テレワークのチェックリストは方式を決めてから選びます｜総務省の手引きの①〜⑧

経営のヒント
2026.09.19

本記事には広告・アフィリエイトリンクが含まれています。

結論：チェックリストを探す前に、自社の「テレワーク方式」を決めてください

総務省は、中小企業等の担当者向けに「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」を公開しています。第3版の構成で特徴的なのは、いきなり対策一覧を並べていないことです。

手引きは2部構成で、こうなっています。

  • 第1部：自社のテレワーク方式が①〜⑧のどれかを特定する
  • 第2部：特定した方式に対応するチェックリストだけを見る

つまり、方式が決まらないとチェックリストが選べないという順番です。ここを飛ばして「テレワーク セキュリティ 対策」で出てきた一覧を上から順につぶそうとすると、自社に関係のない項目に時間を使うことになります。

1. まず「会社支給」か「個人所有」かで大きく2つに分かれます

手引きは、テレワークで使う端末が会社支給か個人所有かで大きく分けています。

会社支給の端末 個人所有の端末
方式番号 方式①〜④ 方式⑤〜⑧

そのうえで、オフィスネットワークへの接続方式などで、さらに4つに分かれます。

方式 概要 端末へのデータ保存 接続方式
①／⑤ VPN・リモートデスクトップ 社内ネットワークへVPN接続、または社内のPCへリモートデスクトップ接続 保存する（リモートデスクトップなら保存しない場合も） VPN、リモートデスクトップ等
②／⑥ クラウドサービス インターネット上のクラウドサービスに接続して業務 どちらも含む 社内ネットワークには接続しない
③／⑦ スタンドアロン 端末に保存したデータを処理する（外部記録媒体で持ち運ぶ場合を含む） 保存する 接続しない／クラウドも使わない
④／⑧ セキュアブラウザ セキュアブラウザ経由で社内システムやクラウドのアプリに接続 保存しない セキュアブラウザ

複数の方式を併用している場合は、該当する方式をそれぞれ確認します。PCとスマートフォンで使い方が違うなら、環境ごとに方式を確認します。

2. 手引きは「網羅的ではない」と自分で書いています

手引きの位置づけについて、本文にこうあります。

本書で示すセキュリティ対策は、必ずしも網羅的ではありませんが、基本的かつ重要な（最低限必要となる）対策です。

上位に「テレワークセキュリティガイドライン」（第5版・令和3年5月）があり、手引きはそれを補うものという関係です。手引きのほうは、専任の担当者がいない、外部委託コストを出しにくい組織を読者像に置いています。

ガイドラインとの違いとして、手引き自身が次を挙げています。

  • 中小企業等には導入が難しい仮想デスクトップ（VDI）方式・セキュアコンテナ方式を除外
  • 端末が会社支給か個人所有かで別方式として扱う
  • VPN方式とリモートデスクトップ方式は対策が同じなので統合

3. 優先度は2段階しかありません

チェックリストの各項目には優先度が付いています。◎と〇の2段階です。

優先度 定義
◎ 重要性が高く（効果が高く）、かつ実施難易度が低い（専門知識・追加コストの懸念が小さい）
〇 重要性が高く実施難易度が中程度、または重要性が中程度で実施難易度が低い

◎から着手するのが手引きの想定です。予算や人手が限られる前提で作られているので、この順番に意味があります。

4. 方式①の◎だけを抜き出すと、こうなります

参考として、方式①（会社支給端末・VPN／リモートデスクトップ）の優先度◎の項目です。他の方式では項目が変わるので、必ず自社の方式のページを見てください。

分類 対策内容
資産・構成管理 テレワークには許可した端末のみを利用するよう周知し、端末と利用者を把握する
資産・構成管理 テレワークで利用しているシステムや取り扱う重要情報を把握する
マルウェア対策 ウイルス対策ソフトを入れリアルタイムスキャンを有効化、定義ファイルを自動更新（または手動更新のルール化）
マルウェア対策 不審なメールを開封せず、URLのクリックや添付ファイルの開封をしないよう周知
アクセス制御・認可 許可された人のみが重要情報を使えるよう、アクセス制御やファイルへのパスワード設定
物理セキュリティ のぞき見防止フィルタを貼るよう周知
物理セキュリティ 端末から離れる際はスクリーンロック
脆弱性管理 メーカーサポートが終了したOS・アプリを使わないよう周知
脆弱性管理 OS・アプリに最新のセキュリティアップデートを適用するよう周知
脆弱性管理 VPN機器等もサポート終了製品を使わず、最新のアップデートを適用
インシデント対応 対応手順と連絡体制を定め、緊急連絡先を従業員に周知
データ保護 スマートフォン等の紛失時に位置情報を検出できるようにする
アカウント・認証管理 「長く」「複雑な」パスワードをルール化し、可能な限り強度の設定を強制
アカウント・認証管理 初期パスワードは必ず変更するよう設定

ウイルス対策ソフトには注記があります。Windows標準のWindows Defenderを使う場合で、公式アプリストア等の安全な方法で入れたアプリのみを使っているときは、別途のインストール作業は不要。iOS製品ではインストール不要です。

5. 見落とされやすいのは「VPN機器そのもの」です

方式①の◎に、端末ではなくVPN機器等を対象にした項目が1つ入っています。

テレワーク端末から社内にリモートアクセスするためのVPN機器等には、メーカーサポートが終了した製品を利用せず、最新のセキュリティアップデートを適用する。

端末のOSは自動更新でも、ルーターやVPN機器のファームウェアは誰かが手で上げないと上がりません。置いた人がもう社内にいない、という状態になりやすいところです。優先度〇には、ネットワーク機器全般についても同じ趣旨の項目があります。

6. 想定している脅威は4つだけです

手引きが挙げているテレワーク環境の脅威は、次の4つです。

脅威 中身
マルウェア感染 動作の妨害、業務停止、情報漏えい。自組織の機器が第三者への攻撃に悪用され「加害者」になる可能性も
不正アクセス 脆弱性の悪用や他人のID・パスワードでのログイン。情報漏えい、賠償責任、信頼失墜、取引停止
端末の紛失・盗難 情報漏えい、賠償責任、信頼失墜、取引停止
情報の盗聴 ネットワーク上のデータの盗み見、端末ののぞき見

ランサムウェアについては、手引きにこうあります。

身代金を支払っても復旧されない可能性があることや、金銭を支払うことで犯罪者に利益供与を行ったと見なされてしまうこともあるため、支払いに応じることは推奨されません。

また、添付ファイルの開封やダウンロードを明示的にしていなくても感染する場合があるとも書かれています。「変なものを開かなければ大丈夫」ではありません。

7. 従業員に配るものが別途あります

手引きには付録として、担当者ではなく働く人に渡すものが2種類付いています。

  • 従業員向けハンドブック：繰り返し気を付けることや、もしもの時の連絡先
  • 緊急時対応カード（シール）：困った際に何を最優先にすべきか。端末に貼って使う想定

チェックリストの項目の多くが「〜するよう周知する」という書き方になっているので、周知の手段としてここが用意されています。

8. 実務としてやること

  1. PC・スマートフォンなど環境ごとに、方式①〜⑧のどれかを決める
  2. その方式の優先度◎のチェックリストだけを印刷する
  3. 端末と利用者の一覧、扱う重要情報の一覧を作る（ここが起点です）
  4. VPN機器・ルーターのサポート期限とファームウェアを確認する
  5. インシデント時の連絡先を1枚にして配る
  6. 従業員向けハンドブックと緊急時対応カードを配る

当サイトでは個別のセキュリティ診断を行いません。手引き本体を総務省のページで確認してください。

テレワークで会計・経理をクラウドに移す場合

手引きの方式②・⑥「クラウドサービス方式」に当たる例のひとつが、会計や請求をクラウドに置くことです。以下は広告です。当サイトでは、これらのサービスが手引きのチェックリスト項目（多要素認証やアクセス制御など）にどこまで対応するかを検証していません。対応状況・料金・プランは変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として並べています。

クラウド会計の選択肢：

FAQ

テレワークセキュリティガイドラインと手引きは、どちらを見ればよいですか。

手引きはガイドラインを補うものという位置づけで、専任の担当者がいない組織を読者像にしています。予算や体制が限られるなら手引きから入る想定です。

手引きの対策をすべてやれば十分ですか。

手引き自身が「必ずしも網羅的ではありません」と書いています。基本的かつ最低限の対策という位置づけです。

個人所有のスマートフォンで社用メールを見ています。どの方式ですか。

社内ネットワークに接続せずクラウドのメールを使っているなら方式⑥に当たると考えられますが、判断は手引きのフローチャートで行ってください。当サイトでは個別の判定をしません。

ウイルス対策ソフトは必ず入れる必要がありますか。

手引きの注記では、Windows Defenderを使い、公式アプリストア等の安全な方法で入れたアプリのみを使っている場合はインストール作業は不要、iOS製品はインストール不要とされています。

チェックリストの対象範囲はどこまでですか。

テレワークの導入・利用のために必要となるシステムや機器です。テレワークの有無に関わらず使う社内システムは対象外で、別途検討が推奨されています。

参照した一次情報

  • 総務省「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）第3版」 soumu.go.jp
    2026年9月19日確認。方式①〜⑧の分類、優先度◎・〇の定義、方式①の対策項目、想定脅威4種、付録（従業員向けハンドブック・緊急時対応カード）に関する記述はこの手引きに基づきます。方式②〜⑧の個別のチェックリスト項目、および本文で引用していない設定解説資料の内容は確認していません。

関連記事

このテーマの記事一覧：IT・個人情報

この記事は当サイト運営者が執筆しました。情報セキュリティの専門家による記事ではありません。上記の確認日以降に手引きが改訂されている可能性があります。実際の対策は手引き本体と、必要に応じて専門家の助言に従ってください。

コメント

タイトルとURLをコピーしました