テレワーク時の自宅ネットワーク環境のセキュリティレベル、従業員にどこまで要求できる？ 法的リスク、費用負担、規程整備等

テレワークが常態化する中、オフィスの堅牢なネットワークとは異なり、従業員個人の自宅ネットワークがサイバー攻撃の「入り口」となることも考えられます。

しかし、自宅は私的領域（プライベート）であるため、会社がどこまで介入できるかに悩む担当者は少なくありません。本稿では、法的リスクの所在と、実務上とるべき要求の境界線、規程上の手当、セキュリティ担当者がとるべき実行的な対策について解説します。

テレワーク環境のセキュリティ不備が企業にもたらす法的リスク

従業員の自宅ネットワークが脆弱であったために情報漏洩や不正アクセスが発生した場合、企業は以下のような法的責任を問われる可能性があります。

善管注意義務と内部統制システム構築義務

企業の取締役は、会社に対して「善良なる管理者の注意をもって」職務を遂行する義務（善管注意義務）を負っており、その一環として、損失の危険を管理するための体制（内部統制システム）を構築する義務があります ¹。

テレワークを会社の公式な制度として認める以上、従業員の自宅をはじめ、社外の執務環境がセキュリティ上安全に保たれるよう、規程の整備や技術的対策を講じることは、経営陣の法的義務となります。もし、企業が「自宅のネットワーク環境は従業員任せ」という状態を放置し、その結果として、たとえば脆弱な家庭用ルーター（初期パスワードのまま、ファームウェア未更新など）経由でマルウェアが社内ネットワークに侵入したり、顧客情報が漏洩したりした場合、経営陣は「予見可能なリスクへの対処を怠った」として、善管注意義務違反を問われる可能性が高いといえます。

個人情報保護法上の責任

個人情報の保護に関する法律（以下、個人情報保護法）23条は、個人情報取扱事業者に対し、個人データの漏洩等を防止するために必要かつ適切な措置（安全管理措置）を講じることを義務付けています。この義務は、データがオフィスのサーバーにあるか、従業員の端末などのローカル環境にあるかなどを問いません。

個人情報保護委員会のガイドライン（通則編）² や総務省の「テレワークセキュリティガイドライン（第5版）」³ 等の公的指針では、テレワーク環境においてもオフィスと同等のセキュリティレベルを確保することが求められています。

テレワーク環境における安全管理措置義務の具体的内容

安全管理措置の分類	具体的要件の例	自宅ネットワークに関連する論点
組織的	整備された規程の運用、報告連絡体制の構築	自宅でのインシデント（ルーター不正アクセス等）発生時の迅速な報告ルート確立
人的	従業員への教育・研修、誓約書の取得	「WPA3の使用」「ファームウェア更新」等の具体的知識の教育義務
物理的	盗難・紛失防止、のぞき見防止	ルーターの物理的な管理、第三者（家族含む）のアクセス制限
技術的	アクセス制御、外部からの不正アクセス防止	VPNやセキュアブラウザの利用、多要素認証、家庭用ルーターの暗号化設定

従業員の私物ルーターの設定不備等により個人情報漏洩が発生した場合、企業は個人情報保護委員会への報告義務および本人への通知義務を負います ⁴。さらに、安全管理措置義務違反として是正勧告や命令の対象となり、それに従わない場合は1年以下の拘禁刑または100万円以下の罰金が科される可能性があります ⁵。

使用者責任

従業員の過失によって第三者（取引先等）に損害を与えた場合、会社もその賠償責任を負います ⁶。たとえば、従業員のPCがマルウェアに感染し、それを踏み台にして取引先へ攻撃メールが拡散された場合などが該当します。

従業員への対応に際する法的論点

企業には上記のような管理義務がある一方で、自宅は従業員の「プライベート空間」であり、プライバシー権により保護される領域でもあります。この「企業の管理義務」と「従業員のプライバシー権」の衝突をどう調整するかが、実務上問題となります。

プライバシー侵害との境界線

自宅のネットワーク設定には、従業員の私生活に関する情報が含まれ得ます。企業による過度な介入となり得る例は、以下のとおりです。これらは「通信の秘密」やプライバシー権の侵害として、違法性を問われる可能性が高い行為です。

一方で、合理的な業務命令といいやすい例は以下のとおりです。

企業は従業員個人に損害賠償を請求できるか

仮に従業員の自宅ネットワーク不備が原因でインシデントが発生した場合、企業は従業員個人に損害賠償を請求できるでしょうか。

労働法分野における、判例法理（過去の裁判例・判例などから導き出された実質的な法的ルール）によれば、使用者から労働者への損害賠償請求（求償請求）は、信義則上相当と認められる限度に制限されます ⁷。通常、全額の賠償は認められず、従業員の過失の程度や、会社の管理体制（教育は十分だったか、機器は貸与していたか等）が考慮され、賠償額は損害の数割にとどまる、あるいは免責とされることが一般的です。

会社が自宅ルーターの危険性等について具体的な教育を行わず、対策費用も負担していなかった場合、従業員の責任を問うことは困難と思われます。「家の環境は従業員の責任」という態度は、裁判では会社の管理体制の懈怠とみなされ、過失相殺により従業員の責任が否定される可能性があります。

したがって、「何かあったら従業員に責任をとらせる」という事後的な考えではなく、「会社が環境を用意する（貸与する）」という予防的なアプローチが重要となります。

法的リスク最小化のための予防的アプローチ

冒頭のQ&Aのとおり、従業員の自宅ネットワークに対し、会社が「設定情報」を抜き取るような介入は法的に許されませんが、「業務遂行に必要なセキュリティ基準」を提示し、その遵守を求めることは正当な業務命令です。

法的なリスクを最小化するためには、従業員任せにせず、「会社が環境を用意する（貸与する）」というアプローチが重要です。たとえば、会社が安全な通信端末（モバイルルーター等）を貸与する、あるいは自宅環境に依存しないシステム構成にする等、会社も適切な管理体制を構築することが望ましいといえます。

これらが予算的に難しい場合は、以下で紹介するような各種規程と費用補助制度を整備し、従業員の協力を得られる体制を作ることが肝要です。

規程上の手当（就業規則・テレワーク規程）

法的リスクをコントロールするためには、就業規則やテレワーク規程（在宅勤務規程）において以下の事項を定めておく必要があります。

テレワーク時のネットワーク環境に関するセキュリティ基準

「従業員は、会社が定めるセキュリティ基準を満たしたネットワーク環境で業務を行わなければならない」という義務規定を設けます。

費用の負担元と負担割合

自宅のWi-Fiルーターの買い替え費用や、通信費の増額分を誰が負担するかはトラブルになりやすい点です。

労働基準法89条に基づき、労働者に食費、作業用品その他の負担をさせる場合には、その事項を就業規則に明記しなければなりません。テレワークにおける通信費やセキュリティ機器の購入費はこれに該当します。

私用機器（BYOD）の利用制限

私物PCや私物ルーターの利用を認める場合（BYOD）は、誓約書の提出を求め、「OSやセキュリティソフトを最新に保つこと」「家族であっても業務端末を触らせないこと」等を約束させることが重要です。

セキュリティ担当者がとるべき実効的な対策

従業員がテレワークのために整備するネットワーク環境のセキュリティを企業として担保するためには、規程を作るだけでなく、実効性のある運用が必要です。

「自己点検チェックリスト」の活用

プライバシーに配慮しつつ現状を把握するため、以下のような項目について従業員自身にチェックさせ、結果だけを報告させる運用が推奨されます。

VPNの活用やゼロトラスト環境の構築

「自宅ネットワークは信頼できない（ゼロトラスト）」という前提に立ち、自宅環境に依存しないセキュリティ対策を導入します。

教育と意識啓発

また、人為的なミスを軽減するためにも、従業員に対する教育と啓発活動を継続的に実施することが重要です。以下は従業員向けの教育活動の一例です。

---