端末やUSBの紛失も個人情報の「漏えい等」として報告対象になりえます。京都大学では学生最大295人分のUSB紛失が報じられました。暗号化・画面ロック・遠隔消去の3設定と、USBに個人情報を入れないルールを今日決めましょう。
2026年9月から10月にかけて、USBメモリや記録媒体の紛失が相次いで報じられています。京都大学では学生最大295人分の情報が入ったUSBメモリの紛失が、さいたま市民医療センターでは患者IDを含む手術画像の記録媒体の紛失が公表されました。サイバー攻撃だけでなく「置き忘れ・落とした・盗まれた」も立派な情報漏えいです。情報漏えい対策シリーズ第9回は、持ち出した端末とUSBを失くしても情報は守る、今日できる設定とルールを整理します。
端末やUSBを失くしただけでも「漏えい」として報告が必要ですか？
必要になる場合があります。個人情報保護委員会は、個人データの漏えい・滅失・毀損（漏えい等）のうち、要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、1,000人を超える場合について、委員会への報告と本人への通知を義務付けています。紛失や置き忘れ、盗難も「漏えい等」にあたりうるため、「誰かに見られたか分からない」段階でも対応の検討が必要です。
一方で、高度な暗号化などの秘匿化措置が講じられている場合は、報告を要しないとされています。つまり、端末やUSBを暗号化しておくことは、事故そのものを「報告が必要な漏えい」にしないための、最も費用対効果の高い対策です。詳しい手続きは個人情報保護委員会の「漏えい等の対応とお役立ち資料」で確認できます。
最近はどんな紛失事故が報じられていますか？
2026年10月7日、京都新聞は、京都大学でドイツ語を担当する非常勤講師が、学生最大295人分の氏名などの個人情報が入ったUSBメモリを紛失したと報じています。一部は成績に関する情報も含まれていたとされています。京都大学新聞社は、二次被害は未確認と報じています。
また2026年10月8日には、さいたま市民医療センターが、患者IDを含む手術画像約200枚を保存した電子記録媒体を紛失し、その媒体にパスワード保護がかけられていなかったと公表した旨が報じられています。いずれも、特別な攻撃を受けたわけではなく、日常業務の持ち出しで起きています。中小企業でも、見積書や顧客名簿を入れたノートPCを車内に置いた、スマホを飲食店に忘れた、といった形で同じことが起こりえます。
端末を失くしても中身を守る設定は何ですか？
次の3つを、今日のうちに全社の業務端末で確認してください。
- ディスクの暗号化：Windowsは「設定 → プライバシーとセキュリティ → デバイスの暗号化（またはBitLocker）」、Macは「システム設定 → プライバシーとセキュリティ → FileVault」をオンに。
- 画面ロックと自動ロック：スマホはパスコード6桁以上＋生体認証、自動ロックは1分。PCはスリープ復帰時にパスワード要求をオンに。
- 遠隔ロック・遠隔消去：iPhone/iPadは「探す」、Androidは「デバイスを探す」、Windowsは「デバイスの検索」を事前に有効化。失くしてからでは有効にできません。
そのうえで、紛失時に誰が何をするかを1枚のメモにしておきます。①遠隔ロック、②警察への遺失届、③業務で使う全サービスのパスワード変更とサインアウト、④経営者へ報告、の順です。
USBメモリはどう扱えばよいですか？
原則は「USBメモリに個人情報を入れない」です。持ち出しが必要なら、パスワード付きの共有リンク（期限付き）やクラウドストレージを使い、物理媒体を減らします。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、情報の持ち出しルールを定めて運用することを求めています。
やむを得ず使う場合は、次の3点をルール化します。①暗号化機能付きUSBのみ使用、②持ち出す前に上長へ申請し台帳に記録、③作業が終わったら当日中にデータを削除。私物USBの業務利用は禁止にし、代わりに会社が暗号化USBを支給するほうが、結果として管理しやすくなります。
WordPressサイトの運用では何が危ないですか？
ノートPCやスマホには、WordPress管理画面・レンタルサーバー・FTPのログイン情報がブラウザに保存されていることがほとんどです。端末を失くすと、顧客データだけでなくサイトの乗っ取りにも直結します。
紛失・盗難が分かったら、WordPress側でも「ユーザー → プロフィール」からパスワードを変更し、「他の場所からログアウト」を実行してください。さらに「ユーザー」一覧で管理者権限のアカウント数を確認し、心当たりのないユーザーがないかを点検します。日頃から二段階認証を有効にしておけば、パスワードを見られても即座の侵入は防ぎやすくなります。
中小企業は今日何をすべきか
- 今日15分：全業務PCでBitLocker／FileVaultが有効か、スマホの自動ロックが1分以内か、遠隔消去が使える状態かを1台ずつ確認し、台数と結果を表に残す。
- 今週中：「USBメモリに個人情報を入れない。使う場合は暗号化USBのみ、申請と台帳記録、当日中に削除」を社内ルールとして文書化し、全員に周知する。
- あわせて：WordPress管理者アカウントを棚卸しし、二段階認証を有効化。自社サイト側の状態が不安なら、無料のWordPress安全診断（https://wp-mamoru.com/diagnosis/）で現状を確認する。
よくある質問
USBメモリを失くしましたが、中身は見られていないようです。それでも報告は必要ですか？
見られた証拠がなくても、個人データが含まれていれば「漏えい等」として報告・通知の対象になりうる点に注意が必要です。個人情報保護委員会は、要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、1,000人を超える場合を報告義務の対象としています。高度な暗号化などの秘匿化措置が講じられている場合は報告を要しないとされているため、まず媒体が暗号化されていたかを確認し、委員会の資料に沿って判断してください。
社員の私物スマホで業務メールを見ています。紛失したらどうなりますか？
私物端末でも業務データが入っていれば、紛失は漏えい事故になりえます。最低限、パスコードと生体認証、自動ロック1分、遠隔消去の有効化を会社のルールとして義務づけ、退職時や紛失時に業務アカウントを強制サインアウトできる体制にしておいてください。
ノートPCを盗まれたとき、WordPressサイトで最初にすべきことは何ですか？
管理画面にログインし、自分のプロフィールからパスワードを変更して「他の場所からログアウト」を実行します。次にユーザー一覧で管理者権限のアカウントを確認し、不審なユーザーがあれば削除します。レンタルサーバーとFTPのパスワードも同時に変更してください。
出典
