運用ルールの整備

　取りあえずPCの利用履歴を取得するだけでも、前述のようにさまざまなデータを蓄積できます。こうして集めた「元ネタ」を分析し、自社におけるテレワーク利用の実態を明らかにするのです。実態を整理することで、最適な独自ルールや仕組みをまとめられます。例えば以下のように運用ルールを作ります。

　こうしたまとめ方に限らず、「わが社のケーススタディー」の形式でまとめてみると、テレワーク利用における本質的な課題が見えてくる可能性もあります。業務そのものの改善に直結するケースもあるでしょう。

なぜ利用実態把握がセキュリティ強化につながるのか

　仕組みづくりの第一歩は「実態を把握すること」です。これらの取り組みがもたらす効果は、テレワークによる労務管理の強化だけではありません。必然的に情報セキュリティ対策の強化にもつながります。

　まず、自分の業務内容が履歴として残るため、業務内容を偽装することが難しくなります。万が一情報抜き取りや漏えいなどの問題や事故が起こったとしても原因を追究できる（トレーサビリティーを確保できる）ため、早期発見、早期解決につながります。そもそも人は、自分の仕事が管理者にきちんと見られていると思うと、変なことはできないものです。

　例えば前述の運用ルール例では、これらの項目がセキュリティ強化につながっています。

• 利用履歴を残すことの宣言、ならびに利用実態の把握によるトレーサビリティーの確保
• 管理者に業務を見られていることによる、マイナス行動の抑止効果
• 業務終了後、あるいは中抜け時間発生時にはPCを必ずシャットダウンすること
• 業務上不要なWebサイトへの閲覧を許可しないこと

人に対する取り組み――組織体制と教育

　「仕組みやルールに関する取り組み」と同時に「人に対する取り組み」を進め、取り組みそのものを定着させる必要があります。人に対する取り組みと定着化は「組織体制」と「教育」が重要です。

　組織体制を整えるには、

• テレワーク利用者がどのような管理体制で組織されているか
• 管理責任者は誰か
• セキュリティ問題など、万が一の問題が発生したときのエスカレーション体制はどうなっているか
• 管理責任者とのリアルなコミュニケーション体制や、管理責任者以外とのコミュニケーション体制はどのようになっているか

などを決める必要があります。この要素は、一般的な組織作りと同じですので、テレワークをするケースを想定して、会社の組織運営上のルールを見直すとよいでしょう。

　そして教育については、前述の内容をテレワーク該当者だけではなく、全従業員に周知徹底することから始めます。毎週のミーティングで伝達するのもよいでしょうし、朝礼の時間を使って伝えるのもよいでしょう。

　ルール定着のために重要なことは、「継続的に伝え続ける」「書面に残す」ことです。人は忘れるものである、という前提の下に、一度伝えたからといって終わりにするのではなく、何度も繰り返し、場面を変えて伝え続けることが重要です。そして書面に残すことで、会社のルールをいつでも確認しやすくなるため、運営側も利用者側も、双方が共通ルールとして認識できるようになります。

　もちろん、これらを従業員に伝え続けることは、会社全体の情報リテラシーや情報セキュリティ意識の向上にもつながります。テレワーク利用者はもちろん、全従業員が会社で求められているルールを認識することが、セキュリティ対策に有効となります。

那須慎二（なす・しんじ）　CVS代表取締役、CISO代表取締役

大手情報機器メーカーにてインフラ系システムエンジニア（SE）、大手経営コンサルティングファームにて経営コンサルティング、サイバーセキュリティコンサルティングを経て、現在、サイバーセキュリティ対策の専門会社CVS（Cyber Vision Service）およびCISO（Chief Information Security Officer）代表取締役。日本の中小企業がサイバー被害で大きなダメージを受ける状況を看過することができず「日本にセキュリティのバリアーを張る」をモットーに、中小企業向け情報セキュリティのマルチベンダー対応、ならびにコンサルティング活動を実施。難易度の高いサイバーセキュリティ技術を誰にでも分かりやすく伝えることに定評がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）