総務省テレワークセキュリティガイドライン第 5 版と私物端末

総務省の「テレワークセキュリティガイドライン 第 5 版」(令和 3 年 5 月)は、対策を 3 つの立場に分けて書いています。経営者、システム・セキュリティ管理者、テレワーク勤務者です。アカウントと本人確認に関わる対策は「アカウント・認証管理」の分類にまとまっています。管理者には、多要素認証(パスワードに加えてもう 1 つの方法で本人を確かめること)の強制を求めます。異動や担当変更に合わせた不要なアカウントの削除と、ログイン後の記録の取得も管理者の対策です。勤務者には認証情報を無断で貸さないことを求めます。私物端末(個人所有端末、BYOD)は、テレワークの方式ごとに考慮事項が書かれ、可否は組織が決めます。

第 5 版の構成と読み方

対策は 13 の分類(A〜M)に分かれ、それぞれに「基本対策」と「発展対策」があります。アカウントに関わる分類は 4 つです。D 特権管理(管理者権限の保護)、H アカウント・認証管理、I アクセス制御・認可(必要最小限の人に限ること)、J インシデント対応・ログ管理です。個人事業主は 3 つの立場をすべて兼ねます。

管理者に求められる対策

アカウントと本人確認に関わる管理者の対策を抜き出し、番号と平易な言い換えで並べます。すべて基本対策です。

解説の章は、異動や担当者変更に際して「権限がなくなるべき者に権限が残ったままにならないよう運用する必要があります」と書いています。パスワードの定期的な変更は原則不要としています。例外は、第三者に知られたおそれがあるときや、共有アカウントなどで利用メンバーに変更があったときなどで、速やかに変更するよう求めています。共有アカウントに触れているのはこの 1 か所です。

勤務者に求められる対策

勤務者 H-1 の「無断貸与」は、会社の許可なく自分の認証情報を他の人に使わせることです。会社が決めて共有するアカウントは、管理者側の H-7 と、上の共有アカウントのパスワード変更の記述で扱われています。

私物端末はどう扱われるか

ガイドラインは 7 つのテレワーク方式を解説し、方式ごとに「BYOD 利用について」の項を置いています。端末は支給端末と個人所有端末の両方を想定しますが、VPN 方式・クラウドサービス方式・スタンドアロン方式は、メリットが大きい支給端末を想定した評価です。自社が使っている方式の項を読みます。

VPN・クラウドサービス・スタンドアロンの 3 方式

VPN(社内ネットワークにつなぐ)、クラウドサービス(インターネット上のサービスに直接つなぐ)、スタンドアロン(社内につながず端末内のデータで作業する)の 3 つでは、端末にデータを保存でき、対策ソフトの導入を強制できないため、十分な管理が取れないとしています。事故が起きうるリスクを受け入れられるかを評価したうえで、利用の可否を決めることになります。

リモートデスクトップ・仮想デスクトップの 2 方式

リモートデスクトップ(社内のパソコンを遠隔操作する)と仮想デスクトップ(サーバー上の画面を遠隔操作する)では、端末へのデータ保存を制限・禁止します。そのうえで、利用のルールを決め、端末に必要な対策があることを確認し、端末を管理します。

セキュアコンテナ・セキュアブラウザの 2 方式

セキュアコンテナ(端末内に業務専用の区画を作る)とセキュアブラウザ(専用のブラウザーで社内のシステムを使う)でも、利用のルールを決め、端末の対策を確認し、端末を管理します。セキュアブラウザについては、製品の仕様を確かめるよう書いています。

事例の章は、「個人所有端末の業務利用に当たってはセキュリティ対策をテレワーク勤務者任せにせず、組織として適切なセキュリティ対策を実施する必要があります」と書いています。

立場別に見た私物端末とアカウント

私物端末では、会社が端末の中を管理できないため、アカウントの側で守る部分が増えます。ガイドラインの対策を立場別に当てはめると、次のようになります。

経営者は、私物端末を認めるかどうかを、方式ごとのリスクを見て決めます。認めるなら方針を周知します。関わるのは A-1 と、方式ごとの「BYOD 利用について」の項です。

管理者は、私物端末から入るサービスに多要素認証を強制し(H-2)、私物端末の一覧を持ちます(B-1)。担当変更のときには不要なアカウントを消し(H-7)、ログイン後の記録を 1 年以上残します(J-5、J-6)。

勤務者は、認証情報を家族や同僚に貸さず、パスワードを使い回さないようにします(H-1〜H-3)。端末は会社の資産として扱います(B-1)。

誰が使ったかの記録と、担当変更時に不要なアカウントを消すことは、他の法令や指針でも同じ形で求められます。共通の点は法令・ガイドラインとアカウント管理にまとめています。私物端末のブラウザーにパスワードを保存する扱いは、ガイドラインにコラムがあります。会社としての判断はブラウザーのパスワード保存を業務で使ってよいかに整理しています。