東京都江戸川区の区立中学校で、教員が生徒や卒業生904人分の個人情報を保存した私物のSDカードを学校外へ持ち出し、鞄ごと紛失する事故が発生しました。
SDカードには、氏名や生年月日だけでなく、写真、成績、座席表、卒業証書、進路関係書類、学級通信、校内行事の写真などが保存されていました。
今回の事故で特に注目すべき点は、学校では私物のSDカードの使用が認められていなかったにもかかわらず、実際には個人情報を保存できてしまったことです。
「私物メディアの使用は禁止する」と規程に書き、職員へ注意喚起するだけでは、情報の持ち出しを完全には防げません。
筆者が情シス業務を担当している職場では、SKYSEA Client Viewを利用し、業務で使用するSDカードやUSBメモリなどを1つずつ管理台帳へ登録しています。
登録されていない私物のSDカードやUSBメモリ、個人情報を保存できるUSB接続機器については、端末へ接続しても利用できないように制御しています。
今回の事故を防ぐには、「使ってはいけない」という規程だけでなく、「未登録の機器は使えない」という技術的な対策が必要です。
本記事では、事故の概要とともに、筆者が実際に行っているSKYSEA Client Viewによるデバイス管理を例に、学校、自治体、一般企業の情シス担当者が実施すべき対策を解説します。
江戸川区立中学校で発生したSDカード紛失事故
江戸川区の公表内容によると、区立中学校に勤務する教員は、教材作成や書類作成の参考にするため、2025年12月ごろに生徒の個人情報を自身のSDカードへ保存しました。
その後、SDカードを鞄に入れたまま継続的に持ち歩いていたとされています。
2026年6月12日の夜、教員は知人と東京都内で飲食しました。
翌13日午前1時ごろ、SDカードの入った鞄を足元に置き、屋外のベンチで約50分間眠り込んだとされています。
その後、タクシーで帰宅し、自宅の鍵を開けようとした際に鞄がないことに気付きました。
教員は現地へ戻って捜索し、交番へ遺失物届を提出しましたが、江戸川区が公表した6月29日時点ではSDカードは発見されていません。
事故の概要は、次のとおりです。 項目 内容 発生組織 東京都江戸川区の区立中学校 紛失日時 2026年6月13日未明 区による公表 2026年6月29日 紛失物 私物のSDカードが入った鞄 対象者 生徒・卒業生904人 ファイル数 107件 データの作成期間 2014年度から2025年度 含まれていた情報 氏名、生年月日、写真、成績など 含まれていた文書 学級通信、座席表、卒業証書、進路関係書類、校内行事の写真など
江戸川区は事故の原因として、次の点を挙げています。
- 本来は使用を認められていない個人所有のSDカードを使用していた
- データを持ち出す際に管理職の許可を得ていなかった
- 持ち出したデータを適切に管理していなかった
区教育委員会は、対象者や保護者に対して説明と謝罪を行い、各学校へ個人情報の適正な管理を改めて周知しています。
問題は飲食後に鞄を紛失したことだけではない
今回の事故では、飲食後に屋外で眠り込んだことが注目されがちです。
しかし、情報セキュリティの観点では、鞄を紛失する前の段階に複数の問題があります。
私物SDカードへ個人情報を保存できた
学校では、私物SDカードの使用が認められていませんでした。
それでも、教員は私物SDカードへ個人情報を保存できています。
つまり、ルール上は禁止されていたものの、端末側では書き込みを止められていなかったと考えられます。
職員が規程を守ることは大前提です。
しかし、人の判断や注意だけに依存した管理には限界があります。
USBメモリやSDカードへの保存を禁止するのであれば、校務端末側でも未登録メディアへの書き込みを禁止し、規程とシステムの両方で制御する必要があります。
12年度分のデータが保存されていた
紛失したSDカードには、2014年度から2025年度までに作成された情報が保存されていました。
対象者が904人まで広がった背景には、長期間にわたってデータが蓄積されていたことがあります。
教材や書類を作成するための参考資料であっても、過去の生徒の氏名、写真、成績、進路関係書類を私物メディアへ長期間保存し続ける必要があったのか、定期的な確認が必要です。
情報は、保存しているだけでも漏えいリスクになります。
利用目的がなくなったデータを削除する「データ最小化」や「保存期間管理」も、重要な情報漏えい対策です。
持ち出し申請と実際の操作が連動していなかった
教員は管理職の許可を得ず、個人情報を学校外へ持ち出していました。
申請書や承認手順を用意していても、承認を得なくてもデータをコピーできる状態では、無許可持ち出しを完全には防げません。
理想的なのは、持ち出し申請とデバイス制御を連動させることです。
承認された職員、端末、記録媒体、利用期間に限って書き込みを許可し、承認期限を過ぎたら再び利用できない状態へ戻します。
筆者の職場ではSKYSEAで記録媒体を管理しています
筆者が情シス業務を担当している職場では、SKYSEA Client Viewを利用して、USBメモリやSDカードなどの外部記録媒体を管理しています。
筆者はSKY株式会社とシステムを利用している以外に何の関係もありません。
しかし、このシステムはひとり情シスにとって「お助けツール」として便利に活用しているので、紹介させて頂きます。
具体的には、業務で使用を認める記録媒体を1つずつSKYSEA Client Viewの管理台帳へ登録しています。
登録された組織管理のデバイスだけを利用可能とし、登録されていない機器は利用できない設定にしています。
対象は、一般的なUSBメモリだけではありません。
次のような、データを保存できる機器も管理対象として考える必要があります。
- USBメモリ
- SDカード
- microSDカード
- 外付けHDD
- 外付けSSD
- USB接続のカードリーダー
- デジタルカメラ
- ボイスレコーダー
- スマートフォン
- その他、USB接続時に記憶媒体として認識される機器
USB端子に接続する機器であっても、マウスやキーボードのようにデータ保存ができない機器と、USBメモリやカメラのように大量のデータを保存できる機器ではリスクが異なります。
そのため、単に「USBポートをすべて禁止する」のではなく、デバイスの種類や個体を識別し、業務に必要な機器だけを許可する運用にしています。
「使ってはいけない」から「使えない」へ変える
この運用の重要な点は、職員の注意力だけに依存しないことです。
規程で私物USBメモリの使用を禁止していても、端末へ接続して普通に読み書きできる状態であれば、誤って使用したり、ルールを理解していない職員が使用したりする可能性があります。
一方、SKYSEA Client Viewで未登録デバイスを利用できないようにしておけば、職員が私物のUSBメモリやSDカードを接続しても、業務データをコピーできません。
つまり、次のように対策を変えられます。 規程だけの運用 デバイス制御を導入した運用 私物メディアを使わないよう職員へ依頼する 未登録メディアはシステム上利用できない 違反があっても事故後まで分からない 接続や利用を検知し、ログを確認できる どの媒体が使用されているか把握しにくい 登録済み媒体を管理台帳で把握できる 職員の注意力に依存する 端末側の設定で強制できる
今回の江戸川区の事故でも、私物SDカードへの書き込みが端末側で禁止されていれば、個人情報904人分が私物SDカードへ保存される段階で止められた可能性があります。
SKYSEA Client Viewでできるデバイス管理
SKYSEA Client Viewのデバイス管理機能では、USBメモリ、外付けHDD、SDカードなどの利用を組織のポリシーに合わせて制限できます。
主な設定は、次の3段階です。 設定 動作 使用可能 読み取りと書き込みを許可する 読み取り専用 ファイルの読み取りは許可するが、書き込みは禁止する 使用不可能 デバイス自体を利用できないようにする
すべての記録媒体を一律に禁止するだけでなく、特定のデバイスだけを使用可能にする設定もできます。
部署別、ユーザー別、端末別など、組織の運用に合わせて利用範囲を設定できるため、次のような運用が考えられます。
- 原則として外部記録媒体は使用不可能
- 情報システム部門が登録した媒体だけ使用可能
- 一般職員は読み取り専用
- 特定業務の担当者だけ書き込み可能
- 一時的な利用は期限を定めて許可
- 個人情報を扱う端末では全面的に使用禁止
SKYSEAへUSBメモリやSDカードを登録する運用例
実際の組織では、製品の設定だけでなく、登録から廃棄までの運用を決めておく必要があります。
筆者の職場で行っている個体登録の考え方を基にすると、次のような流れになります。
1．業務上必要な記録媒体を洗い出す
最初に、どの業務でUSBメモリやSDカードが必要なのかを確認します。
単に「以前から使っている」という理由だけで許可するのではなく、ファイルサーバー、組織管理のクラウド、共有フォルダーなどで代替できないかを検討します。
外部記録媒体を使わなくても業務を行える場合は、原則として使用を廃止します。
2．組織所有の媒体を用意する
業務上どうしても必要な場合は、私物メディアを使用させるのではなく、組織が購入した媒体を貸与します。
媒体には管理番号を付け、少なくとも次の項目を台帳で管理します。
- 管理番号
- デバイスの種類
- メーカー名
- 製品名
- 容量
- シリアル番号などの識別情報
- 利用部署
- 利用者
- 利用目的
- 貸出日
- 返却予定日
- 暗号化の有無
- 廃棄日
本体へ管理番号のラベルを貼っておくと、SKYSEA Client View上の登録情報と実物を照合しやすくなります。
3．SKYSEA Client Viewの管理台帳へ登録する
使用を許可するUSBメモリやSDカードを端末へ接続し、SKYSEA Client Viewのデバイス管理台帳へ登録します。
SKYSEA Client Viewは、USBデバイスのシリアル番号やデバイスインスタンスIDなどの情報を基に、登録済みデバイスかどうかを判定します。
登録済みのデバイスは使用可能とし、登録されていないデバイスは使用不可能に設定します。
これにより、同じメーカー、同じ容量、同じ型番のUSBメモリであっても、登録した個体だけを許可できます。
4．利用できる部署やユーザーを限定する
登録したUSBメモリを全職員が使える状態にする必要はありません。
例えば、次のように利用範囲を絞ります。
- 特定部署だけ使用可能
- 特定ユーザーだけ使用可能
- 特定端末だけ使用可能
- 読み取りだけ許可
- 承認された期間だけ使用可能
組織所有のUSBメモリであっても、必要のない職員まで利用できる状態では、情報持ち出しのリスクが残ります。
デバイスの個体登録と、利用者・端末の制限を組み合わせることが重要です。
5．未登録デバイスを使用不可能にする
許可する機器の登録が完了したら、未登録のUSBメモリ、SDカード、外付けドライブなどを使用不可能にします。
この設定により、職員が私物メディアを接続しても、データを読み書きできません。
ただし、いきなり全面禁止すると、現場で使用している業務機器まで止まる可能性があります。
本番適用前に、次の機器を確認しておく必要があります。
- 業務用USBメモリ
- SDカードリーダー
- デジタルカメラ
- ICレコーダー
- 複合機
- スキャナー
- 測定機器
- バックアップ装置
- USBライセンスキー
- スマートフォン
- その他のUSB接続機器
USB接続機器は、見た目や用途だけでは、Windows上でどの種類のデバイスとして認識されるか分からない場合があります。
必ず実機を接続し、制御後も必要な業務が行えるか確認します。
個体登録時に注意したいシリアル番号の問題
SKYSEA Client Viewでは、USBデバイスのシリアル番号などを基に利用可否を判定します。
ただし、USBメモリのシリアル番号が必ず世界で一意であるとは限りません。
製品によっては、複数のUSBメモリに同じシリアル番号が設定されている場合があります。
また、SDカードや一部のUSBメモリでは、個体識別に利用できるシリアル情報を持たない場合があります。
そのため、「SKYSEAへ登録したから同じ機器だけが許可されるから大丈夫」と考えずに次の確認が必要です。
- 実際に登録した個体だけが利用できるか
- 類似型番の別個体が利用できないか
USBメモリへのファイルコピーをログで確認する
デバイス制御は、未登録機器を使わせないための対策です。
一方、登録済みのUSBメモリがどのように使用されたかを確認するには、操作ログが必要です。
SKYSEA Client Viewでは、USBメモリの使用履歴をデバイス固有の情報とともに記録し、どのUSBメモリへ、どのファイルがコピーされたかを追跡できます。
万が一、組織管理のUSBメモリを紛失した場合でも、ログから次の情報を確認できる可能性があります。
- 誰が使用したか
- どの端末で使用したか
- いつ接続したか
- どのUSBメモリを使用したか
- どのファイルをコピーしたか
- 最後にどのようなファイルが保存されていたか
情報漏えい事故が発生したときは、「何人分の、どの情報が入っていたか」を早急に特定しなければなりません。
操作ログを取得していなければ、紛失した媒体に何が保存されていたかを職員の記憶や自己申告だけで調査することになります。
デバイス制御と操作ログを組み合わせることで、事故の予防だけでなく、事故発生後の影響範囲調査にも役立ちます。
登録済みデバイスも定期的に棚卸しする
USBメモリやSDカードを一度登録しただけでは、適切な管理とはいえません。
利用者の異動、退職、機器の故障、紛失などによって、台帳と実物が一致しなくなることがあります。
定期的に次の項目を確認します。
- 登録済みデバイスが実在するか
- 登録上の利用者が現在も所持しているか
- 業務上の利用目的が残っているか
- 不要なデータが保存されていないか
- 暗号化が有効か
- 紛失や故障が報告されていないか
- 廃棄済み機器が利用可能なまま残っていないか
利用目的がなくなったデバイスは、保存データを消去したうえで回収し、SKYSEA Client View上の許可設定も解除します。
文部科学省のガイドラインでも記録媒体の管理を要求
文部科学省の「教育情報セキュリティポリシーに関するガイドライン」では、教職員が利用する端末や電磁的記録媒体について、紛失、盗難、情報漏えいを防ぐための対策を規定するよう求めています。
また、電磁的記録媒体に保存する必要がなくなった情報は、速やかに消去することが示されています。
記録媒体を使用する場合は、データ暗号化機能を備えた媒体を使用することも求められています。
今回の事故では、使用が認められていない私物SDカードが利用され、長期間の個人情報が保存されていました。
規程の策定だけでなく、規程を実際の端末設定へ反映させる必要があります。
暗号化だけでは無許可持ち出しを防げない
記録媒体を使用する場合は、BitLocker To Goなどによる暗号化も重要です。
暗号化されていれば、USBメモリや外付けドライブを紛失しても、第三者が保存データを読み取るリスクを低減できます。
ただし、暗号化だけでは無許可のデータコピーを防げません。
対策ごとの役割は、次のように異なります。 対策 主な役割 SKYSEAなどのデバイス制御 未登録のUSBメモリやSDカードを利用させない 利用者・端末制限 登録済みデバイスを必要な人だけに使わせる 操作ログ 誰がどのファイルをコピーしたか調査する DLP 個人情報や機密情報のコピーを検知・遮断する BitLocker To Go 紛失後に第三者がデータを読むことを防ぐ 申請・承認 利用目的と責任者を明確にする 棚卸し 台帳と実物の不一致を発見する
暗号化されたUSBメモリであっても、職員が許可なく大量の個人情報をコピーできる状態では、適切な管理とはいえません。
デバイス制御、暗号化、操作ログ、申請承認を組み合わせる必要があります。
校務データは管理された環境内で扱う
教材や書類を学校外で作成する必要がある場合、USBメモリやSDカードを利用するのではなく、組織が管理するクラウドサービスやリモートアクセス環境を利用する方法があります。
例えば、組織管理のMicrosoft 365やGoogle Workspaceなどでは、次のような対策を組み合わせられます。
- 利用者ごとのアクセス権設定
- 多要素認証
- 組織管理端末だけにアクセスを限定
- ファイル操作ログの保存
- 端末へのダウンロード禁止
- 外部共有の制限
- 退職・異動時のアクセス停止
- 保存期間や自動削除の設定
ただし、クラウドへ移行するだけで安全になるわけではありません。
個人アカウントや私物端末から自由にアクセスできる状態では、USBメモリとは別の情報漏えい経路が生まれます。
組織が管理するアカウント、端末、クラウドサービスの範囲内でデータを扱うことが重要です。
小規模組織でも実施できる対策
SKYSEA Client Viewや高度なDLP製品をすぐに導入できない組織でも、段階的な対策は可能です。
まず、次の内容から始めます。
- 現在使用しているUSBメモリやSDカードを棚卸しする
- 私物メディアに業務データが保存されていないか確認する
- 業務上必要な外部記録媒体を組織所有品に限定する
- 管理番号を付けて貸出台帳を作成する
- Windowsのグループポリシーで書き込みを制限する
- 必要に応じて読み取り専用にする
- 持ち出しを申請・承認制にする
- 許可媒体を暗号化する
- 不要になったデータを削除する
- 将来的に個体単位のデバイス制御を導入する
Active Directoryを運用している環境であれば、グループポリシーを利用して、リムーバブルディスクへの書き込みを禁止できます。
Microsoft IntuneやMicrosoft Defender for Endpointを利用している場合は、デバイス制御やEndpoint DLPを利用できるか確認するとよいでしょう。
規程、教育、技術、監査の4つが必要
情報セキュリティ事故が発生すると、再発防止策として「職員研修を実施する」「個人情報の適正な取り扱いを周知する」といった対応が示されることがあります。
研修や周知は必要です。
しかし、研修を受けた職員が必ずルールを守るとは限りません。
業務が忙しい、以前から同じ方法を使っていた、少しくらいなら問題ないと思ったなど、さまざまな理由で規程から外れた操作が行われる可能性があります。
必要なのは、次の4つを組み合わせることです。
- 規程：何を禁止し、どの手続きが必要かを定める
- 教育：職員へ理由とリスクを理解してもらう
- 技術：禁止された操作をシステム側で止める
- 監査：ログや棚卸しで運用状況を確認する
私物SDカードの利用を禁止しているのであれば、私物SDカードへ書き込めないように端末を設定する必要があります。
個人情報の無許可持ち出しを禁止しているのであれば、持ち出し操作を記録し、必要に応じて遮断できる仕組みが必要です。
「使わないでください」と依頼するだけでなく、「使えない状態」にすることが、現実的な再発防止策です。
まとめ
江戸川区立中学校で発生した事故では、本来使用が認められていない私物SDカードに、904人分の個人情報が保存されていました。
さらに、管理職の許可を得ないまま学校外へ持ち出され、鞄ごと紛失しています。
今回の事故から得られる最大の教訓は、「私物メディア禁止」と規程に書くだけでは、情報の持ち出しを防げないということです。
筆者が情シス業務を担当する職場では、SKYSEA Client Viewを使い、業務で使用するUSBメモリやSDカードなどを1つずつ登録しています。
登録された組織管理のデバイスだけを利用可能とし、私物のSDカードや未登録のUSB記憶機器は利用できないようにしています。
個体単位で登録する作業は必要ですが、許可された媒体を明確にでき、職員の注意力だけに頼らない情報漏えい対策になります。
情シス担当者は、次の対策を組み合わせる必要があります。
- USBメモリやSDカードを1つずつ管理台帳へ登録する
- 未登録の記録媒体を端末側で利用できないようにする
- 登録済み媒体も利用者や端末を限定する
- ファイルコピーの操作ログを保存する
- 持ち出しを申請・承認制にする
- 使用を許可する媒体を暗号化する
- 定期的に実物と台帳を棚卸しする
- 不要になった個人情報を速やかに削除する
- 校務データを管理されたクラウドや校務端末内に集約する
事故が起きるたびに「個人情報の取り扱いを改めて周知する」だけでは、同じ種類の事故が繰り返される可能性があります。
規程を作成するだけでなく、その内容を端末の設定へ反映させ、規程に反する操作を実行できない環境にすることが重要です。
