テレワークセキュリティガイドラインで中小企業が先に見る点はどこか

在宅勤務の社員が少ない会社は、総務省のテレワークセキュリティガイドライン⁠の全文より先に、同じページにある中小企業向けの手引き（チェックリスト）⁠の⁠、自社の方式の優先度◎の項目を見てください。手引きはガイドラインを補う文書で、予算や体制が十分でない会社でも実現しやすく、優先的に実施すべき対策を示しています。

今日やることは、在宅勤務をする人と使う端末を一覧にして、「どの端末で、どこへつないで仕事をしているか⁠」⁠を1行⁠で書くことです。これで次に説明する方式が決まり、読むページが絞れます。

ガイドラインと手引きはどう違う？

総務省のページには2つ⁠の文書が並んでいます。

版が古く見えるかもしれませんが、確認した時点ではこれが最新で、製品ごとの設定解説資料はページ上で2026年1月⁠に更新されたと案内されています。

ガイドラインは、経営者、システム・セキュリティ管理者、テレワーク勤務者の役割を分けて説明し、クラウドサービスの活用やゼロトラストの考え方まで扱います。手引きは、自ら「必ずしも網羅的ではありません」⁠と断っているとおり、最低限必要な対策に絞った文書です。中小企業には導入が難しいとして、仮想デスクトップ方式などを省いています。

社員が数人の会社なら、手引きで足ります。ガイドラインは、経営者の役割の節だけ社長に読んでもらう使い方が現実的です。

自社の方式を8つから決める

手引きは、端末が会社支給か個人所有か、接続のしかたが何かで方式を分けています。方式によって確かめる項目が変わるので、ここを飛ばすと関係のない項目に時間を使います。

社内の共有フォルダを家から見ているなら、方式①か⑤です。Microsoft 365やGoogle Workspaceだけで仕事をしているなら、方式②か⑥です。

優先度◎のうち、少人数の会社が先に見る5点

手引きの優先度◎は、重要性が高く、実施が難しくない対策を指します。方式①では14項目あります。全部やるのが本来の形で、ここでは少人数の会社が最初の1週間で確かめる順に、私たちが5点⁠に絞りました。

1. 誰がどの端末を使っているか（1-1）

チェックリストの最初の項目は、許可した端末だけを使うよう周知し、端末と利用者を把握することです。何となく家のパソコンを使っている人がいないかを、冒頭の一覧で確かめます。

2. VPN機器が古くないか（5-4）

方式①と⑤でいちばん先に確かめたいのは、社内へ入るためのVPN機器です。 手引きは、メーカーサポートが終了した製品を使わず、最新のセキュリティアップデートを適用するよう求めています。警察庁の2026年上半期の資料では、ランサムウェアの被害組織へのアンケートで、侵入経路の約5割⁠がVPN機器でした。

在宅勤務の人数は関係ありません。VPN機器は1台⁠で社内全体の入口になるからです。機種名、ファームウェアの版、サポート期限を、保守会社に聞いて控えてください。

総務省の2024年度の実態調査では、回答した1,541社⁠のうち11.9％⁠がテレワークを「かつて導入していたが、現在は廃止している⁠」⁠と答えました。この調査は機器の扱いまでは聞いていませんが、やめた会社は、当時のVPN機器が動いたままでないかも確かめておくと安心です。

3. パスワードの決まりがあるか（9-1、9-2）

長く複雑なパスワードにすること、初期パスワードを必ず変えることが◎に入っています。多要素認証（9-4）⁠は優先度○の扱いですが、メールやクラウドの標準機能で設定できるサービスなら、一緒に進めたほうが手間は少なく済みます。Gmailなどの手順は設定解説資料に載っています。

4. OSとアプリが更新されているか（5-1、5-2）

サポートの終わったOSやアプリを使わず、最新のアップデートを適用する項目です。個人所有の端末を認めている会社では、本人任せになりやすい点です。

5. 何かあったときの連絡先（7-1）

対応手順と連絡体制を決め、従業員に緊急連絡先を周知する項目です。家で異常に気づいた社員は、隣の席の人に聞けません。総務省のページには、従業員向けハンドブックと、端末に貼る緊急時対応カードがWord形式で用意されているので、連絡先を入れて配れば済みます。感染を疑ったときの動き方はマルウェアに感染した時にやってはいけないこと⁠に書きました。

製造業なら図面の扱いを先に決める

たとえば、設計担当の2人だけが週に1日在宅で働く部品メーカーの場合を考えます。人数が少なくても、持ち出す情報が客先の図面なら、取引先への影響は小さくありません。

見るのは1-2の「取り扱う重要情報の把握」⁠と⁠、優先度○の8-4「端末には原則として重要情報を保管しない」⁠で⁠す⁠。図面を端末へ保存しないのなら、方式①のままでも社内サーバーから外へ出さない運用にできます。保存せざるを得ないなら、手引きが挙げるとおり、パスワードや暗号化の設定をして一時的な保管にとどめ、8-3の記録媒体の暗号化も確かめます。

納入先から図面の管理を問われる会社なら、在宅勤務で図面をどう扱うかを1枚⁠に書いておくと、聞かれたときに答えられます。

製品を買うのはどんなとき？

ここまでは、ほとんど費用をかけずに確かめられます。そのあとで足りない部分が見えたら、製品を比べます。

• 端末の紛失時に遠隔で消したい（優先度○の8-2）：MDMの製品比較
• 端末にデータを残したくない（方式④、⑧）：セキュアブラウザの製品比較
• VPN機器の管理をやめたい（ガイドラインのゼロトラスト）：ZTNAの製品比較

手引きの8-2は、MDMなどでリモートからのデータ消去、ログイン時の認証ポリシー、ハードディスクの暗号化といった設定を強制的に適用する内容です。導入するかどうかは、端末の台数と持ち出す情報で判断してください。

ZTNAは手引きのチェックリストには出てきません。ガイドラインが説明しているゼロトラストは、社内ネットワークの中にも脅威があるという前提で、データや機器の単位で守る考え方です。総務省の同じ実態調査では、ZTNAという言葉を「わからない」⁠と答えた会社が72.6％でした。知らなくても恥ずかしいことではなく、VPN機器の入れ替えの時期に検討すれば間に合います。入れ替えの予定がなければ、先にVPN機器の更新を確実にするほうが順番として自然です。

設定解説資料はWindows、Gmail、Zoom、YAMAHAのVPNルーターなど製品ごとにありますが、総務省は特定の製品を勧めるものではないと断っています。使っている製品の資料だけ開いてください。

読み終えたあとに残すもの

手引きはA3の見開きで印刷してチェックする作りになっています。◎に印が付いたら、残りの○を四半期に数項目ずつ進め、社員の入れ替わりや端末の追加のたびに1-1の一覧を直します。

テレワーク以外も含む基本の対策はサイバーセキュリティの基礎⁠にまとめました。万一止まった場合の費用はサイバー攻撃を受けると会社はどうなるか⁠で確かめられます。