自宅で働くときの情報セキュリティ対策｜端末・アカウント・メールと事故時の報告

自宅で働くときの情報セキュリティ対策は、取引先が決めているルールを確かめ、それを守ることが土台です。そのうえで、端末を最新の状態に保つ、パスワードと認証を強くする、不審なメールを開かない、端末の紛失や感染のときの報告先を先に決めておく、という基本を押さえます。

会社員のときは情報システムの部門が担っていた対策の多くを、フリーランスは自分で行う必要があります。この記事では、自宅で取引先の情報を扱うときに確かめたいことを整理します。机や回線、Wi-Fiルーターの設定など作業環境の整え方は自宅を仕事場にするときの環境づくりの記事で扱っています。

まず取引先のルールと契約を確かめる

総務省の「テレワークセキュリティガイドライン（第5版）」は、テレワークで働く人の基本的な役割を、管理者が作ったルールを理解し、守ることだとしています。どれだけ対策を整えても、ルールが守られなければ働かないからです。

業務委託でも、取引先のセキュリティのルールに従うことを求められるのが一般的です。参画が決まったら、次の点を確かめておきます。

これらは、秘密保持契約や個別契約、取引先のセキュリティの規程に書かれていることが多くあります。契約の読み方は秘密保持契約の記事で、個人情報を扱う業務の注意点は個人情報の取り扱いを委託されるときの記事で解説しています。

自分の端末を使うときの考え方

ガイドラインは、個人が持っている端末を業務に使う場合、データが端末に保存できてしまうことや、対策ソフトの導入を強制できないことから、十分な管理がしにくいと指摘しています。そのため、取引先によっては、自分の端末の利用を認めなかったり、条件を付けたりします。自分の端末で作業する場合は、取引先の条件を満たしているかを参画前に確かめておきましょう。

端末を守る基本

IPA（情報処理推進機構）は、日常の対策として次のような項目を挙げています。

• OSやソフトウェアに修正プログラムを適用し、最新の状態に保つ
• セキュリティ対策ソフトを導入し、定義ファイルを最新に保つ
• 重要なデータを定期的にバックアップする
• 離席するときは画面をロックする
• 持ち主の分からない記録媒体を接続しない

これに加えて、自宅で取引先の情報を扱うフリーランスが意識したいのは次の点です。

案件ごとに分け、私用と混ぜない

複数の案件を受けている場合は、案件ごとにフォルダやアカウント、ブラウザのプロファイルを分けておくと、取り違えを防ぎやすくなります。取引先から端末が貸し出される場合は、その端末を私用やほかの案件に使わないのが基本です。掛け持ちのときの情報の分け方は掛け持ちの記事で扱っています。

紛失や盗難に備える

ガイドラインは、端末にデータが保存できる方式では、紛失や盗難による情報漏えいの対策として、記録装置の暗号化などが重要だとしています。自宅で使う端末でも、出社や外出で持ち歩くことがあります。ディスクの暗号化と、起動時や復帰時のパスワードを設定しておきましょう。

アカウントとパスワードを強くする

取引先のシステムやクラウドのサービスに入るためのアカウントは、狙われやすい入り口です。ガイドラインは、パスワードを第三者に推測されにくいものにし、使い回さないこと、パスワードが漏れたときに備えて多要素認証などの強い認証方式を活用することを挙げています。

• 取引先から渡されたアカウントのパスワードを、私用のサービスと同じにしない
• 多要素認証が使えるサービスでは、取引先の指示に従って有効にする
• パスワードを付箋や平文のファイルで管理しない

認証に使うICカードやスマートフォンを紛失した場合も、不正なアクセスに使われるおそれがあるため、すぐに報告の対象になります。

メールとチャットで起きやすい事故

情報漏えいや被害のきっかけは、技術的な攻撃だけではありません。日々のメールやチャットのやりとりにも、事故の入り口があります。

不審なメールやメッセージ

IPAは、メールやSMS、SNSで届いた不審なファイルやURLを開かないこと、偽のセキュリティ警告に表示された番号に電話しないことを挙げています。取引先を名乗るメールでも、普段と違う送り方や添付ファイルには注意が要ります。

請求や振込先をめぐる詐欺

ガイドラインは、取引先などになりすましてお金をだまし取るビジネスメール詐欺を、テレワークで注意すべき脅威に挙げています。フリーランスは自分で請求と入金を管理するため、「振込先が変わった」「急ぎで支払ってほしい」といったメールには、メール以外の方法で相手に確かめるようにします。自分の請求書の振込先を変える場合も、取引先が確認しやすいよう、正式な手順で伝えます。

送り先の間違い

複数の取引先とやりとりしていると、宛先や添付ファイルの取り違えが起きやすくなります。送信前に宛先を確かめる、案件ごとにメールの署名やフォルダを分けるといった工夫で、間違いを減らせます。

自宅の環境で気をつけること

自宅では、家族や来客の目と耳にも注意が要ります。ガイドラインは、のぞき見や、大きな声でのオンライン会議による情報漏えいが起きないよう、適した環境で作業することを挙げています。会議中は取引先の名前や案件の中身が家族に聞こえないよう、部屋やイヤホンを使い分けます。

総務省は、家庭のWi-Fiについて、暗号化の方式やパスワード、ファームウェアの更新などの注意点を示しています。具体的な設定の見直し方は自宅を仕事場にするときの環境づくりの記事に、外出先や共有の場所で作業するときの注意点はコワーキングスペースの記事にまとめています。

事故が起きたとき、起きそうなときの報告

ガイドラインは、テレワークで働く人に、事故が起きたときにどこへどのような内容を報告し、自分はどう動けばよいかをあらかじめ確かめておくこと、連絡先をテレワーク中でも連絡が取れるよう確かめて記録しておくことを求めています。そのうえで、端末を紛失したとき、不審なメールやファイルを受け取ったとき、端末の挙動に不審な点を感じたときなどは、速やかに報告することを挙げています。報告するか迷うような出来事も、幅広く報告することが望ましいとされています。

フリーランスの場合、報告先は取引先の担当者や窓口になることが一般的です。エージェントを通した案件では、エージェントにもあわせて伝えておくと、契約上の対応が進めやすくなります。報告が遅れると、被害が広がるだけでなく、秘密保持契約にもとづく責任を問われる場面で不利になることがあります。損害賠償の考え方は損害賠償責任の記事で解説しています。

案件が終わるときのデータの扱い

契約が終わったら、取引先から預かった資料やデータは、契約の定めに沿って返却や削除をします。自分の端末に一時的に保存したファイルや、ダウンロードフォルダに残ったものも見落とさないようにします。取引先のアカウントの利用も終わらせ、貸し出された端末は返却します。

一方で、自分の請求書や帳簿など事業の書類は、取引先のデータとは分けて、自分でバックアップを取っておきます。

よくある質問

私物のパソコンで取引先の業務をしてもよいですか？

取引先が認めているかどうかによります。認めている場合も、対策ソフトの導入や保存してよいデータの範囲など、条件が付くことがあります。参画前に取引先のルールを確かめ、条件を満たせない場合は貸与の端末を使えるかを相談しましょう。

家族と同じWi-Fiを使って仕事をしても大丈夫ですか？

家庭のWi-Fiを使うこと自体は一般的です。ルーターの暗号化の方式やパスワード、ファームウェアの更新など、総務省が示す注意点に沿って設定を見直しておきます。仕事に使う端末は家族と共用しないのが基本です。取引先が特定の接続方法を求めている場合は、それに従います。

怪しいメールのリンクを開いてしまったら、どうすればよいですか？

取引先の情報を扱う端末であれば、あらかじめ確かめておいた連絡先に速やかに報告し、指示に従います。自分の判断で問題ないと決めつけて黙っていると、被害が広がるおそれがあります。報告の要否に迷う場合も、報告しておくほうが望ましいとされています。