「在宅勤務の日だけ、自宅のパソコンを使ってもよいですか」
社員からこのように聞かれ、特にルールを決めないまま許可している会社は珍しくありません。会社のパソコンを追加購入せずに済むため、私物PCの利用は手軽に見えます。
しかし、普段使っている私物PCには、家族と共有している端末、更新が止まっている端末、個人用クラウドへ自動同期する端末などが含まれる可能性があります。会社が端末の状態を確認しないまま使わせると、業務ファイルが私物PCに残り、紛失、退職、マルウェア感染などが起きたときに対応できません。
結論からいえば、社員の私物PCを無条件で仕事に使わせてはいけません。すぐに社用PCを用意できない場合でも、経営者が利用を認める範囲を決め、申請された端末だけに限定し、業務データを私物PCへ保存しない仕組みを優先してください。
この記事では、BYODの意味、私物PCをそのまま使わせるリスク、中小企業が最低限決めるルール、開始・退職・紛失時の運用方法を解説します。
| 最初の一歩 現在、私物PCで仕事をしている社員と、利用しているサービスを一覧にします。まず会社が把握していない利用をなくすことが出発点です。 |
- 経営者がBYODを認めるか判断する
- 利用者、端末、業務、取り扱う情報の範囲を決める
- 申請・承認した端末だけを利用させる
- OS更新、画面ロック、マルウェア対策などの利用条件を定める
- 業務データを私物PCへ保存しない運用を優先する
- 会社アカウントには多要素認証を設定する
- 紛失、感染、退職時の連絡と利用停止の手順を決める
- 私物領域の確認・削除方法について、社員の同意を得る
BYODとは
BYODは「Bring Your Own Device」の略で、社員が個人で所有するパソコン、スマートフォン、タブレットなどを業務に利用する形態です。会社が正式に利用を認め、対象端末や利用方法を管理している状態がBYODです。一方、社員が会社へ申告せず、私物端末や個人契約のサービスを仕事に使う状態は、一般に「シャドーIT」と呼ばれます。この記事では、特にリスクが大きくなりやすい私物PCを対象に説明します。
| 現場でありがちな会話 社長「自宅でメールを見るだけなら、自由に使わせてもよいんじゃないか？」 担当者「添付ファイルが私物PCに保存されたり、個人用クラウドへ同期されたりする可能性があります。」 社長「見るだけのつもりでも、データが残ることがあるんだな。」 |
私物PCをそのまま仕事に使わせる7つのリスク
1. 端末の安全性を会社が確認できない
私物PCでは、OSやソフトウェアの更新状況、マルウェア対策、画面ロックなどが社員ごとに異なります。サポートが終了したOSや更新されていないソフトウェアでは、既知の脆弱性を悪用される可能性があります。
2. 業務データが私物PCに残る
メール添付を開いただけでも、ダウンロードフォルダーや一時ファイルにデータが残る場合があります。個人用OneDrive、Google Drive、Dropboxなどへの自動同期にも注意が必要です。
3. 家族や第三者が業務情報を見られる
家族で同じWindowsやMacのアカウントを共有していると、業務ファイル、履歴、保存されたパスワードへアクセスされる可能性があります。
4. 紛失や盗難の際に会社が制御できない
管理されていない私物PCでは、会社による利用停止やデータ消去ができるとは限りません。ブラウザーに保存された会社アカウントやダウンロード済み資料も確認対象です。
5. マルウェア感染が会社へ広がる
業務に不要なソフトウェアや拡張機能が入った私物PCから会社サービスへアクセスすると、認証情報や業務データを狙われるおそれがあります。
6. 事故発生時の調査が難しくなる
事故時は利用履歴や保存ファイルの確認が必要ですが、私物PCには個人の写真やメールも含まれます。確認範囲を決めていないと、事故調査と社員のプライバシーが衝突します。
7. 退職後も会社データやログイン情報が残る
退職者の私物PCに業務ファイル、同期データ、ログイン情報が残ると、会社は確実な回収や削除を確認できません。
BYODは法律で禁止されているのか
BYODそのものを一律に禁止する法律がある、という整理ではありません。ただし、私物PCで個人データを扱う場合も、会社が必要な安全管理措置を検討しなければならない点は変わりません。
「私物PCなので会社は責任を負わない」「社員本人が管理すればよい」とは考えない方がよいでしょう。個人情報、取引先の機密情報、従業員情報などを扱う場合は、契約上の条件や業界固有のルールも確認してください。法的判断が必要な場合は専門家へ相談します。
最初に判断するべきことは「本当にBYODが必要か」
| 状況 | 現実的な対応 |
| 毎日、顧客情報や機密資料を扱う | 原則として社用PCを貸与する |
| 一時的な在宅勤務だけで使う | リモートデスクトップや仮想デスクトップを検討する |
| メールと予定表だけ確認する | 管理されたWebブラウザー利用など、機能を限定する |
| 業務委託先が自分のPCを使う | 委託契約とセキュリティ条件を別途定める |
| 緊急時だけ利用する | 例外申請、期限、利用後のデータ削除を定める |
| 端末の状態を確認できない | 利用を認めず、代替手段を用意する |
中小企業が決めるべきBYODの最低限のルール
ルール1：利用を申請制にする
口頭で許可せず、利用者と端末を登録します。担当者は総務またはIT兼任担当者、承認者は経営者または部門責任者とします。承認済み端末と利用者を一覧で確認できれば完了です。
- 利用者名
- 部署・業務
- PCのメーカーと機種
- OSの種類とバージョン
- 端末の利用者
- 家族との共用の有無
- 利用する会社サービス
- 取り扱う情報
- 利用開始日・終了予定日
- 承認者
ルール2：利用を認める端末条件を定める
少なくとも次の条件を確認します。設定画面はOSや契約プランで異なるため、現在の公式手順または保守会社の案内を確認してください。
- サポート対象のOS
- OSと主要ソフトの自動更新
- マルウェア対策
- 画面ロック
- 推測されにくいパスワードまたはPIN
- ストレージ暗号化
- 家族と別のユーザーアカウント
- 業務に不要な共有機能の無効化
ルール3：取り扱ってよい情報を限定する
「仕事に使ってよい」だけでは範囲が広すぎます。自社で扱う情報、取引先との契約、業界要件に合わせて区分します。
| 区分 | 運用例 |
| 利用可 | 社内掲示の閲覧、予定表、一般的なWeb会議 |
| 条件付き | 社内メール、社内文書、見積書 |
| 原則禁止 | 顧客の個人情報、人事情報、認証情報、未公開の設計資料 |
| 持ち出し禁止 | 法令、契約、社内規程で持ち出しが制限される情報 |
ルール4：業務データを端末へ保存しない
最低限、次の事項をルールとして明記します。
- ブラウザー上で業務を完結
- 会社が許可したクラウドだけを利用
- 個人用クラウドへの保存・同期を禁止
- メール添付ではなく権限管理された共有リンクを利用
- USBメモリへのコピーを原則禁止
- やむを得ず保存した場合の削除期限を設定
ルール5：会社アカウントを保護する
最低限、次の事項をルールとして明記します。
- 多要素認証を設定
- 会社と個人でパスワードを使い回さない
- ブラウザーへの保存条件を決める
- 家族と共有しない
- 共用PCではログイン状態を残さない
- 不審な認証通知を承認しない
ルール6：利用場所とネットワークを決める
最低限、次の事項をルールとして明記します。
- 不特定多数がいる場所では機密情報を扱わない
- 公共の場所で機密性の高いWeb会議を行わない
- 出所不明のWi-Fiへ接続しない
- PCを車内や飲食店へ放置しない
- 離席時は画面をロック
ルール7：会社の確認範囲と社員のプライバシーを決める
私物PCである以上、会社が無制限に端末内部を確認してよいわけではありません。利用開始前に確認範囲と目的を説明し、同意を得ます。
- 会社が確認する端末情報
- セキュリティ状態の確認方法
- 業務ログの取得範囲
- 事故調査時の確認範囲
- 業務データを削除する条件
- 私物データを閲覧しない方法
- 同意できない場合の代替手段
ルール8：紛失・感染時の連絡方法を決める
「問題が起きたら連絡」だけではなく、連絡対象、連絡先、初動を決めます。
- PCの紛失・盗難
- マルウェア感染警告
- 不審なログイン通知
- 個人用クラウドへの誤保存
- 家族による閲覧
- 業務データの誤送信
紛失・感染時の初動例
- 社員は指定された連絡先へ速やかに報告する
- 管理担当者は会社アカウントのセッション停止やパスワード変更を検討する
- いつ、どこで、何が起きたかを記録する
- 保存されていた情報とアクセス可能だったサービスを確認する
- 個人情報や取引先情報が関係する場合は、経営者と専門家へ連絡する
| 注意 独自判断でログやファイルを削除すると、調査に必要な情報まで失う可能性があります。 |
BYOD導入の手順
手順1：現在の無許可利用を把握する
総務担当者が社員へ確認し、利用者、端末、サービス、保存情報を一覧にします。責めるためではなく現状把握のためだと説明します。
完了基準：未申告を含めた利用状況を一覧化した
手順2：BYODを認める業務を決める
経営者と各部門責任者が、私物PCで行ってよい業務と禁止業務を決めます。
完了基準：「利用可」「条件付き」「禁止」を文書で区分した
手順3：端末条件と利用ルールを文書化する
対象者、許可端末、保存禁止、事故報告、利用終了の5点を含む簡潔なルールから始めます。
完了基準：社員へ配布できる文書が完成した
手順4：申請と端末確認を行う
利用者から申請を受け、総務担当者または保守会社が端末条件を確認します。
完了基準：承認者、端末、利用期限が登録されている
手順5：会社アカウントとデータ保存を制御する
多要素認証を設定し、可能であればアクセス条件やダウンロード制限を利用します。
完了基準：会社が許可した方法以外で保存・アクセスできない状態を確認した
手順6：半年に1回と変更時に見直す
半年に1回を運用例として、OSのサポート状況、登録端末、利用者、業務を確認します。退職、異動、買い替え、紛失時はその都度確認します。
完了基準：確認日、確認者、結果を記録した
よくある失敗
同意書だけ取得して設定を確認しない
誓約書だけでは端末の安全性やデータ保存を管理できません。ルール、技術的制限、確認記録を組み合わせます。
家族と共用するPCをそのまま許可する
業務専用ユーザーを作っても、管理者権限を持つ家族がデータへアクセスできる場合があります。
個人用クラウドへの同期を見落とす
デスクトップやドキュメントが個人用クラウドへ自動同期されていないか確認します。
退職時にアカウント停止だけで終える
端末内データ、同期ファイル、保存済みパスワード、業務用アプリの削除を確認し、確認者と確認日を記録します。
例外利用が恒常化する
例外には終了日を設定し、期限後は再承認します。
よくある質問
小規模な会社でもBYODルールは必要ですか
必要です。社員数が少なくても、顧客情報や会社アカウントを私物PCで扱うリスクは変わりません。まずは1枚の利用ルールと端末一覧から始めてください。
BYODを全面的に禁止すればよいですか
禁止も選択肢ですが、実態確認が必要です。規程だけで禁止しても無断利用があれば管理できません。代替となる社用PCやアクセス方法を用意します。
無料で対策できますか
現状把握、申請制、保存禁止、多要素認証などは費用を抑えて始められます。遠隔消去や詳細な管理には追加契約が必要になる場合があります。
Microsoft 365やGoogle Workspaceを使っていれば安全ですか
クラウドを使うだけで私物PCのリスクがなくなるわけではありません。ダウンロード、個人用クラウド同期、認証情報保存を別途管理します。
社員の私物PCを会社が確認してもよいですか
確認範囲と目的を事前に示し、同意を得る運用が重要です。業務と無関係な私物データまで無制限に確認しないようにします。
外部のIT業者へ任せてもよいですか
設定確認は依頼できますが、利用範囲や情報区分の判断は会社側で行います。保存制限、アクセス制御、退職時の停止、取得ログを確認してください。
まとめ
社員の私物PCを仕事に使わせる場合、社員任せの運用にしてはいけません。経営者が範囲を判断し、総務担当者またはIT兼任担当者が利用者と端末を一覧化します。そのうえで、申請制、端末条件、保存禁止、多要素認証、事故報告、退職時の削除を最低限のルールとして定めます。
