箱だけ残った外付けHDD4台 東京都水道局の紛失で見直す台帳と棚卸し

外付けHDDが4台なくなっていると分かったのは、空き容量を見ようとしたときでした。東京都水道局の10月23日の発表によると、10月2日に職員が施錠管理されたキャビネットを開けると、収納箱だけが残り、どの箱にも本体が入っていませんでした。

棚に鍵をかけ、箱も並んでいる。自社のHDDやバックアップ媒体が同じ状態でなくなったら、いつ気づけるでしょうか。

同じ局は10月26日、委託先の社員が書類入りの鞄を電車に置き忘れた件も発表しました。2件を並べると、民間の情シスが見直す所は3つに絞れます。本体を数える棚卸し、中身を書いた台帳、委託先からの報告の期限です。

鍵は、なくなったことを知らせてくれない

HDDに入っていたのは、局が所有する用地の管理や活用に関する資料などです。個人情報は1,932名分で、企業・国・自治体の関係者が1,037名、地域住民などが895名。大部分は氏名だけで、一部に住所や電話番号があります。局は該当する人に連絡しておわびと説明をし、今のところ流出などの二次被害は確認されていないとしました。執務室の中を探し続けていますが、発表の時点で見つかっていません。

暗号化の有無、盗難か置き違いか、最後に本体を確認した日は、発表からは読めません。

施錠しての保管は、ごく標準的な対策です。民間向けの個人情報保護委員会のガイドラインも、手法の例に「施錠できるキャビネット・書庫等に保管する」を挙げています。多くの会社の決まりも、ここまでかもしれません。

ただ、鍵が止めるのは鍵を持たない人で、中の物が今もあるかは教えてくれません。しかも箱に入れて並べておけば、扉を開けても箱の数は合います。局の件で何が起きたのかは分かりませんが、自社の決まりで見たいのはここです。

棚卸しで数えているのは、箱か、本体か。

中身を書いた台帳があると、事故の日が変わる

似た媒体の紛失に、商船三井クルーズの件があります。船内PCのデータ移行に使った外部記憶媒体の一部が、7月にIT担当者が保管場所を確認すると所在不明になっていました。9月10日のお知らせの時点では、本社サーバーの全バックアップ約20万ファイルを対象に、件数と具体的な内容を調べている段階でした。

水道局のほうは、発覚から21日後（編集部で数えました）の発表で、1,932名とその内訳を示しています。

どちらの発表も、台帳の有無や、数えるのにかかった手間にはふれていません。ですから2件で優劣は付けられません。それでも自社に置き換えると、差は想像できます。管理番号から中身の種類とおおよその人数を引ければ、紛失が分かった日に見当がつきます。引けなければ、バックアップを読み直すところから始まりかねません。

人数を急ぐ理由は、民間の会社にははっきりあります。委員会のガイドラインでは、本人の数が1,000人を超える漏えい等は報告の対象で、人数を確定できなくても最大で1,000人を超えるなら当てはまります。速報の目安は、知ってからおおむね3〜5日以内です。

なくなった媒体の扱いにも、民間向けの目安があります。委員会のQ&Aは、個別の事例ごとに判断するとしています。そのうえで、USBメモリを紛失して社内か社外か特定できない場合は「漏えい（又は漏えいのおそれ）」、社内で紛失したままなら「滅失（又は滅失のおそれ）」に該当すると考えられるとします。ガイドラインでは、同じ内容のデータが他に保管されていれば滅失に当たりません。

Q&Aの例はUSBメモリですが、編集部は外付けHDDでも同じ考え方になるとみています。バックアップ媒体で同じデータが別にあっても、社内か社外か特定できなければ、漏えいのおそれの判断は残るという読みです。どれも民間の事業者向けの決まりで、局の対応を測る物差しではありません。

委託先の報告は、紛失の2日後だった

もう1件は紙です。多摩地区の家屋損害調査を受託した会社の社員が10月20日、84軒分の氏名、住所、電話番号、対応記録が書かれた書類などの入った鞄を電車に置き忘れました。中野駅で降りたあとに気づき、その日から翌々日まで、忘れ物センターや警察署に照会を重ねています。受託者から局への報告は22日でした。

局の動きは早いと感じます。報告を受けてすぐ電話で連絡し、翌23日には職員が個別の訪問を始めました。

ただ、連絡の起点は受託者の報告で決まります。経過を読むかぎり、報告までの2日は探すことに使われたようです。現場の社員なら、まず探したくなるのは当然でしょう。この契約の文言は発表からは読めませんが、委託契約によくある「速やかに報告」では、見つかるまで待つ余地が残ります。

民間では、委託先が報告の対象になる事態を委託元へ通知する目安も、知ってからおおむね3〜5日以内です。人数がその基準に届かない件でも、顧客に説明するのは委託元でしょう。契約か手順書に「紛失に気づいた当日に、見つかっていなくても第一報」と書いておけば、委託元は自社の連絡を先に決められます。委託元が事故の日に決めることは、委託元15件の発表の比較でご覧いただけます。

現場へ持っていく紙は、ファイル転送のような手段に置き換えられません。持ち出す紙をその日の訪問先の分に絞れば、なくしたときの件数に上限を設けられます。

影響するのは、媒体を棚に置いている会社

2件そのものについて、読者の会社がすることは多くありません。局は、該当する人に連絡したと発表しました。HDDの件の発表の中身は、西のITメディアの記事でもご覧いただけます。

見直しが要るのは、次のような会社です。

• 外付けHDDやUSBメモリ、テープ、NASから外したディスクを施錠した棚で保管し、箱や棚の単位で数えている
• バックアップやデータ移行に使った媒体が、台帳にないまま残っている
• 委託先の社員が、顧客の情報を紙やPCで現場に持ち出す

媒体を使わず、バックアップをクラウドに限っている会社は、影響が小さいでしょう。それでも、廃棄待ちの古いディスクが棚に残っていないかは一度見ておきたいところです。

今週の棚卸しの手順

1. 媒体を全部集め、箱から出して本体のシリアル番号を読みます。Windowsにつなげるなら、PowerShellでGet-Disk | Where-Object {$_.BusType -Eq "USB"} | Select-Object FriendlyName,SerialNumber,Sizeを実行すると、読み取りだけで一覧にできます。番号が空のときや本体のラベルと合わないときは、ラベルの番号を台帳に入れます。
2. 台帳を1台1行で作ります。管理番号、シリアル番号、置き場所と管理者に、中身の種類、個人データの有無とおおよその人数、暗号化の方式と回復情報の置き場所、最終確認日を足します。
3. 下の表で頻度を決め、棚卸しの担当者と確認者を分けます。
4. Windowsで使う媒体は暗号化を強制します。設定する場所は、グループポリシーの「BitLockerドライブ暗号化>リムーバブル データ ドライブ」か、IntuneのCSP（RemovableDrivesRequireEncryption）です。有効にするポリシーは「BitLockerで保護されていないリムーバブル ドライブへの書き込みアクセスを拒否する」です。暗号化していない媒体は読み取り専用になるので、バックアップの書き込み先を先に確認します。Microsoftはこのポリシーと併せて、256ビットの回復キーの使用を禁止するよう求めています。回復には48桁の回復パスワードを使い、媒体と別の場所で管理します。
5. 委託先との決まりを直します。紛失に気づいた当日の第一報と、持ち出す紙の上限を、契約か手順書に入れます。

頻度は編集部の目安で、法令の基準ではありません。工夫したいのは2行目です。空き容量の確認のような「本体に触る用事」を、復元テストとして定期の予定に入れてしまいます。

暗号化は、報告の判断にも関わります。ガイドラインは、高度な暗号化等の秘匿化がされた個人データなら報告を要しないとし、Q&Aは暗号化に加えて、復号鍵を分けて管理するといった条件を挙げました。パスワードのメモを箱に入れて同じ棚に置く運用では、この条件を満たすとは言いにくいでしょう。実際に報告が要るかは、法務と委員会の案内で確認してください。

台帳の下敷きには、IT資産管理台帳が使えます。種類を「その他」にして媒体を入れ、中身と回復情報の置き場所の列を足せば始められます。1年以上確認していない機器に「現物未確認」と出る仕組みなので、媒体の行は表の頻度で別に見直します。

棚の扉を開けて箱が並んでいると、つい安心します。今週は一度、ふたまで開けてみてください。