会社のパソコン監視ツールは、目的を1つ決めてから、記録する操作と見る範囲を絞って選びます。入れる前に社内規程へ目的と責任者を書き、従業員に知らせます。機能の比較より先に、この順番を決めることが小さな会社では大事です。
今日やることは、社長と総務で「何のために記録するのか」を1文に書くことです。「図面と顧客情報の持ち出しを防ぎ、疑われた社員の無実も証明するため」のように書きます。この1文が書けないうちは、製品の資料を取り寄せなくて構いません。
まず目的をどう分ける？
パソコン監視と呼ばれる製品には、性格の違うものが混ざっています。目的が違えば、選ぶ製品も社員への説明も変わります。
| 目的 |
主な製品の種類 |
確かめる機能 |
| PCとソフトの把握、更新の管理 |
IT資産管理ツール |
台帳、更新の配布、操作ログの有無 |
| 情報の持ち出し対策 |
内部不正対策、操作ログ監視 |
USBとクラウドへのコピーの記録、制御 |
| 攻撃の調査 |
ログ管理、EDR |
保管期間、改ざん対策 |
| 勤務状況の把握 |
勤怠管理との連携 |
PCの起動と終了の記録 |
小さな会社で最初に検討しやすいのは、1行目か2行目です。社内のPCやソフトを把握できていないなら、IT資産管理ツールの製品比較から見ると、操作ログを含む製品も確かめられます。持ち出し対策が主な目的なら、内部不正対策・操作ログ監視の製品比較が近い比較です。
IPAの情報セキュリティ10大脅威 2026でも、組織編の7位に「内部不正による情報漏えい等」が入っています。ただし順位は、自社の優先順位をそのまま決めるものではありません。自社で何を守るのかから考えます。
導入前に確かめる機能は？
製品を比べるときは、記録できる量の多さより、絞れるかどうかを見ます。IPAの組織における内部不正防止ガイドライン第5版は、データの収集と分析の範囲を適切に設定できるシステムを選び、範囲を必要最小限に留めることが望ましいとしています。
記録する操作を選べるか
ファイルのコピー、USBの使用、外部サイトへのアップロード、印刷、メール送信など、目的に関係する項目だけを記録できるかを見ます。画面の録画や入力内容の記録のように踏み込む機能は、切っておけるかを確かめます。必要がなければ使わないほうが、社員への説明も、保管の費用も軽くなります。
見る人を限定できるか
記録を誰が見られるかは、機能として制限できる必要があります。閲覧の履歴が残れば、管理者の行動も後から確かめられます。担当者が1人の会社では、その人の記録を別の人が確認できる形にします。
社外のPCでも動くか
テレワークや出張で社外に持ち出すPCの記録を取れるか、オフラインのときに記録がどう扱われるかを聞きます。
自動判定をどう使うか
行動を学習して異常を知らせる機能を持つ製品もあります。IPAのガイドラインは、自動化された判断に頼りすぎない運用体制を求め、人の判断と組み合わせて説明責任を果たせる方法で運用するよう示しています。通知が出たら直ちに処分ではなく、必ず人が事実を確かめる手順を決めます。
費用と手間
価格は台数課金が中心ですが、保管の容量や管理サーバーの費用が別のこともあります。導入の手間として、ソフトの配布方法と、古いOSの扱いも確かめます。ログを長く保管したくなったら、統合ログ管理ツールの製品比較で別の方法も比べられます。ログの種類の整理はログ監視ツールの比較の見方にまとめました。
労務面で何を準備する？
ここが機能の比較よりも先です。法的な結論は状況で変わるので、文面を固める段階で弁護士か社会保険労務士に確認してください。ここでは公的な資料が示す留意点を整理します。
社内規程に書くこと
個人情報保護委員会のQ&A 5-7は、個人データを扱う従業者のモニタリングについて、次の点を留意点に挙げています。
- 目的を事前に特定し、社内規程などに定めて従業者に示す
- 実施の責任者とその権限を定める
- 実施のルールを事前に作り、運用する人に徹底する
- ルールどおりに行われているかを確かめる
- 重要事項を定めるときは、労働組合などに事前に通知し、必要に応じて協議することが望ましい。定めたあとは従業者に周知することが望ましい
中小企業基盤整備機構のJ-Net21のビジネスQ&Aは、労働者の個人情報保護に関する行動指針の内容として、実施理由、実施時間帯、収集する情報の内容を事前に通知することを紹介しています。個人情報のコンピューターなどによる自動処理の結果だけで、評価や雇用上の決定をすることも原則禁止されていると説明しています。
就業規則との関係
厚生労働省のモデル就業規則の案内のとおり、常時10人以上の従業員を使用する使用者は、就業規則を作成して労働基準監督署長に届け出る必要があり、変更するときも同様です。10人未満の会社でも、目的や記録の範囲を文書にして全員に配っておくと、後の説明がしやすくなります。
IPAのガイドラインは、モニタリングの目的が役職員を内部不正から守ることだと就業規則に記載して周知する考え方を示しています。経営者が示す内容の例として、次のものを挙げています。
- モニタリングは内部不正をしていないことの証明に役立つ
- データは内部不正の監視以外の目的に使わない
- 特定の人に重点を置いて監視する条件も含め、労使の合意と全員への周知のもとで運用する
退職予定者だけを見るとき
第5版の改訂にあたって行われた調査の資料には、有識者への聞き取りの結果として、退職予定というだけでログを分析する行為は合理的な就業規則とみなされない可能性がある、という指摘が載っています。一般の従業員の監視とは目的が異なるので別に合意を形成する必要がある、という意見です。これは聞き取りの内容なので、判断は専門家に確かめます。
私物のPCは対象にしない
私物のPCを業務に使っている場合、同じように記録すると私生活の情報まで見えてしまいます。IPAのガイドラインも、可能であれば私物の利用を避け、会社支給のPCとすることが望ましいとしています。
記録は勤怠の根拠にもなる
見落としやすいのが労働時間との関係です。厚生労働省の労働時間の適正な把握のためのガイドラインは、パソコンの使用時間の記録を、始業と終業の確認に使える客観的な記録の例に挙げています。自己申告の時間と著しく食い違うときは、実態調査をして補正する必要があるとしています。
PCの起動と終了の記録があるのに、残業の申告と合っていない。こうした状態を放置しないよう、総務が記録と申告をどう突き合わせるかまで決めておきます。
製造業の場合はどう絞る？
たとえば、社員30人の金型メーカーで、設計のPCと図面のファイルサーバーが守りたい中心という場合です。全員の全操作を記録するより、図面の置き場に対する操作と、USBや外部サービスへの持ち出しに絞るほうが、目的の説明もつきます。
現場の共有PCは、誰が操作したかが記録だけでは分かりません。ログインを個人ごとに分けないまま記録を取ると、持ち出しが見つかっても誰の操作か説明できず、無実の社員を守る目的も果たせません。導入の前に、共有アカウントを分ける作業が要ります。
導入までの順番は？
小さな会社なら、次の順に進めると手戻りが少なくなります。
- 目的を1文に書き、責任者と閲覧者を決める
- 目的に必要な記録の項目を選び、不要な項目を外す
- 社内規程か就業規則の案を作り、専門家に確認してもらう
- 全員に説明する。何を記録し、何を記録しないかを具体的に示す
- 少数のPCで試し、通知の量と業務への影響を確かめる
- 全社に広げ、責任者以外がルールどおりかを定期的に確かめる
記録が増えると、それ自体が守る対象になります。社員の行動が詰まったデータなので、保管期間を決め、期限が来たら消す手順まで作ります。
攻撃への備えとしてPCを見たいのであれば、仕組みが別です。その場合はSIEMとEDRの違いが参考になります。夜間の監視を社内で担えないときの考え方はSIEMとSOCの違いに、運用全体はセキュリティ運用のカテゴリにまとめています。
