2026年10月19日　株式会社EggAI　セキュリティ研修事業部

ノートPC・USBメモリの紛失に備える、7つのこと

電車の網棚に置き忘れたノートPC、どこでなくしたかわからないUSBメモリ。紛失は、攻撃がなくても起きる情報漏えいです。個人情報保護委員会のガイドラインとQ&Aは、持ち運ぶときの対策と、なくしたときに報告が要る場合を示しています。情報システムと総務の担当が、紛失の前と後に確かめたい7つのことをまとめました。

1. 持ち出す機器と媒体を台帳にする

   会社のノートPC、USBメモリ、外付けのディスクを一覧にし、だれが持っているかを書いておきます。ガイドラインは、個人データを扱う機器や電子媒体の盗難・紛失を防ぐため、適切に管理するよう求めています。台帳がないと、なくしたときに何が入っていたかを答えられません。

2. 持ち運ぶデータは暗号化してから入れる

   ガイドラインは、個人データを記録した電子媒体を持ち運ぶとき、容易に中身がわからないよう安全な方策をとるよう求めています。手法の例として、暗号化やパスワードによる保護をしたうえで保存することが挙がっています。ノートPCはディスク全体の暗号化を有効にし、USBメモリは暗号化できるものに限ります。

3. 暗号を解く鍵は、データと別に管理する

   委員会のQ&Aは、報告が要らない「高度な暗号化等の秘匿化」に当たるには、その時点の技術水準で第三者が読めない暗号化に加えて、読める状態に戻す手段が適切に管理されていることが要るとしています。例えば、暗号化した情報と復号の鍵を分け、鍵そのものが漏れないようにしていることです。パスワードをPCに付箋で貼っていれば、暗号化の意味がなくなります。

4. なくしたら、すぐ届け出る窓口を決める

   紛失に気づいた社員が、まず連絡する先を一つに決めて周知します。夜間や休日でも連絡できる手段も用意します。届け出が遅れるほど、遠隔での消去やアカウントの停止が間に合わなくなります。

5. なくした場所がわからなければ、漏えいとして扱う

   委員会のQ&Aは、USBメモリをなくした場所が社内か社外か特定できない場合、漏えい（又はそのおそれ）に当たると考えられるとしています。社内で見つからないままなら滅失（又はそのおそれ）に当たると考えられ、判断は個別の事例ごとに行うとしています。「たぶん社内にある」で済ませず、何が入っていたかを先に調べます。

6. 報告が要る4つの場合と期限を手元に置く

   委員会への報告が要るのは、要配慮個人情報が含まれる、財産的な被害が生じるおそれがある、不正の目的のおそれがある、本人の数が1,000人を超える、といった漏えい等（又はそのおそれ）です。速報は発覚から3〜5日以内、確報は30日以内（不正の目的のおそれがあれば60日以内）です。ただし、高度な暗号化などの措置がとられていれば報告は要らないとされています。

7. 紙の書類と運び方も、あわせて決める

   ガイドラインは、書類を持ち運ぶ場合の例として、封をする、目隠しのシールを貼る、施錠できる搬送容器を使うことを挙げています。小さな事業者の例としては、封筒に入れて鞄で運ぶことが示されています。社外に持ち出してよい情報と、持ち出しの手順を、紙とデータの両方で決めておきます。

紛失そのものを無くすことはできません。暗号化と鍵の管理ができていれば、なくしたときの被害と、その後の対応の重さが変わります。まずは、社員が持ち歩いているノートPCの暗号化が本当に有効になっているかを確かめるところから始めてください。