テレワークセキュリティガイドライン第5版とは？チェックリストとの違いと使い方

総務省の「テレワークセキュリティガイドライン（第5版）」は、企業がテレワークを安全に導入・運用するための基準資料です。テレワークの形態、セキュリティ対策の考え方、経営者・システム・セキュリティ管理者・テレワーク勤務者の役割、7種類の方式、基本対策と発展対策、トラブル事例を確認できます。

一方、「中小企業等担当者向け テレワークセキュリティの手引き（チェックリスト）」は、ガイドラインを補う実務資料です。予算や専任体制が十分ではない組織でも、方式や端末条件に応じて、優先的に対応すべき項目を確認しやすく作られています。

要点を先に言えば、方針、方式、役割分担、対策の背景を理解するならガイドライン、現在の未対応項目を洗い出すならチェックリストを使います。どちらか一方で済ませるのではなく、ガイドラインで前提をそろえ、チェックリストで現状を点検し、社内ルールと改善計画へ落とし込む流れが現実的です。特に社外から業務環境へアクセスする設計では、利用者本人の確認だけでなく、許可された端末かどうかの確認も重要になります。多要素認証や端末認証を組み合わせ、必要に応じてデジタル証明書を使うかどうかも検討対象に含めます。

この記事では、ガイドライン第5版と中小企業等向け手引きの違い、読む順番、7方式と8方式の関係、社内運用へ落とし込むときの確認点を整理します。全体のセキュリティ対策から確認したい場合は、先にテレワークセキュリティの基本を読むと、このページの位置づけを把握しやすくなります。

一次情報として押さえる範囲

この記事で扱う一次情報は、単なる参考リンクではありません。総務省ガイドライン第5版は、方式選定、役割分担、共通対策、発展対策、トラブル事例を確認する基準資料です。中小企業等向け手引きは、方式と端末条件に応じて、最低限必要な対策を確認する実務資料です。両者の役割を分けて読むことで、抽象的な方針と現場のチェック作業をつなげられます。

特に重要なのは、ガイドライン第5版の「基本対策」と「発展対策」を混同しないことです。すぐに整えるべき基本対策と、予算や体制を見ながら段階的に強化する対策を同じ優先度で扱うと、現場の対応順が曖昧になります。チェックリストを使う場合も、単に丸を付けるのではなく、未対応項目を対応計画へ変換する必要があります。

ガイドラインとチェックリストの位置づけ

ガイドラインとチェックリストは、どちらもテレワークセキュリティを扱います。ただし、読む目的は違います。ガイドラインは「なぜその対策が必要なのか」を理解するための資料です。チェックリストは「自社で何が未対応なのか」を見つけるための資料です。

総務省のガイドライン第5版では、テレワークを取り巻くリスク、ルール・人・技術のバランス、経営者・システム・セキュリティ管理者・テレワーク勤務者の役割、クラウドサービスやゼロトラストの考え方、7種類のテレワーク方式、共通対策、トラブル事例が扱われています。判断の前提を広く押さえる資料だと考えると分かりやすいでしょう。

中小企業等向けの手引きは、ガイドラインを補う資料です。予算や専任体制が十分でない組織でも取り組みやすいように、優先的に実施すべき対策を方式ごとのチェックリストに落とし込んでいます。すぐに点検したい場合は有効ですが、チェック欄に丸を付けるだけで終えると、対策の背景や例外条件を確認しきれません。たとえば「認証を強化する」といっても、パスワードルールの見直し、多要素認証の適用、端末認証、デジタル証明書の利用可否では、必要な準備も運用負荷も変わります。

読む順番は導入段階で変える

読む順番に固定の正解はありません。新規導入、既存環境の点検、方式変更、BYOD拡大では、最初に見る資料が変わります。

急いで点検したいときは、チェックリストから入って構いません。ただし、未対応項目が出た時点でガイドラインへ戻り、なぜ必要なのか、どの方式に関係するのかを補います。ここを飛ばすと、対策が単なるチェック作業で止まります。

7方式と8方式を混同しない

このテーマで最も誤解が起きやすいのが、方式分類の違いです。ガイドライン第5版は7方式で説明します。一方、中小企業等向け手引きは、会社支給端末と個人所有端末を分け、実務でチェックしやすい8方式として整理しています。この差分を混ぜると、方式別記事や社内説明で内容が崩れます。

ガイドライン第5版の7方式

ガイドライン第5版では、基本的なテレワーク方式として次の7種類が整理されています。

• VPN方式
• リモートデスクトップ方式
• 仮想デスクトップ（VDI）方式
• セキュアコンテナ方式
• セキュアブラウザ方式
• クラウドサービス方式
• スタンドアロン方式

方式ごとの特徴を横並びで確認する場合は、テレワーク方式の比較へ進んでください。自社条件から方式を絞る場合は、テレワーク方式の選び方が次の確認先です。

中小企業等向け手引きの8方式

中小企業等向け手引きでは、ガイドラインと違う切り口を採ります。中小企業等には導入が難しい「仮想デスクトップ（VDI）方式」と「セキュアコンテナ方式」を除き、会社支給端末か個人所有端末かを分けたうえで、VPN/リモートデスクトップ方式、クラウドサービス方式、スタンドアロン方式、セキュアブラウザ方式を確認します。

どちらが正しい、という話ではありません。目的が違います。方式の全体像や比較を確認するならガイドライン、実際に自社の端末条件でチェックするなら手引き、という使い分けです。

ガイドラインで確認する主要論点

ガイドラインを読むときは、全文を機械的に追うより、自社の判断に関係する論点を分けて確認します。特に、方式、役割、ルール・人・技術、対策分類、トラブル事例は外せません。

方式ごとのリスク

VPN方式では社内ネットワークへ入る範囲、リモートデスクトップ方式では接続先PCの管理、クラウドサービス方式ではアカウントと共有設定、スタンドアロン方式では持ち出しデータと外部記録媒体が問題になりがちです。同じ「テレワーク」でも、重点対策は方式ごとに変わります。社外から接続する方式では、ID・パスワードだけに依存せず、多要素認証や端末確認を組み合わせる設計が必要です。端末を強く確認したい場合は、デジタル証明書も有力な選択肢になります。

経営者・管理者・勤務者の役割

経営者は方針、予算、責任者、リスク許容度を示します。システム・セキュリティ管理者は、端末、アカウント、権限、ログ、教育、事故対応を具体化します。勤務者はルールを守り、端末や認証情報を適切に扱い、異常を報告します。役割を分けないと、対策は導入されても続きません。

ルール・人・技術のバランス

端末の持ち出し、クラウド共有、オンライン会議、印刷、保存、事故報告はルールで定めます。不審メールや共有ミスを防ぐには教育が必要です。認証、端末管理、暗号化、ログ、アクセス制御は技術で支えます。認証についても、利用者本人の確認、多要素認証、端末の正当性確認を分けて考えます。どれか一つだけに寄せると、別の穴が残ります。

基本対策と発展対策

ガイドライン第5版では、一般的に普及しており基本的に取り組むことが求められる対策と、一定の予算や体制がないと実施が難しいものの、さらにセキュリティ向上が見込める対策が分けて示されています。社内計画では、この違いを優先順位に反映します。全部を同じ重要度で並べると、実施順が見えなくなります。

13分類の対策を社内項目へ変換する

ガイドライン第5版の対策分類は、ガバナンス・リスク管理、資産・構成管理、脆弱性管理、特権管理、データ保護、マルウェア対策、通信の保護・暗号化、アカウント・認証管理、アクセス制御・認可、インシデント対応・ログ管理、物理的セキュリティ、脅威インテリジェンス、教育に分かれます。

本文や社内資料へ反映するときは、これらを用語一覧として扱うだけでは足りません。「誰が」「どの方式で」「どの情報を守るために」「どの証跡を残すのか」まで落とし込む必要があります。アカウント・認証管理では、どのサービスに多要素認証を必須化するのか、どの端末を許可するのか、証明書を使う場合は発行・更新・失効を誰が担うのかまで決めます。

チェックリストを運用へ落とす手順

チェックリストは、対応済みかどうかを確認して終わる資料ではありません。未対応項目を発見し、対応計画に変えるために使います。

中小企業等向け手引きは、テレワークの導入・利用に必要となるシステムや機器を中心に確認する資料です。オフィスネットワーク全体のセキュリティ対策まで一冊で完結するものではありません。チェックリストで未対応項目を洗い出した後は、既存の情報セキュリティ規程、クラウド利用ルール、端末管理台帳、インシデント対応手順と突き合わせます。

自社の方式と端末条件を先に分ける

まず、社内ネットワークへ接続するのか、社内PCを遠隔操作するのか、クラウドサービスを使うのか、端末へデータを保存するのかを見ます。次に、会社支給端末だけか、個人所有端末も使うのかを分けます。ここが曖昧なままチェックすると、誰にどの対策を適用するのかがぼやけます。

未対応項目に担当と期限を付ける

未対応項目を見つけたら、対応済み・未対応の分類で止めず、担当者、期限、対応内容、例外条件まで決めます。例えば認証強化が未適用なら、対象サービス、対象者、適用日、例外を認める条件、利用者への周知方法まで必要です。多要素認証を必須にするのか、端末認証まで求めるのか、デジタル証明書を使う場合に失効処理まで運用できるのかも確認します。

後回しにしにくい項目を分ける

一度にすべてを高い水準へ上げるのが難しい場合でも、次の項目は先送りしにくい領域です。

• テレワークで使う端末と利用者を把握しているか
• テレワークで扱う重要情報と保存先を把握しているか
• OS、ブラウザ、業務アプリを更新できているか
• 社外から使うアカウントに、多要素認証や端末認証などの強い認証を適用しているか
• 重要データの保存先、印刷、ダウンロードの可否を定めているか
• 端末紛失や不審メール受信時の連絡先を周知しているか
• 退職者や異動者のアカウントを停止する手順があるか
• 私物端末を使う場合の条件を明文化しているか

チェックリストの目的は、対策項目を増やすことではありません。社外勤務で事故になりやすい穴を見つけ、実際に閉じることです。

労務管理の資料と混ぜない

テレワークには、セキュリティだけでなく、労務管理、就業規則、費用負担、労働時間管理、安全衛生も関係します。厚生労働省の資料は、こうした労務管理上の留意点を確認するための公的資料です。

ただし、労務管理の資料とセキュリティ資料は、役割が違います。労働時間管理や費用負担、就業場所の明示を決めるときは厚生労働省のガイドラインを参照します。端末、認証、ネットワーク、クラウド、データ保護、インシデント対応を決めるときは、総務省のテレワークセキュリティガイドラインと中小企業等向け手引きを参照します。

社内ルールを作るときは、この切り分けが重要です。セキュリティの話だけでテレワーク制度を決めると、労働時間や費用負担の整理が抜けます。反対に、労務管理だけで制度を整えると、端末管理や認証、データ保護が弱くなります。

社内展開で失敗しやすいポイント

資料を読んだだけで終わる

公的資料を読んでも、社内で誰が何を変えるのかが決まらなければ実装には進みません。読後には、未対応項目、対応担当、期限、必要な予算、利用者への周知方法をまとめます。

方式を確認せずに対策を選ぶ

同じテレワークでも、VPN方式とクラウドサービス方式では重点対策が違います。方式を確認せずに対策を選ぶと、必要な設定が抜けたり、効果の薄い対策に工数を使ったりします。

例外運用を放置する

一時的な私物端末利用、社外からの緊急アクセス、外部共有、管理者の例外権限は事故の起点になりやすい領域です。例外を認める場合は、承認者、期限、対象範囲、記録方法を残します。認証を一時的に弱める、証明書のない端末を許可する、退職者や委託先のアカウントを残す、といった例外は特に危険です。

見直しのタイミングを決めていない

テレワーク環境は固定ではありません。利用サービスの追加、従業員の増減、クラウド利用の拡大、BYODの導入、拠点変更があれば、対策も変わります。チェックリストは初回導入時だけでなく、運用変更時の確認にも使います。

次に読む記事

参考情報

• 総務省：テレワークにおけるセキュリティ確保
• テレワーク総合ポータル：関連資料

まとめ

テレワークセキュリティガイドライン第5版は、方式ごとの違い、役割分担、基本対策と発展対策、トラブル事例を確認するための基準資料です。中小企業等向け手引きは、その考え方を自社の方式や端末条件に当てはめ、未対応項目を見つけるために使います。社外アクセスを含む環境では、通信経路だけでなく、利用者と端末をどう確認するかが重要です。多要素認証やデジタル証明書は、その確認を強化する選択肢として検討できます。

これから設計する段階ではガイドライン、すでに運用している環境の弱点を探す段階ではチェックリストから入ると無理がありません。ただし、どちらか一方で終わらせないこと。ガイドラインで前提を押さえ、チェックリストで現状を把握し、実務記事で比較・選定・運用へつなげることで、社内判断に使える材料になります。

よくある質問