テレワークのセキュリティ対策｜中小企業がまず確認したい10項目

テレワークを始めると、社外から社内へつなぐ場面が一気に増えます。便利になる一方で、「何から手を付ければいいのか分からない」という声も多く聞きます。

専任のセキュリティ担当がいない中小企業でも、押さえるべき勘所は絞り込めます。総務省も「中小企業等担当者向け テレワークセキュリティの手引き（チェックリスト）」を公開しており、最低限の対策を確実に実施することを重視しています。IPA「情報セキュリティ10大脅威 2026」では、組織向け脅威の8位に「リモートワーク等のニューノーマルな働き方を狙った攻撃」が挙げられています。

この記事では、まず確認したい10項目を、優先度つきの診断表にまとめました。まずこの表で自社の弱いところを見つけ、該当する項目だけ深掘り記事で確認する、という使い方ができます。すべてを一度に整えるより、社外から入る入口と止め忘れから優先するのが現実的です。

この記事でわかること

• テレワークでまず確認したい10項目（セルフチェック）
• 各項目の進め方と、深掘り記事への入口

まず確認したい10項目（優先度つき診断表）

「最優先」は、社外から入る入口と止め忘れに直結する項目です。ここから着手すると効果が出やすくなります。用語の意味は用語集でも確認できます。以下、進め方を整理します。

つなぎ方を安全にする

接続経路を安全にする

社外から社内へつなぐ経路そのものを見直します。VPN・リモートアクセス製品・RDPなど、どの方式でも「外部に何を見せているか」「誰が入れるか」「入った後どこへ行けるか」を確認するのが出発点です。古い境界型の前提のままだと狙われやすいため、方式の違いを把握して選びます。考え方は脱VPNの記事、方式の比較は比較ページで整理しています。

VPN機器の脆弱性と更新

VPN機器はインターネットに常時さらされるため、脆弱性の修正と、サポート終了（EOL）機器の更新が欠かせません。「誰が・いつ確認するか」を決めておきます。詳しくはSSL-VPNの脆弱性の記事で解説しています。

リモートデスクトップを直接公開しない

社内PCを社外から操作するリモートデスクトップ（RDP）は便利ですが、接続口を直接インターネットに公開すると侵入口になりがちです。安全な経路の内側で使うのが基本です。詳しくはRDPの記事へ。

入れる人と範囲を管理する

認証を強くする

パスワードだけに頼らず、アカウントは利用者ごとに分けます。共有IDは、誰が接続したか分からなくなるため避けます。必要に応じて多要素認証（MFA）の利用も検討します。

退職者・委託先のアカウントを止める

退職・異動・委託終了のたびに、アカウントを止める担当とタイミングを手順に組み込みます。止め忘れた接続権限は、社外からの入口として残り続けます。詳しくは権限管理の記事で、停止フローや台帳の作り方を紹介しています。

最小権限で範囲を絞る

接続できたら社内のどこへでも行ける、という状態を避け、利用者ごとに必要な宛先だけを許可します。1台が侵害されても被害が広がりにくくなります。設計面の考え方はセキュリティのページで解説しています。

端末・データ・運用を守る

業務端末を守る

OSやソフトを最新に保ち、マルウェア対策を有効にします。社外で使う端末は、紛失・盗難に備えた対策（画面ロック、必要に応じた暗号化）も大切です。IPA「テレワークを行う際のセキュリティ上の注意事項」でも、端末や経路の基本対策の徹底が促されています。

データの扱いとバックアップを決める

業務データの持ち出し・保存場所・クラウドの利用について、ルールを決めます。個人所有端末への無制限な保存や、私用クラウドへのアップロードは、情報の管理が及ばなくなる原因になります。あわせて、ランサムウェア被害などに備え、バックアップの取得と復元手順も確認しておきます。防犯カメラなどIoT機器を社外から見る場合は、直接公開を避ける点に注意します（→ネットワークカメラの記事）。

ログと初動の体制をつくる

誰が・いつ社外接続したかを確認できる状態にし、見覚えのない接続に早く気づけるようにします。あわせて、不審な接続・端末紛失・誤送信などが起きたときの連絡先を決めておくと、初動が早くなります。

ルールを決めて教育する

最後は、これらを社内ルールとして明文化し、従業員に周知・教育することです。総務省の中小企業向けチェックリストでも、担当者と従業員それぞれが取り組む形が示されています。あわせて、必要な費用も計画に入れておくと進めやすくなります（料金の考え方・料金ページ）。

まとめ：まず確認すべき3点

10項目すべてを一度にやる必要はありません。診断表の「最優先」から着手すると、効果が出やすくなります。

1. 社外から入る経路・VPN機器・RDPの入口を安全にする（最優先）
2. 誰が・どこまで入れるかを管理する（共有ID廃止・退職者/委託先の停止・最小権限）
3. 端末・データ・ルールの基本を、定期運用として整える

テーマ別では、ランサムウェア対策、NAS・ファイルサーバーの社外利用、私物PC・BYODの扱い、公衆Wi-Fi・出張先からの接続、まず整える基本はSECURITY ACTIONも、あわせてご覧ください。業種別の具体例として、利用者情報を扱う介護・福祉事業所のテレワークも参考になります。自社での進め方は、比較ページで方式を、IPA「中小企業の情報セキュリティ対策ガイドライン」で基本の進め方を確認しつつ、あわせて料金ページとFAQで確認してください。

参考・出典

• 総務省「中小企業等担当者向け テレワークセキュリティの手引き（チェックリスト）」（第3版）
• IPA「テレワークを行う際のセキュリティ上の注意事項」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• IPA「情報セキュリティ10大脅威 2026」