社用PC・スマホの紛失・盗難 初動対応ガイド — 中小企業の事前対策と費用目安

社用のパソコンやスマートフォンを紛失・盗難されたときは、最初の1時間で「端末を使えなくする」「アカウントを守る」「報告の要否を判断する」の3つを並行して進めるのが基本である。端末そのものより、中に入っている顧客情報や、ログインしたままのメール・クラウドが悪用されることのほうが被害は大きい。そして、事故のあとにできることには限りがあるため、被害の大きさはほぼ「事前の備え」で決まる。ディスクの暗号化（Windowsの BitLocker、Macの FileVault）はOS標準機能で追加費用は0円、端末管理（MDM）は1台あたり月額数百円からで、画面ロックと多要素認証（MFA）を合わせれば、紛失しても「見られない」状態に近づけられる。この記事では、IT担当がいない中小企業の経営者や担当者に向けて、最初の1時間の動き方、事前対策、費用の目安、チェックリストを整理する。費用はすべて目安である。

紛失した端末が見つからなくても、端末の購入費用（PCなら10万〜20万円程度、スマートフォンなら5万〜15万円程度が目安）は経営上の致命傷にはならない。本当の問題は次の3点である。

- 端末内のデータを見られる: 保存された顧客名簿、見積書、契約書、写真などが第三者に渡る
- ログイン済みのサービスに入られる: メール、チャット、クラウドストレージ、業務システムがログインしたままだと、パスワードを知らなくても中に入れてしまう場合がある
- 取引先や顧客を巻き込む: 個人情報が含まれていれば、法令上の報告や本人への連絡が必要になる可能性がある

つまり、対応は「端末を探すこと」ではなく、情報とアカウントを守ることが中心になる。端末が後から見つかっても、第三者が触れた可能性がある以上、重要な情報が入っていた場合はパスワード変更などを行っておくのが安全である。

紛失に気づいた直後は慌てやすい。順番を決めておくだけで、対応の抜けが大きく減る。以下は、従業員・管理担当（ひとり情シスや経営者）・外部に分けた目安の流れである。

この1時間で一番大切なのは、「見つかるかもしれない」と待たないことである。ロックとパスワード変更は、後で端末が見つかれば元に戻せる。逆に、待って被害が出ると取り返しがつかない。

- すぐに報告する: 叱られるのを恐れて黙っていると、その間に被害が広がる。「報告が早かった人が評価される」ルールにしておくと、報告が早くなる
- 覚えている範囲で伝える: 最後に使った場所と時刻、端末の種類（PC・スマートフォン）、画面ロックの有無、どのアプリにログインしていたか
- 自分で探せる範囲で探す: 立ち寄り先、交通機関の遺失物窓口、カード会社など。ただし、報告の前に長時間探さない
- 個人の端末の「探す」機能を使う: iPhoneの「探す」、Androidの「デバイスを探す」で位置確認やロックができる（事前に設定されている場合）

端末のロックと並行して行うのが、アカウントの保護である。パスワードを変えるだけでは足りない点に注意したい。多くのサービスは、一度ログインした端末を「信頼できる端末」として記憶し、パスワードを変えてもしばらく入れる状態が残ることがある。そのため、パスワード変更とあわせて「すべてのデバイスからログアウト」「セッションの失効」を実行する。

- メール: Microsoft 365・Google Workspaceの管理画面から、該当ユーザーのパスワード変更と、サインイン中のセッションの取り消しを行う
- チャット・クラウドストレージ: Slack、Teams、Google Drive、Dropboxなどで、紛失した端末のログインを解除する
- 業務システム・会計ソフト: 個別にパスワードを変更する。管理画面で端末を無効化できるものは無効化する
- ブラウザに保存されたパスワード: 端末内のブラウザに保存された他サービスのパスワードも、重要なものから順に変更する
- 多要素認証（MFA）の端末: 紛失した端末がスマートフォンで、認証アプリやSMSの受信に使っていた場合は、MFAの登録を解除・再設定する

パスワードの管理やMFAの考え方については、アカウント・パスワード管理とMFA：中小企業向けガイドで詳しく整理している。事前にMFAを有効にしておけば、紛失した端末だけではログインできない状態をつくれる。

端末が手元にない状態でも、ネットワークに接続されれば遠隔で操作できる機能がある。ロックは一時的に使えなくする操作で、見つかれば解除できる。ワイプは端末内のデータを消去する操作で、元に戻せない。

ワイプは強力だが、実行したことの記録を残しておくことが重要である。後日、報告が必要かを判断するとき、「端末内のデータを遠隔で消去した」という事実が、被害の範囲を説明する材料になる。ただし、ワイプは端末がネットワークに接続されないと実行されない点に注意する。MDMで管理していれば、次に端末がオンラインになった時点で自動的に実行される設定にできる。

MDMの種類や選び方、費用の詳細はスマホ・タブレットのMDM導入ガイドで解説している。

警察への届け出は、紛失なら遺失届、盗難や置き引きの疑いがあれば盗難届（被害届）を出す。届け出には、次の情報が必要になる。

- 端末の種類、メーカー、機種名、色、特徴（ケース・シールなど）
- シリアル番号やIMEI（スマートフォンの識別番号）。資産台帳に記録していれば、すぐに答えられる
- 紛失・盗難に気づいた日時と場所、最後に使った場所
- 本人確認書類、会社の連絡先

受理番号は控えておく。保険の請求、取引先や個人情報保護委員会への報告、携帯電話会社での回線停止の手続きなどで、届け出をした事実が求められることがある。スマートフォンの場合は、不正利用を避けるため、携帯電話会社に連絡して回線の一時停止も行う。

ここが最も判断を誤りやすい部分である。2022年4月に全面施行された改正個人情報保護法では、個人データの漏えい等が発生した、またはそのおそれがある場合に、一定の条件で個人情報保護委員会への報告と本人への通知が義務づけられた。ここでは一般的な考え方を整理するが、個別の事案は専門家や個人情報保護委員会のガイドライン・相談窓口で確認してほしい。

報告義務の対象になる主なケース（個人の権利利益を害するおそれが大きいもの）は、次のとおりである。

- 要配慮個人情報（病歴、障害の有無、犯罪歴など）が含まれる漏えい等、またはそのおそれ
- 不正利用されると財産的な被害が生じるおそれがある情報（クレジットカード番号、ネットバンキングのログイン情報など）の漏えい等、またはそのおそれ
- 不正の目的をもって行われたおそれがある漏えい等（盗難など）
- 本人の数が1,000人を超える漏えい等、またはそのおそれ

該当する場合は、事態を知った後速やかに（目安としておおむね3〜5日以内）速報を行い、原則として30日以内（不正の目的によるおそれがある場合は60日以内）に確報を提出する。あわせて、本人へ状況を通知する必要がある。

一方で、高度な暗号化など、個人の権利利益を保護するために必要な措置が講じられている場合は、報告の対象外となり得る。たとえば、BitLockerやFileVaultで端末全体が暗号化され、復号に必要な鍵やパスワードが第三者に知られておらず、第三者が実際に中身を見られない状態であれば、「漏えい」には当たらないと整理される余地がある。ただし、これは暗号化の方式や鍵の管理状態、画面ロックの強度などによって変わる。「暗号化しているから大丈夫」と自己判断で済ませず、暗号化の状態を確認し、記録に残し、必要に応じて専門家へ相談するのが安全である。

「おそれ」の段階でも報告の対象になる点にも注意したい。端末が見つからない、盗難の疑いがあるが中身が見られた証拠はない、という状況は、まさに「おそれ」にあたる。暗号化も画面ロックもなかった端末に個人データが入っていた場合は、報告が必要になる可能性が高いと考えて動くのがよい。報告の流れや連絡の仕方は、情報漏えい発生時の対応ガイドでまとめている。

法令上の報告とは別に、取引先との契約（秘密保持契約など）で、情報の紛失を通知する義務が定められている場合もある。契約書を確認し、必要なら早めに連絡する。連絡が早いほど、信頼を損なわずに済む。

ここからは事前の備えである。どれも、紛失してからでは間に合わない。優先度の高い順に挙げる。

端末のストレージ全体を暗号化し、パスワードなしでは中身を読めないようにする機能である。WindowsはBitLocker（Pro以上のエディションに搭載。Home版では「デバイスの暗号化」という簡易版が使える機種がある）、MacはFileVaultで、どちらもOSに標準で入っており追加費用は0円。設定時に表示される回復キーは、紛失した端末とは別の安全な場所に保管する。スマートフォンも、iPhoneは画面ロックを設定すれば自動で暗号化され、Androidも近年の機種では標準で暗号化されている。

暗号化は、画面ロックの強さとセットで意味を持つ。数字4桁より長いパスコード（6桁以上、できれば英数字）を設定し、一定時間操作がなければ自動でロックされるようにする。指紋や顔認証は便利だが、あくまで補助とし、パスコードを必ず設定する。

パスワードに加えて、スマートフォンの認証アプリなど、もう1つの確認を求める仕組みである。紛失した端末だけではログインできなくなり、パスワードが漏れていても入られにくくなる。メールとクラウドストレージ、業務システムから優先して有効にする。ただし、MFAの認証端末（スマートフォン）自体を紛失する場合に備え、再設定の手順と予備の認証手段を決めておく。

MDMは、会社の端末を遠隔で管理するサービスである。Microsoft Intune（Microsoft 365の対象プランに含まれる場合がある）、Jamf、各社のクラウド型MDMなどがある。リモートロック、ワイプ、位置情報の確認、画面ロックの強制、暗号化の状態確認、アプリの配布を一括で行える。紛失したときに「遠隔で消せる」状態を作れることが最大の利点である。台数が少ない会社は、最初はスマートフォンだけでも導入する価値がある。

ファイルを端末内ではなくクラウド（OneDrive、SharePoint、Google Drive など）に保存する運用にすれば、端末を紛失しても、中に残るデータが少ない。端末を遠隔でワイプしても、業務データはクラウドに残るため、業務への影響が小さい。デスクトップに重要なファイルを置かないルールを決め、バックアップも兼ねる形にする。

どの端末を、誰が、いつから使っているか、シリアル番号は何かを一覧にしておく。紛失したときに、警察への届け出、保険請求、MDMでの操作、報告の判断（端末に何が入っていたか）が、台帳を見るだけで進められる。台帳の作り方はIT資産管理の始め方で解説している。

以下はすべて目安であり、機種、契約形態、時期、依頼先によって大きく変わる。実際の導入や依頼の前に、見積もりを取って確認してほしい。

費用で見ると、事前対策の多くはOS標準機能で0円〜低額で済む。一方で、暗号化もMDMもない状態で個人情報を含む端末を紛失すると、報告対応、本人への連絡、取引先への説明、再発防止の整備にかかる時間と信頼の損失が、端末代とは比較にならない大きさになる。「備えていた会社」と「備えていなかった会社」の差は、事故のあとに最も大きく現れる。

紛失・盗難が起きる前に、次の項目を確認しておこう。すべてにチェックが入る必要はないが、上から順に整えると効果が大きい。

- 社用PCは BitLocker または FileVault で暗号化されている（回復キーは別の安全な場所に保管している）
- 社用スマートフォンに6桁以上のパスコードと自動ロックを設定している
- メール・クラウド・業務システムに多要素認証（MFA）を有効にしている
- 紛失した端末をリモートでロック・消去できる仕組み（MDM や「探す」機能）を用意している
- 重要なファイルはクラウドに保存し、端末内に長く残さないルールを決めている
- 資産台帳に、端末の種類、シリアル番号、利用者、購入日を記録している
- 紛失したときの連絡先（誰に、どの順で連絡するか）を従業員に周知している
- 「紛失はすぐ報告すればとがめない」ルールを決め、全員に伝えている
- 私物端末を業務に使うかどうかのルールを決めている
- 年に1度、この一覧を見直している

印刷して管理担当の手元や、共有フォルダの見える場所に置いておくと、慌てたときに役立つ。

- 本人が上司と管理担当へすぐ連絡した（最後に使った場所と時刻を伝えた）
- 位置情報を確認し、リモートロックを実行した
- 該当者のメール、チャット、クラウド、業務システムのパスワードを変更し、ログイン中のセッションを失効させた
- MFAの認証端末を紛失した場合は、MFAの登録を解除・再設定した
- 盗難の疑いが強い、または重要な情報が入っていた場合は、リモートワイプを判断・実行した
- 警察へ遺失届または盗難届を出し、受理番号を控えた
- スマートフォンの場合は、携帯電話会社に連絡して回線を一時停止した
- 端末内にあった情報の種類と量（個人情報、取引先情報、機密情報）を整理した
- 端末が暗号化されていたか、画面ロックが有効だったかを確認し、記録に残した
- 個人情報保護委員会への報告と本人への通知の要否を判断した（必要に応じて専門家に相談した）
- 取引先との契約上の通知義務を確認し、必要なら連絡した
- 時系列の記録を残し、後日の再発防止策の材料とした