在宅のオペレーターにクライアントの管理画面を使わせるとき、決めることと確かめること

在宅のオペレーターが、自宅のパソコンからクライアントの SNS・広告・EC の管理画面に入るとします。運用代行会社が始める前に決めることは 4 つです。在宅で扱ってよいアカウント、使う端末、ログインの渡し方、端末に残してよいデータです。始めてから確かめ続けることは 2 つで、端末の状態と、誰がいつ入ったかを後で示せるかです。ログインの渡し方と付ける権限は、運用代行会社だけでは決められず、アカウントの持ち主であるクライアントと決めます。

自宅から管理画面に入る形はどの方式に当たるか

総務省は「中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)」第 3 版を出しています。テレワークを 8 つの方式に分け、方式ごとにチェックリストを付けた資料です。在宅のオペレーターが管理画面に入る形は、端末からインターネット上のサービスに直接つなぐ「クラウドサービス方式」に当たると読めます。会社支給のパソコンなら方式②、私物のパソコンなら方式⑥です。

手引きは法令ではなく、各項目に効果と実施のしやすさから見た優先度(◎・○)を付けています。もとになった「テレワークセキュリティガイドライン」第 5 版の方式は 7 つです。手引きは端末が会社支給か個人所有かで方式を分けるなど、分け方を変えています。ガイドラインの全体は、総務省テレワークセキュリティガイドライン第 5 版と私物端末にまとめています。

方式⑥のチェックリストには、VPN(会社のネットワークに外からつなぐ仕組み)を使う方式にある項目のうち 3 つがありません。そのうち記録に関わるのは、「オフィスネットワークに接続する際のアクセスログを収集する」(7-3)で、アクセスログは接続の記録のことです。在宅のオペレーターは会社のネットワークを通らずに管理画面へ入るので、会社のネットワークの側で入った記録を取る場面がありません。

始める前に決める 4 つのこと

在宅で扱ってよいアカウント

手引きは、テレワークで使うシステムと、扱う重要な情報を把握することを挙げています(1-2)。運用代行会社なら、クライアントと媒体ごとに、預かっているアカウントの一覧を作ります。アカウントごとに、個人のデータ(EC の受注情報、広告の顧客リスト、SNS の DM など)を扱うかを書き添えます。招待で入るか、共有の ID で入るかも書きます。

個人のデータを扱うアカウントは、在宅では扱わない、または閲覧だけにする、と線を引く決め方があります。在宅で扱うことをクライアントに伝えておくかどうかも、ここで決めます。

使う端末

手引きは、許可した端末だけをテレワークに使うよう周知し、端末と利用者を把握することを挙げています(1-1)。IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版も同じ趣旨です。使ってよい機器の申請と承認の方法を決めて周知するよう勧めています。

私物のパソコンを使わせる場合、問題になるのは家族との共用です。IPA の「テレワークを行う際のセキュリティ上の注意事項」は、テレワークで使うパソコンをできる限り他人と共有しないよう求めています。共有せざるを得ない場合は、業務用のユーザーアカウント(パソコンにログインする利用者の区分。Windows や Mac の「ユーザー」)を別に作るよう書いています。

ブラウザーに管理画面へのログインが残っていると、同じユーザーでそのブラウザーを開いた人は、クライアントのアカウントにそのまま入れます。業務用のユーザーにパスワードをかけて分けておけば、家族は自分のユーザーのブラウザーを使うので、ログインしたままの管理画面には触れません。端末そのものを会社が管理する方法は、私物端末(BYOD)で業務システムを使わせるときの選択肢で比べています。

ログインの渡し方

媒体に担当者を招待する仕組み(権限付与)があれば、オペレーターは自分のユーザーで入り、クライアントのパスワードは自宅のパソコンに入りません。共有の ID で入らせる場合は、パスワードを自宅のパソコンで入力させることになります。私物のパソコンは会社が管理していないので、ブラウザーに保存されたパスワードを会社の側で確かめることも消すこともできません。業務での保存の扱いはブラウザーのパスワード保存を業務で使ってよいかで整理しています。

手引きは、テレワークで使うシステムに多要素認証を求めるよう設定することを挙げています(9-4)。多要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめることです。管理者の権限は、業務に必要な最小限の人に限るとも書いています(10-1)。共有の ID の多要素認証と、招待で付ける権限の種類は、クライアントが決めます。運用代行会社は、管理者ではない権限で招待するよう頼めます。招待で入るオペレーター自身のユーザーには、運用代行会社の側で多要素認証を求められます。共有の ID の確認コードの受け方は、クライアントのアカウントの二段階認証を運用チームで受けるにはで扱っています。

端末に残してよいデータ

広告のレポートや EC の受注一覧は、管理画面からダウンロードできます。手引きは、端末には原則として重要な情報を置かないよう周知することを挙げています(8-4)。必要なときも、パスワードの設定やファイルの暗号化をしたうえで、一時的な保管だけを認める形です。

そこで、ダウンロードしてよいファイル、置き場所、消す時期を決めます。IPA の中小企業向けガイドラインも、私物の端末にダウンロードしてよいファイルの種類を決めて周知するよう勧めています。IPA の注意事項も、自宅で仕事をした後の業務ファイルの受け渡しと消し方を、所属先のルールに従うよう求めています。担当を外れる日に何を消すかまで決めておくと、確かめやすくなります。

始めてから確かめる 2 つのこと

端末の状態

方式⑥のチェックリストから、端末と家の回線の項目を抜き出します。

1. ウイルス対策ソフトを入れ、常に検査する設定にする(2-1)。感染したパソコンでは、管理画面に入力した内容が盗まれるおそれがあるためです。
2. サポートが終わった OS やアプリを使わず、最新の更新を入れる(5-1、5-2)。直されない弱点が残るためです。
3. 離れるときは画面をロックする(4-2)。手引きは、自宅では家族など業務と関係ない人が画面をのぞきやすいと書いています。
4. 家の Wi-Fi は「WPA2」か「WPA3」の方式にし、推測されにくいパスワードにする(6-2)。通信の盗み見を防ぐためです。

方式⑥では、これらの多くが「〜するよう周知する」と書かれています。会社が設定するのではなく本人に頼む形なので、始める日に本人と画面で確かめ、その後も時期を決めて確かめ直します。

誰がいつ入ったかを後で示せるか

管理画面に直接つなぐ形では、運用代行会社の手元に、オペレーターが入った記録が残りません。誤投稿や誤った設定のとき、クライアントに示せるのは媒体の履歴だけです。招待で入っていれば履歴は人ごとに残りますが、共有の ID では ID ごとにしか残らず、在宅の誰が操作したかを絞れません。追い方は誤投稿・誤設定のあとに原因を追える運用と追えない運用で扱っています。

チェックリストに 7-3 がなくても、記録が要らないわけではありません。ガイドライン第 5 版は、クラウドサービスにログインした後の記録を取ることを、管理者の基本対策に挙げています(J-5)。そこで、最初に作ったアカウントの一覧を見直し、共有の ID で入るアカウントを在宅で扱わせるかを決め直します。媒体の履歴を運用代行会社の側の誰が見られるかも、クライアントと確かめておきます。

手引きは、事故のときの対応手順と連絡先を決めて周知することも挙げています(7-1)。在宅のオペレーターが異変に気づいたとき誰に連絡し、運用代行会社がいつクライアントに伝えるかも、ここで決めておきます。