業務委託メンバーの私物PCにMDM（端末管理）を入れるべきですか？

最初の一手にはしないことを勧めます。私物PCに会社の管理エージェントを入れることには、所有者の同意とプライバシーの面でハードルがあり、委託契約の相手に強制するのも難しいからです。小規模企業ではまず、会社アカウントの発行とMFA、共有設定の整理、OS更新・ウイルス対策・ディスク暗号化の書面合意から始めます。継続的に業務を委託するメンバーや、機密性の高い情報を扱うメンバーには、MDMを入れた会社貸与のPCを用意する方が、本人の負担も会社の管理も楽になります。

業務委託者にも会社のアカウントを発行すると、ライセンス費用がかかります。個人のGmailにファイルを共有する運用でもよいですか？

避けてください。個人アカウントに共有したファイルは、契約終了時に会社側からアクセスを止められず、相手が作ったファイルの所有者は相手個人のままです。誰が何にアクセスできるかの把握もできません。会社アカウントを発行すれば、契約終了時にアカウントを停止するだけで会社のデータへのアクセスを一括で止められ、相手が作った資料も会社に残ります。ライセンス費用は、1件の情報漏えいや、辞めた人のファイルが消えて作り直す手間と比べれば小さいものです。

ブラウザだけで使わせて、ファイルをダウンロードさせなければ安全ですか？

リスクは減りますが、ゼロにはなりません。ブラウザ利用でもキャッシュは端末に残り、画面の撮影やコピーによる持ち出しは防げず、端末がマルウェアに感染していればセッション情報を盗まれることもあります。書面の合意は技術的な強制とは違うことも意識しておく必要があります。扱う情報の機密性に応じて、ダウンロード制限、端末の状態に基づくアクセス制御、会社貸与端末の利用などを検討し、選んだサービス・ライセンスでどこまで実現できるかを確認します。契約終了時にローカルに残ったデータをどう削除し、どう確認するかも決めておきます。

ゲスト用Wi-Fiは、業務用と別のSSIDとパスワードにしています。それで十分ですか？

SSIDを分けるだけでは不十分です。同じネットワークの上で名前だけ分かれている状態だと、ゲストの端末から業務用の端末やプリンター、NASに通信が届きます。業務用とゲスト用はVLANやファイアウォールで分け、ゲストから業務ネットワークへの通信を制限します。ゲスト用Wi-Fiでは端末同士の通信も遮断（クライアント分離）します。業務用のアクセスポイントなら、ゲストネットワークの分離機能を備えているものが多いので、設定を確認してください。

取引先からセキュリティチェックシートが届きました。小規模な会社でも対応できますか？

対応できます。本記事の土台（会社アカウントとMFA、共有設定、端末の基本ルール、Wi-Fiの分離）は、多くのチェックシートが最初に聞く項目と重なります。全部を一度に満たそうとせず、今できていること、できていないこと、いつまでにどうするかを正直に書くのが基本です。取引先からの要請や会社の成長に合わせて段階的に対策を足し、残るリスクが許容できるかを定期的に見直します。中小企業向けの評価制度であるSCS評価制度の★3は、こうした段階的な積み上げの目標として使えます。

セキュリティ 2026年10月3日（更新: 2026年10月11日）

社員20名以下の会社の「身の丈」IT基盤｜業務委託メンバーの私物PCに、どこまで対策すればよいか

業務委託メンバーが私物PCで働く小規模企業は、何から対策すべきですか？

結論データがクラウド上にある会社なら、優先するのは私物PCの管理ではなく、「誰が会社のデータに届くか（ID）」と「どこまで共有するか（データ）」の管理です。業務委託者にも会社のアカウントを発行して個人アカウントで業務データを扱わせない、全員にMFAを必須にする、契約終了時に即日停止する手順を決める、業務データは共有ドライブに置いて必要なフォルダだけ権限を付ける、の4つが土台です。私物PCにはOS更新・ウイルス対策・ディスク暗号化を書面で合意し、機密性の高い情報を扱う人にはダウンロード制限や貸与PCを検討します。ネットワークは、社内にサーバーがなければ業務用とゲスト用のWi-Fiの分離を押さえれば十分です。

クリエイティブ系やコンサルティング系の小規模企業では、社員よりも業務委託のメンバーの方が多いことも珍しくありません。デザイナー、エンジニア、ライター、コンサルタントが、それぞれ自分のPCで仕事をし、会社のGoogle WorkspaceやMicrosoft 365にアクセスしています。そうした会社でよく聞くのが、「委託メンバーは私物のPCで仕事をしている。セキュリティは大丈夫だろうか」という不安です。

大企業向けのセキュリティ対策をそのまま持ち込むと、費用も運用の手間も会社の規模に合いません。全員分の端末管理ツールを買い、私物PCにエージェントを入れてもらう交渉をし、アラートを誰も見ないまま放置する、という結果になりがちです。本記事では、社員20名以下の小規模企業が「身の丈」に合ったIT基盤を考えるときの優先順位を整理します。社員の個人スマートフォンを業務に使わせる場合の技術的な設計はBYODのセキュリティ設計で扱っているので、本記事は業務委託メンバーの私物PCに焦点を絞ります。

守るべきものはどこにあるか

最初に確認したいのは、会社のデータがどこにあるかです。守る対象の場所で、対策の重心が変わります。

会社のデータの置き場所	対策の重心
社内にサーバーやNASがあり、そこに業務データがある	社内ネットワークの防御。社内に入れる端末と経路の管理
データはすべてGoogle WorkspaceやMicrosoft 365などのクラウド上にある	アカウント（ID）とデータへのアクセス管理。どの端末からでも「誰が」「何に」届くかで決まる

クラウド中心で業務を行う会社では、アカウント（ID）とデータへのアクセス管理が重要です。オフィスのネットワークを固めても、業務委託メンバーは自宅やカフェから会社のクラウドにアクセスしているからです。ただし、利用端末の感染やセッション情報の窃取、ネットワーク機器の脆弱性といったリスクは残ります。IDとデータを優先しつつ、端末とネットワークの基礎対策も並行して進めます。

優先順位の考え方

以下は検討の順序の一例であり、一つずつ完了させてから次に進む順番ではありません。OSの更新、端末の保護、ネットワーク機器の更新といった基礎対策は、並行して実施します。扱う情報の機密性や取引先の要件によって、優先順位は変わります。

1. ID（アカウント）

最優先は、誰が会社のデータにアクセスできるかを管理することです。

業務委託者にも会社のアカウントを発行し、個人のアカウントで業務データを扱わせない
全員に多要素認証（MFA）を必須にする
契約終了時にアカウントを即日停止する手順を決めておく
管理者権限を持つ人を最小限にする

個人のGmailや個人のMicrosoftアカウントに会社のファイルを共有する運用は、手軽に見えて最も危険です。契約が終わってもアクセスを止められず、相手が作ったファイルの所有者は相手個人のまま残ります。会社のアカウントを発行していれば、契約終了時にそのアカウントを停止するだけで、会社のデータへのアクセスを一括で止められます。退職者・契約終了者の処理手順は退職者のアカウント処理チェックリストにまとめています。

Google Workspaceを使っている場合、管理者が最初に押さえる設定はGoogle Workspaceの管理者が最初にやるべきセキュリティ設定10選で扱っています。

2. データ（共有設定）

次に、データの共有範囲を決めます。

業務データは会社アカウントのドライブ、特に共有ドライブ（Google Workspace）やSharePoint（Microsoft 365）に置く。個人のマイドライブやOneDriveを会社のファイル置き場にしない
外部共有の可否を、フォルダの用途ごとに決める
委託者には、担当する案件のフォルダだけ権限を付与する

「全員に全部見える」状態は、委託メンバーが入れ替わるたびにリスクが積み上がります。案件やクライアントごとにフォルダを分け、必要なフォルダだけ権限を付ける構造にしておけば、契約終了時はアカウント停止だけで済みます。マイドライブ中心の運用がなぜ散らかり、どう組み直すかはGoogle Driveがぐちゃぐちゃになる原因と対策で扱っています。

3. 端末

私物PCにMDM（端末管理）を入れることは、所有者の同意やプライバシーの面でハードルがあり、委託契約の相手に強制するのも難しいのが実情です。小規模企業では、まず次の点から始めるのが現実的です。

OSを最新に保つ、ウイルス対策を入れる、ディスク暗号化（BitLocker、FileVault）を有効にするといった最低限のルールを、業務委託契約の付帯文書として書面で合意する
会社のデータは原則クラウド上で扱い、私物PCへのダウンロード・同期・オフライン保存を許可する範囲を決める
継続的に業務を委託するメンバーには、会社貸与のPCを用意することも検討する

ここで一つ、正直に書いておきます。書面の合意は、技術的な強制とは違います。 「ウイルス対策を入れること」と書いても、入っているかどうかを会社は確認できません。ブラウザ利用に限っても、キャッシュは端末に残り、画面の撮影やコピーによる持ち出しは防げず、端末が感染していればセッション情報を盗まれることもあります。

だからこそ、扱う情報の機密性で対応を分けます。公開前のデザイン案を扱う人と、クライアントの顧客名簿や財務情報を扱う人を同じルールにする必要はありません。機密性の高い情報を扱うメンバーには、ダウンロード制限、端末の状態（OSのバージョンや暗号化の有無）に基づくアクセス制御、会社貸与端末の利用などを検討し、選んでいるサービス・ライセンスでどこまで実現できるかを確認します。契約終了時にローカルに残ったデータをどう削除し、どう確認するかも、契約時に決めておきます。

4. ネットワーク

社内にサーバーがない場合、オフィスのネットワーク防御の優先度は下がります。ただし、来訪者や不特定多数が使う場面がある場合は、次の点は押さえておきたいところです。

業務用とゲスト用のWi-Fiを分け、VLANやファイアウォールでゲストから業務ネットワークへの通信を制限する。SSIDを分けるだけでは不十分
ゲスト用Wi-Fiでは、端末同士の通信を遮断する（クライアント分離）
人が集まるイベントを開く会社は、同時接続数に耐えられる業務用アクセスポイントを選ぶ

家庭用ルーターを流用しているオフィスは多く、「ゲスト用のSSIDを作った」だけで分離できていると思われがちです。業務用のアクセスポイントであれば、ゲストネットワークの分離機能を備えているものが多いので、設定を確認します。アクセスポイントの選び方とSSIDの設計は中小企業のWi-Fi環境構築ガイドで扱っています。

「全部やる」より「続けられる」こと

セキュリティ製品を追加すれば対策の幅は広がりますが、ライセンス費用と運用の手間も増えます。小規模企業では、高度な製品を入れて運用が回らなくなるより、アカウント管理と共有設定を確実に続ける方が効果があります。入れただけで誰も見ていないEDRのアラートより、契約終了の翌日に確実に停止されるアカウントの方が、会社を守ります。

会社の成長や取引先からの要請（たとえばSCS評価制度への対応）に合わせて、段階的に対策を追加し、残るリスクが許容できるかを定期的に見直します。SCS評価制度の★3の要求事項はSCS評価制度★3・★4の評価基準比較にまとめており、本記事の土台はその多くと重なります。

判断の目安

状況	判断
短期・スポットで委託するメンバーが私物PCで作業する	会社アカウントを発行し、担当案件のフォルダだけ権限を付与。MFA必須。ダウンロードを許可する範囲を決め、契約終了日にアカウント停止
継続的に（半年以上）委託するメンバーが私物PCで作業する	上記に加え、OS更新・ウイルス対策・ディスク暗号化の書面合意。会社貸与PCへの切り替えを検討
委託メンバーがクライアントの顧客情報や財務情報を扱う	私物PCでの作業を許可しない方向で検討。貸与PCにMDMを入れ、ダウンロード制限と端末状態に基づくアクセス制御を組み合わせる
社内にNASやサーバーがある	本記事の優先順位とは別に、社内ネットワークの防御が必要。私物PCを社内ネットワークに直接つなげない設計を先に考える
オフィスでイベントや来客が多い	業務用とゲスト用のWi-Fiを分離し、クライアント分離を有効化。同時接続数に耐える業務用アクセスポイントを選ぶ
取引先からセキュリティチェックシートが届いた	現状を正直に記入し、未対応項目には期限を書く。段階的な目標としてSCS評価制度★3を検討

まとめ

クラウド中心の環境では、IDとデータへのアクセス管理が最優先。オフィスを固めても、委託メンバーは外から会社のクラウドに届いている
業務委託者にも会社のアカウントを発行し、MFAを必須にし、契約終了時に即日停止する。個人アカウントへの共有はやめる
業務データは共有ドライブ中心に置き、案件ごとに必要なフォルダだけ権限を付ける
私物PCは、OS更新・ウイルス対策・ディスク暗号化の書面合意から始める。ただし書面は技術的な強制ではない。機密性に応じてダウンロード制限や貸与PCを検討する
ネットワークは、業務用とゲスト用のWi-FiをVLANで分離し、クライアント分離を有効にする。SSIDを分けるだけでは足りない
続けられる範囲から始め、成長や取引先の要請に合わせて段階的に拡張する

「委託メンバーが何人いて、誰がどのフォルダに届くのか、正確には把握できていない」という状態なら、そこからです。アカウント、共有設定、端末のルール、オフィスのネットワークを含めて現状を読み取り専用で調査し、規模に合った優先順位付きのロードマップをお渡しするIT環境診断を用意しています。会社アカウントとMFAの展開、共有ドライブの設計、業務委託契約に添えるIT利用ルールの文書作成、Wi-Fiの分離設定は、運用支援の中で対応しています。創業期の会社がIT体制をどう組むかの全体像はスタートアップ・創業期こそ情シス外注すべき理由でも扱っています。