【経営者インタビュー】残業多過ぎて労基署が入った会社が、10年かけて「残業ほぼゼロ・社員数3倍・売上4倍」になった理由

1 「残業当たり前」のブラック企業も大きく変われる

「2015年に私が会社を継いだときは、完全に今でいうブラック企業でした。ただ、当時は日本中でたくさん残業して働くことが美徳で、ブラック企業という言葉も考え方もほとんどなくて。それが当たり前の時代だったんです」

さらりと穏やかにそう語るのは、福島県福島市に本社を置くケーエフエスグループ代表取締役、小島清一郎氏(以下「小島代表」もしくは「代表」)です。

会報誌「ひとと、まちと。」をご紹介くださる小島代表

写真:会報誌「ひとと、まちと。」をご紹介くださる小島代表。
「人」「地域」を大事にしていることが伝わってくる

ケーエフエスグループは、会計事務所を母体としながら、現在は企業の「未来会計(管理会計)」や「経営計画策定」支援、経理などの「バックオフィス支援」、補助金申請や事業承継、M&Aなどコンサルティングまでを幅広く手掛けるプロフェッショナル集団です。

創業から事業承継まで、企業のライフステージごとにサポートしてもらえるサービスがあり、中小企業が丸ごとお世話になることができるイメージです。

■ケーエフエスグループのコーポレートサイト■
https://kfs-group.jp/

コーポレートサイトのスクリーンショット

■グループ会社・株式会社トトノエのバックオフィスアウトソーシングサービス「トトノエ」■
https://kfs-fukushima.com/totonoe/

トトノエ紹介サイトのスクリーンショット

現在はこうしたさまざまな中小企業支援で知られるケーエフエスグループですが、時計の針を10年前に戻すと、今の姿からは想像もつかない実態がありました。

深夜残業は当たり前、有給取得は“怠け者”とみなされ、勤怠管理さえ存在しない。さらに、当時は東日本大震災から数年後で、特に福島県では風評被害の影響も出ていました。

そんな矢先に降りかかったのが「労基署(労働基準監督署)の立ち入り調査」だったのです。

そこからの10年間で、小島代表は会社を大きく変貌させます。

残業はほぼゼロへ。
社員数は約3倍、そしてなんと、売上は4倍に。

厳しい状況から、ケーエフエスグループがいかにして高生産性企業へと生まれ変わったのか。小島代表はどのようなことを仕掛けてきたのか。以降ではその改革を紐解いていきます。

実は、同社の変革は単に残業削減、業務効率化だけの話ではありません。肝となるのは

「高付加価値化」

です。

「高付加価値化も実現し、同時に売上も上げていく、真の生産性向上の話」

です。結果的に、10年経って、売上は4倍にもなっています。小島代表が惜しみなく教えてくれた方法は、多くの中小企業に当てはまりますし、活用できる具体的なポイントもあると思います。業務効率化と高付加価値化は同時に実現できる、むしろ、同時に実現すべきだ、ということがよく分かります。ご参考になれば幸いです。

2 雨の日、突然の「労基署」

2015年当時、代表に就任したばかりのころは、時代的に「長時間労働こそが正義」という空気が蔓延していました。

「当時10年前は、社員も皆、ブラック企業という言葉もほとんど意識していなかったし、”有給を取るのは怠け者”みたいな感覚があったり。うちの会社だけではなくて、日本全体がそういう雰囲気でした」

こう振り返る小島代表です。実際に、ケーエフエスグループの社員たちも、残業が多くても疲弊しているという感覚もなく、深夜1時2時まで働くことが「普通」になっていたある日、衝撃的な出来事が起こります。

雨が降る日のことでした。

「その日が雨だったことを、私は覚えています。車が横付けで順番に来て、4人くらいのスーツを着た人が降りて、事務所にいきなり来て『労基署です』と。そんな状態だったんです」

労基署が入ったのは、おそらく、退職したナンバーツーの社員が労基署に訴えたと思われるそうです。

当時の先代社長は昭和気質な経営者だったこともあり、小島代表は、この労基署立ち入りのタイミングで、36歳にして経営のバトンを受け取りました。相手に対してファイティングポーズをとらない常に穏やかで優しい人柄、それでいて、強い芯と覚悟を持って仕事に向き合う姿勢、物事の本質を素早くとらえ疑問点に鋭く突っ込む視点も併せ持つのが小島代表です。

小島代表が会社を継いだのは、言葉を選ばずに言えば最悪のときでした。しかしだからこそ、「会社を潰してはならない」と腹を括ります。

「お客さまを守る、地域を守る。そのためには会社を潰してはならない。やるしかない」

その覚悟で、小島代表は労基署の是正勧告に向き合い、組織の大改革へと踏み出したのです。

継いで最初の大仕事が労基署への対応。これはかなり壮絶な日々だったと思います。

3 職人集団に「製造業」の仕組みを持ち込む

残業を減らすために小島代表が着手したのは、会計事務所によくみられる「属人化」にメスを入れることでした。

一般的に会計業務は、「このお客さまのことは、この担当者しか分からない」という状況になりがちです。すべてを担当者一人が抱え込むため仕事の中身がブラックボックス化し、手伝うことも管理することも難しい状態です。まさしく属人化です。

そこで小島代表は、このある意味「職人的な現場」に、

製造業の「工程管理(製販分離)」の考え方

を持ち込みました。分かりやすくいうと、

属人化している仕事の中にある、「誰がやっても同じ結果になる業務」を、切り離して見える化する

という方法です。「うちの会社の業務は属人化しているものが多いから、効率化は難しい」という中小企業は多いかもしれませんが、この工程管理の考え方であれば取り組めるかもしれません。具体的な方法について、次のように小島代表は教えてくれました。

「まず、『属人化の定義』ってめちゃくちゃ大事だと思っています。業務全部が属人化、つまり、その人しかできない特殊な業務なわけじゃないんですよね。
例えば、どんなお客さまに対してもお見積もりを出しますよね。同じように、どのお客さまにも請求書を発行します。お見積もり提出、請求書発行、これは誰がやっても同じ結果になります。仕事を分解していくと、こういう誰がやっても同じ結果になる業務が、4割くらいあることに気づきます。こういう業務は引き剥がせるんです。
まずは仕事を分解してフローをつくって、そのフローの中で引き剥がせるものを具体的に切り出していくことが大事です」

これは、実に分かりやすい話です。このほか、決算書などの資料を回収する、回収した資料のデータを入力するなども、誰がやっても同じ結果になる業務です。

こうした誰がやっても同じ結果になる業務を切り出した上で、そこにルールを定めました。例えば次のような具合です。

  • お客さまから2日以内に資料を回収する
  • 回収したら3日以内にデータ入力を終える
  • データ入力が終わったら次工程へ回す

これを「ラインシート」と呼ばれる工程表で管理し、製造ラインのように、「仕事がどこで止まっているか」を全員が見えるようにしたのです。とても分かりやすい、公平な見える化、透明化です。そして、小島代表は、

このルールを守ることを全員に徹底し、今も継続して徹底し続けている

のです。これがとても重要です。ルールの徹底は非常に難しいことですが、やり続けています。

こうした業務の透明化は、自分のやり方に誇りを持つベテラン社員たちの反発を招きました。

「やはり、できる人ほど自分の仕事を管理されたくないものです。2日以内に出してとか、3日以内に終わらせてと言われるのは、いい気持ちはしないでしょう。できる人ほど自分のやり方やペースに自信があり、慣れていますから、自分の手法でやりたいという感じがありました」

と続ける小島代表。「管理されたくない」「自分のペースでやらせてほしい」。この製造業の工程管理を取り入れてすぐの時期は、そう言って去っていく社員もいたそうです。

全員の業務の見える化を行うと、ある意味、残酷なほど進捗状況はつまびらかになります。例えば、ベテラン社員が資料の回収納期を1件も守れていない一方で、新入社員は全件クリアしているなど。しかもその状況は、全員に知れ渡ります。全員でルールを守ることを考えると、年次や役職にかかわらずこうして皆の進捗状況が明らかになるのは正しいことです。しかし、心情的には納得がいかない社員もいたかもしれません。

それでも小島代表は、「期限を守る」「進捗を見える化する」というルールを10年間徹底し続けて来たのです。結果、社員数は減るどころか約3倍になりました。特に経営者の方は、このすごさが分かるのではないでしょうか。

「誰がやっても同じ結果になる業務」について工程管理し、納期などルールを徹底し、効率化を図る。しかも進捗状況は全員で共有する。この方法は、ともすれば社員にとって厳しいだけのものになりかねません。しかし、小島代表が取り組んだ改革は、そうではないのが大きな特徴です。なぜなら、次のことも行っているからです。

  • 効率化だけでなく、「高付加価値化」も同時に実現する
  • 社員一人ひとりへの声かけも実践し続ける

以降では、改革の「肝」ともいえるこの2点についてみていきます。

4 「高付加価値化」で社員はワクワクできる

多くの企業が「時短」「効率化」だけを追い求めますが、小島代表はそれだけでは不十分だと語ります。

「生産性は、計算式で見ると『かけた時間や人』で『付加価値』を割る割り算なんです。時間や人の効率化だけ実施しても、生産性は上がらない。同時に付加価値を上げていく必要があります。そして結局、その生産性を上げることで賃上げが実現できるんです」

時間を減らすだけでは売上は上がりません。効率化して空いた時間で何をするか。どのようにして価値を高め売上を上げていくか。そこがとても重要だと小島代表は強調します。

例えばケーエフエスグループは、お客さまである法人の過去の数字をまとめるだけでなく、お客さまと共に未来を描く「未来会計(管理会計)」も提供し、現状とのギャップを埋めるよう伴走していく。そうしてお客さまに対する付加価値を高めてきました。

「高付加価値化」という言葉だけだと具体的に何をしていいか分からない社員が出てきそうですが、小島代表が社員に伝え、実際に浸透している考え方は次の通り、とても分かりやすいものです。

「1時間の中で、自分の付加価値を最大化するために何をすべきか」

例えば、1時間の中で、お客さまに合ったソリューションを提案してアップセルを図る、未来会計の取り組み事例を事例集にまとめ新規・既存のお客さまに配信する準備をする、などいろいろと考えられるでしょう。

「1時間の中で自分はお客さまのためにどのような付加価値を出せるか」、もっと直接的に「1時間の中でどのように売上に貢献できるか」というのは、社員にとってとても考えやすいですし、ワクワクして意欲的にもなってきます。

AIやアウトソーシングに任せられる業務は切り出し、社員は人間にしかできない付加価値を高めるコンサルティング業務などに注力し、売上に貢献できる仕組み。ケーエフエスグループは、これをやり続けて、労働時間を減らしながら、売上4倍という数字を実現してきたのです。

5 厳しいルールを支える「声かけ」「伴走」

ルール厳守を徹底することと同じくらい、いや、もしかしたらそれ以上に小島代表が大事にしてきたのが、「声かけ」による「伴走」です。代表は、「声かけは本当に重要です」と強調します。

「うちの会社は、今は残業がほとんどありません。1日8時間。それでも社員は皆、『忙しい』って言うんです。これってどういうことかと考えた時に私が思ったのは、やはり心の問題の『余裕』とスキルの問題の『余力』。これがすごく影響してきます」

気持ちがいっぱいいっぱいになってしまうと心に余裕がなくなり、仕事に追われている感覚になったり、困りごとを一人で抱え込んでしまったりしがちです。そこで小島代表は、社員が孤独に陥らないよう、組織全体に「声かけの連鎖」を作るよう率先して実践してきました。

代表自身が幹部に声をかけます。「困っていることはない?」「大丈夫か?」と、常に気にかける姿勢を示す。

すると、それを受けた幹部やマネージャーは、その接し方を真似て、自分の部下に同じように声をかけるようになります。

「進捗詰まってるところある?」
「いつでも隣にいるから、ちょっとしたことでもいいので相談してね」

そうして上司が部下に寄り添い、一緒に走る。そうして社員に心の余裕が出るようにします。

それと同時に、「スキルアップ」も大事です。社員のスキルを高めるよう、業務について、会計についてなどを教育していきスキルアップが実現できれば、「余力」が生まれます。

小島代表は、社員一人ひとりの「余裕」と「余力」を重視しており、「2割くらいは余裕、余力がある状態になるのがいいと思います。そのほうが社員も意欲的になりますし、幸せではないでしょうか」と語っています。

例えば、ケーエフエスグループの福島本部では、もし残業したい場合は、朝「残業申請」を出し、上司がOKを出さなければ残業することができません。これも単なる管理ではなく、「その仕事、本当に今日やる必要がある?」「今のスキルで本当に2時間で終わる?」とユニットリーダーが問いかけ、社員が自分の仕事に対してタイムマネジメントができるようになるまで指導する仕組みです。

もう一つ大事な仕組みがあります。同社では、毎月1日には、全社的に手を止めて全体会議をします。「今月のラインシート」を発行して「今月何をするか」が分かるようにします。そうすると、社員一人ひとりが今月何をしなければならないかが明確になり、マインドセットすることもできます。これも心の余裕につながっていきますし、難しそうなところはあらかじめ上司に相談することもできます。

できない人がいれば、切り捨てたりルールで縛ったりするのではなく、寄り添う。伴走する。スキルが足りないのであれば、その事実を認識させた上でスキルアップできるように指導し、とことん付き合います。

「一番は社員がやりがいを感じ、意欲があることが大事だと思っています。スキルは与えることができる。社員には、とことんつきあう。誰でも伸びるところはあります」

厳しさの中で、支援する姿勢を示し、実践しています。

この「徹底した声掛け」「伴走」があるからこそ、社員たちも改革という高い壁に挑むことができたのではないでしょうか。時間も労力もかかりますが、とても大事な点だと思います。

6 そして、改革後にかかってきた一本の電話

改革の道のりは決して平坦ではなく、大変なことも多々ありましたが無我夢中でやり続けてきた小島代表。着手から3年が過ぎたころには、社内もだいぶ改善され、売上も伸びてきていました。

そんなある時、思いがけない人物から、代表宛に一本の電話が入ります。

それは、かつて厳しい指導を行った労基署の担当者からの電話でした。

当時、是正勧告の最中にその担当者は、小島代表にこう声をかけていたといいます。

「労基署が入りましたが、これを機にしっかり対応して改善に取り組めば、きっといい会社になりますよ」

その言葉は、予言のように現実となりました。

数年後、小島代表が自らの改革の軌跡を綴った書籍『残業だらけで倒産寸前だった会社の経営者になった私が、3年間で売上を3倍にできた理由』を出版した際、その労基署の担当者がわざわざ電話をかけてきてくれたのです。そしてこう言ったそうです。

「書籍を出したのを見ましたよ。本当によかったですね」

この労基署の担当者もまた、会社の更生と成長を願っていた一人でした。

小島代表の「やるしかない」という覚悟と思い、必死でやり抜いてきたことが、社員たちにも、そして労基署の担当者にも届いたということなのかもしれません。小島代表が教えてくれたこのエピソードは、とても印象的です。

労基署担当者からの電話のきっかけとなった小島代表の著書

写真:労基署担当者からの電話の
きっかけとなった小島代表の著書

7 経営者は何を大切にして、どこを目指すのがいいか

雨の日の労基署立ち入りから始まった10年。

改革を成し遂げ、そして今もやり続けている小島代表。効率化と高付加価値化を同時に実現し、生産性を上げて、残業なし&賃上げで社員に還元したいと語ります。

最後に、小島代表に、同じように残業が多いことで悩む中小企業の経営者にメッセージをお願いしました。

  • 経営者自身が、「社員の豊かな生活」「理念の達成」といった「なんのために経営をしているか」ということを起点にして、どうすればいいかを自ら考え実践することが大事。働き方改革や法改正など外部環境の変化があるから、ということではなく。
  • 社員が残業がなくて働いているほうが、皆笑顔で明るくて。そういう状況のほうが、豊かでいいと思う。
  • 日本をよくするために、社員一人ひとりが豊かになること、こういうことを多くの経営者の方とともに実現できたらいいなと考えている。

こうした趣旨のことをメッセージとしてお話しくださいました。最後は、小島代表ご自身の言葉を、動画でそのままお伝えしたいと思います。ぜひ次の動画を見ていただければ幸いです。

小島代表が10年かけて証明し続けているのは、どんな状況からでも組織は変われること、そして「人を大切にする経営」こそが、結果として最強の成長戦略になり得るという事実でした。

■小島代表がメッセージとしてお話されている動画■
https://youtu.be/k7ROBZDpYEA

小島代表がメッセージとしてお話されている動画

以上(2026年7月作成)

pj10107
画像:日本情報マート

「会社の飲み会は労働時間ですよね?」と社員に聞かれたらどう返す?

1 社員が自由に行動するか、会社から指示を受けて行動するか

会社が業務終了後に新人歓迎会や忘年会を開く際、時折「会社の飲み会は労働時間だから、残業代は出ますよね?」と尋ねてくる社員がいます。「そんなわけがないだろう!」と反論したくなるかもしれませんが、実は注意が必要です。

労働時間の基本ルールは、

  • 社員が自由に利用できる時間は、労働時間にならない
  • 会社から指示(黙示の指示も含む)を受けて行動する時間は、労働時間になる

なので、飲み会が「自由参加か、強制参加か」「業務との関連性があるか」などによって結論が変わってくるのです。「労働時間なのに賃金を支払わない」のは違法ですし、逆に「労働時間でない時間にまで賃金を支払う」のではコストがかさみます。

そして、会社の飲み会以外にも、始業時刻前の朝礼や着替え、セミナー、健康診断など、日常の中で労働時間かどうか判断に迷うケースはさまざまあります。判断が複雑なものもあるので、事例別にイメージをつかんだほうが無難です。以降でいくつかの事例について、法令や裁判例に基づく解釈を紹介するので参考にしてください。

2 会社の飲み会

会社の飲み会が労働時間に当たるかは、参加が自由かどうかで決まります。

  • 「飲み会が自由参加」の場合、参加するかは社員次第なので、労働時間にならない
  • 「飲み会が強制参加」の場合、会社から指示を受けて参加するので、労働時間になる

という判断になります。なお、明確に「強制参加」としていなくても、「欠席する社員にその理由を執拗に尋ねる」「参加しない場合に評価を下げる」「取引先接待や業務報告を兼ねている」など、

  • 「暗に参加を指示している(黙示の指示)」と受け取れる場合、労働時間になる

と考えられます。

営業担当の社員が、上司から言われて取引先との飲み会に参加する場合も、基本的な考え方は同じです。取引上必要な接待で、上司の命令で飲み会に参加するなら労働時間になりますが、上司から「せっかく先方が誘ってくれているし、行ってみないか?」と誘われ、自分の意思で参加するレベルなら、実務的には労働時間には該当しないと判断するのが自然です。

ただし、飲み会自体が自由参加であっても、幹事として会場の手配や設営、進行などを会社から命じられて行う場合、その準備・運営に要した時間は労働時間になると考えられます。

なお、余談ですが労働時間かどうかの判断と、労災保険の適用(業務上の災害かどうか)の判断は別物です。会社の懇親会での事故が労災と認められるケースもあるため、「労働時間でない=労災も関係ない」と決めつけないよう注意しましょう。

3 始業時刻前の朝礼や着替え

会社の中には、始業時刻前の朝礼や着替えについて「始業時刻は9時だが、朝礼は8時50分から行う」「始業時刻前に作業着への着替えを完了させ、始業時刻とともに業務を始める」といったルールを設けているところがあります。

始業時刻に仕事を始められるよう準備をしておくのは、社員としてのマナーですが、

始業前の準備行為を「マナーでなく社内ルール」としている場合、労働時間になる

とされています。具体的には、

  • 朝礼への参加や始業時刻前の着替えがルール化され、それが常態化している場合
  • 朝礼に参加しない社員や、始業時刻前に着替えを完了しない社員への罰則がある場合
  • 朝礼に参加しないと、その日の業務を行うために必要な情報が得られない場合
  • 着替えを完了しないと業務を行えず、会社の更衣室でなければ着替えが困難な場合

などがそうです。

過去の裁判例(最高裁第一小平成12年3月9日判決)でも、会社から義務付けられた作業服・保護具の装着時間や、更衣室から作業場までの移動時間が労働時間に当たると判断されました。着替えの他、始業前の清掃や体操、機械の立ち上げなども、会社が義務付けていれば同じ枠組みで労働時間とみなされます。

判断が難しいですが、始業前の準備行為については、「義務」ではなく「任意」であることを周知しておくのがよいかもしれません。義務付ける場合、就業規則等を改定して、朝礼や着替えにかかる時間分、始業時刻を前倒しする(または始業後に実施する)などの対応が必要になります。

4 仮眠

宿直のように1つの就業場所に長時間拘束される業務では、社員が現場で仮眠を取ることがあります。この仮眠については、

仮眠中、社員が会社の指揮命令下にあったかを基準に、労働時間になるかどうかを判断

します。例えば、ビルの管理会社の社員が、仮眠中でも、警報が鳴った際にすぐ対応するよう命じられている場合などは、

仮眠中も業務から完全には解放されているとはいえない(会社の指揮命令下にある)ので、労働時間になる

と考えられます。

実際、ビル管理会社の社員の仮眠時間について、警報や電話への対応が義務付けられていたことを理由に労働時間と認めた裁判例があります(最高裁平成14年2月28日判決)。

ちなみに、一部の業種では、仮眠が労働時間として扱われないケースもあります。例えば、トラックの運転手は、「自動車運転者の労働時間等の改善のための基準」という告示により、

拘束時間(始業から終業までの時間)が「労働時間(作業時間+手待ち時間)」と「休憩時間(仮眠時間を含む)」に明確に区分されているので、仮眠は労働時間に当たらない

と考えられています。ただし、仮眠中であっても会社の指揮命令下に置かれているものと判断される場合(待機状態など)は労働時間となりますので、運用には注意が必要です。なお、改善基準告示は2024年4月1日から改正版が適用されており、拘束時間の上限や休息期間の基準が見直されています。

病院勤務の医師・看護師や、社会福祉施設勤務の職員は、常態としてほとんど労働する必要のない勤務に従事するなどの要件を満たす場合、

所轄労働基準監督署長の許可を得ることで、労働基準法の労働時間、休憩、休日に関する規定が適用されなくなる(深夜業の割増賃金の規定は適用される)

というルールがあります(宿日直許可)。ちなみに、医師・看護師などのように24時間対応が求められる職種では、「オンコール対応」といって緊急時に備えて自宅などで待機することが求められますが、

  • オンコール対応の待機時間は、原則として労働時間には含まれない
  • ただし、呼び出しの頻度や、呼び出された場合にどの程度迅速に病院に到着することが義務付けられているか、待機中の活動がどの程度制限されているかなどを踏まえ、労働時間とみなされることがある

という考え方になるようです。

「会社の指揮命令下にあるか」がポイントで、呼び出しの頻度・迅速な出勤義務・待機中の行動制限が強いほど労働時間と判断されやすくなります。企業側は就業規則や労使協定で待機手当や呼出時の賃金計算を明確化し、当事者側は待機の実態を記録しておくことが重要です。判断が難しい場合は、社労士や労基署へ相談しましょう。

5 セミナー・研修・勉強会

セミナー・研修・勉強会(以下「セミナー等」)は、受講内容などによって労働時間になるかの判断が異なります。例えば、

  • 会社から参加が義務付けられている場合
  • 業務を遂行する上で必須とされている内容を学ぶ場合(資格取得講座など)
  • 参加しない場合に人事評価上の不利益があるなど、事実上参加が強制されている場合

などは労働時間になります。一方、社員が自己啓発やキャリアアップを目的に自分の意思で参加する場合、通常は労働時間になりません。

なお、雇入れ時の安全衛生教育など、労働安全衛生法で会社に実施が義務付けられている教育は、当然に労働時間となります。近年増えているeラーニングについても考え方は同じで、会社が受講を義務付けている場合や、受講しなければ業務に就けない場合は、視聴時間が労働時間になります。「自宅で好きな時間に見られるから、労働時間ではない」とはならないのです。

6 健康診断やストレスチェック

健康診断はその種類によって、労働時間になるかの判断が異なります。例えば、

一般健康診断(定期健康診断など)は、職種に関係なく実施され、業務と直接の関連がないので、労働時間に含めなくてもよい(ただし、円滑な受診のため、受診時間分の賃金は支払うのが望ましい)

とされています。一方、特定の有害な業務に従事する社員に対して行う特殊健康診断(有機溶剤健康診断など)は業務を遂行する上で実施が不可欠なので、労働時間になります。特殊健康診断は原則として所定労働時間内に行い、時間外に実施した場合は割増賃金の支払いが必要です。

次にストレスチェックの受検時間ですが、こちらは一般健康診断と同様、労働時間として扱わなくても問題ありません。ただし、受検しやすくするために賃金を支払うことが望ましいとされています。一方、長時間労働者やストレスチェックの高ストレス者に対する医師の面接指導は、会社の義務として実施するものなので、労働時間として扱うのが無難です。

7 鍵当番・解錠業務

交代制でオフィスや店舗の鍵を管理する「鍵当番」が、始業時刻の30分~1時間前に出勤して解錠しているケースがあります。この早出時間が労働時間に当たるかどうかは、

当番の社員が始業時刻ぎりぎりに出勤した場合、遅刻として不利益な取り扱いを受けるかどうか

が判断のポイントになります。遅れて出勤すると叱責を受けたり、評価が下がったりするような運用であれば、その早出時間は社員が自由に使える時間とはいえず、労働からの解放が保障されていない「手待ち時間」として労働時間になります。

鍵当番を置く場合は、当番の社員に早出分の手当を支給するか、シフトを組んで始業時刻そのものを前倒しするなど、早出時間を正式な労働時間として扱う体制を整えておくのが望ましいでしょう。

早出時間を労働時間として扱う場合、1日単位では30分程度でも、1日8時間・週40時間の法定労働時間を超えれば割増賃金の支払いが必要になります。また、労働時間は1分単位で把握・集計するのが原則で、日々の労働時間の端数を会社が一方的に切り捨てる処理は認められません(1カ月の合計に生じた30分未満の端数を切り捨て、30分以上を1時間に切り上げる処理は例外的に可能です)。

以上(2026年7月更新)
(監修 社会保険労務士 柴田充輝)

pj00272
画像:ChatGPT

「個人情報保護法」とは?【かんたん個人情報保護法(1)】

1 個人情報保護法の目的は2つ

情報漏えいなどの事件が起きると、必ずと言っていいほど話題に挙がる「個人情報保護法」。とはいえ、「では、法律の内容を知っていますか?」と聞かれたら、答えられない人がほとんどかもしれません。そこで、この記事で法律の全体像やイメージを分かりやすく解説します。

まず、個人情報保護法は何のための法律なのかですが、その目的は大きく2つに分けられます。

  1. お客様をはじめとする個人の権利・利益を守る
  2. 個人情報を上手に活用してサービス品質の向上や業務効率化につなげる

「個人の権利・利益」と「個人情報の有用性」のバランスを取りながら、民間事業者や行政機関が個人情報を適正に取り扱うための基本的なルールを定めたのが個人情報保護法です。

画像1

2 どのような情報が個人情報に当たるのか

1)そもそも「個人情報」とは?

法令上の定義はさておき、実務上、個人情報とは、

生きている人の情報で、その人を特定できることになる情報は全て個人情報

と考えて差し支えないです。

画像2

氏名、住所、電話番号、メールアドレス、生年月日、顔写真、映像情報、音声情報、指紋、虹彩、マイナンバー、パスポート番号、運転免許証番号など、さまざまな情報が個人情報に当たります。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン(通則編)」に具体例が紹介されているので、興味のある方は確認してみてください。

■個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」■

https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a2

2)個人情報保護法の用語も押さえておこう

個人情報保護法では「個人情報」の他に、「個人情報データベース等」「個人データ」「保有個人データ」といった用語が使い分けられています。似たような用語ですが、それぞれ取り扱う際に守るべきことが違います(後述する「個人情報保護法の10のチェックポイント」を参照)。

それぞれの関係は次のようなイメージになります。

画像3

「個人情報」を取り扱う際は、取得・利用のルールを守らなければなりません。

「個人情報データベース等」とは、特定の個人情報を、コンピューター上で検索できるようにしたものや、紙媒体で整理・分類し、目次や索引を付けているもののことです。

「個人データ」とは、この個人情報データベース等を構成する個人情報のことです。個人データについては、保管・管理のルールや第三者提供のルールを守らなければなりません。

「保有個人データ」とは、個人データのうち、開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止を行うことのできる権限を有するもののことです。保有個人データについては、開示請求等のルールを守らなければなりません。

個人情報保護委員会の次のFAQに「個人情報、個人データ、保有個人データの義務規定の差異」が紹介されているので、興味のある方は確認してみてください。

■個人情報保護委員会「『個人情報』と『個人データ』の違いは何か。」■

https://www.ppc.go.jp/all_faq_index/faq2-q2-3/

3 個人情報をどのように取り扱わなければならないのか

会社として最低限守るべきルールについて、個人情報保護委員会が中小企業向けに示している「個人情報保護法10のチェックポイント」を確認してみましょう。

(図表4)【個人情報保護法10のチェックポイント】
分類 チェック項目
取得・利用 1 個人情報を取り扱うに当たって利用目的を決めていますか?
2 その利用目的は、本人に通知するか公表していますか?
保管・管理 3 個人情報の取り扱いのルールや責任者を決めていますか?
4 個人情報の取り扱いについて社員に教育を行っていますか?
5 個人情報が含まれる書類や電子媒体について、誰でも見られる場所・盗まれやすい場所に放置していませんか?
6 パソコンなどで個人情報を取り扱う場合、セキュリティ対策ソフトウエアをインストールして最新の状態にしていますか?
7 個人情報の取り扱いを委託する場合、契約を締結するなど、委託先に適切な管理を求めていますか?
第三者提供 8 本人以外に個人情報を提供する場合、本人に同意をとっていますか?
9 本人以外に個人情報を提供したり、本人以外から個人情報を受け取る際、相手方や提供年月日などについて記録を残していますか?
開示請求等 10 本人から自分の個人情報を見せてほしいと言われたり、訂正してほしいと言われた際には、対応していますか?
(出所:個人情報保護委員会「(中小企業等向け)個人情報保護法10のチェックポイント (令和6年4月)」を基に作成)

簡単に言うと、個人情報を取り扱うときに押さえておくべきポイントは次の4つです。

  1. 勝手に使わない
  2. なくさない。漏らさない
  3. 勝手に人に渡さない
  4. 問い合わせがあったら対応する

実際には、法令や個人情報保護委員会が定める各種ガイドラインで、個人情報の取り扱いに関するルールが決められています。

■個人情報保護委員会「法令・ガイドライン等」■

https://www.ppc.go.jp/personalinfo/legal/

4 個人情報保護法に関する主な相談先、よくある質問

個人情報保護委員会は、AIチャットボットによる自動応答で個人情報保護法の基本的な事項を説明する「PPC質問チャット」を開設し、電話での相談窓口も設置しています。

■個人情報保護委員会「PPC質問チャット」■

https://2020chat.ppc.go.jp/

個人情報保護法相談ダイヤル:03-6457-9849

※受付時間 9:30~17:30(土日祝日および年末年始を除く)

また、個人情報や特定個人情報の保護に関する「よくある質問」を横断的に探すための索引を掲載しています。

■個人情報保護委員会「お問合せ FAQ索引」■

https://www.ppc.go.jp/all_faq_index/

以上(2026年7月更新)

pj60083
画像:Tierney-Adobe Stock

社会人として押さえておきたい基本 シリーズ8本を一挙紹介【かんたん個人情報保護法】

1 他人事ではない「個人情報保護法」

どんな会社でも、お客様や取引先、社員などの個人情報を取り扱います。昨今は会社の規模や業種を問わずランサムウエアが猛威を振るっていますが、そうしたサイバー攻撃を受けるなどして個人情報の漏えい等が発生した場合に、知らなかったという言い訳は通用しません。

一方で、個人情報の重要性は分かっているけど、「個人情報保護法」に基づく個人情報の取り扱いルールについては、正直よく知らないという人も多いはずです。

そこで、この【かんたん個人情報保護法】シリーズでは、「個人情報保護法」について前提知識のない一般社員の人向けに、社会人として身に付けておきたいベーシックな内容を、それぞれコンパクトにまとめて紹介します。コンプライアンス教育の一環として、また、より深く掘り下げて専門的な知識を身に付けるための第一歩として、ぜひお役立てください。

なお、2026年7月10日、個人情報保護法の改正案が参議院本会議で可決、成立しました。この改正は、公布の日から起算して2年を超えない範囲内で政令で定める日に施行されます。AI開発などの促進を図るため、統計作成目的での本人同意を不要とする特例が設けられたほか、悪質な違反に対する課徴金制度などが創設されましたが、このシリーズでは詳細は割愛します。

2 「個人情報保護法」の目的は? 「個人情報」って何?

まず、押さえておきたいのは、個人情報保護法とは何のための法律なのか、そもそも個人情報とは何なのかです。簡単に言うと、

  • 個人情報保護法:「お客様をはじめとする個人の権利・利益を守ること」「個人情報を上手に活用してサービス品質の向上や業務効率化につなげること」を目的とした法律
  • 個人情報:生きている人の情報で、その人を特定できることになる全ての情報

です。

次のコンテンツで、両者のもう少し詳しい説明と、個人情報をどのように取り扱わなければならないのか、最低限守るべきルールを10のチェックポイントとともに紹介します。

3 個人情報を取得・利用するときのルールは?

個人情報を取り扱う際は、個人情報保護法に基づく取得・利用のルールを守らなければなりません。例えば、

  • 個人情報を取得するときは、不正の手段により行ってはならない
  • 個人情報を利用するときは、利用目的をできる限り特定しなければならない

などの決まりがあります。

次のコンテンツで、個人情報を取得・利用するときのルールを紹介します。

4 個人データの取り扱いに関するルールは?

特定の個人情報を、コンピューター上で検索できるようにしたものや、紙媒体で整理・分類し、目次や索引を付けているもののことを「個人情報データベース等」といいます。そして、

個人情報データベース等を構成する個人情報のことを「個人データ」

といいます。個人データを取り扱う際は、個人情報保護法に基づく保管・管理のルールや、第三者提供のルールを守らなければなりません。例えば、

  • 個人データを個人情報取扱事業者(会社)が自ら取り扱う場合、データ内容の正確性を保ち、必要がなくなったら消去しなければならない
  • 個人データの取り扱いを外部に委託する場合、委託先が個人情報保護法などで定められている適切な「安全管理措置」を講じているか、あらかじめ確認しなければならない

などの決まりがあります。個人データを自ら取り扱うのか、外部に取り扱いを委託するかなどによって、守るべきルールが変わってくるので注意が必要です。

次のコンテンツで、個人データの取り扱いに関するルールを紹介します。




5 保有個人データについて問い合わせや苦情が来たら?

会社が保有する個人データのことを「保有個人データ」といいます。正確な定義は、

個人情報取扱事業者(会社)が、開示、内容の訂正、追加または削除、利用の停止、消去、第三者への提供の停止を行うことのできる権限を有するもの

です。会社は、保有個人データを安全に管理するだけでなく、必要に応じてデータに関する社員からの問い合わせ等にも対応しなければなりません。例えば、

  • 本人(または代理人)から「利用目的の通知」の求めや「開示」の請求があったら対応しなければならない
  • 保有個人データの取り扱いに関する苦情の申出先を定め、本人の知り得る状態(ホームページへの掲載、本人の求めに応じて遅滞なく回答を行う等)にしておかなければならない

などの決まりがあります。

次のコンテンツで、保有個人データについての問い合わせ等への対応を紹介します。

6 おことわり

【かんたん個人情報保護法】シリーズの記事では、大枠を理解することを優先し、個人情報保護法や各種ガイドラインの条文を基に、その趣旨を逸脱しないかたちで意訳している部分があります。正確な条文は、法やガイドラインをご確認ください。

また、法やガイドラインでは、「仮名加工情報」「匿名加工情報」「個人関連情報」の取り扱いに関する義務も規定されていますが、本シリーズでは割愛します。

以上(2026年7月更新)

pj60358
画像:日本情報マート

デジタル遺品のトラブルを防ぐための 「1分」でできる一工夫

1 デジタルが欠かせないなら、「デジタル終活」も欠かせない

デジタルはすでに世の中に欠かせない存在になっています。コンビニのレジにも病院の受付にもQRコードを読み込むリーダーが設置されていますし、上場株を保有するならデジタルでの取引が必須条件となります。取引先への連絡手段としてもチャットやメールのほうが電話より利用している人が多いのではないでしょうか。

パソコンやスマートフォン(スマホ)、オンラインアカウントなどなど、好むと好まざるとにかかわらず、「デジタル資産」を全く持たない生活は不可能に近いでしょう。

であるならば、

万が一のときにデジタル資産で困らないようにする「デジタル終活」は誰にとっても欠かせないこと

だといえます。とりわけ、経営者の方はきちんと備えておかないと、社会的な信用問題に直結する恐れがあります。家族や社員、株主、取引先のためにも、日ごろからデジタル終活を実践しましょう。

2 必要最小限のデジタル終活は「スマホのスペアキー」

1)パスワードを書いた紙に修正テープを

最低限やっておくべきデジタル終活は何かと問われれば、誰に対しても「スマホのパスワードを紙に書いて残しておくことです」と答えます。スマホを持っていない方は、メインで使っているパソコンのパスワードと置き換えてください。

名刺サイズの厚紙にスマホの型番や特徴とパスワードを書き入れる。記入日も添えたい。

方法を具体的に解説しましょう。必要なものは名刺サイズの厚紙とペン、それに修正テープ、もしくはマスキングテープです。特別な道具は要りません。まずは厚紙にスマホの型番や特徴とパスワードを書き込みます。そして、パスワード部分にだけ修正テープを走らせます。一度だけでは透けてしまうので、2~3回重ねるのがコツです。厚紙を照明にかざすと裏側から文字が透けることもあるので、裏側にも同様に修正テープを重ねておきましょう。マスキングテープを使う場合も2枚重ねにすれば、文字が透けなくなります。

パスワード部分に修正テープを重ねてスクラッチカードにする。裏側にも同様の処理を施す。

これで即席のスクラッチカードの出来上がりです。これを預金通帳や権利書などの重要な書類と一緒に保管しておけば、万が一の際もかなり高い確率で家族や社員に気付いてもらえるはずです。普段盗み見られる心配も、修正テープが抑えてくれます。誰かが削って盗み見たら厚紙に痕跡が残るので、気付いた時点で手元のスマホのパスワードを変更して作り直すだけです。

有事に家族や社員が確認しそうな書類と一緒に保管しておく。

私はこれを「スマホのスペアキー」と名付けました。お手持ちの名刺を使えば、1分以内に作れそうではないですか?

作例のような専用カードを作るなら、筆者のホームページ(https://www.ysk-furuta.com/)でひな型を公開しているので、ぜひご利用ください。

2)なぜスマホなのか?――理由1:「スマホの財布化」

デジタル遺品になり得るものはさまざまな種類があります。その中で、なぜスマホを第一優先にすべきなのでしょうか。理由は2つあります。

ひとつは、スマホがデジタル遺品の要になりやすいことが挙げられます。通話やLINEのやりとりといったコミュニケーションの履歴が残るだけでなく、最近はネットバンキングや有価証券の取引の道具としても、パソコン以上に積極的に活用されています。

とりわけ近年目立っているのは、QRコード決済サービスです。スマホで使うことを前提に設計されたサービスで、業界大手の「PayPay」はサービス内に最大100万円分をチャージしておけます。スマホを最大100万円の財布として使えるわけですが、残高を残したまま持ち主に何かがあっても、残された人が現実の財布のようには抜き出すことはできません。

マイナンバーカードのスマホ実装も進んでいて、いまでは地方税や自動車税をスマホから納税することもできます。今後数年を見通しても、財産と個人情報の両面からみてスマホの存在感が高まっていくのは間違いなさそうです。

3)なぜスマホなのか?――理由2:「FBIでも開けない強固すぎる構造」

それでいて、スマホのロックは非常に強固です。それが2つ目の理由となります。

最新のスマホは指紋や瞳の虹彩、顔などの生体認証システムと、文字列などを使ったパスワードシステムを併用するロックが一般的です。どちらかの鍵さえあれば開けますが、どちらも手に入らないとお手上げになってしまいます。本人の身を不幸が襲って生体認証が使えなくなり、パスワードも本人の頭の中だけだったら……もうお手上げです。

ロックを解除する別の方法は、一切用意されていません。通信キャリアのショップやメーカーもマスターキーを提供していないので、相談しても無駄です。

比較的解析のノウハウが蓄積されているパソコンでも、この状態になると専門のサポートサービスでも難航するケースが増えています。ましてスマホとなると、解除を検討してくれるところは全国を見回しても片手で収まるほどしかありませんし、成功率はかなり低くなります。

象徴的なのが、2016年にFBIがアップル社を相手取って起こした連邦裁判です。前年に発生した銃乱射事件では、現場で射殺された犯人が同社のスマホ「iPhone」を所持していました。FBIはこのスマホの解析に乗り出しましたが、自力でのロック解除を断念。そこで製造元のアップル社に技術提供を要請したものの、その後の不正利用を不安視した同社が拒否したことで裁判に発展しました。

つまり、家電量販店や通信キャリアのショップに普通に並んでいるスマホは、一台一台が、FBIですら自力ではどうすることもできないほど強固なセキュリティー機能を有しているわけです。年々セキュリティー技術はハイレベルになっていることを考えると、2016年頃よりも現在のほうが難易度は数段増しているでしょう。ポケットに収まる地下金庫のような、アンバランスな存在といえます。

そんなスマホですが、いざというときにパスワードさえ伝わる仕組みを自分で作っておけば、不測の事態が起きても何の憂いもありません。そのために「スマホのスペアキー」を用意しておく必要があるのです。

3 日ごろから「求められるもの」と「隠すもの」に分ける

さて、スマホのスペアキーが役目を果たすときは、家族や社員が自分のデジタル環境に足を踏み入れるときでもあります。当たり前のことですが、ことデジタル環境においては、それを想定している人は意外と少ないようです。

ある女性から相談を受けました。法人成りした自営業の夫が急な不幸に見舞われたとのことで、仕事場に残された数台のパソコンを調べるためのアドバイスが欲しいといいます。法律面と技術面で基本的な情報を伝え、信頼できるデジタル遺品サポートを紹介したところ、連絡すべき相手や法人名義の預金口座など、あらかたの情報が拾い出せたそうです。しかし、仕事関連の隣にあったフォルダーからプライベートで収集していた画像が大量に見つかり、相当面食らったと後から教えてくれました。

プライベートなコレクションの中には、違法性が疑われるデータが出てきたという話も少なからず耳にします。その是非はさて置き、デジタル環境においても、日ごろから自分以外の誰かが足を踏み入れることを想定しながら使用する、という意識が必要なのは間違いないでしょう。

家族や社員がデジタル遺品を調べる動機は、金銭関連や進捗中の仕事の情報などの把握が第一に挙げられます。第二に家族写真などの思い出のデータを探したい欲求も強いことがよくあります。

そのように、残された側が求めるであろうデジタル遺品は、なるべく分かりやすいところに置いておくのが親切です。そして、隠しておきたいものがあるなら、その動線上に置かないように、日ごろから意識しておくのが鉄則です。

求められるものと隠したいものの配置を考える

パソコンには隠しファイル機能がありますし、パスワード付きの外付けハードディスクに保存するといった手もあります。スマホも特定の写真を隠しフォルダーに収納するなどの工夫の余地はいくらでもありますが、何よりこの鉄則を守ることが大切です。残された側が必死に探すモチベーションを持たない領域なら、いくらでも自由に隠したり壁を作ったりできるでしょう。

ただ、ひとつ注意したいのは、閲覧履歴や通信履歴などは普通に使っているとどうしても痕跡が残るということです。また、バックアップ機能も十分に把握しておかないと、隠したいものの完全な隠蔽は難しいでしょう。デジタル環境をきちんと整理整頓するには、それなりの知識と使いこなしが必要になります。残念ながら、魔法のようなアイテムは存在しません。

以上(2026年7月更新)

pj60299
画像:metamorworks-Adobe Stock

【労災の落とし穴(建設業)】熱中症は労災になる? ならない?

この記事では、現役社労士が直面した小さな建設業の労災の事例として、「社員が日陰も休憩もほとんどない環境で熱中症になったのに、『本人の自己責任なので労災ではない』と判断してしまった会社」の話を紹介します(実際の会社が特定できないように省略したり、表現を変えたりしているところがあります)。

1 日陰も休憩もほとんどない環境なのに、熱中症になったら自己責任と言われた……

社員数10人の屋根工事会社に勤めるベテラン社員のAさん。夏場の猛暑日が続く中、Aさんは屋根のふき替え作業を長時間続けていました。現場には日陰がほとんどなく、しかも社長が「早く終わらせよう」とせかすため、水分補給も十分にできません。そんな環境で仕事をしていたAさんは、作業中に突然、めまいや吐き気を感じ、倒れてしまいました。

同僚がAさんを日陰に移動させ、社長に報告しましたが、社長は「体調管理が甘かったんだろう」「水分をちゃんと取っていたら、こんなことにはならなかったはず」と、Aさんの自己管理不足を責める始末……。さらに、「大した症状ではないだろう」と判断し、労災対応や医療機関への報告も行わず、Aさんを自宅で休ませるだけにとどめてしまいました。

2 会社の安全配慮義務が原因で熱中症になったのなら、労災になり得る

業務中の事故でけがをした場合、それが労災になるかどうかは、

  • 業務遂行性:その事故は、「会社の支配・管理下にある」ときに発生したのか
  • 業務起因性:その事故は、「業務と因果関係がある」といえるか

を基準に判断されます。

Aさんは、屋根のふき替え作業中に突然、めまいや吐き気を感じたので、業務遂行性は認められるでしょう。問題は、業務起因性ですが、会社には安全配慮義務(労働者が安全に働けるよう配慮する義務)があるため、

安全配慮義務を果たさなかったことで事故が発生したのであれば、業務との因果関係があるとして、業務起因性が認められる可能性が高い

です。屋外作業や高温多湿の環境が原因で起こる熱中症は、会社が管理すべき作業環境が大きく影響します。Aさんのケースでは、「休憩を十分に与える」などの安全対策が取られておらず、安全配慮義務を十分に果たしているとはいえないので、労災になり得ます。「本人の体調管理が甘かった」「水分をちゃんと取らなかった」では済まされないのです。

3 万が一の発症時は、すぐ医療機関を受診&労災の手続きを

熱中症は重篤化すると生命に関わる危険があります。2025年の職場における熱中症の死傷者数は1803人、うち建設業は292人で全体の16.2%を占めています(厚生労働省「2025年(令和7年)職場における熱中症による死傷災害の発生状況(確定値)」)。

熱中症の疑いがある社員がいたら、まずは速やかに作業を中断させ、医療機関を受診するよう指示しましょう。なお、会社には、

  • 熱中症の自覚症状がある場合や、熱中症の疑いがある同僚などを発見した場合に、そのことを会社に報告させる体制を整え、周知すること
  • 熱中症のリスクがある作業を行う場合、症状の悪化を防ぐための措置やその手順を作業場ごとに定め、周知すること(作業から離脱する、身体を冷やす、必要に応じて医師の診察を受けさせる など)

が義務付けられています。違反した場合、労働安全衛生法により、6カ月以下の拘禁刑または50万円以下の罰金の対象になるので気を付けましょう。また、労災であれば、

4日以上の休業が発生した場合、労働基準監督署に「労働者死傷病報告」を遅滞なく提出しなければなりません。4日未満でも、四半期ごと(3カ月ごと)にまとめて報告が必要

です。こちらの違反は50万円以下の罰金の対象になります。

ここまでが、社員が熱中症になった場合の対応ですが、もちろん「予防」も大切です。

  • 定期的な休憩時間の確保
  • スポーツドリンクの用意
  • 日除け・テントや遮光ネットの設置
  • 冷却ベストやファン付き作業服の導入(作業服や保護具の通気性が悪い場合)

など、会社が取れる予防策は多岐にわたります。熱中症の初期症状(めまい、だるさ、吐き気、頭痛など)を社員に周知し、チーム全員で互いの体調をチェックし合えるようにするなど、安全衛生教育も不可欠です。

夏の建設現場は、何もしなくても熱中症になるリスクがあります。

社員の自己責任では片付けられない(会社が責任を問われる可能性がある)

ということを念頭に置いて、会社主導で積極的に対策を講じましょう。

以上(2026年7月更新)

pj00759
画像:ChatGPT

狙われるテレワーク環境 自宅のルーターの脆弱性にも要注意!

1 テレワーク環境のセキュリティ対策は十分ですか?

会社から離れた場所(自宅など)で、ITツールを使って仕事をするテレワーク。働き方改革の一環として、また、自然災害などの非常時でも事業を継続する手段として注目され、コロナ禍をきっかけにテレワークを行えるようにした会社も多くあります。

一方、セキュリティが十分に確保されていない環境でのテレワークが依然として行われており、そうした脆弱性を突かれて、さまざまな会社が深刻な被害に遭っています。

IPA(情報処理推進機構)の「情報セキュリティ10大脅威2026」では、「リモートワーク等の環境や仕組みを狙った攻撃」が第8位としてランクイン

しました(初選出の2021年以来、6年連続6回目)。

(注)「リモートワーク」と「テレワーク」はほぼ同義として扱われるため、この記事では総務省などの公的資料に倣い「テレワーク」という表記に統一して解説します。

この記事では、中小企業の経営者やマネジメント層、そして現場の従業員の方に向けて、テレワーク環境を狙ったサイバー攻撃の脅威に焦点を当て、今すぐ実践すべき注意点を解説します。

2 テレワークを行う際のセキュリティ上のポイント

1)基本は、日常における情報セキュリティ対策

テレワークを行う際のセキュリティ上のポイントは「ネットワーク環境の安全性」です。中でも、無線LAN(Wi-Fi)は、通信内容が傍受(盗聴)される危険性があるため特に要注意です。

ユーザーIDやパスワードなどのログイン情報をはじめ、機密性の高い情報をやり取りする場合には、自分と相手先との間で通信が暗号化されていることを確認しましょう。自宅内など自分でアクセスポイントを設置して利用する場合、無線LANの暗号化方式は「WPA3」もしくは「WPA2」を利用することが推奨されます。

メーカーのサポートが終了した機器の利用は避け、脆弱性を解消するアップデートプログラム(ファームウェア)を定期的に、できれば自動更新機能で適用しましょう。その他、外部からの不審な接続がないか、管理画面へのアクセス権限が適切かなど、ルーターの設定状況を定期的にチェックします。

また、ルーターの接続パスワードや管理画面のパスワードを、初期設定のままにしたり、簡単な文字列にしたりするのは厳禁です。

もちろん、次のような基本的な対策は欠かせません。

  • パソコンやスマートフォンのOS・ソフトウェアを常に最新版にする
  • セキュリティソフトを必ず導入し、定義ファイルの自動更新を有効化しておく
  • 安易にメールのリンクをクリックしたり添付ファイルを開いたりしない
  • パソコンの紛失、盗難に気をつける
  • パソコンの画面を覗き見されないようにする

2)「会社の管理外」のネットワーク環境にも注意

外出先(カフェ、ホテルや空港など)でテレワークを行う場合、最大のリスクは「会社がコントロールできない公衆無線LAN環境」に情報がさらされることです。会社としてモバイルルーターを貸与し、公衆無線LANへの接続を禁止するのも一手です。

もちろん、次のような基本的な対策は欠かせません。

  • 攻撃者が設置した「偽のアクセスポイント」に誤って接続しない
  • ウェブブラウザのURLを確認し、HTTPS通信になっているか(暗号化されているか)確認する
  • パソコンのファイル共有機能をオフにする

3)参考:日本テレワーク協会の「ツール一覧」の活用

技術的対策について「具体的にどのような製品を選べばよいか分からない」という課題に直面しがちです。その強力な助けとなるのが、日本テレワーク協会の「テレワーク関連ツール一覧」です。この資料は、テレワーク推進担当者向けに作成されており、導入時に検討すべき安全なネットワークや、各種ITツール(ソフトウェア・サービス等)を網羅的に提示しています。

■日本テレワーク協会「テレワーク関連ツール一覧」■
https://japan-telework.or.jp/tw_info/suguwakaru/guide/#tool

3 VPN機器の脆弱性などに要注意!

1)ランサム攻撃の侵入経路の6割以上がVPN機器

テレワークを実施する会社の多くは、外部から社内システムに安全に接続するための仕組みとしてVPN(Virtual Private Network)を導入しています。テレワーク環境を狙ったサイバー攻撃で、現在、最も警戒すべきなのが「VPN機器」への攻撃です。

警察庁の統計資料によると、2025年にランサム攻撃の被害に遭った企業・団体など226件へのアンケート結果で、「侵入経路はVPN機器が6割以上を占める」状況となっています。ランサム攻撃は、パソコンやサーバーなどに保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価として金銭や暗号資産を要求するサイバー攻撃です(IPA「情報セキュリティ10大脅威2026」で第1位)。

ランサム攻撃の侵入経路

警察庁調査(2025年・被害企業226件)─ 侵入経路の6割以上がVPN機器

6割

がVPN機器からの侵入
VPN機器
その他の経路

中小企業では「サポート切れ機器の放置」や「例外措置の形骸化」が特に深刻。数年前に導入したまま見直していないVPN機器が、攻撃者にとって格好の標的になっている。

(出所:警察庁統計資料、IPA「情報セキュリティ10大脅威2026」)

2)SSL-VPN接続は見直しが必要

テレワーク環境を持つ全ての会社が直面している重要な技術的トピックとして、

今まで広く使われてきたSSL-VPN接続は非推奨となっていること

が挙げられます。

例えば、統合脅威管理(UTM)機器「FortiGate」で知られる、業界大手の米Fortinet(フォーティネット)社は、同社製機器における「SSL-VPN接続機能」のサポート終了へと舵を切りました。これには、SSL-VPNという通信方式そのものに構造上の脆弱性が多く、世界中の攻撃者から執拗に狙われ続けてきたことが背景にあります。同社は、短期的には「SSL-VPN」から「IPSec-VPN」への移行を推奨しています。

SSL-VPNからIPSec-VPNへ

構造上の脆弱性を理由に、業界大手Fortinet社もSSL-VPNのサポート終了へ

非推奨

SSL-VPN接続

通信方式に構造上の脆弱性が多く、世界中の攻撃者から狙われ続けている

移行を推奨

IPSec-VPN

Fortinet社が短期的な移行先として推奨する通信方式

(出所:Fortinet社発表資料ほか)

4 テレワーク環境の安全性を確かめるためのチェックリスト

1)経営者・マネジメント層向け

チェック項目
テレワークに関する社内ルールを策定し、全社に周知・徹底しているか
承認制にするなど、テレワークを行う従業員を特定しているか
テレワークを行う従業員に対し、会社としてパソコンやモバイルルーターを貸与、管理しているか
テレワークを行う従業員に対し、定期的に情報セキュリティや労働時間などに関する教育を行っているか
社外から社内ネットワークへの接続を認める場合、「SSL-VPN以外」の方法を採用しているか

2)従業員向け

チェック項目
自宅の無線LANの暗号化規格は「WPA3」もしくは「WPA2」であるか
無線LANルーターの接続パスワードや管理画面のパスワードを推測されにくい複雑なものにしているか
無線LANルーターはサポート期間中で、ファームウェアが最新になっているか
無線LANルーターの設定を定期的に確認しているか
接続するアクセスポイント(SSID)を確認しているか
ウェブブラウザのアドレスバーでURLが「https://」となっているのを確認しているか
意図せずファイルやフォルダを他人に見られないよう、パソコンの共有設定に注意しているか
電車の網棚にパソコンが入った鞄を置き忘れたり、カフェなどでパソコンを放置して離席したりしていないか
パソコンに覗き見防止フィルターを装着しているか

以上(2026年7月作成)

pj60389

【文例付き】これからの会社を担う中堅社員の成長を促す経営者のメッセージ

1 中堅社員の成長が会社のこれからを決める

皆さんの会社の中堅社員は頼れる存在に育っていますか? 中堅社員の成長は、会社の今後に影響します。その理由は、主に4つ挙げられます。

  • 会社の戦力の底上げを図るためには、中堅社員の「伸びしろ」が重要になる
  • 中堅社員は、ベテラン社員と若手・新入社員とのつなぎ役として欠かせない
  • 中堅社員と年齢などが近い若手・新入社員の成長にも影響する
  • これから先、今の中堅社員が会社を動かす幹部になる可能性がある

自分で仕事を回せるようになってきた中堅社員に対して、細かくあれこれ口出しするようなメッセージの伝え方は反発を招きかねません。経営者のメッセージは、テーマを絞って、

経営者が伝えたい思いや、中堅社員に期待していることを明確

にする必要があります。

また、メッセージを伝える際は、単なるお説教にならないよう、親しみやすく具体的な事例を交えるとよいでしょう。この記事では、中堅社員の成長を促す経営者のメッセージの例を4つ紹介します。

2 「自分で考え行動する」ことを伝える

会社のこれからを担う中堅社員を成長させるには、若手・新入社員の頃のように、上司に言われた業務をこなすだけの状態から変わってもらう必要があります。経営者は中堅社員に、「会社と自身の成長のために、自分で考えて行動する」ことを伝えましょう。この思いを伝えるには、中堅社員が失敗を恐れずに行動できるよう、その背中を押す内容が好ましいです。

ただし、単に「自分で考えて行動せよ」と言うだけでは、中堅社員は何をしてよいか分かりません。そこで、著名なアスリートの言葉など、身近で具体的な事例を引用しながら、中堅社員に自発的な行動への意欲を持ってもらうことが大切です。

【文例:イチロー氏の言葉を引用して背中を押す】

元メジャーリーガーのイチロー氏は、こんな言葉を残しています。「“準備”というのは、言い訳の材料となり得るものを排除していく、そのために考え得るすべてのことをこなしていく、ということですね(*)」。私がこの言葉で印象的なのは、「誰かに言われたからやった」ではなく、「自分が納得できるまで考え、動く」という姿勢です。

皆さんももう、「上司に言われたからやった」という段階ではないはずです。「なぜこの仕事をするのか」「もっと良いやり方はないか」を自分で考え、動く。その積み重ねが、3年後・5年後の皆さんを大きく変えます。まず小さなことでいい。自分の判断で一歩踏み出す習慣をつけてみてください。

【参考文献】

(*)「イチロー流 準備の極意」(児玉 光雄 (著)、青春出版社、2017年9月1日)

3 「周りのことを考える」ことを伝える

中堅社員は、ベテラン社員と若手・新入社員とのつなぎ役として貴重な存在です。ですから、自分や目の前のことだけでなく、周りのことも考えるようにしてもらいたいものです。

こうした場合は、「お客さまに対するのと同じような丁寧さで、次工程の担当者が仕事を進めやすいようにする」という趣旨の「次工程はお客さま」など、中堅社員にとっても身近な事例を用いるとよいでしょう。

【文例:「次工程はお客さま」という言葉を使って周りへの配慮を促す】

「次工程はお客さま」という言葉があります。お客さまに対して行うのと同じような丁寧さで、次の工程の担当者が仕事を進めやすいようにするという趣旨の言葉です。「次工程はお客さま」を意識していない人は、例えば誰かに仕事を頼む際、自分が分かっていることは相手も分かっているはずだと思って、雑に仕事を振ってしまいます。逆にこれを意識している人は、相手が前提を知らない可能性を想定し、必要な背景や経緯も一緒に伝えるように心がけます。

後輩は、皆さんが思っている以上に、皆さんの仕事ぶりから学ぼうとしています。皆さんが「次工程はお客さま」と思って丁寧に仕事をしていれば、後輩もそれに倣うでしょう。逆に、雑なところを見せてしまえば、後輩も「それが普通なんだ」と受け取ってしまいます。皆さんが後輩に仕事を頼むときなどはぜひ、「次工程はお客さま」を思い起こしてください。

4 「教えることが自分の学びにつながる」ことを伝える

若手・新入社員は、自分と年齢の近い中堅社員の後ろ姿を常に見ていますし、中堅社員を相談相手に求めるケースも多いでしょう。新入社員の離職率を下げるためにも、中堅社員の存在は重要です。中堅社員にとっても、後輩の面倒を見る経験は、部下を持つ立場になったときに必ず役立ちます。

そこで、ともすれば自分の仕事にかかりきりになりがちな中堅社員に対して、後輩に教えることが自分自身の学びにもなるということを伝えましょう。押し付けがましくならないよう、世界的に知られる学習法など、身近な事例を交えて伝えるとよいでしょう。

【文例:ファインマン・テクニックの話を通して「教える意義」を伝える】

皆さんは「ファインマン・テクニック」というものをご存じですか? ノーベル物理学賞を受賞したリチャード・ファインマン氏が考案した学習法で、「物事を、子どもにも分かるような簡単な言葉で説明できないなら、本当に理解しているとはいえない」という考え方が根幹にあります。

後輩から「なぜそうするんですか?」と聞かれて、うまく答えられなかった経験はありませんか。それは教える力が足りないのではなく、そこがまだ「なんとなく分かっている」止まりだということです。後輩への説明は、自分の知識を本物にするための最良の機会です。ぜひ積極的に後輩の質問を受けてみてください。

5 「将来の自分の姿をイメージする」ことを伝える

今の中堅社員はこれから先、会社を動かす幹部になる人たちです。今から将来の自分の姿をイメージすることで、長期的な視点で「自分には何が足りないのか」「今、何をすべきか」を考えることができるようになります。

とはいえ、毎日同じ環境で仕事をしているだけでは、将来の姿というのはなかなか見えてきません。そこで、未知の環境に身を置くことで見えてくるものとして伝えてみてはいかがでしょうか。著名な宇宙飛行士のエピソードを引用してみるのも手です。

【文例:野口聡一氏のエピソードを引用して「将来」をイメージしてもらう】

宇宙飛行士の野口聡一氏は、2022年にJAXAを退職し、57歳で民間の研究者へと転身しました。定年まで勤めれば安定した生活が見込めたはずですが、野口氏は「自分の価値観やアイデンティティーを他人に委ねてはいけない」と考え、新しい環境に飛び込むことを選んだそうです。野口氏はこう語っています。「新しい『宇宙』に飛び込む勇気を持てば、必ず新たな気の合う仲間や、面白くて夢中になれるものに出合える(*)」。ここでの「宇宙」とは、未知の環境のことです。

将来の自分の姿は、今の仕事の延長線上だけでイメージするものではありません。新しい環境に身を置いてみることで、初めて「自分はこうなりたい」という軸が見えてくることもあります。皆さんも、いつもと違う仕事の進め方を試したり、知らない分野の人と話したりする中で、将来の自分のヒントが見つかるかもしれません。ぜひ、「未知への一歩」を意識してみてください。

【参考文献】

(*)「ダイヤモンド・セレクト 息子・娘を入れたい会社2023」(ダイヤモンド社、2022年12月)

以上(2026年7月更新)

pj10035
画像:chachamal-Adobe Stock

生成AI、経営者はどう使う? 年代別で見えてきた意外な違い

1 2026年最新!「会社での生成AI利用」事情

今やビジネスになくてはならない生成AI。先駆けとなったChatGPTや最近話題のClaudeなど、さまざまなツールが登場しており、用途に応じた使い分けも当たり前となってきました。さらに、AIエージェントの進化も目覚ましく、単に問答を繰り返すだけでなく、業務を自動的に回してくれる頼もしい存在にもなっています。

そのような中、経営者は生成AIをどのように活用しているのでしょうか。2026年5月から6月にかけて、全国の経営者計235人を対象に、独自アンケートを実施しました。

この記事では、調査結果から見えてきた

生成AIの具体的な利用状況などを、経営者の年代ごとに紹介

していきます。なお、回答の中で、明らかに誤字と思われる表記などは修正しています。

2 生成AIを利用していますか?

まず、経営者235人に、

「業務で生成AI(AIエージェントを含む。以降同様)を利用していますか?」

という質問をしてみました。

経営者の生成AIの利用状況(n=235)

結果を見ると、

  • 20~50代までは、どの年代も経営者の50%以上が生成AIを利用している
  • 60代以上の生成AIの利用率は、他の年代に比べると低い

ことが分かります。

3 どの生成AIを利用している?

次に、「業務で生成AIを利用している」と回答した経営者143人に、

「業務でどの生成AIを利用していますか?」

という質問をしてみました。

経営者が利用している生成AI(n=143、複数回答)

結果を見ると、

全体的にChatGPTとGeminiを利用している経営者が多い

ことが分かります。

年代別では、

  • 20代・40代・50代では、Geminiの利用が最も多い
  • 30代と60代以上では、ChatGPTの利用が最も多い
  • 60代以上では、ChatGPTに次いでCopilotの利用が多い

などの特徴が見られました。

なお、その他と回答した人は、CanvaAIを利用しているとのことです。

4 どのような業務で生成AIを利用している?

次に、「業務で生成AIを利用している」と回答した経営者143人に、

「主にどのような業務で生成AIを利用していますか?」

という質問をしてみました。

生成AIの主な利用用途(n=143、複数回答)

結果を見ると、

  • リサーチ(最新の制度改正、業界動向、取引相手など)
  • 事業アイデア(「新規事業のアイデアを10個挙げて」など)
  • 提案書作成(「◯◯のサービスについて提案書を作って」など)
  • 業務ヒント(「◯◯業務を効率化したいので、アイデアを出して」など)

の業務で、生成AIがよく利用されていることが分かります。

年代別では、

  • 30~40代はリサーチと事業アイデアで生成AIを利用している
  • 30代と60代以上は、翻訳・多言語対応で生成AIを利用している

などの特徴が見られました。

なお、その他と回答した人は、プログラミングのコード作成、ECショップの運営などに生成AIを利用しているとのことです。

5 生成AIを利用しないのはなぜ?

次に、「業務で生成AIを利用していない」と回答した経営者92人に、

「業務効率化などの目的で生成AIを利用しないのはなぜですか?」

という質問をしてみました。

業務で生成AIを利用しない理由(n=92、複数回答)

結果を見ると、

どの年代も「生成AIがなくても十分に業務が回っているから」の割合が最も高い

ことが分かります。

年代別では、

  • 20~40代は、「生成AIを利用してみたが思ったような回答が得られず、かえって時間がかかるから」の割合が高い
  • 40~60代以上は、「社内に生成AIに精通した社員がいないから」の割合が高い
  • 20代、60代以上は、「セキュリティが心配だから」の割合が高い

などの特徴が見られました。

なお、その他と回答した人は、「考える能力が育たないし、誤答も多い」という理由で生成AIを利用していないとのことです。

6 生成AIにあったらいいと思うサービスや機能は?

次に、全ての経営者235人に、

「生成AIをさらに利用する、あるいは利用を検討する上で、どのようなサービスや機能があったらいいと思いますか?」

という質問をしてみました。

生成AIにあったらいいと思うサービスや機能(n=235、複数回答)

結果を見ると、

全年代で、生成AIに欲しい機能はそれぞれ違う

ことが分かります。

年代別では、

  • 30代は、「自社業務を正しく理解し一貫して処理するAIエージェント」への関心が高い
  • 年代が上がるごとに、「セキュリティが万全の生成AIツール」への関心が高くなる
  • 60代以上は、他の年代と比べて関心が幅広い

などの特徴が見られました。

7 社員はどれくらい生成AIを利用している?

次に、全ての経営者235人に、

「あなたの会社の社員はどれくらい生成AIを利用していますか?」

という質問をしてみました。

社員の生成AIの利用状況(n=235)

結果を見ると、

「ほぼ全員」「半数以上」を合わせた組織全体への生成AIの浸透率は、年代が上がるごとに低下している

ことが分かります。

8 生成AIを利用すると社員の能力は向上する?

次に、社員が生成AIを利用していると回答した経営者149人に、

「生成AIを利用して社員の能力は向上したと思いますか?」

という質問をしてみました。

生成AIによる社員の能力の向上(n=149)

結果を見ると、

特に20~30代は、生成AIを利用する効果を実感している経営者が多い

ことが分かります。

9 どのように社員の能力が向上した?

次に、生成AIを利用して社員の能力が向上したと回答した経営者80人に、

「生成AIを利用することで社員の能力はどのように向上していると感じますか?」

という質問をしてみました。

生成AIの利用で向上した社員の能力(n=80、複数回答)

結果を見ると、どの年代も

  • アイデアの幅が広がった
  • 一人でこなせる業務が増えた
  • 企画や報告までのスピードが上がった

と回答した人が多いことが分かります。

年代別では、

  • 40代と60代以上は、「アイデアの幅が広がった」と実感している割合が高い
  • 50代は、「企画や報告までのスピードが上がった」と実感している割合が高い

などの特徴が見られました。

また、

「生成AIを利用したことで社員の能力が低下している」と回答した経営者は全世代で5人のみで、かなりの少数意見

でした。

生成AIを利用して社員の能力が低下したと回答した経営者5人に

「生成AIを利用することで、社員の能力はどのように低下していると感じますか?」

という質問をしてみたところ、次のような回答が得られました。

  • 提案書などのアウトプットのレベルが下がった
  • それっぽい企画や報告はするが、真偽不明のものが多い
  • 多くのアイデアは出すが、『数』勝負で吟味されていない

以上(2026年7月更新)

pj00775
画像:日本情報マート

この先、避けては通れない AIの利用をめぐるサイバーリスク

1 AIの普及、進化でサイバーリスクも加速

日進月歩の勢いで進化を続けるAI(人工知能)。AIには「未だ確立された定義は存在しない」とされますが、近年、一大潮流となっているのが「生成AI」。人が指示を与える(プロンプトを入力する)ことで、文章、画像、動画、プログラムなどを自動的に生成できるのが特徴です。

生成AIは、

  • これまで人が行ってきた業務・作業の圧倒的な効率化を実現し、人手不足を解消する
  • これまで人が思い付かなかったような新たなビジネスアイデアを創出する

上で大きな効果が期待されている一方、セキュリティ対策やガバナンスが追いつかず、思わぬトラブルに巻き込まれるケースも急増しています。

IPA(情報処理推進機構)の「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が第3位として初めてランクイン

しました。

今や、AIに関するリスク管理は、情報システム部門や担当者の裁量に任せるレベルを超える「重大な経営課題」へと変貌しています。2026年には、総務省・経済産業省が「AI事業者ガイドライン」を改定(第1.2版)したり、金融庁が「『フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応』に係る要請」(以下「フロンティアAI対応要請」)をしたりするなど、政府機関による方針作成や規制の動きも加速しています。

この記事では、中小企業の経営者やマネジメント層、そして現場の従業員の方に向けて、AIがもたらす新たな脅威の実態と、安全に使いこなして取引先からの信頼を勝ち取るための具体的なセキュリティ対策を解説していきます。

2 AIの利用をめぐるサイバーリスク:直面する4つの脅威

AIの普及、進化は、私たちのビジネスを便利にする一方で、サイバー犯罪の手口も急速に巧妙化させています。ここでは、IPAの「情報セキュリティ10大脅威2026」や最新のインシデント事例から、私たちが今まさに直面する4つの脅威を整理します。

AIの利用をめぐる4つの脅威

IPA「情報セキュリティ10大脅威2026」でAIリスクが初の第3位にランクイン

THREAT 01

巧妙化するフィッシング詐欺

生成AIが自然な日本語のビジネスメールを大量生成。「ニセ社長詐欺」による送金被害が急増。

言語の壁が消え、見破れなくなった

THREAT 02

サイバー攻撃の自動化・高度化

AIが脆弱性探索や難読化コード生成を代行することで、未熟な攻撃者でも超一級の攻撃が可能に。

「AIアシスタント」が攻撃者側にも

THREAT 03

ハルシネーションと法的リスク

実在しない情報を「もっともらしく」出力。鵜呑みにして誤情報を提供すると、著作権侵害の恐れも。

ファクトチェックなき利用は危険

THREAT 04

間接プロンプトインジェクション

サイト・メールに仕込まれた不正プロンプトをAIが自律的に読込み、機密データを外部送信する恐れ。

「EchoLeak」のようなゼロクリック攻撃

(出所:IPA「情報セキュリティ10大脅威2026」ほか)

1)言語の壁を超越した巧妙な「フィッシングメール」「ビジネスメール詐欺」

これまでの海外発のフィッシングメールやビジネスメール詐欺は、「てにをは」の使い方が不自然だったり、日本語の表現がどこか変だったりしたため、読めば見破ることができました。しかし、攻撃者が生成AIや翻訳文章生成ツールを悪用し、日常的な取引の文脈や業界の慣例を学習した違和感のない日本語のビジネスメールが瞬時に、大量に作れるようになっています。

2026年には、経営者などをかたって業務命令を装い、LINEグループの作成を要求した上、指定した口座に送金をさせる「ニセ社長詐欺」の被害が急増しています。

2)サイバー攻撃の「自動化」と「技術水準の底上げ」

生成AIを「サイバー攻撃のアシスタント」として悪用する攻撃者が登場しています。攻撃者は、AIにセキュリティホールとなる脆弱性を探させたり、セキュリティソフトの検出を回避する「難読化コード」や情報窃取コマンドを動的に生成させたりしています。これにより、高度なハッキング知識を持たない未熟者であっても、容易に超一級のサイバー攻撃を仕掛けられるようになっています。

3)実在しない情報を信じ込む「ハルシネーション(幻覚)」と法的リスク

対話型の生成AIは、確率的に「もっともらしい文章」を生成する仕組みであるため、時に架空の事実、間違った解釈を、あたかも真実であるかのように堂々と出力することがあります。これを「ハルシネーション」と呼びます。

AIが生成した内容を人間の目で検証(ファクトチェック)せずに鵜呑みにして、提案書やウェブサイトのコンテンツ、あるいはプログラムコードに利用すると、顧客へ誤った情報を提供してしまい信用を失う恐れがあります。また、意図せず、他者の知的財産権(著作権など)を侵害してしまう法的リスクもあります。

4)進化するAI固有のゼロクリック脆弱性「間接プロンプトインジェクション」

「Microsoft 365 Copilot」などのビジネスツールに生成AIが深く組み込まれる中、AI固有の新しい脆弱性を突いた攻撃が登場しています。その代表例が「間接プロンプトインジェクション」です。

AIには通常、悪意ある命令を拒否するセーフガード(保護措置)が導入されています。しかし、何らかの方法で、攻撃者にウェブサイトやメールの文面の中に、人間の目には見えない(または気づかない)不正プロンプトを仕込まれると、社内のAIがそのサイトやメールを自律的に読み込んだ際、仕込まれた不正な指示を真に受けて、「社内の機密データを外部のサーバーに勝手に送信する」といった動作(例えば、「EchoLeak」と呼ばれる脆弱性の悪用など)を、利用者が気づかないうちに実行してしまうのです。

3 「AI利用者」として押さえておくべき役割とポイント

総務省・経済産業省の「AI事業者ガイドライン(第1.2版)」では、AIに関わる主体を「AI開発者(Developer)」「AI提供者(Provider)」「AI利用者(Business User)」の3つに大別しています。

  • AI開発者:AIモデルやアルゴリズムそのものを構築する事業者
  • AI提供者:AIをアプリやサービスに組み込んで提供する事業者
  • AI利用者:事業活動においてAIシステムやサービスを利用する事業者

ここでは、主に「AI利用者」として押さえておくべきポイントを、中小企業の経営者・マネジメント層と従業員それぞれの目線から紹介します。なお、一般の中小企業の大部分は「AI利用者」に該当しますが、自社で顧客向けにAIチャットボットを組み込んだウェブサイトを構築したり、システムを開発して提供したりする場合は「AI提供者」の責任も兼ねることになります(この記事では割愛)。

AIに関わる3つの主体

「AI事業者ガイドライン(第1.2版)」による分類 ─ 自社はどこに立っているか

大部分の中小企業はここ

D

Developer

AI開発者

AIモデルやアルゴリズムそのものを構築する事業者

例:AIモデル開発企業

大部分の中小企業はここ

P

Provider

AI提供者

AIをアプリやサービスに組み込んで提供する事業者

例:AI搭載SaaS事業者

大部分の中小企業はここ

U

Business User

AI利用者

事業活動においてAIシステムやサービスを利用する事業者

例:ChatGPTやCopilotを業務で使う会社

※ 自社で顧客向けAIチャットボットを構築・提供する場合は「AI提供者」の責任も兼ねる

(出所:総務省・経済産業省「AI事業者ガイドライン(第1.2版)」)

1)経営者・マネジメント層目線:シャドーAI撲滅のためのリスクベースアプローチ

「うちはまだ業務にAIを導入していないから、リスクはない」と考えているとしたら、その考え方は危険です。会社が正式に利用を認めていない、あるいは安全な環境を用意していないにもかかわらず、現場の従業員が生産性を上げるために個人の判断で無料の公開型AIサービスを業務に使ってしまう「シャドーAI」が横行する恐れがあるためです。

無料の公開型AIサービスは、入力されたデータ(プロンプト)をAIの品質向上のために「再学習」する規約になっているケースが多々あります。ここに自社の機密情報、顧客の個人情報などをコピー&ペーストして入力すると、AIがそれを学習し、世界のどこかで別のユーザーが質問した際の「回答」として情報が漏えいしてしまうリスクがあります。

「AI事業者ガイドライン(第1.2版)」が提唱する「リスクベースアプローチ」とは、利用するAIのリスクの大きさ(被害の大きさとその発生確率)を正しく把握し、それに見合った対策を講じる考え方です。経営者・マネジメント層に求められるのは、単に「AI利用は禁止」とすることではなく、データのオプトアウト(学習対象除外設定)が保証された法人向けの安全なAI環境(例えば、ChatGPT Team/Enterpriseや、Microsoft Copilotの商用データ保護環境など)を会社として公式に契約・提供し、シャドーAIを撲滅することです。

2)従業員目線:自動化バイアスの克服と入力(プロンプト)の厳格管理

現場の従業員が最も注意すべきは、AIを万能の道具だと錯覚してしまう「自動化バイアス(Automation Bias)」です。自動化バイアスとは、システムやAIが出した回答を過度に信頼し、人間が考えることを放棄して従ってしまう心理現象を指します。

AIがどれだけ自信満々に、美しい日本語で回答を出力したとしても、そこにはハルシネーション(幻覚)や、セキュリティ上の脆弱性が含まれている恐れがあります。従業員は次の「3つの原則」を守ることを徹底しなければなりません。

  • 重要情報の入力禁止:自社の機密情報、顧客の個人情報などは絶対に入力しない
  • ファクトチェックの義務化:AIの出力した数字、事実、ソース(根拠)は、必ず人間が別ルートで裏付けを取る
  • 責任の引き受け:AIは「アシスタント」であり、業務の最終決定と責任は人間の従業員自身にあることを自覚する

4 フロンティアAIの登場によるサプライチェーン全体への影響

今後、中小企業が避けては通れない課題が、「フロンティアAI」への対応と、それに伴うサプライチェーン全体の規制強化の波です。

フロンティアAIとは、米アンソロピック(Anthropic)社の「Claude Mythos(クロード・ミュトス)」などに代表される、現在の技術基準をはるかに超える極めて大規模で高性能な最先端のAIモデルを指します。「Claude Mythos」は、システムやソフトウェアの「未知の脆弱性」を自動で、短期間に、大量に発見する圧倒的な能力を持っています。一方で、攻撃者側に悪用された場合、脆弱性を突いた攻撃を開始するまでのタイムラグが極端に短縮されるという脅威が生じています。

冒頭で触れた、金融庁が発出した「フロンティアAI対応要請」は、これまで安全だとされていたシステムに、突然大量の脆弱性が発覚し、修正プログラム(パッチ)の適用が追いつかなくなる事態を想定し、金融機関に対して、自社だけではなく、システムの開発・保守を委託している外部のITベンダーやサプライチェーンの事業者も含めて、「大量の脆弱性への対応リソースがあるか」「パッチ適用が間に合わずにシステム停止に追い込まれるリスクはないか」を至急点検し、契約(SLA/SLO)を確認せよと命じているものです。

こうした動きは金融業界にとどまらず、2026年度末に予定されている経済産業省の「SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)」の運用開始により、一般の製造業、流通業、サービス業の中小企業にも影響を及ぼすと考えられます。

現代のサイバー攻撃のトレンドは、セキュリティが強固な大企業を直接狙うのではなく、その取引先である中小企業や業務委託先を「踏み台」にして、ネットワークを経由して段階的に大企業へ侵入する「サプライチェーン攻撃」です(IPA「情報セキュリティ10大脅威2026」で第2位)。

サプライチェーン攻撃の構造

IPA「情報セキュリティ10大脅威2026」で第2位 ─ 狙われるのは”踏み台”の中小企業

攻撃者

Attacker

侵入

狙われるポイント

中小企業

(取引先・委託先)

セキュリティが手薄な”踏み台”に

経由

大企業

(最終ターゲット)

強固なセキュリティを直接突破できない

大企業は「SCS評価制度」で取引先のセキュリティ体制を点検する時代へ

フロンティアAIによる脆弱性増加への対応力を、チェックシート等で照会される。「対応していません」と答えれば、その瞬間に取引を失うリスクがある

(出所:IPA「情報セキュリティ10大脅威2026」、経済産業省「SCS評価制度」)

大企業は、SCS評価制度を活用して取引先中小企業のセキュリティ体制を点検し、自社の安全を確保しようとするはずです。近い将来、中小企業は、大手の取引先から「フロンティアAIによる大量の脆弱性発覚に耐えられる体制があるか?」「委託先ベンダーとの保守体制は万全か?」という照会(チェックシートの提出要請など)を受けることになります。ここで「対応していません」「ITはベンダー任せで分かりません」と回答すれば、その瞬間に「リスクあり」と判断されてしまい、取引を失ってしまう恐れがあるのです。

5 自社の現状を評価するチェックリスト

1)経営者・マネジメント層向け

チェック項目
AI利用規程(ガイドライン)を策定し、全社に周知・徹底しているか
シャドーAI(無断での個人アカウント利用)を(技術的に)禁止・監視しているか
入力データが学習されない「安全な法人向けAI環境」を会社として提供しているか
外部のITシステムベンダーとの「保守契約(SLA/SLO)」を再確認しているか
自社が保有・利用・提供しているIT資産やソフトウェア構成を把握しているか
金銭支払いや契約変更等の重要業務において、複数人が関与する承認フローを構築しているか
サイバー攻撃によるシステム停止を想定したBCP(事業継続計画)を策定しているか

2)従業員向け

チェック項目
会社の秘密情報、顧客の個人情報、インサイダー情報をAIに絶対に入力していないか
AIの出力結果をそのまま鵜呑みにせず、必ず自分の目で検証(ファクトチェック)しているか
AIが生成したプログラムコードやシステム設定データを、検証せずに実業務に投入していないか
AIを悪用した巧妙な「なりすましメール」や「フィッシング詐欺」を疑う目を持っているか
万が一のトラブル(誤入力による情報漏えい等)が発生した際、すぐに報告できる窓口と手順を理解しているか

以上(2026年7月作成)

pj60388
画像:日本情報マート