
なかでも総務省のテレワークセキュリティガイドラインは本体が100ページを超えるため、「自社は結局どの項目をやればよいか」が読み取りづらい面があります。対策項目の一覧と自社がやることを整理した次の記事とあわせて読むと、要点をつかみやすくなります。
テレワークセキュリティガイドライン（第5版）とは｜対策項目一覧と自社がやることをわかりやすく解説
テレワークやハイブリッド勤務が定着し、社員のPCやデータが社内ネットワークの外に出る機会が増えました。守るべき範囲が社内LANに収まらなくなり、「自社のセキュリティ対策は、これで足りているのだろうか」と不安を感じている担当者も少なくありませ…
事故の原因を塞ぐ手段とサービスの活用
前章で挙げた技術対策のうち、代表的な手段を、実際のサービスとあわせて紹介します。事故の原因ごとに整理したので、それぞれ「どの事故の原因に効くか」で読み進めてください。
- ID基盤・多要素認証：ID・パスワードの漏えいやVPN突破による不正アクセスを防ぐ
- PC操作ログの記録・可視化：内部不正・誤操作や、会社が認めていないサービスの利用を検知する
- 端末のセキュリティソフト（EPP／EDR。マルウェアの検知・防御と、侵入後の不審な挙動の検知・対応）：マルウェア感染を、新種も含めて防ぐ
- データを端末に残さない仕組み：端末やUSBメモリの紛失による情報漏えいを防ぐ
ここで挙げた手段は、社内で講じるセキュリティ対策の一部です。認証・端末・ログ・持ち出しなど「守る対象」ごとに、どんなタイプのソリューションがあり何を基準に選ぶかを全体から見渡したい場合は、次の比較記事が検討の出発点になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
以下は、ここで紹介するサービスの比較表です。
| サービス | CloudGate UNO | Eye"247" Work Smart Cloud | Eye"247" Safety Zone | Shadow Desktop |
|---|---|---|---|---|
| 手段の種類 | ID基盤・多要素認証（IDaaS） | PC操作ログの記録・可視化 | 端末のセキュリティソフト（EPP＋EDR） | データを端末に残さない仕組み（データレスクライアント） |
| 主に防ぐ事故 | ID・パスワードの漏えいやVPN突破による不正アクセス | 内部不正・誤操作による情報漏えい（操作ログで検知） | マルウェア感染（新種を含む） | 端末・USBメモリの紛失・盗難による情報漏えい |
| 主な機能 | シングルサインオン パスキー（FIDO2）によるパスワードレス認証 端末・場所・時間のアクセス制限 | 1分間隔のPC操作ログ URL・ファイル・USB操作ログ 勤怠乖離チェック | 振る舞い検知（ATC） ランサムウェアの自動バックアップ・復旧 フィッシングサイトの自動ブロック | PCデータの外部ストレージへの自動退避 ローカルキャッシュの暗号化（AES256bit） リモートワイプ（オプション） |
| 提供形態 | クラウド型（IDaaS） | クラウド型（SaaS） | 端末インストール型（PC＋管理コンソール） | 端末インストール型（既存PCに導入） |
| 初期費用 | 要問い合わせ | 無料 | 要問い合わせ | 無料 |
| 月額費用 | 400〜600円／ユーザー（税抜、プランによる） | 400〜1,100円／台（税抜、台数による従量制） | 要問い合わせ | 950円〜／ユーザー（税抜、Standard） |
| 無料トライアル | 30日間 | 14日間 | 記載なし | 最大30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金は2026年11月時点の各社公式情報によります。最新の料金は各サービスの公式情報をご確認ください。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
一度の認証で複数のクラウドサービスへアクセスできるシングルサインオンに、アクセス制限を組み合わせた国産のID基盤（IDaaS）です。VPNやID・パスワードの漏えいを突いた不正アクセスを防ぐ、認証の入り口を固める手段にあたります。
認証方式には、フィッシング攻撃に強いパスキー（FIDO2）によるパスワードレス認証を採用しています。さらに「端末・場所・時間」の3つの軸でアクセスを細かく制限でき、私用端末からのアクセス禁止や、特定の拠点・時間帯に限定した利用といった設定が可能です。導入前から導入後まで日本語で対応するサポート体制も備えています。
提供元のインターナショナルシステムリサーチは、パスワードレス認証が不正アクセス対策として有効な理由を次のように話しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）
「誰が・いつ・どこで・どれだけ・何を操作したか」をPCの操作ログから記録・可視化するクラウド型のサービスです。内部不正や意図しない操作、会社が認めていないサービスの利用を見つける手がかりになり、在宅勤務中の業務の可視化にも使えます。
URLアクセスの監視や、利用を禁止するソフトウェアの設定もでき、会社が認めていないサービスの利用を把握する用途にも向きます。初期費用は無料で、月額は契約台数に応じた1台あたりの従量制（100台以上の場合で月額400円から、いずれも税抜）。14日間の無料トライアルも用意されています。
Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末を守るEPP（マルウェアの検知・防御）と、EDR（侵入後の挙動の検知・調査・復旧）を組み合わせた、端末向けのセキュリティソフトです。パターン検知では間に合わない新種のマルウェア感染に、挙動から対応する手段にあたります。
Bitdefender社と共同開発したエンジンを採用し、アプリケーションの動作を常時監視する振る舞い検知を備えています。ランサムウェア対策としてファイルを自動でバックアップし、被害時には直近の状態へ復旧できます。フィッシングサイトの自動ブロックなど、通信面の保護機能も持っています。
Shadow Desktop（アップデータ株式会社）
PC内のユーザーデータをクラウド等の外部ストレージへ自動で退避し、PC本体にデータを物理的に残さない「データレスクライアント」です。端末やUSBメモリの紛失・盗難が起きても、端末内に業務データが残らないため、情報漏えいのリスクを下げられます。
仮想デスクトップ（VDI）と違いOSやアプリは仮想化しないため、普段のPCと同じ操作感で使える点が特徴です。遠隔でデータを消去するリモートワイプや、退避したデータのバックアップにも対応し、私物のPCを業務に使う場面での情報漏えい対策としても案内されています。
まとめ
テレワークのセキュリティ事故は、VPN機器の脆弱性放置、アクセス権限の設定不備、端末やUSBメモリの紛失、新種マルウェアへの感染など、普段の運用の穴から起きています。いずれも特別な攻撃ではなく、どの会社でも起こりうる事故です。
防ぐための出発点は、実際の事故から原因をたどり、自社に同じ穴がないかを点検することです。そのうえで「ルール・人・技術」のバランスで対策を整え、事故が起きたときの初動と報告の流れを決めておくと、被害を抑えられます。技術面では、ID基盤・操作ログ・端末のセキュリティソフト・データレス化といった手段を、自社の事故リスクにあわせて組み合わせるのが現実的です。
自社に必要な対策を具体的に検討する際は、各サービスの資料を取り寄せて比較するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. テレワークのセキュリティ事故にはどんな種類（原因）がありますか？
A. テレワークのセキュリティ事故は、「技術」「ルール」「人」のいずれかの穴から起きる事故に大きく分けられます。具体的には、VPN機器の脆弱性放置やマルウェア感染といった技術面の穴、アクセス権限・設定の不備というルール面の穴、端末やUSBメモリの紛失・ファイルの誤送信・画面ののぞき見といった人（作業環境・意識）の穴の3類型です。多くは特別な攻撃ではなく、普段の運用の穴から起きています。
Q. 個人のパソコン（BYOD）をテレワークの業務に使ってもよいですか？
A. 個人PC（BYOD）のテレワーク利用は、会社がルールで可否と条件を定めたうえで判断すべきで、無条件に使ってよいわけではありません。私物端末は会社の管理が及びにくく、マルウェア感染や紛失時の情報漏えいのリスクが高まります。利用を認める場合は、データを端末に残さない仕組みや多要素認証、アクセス制限といった技術対策を前提にし、扱ってよい情報の範囲もあわせて定めておくことが必要です。
Q. テレワーク中にセキュリティ事故が起きたら、まず何をすべきですか？
A. テレワーク中に事故が起きた・起きそうなときは、自己判断で対処せず、まず社内で定められた窓口へ連絡・報告することが最優先です。そのうえで、感染の疑いがある端末はネットワークから切り離す、紛失した端末は遠隔でロック・消去するなど、被害の拡大を止める対応を行います。初動を遅らせないために、連絡先と報告手順をあらかじめ決めておくことが重要です。
Q. テレワークでフリーWi-Fi（公衆無線LAN）に接続して業務をしても大丈夫ですか？
A. 暗号化されていないフリーWi-Fiでの業務は、通信を盗聴されるリスクがあるため、そのままの利用は避けるべきです。やむを得ず利用する場合は、VPNなどで通信を暗号化することが前提になります。どの通信環境を使ってよいかを社内ルールで定めておくと、現場での判断に迷いません。
Q. 自宅やカフェでのWeb会議の音漏れ・画面ののぞき見は、どう防げばよいですか？
A. Web会議の音漏れや画面ののぞき見は、周囲に人がいる場所での業務を避け、のぞき見防止フィルターや離席時の画面ロックを併用することで防げます。共有スペースでは会話に顧客情報を含めない、イヤホンを使う、人目につかない場所を選ぶといった配慮も有効です。これらはオフィスでは起こりにくく、在宅・社外だからこそ生じる事故のため、ルールと一人ひとりの意識の両面で対策します。
Q. 専任のセキュリティ担当がいない中小企業でも、現実的にできる対策はありますか？
A. 専任担当を置けない中小企業でも、公的機関が無料で公開しているチェックリストを使えば、優先度の高い対策から現実的に始められます。総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」は、まず実施すべき対策を確認できる形にまとまっています。そのうえで、OSやソフトの最新化・多要素認証・端末のセキュリティソフトといった、取り組みやすい基本の対策から始めるのが現実的です。
Q. テレワークで個人情報が漏えいした場合、法律上の報告義務はありますか？
A. 一定の個人データの漏えい等が生じた場合は、個人情報保護法により、個人情報保護委員会への報告と本人への通知が義務づけられています。要配慮個人情報が含まれる場合、不正アクセスなど不正な目的による行為で生じた場合、本人の数が1,000人を超える場合などが対象で、報告には速報・確報の期限が定められています。自社が報告の対象になるかを含め、詳細は個人情報保護委員会の案内を確認してください。
出典・参考資料（2件）
社内セキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、テレワークの事故対策に使えるID基盤・端末セキュリティ・データレスクライアントなどの最新資料を無料で一括請求できます。自社の課題に合う対策を、料金や機能を見比べながら検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
