社員が持ち出したノートパソコンをなくしたとき、その日のうちにすること

社員が持ち出したノートパソコンをなくしたとわかったら、最初の数時間で 3 つを進めます。なくした状況を書き留める。そのパソコンで使っていたアカウントのパスワードを変え、サインインを止める。中にどんな情報があり、暗号化していたかを確かめる。

個人情報が入っていれば、個人情報保護委員会への報告が要るかを判断します。その判断が早くできるかどうかは、なくす前の準備で決まります。

最初の 1 時間で、書き留める・止める・伝えるを進めます

書き留めるのは、記憶が確かなうちにするためです。あとで報告書を書くときも、取引先に説明するときも、この記録がもとになります。

止めるのは、パスワードを変えることです。メール、クラウドの資料、社内の仕組み、取引先の受発注の画面など、そのパソコンでサインインしたままのものを全部変えます。二要素認証 を使っているなら、なくしたパソコンを、信頼する端末の一覧から外します。

中の情報を洗い出し、暗号化していたかを確かめます

次に、そのパソコンに何が入っていたかを洗い出します。手元に保存していたファイル、メールソフトに残っていたメール、ブラウザに保存していたパスワードなどです。

ここで効くのが、保存装置の 暗号化 です。サインインのパスワードだけでは、保存装置を取り外されると、中のファイルを別のパソコンから読まれるおそれがあります。保存装置ごと暗号化していれば、取り外されても中身を読まれにくくなります。

遠隔消去 は、管理の仕組みに登録してあるパソコンなら、ネットにつながった時点で中のデータを消せる仕組みです。登録していなければ使えません。

個人情報が入っていたら、報告が要るかを判断します

個人情報保護法では、決まった場合に、個人情報保護委員会への報告が義務になっています。委員会の案内では、次のような場合です。

• 病気や診療の記録など、配慮の要る個人情報が含まれる
• 漏れると、クレジットカードの不正利用など、お金の被害が出るおそれがある
• 盗まれたなど、不正な目的で行われたおそれがある
• 1,000 人を超える人の情報が含まれる

委員会の案内では、わかったら、まずは速やかに報告することとされています。不正な目的で行われたおそれがある場合は、わかった日から 60 日以内です。

一方、委員会のガイドラインには、高度な暗号化などで中身を読めないようにしてあった場合は、報告を要しないと書かれています。暗号化していたかどうかが、報告の要否を分けることがあります。判断に迷うときは、委員会の案内や専門の方に確かめます。法律の中身は 個人情報保護法の用語のページ にもまとめています。

見つかったあとも、すぐには元に戻しません

なくしたパソコンが見つかることもあります。見つかっても、誰かが中を見たかどうかは、見た目では分かりません。変えたパスワードは、そのまま新しいものを使います。止めたアカウントを戻すのは、そのパソコンで使っていたサービスに、身に覚えのないサインインがないかを確かめてからにします。

なくす前に、暗号化と台帳と、言い出しやすい決まりを整えておきます

なくした日の作業は、前もっての準備で大きく変わります。

最後の項目も大事です。なくしたと言い出すのが遅れるほど、止める作業も遅れます。早く言ってもらえる決まりにしておきます。

こうした手順は、文書にして社内に置いておくと、担当が替わっても同じように動けます。当社の ネットワーク見える化 では、情報セキュリティの体制づくりもお受けしています。持ち出しパソコンの管理や、紛失したときの手順を、ルールと文書にしています。会社としての 情報セキュリティの方針 を決めるところからお手伝いします。