原子力規制庁が2023年度に業務用スマートフォン10台を紛失し、うち2台が未発見のままであると公表した。発表によれば、当該端末には原発や核関連情報は含まれていないとされる。一方で、政府機関のモバイル端末は「機密そのもの」だけでなく、連絡先、メール、予定、業務アプリへのログイン情報、認証トークンなど、攻撃者にとって価値の高い情報への入り口になり得る。今回の事案は、端末内データの有無だけでは測れないリスクと、モバイル管理の成熟度が組織の安全保障に直結する現実を示している。
「核情報は含まず」でも残る実務リスク
紛失端末に原発・核関連情報がないという説明は、センシティブ情報の直接漏えいという観点では一定の安心材料になり得る。しかし、モバイル端末に残りがちな情報は、攻撃の足掛かりとして十分に危険だ。例えば、端末に保存された業務メールの断片、チャットの通知内容、会議予定、連絡先、内部システムへのブックマーク、VPN設定、認証アプリ、シングルサインオン（SSO）のセッション情報などは、標的型攻撃の精度を上げる材料になる。
また、端末そのものが持つ通信機能は、回線契約の悪用（不正な通話・SMS、SMS経由の認証突破の試行）や、紛失端末を起点としたなりすましにもつながる。さらに「端末を見つけた第三者が中身を見られるかどうか」は、端末暗号化やロック設定だけでなく、通知の表示設定、業務アプリ側のキャッシュ、オフライン保存の有無など細部の設計に左右される。したがって、今回のような紛失では、端末内の機密分類だけではなく、アカウント・認証・ログの観点での影響評価が不可欠である。
紛失が発生する前提で設計する「モバイル・ゼロトラスト」
業務用スマホの紛失は、どの組織でも起こり得る。重要なのは、紛失を「例外」ではなく「前提」として、被害が拡大しない設計と運用を整えることだ。具体的には、ゼロトラストの考え方をモバイル運用に落とし込み、「端末が消える」ことと「侵害が起きる」ことを切り分ける。
その中核になるのがMDM／UEM（モバイルデバイス管理／統合エンドポイント管理）である。端末の暗号化、強制パスコード、OS更新の強制、脱獄・ルート化検知、業務アプリの配布と制御、リモートロック・ワイプ、位置情報による探索などは、政府機関においても標準装備であるべきだ。加えて、紛失後に遠隔で確実に無効化できる設計（一定回数のパスコード失敗で自動消去、オフライン状態でも一定条件でデータが保護される構成）を組み合わせることで、未発見端末が残っても実害を抑制できる。
鍵は「端末」より「アカウント」：認証とセッション管理の再点検
紛失端末が最も危険なのは、端末内データが見られることよりも、アカウントにアクセスされることだ。特に、メールやグループウェア、チャット、オンラインストレージ、電子決裁などは、端末が“ログイン済み”になっているケースが多い。ここで重要なのは多要素認証（MFA）の有無だけではない。MFAを導入していても、端末内に認証トークンが残り、長い有効期限のセッションが維持されていれば、攻撃者は追加認証なしで操作できる場合がある。
政府機関に求められる実装としては、条件付きアクセスポリシー（準拠端末のみアクセス許可、危険な場所や異常な挙動で遮断）、短寿命トークン、リスクベース認証、端末紛失時の強制サインアウト、証明書ベース認証（端末証明書の失効で即遮断）などが挙げられる。さらに、SIMスワップやSMS傍受を想定し、SMSを主手段とする認証を避け、認証アプリやFIDO2などフィッシング耐性の高い方式を優先することが望ましい。
インシデント対応は速度が命：紛失時の標準手順を磨く
端末紛失は、技術対策と同じくらい手順が重要である。現場が「紛失に気づく」「報告する」「封じ込める」までの時間が短いほど、悪用の余地は減る。望ましいのは、紛失に気づいた職員が迷わず実行できるシンプルな標準手順だ。例えば、発生時刻と場所の記録、管理窓口への即時連絡、回線停止、MDMでのロック・探索・ワイプ、アカウントのセッション無効化、主要サービスの認証情報リセット、関係ログの保全、必要に応じた警察届出までをワンセットにする。
加えて、机上手順が存在しても訓練がなければ実行精度は上がらない。定期的な演習により、深夜・休日・出張先でも回る連絡網、担当者不在時の代替手順、リモートワイプが不達となった場合の代替策（証明書失効、アクセス遮断の強制）などを検証すべきである。
紛失の背景にある「運用の盲点」：棚卸しと統制の重要性
年度内に複数台の紛失が発生する場合、個別の不注意だけでなく、統制の仕組みそのものに改善余地があることが多い。典型的な盲点は、端末台帳と実在端末の不一致、貸与・返却の記録不備、異動時の回収漏れ、予備端末の所在不明、紛失の報告が遅れる心理的障壁などだ。端末管理は「資産管理（ITAM）」と「セキュリティ管理（UEM）」を結合し、誰がいつどの端末を保有し、どのポリシーが適用され、どのデータにアクセスできるかを一気通貫で追跡できる状態を目指す必要がある。
また、政府機関では個人情報や行政情報を扱う場面が多く、端末の業務利用範囲が広がるほど、端末内に残る“断片情報”も増える。そこで、業務データを端末に残さない設計（コンテナ化、業務アプリ内限定保存、コピー＆ペースト制御、スクリーンショット制御、クラウドへの安全な保存）と、DLP（情報漏えい防止）を組み合わせ、端末紛失が情報漏えいに直結しにくい構造を作ることが重要だ。
未発見端末がある場合に実施すべき追加措置
未発見端末が残る状況では、「回収できない」ことを前提にリスクを閉じる必要がある。具体的には、当該端末に紐づく証明書・端末ID・アプリ登録の無効化、回線停止、端末を信頼済みデバイスから除外、関連アカウントの強制ログアウト、監査ログの重点監視（異常なサインイン、深夜アクセス、海外IP、連続失敗、データ大量ダウンロード）、関係者への注意喚起（なりすまし連絡への警戒）などが有効だ。さらに、端末がオフラインのままでも、次回オンラインになった瞬間にワイプを実行できる設定や、一定期間応答がない端末を自動的に準拠外として遮断するポリシーも検討すべきである。
まとめ：信頼は「説明」ではなく「仕組み」で守る
今回の公表は、透明性の観点で評価できる一方、「核情報は含まれていない」という説明だけで社会の不安を解消するのは難しい。重要なのは、端末紛失が起こっても、データ・アカウント・業務が守られる仕組みが設計され、迅速な対応が実行され、再発防止が継続的に検証されていることだ。政府機関のモバイル端末は、働き方改革や災害対応で利便性を高める一方、攻撃者にとっても価値の高い標的である。紛失はゼロにできない。だからこそ、UEMによる統制、強固な認証とセッション管理、紛失対応の即応力、そして運用の棚卸しを重ね、社会の信頼を「仕組み」で支えることが求められる。