テレワークの情報セキュリティ基本手順｜端末・通信・パスワード・紛失対応

テレワークで個人が守るべき情報セキュリティの基本を網羅。PCやスマホの端末管理、安全な通信環境の選び方、パスワードと多要素認証の設定手順、万が一の紛失・盗難時の初動対応まで具体的に解説します。

テレワークやハイブリッドワークが日常的な働き方として定着するなかで、社外での情報取り扱いに関するリスクは個人の運用レベルに大きく委ねられています。

オフィスにいれば社内ネットワークのファイアウォールや入退室管理といった物理的・技術的な境界に守られていましたが、自宅、カフェ、コワーキングスペースなどでは、作業者本人がセキュリティの境界線を意識して行動しなければなりません。「少し画面を開いたまま離席した」「暗号化されていない公衆Wi-Fiにつないでしまった」「パスワードを複数のサービスで使い回していた」といった些細な油断が、重大な顧客情報の漏えいや社内ネットワークへの不正侵入を招く要因になります。

この記事では、テレワークを行う個人が実務で直ちに取り組むべき情報セキュリティの基本ルールを、「端末の管理」「通信環境の確保」「パスワードと多要素認証」「紛失・盗難・トラブル時の初動対応」の4つの領域に整理して解説します。

なお、業務における生成AIツールの利用規約や入力時の注意点、社内ルールの策定方法については、業務利用のリスクと社内ルールを解説した記事で詳しく解説しています。

1. 端末（PC・スマートフォン）の安全管理

社外で業務を行う端末は、外部からの不正アクセスやマルウェア感染、物理的な盗難・覗き見の危険に常に晒されています。まずは手元の端末そのものを安全に保つための設定と運用ルールを徹底する必要があります。

OSとソフトウェアの定期的なアップデート

攻撃者は、OS（Windows、macOS、iOS、Android）やアプリケーションに発見された脆弱性（セキュリティ上の欠陥）を狙って侵入を試みます。メーカーから脆弱性を修正するセキュリティパッチが配布されたら、放置せずに速やかに適用することが防御の基本です。

OSの自動更新を有効にする: Windows UpdateやmacOSのソフトウェアアップデートを「自動」に設定し、深夜や作業外の時間帯に再起動が完了するように設定しておきます。
Webブラウザの更新: Google Chrome、Microsoft Edgeなどのブラウザは脆弱性が頻繁に報告されるため、ブラウザ右上のメニューに更新案内が出た場合は直ちに再起動して最新版にします。
業務アプリの最新化: PDF閲覧ソフト、Web会議ツール、Officeソフトなども更新を怠らないようにします。

画面ロックの自動化とショートカットキーの習慣化

離席時の数分間であっても、第三者に画面を見られたり、端末を直接操作されたりする危険があります。席を立つ際は、必ず画面ロックをかける習慣を身につけます。

OS	画面ロックのショートカットキー	自動ロックの推奨設定時間
Windows	`Windows` キー＋ `L`	3〜5分以内
macOS	`Control` ＋ `Command` ＋ `Q`	3〜5分以内
スマートフォン（iOS/Android）	電源ボタンを1回押す	1〜2分以内

自宅で一人で作業している場合であっても、同居家族や来客が画面を目にする可能性があるため、作業中断時の画面ロックは共通ルールとして運用します。

ストレージの暗号化（BitLocker・FileVault）

万が一、パソコン本体が盗難や紛失に遭った場合でも、内部のストレージ（SSDやHDD）が暗号化されていれば、データを取り出して読み取られるリスクを大幅に低減できます。

Windowsの場合: 「BitLocker（ビットロッカー）」機能を利用します。Windows 10/11 Pro以上のエディションや、一部のHomeエディション（デバイスの暗号化対応端末）で設定可能です。「設定」>「プライバシーとセキュリティ」>「デバイスの暗号化」またはコントロールパネルから状態を確認し、有効化します。
macOSの場合: 「FileVault（ファイルヴォールト）」機能を利用します。「システム設定」>「プライバシーとセキュリティ」>「FileVault」を開き、オンになっていることを確認します。

暗号化が完了している端末は、ログインパスワードや回復キーを知らない第三者がハードディスクを別のPCに接続しても、中身のファイルを閲覧できません。

外部記録媒体（USBメモリ・外付けHDD）の原則禁止

社内データを私用のUSBメモリや外付けHDDにコピーして持ち出す行為は、紛失時の追跡が困難になるため非常に危険です。会社のセキュリティポリシーで外部記録媒体の使用が許可されていない場合は絶対に接続してはいけません。

許可されている場合であっても、パスワード保護や自動暗号化機能が備わった法人向けの専用メモリを使用し、データのコピー後は速やかに削除する運用が求められます。

私用端末（BYOD）の利用判断と隔離

私用のPCやスマートフォンを業務に使うことをBYOD（Bring Your Own Device）と呼びます。私用端末はセキュリティソフトの導入状況やOSの更新頻度が管理しにくく、個人用途でダウンロードしたファイルやアプリ経由でマルウェアに感染する危険があります。

会社の明示的な許可がない限り、私用PCで社内システムにアクセスしたり、業務ファイルを私用端末に保存したりしてはいけません。スマートフォンで社内チャットやメールを確認する場合も、会社が指定するモバイルデバイス管理（MDM）アプリの導入が必須となっているケースが大半です。

2. 通信環境のセキュリティ対策

テレワークでは、インターネットを経由して社内サーバやクラウドサービスと通信を行います。通信経路における盗聴やなりすましを防ぐため、通信環境の選定と設定には細心の注意が必要です。

公衆Wi-Fi（カフェ・駅・空港）の危険性と対策

カフェや商業施設で提供されている無料の公衆Wi-Fi（フリーWi-Fi）は利便性が高い反面、セキュリティ上の深刻なリスクを抱えています。

暗号化されていないアクセスポイント: 鍵マークがついていないネットワークでは、同じWi-Fiに接続している第三者に通信内容を傍受されるリスクがあります。
悪意ある偽アクセスポイント（悪魔の双子攻撃）: 実在する店舗のSSID（ネットワーク名）と酷似した偽のWi-Fiを攻撃者が設置し、接続した端末のIDやパスワードを盗み取る手口が存在します。

公衆Wi-Fiを利用する際の判断基準は次のとおりです。

接続方法	セキュリティレベル	テレワークでの利用可否	留意点
スマートフォンのテザリング	高	推奨	通信キャリアの回線を使うため安全性が高い
モバイルWi-Fiルーター（個人・会社貸与）	高	推奨	WPA2/WPA3で暗号化された回線を利用する
自宅の光回線・固定Wi-Fi	高	推奨	ルーターの初期パスワードを変更して利用する
パスワード保護のある公衆Wi-Fi	中	VPN併用時のみ可	必ず会社指定のVPNを経由して通信を行う
パスワードのない完全無料Wi-Fi	低	原則禁止	業務データのやり取りやログイン操作を行わない

業務上のやり取りを行う際は、スマートフォンのテザリングまたは会社から貸与されたモバイルルーターを使用するのが最も安全です。

VPN（仮想プライベートネットワーク）の役割と正しい使い方

VPN（Virtual Private Network）は、インターネット上に暗号化された仮想の専用トンネルを構築し、外部から通信内容を盗み見られないようにする仕組みです。

社外から社内ネットワーク（ファイルサーバや基幹システム）にアクセスする際は、会社から指定されたVPNクライアントソフトを起動し、接続を確立してから作業を行います。

常時接続の遵守: 「VPNをつなぐと通信速度が落ちるから」という理由でVPNを切断したまま業務を行うと、保護されていない平文の通信が漏えいする恐れがあります。
作業終了時の切断: 業務が終了したらVPN接続を切断し、不要なセッションを残さないようにします。

自宅のWi-Fiルーターの安全設定

在宅勤務の拠点となる自宅のネットワーク機器も、攻撃対象になり得ます。家庭用ルーターのセキュリティが甘いと、ルーター自体が乗っ取られ、不正なサイトへ誘導されたり通信を改ざんされたりすることがあります。

自宅のWi-Fi環境について、以下の3点を確認してください。

管理者パスワードの変更: ルーターの設定画面に入るためのパスワードが、機器の底面に記載された初期値や「admin」「password」のままになっている場合は、直ちに推測されにくい複雑な文字列に変更します。
暗号化規格の確認: Wi-Fiの暗号化方式が「WPA2-AES」または「WPA3」に設定されているか確認します。古い規格である「WEP」や「WPA（TKIP）」は解読されるリスクがあるため使用してはいけません。
ファームウェアの自動更新: ルーターの動作プログラム（ファームウェア）を最新に保つため、自動更新機能を有効にします。古いルーターでメーカーのサポートが切れている機器は買い替えを検討してください。

3. アカウント認証とパスワードの管理

サイバー攻撃の大半は、盗まれたアカウント情報を悪用した不正ログインから始まります。認証情報を適切に管理することは、個人のセキュリティにおいて最も重要な防壁となります。

安全なパスワードの作成基準

短いパスワードや、辞書に載っている単語、推測されやすい規則的な文字列は、自動化された攻撃ツールによって数秒から数分で解読されます。

パスワードを作成する際は、以下の基準を満たす必要があります。

長さ: 最低でも12文字以上、できれば16文字以上を確保する。
文字種の組み合わせ: 英大文字・英小文字・数字・記号をランダムに混在させる。
推測されやすい情報の排除: 社名、システム名、自分や家族の名前、生年月日、キーボードの並び（「qwerty」「123456」など）を含めない。
使い回しの完全排除: 異なるサービス間で同一または類似のパスワードを使い回さない。あるWebサービスから漏えいしたログイン情報を使って他のサービスへのログインを試みる「パスワードリスト攻撃」の標的になるためです。

多要素認証（MFA / 2FA）の必須化

パスワード（記憶情報）だけに頼る認証は、フィッシング詐欺などで一度情報が盗まれると防ぐ手段がありません。そこで、複数の異なる要素を組み合わせて本人確認を行う「多要素認証（MFA）」の設定が不可欠です。

認証の3要素は次のとおりです。

知識情報: パスワード、PINコード、秘密の質問
所持情報: スマートフォンの認証アプリ（Google Authenticator、Microsoft Authenticatorなど）、SMSに届くワンタイムパスワード、ハードウェアセキュリティキー
生体情報: 指紋認証、顔認証

社内システム、Webメール、クラウドストレージなど、テレワークで利用する主要なサービスでは、必ず多要素認証を有効化します。多要素認証が設定されていれば、仮にパスワードが漏えいしても、手元のスマートフォンで認証を承認しない限り不正アクセスを防ぐことができます。

パスワードマネージャーの活用

すべてのサービスで16文字以上の異なるパスワードを設定し、それを人間が暗記することは困難です。紙のメモに書き留めてPCに貼る、デスクトップのメモ帳に平文で保存するといった運用は情報流出に直結します。

安全に多数の認証情報を管理するためには、専用の「パスワードマネージャー（パスワード管理ツール）」の利用が推奨されます。

仕組み: 強固に暗号化されたクラウド上の保管庫にパスワードを保存し、ユーザーは1つの「マスターパスワード」だけを覚えておけば各サービスへ安全にログインできます。
自動生成機能: ランダムで複雑なパスワードをツールが自動生成するため、強度の高い文字列を即座に作成できます。
利用時の注意: マスターパスワードは20文字前後の極めて強力なフレーズを設定し、マスターパスワード自体にも多要素認証を設定します。

4. 社外作業（カフェ・コワーキング）における物理的セキュリティ

テレワークでは、ネットワーク経由の攻撃だけでなく、人間の行動や物理的な隙を突いた情報窃盗（ソーシャルエンジニアリング）への警戒を怠ってはいけません。

覗き見防止（ショルダーハッキング対策）

カフェ、新幹線、コワーキングスペースなどで作業する際、背後や隣の席からPC画面を覗き見られる行為を「ショルダーハッキング」と呼びます。顧客情報、売上データ、取引先とのメール画面は、覗き見られるだけで機密漏えいに該当します。

具体的な対策手順は以下のとおりです。

覗き見防止フィルターの装着: 左右からの視線を遮る偏光フィルターをPCディスプレイに常時装着します。
座席の選び方: 壁を背にした席や、背後に人の通り道がない席を選んで着席します。ガラス張りの通路に面した席などは避けます。
画面のフォントサイズ: 公共の場では画面を過度に拡大表示せず、必要以上に遠くから文字が読めない状態にします。

離席時の荷物管理とクリアデスク・クリアスクリーン

短時間の離席であっても、PCや重要書類を置いたまま席を離れてはいけません。トイレや注文のために席を立つわずか1〜2分の間に、PC本体が持ち去られたり、USBメモリを挿入されてデータを抜き取られたりする事件が発生しています。

PCを放置しない: 席を離れる際は、画面を閉じて必ず持ち運ぶか、鍵のかかるロッカー等に収納します。
クリアスクリーンの徹底: 作業を中断する際は、必ず手動で画面ロック（Windows + L 等）を実行します。
クリアデスクの徹底: 机の上に契約書、名刺、メモ書きなどの紙媒体を広げたまま放置しないようにします。

Web会議・通話時の会話漏えい（盗聴対策）

社外でWeb会議に参加したり電話対応を行ったりする際、周囲への会話の漏れ出しにも配慮が必要です。

周囲の環境: 周囲に不特定多数の人がいる場所で、取引先名、顧客の個人名、プロジェクトの金額、未公開の製品情報などを発言してはいけません。
個室ブースの利用: コワーキングスペースや駅構内に設置されている防音仕様の個室ブースを活用するか、会話が発生する作業は自宅で行うように作業内容を切り分けます。
指向性マイクやノイズキャンセリングの活用: 周囲の雑音や他人の会話をマイクが拾って会議相手に伝わらないよう、適切なヘッドセットを使用します。

5. 紛失・盗難・トラブル発生時の初動対応

どれほど注意していても、端末の紛失や盗難、マルウェア感染などのセキュリティインシデントに遭遇する可能性はゼロではありません。万が一の事態が発生した際は、「怒られるのを恐れて隠す」「自分で何とかしようとして時間を浪費する」ことが被害を最大化させます。迅速かつ正確な初動対応が求められます。

状況別：インシデント発生時の初期対応手順

トラブルの内容に応じて、直ちに行うべき一次対応は異なります。以下の手順をあらかじめ把握しておきます。

【トラブル発生時の対応フロー】

[端末の紛失・盗難]
  │
  ├─ 1. 社内の情報システム部門・上長へ即時連絡
  ├─ 2. リモートワイプ（遠隔消去）の申請・実行
  └─ 3. 警察へ遺失届・被害届を提出

[マルウェア感染の疑い・不審な挙動]
  │
  ├─ 1. Wi-Fiを即座にOFF・有線LANを抜く（ネットワーク遮断）
  ├─ 2. PCの電源は切らずにそのまま保持（メモリ上のログ保全）
  └─ 3. スマホなど別端末から情シス・上長へ報告

[フィッシングサイトへID・パスワードを入力した]
  │
  ├─ 1. 別の安全な端末から該当アカウントのパスワードを変更
  ├─ 2. 同一パスワードを使っている他サービスのパスワードも変更
  └─ 3. 情シス・上長へ報告し、セッション強制切断を依頼

1. 端末を紛失・盗難された場合

直ちに会社へ連絡する: 最優先事項は社内の緊急連絡窓口（情報システム部門、セキュリティ担当部署）および直属の上長への電話・連絡です。「探せば見つかるかもしれない」と何時間も捜索を優先して報告を遅らせてはいけません。
リモートワイプ（遠隔データ消去）の実行: 会社側で管理しているシステムから、端末の位置情報特定や遠隔ロック、ストレージデータの消去を即時に実行してもらいます。
警察への届出: 最寄りの警察署や交番に遺失届（または盗難届）を提出し、「受理番号」を控えて会社へ報告します。

2. マルウェア感染や不審なポップアップが表示された場合

ネットワークから物理的・論理的に切断する: Wi-Fi機能をオフにし、有線LANケーブルを直ちに抜きます。社内ネットワークや他の機器への感染拡大、外部サーバへのデータ送信を防ぐためです。
PCの電源は切らない: 電源を強制終了すると、メモリ上に残っていた攻撃の痕跡（フォレンジック調査に必要なログデータ）が消去されてしまうことがあります。画面を開いたままネットワークだけを切断し、会社の指示を仰ぎます。

報告時に伝えるべき「5W1H」チェックリスト

会社に連絡する際は、パニックにならず以下の項目を整理して伝えます。

確認項目	具体的な伝達内容
いつ（When）	紛失に気づいた時刻、または不審な事象が発生した正確な日時
どこで（Where）	発生場所（〇〇カフェの〇〇店、〇〇駅のホーム、移動中の電車内など）
だれが（Who）	自分の氏名、所属部署、連絡先電話番号（本人の私用携帯など）
なにを（What）	端末の機種名、資産管理番号、OSのバージョン
なぜ・どうして（Why/How）	置引きに遭った、網棚に置き忘れた、不審なリンクをクリックした等
端末内のデータ（Data）	顧客情報、機密ファイル、メールデータ等の保存状況
現在の状態（Status）	端末の画面ロック有無、BitLocker等の暗号化有無、遠隔捜索の成否

6. テレワーク業務開始前のセキュリティチェックリスト

日々のテレワークを安全に行うために、業務開始前および外出時に確認すべき項目をまとめました。定期的に自己点検を行ってください。

端末・環境の安全点検表

OSとアプリ: OSおよびブラウザ、セキュリティ対策ソフトは最新バージョンに更新されているか
画面ロック: 離席時に手動でロックをかける習慣がついているか（自動ロック時間は5分以内に設定されているか）
暗号化: PCの内蔵ストレージ（BitLocker / FileVault）は有効化されているか
通信回線: フリーWi-Fiをそのまま使わず、テザリングまたは会社指定のVPNを経由して通信しているか
ルーター: 自宅Wi-Fiルーターのパスワードは初期値から変更されており、暗号化規格はWPA2以上か
パスワード: 業務で利用する各種アカウントのパスワードは12文字以上で、使い回しをしていないか
多要素認証: メールやクラウドストレージなどの主要システムで多要素認証（MFA）が有効になっているか
覗き見対策: 社外作業時、背後に人の視線がない座席を選び、覗き見防止フィルターを装着しているか
連絡先の把握: 端末の紛失や不審な挙動が起きた際の緊急連絡先（情シスの電話番号等）を、PC以外の手段（スマートフォン等）に控えているか

7. セキュリティの基本知識を体系的に身につけるには

テレワークにおける情報セキュリティのルールは、単に「禁止事項を守る」だけでなく、「なぜその対策が必要なのか」というネットワークや暗号化の仕組みを理解することで、より確実な行動につながります。

暗号化の仕組み、ネットワークプロトコル、サイバー攻撃の手口など、ITセキュリティ全般の基礎知識を体系的に学び直したい場合は、国家試験であるITパスポートの学習が有効です。出題範囲にはテレワーク環境やセキュリティ運用に関する標準的な知識が含まれており、非エンジニアの社会人がリテラシーを証明する土台になります。

詳しい勉強時間や分野別の学習手順については、ITパスポートの勉強法を解説した記事を参考にしてください。

まとめ：セキュリティは「日々の小さな習慣」の積み重ね

テレワーク環境におけるセキュリティインシデントの多くは、高度なハッキング技術によるものばかりではなく、パスワードの使い回し、公衆Wi-Fiの無防備な利用、わずかな離席時の覗き見といった、個人の日常的な操作の隙から発生します。

安全なテレワークを実践するための要点は以下の4点です。

端末の堅牢化: OSを常に最新に保ち、ストレージの暗号化と画面ロックを徹底する。
安全な通信の選択: 不明な公衆Wi-Fiを避け、テザリングやVPNによる保護を基本とする。
認証の強化: パスワードの使い回しをやめ、多要素認証（MFA）を確実に設定する。
迅速な初動連絡: 紛失や不審なトラブルが発生した際は、自己判断で隠さず即座に会社へ報告する。

一つひとつの対策は決して難しい作業ではありません。チェックリストを活用しながら日々の習慣として定着させ、安全にテレワーク業務を進めてください。

確認先

独立行政法人情報処理推進機構（IPA）「テレワークセキュリティガイドライン」
総務省「テレワークセキュリティガイドライン」
内閣サイバーセキュリティセンター（NISC）「インターネットの安全・安心ハンドブック」