社用PCを紛失した、あるいは盗難に遭ったという連絡が入ると、何から手をつければよいか分からず慌ててしまう方も多いのではないでしょうか。
端末をすぐに初期化してしまったり、利用者のアカウントをその場で削除してしまったりすると、かえって状況の把握や後の対応が難しくなることがあります。
この記事では、社用PCの紛失・盗難が発生したときに、初心者IT担当が最初に確認すべきことを、端末・アカウント・保存データ・業務影響の順に整理します。むやみに操作を進めるのではなく、状況を正しく把握し、会社の管理方式に沿って被害の拡大を防ぐための初動対応をまとめています。
社用PCを紛失したら最初に状況を記録する
紛失や盗難の連絡を受けたら、対応を始める前に状況を整理して記録します。ここで正確な情報を集めておくことが、この後のすべての判断の土台になります。
誰の、どの端末か
利用者の氏名、所属部署、端末名や資産番号、機種を確認します。資産台帳がある場合は、そこから端末の詳細情報を照合します。
いつ、どこで気づいたか
利用者が最後に端末を使用した日時と場所、そして紛失に気づいた日時を確認します。両者の間に時間差がある場合、その間に端末が使われていた可能性も考慮します。
最後に確認できた場所
紛失した可能性がある場所を確認します。オフィス内なのか、外出先なのか、公共交通機関なのかによって、その後の対応の緊急度が変わります。
盗難の可能性があるか
置き忘れなのか、盗難の疑いがあるのかを利用者に確認します。断定はできなくても、可能性がある場合は関係者へ共有し、より速やかな対応を検討する材料にします。
端末から何にアクセスできる状態だったか確認する
次に、その端末からどこまでアクセスできる状態だったかを確認します。これは、紛失によってどこまでのリスクが発生し得るかを把握するための重要な工程です。
紛失した業務用ノートPCについては、端末に存在したデータ、端末のセキュリティ状態、組織のネットワークへどのようなアクセスを持っていたかを把握し、影響を評価することが重要とされています。
ローカル保存データ
端末内に業務データや個人情報を含むファイルが保存されていなかったかを利用者に確認します。
メール・クラウドストレージ
端末上でメールソフトやクラウドストレージにサインインしたままの状態だったかを確認します。
ブラウザのサインイン状態
業務システムやSaaSにブラウザ経由でサインインしたままになっていないかを確認します。
VPN・社内システム
VPNクライアントや社内システムへの接続設定が端末に残っていないかを確認します。
端末暗号化・画面ロックの有無
端末にディスク暗号化や画面ロックが設定されていたかを確認します。ディスク暗号化は、端末のストレージを取り外された場合なども含め、保存データを保護する重要な対策です。画面ロックは、ログイン済みの画面を第三者に操作されにくくする対策です。どちらも重要ですが役割は異なるため、個別に有効化状況を確認します。ディスク暗号化が無効な場合は、端末内データへのアクセスリスクをより高く見積もります。
アカウントとセッションを保護する
端末の状態確認と並行して、利用者のアカウントとセッションを保護する対応を進めます。ここでの操作は、社内の管理者やIT担当の権限で行うものが中心になるため、担当外の場合は速やかに確認・依頼します。
管理者へアカウント保護の必要性を確認する
紛失端末からの不正アクセスを防ぐため、どのアカウント保護措置が必要かを管理者に確認します。新規サインインの一時停止、既存セッションの失効、認証情報の見直しなど、利用できる操作や業務への影響は環境によって異なります。利用者が他の業務端末でも同じアカウントを使っている場合は、その影響も踏まえて管理者が適切な措置を選びます。
既存セッション失効の対象を確認する
すでにサインイン済みの状態が他の端末やアプリに残っている場合、その失効が必要かどうかを確認します。ただし、アクセス失効の反映タイミングはアプリケーションのトークンやセッションの仕組みによって異なり、操作した瞬間にすべてのアクセスが即座に消えるとは限らない点に注意が必要です。
紛失した端末が多要素認証（MFA）を利用したアカウントに紐づいていた場合は、認証情報の状態もあわせて確認します。
MFAや認証情報の状態を確認する
利用者が端末に認証アプリやセキュリティキーなどのMFA関連情報を登録していた場合、それらの状態も管理者と一緒に確認します。
利用者アカウントを無条件に削除しない
紛失を理由にアカウントをすぐに削除すると、業務に必要なデータやメールへのアクセスができなくなったり、後の調査に必要な情報が失われたりするおそれがあります。アカウントの削除は、管理者が状況を踏まえて判断する事項として扱います。
管理端末ならリモート操作の選択肢を確認する
会社でMDM(モバイルデバイス管理)などの端末管理の仕組みを使っている場合は、管理担当者にリモート操作の選択肢があるかを確認します。すべての会社が同じ管理ツールを使っているわけではないため、ここでは一般的にどのような選択肢がありうるかを整理します。
リモートロック
端末を遠隔でロックし、画面の操作をできなくする機能です。
位置確認機能の有無
端末の位置情報を確認できる機能が用意されている場合があります。ただし、すべての管理ツール・端末で利用できるとは限りません。
製品によって操作名や削除範囲は異なります。実行前に、自社の管理ツールで何が削除されるかを確認してください。
Retire・会社データ削除
会社のデータや設定のみを端末から削除し、個人のデータは残すという操作が用意されている管理ツールもあります。
Wipe・初期化
端末を出荷時の状態に戻し、データと設定をまとめて削除する操作です。
オフライン端末では反映待ちになる可能性
端末がネットワークに接続されていない状態では、リモート操作の指示が端末に届かず、次に端末がオンラインになるまで反映されない場合があります。管理操作を指示した時点で、必ず即座に実行されるとは限らないことを踏まえておきます。
これらの操作の可否や具体的な挙動は、利用している管理ツールや端末のOS、登録方式によって異なります。自社でどの操作が可能かは、管理担当者や導入している管理ツールの仕様で確認してください。
遠隔ワイプをすぐ実行しない方がよいケース
管理端末でリモートワイプの選択肢がある場合でも、状況を確認しないまま実行することは避けたほうがよいケースがあります。
会社方針や承認が必要な場合
ワイプの実行に社内の承認手続きが定められている場合は、その手続きに沿って判断します。担当者の独断で実行しない体制になっている会社もあります。
データ消去の影響が大きい場合
ワイプを実行すると端末内のデータは失われます。バックアップの状況や、消去してよいデータかどうかを確認してから判断します。
端末回収・調査・証拠保全との関係がある場合
盗難の疑いがあり、端末の回収や社内調査、証拠保全が必要になる可能性がある場合、ワイプの実行によって手がかりが失われることがあります。調査の要否は関係部門と相談してから判断します。
製品やOSによって挙動が異なる場合
ワイプの範囲や取り消しの可否は、利用している管理ツールやOSによって異なります。実行前に、自社で使っている管理ツールの仕様を確認します。
このように、遠隔ワイプは選択肢の一つであり、常に最初に実行すべき唯一の対応というわけではありません。状況に応じて、ロックやセッション失効など他の対応と組み合わせて判断します。
対応内容を記録して関係者へ引き継ぐ
対応を進めながら、その内容を記録に残します。記録があることで、関係者への引き継ぎや、後から対応を振り返る際の材料になります。
記録しておきたい項目は次のとおりです。
- 発生時刻(気づいた日時、最後に確認できた利用日時)
- 端末情報(端末名、資産番号、機種)
- アカウント対応(新規サインイン停止、セッション失効の実施有無)
- 管理ツール操作(実施したリモート操作の内容と結果)
- 実施者(誰がいつ何を実施したか)
- 追加対応が必要な担当者(上長、セキュリティ担当、管理者など)
紛失は利用者からの報告をきっかけに把握されることが多く、その報告を起点に、記録を残しながら追加のデータ損失を防ぐ対応へ進めていくことになります。
再発防止で見直したいこと
初動対応が落ち着いたら、同じような紛失・盗難が起きたときの被害を抑えられるよう、平常時の備えを見直します。
資産台帳
端末名や資産番号、利用者、機種などの情報が最新の状態で管理されているかを確認します。台帳が整っていることで、紛失時の初動確認がスムーズになります。台帳や管理ツールの選び方を整理したい場合は、IT資産管理ツールの比較もあわせてご確認ください。
端末暗号化
端末のディスク暗号化が有効になっているかを確認します。
画面ロック
離席時に画面がロックされる設定になっているかを確認します。
MFA
アカウントに多要素認証が設定されているかを確認します。
MDM・端末管理
端末を管理する仕組みが導入されているか、導入されている場合はリモートロックやワイプなどの操作が実際に機能する状態かを確認します。
紛失時の連絡ルール
紛失や盗難が発生した際に、誰にどう報告するかのルールが社内で共有されているかを確認します。
まとめ
社用PCの紛失・盗難が起きたときは、状況を記録し、端末が持っていたデータとアクセス範囲を確認したうえで、アカウントとセッションを保護し、管理端末であればリモート操作の選択肢を確認するという順で進めます。
遠隔ワイプは有効な選択肢の一つですが、会社方針や証拠保全との関係を踏まえずに無条件で実行するものではありません。対応の内容は記録に残し、関係者へ引き継いだうえで、資産管理や端末暗号化、MFAなどの見直しにつなげていきましょう。