経営者の私物端末

この状態なら読む

次のような状態を対象にします。

• 社長、代表者、個人事業主本人のPCやスマートフォンが主な業務端末になっている
• 業務メール、クラウド、会計、顧客情報等へ本人端末からアクセスしている
• MFAの確認やパスワード再設定も本人スマートフォンへ集中している
• 私物と会社所有の境界が実質なく、端末内に個人用と業務用の情報が混在している
• 端末が壊れた場合や本人が急に不在になった場合の引継ぎ方法を決めていない

従業員全体へBYODを広く許可する会社や、私物スマートフォンをMFAだけに使うケースは別に考えます。

私物端末を使っていることだけで、直ちに危険と判断する必要はありません。

一人会社や個人事業では、本人が所有者・利用者・管理者を兼ねることがあります。

問題は所有名義そのものより、業務に必要なデータ、認証、復旧経路を説明できるかです。

「誰の端末か」と「誰が管理しているか」を分ける

まず、端末ごとに次を整理します。

「自分しか使わないから管理不要」ではなく、本人が管理者であることを明示します。

この整理ができれば、所有は個人のままでも改善できます。

最初に端末へ何が集まっているかを見る

同じスマートフォンでも、役割は一つとは限りません。

たとえば、

• 電話・SMS
• 業務メール
• クラウドストレージ
• MFAアプリ
• パスキー
• パスワード管理
• 銀行・決済
• 会計SaaS
• 顧客とのチャット
• 写真や現場記録

が一台へ集まることがあります。

PCも同様に、

• 見積書・請求書
• Excel台帳
• ブラウザの保存情報
• メール
• 電子証明書
• 会計ソフト
• USB等から取り込んだデータ

が混在することがあります。

端末が故障・紛失したときに「機械が一台なくなる」だけでなく、業務データと認証経路が同時に失われる可能性を確認します。

OSとソフトウェアを更新する

IPAは、利用するパソコンやスマートフォン等のOSや各種ソフトウェアへ修正プログラムを適用し、最新のバージョンへ更新するよう示しています。

私物端末でも、業務に使うなら更新状態を確認します。

最低限、

• OS更新が止まっていないか
• ブラウザが更新されているか
• 業務アプリが古いままになっていないか
• サポート終了済みOSを使っていないか

を確認します。

「まだ動くか」ではなく、業務端末として更新を継続できるかを見ます。

画面ロックを必須にする

IPAは、第三者に見られたり操作されたりしないよう、パソコンやスマートフォン等へ画面ロックを設定するよう示しています。

私物端末では、家の中だけで使うためロックが弱い場合があります。

しかし業務メールや顧客情報へアクセスできる端末なら、家庭内でも第三者操作を前提にしない方が安全です。

確認するのは、

• PCにログイン認証があるか
• 席を離れた後に自動ロックされるか
• スマートフォンに画面ロックがあるか
• 簡単すぎるPINを使っていないか
• 家族へ同じ解除情報を共有していないか

です。

家族が端末を使う必要があるなら、可能な範囲で利用者を分けます。

PCであればOSの利用者アカウントを分け、業務用ブラウザや業務データへ家族用アカウントからアクセスできない状態を目標にします。

持ち出す端末は紛失時の保護を確認する

IPAは、紛失に備え、持ち出す機器やUSBメモリ等の外部記憶媒体へ適切な暗号化を施すことを例示しています。

スマートフォンやノートPCを外へ持ち出す場合は、端末を拾った人が保存データをそのまま読めない状態か確認します。

確認項目は、

• ストレージ暗号化が有効か
• 画面ロックだけでなく保存データも保護されているか
• 外付け媒体へ業務データをコピーしていないか
• 紛失時にアカウントのセッションを失効できるか
• どのサービスへログイン済みだったか把握できるか

です。

暗号化の方式や設定方法はOS・端末ごとに異なるため、利用中製品の公式手順を確認します。

個人用と業務用の混在を減らす

私物端末では、個人利用を完全になくす必要はありません。

ただし、境界がまったくないと、業務データの所在や削除範囲が分からなくなります。

分けやすいものから分ける

• 業務用のOSアカウント
• 業務用ブラウザプロファイル
• 業務用クラウドアカウント
• 業務用メール
• 業務用保存フォルダ
• 業務用パスワード管理領域

を分けます。

目的は見た目を整理することではありません。

どこまでが業務情報かを説明できることが目的です。

家族利用との境界を決める

代表者の自宅PCを家族も使う場合、特に境界を確認します。

たとえば、

• 同じOSアカウントを家族で使っていないか
• ブラウザへ業務アカウントがログインしたままになっていないか
• メール通知に顧客情報が表示されないか
• ダウンロードフォルダへ業務資料が残っていないか
• 個人用クラウドへ業務ファイルが自動同期されていないか

を確認します。

家族を信用できるかという話ではありません。

誤操作、端末売却、バックアップ、クラウド同期等を含め、業務情報がどこへ広がるか分かる状態にするための分離です。

MFAやアカウント回復を本人スマホだけへ集中させない

私物スマートフォンが、

• MFA
• SMS認証
• パスキー
• パスワード管理
• 回復用メール

をすべて担っていると、端末故障や紛失時に複数サービスへ同時に入れなくなることがあります。

サービスごとに、

• 予備の認証方法
• 回復コード
• 管理者による復旧
• 別端末への移行手順
• 回復用メールや電話番号

を確認します。

回復情報そのものを本人端末の中にだけ保存すると、端末喪失時に同時に失うため、保管場所を分けます。

バックアップは端末故障とアカウント喪失を分けて考える

PCのバックアップがあっても、クラウドアカウントへ入れなければ復旧できない業務があります。

逆に、クラウドへデータがあっても、ローカルにしかない会計データや電子証明書等を失う場合があります。

そのため、

1. 端末内にしかないデータ
2. クラウドにあるデータ
3. 認証情報
4. 復旧情報

を分けて確認します。

「スマホを買い直せば戻る」「クラウドだから大丈夫」という一文ではなく、業務ごとの復旧経路を確認します。

本人が急に不在でも最低限の業務を続けられるか

一人会社でも、本人不在時に誰も何もできない状態は事業継続上の弱点になります。

すべての秘密情報を家族や従業員へ共有する必要はありません。

少なくとも、

• 使っている主要サービス名
• 契約先
• 請求・更新の確認先
• 重要データの保存先
• 緊急時の問い合わせ先
• 正式なアカウント回復手順
• 業務を止めないための最低限の手順

を本人以外が確認できる形にします。

パスワードを紙に一覧で置くことと、引継ぎ可能にすることは同じではありません。

必要なのは、平常時の権限を広げずに、緊急時の正規経路を説明できることです。

端末を買い替えるときは業務データの残り方を確認する

私物端末は会社の資産台帳に載らないため、買い替えや売却時の処理が個人判断になりやすくなります。

端末を手放す前に、

• 業務データの移行が完了したか
• ブラウザの業務アカウントを解除したか
• メールやクラウドのローカルデータが残っていないか
• MFAやパスキーを新端末へ移したか
• 古い端末からセッションを失効したか
• 初期化・消去を実施したか

を確認します。

「新端末で使える」だけでなく、「旧端末へ業務情報を残さない」までを退役処理に含めます。

会社端末へ分ける条件を先に決める

私物端末の利用を永続的な前提にする必要はありません。

次のような変化が起きたら、会社管理端末へ分ける判断をしやすくなります。

従業員が増える

代表者だけの例外管理ではなく、複数人へ同じルールを適用する必要が出ます。

端末を他人へ貸す

所有者と利用者が分かれ、個人所有のままでは権限や退職時回収を管理しにくくなります。

機密性の高い情報が増える

顧客から管理条件を求められる、重要な個人情報を扱う、業務上の秘密情報が増える等の場合です。

遠隔管理が必要になる

紛失時のロック、設定強制、アプリ配布、端末状態確認等を組織側で行いたい場合です。

代表者以外が業務を引き継ぐ

端末そのものを引き継げないと業務が止まる状態になった場合です。

このような条件を決めておけば、「何となく私物を使い続ける」「急に全端末を買い替える」の二択になりません。

少額で改善する順序

端末購入から始める必要はありません。

1. 端末と役割を一覧にする

PC、スマートフォン、外付け媒体と、それぞれが担う業務・認証を整理します。

2. OS・ソフトウェアを更新する

サポート継続中か、更新が適用されているか確認します。

3. 画面ロックと保存時保護を確認する

画面ロック、ストレージ暗号化、外部媒体を確認します。

4. 個人利用との境界を作る

OSアカウント、ブラウザ、クラウド、保存場所を可能な範囲で分けます。

5. データと認証の復旧経路を分けて確認する

端末故障、紛失、アカウント喪失で何を使って戻すか整理します。

6. 本人不在時の最低限の引継ぎ情報を残す

契約先、保存先、問い合わせ先、正規の復旧手順を残します。

7. 会社端末へ切り替える条件を決める

従業員増加、情報の機密化、遠隔管理の必要性等を契機にします。

まず確認する表

私物か会社所有かだけで判断せず、この表で説明できない部分から整える方が実態に合います。