「端末を紛失した」「電車に置き忘れたかもしれない」——こうした連絡が従業員から入ったとき、情シス担当者が何をどの順番でやるかを事前に決めていない会社は意外と多いものです。初動が遅れるほど、情報漏洩や不正アクセスのリスクは高まります。本記事では、スマホの紛失・盗難が発覚した際に情シスがすぐに取るべき初動対応を7つのステップで整理します。
なぜ「初動」が重要なのか
端末の紛失そのものより怖いのは、紛失に気づいてから対応するまでの「空白の時間」です。この間に第三者が端末を操作できてしまえば、社内システムへのアクセス、取引先とのメール、顧客情報を含むアプリなどに触れられる可能性があります。MDMを導入していれば遠隔ロックや初期化が可能ですが、それも「誰が」「どの端末を」「いつ」操作すればよいかが決まっていなければ、いざというときに動けません。
紛失・盗難発覚後にすぐやるべき7ステップ
- 本人からの一次情報を確認する：いつ、どこで、どのような状況で気づいたかを本人から聞き取ります。置き忘れなのか盗難の疑いがあるのかで、その後の対応の優先度が変わります。
- MDMで端末の位置情報を確認する：MDMツールに位置情報確認機能があれば、まずここで手がかりを探します。自宅や職場付近であれば単純な置き忘れの可能性が高くなります。
- 遠隔ロックをかける：位置が特定できてもできなくても、まずは遠隔ロックをかけて第三者による操作を防ぎます。個人のパスコードに依存せず、MDM側から強制的にロックできる状態にしておくことが重要です。
- 該当アカウントのパスワードを変更する：端末に紐づく会社のメールアカウントやクラウドサービスのパスワードを変更し、セッションを強制的に切断します。
- 一定時間を待っても戻らない場合はリモートワイプを判断する：発見の見込みが薄いと判断した時点で、会社データの遠隔消去（リモートワイプ）に踏み切ります。個人所有端末の場合は、事前に合意した範囲（会社データのみ）での消去にとどめます。
- 警察への遺失物・盗難届を提出する：特に盗難の疑いがある場合は、保険や契約キャリアでの手続きのためにも届出の控えが必要になります。
- 社内・取引先への影響範囲を洗い出し、必要に応じて報告する：端末に含まれていた情報の種類によっては、個人情報保護法上の報告義務が生じる場合があります。影響範囲を洗い出し、経営層と共有した上で対応方針を決めます。
事前に備えておくべきこと
この7ステップを「発生してから考える」のではなく、事前にマニュアル化しておくことが最も重要です。特に一人情シス体制の会社では、対応できる人が限られているため、休暇中や不在時に同じ判断ができる仕組みが欠かせません。最低限、次の3つは事前に整えておきましょう。
- 全端末がMDM管理下にあり、遠隔ロック・ワイプが即座に実行できる状態になっているか
- 紛失時の連絡フロー（誰に、どの手段で連絡するか）が文書化され、全従業員に共有されているか
- リモートワイプの判断権限者と、実行までの待機時間の目安があらかじめ決まっているか
まとめ｜「決めておく」ことが最大の対策
スマホの紛失・盗難は、どれだけ注意していても一定の確率で発生します。重要なのは発生させないことだけでなく、発生した直後に迷わず動ける体制を作っておくことです。MDMの導入や、紛失時対応フローの整備でお困りの場合は、運用サポートサービスもあわせてご検討ください。
