Digital Incident Management 第三話 戻ってきたPC、消えなかった責任
第三話 戻ってきたPC、消えなかった責任
午後三時十二分。
黒木厳の携帯電話が鳴った。
情報セキュリティ担当の佐伯からだった。
「黒木さん、進展がありました。警察から連絡があり、紛失していたノートPCが届けられたそうです」
黒木は、手元の資料から目を上げた。
「どこからですか」
「タクシー会社です。乗客が車内に置き忘れたものとして、運転手が会社へ持ち帰り、警察に届け出たとのことです。資産管理番号から、当社の端末であることも確認できています」
「端末は、まだ警察にあるのですね？」
「はい。会社の担当者が受け取りに行く手続きを進めています」
「分かりました。受領時刻、受領者、端末の外観、付属品の有無を記録してください。警察から聞いた経緯も、確認できた範囲で残しておく。戻ってきたからといって、すぐに通常業務へ復帰させないでください」
「承知しました」
通話を終えた黒木は、椅子の背にもたれた。
端末が見つかった。
それは確かに、よい知らせだった。
しかし、紛失していた間に何が起きたのかは、まだ分からない。タクシー会社から警察へ届けられたという経緯は、端末が戻ってきた理由を説明するものではあっても、紛失中の状態をすべて保証するものではなかった。
黒木は、インシデント対応表に新しい時刻を書き込んだ。
十五時十二分。端末発見の連絡を受領。
そして、その下に一行を加えた。
――技術的な調査は継続。
端末が戻ったことと、事故対応が終わったことは、同じではない。
＊
午後四時過ぎ、端末は警察から会社へ戻ってきた。
受け取りを担当した田辺が、佐伯とともに会議室へ入ってきた。ノートPCは専用の保管袋に入れられ、机の中央に置かれていた。
「外観上、目立った破損はありません。付属品については、もともと本体のみを持ち出していたとのことで、照合できています。警察からは、タクシー車内で発見されたと説明を受けました」
田辺が報告した。
「ありがとうございます。受領記録と、警察から説明を受けた内容を保存してください。分からないことは、推測で補わなくて構いません」
黒木は端末を見た。
薄い筐体。傷の少ない天板。社員が日常的に持ち歩いていた、ありふれた業務用ノートPCだった。
この小さな機械が、今日一日、会社の複数の部署を動かしていた。
「では、セキュリティチームで状態を確認してください。調査が終わるまでは、社員へそのまま返却しないこと。端末の状態やログを確認し、必要な証拠を保全してから、再利用できるか判断しましょう」
佐伯が頷いた。
「端末管理システムでは、最後に通信した時刻が昨夜の二十一時四十七分でした。その後の通信は確認できていません」
「その記録だけでは、端末が使用されていなかったとは断定できませんね」
「はい。ネットワークに接続していなかった可能性もあります。端末側で取得できる記録と、ネットワーク側の記録、クラウドサービス側の監査ログを照合します」
「お願いします。MACアドレスの登録状態も、変更前後の記録を残してください。登録を無効化したことと、過去の記録を削除することは別です」
「すでに変更手順と担当者、時刻を記録しています。接続制御が想定どおりに働いたかも確認します」
黒木は一度だけ頷いた。
「では、調査を進めてください。結果が出たら、確認できた事実と、確認できなかった範囲を分けて報告してください」
＊
午後五時四十分。
佐伯から、最初の調査報告が届いた。
黒木は会議室に戻り、資料を広げた。
「まず、ネットワーク側です。該当端末の登録状態を確認し、必要な接続制御を実施しました。変更後の状態も記録しています。今回確認できた範囲では、紛失後に当社の管理対象ネットワークへ接続したことを示す記録は見つかっていません」
「クラウド側は？」
「Microsoft 365とGoogle Workspaceの両方について、対象社員の利用状況を確認しました。取得できる監査ログとサインイン履歴を照合しています。現時点で、紛失した端末に関連すると考えられる不審なアクセスや、通常と異なる認証の成功を示す記録は確認されていません」
「通常と異なる認証の失敗については？」
「複数回の失敗があれば、本人の操作ミスや別の端末からの試行も含めて確認する予定でした。現時点では、今回の紛失に関連すると判断できる異常な試行は確認されていません。ただし、ログごとに取得できる項目や記録期間が異なるため、調査範囲は報告書に明記します」
黒木は、資料のページをめくった。
「端末そのものの状態は？」
「外観上の異常はありません。端末管理の記録も確認しています。業務データは原則クラウドに保存する運用で、ローカルへの保存は制限しています。ただし、一時ファイルやキャッシュなど、端末内に情報が残る可能性まで一律に否定することはできません。必要な確認を進めています」
「Windows Helloの指紋認証は？」
「設定されていることは確認できています。ただし、それだけで、紛失中の端末やクラウド側のセッションがすべて安全だったと証明できるわけではありません。関連する認証状態も確認しています」
黒木は資料を閉じずに、しばらく考えた。
「現時点で、不正アクセスや情報漏えいを示す事実は確認されていない。そこまでは言えますね」
「はい」
「ただし、調査対象と確認できた範囲を明示する。『絶対に何も起きなかった』とは書かないでください」
佐伯は頷いた。
「承知しました。ログの取得範囲、確認した期間、調査上の制約を含めて最終報告にまとめます」
黒木は窓の外に目を向けた。
端末は戻ってきた。
接続制御も実施した。
クラウド側の記録にも、現時点で不審なアクセスは見つかっていない。
それでも、危機管理において重要なのは、安心できる結論を急ぐことではなかった。確認できたことを確認できたと言い、確認できないことを確認できないと記す。その境界を守ることだった。
「では、最終報告をお願いします。法務と広報にも共有できる形にしてください」
＊
午後六時二十分。
広報部の三浦が、修正したプレスリリースの原案を持ってきた。
「調査結果を反映しました。現時点で確認できている事実と、実施した対応を分けています」
黒木は文面を読んだ。
「当社貸与のノートPC一台が一時所在不明となりましたが、警察への届出を経て、当該端末を回収いたしました。関連するアクセスログ等を調査した結果、現時点で、不正アクセスや情報漏えいを示す事実は確認されておりません。今後も必要な確認を継続し、端末管理と紛失時の対応手順について点検を行います」
簡潔で、誇張がない。
「技術的な内容は、これでいいと思います。ただし、公表するかどうかは、法務と経営陣の判断も必要です。公表が必要となる法令上の要件や、顧客・取引先への説明が必要かどうかも確認してください」
三浦は頷いた。
「ウェブサイトでの公表を想定し、公開用の文面と掲載手順を準備します」
「お願いします。公表する場合は、確認済みの事実に限定すること。社内の個人名や、社員への処分に関する情報は含めないでください」
「承知しました」
黒木は文書を返した。
「それから、今回の対応で実施した措置については、社内向けの記録にも残してください。何を実施し、どのような結果を確認したのか。次に同じことが起きたとき、担当者が一から考え直さなくて済むように」
三浦が退出すると、黒木は時計を見た。
午後六時半。
復帰初日から、予定していた仕事は大きく組み替わった。それでも、事故対応の輪郭は見え始めていた。
＊
翌朝、黒木は人事・総務の担当者を呼んだ。
「紛失した社員への対応について、相談があります」
田辺が席に着いた。
「はい。本人からは、昨夜の会食後、タクシーを利用した可能性が高いと聞いています。会社としての聞き取りは、これからも必要でしょうか」
「必要な事実確認は続けてください。ただし、セキュリティ上の事実確認と、人事上の処分は分けて考えたい」
黒木は、調査報告の要点を説明した。
端末は回収された。アクセスログ等の確認では、現時点で不正アクセスや情報漏えいを示す事実は確認されていない。接続制御も実施され、再発防止に向けた見直しが必要な項目も整理できた。
「私からは、確認できた事実と、会社として改善すべき点を報告します。社員の行動について、就業規則上の問題があるかどうか、処分が必要かどうかは、人事・総務で適切に判断してください」
田辺は慎重に頷いた。
「本人の事情も確認し、就業規則と照らし合わせて検討します」
「お願いします。私は、処分を軽くしてほしいとも、重くしてほしいとも言いません。必要な事実は提供しますが、人事上の判断には踏み込みません」
黒木はそこで一度、言葉を切った。
「ただし、再発防止は別です。端末の持ち出しルール、紛失時の連絡手順、本人がすぐ報告できる仕組み。今回の事故から学べることは、必ず整理してください」
「分かりました」
田辺が退室すると、黒木は調査報告書に目を落とした。
社員を処分するかどうか。
それは、会社にとって無関係な問題ではない。しかし、CIOが技術的な事実と人事上の判断を混ぜてしまえば、事故調査そのものの公平性も損なわれかねない。
黒木は、担当すべき仕事と、他の部署に委ねるべき仕事を区別していた。
それは責任から逃げるためではない。責任の所在を曖昧にしないためだった。
＊
その日の午後、法務と広報を交えた確認会議が開かれた。
プレスリリースの文面は、技術調査の結果と整合していた。公表の必要性、顧客や取引先への影響、適用される報告・通知の要件についても確認が進められた。
最終的に、会社はウェブサイトで事実関係と対応を公表する方針を決めた。
掲載された文章は、長いものではなかった。
端末が一時所在不明になったこと。警察への届出を経て回収されたこと。関連するアクセスログ等の調査では、現時点で不正アクセスや情報漏えいを示す事実が確認されていないこと。そして、端末管理と紛失時の対応手順を点検すること。
余計な言い訳も、必要以上の断定もなかった。
公表後、広報部から問い合わせ状況が報告された。現時点で、追加の説明を求める連絡は限定的だった。
黒木は、公開された文面を一度だけ読み直し、ブラウザーを閉じた。
「これで終わりですね」
佐伯が尋ねた。
「このインシデントの初動対応は、終結に向けて整理できます。ただし、再発防止策の実施と、その効果の確認は別です。そこまで完了したことにしてはいけません」
「分かりました」
「今回の対応で、何が有効で、どこに改善の余地があったのか。記録をまとめて、次回の訓練や手順書の改訂につなげてください」
佐伯は資料を抱え直した。
「今回、何も起きなかったからこそ、振り返りが大事なのですね」
「正確には、調査した範囲で、重大な異常を示す事実が確認されなかった。そういうことです。結果がよかったからといって、手順の確認を省いていい理由にはなりません」
黒木は、机の上に置かれた移行プロジェクトの進捗表に目を移した。
Microsoft 365からGoogle Workspaceへの移行は、まだ続いている。
端末紛失の対応で、一部の確認作業は調整された。しかし、移行そのものを止める必要はなかった。影響する作業と、継続できる作業を分け、責任者と記録を明確にしたからだ。
「では、移行判定会議を再開しましょう」
黒木は立ち上がった。
「事故対応で分かったことは、移行プロジェクトにも反映します。ただし、今回の端末紛失を理由に、関係のない作業まで一律に止めることはしません。確認したリスクに応じて、判断します」
佐伯が頷いた。
黒木は会議室へ向かった。
一台のノートPCは、持ち主のもとへ戻った。
アクセスログ等の調査では、現時点で不正アクセスや情報漏えいを示す事実は確認されなかった。社員への人事上の判断は、人事・総務へ委ねられた。会社としての説明も、必要な確認を経て行われた。
それでも、今回の出来事は無駄にはならなかった。
MACアドレスによる接続制御の確認。端末管理とクラウド認証の切り分け。アクセスログの保全。広報と法務の連携。そして、技術的な事故対応と人事上の判断を混同しないこと。
どれも、平時には目立たない仕事だった。
だが、危機が起きたとき、その地味な準備が組織を支える。
黒木は移行判定会議の資料を開いた。
今日もまた、予定表には新しい課題が並んでいた。
彼は、その一つ一つを確認し始めた。
危機管理とは、事件を大きく見せることではない。
起きたことを正確に把握し、必要な対応を行い、組織が次の一歩を踏み出せる状態に戻すことだ。
黒木厳の仕事は、まだ終わらない。
