テレワークのセキュリティガイドラインとは｜在宅で仕事を受ける人が今日から守る13の対策

2026年9月7日

藤本拓也

この記事のポイント

✓総務省のテレワークセキュリティガイドライン第5版を
✓在宅で業務委託を受ける個人の立場に置き換えて整理しました
✓経営者とシステム管理者と勤務者の役割分担

在宅で仕事を受けていると、取引先から「セキュリティ対策はどうなっていますか」と聞かれる場面が必ず来ます。契約前の確認シートに書かされることもあります。そのとき根拠にできる文書が、総務省が出しているテレワークセキュリティガイドラインです。私も在宅で請け負う側と、外に出す側の両方をやってきましたが、この文書を読んでいるかどうかで、取引先からの信用の付き方がまるで違いました。この記事では、ガイドラインの中身を、企業の情報システム部門ではなく「一人で在宅で仕事をしている人」が今日からできる形に置き換えて整理します。

テレワークセキュリティガイドラインとは何か

これは総務省が公表している文書で、テレワークを導入する組織と、そこで働く人が守るべきセキュリティ対策をまとめたものです。最初の版が出たのは2004年12月で、その後、働き方と技術の変化に合わせて改訂が続いています。

第1版：平成16年12月第2版：平成18年4月第3版：平成25年3月第4版：平成30年4月第5版：令和3年5月出典: soumu.go.jp

注目してほしいのは改訂の間隔です。第3版から第4版までは5年空いていますが、第4版から第5版は3年です。2020年前後に在宅勤務が一気に広がり、クラウドサービスを前提にした対策へ書き換える必要が出たからです。第5版はクラウドサービスの利用、私物端末の業務利用、ゼロトラストの考え方といった、それ以前の版にはなかった論点を正面から扱っています。

もう一つ知っておきたいのは、対象読者が3つに分かれていることです。経営者、システム管理者、テレワーク勤務者の3者です。企業であればこれは3つの別の人です。しかし在宅で一人で仕事を受けている場合、この3つ全部が自分です。ここが個人事業主にとって最初の分かれ目になります。会社員としてテレワークをしている人は、勤務者の章だけ読めば足ります。自分の名前で仕事を受けている人は、3つ全部を読む必要があります。

そして大事なのは、これが法律ではないという点です。守らなくても罰則はありません。ただし、取引先との契約書には「善良な管理者の注意をもって情報を管理する」という条項がほぼ必ず入っています。事故が起きたとき、この注意義務を尽くしていたかどうかを判断する材料として、公的なガイドラインは強い意味を持ちます。「知らなかった」は通りません。ガイドラインが世に出て20年以上経っているからです。

自分がどの立場に当たるかを先に決める

作業に入る前に、自分の立ち位置を確認してください。3つのパターンに分かれます。

1つ目は、発注元の会社から端末を貸与されて、その会社のネットワークに接続して作業する形です。この場合、システム管理者の責任は発注元にあります。皆さんが守るのは勤務者としての部分、つまり端末を持ち出さない、家族に使わせない、指定された経路以外で接続しない、といった運用ルールです。負担は軽いですが、制約も多くなります。

2つ目は、自分の端末で作業して、成果物だけを納品する形です。在宅の業務委託で最も多い形です。この場合、システム管理者の責任も自分にあります。端末の更新、ウイルス対策、バックアップ、暗号化、全部が自分の仕事です。ガイドラインのシステム管理者向けの章を読む必要があるのはこの人たちです。

3つ目は、自分が誰かに再委託していて、その人も在宅で作業している形です。この場合、経営者としての責任まで負います。再委託先がやったことの結果は、発注元に対して皆さんが負います。ガイドラインの経営者向けの章で言う「体制整備」を、たとえ2人でも作らなければなりません。

多くの人が見落とすのは、2つ目から3つ目に移るタイミングです。仕事が増えて誰かに手伝ってもらった瞬間に、責任の構造が変わります。それまでのやり方をそのまま続けると穴が空きます。自分の作業分担と報酬の設計を見直すなら、案件の要件から確認するのが早いです。在宅でのシステム構築や運用の案件で、どのような環境要件が書かれているかをまとめたWebサイト・システム開発のお仕事の募集内容を見ると、発注側が委託先の作業環境に何を求めているかが具体的に分かります。

13の対策分類と、ルール・人・技術の3本柱

第5版のガイドラインは、対策を13の分類に分けています。ガバナンスとリスク管理、資産と構成管理、脆弱性管理、特権管理、データ保護、マルウェア対策、通信の保護と暗号化、アカウント管理、アクセス制御と認可、インシデント対応と復旧、物理的セキュリティ、脅威インテリジェンス、教育です。

この13個を全部そろえようとすると、一人では無理です。そこで役に立つのが、ガイドラインが繰り返し示している「ルール」「人」「技術」という3つの軸です。技術で防ぐもの、ルールで防ぐもの、人の習慣で防ぐものは別物で、どれか一つに寄せると崩れます。

技術で防ぐものは、お金と設定で済みます。端末の暗号化を有効にする、OSとアプリを自動更新にする、ウイルス対策を入れる、回線の設定を直す。これは一度やれば効き続けます。最初にここを固めてください。

ルールで防ぐものは、自分との約束です。作業に使うフォルダはここだけ、納品したデータは何日で消す、家族と共用する端末では業務をしない。ルールは書かないと守れません。紙1枚でもよいので、自分の作業手順として残しておきます。取引先に見せられる形にしておくと、契約時の説明が一気に楽になります。

人で防ぐものは、判断の習慣です。不審なメールの添付を開かない、電話で聞かれたパスワードを答えない、公衆無線に自動接続しない。ここが最も破られます。技術で止められない攻撃は人を狙うからです。

順番が大事です。技術から始めて、ルールを書き、習慣を最後に整える。逆順でやると、気をつけているだけの状態で終わります。

端末と回線、最低限ここまでは固める

具体的に何をするかを書きます。まず端末です。

ディスクの暗号化を有効にします。WindowsならBitLocker、MacならFileVaultです。これをやっていないと、端末を盗まれたときにログインパスワードだけでは中身を守れません。ディスクを取り出して別の機械に繋げば読めてしまいます。暗号化を有効にするだけで、この経路が塞がります。設定は数分で終わり、動作が遅くなることは体感できません。

次にOSとアプリの自動更新です。脆弱性を突く攻撃の大半は、すでに修正版が出ている穴を狙います。更新を止めている端末は、鍵が壊れていると分かっている扉です。「作業中に再起動されたら困る」という理由で更新を止めている人がいますが、再起動のタイミングを指定する機能はどのOSにもあります。止めるのではなく、時間をずらしてください。

ログインの設定も見直します。パスワードだけでなく、指紋か顔認証を併用します。自動ログインは切ります。そして画面ロックを5分程度で有効にします。家族がいる家で作業しているなら、これは技術ではなく生活の問題として効きます。

回線については、自宅のルーターを確認してください。購入から5年以上経っている機種は、メーカーの更新提供が終わっている可能性があります。管理画面のパスワードが初期値のままなら変えます。無線は暗号化方式をWPA2以上にします。この3点を確認するだけで、自宅の入口はかなり固くなります。

公衆無線は、業務では使わないのが基本です。どうしても外で作業するなら、スマートフォンのテザリングを使います。カフェの無線に繋いで、暗号化されていない通信を横から読まれる事故は、今でも起きています。

預かったデータの扱いと、消すまでの管理

在宅で仕事を受けていて最も事故になりやすいのは、預かったデータの置き場所です。

原則は3つです。作業用のフォルダを1か所に決める、そこ以外にコピーを作らない、納品後は約束した期限で消す。この3つを守れば、事故の大半は起きません。

問題は、意図せずコピーが増えることです。メールの添付ファイルはダウンロードフォルダに残ります。チャットで送られたファイルもアプリのキャッシュに残ります。クラウドストレージの同期フォルダに入れれば、別の端末にも複製されます。圧縮して解凍したら、元の圧縮ファイルも残ります。気づかないうちに、同じ個人情報が端末の5か所にある状態になります。

対策は単純です。作業を始めるとき、預かったファイルを決めたフォルダに移動して、それ以外の場所から消します。コピーではなく移動です。そして納品が終わったら、フォルダごと消します。ゴミ箱も空にします。この手順を紙に書いて、案件ごとにチェックしてください。

消す期限は契約で決まっていることが多いです。「業務終了後速やかに」と書かれている場合、速やかがいつかを自分で決めて、取引先に伝えておきます。私は納品から30日と決めています。修正依頼が来る可能性がある期間を残して、それを過ぎたら消すという形です。期限を自分で決めておくと、取引先から聞かれたときに即答できます。

バックアップとの関係にも触れておきます。バックアップを取ることはガイドラインでも求められています。しかし、預かったデータのバックアップを外部のクラウドに置くことが契約で禁じられている場合があります。自分の成果物のバックアップと、預かったデータのバックアップは分けて考えてください。外部保存が禁止されている案件では、作業中のバックアップも同じ端末の別ディスクか、暗号化した外付けに限ります。

事務作業を在宅で受けている方は、扱う情報の種類が案件ごとにまったく違います。どこまでの情報を預かる前提なのかを事前に確認しておくとよいです。募集内容から情報の扱いが読み取れる例として、データ入力・文字起こしのお仕事の一覧を見ると、個人情報を含むかどうかが案件によって大きく違うことが分かります。

クラウドとアカウント、多要素認証を面倒がらない

第5版で大きく増えたのがクラウドサービスに関する記述です。今の在宅作業は、ほぼすべてクラウドの上で動いています。ファイル共有、チャット、タスク管理、請求書の発行、全部そうです。

ここで守るべき第一は、多要素認証です。パスワードだけのアカウントは、どこかで漏れたパスワードの使い回しで突破されます。実際に起きる侵入の経路として、これが最も多いものの一つです。多要素認証を有効にすれば、パスワードが漏れても、手元の端末がないと入れません。

認証アプリを使う方式と、SMSで受け取る方式があります。可能なら認証アプリを選びます。SMSは電話番号を乗っ取られる攻撃に弱いからです。設定は各サービスのセキュリティ設定から数分でできます。私は取引先と共有するサービスを含めて、業務で使うすべてのアカウントで有効にしています。

第二は、パスワードの管理です。使い回しをやめます。サービスごとに違うパスワードを設定し、パスワード管理ツールに覚えさせます。頭で覚えようとすると必ず使い回しになります。ツールに任せて、自分が覚えるのはツールを開くための1つだけにします。

第三は、共有設定です。クラウドストレージでファイルを共有するとき、「リンクを知っている全員」という設定は避けます。相手のアカウントを指定して共有します。リンク共有は便利ですが、そのリンクがチャットの履歴やメールの転送で外に出ると、誰でも開けます。有効期限を付けられるサービスなら、必ず期限を設定してください。

第四は、使っていないアカウントの整理です。無料で試したサービスに、業務のファイルが残っていませんか。退会していないサービスのアカウントは、そのサービスが侵害されたときに自分の情報の流出経路になります。年に一度、使っていないサービスを退会する日を作ってください。

クラウドの設計や運用を仕事として請け負う方向を考えているなら、求められる技術の範囲を先に見ておくと準備しやすいです。サーバー構築・インフラのお仕事の募集内容を読むと、アクセス制御や監視までを含めて任される案件が増えていることが分かります。

私物の端末で業務をするときの線引き

第5版が新しく踏み込んだ論点の一つが、私物端末の業務利用です。在宅で仕事を受ける個人の場合、そもそも端末は全部私物です。会社が配る端末という概念がありません。だからこそ、線引きを自分で作る必要があります。

現実的な方法は、ユーザーアカウントを分けることです。業務用のアカウントを1つ作り、私用と家族の利用は別のアカウントにします。WindowsもMacも、標準の機能でできます。アカウントを分けると、業務フォルダに他のアカウントからアクセスできなくなり、業務用ブラウザに保存した認証情報も他のアカウントからは使えません。端末を1台しか持たない人にとって、これが最も費用のかからない分離です。

分けたあと、業務用アカウントには業務以外のものを入れません。ゲーム、動画配信のアプリ、家族の写真の同期。全部入れないでください。理由は2つです。侵入の入口が増えること、そして納品直前に更新や不具合で作業が止まるリスクが増えることです。

ブラウザの拡張機能も見直してください。便利さで入れた拡張機能が、閲覧しているページの内容を外部に送っている例は珍しくありません。業務用アカウントのブラウザには、取引先とやりとりするために必要なものだけ残します。入れた覚えのない拡張機能があるなら、今すぐ削除してください。

もう1台買える余裕があるなら、業務専用の端末を用意するのが確実です。中古の事務用ノートなら数万円で足ります。取引先の確認シートに「業務専用端末」と書けることの価値は、金額以上にあります。

家の中の物理的な対策も対象に入る

セキュリティと聞くと通信やソフトウェアの話に寄りますが、ガイドラインは物理的セキュリティも13分類の一つに挙げています。在宅で働く人にとって、これは生活空間の設計の話になります。

画面の向きを確認してください。窓に向けて座っていると、外から画面が見える可能性があります。宅配便や来客が入る動線の正面に画面があると、対応している間に見られます。机の向きを90度変えるだけで解決することが多いです。

紙の資料の扱いも決めます。印刷した資料を机に出したまま席を離れない、不要になったらシュレッダーにかける。家庭用のシュレッダーは数千円で買えます。個人情報を含む書類を、そのまま家庭ごみに出している人がいます。これは最も安く防げる事故です。

ビデオ会議の背景も物理的な対策の一部です。背後のホワイトボードや付箋に、別の取引先の社名が写っていないか確認してください。背景をぼかす機能を常時有効にしておくのが簡単です。音についても、家族が同じ部屋にいる状態で顧客情報を含む会話をしない、というルールが必要になります。ヘッドセットを使えば片方は解決しますが、自分が話す内容は聞こえています。

外付けの記憶装置も管理します。作業で使ったUSBメモリを引き出しに放り込んでおくと、中身を忘れます。業務で使う外付けは暗号化した1個だけに絞り、案件が終わるたびに中身を消してください。

事故が起きたときにやること

対策を固めても、事故は起きます。ガイドラインがインシデント対応を13分類の一つに入れているのは、起きる前提で準備しておけという意味です。

在宅の個人にとって、事故は主に4つの形で来ます。端末やスマートフォンの紛失と盗難、不審なメールの添付を開いてしまった、アカウントに見知らぬログインの通知が来た、預かったデータを間違った相手に送ってしまった。

どれが起きても、最初にやることは同じです。取引先に連絡することです。ここで時間を置くのが最悪の選択です。自分で調べて大丈夫だったと判断してから報告する、という順番にすると、被害が広がったときに責任が重くなります。判断は取引先と一緒にします。

連絡先を事前に決めておいてください。案件ごとに、担当者の名前と電話番号を手元の紙に書いておきます。端末が使えない状態で連絡する必要があるからです。メールアドレスだけを頼りにすると、端末を失ったときに詰みます。

紛失の場合は、遠隔でロックと消去ができる状態にしておきます。iPhoneとMacなら「探す」、Androidなら「デバイスを探す」、Windowsなら「デバイスの検索」です。設定を有効にしていないと、紛失後には何もできません。今すぐ確認してください。

誤送信の場合は、送信取り消し機能があるなら試しますが、相手が開いていれば意味がありません。相手に連絡して削除を依頼し、取引先に報告します。そして、なぜ宛先を間違えたかを記録します。似た名前の連絡先が並んでいたのなら、表示名を変えて区別できるようにします。原因を潰さないと同じ事故が繰り返されます。

不審な添付を開いた場合は、ネットワークから切り離します。無線を切り、有線を抜きます。電源を切るかどうかは判断が分かれますが、取引先の指示があるまでは切らずに隔離しておくのが無難です。証跡が消える可能性があるからです。

発注側から来るチェックリストに答えられるようにする

ガイドラインには、企業内システムの管理責任者向けのチェックリストが付いています。発注側の企業は、これをもとに委託先へ確認シートを出してきます。在宅で仕事を受ける立場としては、この確認シートに詰まらず答えられる状態が目標です。

よく聞かれる項目を挙げます。作業に使う端末は業務専用か、家族と共用していないか。ディスクは暗号化されているか。OSとウイルス対策は最新か。多要素認証を使っているか。預かったデータの保存場所と削除の時期を決めているか。再委託をしているか、しているなら誰か。事故が起きたときの連絡体制はどうなっているか。

この7つに、確認シートを見ずに答えられれば十分です。答えられない項目があるなら、それが今の弱点です。上から順に潰してください。

ここで一つ、実務的な話をします。確認シートに正直に答えることが、仕事を失う理由になるのではと心配する人がいます。逆です。「家族と共用しています」と書いた上で、「業務用のユーザーアカウントを分けて、業務フォルダには他のアカウントからアクセスできない設定にしています」と添えると、評価は上がります。発注側が恐れているのは弱点があることではなく、弱点を把握していない相手に任せることです。

在宅で個人情報を扱う事務の案件や、顧客対応を含む案件では、この確認が特に厳しくなります。どのような体制を求められるかを知るには、実際の募集内容が参考になります。オンライン秘書・事務のお仕事の一覧を見ると、情報の取り扱いについて条件が明記された案件が多いことが分かります。

資格でセキュリティの言葉を身につける

ガイドラインを読むと、専門用語が壁になります。特権管理、脅威インテリジェンス、ゼロトラスト。意味が分からないまま読み飛ばすと、対策が形だけになります。

言葉を体系的に入れるなら、資格の勉強が最短です。国家試験の情報セキュリティマネジメント試験は、システムを作る人ではなく使う部門の人を対象にしています。

情報システムの利用部門にあって、情報セキュリティリーダーとして、部門の業務遂行に必要な情報セキュ出典: ipa.go.jp

この試験はCBT方式で随時実施されていて、試験時間は120分です。都合のよい日に受けられるので、在宅で働いている人には向いています。範囲はまさにガイドラインが扱う領域と重なります。試験の範囲と難易度、受験の流れをまとめた情報セキュリティマネジメント試験と並べて検討するとよいのですが、より基礎から入りたい方はITパスポートから始める形でも構いません。

技術側に進むなら、世界共通の指標として使える資格もあります。範囲と学習時間の目安をまとめたCompTIA Security+の解説を見ると、ネットワークと運用の知識をどこまで求められるかが分かります。海外の取引先に対して通用する資格なので、英語圏の仕事も視野に入れている方には意味があります。

資格が収入にどう跳ね返るかも見ておいてください。セキュリティの知識を持つ技術者の給与水準は、一般の事務職とは別の水準にあります。職種別の年収の分布をまとめたソフトウェア開発者の年収を見ると、同じ在宅作業でも扱う領域で報酬の幅が大きく違うことが分かります。ガイドラインを読める状態は、それ自体が単価の材料になります。

20年この市場を見てきた立場からの観察

長くこの市場を見てきて思うのは、セキュリティ対策を「コスト」と捉えている人と「営業材料」と捉えている人で、受注の結果が明確に分かれるということです。

発注側の企業は、在宅の個人に仕事を出すとき、情報漏えいを一番の懸念にしています。担当者が社内で承認を取るとき、「この人は大丈夫です」と言える根拠が必要です。そこに、端末の暗号化と多要素認証と削除期限が書かれた1枚の資料を出せる人は、担当者を助けています。助けてくれる相手には仕事が回ります。

逆に、「個人なのでそこまでは」と答える人は、担当者の仕事を増やします。増やす相手は次から呼ばれません。技術力が同じなら、ここで差がつきます。

もう一つの観察です。対策を全部そろえようとして動けなくなる人が多いです。13分類を見て諦めるくらいなら、暗号化と自動更新と多要素認証の3つだけ今日やってください。これだけで、実際に起きる事故の大半は防げます。残りは案件を受けながら足していけばよいのです。完璧を目指して何もしない状態が、最も危険です。

額面と手取りの話もしておきます。セキュリティ対策にかかる費用は、パスワード管理ツールとウイルス対策で年に1万円台です。案件が仲介を何段も経由する形だと、この1万円が重く感じます。中間マージンが乗らない直接取引なら、同じ作業でも手数料0%のぶん手元に残る金額が厚くなり、対策に回せる余裕が生まれます。対策への投資を渋る状況を作らないためにも、取引の形は見ておいてください。

最後に。ガイドラインは分厚い文書ですが、読むべきは自分に当たる立場の章だけです。在宅で一人で受けている方なら、勤務者の章とシステム管理者の章を通して読み、経営者の章は再委託を始めるときに読む。この順番で十分です。今日は暗号化の設定画面を開くところから始めてください。