在宅ワークで扱う情報の守り方｜PC・クラウド・SNSの管理ルールの決め方

在宅ワークで扱う情報の守り方は、高価なソフトを買うことではなく、紙1枚に自分のルールを書き出すところから始まります。決めるのは「どの情報を扱っているか」「どこに置くか」「誰と共有するか」「壊れたときに誰へ連絡するか」の4つだけです。この4つが書き出せていれば、案件が増えても判断に迷う時間が減ります。

とくに医療の現場で働いた経験がある人は、情報の重さに敏感な一方で「職場のルールに守られていた」状態から急に自分ひとりの判断へ切り替わるため、在宅ワークを始めた直後につまずきやすい場面があります。

職場では情報システム担当や上長が決めていたことを、在宅では自分で決める必要があるからです。

この記事は法律や契約についての助言ではありません。実際にどこまでが許されるかは、勤務先の就業規則と秘密保持に関する誓約書、そして受注先と結んだ業務委託契約の条文で決まります。

作業を始める前に、手元にあるその3つの文書を自分の目で読み、判断に迷う箇所は勤務先の担当部署や委託元へ問い合わせてください。以下で紹介するのは、その文書を読んだうえで自分の手元の運用を組み立てるための考え方と手順です。

この記事でわかること

• 在宅ワークで扱う情報を4つに仕分けて棚卸しする手順
• 個人のパソコンを仕事に使うときに決めておく基本設定
• クラウド保存と共有リンクで事故を起こしにくくする決め方
• パスワードと二段階認証をアカウントごとに使い分ける順番
• 仕事用と私用のSNSアカウントを分けるときの線引き
• 紛失・誤送信・不正ログインが起きたときの初動の手順
• 30日で自分用の情報管理ルールを書き上げる進め方

在宅ワークの情報管理ルールとは｜自分で決める4つの範囲

在宅ワークの情報管理ルールとは、受注した仕事で触れる情報について「分類・保管場所・共有相手・事故時の連絡先」をあらかじめ自分で決めて文書化したものを指します。会社のセキュリティ規程を個人の作業机に縮小したものと考えると位置づけがつかみやすくなります。

会社勤めのときは、ファイルサーバーの権限も、メールの添付制限も、端末のウイルス対策も、自分以外の誰かが設定していました。在宅ワークでは、その役割が自分に移ります。

だからといって企業と同じ仕組みを用意する必要はなく、自分が扱う範囲に合わせて小さく決めれば足ります。

決める範囲は4つです。1つ目は分類で、手元にある情報を「預かったもの」と「自分で作ったもの」に切り分けます。2つ目は保管場所で、どのフォルダやサービスに置くかを1か所に寄せます。

3つ目は共有相手で、誰に渡してよいか、どの方法で渡すかを決めます。4つ目は事故時の連絡先で、端末をなくした日に誰へ何分以内に連絡するかを書いておきます。

この4つを、スプレッドシートでもメモアプリでもよいので1枚にまとめます。仮の例として、在宅で医療系記事の構成づくりを受注している人の1枚を挙げると「預かる情報は委託元から届く参考資料のPDFと担当者の連絡先」「保管場所は仕事用クラウドの案件フォルダのみ」「共有相手は委託元の担当者1名、共有はクラウドの招待のみでリンク配布はしない」「端末をなくしたら当日中に担当者へメールと電話」という4行になります。4行で足りるなら4行で構いません。

大切なのは、量を増やすことではなく、迷ったときに見返す場所を1つに固定することです。ルールが複数のメモに散らばると、忙しい日に確認されなくなり、結局は勘で判断することになります。

ルールを作る前に確認する3つの文書

情報管理ルールの土台になるのは、勤務先の就業規則、在職中または退職時に署名した秘密保持の誓約書、そして受注先と交わした業務委託契約書です。この3つに書かれた制限を超えるルールは作れないため、先に読んでから手元の運用を組み立てます。

とくに看護職として働いた経験がある人には、資格そのものに紐づく守秘義務があります。

保健師助産師看護師法の第四十二条の二は「保健師、看護師又は准看護師は、正当な理由がなく、その業務上知り得た人の秘密を漏らしてはならない。保健師、看護師又は准看護師でなくなつた後においても、同様とする。」と定めています（条文はe-Gov法令検索の保健師助産師看護師法で読めます）。

退職後も同じという一文があるため、在宅ワークへ移ったあとの発信や執筆でも、業務上知った個人の秘密は扱いの対象から外して考えるのが出発点になります。

次に読むのが業務委託契約書です。報酬や納期と並んで、秘密保持の条項に「何を秘密とするか」「いつまで守るか」「終了後に返却か破棄か」が書かれていることが多く、ここが自分の保管ルールの期限を決めます。

契約書のどこを見るかは在宅ワークの業務委託契約で確認する項目で整理しているので、契約書を開きながら読み合わせると抜けが減ります。

3つの文書を読む前段として、そもそも情報を渡してよい相手かどうかの見極めもあります。契約書も名乗りもないまま身分証の画像や口座情報を求めてくる相手には、情報管理のルール以前に関わらない判断が要ります。

守り方を考える順番は、相手を選ぶ、契約を読む、そのうえで手元を整える、の3段階です。

扱う情報を4区分に仕分ける｜情報棚卸しシートの作り方

情報棚卸しとは、手元のパソコンやクラウドに入っている仕事関連のデータを一覧化し、扱いの厳しさごとにグループ分けする作業です。すべてを同じ強さで守ろうとすると続かないため、強く守る対象を絞る目的で行います。

仕事の種類によって、手元に集まる情報はまったく違います。文字起こしなら音声と氏名、事務代行なら取引先の連絡先、SNS運用なら投稿予定と画像素材、ライティングなら未公開の企画書というように偏ります。

どんな仕事にどんな情報が付いてくるかを先につかんでおくと棚卸しが早く終わるので、職種を検討している段階の人は在宅ワーク未経験の女性でもできる仕事15選で仕事の中身を確認してから戻ってくると進めやすくなります。

仕分けは、次の表の4区分で足ります。区分ごとに「置いてよい場所」と「いつ消すか」まで決めておくと、案件が終わったあとにデータが残り続ける状態を避けられます。

区分	中身の仮の例	置いてよい場所	消すタイミング
A 預かった情報	委託元から届いた参考資料、取材音声、担当者の個人携帯番号	仕事用クラウドの案件フォルダだけ	契約書の秘密保持条項に書かれた返却・破棄の時期
B 自分が作った成果物	納品した原稿、作った画像の元データ、構成案	仕事用クラウド＋外付けの控え1つ	権利の扱いを契約書で確認したうえで自分で期限を決める
C 取引と手続きの記録	請求書の控え、入金の記録、契約書のPDF	仕事用クラウドの経理フォルダ	申告と保存の必要期間を確認して決める
D 公開してよい情報	公開済みの記事URL、実績として出す許可を得た内容	制限なし	消さずに実績一覧として残す

この表を埋めると、強く守るべきはAだけで、B以降は利便性を優先してよいことが見えてきます。守る対象が絞れれば、毎日の操作で我慢する場面が減り、ルールが続きます。

逆に、AとDが同じフォルダに混ざっている状態は、どれだけ意識を高く持っても取り違えが起きやすくなります。

棚卸しは一度で終わらせず、案件が終わるたびに1行足す運用にします。仮の例として、月に2件の受注がある人なら、案件終了の日にシートへ「案件名・預かった情報・返却または破棄の予定日」を1行書き足すだけで、半年後には自分の情報の全体像が見える表になります。

個人PCを仕事に使うときの基本設定｜日常の対策8項目

個人パソコンの業務利用とは、勤務先が用意した端末ではなく自分の私物を仕事に使う形態を指します。この形では端末の設定責任が利用者本人に移るため、更新・保護・画面ロックといった基本の対策を自分で点検する必要があります。

独立行政法人情報処理推進機構（IPA）は「テレワークを行う際のセキュリティ上の注意事項」で、組織からテレワーク環境が提供されていない場合について「本格的なテレワーク環境が提供されておらず、自宅のパソコン等で業務に関わるメールの送受信や資料作成等を行う場合には、自身によるセキュリティ対策を強く意識する必要があります」と説明しています（IPA テレワークを行う際のセキュリティ上の注意事項）。同ページが挙げる「日常における情報セキュリティ対策」の8項目は次のとおりです。

IPAが挙げる項目	在宅ワークでの決め方の仮の例	見直す間隔
修正プログラムの適用	自動更新を有効にし、更新の通知が出た日の作業終わりに再起動する	毎週
セキュリティソフトの導入および定義ファイルの最新化	1本だけ入れて自動更新にし、二重に入れない	毎月
パスワードの適切な設定と管理	パスワード管理ツールへ集約し、頭の中で覚えるのは解錠用の1つだけにする	四半期
不審なメールに注意	添付とリンクは開く前に差出人アドレスの綴りを確認し、迷ったら委託元へ別経路で照会する	毎日
USBメモリ等の取り扱いの注意	預かった情報は原則USBへ入れず、必要なときだけ暗号化して使い終わりに消す	使うたび
社内ネットワークへの機器接続ルールの遵守	委託元から接続方法の指定がある案件は、その指定以外の方法で接続しない	案件ごと
ソフトウェアをインストールする際の注意	入れる前に配布元の公式ページかどうかを確認し、業務用端末では試用を控える	入れるたび
パソコン等の画面ロック機能の設定	離席1分でロックがかかる設定にし、復帰にパスワードを求める	初回のみ

同じページには家庭内の環境についての記載もあり「自宅のルータは、メーカーのサイトを確認のうえ、最新のファームウェアを適用（ソフトウェア更新）してください」と示されています（前掲のIPAのページ）。ルーターは買ったあと触らないまま数年が過ぎやすい機器なので、机まわりを点検する日にまとめて確認すると忘れにくくなります。机や椅子や照明の点検を同じ日に済ませたい人は在宅ワークの作業環境チェック表と並べて使うと、1回の点検で物理面と情報面の両方が片づきます。

パソコンを持たずスマートフォン中心で作業している場合も、考え方は変わりません。画面ロック、アプリの更新、アプリを入れる前の配布元の確認という同じ項目を、スマートフォンの設定画面で行います。

スマートフォンだけでどこまでの仕事ができるかは在宅ワークはスマホだけでできる？で職種ごとに整理しています。

保存場所と共有のルール｜クラウド・USB・紙の決め方

保存場所のルールとは、情報の区分ごとに既定の置き場所を1つ決め、そこから外へ出すときの条件をあらかじめ書いておく取り決めです。置き場所が複数あると、どこに最新版があるか分からなくなり、消し忘れと取り違えの両方が起きます。

クラウドの共有で起きやすい事故は、ファイルを渡す方法の選び間違いです。相手のアカウントを指定して招待する方法と、URLを知っていれば誰でも開けるリンクを作る方法では、届く範囲がまったく違います。

急いでいるときほど後者を選びがちですが、そのリンクがチャットの履歴や転送されたメールに残ると、意図しない相手の手元で開ける状態が続きます。預かった情報は招待型に限り、リンク型は公開済みの情報だけ、と決めておくと迷いません。

IPAのページは公共の場での作業にも触れており「カフェ等の公共の場所でパソコン等を使用するときはパソコンの画面をのぞかれないように注意してください」「公衆Wi-Fiを利用する場合は、パソコンのファイル共有機能をオフにしてください」「公衆Wi-Fiを利用する場合は、必要に応じて信頼できるVPNサービスを利用してください」と記しています（IPA テレワークを行う際のセキュリティ上の注意事項）。

カフェで作業する日をあらかじめ「預かった情報を開かない日」と決めてしまうのが、いちばん単純な運用です。

紙の扱いも同じページで「デジタルデータ／ファイルだけではなく、紙の書類等の管理にも注意してください」と呼びかけられています。在宅ワークでは、契約書を印刷したまま机に置いたり、構成案を裏紙にメモしたりする場面が出ます。

紙は暗号化もログも効かないため、置き場所と処分方法を先に決めておくほうが確実です。

情報の区分	既定の置き場所	外へ出すときの方法	やらないと決めること
A 預かった情報	仕事用クラウドの案件フォルダ	相手のアカウントを指定した招待のみ	URLを知る人が誰でも開けるリンクを作らない
B 成果物の作業データ	仕事用クラウド＋外付けの控え1つ	納品は委託元が指定した手段に合わせる	個人SNSのメッセージで納品ファイルを送らない
C 取引と手続きの記録	仕事用クラウドの経理フォルダ	必要な相手へ個別に送る	私用メールの受信箱に置いたままにしない
紙の資料（A〜Cを印刷したもの）	鍵のかかる引き出し1か所	持ち出さない	裏紙として再利用しない

仮の例として、音声の文字起こしを受注している人の運用を挙げます。音声ファイルは委託元のクラウドから招待経由で受け取り、自分のパソコンの案件フォルダへ置き、作業が終わって検収の連絡が来た日にパソコンから削除して、シートへ削除日を書く。この流れを最初に1回決めておけば、案件が何件増えても手順は同じです。

パスワードと二段階認証の決め方｜アカウントの優先順位

二段階認証とは、パスワードの入力に加えてもう1つの手順で本人確認を行うログイン方式です。Googleのヘルプでは「2 段階認証プロセス（2 要素認証とも呼ばれます）は、パスワードが盗まれた場合に備えてアカウントのセキュリティを強化する機能です」と説明されています。

パスワードの作り方は、公式ヘルプが具体的な数字で示しています。Googleアカウント ヘルプの「安全なパスワードを作成してアカウントのセキュリティを強化する」は「パスワードは使い回さない」「長いパスワードはより安全性が高いため、パスワードは 12 文字以上にしてください」と述べ、複数を覚えきれない場合は「信頼できるパスワード マネージャーの使用を検討してください」としています（Googleアカウント ヘルプ 安全なパスワードを作成する）。同ページは、誕生日や電話番号、子どもやペットの名前、住んでいる町や通りの名前といった、周囲の人や公開プロフィールから推測できる情報を使わないようにとも書いています。

二段階認証の設定手順も同じくヘルプに書かれており、Googleアカウントの場合は「Google アカウントを開きます」「［セキュリティとログイン］をタップします」「［Google にログインする方法］で［2 段階認証プロセスを有効にする］を選択します」という流れです（Googleアカウント ヘルプ 2 段階認証プロセスを有効にする）。同ページは確認コードについて「アカウントの乗っ取りを防ぐため、確認コードは他のユーザーと共有しないでください。Google が電話でコードの確認を求めることはありません」とも注意しています。

電話やチャットでコードを聞き出そうとする連絡は、この一文を根拠に断って構いません。

すべてのアカウントを同じ強さで守るのは現実的ではないので、優先順位をつけます。基準は「そこを取られると他のアカウントまで連鎖して奪われるか」です。メールアドレスはパスワード再設定の入口になるため、いちばん先に強くします。

アカウントの種類	優先度	パスワードの決め方	二段階認証
仕事用メール	最優先	管理ツールが作る長い文字列を個別に設定	設定する。復旧用の連絡先も登録する
仕事用クラウド	高	メールとは別の文字列を個別に設定	設定する
仕事用SNSと運用を預かるアカウント	高	アカウントごとに別々に設定	設定する。管理者権限の一覧も控える
請求・決済に使うサービス	高	他と共用しない文字列を設定	設定する
私用SNSと買い物サイト	中	管理ツールに任せて使い回しをやめる	設定できるものは設定する

仮の例として、副業を始めて2か月の人が土曜の午前に行う作業を挙げると、パスワード管理ツールを1つ入れる、仕事用メールのパスワードを作り直す、仕事用メールとクラウドの二段階認証を有効にする、復旧用のコードを印刷して引き出しへしまう、という4つで午前中が終わります。

全部のアカウントを一度に直そうとすると途中で止まるので、連鎖の入口から順に潰していく進め方が向いています。

SNSアカウントの管理ルール｜私用・仕事用・預かりの3系統

SNSアカウントの管理ルールとは、自分の私用アカウント、自分の発信用アカウント、業務として運用を任された他者のアカウントの3系統を分けて扱い、系統ごとにログイン方法と投稿権限の範囲を決めておく取り決めです。

3系統を混ぜないことが出発点です。私用アカウントと仕事用アカウントを同じ端末の同じアプリで切り替えていると、投稿先の取り違えが起きます。とくにストーリーズのような手早く出す形式は、切り替えを確認しないまま投稿しやすい形です。

仕事用は別ブラウザのプロファイルにする、あるいは投稿予約ツール側から出す、といった形で操作の入口を分けておくと、取り違えの余地が減ります。

運用代行のように他者のアカウントを預かる場合は、扱いがさらに重くなります。預かったアカウントのパスワードそのものを共有してもらうのではなく、ビジネス向けの管理機能から権限を付与してもらう形にできないか、受注前に相談します。

権限付与の形であれば、契約が終わったときに相手側の操作だけで自分の権限を外せるため、退場がきれいに済みます。受注前後の段取りはSNS運用代行の始め方 女性版とSNS運用代行を未経験から始めるなり方ガイドに整理しています。

IPAが公表した「情報セキュリティ10大脅威 2026」の個人向けの脅威には「インターネット上のサービスへの不正ログイン」が挙がっており、同資料では2016年の初選出から11年連続11回目の掲載とされています（IPA 情報セキュリティ10大脅威 2026）。組織向けの一覧では「リモートワーク等の環境や仕組みを狙った攻撃」が8位、「内部不正による情報漏えい等」が7位、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。委託先を狙う攻撃が上位に並ぶという事実は、在宅で仕事を受ける側も守る対象に含まれていることを示しています。

仮の例として、飲食店のSNS運用を1件預かっている人のルールを挙げます。預かるのは投稿権限だけでパスワードは受け取らない、投稿は予約ツールから出して私用端末のアプリには追加しない、店舗の内部が写り込んだ写真は投稿前に店長へ確認する、契約終了日に権限を外してもらったことを画面で確認する。この4行を契約書と一緒に保存しておくと、次の案件でもそのまま使い回せます。

家族や同居人がいる家での運用ルール

同居環境での運用ルールとは、家族と共有しているパソコン・プリンター・通信環境・生活空間のなかで、仕事の情報が家族の目や耳に入らない状態を保つための取り決めです。悪意の有無にかかわらず、共有された環境では偶然の閲覧が起こり得ます。

前掲のIPAのページは「テレワークで使用するパソコン等は、できる限り他人と共有して使わないようにしてください。共有で使わざるを得ない場合は、業務用のユーザーアカウントを別途作成してください」と示しています（IPA テレワークを行う際のセキュリティ上の注意事項）。1台を家族と使う場合でも、使用者ごとのアカウントを分けてパスワードをかければ、ブラウザの保存パスワードもダウンロードフォルダも混ざらなくなります。

音声の扱いも見落としやすい部分です。オンライン打ち合わせで委託元の担当者名や案件名が家族に聞こえる状態は、それ自体が情報の共有にあたる場合があります。打ち合わせの時間帯だけ部屋を移す、イヤホンを使う、といった単純な工夫で避けられます。

プリンターを共有している家では、印刷したまま取り忘れた資料が家族の目に触れることもあるため、印刷したら席を立って取りに行くところまでを1つの動作として決めておきます。

仕事と生活の切り替えそのものが曖昧だと、こうした線引きも緩みます。終業の合図を決めて机の上を片づけるところまでを習慣にすると、紙の置きっぱなしと画面の開きっぱなしが同時に減ります。

切り替えの型づくりは在宅ワークのオンオフ切り替え方法で扱っているので、情報管理の視点から読み直すと運用に結びつけやすくなります。

仮の例として、小学生の子どもと1台のノートパソコンを共有している人のルールを挙げると、パソコンには自分用と家族用のアカウントを作る、仕事のファイルは自分用アカウントのクラウドフォルダにだけ置く、離席1分で画面ロックがかかる設定にする、印刷物は引き出しへ入れてから席を離れる、の4行になります。家庭の事情に合わせて行数は増減して構いません。

実績やポートフォリオを見せるときの線引き

実績提示の線引きとは、次の受注につなげるために公開する事例について、公開してよい範囲を事前に合意し、合意の記録を残しておく運用のことです。合意のない事例紹介は、契約上の秘密保持と衝突する場合があります。

在宅ワークでは、実績が見えることが次の仕事につながります。一方で、手がけた案件の中身はたいてい委託元の情報です。公開してよいかどうかは自分では決められないため、受注の段階で「実績として出す場合の条件」を確認しておくのがいちばん早い方法です。契約書に定めがなければ、納品時のメールで許可の範囲を文章にして残しておきます。

許可が取れない場合でも、見せ方はあります。委託元名を出さずに「医療系メディアの記事構成、月4本」のように分野と量だけを書く、成果物そのものではなく自分で作った練習用のサンプルを載せる、といった形です。

仮の例として、医療系メディアの記事構成を担当している人のポートフォリオなら「分野：医療・健康／担当：構成と取材同行なしの執筆／頻度：月4本／公開可否：委託元名は非公開」という4行の書き方で、守秘と実績提示の両立ができます。

顔や本名を出さずに発信を続ける選択もあります。匿名で運用する場合の設計はインスタで顔出しなしで稼ぐ方法で扱っています。ただし匿名にしても、投稿写真の背景や勤務の時間帯、地域の話題の組み合わせから身元が推測されることはあるため、投稿前に「この3つが揃うと誰か分かるか」を自分で見る癖をつけると安全側に倒せます。

在職中に副業を始める場合は、実績提示だけでなく勤務先への申告の可否も関わります。制度面の考え方は看護師の副業はバレる？で税や手続きの側から整理しているので、情報管理と合わせて確認しておくと判断がそろいます。

事故が起きたときの初動｜紛失・誤送信・不正ログイン

事故時の初動とは、情報が外部へ出た可能性に気づいてから最初の数時間で行う、被害の拡大を止める操作と関係先への連絡のことです。手順を事前に書いておくと、動揺した状態でも順番を飛ばさずに動けます。

個人情報保護委員会は、個人データの漏えい等が起きた場合の報告について「発覚したら、まずは速やかに報告してください」とし、報告の期限を「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」と示しています（個人情報保護委員会 漏えい等の対応とお役立ち資料）。同ページは報告が義務づけられる場合として、要配慮個人情報が含まれる個人データの漏えい等を挙げ、要配慮個人情報には病歴が含まれると説明しています。

例示のひとつには「病院における患者の診療情報や調剤情報を含む個人データを記録したUSBメモリーを紛失した場合」も挙げられています。

この報告義務が課されるのは個人情報取扱事業者であり、在宅ワーカー個人がどの立場に当たるかは契約の形によって変わります。自分が報告主体になるのか、委託元が報告主体で自分は報告を支える側なのかは、受注時に委託元へ確認しておく事柄です。

個人情報保護委員会のガイドライン（通則編）は、目次に「安全管理措置（法第23条関係）」「委託先の監督（法第25条関係）」「個人データの漏えい等の報告等（法第26条関係）」という項目を並べており、委託する側が委託先を監督する構造になっていることが読み取れます（個人情報保護委員会 ガイドライン（通則編））。

つまり、自分が何をしたかを委託元へ早く正確に伝えられる状態が、そのまま相手の対応を助けます。

起きたこと	最初にすること	次にすること	記録に残すこと
端末やUSBの紛失	別の端末から仕事用アカウントのパスワードを変更し、端末の遠隔ロックを試す	委託元へ連絡し、入っていた情報の範囲を伝える	紛失に気づいた時刻、入っていたファイル名、連絡した相手と時刻
メールの誤送信	送信取り消し機能が使えるか試し、使えなければ誤送信先へ削除依頼を送る	委託元へ連絡し、宛先と添付の内容を伝える	送信時刻、宛先、添付の有無、削除依頼の送信記録
不正ログインの疑い	パスワードを変更し、ログイン履歴とアプリ連携を確認して知らないものを外す	二段階認証を設定し、復旧用の連絡先を見直す	不審な履歴の日時と地域、外した連携の名前
共有リンクの公開設定ミス	リンクを無効化し、招待型の共有へ切り替える	いつから公開状態だったかを共有履歴で確認する	作成日時、無効化した時刻、含まれていた情報の区分

個人情報保護委員会事務局は、テレワークに伴う漏えい事案の注意情報のなかで「テレワーク中の社員がSNSで知り合った第三者からウイルスが添付された電子メールを受領したことがきっかけでPCがウイルスに感染し、出勤時にそのPCを社内ネットワークに接続したことで、社内システムの情報が外部に漏えいした事例」を紹介し、対策例として「テレワーク特有の職場とは異なる環境に則したセキュリティ確保のためのルールや相談体制を整備する」ことを挙げています（個人情報保護委員会 テレワークに伴う個人情報漏えい事案に関する注意事項）。

ひとりで働いていると相談体制がないため、委託元の窓口を「相談してよい相手」としてあらかじめ書き出しておくことが、その代わりになります。

30日で作る自分の情報管理ルール

情報管理ルールの整備計画とは、契約の確認・棚卸し・端末とアカウント・事故対応という4つのまとまりを週単位に割り振り、1か月で書き上げるための進め方です。一度に全部を直そうとすると途中で止まるため、週ごとに終わりを決めます。

整備は、公的機関が出している既成のチェックリストに沿わせると早く進みます。総務省は「テレワークセキュリティガイドライン（第5版）（令和3年5月）」に加えて「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）（第3版）（令和4年5月）」と「従業員向けハンドブック（令和4年5月）」「緊急時対応カード」を公開しています（総務省 テレワークにおけるセキュリティ確保）。同ページは、ガイドラインをURLで紹介する場合はPDFではなくこのページを案内してほしいと記載しています。緊急時対応カードは「A4版、10面ラベルシート用」と「A4版、12面ラベルシート用」の形式で用意されているため、印刷して机に貼っておく使い方ができます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」も、個人事業主を想定に含めた資料です。2026年7月3日を最終更新日とする同ページは、第4.0版への改訂で「はじめに取り組んでほしい情報セキュリティ5か条に『バックアップを取ろう!』を新たに追加し、情報セキュリティ6か条としました」と説明し、付録として「5分でできる！情報セキュリティ自社診断」を公開しています（IPA 中小企業の情報セキュリティ対策ガイドライン）。バックアップが基本の項目に加わったという事実は、守るだけでなく壊れたあとに戻せる状態も土台に含まれることを示しています。

週	やること	週末の完了の目安
1週目	就業規則・秘密保持の誓約書・業務委託契約書を読み、秘密の範囲と期限を書き出す	守る対象と期限が1枚に書けている
2週目	情報棚卸しシートを作り、手元のデータを4区分へ仕分ける	Aに入る情報が何件あるか数えられる
3週目	端末の8項目を点検し、パスワード管理ツールと二段階認証を設定する	仕事用メールとクラウドの二段階認証が有効になっている
4週目	事故時の初動表を作り、委託元の連絡先と連絡手段を書き添える	紛失した日に誰へ何を伝えるかが読めば分かる

4週目まで終わったら、その1枚を四半期に1回見直す予定を入れておきます。案件の種類が変わると、扱う情報の区分も置き場所も変わるからです。請求書や契約書の控えをどこに置くかは申告の作業とも重なるため、経理の段取りと一緒に決めると二度手間が減ります。申告まわりの流れは副業の確定申告やり方ガイドで扱っています。

厚生労働省は雇用型のテレワークについて「テレワークの適切な導入及び実施の推進のためのガイドライン」を公開し、あわせて「（別紙２）自宅等においてテレワークを行う際の作業環境を確認するためのチェックリスト【労働者用】」を配布しています（厚生労働省 テレワークの適切な導入及び実施の推進のためのガイドライン）。これは雇用されて働く人を対象にした資料なので、業務委託で受注している場合にそのまま適用されるわけではありません。

ただし在宅で働く環境を点検する観点としては参考になるため、会社員として在宅勤務をしている人が副業を始める場面では、両方の立場から見直すと抜けが減ります。

よくある質問（FAQ）

Q1. 家族と共用しているパソコンで在宅ワークを始めても問題ありませんか。

共用のままにするか分けるかは、扱う情報の区分と契約の条件によります。IPAは、テレワークで使うパソコンはできる限り他人と共有せず、共有せざるを得ない場合は業務用のユーザーアカウントを別途作成するよう示しています。委託元から端末の条件が指定されている案件では、その指定が優先します。受注前に条件を確認し、指定がなければ使用者ごとのアカウント分けから始めるのが現実的です。

Q2. 無料のクラウドストレージを仕事に使っても差し支えありませんか。

料金の区分よりも、委託元が指定したサービスかどうか、二段階認証が設定できるか、共有の範囲を招待型に限定できるかで判断します。委託元がサービスを指定している場合はその指定に従います。指定がない場合は、自分が管理できる1つに寄せて、預かった情報はそのサービスの外へ出さないと決めるほうが、無料か有料かを気にするより効果があります。

Q3. 受注前に身分証の画像を求められたときはどう対応すればよいですか。

求める理由と、保管期間、保管方法、利用目的を文章で示してもらうよう依頼します。回答が得られないまま提出を急かされる場合は、その時点で取引を見送る判断が取れます。提出する場合も、送信手段は相手が指定した業務用の経路に限り、SNSのメッセージで送ることは避けます。提出した日付と送り先は、自分の記録に残しておきます。

Q4. 端末を紛失した可能性に気づいたのが深夜でも、すぐ連絡すべきでしょうか。

連絡の前に、別の端末からパスワードの変更と遠隔ロックを試すのが先です。そのうえで、委託元への連絡は先方の営業時間を待つのではなく、その時点でメールを送って記録を残します。個人情報保護委員会は、報告が義務づけられる事案について発覚後の速やかな報告を求めています。時間を置くほど、いつ気づいたかを説明しにくくなります。

Q5. 退職した病院の話は、体験談として書いてよいのでしょうか。

保健師助産師看護師法の条文は、業務上知り得た人の秘密について、その職でなくなった後も同様と定めています。したがって、患者個人が特定され得る内容は退職後も扱いの対象から外して考えます。勤務先の運営に関する内容についても、在職中に署名した秘密保持の誓約書の範囲が関わるため、書く前に手元の誓約書を確認し、判断がつかない部分は書かない選択が取れます。

Q6. パスワード管理ツールに集約するのは、かえって危ないのではありませんか。

Googleのヘルプは、複数のパスワードを覚えるのが難しい場合に信頼できるパスワードマネージャーの使用を検討するよう案内しています。集約の弱点は解錠用のパスワードが1つになる点なので、そこだけは長く固有のものにし、二段階認証をかけます。使い回しをやめられることの利点と比べて判断するのが現実的です。

まとめ｜情報管理は決めて、書いて、四半期ごとに見直す

在宅ワークの情報管理は、特別な知識より「先に決めて紙に残す」ことで成り立ちます。扱う情報を4区分に仕分け、区分ごとの置き場所と共有方法を決め、端末の基本設定を点検し、アカウントの優先順位に沿って二段階認証を入れる。

そして紛失や誤送信が起きた日の手順を先に書いておく。ここまでを1枚にまとめれば、案件が増えても判断の質は落ちません。

この記事で引用した内容は、いずれも公開されている公的機関の資料と各サービスの公式ヘルプの記載に基づいています。

ただし、あなたの案件でどこまでが許されるかを決めるのは、それらの一般的な資料ではなく、勤務先の就業規則、署名した秘密保持の誓約書、そして受注先との業務委託契約書です。

この記事は法律や契約についての助言ではないため、条文の解釈で迷う箇所は、勤務先の担当部署や委託元、必要に応じて専門家へ確認してください。

まずは今週、契約書と誓約書を机に並べて「守る対象」と「期限」を書き出すところから始めてみてください。そこが決まれば、残りの手順は順番に埋めていけます。