知らない間に廃棄されたパソコンから情報漏えい！どう防ぐ？

問題点は「データ消去漏れ」だけではない

廃棄パソコンから個人情報や機密情報などの情報が漏えいする事案は決して珍しいものではありません。

その原因としては「データ消去漏れ」が挙げられることが多いですが、しばしば大事な点が見落とされてしまっています。「データ消去漏れがなぜ発生するのか」という本質的な原因に目を向けられていないのです。

「データ消去」に注目されがちな情報漏えい対策

東京商工リサーチの調査によると、2023年に発生した情報漏えい・紛失事故の総件数は175 件に達し、その中で漏えいした個人情報は4,090万人以上にのぼります。このうち、原因が「紛失・誤廃棄」による事故は15件でした。

※出典：株式会社東京商工リサーチ「2023年の「個人情報漏えい・紛失事故」が年間最多　件数175件、流出・紛失情報も最多の4,090万人分」

紛失・誤廃棄したパソコンはデータが消去されないままになってしまうことが多く、これが情報漏えいにつながります。

具体的なイメージを持っていただくために、以下では実際に発生したインシデントをご紹介し、情報漏えい事故の本質的な原因を考えていきます。

リース会社が起こした情報漏えい事故の本質的な原因は何か？

ある地方自治体で、PCリース終了後にデータ削除が行われず、重要情報が漏えいする事案が発生しました。この漏えい情報量は最大54TB、文庫本55万冊分に相当する膨大なもので、世界最大級の情報漏えい事件とされています。

問題の発端は、リース会社が不用品回収業者（産廃業者ではありません）に物理的破壊を依頼し、その後、委託先が一部ディスクを破壊せずにネットオークションで転売したことです。初期化だけではデータが復元可能で、落札者が復元して情報漏えいが発覚しました。

最もタチが悪いのは、言うまでもなく転売した再委託先の不用品回収業者の社員であり、自治体の職員からすれば「何をしてくれてるねん！」と憤りたくなるはず……。そして何より、情報漏えいの被害者である市民にとってたまったものではありません。

しかし、この事故の根本的な原因は廃棄管理を含むパソコンの物品管理が徹底されていなかったことにあります。管理の不備が情報漏えいを引き起こしたのです。

日頃使用していないパソコンが一番危ない

IT化が進んだ現在、パソコンの管理は企業にとって基本中の基本です。

「普段使っているパソコンの管理ができていないなんてありえないでしょう。我が社はそんなにテキトーな会社じゃないですよ！」

こんなふうに思っている情シス担当者がほとんどではないでしょうか。しかし、日々使用している社員のパソコンの管理はできていても、使用していないパソコンの管理が十分にできていないケースは珍しくありません。

普段使われていないパソコンは社内ネットワークに接続されていないため、セキュリティ意識が低くなりやすい傾向にあります。その結果、適切な管理がなされていないケースが多いのです。

要するに、適切に管理されていないと、「いつ」「誰が」「何台を」「どのように」廃棄したのかわからなくなってしまうということです。そのような状態で廃棄されたことに後々気付いても、文字通り「後の祭り」。悪意のある第三者の手に渡っていないことを祈るほかなくなります。

正規ルートを通さずに廃棄されてしまうリスクを防ぐには

使用されていないパソコンが知らないうちに廃棄されてしまうパターンのように、正規ルートを通さずに廃棄されるリスクを抑えるにはどうすれば良いのでしょうか？

たとえ廃棄業者を適切に選定したとしても、社内での管理が不十分だと、廃棄プロセスに問題が生じることがあります。重要なのは、日ごろから適切な管理を行うことで、管理をすべき資産だと社員全員が認識をし、「勝手に捨ててはいけない」と思えるような企業文化を作ることです。

そうすることで、情報漏えいリスクを最小限に抑え、組織全体のセキュリティを確保することができます。

「物品管理」ができていることが前提

パソコンの適切な管理とは、すなわち「物品管理」を徹底するということです。
パソコンの物品管理とは、「何台」のパソコンが「どこで」「誰に」使われているかを把握することを指します。

物品管理というと棚卸を連想することが多いですが、棚卸だけで管理を完了させることは、実際の現物を管理しているとはいえません。日頃からパソコンの所在をすることが重要です。

パソコンの物品管理においては、以下のように購入、移動・貸出、棚卸、そして廃棄に至るまでのライフサイクルごとに管理を徹底することが求められます。

1台だけでも把握できていないとリスクは残る

上図のようなライフサイクル全体を通してパソコンの物品管理を行う必要がありますが、まずは使っていないパソコンだけでもしっかりと管理することから始めることが大切です。

仮に、組織全体で1千台のパソコンを管理しているとして、999台の管理は完璧だとしても、1台だけ把握できていないパソコンがあれば、そこから情報漏えいが発生するリスクが生じる可能性があります。すべてのパソコンを理想的に管理することが望ましいですが、作業の負担を考えると実現が難しい場合もあるでしょう。

そのため、まずは使っていないパソコンの管理を徹底することから始めるのが効果的です。使われていないパソコンは、最新のOSやソフトウェアのセキュリティアップデートが適用されていないことが多く、管理が緩んで誰かに不正に使用される可能性が高まります。これらのパソコンをしっかり管理することで、セキュリティの穴を効率的に塞ぎ、リスクを大幅に減らすことができます。

すべてのパソコンを徹底的に管理するには、多くの費用や手間、時間がかかりますが、情報漏えい事案が発生した際の損害や信用の低下を考えると、必要なコストといえます。まずは使っていないパソコンから管理を始め、物品管理システムの導入など、段階的に投資を検討していくのも1つの方法です。

まとめ：徹底した物品管理が廃棄パソコンの情報漏えいリスクを防ぐ

ここまで解説したように、パソコンの物品管理においては、使用していないパソコンも含むすべてのパソコンに対して徹底した管理を行う必要があります。

セキュリティ強化と情報漏えいリスクの抑制を図るためには、管理の目が届きにくいパソコンも放置せず、抜け漏れのない管理体制を整えることが求められます。

特に、物品管理に基づいた確実な廃棄処理とデータ消去を徹底する管理体制を構築することは、将来のリスクを未然に防ぐ鍵となります。しっかりとした管理体制を築き、安全で信頼性の高いパソコン管理を実現しましょう。

この記事の監修者

古畑 剛（Furuhata Tsuyoshi）

代表取締役

株式会社アセットメントの代表取締役。 2013年10月の会社設立と共にサービスの提供を開始した「Assetment Neo」は、現在800社・80万人が導入している。