このタイミングで年休取るかね…… 取得日の変更はどこまで可能?

1 年休は社員の権利だけど、繁忙期はちょっと……

労働基準法で定められている「年休(年次有給休暇)」は本来、

社員が希望する時季に、自由に取得することができる

とされています。いわゆる「年5日の年休取得」が法律で義務付けられているのもあり、どの経営者も年休の取得自体に異議を唱えることはないでしょう。ただ、繁忙期の年休取得という話になってくると、人手不足に悩まされているのもあって、内心「それはちょっと勘弁してよ……」と思っている人が少なくないかもしれません。

労働基準法上は、「時季変更権」といって、一定の場合に、会社が社員の年休の取得時季を変更できるルールがあるのですが、

時季変更権が認められる範囲は限定的で、不用意に行使すると労働基準法違反になりかねない(罰則は6カ月以下の拘禁刑または30万円以下の罰金)

という点に注意が必要です。以降で時季変更権の正しいルールを押さえていきましょう。

2 繁忙期というだけでは「時季変更権」は使えない?

まず、時季変更権とは、

社員が申請した時季に年休を与えると、「事業の正常な運営に支障が出る具体的な事情」がある場合に限り、会社が年休の取得時季を変更することができるというルール

のことです。あくまで変更を認めるだけで、年休の取得自体を拒否することはできません。

ただ、この「事業の正常な運営に支障が出る具体的な事情」というのがくせもので、単に会社が繁忙期というだけでは認められません。次のように、時季変更権が認められるケースと、そうでないケースがあります。

次に、各裁判例などをもとにした判断基準を、ざっくりまとめた図表を紹介します。

各裁判例などをもとにした判断基準

また、時季変更権を行使する場合は、年休の申請があった時点で速やかに行い、その理由を具体的に、かつ明確に伝える必要があります。漠然とした理由や、休暇直前の通知は違法と判断されるリスクが高いです。

トラブルを避けるため、書面での通知なども検討しましょう。そして、可能な限り、社員の希望に沿った代替日を複数提示するなど、誠実な対応を心掛けることが望ましいでしょう。

3 時季変更権が「認められる」ケース

1)代替人員の確保が困難な場合

申請された時季に代替要員を確保するための合理的な努力を尽くしても、それが不可能である場合が該当します。

2)同時期の取得希望者が重なる場合

特定の時期に複数の社員から年休の申請が集中し、全員に取得を認めると業務が回らなくなる場合です。例えば、夏季繁忙期に年休取得者が重なり、予備人員で対応できなかったために、時季変更権を行使したことが適法と認められた裁判例があります(前橋地裁高崎支部平成11年3月11日判決)。

3)業務の遂行上、本人の参加が不可欠な場合

特定の社員でなければ遂行できない業務や、重要な研修・会議など、本人の出勤が必須である場合がこれに当たります。例えば、職場全体の業務改善のための研修期間中に年休を請求したことについて、研修目的の達成が困難になるとして、時季変更権の行使が適法と認められた裁判例があります(最高裁平成12年3月31日判決)。

4)年休が長期間にわたる場合

1カ月など連続した長期の年休申請で、代替人員確保が困難な場合も、時季変更権の行使が認められる可能性があります。

5)年休取得の申請が休暇の直前だった場合

就業規則で定められた申請期限を著しく過ぎて直前に申請された場合も、時季変更権の行使が認められる可能性があります。

4 時季変更権の行使が「認められない」ケース

1)「繁忙期のため」など漠然とした理由

単に「繁忙期だから」「仕事が多くなりそうだから」といった抽象的な理由では認められません。具体的な事業運営への支障が出ることを説明する必要があります。例えば、抽象的に繁忙期であるといっても、年休を認めることによる具体的な支障が明らかでない場合、時季変更権は認められないと判断した裁判例があります(名古屋地裁平成5年7月7日判決)。

2)慢性的な人手不足

常に人手不足である状態は、会社が人員配置を見直すなどして解消すべき問題であり、時季変更権行使の正当な理由とは認められません。例えば、人員不足が9カ月以上に及び常態化したまま行使された時季変更権は認められないと判断した裁判例があります(西日本ジェイアールバス事件(名古屋高裁金沢支部平成10年3月16日判決))。

3)退職直前の年休申請

社員は退職日以降に年休を取得できないため、退職直前の年休申請に対して時季変更権を行使することは、事実上年休の取得を妨害する行為とみなされ、原則として認められません。

4)年休の取得理由に基づく時季変更権の行使

年休の利用目的は労働基準法の関知するところではないため、利用目的を理由に時季変更権を行使することは許されません。例えば、社員がデモ参加のために年休を申請し、会社がデモ参加を理由に時季変更権を行使したことが違法とされた裁判例があります(最高裁昭和62年7月10日判決)。

5)代替要員の確保努力を怠った場合

合理的な努力をすれば代替要員を確保できたにもかかわらず、その努力を怠った場合も、時季変更権の行使は認められません。

6)計画的付与制度で指定された日

労使協定で定められた計画的付与日に対しては、時季変更権を行使できません。

5 結局は計画が大事! 計画的付与でトラブルなく年休消化を

繁忙期における年休の課題を解決し、時季変更権の行使に頼る頻度を減らすためには、事前の「計画」が非常に重要になります。そこで導入を検討したいのが、

計画的付与(労使協定で定められた日に年休を与えられる制度)

です。会社全体で一斉に付与することも、チームや個人単位での交代制にすることもできます。導入するには「労使協定」(事業場の過半数労働組合、それがない場合は労働者の過半数代表との書面による協定)の締結が必要になります。

計画的付与の対象は、付与日数のうち5日以上の部分です。例えば、年休の付与日数が10日の社員の場合は5日まで、20日の社員の場合は15日までです。これにより、特定の時期に年休申請が集中するのを防ぐことで、繁忙期の業務運営への影響を軽減できます。

計画的付与には主に3つの方式があります。

1)一斉付与方式

会社全体または事業場全体で休業日を設け、一斉に年休を付与する方式です。夏季休暇や年末年始と組み合わせることで、大型連休にすることも可能です。

2)班・グループ別の交代制付与方式

流通・サービス業など一斉休業が難しい業態で、班やグループ別に交代で付与する方式です。

3)個人別付与方式

社員個人ごとに計画表を作成し、誕生日などをメモリアル休暇として推奨するなど、個人の希望も踏まえて計画する方式です。

時季変更権の行使が「事後的な対応」であるのに対し、計画的付与は「事前のリスク分散」であるという点が、根本的に異なります。特に中小企業では、人員の柔軟性が低い傾向にあるため、計画的付与は、時季変更権の行使に頼る頻度を減らすための有効な手段となります。

以上(2026年7月更新)

pj00770
画像:ChatGPT

【朝礼】「スピード」を求められるときにこそ押さえたい2つの心構え

【ポイント】

  • 仕事のスピードを無理に上げると、普段では考えられないミスを犯しやすくなる
  • 仕事のスピードは人それぞれなので、自分が安全に進められる速度を守ることが大切
  • 仕事のゴールを見失わず、最後まで気を抜かないようにしよう

ビジネスは時間との闘いの連続です。私たちは「早くやってくれ」「至急で頼む」などと言われることは日常茶飯事であり、何事も「スピード」を求められる日々を送っています。

例えば昼食を同じ値段、同じ味のものを飲食店で食べるのであれば、早く出てくるほうがよいのは確かです。通販で商品を買うときも、早く届いたほうがよいに決まっています。一方、気を付けなければいけないのは、「早い」だけではダメだということです。例えば、注文したものと違う品物が届いたり、盛り付けや梱包が雑だったりすると、せっかくの「早い」という強みも台無しです。

仕事でも同じです。早く仕事をこなそうとしてスピードを上げると、普段では考えられないミスを犯しやすくなります。そうならないために、次の2つの心構えを知っておきましょう。

1つ目は、自分が安全に進められる速度を守ることです。例えば、自動車の運転で考えると、ついスピードを上げたり、先を急いで無理な追い越しをかけたりしやすいものですが、無理をすると事故の原因となります。これを仕事で考えると、仕事のスピードは人それぞれで、自分に適したペースがあるはずですから、瞬間的にスピードを上げることよりも、自分の最高速度を長く持続させることを心がけたほうが結果的には良いのです。ただし、「今日よりも明日は5分早く」「明後日は明日よりも5分早く」といった具合に、安全な最高速度を少しずつ上げていく努力は必要です。

2つ目は、最後まで気を抜かないことです。例えば「今日中に顧客に提出」など時間を区切られた中で提案書を作るとき、私たちはどうしても提案書を期限内に完成させることのみを最優先に考え、資料が完成したらホッと一息ついてしまいます。しかし、そうすると集中力が切れてしまい、最後の最後で、封筒の宛先を間違えたり、入れるべき資料を入れ損ねたりなど、初歩的なミスを犯しやすくなります。ですから、取引先への提出が完了するまでが仕事だということを忘れないでください。ビジネスではスピード感が求められますが、早ければよいというものではありません。スピードと質を両立できるよう、自分のペースを守り、集中して走り抜けることを心がけましょう。今日の話は、自分を戒めるための交通安全のお守りのようなものと考えてください。

以上(2026年7月更新)

pj16595
画像:Mariko Mitsuda

  

【書籍ダイジェスト】『東京ステーションホテル』

本書は、東京駅の建物の6割を占めるという、百余年の伝統がある「東京ステーションホテル」の魅力およびその“唯一無二の価値”を、入社3年目のスタッフから総支配人まで11人へのインタビューによって明らかにしている。
重要文化財にも指定されているレンガ造りの東京駅丸の内駅舎にある東京ステーションホテルは、JTB「サービス最優秀旅館・ホテル」受賞、「じゃらんアワード」泊まって良かった宿大賞総合部門1位(関東・甲信越エリア101~300室部門)などの他、米国の旅行誌が発表する世界的なアワード「コンデナスト・トラベラーリーダーズ・チョイス・アワード2024」では、日本のトップホテル部門において、第3位に選出され、東京のホテルでは1位となるなど高い評価を得ている。

書籍ダイジェストは、こちらからお読みいただけます。pdf

個人情報を取得・利用するときに守らなければならないルール【かんたん個人情報保護法(2)】

1 個人情報を取得・利用するときのルールは5つ

個人情報を取り扱う際は、個人情報保護法に基づく取得・利用のルールを守らなければなりません。具体的には、

  • 個人情報を取得するときのルールが2つ
  • 個人情報を利用するときのルールが3つ

あります。以降で確認していきましょう。

2 個人情報を取得するときのルール

1)不正の手段によって個人情報を取得してはならない

当然ですが、不正の手段(偽りなど)によって個人情報を取得してはなりません。

2)個人情報を取得した場合は、速やかに、その利用目的を本人に通知または公表する

あらかじめその利用目的を公表している場合を除いて、個人情報を取得した場合は、速やかに、本人に個人情報の利用目的を通知・公表しなければなりません。

利用目的の通知・公表の方法については、特に定めはありません。

  • 通知であれば、書面・メール等に記載する
  • 公表であれば、ウェブサイトの分かりやすい場所や、店舗に掲示する

といった方法が考えられます。本人に対して口頭で利用目的を通知する方法も認められます。

なお、取得の状況から見て利用目的が明らかな場合は、利用目的の明示は不要です。例えば、名刺交換した相手に自社の商品・サービスの案内を送るときなどがそうです。

3 個人情報を利用するときのルール

1)利用目的をできる限り特定しなければならない

個人情報の利用目的は、できる限り具体的に特定しなければなりません。

例えば、ネット通販で商品を購入しようとしたとき、氏名や住所などの個人情報を入力しますが、その利用目的として「当社の商品の配送およびアフターサービスのご案内のため」と書いてあれば、商品を購入した顧客は、どのような目的で自分の個人情報が使われるのか認識できます。「事業活動に用いるため」「マーケティング活動に用いるため」といった曖昧な表現はNGです。具体的に利用目的を特定しているとは言えないからです。

2)利用目的の範囲を超えて取り扱うときは、あらかじめ本人の同意を得る

あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはなりません。

ただし、この同意を得るために個人情報を利用すること(メールを送ったり、電話をかけたりするなど)は目的外利用には該当しません。

3)違法または不当な行為につながるような利用方法はNG

違法または不当な行為とは、法令(個人情報保護法など)に違反する行為や、直ちに違法とはいえないものの、法令の制度趣旨や公序良俗に反する行為など、社会通念上適正とは認められない行為をいいます。

解釈の余地はありますが、個人情報についてこれまでと異なる取り扱いをしようとするときは、見切り発車にせず、弁護士や個人情報保護委員会に確認するのがよいでしょう。不適正な利用の具体例が、「個人情報の保護に関する法律についてのガイドライン(通則編)」に列挙されています。興味のある方は確認してみてください。

■ガイドライン3-2 不適正利用の禁止(法第19条関係)■

https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a3-2

4 要配慮個人情報を取得するときは「本人の同意が必要」

要配慮個人情報とは、

不当な差別や偏見などの不利益が生じないよう、取り扱いに特に配慮を要する個人情報

のことです。具体的には、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実、心身の機能の障害があること、医師等により行われた健康診断の結果などが該当します。

法令に基づく場合などの例外を除き、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはなりません。

実務上、あらかじめ本人の同意を得ておくほうがよいのは、

社員の健康情報(健康診断の結果や病歴など、健康に関する個人情報)を取得する場合

です。健康情報の多くは要配慮個人情報に該当しますが、そうでない場合も機微な情報が含まれ得ることなどから、要配慮個人情報に準じて取り扱うのが望ましいとされています。

例えば、定期健康診断の結果などは、労働安全衛生法に基づいて取得するものですが、「健康の確保のため」という利用目的を通知し、社員の同意を得て取得するとよいでしょう。

■個人情報保護委員会「雇用管理分野における個人情報のうち健康情報を取り扱うに当たっての留意事項」■

https://www.ppc.go.jp/personalinfo/legal/ryuuijikou_health_condition_info/

なお、2026年7月10日に参議院本会議で可決、成立した「令和8年改正個人情報保護法」では、「統計作成等」(AI開発や統計作成など)を目的とする場合に限り、SNSなどで公開されている情報については、本人の同意を得ずに取得・他の事業者へ提供できる特例が新設されました。

以上(2026年7月更新)

pj60174
画像:日本情報マート

「会社の飲み会は労働時間ですよね?」と社員に聞かれたらどう返す?

1 社員が自由に行動するか、会社から指示を受けて行動するか

会社が業務終了後に新人歓迎会や忘年会を開く際、時折「会社の飲み会は労働時間だから、残業代は出ますよね?」と尋ねてくる社員がいます。「そんなわけがないだろう!」と反論したくなるかもしれませんが、実は注意が必要です。

労働時間の基本ルールは、

  • 社員が自由に利用できる時間は、労働時間にならない
  • 会社から指示(黙示の指示も含む)を受けて行動する時間は、労働時間になる

なので、飲み会が「自由参加か、強制参加か」「業務との関連性があるか」などによって結論が変わってくるのです。「労働時間なのに賃金を支払わない」のは違法ですし、逆に「労働時間でない時間にまで賃金を支払う」のではコストがかさみます。

そして、会社の飲み会以外にも、始業時刻前の朝礼や着替え、セミナー、健康診断など、日常の中で労働時間かどうか判断に迷うケースはさまざまあります。判断が複雑なものもあるので、事例別にイメージをつかんだほうが無難です。以降でいくつかの事例について、法令や裁判例に基づく解釈を紹介するので参考にしてください。

2 会社の飲み会

会社の飲み会が労働時間に当たるかは、参加が自由かどうかで決まります。

  • 「飲み会が自由参加」の場合、参加するかは社員次第なので、労働時間にならない
  • 「飲み会が強制参加」の場合、会社から指示を受けて参加するので、労働時間になる

という判断になります。なお、明確に「強制参加」としていなくても、「欠席する社員にその理由を執拗に尋ねる」「参加しない場合に評価を下げる」「取引先接待や業務報告を兼ねている」など、

  • 「暗に参加を指示している(黙示の指示)」と受け取れる場合、労働時間になる

と考えられます。

営業担当の社員が、上司から言われて取引先との飲み会に参加する場合も、基本的な考え方は同じです。取引上必要な接待で、上司の命令で飲み会に参加するなら労働時間になりますが、上司から「せっかく先方が誘ってくれているし、行ってみないか?」と誘われ、自分の意思で参加するレベルなら、実務的には労働時間には該当しないと判断するのが自然です。

ただし、飲み会自体が自由参加であっても、幹事として会場の手配や設営、進行などを会社から命じられて行う場合、その準備・運営に要した時間は労働時間になると考えられます。

なお、余談ですが労働時間かどうかの判断と、労災保険の適用(業務上の災害かどうか)の判断は別物です。会社の懇親会での事故が労災と認められるケースもあるため、「労働時間でない=労災も関係ない」と決めつけないよう注意しましょう。

3 始業時刻前の朝礼や着替え

会社の中には、始業時刻前の朝礼や着替えについて「始業時刻は9時だが、朝礼は8時50分から行う」「始業時刻前に作業着への着替えを完了させ、始業時刻とともに業務を始める」といったルールを設けているところがあります。

始業時刻に仕事を始められるよう準備をしておくのは、社員としてのマナーですが、

始業前の準備行為を「マナーでなく社内ルール」としている場合、労働時間になる

とされています。具体的には、

  • 朝礼への参加や始業時刻前の着替えがルール化され、それが常態化している場合
  • 朝礼に参加しない社員や、始業時刻前に着替えを完了しない社員への罰則がある場合
  • 朝礼に参加しないと、その日の業務を行うために必要な情報が得られない場合
  • 着替えを完了しないと業務を行えず、会社の更衣室でなければ着替えが困難な場合

などがそうです。

過去の裁判例(最高裁第一小平成12年3月9日判決)でも、会社から義務付けられた作業服・保護具の装着時間や、更衣室から作業場までの移動時間が労働時間に当たると判断されました。着替えの他、始業前の清掃や体操、機械の立ち上げなども、会社が義務付けていれば同じ枠組みで労働時間とみなされます。

判断が難しいですが、始業前の準備行為については、「義務」ではなく「任意」であることを周知しておくのがよいかもしれません。義務付ける場合、就業規則等を改定して、朝礼や着替えにかかる時間分、始業時刻を前倒しする(または始業後に実施する)などの対応が必要になります。

4 仮眠

宿直のように1つの就業場所に長時間拘束される業務では、社員が現場で仮眠を取ることがあります。この仮眠については、

仮眠中、社員が会社の指揮命令下にあったかを基準に、労働時間になるかどうかを判断

します。例えば、ビルの管理会社の社員が、仮眠中でも、警報が鳴った際にすぐ対応するよう命じられている場合などは、

仮眠中も業務から完全には解放されているとはいえない(会社の指揮命令下にある)ので、労働時間になる

と考えられます。

実際、ビル管理会社の社員の仮眠時間について、警報や電話への対応が義務付けられていたことを理由に労働時間と認めた裁判例があります(最高裁平成14年2月28日判決)。

ちなみに、一部の業種では、仮眠が労働時間として扱われないケースもあります。例えば、トラックの運転手は、「自動車運転者の労働時間等の改善のための基準」という告示により、

拘束時間(始業から終業までの時間)が「労働時間(作業時間+手待ち時間)」と「休憩時間(仮眠時間を含む)」に明確に区分されているので、仮眠は労働時間に当たらない

と考えられています。ただし、仮眠中であっても会社の指揮命令下に置かれているものと判断される場合(待機状態など)は労働時間となりますので、運用には注意が必要です。なお、改善基準告示は2024年4月1日から改正版が適用されており、拘束時間の上限や休息期間の基準が見直されています。

病院勤務の医師・看護師や、社会福祉施設勤務の職員は、常態としてほとんど労働する必要のない勤務に従事するなどの要件を満たす場合、

所轄労働基準監督署長の許可を得ることで、労働基準法の労働時間、休憩、休日に関する規定が適用されなくなる(深夜業の割増賃金の規定は適用される)

というルールがあります(宿日直許可)。ちなみに、医師・看護師などのように24時間対応が求められる職種では、「オンコール対応」といって緊急時に備えて自宅などで待機することが求められますが、

  • オンコール対応の待機時間は、原則として労働時間には含まれない
  • ただし、呼び出しの頻度や、呼び出された場合にどの程度迅速に病院に到着することが義務付けられているか、待機中の活動がどの程度制限されているかなどを踏まえ、労働時間とみなされることがある

という考え方になるようです。

「会社の指揮命令下にあるか」がポイントで、呼び出しの頻度・迅速な出勤義務・待機中の行動制限が強いほど労働時間と判断されやすくなります。企業側は就業規則や労使協定で待機手当や呼出時の賃金計算を明確化し、当事者側は待機の実態を記録しておくことが重要です。判断が難しい場合は、社労士や労基署へ相談しましょう。

5 セミナー・研修・勉強会

セミナー・研修・勉強会(以下「セミナー等」)は、受講内容などによって労働時間になるかの判断が異なります。例えば、

  • 会社から参加が義務付けられている場合
  • 業務を遂行する上で必須とされている内容を学ぶ場合(資格取得講座など)
  • 参加しない場合に人事評価上の不利益があるなど、事実上参加が強制されている場合

などは労働時間になります。一方、社員が自己啓発やキャリアアップを目的に自分の意思で参加する場合、通常は労働時間になりません。

なお、雇入れ時の安全衛生教育など、労働安全衛生法で会社に実施が義務付けられている教育は、当然に労働時間となります。近年増えているeラーニングについても考え方は同じで、会社が受講を義務付けている場合や、受講しなければ業務に就けない場合は、視聴時間が労働時間になります。「自宅で好きな時間に見られるから、労働時間ではない」とはならないのです。

6 健康診断やストレスチェック

健康診断はその種類によって、労働時間になるかの判断が異なります。例えば、

一般健康診断(定期健康診断など)は、職種に関係なく実施され、業務と直接の関連がないので、労働時間に含めなくてもよい(ただし、円滑な受診のため、受診時間分の賃金は支払うのが望ましい)

とされています。一方、特定の有害な業務に従事する社員に対して行う特殊健康診断(有機溶剤健康診断など)は業務を遂行する上で実施が不可欠なので、労働時間になります。特殊健康診断は原則として所定労働時間内に行い、時間外に実施した場合は割増賃金の支払いが必要です。

次にストレスチェックの受検時間ですが、こちらは一般健康診断と同様、労働時間として扱わなくても問題ありません。ただし、受検しやすくするために賃金を支払うことが望ましいとされています。一方、長時間労働者やストレスチェックの高ストレス者に対する医師の面接指導は、会社の義務として実施するものなので、労働時間として扱うのが無難です。

7 鍵当番・解錠業務

交代制でオフィスや店舗の鍵を管理する「鍵当番」が、始業時刻の30分~1時間前に出勤して解錠しているケースがあります。この早出時間が労働時間に当たるかどうかは、

当番の社員が始業時刻ぎりぎりに出勤した場合、遅刻として不利益な取り扱いを受けるかどうか

が判断のポイントになります。遅れて出勤すると叱責を受けたり、評価が下がったりするような運用であれば、その早出時間は社員が自由に使える時間とはいえず、労働からの解放が保障されていない「手待ち時間」として労働時間になります。

鍵当番を置く場合は、当番の社員に早出分の手当を支給するか、シフトを組んで始業時刻そのものを前倒しするなど、早出時間を正式な労働時間として扱う体制を整えておくのが望ましいでしょう。

早出時間を労働時間として扱う場合、1日単位では30分程度でも、1日8時間・週40時間の法定労働時間を超えれば割増賃金の支払いが必要になります。また、労働時間は1分単位で把握・集計するのが原則で、日々の労働時間の端数を会社が一方的に切り捨てる処理は認められません(1カ月の合計に生じた30分未満の端数を切り捨て、30分以上を1時間に切り上げる処理は例外的に可能です)。

以上(2026年7月更新)
(監修 社会保険労務士 柴田充輝)

pj00272
画像:ChatGPT

「個人情報保護法」とは?【かんたん個人情報保護法(1)】

1 個人情報保護法の目的は2つ

情報漏えいなどの事件が起きると、必ずと言っていいほど話題に挙がる「個人情報保護法」。とはいえ、「では、法律の内容を知っていますか?」と聞かれたら、答えられない人がほとんどかもしれません。そこで、この記事で法律の全体像やイメージを分かりやすく解説します。

まず、個人情報保護法は何のための法律なのかですが、その目的は大きく2つに分けられます。

  1. お客様をはじめとする個人の権利・利益を守る
  2. 個人情報を上手に活用してサービス品質の向上や業務効率化につなげる

「個人の権利・利益」と「個人情報の有用性」のバランスを取りながら、民間事業者や行政機関が個人情報を適正に取り扱うための基本的なルールを定めたのが個人情報保護法です。

画像1

2 どのような情報が個人情報に当たるのか

1)そもそも「個人情報」とは?

法令上の定義はさておき、実務上、個人情報とは、

生きている人の情報で、その人を特定できることになる情報は全て個人情報

と考えて差し支えないです。

画像2

氏名、住所、電話番号、メールアドレス、生年月日、顔写真、映像情報、音声情報、指紋、虹彩、マイナンバー、パスポート番号、運転免許証番号など、さまざまな情報が個人情報に当たります。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン(通則編)」に具体例が紹介されているので、興味のある方は確認してみてください。

■個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」■

https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a2

2)個人情報保護法の用語も押さえておこう

個人情報保護法では「個人情報」の他に、「個人情報データベース等」「個人データ」「保有個人データ」といった用語が使い分けられています。似たような用語ですが、それぞれ取り扱う際に守るべきことが違います(後述する「個人情報保護法の10のチェックポイント」を参照)。

それぞれの関係は次のようなイメージになります。

画像3

「個人情報」を取り扱う際は、取得・利用のルールを守らなければなりません。

「個人情報データベース等」とは、特定の個人情報を、コンピューター上で検索できるようにしたものや、紙媒体で整理・分類し、目次や索引を付けているもののことです。

「個人データ」とは、この個人情報データベース等を構成する個人情報のことです。個人データについては、保管・管理のルールや第三者提供のルールを守らなければなりません。

「保有個人データ」とは、個人データのうち、開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止を行うことのできる権限を有するもののことです。保有個人データについては、開示請求等のルールを守らなければなりません。

個人情報保護委員会の次のFAQに「個人情報、個人データ、保有個人データの義務規定の差異」が紹介されているので、興味のある方は確認してみてください。

■個人情報保護委員会「『個人情報』と『個人データ』の違いは何か。」■

https://www.ppc.go.jp/all_faq_index/faq2-q2-3/

3 個人情報をどのように取り扱わなければならないのか

会社として最低限守るべきルールについて、個人情報保護委員会が中小企業向けに示している「個人情報保護法10のチェックポイント」を確認してみましょう。

(図表4)【個人情報保護法10のチェックポイント】
分類 チェック項目
取得・利用 1 個人情報を取り扱うに当たって利用目的を決めていますか?
2 その利用目的は、本人に通知するか公表していますか?
保管・管理 3 個人情報の取り扱いのルールや責任者を決めていますか?
4 個人情報の取り扱いについて社員に教育を行っていますか?
5 個人情報が含まれる書類や電子媒体について、誰でも見られる場所・盗まれやすい場所に放置していませんか?
6 パソコンなどで個人情報を取り扱う場合、セキュリティ対策ソフトウエアをインストールして最新の状態にしていますか?
7 個人情報の取り扱いを委託する場合、契約を締結するなど、委託先に適切な管理を求めていますか?
第三者提供 8 本人以外に個人情報を提供する場合、本人に同意をとっていますか?
9 本人以外に個人情報を提供したり、本人以外から個人情報を受け取る際、相手方や提供年月日などについて記録を残していますか?
開示請求等 10 本人から自分の個人情報を見せてほしいと言われたり、訂正してほしいと言われた際には、対応していますか?
(出所:個人情報保護委員会「(中小企業等向け)個人情報保護法10のチェックポイント (令和6年4月)」を基に作成)

簡単に言うと、個人情報を取り扱うときに押さえておくべきポイントは次の4つです。

  1. 勝手に使わない
  2. なくさない。漏らさない
  3. 勝手に人に渡さない
  4. 問い合わせがあったら対応する

実際には、法令や個人情報保護委員会が定める各種ガイドラインで、個人情報の取り扱いに関するルールが決められています。

■個人情報保護委員会「法令・ガイドライン等」■

https://www.ppc.go.jp/personalinfo/legal/

4 個人情報保護法に関する主な相談先、よくある質問

個人情報保護委員会は、AIチャットボットによる自動応答で個人情報保護法の基本的な事項を説明する「PPC質問チャット」を開設し、電話での相談窓口も設置しています。

■個人情報保護委員会「PPC質問チャット」■

https://2020chat.ppc.go.jp/

個人情報保護法相談ダイヤル:03-6457-9849

※受付時間 9:30~17:30(土日祝日および年末年始を除く)

また、個人情報や特定個人情報の保護に関する「よくある質問」を横断的に探すための索引を掲載しています。

■個人情報保護委員会「お問合せ FAQ索引」■

https://www.ppc.go.jp/all_faq_index/

以上(2026年7月更新)

pj60083
画像:Tierney-Adobe Stock

社会人として押さえておきたい基本 シリーズ8本を一挙紹介【かんたん個人情報保護法】

1 他人事ではない「個人情報保護法」

どんな会社でも、お客様や取引先、社員などの個人情報を取り扱います。昨今は会社の規模や業種を問わずランサムウエアが猛威を振るっていますが、そうしたサイバー攻撃を受けるなどして個人情報の漏えい等が発生した場合に、知らなかったという言い訳は通用しません。

一方で、個人情報の重要性は分かっているけど、「個人情報保護法」に基づく個人情報の取り扱いルールについては、正直よく知らないという人も多いはずです。

そこで、この【かんたん個人情報保護法】シリーズでは、「個人情報保護法」について前提知識のない一般社員の人向けに、社会人として身に付けておきたいベーシックな内容を、それぞれコンパクトにまとめて紹介します。コンプライアンス教育の一環として、また、より深く掘り下げて専門的な知識を身に付けるための第一歩として、ぜひお役立てください。

なお、2026年7月10日、個人情報保護法の改正案が参議院本会議で可決、成立しました。この改正は、公布の日から起算して2年を超えない範囲内で政令で定める日に施行されます。AI開発などの促進を図るため、統計作成目的での本人同意を不要とする特例が設けられたほか、悪質な違反に対する課徴金制度などが創設されましたが、このシリーズでは詳細は割愛します。

2 「個人情報保護法」の目的は? 「個人情報」って何?

まず、押さえておきたいのは、個人情報保護法とは何のための法律なのか、そもそも個人情報とは何なのかです。簡単に言うと、

  • 個人情報保護法:「お客様をはじめとする個人の権利・利益を守ること」「個人情報を上手に活用してサービス品質の向上や業務効率化につなげること」を目的とした法律
  • 個人情報:生きている人の情報で、その人を特定できることになる全ての情報

です。

次のコンテンツで、両者のもう少し詳しい説明と、個人情報をどのように取り扱わなければならないのか、最低限守るべきルールを10のチェックポイントとともに紹介します。

3 個人情報を取得・利用するときのルールは?

個人情報を取り扱う際は、個人情報保護法に基づく取得・利用のルールを守らなければなりません。例えば、

  • 個人情報を取得するときは、不正の手段により行ってはならない
  • 個人情報を利用するときは、利用目的をできる限り特定しなければならない

などの決まりがあります。

次のコンテンツで、個人情報を取得・利用するときのルールを紹介します。

4 個人データの取り扱いに関するルールは?

特定の個人情報を、コンピューター上で検索できるようにしたものや、紙媒体で整理・分類し、目次や索引を付けているもののことを「個人情報データベース等」といいます。そして、

個人情報データベース等を構成する個人情報のことを「個人データ」

といいます。個人データを取り扱う際は、個人情報保護法に基づく保管・管理のルールや、第三者提供のルールを守らなければなりません。例えば、

  • 個人データを個人情報取扱事業者(会社)が自ら取り扱う場合、データ内容の正確性を保ち、必要がなくなったら消去しなければならない
  • 個人データの取り扱いを外部に委託する場合、委託先が個人情報保護法などで定められている適切な「安全管理措置」を講じているか、あらかじめ確認しなければならない

などの決まりがあります。個人データを自ら取り扱うのか、外部に取り扱いを委託するかなどによって、守るべきルールが変わってくるので注意が必要です。

次のコンテンツで、個人データの取り扱いに関するルールを紹介します。




5 保有個人データについて問い合わせや苦情が来たら?

会社が保有する個人データのことを「保有個人データ」といいます。正確な定義は、

個人情報取扱事業者(会社)が、開示、内容の訂正、追加または削除、利用の停止、消去、第三者への提供の停止を行うことのできる権限を有するもの

です。会社は、保有個人データを安全に管理するだけでなく、必要に応じてデータに関する社員からの問い合わせ等にも対応しなければなりません。例えば、

  • 本人(または代理人)から「利用目的の通知」の求めや「開示」の請求があったら対応しなければならない
  • 保有個人データの取り扱いに関する苦情の申出先を定め、本人の知り得る状態(ホームページへの掲載、本人の求めに応じて遅滞なく回答を行う等)にしておかなければならない

などの決まりがあります。

次のコンテンツで、保有個人データについての問い合わせ等への対応を紹介します。

6 おことわり

【かんたん個人情報保護法】シリーズの記事では、大枠を理解することを優先し、個人情報保護法や各種ガイドラインの条文を基に、その趣旨を逸脱しないかたちで意訳している部分があります。正確な条文は、法やガイドラインをご確認ください。

また、法やガイドラインでは、「仮名加工情報」「匿名加工情報」「個人関連情報」の取り扱いに関する義務も規定されていますが、本シリーズでは割愛します。

以上(2026年7月更新)

pj60358
画像:日本情報マート

デジタル遺品のトラブルを防ぐための 「1分」でできる一工夫

1 デジタルが欠かせないなら、「デジタル終活」も欠かせない

デジタルはすでに世の中に欠かせない存在になっています。コンビニのレジにも病院の受付にもQRコードを読み込むリーダーが設置されていますし、上場株を保有するならデジタルでの取引が必須条件となります。取引先への連絡手段としてもチャットやメールのほうが電話より利用している人が多いのではないでしょうか。

パソコンやスマートフォン(スマホ)、オンラインアカウントなどなど、好むと好まざるとにかかわらず、「デジタル資産」を全く持たない生活は不可能に近いでしょう。

であるならば、

万が一のときにデジタル資産で困らないようにする「デジタル終活」は誰にとっても欠かせないこと

だといえます。とりわけ、経営者の方はきちんと備えておかないと、社会的な信用問題に直結する恐れがあります。家族や社員、株主、取引先のためにも、日ごろからデジタル終活を実践しましょう。

2 必要最小限のデジタル終活は「スマホのスペアキー」

1)パスワードを書いた紙に修正テープを

最低限やっておくべきデジタル終活は何かと問われれば、誰に対しても「スマホのパスワードを紙に書いて残しておくことです」と答えます。スマホを持っていない方は、メインで使っているパソコンのパスワードと置き換えてください。

名刺サイズの厚紙にスマホの型番や特徴とパスワードを書き入れる。記入日も添えたい。

方法を具体的に解説しましょう。必要なものは名刺サイズの厚紙とペン、それに修正テープ、もしくはマスキングテープです。特別な道具は要りません。まずは厚紙にスマホの型番や特徴とパスワードを書き込みます。そして、パスワード部分にだけ修正テープを走らせます。一度だけでは透けてしまうので、2~3回重ねるのがコツです。厚紙を照明にかざすと裏側から文字が透けることもあるので、裏側にも同様に修正テープを重ねておきましょう。マスキングテープを使う場合も2枚重ねにすれば、文字が透けなくなります。

パスワード部分に修正テープを重ねてスクラッチカードにする。裏側にも同様の処理を施す。

これで即席のスクラッチカードの出来上がりです。これを預金通帳や権利書などの重要な書類と一緒に保管しておけば、万が一の際もかなり高い確率で家族や社員に気付いてもらえるはずです。普段盗み見られる心配も、修正テープが抑えてくれます。誰かが削って盗み見たら厚紙に痕跡が残るので、気付いた時点で手元のスマホのパスワードを変更して作り直すだけです。

有事に家族や社員が確認しそうな書類と一緒に保管しておく。

私はこれを「スマホのスペアキー」と名付けました。お手持ちの名刺を使えば、1分以内に作れそうではないですか?

作例のような専用カードを作るなら、筆者のホームページ(https://www.ysk-furuta.com/)でひな型を公開しているので、ぜひご利用ください。

2)なぜスマホなのか?――理由1:「スマホの財布化」

デジタル遺品になり得るものはさまざまな種類があります。その中で、なぜスマホを第一優先にすべきなのでしょうか。理由は2つあります。

ひとつは、スマホがデジタル遺品の要になりやすいことが挙げられます。通話やLINEのやりとりといったコミュニケーションの履歴が残るだけでなく、最近はネットバンキングや有価証券の取引の道具としても、パソコン以上に積極的に活用されています。

とりわけ近年目立っているのは、QRコード決済サービスです。スマホで使うことを前提に設計されたサービスで、業界大手の「PayPay」はサービス内に最大100万円分をチャージしておけます。スマホを最大100万円の財布として使えるわけですが、残高を残したまま持ち主に何かがあっても、残された人が現実の財布のようには抜き出すことはできません。

マイナンバーカードのスマホ実装も進んでいて、いまでは地方税や自動車税をスマホから納税することもできます。今後数年を見通しても、財産と個人情報の両面からみてスマホの存在感が高まっていくのは間違いなさそうです。

3)なぜスマホなのか?――理由2:「FBIでも開けない強固すぎる構造」

それでいて、スマホのロックは非常に強固です。それが2つ目の理由となります。

最新のスマホは指紋や瞳の虹彩、顔などの生体認証システムと、文字列などを使ったパスワードシステムを併用するロックが一般的です。どちらかの鍵さえあれば開けますが、どちらも手に入らないとお手上げになってしまいます。本人の身を不幸が襲って生体認証が使えなくなり、パスワードも本人の頭の中だけだったら……もうお手上げです。

ロックを解除する別の方法は、一切用意されていません。通信キャリアのショップやメーカーもマスターキーを提供していないので、相談しても無駄です。

比較的解析のノウハウが蓄積されているパソコンでも、この状態になると専門のサポートサービスでも難航するケースが増えています。ましてスマホとなると、解除を検討してくれるところは全国を見回しても片手で収まるほどしかありませんし、成功率はかなり低くなります。

象徴的なのが、2016年にFBIがアップル社を相手取って起こした連邦裁判です。前年に発生した銃乱射事件では、現場で射殺された犯人が同社のスマホ「iPhone」を所持していました。FBIはこのスマホの解析に乗り出しましたが、自力でのロック解除を断念。そこで製造元のアップル社に技術提供を要請したものの、その後の不正利用を不安視した同社が拒否したことで裁判に発展しました。

つまり、家電量販店や通信キャリアのショップに普通に並んでいるスマホは、一台一台が、FBIですら自力ではどうすることもできないほど強固なセキュリティー機能を有しているわけです。年々セキュリティー技術はハイレベルになっていることを考えると、2016年頃よりも現在のほうが難易度は数段増しているでしょう。ポケットに収まる地下金庫のような、アンバランスな存在といえます。

そんなスマホですが、いざというときにパスワードさえ伝わる仕組みを自分で作っておけば、不測の事態が起きても何の憂いもありません。そのために「スマホのスペアキー」を用意しておく必要があるのです。

3 日ごろから「求められるもの」と「隠すもの」に分ける

さて、スマホのスペアキーが役目を果たすときは、家族や社員が自分のデジタル環境に足を踏み入れるときでもあります。当たり前のことですが、ことデジタル環境においては、それを想定している人は意外と少ないようです。

ある女性から相談を受けました。法人成りした自営業の夫が急な不幸に見舞われたとのことで、仕事場に残された数台のパソコンを調べるためのアドバイスが欲しいといいます。法律面と技術面で基本的な情報を伝え、信頼できるデジタル遺品サポートを紹介したところ、連絡すべき相手や法人名義の預金口座など、あらかたの情報が拾い出せたそうです。しかし、仕事関連の隣にあったフォルダーからプライベートで収集していた画像が大量に見つかり、相当面食らったと後から教えてくれました。

プライベートなコレクションの中には、違法性が疑われるデータが出てきたという話も少なからず耳にします。その是非はさて置き、デジタル環境においても、日ごろから自分以外の誰かが足を踏み入れることを想定しながら使用する、という意識が必要なのは間違いないでしょう。

家族や社員がデジタル遺品を調べる動機は、金銭関連や進捗中の仕事の情報などの把握が第一に挙げられます。第二に家族写真などの思い出のデータを探したい欲求も強いことがよくあります。

そのように、残された側が求めるであろうデジタル遺品は、なるべく分かりやすいところに置いておくのが親切です。そして、隠しておきたいものがあるなら、その動線上に置かないように、日ごろから意識しておくのが鉄則です。

求められるものと隠したいものの配置を考える

パソコンには隠しファイル機能がありますし、パスワード付きの外付けハードディスクに保存するといった手もあります。スマホも特定の写真を隠しフォルダーに収納するなどの工夫の余地はいくらでもありますが、何よりこの鉄則を守ることが大切です。残された側が必死に探すモチベーションを持たない領域なら、いくらでも自由に隠したり壁を作ったりできるでしょう。

ただ、ひとつ注意したいのは、閲覧履歴や通信履歴などは普通に使っているとどうしても痕跡が残るということです。また、バックアップ機能も十分に把握しておかないと、隠したいものの完全な隠蔽は難しいでしょう。デジタル環境をきちんと整理整頓するには、それなりの知識と使いこなしが必要になります。残念ながら、魔法のようなアイテムは存在しません。

以上(2026年7月更新)

pj60299
画像:metamorworks-Adobe Stock

【労災の落とし穴(建設業)】熱中症は労災になる? ならない?

この記事では、現役社労士が直面した小さな建設業の労災の事例として、「社員が日陰も休憩もほとんどない環境で熱中症になったのに、『本人の自己責任なので労災ではない』と判断してしまった会社」の話を紹介します(実際の会社が特定できないように省略したり、表現を変えたりしているところがあります)。

1 日陰も休憩もほとんどない環境なのに、熱中症になったら自己責任と言われた……

社員数10人の屋根工事会社に勤めるベテラン社員のAさん。夏場の猛暑日が続く中、Aさんは屋根のふき替え作業を長時間続けていました。現場には日陰がほとんどなく、しかも社長が「早く終わらせよう」とせかすため、水分補給も十分にできません。そんな環境で仕事をしていたAさんは、作業中に突然、めまいや吐き気を感じ、倒れてしまいました。

同僚がAさんを日陰に移動させ、社長に報告しましたが、社長は「体調管理が甘かったんだろう」「水分をちゃんと取っていたら、こんなことにはならなかったはず」と、Aさんの自己管理不足を責める始末……。さらに、「大した症状ではないだろう」と判断し、労災対応や医療機関への報告も行わず、Aさんを自宅で休ませるだけにとどめてしまいました。

2 会社の安全配慮義務が原因で熱中症になったのなら、労災になり得る

業務中の事故でけがをした場合、それが労災になるかどうかは、

  • 業務遂行性:その事故は、「会社の支配・管理下にある」ときに発生したのか
  • 業務起因性:その事故は、「業務と因果関係がある」といえるか

を基準に判断されます。

Aさんは、屋根のふき替え作業中に突然、めまいや吐き気を感じたので、業務遂行性は認められるでしょう。問題は、業務起因性ですが、会社には安全配慮義務(労働者が安全に働けるよう配慮する義務)があるため、

安全配慮義務を果たさなかったことで事故が発生したのであれば、業務との因果関係があるとして、業務起因性が認められる可能性が高い

です。屋外作業や高温多湿の環境が原因で起こる熱中症は、会社が管理すべき作業環境が大きく影響します。Aさんのケースでは、「休憩を十分に与える」などの安全対策が取られておらず、安全配慮義務を十分に果たしているとはいえないので、労災になり得ます。「本人の体調管理が甘かった」「水分をちゃんと取らなかった」では済まされないのです。

3 万が一の発症時は、すぐ医療機関を受診&労災の手続きを

熱中症は重篤化すると生命に関わる危険があります。2025年の職場における熱中症の死傷者数は1803人、うち建設業は292人で全体の16.2%を占めています(厚生労働省「2025年(令和7年)職場における熱中症による死傷災害の発生状況(確定値)」)。

熱中症の疑いがある社員がいたら、まずは速やかに作業を中断させ、医療機関を受診するよう指示しましょう。なお、会社には、

  • 熱中症の自覚症状がある場合や、熱中症の疑いがある同僚などを発見した場合に、そのことを会社に報告させる体制を整え、周知すること
  • 熱中症のリスクがある作業を行う場合、症状の悪化を防ぐための措置やその手順を作業場ごとに定め、周知すること(作業から離脱する、身体を冷やす、必要に応じて医師の診察を受けさせる など)

が義務付けられています。違反した場合、労働安全衛生法により、6カ月以下の拘禁刑または50万円以下の罰金の対象になるので気を付けましょう。また、労災であれば、

4日以上の休業が発生した場合、労働基準監督署に「労働者死傷病報告」を遅滞なく提出しなければなりません。4日未満でも、四半期ごと(3カ月ごと)にまとめて報告が必要

です。こちらの違反は50万円以下の罰金の対象になります。

ここまでが、社員が熱中症になった場合の対応ですが、もちろん「予防」も大切です。

  • 定期的な休憩時間の確保
  • スポーツドリンクの用意
  • 日除け・テントや遮光ネットの設置
  • 冷却ベストやファン付き作業服の導入(作業服や保護具の通気性が悪い場合)

など、会社が取れる予防策は多岐にわたります。熱中症の初期症状(めまい、だるさ、吐き気、頭痛など)を社員に周知し、チーム全員で互いの体調をチェックし合えるようにするなど、安全衛生教育も不可欠です。

夏の建設現場は、何もしなくても熱中症になるリスクがあります。

社員の自己責任では片付けられない(会社が責任を問われる可能性がある)

ということを念頭に置いて、会社主導で積極的に対策を講じましょう。

以上(2026年7月更新)

pj00759
画像:ChatGPT

狙われるテレワーク環境 自宅のルーターの脆弱性にも要注意!

1 テレワーク環境のセキュリティ対策は十分ですか?

会社から離れた場所(自宅など)で、ITツールを使って仕事をするテレワーク。働き方改革の一環として、また、自然災害などの非常時でも事業を継続する手段として注目され、コロナ禍をきっかけにテレワークを行えるようにした会社も多くあります。

一方、セキュリティが十分に確保されていない環境でのテレワークが依然として行われており、そうした脆弱性を突かれて、さまざまな会社が深刻な被害に遭っています。

IPA(情報処理推進機構)の「情報セキュリティ10大脅威2026」では、「リモートワーク等の環境や仕組みを狙った攻撃」が第8位としてランクイン

しました(初選出の2021年以来、6年連続6回目)。

(注)「リモートワーク」と「テレワーク」はほぼ同義として扱われるため、この記事では総務省などの公的資料に倣い「テレワーク」という表記に統一して解説します。

この記事では、中小企業の経営者やマネジメント層、そして現場の従業員の方に向けて、テレワーク環境を狙ったサイバー攻撃の脅威に焦点を当て、今すぐ実践すべき注意点を解説します。

2 テレワークを行う際のセキュリティ上のポイント

1)基本は、日常における情報セキュリティ対策

テレワークを行う際のセキュリティ上のポイントは「ネットワーク環境の安全性」です。中でも、無線LAN(Wi-Fi)は、通信内容が傍受(盗聴)される危険性があるため特に要注意です。

ユーザーIDやパスワードなどのログイン情報をはじめ、機密性の高い情報をやり取りする場合には、自分と相手先との間で通信が暗号化されていることを確認しましょう。自宅内など自分でアクセスポイントを設置して利用する場合、無線LANの暗号化方式は「WPA3」もしくは「WPA2」を利用することが推奨されます。

メーカーのサポートが終了した機器の利用は避け、脆弱性を解消するアップデートプログラム(ファームウェア)を定期的に、できれば自動更新機能で適用しましょう。その他、外部からの不審な接続がないか、管理画面へのアクセス権限が適切かなど、ルーターの設定状況を定期的にチェックします。

また、ルーターの接続パスワードや管理画面のパスワードを、初期設定のままにしたり、簡単な文字列にしたりするのは厳禁です。

もちろん、次のような基本的な対策は欠かせません。

  • パソコンやスマートフォンのOS・ソフトウェアを常に最新版にする
  • セキュリティソフトを必ず導入し、定義ファイルの自動更新を有効化しておく
  • 安易にメールのリンクをクリックしたり添付ファイルを開いたりしない
  • パソコンの紛失、盗難に気をつける
  • パソコンの画面を覗き見されないようにする

2)「会社の管理外」のネットワーク環境にも注意

外出先(カフェ、ホテルや空港など)でテレワークを行う場合、最大のリスクは「会社がコントロールできない公衆無線LAN環境」に情報がさらされることです。会社としてモバイルルーターを貸与し、公衆無線LANへの接続を禁止するのも一手です。

もちろん、次のような基本的な対策は欠かせません。

  • 攻撃者が設置した「偽のアクセスポイント」に誤って接続しない
  • ウェブブラウザのURLを確認し、HTTPS通信になっているか(暗号化されているか)確認する
  • パソコンのファイル共有機能をオフにする

3)参考:日本テレワーク協会の「ツール一覧」の活用

技術的対策について「具体的にどのような製品を選べばよいか分からない」という課題に直面しがちです。その強力な助けとなるのが、日本テレワーク協会の「テレワーク関連ツール一覧」です。この資料は、テレワーク推進担当者向けに作成されており、導入時に検討すべき安全なネットワークや、各種ITツール(ソフトウェア・サービス等)を網羅的に提示しています。

■日本テレワーク協会「テレワーク関連ツール一覧」■
https://japan-telework.or.jp/tw_info/suguwakaru/guide/#tool

3 VPN機器の脆弱性などに要注意!

1)ランサム攻撃の侵入経路の6割以上がVPN機器

テレワークを実施する会社の多くは、外部から社内システムに安全に接続するための仕組みとしてVPN(Virtual Private Network)を導入しています。テレワーク環境を狙ったサイバー攻撃で、現在、最も警戒すべきなのが「VPN機器」への攻撃です。

警察庁の統計資料によると、2025年にランサム攻撃の被害に遭った企業・団体など226件へのアンケート結果で、「侵入経路はVPN機器が6割以上を占める」状況となっています。ランサム攻撃は、パソコンやサーバーなどに保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価として金銭や暗号資産を要求するサイバー攻撃です(IPA「情報セキュリティ10大脅威2026」で第1位)。

ランサム攻撃の侵入経路

警察庁調査(2025年・被害企業226件)─ 侵入経路の6割以上がVPN機器

6割

がVPN機器からの侵入
VPN機器
その他の経路

中小企業では「サポート切れ機器の放置」や「例外措置の形骸化」が特に深刻。数年前に導入したまま見直していないVPN機器が、攻撃者にとって格好の標的になっている。

(出所:警察庁統計資料、IPA「情報セキュリティ10大脅威2026」)

2)SSL-VPN接続は見直しが必要

テレワーク環境を持つ全ての会社が直面している重要な技術的トピックとして、

今まで広く使われてきたSSL-VPN接続は非推奨となっていること

が挙げられます。

例えば、統合脅威管理(UTM)機器「FortiGate」で知られる、業界大手の米Fortinet(フォーティネット)社は、同社製機器における「SSL-VPN接続機能」のサポート終了へと舵を切りました。これには、SSL-VPNという通信方式そのものに構造上の脆弱性が多く、世界中の攻撃者から執拗に狙われ続けてきたことが背景にあります。同社は、短期的には「SSL-VPN」から「IPSec-VPN」への移行を推奨しています。

SSL-VPNからIPSec-VPNへ

構造上の脆弱性を理由に、業界大手Fortinet社もSSL-VPNのサポート終了へ

非推奨

SSL-VPN接続

通信方式に構造上の脆弱性が多く、世界中の攻撃者から狙われ続けている

移行を推奨

IPSec-VPN

Fortinet社が短期的な移行先として推奨する通信方式

(出所:Fortinet社発表資料ほか)

4 テレワーク環境の安全性を確かめるためのチェックリスト

1)経営者・マネジメント層向け

チェック項目
テレワークに関する社内ルールを策定し、全社に周知・徹底しているか
承認制にするなど、テレワークを行う従業員を特定しているか
テレワークを行う従業員に対し、会社としてパソコンやモバイルルーターを貸与、管理しているか
テレワークを行う従業員に対し、定期的に情報セキュリティや労働時間などに関する教育を行っているか
社外から社内ネットワークへの接続を認める場合、「SSL-VPN以外」の方法を採用しているか

2)従業員向け

チェック項目
自宅の無線LANの暗号化規格は「WPA3」もしくは「WPA2」であるか
無線LANルーターの接続パスワードや管理画面のパスワードを推測されにくい複雑なものにしているか
無線LANルーターはサポート期間中で、ファームウェアが最新になっているか
無線LANルーターの設定を定期的に確認しているか
接続するアクセスポイント(SSID)を確認しているか
ウェブブラウザのアドレスバーでURLが「https://」となっているのを確認しているか
意図せずファイルやフォルダを他人に見られないよう、パソコンの共有設定に注意しているか
電車の網棚にパソコンが入った鞄を置き忘れたり、カフェなどでパソコンを放置して離席したりしていないか
パソコンに覗き見防止フィルターを装着しているか

以上(2026年7月作成)

pj60389