緊急措置的に導入したテレワークを恒常施策とする際の留意点 - セキュリティ対策、教育・研修等の実施方法

テレワークの導入プロセス

　前稿でも解説したとおり、恒常的な施策としてテレワークを導入するにあたっては、本来の導入プロセスを前提として、たとえば、下図のような導入プロセスを踏まえることが考えられます。具体的には、必要なルールの策定や、ICT環境を整備するなどの準備検討とともに情報漏えい等のリスクに対処するためのセキュリティ対策等を行うことが必要となると考えられます。

　本稿では、前稿と同様に、上記の厚生労働省によるガイドブックの内容も念頭に、テレワークを恒常的に導入するうえでのセキュリティ対策や教育・研修等についての検討事項について解説します。

セキュリティ対策の必要性および対策の手順と留意点

セキュリティ対策の必要性

　「緊急措置的に導入したテレワークの運用を見直す際のセキュリティに関する調査事項」でも解説したとおり、企業において、セキュリティ対策が不十分であったことに起因して、マルウェア（ウイルス等の悪意のあるソフトウェア）への感染や、端末（PC等）の紛失・盗難、外部からの不正アクセス等による情報漏えい等が発生した場合、個人情報保護法上の安全管理措置義務（同法20条）や従業者の監督義務（同法21条）違反となるおそれがあります ¹。

　企業（個人情報取扱事業者）において、セキュリティ対策が不十分であったことに起因して情報漏えい等が発生した場合、当該情報が個人データに該当すると、当該企業は、個人情報保護法20条に基づく安全管理措置を講じる義務の履行が不十分であったと評価され、同条違反となる可能性があります。

　また、たとえば、企業において、従業員が個人データの安全管理措置を定める社内規程等に従って業務を行っていることの確認を怠った結果、上記社内規程に違反した取扱いがなされ、個人データが漏えいした場合には、個人情報保護法21条違反となる可能性もあります。

　テレワークでは、従業員が業務に関わる情報をオフィス外で利用することとなるため、テレワークにおける不正アクセス等による情報漏えい等のリスクを防止・低減するために、オフィスにおけるセキュリティ対策とは別に、テレワーク特有のリスクに対応したセキュリティ対策を講じる必要があります。
　そこで、以下では、テレワーク導入に際して必要と考えられるセキュリティ対策の手順、留意点について、「テレワークではじめる働き方改革 テレワークの導入・運用ガイドブック」による整理に基づき解説します。

ルールによるセキュリティ対策

（1）セキュリティガイドラインの策定

　テレワーク導入時に必要と考えられるセキュリティ対策としては、まず情報を扱う業務に対して、組織として統一のとれた情報セキュリティの基本方針、行動指針を定める必要があります。この点について、通常は、①情報セキュリティに関する基本方針、②具体的な対策基準および③対策基準の実施手順等を定めた「セキュリティガイドライン」などを策定することが必要となります。

（2）情報管理ルール等の策定

　また、上記のセキュリティガイドラインを前提として、社内の紙媒体資料（非電子化資料）の持ち出しに関するルールやテレワーク時の具体的な行動ルールも決定する必要があります。この点について、すでに情報管理ルールを策定している企業であっても、テレワーク特有のルールを追加することが考えられるため、当該ルールのチェックと見直しをする必要があると考えられます ²。

　なお、「緊急措置的に導入したテレワークの運用を見直す際のセキュリティに関する調査事項」および「緊急措置として利用を許可した支給外（私物）端末利用（BYOD）の利用実態の調査方法とアンケート書式例」で解説した、コロナ禍を機に緊急措置として導入したテレワークの運用見直しや恒常施策への切り替えを見据えた調査を行った場合には、当該見直しや調査により把握されたセキュリティリスクの有無、程度も踏まえて、ルール作りをすることが望ましいと考えられます。

技術的なセキュリティ対策

　また、テレワークによる情報漏えい等のリスクを低減するためには、ルールによるセキュリティ対策とあわせて、以下のような技術的なセキュリティ対策を行う必要があると考えられます。

（1）アクセスの管理・制限

　「緊急措置として利用を許可した支給外（私物）端末利用（BYOD）の利用実態の調査方法とアンケート書式例」で解説したとおり、テレワークにおいては、一般に従業員が自宅等の場所において使用する端末（PC等）を通じて、企業のシステム等にアクセスすることが想定されます。当該システム等に対するアクセス制御のための措置を十分に講じていない場合には、不正アクセスされた端末（PC等）内に保存されるデータ等に限らず、企業組織全体のデータ等の情報資産に対する改ざん、破壊、情報漏えい等が生じるおそれがあります。
　そこで、これらの課題に対応するために、以下のような措置を講ずることが考えられます。

（2）暗号による管理

　テレワークにおいて、従業員が使用する端末（PC等）が紛失したり、盗難に遭った場合でも、ただちに情報が漏えい等が発生する事態を防止するために、以下の3つの措置を講ずることが考えられます。

（3）運用のセキュリティ

　テレワークにおいて、従業員が使用する端末（PC等）やサーバ等の情報を直接扱う機器のマルウェア感染や不正アクセスによる情報漏えい等のリスクを防止する必要があるところ、以下のような措置を講ずることが考えられます。

（4）ネットワークのセキュリティ

　テレワークにおいては、通常、従業員が端末（PC等）を使用して、外部のネットワークを介して、社内ネットワークに接続することとなるところ、このネットワークのセキュリティの安全性が確保されていない場合には、情報漏えい等のリスクが生じることになります。このようなリスクを防止するために、以下のような措置を講ずることが考えられます。

物理的なセキュリティ対策

　ルールによるセキュリティ対策、技術的なセキュリティ対策を講じた場合であっても、テレワークにおいて従業員が使用する端末（PC等）が盗難や破壊等されたり、紙媒体の資料が紛失してしまったりした場合には、なお情報漏えい等のリスクが生じ得ます。このようなリスクを低減するために、以下のような物理的なセキュリティ対策を行う必要があると考えられます。

教育・研修等の実施

　テレワークを恒常施策として導入するにあたっては、テレワークについての教育・研修等も必要と考えます。

教育・研修等の内容

　教育・研修等においては、テレワーク時の勤務時間の管理方法、業務の計画・報告・連絡の方法、業務プロセスなどの労務管理に関する各種社内規程の内容および具体的運用方法について理解させるとともに、上記のテレワークにおける情報セキュリティ対策の必要性を理解させて、上記2−2記載のルールを周知、徹底することが重要と考えられます。

　その他テレワーク導入にあたっての教育・研修のポイントについては、厚生労働省委託事業のテレワーク相談センターのHP ⁵ において、「テレワーク導入にあたっての教育研修」についての解説がなされており参考になります。

教育・研修等の方法

　コロナ禍の昨今、すでにテレワークを実施している企業も含めテレワークに関する教育・研修等もオフィスでの集合研修等によるのではなく、e ラーニング等のインターネットを利用した方法により実施するのが適切であると考えられます。

今後の展望

　以上、全4稿にわたって、コロナ禍を受けて緊急措置的に導入したテレワークに関する振り返りおよびテレワークを恒常施策に切り替えるにあたっての導入プロセス等を解説しました ⁶ 。

　本稿の執筆時点では、新型コロナウイルス第3波に伴い、政府による二度目の緊急事態宣言が発令される等、未だコロナ禍は収束をみていません。引き続き政府によりテレワークが推奨されるなどの昨今の時勢に鑑みれば、Withコロナ、Afterコロナの時代においても、テレワークはニューノーマルな働き方としてますます定着していくことが見込まれます。
　本稿がテレワーク導入、恒常施策への切り替えを検討する企業の一助となれば幸いです。