パソコン・スマホ・USBメモリの管理で決めておくこと｜担当者向けチェックリスト

SECTION 01

このチェックリストは、どんな場面で使う？

機器を配る前と、使い方が変わるとき

このチェックリストが役に立つのは、社員にパソコンやスマートフォンを渡す前、USBメモリで社外とデータをやり取りする場面が出てきたとき、そしてテレワークを始めるときや職場に戻るときです。使い方が変わる節目ごとに、ルールが今の働き方に合っているかを見直せます。

IPAの資料では、対策が「管理者向け」と「利用者向け」に分けて書かれています。社内でも、機器を管理する人が決めて確認することと、使う人一人ひとりが守ることを分けて整理すると、抜けや思い込みが減らせます。

このチェックリストでできること、できないこと

ここで扱うのは、日々の機器の扱い方を社内ルールにする際の確認項目です。個人情報保護法の対応、プライバシーマーク（Pマーク）の審査基準、ISO27001（ISMS）の要求事項に、それぞれ適合しているかを判断するものではありません。これらは別の制度や規格であり、必要なことは会社の状況によって変わります。

まずは「機器ごと」「管理者と利用者ごと」に分けて、今のルールが言葉になっているかを確かめるところから始めます。

SECTION 02

パソコンについて、何を決めておく？

最新の状態に保つことを、誰が確認するか

IPAは管理者向けの対策として、管理するサーバやパソコンのOSや各種ソフトウェアに修正プログラムを適用して最新のバージョンに更新すること、ルータやスイッチなどは最新のファームウェアに更新して維持することを挙げています。また、セキュリティソフトを導入し、定義ファイル（パターンファイル）が常に最新になるよう設定したうえで、最新になっているかを定期的に確認するよう求めています。

社内ルールとしては「更新するのは誰か」「最新になっているかを確認するのは誰か、どのくらいの間隔か」まで決めておくと、担当の空白ができにくくなります。

パソコンの確認項目

パスワードについてIPAは、可能な範囲で複雑な長い文字列を設定し、大小英字、数字および記号を混在させて最低でも10文字にするよう示しています。あわせて、他のシステムやインターネットサービスで同じパスワードを使い回さないこと、機器やシステムのパスワードを初期設定のまま使わず、確実に初期パスワードを変更することも挙げています。

SECTION 03

スマートフォンについて、何を決めておく？

パソコンと同じ対策が、スマートフォンにも要る

IPAの資料では、修正プログラムの適用とセキュリティソフトの導入・定義ファイルの最新化が、パソコンだけでなくスマートフォンについても挙げられています。業務で使うスマートフォンも、パソコンと同じ一覧に入れて管理すると、更新の確認から漏れにくくなります。

画面ロックについては、第三者に見られたり操作されたりしないよう、パソコンやスマートフォンに画面ロックを設定し、スマートフォンは放置しないよう求めています。個人向けの対策としては、紛失時に不正に使われないよう画面ロック機能を必ず有効にし、画面ロックまでの時間を短めに設定することが推奨されています。

アプリの入れ方も、ルールにしておく

IPAは個人向けの対策として、不正なアプリのインストールを防ぐために公式マーケットや信頼できる場所からアプリをダウンロードし、アプリの権限を必ず確認するよう示しています。要求されたアクセス許可に不自然な点や疑問がある場合は、インストールを中止するよう呼びかけています。

• アプリは公式マーケットや信頼できる場所から入れる
• インストール時に、アプリが求める権限を確認する
• Android端末では「不明なアプリをインストール」をオフにしておく
• iPhoneやiPadで構成プロファイルを入れるときは、提供元と内容を確かめる

Android端末についてIPAは、Google Play プロテクトを利用することも対策の一案として挙げています。業務用の端末で、こうした機能を使うかどうかもあわせて決めておくと、設定の差が出にくくなります。

これらは個人向けとして示されている対策ですが、業務用スマートフォンで「アプリを入れてよい条件」を決める材料として使えます。

SECTION 04

USBメモリなどの外部記憶媒体は、どう扱う？

接続してよい組み合わせを決める

社内ルールにするときは「会社が管理しているUSBメモリだけを使う」「拾ったものや持ち主の分からないものはつながない」「取引先などのパソコンには自分のUSBメモリを差さない」といった形で、接続してよい組み合わせを具体的に書いておくと伝わりやすくなります。

持ち出すときは、暗号化と中身の確認

IPAは情報の持ち出しルールの例として、機器を貸し出す際に不必要なデータが保存されていないかを事前に確認すること、紛失に備えて持ち出す機器やUSBメモリなどの外部記憶媒体に適切な暗号化を施すことを挙げています。

SECTION 05

持ち出しと社内ネットワークへの接続は、どう決める？

持ち出しルールは、決めて、伝えて、確かめる

IPAは管理者向けの対策として、業務用パソコンなどの機器やデータを組織外に持ち出す場合のルールを明確にし、関係者に周知徹底すること、そのルールに則って適切に運用されているかを確認することを挙げています。ルールを作るだけでなく、伝えることと、守られているかを確かめることまでが一続きになっています。

普段つないでいない機器を、社内ネットワークにつなぐとき

ウイルスに感染したパソコンや外部媒体を社内ネットワークに接続すると、ウイルスをネットワーク内に広げてしまうおそれがあります。IPAは、普段は社内ネットワークに接続していない機器を接続する場合のルールを明確にして周知し、接続する機器の脆弱性対策やウイルスチェックが適切に行われているかを確認するよう示しています。

利用者向けには、個人所有の持ち込みパソコンや外部記憶媒体を不用意に社内ネットワークにつながないこと、接続が必要な場合はシステム管理者の許可をとることが挙げられています。

「持ち込んだ機器をつなぐときは、誰の許可を、どの確認のあとにもらうか」を一文で書けるかが、ルールの分かりやすさの目安になります。

SECTION 06

テレワークでは、何を追加で決めておく？

始める前と、公共の場所で使うとき

IPAは、テレワークで使うパソコンなどはできる限り他人と共有しないこと、共有せざるを得ない場合は業務用のユーザーアカウントを別に作成することを挙げています。ウェブ会議のサービスなどを新たに使い始める際は、初期設定の内容を事前に確認し、セキュリティ機能を積極的に活用するよう示しています。

• 自宅のルータは、メーカーのサイトを確認のうえ最新のファームウェアを適用する
• カフェなど公共の場所では、画面をのぞかれないよう注意する
• 公共の場所でウェブ会議をするときは、話し声が周りに聞こえないよう注意する
• 公衆Wi-Fiを使う場合は、パソコンのファイル共有機能をオフにする
• 公衆Wi-Fiを使う場合は、必要に応じて信頼できるVPNサービスを利用する
• デジタルのデータだけでなく、紙の書類などの管理にも注意する

このため会社の側では、テレワーク中に迷ったときの相談先を決めて伝えておくことが欠かせません。相談先が決まっていないと、社員一人ひとりが自分で判断することになり、対応がばらつきます。

職場に戻るときの手順も決めておく

職場のパソコンを持ち帰って仕事をしていた場合、IPAは職場のネットワークにつなぐ前に、OSやアプリのアップデート、セキュリティソフトの定義ファイルのアップデート、パソコン内のウイルスチェックを行うよう示しています。

自宅のパソコンで業務をしていた場合は、保存している業務ファイルやメールを職場の環境へどう受け渡すか、自宅のパソコンの業務ファイルをどう削除するかについて、所属先が定めた規程やルールに従うよう求めています。つまり、会社の側でその受け渡し方法や削除方法をあらかじめ決めておく必要があります。

SECTION 07

よくある抜けは、どこに出やすい？

決めたつもりで、言葉になっていない項目

パソコンの更新やセキュリティソフトは意識されやすい一方で、次のような項目はルールの文書に書かれないまま運用されていることがあります。

• 機器やシステムの初期パスワードを変更したかどうか
• スマートフォンの画面ロックと、ロックまでの時間
• 持ち込みのパソコンやUSBメモリを社内ネットワークにつなぐときの許可
• テレワークから職場に戻るときのアップデートとウイルスチェック
• 自宅のパソコンに残った業務ファイルの扱い

抜けやすい理由は、担当があいまいなこと

こうした項目が抜けやすいのは、管理者が決めることなのか、利用者が気をつけることなのかがはっきりしていないためです。IPAの資料のように、管理者向けと利用者向けを分けて書いておくと、「誰かがやっているはず」という思い込みを減らせます。

SECTION 08

社内での確認は、どう進める？

一覧表をつくり、管理者と利用者で見る項目を分ける

最初に、会社で使っているパソコン、スマートフォン、USBメモリなどの外部記憶媒体を一覧にします。次に、この記事の確認項目を「管理者が決めて確認すること」と「利用者が守ること」に分け、それぞれ今のルールで書かれているかを確かめます。書かれていない項目は、文章にして社内に伝えます。

1. 01

   機器の一覧をつくる

2. 02

   確認項目を管理者向けと利用者向けに分ける

3. 03

   書かれていない項目をルールとして文章にする

4. 04

   関係者に周知する

5. 05

   守られているかを確かめる時期と担当を決める

見直す時期は、使い方が変わる節目に合わせる

一度ルールを作っても、新しい機器を配る、外部とのデータのやり取りが増える、テレワークを始めるといった変化があれば、そのままでは合わなくなることがあります。SECTION 01で挙げた場面を見直しのきっかけとして決めておくと、ルールと実際の使い方のずれに気づきやすくなります。

確認した結果は、何を確かめて、何が足りなかったかを記録に残しておくと、次に見直すときの出発点になります。担当者が替わったときにも、どこまで確認が済んでいるかを引き継げます。

認証の取得を考えている場合

PマークやISMSの取得・運用を検討している会社では、こうした日々のルールも仕組みの一部として整えていくことになります。ただし、何が求められるかは制度や規格ごとに異なり、このチェックリストを満たせば認証が得られるというものではありません。ワークストラストでは、ISMSの取得・更新について、書類作成・教育・審査準備のご支援をご案内しています。

FAQ

よくある質問