「リモートワークのセキュリティって、なんとなく不安だけど何をすればいいかわからない」って思ってませんか？ぼくも最初はそうでした。この記事を読むと、在宅ワーク中に今日からできる具体的なセキュリティ対策が7つわかります。難しい専門知識は一切なしで、ぼくが実際に6年かけてたどり着いた方法だけ書きます。
・対策は7ステップ。難しいツールは不要で、設定変更だけでできるものが多い
・フリーランス・会社員どちらにも使える内容です
・ぼくが6年間、実際に続けている方法だけを紹介します
タケPM
SIerからフリーランスPMへ転身。リモートワーク・転職・副業のリアルな話を体験ベースで発信しています。
リモートワークのセキュリティリスクって、オフィスと何が違うの？
まずここを押さえておかないと、対策がちぐはぐになります。正直、ぼくも最初はよくわかっていませんでした。
オフィスで働いている場合、会社のネットワーク・セキュリティ担当者・入退室管理など、目に見えない「守り」がいくつも重なっています。でも自宅は、その「守り」を全部自分で用意しないといけない環境なんですよね。
具体的にどんなリスクがあるか、ざっくり整理するとこんな感じです。
- 自宅のWi-Fiが暗号化されていない・設定が古いままになっている
- 家族と共有しているPCで仕事をしていて、情報が混在している
- カフェや移動中に公衆Wi-Fiで仕事のデータを扱っている
- フィッシングメール（偽のメールで情報を盗もうとする詐欺）に気づかず開いてしまう
- パスワードを使いまわしていて、一か所漏れると全部アウトになる
ぼくはフリーランスなので、もし情報漏洩が起きたらクライアントへの損害が直撃します。会社員の方でも、業務データが漏れたら大ごとになりますよね。セキュリティリスク（情報が盗まれたり、システムが壊される危険性のこと）は、「自分には関係ない」と思っていると一番危ないです。
対策① まずWi-Fiのパスワードと暗号化方式を見直す
これが一番最初にやるべきことです。地味ですが、ここが抜けていると他の対策が全部意味をなくします。
自宅のWi-Fiルーター、設置したときのまま使っていませんか？ぼくも独立した当初は初期設定のまま使っていて、あとで「これまずかったな」と気づきました。
確認してほしい2つのポイント
ルーターの管理画面（ブラウザで「192.168.1.1」などにアクセスして開く設定ページ）から確認できます。
- 暗号化方式が「WPA3」または「WPA2」になっているか（「WEP」はほぼ解読されるので即変更）
- Wi-Fiのパスワードが初期設定のままになっていないか（「admin」「12345678」などは危険）
ルーターの機種ごとに管理画面の開き方は違います。機種名＋「管理画面 開き方」で検索するとすぐ出てきます。
対策② パスワード管理をパスワードマネージャーに任せる
「パスワードを覚えるのが大変だからどこでも同じにしている」という方、これが実は一番よくある落とし穴です。実際にやってみた話をします。
ぼくは以前、メインのパスワードを3〜4パターンでまわしていました。で、あるサービスから「あなたのパスワードが流出した可能性があります」という通知が来て、ちょっとテンション上がりました（焦りで）。そこから全部のパスワードを変えるはめになって、丸半日かかりました。
そこから使い始めたのがパスワードマネージャー（すべてのパスワードを暗号化して一か所で管理してくれるツール）です。今はずっとBitwardenを使っています。無料で使えて、スマホとPCで同期できるのでかなり楽になりました。
対策③ 二段階認証（2FA）を主要アカウントに設定する
パスワードだけでは守りが薄い。これ、意外と大事で、知っているのにやっていない人が多いんですよね。
二段階認証（2FA：Two-Factor Authentication）とは、ログインするときにパスワードに加えて「スマホに届いた6桁のコード」などを入力する仕組みのことです。パスワードが漏れても、これがあると不正ログインをかなり防げます。
ぼくが2FAを必ず設定しているのはこのあたりです。
- Googleアカウント（GmailやGoogleドライブに仕事データがある場合は特に）
- Slack・Chatwork・Notionなど仕事で使うコミュニケーションツール
- クラウド請求書・会計ツール（フリーランスの場合は特に重要）
- GitHubなどソースコード管理ツール
2FAのコード生成にはGoogle AuthenticatorやAuthyを使うと、SMSより安全です。SMSは電話番号を乗っ取られると突破されるリスクがあるので。
対策④ 公衆Wi-Fiを使うときはVPNを必ず通す
カフェや移動中に仕事する機会がある方は、ここを読み飛ばさないでください。
公衆Wi-Fiは、同じネットワークに接続している人に通信内容を見られる可能性があります。コーヒーショップで仕事の資料を開いているとき、隣の人がそのデータを傍受できる状態、という話です。
公衆Wi-Fiで仕事をするなら、VPNは必須だと思います。VPN（Virtual Private Network）とは、インターネットの通信をトンネルのように暗号化して、外から見えなくする仕組みのことです。
ぼくは今は自宅専業なのでほぼ使いませんが、以前Webベンチャー時代に出張や移動中の作業が多かったころはNordVPNを使っていました。月数百円〜で使えて、設定も難しくないです。
対策⑤ OSとソフトウェアのアップデートを後回しにしない
「あとでやろう」と思ってずっとやっていない、というのが一番多いパターンです。ぼくも正直、面倒で後回しにしていた時期がありました。
OSやアプリのアップデートには、セキュリティの穴（脆弱性）を塞ぐ修正が含まれています。古いバージョンのまま使い続けることは、「鍵のかかっていない窓を放置している」ような状態です。
- WindowsやmacOSの自動更新をオンにしておく
- ブラウザ（ChromeやSafariなど）も定期的に最新版に更新する
- 使っていないアプリは削除する（管理できないアプリはリスクになる）
自動更新をオンにするだけで、ほとんどは勝手にやってくれます。一度設定すれば気にしなくていいので、先に設定しておくのがおすすめです。
対策⑥ フィッシングメールを見抜く3つのポイント
技術的な対策だけでなく、「自分自身の判断力」を上げることも大事です。これ、意外と大事で、ツールで防げないケースもあります。
フィッシングメールとは、銀行・宅配会社・クラウドサービスなどになりすまして、偽サイトに誘導しパスワードや個人情報を盗もうとする詐欺メールのことです。
ぼく自身、フリーランスになってから「Amazonアカウントの確認が必要です」みたいなメールが増えた気がします。見分け方のコツは3つです。
見抜くための3チェック
- 送信元のメールアドレスのドメイン（@以降）が公式と一致しているか確認する
- リンクのURLにカーソルを当てて（クリックせず）、飛び先アドレスが本物か確認する
- 「今すぐ確認しないとアカウントが停止されます」など焦らせる文言は疑う
正直、慣れるまでは一件一件確認するのは面倒です。でも、「怪しいと思ったらリンクを踏まず、公式サイトに直接アクセスして確認する」という習慣だけ持っておけば、ほとんどの被害は防げると思います。
対策⑦ 仕事用とプライベート用でデバイスや画面を分ける
最後は「物理的な分離」の話です。地味ですが、在宅ならではの重要ポイントです。
自宅だと「ついさっきまでYouTubeを見ていたPCで仕事する」みたいなことが起きます。プライベートで変なサイトを踏んだり、子どもがゲームのMOD（改造データ）を入れたりすると、そのPCが仕事データを扱う端末になるわけです。これ、ぼくも子どもが小1になったころにちょっと焦りました。
- 仕事用PCとプライベート用PCを分ける（難しければ、Windowsのユーザーアカウントを別にするだけでも違います）
- 仕事データをUSBメモリに入れて持ち運ぶのは極力避ける（紛失リスクがある）
- 画面にのぞき見防止フィルターを貼る（家族がいる部屋で仕事するときにも有効）
ぼくは仕事用のMacBookと、家族共用のWindowsを完全に分けています。これにしてから「何かが入った気がする…」という漠然とした不安がなくなりました。
フリーランス・個人事業主が特に気をつけたいこと
会社員の方は読み飛ばしてもいいですが、フリーランスの方は一読しておいてほしいです。
会社員の場合、情報漏洩が起きたとき最終的には会社が責任を取ります。でもフリーランスは自分が唯一の防衛線です。クライアントの機密情報を漏らしたら、損害賠償の問題にもなりかねません。
ぼくが独立してから特に意識するようにしたことは2つあります。
① 契約書のセキュリティ条項を読む
業務委託契約には「情報管理に関する条項」があります。「指定したツール以外での通信禁止」「データの保管方法」などが書かれていることが多いので、必ず読んでおくといいです。
② クライアントが指定するツール・ルールに従う
「自分のやり方の方が楽だから」という理由で、クライアント指定外のツールにデータを入れるのはNGです。ぼくも案件によってはクライアント指定のVPNに接続して作業する、というケースがあります。
まとめ：今日から始める7ステップのチェックリスト
長くなりましたが、実際にやることだけ絞ると、それほど多くありません。一気にやる必要はないので、上から順番に試してみてください。
- ① Wi-Fiのパスワードと暗号化方式（WPA2以上）を確認・変更する
- ② パスワードマネージャー（BitwardenやAuthy）を導入してパスワードを使いまわさない
- ③ 主要アカウントに二段階認証（2FA）を設定する
- ④ 公衆Wi-Fiを使う機会があればVPNを用意する
- ⑤ OSとアプリの自動更新をオンにする
- ⑥ フィッシングメールの見分け方3つを覚えて習慣化する
- ⑦ 仕事用とプライベートのデバイスや環境を分ける
で、結論から言うと、完璧なセキュリティは存在しないです。でも、この7つをやるだけで、リスクはかなり下げられると思います。ぼく自身、6年かけてこれを少しずつ積み上げてきました。最初は全部やろうとしなくていいです。今日一つだけ、Wi-Fiのパスワードを見直すところから始めてみてください。
