2026.11.01

端末暗号化で守るテレワーク端末の安全設計

端末暗号化は、ノートPCやスマートフォンを紛失・盗難した際に、保存データを第三者に読ませないための基本対策です。テレワークでは社外へ持ち出す端末が増えるため、OS標準機能を有効化するだけでなく、管理と監査まで設計する必要があります。

ただし、暗号化は万能ではありません。ログイン済み端末の画面閲覧、クラウド同期、スクリーンショット、誤送信は別の経路で情報を漏らします。端末・認証・接続・記録を一体で扱うことが、実務での防御力を左右します。

本記事では、端末暗号化の仕組みと対象データ、PC資産管理による継続確認、リモートアクセスと仮想デスクトップの使い分け、PCログ管理を含む事故対応までを、導入順に整理します。

端末暗号化で最初に守るべき情報

ノートPCの暗号化設定を確認する担当者

保存データを読めなくする仕組み

端末暗号化とは、ストレージ上のデータを暗号鍵なしでは復号できない形式へ変換する対策です。端末が電源オフまたはロック状態で盗まれても、ディスクを取り外して直接読み出す攻撃への防御になります。

優先順位が高いのは、顧客情報、認証トークン、業務ファイル、ブラウザーのキャッシュ、ローカル同期フォルダーです。保存対象を棚卸しし、暗号化されないUSBメモリーや個人クラウドへの複製も確認しましょう。

  • 保存時暗号化は紛失・盗難時のデータ抽出を抑止
  • 通信の暗号化や画面撮影対策とは役割が異なる
  • バックアップとクラウド同期の保護範囲も別途確認

OS標準機能と鍵の管理を確認する

企業利用では、WindowsのBitLocker、macOSのFileVault、iOS・Androidの端末保護機能を標準化する方法が現実的です。Android 6 以上ではファイルベース暗号化とAndroid Keystoreを前提に、対応端末の状態を管理できます。

鍵を端末外へ安易に出さないことも重要です。AndroidではTEE（Trusted Execution Environment）やSE（Secure Element）、StrongBox KeyMintの対応状況を確認し、生体認証やPINで鍵の使用を認可する設計が有効です。

  • 復旧キーの保管先と閲覧権限を分離する
  • 端末ロックと生体認証を暗号鍵の利用条件にする
  • Root化・脱獄端末は業務利用から除外する

PC資産管理で暗号化漏れをなくす

台帳とインベントリを暗号化状態に結び付ける

PC資産管理では、購入日や利用者だけでなく、OS、シリアル番号、パッチ状況、暗号化の有効・未有効、復旧キーの管理先を結び付けます。台帳に登録されない端末は、暗号化ポリシーの対象外になりやすいため危険です。

Excelだけの管理では、異動、交換、退職、故障時の更新漏れが起こりがちです。MDMやエンドポイント管理製品でインベントリを自動収集し、未暗号化・長期未接続・古いOSを例外一覧として継続監査しましょう。

  • 利用者、端末、OS、暗号化状態を一意に対応付ける
  • 貸与・返却・廃棄の各時点で状態を再確認する
  • 復旧キーは端末台帳と同じ閲覧権限にしない

端末ライフサイクルに検査を組み込む

暗号化は導入時に一度設定して終わりではありません。キッティング時の有効化、月次の準拠確認、修理前のバックアップ、返却時の消去証明まで、PC資産管理の業務フローに検査ポイントを置くことが重要です。

例えば端末交換では、新端末の暗号化完了と業務アカウントへの登録を確認してからデータ移行を許可します。旧端末は管理下でワイプし、資産台帳の利用者・保管場所・廃棄記録を更新することで監査証跡になります。

  • 調達から廃棄まで担当者と証跡を定義する
  • 未準拠端末は接続制御の対象にする
  • 廃棄・売却・リース返却前は消去記録を保存する

リモートアクセスは端末外への流出も抑える

接続方式を業務データの置き場所で選ぶ

リモートアクセスを安全にする答えは、利用者に必要なアプリとデータだけを渡すことです。VPNで社内ネットワークへ広く接続する方法より、業務単位で権限を絞れる方式が適するケースもあります。

代表的な機能には、遠隔操作、メールなどのチェック、ファイル転送があります。利便性が高いほどローカル保存や転送の経路も増えるため、多要素認証、端末準拠判定、期限付き権限を組み合わせて最小権限を守ります。

  • 公開Wi-Fiからの接続は多要素認証を必須にする
  • 委託先には期限・対象・操作範囲を限定する
  • 接続元端末の暗号化状態をアクセス条件にする

仮想デスクトップでデータを端末に残さない

仮想デスクトップは、業務データやアプリをデータセンターまたはクラウド側で処理し、利用端末には画面情報を配信する方式です。端末暗号化に加え、ローカル保存を減らしたい部門に適しています。

VDI 在宅勤務では、クリップボード、ファイル転送、印刷、ドライブマッピングを業務ごとに制御します。高機密業務は仮想デスクトップへ集約し、一般業務は管理済みPCからアクセスするなど、情報の重要度で使い分けると運用しやすくなります。

利用形態ごとのデータ残存と主な統制を比較
項目 管理済みPC 仮想デスクトップ
主なデータ保存先 端末とクラウド クラウド側
端末暗号化の重要性 非常に高い 高い
ローカル保存制御 ポリシーで制御 原則禁止にしやすい
主な監査対象 端末・操作・転送 接続・画面・操作
業務の機密性、回線品質、オフライン作業の有無に応じて選定します。
  • 高機密データは仮想デスクトップ側へ集約
  • 印刷・転送・貼り付けは必要最小限に許可
  • 通信断時の業務継続手順を事前に定める

PCログ管理で事故の発見と証明を行う

残すべき記録を用途別に定める

PCログ管理では、誰が、どの端末から、いつ接続し、何を実行したかを追跡できる状態を作ります。暗号化の有効・無効変更、復旧キーへのアクセス、管理者権限の付与、外部媒体の利用は優先して記録すべきイベントです。

ただし、ログを大量に集めるだけでは監査に使えません。端末ログ、認証ログ、リモートアクセスの接続ログ、仮想デスクトップの操作ログを時刻同期させ、検索担当者と保管期間、閲覧権限を明文化する必要があります。

  • 暗号化設定変更と復旧キー操作を記録する
  • 認証・接続・端末イベントを相関分析できるようにする
  • ログ閲覧者にも最小権限と操作記録を適用する

紛失時は隔離・証跡保全・復旧を同時に進める

端末紛失を把握したら、まず利用者アカウントのセッションを切断し、MDMで遠隔ロックまたはワイプを実行します。端末暗号化が有効なら保存データの読み出しリスクを抑えられますが、認証情報の失効は別途必要です。

次にPCログ管理で最終接続、IPアドレス、アクセス先、ファイル転送、暗号化状態の変更有無を確認します。インシデント記録を残し、原因が運用不備ならポリシーを更新します。データ持ち出し対策はテレワーク向けDLP対策の総合ガイドも併せて確認してください。

  • 利用者の自己判断を待たず、連絡先と初動手順を周知する
  • ワイプ前に必要な証跡を保全する
  • 復旧後は同じ権限・同じ設定を機械的に戻さない

まとめ

端末暗号化は、持ち出し端末の保存データを守る出発点です。効果を継続させるには、PC資産管理で状態を把握し、リモートアクセスと仮想デスクトップでデータ経路を絞り、PCログ管理で異常を検知・検証する仕組みが欠かせません。

要点

  • 端末暗号化は紛失・盗難時の保存データ保護に有効
  • 暗号鍵、復旧キー、端末ロックは一体で管理する
  • 未暗号化端末をPC資産管理で継続的に検出する
  • 高機密業務はVDI 在宅勤務でローカル保存を抑える
  • ログは初動対応と監査証跡の両方に必要

まずは全端末の暗号化状態、復旧キーの保管先、社外接続の権限を棚卸ししてください。NISTの端末ストレージ保護指針（https://csrc.nist.gov/pubs/sp/800/111/final）やApple Platform Security（https://support.apple.com/guide/security/welcome/web）も参照し、自社の運用基準へ落とし込みましょう。

よくある質問

Q1. 端末暗号化だけで情報漏えい対策は十分ですか？

十分ではありません。暗号化は主に端末がロック・電源オフの状態で保存データを守る対策です。多要素認証、MDM、アクセス制御、ログ監視、DLPを組み合わせる必要があります。

Q2. 仮想デスクトップを使えば端末暗号化は不要ですか？

不要にはなりません。仮想デスクトップでも認証情報、画面キャッシュ、ローカル同期データが残る可能性があります。接続に使う端末は暗号化し、端末の準拠状態を確認してください。

Q3. 復旧キーは誰が管理すべきですか？

利用者任せにせず、権限を分離した管理部門またはMDMの保管機能で管理します。閲覧・使用した記録を残し、退職者や端末廃棄時にはアクセス権を見直すことが重要です。

Q4. PCログ管理では何を優先して記録しますか？

暗号化状態の変更、管理者権限の利用、認証失敗、リモートアクセス接続、外部媒体利用、重要ファイルの転送を優先します。端末・認証・接続の時刻を同期しておくと調査が容易です。

Q5. Android端末で確認すべき点は何ですか？

画面ロック、OS更新、端末暗号化状態、Android Keystoreの利用、Root化の有無を確認します。業務アプリは認証トークンや個人情報を平文で保存せず、OSの安全な保管領域を利用します。