PC持ち出しのセキュリティ完全ガイド！　リスクから申請書作成まで解説

盗難や紛失による情報漏洩リスク

PCの盗難や紛失は、社外への持ち出し時に発生する情報漏洩のリスクの代表的な例です。例えば、電車にPCを入れたバッグを置き忘れたり、社用車の中にPCを放置したままにして車上荒らしに遭ったりといった事例が想定されます。

このような状況でPC内のデータが暗号化されていなければ、第三者によって機密情報が簡単に閲覧される恐れがあります。特に社内の機密資料や顧客情報などが含まれている場合、情報漏洩による企業の信頼失墜や損害賠償リスクは深刻です。

また、持ち出す頻度が増えるほど盗難・紛失のリスクも高まるため、PCの持ち出し管理を徹底することが重要です。さらに、万が一紛失した際には、リモートでPCをロックしたり、内部データを消去したりできる体制を整えておくことで、被害の拡大を防止できます。

ヒューマンエラーによる情報漏洩リスク

PCを社外に持ち出して業務を行う際、従業員のミスにより情報漏洩が発生しやすくなる傾向があります。ミスによる情報漏洩とは、例えば送信するメールの宛先を間違えてしまったり、ファイルのアクセス権限の設定を誤って関係者以外でも機密情報が閲覧できるようになってしまったりするようなケースです。

特に自宅やカフェ、コワーキングスペースなど、社内よりも集中力が散漫になる環境では、ミスが発生しやすくなりがちです。こうしたヒューマンエラーは一見小さなミスでも、情報漏洩につながれば重大な問題に発展する可能性があります。

対策としては、適正な手順の業務マニュアルの整備や定期的な従業員教育が有効です。また、注意喚起を日常的に行うことで、従業員のセキュリティリスクを高め、ミスの予防につなげることができます。

ショルダーハックによる情報漏洩リスク

業務用のPCを持ち出す場合、ショルダーハックによる情報漏洩リスクにも注意しなければなりません。ショルダーハックとは、PCの画面を背後や横から盗み見られることで、機密情報が漏洩してしまうリスクのことです。

ショルダーハックは、単に隣の席などからのぞかれるだけでなく、望遠カメラやスマートフォンのズーム機能を使って遠距離から撮影されるケースもあります。したがって、PCを使用する場所の選定だけでなく、画面に表示する情報の管理も重要です。

ショルダーハックへの対策としては、のぞき見防止フィルターの装着が効果的で、一定以上の角度から画面をのぞいた際に表示された内容が見えなくすることで、第三者からの盗み見を防ぐことができます。併せて、公共の場で機密性の高いデータをPC画面に表示しないといった運用ルールの整備も必要です。

公衆Wi-Fi利用時のウイルス感染リスク

外出先でPCを使用する際、公衆Wi-Fiの利用は利便性が高い反面、セキュリティリスクを伴います。仮に、セキュリティが不十分なネットワークを利用したり、偽装アクセスポイントへ接続してしまったりすると、通信内容の傍受やマルウェアへの感染などが発生しかねません。

一度マルウェアに感染すると、PC内部の情報の外部送信や、業務システムの停止といった深刻な被害を引き起こす可能性もあります。

こういったリスクへの対策としては、通信を暗号化することで第三者による通信傍受を防止するVPN（Virtual Private Network：仮想プライベートネットワーク）などのサービスの活用が有効です。また、信頼できるWi-Fi以外には接続しないなどの運用ルールを設けるほか、セキュリティソフトを常に最新の状態に保つことも重要です。

悪意ある従業員による不正行為リスク

社外にPCの持ち出しが可能な場合、悪意のある従業員が情報漏洩を発生させるリスクも増大します。社外での業務は、オフィス内に比べて監視の目が届きにくく、悪意ある従業員による不正行為が発生しやすい環境です。そのため、貸与されたPCを使って社内システムに不正アクセスしたり、機密情報をUSBメモリにコピーして持ち出したりすることも難しくありません。

内部不正は、外部からの攻撃と違って発見や予防が難しいという特徴があります。そのため、PCの持ち出しを認める際には、「誰が」「いつ」「どの端末を」「どこで」利用するかを明確にし、厳格に管理する体制が不可欠です。

具体的な対策としては、アクセス権限を最小限に設定し、業務に必要な範囲のみに限定することが必要です。また、ログの監視を行うことで、不審な操作を早期に検知する仕組みを整えられます。加えて、社内ルールの明文化と従業員へのセキュリティリスクを通じて、情報管理に対する意識を高めることが、不正行為の抑止につながります。

自宅でのPC盗難

PC持ち出しによる情報漏洩リスクは、外出先だけでなく、在宅勤務中の自宅においても発生する可能性があります。実際に発生した事例として、従業員宅に侵入した窃盗犯により業務用PCが盗まれる事件がありました。

このケースでは、PCに5,000件以上の顧客の個人情報が保存されていましたが、個人情報へのアクセスには3段階のパスワード認証が設定されていたため、第三者による情報の漏洩は確認されていません。

この事例から得られる教訓は、多層的なセキュリティ対策の有効性です。複数の認証設定を組み合わせることで、万が一の盗難・紛失の際にも情報漏洩を防ぐことができた事例といえます。

退職者による不正アクセスと情報持ち出し事例

社外に持ち出されたPCが、退職する従業員によって悪用されたケースもあります。航空会社の元従業員が、退職直前に貸与されていたPCから社内サーバーに不正アクセスし、機密情報を外部に持ち出した事件が報道されました。

この事例で発生したのは、元従業員が社内ネットワークへのアクセス権限を悪用し、機密情報である保安対策の関連データを私用のUSBメモリにコピーしたという内部不正です。退職直後にPCの返却を受けた企業がPCを調べたところ、データの持ち出しが判明し、警察に相談する事態となりました。

迅速に対応した結果、第三者への機密情報の漏洩は防止できています。なお、元従業員は不正競争防止法違反の容疑で書類送検されました。

ここから得られる教訓は、監査体制の強化の必要性です。PCの返却時に、情報漏洩に関する調査を確実に実施したことで、退職後の機密情報の不正利用を未然に防げました。特に、機密情報を扱う部署や役職にあった従業員の退職時には、厳格な対応が不可欠です。

申請書に必須の記載項目

PC持ち出し許可申請書には、最低限以下の4つの項目を記載することが求められます。

PC持ち出し許可申請書の記載項目

• 持ち出しPCの用途：業務上どのような目的で利用するのかを明確化
• 持ち出し期間（開始日・返還予定日）：利用スケジュールを管理し、長期無断利用を防止
• 端末の名称：シリアル番号や管理番号を含めることで特定を容易にするために必要
• 利用場所：社外での利用環境を把握し、リスク評価を行うために必要

これらの情報が揃うことで、管理責任者は持ち出しの妥当性を判断し、スケジュールや利用状況を適切に管理できます。さらに、返還時に「返還者」「申し送り事項」などの確認項目を設けておくと、後日のトラブル防止にもつながるため効果的です。

申請書運用時の注意点と管理体制

PC持ち出し許可申請書は、単に作成するだけでなく、適切に管理・運用しなければなりません。申請書の運用が徹底されていなければ、インシデントや不正が発生した際に原因究明が困難になり、迅速な対応ができなくなる恐れがあります。

適切な管理・運用のためには、最初に管理責任者を明確に任命し、申請書の保管場所や管理ルールを全従業員で共有しておくことが基本です。併せて、定期的に注意喚起を行うことで、運用の形骸化を防ぐことができます。

承認プロセスについては、1人だけの判断に依存せず、ダブルチェック制を導入するのが望ましい方法です。複数人で確認することで、記載漏れや不適切な申請を見落とすリスクを最小化できます。

データ暗号化とパスワード設定

PCを社外に持ち出す際、万が一盗難や紛失が発生しても、データが暗号化されていれば第三者が内容を閲覧するのは困難になります。Windowsの「BitLocker」などの暗号化機能を利用することで、PC内のデータを保護することが可能です。

併せて、ログイン時のパスワード設定も重要です。短く単純なパスワードは容易に推測されるため、英数字・記号を組み合わせた複雑で長いパスワードを設定することが推奨されます。また、パスワードの定期変更や二段階認証の導入も有効です。

さらに、暗号化やパスワード設定を確実に運用するためには、IT資産管理ツールなどを活用して一元管理するのが効果的です。暗号化の回復キーの管理を含め、組織全体でセキュリティを統制することで、持ち出しPCに関するリスクを最小限に抑えることができます。

併せて読みたい

• HDD（ハードディスク）暗号化とは？　種類や方法、注意点を解説
• BitLockerとは？　設定方法や注意点、管理方法を解説

MDMツールの導入と活用

MDM（Mobile Device Manegement：モバイルデバイス管理）ツールは、社外に持ち出された全端末を一元的に管理できる仕組みです。製品によっては、スマートフォンやタブレットだけでなくPCも含めたセキュリティ設定の全体的な管理、ソフトウェア更新の自動配信、利用状況の把握が可能で、組織全体でモバイル端末利用時の安全性を高めることができます。

PCの紛失・盗難時にも、リモートロックやリモートワイプを実行すれば、情報漏洩のリスクを低減できます。また、位置情報を取得できる機能を備えているツールもあり、紛失したPCの捜索に有効です。

ただし、MDMを導入するだけでは十分ではありません。運用ルールの整備や従業員への教育を並行して行う必要があるでしょう。

併せて読みたい

• モバイルデバイス管理とは？　管理のメリットと導入のポイントを解説

安全なWi-Fi接続環境の確保

持ち出したPCからインターネットに接続する場合、安全なWi-Fi接続環境の確保が欠かせません。

公衆Wi-Fiの利用は通信の傍受やマルウェア感染のリスクがあるため、信頼できるWi-Fiスポット以外には接続しない運用ルールを設けることも重要です。どうしても公衆Wi-Fiへのアクセスが必要になる場合は、通信内容を暗号化するVPNを活用しましょう。

また、ネットワークの出入口のセキュリティ対策を総合的に管理するUTM（Unified Threat Management：統合脅威管理）や、社外へのアクセスを安全に保つSWG（Secure Web Gateway）といったセキュリティサービスを活用すれば、通信の安全性を高めることができます。

企業としては、従業員に対して「社外でどのようなネットワークを使うべきか」を明確に示し、周知徹底することが必要です。適切なWi-Fi利用ルールとセキュリティ技術の導入によって、社外業務における情報漏洩リスクを低減できます。

併せて読みたい

• UTMとは？　ファイアウォールとの違いやメリット・デメリットを解説

クラウドサービス・仮想デスクトップの活用

PCを社外に持ち出す際、端末そのものに重要なデータを保存しないことが情報漏洩リスクを下げるポイントとなります。そのために有効な手段が、クラウドサービスや仮想デスクトップの活用です。

仮想デスクトップ環境では、業務データはサーバー上に保存され、PC本体には残りません。また、クラウドストレージを利用することで、PC本体にデータを保存しない運用が可能になるケースもあります。

ただし、仮想デスクトップやクラウドサービスの導入にはコストや運用負荷が伴うため、企業の規模や業務内容に合わせて段階的に導入を検討することが重要です。

ゼロトラストの適用

社内外のすべてのアクセスを厳格に検証するゼロトラストの考え方を導入することも、PCの持ち出しを認める際の効果的なセキュリティ対策となります。

従来のセキュリティ対策は「社内ネットワークは安全」という前提に基づいていましたが、社外にPCを持ち出す場合、この前提は成り立ちません。そのため、「何も信頼しない」を原則とし、社内の端末同士の通信であっても厳格な認証を要求するゼロトラストの仕組みがセキュリティ対策には有効です。

ゼロトラストを前提としたセキュリティでは、多要素認証を導入し、ユーザーが本人であることを確認します。また、従業員ごとにアクセス権限を最小限に設定し、必要なリソースにのみアクセスを許可して、社内外を問わず不正なアクセスがないかを監視します。

ゼロトラストを適用することで、外部からの攻撃だけでなく内部不正のリスクも包括的に低減することが可能です。

持ち出しルールの策定と周知徹底

PC持ち出しを安全に行うためには、明確なルールを策定し、それを従業員に徹底させることが不可欠です。ルールが曖昧なままでは、従業員ごとに対応が変わり、社内のセキュリティ水準にばらつきが生じます。

導入すべき具体的なルールとしては、ログインパスワードの複雑化や自動スクリーンセーバーの設定、HDD暗号化の義務化、ウイルス対策ソフトの導入といった内容が考えられます。

また、ルールを定めるだけではなく、従業員への周知と浸透も重要です。加えて、違反時の罰則規定を設けておくことで、ルールの実効性を担保できます。一度設定したルールは定期的に見直し、最新の状況に合わせて修正することも忘れないようにしましょう。

管理責任者の任命と持ち出し管理体制

PC持ち出しの安全性を高めるには、責任の所在を明確にし、統制のとれた管理体制を構築することが重要です。申請の受付から承認、申請書の管理、事故発生時の対応までを一貫して担う管理責任者を任命しましょう。

管理責任者は、持ち出し状況を定期的に監査し、不適切な利用や記録の不備を早期に発見・改善する役割を持ちます。また、持ち出しのルールや申請プロセスの改善提案を行うことで、管理体制の質を継続的に高めることも期待されます。

教育・研修の実施

PCの持ち出しに関するルールやセキュリティ対策は、従業員一人ひとりが正しく理解して実践できなければならないため、定期的な従業員への教育・研修の実施も重要です。

PC持ち出しに伴う代表的なリスクの説明や、実際に発生した情報漏洩事例の紹介、紛失・盗難時の初動対応のシミュレーションなどを行うことで、万が一の事態にも冷静に対応できようになります。

また、従業員の負担を軽減するためのeラーニングの活用や、教育効果を高めるためのワークショップ形式での研修なども有効です。学習効果を維持するために、単発ではなく定期的な実施が望ましいといえます。