紛失・故障時のインシデント対応の実務ガイド｜担当者が迷わない標準業務フローを作る

業務用スマートフォンやPCの紛失・故障では、最初の30分に担当者が迷うと被害が広がります。「もう少し探してから報告する」「とりあえず遠隔初期化する」「壊れたので修理業者へ送る」といった行動が、アカウント悪用、証拠消失、個人データ漏えい、端末回収不能につながるからです。

標準フローの目的は、すべての事案を重大事故として扱うことでも、現場を責めることでもありません。紛失と故障を入口で分け、端末、アカウント、データ、人身・物理安全、証拠、法令・契約の観点から優先順位を決めることです。本稿は、企業のIT資産管理、情報システム、総務、セキュリティ、法務、人事、現場管理者向けに、発見から復旧・再発防止までの標準業務フローを示します。

最初に決める：インシデントの入口を一本化する

従業員が連絡先を探している間に時間を失わないよう、電話、専用フォーム、チャットなど24時間または業務時間外を含む入口を明示します。受付担当が不在でも、次の当番へ転送される仕組みにします。

報告者へ最初から長い調査票を要求しません。初動に必要な最低項目だけを聞きます。

• 報告者と連絡先
• 発見日時と最後に確認した日時
• 端末種別、資産番号、利用者
• 紛失、盗難疑い、故障、破損、発熱等の別
• 最後に使った場所と移動経路
• 電源・通信・位置情報の状態
• 保存・利用していた主なデータとアプリ
• 既に行った操作
• 人身、火災、漏電等の緊急危険

受付時刻、受付者、事案IDを即時発行し、口頭報告も後から台帳へ記録します。

報告が誤りだった場合も削除せず、誤報・対象外へ状態変更して経緯を残します。報告しやすさを守るため、善意の早期報告を評価し、結果的に問題がなかったことを理由に報告者へ不利益を与えない方針を明示します。

0〜15分：人身・火災・感電の危険を先に除く

故障端末が発熱、膨張、煙、異臭、浸水、破損電池を伴う場合、情報セキュリティより物理安全を優先します。触る、充電する、電源を入れる、通常便で送るといった行動を止めます。

現場向け指示は簡潔にします。

• 発煙・火災・人身危険があれば避難し、施設手順と緊急通報に従う
• 熱い・膨張した端末を充電・圧迫・分解しない
• 水濡れ端末へ通電しない
• 安全を確保できる範囲で人や可燃物から離す
• 訓練されていない人が回収・梱包しない
• 安全担当と端末管理者へ同時連絡する

安全確保後に、資産番号、状態、場所、時刻を記録します。危険品の輸送・処理は、施設と委託先の手順に従います。

0〜30分：紛失・盗難と故障を仮分類する

初期分類は確定原因ではなく、行動を選ぶための仮分類です。

紛失・盗難疑い

端末が管理下にない、所在不明、第三者が取得した可能性がある状態です。アカウント保護、通信制御、位置確認、警察・施設への届出、個人データ影響評価を急ぎます。

故障・破損

端末は管理下にあるが、起動不能、画面破損、浸水、異常動作等がある状態です。安全隔離、証拠保全、データ回収・消去可否、保証・修理判断を進めます。

複合事案

紛失後に回収された、盗難端末が破損して戻った、故障に見えて不正操作の痕跡がある場合です。低い重大度へ戻さず、セキュリティ責任者が再分類します。

15〜30分：端末とアカウントの識別を確定する

資産台帳から、資産番号、シリアル、IMEI、電話番号、利用者、所有・リース、OS、暗号化、MDM登録、通信回線、認証手段、主要アプリを確認します。利用者の記憶だけで対象を決めないことが重要です。

識別不能の場合は、利用者に割り当てられた全候補を一時的な影響範囲に含めます。同じ利用者が個人端末と会社端末を併用する場合、どちらかを確認します。

台帳で確認する項目は次です。

• 端末ID、所有区分、契約番号
• MDM・EDR等の管理登録
• 暗号化と画面ロック方針
• 最終接続、最終同期、位置情報
• SIM・eSIM・回線
• メール、SSO、VPN、業務アプリ
• ローカル保存可能なデータ区分
• 管理者権限、証明書、認証アプリ
• バックアップと復旧可否

台帳情報が古い場合、その不確実性を記録し、保守的に対応します。

30分以内：被害拡大を止める

紛失時の封じ込めは、端末ロックだけではありません。端末、回線、認証、セッション、証明書、業務サービスを分けて判断します。

1. MDM等で紛失モード・ロックを検討する
2. SIM・eSIM、回線の停止を通信管理者へ依頼する
3. 重要セッション、トークン、証明書を無効化する
4. 高権限アカウントのパスワード・認証要素を再設定する
5. 不審ログイン・大量取得・転送設定を監視する
6. 共有アカウント・保存済み資格情報の影響を確認する
7. 顧客・取引先システムへの接続を必要に応じて止める

端末がオンラインになるまで遠隔操作が届かない場合があります。「命令送信済み」と「端末で実行済み」を区別します。

遠隔消去は証拠・回収・復旧を見て判断する

遠隔消去は有効な手段ですが、反射的に実行すると位置確認、ログ、原因調査、回収可能性を失うことがあります。一方、高機密データがあり第三者利用が疑われる場合は、証拠より封じ込めを優先することもあります。

判断表には次を含めます。

• 暗号化と画面ロックの状態
• 保存データの機密性と量
• 管理者・認証アプリ・証明書の有無
• 端末がオンラインか
• 位置確認・回収の見込み
• 法執行機関・保険・法務との調整
• 必要なログが別系統に保存されているか
• 消去後の業務復旧・証明方法

遠隔消去の承認者、実行者、命令送信・完了時刻、結果を記録します。位置情報を個人が追跡して回収しようとせず、危険があれば警察・施設管理者へ連絡します。

30〜60分：データと権限の影響範囲を評価する

「端末に顧客データなし」と聞いて終えず、同期、キャッシュ、通知、写真、ダウンロード、ブラウザ、メール添付、認証情報を確認します。

データ分類

• 個人データ、要配慮個人情報
• 顧客・取引先の秘密情報
• 社内機密、未公開財務・人事情報
• 認証情報、秘密鍵、証明書
• 一般社内情報
• ローカル保存なし、確認不能

影響を下げる要素

• 強固な暗号化と画面ロック
• 短時間の自動ロック
• MDMで管理され、紛失モードが実行済み
• ローカル保存が制限されている
• 認証トークン・証明書が無効化済み

影響を上げる要素

• 端末が解除状態で紛失
• 管理者権限や認証アプリがある
• 暗号化・最終状態を確認できない
• 不審アクセス・データ取得の記録がある
• 個人データや機密ファイルがローカル保存

推測と確認済み事実を分け、時刻付きで更新します。

1時間以内：重大度と指揮者を決める

重大度は端末価格ではなく、人身・火災、データ、権限、顧客、事業停止、法令・契約、回収可能性で決めます。

• レベル1：管理下の軽微故障、データ影響なし、代替可能
• レベル2：所在不明だが暗号化・管理状態が確認済み、重要権限なし
• レベル3：機密・個人データの可能性、管理状態不明、重要業務停止
• レベル4：不正利用確認、重大な漏えい・人身・火災、広範な事業影響

レベル3以上など社内基準を満たす場合、インシデント指揮者を明確にし、技術対応、法務・個人情報、広報、顧客対応、業務復旧を分担します。一人が調査、判断、対外説明を抱えません。

証拠を保全し、時系列を一本化する

故障端末を何度も再起動する、ログを消す、利用者が自己判断でアプリを削除する、といった操作を止めます。必要に応じて専門担当が端末、MDM、認証、メール、VPN、クラウド監査ログを保全します。

時系列台帳には次を残します。

• 発生・最終確認・発見・報告時刻
• 誰が何を見て何を判断したか
• ロック、回線停止、認証無効化の依頼・完了
• 位置・接続・ログの確認結果
• 遠隔消去の判断と状態
• 端末回収・警察・施設への連絡
• 影響評価・重大度の変更
• 報告・通知・顧客対応
• 復旧・再発防止・終結承認

IPAは、インシデント時の証拠保全ルールや、緊急対応体制・実践的演習の重要性を示しています。インシデント発生時の緊急対応体制の整備を参照し、自社規模に合う役割と外部支援を平時に決めます。

法令・契約・届出の判断を並行する

個人データの漏えい等またはそのおそれがある場合、報告・本人通知が必要な事態かを個人情報保護責任者・法務が速やかに評価します。端末が見つからないという事実だけ、また暗号化されているという一点だけで、担当者が独断で不要と決めません。

個人情報保護委員会は、個人の権利利益を害するおそれがある一定の漏えい等について報告と本人通知が必要と案内しています。漏えい等の対応とお役立ち資料には、速報・確報の案内、対象事態、各種資料が掲載されています。最新のガイドラインと個別状況を確認します。

同時に確認するものは次です。

• 顧客・委託元への事故報告期限
• 業界規制・監督官庁への報告
• 警察、消防、保険会社への連絡
• リース・通信・メーカー契約
• 労務・安全衛生上の対応
• 海外拠点・越境データの関係

対外説明は事実、未確認、対応中を分け、更新窓口を一本化します。

故障端末は修理前にデータと証拠を判定する

故障端末を通常の修理受付として外部へ送る前に、データ、管理権限、証拠、物理安全を確認します。

判断順は次です。

1. 発熱・膨張・浸水等の安全隔離
2. 不正操作・攻撃の疑いと証拠保全
3. ローカルデータと認証情報
4. バックアップと業務復旧
5. 修理、交換、データ回収、処理の選択
6. 委託先のデータ取扱いと再委託
7. 返却・消去・部品交換の証跡

記憶媒体や基板を交換した場合、取り外し部品にデータが残る可能性を管理します。修理完了は動作復旧だけでなく、データ・アカウント・管理登録・安全・資産台帳の更新まで含めます。

代替端末で業務を安全に復旧する

急いで個人端末や共用端末へ業務アカウントを設定すると、新たな管理外端末を作ります。代替機は事前に準備し、MDM、暗号化、認証、必要アプリ、最小権限を適用します。

復旧時の確認項目は次です。

• 利用者本人と承認者
• 代替端末ID、貸出期間、返却条件
• MDM・セキュリティ設定
• 再発行したSIM、証明書、認証要素
• 旧端末のセッション・権限無効化
• 必要最小限のデータ復元
• 顧客・業務への影響と代替手順
• 旧端末回収時の再登録禁止

旧端末が見つかった場合、そのまま使用を再開せず、隔離、ログ確認、データ消去または再登録、管理状態確認を経て判断します。

回収・修理・交換・処分を決める

所在が確認できた端末は、回収方法と証拠を決めます。配送する場合、破損・電池状態に適した梱包と物流事業者の条件を確認します。

故障端末の選択肢は次です。

• 保証・保守による修理
• 社内・認定委託先での修理
• データ回収後の交換
• データ保持部品の消去・破壊
• 部品再利用または適正処理

端末価値を判断するときに市場・販売相場検索を使う場合も、証拠保全、データ消去、安全、契約を済ませた後の修理・交換判断に限定します。相場が高いことを理由に危険品やデータ未処理品を通常流通へ戻しません。

終結条件を「端末が見つかった」にしない

端末回収や代替配布だけでは終結しません。次の条件を事案責任者が確認します。

• 人身・物理安全が確保された
• 端末・回線・アカウントの封じ込めが完了した
• 影響データと不正利用の有無を評価した
• 必要な報告・通知・契約連絡を行った
• ログ・証拠・時系列を保全した
• 利用者の業務を管理端末で復旧した
• 回収端末の再利用・修理・処理が完了した
• 資産台帳、SIM、ライセンス、費用を更新した
• 原因と再発防止の所有者・期限を決めた
• 関係者へ終結と残課題を共有した

未確定事項が残る場合、終結ではなく監視継続として期限を設定します。

事後レビューは人を責めず、仕組みを直す

事後レビューでは「利用者が注意すべきだった」で終えません。なぜ報告が遅れたか、台帳が古かったか、遠隔操作が届かなかったか、代替機がなかったかを分解します。

レビューの問い

• 報告入口と初動指示は見つけやすかったか
• 資産台帳で端末・権限・データを特定できたか
• ロック・回線・認証無効化の順序は適切だったか
• 遠隔消去の判断材料と承認者は明確だったか
• 法務・顧客・委託先への連絡が期限内だったか
• 証拠保全と業務復旧を両立できたか
• 代替端末が同じ管理水準を満たしたか
• 回収・修理・処理まで追跡できたか

改善策には所有者、期限、検証方法を付け、次回訓練で確認します。

平時に用意するテンプレートと訓練

最低限、次を用意します。

• 一枚の初動カード
• 緊急連絡網と代行順位
• 受付票・事案ID採番
• 資産・権限・データ確認票
• 重大度判定表
• 遠隔ロック・消去承認票
• 時系列・証拠台帳
• 法令・契約報告判定票
• 代替端末貸出票
• 回収・修理・処理追跡票
• 対外通知・社内説明テンプレート
• 終結判定・事後レビュー票

四半期またはリスクに応じた頻度で、紛失、盗難、発熱故障、起動不能、管理外端末のシナリオを訓練します。連絡先がつながるか、権限者不在でも承認できるか、テスト用アカウントで操作できるかを実際に確認します。

担当者用の初動チェックリスト

• 自分で危険な端末を操作・充電・分解していない
• 事案ID、受付時刻、連絡先を記録した
• 最終確認時刻・場所・既実施操作を聞いた
• 資産台帳から端末と利用者を照合した
• 紛失・故障・複合事案を仮分類した
• 端末、回線、認証、セッションを別に封じ込めた
• 遠隔命令の送信と完了を区別した
• 遠隔消去を証拠・回収・データで判断した
• 事実と推測を分けて影響範囲を記録した
• 重大度と指揮者・担当を決めた
• ログと時系列を保全した
• 法令・契約上の報告を専門担当が評価した
• 故障端末をデータ未確認のまま外部へ送っていない
• 管理済み代替端末で復旧した
• 回収後の再利用・修理・処理まで追跡した
• 終結条件と再発防止期限を確認した

まとめ：最初の一時間を役割と証拠で設計する

紛失・故障時の標準フローは、端末を探す手順だけではありません。最初に人身・火災の危険を除き、紛失・故障を仮分類し、端末と権限を識別します。その後、端末、回線、認証、セッションを封じ込め、データ影響、重大度、報告義務を並行評価します。

遠隔消去は、機密性、暗号化、回収可能性、証拠、復旧を見て承認します。故障端末はデータ・証拠・安全を確認してから修理へ渡し、代替端末も管理状態を整えます。終結は端末回収ではなく、影響評価、報告、復旧、資産更新、再発防止まで完了した時点です。

まず平時に一枚の初動カード、連絡網、重大度表、時系列台帳を作り、紛失と発熱故障の二シナリオで訓練してください。対応の速さは担当者の記憶力ではなく、誰が不在でも同じ優先順位で止め、証拠を残し、安全に復旧できる仕組みから生まれます。