中小企業等担当者向け
テレワークセキュリティの手引き（チェックリスト）
第２版（令和３年５月）

テレワークセキュリティの疑問と本書の対応ページ

Ｑ．まず何から始めればよいか知りたい。
チェックリストを手早く確認したい。
Ａ．まず「第１部１．テレワーク方式の確認」で自組織のテレワー
クの方式を確認してください。
次に、「第２部１．セキュリティ対策チェックリスト」で自組織の方式に対応するチェックリストでセキュリティ対策状況を確認してください。

Ｑ．各テレワーク方式がどういうものか、
より具体的に知りたい。

０．はじめに
第１部
第１部１．テレワーク方式の確認
p.8～
第１部２．テレワーク方式
の解説
p.10～

Ａ．「第１部２．テレワーク方式の解説」で各方式の特徴について、図等を用いて解説しているので確認してください。

Ｑ．チェックリスト項目の必要性を知りたい。
社内へ説明する理由がほしい。
Ａ．「第１部３．テレワーク環境で想定される脅威の解説」には、チェックリストの対策を実施しなかった場合の脅威や業務影響について解説しています。各対策はこれらの脅威や業務影響のリスクを軽減できるように考えられています。

第１部３．テレワーク環境で想定される脅威
の解説
p.23～

第２部
第２部１．セキュリティ対策チェックリスト

Ｑ．チェックリストの対策を実施するために、具体的な製品の設定方法を知りたい。
Ａ．「第２部２．チェックリストの設定例一覧」では、よく利用されるテレワーク製品について、チェックリストの要求内容を実現するための設定例を解説しています。

p.29～
第２部２．チェックリストの設定例一覧
p.52～

Ｑ．テレワーク方式ごとではなく、チェック
リスト全体を一覧的に確認したい。

第２部３．セキュリティ対策と想定脅威一覧

Ａ．「第２部３．セキュリティ対策と想定脅威一覧」には、チェッ
クリストの内容を一覧表として整理しています。

p.53～※本書を周知する場合は、次のURLを周知願います。
https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/※本書は、総務省の令和２年度事業「テレワークセキュリティに係るチェックリスト策定に関する調査研究」（受託者：NRIセキュアテクノロジーズ株式会社）の調査研究結果を踏まえ、総務省において作成したものです。
※本書に記載されている会社名・商品名は、それぞれ各社の商標・登録商標です。

2

目次

テレワークセキュリティの疑問と本書の対応ページ .............2
目次.......................................................3
０．はじめに ...............................................5(1)

本書の目的 ................................................... 5(2)

本書の想定読者 ............................................... 5(3)

テレワークの形態 ............................................. 6(4)

本書の構成（活用方法） ....................................... 7

第１部１．テレワーク方式の確認 .............................8
第１部２．テレワーク方式の解説 ............................10
テレワーク方式の全体概要 ......................................... 11方式①

会社支給端末・VPN/リモートデスクトップ方式 ............... 13方式②

会社支給端末・クラウドサービス方式 ....................... 15方式③

会社支給端末・スタンドアロン方式 ......................... 16方式④

会社支給端末・セキュアブラウザ方式 ....................... 17

方式⑤

個人所有端末・VPN/リモートデスクトップ方式 ............... 18

方式⑥

個人所有端末・クラウドサービス方式 ....................... 20

方式⑦

個人所有端末・スタンドアロン方式 ......................... 21

方式⑧

個人所有端末・セキュアブラウザ方式 ....................... 22

第１部３．テレワーク環境で想定される脅威の解説 ............23(1)

マルウェア感染 .............................................. 23(2)

不正アクセス ................................................ 26(3)

端末の紛失・盗難 ............................................ 27(4)

情報の盗聴 .................................................. 28

3

第２部１．セキュリティ対策チェックリスト ..................29
方式①

会社支給端末・VPN/リモートデスクトップ方式 ............... 30方式②会社支給端末・クラウドサービス方式 ....................... 33方式③

会社支給端末・スタンドアロン方式 ......................... 36方式④

会社支給端末・セキュアブラウザ方式 ....................... 38

方式⑤

個人所有端末・VPN/リモートデスクトップ方式 ............... 41

方式⑥

個人所有端末・クラウドサービス方式 ....................... 44

方式⑦

個人所有端末・スタンドアロン方式 ......................... 47

方式⑧

個人所有端末・セキュアブラウザ方式 ....................... 49

第２部２．チェックリストの設定例一覧 ......................52
第２部３．セキュリティ対策と想定脅威一覧 ..................53
参考１ 用語集（キーワード解説） ..........................58
用語集 ................................................................... 58「MDM」について .......................................................... 60「各種連絡体制（インシデント発生時）」について ............................ 61「管理者権限」について ................................................... 62「時刻同期」について ..................................................... 63「システムによるアクセス制御」について ................................... 64「重要情報」について ..................................................... 66「対応手順（インシデント対応手順）」について .............................. 67「パスワード」について ................................................... 68

参考２ テレワークセキュリティに関する参考情報 ............69

4

０．はじめに(1) 本書の目的
総務省では、従来から、テレワークを業務に活用する際のセキュリティ上の不安を払拭し、安心してテレワークを導入・活用するための指針として「テレワークセキュリティガイドライン」を策定 1してきました。
本書は、この「テレワークセキュリティガイドライン」を補うものとして、予算やセキュリティ体制等が必ずしも十分ではない中小企業等の担当者を対象としたものです。
具体的には、中小企業等の担当者がテレワークを導入し、利用を進めるに当たり、中小企業等が考慮すべきセキュリティリスクを踏まえ、中小企業等においても実現可能性が高く優先的に実施すべきセキュリティ対策を具体的に示しています。
そのため、本書で示すセキュリティ対策は、必ずしも網羅的ではありませんが、基本的かつ重要な（最低限必要となる）対策です。まずは、本書で示す対策を実施することを目標とすることで、効果的にテレワークセキュリティを確保することができます。

(2) 本書の想定読者
本書は、中小企業等においてシステム・セキュリティ管理を行う担当者（担当者ではないがこれらに準ずる役割を担っている方を含みます。）を読者として想定しています。
具体的には次の読者像を想定し、これを念頭に用語や解説を付加して作成しています。
本書の想定読者像
セキュリティ
予算

外部委託コストの捻出は難しいレベルの 外部委託コストは必要に応じて捻出しう
組織るレベルも含めた幅広い組織

セキュリティ
推進体制

専任のセキュリティ担当が存在しないよ 専任の担当・担当部門が存在する場合
うな組織も含めた幅広い組織

セキュリティ
リテラシ「適切に…」等の読者に解釈を委ねるよ 「適切に…」等の読者に解釈を委ねるよ
うな抽象的な要求だけでは、対応すべき うな抽象的な要求に対して、対応内容を検討・判断し、対策を実行できる
内容がわからないITリテラシ1

テレワークセキュリティガイドラインの想定読者像

VPN・フィルタリング・アンチウイルス等 VPN・フィルタリング・アンチウイルス等の基本的なIT用語は聞いたことがあり、 の基本的なIT用語は仕組みとして理解
利用シーンがイメージできる
している
システム設定作業は、基本的な内容であ
システム設定作業は、基本的な内容であれば、インターネット検索によって調べな
れば、無理なく行うことができる
がら行うことができる

初版：平成16(2004)年12月／第２版：平成18(2006)年４月／第３版：平成25(2013)年３月／第４版：平成30(2018)年４月／第５版：令和３(2021)年５月

5(3) テレワークの形態
テレワークとは、情報通信技術（ICT：Information and Communication Technology）
を活用し、場所や時間を有効に活用できる柔軟な働き方のことです。
テレワークの形態は、業務を行う場所に応じて、在宅勤務、サテライトオフィス勤務、
モバイル勤務に分類され、本書ではいずれの形態も対象としています。
①

在宅勤務
自宅で業務を行う働き方です。

通勤等の移動時間を要しないことから、時間を有効に活用することが可能です。また、例えば育児休業明けの労働者が短時間勤
務等と組み合わせて勤務することや、保育所の近くで働くこと等が可能となるため、仕事と家庭生活との両立に資する働き方です。
②

サテライトオフィス勤務

自宅の近くや通勤途中の場所等に設けられたサテライトオフィ
ス（メインのオフィス以外に設けられたオフィス。シェアオフィ
スやコワーキングスペースを含みます。）で業務を行う働き方です。
通勤時間を短縮しつつ、在宅勤務やモバイル勤務以上に環境の整った場所で業務を行うことができます。また、都心部にあるサテライトオフィスは、
移動時間に立ち寄って業務を行うことが可能なことから、業務効率化を図ることも可能です。
③

モバイル勤務ノートPC等を活用して臨機応変に選択した場所で業務を行う働き方です。
自由に働く場所を選択できる、外勤における移動時間を利用できるなど、働く場所を柔軟に運用することで業務の効率化を図ることが可能です。
ICT技術の進歩により、テレワーク環境は、オフィス環境と全く同等とは言えないものの、大きな遜色のない程度に業務を実施できるようになってきています。また、テレワークの実施には、通勤時間節約や通勤ストレスからの解放、仕事と育児・介護・療養との両立、事業継続性（BCP）の確保等のメリットがあります。
一方で、テレワークは全職種、全従業員を対象として一律に導入することが必ずしも期待する効果につながらない可能性もあります。テレワーク導入そのものを目的とする
ことなく、テレワークを導入することによってどのようなメリットを享受したいかを整理した上で、テレワークを導入するようにしましょう。
その上で、テレワークの導入や利用に当たり、最低限必要なセキュリティ対策を実施するために、本書を御活用願います。

6

(4) 本書の構成（活用方法）
本書は、下表のとおり、主に２部構成で作成されています。
まず、第１部（「第１部１．テレワーク方式の確認」（p.8～））で、テレワークでの業
務内容や利用する端末等の状況を基に、該当するテレワーク方式を確認・特定してください。テレワーク方式が既に明らかな場合には、第１部は読み飛ばして構いません。
その上で、第２部（主に「第２部１．セキュリティ対策チェックリスト」（p.29～））では、第１部で特定したテレワーク方式に対応するチェックリストを確認し、そのチェックリストをもとにセキュリティ対策をお願いします。
構成
０．はじめに概要
本書の目的や想定読者像を明らかにした上で、全体構成（活用方法）を説明しています。

第１部
テレワークの利用シーンを想定し、導入している（導第１部１．テレワーク方式の確認 入を予定している）テレワーク方式を確認するための手順を示しています。
第１部２．テレワーク方式の解説

本書で取り扱う各テレワーク方式の詳細を解説しています。

第１部３．テレワーク環境で想定 テレワーク環境において想定される脅威について解される脅威の解説
説しています。
第２部
第２部１．セキュリティ対策チェ テレワーク方式ごとに、実施すべきセキュリティ対策
ックリスト
項目を「チェックリスト」の形で示しています。
第２部２．チェックリストの設定 チェックリストの対策内容の実現方法の参考として、
例一覧
具体的な製品の設定例について触れています。
「チェックリスト」を一覧形式で示すとともに、それぞ
第２部３．セキュリティ対策と想れのセキュリティ対策項目における想定脅威の詳細
定脅威一覧
を示しています。
参考
参考１ 用語集（キーワード解説）
参考２

本書で用いている主な用語を説明しています。また、重要なキーワードについても解説します。

テレワークセキュリティ チ ェッ クリス トを 活 用する 上で 参考と な る文献やに関する参考情報
Webサイト等を示しています。

なお、セキュリティ対策を進めるに当たり、対策の重要性や必要性について組織内や経営層から説明を求められている場合など、セキュリティ対策への理解を深めてもらうために活用可能な資料として、「第１部３．テレワーク環境で想定される脅威の解説」（p.23～）を作成しています。御活用ください。

7

第１部１．テレワーク方式の確認
テレワークの実現するためのシステム構成には複数の方式が存在します。例えば、テレワークで利用する端末の種別、オフィスネットワークへの接続方式の別等により方式を分類することができ、方式によって考慮すべきセキュリティ対策も変わります。
そのため、皆様の組織で導入している（導入を予定している）テレワーク方式をまずは明らかにする必要があります。次ページに、テレワークでの業務内容、利用する端末等の状況をもとに、該当する選択肢を選ぶことでテレワーク方式を確認できるフローチ
ャートを示していますので活用してください。テレワーク方式が明らかな場合は、第２部に進んでください。
なお、組織内で複数のテレワーク方式が利用されていることもありますので、その場合は該当する複数の方式についてそれぞれご確認ください。
また、各方式の詳細な説明については、「第１部２．テレワーク方式の解説（p.10～）」
をご覧ください。
＜テレワーク端末の例＞
会社支給の端末
テレワークのために、オフィスから持ち出して使用するPCやスマートフォン等
が該当します。テレワーク専用端末を会社から支給される場合もこちらに該当し
ます。
PC

タブレット
スマートフォン

会社支給
会社支給

個人所有の端末
従業員が個人所有しており、テレワークに利用するPCやスマートフォン等が該
当します。
PC

タブレット
スマートフォン

個人所有

個人所有

8

テレワーク端末の提供形態はどうしているか

会社支給の端末

個人所有の端末

オフィスネットワークにリモートアクセスするか

オフィスネットワークにリモートアクセスするか

リモートアクセスする（VPN/リモートデスクトップ/セキュアブラウザ等）

テレワーク時にデータを端末保存するか保存する（テレワーク時にダウンロードして保存可）

保存
しない

リモートアクセスする

リモートアクセス
しない（VPN/リモートデスクトップ/セキュアブラウザ等）

テレワーク時にクラウドサービスを利用するか利用する

テレワーク時にデータを端末保存するか

保存する

利用
しない

（テレワーク時にダウンロードして保存可）

テレワーク時にどのような業務を行うか

（

方式④

（

方式②

テレワーク時にクラウドサービスを利用するか

利用する

利用
しない

テレワーク時にどのような業務を行うか

編集・閲覧/メール送受信等）

方式①

保存
しない

リモートアクセス
しない

方式③

編集・閲覧
/メール送受信等）

方式⑤

方式⑧

方式⑥

方式⑦

PCやスマートフォン等の複数の環境を併用しており、環境ごとに利用形態が異なる場
合は、環境ごとにフローチャートで方式を確認してください。

9

第１部２．テレワーク方式の解説
前ページのフローチャートにおける８つのテレワーク方式 2について解説します。フ
ローチャートによって選択したテレワーク方式が、導入している（導入を予定している）
ものと合致しているかどうかの確認のためにも、解説を御活用ください。
なお、各方式の解説に当たって共通的な用語については、下表に解説していますので、参照ください。
用語

2

解説

VPN

Virtual Private Networkの略称。あたかもオフィスネットワーク
内部にいるかのように、自宅や外出先などの遠隔の場所から安全に
オフィスネットワークに接続可能な技術のことです。

クラウドサービス

従来は、オフィスネットワーク内のPCやサーバで保存・管理していたようなソフトウェアやデータを、オフィスネットワーク内ではな
くインターネット上で保存・管理し、利用者は、インターネットを通じていつでもどこでも利用できるようにしたサービス。
本書では、メール、チャット、オンライン会議、ファイル共有等のクラウドサービスを想定しています。また、プロバイダーが提供するメールサービスの利用も含みます。

セキュアブラウザ

特殊なインターネットブラウザで、端末側にデータを残さずに利用することができます。閲覧した情報を端末に保存できないようにする機能や、製品によっては、スクリーンショット、テキストのコピー＆ペースト、接続先制限を行えるものもあります。
クラウドサービスやオフィスネットワーク上のシステムに接続する際に利用することで、情報漏えい等に備えたデータ管理が容易になります。

リモートデスクトップ

オフィスネットワークに置いてあるPCの画面を、インターネット経由でテレワーク端末のPCに転送して表示した上で、テレワーク端末のPCからオフィスネットワークに置いてあるPCを遠隔操作する技術。

テレワークセキュリティガイドラインと比較した場合、本書では次の違いがあります。
・中小企業等には導入が難しい「仮想デスクトップ（VDI）方式」「セキュアコンテナ方式」を除外
・テレワーク端末が「会社支給」であるか「個人所有」であるかにより、別方式として取扱い・「VPN方式」と「リモートデスクトップ方式」は、本書でのセキュリティ対策が同じであるため統合・「クラウドサービス方式」を併用する場合、別方式とせず併用先方式に包含して取扱い

10

テレワーク方式の全体概要
テレワーク方式について、テレワーク端末が「会社支給」であるか「個人所有」であるかにより大別（会社支給端末：方式①～方式④／個人所有端末：方式⑤～方式⑧）し
ています。

方式

オフィス
テレワー
クラウド
ネットワ
ク端末へ
サービス
ークへの
のデータ
利用
接続方式
保存

VPN、
方式①
会社支給端末 リモート・VPN/リモー デスクト
トデスクトッ ップ等
プ方式

概要

該当
ページ

利用する 保存する 会社支給のテレワーク端末からオ 方式解説
/利用し ※リモート フィスネットワークへVPN接続して p.13～
ないどち デスクトッ 業務を行う方式。
プ接続の場
らも含む 合は「保存 または、会社支給のテレワーク端末 チェックしない」場 からオフィスネットワークにある端 リスト
合も含む 末（PC）へリモートデスクトップ接 p.30～
続して業務を行う方式。
いずれの場合も、ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

接続しな 利用する 保存する 会社支給のテレワーク端末からイン 方式解説
方式②
会社支給端末 い/保存し ターネット上のクラウドサービスに p.15～
ないどち 接続して業務を行う方式。
・クラウドサらも含む クラウドサービスからダウンロード チェックービス方式
したデータを用いて、テレワーク端 リスト
末上で業務を行う場合も含みまp.33～
す。
接続しな 利用しな 保存する 会社支給のテレワーク端末にデー 方式解説
方式③
い会社支給端末 いタを保存しておき（外部記録媒体で p.16～
持ち運ぶ場合を含みます。）、テレ・スタンドア
ワーク中は保存しておいたデータ チェックロン方式
を処理することで業務を行う方式。 リスト
p.36～
セキュア 利用する 保存しな 会社支給のテレワーク端末からセ 方式解説
方式④
会社支給端末 ブラウザ
いキュアブラウザを利用し、オフィス p.17～
ネットワーク内のシステムやクラウ・セキュアブドサービスで提供されるアプリケー チェック
ラウザ方式
ションに接続して業務を行う方式。 リスト
p.38～

11

VPN、
方式⑤
個人所有端末 リモート・VPN/リモー デスクト
トデスクトッ ップ等
プ方式

利用する 保存する 個人所有のテレワーク端末からオ 方式解説
/利用し ※リモート フィスネットワークへVPN接続して p.18～
ないどち デスクトッ 業務を行う方式。
プ接続の場
らも含む 合は「保存 または、個人所有のテレワーク端末 チェックしない」場 からオフィスネットワークにある端 リスト
合も含む 末（PC）へリモートデスクトップ接 p.41～
続して業務を行う方式。
いずれの場合も、ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

接続しな 利用する 保存する 個人所有のテレワーク端末からイン 方式解説
方式⑥
個人所有端末 い/保存し ターネット上のクラウドサービスに p.20～
ないどち 接続して業務を行う方式。
・クラウドサらも含む クラウドサービスからダウンロード チェックービス方式
したデータを用いて、テレワーク端 リスト
末上で業務を行う場合も含みまp.44～
す。
接続しな 利用しな 保存する 個人所有のテレワーク端末に外部 方式解説
方式⑦
い
個人所有端末 い
記録媒体等でデータを持ち運び、 p.21～
テレワーク中は保存しておいたデー・スタンドア
タを処理することで業務を行う方 チェック
ロン方式
式。
リスト
p.47～
セキュア 利用する 保存しな 個人所有のテレワーク端末からセ 方式解説
方式⑧
個人所有端末 ブラウザ
いキュアブラウザを利用し、オフィス p.22～
ネットワーク内のシステムやクラウ・セキュアブドサービスで提供されるアプリケー チェック
ラウザ方式
ションに接続して業務を行う方式。 リスト
p.49～

12

方式① 会社支給端末・VPN/リモートデスクトップ方式
次に示す２つのパターン（VPN方式とリモートデスクトップ方式）が該当します。
［VPN方式］
会社支給のテレワーク端末からオフィスネットワークへVPN接続して業務を実施します。
オフィスと同等の業務環境を実現することが可能です。ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

オフィスネットワーク

Cloud ※１

テレワーク時自席端末なし利用している or 利用していない

チャット

VPN機器

※２
メール

Web会議

ファイル共有Internet
テレワーク環境※３

会社支給【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存あり

会社支給※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

13

［リモートデスクトップ方式］
会社支給のテレワーク端末からオフィスネットワークにある端末（PC）へリモートデスクトップ接続して業務を実施します。
オフィスと同等の業務環境を実現することが可能です。ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

オフィスネットワーク

Cloud ※１

会社支給

利用している or 利用していない

チャット

※２
メール

Web会議

ファイル共有リモートデスクトップ
接続

Internet
テレワーク環境

※３

会社支給

会社支給

【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存ありor

データ保存なし※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

14

方式② 会社支給端末・クラウドサービス方式
会社支給のテレワーク端末からインターネット上のクラウドサービスに接続して業務を実施します。
オフィスネットワークに接続しないのが特徴です。クラウドサービスからダウンロー
ドしたデータを用いて、テレワーク端末上で（スタンドアロン方式のように）業務を実施する場合も含みます。

オフィスネットワーク

Cloud ※１

テレワーク時自席端末なし利用している

チャット

VPN機器

※２
メール

Web会議

ファイル共有VPN接続なし

Internet
テレワーク環境

※３

会社支給

会社支給

【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存ありor

データ保存なし※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

15

方式③ 会社支給端末・スタンドアロン方式
会社支給のテレワーク端末にデータを保存しておき（外部記録媒体で持ち運ぶ場合を含みます。
）、テレワーク中は保存しておいたデータを処理することで業務を実施します。
スタンドアロン方式では、ネットワークに接続しないことから、オフィスネットワー
クに接続せず、クラウドサービスも利用しないことが特徴です。

オフィスネットワーク

Cloud ※１

テレワーク時自席端末なし

利用なし

チャット

VPN機器

※２
メール

Web会議

ファイル共有VPN接続なし

Internet

利用なし

テレワーク環境※３

会社支給【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存あり

会社支給※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

16

方式④ 会社支給端末・セキュアブラウザ方式
会社支給のテレワーク端末から特別なインターネットブラウザ（セキュアブラウザ）
を利用し、オフィスネットワーク内のシステムやクラウドサービスで提供されるアプリ
ケーションに接続して業務を実施します。
セキュアブラウザ方式では、端末へのデータ保存をしないことが特徴です。また、セキュアブラウザに対応した限定された業務のみをテレワークで実施します。

オフィスネットワーク

Cloud ※１

会社支給

利用している

チャット

※２
メール

Web会議

ファイル共有Internet
テレワーク環境

セキュア
ブラウザ

会社支給
※３

会社支給

データ保存なし【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

17

方式⑤ 個人所有端末・VPN/リモートデスクトップ方式
次に示す２つのパターン（VPN方式とリモートデスクトップ方式）が該当します。
［VPN方式］
個人所有のテレワーク端末からオフィスネットワークへVPN接続して業務を実施します。
オフィスと同等の業務環境を実現することが可能です。ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

オフィスネットワーク

Cloud ※１

会社支給

利用している or 利用していない

チャット

VPN機器

※２
メール

Web会議

ファイル共有Internet
テレワーク環境※３

個人
所有【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存あり

個人所有※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

18

［リモートデスクトップ方式］
個人所有のテレワーク端末からオフィスネットワークにある端末（PC）へリモートデスクトップ接続して業務を実施します。
オフィスと同等の業務環境を実現することが可能です。ダウンロードしたデータを用いてテレワーク端末上で業務を実施するケースも含みます。

オフィスネットワーク

Cloud ※１

会社支給

利用している or 利用していない

チャット

※２
メール

Web会議

ファイル共有リモートデスクトップ
接続

Internet
テレワーク環境

※３

個人所有

個人
所有

【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存ありor

データ保存なし※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

19

方式⑥ 個人所有端末・クラウドサービス方式
個人所有のテレワーク端末からインターネット上のクラウドサービスに接続して業務を実施します。
オフィスネットワークに接続しないのが特徴です。クラウドサービスからダウンロー
ドしたデータを用いて、テレワーク端末上で（スタンドアロン方式のように）業務を実施する場合も含みます。

オフィスネットワーク

Cloud ※１

会社支給

利用している

チャット

VPN機器

※２
メール

Web会議

ファイル共有VPN接続なし

Internet
テレワーク環境

※３

個人所有

個人
所有

【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存ありor

データ保存なし※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

20

方式⑦ 個人所有端末・スタンドアロン方式
個人所有のテレワーク端末に外部記録媒体等でデータを持ち運び、テレワーク中は保存しておいたデータを処理することで業務を実施します。
スタンドアロン方式では、ネットワークに接続しないことから、オフィスネットワー
クに接続せず、クラウドサービスも利用しないことが特徴です。

オフィスネットワーク

Cloud ※１

会社支給

利用なし

チャット

VPN機器

※２
メール

Web会議

ファイル共有VPN接続なし

Internet

利用なし

テレワーク環境※３

個人
所有【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当データ保存あり

個人所有※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

21

方式⑧ 個人所有端末・セキュアブラウザ方式
個人所有のテレワーク端末から特別なインターネットブラウザ（セキュアブラウザ）
を利用し、オフィスネットワーク内のシステムやクラウドサービスで提供されるアプリ
ケーションに接続して業務を実施します。
セキュアブラウザ方式では、端末へのデータ保存をしないことが特徴です。また、セキュアブラウザに対応した限定された業務のみをテレワークで実施します。

オフィスネットワーク

Cloud ※１

会社支給

利用している

チャット

※２
メール

Web会議

ファイル共有Internet
テレワーク環境

セキュア
ブラウザ

個人
会社支給
※３

個人所有

所有

データ保存なし【会社データ保存あり/なしの例】
データ保存あり：
メール添付資料を手元の端末に保存し、別アプリで開いて閲覧・編集する場合が該当
データ保存なし：
メール添付資料をメールアプリ上で開いて閲覧する場合が該当※１ 「クラウドサービスを利用」は全部又は一部を利用しているケースが該当※２ プロバイダー提供のメール利用もクラウドサービスに該当※３ タブレットやスマートフォンのアプリでメール等を利用する場合も「クラウドサービスを利用」に該当

22

第１部３．テレワーク環境で想定される脅威の解説
テレワーク環境において想定される脅威について理解を深めるために、各脅威の概要に加え、脅威が顕在化する流れや顕在化による業務影響を解説しています。なお、解説の作成に当たっては、セキュリティ対策を進めるに当たり、対策の重要性や必要性をシ
ステム担当者等が組織内に理解してもらいやすいような記載としています。
各脅威は、典型的な攻撃手法を例として、起因・過程・被害の３つのステップに分けて解説しています。また、「第２部１．セキュリティ対策チェックリスト」（p.29～）に示すチェックリストの各対策項目が、起因・過程・被害のいずれのステップで有効な対策であるかについても併せて記載しています（特定のステップの場合のみに有効な対策については、当該ステップを括弧書きで記載しています。）。

(1) マルウェア感染
マルウェアとは、不正かつ有害な動作を行う目的で作成された悪意のあるソフトウェ
アや悪質なプログラムの総称です。一般的に「コンピュータウイルス」と呼ばれるものもマルウェアの一種に該当します。
また、昨今話題になっているランサムウェアもマルウェアの一種で、感染した端末をロックしたり、端末上のデータを暗号化して使用不能にしたりします。
マルウェア感染とは、悪意あるソフトウェアや悪質なプログラムが、使用している端末やソフトウェアに組み込まれることを指します。
一般的なマルウェアに感染した場合、機器本来の動作の妨害や、データの破壊による「業務停止」、データの外部送信による「情報漏えい」、また、自組織の機器が第三者に対する攻撃に悪用されることで、「攻撃の加害者」となる可能性があります。
ランサムウェアに感染した場合、感染した端末にあるデータや、当該端末を通じてファイルサーバや外付けハードディスク等の外部記録媒体に保管されているファイルを暗号化されることにより「業務停止」が発生する可能性があります。この際に攻撃者は、元に戻すことと引き換えに金銭などの身代金を要求しますが、身代金を支払っても復旧されない可能性があることや、金銭を支払うことで犯罪者に利益供与を行ったと見なされてしまうこともあるため、支払いに応じることは推奨されません。

23

マルウェア感染の事例（一般的なマルウェア）①ａ添付ファイル付きのメールを受信し開封②①ｂチェックリスト対策項目①ｃ

悪意のあるサイトを閲覧し、ソフトをダウンロード③

USBメモリを接続

2-1
2-2（①ａ）
5-1
5-2

④
2-1
2-3

マルウェア感染⑤ａ

個人情報が漏えいし、賠償義務の発生

無断で外部の攻撃指令サーバと接続

重要情報を盗み出して、外部に送信⑤ｂ

マルウェア感染の発覚で、取引先や顧客からの信頼失墜・取引停止

7-1
7-2
7-3

マルウェアによる攻撃は高度化しているため、本事例で紹介している方法である、添付ファイルの開封やソフトウェアのダウンロード等の操作を明示的にしていない場合であっても、マルウェアに感染する場合があります。

24マルウェア感染の事例（ランサムウェア）①ａ添付ファイル付きのメールを受信し開封②①ｂチェックリスト対策項目①ｃ

悪意のあるサイトを閲覧し、ソフトをダウンロード③

USBメモリを接続

2-1
2-2（①ａ）
5-1
5-2

④
2-1
2-3

ランサムウェア感染⑤ａ

情報を復旧できず、業務に影響が発生

端末内や接続可能なファイルサーバ/外部記録
媒体内のデータが暗号化

復旧を条件に脅迫し、
金銭を要求

⑤ｂ

7-1
7-2
7-3

ランサムウェア感染の発覚で、取引先や顧客からの信頼失墜・取引停止

25

(2) 不正アクセス
不正アクセスは、コンピュータのOSやアプリケーション、ハードウェアに存在する脆
弱性を悪用し、アクセスする権限を持たない第三者が内部に侵入する行為や、ID及びパスワードを利用者の許可を得ずに利用し、利用者に提供されているサービスを受ける行
為が該当します。
不正アクセスをされた場合、「情報漏えい」の発生や、情報漏えいに伴う「賠償責任」の発生、また、取引先や顧客からの「信頼失墜」や「取引停止」となる可能性があります。

チェックリスト
対策項目

不正アクセスの事例
①ａ

①ｂ

①ｃ

5-1、5-2、5-3、5-4（いずれも①ａ）

クラウドサービス等のログインパスワードに
簡単な文字列を使用

VPN機器の脆弱性情報
発表後に未対応

クラウドサービス等のログイン
パスワードに他サービスと同じ文字列を使用

②ａ

②ｂ

②ｃ

過去に漏えいした他サービスのパスワードリストを攻撃者が活用し、不正ログイン

パスワードを予測され、不正ログイン

脆弱性を突かれて、
VPN機器の認証を不正に突破され侵入③ａ③ｂ

社内のファイルサーバ等にアクセスし情報を窃取

クラウドサービスに接続し、顧客情報や営業機密の情報を窃取④ａ④ｂ

顧客情報が漏えいし、賠償責任が発生不正アクセスの発覚により、取引先や顧客からの信頼失墜・取引停止

26

9-4（①ｂ）
9-1、9-2、
9-3、10-2（いずれも①ｃ）

3-1
3-2（②ａ）
8-3
9-3（②ｂ・②ｃ）
10-1
10-3

7-1
7-2
7-3

(3) 端末の紛失・盗難
テレワーク端末をなくしてしまうこと、又は物理的に第三者に盗まれることを指します。
盗難・紛失にあった場合、「情報漏えい」の発生や、情報漏えいに伴う「賠償責任」の発生、また、取引先や顧客からの「信頼失墜」や「取引停止」となる可能性があります。

チェックリスト対策項目

端末の紛失・盗難の事例
①ａ

①ｂ
8-1
8-2

サテライトオフィスに端末を忘れて帰宅し、紛失

カフェ等で離席した
際に端末が盗難②

第三者が端末を入手③ａ

端末を初期化して転売④ａ

重要情報を紛失し、業務に影響が発生③ｂ③ｃ

不正ログインの上、端末に保存された機密情報にアクセス

④ｂ

8-3
8-4

HDDを取り出され、保存された機密情報
にアクセス

④ｃ

紛失/盗難の発覚により、取引先や顧客からの信頼失墜・取引停止

27

顧客情報が漏えいし、賠償責任が発生

7-1
7-2
7-3

(4) 情報の盗聴
インターネット等のネットワーク上でやり取りされているデータを盗み見られることや、端末をのぞき見られることを指します。
情報の盗聴にあった場合、「情報漏えい」の発生や、情報漏えいに伴う「賠償責任」の発生、また、取引先や顧客からの「信頼失墜」や「取引停止」となる可能性があります。

チェックリスト
対策項目

情報の盗聴の事例①ａ①ｂ①ｃ3-4（①ａ）
4-1（①ｂ）

第三者がオンライン
会議URLを不正に取得

端末にのぞき見防止
フィル等を貼り付けず
カフェでテレワーク

カフェの無線アクセス
ポイントを利用

②ａ

②ｂ

②ｃ

オンライン会議に不正に第三者が参加

後ろから第三者に第三者が無線経由で端末の画面をのぞかれる
通信内容を盗聴

6-1（①ｃ）

3-3、3-4、3-5、8-3、
8-5（いずれも②ａ）

③ａ

③ｂ

③ｃ

4-1（②ｂ）
6-1、6-2（いずれも②ｃ）

会議内容を盗み見④ａSNS等で未公開情報が公開され、
事業影響が発生

画面に表示されていた
ID/パスワードを窃取
重要情報を盗み見され、攻撃者がなりすまし④ｂ④ｃ

盗聴の発覚により、
ID/パスワード悪用で顧客取引先や顧客から情報漏えい・賠償責任が発生の信頼失墜・取引停止

28

7-1
7-2
7-3

第２部１．セキュリティ対策チェックリスト
中小企業等の担当者がテレワーク導入や利用を進めるに当たり、テレワーク方式ごとに実施すべきセキュリティ対策を確認できるよう、次ページ以降に、チェックリストとしてセキュリティ対策事項を具体的に示しています。
また、セキュリティ対策について、優先度の高いものから効率的に着手・実施できる
よう、優先度ごとにチェックリストを示します。優先度の区分は次のとおりです。
優先度：◎
セキュリティ対策の重要性が高い（実施することによる効果が高い）もののうち、
実施難易度が低い（専門知識、追加コストの観点で懸念が小さい）もの。
優先度：〇
セキュリティ対策の重要性が高い（実施することによる効果が高い）もののうち、
実施難易度が中程度（ITセキュリティに関する知識が必要であるが、実施困難ではない）のもの。
また、セキュリティ対策の重要性が中程度（実施することによりある程度の効果が期待できる）のもののうち、実施難易度が低い（専門知識、追加コストの観点で懸念が小さい）ものも対象です。
なお、本チェックリストにおけるセキュリティ対策の対象範囲は、テレワークの導入
や利用のために必要となるシステムや機器 3で、具体的には下図のとおりです。
オフィスネットワーク
社内で利用するシステム

対象外

クラウドサービス(社内でもテレワークでも利用する)

対象

対象
VPN機器

チャット

メール

Web会議

ファイル共有Internet

対象

自宅ルータ
無線ｱｸｾｽﾎﾟｲﾝﾄ
個人
所有

会社支給
会社支給

テレワーク端末
テレワーク環境3

テレワーク環境の例

在宅環境

カフェ

移動中

個人
所有

モバイル シェアオフィス

対象
対象外

テレワークの導入有無に関わらず利用するシステム（オフィスネットワーク）等についてはチェックリ
ストの対象範囲としていないため、別途セキュリティ対策を検討していていただくことを推奨します。

29

方式① 会社支給端末・VPN/リモートデスクトップ方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

5-4

テレワーク端末から社内にリモートアクセスする際に利用する
脆弱性管
VPN機器等について、メーカーサポート切れの製品は利用せ
不正アクセス
理
ず、最新のセキュリティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

30

優先度：○の事項
No.

分類

対策内容

想定脅威

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染
2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
インターネット経由で社内システムにアクセスする際に、社内アクセス
ネットワークとインターネットの境界に設置されているファイ
不正アクセス
3-2 制御・認アウォールやルーター等において、不要なポートへの通信や必可
要なIPアドレス以外からの通信を遮断している。
アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）
アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）
6-2

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴化
ワードは第三者に推測されにくいものを利用している。

インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
インシデ
マルウェア感染ント対
テレワーク端末からオフィスネットワークに接続する際のアク 不正アクセス
7-3
応・ログ セスログを収集している。
盗難・紛失
管理
情報の盗聴

31

テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
アカウン テレワーク端末やテレワークで利用する各システムのアカウン
9-3 ト・認証 トが一定回数以上パスワードを誤入力した場合、それ以上パス 不正アクセス
管理
ワード入力ができなくなるように制限している。
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。
10-3 特権管理

テレワーク端末やテレワークで利用する各システムの管理者権
不正アクセス
限は、必要な作業時のみ利用している。

32

方式② 会社支給端末・クラウドサービス方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

33

優先度：○の事項
No.

分類

対策内容

想定脅威

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染
2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）
アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）
無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴
6-2
化
ワードは第三者に推測されにくいものを利用している。
インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

34テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
アカウン テレワーク端末やテレワークで利用する各システムのアカウン
9-3 ト・認証 トが一定回数以上パスワードを誤入力した場合、それ以上パス 不正アクセス
管理
ワード入力ができなくなるように制限している。
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。
10-3 特権管理

テレワーク端末やテレワークで利用する各システムの管理者権
不正アクセス
限は、必要な作業時のみ利用している。

35

方式③ 会社支給端末・スタンドアロン方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

36

優先度：○の事項
No.

分類

対策内容

想定脅威

テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴
6-2
化
ワードは第三者に推測されにくいものを利用している。
インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

アカウン テレワーク端末やテレワークで利用する各システムのアカウン
9-3 ト・認証 トが一定回数以上パスワードを誤入力した場合、それ以上パス 不正アクセス
管理
ワード入力ができなくなるように制限している。
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。
10-3 特権管理

テレワーク端末やテレワークで利用する各システムの管理者権
不正アクセス
限は、必要な作業時のみ利用している。

37

方式④ 会社支給端末・セキュアブラウザ方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

38

優先度：○の事項
No.

分類

対策内容

想定脅威

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染
2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
インターネット経由で社内システムにアクセスする際に、社内アクセス
ネットワークとインターネットの境界に設置されているファイ
不正アクセス
3-2 制御・認アウォールやルーター等において、不要なポートへの通信や必可
要なIPアドレス以外からの通信を遮断している。
アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）
アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）
6-2

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴化
ワードは第三者に推測されにくいものを利用している。

インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
インシデ
マルウェア感染ント対
テレワーク端末からオフィスネットワークに接続する際のアク 不正アクセス
7-3
応・ログ セスログを収集している。
盗難・紛失
管理
情報の盗聴

39

テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
アカウン テレワーク端末やテレワークで利用する各システムのアカウン
9-3 ト・認証 トが一定回数以上パスワードを誤入力した場合、それ以上パス 不正アクセス
管理
ワード入力ができなくなるように制限している。
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。
10-3 特権管理

テレワーク端末やテレワークで利用する各システムの管理者権
不正アクセス
限は、必要な作業時のみ利用している。

40

方式⑤ 個人所有端末・VPN/リモートデスクトップ方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

5-4

テレワーク端末から社内にリモートアクセスする際に利用する
脆弱性管
VPN機器等について、メーカーサポート切れの製品は利用せ
不正アクセス
理
ず、最新のセキュリティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

41

優先度：○の事項
No.

分類

対策内容

想定脅威

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染
2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
インターネット経由で社内システムにアクセスする際に、社内アクセス
ネットワークとインターネットの境界に設置されているファイ
不正アクセス
3-2 制御・認アウォールやルーター等において、不要なポートへの通信や必可
要なIPアドレス以外からの通信を遮断している。
アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）
アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）
6-2

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴化
ワードは第三者に推測されにくいものを利用している。

インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
インシデ
マルウェア感染ント対
テレワーク端末からオフィスネットワークに接続する際のアク 不正アクセス
7-3
応・ログ セスログを収集している。
盗難・紛失
管理
情報の盗聴

42

テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。

43

方式⑥ 個人所有端末・クラウドサービス方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

44

優先度：○の事項
No.

分類

対策内容

想定脅威

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染
2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）
アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）
無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴
6-2
化
ワードは第三者に推測されにくいものを利用している。
インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

45テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。

46

方式⑦ 個人所有端末・スタンドアロン方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

47

優先度：○の事項
No.

分類

対策内容

想定脅威

テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴
6-2
化
ワードは第三者に推測されにくいものを利用している。
インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

テレワーク端末の盗難・紛失時に情報が漏えいしないように、
ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体※5
データ保 の暗号化を実施している 。（端末に会社のデータを保管しな
8-3
盗難・紛失
い場合は対象外）
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならない場合※6には、ファイルのデータ保 暗号化（パスワード設定等）を実施している。（端末に会社の 不正アクセス
8-4
盗難・紛失
護
データを保管しない場合は対象外）※6 テレワーク端末にファイル保存するケースであり、ファイルサーバやク
ラウドサービス内に保存するケースは対象外

アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理
10-1 特権管理

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。

48

方式⑧ 個人所有端末・セキュアブラウザ方式
優先度：◎の事項
No.
1-1

分類

対策内容

想定脅威

マルウェア感染
資産・構 許可したテレワーク端末のみがテレワークに利用されており、
不正アクセス
成管理利用されるテレワーク端末とその利用者を把握している。
盗難・紛失

テレワークで利用しているシステムや取り扱う重要情報※1を把不正アクセス
資産・構 握している。
1-2
成管理※1 営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業 情報の盗聴
員の個人情報等の管理責任を伴う情報

テレワーク端末にウイルス対策ソフトをインストールし、リア
ルタイムスキャンが有効になる設定としている※2。またウイル
ス対策ソフトの定義ファイルを自動更新する設定、又は手動でマルウェ
最新に更新するルールを作成している。
2-1
マルウェア感染ア対策※2 Windows製品に標準で導入されているウイルス対策ソフト（Windows
Defender）を利用する場合、またiOS製品で、安全であることが確認できる
方法（公式アプリケーションストアの利用等）でインストールしたアプリのみを利用している場合は、インストール作業は不要

アクセス システムによるアクセス制御や重要情報そのものに対するパス
3-1 制御・認 ワード設定等により、重要情報は許可された人のみが利用でき 不正アクセス
可るようにしている。
4-1

物理セキ テレワーク端末に対してのぞき見防止フィルタを貼付し、離席
情報の盗聴ュリティ 時にはスクリーンロックをかけるようルール化している。

5-1

脆弱性管 テレワーク端末はメーカーサポート切れとなるバージョンのOS
不正アクセス理やアプリケーションは利用していない。

5-2

脆弱性管 テレワーク端末のOSやアプリケーションに対して最新のセキュ
不正アクセス理
リティアップデートを適用している。

インシデ 情報セキュリティインシデント発生時に備えて、インシデント マルウェア感染が発生した場合や、そのおそれがある状況（不審なメールを開 不正アクセス
ント対
7-1
応・ログ 封した場合等）における対応手順を決定しており、関係者への 盗難・紛失
各種連絡体制を定めている。
管理
情報の盗聴
8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端末の位置情
盗難・紛失
護報を検出できるようにしている。

テレワーク端末のログインアカウントや、テレワークで利用すアカウン る各システムのアカウントのパスワードは破られにくい「長9-1 ト・認証 く」「複雑な」パスワードを設定している。またパスワード強 不正アクセス度を強制することが可能である場合は強制するように設定して管理いる。
アカウン テレワーク端末へログインするためのパスワードや、テレワー
9-2 ト・認証 クで利用する各システムのアカウントの初期パスワードは変更 不正アクセス
管理
している。

49

優先度：○の事項
No.

分類

対策内容

想定脅威

方
式
⑧

不審なメールの開封し、メールに記載されているURLをクリックしたり、添付されているファイルを開いたりしないよう注意
マルウェ
喚起をしている。また利用しているメール製品に不審なメール マルウェア感染 ✓2-2
ア対策を除外する機能がある場合は有効化している。（クラウドサー
ビス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケーションのマルウェ インストールは、安全であることが確認できる方法（公式アプ
マルウェア感染 ✓2-3
ア対策
リケーションストアの利用等）によるインストールに限定する。
インターネット経由で社内システムにアクセスする際に、社内アクセス
ネットワークとインターネットの境界に設置されているファイ
不正アクセス
3-2 制御・認アウォールやルーター等において、不要なポートへの通信や必可
要なIPアドレス以外からの通信を遮断している。

✓

アクセス オンライン会議の主催者はミーティングの開始時及び途中参加
3-3 制御・認 者がいる場合に、参加者の本人確認を実施している。（クラウ 情報の盗聴
可ドサービス（オンライン会議）の利用が無い場合は対象外）✓

オンライン会議にアクセスするためのURLや会議参加のパスワ
アクセス ードを必要なメンバーだけに伝えるようにしている。また会議
3-4 制御・認 参加のパスワード設定を強制させることが可能な場合は、パス 情報の盗聴
ワード設定を強制している。（クラウドサービス（オンライン
可会議）の利用が無い場合は対象外）✓

アクセス オンライン会議の主催者は必要に応じて不適切な参加者を退出
3-5 制御・認 させるなどし、会議を適切に進行している。（クラウドサービ 情報の盗聴
可ス（オンライン会議）の利用が無い場合は対象外）✓

5-3

テレワークで利用する自宅の無線LANルーター等のネットワー
脆弱性管
ク機器は、メーカーサポートが切れている製品を利用しておら 不正アクセス
理ず、最新のファームウェアを適用している。

✓

クラウドサービス（Webメール、チャット、オンライン会議、
クラウドストレージ等）を利用する場合（特にID・パスワード
通信暗号等を入力するとき）は、暗号化されている（HTTPS通信であ
情報の盗聴
6-1
化
る）ことと、接続先のURLが正しいことを確認している。（クラウドサービスを利用していない場合は対象外）✓

無線LANルーターを利用する場合は、無線LANのセキュリティ方
通信暗号式として「WPA2」又は「WPA3」を利用して、無線の暗号化パス 情報の盗聴化
ワードは第三者に推測されにくいものを利用している。

✓

6-2

インシデ
マルウェア感染ント対
テレワーク端末と接続先の各システムの時刻が同期されるよう 不正アクセス✓
7-2
応・ログ に設定している。
盗難・紛失
管理
情報の盗聴
インシデ
マルウェア感染ント対
テレワーク端末からオフィスネットワークに接続する際のアク 不正アクセス✓
7-3
応・ログ セスログを収集している。
盗難・紛失
管理
情報の盗聴

50

テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシ
データ保 ーやハードディスクの暗号化などのセキュリティ設定を強制的
8-2
盗難・紛失
護
に適用している。

✓※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画ファイルに対してパスワ
データ保 ードの設定や期間指定の自動削除等を実施している。
情報の盗聴
8-5
上記のルールを強制することが可能な場合は、強制するように護設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）✓

アカウン
テレワークで利用する各システムにアクセスする際に多要素認
不正アクセス
9-4 ト・認証証を求めるように設定している。
管理✓

テレワーク端末やテレワークで利用する各システムにおいて、
不正アクセス
業務上必要な最小限の人に管理者権限を与えている。

✓

テレワーク端末やテレワークで利用する各システムの管理者権
10-2 特権管理 限のパスワードには、強力なパスワードポリシーを適用してい 不正アクセスる。

✓

10-1 特権管理51

第２部２．チェックリストの設定例一覧
チェックリストに記載されている対策内容を実現するための参考として活用いただ
くために、テレワークでよく利用される次の製品を対象として、具体的な製品の設定・利用方法について設定例と併せて解説を行った「設定解説資料」を作成しています。

テレワークツール設定例（設定解説資料）一覧○

CiscoWebexMeetings○

Microsoft Teams

○

Zoom

○

Windows

○

Mac

○

iOS

○

Android○

LanScope An○

Exchange Online

○

Gmail

○

Teams_chat

○

LINE

○

OneDrive○

Googleドライブ○

Dropbox○

YAMAHA VPNルータ○

CiscoASA○

Windowsリモートデスクトップ接続○

Chromeリモートデスクトップ○

Microsoft Defender○

ウイルスバスター ビジネスセキュリティサービス

設定解説資料は次のURLで掲載します。
https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/
なお、設定解説資料については、特定の製品の利用を促し又は避けるよう勧めるもの
ではありません。

52

第２部３．セキュリティ対策と想定脅威一覧「第２部１．セキュリティ対策チェックリスト」（p.29～）でテレワーク方式ごとに示したセキュリティ対策を一覧表の形で示します。
「対策内容」「想定脅威」「優先度」「方式ごとの対策要否」のほか、各対策内容における想定脅威の詳細を解説していますので、必要に応じて参考としてください。
No.

1-1

分類

資産・構
成管理

53
1-2

資産・構
成管理

2-1

マルウェ
ア対策

対策内容

想定脅威
（概要）

想定脅威（詳細）

情報資産の管理そのものが直接的な対策になるわけではなく、その他の対策を実施する際の前提となる対策。
マルウェア感 テレワークで利用している機器とその利用者を把握できていない
許可したテレワーク端末のみがテレワークに利用
染場合、機器に対する各種セキュリティ対策が未実施の端末が存在されており、利用されるテレワーク端末とその利用
不正アクセス するリスクが増加する。
者を把握している。
また、シリアルナンバー等の端末固有の情報を把握していない場
盗難・紛失
合、端末の盗難や紛失時にその実態を把握することが困難であるなどのリスクが増加する。
情報資産の管理そのものが直接的な対策になるわけではなく、その他の対策を実施する際の前提となる対策。
テレワークで実施している業務やその際に利用しているシステム、
不正アクセス
そして、テレワークで取り扱う重要情報について把握していない場※1 営業秘密等の事業に必要で組織にとって価値のあ
情報の盗聴
合、システムを適正な利用者が利用しているのか、またデータ管理
る情報や、顧客や従業員の個人情報等の管理責任を等に関する各種セキュリティ対策が十分であるかといった懸念が
伴う情報
増加する。
テレワーク端末にウイルス対策ソフトをインストー
ルし、リアルタイムスキャンが有効になる設定としている※2。またウイルス対策ソフトの定義ファイルを自動更新する設定、又は手動で最新に更新するルールを作成している。
最新化されたウイルス定義ファイルであれば駆除できていたマルウ
マルウェア感ェアの駆除ができないため、テレワークで利用している端末のマル※2 Windows製品に標準で導入されているウイルス対
染
ウェアに感染するリスクが増加する。
策ソフト（Windows Defender）を利用する場合、ま

優
先
度

備考

方 方 方 方 方 方 方 方式 式 式 式 式 式 式 式① ② ③ ④ ⑤ ⑥ ⑦ ⑧◎✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓◎✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓◎✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓テレワークで利用しているシステムや取り扱う重要情報※1を把握している。

たiOS製品で、安全であることが確認できる方法（公式アプリケーションストアの利用等）でインストールした
アプリのみを利用している場合は、インストール作業は
不要

53

2-2

マルウェ
ア対策

マルウェ
2-3
ア対策
アクセス
3-1 制御・認可アクセス
3-2 制御・認
可

54

アクセス
3-3 制御・認可アクセス
3-4 制御・認可アクセス
3-5 制御・認可

4-1

不審なメールの開封し、メールに記載されているクラウドサービ
不審なメールに記載されているURLにアクセスすることで悪意のURLをクリックしたり、添付されているファイルをス（Webメーあるサイトに誘導され、マルウェアの感染や、重要情報にアクセスす開いたりしないよう注意喚起をしている。また利用 マルウェア感〇 ル）の利用無し ✓ ✓ × ✓ ✓ ✓ × ✓るための認証情報等が窃取されるリスクが増加する。
しているメール製品に不審なメールを除外する機 染の場合は対象また、不審な添付ファイルを開くことでマルウェアに感染するリスク能がある場合は有効化している。（クラウドサービ
外が増加する。
ス（Webメール）の利用が無い場合は対象外）
テレワーク端末（スマートフォン等）へのアプリケー
公式アプリケーションストア上からアプリケーションをインストール
ションのインストールは、安全であることが確認で マルウェア感 していない場合、正規のアプリケーションを模したマルウェアが含ま〇きる方法（公式アプリケーションストアの利用等） 染
れている可能性があるため、マルウェアに感染するリスクが増加すによるインストールに限定する。
る。
重要情報へのアクセスを業務上必要な人のみに制限するようにしシステムによるアクセス制御や重要情報そのものていない場合、本来アクセス権限が必要ではない人のアカウントがに対するパスワード設定等により、重要情報は許 不正アクセス◎
不正利用されたり、利用者が操作ミスをしたりすることにより重要可された人のみが利用できるようにしている。
情報が流出するリスクが増加する。

✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓インターネット経由で社内システムにアクセスする
オフィスネットワ
不要なポートや必要なIPアドレス以外からの通信が遮断されてい際に、社内ネットワークとインターネットの境界にークに接続しなない場合、それらを狙った悪意のある攻撃（脆弱性を突いた攻撃や✓ × × ✓ ✓ × × ✓〇設置されているファイアウォールやルーター等にお 不正アクセス
い場合は対象アカウントのなりすまし等）により不正アクセスされるリスクが増加
いて、不要なポートへの通信や必要なIPアドレス
外する。
以外からの通信を遮断している。
オンライン会議の開始時や途中参加者がいる場合に本人確認を実クラウドサービ
オンライン会議の主催者はミーティングの開始時
施しないことにより、会議に不適切な利用者が不正に参加しているス（オンライン会及び途中参加者がいる場合に、参加者の本人確ことに気付くことができず、情報漏えいのリスクが増加する。
✓ ✓ × ✓ ✓ ✓ × ✓情報の盗聴〇議）利用無しの認を実施している。（クラウドサービス（オンライン
オンライン会議においては、本人と対面しないため、参加者がシス場合は対象外会議）の利用が無い場合は対象外）
テム上に表示されている名前の本人であることをカメラによるビデ
オ映像や音声等の方法による確認する必要がる。
オンライン会議にアクセスするためのURLや会議
参加のパスワードを必要なメンバーだけに伝えるようにしている。また会議参加のパスワード設定を情報の盗聴強制させることが可能な場合は、パスワード設定を強制している。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）
オンライン会議の主催者は必要に応じて不適切な参加者を退出させるなどし、会議を適切に進行し情報の盗聴ている。（クラウドサービス（オンライン会議）の利
用が無い場合は対象外）

テレワーク端末に対してのぞき見防止フィルタを物理セキ
貼付し、離席時にはスクリーンロックをかけるよう 情報の盗聴ュリティ
ルール化している。

オンライン会議の参加のためのURLやパスワードを、必要ない利用
クラウドサービ
者に伝えることで、会議に不適切な利用者が不正に参加し、会議をス（オンライン会
通じた情報漏えいのリスクが増加する。
✓ ✓ × ✓ ✓ ✓ × ✓〇議）利用無しのまた、パスワードの設定を強制しない（できない）場合は、利用者が場合は対象外パスワードを未設定にしたり、容易に推測可能なパスワードを設定したりすることにより、会議への不正参加のリスクが増加する。
クラウドサービ
オンライン会議において、不適切な参加者が確認され、会議主催者
ス（オンライン会による強制退出が実施できない場合、適切な業務の遂行が実施で 〇✓ ✓ × ✓ ✓ ✓ × ✓議）利用無しのきないリスクが増加する。
場合は対象外テレワークの作業環境は、オフィス環境に比べて、家族を含む業務と関係ない人物が、物理的にテレワーク端末をのぞき見（ショルダーハッキング）することが比較的容易な環境であることが懸念され◎✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓る。のぞき見防止フィルタの貼付や、離席時のスクリーンロックの実施を行わない場合、テレワーク端末越しの情報漏えいや不正利用のリスクが増加する。

54

5-1

テレワーク端末のOSやアプリケーションとしてメーカーサポート切
テレワーク端末はメーカーサポート切れとなるバーれの製品を利用している場合、製品としてセキュリティアップデート
脆弱性管ジョンのOSやアプリケーションは利用していな
不正アクセス
◎が行わないため、製品の脆弱性に対する攻撃により不正アクセス
理い。
等のリスクが増加する。

テレワーク端末のOSやアプリケーションとし最新のセキュリティアッ
脆弱性管 テレワーク端末のOSやアプリケーションに対して
不正アクセス プデートを適用していない場合、製品の脆弱性に対する攻撃により ◎理
最新のセキュリティアップデートを適用している。
不正アクセス等のリスクが増加する。
テレワークで利用する自宅の無線LANルーター
自宅に設置する無線LANルーター等のネットワーク機器について、メーカーサポート切れや古いファームウェアの状態で利用して脆弱性管 等のネットワーク機器は、メーカーサポートが切れ
不正アクセス〇
5-3ている製品を利用しておらず、最新のファームウェ
いる場合、該当ファームウェアの脆弱性に対する攻撃による不正ア
理アを適用している。
クセス等のリスクが増加する。
5-2✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓55

テレワークを実施するために社内に設置しているVPN機器は、インテレワーク端末から社内にリモートアクセスする際
ターネットに常時接続され、オフィスネットワークへの入り口となる。
脆弱性管 に利用するVPN機器等について、メーカーサポー
不正アクセス そのため、メーカーサポート切れや古いファームウェアの状態で利 ◎✓ × × × ✓ × × ×
5-4
ト切れの製品は利用せず、最新のセキュリティアッ
理用している場合、ファームウェアの脆弱性に対する攻撃による不正プデートを適用している。
アクセス等のリスクが増加する。
クラウドサービス（Webメール、チャット、オンライ
クラウドサービ
ン会議、クラウドストレージ等）を利用する場合（特無線LANを利用したり、自宅外でテレワークを行ったりするとき
スを利用してい通信暗号 にID・パスワード等を入力するとき）は、暗号化さ✓ ✓ × ✓ ✓ ✓ × ✓情報の盗聴 に、通信内容が暗号化されていない場合、悪意のある第三者によ 〇6-1
ない場合は対れている（HTTPS通信である）ことと、接続先の化
る通信の傍受により情報漏えいするリスクが増加する。
象外
URLが正しいことを確認している。（クラウドサー
ビスを利用していない場合は対象外）

6-2

無線LANルーターを利用する場合は、無線LAN
通信暗号 のセキュリティ方式として「WPA2」又は「WPA3」
情報の盗聴を利用して、無線の暗号化パスワードは第三者に化推測されにくいものを利用している。

公衆無線LANや自宅設置の無線LANのセキュリティ方式として
WPA2やWPA3以外（WEP・WPA）を利用している場合、悪意のある第三者が通信の傍受することで、通信内容を盗み見られ、情報漏えいするリスクが増加する。
〇
無線LAN使用時のセキュリティ確保（セキュリティ方式の詳細を含む。）については、総務省が公表している、「無線LAN（Wi-Fi）のセキュリティに関するガイドライン」を参考にしてください。

✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/

情報セキュリティインシデント発生時の対応手順や、関係者への連情報セキュリティインシデント発生時に備えて、イ マルウェア感 絡体制が定められていない場合、セキュリティインシデントの発生自体の把握や被害拡大の早期防止等ができずに、セキュリティイン
インシデ ンシデントが発生した場合や、そのおそれがある 染◎
7-1 ント対応・ 状況（不審なメールを開封した場合等）における対 不正アクセス シデント全般の発生時の被害が増大するリスクが増加する。
ログ管理 応手順を決定しており、関係者への各種連絡体制 盗難・紛失
また、迅速な初動を行うため、インシデントが発生したとわかったとを定めている。
情報の盗聴 きだけでなく、そのおそれがあるときから、積極的に情報連絡を行うことを周知しておく必要がある。
テレワーク端末と接続先の各システムの時刻がずれている場合、情マルウェア感報セキュリティインシデント発生時の原因調査において各種システ
染インシデ
テレワーク端末と接続先の各システムの時刻が同ムログを利用した原因や被害状況の特定や絞り込みの難易度が高不正アクセス
7-2 ント対応・〇
期されるように設定している。
くなり、その結果、インシデントによる被害拡大防止のための適切な
ログ管理
盗難・紛失
対応を実施することができずにセキュリティインシデント全般の発情報の盗聴
生時の被害が増大するリスクが増加する。

55✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓テレワーク端末からオフィスネットワークに接続する際のアクセスロ
マルウェア感グを収集していないことで、情報セキュリティインシデント発生時の染
インシデ
テレワーク端末からオフィスネットワークに接続す
原因調査において原因や被害状況の特定や絞り込みが困難にな
不正アクセス
7-3 ント対応・る際のアクセスログを収集している。
り、その結果、インシデントによる被害拡大防止のための適切な対
ログ管理
盗難・紛失
応を実施することができずにセキュリティインシデント全般の発生
情報の盗聴時の被害が増大するリスクが増加する。

8-1

データ保 テレワーク端末（スマートフォン等）の紛失時に端護末の位置情報を検出できるようにしている。

盗難・紛失

テレワーク端末（スマートフォン等）の紛失時にMDM※3等を導入し、リモートからのデータの消去、ログイン時の認証ポリシーやハードディスクのデータ保 暗号化などのセキュリティ設定を強制的に適用し
8-2
盗難・紛失
ている。
護
※3 Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェア

56

テレワーク端末の盗難・紛失時に情報が漏えいしないように、ハードディスクやフラッシュメモリ※4等の内蔵された記録媒体の暗号化を実施している※
5。（端末に会社のデータを保管しない場合は対象
データ保 外）盗難・紛失
8-3
護※4 ハードディスクとは異なる記録媒体の一つで、「不揮発性の半導体メモリ」をさす。電源をおとしてもデータを保持することが可能な記録媒体※5 iOS製品については初期状態で暗号化されているため対応不要オフィスネットワークに接続しな✓ × × ✓ ✓ × × ✓〇い場合は対象外テレワーク環境においては、オフィス等で業務を実施する場合に比べて、テレワーク端末の紛失や盗難のリスクが高い。テレワーク端末の位置情報を検出するためのアプリケーションを導入していない
スマートフォン
◎等のみ対象
場合、紛失時の早期発見が困難となることで悪意のある第三者の取得による不正なデータアクセス等の情報漏えいのリスクが増加する。

✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓テレワーク環境においては、オフィス等で業務を実施する場合に比べて、テレワーク端末の紛失や盗難のリスクが高い。リモートからデスマートフォン
ータ削除を行う機能や、ログイン時の認証ポリシーやハードディス〇
等のみ対象
クの暗号間等を強制していない場合、紛失時に悪意のある第三者が取得することによる不正なデータアクセス等の情報漏えいのリス
クが増加する。

✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓テレワーク環境においては、オフィス等で業務を実施する場合に比端末に会社のべて、テレワーク端末の紛失や盗難のリスクが高い。ハードディスク
データを保管しの暗号化を実施していない場合、取得されたハードディスクの読み✓ ✓ ✓ × ✓ ✓ ✓ ×〇
ない場合は対取りが可能な装置に接続することで、アカウントの認証無しにデー
象外タにアクセスされることが可能であり、保存している情報を漏えいするリスクが増加する。

テレワーク端末には原則として重要情報を保管しておらず、もし重要情報を保管しなければならな
テレワーク環境においては、オフィス等で業務を実施する場合に比端末に会社のい場合※6には、ファイルの暗号化（パスワード設定
べて、テレワーク端末の紛失や盗難のリスクが高い。テレワーク端
データを保管しデータ保 等）を実施している。（端末に会社のデータを保管 不正アクセス 末に保管された重要情報に対してパスワード設定等の暗号化を実✓ ✓ ✓ × ✓ ✓ ✓ ×〇
8-4
ない場合は対施していない場合、ハードディスクの盗難時やマルウェア等によるしない場合は対象外）
護
盗難・紛失
象外
不正アクセス時にテレワーク端末に保存されている重要情報にアク※6 テレワーク端末にファイル保存するケースであり、フセスされた場合の情報漏えいのリスクが増加する。
ァイルサーバやクラウドサービス内に保存するケースは対象外

オンライン会議を実施する際に、会議のタイトルや議題に重要情報を記載しないことや、会議の録画
ファイルに対してパスワードの設定や期間指定の
データ保
情報の盗聴
自動削除等を実施している。
8-5
護
上記のルールを強制することが可能な場合は、強制するように設定する。（クラウドサービス（オンライン会議）の利用が無い場合は対象外）

オンライン会議について、適切なルールを遵守しないと、公開情報（会議のタイトル等）に重要情報を含めてしまう、会議中に共有するクラウドサービ
予定ではないデスクトップ画面情報等を誤操作による共有してしまス（オンライン会✓ ✓ × ✓ ✓ ✓ × ✓う、会議の録画ファイルが不適切な第三者に参照される、等による 〇議）利用無しの情報漏えいのリスクが増加する。
場合は対象外また、上記のルールをシステム的に強制できない場合、利用者がルールを守らないことによる情報漏えいリスクの増加が発生する。

56

テレワーク端末のログインアカウントや、テレワーク
従業員が利用する端末のログインアカウントや、テレワークで利用するシステムのアカウントのパスワードが破られやすい容易なパス
アカウン で利用する各システムのアカウントのパスワードは9-1 ト・認証管 破られにくい「長く」「複雑な」パスワードを設定し 不正アクセス ワードに設定している場合、悪意のある第三者にパスワードが把握 ◎ている。またパスワード強度を強制することが可
されやすくなり、なりすましによる不正アクセスが行われるリスクが理能である場合は強制するように設定している。
増加する。

✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓従業員が利用する端末のログインアカウントや、テレワークで利用
アカウン テレワーク端末へログインするためのパスワードするシステムのアカウントの初期パスワードを変更していない場◎✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓9-2 ト・認証管 や、テレワークで利用する各システムのアカウント 不正アクセス
合、悪意のある第三者にパスワードが把握されやすくなり、なりすまの初期パスワードは変更している。
理
しによる不正アクセスが行われるリスクが増加する。
テレワークで利用する端末や各システムのアカウントが一定回数以個人所有端末テレワーク端末やテレワークで利用する各システ
上パスワードを誤入力したときにパスワード入力がそれ以上できなについては業務
アカウン
ムのアカウントが一定回数以上パスワードを誤入
不正アクセス いように制限していない場合、悪意のある第三者によるパスワード 〇 用途以外にも ✓ ✓ ✓ ✓ × × × ×
9-3 ト・認証管
力した場合、それ以上パスワード入力ができなく試行が容易に実行できるためパスワードが把握されやすくなり、な利用されるため
理なるように制限している。
りすましによる不正アクセスが行われるリスクが増加する。
対象外とする。
アカウン
テレワークで利用する各システムにアクセスする
9-4 ト・認証管際に多要素認証を求めるように設定している。
理57

テレワーク端末やテレワークで利用する各システ
10-1 特権管理 ムにおいて、業務上必要な最小限の人に管理者権限を与えている。

テレワークで利用する各システムへのアクセスに対して多要素認証を設定せずにID・パスワードのみで認証を行うことで、悪意のある〇
第三者にパスワードが流出された場合に、なりすましによる不正ア
クセスが行われるリスクが増加する。
テレワークで利用する端末や各システムにおいて、業務上必要でないにも関わらず管理者権限を与えている場合、悪意のある第三者
不正アクセス による不正アクセスにより重要情報にアクセスできる可能性が高く 〇なり、重要情報の漏えいリスクの増加や、誤操作による情報漏えいのリスクが増加する。
不正アクセス✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓テレワークで利用する端末や各システムの管理者権限のパスワー
テレワーク端末やテレワークで利用する各システ
ドに、強力なパスワードポリシーを適用していない場合、悪意のあ〇✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓10-2 特権管理 ムの管理者権限のパスワードには、強力なパスワ 不正アクセス
る第三者にパスワードが把握されやすくなり、なりすましによる不正ードポリシーを適用している。
アクセスが行われるリスクが増加する。
管理者権限が必要な作業時以外に管理者権限を利用することで、個人所有端末テレワーク端末やテレワークで利用する各システ
管理者権限でマルウェア感染することで重要情報に直接アクセスについては業務
10-3 特権管理 ムの管理者権限は、必要な作業時のみ利用して 不正アクセス されてしまうなど、誤操作による情報漏えいのリスクが増加する。ま 〇 用途以外にも ✓ ✓ ✓ ✓ × × × ×
いる。
た、管理者権限の利用情報などから不正アクセスの懸念を発見す利用されるためることが困難になる。
対象外とする。

57

参考１

用語集（キーワード解説）

用語集
用語

解説

OS

Operating Systemの略称。PCやスマートフォン等を動作させる基本的なソフトウェア。（例：Windows、iOS、Android）

VPN

Virtual Private Networkの略称。あたかもオフィスネットワーク
内部にいるかのように、自宅や外出先などの遠隔の場所から安全に
オフィスネットワークに接続可能な技術のことです。

アクセスログ

サーバやネットワーク機器の動作を記録したもの。アクセス元及びアクセス先の情報を記録し、実施された操作の分析や事故発生時の原因特定などに用いられます。

ウイルス

マルウェアの一種。ワームと異なり自ら感染のための活動を行うことはありませんが、感染しているPCやスマートフォンに保存されているファイルを書き換えることによって、自分のコピーを保存し、そのファイルがネットワークや記録装置を通じて流通することで感染が拡大します。

クラウドサービス

従来は、オフィスネットワーク内のPCやサーバで保存・管理していたようなソフトウェアやデータを、オフィスネットワーク内ではな
くインターネット上で保存・管理し、利用者は、インターネットを通じていつでもどこでも利用できるようにしたサービス。
本書では、メール、チャット、オンライン会議、ファイル共有等のクラウドサービスを想定しています。また、プロバイダーが提供するメールサービスの利用も含みます。

脆弱性

機器やシステム等におけるセキュリティ上の欠陥のこと。機器やシステム等の設計や開発・実装の過程において意図せずに作り込まれてしまう欠陥と、システムの利用時における設定ミスや不注意によって生じる欠陥の両方を含みます。

（ぜいじゃくせい）

セキュアブラウザ

特殊なインターネットブラウザで、端末側にデータを残さずに利用することができます。閲覧した情報を端末に保存できないようにする機能や、製品によっては、スクリーンショット、テキストのコピー＆ペースト、接続先制限を行えるものもあります。
クラウドサービスやオフィスネットワーク上のシステムに接続する際に利用することで、情報漏えい等に備えたデータ管理が容易になります。

セキュリティア
ップデート

ソフトウェアのうち、セキュリティに関して不具合のある部分を、
安全対策を施したものに置き換えること。または置き換えるために使用する修正プログラムそのもの。

58

定義ファイル「シグニチャ」「パターンファイル」等とも呼ばれる、ウイルスの特徴を収録したファイルのこと。ウイルスを検出する際に使用されます。

ファイアウォー
ル

ネットワーク上を流れる通信を遮断する機能。サーバ上のソフトウ
ェアでファイアウォールの機能が実装されている場合や、専用の機器（ハードウェア）で機能が実装されている場合のいずれもがあります。

ファームウェア

コンピュータやルーターのような電子機器のハードウェアに密接に連携して組み込まれるソフトウェア。

マルウェア

ウイルス、ワーム、トロイの木馬等の悪意のあるソフトウェアの総称。PCやスマートフォン等の機器において、それらの機器所有者による認知のないままに感染し、機器本来の動作の妨害やデータの破壊、データの外部への送出等、機器所有者の望まない活動を行う。

リモートデスクトップ

オフィスネットワークに置いてあるPCの画面を、インターネット経由でテレワーク端末のPCに転送して表示した上で、テレワーク端末のPCからオフィスネットワークに置いてあるPCを遠隔操作する技
術。

ルーター

ネットワークに接続された機器間の通信経路の制御を行う機器のこと。

59

「MDM」について
MDMとは、Mobile Device Managementの略称で、スマートフォン等を一元的に管理・運用すること、又はその機能を提供するソフトウェアのことを指します。
MDMを導入する必要性
MDMを導入することで、セキュリティ設定等を強制することが可能となるため、テ
レワーク端末に対するセキュリティ統制の強化に役立ちます。また、テレワーク端末の紛失・盗難時においても、端末内に保存されているデータを保護等し、データ漏えい防止に役立ちます。
なお、MDMでどこまでセキュリティ設定等の強制が可能かといった点は、製品によって異なりますので、製品選定の際には求めている機能が利用可能か確認する必要があります。
MDMの機能例
MDMの機能として次のようなものがあります。
○内蔵記録装置（HDD等）暗号化：紛失・盗難等によりテレワーク端末が第三者に渡ってしまった場合でも、データの漏えいを防ぐことができます。
○遠隔操作によるデータ消去：紛失・盗難等があった場合に、遠隔操作で端末のデー
タを消去することができるため、データの漏えいを防ぐことができます。
○認証ポリシーの強制：端末にログインする際の認証について、ルール（パスワード
設定方法等）を定めて適用（強制）することができます。

60

「各種連絡体制（インシデント発生時）」について
インシデント発生時に連絡をすべき連絡先と連絡内容について解説します。
連絡体制を整備する必要性
インシデントが発生した際に連絡すべき場所や内容を事前に連絡体制として確定
しておくことが必要です。連絡体制を事前に定めていない場合、緊急時に適切な報告、連絡、相談などができなくなるおそれがあります。
事前に整理をすべき内容の例
事前に整理をしておく内容としては、以下のようなものがあります。
・連絡を取る必要がある組織内の関連部門や組織外の関係者
・法令で公的機関に報告を行う必要がある場合はその基準や内容・連絡の際に報告すべき事項や連絡時のフォーマット
・連絡先（固定電話番号、緊急用電話番号等）
従業員が行うべき連絡の例
従業員が連絡すべき内容（氏名・部署名、発生事
象、直前に実施した作業内容等）については、シス
テム・セキュリティ管理者から従業員に対して、事前に周知を行っておくことが必要です。

システム・セキュリティ管理者が行うべき連絡の例
多様な関係者への報告を遅滞なく行うため、あらかじめ報告内容を整理しておく必要があります。
○経営層への報告内容例：発生日時、漏えいした情報の内容・件数等、その他被害内
容、発生原因、対応済み・対応予定事項、再発防止策○システムベンダーへの報告内容例：発生日時、漏えいした情報の内容・件数等、原因の調査依頼、対応済み・対応予定事項○監督官庁への報告内容例：企業名、発生日時、被害内容（漏えいした情報の内容・件数等）、発生原因、対応済み・対応予定事項、再発防止策

61

「管理者権限」について
管理者権限は、一般権限と比較してシステム上でより多くの操作を実行可能な権限のことを指します。システムの設定やプログラムの実行・インストールなどが可能です。
管理者権限を守る必要性
管理者権限は、各種システムの設定変更、アカウントの追加や権限変更、不正操作履歴の削除等の多くの操作が実行可能なことから、攻撃者の標的になりやすいです。
そのため、管理者権限の付与を業務上必要な担当者に限定し、必要なときだけ利用することや、強力なパスワード設定等により保護することが重要となります。
管理者権限の例
管理者権限と実施可能な操作内容の例は、次の通りです。
管理者権限の例

管理者権限で実施可能な内容

Active Directoryの管理者アカウント

ドメインに所属するユーザアカウントの追加・削除
ドメインに所属するユーザ端末のセキュ
リティ設定等の変更

WindowsのAdministrators

端末上のセキュリティ設定変更やアプリ
ケーションのインストール等

Linuxのroot

VPNユーザアカウントの追加・削除
VPNユーザのアクセスルールの変更

VPN機器のAdmin権限

62

「時刻同期」について
時刻同期とは、サーバやネットワーク機器等の内蔵時計を正しく合わせておくことをいいます。
時刻同期の必要性
サーバやネットワーク機器等などのアクセスログ等を取得しているシステムについては、時刻同期を行っておく必要があります。
時刻同期をしていない場合、ログを取得していたとしても、そのログの時刻が信用できないため、実際に行われた操作との因果関係がわからず、調査が行えない可能性があります。
時刻同期の方法
時刻同期には、NTPという専用のプロトコルを用いることが一般的です。設定項目
でNTPサーバを設定できる場合は、信頼できるNTPサーバ（例えば独立行政法人情報通信研究機構（NICT）が提供している「ntp.nict.jp」）を指定しましょう。
なお、組織内の特定サーバをNTPサーバとして既に指定している場合はあえて変更する必要はありません。テレワーク環境では従来参照していたNTPサーバにアクセスできなくなっていることもありますので、注意が必要です。
また、Windowsの場合、初期状態ではMicrosoftが提供するNTPサーバを参照する設定になっているのが一般的であり、あえて設定変更は必要ないこともあります。

63

「システムによるアクセス制御」について「システムによるアクセス制御」とは、利用者がシステムやデータ等に接続をしてもよいか、また、接続先で閲覧・作成・実行等を実施してよいかの制限をかけることを指します。
「システムによるアクセス制御」の実施方法のパターンと、各方法で実現できることを解説します。
システムによるアクセス制御を実施する必要性
アクセス制御が適切に設定されていない場合、守るべき情報について、業務上アクセスする必要のない者が閲覧、改ざん、持出し等が行える状態になっている可能性があります。
企業によっては、外部に送信・公開する情報の管理は適切に行われていても、オフィスネットワーク内に保管している情報については、厳密にアクセス制御がされていないこともあります。オフィスネットワーク内の情報であっても、本来アクセスすべ
きでない人がアクセス可能な状態となっている場合、仮に不正アクセスやマルウェア
感染等が発生した際に、影響や被害の拡大につながるおそれがあることから、適切に制御を実施する必要がります。
アクセス制御の方法として３つの例を示します。自組織に適用できる場合は参考にしてください。
例１：ファイアウォールによってネットワーク間の通信を制御する場合
ネットワーク単位で、取り扱う情報レベルを分けて保管している場合には、各ネッ
トワークの境界となるファイアウォールでIPアドレスや通信プロトコル等に基づいて、アクセス制御を実施することができます。
例えば、社内に「個人情報を扱うネットワーク①」と「その他の業務に用いる情報を扱うネットワーク②」というように複数のネットワークが存在する場合、各ネット
ワークの境界に設置されているファイアウォールの設定でアクセス制御を実施できます。

なお、同一ネットワーク内にアクセス制御レベルの異なるデータを複数持っている64

場合は、この例では完全には制御しきることができません。
例２：サーバのファイアウォール機能によって制御する場合
アクセス制御レベルの異なるサーバ（例えば管理者のみが使用するサーバと組織内全員が使用するサーバ）が同一ネットワーク上にある場合には、ファイアウォールによる通信制御だけでは十分に対応できません。
この場合には、サーバが持つファイアウォール機能を使い、IPアドレスや通信プロ
トコル等に基づいて制御することが可能です。
例えば、下図のネットワーク②において、管理者のみが使用するサーバと、全従業員が使用するファイルサーバがあるとします。この場合、端末からのアクセス制御は、
ファイアウォールだけでは十分に行うことができません。そのため、管理者のみが使用するサーバに対して、例えば管理者用端末に割り振られたIPアドレスからの通信のみ許可するといたアクセス制御を実施することが必要となります。

なお、同一のサーバ内に、アクセス制御レベルの異なるファイルやフォルダがある
場合は、この例では完全に制御しきることができません。
例３：フォルダによって制御する場合
ファイルサーバの中で、役職や関係者単位でアクセス制御レベルを分けたい場合は、
フォルダごとでのアクセス制御を実施することが可能です。
例えば、「経営層のみにアクセス許可するフォルダ」と「全従業員がアクセスできるフォルダ」というように様々な権限のフォルダが存在する場合、フォルダの設定でアクセス制御を実施できます。

65

「重要情報」について
本書において「重要情報」とは、営業秘密等の事業に必要で組織にとって価値のある情報や、顧客や従業員の個人情報等の管理責任を伴う情報を指します。
重要情報を管理する必要性
個人情報に該当しない場合でも、情報漏えい時に甚大な被害をもたらす情報もあります。そのため、自社における重要情報が何であるかを定義し、その情報が漏えいした際に、どの程度の損害が発生しうるかを想定した上で、組織内で保有している重要情報について事前に整理を行うことが必要となります。
自組織内で所有する情報だけで重要か否かを判断するのではなく、親会社や取引先等から間接的に受領したり、一時的に保有したりしている情報も含め情報の重要性を判断することが大切です。
攻撃者の中には、セキュリティ対策が堅牢な大企業を直接狙うのではなく、取引として関連のある企業等、セキュリティ対策の弱い間接的に接点のある環境を狙って侵害を計画するケースもあります。他組織に関する情報にも十分注意しましょう。
重要情報と情報漏えい時の影響例
重要情報とその情報が漏えいした際の影響例は、次の通りです。
重要情報の例

情報漏えい時の影響例

顧客の個人情報（例：氏名・住所・クレ 顧客から損害賠償を請求されることによジットカード情報）る金銭被害の発生
自組織の機密情報（例：新規サービスの 機密情報が漏えいしたことにより新規事
開発情報）業が停止し、売り上げの減少
自組織の従業員の認証情報（例：管理者 社内システムへ不正アクセスされ、シス権限のログイン情報）
テム停止により機会損失の発生
自社の環境を介して親会社の顧客情報に
親会社の機密情報や親会社に接続する際アクセスされ情報が漏えいの認証情報（例：親会社に接続するため
顧客や親会社から損害賠償等を請求されの認証情報）
ることによる金銭被害の発生

66

「対応手順（インシデント対応手順）」について
インシデントが発生した際に、対応手順としてどのようなことを実施すべきかを解説します。
対応手順を作成する必要性
インシデント対応手順を事前に定めていない場合、緊急時にどのような対応を実施
すべきかわからず適切に対応ができないこととなります。これは、対応の遅れにつな
がり、ひいては被害が拡大することにもつながります。
なお、オフィスでの業務実施時とテレワーク時の業務におけるシステムの環境は異なることがあります。この場合、オフィスでの業務実施時を想定したインシデント対応手順では適切な対応が行えない可能性があるため、テレワーク時に合わせた対応手順を整備することが重要です。
テレワーク端末のマルウェア感染の例
対応手順の概略例として、テレワーク端末へのマルウェア感染の場合を示します。
実施内容

必要性

（端末をVPN接続している場合）
端末のVPN接続状態を切断

端末のマルウェア感染の可能性を考慮し、被害拡大を防ぐため、端末をVPN接続から切断します。

直近で実施した作業のヒアリング

マルウェア感染が疑われるような操作を行ったか、該当端末の利用者に確認します。
（例：直前に添付ファイルを開封した）（端末をVPN接続している場合）アカウントの無効化

アカウント情報（ID、パスワード）を窃取されている場合、社内ネッワークに不正アクセスされるおそれがあることから、アカウントを無効化します。

影響範囲の確認（アクセス履歴のあったデータとその件数の特定等）

重要情報の保管されているサーバ、クラウドサー
ビス等に対して、該当のユーザからアクセスした痕跡があるかを確認します。また、情報漏えいの可能性の有無に関しても確認します。

ウイルス対策ソフトによるスキャン

マルウェア感染の場合、ウイルス対策ソフトによるスキャンで検知・駆除できる可能性があるため実施します。

端末の初期化

マルウェア感染が断定できる場合や、原因が特定できず打ち手が他に無い場合は端末を初期化します。

ウイルス対策ソフトの最新化

既存のマルウェアへの感染を防ぐため、ウイルス対策ソフトを最新化します。

注意喚起

他の従業員が同様のインシデントの被害にあわな
いようにするために、同一の操作を行わないよう注意喚起を行います。（既に行ってしまった場合も想定して対応策も案内します。）

67

「パスワード」について
パスワードの安全性が高いかどうかを図る尺度のことを「パスワード強度」といいます。パスワードの文字数や使用できる文字の種類（数字、英字の大文字・小文字、記号）
により、パスワード強度は変化します。
強いパスワードを利用する必要性
パスワード強度が弱いパスワードを使用した場合、総当たり攻撃 4や辞書攻撃 5等により、パスワードが解読され、不正アクセスを受けるおそれがあります。そのため、適切にパスワードを設定することが求められます。
また、パスワードを複数のサービスで使い回していると、どこかのサービスでパス
ワードが漏えいした場合に、他のサービスまで攻撃を受けてしまう状態となりますので、同一のパスワードを様々なサービスで使用することは推奨されません。
パスワードとして使用を推奨しないものの例
パスワードとして使用を推奨しないものの例は、次の通りです。
・名前や生年月日
・他サイトと同様のログイン情報・辞書に載っている単語（１文字変えるといった対応でも同じです。）
・推測されやすい単語
マスターパスワードの活用
他者から秘匿したマスターパスワードとなる文字列を一つ作り、サービスごとのパスワードは、マスターパスワードに続けて文字列を追加する方法が挙げられます。な
お、追加する文字列についても容易に推測されないようにする必要があります。
（例） マスターパスワード：tHkh84Lp9C
サービスＡのパスワード：tHkh84Lp9CSe1
サービスＢのパスワード：tHkh84Lp9Ck4O
サービスＣのパスワード：tHkh84Lp9C2R3
この際、パスワードを忘れてしまった場合に備えて、追加分のみをメモや電子ファ
イルとして保存しておけば、万が一、メモが漏えいした場合であっても、マスターパ
スワードは秘匿されているため、不正アクセスのリスクを抑えることができます。
パスフレーズ
パスワード長を長くするために「パスフレーズ」を利用することも有効です。パス
フレーズは、複数の単語を組み合わせたもの（フレーズ）を指し、より長い文字列での作成が可能であることから、ブルートフォース攻撃（総当たり攻撃）への対策として有効です。また、ランダムな記号ではなく単語をベースに作成を行うため、通常のパスワードよりも忘れにくくなります。

4

ブルートフォース攻撃とも呼ばれます。１つずつ文字を変えながら、しらみつぶしにパスワード入力を試していく攻撃手法です。
5
よく使われるパスワードを順次試していく攻撃手法です。

68

参考２

テレワークセキュリティに関する参考情報

本書に関連して参考となる文献やWebサイト等を示します。
○テレワークセキュリティガイドライン（第５版）【総務省】
https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/
企業等がテレワークを実施する際のセキュリティ上の不安を払拭し、安心してテレワークを導入・活用いただくために、テレワークの導入に当たってのセキュリティ対策についての考え方や対策例を示したものです。
○インターネットの安全・安心ハンドブック【内閣サイバーセキュリティセンター】
https://www.nisc.go.jp/security-site/handbook/
インターネットの利用に当たっての一般的な留意点をまとめたものです。
○サイバーセキュリティ経営ガイドライン【経済産業省/(独)情報処理推進機構】
https://www.meti.go.jp/policy/netsecurity/mng_guide.html
企業の経営者を対象に、経営者のリーダーシップの下で、サイバーセキュリティ対策を推進するための観点からとりまとめたものです。
○中小企業の情報セキュリティ対策ガイドライン【(独)情報処理推進機構】
https://www.ipa.go.jp/security/keihatsu/sme/guideline/
中小企業の経営者や実務担当者が、情報セキュリティ対策の必要性を理解し、情報を安全に管理するための具体的な手順を示したものです。
○テレワーク実施者の方へ【内閣サイバーセキュリティセンター】
https://www.nisc.go.jp/security-site/telework/
テレワークを行う際のセキュリティ上の留意点等について周知したものです。
○テレワークを行う際のセキュリティ上の注意事項【(独)情報処理推進機構】
https://www.ipa.go.jp/security/announce/telework.html
テレワークを行う際のセキュリティ上の留意点等について周知したものです。
○テレワークの適切な導入及び実施の推進のためのガイドライン【厚生労働省】
https://www.mhlw.go.jp/content/000759469.pdf
労務管理を中心に、労使双方にとって留意すべき点等を明らかにしたものです。
○テレワーク総合情報サイト【総務省】
https://telework.soumu.go.jp/
テレワークの導入事例や、導入に当たって活用可能な支援策をまとめたサイトです。

69

［修正履歴］
2021年５月31日
2021年６月２日

第２版策定
方式確認のフローチャートの文字サイズ等変更

本書に関する問い合わせ先
総務省 サイバーセキュリティ統括官室
Email telework-security×ml.soumu.go.jp （迷惑メール防止のため「@」を「×」と表記しています。）
URL https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/70