PC操作ログ管理・IT資産管理ツールの選び方｜目的の決め方、記録する範囲、閲覧権限と社員への説明

退職予定の社員が顧客リストをUSBメモリにコピーしていないか。テレワーク中の社員のPCがいつ使われていたか。社内のPCに古いソフトウェアが残っていないか。こうした確認のために、PCの操作ログを記録し、IT資産の情報を集めるツールを検討する会社が増えています。

この記事では、操作ログ管理・IT資産管理ツールの選び方を、特定の製品に偏らずに整理します。モニタリングの社内ルールは社員のメール・PC操作ログのモニタリング、端末の台帳管理は情シス兼任のIT資産・ライセンス管理、スマートフォンの管理はMDMツールの選び方で解説しています。

ツールでできること

製品によって範囲は異なりますが、主に次の機能があります。

「すべての操作を記録できる」ことと、「すべてを見る必要がある」ことは別です。機能の多さより、自社の目的に合うかで選びます。

まず目的を決める

労働時間の把握について、厚生労働省の労働時間適正把握ガイドラインは、タイムカードやパソコンの使用時間の記録など客観的な記録による確認を原則とし、自己申告制の場合でも、申告と実態に乖離があれば実態調査を行うよう求めています。ツールのログを勤怠の確認に使う場合は、勤怠システムとどう突き合わせるかまで決めてから選びます（労働時間の適正な把握義務とガイドライン）。

プライバシーへの配慮と社員への説明

PCの操作ログには、社員自身の個人情報も含まれます。個人情報保護委員会のQ&Aは、従業者のモニタリングを行う場合の留意点として、次の点を挙げています。

1. モニタリングの目的をあらかじめ特定し、社内規程等に定めて従業者に明示する
2. 実施の責任者とその権限を定める
3. 実施に関するルールを策定し、運用者に徹底する
4. ルールに従って適正に行われているかを確認する

また、モニタリングに関する重要事項を定めるときは、あらかじめ労働組合等に通知し必要に応じて協議すること、定めたときは従業者に周知することが望ましいとしています。ツールを入れる前に、規程と説明の準備を進めておきます。

画面の録画や定期的な画面キャプチャなどの機能は、社員への心理的な負担が大きくなります。目的に照らして本当に必要かを検討し、使う場合は対象と条件を限定します。

記録と閲覧のルールを先に決める

ツールを選ぶ前に、次の表を埋めておくと、必要な機能と不要な機能がはっきりします。

このうち「閲覧の承認者と閲覧者」「閲覧の記録」をツールの機能で支えられるかは、比較のときに必ず確かめます。管理画面にログインできる人が多いと、ルールがあっても誰でもログを見られる状態になります。保存期間の例は一般的な考え方で、法令で一律に決まっているわけではありません。調査の必要性と、記録を長く持つリスクの両方から決めます。

比較のポイント

料金の体系（端末数による課金、機能ごとのオプションなど）は製品ごとに異なります。見積もりでは、必要な機能をすべて含めた総額で比べます。

導入の手順

1. 目的と、記録する範囲・しない範囲を決める
2. 閲覧の責任者、閲覧の条件（調査のときに限るなど）、保存期間を決める
3. 情報セキュリティ規程やPC等利用規程に、モニタリングの目的・対象・閲覧の条件・私的利用の扱いを定める
4. 労働組合または社員の代表に説明し、全社員に周知する
5. 一部の部署で試用し、端末への負荷とアラートの量を確認する
6. 全社に展開し、閲覧の記録を定期的に点検する

ツールのログは、調査で必要なときに見つけられなければ意味がありません。一方で、記録した情報を人事評価に流用するなど、目的外に使わないことも規程に書いておきます。情報セキュリティ対策の全体像は、IPAの「中小企業の情報セキュリティ対策ガイドライン」と情シス兼任総務の情報セキュリティ最低限チェックで確認できます。

まとめ

• 操作ログ管理・IT資産管理ツールは、持ち出し防止・台帳管理・労働時間の確認のどれが目的かを先に決める
• 個人情報保護委員会のQ&Aの留意点（目的の明示、責任者と権限、ルールの策定と徹底、運用の確認）を押さえ、導入前に規程と説明を準備する
• 比較では、対応端末、記録できる操作、閲覧権限、保存期間と置き場所、連携、運用の手間を確かめる
• 記録した情報を目的外に使わない