社員が会社のスマホやPCを紛失したら？中小企業が行う緊急初動と対応手順

「営業担当者から、会社のスマホが見当たらないと連絡があった」。

このようなときは、端末を探すだけでなく、社内への報告、アカウントの保護、回線停止、遠隔ロック、保存情報の確認を並行して進めます。本記事では、専任のIT担当者がいない中小企業でも迷わず動けるように、紛失発覚直後の連絡から報告要否の判断、再発防止までを順番に解説します。

最初から「情報漏えいが発生した」と決めつける必要はありません。しかし、端末が第三者の手に渡った可能性を前提に、次の順番で対応してください。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、インシデント対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で整理しています。初動では責任者と経営者への連絡、対応体制の構築、被害拡大を防ぐ措置が示されています。

今まさに紛失した場合は、まずこの5つを行ってください

1. 端末を探し続ける前に、社内責任者へ連絡する
2. 端末を遠隔ロックし、位置情報と最終接続を確認する
3. 携帯回線、業務アカウント、VPNを一時停止する
4. 端末に保存されていた情報と利用サービスを確認する
5. 実施した対応と時刻を記録する

盗難の可能性がある場合は、社員だけで端末を回収しに行かず、警察へ相談してください。

会社のスマホやPCの紛失はセキュリティ事故として扱う

端末が見つからないだけで、直ちに情報漏えいが確定するわけではありません。それでも、会社としてはセキュリティインシデントの疑いがある事案として受け付けます。

端末から次の情報へアクセスできる可能性があるためです。

紛失した社員が叱責を恐れて報告を遅らせると、第三者が端末やアカウントを利用できる時間が長くなります。

社内規程には「紛失した本人の責任追及より、初動対応を優先する」と明記しておくとよいでしょう。

端末を紛失したときに「誰へ、いつ、どの方法で報告するか」を迷わないよう、連絡先と初動手順を情報セキュリティ規程に明記しておきましょう。規程の作り方は、以下の記事で詳しく紹介しています。

スマホやPCを紛失した直後の緊急初動

手順1：社員はすぐに会社へ連絡する

目的

会社側が端末やアカウントを保護するための対応を開始できるようにします。

社員が行うこと

紛失した可能性に気づいたら、探し終わるまで待たずに、上司、総務担当者、情報セキュリティ責任者などへ連絡します。勤務時間外でも連絡できる電話番号やメールアドレスを決めておくことが重要です。

最初に聞き取る内容

確認項目	聞き取り例
紛失したもの	スマホ、PC、タブレット、USBメモリ、社員証
最後に確認した日時	発覚日当日の午前8時ごろ
最後に使用した場所	電車、駅、飲食店、取引先
端末の識別情報	資産番号、機種、色、電話番号
端末の状態	電源オン、スリープ、電源オフ、不明
ロックの有無	PIN、パスコード、生体認証
保存情報	顧客資料、メール、ダウンロードファイル
利用サービス	Microsoft 365、Google Workspace、VPNなど
盗難の可能性	バッグごと持ち去られた、置き忘れた
一緒に紛失したもの	メモ、鍵、パスワードを書いた紙、社員証

完了条件

手順2：経営者と対応責任者へ報告する

誰が何を判断し、誰が実際の操作をするかを明確にします。

専任担当者がいない会社では、次のように役割を分けると動きやすくなります。

役割	主な対応
紛失した社員	状況説明、交通機関や警察への問い合わせ
上司	行動経路と業務内容の確認
総務担当者	資産台帳、電話番号、通信契約の確認
システム管理者	端末ロック、アカウント保護、ログ確認
外部IT業者	管理画面の操作支援、技術調査
経営者	対応方針、対外報告、公表の判断
個人情報管理担当者	個人情報保護委員会への報告要否の確認

人数が少ない会社では、一人が複数の役割を兼任することになると思います。

ただし、遠隔消去や対外公表のような影響の大きい判断は、担当者個人に任せず、経営者またはあらかじめ指定した責任者が承認しましょう。

紛失した端末の資産番号、利用者、機種、保存情報をすぐ確認するには、日頃からIT資産台帳を整備しておく必要があります。IT資産台帳に記録する項目や棚卸し方法は、以下の記事をご覧ください。

手順3：端末を遠隔ロックし、位置を確認する

MDM（モバイルデバイス管理）を導入している場合は、管理画面から端末のロック、紛失メッセージの表示、位置確認、音の再生、会社データの削除、端末全体の初期化などを行える場合があります。機能はOS、管理方式、契約プラン、事前設定によって異なります。

Microsoft Intuneでは、管理対象デバイスに対してロック、検索、紛失モード、ワイプなどのデバイスアクションが提供されています。Appleの管理対象端末では、監視対象のiPhoneやiPadについて、管理者が管理対象紛失モードを有効にし、ロック画面へ連絡先を表示したり、位置情報を要求したりできます。

注意 位置情報が表示されても、社員だけで回収に向かわせないでください。盗難や犯罪の可能性がある場合は、警察へ相談しましょう。

手順4：通信回線と業務アカウントを保護する

端末が操作された場合でも、電話回線やクラウドサービスを悪用されにくくします。
状況に応じて、次の対応を実施します。

すべての社員のパスワードを一斉に変える必要があるとは限りません。まず、紛失端末で利用していたアカウントと、端末に保存されていた可能性がある認証情報を特定します。

外部IT業者への質問例

外部IT業者に依頼している場合は次の質問をしてみましょう。

端末を紛失した際は、パスワードの変更だけでなく、多要素認証の登録端末やアカウントの復旧方法も確認する必要があります。日頃のパスワード管理と多要素認証の整備方法は、以下の記事で解説しています。

手順5：遠隔消去は責任者が判断する

遠隔消去、ワイプとは、端末内のデータや設定を遠隔操作で削除することです。Microsoft Intuneのワイプは、端末を工場出荷時の状態へ戻し、個人および組織のデータ、アプリ、構成を削除する操作です。Appleも管理対象端末のリモートワイプを案内しています。

ただし、遠隔消去を最初の操作にすると、位置確認や回収のための情報が得にくくなる、端末内にしかない業務データが失われる、調査情報を確認できなくなるなどの問題が起きることがあります。

盗難の可能性が高い、機密情報を端末内に保存している、ロックが弱いなどの場合は、回収より情報保護を優先して早期の消去を検討します。

手順6：警察、交通機関、店舗へ届け出る

置き忘れの可能性がある場合

• 鉄道会社やバス会社の遺失物窓口
• タクシー会社
• 飲食店や宿泊施設
• 訪問先企業
• 駅や施設の管理事務所

など自分が忘れた可能性があるところに連絡を入れてみましょう。

盗難の可能性がある場合

警察へ相談し、必要に応じて盗難届を提出します。端末の位置が表示されても、社員が単独で取り戻しに行くことは避けてください。

紛失端末に入っていた情報を確認する

「端末に保存していないから安全」とは限らない

会社のスマホやPCを紛失したときは、端末本体に重要な情報が保存されていないかを確認します。

ただし、端末内にデータが保存されていなければ安全とは限りません。

Microsoft 365やGoogle Workspaceなどを利用している場合、紛失した端末からクラウドサービスへログインされ、メールやファイルを閲覧される可能性があるためです。

そのため、次の2つに分けて確認しましょう。

1．端末内に保存されていた情報を確認する

まずは、紛失したスマホやPC本体に、重要な情報が残っていなかったかを確認します。

端末に保存されていた情報については、**「どのような情報が、何件程度保存されていたか」**を可能な範囲で確認します。

2．端末からアクセスできたサービスを確認する

次に、紛失した端末からログインできたサービスを確認します。

ブラウザーやアプリにログイン状態が残っていると、端末のロックを解除した第三者がサービスへアクセスできる可能性があります。

対象となるサービスについて、次の対応を行います。

• ログイン履歴に不審なアクセスがないか確認する
• 紛失した端末のログイン状態を解除する
• アカウントのパスワードを変更する
• 必要に応じてアカウントを一時停止する

情報漏えいの危険度を判断する

端末内の情報とアクセス可能だったサービスを確認したら、情報漏えいの危険性を判断します。

確認項目	確認する内容	判断のポイント
保存情報	個人情報、顧客情報、機密情報が保存されていたか	情報の種類と対象人数
認証情報	ID、パスワード、証明書が保存されていたか	第三者がサービスへログインできるか
端末のロック	PIN、パスワード、生体認証が設定されていたか	第三者が端末を操作できる状態か
暗号化	BitLockerやFileVaultなどが有効だったか	保存データが保護されているか
アクセス履歴	紛失後に不審なログインがないか	第三者による利用の形跡があるか
端末の管理状態	MDMに登録され、遠隔操作ができるか	遠隔ロックやデータ消去を実行できたか

分からない情報も「調査中」として記録する

紛失直後は、端末にどのような情報が保存されていたか分からないこともあります。

その場合に、確認できていない情報を推測で「保存されていなかった」「対象者は0人」と判断してはいけません。

次のように、確認状況をそのまま記録しましょう。

• 保存されていた個人情報の件数：調査中
• 顧客情報の有無：利用者へ確認中
• 紛失後のアクセス：ログを確認中
• 端末の暗号化：管理担当者へ確認中

確認できた内容だけでなく、まだ確認できていない内容も記録しておくことが、その後の報告や対応漏れの防止につながります。

個人情報保護委員会への報告は必要か

端末を紛失したすべてのケースで、個人情報保護委員会への報告が必要になるわけではありません。ただし、報告対象となる「おそれ」があるかを確認する必要があります。民間事業者では、次のいずれかに該当する個人データの漏えい等またはそのおそれがある場合、報告義務の対象となります。

報告対象の場合、速報は事態を知ってから速やかに行います。個人情報保護委員会の案内では、法令上の「速やかに」の目安として概ね3日から5日以内が示されています。確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内です。本人への通知も必要になる場合があります。

判断に迷う場合は、個人データの種類、対象人数、暗号化、パスコード、盗難可能性、遠隔ロック・消去結果、アクセス痕跡、端末回収状況を整理し、個人情報保護委員会の窓口、所管省庁、弁護士などへ相談してください。

取引先や顧客への報告はいつ行うか

取引先への連絡は、事実関係を確認せずに急いで送るのではなく、次の点を整理して責任者が判断します。

初回連絡に含める項目

顧客に連絡する場合は次の項目を含めるようにしましょう

スマホやPCの紛失を放置すると企業にどんなリスクがあるのか

会社のスマホやPCを紛失しても、必ず情報漏えいが起きるわけではありません。画面ロックや端末の暗号化が有効で、第三者によるアクセスが確認されないこともあります。しかし、「そのうち見つかるだろう」と対応を先送りすると、端末だけでなく、メール、クラウドサービス、顧客情報などへ被害が広がる可能性があります。

IPAは、情報セキュリティインシデントによる影響として、不正送金、金銭要求、調査・復旧費用、代替品の購入費用、取引先や顧客への対応費用、信用低下、事業停止による機会損失などを挙げています。

1. 顧客情報や社員情報を見られるリスク

スマホやPCに顧客名簿、見積書、契約書、社員情報などが保存されている場合、第三者に閲覧される可能性があります。端末内へ直接保存していなくても、メール、クラウドストレージ、チャット、顧客管理システムへ自動ログインできる状態なら注意が必要です。放置する時間が長いほど、第三者が業務情報へアクセスできる機会も残り続けます。

2. メールやチャットを悪用されるリスク

会社のメールやチャットを利用できる状態では、第三者が社員になりすまし、振込先変更、送金依頼、パスワードの聞き出し、不審なURLの送信などを行う可能性があります。会社の正規アドレスから送られることで、受信者が信用してしまう点にも注意が必要です。

3. 他の業務システムへ侵入されるリスク

VPN、電子証明書、保存済みID・パスワード、多要素認証アプリ、リモートデスクトップ接続先などが端末に残っていると、一台の紛失が他システムへの侵入につながる可能性があります。回線を止めてもWi-Fi通信は利用できるため、業務アカウントも確認します。

4. 多要素認証を突破されるリスク

紛失したスマホ自体が認証手段になっている場合があります。認証アプリの承認通知、SMSやメールの確認コード、パスワード管理アプリ、パスワード再設定機能を利用できないか確認し、必要に応じて紛失端末を認証方法から削除します。

5. 不正送金や金銭的被害につながるリスク

オンラインバンキング、決済サービス、会計システムへアクセスできる場合、直接的な金銭被害につながる可能性があります。被害が発生しなくても、代替端末、再発行、調査、復旧、顧客対応、専門家相談、社内対応の人件費が発生します。

6. 取引先との契約に違反するリスク

秘密保持契約や業務委託契約では、事故の速やかな報告、原因・影響範囲の調査、再発防止策の提出などが定められている場合があります。紛失だけでなく、社内報告や取引先への連絡の遅れが問題になることもあります。

7. 個人情報保護法上の対応が遅れるリスク

個人データを含む端末の紛失では、個人情報保護委員会への報告や本人通知が必要になる場合があります。社内連絡が止まると、保存情報や暗号化などの確認、報告要否の判断にも着手できません。

8. 原因や影響範囲を調査できなくなるリスク

報告が遅れると、ログイン履歴、ファイル閲覧履歴、VPN接続、MDM最終接続、ロック操作などの確認が難しくなります。完全な情報がそろうまで待たず、確認できた内容から時系列で記録します。

9. 取引先や顧客からの信用を失うリスク

信用に影響するのは紛失そのものだけでなく、その後の対応です。保存情報、端末管理状況、アカウント停止時刻、再発防止策を説明できない状態は、管理体制への不信につながります。

10. 被害が別の社員や取引先へ広がるリスク

過去のメールや連絡先を利用し、実在する担当者や取引内容を使った不審な連絡が送られる可能性があります。二次被害が想定される場合は、事実と調査中事項を区別しながら、社内や取引先への注意喚起も検討します。

放置によってリスクが大きくなりやすい状態 画面ロックや暗号化がない、顧客情報を端末内へ保存している、ブラウザーへパスワードを保存している、管理者権限のアカウントへログインしている、多要素認証に使用している、MDM未登録、社員証や鍵も同時に紛失した、盗難の可能性がある、といった場合は優先度を上げて対応します。

「見つかるかもしれない」と「何もしない」は分けて考える

端末を探すことと、情報を守ることは両立できます。交通機関や店舗へ問い合わせながら、遠隔ロック、回線停止、セッション失効、多要素認証の確認、VPNや電子証明書の無効化、保存情報とアクセスログの確認、対応記録を並行して進めます。会社のスマホやPCを紛失したときは、「見つかる可能性があるか」ではなく、「第三者が利用できる状態を残してよいか」という視点で判断してください。

よくある失敗と勘違い

1. 社員が自分で探し続け、会社への連絡が遅れる

紛失の可能性に気づいた段階で連絡するルールにします。

2. 電話回線だけを止めて対応を終える

Wi-Fi経由でクラウドサービスへアクセスできる場合があります。業務アカウント、VPN、証明書も確認します。

3. パスワードがあるから安全だと判断する

パスワードの強度、ログイン中のアプリ、暗号化、保存情報によって状況は異なります。

4. すぐに遠隔消去し、調査情報を失う

遠隔消去は有効ですが、位置確認や調査との順番を決め、責任者の承認を経て実行します。

5. MDMの契約はあるが、操作できる人がいない

管理者の連絡先、操作権限、操作手順、代替担当者を確認します。

6. 警察への届出だけで社内対応を終える

警察や遺失物窓口への届出と、情報セキュリティ上の対応は別です。

7. 対応記録を残していない

後から説明できるよう、いつ、誰が、何をしたかを一つの管理表へ集約します。

まとめ

社員が会社のスマホやPCを紛失したときは、「見つかるまで探す」のではなく、紛失の可能性に気づいた時点で会社へ連絡します。会社側は、状況の聞き取り、責任者への報告、端末ロック、回線とアカウントの停止、保存情報とアクセス履歴の確認、届出・対外報告の判断、対応記録、再発防止の順に進めます。

端末紛失以外にも、メール誤送信は中小企業で起こりやすい情報漏えい事故です。誤送信発覚後の社内報告、削除依頼、お詫びの手順もあわせて確認しておきましょう。

よくある質問

端末が数時間後に見つかった場合も記録は必要ですか？

必要です。どこで見つかったか、第三者が触れた可能性、ロック解除や不審なログインの有無を確認し、発覚から回収までの対応を記録してください。

端末にパスワードが設定されていれば、アカウント停止は不要ですか？

不要とは限りません。ログイン済みアプリ、保存パスワード、クラウド同期などを確認し、セッション失効やパスワード変更の要否を判断します。

個人情報が入ったPCを紛失したら、必ず個人情報保護委員会へ報告しますか？

すべての紛失が報告義務の対象になるわけではありません。情報の種類、人数、盗難の可能性、不正利用のおそれなどから判断します。

外部IT業者へすべて任せてもよいですか？

技術操作は依頼できますが、遠隔消去、取引先への報告、行政機関への報告などの判断は、経営者や社内責任者が状況を把握して行います。