20200709

1. テレワークと
情報セキュリ
ティマネジメ
ント
VoiceWorld Z Meetup vol.7 〜
テレワーク/ニューノーマル/withコロナ
2020/07/09 Session 1

2. 今日のお話し
• 会社から急にテレワークの準備を指
示された！
• 情報セキュリティ的にどうすればい
いの！？

3. self‐introduction
児玉 豊
株式会社ソフツー
営業部 部長 兼 CISO
2016年に入社、ISO/IEC 27001:2013(JIS
Q 27001:2014)の取得に従事し、昨年か
ら現職。
営業部門のマネジメントの傍ら、現在も
規程の作成、運用の構築、審査対応まで
を行う。

4. 4つの安全管理措置
組織的
• 組織体制の整備
• 規程、手順書の構築と運用
• 事故または違反への対処
人的
• 雇用や契約時における非開示契約の締結
• 従業者への教育・訓練の実施
物理的
• 盗難等に対する対策
• 機器・装置等の物理的な保護
技術的
• アクセスにおける識別と認証、制御、権限管理
• 不正ソフトウエア対策
安全管理措置

5. 安全管理措置をバランスよく講じること
• 例えば、技術的安全管理措置に偏ると、そのコストは計り知れ
ません。
• 組織的安全管理措置：テレワーク中のインシデント（事故）が発生し
た場合の報告フローは整っているか？
• 人的安全管理措置：テレワークをするために情報セキュリティに関す
る教育や、秘密保持に係る誓約書など整備しているか？
• 物理的安全管理措置：業務場所の限定や、貸与備品（PC、携帯、ポ
ケットWi-Fiなど）の使用を徹底しているか？

6. リスク対応方針
低減
• 適切な対策を実施し、リスクを
低減させる
回避
• リスクの発生原因そのものを無
くしてしまう
移転
• リスクが顕在化した際の影響を
外部の組織に移転する
受容
• リスク対応しても残るリスクや
影響の低いリスクを受け入れる

7. リスクは0にならない
• 出来ることはリスク（悪いことが起きる可能性）と上手に付き合う
ことです。
• リスクの低減：テレワークの業務場所を限定する。指定したネットワークや
ネットサービスのみを使用する。
• リスクの回避：ペーパーレスを加速させ、テレワーク中の印刷を禁止する。
• リスクの移転：万が一の情報漏えい事故に備え、保険の加入を検討する。
• リスクの受容：テレワークに適さない業務は、十分にコロナ感染対策を施し、
オフィスにて行う。

8. 大事なことは
新しい価値観を採用すること
• ニューノーマル／withコロナ-afterコロナにおいて、従来の価
値観に加えて新しい価値観を取り入れる必要があります。
• 最も重要なことは事業継続リスクをマネジメントすることです。
• セキュリティ対策に正解はありません。組織の数だけ最適解が
あります。

9. ソフツーで行っていること
• クラウドCTIシステム「BlueBean」のおかげでテレワークの移
行は非常にスムーズで、現在も会社の電話を直接自宅で取るこ
とが出来ています。
• 余談ですが、弊社のお客様の中にもテレワークで活用されてい
ます。
BlueBean
許可IP
不許可
IP
許可IP
OK
指定されたPC＆指定されたアカウント
でのみアクセスができる。

10. さらに…
• ソフツーでは以下の運用を行っております。
• BYODの禁止（すべて貸与物での利用）
• 基幹システムへのアクセスはVPN接続のみ許可
• 業務場所（オフィス、自宅）以外での業務の禁止 etc…

11. まとめ
• 部門単位に限らず個々の業務単位についても検討する。
• リスクを評価し、適切な安全管理措置を講じる。
テレワークの対象は？
• 貸与端末かBYODか？
• 機器管理、運用管理はできているか？
端末はどうする？
• VPNかVDIか？
• ネット環境を考慮し指定のMobile Wi-Fiを貸与するか？
ネットワークの考え方は？
• Microsft365や G Suiteを利用するか？
• 利用中のシステムをクラウド化できるか？
クラウドサービスの有無
• ペーパーレスは可能か？
• 残存するオフィス業務をアウトソースできるか？
オフィスワークの見直し

12. 付録
• 内部、外部の隔てなく最大のリスクは情報漏えいです。
• 不正競争防止法上の「営業秘密」として管理されていれば、民
事上・刑事上の措置をとることができます。
経済産業省
営業秘密～営業秘密を守り活用する～