テレワークの普及により、社外から社内システムへアクセスする機会が大幅に増えました。一方で、自宅や外出先からのアクセスは、社内ネットワークに比べてセキュリティリスクが高まりやすい環境です。この記事では、テレワークにおけるセキュリティ対策のポイントを解説します。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
テレワークでリスクが高まる理由
- 自宅のWi-Fiルーターや公衆Wi-Fiなど、企業が管理していないネットワークを経由する
- 私物端末の業務利用（BYOD）により、会社が管理していないデバイスからアクセスする
- VPNやクラウドサービスへのログインが、ID・パスワードのみに依存しているケースが多い
これらの要因が重なるため、ID・パスワードが漏洩した際に不正アクセスにつながりやすい点で、社内アクセスより条件が厳しくなります。社内サーバーへの外部アクセスは便利な一方で、こうしたリモートアクセスのデメリット（リスク）もあわせ持つものとして、運用を決めておくと安心です。
テレワークで確認すべきセキュリティ対策
1. 多要素認証の導入
社外からのログインには、ID・パスワードに加えて多要素認証を必須にする方法があります。パスワードが漏れても、それだけではログインできない状態になります。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。
2. VPN・リモートアクセスの脆弱性対策
テレワーク環境の多くはVPNを経由して社内システムにアクセスします。VPN機器自体の脆弱性対策も欠かせません。詳しくは VPN脆弱性対策の解説記事で解説しています。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るまた、リモートデスクトップ（RDP）で社内PC・サーバーに接続している場合、VPNの先にあるOSログインの2要素認証まで保護できていないと、社外から直接ログインを試せる状態が残ります。詳しくは Windows/Windows Server OSログインの二要素認証(2FA)とは？で解説しています。
3. 私物端末（BYOD）のルールを明確にする
私物端末で業務システムにアクセスする場合、端末の紛失・盗難時の対応や、退職時のアカウント削除ルールを明確にしておく必要があります。会社が管理していない端末は、ID管理の観点からも見落とされがちなポイントです。
4. パスワードの使い回しをしない
自宅で複数のクラウドサービスに同じパスワードを使い回していると、どこか1つのサービスから漏洩したパスワードが、業務システムへの不正アクセスに悪用される恐れがあります。
ID管理の観点からも見直す
テレワークの普及によって、社外からアクセス可能なアカウントの数自体が増えています。共有アカウントの廃止や権限の最小化など、 ID管理・アカウント管理の基本もあわせて見直すことをおすすめします。
社外で使うPCは、管理者の目が届きにくくなります。全PC・サーバーの状態（オンラインかどうか・OS・更新漏れ）とログイン記録を1画面で見られれば、社外にあるPCも回収して1台ずつ確かめずに済み、紛失したスマホや退職者の登録もその場で外せます（アプリップリキー。インターネットにつながっているPCが対象）。さらに、社内のPC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにでき、リモートデスクトップでのログインも対象です（PC版・サーバー版）。
在宅勤務なら打刻とPCの記録のずれも確かめる
在宅勤務では、社員がPCをいつ使い始めたか、どこで働いていたかが会社から見えません。PCの起動と勤怠ツールの出勤ボタンのどちらを出勤にするかは会社によって違いますが、どちらの場合も、もう一方の記録と突き合わせることが大切です。手順は在宅勤務の打刻とPCの記録のずれを確かめる方法にまとめています。
PCの稼働時間とログイン記録が1か所に集まっていれば（アプリップリキー）、いつPCを使い始めて終えたかが分かり、働いた時間を会社と社員の両方が説明できます。打刻とのずれも、CSVで出して突き合わせるだけで確かめられます。在宅の社員から「PCが動かない」「入れない」と連絡が来たときも、そのPCがオンラインかどうかやログインの失敗を画面で確かめてから話せるので、電話でのやり取りが短くなります。
よくある質問
Q. テレワークはなぜ社内アクセスよりリスクが高いのですか？
A. 自宅のWi-Fiルーターや公衆Wi-Fiなど企業が管理していないネットワークを経由すること、私物端末（BYOD）の利用、VPN・クラウドサービスへのログインがID・パスワードのみに依存しているケースが多いことが重なり、ID・パスワードが漏洩した際に不正アクセスされるリスクが社内アクセスより高くなります。
Q. テレワークで先に手をつけるとしたら、どこからがよいですか？
A. 社外からのログインに多要素認証を必須にするところからが分かりやすいです。パスワードが漏れても、それだけではログインできない状態になります。あわせてVPN機器の脆弱性対策も欠かせません。
Q. 私物端末（BYOD）を業務利用する際に注意すべき点は何ですか？
A. 端末の紛失・盗難時の対応や、退職時のアカウント削除ルールを明確にしておく必要があります。会社が管理していない端末は、ID管理の観点からも見落とされがちなポイントです。
社外での作業中にパスワードの有効期限が切れると、社内に接続した時点で作業が止まります。事前の通知設定は パスワードの有効期限が切れる前に通知する設定で扱っています。
いまの運用を棚卸ししてみる
社外からのアクセスがID・パスワードのみに依存していないかは、現状の認証方式によって異なります。applippliの無料棚卸しでは、10問・約3分で、社外からのアクセスを含むID・パスワードの運用状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。