S&Jコンサルティング 代表取締役 三輪信雄氏

　もっとも、これまでの在宅勤務は緊急事態の一時的な回避策だった。「阪神・淡路大震災でも、2週間程度で仮設住宅が建設されて復旧フェーズに入った。鳥インフルエンザのときは、春を迎えるころには解消していた。しかし、今回は一連の出来事を見て分かる通り、数カ月で収束するものではない。これまでとはまったく違った、長期または恒久的な在宅勤務体制が必要となった」（三輪氏）

　もちろん、簡単に導入できない業務もあるだろう。だからといって、適していないからと従来のままで事業を運用するには、今回の長期節電はあまりにも厳し過ぎる。会社に出てくるのが会社員の務めと考えるような企業は、意識改革が求められている。

在宅勤務のセキュリティリスクは高い？

　だが、在宅勤務と聞いて、企業の反応はおおむね2つに分かれる。

　1つは、在宅勤務はセキュリティリスクが高いからダメと禁止する企業だ。セキュリティリスクとそれを制御するための対策、それでも出てしまう残留リスクを許容できないとき、このような反応に出る。ノートPC持ち出し禁止にしている企業が良い例だと三輪氏は言う。だからといって、業務目標や業績の設定は下がらない。結果、社員は“勝手クラウド”や“勝手リモートアクセス”で会社の外に業務システムを構築してしまう。

　「勝手クラウドで新たに作成されたデータは持ち出し禁止の対象ではないので、ポリシーに引っ掛からない。企業側も制御できない。制御できない場所での個人によるセキュリティ管理は、甘くなりがち。安易に付けたパスワードがクラックされ、情報流出するのも時間の問題だ」（三輪氏）

　もう1つは、形式だけ整えて満足してしまう企業だ。上司の押印のある届け出を出せばノートPCの持ち出しやUSBメモリによるデータ持ち出しを安易に許可してしまうケースだ。三輪氏は地震直後、USBメモリで業務データを持ち帰る許可が下りたから帰るといったツイートをTwitterで見たと言う。「緊急時だからしょうがない、データの扱いには気を付けろと言って終わらせているのかと不安になった」（三輪氏）

　緊急時にデータを持ち帰らせるなどの「例外処理」を、ポリシー策定せずに行ってしまうことほど怖いものはない。「自宅PCに入った業務データの半減期は半永久的だ。そのまま長期に渡って例外処理を乱発し、無防備なまま在宅勤務に突入した場合、情報漏えいが起こったときの迅速な事後処理は期待できない。“泣きっ面に蜂”ならぬ“震災に漏えい”だ」（三輪氏）

在宅勤務の導入のための検討事項

　では在宅勤務を導入する場合、企業はどのような点に注意し、熟慮すべきなのか。三輪氏は大きく5つ挙げた。

（1）IT部門、総務部、人事部などによる合同対策本部の設置

　在宅勤務の本格導入は、出張時のリモートアクセス製品を入れるのとは性質が違う。例えば、在宅では本当に仕事をしているかどうか管理するのが難しく、残業を申請された場合の扱いも、仕事していることを確認するすべがなければ判断できない。

　三輪氏によると、ある米国の在宅勤務の事例では、Webカメラで社員の在席状況を確認し、キーストロークやマウスクリックのログを取って機械的に管理していたという。「Webカメラ導入と聞いてプライバシーの侵害と感じる社員もいると思うが、仕事するためにある程度の努力をするのは当然のことだ。映ってほしくないものがあれば、カメラの向きなどを調整すればいい」（三輪氏）

　総務部と人事部の観点を取り入れた総合的な製品選定をするためにも、関係部門の合同対策本部を設置したい。

（2）潜在リスクの想定

　オフィス作業と自宅作業のリスクの違いを具体的に洗い出し、漏えいなどの潜在リスクはあるものと想定して検証する。対策製品を導入するのが対策と思わないことが重要だ。「機密書類を印刷・複製できないツールを入れても、画面に映ったファイルの写真を撮られたら終わりだ。何億円も掛けて対策製品を入れても、漏えいするときはする。それよりも、漏えいは起こるものと認識し、被害状況を素早く把握して防ぐための対策を考える」（三輪氏）

　その上で、在宅勤務で使用可能にする情報や対策をポリシーとして明確に記述する。「機密情報は特別気を付けて取り扱うこと、上司の許可を必ず得ることというのは、ポリシーではない」（三輪氏）

（3）リスク分析に基づき、製品選択をすること

　在宅勤務を支援するツールは、多く存在する（※各ツールについては次回詳しく紹介する）。

• SSL VPN
• 仮想デスクトップやシンクライアント
• Web会議やIP電話
• Web対応のグループウェア（ファイル共有や社内SNSなど）

　（2）でリスクが明確化し分析できていれば、おのずと適切な製品を選定できる。

（4）使い勝手、セキュリティレベル、コストのバランス

　震災で経営ダメージを被っており、いつまで続くか分からない状況で、在宅勤務に1億円掛けるのはあり得ない。どれかに偏ることなく、必要なセキュリティ対策と使い勝手、コストのバランスが取れていることも重要な検討事項だ。

（5）監査／監視の徹底と事故対応の訓練

　アクセスログの収集や管理、リポート作成など、オフィス以上に在宅時の監査・監視は徹底したい。そして、情報漏えい時にどのようなプロセスでログ情報が収集され、原因が突き止められるかを在宅勤務者と一緒に訓練する。「何をしてもバレるということを周知徹底し、危機感を持たせること。見られている・バレるということを知ってもらうことで抑制力になる」（三輪氏）

弾力性のある在宅勤務ソリューションを目指す

　以上の5つのポイントを押さえたら、後は走りながら状況の変化を見極め、在宅勤務体制を柔軟に進化させていくことになる。その走り方は、コンサルタントに相談すれば手順書として作成、提出してもらえるが、もらって満足するのは危険と三輪氏は指摘する。

　「手順書は過去の震災をモデルにシナリオ形式で作成される。そのシナリオから外れたことが起こると、想定外として処理できなくなってしまう」。手順書の作成を依頼しても、それをどう利用し、どう運用へつなげるか熟考する必要がある。

　考えることは、たくさんある。一層の節電が求められる6月は、2カ月先と迫っている（執筆時は4月中旬）。「タイムリミットがあるのはいいこと。ピンチを少しでもチャンスに結び付けたい」（三輪氏）