テレワークのセキュリティ対策とは？総務省ガイドラインに沿った企業の進め方

2026/10/20 お役立ち記事

Check!

ルール・人・技術の3つをそろえる
経営者・管理者・勤務者で役割が違う
ルールは全員に届いて初めて機能する

テレワークのセキュリティ対策は、ルール(規程)・人の行動・技術的な対策の3つを組み合わせて進めます。総務省の「テレワークセキュリティガイドライン」(第5版、令和3年5月)は、経営者・管理者・勤務者の立場ごとに実施すべき対策を一覧にしており、企業の取り組みの土台になります。2025年の総務省の実態調査では、導入企業の多くが、のぞき見防止、多要素認証、端末の紛失対策などに不十分な点を残していました。この記事では、ガイドラインの全体像、起きやすいリスク、方式ごとの注意点、私物端末・ログ・個人情報の扱い、ルールを全員に届ける方法を、総務省・IPA・個人情報保護委員会などの一次情報に沿って整理します(2026年10月20日確認)。

テレワークのルールを全員に届ける方法を、2問で診断

Q1. いま一番気になっているのは？

テレワークのセキュリティ対策は「ルール・人・技術」の組み合わせ｜総務省ガイドライン第5版の全体像

テレワークのセキュリティ対策とは、社外で業務を行うときの情報漏えい・不正アクセス・マルウェア感染を防ぐため、ルール・人の行動・技術の3つを組み合わせて行うことです。

総務省は「テレワークセキュリティガイドライン」を公表しており、最新は第5版(令和3年5月)です。企業が安心してテレワークを導入・活用するための指針で、中小企業を含む全企業が対象です。ガイドラインは、テレワークのリスクは特定の担当者や特定の対策だけでは防げず、組織全体で役割を分担しながら複数の対策を重ねる必要があると述べています（出典：総務省「テレワークにおけるセキュリティ確保」、2026年10月20日確認）。対策は、ガバナンス・リスク管理から、データ保護、マルウェア対策、アカウント・認証管理、物理的セキュリティ、教育まで13分類に整理され、実施の難しさに応じて「基本対策」と「発展対策」に分かれます。

立場	主な役割	代表的な対策(ガイドラインの対策番号)
経営者	方針を決め、組織・人材・予算を確保し、管理者に指示する	セキュリティポリシー(基本方針)の策定と周知(A-1)、対策に必要な組織・人材・予算の確保(A-2)、情報の重要度の方針(E-1)、インシデント対応計画(J-1)、研修の実施(M-1)
システム・セキュリティ管理者	規程を整え、端末と環境を管理し、勤務者に周知する	関連規程の整備と周知(A-1)、端末の台帳整備(B-1)、アップデートの周知(C-1)、多要素認証の強制(H-2)、端末の暗号化・紛失対策(E-7・E-9)、ログの取得(J-5)、連絡窓口の整備(J-1)
テレワーク勤務者	規程を守り、不審な点はすぐ報告する	規程の確認(A-1)、許可されたアプリだけを使う(B-2)、OSの自動アップデート(C-1)、不審メールを開かず報告(F-1)、パスワードを使い回さない(H-3)、画面ロック・のぞき見対策(K-1)、紛失や感染の疑いを速やかに報告(J-2)

第4章の対策項目を本記事で数えると、経営者は5項目(すべて基本対策)、管理者は64項目(基本45・発展19)、勤務者は29項目(基本28・発展1)です。専任の担当者がいない中小企業向けには、「中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)」(第3版、令和4年5月)、従業員向けハンドブック、緊急時対応カードも同じページで公表されています。まずはチェックリストから着手するのが現実的です。

セキュリティのルールを全員に届ける｜規程の3階層と、周知・連絡手段の整え方

セキュリティのルールは、基本方針・対策基準・実施手順の3階層で整え、経営者が基本方針を定めたうえで全員に周知することから始めます。

ガイドラインは、企業等のセキュリティ対策で最も基本となるルールを「情報セキュリティ関連規程」とし、次の3つの階層で構成すると説明しています（出典：総務省「テレワークにおけるセキュリティ確保」・テレワークセキュリティガイドライン第5版第5章、2026年10月20日確認）。

階層	内容	定める人
セキュリティポリシー(基本方針)	全体の根幹となる文書。セキュリティに関する理念や方針を表明する	経営者(案文は管理者が作ってもよいが、制定者は経営者とすべきとされている)
セキュリティスタンダード(対策基準)	基本方針に基づき、実施すべきことや守るべきことを定める文書	システム・セキュリティ管理者
セキュリティプロシージャ(実施内容)	対策基準の事項を具体的に実行するための手順を示す文書	システム・セキュリティ管理者

ルールの周知と連絡手段の整備を支える2サービスの役割の違い

自社の状況を選ぶと、合うサービスが強調されます。優劣ではなく役割の違いで並べています

自社の状況： すべて業務連絡の手段をそろえたいルールや注意喚起が読まれたか確認したい

この状況に合う一例：Chatworkは、業務連絡・通話・タスク・ファイル管理を1つのチャットにまとめ、私物の手段に頼らない運用をつくりたい場合の一例です。

資料を無料ダウンロード

この状況に合う一例：ourlyは、社内のお知らせを記事として届け、閲覧率や読了率で読まれた度合いを確認したい場合の一例です。

資料を無料ダウンロード

サービス	Chatwork	ourly
向いている会社	業務連絡やファイル共有、タスクの依頼を、メールや私物のアプリに頼らず、会社が認めたチャットに集約したい会社	セキュリティのルールの改定や注意喚起を、全従業員に届け、どれだけ読まれたかを確認したい会社
特徴	フリープランがあり、チャットのほか通話やタスク・ファイル管理の機能が充実。年齢や性別を問わず使いやすいシンプルさが特徴とされている	記事ごとの閲覧率に加え、読了率・リアクション率といった独自の指標で分析できる。知識や経験がなくても入稿できる入稿・管理画面で、組織改善まで支援する体制がある
注意したい点	商品ページには、より高いセキュリティやサポートの手厚さを求める場合はエンタープライズの契約が必要と記載。VPNやウイルス対策などの端末側の対策を置き換えるものではない	アカウントの人数規模によって料金が変動し、詳細は問い合わせが必要。ルールの周知を支えるツールで、セキュリティ対策そのものを提供するものではない
資料・詳細	資料を無料ダウンロード詳細を見る	資料を無料ダウンロード詳細を見る

表は横にスクロールできます。料金はプランによって異なるため、資料や公式サイトで確認してください。

ルールを決めても、業務連絡が私物のチャットアプリや個人のメールで行われていると、どの手段にどんな情報が流れているかを会社が把握できません。業務連絡の手段を会社が認めた1つのチャットにそろえ、使い方のルールをチャットの中にも書いておく運用の一例が、Chatwork株式会社が提供するChatworkです。商品ページによると、フリープランがあり、チャットのほか通話やタスク・ファイル管理の機能が充実していて、初めて導入する中小企業にもおすすめとされています。Chatwork公式のセキュリティ紹介ページ(2026年10月20日確認)では、認証コードによる2段階認証は全プラン共通、IPアドレス制限・社外ユーザーの制限・チャットログのエクスポートは上位プラン限定と案内されています。一方で、商品ページには、より高いセキュリティとサポートの手厚さを求める場合はエンタープライズの契約が必要と書かれており、プラン名と対象機能は公式で確認する必要があります。また、Chatworkは端末側のウイルス対策やアップデートの代わりにはなりません。料金はプランによって異なるため、資料や公式サイトで確認してください。

Chatwork株式会社

Chatwork

Chatwork株式会社

Chatwork

タスク管理やビデオ通話も◎初めて導入する中小企業におすすめ

30秒で完了！かんたん入力資料を無料ダウンロード

料金・機能をまとめて確認サービス詳細はこちら

30秒で完了！かんたん入力資料を無料ダウンロード

料金・機能をまとめて確認サービス詳細はこちら

GOOD

テレワークで起きやすいセキュリティリスク11選｜総務省ガイドラインのトラブル事例から

テレワークで特に注意すべきリスクは、VPN機器の脆弱性の放置、マルウェア感染、端末やUSBメモリの紛失、公衆無線LAN、パスワードの使い回しなど、事例のある身近なものです。

ガイドラインの第6章は、テレワークに関係するトラブル事例を15件取り上げ、それぞれ「具体的な動向」「テレワークセキュリティへの示唆」「有効な対策」に整理しています（出典：総務省「テレワークにおけるセキュリティ確保」・テレワークセキュリティガイドライン第5版第6章、2026年10月20日確認）。以下は、そのうち11件を、事例と対応する対策番号でまとめた表です(事例はいずれもガイドライン公表時点の過去の事例です)。

リスク	ガイドラインに載る事例と示唆	主な対策(対策番号)
VPN機器の脆弱性の放置	2020年8月、既知の脆弱性を放置したVPN機器のIDやパスワードが世界中から流出し、日本でも40社近くの企業等に不正アクセスがあった。普段使っていないVPN機器を急に増設用として動かし、攻撃を受けた企業もあった	VPN機器・リモートデスクトップのアップデートを定期的に行う(管理者C-2)、サポートが終了した製品を使わない(C-3)
マルウェア感染	2020年5月、グループ会社の従業員がフリーメールの添付ファイルを開き、新種のマルウェアで検知が遅れて個人情報1万件以上が漏えいした。業務で許可していないアプリの利用が統制を効かなくした	許可するアプリを規程で明確にする、ウイルス対策ソフトの自動更新(F-1)、未知のマルウェアに備えるEDR(発展対策F-3)
ランサムウェア	2017年5月のWannaCryは150か国以上・30万台超のPCに被害。セキュリティパッチを当てていない端末に感染が広がった。身代金を支払っても復旧されない可能性があり、支払いは推奨されていない	OSのアップデート(C-1)、重要情報のバックアップをオフィスから切り離した環境にも保管(E-5)
フィッシング・ビジネスメール詐欺	個人所有端末では業務と関係のないメールも受信するため、ショッピングサイトを装ったフィッシングで感染するおそれがある。ビジネスメール詐欺は、対面で確認しにくいテレワークを狙い、財務部門などの従業員を標的に増えているとされる	不審なメールは開かず報告(勤務者F-1)、定期的な研修と注意喚起(管理者M-1・M-2)
端末・USBメモリの紛失	2020年6月、テレワークのために持ち出したUSBメモリを紛失し、3000人以上の個人情報が関わる事故が発生した	ディスクの暗号化(E-7)、MDMによる遠隔でのデータ初期化(E-9)、位置情報の検知(E-10)、USBメモリは業務上必要なものに限る(E-4)
公衆無線LAN	ホテルの無線LANを乗っ取るDarkhotelや、正規のアクセスポイントを装う偽アクセスポイントで、通信を傍受されるおそれがある	通信経路の暗号化(VPN、TLS)(G-1)、無線LANはWPA2またはWPA3(G-3)
第三者による画面の閲覧	家族や周囲の人に画面を見られる、家族が撮った写真に画面が映りこんでSNSに投稿される、画面共有した内容を撮影される、といったリスクがある	自動ロックとプライバシーフィルター(勤務者K-1)、会議の音漏れ・画面への注意(K-2)
パスワードの使い回し	他サービスから漏れたIDとパスワードで不正ログインを試みる「リスト型アカウントハッキング攻撃」が増加。ガイドラインは、多要素認証を設定したアカウントは被害確率が99.9%低いというMicrosoft社の調査結果を紹介している	多要素認証の強制(H-2)、パスワードを使い回さない(勤務者H-3)
クラウドの設定ミス	2020年1月、クラウド事業者のアクセス制御設定のミスで、カスタマーサポート情報2.5億件が漏えいした。テレワーク導入にあわせて使い始めたクラウドストレージの設定や契約期限の確認も必要とされる	クラウドの利用ルールの整備(A-3)、第三者認証を取得したサービスの選定(発展対策A-4)
端末の踏み台化	2020年5月、VDIを使っていても、個人所有端末が乗っ取られて踏み台になり、180社以上の顧客に影響が出るおそれが発表された。VDIでも接続元の端末の対策は不要にならない	パーソナルファイアウォールの有効化(I-1)、接続IPアドレスの制限と不要ポートの閉鎖(I-2)
サプライチェーン	2020年12月、業務委託先のMSP事業者経由でサーバが不正アクセスを受け、複数の端末がマルウェアに感染した。自組織の対策が十分でも、委託先が弱いと被害が及ぶ	委託先を含めた対策状況の確認、委託先の従業員にも研修(M-1)

このうち、近年の標的型攻撃に対応する手段として、ガイドラインはEDR(Endpoint Detection and Response)を紹介しています。EDRは、既知のマルウェアのパターンと照合する従来のウイルス対策ソフトとは異なり、端末のOSやアプリの挙動を監視して、マルウェアに似た異常な挙動を検知します。未知のマルウェアに有効で、感染後の隔離や復旧の迅速化にも役立ちます。不特定多数からメールを受け取る端末や、重要な情報を扱う端末では、対策を多重化する選択肢になります。ただし、導入にあたっては必要な機能への対応を確認するよう、ガイドラインの注記にあります。

「ゼロトラスト」は境界型セキュリティと組み合わせて考える

ゼロトラストセキュリティは、内部に攻撃者が侵入することを前提に、データやアクセスを守る考え方です。ガイドラインは、サイバー攻撃の高度化、感染後の検知の難しさ、ローカルブレイクアウト(テレワーク端末から拠点を介さず直接インターネットへ接続する構成)やクラウド、BYODの普及によるネットワーク境界の複雑化を背景に挙げ、データ等へのアクセスを必要最小限かつ正当な権限を持つ者だけに制限する「最小権限の原則」や、対策に不備のある端末へのアクセスをブロックする動的なアクセス制御が重要になっていると説明します。ただし、ゼロトラストは従来の境界型セキュリティに代わるものではなく、両者を組み合わせて複合的に防御することが期待されています。

テレワーク方式7種類の違いとセキュリティ上の注意点｜VPN・リモートデスクトップ・VDIほか

テレワークの方式は、VPN方式、リモートデスクトップ方式、仮想デスクトップ(VDI)方式、セキュアコンテナ方式、セキュアブラウザ方式、クラウドサービス方式、スタンドアロン方式の7種類で、方式によって注意すべきセキュリティ上の点が変わります。

ガイドライン第5版は、テレワーク方式を7種類に再整理し、どの方式が適しているかを選ぶためのフローチャートと特性比較を載せています。選ぶ観点は、テレワークでどのような業務を実現したいか、オフラインでも業務をする必要があるか、セキュリティ統制をどこまで実施するか、セキュリティと使えるアプリ・システムの幅広さのどちらを重視するか、などです。

方式	仕組みと特徴	セキュリティ上の主な注意点
VPN方式	テレワーク端末からオフィスネットワークにVPN接続して業務を行う。オフィスと同等の業務とセキュリティレベルを確保でき、端末にデータを保存できる	端末にデータが残るため、紛失・盗難や情報の持ち出しのリスクがある。端末の暗号化と遠隔でのデータ消去が重要
リモートデスクトップ方式	オフィス内のPCのデスクトップを遠隔操作して業務を行う。端末にデータを保存しないため、データ管理が容易	全員が常時オフィスに接続するため、回線帯域の不足や通信遅延の影響を受けやすい
仮想デスクトップ(VDI)方式	サーバー上に用意した仮想のデスクトップを使う。データ保存を制限でき、セキュリティの集中管理がしやすい	導入コストと環境変更の負担が大きい。接続元の端末の対策が不要になるわけではない
セキュアコンテナ方式	端末の中に、通常の環境と独立した仮想的な領域(セキュアコンテナ)を設け、その中のアプリで業務を行う。端末にデータを残さずに使えるため、データ管理が容易	業務がセキュアコンテナ上で動くアプリに限られる。導入予定の製品で、どの業務ができるかを確認する
セキュアブラウザ方式	専用のセキュアブラウザで、社内システムやクラウドのアプリにアクセスする。ファイルのダウンロードや印刷などを制限でき、端末へのデータ保存も制限できる	できる業務が、資料・メールの閲覧や作成などブラウザ上のアプリに限られる。特定の業務で、セキュリティを重視する場合に向く
クラウドサービス方式	オフィスネットワークに接続せず、クラウドサービスを直接利用する。通信集中の影響を受けず、比較的軽微な環境変更で導入できる	端末にデータを保存できるため、持ち出しや紛失のリスクがある。直接接続するため利用状況の把握が難しく、クラウド上のデータ管理や設定ミスにも注意
スタンドアロン方式	オフィスネットワークに接続せず、端末に保存したデータの編集や閲覧で業務を行う。機器を新設せずに導入できる	業務が事前に保存したデータに限られ、処理結果をオフィスに反映できない。端末にデータを保存するため紛失・盗難のリスクがあり、USBメモリや紙の持ち帰りはさらに管理が難しい

方式の仕組みや選び方は、リモートアクセスとは？メリット・デメリットなどをわかりやすく解説、remote desktop（リモートデスクトップ）とは？仕組みと安全な使い方を解説、VDIとは？機能や種類、メリット・デメリットをわかりやすく解説でも詳しく解説しています。

どの方式を選んでも、端末と接続環境を守る基本の対策は共通です。ガイドラインは、方式に関わらず共通して実施すべき対策を第4章の一覧に、方式に特有の注意点を第3章に分けて示しています。次の章で、共通の対策を領域ごとに整理します。

テレワークのセキュリティ対策チェックリスト｜端末・アカウント・通信・場所・インシデント

テレワークの基本対策は、端末の更新と暗号化、多要素認証、通信の暗号化、のぞき見防止、紛失や感染の疑いを報告できる連絡窓口の5領域に整理できます。

次の表は、ガイドライン第4章の基本対策から、日常の運用で優先度が高いものを領域別に抜き出したものです（出典：総務省「テレワークにおけるセキュリティ確保」・テレワークセキュリティガイドライン第5版第4章、2026年10月20日確認）。

領域	管理者・企業側がやること	勤務者がやること
端末	端末の台帳を整え、OS・使用アプリ・パッチ適用状況・利用者・所在を把握する(B-1)。ディスクの暗号化を周知する(E-7)。MDMなどで遠隔初期化や位置情報の検知ができるようにする(E-9・E-10)。サポートが終了した端末やソフトを使わせない(C-3)	OSなどの自動アップデートを有効にする(C-1)。許可されたアプリだけを、公式ストアなど定められた場所からインストールする(B-2・B-3)。ウイルス対策ソフトを入れ、自動更新にする(F-2)
アカウント・認証	多要素認証を可能な限り強制する(H-2)。パスワードの強度ルールを強制し、一定回数失敗したらロックする(H-4・H-6)。異動や担当変更に合わせて不要なアカウントを削除する(H-7)	パスワードは推測されにくい長いもの(パスフレーズ)にし、複数のサービスで使い回さない(H-2・H-3)。第三者に知られたおそれがあれば、すぐ変更する
通信	通信経路は暗号化された方法(VPN、TLSなど)にする(G-1)。無線LANルーターのファームウェアを最新にし、WPA2またはWPA3を使うよう周知する(C-4・G-3)	会社が指定した接続方法だけを使い、勝手に設定を変えない(I-1)。クラウドサービスは偽サイトでないことを確認して使う(G-3)
データ	情報の重要度の方針に沿って、テレワークで扱ってよい情報と取扱方法を決める(E-1)。USBメモリなどの持ち出しは業務上必要なものに限る(E-4)。重要情報のバックアップを複数の環境に持つ(E-5)	定められた取扱方法に従う(E-1)。USBメモリはルールで許可されているときだけ使う(E-2)
場所・会議	オンライン会議のURLを正規の参加者以外に公開せず、パスワードや待機室機能を設定するよう周知する(I-7)	画面の自動ロックやプライバシーフィルターを使い、家族や周囲の人にも注意する(K-1)。会議の音漏れや画面共有に注意する(K-2)
インシデント	連絡窓口(電話番号を含む)と対応手順を整える(J-1)。インシデント対応計画を作り、取引先や監督官庁への連絡体制も整える(J-2)。ログを取得し、可能な限り1年以上保存できるようにする(J-5・J-6)	紛失やマルウェア感染の疑いがあれば、不審かどうか分からなくても速やかに報告する(J-2)。連絡先は電話番号も確認しておく(J-1)

会社からテレワーク環境が提供されていない場合は、自宅の環境から見直す

IPA(情報処理推進機構)は、所属組織からテレワーク環境が提供されていない場合は、自宅のPCで業務メールの送受信や資料作成をするなら自分でセキュリティ対策を意識する必要があるとし、ITに詳しくない場合や相談できる管理者がいない場合は、普段使っている個人環境の対策を見直すことから始めるよう案内しています（出典：IPA「テレワークを行う際のセキュリティ上の注意事項」、2026年6月4日更新、2026年10月20日確認）。日常の対策として挙げられているのは、次の8つです。

OSやソフトウェアの修正プログラムを適用する
セキュリティソフトを導入し、定義ファイルを最新に保つ
パスワードを適切に設定・管理する
不審なメールに注意する
USBメモリ等の取り扱いに注意する
社内ネットワークへの機器接続ルールを守る
ソフトウェアのインストール時に注意する
画面ロック機能を設定する

テレワーク時に特に気をつける点として、IPAは、業務用のPCを他人と共有しないこと(共有する場合は業務用のユーザーアカウントを別に作る)、自宅ではルーターの最新ファームウェアを適用すること、カフェなどでは画面ののぞき見と会議の話し声に注意すること、公衆Wi-Fiを使うときはPCのファイル共有機能をオフにし、必要に応じて信頼できるVPNサービスを使うこと、紙の書類の管理にも注意することを挙げています。

企業のテレワークセキュリティ対策の実態｜総務省の調査で手薄になりやすい項目

総務省の2024年度実態調査では、テレワーク導入企業が課題に挙げた第1位は「情報端末の紛失に関するリスク」(48.2%)で、対策では「テレワーク端末ののぞき見防止」を実施していない企業が39.1%と最も多くなりました。

総務省は、テレワークを導入する企業等のセキュリティ対策の実態を、毎年の調査で把握しています。2024年度の調査(2025年2月から3月に実施、報告書は2025年3月付)では、テレワークを導入している653社に、セキュリティ確保の課題と対策の実施状況を尋ねています（出典：総務省「テレワークセキュリティに係る実態調査調査報告書」(2025年3月)、2026年10月20日確認）。報告書は、この調査がWebアンケートのみで実施されたため、回答者に偏りがある可能性があると述べています。数値は傾向をつかむ目安として読んでください。

テレワーク時のセキュリティ確保の課題(導入企業653社・複数回答)	割合
情報端末の紛失に関するリスク	48.2%
テレワーク時の機密情報の取り扱い(閲覧してよいか・端末に保存してよいか)	45.2%
社内勤務時とテレワーク時のセキュリティレベルの差異をどこまで許容するか	33.1%
オンライン会議の際に社外環境で機密情報を閲覧することのリスク	29.9%
テレワーク時の通信内容の監視	17.5%
私用端末(BYOD)の使用許可の検討	13.0%

対策の実施状況を見ると、企業によって差があります。次の表は、導入企業653社のうち、各対策を「十分に実施している」と答えた割合と、「実施していない」と答えた割合です。

対策	十分に実施している	実施していない
不審なメールに対する定期的な注意喚起	54.4%	10.4%
インシデント発生時の社内体制の整備	43.6%	11.6%
アプリケーションのインストール制限	43.5%	21.4%
利用システムのアクセスログ収集	37.8%	17.3%
多要素認証の導入	34.0%	23.4%
テレワーク時に使用した重要情報・機密情報の把握・管理	33.5%	21.7%
テレワーク端末の紛失対策	33.2%	21.3%
テレワーク端末ののぞき見防止対策	20.5%	39.1%

「実施していない」の割合が高いのは、のぞき見防止(39.1%)、多要素認証(23.4%)、重要情報の把握・管理(21.7%)、アプリのインストール制限(21.4%)、端末の紛失対策(21.3%)です。ガイドラインが基本対策として挙げている項目が多く含まれており、先ほどのリスク表と重ねると、紛失・画面の閲覧・認証は、事例も多く、手薄になりやすい領域といえます。社内規程の整備や情報セキュリティ教育についても、同調査では「実施しているが不十分」と答えた企業がそれぞれ34.9%、38.1%ありました。

導入していない企業側の理由を見ると、最も多いのは「テレワークができる職務がないため」(68.7%、未導入705社)で、「情報漏えい等によるセキュリティリスクが心配であるため」は23.0%でした。セキュリティだけを理由に導入を見送っている企業は、全体から見れば多数派ではありません。

なお、テレワークを導入している企業の割合は、調査によって異なります。総務省の令和7年通信利用動向調査(2026年5月29日公表、調査時点は令和7年8月末、常用雇用者100人以上の企業が対象)では50.1%で、前年より増加しています（出典：総務省「令和7年通信利用動向調査の結果」、ポイント(別紙1)はPDF、2026年10月20日確認）。対象や調査方法が異なるため、実態調査の42.4%(導入企業の割合)と単純には比べられません。

また、同じ実態調査で、総務省の「テレワークセキュリティガイドライン」を「知らなかった」と答えた企業は54.6%(全体1,541社)でした。テレワークを導入している企業に限っても42.3%が知らず、「内容を読んだことがあり、参考になった」は24.7%でした。ガイドラインがあることを知り、自社に合う部分から使うだけでも、他社との差をつけられる余地があります。

ここで、自社の運用を振り返ってみてください。

テレワークのルールと連絡体制、今のやり方で大丈夫？セルフチェック

当てはまるものを選んでください（登録不要）

業務で使ってよいアプリやサービスを決めておらず、私物のLINEや個人のメールが業務連絡に使われているかもしれない不審メールや緊急アップデートの注意喚起は一斉メールで流すだけで、読まれたかどうかは確認していない端末の紛失や感染の疑いを連絡する窓口(電話番号を含む)が、勤務者全員がすぐ見られる場所にないテレワーク端末の台帳(利用者・OS・更新状況・所在)が整っておらず、誰がどの端末を使っているか把握しきれていない勤務者のセキュリティ対策が適切かを確認する機会を、年1回程度も設けていない

私物端末(BYOD)・ログの取得・個人情報の漏えい｜テレワークで迷いやすい3つの判断

私物端末は管理の統制が取りにくいためリスクを評価して許可を決め、ログは目的と範囲を規程で決めて周知し、個人情報の漏えいは法令上の報告義務も踏まえて備えます。

私物のパソコンやスマホ(BYOD)を使わせるかの判断

ガイドラインは、個人所有端末(BYOD)を使う場合、業務で使うシステムやアプリが利用できるかの確認が必要なほか、個人所有端末ではデータの保存ができ、マルウェア対策ソフトのインストールを強制できないなど、十分なセキュリティ統制が取れないと指摘しています。そのため、セキュリティインシデントが起こりうるリスクを認識し、そのリスクが受け入れられるかを評価したうえで、BYODの可否を決める必要があるとしています(VPN方式のBYOD利用についての記述)。端末の踏み台化の事例でも、個人所有端末は支給端末より統制が取りづらく、より一層の注意が必要とされています。実態調査でも、導入企業の13.0%が「私用端末(BYOD)の使用許可の検討」を課題に挙げています。

可否を決めるときは、リモートデスクトップ方式のように端末にデータを残さない方式にする、許可する端末の条件(OSのバージョンや暗号化)を決める、といった選択肢があります。個人のアプリで業務連絡をしない運用ルールも、あわせて定めておきます。

テレワークの「監視」やログの取得はどこまでできるか

ガイドラインは、不正アクセスなどが起きたときに原因を調べられるよう、システム・セキュリティ管理者がログを取得することを基本対策(J-5)としています。取得するログの例は、サーバーや機器へのアクセスログ、ログイン試行の認証ログ、利用者の操作内容の操作ログ、重要な事象のイベントログ、管理者権限などの特権ログです。実際の標的型攻撃では、最初の攻撃から気づくまで1年近くかかる場合もあるため、ログは可能な限り1年以上保存できるようにするとされています(J-6)。

「テレワークでパソコンの監視ができるか」という疑問に対しては、まず、ガイドラインがセキュリティ上の目的で、端末の操作ログやイベントログの取得を管理者の対策に含めていることが手がかりになります。ただし、どの範囲のログを、何のために、どのくらいの期間取得するのかを、社内規程にあらかじめ明記し、従業員に周知しておくことが前提になります。個人情報や労務の観点を含む個別の判断は、社会保険労務士や弁護士などの専門家に相談してください。本記事は法的助言ではありません。

個人情報の漏えいに備える

ガイドラインは、2020年6月に成立した個人情報保護法の改正で、2022年4月から、個人情報の漏えい時に個人情報保護委員会への報告と被害者への通知が義務化されたと紹介し、テレワークでの個人情報の取扱いをより適切に管理・把握する必要があるとしています。具体的には、テレワーク勤務者がアクセスできる個人情報の有無、アクセスできる利用者・端末、保管場所(端末への保存の可否を含む)を検討し、対応を強化するよう示しています。

個人情報保護委員会は、テレワークの普及に伴う漏えい事案として、2つの例を注意喚起しています(令和2年9月23日掲載)（出典：個人情報保護委員会「テレワークに伴う個人情報等の漏えい等に関する注意事項」、2026年10月20日確認）。1つは、テレワーク中の社員がウイルス付きメールで感染したPCを、出社時に社内ネットワークへ接続して情報が漏えいした例、もう1つは、急に稼働させた脆弱性対策のないVPN機器に不正アクセスされ、機密情報や個人情報が漏えいした例です。対策例として、VPN経由でなければインターネットを使えない仕組み、VPN接続への多要素認証、稼働前の十分な検証、不審なメールを1人で判断せず相談できる体制の整備などが示されています。

ルールを守る人を育てる｜教育・訓練・注意喚起を続ける仕組み

セキュリティ教育は、研修・注意喚起・年1回の対策確認を一過性にせず、継続して回すことが対策の土台になります。

ガイドラインは、テレワーク環境では管理者が勤務者のルール遵守を確認することが容易ではないため、機密保持と違反時の対応をルール化したうえで、研修でルールを守るメリットを理解してもらうよう求めています。教育に関する管理者の基本対策は、定期的な研修の実施と最低限求める対策の周知(M-1)、重要なセキュリティ情報の注意喚起(M-2)、勤務者の対策が適切かを確認する機会を年1回程度設けて結果を把握すること(M-3)の3つです。インシデント対応では、発生を想定した訓練(予行演習)を年1回程度実施することが発展対策(J-4)に挙げられています。

教育・周知の取り組み	内容	対策番号
研修の実施	定期的に研修を行い、最低限求めるセキュリティ対策を周知する。経営者は研修の受講を呼びかける	経営者M-1、管理者M-1
重要情報の注意喚起	不審メールの情報や緊急のアップデートなどを、ポータルサイトへの掲載や一斉メールなど、目にとまりやすい方法で伝える。重要な情報とそうでない情報を区分して、重要な情報が埋もれないようにする	管理者M-2
対策の確認	勤務者が自ら実施している対策が適切かを確認する機会を年1回程度設け、結果を教育内容や対策の見直しに活用する	管理者M-3、勤務者M-1
インシデント対応訓練	発生を想定した訓練を年1回程度実施し、結果を踏まえて対応計画を見直す	管理者J-4(発展対策)
委託先の従業員	業務委託先の従業員にも、従業員に準ずる位置づけとして対策を実施してもらう	管理者M-1

教育・啓発は、日々の継続が重要で、一過性の活動では効果が続きません。研修で伝えたルールや、そのあとの注意喚起を、全員の目にとまる場所に集約し、読まれた度合いを確認できると、年1回の対策確認の準備にもなります。この「お知らせを届け、届いたかを確認する」役割を支える場合の一例が、株式会社ビットエー(ourlyカンパニーが運営)が提供する社内報ツールのourlyです。商品ページによると、記事ごとの閲覧率に加え、読了率・リアクション率といった独自の指標で分析でき、知識や経験がなくても入稿できる入稿・管理画面があります。ただし、ourlyは社内報のツールで、セキュリティ対策そのものを提供するものではありません。アカウントの人数規模によって料金が変動し、詳細は問い合わせが必要とされています。なお、商品ページの運営会社欄はourly株式会社となっていますが、ourly公式サイトの会社情報(2026年10月20日確認)では、社名は株式会社ビットエー(運営元：ourlyカンパニー)と記載されています。料金はプランによって異なるため、資料や公式サイトで確認してください。

ourly株式会社

ourly

ourly株式会社

ourly

分析が充実！SNSライクでシンプルに使いたい方におすすめ

30秒で完了！かんたん入力資料を無料ダウンロード

料金・機能をまとめて確認サービス詳細はこちら

30秒で完了！かんたん入力資料を無料ダウンロード

料金・機能をまとめて確認サービス詳細はこちら

初めての利用でも直観的な操作でわかりやすく、情報の伝え漏れを防止する独自の機能を搭載したWeb社内報システムなら、ourlyの導入がおすすめです。

評判・口コミを紹介

ourlyを導入する前は年1回の全社集会など物理的なコミュニケーションがメインだったので、どうしても頻度に限界がありました。また店舗ごとに、どれくらい情報が伝わっているかを可視化できないという課題がありました。

ourly導入によって、社内のコミュニケーションが格段に円滑になったと感じています。
導入事例（株式会社アントワークス）｜ourly株式会社

GOOD

よくある質問(FAQ)

Q1. テレワークのセキュリティ対策は何から始めればよいですか？

A. 専任の担当者がいない会社は、総務省の「中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)」(第3版、令和4年5月)から始めるのが現実的です。進め方の例として、まず経営者がセキュリティポリシーを定めて周知し、管理者は端末の台帳整備、OSの更新、多要素認証、紛失や感染の疑いを連絡する窓口の整備を進め、勤務者は不審メールを開かず報告する、パスワードを使い回さない、画面ロックを設定する、といった基本を守ります。

Q2. 自宅のパソコンにもセキュリティ対策は必要ですか？

A. 必要です。IPAは、自宅のPCで業務メールの送受信や資料作成をするなら、自分でセキュリティ対策を意識する必要があるとしています。OSやソフトの修正プログラムの適用、セキュリティソフトの導入と最新化、パスワードの適切な管理、不審なメールへの注意、USBメモリの取り扱い、画面ロックの設定などが日常の対策です。業務用のPCは他人と共有せず、共有する場合は業務用のユーザーアカウントを別に作ります。

Q3. テレワークでパソコンの監視(操作ログの取得)はできますか？

A. 総務省のガイドラインは、管理者の対策として、端末の操作ログやイベントログを含むログの取得を挙げています(J-5)。ただし、どのログを、何のために、どのくらいの期間取得するのかを社内規程に明記し、従業員に周知しておくことが前提です。個人情報や労務の観点を含む個別の判断は、社会保険労務士や弁護士などの専門家に相談してください。本記事は法的助言ではありません。

Q4. セキュリティが心配なので、テレワークはやめた方がよいですか？

A. 一律にやめるべきとはいえません。ガイドラインは、テレワークが標準的な業務・勤務形態になりつつあるとしたうえで、リスクは組織全体で役割を分担し、複数の対策を重ねて対応するものだと示しています。やめるかどうかは、自社の業務に合う方式と、実施できる対策を突き合わせて判断します。総務省の実態調査では、導入していない企業の理由は「テレワークができる職務がないため」(68.7%)が最も多く、「情報漏えい等によるセキュリティリスクが心配」は23.0%でした。

Q5. テレワークセキュリティガイドラインの最新版は何ですか？

A. 2026年10月20日確認に総務省のページで確認した時点で、ガイドライン本体は第5版(令和3年5月)です。中小企業等担当者向けの手引き(チェックリスト)は第3版(令和4年5月)で、従業員向けハンドブック、緊急時対応カード、製品別の設定解説資料も公開されています。総務省のページには、2026年1月に2024年度実態調査結果の公開と設定解説資料の更新を行ったと記載されています。更新される場合があるため、最新の版は総務省のページで確認してください。

Q6. 私物のパソコンやスマホを業務に使ってもよいですか？

A. 会社が許可するかどうかで決まります。ガイドラインは、私物端末(BYOD)では十分なセキュリティ統制が取れないため、起こりうるリスクが受け入れられるかを評価したうえで、可否を決めるよう求めています。許可する場合は、端末の条件や、データを端末に残さない方式、私物のアプリで業務連絡をしないルールを決めておきます。会社から端末が提供されていない場合も、IPAが示す日常の対策(更新、セキュリティソフト、パスワード管理、画面ロックなど)を実施します。

まとめ｜テレワークのセキュリティ対策で押さえたい5つのこと

テレワークのセキュリティ対策は、立場ごとの役割を決め、基本の対策から順に重ねていくことで進められます。最後に、押さえておきたい点を整理します。

立場ごとの対策を確認する：総務省のガイドライン第5版では、経営者5項目、管理者64項目、勤務者29項目の対策があります。専任担当がいない会社は、チェックリスト(第3版)から始めます。
ルールを3階層で整えて全員に届ける：基本方針・対策基準・実施手順を整え、重要なお知らせは目にとまりやすい方法で伝え続けます。
自社の方式の注意点を押さえる：VPN、リモートデスクトップ、VDI、クラウドなど、方式ごとの注意点が異なります。どの方式でも端末の更新、暗号化、多要素認証、通信の暗号化は共通です。
手薄になりやすい項目から埋める：実態調査では、のぞき見防止、多要素認証、紛失対策などが十分でない企業が目立ちます。私物端末、ログ、個人情報は、規程に書いて周知します。
ルールの周知と連絡手段を見直す資料を取り寄せる：業務連絡の手段をそろえるならChatwork、お知らせが読まれたかを確認するならourlyと、役割が違う選択肢があります。

本記事は一般的な情報の整理であり、法的助言やセキュリティ製品の選定の推奨ではありません。個別の判断は、専門家や公式の情報で確認してください。ガイドライン・調査・各社の商品ページは、2026年10月20日確認した内容に基づきます。

参考文献

総務省「テレワークにおけるセキュリティ確保」(テレワークセキュリティガイドライン第5版・中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)第3版)、2026年10月20日確認
総務省「テレワークセキュリティに係る実態調査調査報告書」(2025年3月、株式会社シード・プランニング)、2026年10月20日確認
総務省「令和7年通信利用動向調査の結果」(令和8年5月29日公表)・「令和7年通信利用動向調査ポイント(別紙1)」、2026年10月20日確認
IPA(情報処理推進機構)「テレワークを行う際のセキュリティ上の注意事項」(2026年6月4日更新)、2026年10月20日確認
個人情報保護委員会「テレワークに伴う個人情報等の漏えい等に関する注意事項」(令和2年9月23日)、2026年10月20日確認
Chatwork「Chatworkのセキュリティ」・「大企業でも安心して使えます｜全研本社株式会社」、2026年10月20日確認
ourly「京王建設株式会社導入事例」・「会社情報」、2026年10月20日確認

この記事に興味を持った方におすすめ