ルールを明示する

　テレワークにおける“サボり”が疑われる状況の背景には、業務内容やIT利用ルールが明確に定義されていないケースがある。マネジャーが最初に取り組むべきは、不信感を強めることではなく、ガバナンスを明文化し、判断基準を共有することだ。

テレワークポリシーとAUPを策定する

　組織のIT資産やデータを「誰が、いつ、どこで、どのように利用してよいのか」を定義する「Acceptable Use Policy」（AUP：利用規約）はITガバナンスの基盤となる。AUPには、以下の要素を含めることが望ましい。

• アクセスの正当性
  • 業務目的に基づくシステム利用の範囲を明確にする。
• 資産管理の方針
  • 会社支給デバイスの取り扱いルールや、BYOD（私用端末の業務利用）の可否を定める。
• 定期的な見直し
  • 少なくとも年に1回はポリシーをレビューし、全従業員や契約社員から署名による同意を得る運用を徹底する。

　ポリシーを明文化し、全従業員がそれに同意している状態を整えることで、マネジャーは主観ではなく、ルールの順守状況に基づいて部下を正当に評価、指導できるようになる。

技術で活動を可視化する

　ガバナンスを実効性のあるものにするには、技術的な裏付けが欠かせない。ここでは、ログ管理とデバイス管理（MDM）を中心とした対策を提示する。

ログ管理で業務実態を把握する

　ネットワークやアプリケーションの利用ログを収集、分析することは、障害対応やセキュリティ対策だけでなく、業務環境を客観的に把握する有力な手段となる。

　例えば、Windows上のイベントログの監視や「syslog」などのログ管理ツールの利用を通じて、WANのトラフィック（ネットワークを流れるデータ）や、業務システムへのアクセス傾向を可視化できる。これは部下や同僚を取り締まるためではなく、万が一のトラブルや不正アクセスの疑いが生じた際に、「正しく業務が遂行されていた」ことを示す証跡として機能する。

MDMで業務環境を統制する

　テレワークで利用されるPCやスマートフォンに対し、モバイルデバイス管理（MDM）ポリシーを適用することは、現代のIT運用において不可欠である。具体的な設定内容は以下だ。

• パスワードポリシー
• 強力なパスワードの設定を強制する。
• フルディスク暗号化
  • 紛失や盗難時のデータ保護を目的として、全管理デバイスのハードディスクを暗号化する。
• パッチ管理
  • OSやアプリケーションのセキュリティパッチをリリースから30日以内に適用する。
• 多要素認証（2FA）
  • ユーザーの識別、認証を強化し、アカウントの乗っ取りを防止する。

　これらは直接的に勤怠を管理するものではないが、業務環境を逸脱した行為を技術的に制限でき、結果としてリスクの芽を摘む役割を果たす。

ガバナンス不在の状態を改善する

　IT部門やマネジャーが特に注意すべき部下の兆候として、企業が許可しているツールを使わず独自の手段で業務を進めるためにシャドーITやシャドーAI（生成AIツールの無断利用）を使っていることが挙げられる。この行動は怠慢や不正に起因する訳ではなく、業務の効率化を求めた結果である場合がある。しかし、組織が管理していないITツールやシステムが使われる状態は、リスクを生む。

シャドーAIがもたらす新たなリスク

　企業が許可していない生成AIツールやサービスに企業や個人の機密情報を入力すれば、意図せず情報漏えいを招く恐れがある。

　Windows 11に搭載されている「Windows Recall」（数秒ごとに画面のスクリーンショットを撮影し、その内容をAIで解析して情報の検索に役立てるツール）をはじめとしたツールの利用も注意が必要だ。画面の情報を定期的に自動記録するため、私物端末から業務システムにアクセスした場合、画面に表示されていた機密情報が私物端末に残り続けるリスクがある。

　そこでIT部門が取るべき対応は、むやみにツールの利用を禁止するのではなく、以下を実施することだ。

• 安全な代替手段の提供
  • 会社が許可した生成AIツールやサービスを利用できる環境を整備する。
• 利用ルールの明文化
  • ガイドラインを整備し、生成AIツールに入力可能な情報の範囲を定義する。
• 技術的な制御
  • 必要に応じて、グループポリシーオブジェクト（GPO：エンドユーザーやコンピュータに一括適用されるWindows OSの設定ルール）やレジストリを用いて、管理外の生成AI機能を組織的に無効化する。

プライバシー保護と管理の境界線を引く

　技術的な対策を強化するほど、従業員のプライバシーへの配慮が重要になる。過度な可視化は、モチベーションの低下や法的リスクを招く恐れもある。

　BYODを認めている企業では、位置情報や個人ファイルの扱いが問題になる場合がある。企業が従業員の私物端末内の個人情報を見えるようにすることは、プライバシーを侵害する可能性があるとして訴訟に発展することもある。

　私物端末のデータにアクセスする場合は、その目的が「個人を監視すること」ではなく、「企業のデータと業務継続性を守ること」にある点を明確に説明する。必要最小限のデータ収集にとどめ、運用の透明性を確保することが、信頼関係を維持する鍵となる。

技術に裏打ちされたマネジメントへ

　テレワークにおける部下の管理は、マネジャーにとって負担になりやすい。しかし、明確なITポリシーと、ログ管理やMDMといった技術的対策を組み合わせることで、曖昧な不安を、「ガバナンスの順守」という客観的な指標へ置き換えることができる。

　重要なのは、部下の動作を見ていない時間を疑うことではなく、見ていなくても安心できる環境を整えることだ。それが、真面目に働く従業員を守り、組織全体のセキュリティと公平性を高めることにつながる。