クラウドサービス（Box、Backlog、Canvaなど）の普及により、業務の効率化が進む一方で、「社員の設定ミス一つ」「たった一通のフィッシングメール」から数億円規模の情報漏洩損害に発展するリスクが、いま民間企業で急増しています。
しかし、いざ社内セキュリティ研修をやろうとしても、以下のようなお悩みを抱える担当者様は少なくありません。
- 「専門用語ばかりの研修では、社員が退屈して聞いてくれない」
- 「毎年の研修資料をゼロから作る時間も、講師を雇う予算もない」
本連載では、日本の民間企業が今まさに直面しているリアルなリスクをもとに、そのまま社内研修の「講義台本」として使える構成で、全8回にわたりセキュリティの基礎を分かりやすく解説します。
本連載について
本連載は、現在STORESで販売中の『企業向け情報セキュリティ研修動画〜明日から実践できる、組織と自分を守るための「5つの行動宣言」と護身術〜』の講義内容を全編書き起こしたものです。
動画パッケージの5分間のサンプル動画をYouTubeで無料公開していますので、実際の分かりやすさやクオリティをぜひご確認ください。
- 民間企業向け情報セキュリティ研修パッケージ：55,000円（税込）
👇YouTubeでサンプル動画を視聴する
※「プロに直接講義してほしい」という組織向けに、講師派遣・リアル研修プランも承っております。
第5章：テレワーク・外出先・SNSに潜むリスク（物理的・人的脅威）
第5章では、オフィスを一歩出た『外の世界』に潜むリスクについて考えます。
テレワークの普及やモバイル機器の進化により、自宅やカフェ、コワーキングスペースなど、場所を選ばずに仕事ができる非常に便利な時代になりました。
しかし、オフィスの強固な壁や専用回線に守られていない『外の環境』は、サイバー犯罪者や悪意ある第三者にとって、あなたの隙を突いて社内へ侵入するための絶好のチャンスです。
外出先での物理的なのぞき見や、スマートフォン紛失の恐怖、そして私たちが毎日使うパスワードの新常識について、具体的な防衛テクニックを学んでいきましょう。
外出先に潜む「公共Wi-Fi」と「のぞき見」の罠
まず、外出先で最も発生しやすい2つの物理的なリスクについて解説します。
1つ目は、『公共Wi-Fi（無料Wi-Fi）の利用』です。
カフェや駅、ホテルなどの無料Wi-Fiは便利ですが、中には通信が暗号化されていないものや、攻撃者が公式になりすまして設置した『偽のアクセスポイント』が多数混ざっています。
これに気づかずに接続して業務を行うと、送信したメールの内容や、業務システムに入力したID・パスワードが、同じWi-Fiに繋いでいる第三者に全て盗聴されてしまう危険性があります。
外出先で業務を行う際は、スマートフォンのテザリングか、モバイルWi-Fiルーターを使用するか、会社が指定した『VPNに接続』することを徹底してください。
2つ目は、『ショルダーハック（のぞき見）』です。
新幹線やカフェでパソコンを開いて仕事をしている際、背後や隣の席から、あなたの画面やキーボードを叩く手元を盗み見られるリスクです。
画面に表示された顧客データや、入力したパスワードは一瞬で盗まれます。
公共の場で仕事をする際は、必ず『のぞき見防止フィルター』を装着し、壁を背にするなど周囲に人がいない座席を選ぶようにしてください。」
紛失・盗難と「ブラウザのパスワード保存」の罠
外出先でのもう一つの大きな脅威が、パソコンやスマートフォンの『紛失・盗難』です。
特に現代のスマートフォンには、会社のメールやチャットアプリ、顧客の連絡先、さらにはこの後説明する『多要素認証（MFA）』のアプリまで入っており、パソコンと同等の機密が詰まっています。
万が一、スマホやPCを紛失した場合は、悪用される前に会社へ即座に連絡し、遠隔で端末をロック・初期化する『リモートワイプ』の手続きをとる必要があります。
また、ここで特に注意していただきたいのが、Google ChromeやMicrosoft Edgeなどの『ブラウザのパスワード保存機能』です。
日常の業務システムへのログインを便利にするために、ブラウザにパスワードを記憶させていませんか？
自宅のパソコンや、持ち出し用のPCでこれをやってしまうと、万が一PCが盗まれたり、家族と共有しているPCがウイルスに感染したりした際、ブラウザに保存されたすべてのパスワードが一瞬で攻撃者に盗み出され、会社のシステムへログインされてしまいます。
不特定多数が触れる可能性のある端末では、ブラウザへのパスワード保存は絶対に避けてください。
パスワードの「新常識」：複雑さよりも長さ
そして、私たちが日常的に行う最大のセキュリティ対策が『パスワード』です。
実は近年、安全なパスワードの基準が世界的に大きく変わったことをご存じでしょうか。
これまでは『大文字・小文字・数字・記号を細かく混ぜて複雑にする』ことが推奨されてきました。
しかし、たとえ記号を混ぜても、わずか8文字程度の短いパスワードであれば、現代のコンピューターの圧倒的な解析スピードの前には、数秒から数分で簡単に突破されてしまいます。
また、複雑すぎるパスワードは人間が覚えられないため、机の付箋にメモしたり、簡単な数字に使い回したりする原因になり、逆効果でした。
現代のパスワードの新常識は、『複雑さよりも、長さ』です。
おすすめは、15文字以上の『パスフレーズ』にすることです。
例えば、自分の身近な言葉や好きな単語を3つ以上、ハイフンなどでつなぎます。
『coffee-daisuki-2026-blue』 このようなパスフレーズは、大文字や記号を無理に混ぜる必要がないため、私たち人間にとっては非常に覚えやすく、かつコンピューターにとっては解読に数百年以上かかる、極めて強固な壁になります。
鍵は「使い回さないこと」と「多要素認証（MFA）」
しかし、どれだけ強固なパスワードを作っても、たった1つのNG行動で全てが無駄になります。
それが『パスワードの使い回し』です。
プライベートで使っているネットショッピングやSNSと同じパスワードを、会社のログインパスワードにも使い回していませんか？
もし、どこか一つの外部サイトからあなたのパスワードが流出してしまった場合、攻撃者はその『使い回しの鍵』のリストを使って、会社のシステムにも片っ端から自動で侵入を試みます（パスワードリスト攻撃）。
パスワードは必ず、サービスごとに異なるものを設定してください。
さらに、これらを二重に守るために不可欠なのが『多要素認証（MFA）』です。
パスワード（知識情報）の入力に加えて、あなたのスマートフォンに届くワンタイムコード（所持情報）や、指紋・顔認証（生体情報）などを組み合わせる設定です。
万が一、パスワードが外部に漏れてしまっても、この二段構えのセキュリティがあれば、第三者があなたになりすましてログインすることを100%近く防ぐことができます。
設定可能なシステムでは、必ず多要素認証を有効にしましょう。
悪気のない「SNS投稿」が招く情報漏洩
最後に、近年トラブルが急増しているのが『SNS』への投稿です。
『テレワークで今日も頑張っています』というコメントと共に、自宅のデスク周りの写真をSNSに投稿する。
何気ない日常の1コマに見えますが、ここにも重大なリスクが隠されています。
拡大された写真の背景に、会社から持ち帰った『極秘の書類』が写り込んでいませんか？
パソコンの画面に、開発中のシステムや『取引先の担当者の名前』が表示されていませんか？
インターネット上の悪意あるユーザーは、こうした写真の細部を拡大し、機密情報を特定して晒し上げたり、標的型攻撃のターゲットを絞り込むための情報として利用します。
また、出張先での『これから〇〇社へ向かいます』といったリアルタイムの投稿も、自社の動向や取引先との関係をライバル企業や攻撃者に暴露することになります。
情報を発信する前に一呼吸置き、業務に関わるものが少しでも含まれていないか、厳重にチェックする習慣をつけてください。
第5章 まとめ
第5章のまとめです。
オフィス外での業務には、のぞき見や通信の盗聴といった物理的な脅威が常に隣り合わせです。
VPNの利用とのぞき見防止フィルターの装着、そしてブラウザにパスワードを保存しないことを徹底しましょう。
パスワードは、覚えやすく解読されにくい『15文字以上の長いパスフレーズ』を使い、絶対に他のサービスと使い回さないこと。
そして、スマートフォンなどを利用した多要素認証を必ず設定してください。
SNSに投稿する際は、写真の背景一枚からでも情報が漏洩するリスクを意識し、一呼吸置いて確認する癖をつけましょう。
続く第6章では、さらに便利になった一方で設定ミスが相次ぐ『クラウドサービス』に潜む落とし穴について詳しく解説します。
第5章、お疲れ様でした。
今回の記事（第5回）の内容を含め、全8回の講義を収録した「研修用動画パッケージ」を販売しています。
・資料作成や登壇の準備をゼロにしたい
・専門家による正確な情報を職員に届けたい
・研修の配布用スライドPDFも手に入れたい
そんな方は、ぜひ以下の販売ページをご確認ください。
また、クラウド認証ドットコムでは、 個別の情報セキュリティ研修（オンライン・対面） での教育支援を行っています。
「自庁の独自ルールを盛り込みたい」「職員の理解度を直接確認したい」といったご要望にお応えします。
専門講師が貴組織の課題に合わせたカリキュラムで登壇いたします。
■ 民間企業向け情報セキュリティ研修：連載一覧（全8回）
- 第1回：そもそも「情報セキュリティ」とは？
- 第2回：情報漏洩の致命的な代償と「法律」
- 第3回：狙われるのは「人の心」：ソーシャルエンジニアリングとメール
- 第4回：マルウェアの感染経路と「Emotet ＆ 二重脅迫」の恐怖
- 第5回：テレワーク・外出先・SNSに潜むリスク（物理的・人的脅威）
- 第6回：クラウドサービス誤設定の落とし穴
- 第7回：インシデント発生！その時あなたが取るべき「初動10分」
- 第8回：今日から守る！「私の5つの行動宣言」
