SES常駐初日に確認したい10項目

Last updated at 2026-08-19Posted at 2026-08-14

はじめに

常駐初日は、すぐに成果を出す日ではありません。安全に仕事を進められるように、目的、連絡方法、権限、作業ルールをそろえる日です。

SESの場合、所属会社と常駐先のルールが必ずしも同じとは限りません。特に、貸与PC、セキュリティカード、生成AI、テレワークは、自分の判断で使い始めると情報漏えいや契約上の問題につながる可能性があります。

この記事では、常駐初日に確認したい10項目と、そのまま使える質問例をまとめます。

先に結論

初日に大切なのは、全部を暗記することではありません。次の3つを確認し、分からないことを分からないまま進めないことが重要です。

何をどこまで行うのか
困ったときに誰へ連絡するのか
どのルールに従うのか

セキュリティに関わる事項は、「普通はこうする」で判断せず、現場の手順と確認先を聞きます。

まず確認したい10項目

項目	確認すること	確認しない場合のリスク
1. 作業の目的と完了条件	今週の目標、期限、成果物、レビュー者	作業は終わっても期待した結果にならない
2. 連絡手段と報告のタイミング	チャット、チケット、日報、緊急時の電話	遅延や障害の共有が遅れる
3. 出社・リモートワークの運用	出社日、始業連絡、在席表示、自宅作業の条件	勤怠やセキュリティのルールに違反する
4. 貸与PCとネットワーク	持ち帰り、VPN、MFA、保管場所、紛失時の連絡先	盗難、紛失、情報漏えいの初動が遅れる
5. アカウントと権限	申請先、利用可能環境、本番権限、共有禁止	権限の不足や過剰付与に気づかない
6. 開発・変更・レビューのルール	ブランチ、PR、テスト、変更申請、承認者	レビューを飛ばし、意図しない変更を入れる
7. セキュリティカードと物理セキュリティ	着用範囲、社外に出るときの扱い、来訪者対応	所属やカードの外観を攻撃者に知られる
8. 情報の分類と取り扱い	ログ、ソースコード、画面、資料の保存・共有ルール	個人端末や未許可サービスへ情報を残す
9. 生成AIと外部ツールの利用可否	許可済みサービス、アカウント、入力可能な情報、出力の確認方法	シャドーAIや情報漏えいが発生する
10. 異常時の連絡先	PC紛失、誤送信、不審者、アカウントロックの窓口	自分で解決しようとして被害を広げる

MFAは、パスワードに加えて認証アプリなどを使う多要素認証です。シャドーAIは、組織の許可や管理を受けずに業務で使われるAIサービスを指します。

お客様側の情シスが用意する端末とアカウント

SESの参画初日は、お客様側の情報システム部門（情シス）やプロジェクト管理者が、業務端末とアカウントを用意することがあります。

ただし、「アカウントを用意した」と「業務を始められる」は同じではありません。初回パスワードの変更、MFA登録、SSO認証、グループやリポジトリへの権限付与まで完了して、初めて作業できる状態になります。

用意されることが多い環境

対象	初日に確認すること	動作確認の例
貸与PC	資産番号、ログイン方法、更新、管理者権限、返却方法	Windowsへログインし、指定アプリを開ける
業務メール	初回パスワード、変更要否、署名、メーリングリスト	テストメールを送受信できる
Microsoft Teams	所属テナント、参加チーム、チャンネル、通知方法	チャット、チーム、会議へアクセスできる
VPN	指定クライアント、設定ファイル、MFA、接続可能な時間帯	VPN接続後に必要な業務システムを開ける
GitHub	支給された業務メール、新規アカウント、Organization招待、SSH、リポジトリ権限	対象リポジトリを閲覧でき、SSHで `clone` できる
Amazon WorkSpaces	招待メール、登録コード、クライアント、MFA、接続品質	クラウド上のデスクトップへログインできる
Confluence	Atlassianアカウント、対象スペース、閲覧・編集権限	プロジェクトのトップページと手順書を開ける
Okta・OneLogin	SSOポータル、割り当てアプリ、MFA、パスワードリセット	ポータルから必要なアプリへ移動できる
認証アプリ	Okta Verify、Microsoft Authenticator、Google Authenticator、OneLogin Protectなどの指定、登録端末	通知、番号照合、ワンタイムパスワードで認証できる

SSO（シングルサインオン）は、1つの認証基盤を通じて複数の業務サービスへサインインする仕組みです。SSOで本人確認に成功しても、GitHubのリポジトリやConfluenceのスペースなど、個別サービスの権限が未付与ならアクセスできません。

初日の設定は順番が重要

業務メールを受信できないと、SSOや各サービスの招待メールを開けません。SSOやMFAの設定が終わっていないと、VPN、GitHub、Confluenceなどの確認も進められない場合があります。設定は依存関係に沿って進めます。

情シスやリーダーへの確認例

初期設定を進めるため、次の点を確認させてください。

・お客様側で用意済みの端末とアカウント
・自分で設定する範囲と、情シスへ申請する範囲
・SSOとMFAで使うサービス、認証アプリ、登録端末
・Teams、VPN、GitHub、Amazon WorkSpaces、Confluenceの必要な権限
・設定で止まった場合の問い合わせ先

初日中に必要な接続確認まで終えたいです。
確認する順番も指定があれば教えてください。

指示がない状態で、個人のメールアドレスや既存の個人GitHubアカウントを使いません。この記事では、お客様から支給された業務メールアドレスで新しいGitHubアカウントを作成し、Organizationの招待を受ける現場を想定します。

GitHubは業務用アカウントとSSHを設定する

現場によってはGitHubのSSOを使わず、支給された業務メールアドレスでGitHubアカウントを新規作成します。その後、Organizationへの招待を受け、対象リポジトリへSSHで接続します。

初日に確認する順番は次のとおりです。

GitHubアカウントの作成に使う業務メールアドレスを確認する
指定されたユーザー名で新しいGitHubアカウントを作成する
メールアドレスの確認と、指定されたMFAの登録を終える
Organizationへの招待を受ける
貸与PCでSSHキーペアを作成する
公開鍵 をGitHubへ登録する
SSH接続と対象リポジトリの clone を確認する

WindowsのPowerShellでEd25519形式のSSHキーを作成する例です。メールアドレスと保存先は、現場の指示に合わせてください。

# お客様から支給された業務メールアドレスをコメントとして設定します。
ssh-keygen -t ed25519 -C "your.name@example.com"

# GitHubへ登録する公開鍵（.pub）の内容だけを表示します。
Get-Content "$env:USERPROFILE\.ssh\id_ed25519.pub"

# 公開鍵をGitHubへ登録した後、SSH接続を確認します。
ssh -T git@github.com

id_ed25519.pub は公開鍵です。GitHubの Settings → SSH and GPG keys へ登録します。

一方、拡張子のない id_ed25519 は秘密鍵です。秘密鍵は認証時に貸与PC内で使いますが、GitHub、チャット、メール、チケットへ登録・添付してはいけません。秘密鍵を個人PCへコピーすることも避け、貸与PCの交換や返却時は情シスの手順に従います。

「SSHキーをGitHubへ登録する」と言う場合、GitHubへ登録するのは公開鍵です。秘密鍵は端末内で厳重に保管します。鍵の作成場所、パスフレーズ、保存先に現場ルールがある場合は、その手順を優先してください。

MFAアプリを個人のスマートフォンへ入れてよいか

Okta Verify、Microsoft Authenticator、Google Authenticator、OneLogin Protectなどの認証アプリは、多要素認証のためにスマートフォンへ登録することがあります。業務用スマートフォンが支給されず、私物スマートフォンへ指定のMFAアプリを入れて登録する現場もあります。ただし、個人所有の端末を業務認証に使ってよいかは、勝手に判断しません。

この場合、Google Chromeは業務PCでログイン画面やSSOポータルを開く ブラウザ です。MFAアプリは、それとは別にスマートフォン上で本人確認を行います。

例えば、貸与PCのChromeでIDとパスワードを入力した後、自分のスマートフォンに入れたGoogle Authenticatorの確認コードを入力する運用があります。環境によっては、Microsoft AuthenticatorやOkta Verifyへ届く通知をスマートフォンで承認します。

MFA登録について確認させてください。
指定の認証アプリは何でしょうか。
個人のスマートフォンへ登録する運用でしょうか。
それとも、業務用スマートフォンやセキュリティキーが貸与されますか。
個人端末を使う場合、端末管理や利用上の条件はありますか。
機種変更、紛失、故障時の再登録方法と連絡先も教えてください。

認証アプリの登録用QRコード、セットアップキー、復旧コードは、認証情報の一部です。スクリーンショットを撮る、チャットへ貼る、個人用クラウドへ保存するといった扱いはしません。

自分のスマートフォンへのアプリ導入が必要でも、許可を得る前に登録を進めません。私物端末を業務認証に利用できない場合や、会社指定のアプリ、業務用端末、セキュリティキーを使う場合があります。

最初の質問は「目的・完了条件・相談先」から

本日から参加するため、最初に3点確認させてください。
今週の担当範囲、完了と判断する基準、困ったときの相談先を教えていただけますか。

オンボーディングとは、新しいメンバーが組織の仕事やルールを理解し、業務に入れる状態を作ることです。質問を一度に詰め込まず、その日の作業に必要な項目から確認します。

生成AIを使ってよいか確認する聞き方

生成AIの利用可否は、「ChatGPTを使ってもいいですか」だけでは十分に確認できません。次の項目を分けて聞きます。

確認観点	聞く内容
サービス	利用を許可されたAIサービスは何か
アカウント	会社契約・常駐先テナントか、個人アカウントは禁止か
入力可否	ソースコード、ログ、設計書、画面、個人情報の扱い
保存と学習	入力データの保存期間、モデル学習への使用、管理者が確認できる範囲
出力物	AIが作ったコードや文章のレビュー、テスト、出典確認
記録	AIを使ったことの申告、プロンプトや出力の保存ルール
確認先	判断できないときの現場側と所属会社側の窓口

実際には、次のように聞くと、目的と確認したい条件が伝わります。

業務の調査と文章整理に生成AIを使うことを検討しています。
この現場で利用を許可されているAIサービスと、使用するアカウントを教えていただけますか。
また、入力してよい情報の範囲、ソースコードやログの入力可否、出力の確認方法も確認したいです。
明文化されたルールがない場合は利用せず、確認先を教えてください。

SESでは、所属会社で許可されていても、常駐先やプロジェクトで禁止されている場合があります。両方のルールを確認します。

個人アカウントでの業務利用、未承認のブラウザ拡張、ログやソースコードの貼り付けは、「便利だから」という理由で始めません。AIサービス上のアイコンや表示だけでは、その現場で使ってよい根拠にはなりません。

IPAは、業務で生成AIを使う場合は社内ポリシーを確認し、個人情報や機密情報をむやみに入力せず、出力の正確性も確認するよう示しています。経済産業省のAI事業者ガイドラインも、AIシステムに機密情報を不適切に入力しないことと、出力のリスクを理解した利用を求めています。

セキュリティカードは「社内で付け、社外で外す」

入館証や社員証は、建物内で本人と権限を確認するために使います。一方、昼休みに社外へ出るときも首から下げたままだと、次の情報を周囲に見せることになります。

会社や常駐先の名称
氏名、顔写真、社員番号
カードの色、デザイン、着用方法
どの建物で働いているか

これらは、攻撃者が実在の関係者を装ったり、偽の連絡に信頼性を持たせたりする材料になります。

ソーシャルエンジニアリング とは、システムの脆弱性だけでなく、人の信頼、親切心、焦り、思い込みを利用して、情報や権限を得る手口です。

現場ルールを優先したうえで、次の行動を基本にします。

建物内では、指定された方法でカードを着用する
昼休みや退勤で社外へ出るときはカードを外し、外から見えない場所にしまう
カードを貸し借りしない。写真をSNSへ載せない
後ろの人のために自己判断で入館ゲートを通さない
不審に思った場合は自分で対決せず、受付、警備、上長へ連絡する

NPSA（英国国家保護セキュリティ局）も、カードは施設内で着用し、外へ出るときは外す行動を例示しています。

貸与PCを持ち帰る日は寄り道しない

リモートワークのために貸与PCを持ち帰る日は、通常の退勤よりも慎重に行動します。PC本体だけでなく、ブラウザのセッション、VPN設定、業務データ、連絡先などが攻撃の対象になります。

貸与PCを持っている日は、飲食店や飲酒を伴う店へ立ち寄らず、原則まっすぐ帰宅する
電車の網棚、店の椅子、車内の見える場所へ置かない
移動中もバッグを身体から離さない
自宅では同居人や来客が触れない場所に保管する
業務中は画面が家族や背後のカメラに映らないようにする
離席時は画面をロックし、業務終了後は現場ルールに従う

寄り道を避けられない日や、外泊、長距離移動がある場合は、当日に自己判断せず、事前にPCの保管方法を確認します。

紛失や盗難に気づいたとき

「少し探してから報告しよう」と考えると、アカウント停止や端末の無効化が遅れます。現場で定められた窓口と所属会社へ、気づいた時点で連絡します。

【対象】貸与PC、セキュリティカード、業務用スマートフォンなど
【気づいた時刻】
【最後に確認した場所と時刻】
【端末の状態】起動中、ロック中、電源オフ、不明
【現在地】
【実施済み】交通機関への確認など

作業中に守る物理セキュリティ

情報セキュリティは、パスワードやファイアウォールだけではありません。日常の行動にも漏えいの入り口があります。

場面	避ける行動	行うこと
離席	PCを開いたままにする	Windowsでは `Windowsキー + L` を押し、ロック画面になったことを確認する
昼食	カードを首から下げたまま社外で食事する	社外では外から見えない場所に保管する
会話	電車、エレベーター、店内で業務内容を話す	人物名やシステム名を含む話は会議室で行う
印刷物	資料を机上や複合機に残す	すぐに回収し、不要なら指定方法で廃棄する
来訪者	面識のない人を善意で入室させる	受付と訪問先へ確認する
画面共有	通知、チャット、デスクトップ全体を見せる	共有範囲を必要なウィンドウに限定する

Windowsの Windowsキー + L はPCをロックするショートカットです。「すぐ戻るから」と判断せず、数分の離席でも操作します。

初日にやらないこと

権限がない環境を自己判断で操作する
分からない用語を推測したまま実装を始める
顧客データや社内資料を個人端末へ保存する
未承認の生成AI、クラウドストレージ、ブラウザ拡張を使う
約束や期限を、確認しないまま引き受ける
貸与PCを持ったまま飲酒や長時間の寄り道をする
セキュリティカードを首から下げたまま社外を移動する

すべてを初日に把握する必要はありません。「確認できたこと」「未確認のこと」「次に聞く人と期限」に分けて残すことが大切です。

初日の終わりに残すメモ

【今週の目的】
担当範囲:
完了条件:
期限:

【確認できたこと】
連絡手段:
技術的な相談先:
勤怠と緊急時の連絡先:
レビューと変更のルール:
貸与PCとカードの取り扱い:
生成AIと外部ツールの利用ルール:

【未確認のこと】

【次の確認】
確認する内容:
確認相手:
確認期限:

メモにはパスワード、アクセストークン、本番URL、個人情報などを書きません。現場が指定する保存先と公開範囲を使います。

参考資料と動画

この記事は、2026年8月14日に次の資料を確認して作成しました。実務では、各現場の最新の就業規則、情報セキュリティ規程、AI利用ガイドラインを優先してください。

まとめ

常駐初日に確認するのは、技術だけではありません。生成AI、貸与PC、セキュリティカードのような日常的な道具ほど、現場ごとのルール確認が必要です。

目的、完了条件、相談先、禁止事項を先にそろえ、未確認のことは未確認として残します。初日にこの基礎を作ることが、安全で信頼される仕事へつながります。

おわりに

初日に確認した内容は、自分だけの記憶に置かず、現場で許可された場所へ記録して次の行動につなげましょう。

Wealthy Designでは、エンジニアが現場で力を発揮し、継続して成長できる会社づくりに取り組んでいます。会社の取り組みや採用情報は、会社サイトにまとめています。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up