テレワークを導入・拡大する企業が増える一方で、自社の対策が十分かどうか、何を拠り所に見直せばよいか判断に迷う担当者は少なくありません。公的な指針として広く参照されているのが、総務省が策定・公表している「テレワークセキュリティガイドライン」です。
総務省のガイドラインは2004年の初版以降、テレワークの普及や脅威の変化に合わせて改訂が重ねられ、現在の最新版は2021年（令和3年）5月に公表された第5版です。あわせて、専任のセキュリティ担当者を置けない中小企業向けのチェックリストや、製品別の設定解説資料も公開されています。
本記事では、総務省が公開するテレワークセキュリティ関連資料の全体像と入手先を整理したうえで、ガイドラインが求める対策の枠組み（想定読者3分類、「ルール」「人」「技術」のバランス、13の対策分類、テレワーク方式7種）を解説します。さらに、対策分類を実際にどのような手段で満たせるかまで踏み込み、自社のテレワーク環境を見直すための出発点として活用できる形でまとめました。
目次
一括ダウンロードする
総務省のテレワークセキュリティガイドラインとは｜最新版は第5版（令和3年5月）
テレワークセキュリティガイドラインは、総務省が企業等のテレワーク導入時のセキュリティ対策について、考え方や対策例を示した指針です。総務省はこのガイドラインの目的を次のように説明しています。
企業等がテレワークを実施する際のセキュリティ上の不安を払拭し、安心してテレワークを導入・活用いただくための指針として、テレワークの導入に当たってのセキュリティ対策についての考え方や対策例を示した「テレワークセキュリティガイドライン」を策定・公表しています。
出典：テレワークにおけるセキュリティ確保｜総務省
現在の最新版は、2021年（令和3年）5月に公表された第5版です。本編はおよそ110ページで、テレワークのセキュリティに関する考え方から、方式の選定、対策の分類、トラブル事例までを体系的に整理しています。
改版履歴と、第4版から第5版への主な変更点
ガイドラインは2004年の初版以降、次のように改訂されてきました。
- 初版：平成16年（2004年）12月
- 第2版：平成18年（2006年）4月
- 第3版：平成25年（2013年）3月
- 第4版：平成30年（2018年）4月
- 第5版：令和3年（2021年）5月
出典・参考資料（1件）
第4版から第5版への改訂では、内容が全面的に見直されました。総務省の改定概要によれば、テレワーク方式の整理は6種類から7種類に、対策の分類は6つの脅威カテゴリから13の対策分類へと細分化され、対策項目数は43項目から98項目へと倍増しています。
分類の軸も、脅威の種類ごとの整理から、実施すべき対策の内容に沿った整理へと見直されました。あわせて、クラウドサービスの活用やゼロトラストセキュリティの考え方が新たに盛り込まれました。
出典・参考資料（1件）
総務省が公開するテレワークセキュリティ関連資料の全体像と入口
総務省は、ガイドライン本体だけでなく、対象読者や目的の異なる複数の資料を公開しています。まず全体像を把握し、自社の状況に合う資料から参照するのが効率的です。主な資料は次のとおりです。
| テレワークセキュリティガイドライン（本体） | 中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト） | 設定解説資料 | テレワークセキュリティに係る実態調査 | |
|---|---|---|---|---|
| 版・発行時期 | 第5版（令和3年5月） | 第3版（令和4年5月） | 製品別（2026年1月更新） | 2020〜2024年度 |
| 主な対象読者 | システム・セキュリティ管理者を中心に、経営者・勤務者も | 専任のセキュリティ担当がいない中小企業等の管理者 | チェックリストを具体的な製品で実施する担当者 | 対策状況を把握したい担当者 |
| 主な内容 | 対策の考え方・方式の選定・13の対策分類・トラブル事例を網羅 | 最低限のセキュリティを確保するためのチェックリスト | テレワークで多く使う製品別の設定手順 | 企業等のセキュリティ対策状況に関する調査結果 |
※上記は2026年11月時点の総務省公式サイトの公開情報によります。各資料の最新の版・公開状況は公式サイトをご確認ください。
上の表のうちガイドライン本体とチェックリストは、資料名のリンクから各PDFを直接開けます。設定解説資料や実態調査は個別のファイルが更新されることがあるため、総務省の「テレワークにおけるセキュリティ確保」ページを入口にして探すのが確実です。
出典・参考資料（1件）
ガイドラインは誰に何を求めているか｜想定読者3分類とルール・人・技術のバランス
ガイドラインは、テレワークのセキュリティ確保を組織全体の取り組みと位置づけ、立場の異なる3者がそれぞれの役割を担うことを求めています。
テレワークの実施に当たっては、「経営者」・「システム・セキュリティ管理者」・「テレワーク勤務者」がそれぞれの立場からセキュリティの確保に関して必要な役割を認識し、適切に担っていくことが重要です。
出典：テレワークセキュリティガイドライン（第5版）第2章｜総務省
経営者・管理者・勤務者の3つの役割
ガイドラインは3者の役割を、経営者が基本方針を示し、システム・セキュリティ管理者がその方針を具体化（ルール作成や対策実施）し、テレワーク勤務者がルールを理解・遵守する、という関係で整理しています。経営者の役割については、次のように記載されています。
経営者の基本的な役割は、事業の効率的かつ健全な発展と、当該事業に影響を及ぼすセキュリティリスクへの対応という両側面から、組織としてのあるべき姿を検討し、その方針を示し、システム・セキュリティ管理者に作業を指示することです。
出典：テレワークセキュリティガイドライン（第5版）第2章｜総務省
セキュリティ対策を特定の担当者だけに委ねるのではなく、経営者が方針を示し、管理者が具体化し、勤務者が守る、という役割分担を前提にしている点が特徴です。
「ルール」「人」「技術」のバランスのとれた対策
ガイドラインは、対策を技術だけに頼るのではなく、「ルール」「人」「技術」の3つの面でバランスよく講じることを求めています。
情報資産を守るためには、「ルール」・「人」・「技術」のバランスがとれた対策を実施し、全体のレベルを落とさないようにすることが重要です。このとき、セキュリティ対策は、「最も弱いところが全体のセキュリティレベルになる」という特徴があります。
出典：テレワークセキュリティガイドライン（第5版）第2章｜総務省
ルールは仕事のやり方を安全な形で定めた決めごと、人はそれを理解し守る従業員への教育、技術はルールや人では補いきれない部分を補完する仕組み、という位置づけです。高性能なツールを導入しても、運用ルールや従業員の理解が伴わなければ、最も弱い部分が全体の水準になってしまう、という考え方です。
ガイドラインが整理する13の対策分類
第5版では、テレワークで実施すべきセキュリティ対策を13の分類に整理しています（本体ではＡ〜Ｍの記号が付されています）。それぞれの正式名称と、総務省による定義は次のとおりです。ここでは全体を俯瞰しやすいよう、13分類を実務上の4つの領域にまとめて示します（この4領域は読みやすさのための整理で、ガイドラインの章立てそのものではありません）。
組織・体制を管理する対策
- Ａ ガバナンス・リスク管理：テレワークの実施に当たってのリスクマネジメントや、情報セキュリティ関連規程（ルール）の整備等に関する対策。
- Ｂ 資産・構成管理：テレワークで利用するハードウェアやソフトウェア等の資産の特定や、その管理に関する対策。
- Ｃ 脆弱性管理：ソフトウェアのアップデート実施等による既知の脆弱性の排除に関する対策。
データ・端末・通信を守る対策
- Ｅ データ保護：保護すべき情報（データ）の特定や保存されているデータの機密性・可用性の確保に関する対策。
- Ｆ マルウェア対策：マルウェアの感染防止や検出、エンドポイントセキュリティに関する対策。
- Ｇ 通信の保護・暗号化：通信中におけるデータの機密性や可用性の確保に関する対策。
認証とアクセス権を管理する対策
- Ｄ 特権管理：不正アクセス等に備えたシステム管理者権限の保護に関する対策。
- Ｈ アカウント・認証管理：情報システムにアクセスするためのアカウント管理や認証手法に関する対策。
- Ｉ アクセス制御・認可：データやサービスへのアクセスを、必要最小限かつ正当な権限を有する者のみに制限することに関する対策。
運用・監視・教育の対策
- Ｊ インシデント対応・ログ管理：セキュリティインシデントへの迅速な対応と、ログの取得や調査に関する対策。
- Ｋ 物理的セキュリティ：物理的な手段による情報漏えい等からの保護に関する対策。
- Ｌ 脅威インテリジェンス：脅威動向、攻撃手法、脆弱性等に関する情報の収集に関する対策。
- Ｍ 教育：テレワーク勤務者のセキュリティへの理解と意識の向上に関する対策。
ガイドライン第4章では、これら13の対策分類を経営者・システム/セキュリティ管理者・テレワーク勤務者の立場別に整理し、さらに「基本対策」と「発展対策」に区分しています。基本対策は一般的に普及しており比較的取り組みやすいもの、発展対策は一定の予算や組織体制が必要なものの、実施によりセキュリティの向上が見込めるものと説明されています。
出典・参考資料（1件）
ガイドラインが挙げるトラブル事例15件
第6章では、テレワークに関するトラブルを15件、具体的な事例と有効な対策とともに示しています。以下は第6章の公式の項目名です。マルウェア感染やUSBメモリの紛失といった事故だけでなく、「個人情報保護の強化」のように制度改正への対応を促す項目も含まれます。自社で起こりうるか、対応できているかを確認する材料になります。
- VPN機器の脆弱性の放置
- 個人情報保護の強化
- アクセス権限の設定不備
- マルウェア感染
- ランサムウェア
- フィッシングメール
- ビジネスメール詐欺（BEC）
- USBメモリの紛失
- 無線LAN利用通信の窃取
- 第三者による画面閲覧
- テレワーク端末の踏み台化
- パスワードの使い回し
- クラウドサービスの設定ミス
- クラウドサービスの障害
- サプライチェーン
出典・参考資料（1件）
テレワーク方式7種の特徴と選び方
ガイドライン第3章では、テレワークのシステム構成を7つの方式に整理し、それぞれの特徴と考慮事項を解説しています。自社の業務内容や既存環境に合う方式を選ぶことが、対策の出発点になります。
7方式の全体像と選び方
7方式は、オフィスのネットワークやサーバーにどう接続し、データをどこで扱うかによって分かれます。ガイドラインは、自組織に適した方式を検討・選定する際の参考として、第3章1節に選定フローチャートと各方式の特性比較表を掲載しています。業務で扱うデータの機密性、既存システムとの接続の必要性、端末にデータを残すかどうかといった観点から、自社に合う方式を絞り込めます。
以下は、7方式を主な観点で整理した表です。
| VPN方式 | リモートデスクトップ方式 | 仮想デスクトップ（VDI）方式 | セキュアコンテナ方式 | セキュアブラウザ方式 | クラウドサービス方式 | スタンドアロン方式 | |
|---|---|---|---|---|---|---|---|
| 端末にデータを残すか | 残りうる | 残りにくい | 残りにくい | 隔離領域で扱う | 残りにくい | クラウド側で保持 | 端末に保存 |
| 既存の社内システムへの接続 | しやすい（社内ネットワークに接続） | しやすい（オフィス端末を遠隔操作） | しやすい | 対応アプリ経由 | ブラウザ経由の業務に限る | 社内ネットワーク不要 | 接続しない |
| 導入コスト・構築の負荷 | 中（VPN機器が必要） | 中（接続元の端末が必要） | 高（基盤の構築が必要） | 中 | 低〜中 | 低〜中 | 低 |
| 主な考慮点 | VPN機器の脆弱性管理 | オフィス側端末の用意・稼働 | 基盤の構築・運用コスト | 利用できるアプリの範囲 | 扱える業務の範囲 | クラウドの設定・アクセス管理 | 端末内データの保護 |
※各方式の特性はガイドライン第3章の記載にもとづく整理です。実際の選定は第3章1節のフローチャート・特性比較表もご確認ください。
各方式の特徴と考慮事項
7方式それぞれの、総務省による定義は次のとおりです。
VPN方式
テレワーク端末からオフィスネットワークに対してVPN接続を行い、そのVPNを介してオフィスのサーバー等に接続して業務を行う方法です。既存の社内システムをそのまま利用しやすい一方、VPN機器の脆弱性管理が重要になります。
リモートデスクトップ方式
テレワーク端末から、オフィスに設置された端末（PC等）のデスクトップ環境に接続し、それを遠隔操作して業務を行う方法です。手元の端末にはデータが残りにくい構成です。
仮想デスクトップ（VDI）方式
テレワーク端末から仮想デスクトップ基盤上のデスクトップ環境に接続し、それを遠隔操作して業務を行う方法です。管理者が集中的に環境を管理しやすい一方、基盤の構築・運用コストを考慮する必要があります。
セキュアコンテナ方式
テレワーク端末に、ローカル環境とは独立した「セキュアコンテナ」という仮想的な環境を設け、その中でアプリケーションを動かして業務を行う方法です。業務データを端末内の隔離された領域で扱えます。
セキュアブラウザ方式
テレワーク端末から、セキュアブラウザと呼ばれる特殊なインターネットブラウザを利用して、オフィスのシステム等にアクセスして業務を行う方法です。扱える業務はブラウザ経由のものに限られますが、導入は比較的手軽です。
クラウドサービス方式
オフィスネットワークに接続せず、テレワーク端末からインターネット上のクラウドサービスに直接接続して業務を行う方法です。クラウドの設定やアクセス管理が対策の中心になります。
スタンドアロン方式
オフィスネットワークには接続せず、あらかじめテレワーク端末や外部記録媒体に必要なデータを保存しておき、その保存データを使って業務を行う方法です。端末に保存するデータの保護が重要になります。
出典・参考資料（1件）
境界型セキュリティとゼロトラストの考え方
ゼロトラストは特定のテレワーク方式ではなく、方式を選び対策を組み立てる土台となる防御の考え方です。第5版では、テレワークの普及を背景にこの考え方が新たに盛り込まれました。総務省は次のように説明しています。
ゼロトラストセキュリティとは、外部ネットワーク（インターネット）と、内部ネットワーク（LAN）との境界による防御（境界型セキュリティ）には限界があり、内部ネットワーク内にも脅威が存在しうるという考えのもと、データや機器等の単位でのセキュリティ強化をうたった考え方を指します。
出典：テレワークセキュリティガイドライン（第5版）第2章｜総務省
ゼロトラストの考え方は、ネットワークの内外を区別せずデータや機器の最小単位でセキュリティを考えること、強固な利用者認証と厳密なアクセス管理を行うこと、場所や端末といった環境の制約を設けないこと、の3点を特徴としています。ガイドラインは、ゼロトラストが境界型に代わるものではなく、両者を組み合わせて複合的に防御することが期待される、としています。
この「強固な利用者認証と厳密なアクセス管理」という考え方は、後述する認証・アクセス制御の実装手段につながります。
専任担当者がいない企業がまず着手すべきこと｜中小企業向けチェックリストの使い方
ガイドライン本体は分量が多く、専任のセキュリティ担当者がいない企業にとっては通読の負担が大きいものです。そうした組織向けに、総務省は「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」を別途公開しています。最新版は第3版（令和4年5月）で、初版は2020年9月に公表されました。
このチェックリストの位置づけを、総務省は次のように説明しています。
セキュリティの専任担当がいないような中小企業等におけるシステム管理担当者（専門用語について仕組みの詳細まではわからないが、利用シーンがイメージできるレベルの方）を対象として、テレワークを実施する際に最低限のセキュリティを確実に確保してもらうための手引き（チェックリスト）等を作成・公表しています。
出典：テレワークにおけるセキュリティ確保｜総務省
ガイドライン本体は、このチェックリストの対策事項を包含しています。そのため、本体の内容を自組織で適切に検討・実施できる場合はチェックリストを参照する必要はなく、本体の理解や検討が難しい場合にチェックリストを使う、という使い分けが示されています。まずはチェックリストで最低限の対策を押さえ、体制が整ってきたら本体で対策を広げていく進め方が現実的です。
チェックリストには、従業員向けハンドブックや緊急時対応カードといった付属資料も用意されています。従業員への周知や、インシデント発生時の連絡先・初動の整理にそのまま活用できます。
チェックリストでは、例えば次のような項目を一つずつ確認する形です。自社で対応できているかを点検する出発点になります。
- テレワークに使う端末と利用者、扱う重要な情報システム・データを把握します（資産・構成管理）
- 端末のOSやアプリケーションに最新のセキュリティアップデートを適用します（脆弱性管理）
- ウイルス対策ソフトを導入し、リアルタイムスキャンを有効にします（マルウェア対策）
- 各システムのパスワードは「長く」「複雑な」ものにし、パスワード強度の設定を強制します（アカウント・認証管理）
- テレワーク端末からオフィスネットワークに接続する際のアクセスログを収集します（インシデント対応・ログ管理）
テレワークに限らず、専任のセキュリティ担当者がいない中小企業が「何を・どの順で・いくらで」進めればよいかを整理したい場合は、優先順位と費用感つきでやるべきことをまとめた以下の記事も参考になります。
ガイドラインの対策を実際に実装する手段
ガイドラインが示す対策分類は、考え方と対策例を体系化したものです。ここからは、特にテレワークで中核となる3つの領域について、総務省の対策分類を実際にどのような手段で満たせるかを整理します。自社に不足している領域を見極める手がかりとして活用できます。
端末にデータを残さない（データ保護）
対策分類の「データ保護」は、保存されているデータの機密性・可用性の確保に関する対策です。ガイドラインは、テレワーク端末にデータを保存することが想定される場合、記録媒体レベルでの暗号化を勤務者に周知することや、紛失・盗難に備えた端末管理（MDM）を発展対策として挙げています。
こうした対策を一歩進め、そもそも端末本体にデータを残さない構成をとるのが、データレスクライアントと呼ばれる手段です。端末に業務データを物理的に残さないことで、紛失・盗難時の情報漏えいリスクを下げられます。
認証を強化しアクセス元を制御する（アカウント・認証管理／アクセス制御・認可）
「アカウント・認証管理」はアカウント管理や認証手法に関する対策、「アクセス制御・認可」はアクセスを必要最小限かつ正当な権限者のみに制限する対策です。
前述のゼロトラストの考え方が示す「強固な利用者認証と厳密なアクセス管理」を実現する手段として、複数のクラウドサービスへの認証を一元化するシングルサインオン（SSO）や、多要素認証、IPアドレスや端末の状態に応じてアクセスを制限する仕組みがあります。これらを組み合わせることで、誰がどこからアクセスできるかを管理しやすくなります。
PC操作を記録し可視化する（インシデント対応・ログ管理）
「インシデント対応・ログ管理」は、セキュリティインシデントへの迅速な対応と、ログの取得・調査に関する対策です。ガイドラインは、テレワーク端末の操作ログやクラウドサービスへのログイン後の操作ログの取得を対策事項として挙げています。PCの操作ログを記録・可視化する仕組みを導入すると、誰がいつどのファイルを扱ったかを後から追跡でき、内部不正の抑止やインシデント発生時の原因調査に役立ちます。
PC操作ログで具体的にどこまで記録でき、どのように確認・運用するのか（ログの保全やプライバシーへの配慮を含む）を詳しく知りたい方は、以下の記事をご覧ください。
出典・参考資料（1件）
一括ダウンロードする
テレワークセキュリティ対策に活用できるサービス
ここからは、前述の3つの領域（データ保護／認証・アクセス制御／ログ管理）に対応する具体的なサービスを紹介します。以下は紹介するサービスの比較表です。
| サービス名 | CloudGate UNO | Eye"247" Work Smart Cloud | Shadow Desktop |
|---|---|---|---|
| 対応する総務省の対策分類 | アカウント・認証管理／ アクセス制御・認可 | インシデント対応・ログ管理 | データ保護 |
| 主な機能 | SSO（シングルサインオン） 多要素認証・パスワードレス認証（パスキー） IP・端末・時間帯などのアクセス制限 | PC操作ログの記録・可視化 Web閲覧・ファイル操作・USB使用などの記録 勤怠乖離チェック・IT資産管理 | データレスクライアント（端末にデータを残さない） ローカルキャッシュ暗号化（AES256bit） リモートワイプ（オプション） |
| 提供形態 | クラウド型ID基盤（IDaaS） | クラウド型（SaaS） | 既存PCにインストール （データレスクライアント） |
| 初期費用 | 別途あり（金額非公開） | 0円 | 0円 |
| 月額費用（目安） | 400円〜/ユーザー （税抜。Standard Plus、税込440円） | 400〜1,100円/台 （税別。台数に応じた従量制） | 950円〜/ライセンス （税抜。Standard、税込1,045円。2024年10月時点の公式価格表による） |
| 最低契約 | 公式に記載なし | 5台〜 | 5ライセンス〜 |
| 無料トライアル | 30日間 | 14日間 | 最大30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが提供するクラウド型のID基盤（IDaaS）です。シングルサインオン（SSO）を軸に、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理を一つの管理画面で扱えます。公式はゼロトラストの考え方に基づくSSO・アクセス制限・認証強化・ID管理のプラットフォームと位置づけています。
アクセス制限では、IPアドレス制限に加え、デバイス証明書による端末制限、国・地域制限、曜日・時間帯制限などを設定できます。役職・利用環境・端末の状態に応じて認証方式を切り替える「セキュリティプロファイル」も備えており、ガイドラインが求める「アカウント・認証管理」と「アクセス制御・認可」を具体的な設定に落とし込めます。
パスキー認証は全プランで利用でき、月額はStandard Plusが1ユーザーあたり400円（税込440円）からです（2026年11月時点の公式料金ページによる）。
ガイドラインが掲げる「強固な利用者認証」をめぐり、同社は認証方式の違いが安全性に与える影響を次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
Eye“247” Work Smart Cloud（株式会社フーバーブレイン）
株式会社フーバーブレインが提供するEye“247” Work Smart Cloudは、PCの操作ログから「誰が・いつ・どこで・何を操作したか」を記録・可視化するクラウド型サービスです。作業ログは1分間隔で取得され、Web閲覧履歴、指定拡張子のファイル操作、印刷、USB使用履歴、個人情報を含むファイルの検知など、幅広いログを記録します。
記録したログはダッシュボードで可視化でき、テレワーク下での内部不正の抑止や、インシデント発生時の操作履歴の追跡に使えます。ガイドラインの「インシデント対応・ログ管理」に対応する手段として位置づけられます。初期費用・サポート費用は無料で、月額は契約台数に応じた1台あたりの従量制（100台以上で1台あたり400円など、いずれも税別）、最低契約は5台です（2026年11月時点の公式料金ページによる）。
Shadow Desktop（アップデータ株式会社）
Shadow Desktopは、アップデータ株式会社が提供する「データレスクライアント」製品です。既存のWindows PCにインストールすると、PC内のユーザーデータ（デスクトップ・ドキュメント・ピクチャ・ダウンロードの4ディレクトリ）をクラウド等の外部ストレージへ自動的にアップロードし、PC本体にはデータを物理的に残さない状態を作ります。
OSやアプリケーションは仮想化しないため、通常のPCと同じ操作感を保てる点が特徴です。
ダウンロードして開いたファイルはローカルの専用領域に一時キャッシュされます。公式によれば、このキャッシュはAES256bitで暗号化され、ファイル名も変換されるため、PCの紛失・盗難時に記録媒体を取り出しても内容を読み取れない設計とされています。
ガイドラインの「データ保護」に対応し、端末にデータを残さないことで持ち出しPCの情報漏えいリスクを下げる手段です。保存先はAmazon S3やMicrosoft Azure、Microsoft 365などから選べ、私物PC（BYOD）での利用も公式に案内されています。
ここで紹介したサービスは、ガイドラインの対策分類のうち中核となる3領域に対応する例です。認証・ログ・データ保護に限らず、守る対象別に社内セキュリティソリューション全体のタイプや代表サービス・選び方を比較検討したい場合は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
総務省のテレワークセキュリティガイドラインは、2021年5月公表の第5版が最新で、テレワークのセキュリティ対策を体系的に整理した公的な指針です。本記事の要点は次のとおりです。
- まず現物と入口を押さえる：ガイドライン本体・中小企業向けチェックリスト・設定解説資料などは、総務省の「テレワークにおけるセキュリティ確保」ページから入手できます。
- 枠組みを理解する：経営者・管理者・勤務者の3者が役割を担い、「ルール」「人」「技術」のバランスをとることが前提です。対策は13の分類、テレワークの構成は7方式に整理されています。
- 自社の状況に合わせて着手する：専任担当者がいない場合は、まず中小企業向けチェックリストで最低限の対策を押さえ、体制に応じて対策を広げます。
- 対策を手段に落とす：データ保護・認証とアクセス制御・ログ管理といった中核の対策分類は、データレスクライアント、SSO・アクセス制御、PC操作ログといった具体的な手段で満たせます。
ガイドラインで対策の全体像を把握したら、次は自社に不足している領域を具体的なサービスで補う段階です。各サービスの資料を取り寄せ、機能や費用を比較して検討を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. テレワークセキュリティガイドラインとは何ですか？
A. テレワークセキュリティガイドラインとは、企業等がテレワークを実施する際のセキュリティ対策について、考え方や対策例を示した総務省策定の公的な指針です。2004年の初版以降、テレワークの普及や脅威の変化に合わせて改訂が重ねられ、現在の最新版は2021年（令和3年）5月に公表された第5版です。
想定読者3分類（経営者・システム/セキュリティ管理者・テレワーク勤務者）の役割、「ルール」「人」「技術」のバランス、13の対策分類、テレワーク方式7種などを体系的に整理しています。
出典・参考資料（1件）
Q. テレワークセキュリティガイドラインの最新版は第何版で、いつ公表されましたか？
A. 総務省のテレワークセキュリティガイドラインの最新版は、2021年（令和3年）5月に公表された第5版です。初版は平成16年（2004年）12月で、その後は第2版（2006年4月）・第3版（2013年3月）・第4版（2018年4月）と改訂され、第5版が現行の最新版にあたります。
設定解説資料など一部の付属資料は第5版公表後も個別に更新されているため、最新の公開状況は総務省の公式ページで確認するのが確実です。
出典・参考資料（1件）
Q. テレワークセキュリティガイドラインの想定読者は誰ですか？
A. テレワークセキュリティガイドラインは、「経営者」「システム・セキュリティ管理者」「テレワーク勤務者」の3者を想定読者とし、それぞれに必要な役割を求めています。システム・セキュリティ管理者を中心的な読者としつつ、経営者が基本方針を示し、管理者がルール作成や対策実施で具体化し、勤務者がルールを理解・遵守する、という役割分担を前提にしています。
また、専任のセキュリティ担当者がいない中小企業向けには、別途「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」が用意されています。
出典・参考資料（1件）
Q. テレワークセキュリティガイドラインの第4版と第5版は何が違いますか？
A. 第5版では内容が全面的に見直され、方式が6→7種類、対策分類が6→13、対策項目が43→98項目へ倍増しました。6つの脅威カテゴリから13の対策分類へ再整理され、クラウドサービスの活用やゼロトラストセキュリティの考え方も新たに盛り込まれ、テレワークの普及と脅威の変化を反映した構成になっています。
出典・参考資料（1件）
Q. テレワークセキュリティガイドラインが整理する13の対策分類とは何ですか？
A. 13の対策分類とは、第5版がテレワークで実施すべきセキュリティ対策を整理した枠組みで、以下の13種を指します。具体的には、ガバナンス・リスク管理／資産・構成管理／脆弱性管理／特権管理／データ保護／マルウェア対策／通信の保護・暗号化／アカウント・認証管理／アクセス制御・認可／インシデント対応・ログ管理／物理的セキュリティ／脅威インテリジェンス／教育です。
ガイドライン第4章・第5章では、これらを経営者・システム/セキュリティ管理者・テレワーク勤務者の立場別に整理し、さらに取り組みやすい「基本対策」と、予算や体制を要する「発展対策」に区分しています。
出典・参考資料（1件）
Q. テレワーク方式7種にはどのようなものがありますか？
A. テレワーク方式7種とは、VPN方式／リモートデスクトップ方式／仮想デスクトップ（VDI）方式／セキュアコンテナ方式／セキュアブラウザ方式／クラウドサービス方式／スタンドアロン方式の7つです。
オフィスのネットワークやサーバーにどう接続し、データをどこで扱うかによって分かれます。ガイドライン第3章には方式の選定フローチャートと各方式の特性比較表が掲載されており、扱うデータの機密性や既存システムとの接続の必要性などから、自社に合う方式を絞り込めます。
出典・参考資料（1件）
Q. 専任のセキュリティ担当者がいない中小企業は、まず何から着手すべきですか？
A. 専任のセキュリティ担当者がいない中小企業は、まず総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」で最低限のセキュリティ対策を押さえるのが出発点です。
約110ページあるガイドライン本体を通読する負担をかけずに必要な対策を確認でき、体制が整ってきたら本体を参照して対策を広げていく進め方が現実的です。チェックリストには従業員向けハンドブックや緊急時対応カードといった付属資料もあり、周知や初動対応にそのまま使えます。最新版は第3版（令和4年5月）です。
テレワークセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、テレワークのセキュリティ対策に使えるサービスの最新資料を無料で一括請求できます。データの保護・認証とアクセス制御・操作ログの記録など、対策分類ごとに各サービスの機能や費用を比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
