eラーニングブログ

オフィスとテレワークでは、労働環境やセキュリティ環境が異なります。まずはその点を整理していきましょう。

〈異なる部分.1〉ネットワーク環境

●オフィス
オフィスでは、基本的に安全な企業内ネットワークが提供され、社内サーバーやデータベースへのアクセスは制御されています。また、通信はオフィス内のハードウェアやネットワークで保護されています。

●テレワーク
自宅のほか、コワーキングスペースやカフェなど、インターネットができるさまざまな場所から仕事を行います。そのため、自宅や公共のWi-Fiを利用することが一般的ですが、中には暗号化されていないものもあるため注意が必要です。

〈異なる部分.2〉デバイス管理や物理的なセキュリティ

●オフィス
オフィスでは、企業が貸与・提供するデバイスを仕事に使用します。これらのデバイスはセキュリティポリシーに基づいて管理されています。また、オフィス内では入室時の認証や監視カメラの設置、シュレッダー、デバイスは施錠して格納するなど、物理的なセキュリティ対策も行われています。

●テレワーク
テレワークでは、従業員が個人で所有しているデバイスを使用することもあります。オフィスの堅牢なセキュリティ環境から離れるため、デバイス管理や物理的なセキュリティ対策は、個人に委ねられることになります。

〈異なる部分.3〉セキュリティソフトの管理

●オフィス
オフィスのデバイスには、指定されたセキュリティソフトがあらかじめインストールされ、適宜、管理者がアップデートを適用しています。

●テレワーク
従業員がデバイスを管理しているため、セキュリティソフトのインストールやアップデートは個人が責任を持つことになります。従業員は常に最新のセキュリティ対策を行う必要があります。

〈異なる部分.4〉データの保存とアクセス

●オフィス
データの保存は企業内のサーバーやクラウドサービスを利用して行われることが一般的です。アクセスは通常、オフィス内でのみ許可され、アクセス権限は管理者によって制御されています。

●テレワーク
テレワークでは、VPNやクラウドサービスを介してデータにアクセスします。社内のデータが従業員の自宅など外部から接続されるため、安全なアクセス制御が必須です。
プライベート空間である自宅や公共施設などは、同僚の目があるオフィスとは違い、ついつい気が緩むことも。その分、情報セキュリティに関連するトラブルが発生する可能性も高くなります。

※企業の情報セキュリティについては、以下のブログでも詳しく解説しています。
＞情報セキュリティ教育とは？実施方法から教材作成のステップ、eラーニング教材の作成方法までご紹介！

テレワークで懸念される情報セキュリティのリスクには、どのようなものがあるのでしょうか。ここでは考えられるリスクを挙げていきます。

〈リスク.1〉デバイスの紛失や盗難
テレワークでは、業務用のノートパソコンなどを社外で使用するため、紛失や盗難のリスクがつきまといます。特に、データを持ち出すための外付けハードディスクやUSBメモリなどはノートパソコンよりも小さいため、その危険性は高まります。

〈リスク.2〉第三者によるデータの盗聴
公共の施設や飲食店などで提供されているWi-Fiは暗号化されていないケースがあります。そのため、第三者によるデータの盗聴のリスクが発生することを頭に入れておきましょう。もちろん、自宅のWi-Fiであっても暗号化が未設定であれば、同様のリスクが起こり得ます。

〈リスク.3〉私物のデバイスの対策不足
私物のデバイスの管理は個人に委ねられます。そのため、中にはセキュリティソフトが入っていなかったり、フリーソフトなどを介して既にマルウェアに感染しているパソコンがあるかもしれません。それが原因でデータが流出する恐れがあります。

〈リスク.4〉自宅内での情報漏洩
自宅で仕事をする場合、「家人が業務用のPCを使った」とか「印刷データを子どもが持ち出してしまった」など、家族や同居人が個人情報や機密データに触れるリスクがあります。さらに、印刷データをそのままゴミとして捨てると、そこから第三者に情報が漏洩する危険も出てきます。

〈リスク.5〉リカバリーに時間がかかる
業務データを失くしたり、誤って削除したりといったことは、どこでも起こり得るミスですが、テレワークの場合は頼れる同僚が近くにいないため、リカバリーに時間がかかるケースがしばしばみられます。

このようなテレワークでのリスクを認識せず、情報セキュリティ対策を怠ると、情報流出やPC乗っ取り、ウイルス拡散の踏み台になるなど、重大なインシデントにつながることが考えられます。その結果、従業員個人だけではなく、場合によっては、企業全体、社会全体に影響が及ぶ可能性も出てきます。

テレワークは便利で柔軟な働き方を叶える一方で、社外からのアクセスや自宅環境での作業により、情報セキュリティのリスクも高まります。ここでは、そのリスクを最小限に抑えるための基本対策を3つご紹介します。

〈対策.1〉ルールを策定し、遵守する

まず重要なのは、企業としてのセキュリティルールを明確に定めることです。その中核となるのが「セキュリティガイドライン（情報セキュリティ関連規程）」です。

●セキュリティガイドライン

セキュリティガイドラインとは、情報セキュリティに関する方針や行動指針をまとめた文書です。作成することで、組織として統一されたセキュリティレベルを維持・確保できます。主な構成要素は以下のとおりです。

① セキュリティポリシー（基本方針）
全体の根幹となる文書で、企業としての情報セキュリティに関する考え方を示します。

② セキュリティスタンダード（対策基準）
基本方針に基づき、実施すべきことや守るべきことを規定する文書です。

③ セキュリティプロシージャ（実施内容）
対策基準で規定された事項を具体的に実行するための手順を示す文書です。

これらは企業理念や経営戦略、事業規模、業種・業態などにより異なってくるため、自社に合致したセキュリティガイドラインを定めることが大切です。

●セキュリティガイドラインの運用のポイント

（ポイント.1）責任者を明確にし、管理体制を整える
責任の所在をはっきりさせることで、トラブル発生時の対応が迅速かつ的確になり、組織全体での実効性アップにつながります。

（ポイント.2）定期的な見直しを行い、環境や脅威の変化に対応する
IT環境やサイバー攻撃の手口は常に進化しています。定期的にルールを見直すことで、最新のリスクに備えることができます。

（ポイント.3）セキュリティガイドラインに基づき、従業員への教育を継続的に実施する
従業員一人ひとりが正しい知識を持ち、素早く行動できるよう、繰り返し、最新情報に基づいて教育をすることでルールが形骸化せずに定着します。

〈対策.2〉従業員一人ひとりが知識を身につけ、意識を改める

どれだけルールやシステムを整えても、実際に業務に携わる従業員の意識が低ければリスクは残ります。そのため、知識を身につけ、常にセキュリティを意識できる環境づくりが求められます。そこで重要なのが、研修です。

●研修のポイント

（ポイント.1）継続的な研修を実施する
単発ではなく定期的に研修を行うことで、知識の定着と最新動向のキャッチアップを両立できます。特に、場所や時間を選ばずに受講できるeラーニングは、テレワークとも好相性です。

（ポイント.2）社内の情報発信を活用する
ポータルサイトやチャットツール、メールなどを活用し、注意喚起や最新のセキュリティ情報を共有し、従業員の意識を日常的に高めていくことも効果的です。

〈対策.3〉技術的対策も怠らない

システムやツールにおける技術的対策も不可欠です。具体的な対策方法については、次章で詳しく解説します。

この3つの対策を組み合わせることで、テレワークに潜むセキュリティリスクを効果的に防ぐことが期待できます。

ルールや教育と並んで欠かせないのが「技術的なセキュリティ対策」です。ここでは代表的な対策を紹介します。

〈技術的対策.1〉物理的な端末への対策
PCやモバイル端末は、持ち出しの多いテレワーク環境では特に狙われやすい対象です。以下のような対策が考えられます。

・持ち出しのルールを明確に定める
・不要な持ち出しを避ける
・紛失や盗難に遭った場合に、リモートでデータ消去などができる仕組みを導入する

〈技術的対策.2〉ウイルス対策・脆弱性への対策
サイバー攻撃は日々巧妙化しています。ソフトウェアの脆弱性を突かれるケースも少なくないため、以下のような基本的な対策を怠らないようにしましょう。

・OSやソフトウェアを常に最新バージョンに更新する
・修正プログラムを速やかに適用する
・セキュリティソフトを導入し、ファイルを最新状態に保つ

〈技術的対策.3〉アクセス制限・認可
不正アクセスを防ぐためには、社内ネットワークへの接続ルールを設けることも重要です。以下の対策を講じることで、不正利用の防止につながります。

・VPNやゼロトラストの導入
・接続元IPアドレスの制限
・権限に応じたアクセス範囲の制御

〈技術的対策.4〉個人情報や通信の暗号化
社外の環境から送受信するデータは、盗聴や改ざんのリスクがあります。通信の暗号化を徹底し、さらに端末に保存するデータも暗号化することで情報漏えいを防ぎます。

〈技術的対策.5〉アカウント認証管理
アカウントの不正利用は大きな被害につながるため、厳格な管理が必要です。強固なパスワードポリシーの設定と定期的な更新、不要なサービスの解約、休眠アカウントの削除などを行うことで安全性が高まります。

〈技術的対策.6〉ログ収集・定期的なバックアップ
万が一のトラブルに備え、行動履歴やシステムログを収集しておくことは非常に有効です。あわせて、定期的なデータのバックアップを行い、災害や攻撃によるデータ消失に備えることも重要です。

これらの技術的対策は、継続的な運用・改善が求められます。ルールや教育と組み合わせることで、テレワーク環境のセキュリティは大きく強化・向上されます。

柔軟な働き方を叶えるテレワークですが、情報セキュリティの面では、オフィス以上に注意を払うことが重要です。また、上司や管理者の目が届かない場所での業務になるため、従業員一人ひとりがセキュリティに対する責任を十分に理解し、知識を深めることが重要なカギとなります。

そこで、おすすめしたいのがeラーニングです。時間や場所に関係なく学習できるeラーニングはテレワークとも好相性。従業員の都合のよいタイミングで、テレワークにおける情報セキュリティの知識を手軽に学ぶことが可能です。

ヒューマンサイエンスでは、情報セキュリティに関連するさまざまなeラーニング教材をご用意しています。その中でも、テレワークに特化した「テレワーク・リモートワークの情報セキュリティ」では、デバイスの管理方法や、労働環境の整備の仕方、もしもの時への備えなど、具体的・実践的なセキュリティ対策を丁寧に解説しています。

詳しくは、株式会社ヒューマンサイエンスのeラーニングサイトをご参照ください。

＞eラーニング教材「テレワークの情報セキュリティ」