リモートワークのセキュリティ対策チェックリスト

リモートワークは自由だ。カフェでも自宅でも海外でも仕事ができる。だがその自由と引き換えに、オフィスにいたときは会社のIT部門が守ってくれていたセキュリティを、自分で担保しなければならない。

2024年のランサムウェア感染経路の 55%がVPN機器経由、31%がリモートデスクトップ経由 だった（警察庁調査）。リモートワーク環境はサイバー攻撃の主要な入口になっている。

この記事では、フリーランスや個人のリモートワーカーが自分で実践できるセキュリティ対策をチェックリスト形式でまとめる。

リモートワーク特有のリスク

オフィスワークにはないリスクを整理しておこう。

公共WiFiの盗聴 。カフェやコワーキングスペースのWiFiは暗号化が不十分なことがある。通信内容やログイン情報が傍受されるリスクがある。詳しくはフリーWiFiの安全な使い方で解説している。

家庭ルーターの脆弱性 。自宅のルーターがデフォルトパスワードのまま、ファームウェアが何年も更新されていない。これが攻撃者の入口になる。

フィッシング詐欺 。在宅だと同僚にすぐ確認できない。「このメール本物？」と聞ける人がいない環境は、フィッシングの成功率を上げる。

端末の紛失・盗難 。ノートPCをカフェに忘れた、移動中に盗まれた。ストレージが暗号化されていなければ、業務データが丸ごと流出する。

シャドーIT 。会社が承認していないクラウドサービスを「便利だから」と使う。セキュリティ基準を満たしていないサービスに業務データが保存される。

ネットワークのセキュリティ

VPNを使う

公共WiFiで仕事をするなら VPNは必須 だ。通信を暗号化し、WiFi管理者やISPに通信内容を見られることを防ぐ。

NordVPN なら「信頼されていないWiFiに接続したら自動でVPNをON」にできる。一度設定すれば、カフェのWiFiに繋いだ瞬間に自動で保護が始まる。

企業VPNがある場合でも、業務外の通信（個人のブラウジングなど）には個人VPNを使うのがいい。企業VPNは社内リソースへのアクセス手段であり、プライバシー保護の目的は持っていない。

自宅ルーターを強化する

自宅のルーターは見落としがちな弱点だ。

• 管理者パスワード をデフォルトから変更する（admin/password のままにしない）
• ファームウェア を最新に更新する
• WiFiパスワード にWPA3（または最低でもWPA2）を使う
• リモート管理 を無効にする（外部からルーター設定にアクセスできないようにする）

認証を強化する

全アカウントで2FAを有効にする

パスワードだけでは不十分だ。すべての重要なアカウント（メール、クラウドストレージ、Slack、GitHub等）で 2要素認証（2FA） を有効にする。

SMSよりも TOTP（Google Authenticator等） や ハードウェアキー（YubiKey等） の方が安全だ。SIMスワップ攻撃でSMS認証が突破される事例が増えている。

パスワードマネージャーを使う

すべてのサービスで一意のランダムパスワードを使う。覚える必要はない——パスワードマネージャーがやってくれる。

NordPass なら漏洩チェックも自動で行える。パスワードの使い回しがないか、漏洩データに含まれていないかをワンクリックで確認できる。詳しくはパスワード漏洩の確認方法を参照してほしい。

端末のセキュリティ

ストレージを暗号化する

ノートPCが盗まれたとき、ストレージが暗号化されていなければデータは丸見えだ。

• Windows: BitLockerを有効にする（Pro以上）
• macOS: FileVaultを有効にする
• Linux: LUKSで暗号化する

OSとソフトウェアを最新に保つ

自動更新を有効にする。特にブラウザ、OS、開発ツールは最新バージョンを使う。既知の脆弱性は攻撃者にとって最も効率の良い入口だ。

画面ロックを設定する

離席時に自動ロックされるよう設定する。カフェでトイレに行く数分の間に、開いたままのPCからデータを盗まれることは現実に起きている。

• Windows: Win + L で手動ロック。設定で自動ロック時間を短くする
• macOS: ホットコーナーまたはCtrl + Command + Q

データの管理

業務データを安全に保管する

• 業務データをUSBメモリに入れて持ち歩かない
• 個人のGoogle DriveやDropboxに業務データを保存しない（シャドーIT）
• 機密ファイルは暗号化して共有する。NordLockerならゼロ知識暗号化でファイルを安全に保管・共有できる

バックアップを取る

ランサムウェアに感染した場合、バックアップがなければデータは失われる。3-2-1ルールを守る。

• 3つ のコピーを保持
• 2つ の異なるメディアに保存
• 1つ はオフサイト（クラウドまたは物理的に別の場所）

行動習慣

フィッシングを見分ける

• 差出人のメールアドレスをドメインまで確認する
• 「急いでクリックしてください」系のメールは疑う
• URLにカーソルを合わせてリンク先を確認する（クリック前に）
• 少しでも怪しいと思ったら、公式サイトに直接アクセスする

画面の覗き見を防ぐ

コワーキングスペースやカフェでは、隣の人から画面が見える。

• プライバシーフィルター をモニターに貼る
• Web会議の画面共有時に、機密情報が映り込まないよう注意する
• 通知の内容表示をOFFにする（メールの冒頭がポップアップに出ないようにする）

まとめ

リモートワークのセキュリティは「完璧」を目指す必要はない。上の表の「最低限やること」を一通りやるだけで、攻撃者にとって「面倒なターゲット」になれる。攻撃者は楽に侵入できる標的を狙う。基本を押さえるだけで、リスクは劇的に下がる。