テレワークのセキュリティ対策｜侵入経路の実態と場所別のリスク、総務省ガイドライン第5版の要点

テレワークのセキュリティは、社員の注意力だけでは守れません。警察庁の令和7年の統計では、ランサムウェア被害の侵入経路を回答した92件のうち、VPN機器が61件、リモートデスクトップが19件で、テレワークにも使われるこの2つの経路が合わせて87%を占めました。この記事では、その実態を出発点に、作業場所ごとのリスク、総務省の「テレワークセキュリティガイドライン（第5版）」が示す7つの方式と私物端末の扱い、対策の優先順位、インシデント時の初動と報告期限、ポリシーを見直すきっかけを順に整理します。

まとめ：テレワークのセキュリティで先に手を打つ箇所

• ランサムウェアの侵入口は、メールより接続口です。警察庁の令和7年の集計では、有効回答92件のうちVPN機器61件・リモートデスクトップ19件に対し、不審メールやその添付ファイルは2件でした。VPN機器とリモートデスクトップの更新、多要素認証の強制を最初に固めます。
• 作業場所によって守る対象が変わります。自宅は無線LANルーターの暗号化方式（WPA2またはWPA3）と管理者パスワード、公衆Wi-Fiは偽アクセスポイント、ホテルは無線LANの乗っ取り、コワーキングスペースはのぞき見と紙資料の置き忘れが主な論点です。
• 総務省ガイドライン第5版（2021年5月31日公表）が現行の最新版で、テレワークを7方式に分けて対策を示しています。私物端末（BYOD）は、方式ごとの制約と残るリスクを評価して可否を決めます。リモートデスクトップ方式とVDI方式では私物端末へのデータ保存を制限・禁止する必要があるとしています。
• 感染が疑われたら、端末をネットワークから切り離し、電源は切らずにログを残します。個人データの漏えい等が報告対象に当たる場合、個人情報保護委員会への速報はおおむね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）です。
• セキュリティポリシーは、テレワーク方式やクラウドサービスを変えたとき、インシデントや訓練の後、利用機器の重大な脆弱性が公表されたときに見直します。ガイドラインはインシデント対応訓練と勤務者の自己点検を、どちらも年1回程度としています。

テレワークで変わるリスクの構造と、攻撃者が狙う侵入口

オフィスでは、ファイアウォールなどの境界の守りと、会社が管理するPCのセキュリティソフトが前提になっています。総務省ガイドライン第5版は、テレワークで自宅のPCや私物のスマートフォンを使う場合、そうした対策が「そのままでは機能しません」と書いています。情報資産はオフィスの外へ持ち出され、マルウェア感染、端末の紛失・盗難、通信の窃取やのぞき見にさらされやすくなります。同ガイドラインは脆弱性の具体例として、電車の網棚に置いた端末入りバッグの失念、カフェで端末を放置しての長時間の離席、無線LANの設定不備、アップデート未実施などを挙げています。

ランサムウェアの侵入経路：VPN機器とリモートデスクトップで87%

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年（2025年）に報告された企業・団体等のランサムウェア被害は226件でした。被害組織へのアンケートで感染経路の有効回答92件を見ると、内訳は次のとおりです。

出典は同資料の統計編124頁です。令和3〜6年の件数は年の古い順に並べており、有効回答数は年ごとに異なります（令和3年は76件、令和7年は92件）。令和7年の割合の合計が100%にならないのは四捨五入のためです。本編は、攻撃者が「未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等」を悪用して侵入すると説明し、被害企業の約6割が中小企業、復旧に総額1,000万円以上を要した組織が5割を超えたとしています。テレワーク対策を「社員へのメール注意喚起」だけで済ませると、主な侵入経路が手当てされないまま残ります。リモートデスクトップを外部に公開する構成の注意点はリモートデスクトップとは？仕組み・VPN/VDIとの違いと設定手順・企業導入の判断【2026年版】で扱っています。

IPA「情報セキュリティ10大脅威」での順位の推移

IPAの「情報セキュリティ10大脅威」組織編では、テレワーク関連の脅威が2021年に初めて選ばれ、2026年まで6年連続で入っています。2021年3位、2022年4位、2023年5位、2024年9位と順位を下げ、2025年に名称を「リモートワーク等の環境や仕組みを狙った攻撃」に変えて6位、2026年は8位でした。順位の低下は、侵入口としての重要度が下がったことを意味しません。警察庁の数字では、VPN機器からの侵入は令和3年の41件（有効回答76件中）から令和7年の61件（同92件中）へ増え、割合も54%から66%へ上がっています。順位は他の脅威との相対位置の変化として読むのが妥当です。10大脅威全体の読み方は情報セキュリティ10大脅威2026とは？組織編の順位変動とIPAの読み方・企業の対策優先度を解説にまとめています。

自宅・公衆Wi-Fi・ホテル・コワーキングスペースの場所別リスク

同じ端末でも、作業する場所によって主な脅威が変わります。総務省ガイドライン第5版の記述を場所ごとに並べると、次のようになります。

自宅：無線LANルーターと家族の存在

自宅のルーターは会社の管理外の機器です。ガイドラインは、無線LANのセキュリティ方式に「WPA2」または「WPA3」を使い、暗号化のパスフレーズと、設定画面に入るための管理者パスワードを第三者に推測されにくいものにするよう、管理者から勤務者へ周知することを求めています（管理者G-3）。勤務者が所有するルーターのファームウェアを最新にするよう周知することも基本対策です（管理者C-4）。家族については「不注意により意図せず情報漏えい等が起きる可能性がある」と明記され（勤務者K-1）、オンライン会議の音漏れにも注意を促しています（勤務者K-2）。

公衆Wi-Fi・ホテル：偽アクセスポイントと通信の保護

ガイドラインは、公衆無線LANの多くは利用者の側から正規のものか確認するのが難しく、正規のアクセスポイントを装う「偽アクセスポイント」「APフィッシング」で通信を傍受され、認証情報を盗まれるおそれがあるとしています。ホテルの無線LANを乗っ取って宿泊者の情報を盗む「Darkhotel」も例に挙げています。対策は、公衆無線LANを使うなら相互認証されたサービスや、TLS・IPsecで暗号化された通信だけにとどめることです。社内ルールでは、公衆Wi-Fiから社内システムへつなぐときは会社が指定した暗号化経路（VPNやZTNAなど）だけを使う、と決めておきます。ガイドラインの勤務者G-3は、クラウドサービスを使う前に接続先のURLが正しいこと（偽サイトでないこと）を確かめるよう求めています。

コワーキングスペース：紙資料の置き忘れとのぞき見対策

ガイドラインのコラムには、コワーキングスペース等で紙資料を使う場合、カフェより「オフィスに近い環境のため、つい気が緩んで紙資料を置き忘れる例があります」という注意書きがあります。画面ののぞき見（ショルダーハッキング）には、画面の自動ロックとプライバシーフィルターで備えます（勤務者K-1）。コワーキングスペースの選び方や料金はコワーキングスペースとは？意味・料金相場・シェアオフィスとの違いをわかりやすく解説で紹介しています。

総務省テレワークセキュリティガイドライン第5版の7方式と私物端末の扱い

テレワークセキュリティガイドラインは2004年12月の初版から改定を重ね、第4版（2018年4月）を全面改定した第5版が2021年5月31日に公表されました。総務省のテレワークにおけるセキュリティ確保のページでは、2026年10月時点でもこれが最新版として掲載されています。検索結果の上位に出る総務省のPDF（main_content/000532483.pdf）は、表紙に「第３版第４版（案）」とある第4版の改定案の資料なので、方式の名称や対策項目は第5版で確認してください。第5版は役割を「経営者」「システム・セキュリティ管理者」「テレワーク勤務者」に分け、テレワークの仕組みを7つの方式に整理しています。

VPN方式・クラウドサービス方式・スタンドアロン方式について、ガイドラインは、私物端末ではデータの保存ができてしまい、マルウェア対策ソフトのインストールも強制できないため「十分なセキュリティ統制が取れません」と書き、リスクが受容可能かを評価したうえでBYODの可否を決めるよう求めています。私物端末を認めるかどうかは、社員の希望ではなく、採用する方式の制約、端末の管理条件、扱う情報の機密性を踏まえて会社がリスクを判断して決めます。所有形態ごとの管理範囲はBYODとは？企業導入のメリット・デメリットとCYOD・COPEとの違い、私物端末の管理範囲と費用負担、許可を得ずに私物やサービスを使う問題はシャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策で詳しく扱っています。

中小企業向けには、総務省が「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」第3版（2022年5月）を出しています。会社支給端末か個人所有端末かと接続方式の組み合わせで8つの方式に分け、自社の方式を特定する第1部と、方式別のチェックリストの第2部で構成されています。ガイドライン本体の110頁を読む前に、手引きで自社の方式を特定すると作業量が減ります。

VPN・ゼロトラスト・EDRの選び方と導入の優先順位

製品の比較より先に、今ある接続口を固めます。警察庁は、攻撃者が未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備を悪用して侵入すると説明しています。メーカーのサポートが終わった機器は修正パッチ自体が出ないため、更新状況と合わせてサポート期限も確認します。

VPNを使い続ける場合に外せない3点

ガイドラインは、VPN機器やリモートデスクトップのアプリケーションに最新のアップデートやパッチを定期的に適用すること（管理者C-2）、社内システムやクラウドサービスへのアクセスでは可能な限り多要素認証を強制すること（管理者H-2）を基本対策にしています。これに、インターネットへ直接公開しているリモートデスクトップの棚卸しを加えた3点が最低限です。VPN機器のベンダーが脆弱性を公表したときに、誰が何日以内にパッチを当てるかを決めていない会社は、EDRを入れる前にそこを決めてください。多要素認証の方式の違いは二段階認証とは？二要素認証・多要素認証との違いと企業の導入判断を解説で比較しています。

ゼロトラストへの移行が向く会社、向かない会社

ガイドライン第5版は、境界型の守りだけでは標的型攻撃や、テレワーク端末から直接インターネットへ出るローカルブレイクアウトに対応しにくいとして、最小権限の原則と動的なアクセス権制御を重視しています。ここで分けて考えるべきなのは、SaaSへのアクセスと、社内に置いた非公開の業務アプリへのアクセスです。Microsoft 365などのSaaSは、IDの認証と条件付きのアクセス制御で守ります。ZTNAが置き換えるのは後者、つまり非公開アプリへの接続に使っているVPNです。業務の多くがSaaSに移り、VPN経由で使う社内アプリが少数に絞られている会社なら、その少数をZTNAへ移してVPN装置を減らす価値があります。一方、社内サーバ上の業務システムが中心で、移行作業と既存環境の保守を並行できない体制の会社では、移行プロジェクトに手を取られて既存VPNの更新が止まる方が危険です。その場合はVPNの運用（パッチ・多要素認証・ログ）を整えるのが先です。製品選定の観点はゼロトラストネットワーク（ZTNA）とは？VPNとの違いと製品選定・導入判断を解説、考え方の全体像はゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説を参照してください。

端末側の対策：暗号化・遠隔消去・EDR

端末を持ち出す以上、紛失は起こる前提で考えます。ガイドラインは、端末にデータを保存する場合はHDDやSSDを記録媒体レベルで暗号化すること（勤務者E-3）、紛失時に遠隔でデータを初期化できる機能を有効にすること（管理者E-9）を求めています。暗号化は法的な意味も持ちます。個人情報保護法施行規則第7条は、報告対象から「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」を除いており、個人情報保護委員会のQ&A（Q6-19）は、除外に当たるには第三者が読み取れない水準の暗号化に加え、復号鍵を分けて管理する、遠隔で削除できる、などの方法で復号の手段が適切に管理されていることが必要としています。この条件を満たしていれば、紛失時に報告が不要になる場合があります。MDMで遠隔ロックや設定の強制をする仕組みはMDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】で解説しています。EDRは侵入後の検知と調査の道具で、入口の更新を代わりに担うものではありません。

中小企業が最初に整える対策の順番

予算と人手が限られる場合の優先順位の目安です。1〜4は侵入口と端末の対策なので、この順で進めます。5のバックアップと6の連絡体制は役割が異なるため、1〜4と並行して整えます。

1. テレワークで使っている端末、VPN機器やルーターの機種とファームウェアの版、外部に公開しているリモートデスクトップを一覧にする
2. VPN機器・リモートデスクトップの更新を済ませ、パッチ適用の担当者と期限を決める
3. VPNとクラウドサービスのログインに多要素認証を強制する
4. 端末のディスク暗号化、画面の自動ロック、OSの自動更新を設定する
5. ネットワークから切り離した場所にもバックアップを置く
6. インシデント時の連絡先（電話番号を含む）と手順を勤務者に配る
7. 年1回程度、勤務者が自分の対策を点検する機会を設ける（管理者M-3）

テレワークに限らない社内全体の対策は、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版とは｜3.1版からの変更点・6か条・4つのSTEPが手順として使えます。

テレワーク規程と社員教育で決めておくこと

ガイドラインは、テレワークで業務システムや連絡体制が変わると従来のセキュリティポリシーの前提が崩れるとして、経営者に見直し（未策定なら策定）を指示し、見直した内容を勤務者に周知するよう求めています。規程には少なくとも、作業してよい場所、公衆Wi-Fiを使うときの条件、私物端末の可否と方式、紙資料と印刷の扱い、USBメモリなど外部記録媒体の可否（勤務者E-2）、報告の窓口を書きます。労働時間や通信費の負担など労務面の決め方はテレワークの労務管理とは？就業規則・労働時間・費用負担の決め方【2026年】にまとめています。

教育では、何を報告の対象にするかと連絡先を具体的に伝えます。ガイドラインは勤務者に、端末の挙動が不審なだけでインシデントか分からない場合も速やかに報告するよう求め、管理者には、勤務者がインシデントを単なる不具合と受け取る場合があることに留意するよう書いています（管理者J-1、勤務者J-2）。標的型攻撃メールの訓練は、ランサムウェアの侵入口としては件数が少なくても、VPNの認証情報を盗む手口への備えとして意味があります。手口と見分け方は標的型攻撃とは？手口の種類と標的型攻撃メールの見分け方・多層防御による対策を解説を参照してください。

インシデント発生時の初動と報告期限

テレワーク中の感染は、管理者がその場で端末を確認できません。警察庁は、ランサムウェア被害に遭ったら感染端末等をネットワークから隔離し、被害拡大を防ぐよう勧めています。そのうえで、慌てて電源を切ると侵入の痕跡であるログが失われ、フォレンジック調査が難しくなるおそれがあると注意しています。勤務者には「LANケーブルを抜く、Wi-Fiを切る、電源は切らない、電話で報告する」の順を事前に伝えておきます。ガイドラインは、VPN装置やVDI機器へのアクセスログ、認証ログ、端末の操作ログを取得・保存しておくことを基本対策にしています（管理者J-5）。調査の流れと費用はフォレンジック調査とは？流れ・費用・調査項目と依頼先の選び方、報告期限まで解説で解説しています。

個人データの漏えい等が起きた場合、個人情報取扱事業者は次の4類型のいずれかに当たれば、原則として個人情報保護委員会への報告と本人への通知が義務になります（個人情報保護法第26条、施行規則第7条）。委託先が委託元に通知した場合の委託先の報告義務の免除や、本人への通知が困難な場合の代替措置といった例外があります。

• 要配慮個人情報が含まれる個人データの漏えい等
• 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（取得しようとしている個人情報で、個人データとして扱う予定のものを含む）
• 本人の数が1,000人を超える個人データの漏えい等

いずれも「発生したおそれがある事態」を含みます。個人情報保護委員会の案内では、速報は事態を知ってからおおむね3〜5日以内、確報は30日以内で、不正の目的によるおそれがある類型は60日以内です。ランサムウェアによる暗号化や窃取は3番目の類型に当たる可能性が高いため、確報の準備期間は長くても、速報は早く出す必要があります。報告書の書き方は個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務にまとめています。

テレワーク用セキュリティポリシーの見直し基準

ガイドラインは、セキュリティリスクは常に変化しているとして、情報セキュリティ関連規程と対策を継続的に見直し、PDCAサイクルが回る仕組みにするよう経営者に求めています。ただし見直しの周期を数値では定めていません。「年1回の定期見直し」だけでは、方式を変えた直後や脆弱性が公表された直後の空白が残ります。次のいずれかが起きたら、定期を待たずに見直します。

• テレワーク方式を追加・変更したとき（VPNからクラウドサービス方式への移行、私物端末の解禁など）
• 新しいクラウドサービスを導入したとき、規程に明文化されていない使い方について勤務者から問い合わせがあったとき（対応方針の検討は管理者A-2）
• インシデントが起きたとき、またはインシデント対応訓練（年1回程度・管理者J-4）を終えたとき
• 使っているVPN機器やリモートデスクトップ製品に重大な脆弱性が公表されたとき
• 総務省ガイドラインや個人情報保護法の規則が改定されたとき

見直しでは、規程の文面より先に実態を点検します。規程が許していない私物端末やサービスが使われていないか、VPNの未使用アカウントや退職者のアカウントが残っていないか、ログが実際に保存されているかを確認します。ISMSを運用している会社は、テレワークの見直しをISMSのマネジメントレビューに組み込むと二重管理を避けられます。進め方はISMSのPDCAサイクルを回す方法｜各段階の作業と形骸化させない運用設計【2022年版】を参照してください。

よくある質問

テレワークのセキュリティリスクにはどのようなものがありますか？

総務省ガイドライン第5版は、マルウェア感染、インターネット経由の攻撃、端末や記録媒体の紛失・盗難、通信内容の窃取やのぞき見を挙げています。ランサムウェアの感染経路に限ると、警察庁の令和7年の集計では有効回答92件のうちVPN機器とリモートデスクトップが計80件（約87%）でした。

公衆Wi-Fiでテレワークをしてもよいですか？

禁止まではしなくても、条件を付けるべきです。ガイドラインは、公衆無線LANは正規のものか確認しにくく、偽アクセスポイントで通信を傍受されるおそれがあるとして、相互認証されたサービスや、TLS・IPsecで暗号化された通信だけにとどめるよう求めています。社内システムへは会社が指定したVPNやZTNAなどの暗号化経路で接続し、機密性の高い作業は公衆Wi-Fiで行わないルールが現実的です。

テレワークで使うスマートフォンのテザリングは安全ですか？

接続先が自分のスマートフォンだと確認できていれば、不特定の公衆Wi-Fiを使わずに通信できる点で公衆Wi-Fiより管理しやすい方法です。テザリングにはWi-Fi・USB・Bluetoothによる接続があり、Wi-Fiで接続する場合は自宅のルーターと同様にWPA2またはWPA3と推測されにくいパスワードを設定します。社内システムへは、テザリングでも会社が指定した暗号化経路で接続します。私物のスマートフォンを使うかどうかは、通信費の負担も含めて規程で決めておきます。

総務省のテレワークセキュリティガイドラインの最新版はどれですか？

2021年5月31日に公表された第5版が、2026年10月時点の最新版です。中小企業向けの「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」は、2022年5月の第3版が最新です。検索で上位に出るPDFには第4版の資料も混じっているため、表紙の版数を確認してください。

私物のPCでテレワークをしてもよいですか？

テレワーク方式によります。リモートデスクトップ方式やVDI方式のように端末にデータを残さない方式なら、データ保存の制限・禁止とBYOD利用のルールを決めたうえで認められます。VPN方式やクラウドサービス方式では、私物端末にデータが残り、マルウェア対策ソフトも強制できないため、リスクが受容できるかを評価してから可否を決めます。

関連記事

• VPNとは？仕組み・種類・メリットとデメリット、企業導入の判断基準を解説
• ゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説
• BYODとは？企業導入のメリット・デメリットとCYOD・COPEとの違い、私物端末の管理範囲と費用負担
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• 情報セキュリティ10大脅威2026とは？組織編の順位変動とIPAの読み方・企業の対策優先度を解説