企業の情報漏えいはサイバー攻撃だけで起きるものではありません。今回報じられた「記憶媒体の紛失」事案は、暗号化やパスワード保護がない状態で媒体が扱われ、保管時の施錠も徹底されていなかった点が問題の核心です。クラウドやEDRの導入が進む一方で、USBメモリや外付けストレージ、バックアップ媒体など“物理の情報資産”が古典的な手口で抜け穴になり続けています。本稿では、なぜこの種の事故が繰り返されるのか、そして実務として何を優先して整備すべきかを専門家の観点で整理します。
暗号化なし・施錠不徹底が意味するリスク
暗号化やパスワード保護がない記憶媒体の紛失は、発見者が悪意を持たなくても、第三者の手に渡った時点で「内容が読める」可能性が高い状態です。つまりインシデント評価の初期段階から、漏えいの可能性を低く見積もる根拠が乏しくなります。さらに施錠が徹底されていない場合、紛失なのか盗難なのかの切り分けが難しく、原因究明や再発防止策の妥当性説明にも影響します。
特に記憶媒体は、次のような“高密度リスク”を内包します。
- 情報が集約されやすい（顧客情報、設計資料、個人情報、ログなどが一括で入る）
- 監視が効きにくい（ネットワーク経由のアクセスログが残らず、追跡が困難）
- 持ち出し・受け渡しが容易（短時間で移動でき、責任の所在が曖昧になりやすい）
この結果、事故対応では「何が入っていたのか」「いつから所在不明か」「誰が最後に扱ったか」の特定に時間がかかり、通知・公表・追加調査のコストが膨らむ傾向があります。
なぜ同じ事故が起きるのか：仕組みより“運用の例外”が増殖する
多くの組織では規程や手順が存在します。それでも暗号化なしの媒体が使われ続ける背景には、運用の例外が常態化する構造があります。
- 現場の利便性が優先される：大容量データの受け渡し、オフライン作業、工場や閉域環境などでUSBが“最短距離”になりやすい
- 資産管理の粒度が粗い：媒体に台帳番号はあっても、暗号化有無・保管場所・利用目的・返却期限が管理されない
- 教育が形式化する：年1回の受講で終わり、媒体利用の実務フローに落ちない
- 委託・子会社・協力会社を跨ぐ：責任分界が曖昧で、ルールが統一されない
技術対策があっても、例外運用が積み上がると“暗号化していない媒体が存在すること自体が普通”になり、事故は時間の問題になります。
優先すべき技術対策：暗号化を「努力義務」から「強制」にする
再発防止で最も効果が高いのは、暗号化を個人の注意に委ねず、技術的に強制することです。具体策は次の通りです。
フルディスク暗号化・リムーバブル媒体の強制暗号化
PC側はフルディスク暗号化を標準化し、USBなどリムーバブル媒体は「暗号化されていない媒体は利用不可」にします。端末管理（MDM/EMM）やポリシー制御で、書き込み時に暗号化を必須にできる構成が望まれます。
DLPとデバイス制御で“そもそも書けない”状態を作る
情報の外部持ち出しが業務要件として必要な場合でも、無制限なコピーを許可しないことが重要です。DLPで機密情報のコピーを検知・遮断し、デバイス制御で許可済み媒体以外への書き込みを禁止します。
鍵管理と復号プロセスの整備
暗号化していても、鍵の共有が雑だと実質的に無防備になります。鍵は個人管理にせず、組織としてローテーション、失効、監査が可能な形で運用します。復号が必要な場面（監査、訴訟、事故調査）に備えた手順も明文化します。
物理・運用対策：施錠はゴールではなく“証跡”の入口
施錠を徹底するだけでは紛失は防げませんが、少なくとも「誰がいつアクセスできたか」を限定し、原因特定を可能にします。ポイントは“施錠＋記録”です。
- 保管は施錠キャビネット＋入出庫記録（媒体ID、目的、持出者、返却予定、承認者）
- 持ち出しは期限付き（返却期限を越えたら自動エスカレーション）
- 棚卸しの頻度を上げる（四半期・月次など、媒体の重要度に応じて）
- 二重化された承認（高機密データの持ち出しは上長＋情報セキュリティ部門）
特に重要なのは、媒体の存在を「資産」として扱うことです。PCと同じレベルで台帳に載せ、廃棄時はデータ消去の証明までを一連のライフサイクルとして管理します。
インシデント対応：初動で差がつく3つの観点
記憶媒体の紛失は、発覚時点で情報が外部に出ている可能性を否定できないケースが多く、初動品質が企業信用を左右します。実務では次の3点を同時並行で進めるべきです。
- 内容の特定：媒体の用途、格納フォルダ、バックアップ元、作成者から対象データを推定し、個人情報・機密情報の範囲を確定する
- 所在の追跡：最終利用者、移動経路、保管場所、入退室ログ、監視カメラ、輸送記録など“物理の証跡”を収集する
- 再発防止の暫定措置：同種媒体の利用停止、持ち出し一時禁止、暗号化強制の緊急適用など、被害拡大を止める
また、社内外への説明においては「暗号化有無」「保管の統制」「対象データの種類」「今後の強制策」が焦点になります。ここが曖昧だと、調査が長期化し、信用毀損が増幅します。
ゼロトラスト時代の“最後の穴”を塞ぐ
ゼロトラストはネットワーク境界の話だけではありません。「端末・データ・人・場所」すべてを前提不信で設計し、最小権限と継続的検証で守る考え方です。記憶媒体の事故を防ぐには、媒体を“例外的に許された便利ツール”ではなく、“高リスクなデータ搬送手段”として定義し直す必要があります。
結論として、再発防止の要点は明確です。暗号化を強制し、媒体利用を制御し、保管と持ち出しに証跡を残す。この3点をセットで実装できるかどうかが、同種事故を「起こり得るもの」から「起こしにくいもの」へ変える分水嶺になります。
今回の事案を教訓に、技術・運用・ガバナンスを一体で見直し、物理媒体という古典的リスクを現代的な統制で確実に封じていくことが求められます。