社用携帯を紛失したときの初動手順：遠隔ロック・回線停止・報告の順番とMDMの備え

社用携帯の紛失は、気づいてから数時間の動き方で被害の大きさが変わります。とくに迷いやすいのが、キャリアの回線停止と遠隔ロックのどちらを先に出すかです。この記事では、社用携帯をなくした・紛失したと報告を受けた会社が当日に行う初動を実行順に並べ、個人情報保護委員会への報告が必要になる条件と期限、MDMで事前に用意しておく設定までを、企業の管理者向けに整理します。

まとめ：社用携帯の紛失はロックを回線停止より先に出し報告要否を当日中に判定する

紛失の第一報を受けたら、MDMから遠隔ロックか管理対象紛失モードを先に送り、そのあとでキャリアに回線の利用中断を申し出ます。回線を先に止めると、端末がWi-Fiにつながらない限りMDMの命令が届かなくなるためです。並行して、メールやチャットのセッションを無効にし、認証アプリの登録をやり直します。

個人情報保護委員会への報告は、端末に入っていた情報が報告対象の4類型に当たるかで決まります。紛失場所が社外か特定できなければ「漏えいのおそれ」として扱い、発覚から3〜5日以内の速報を前提に動きます。遠隔ロックが効くかどうかは、パスコードの強制と登録方式という事前の設定で決まっており、紛失してから整えることはできません。

社用携帯の紛失が発覚した当日に会社が行う初動の順番と担当者の役割分担

初動は、情報システム担当が端末とアカウントを、総務や法務が届出と報告を受け持つと分担しやすくなります。順番を誤ると取り返しがつかない作業があるので、実行順に説明します。

本人からの第一報で聞き取る項目と最後に端末を使った時刻の記録

第一報では、責めるより先に事実を集めます。後の報告書と判断の材料になるので、聞き取った内容はその場で記録してください。

• 紛失に気づいた日時と、最後に端末を操作した日時
• 最後に端末を使った場所と、その後の移動経路
• 画面ロックのパスコードを設定していたか
• 端末に保存していた情報（顧客の連絡先、写真、ダウンロードしたファイル）
• ログインしたままのアプリ（メール、チャット、ストレージ、業務システム）

最後に操作した時刻は、ログの確認範囲を決める起点です。社内で落とした可能性が残るのか、電車や店舗など社外なのかも、報告要否の判定に直結します。

遠隔ロックと管理対象紛失モードを先に出しワイプは後で判断する理由

最初に送るのは、データを消さずに端末を使えなくする命令です。Microsoft Intuneのリモートロックの説明では、置き忘れや不正使用の疑いがあるときに、ワイプや登録解除をせずに端末をロックする操作と位置づけています。

監視対象のiPhoneなら、管理対象紛失モードを使えます。Appleの管理対象紛失モードとリモートワイプの説明によると、有効にすると利用者はログアウトされ、端末のロックを解除できなくなる仕組みです。画面には管理者が設定した連絡先などのメッセージが出て、位置情報サービスがオフでも現在位置の送信を要求できます。拾った人が連絡してくる余地を残せるので、社用携帯ではワイプより先にこちらを選びます。

ワイプを後に回すのは、端末を初期化すると位置の確認や回収の手がかりがなくなるからです。盗難の疑いが強い、顧客情報が端末に残っている、ロック後も一定時間たって見つからない、のいずれかに当たった時点でワイプに切り替えます。位置情報をどこまで取れるかは社用携帯の位置情報はどこまで取れるかで整理しています。

キャリアの回線停止をMDMの命令より先にすると遠隔操作が届かない落とし穴

回線停止を急ぐ気持ちは自然ですが、順番が逆になると困ります。MDMのロックやワイプは、端末がネットワーク経由でサーバーと通信したときに実行されます。回線の利用を中断した端末は、Wi-Fiにつながらない限り命令を受け取れません。

NTTドコモの盗難・紛失／利用中断・再開の案内では、利用中断をWebか専用の電話窓口で24時間受け付けており、本人確認に契約者電話番号と4桁のネットワーク暗証番号を使います。同じ手続きのページから、連絡するだけで端末の画面にロックをかける「おまかせロック」も設定できる仕組みです。手順書には、MDMの命令を送って端末の応答を確かめてから回線を止める、という順番を書いておきます。法人契約は窓口や本人確認の方法が契約によって異なるので、契約先の法人窓口と暗証番号の保管場所も控えてください。

eSIMの扱いにも注意します。Intuneのデバイスをワイプする手順では、iOS/iPadOSのeSIM端末をワイプしても携帯データプランは既定で保持され、削除するには専用のオプションを選ぶ必要があります（2026年10月時点の記載）。ワイプしただけで回線が止まるわけではありません。

メールやチャットのセッション無効化と多要素認証を登録し直す作業

端末をロックしても、ログイン済みのアプリが持つセッションは別に生きています。Microsoft 365やGoogle Workspaceなど、社用携帯からサインインしていたサービスでは、管理画面から利用者のサインインセッションを無効にし、パスワードをリセットします。

見落とされやすいのが多要素認証です。社用携帯でSMSの確認コードや認証アプリを受けていた場合、端末を手にした人が本人として認証を通せる状態になっています。認証方法の登録から紛失した端末を外し、新しい端末で登録し直すまでが初動の範囲です。ここまで終えると、端末が戻らなくても業務アカウント側の被害は止まります。

警察への遺失届と見つかった社用携帯を業務に戻す前の初期化と再設定

社外で紛失した場合は、最寄りの警察署や交番に遺失届を出し、受理番号を控えます。拾得物として届けば連絡が来るほか、盗難が疑われる場合は被害届の相談にもつながります。届出の記録は、後の報告書で「いつ何をしたか」を示すための材料にもなるものです。

見つかった端末は、そのまま本人に返さないでください。紛失していた間に何をされたかは確認できないため、初期化してから再登録するのが安全です。業務用の設定を入れ直す作業は、新しい端末の準備と同じ手順になります。手作業と一括設定の違いはキッティングとは：PC設定の手順と外注判断で解説しています。

社用携帯の紛失で個人情報保護委員会への報告が必要になる条件と期限

社用携帯には顧客の連絡先やメールが入っていることが多く、紛失は個人データの漏えい等に当たる可能性があります。報告制度そのものは個人情報保護委員会への報告義務で詳しく扱っているので、ここでは端末紛失に絞って判定の手順を示します。

紛失場所が社外か特定できない端末を漏えいのおそれとして扱う根拠

個人情報保護委員会のガイドラインに関するQ&AのQ6-3は、個人データを記録したUSBメモリを紛失し、紛失場所が社内か社外か特定できない場合は、漏えい（又は漏えいのおそれ）に該当すると考えられるとしています。社内で紛失したままの場合は滅失（又は滅失のおそれ）の扱いです。

社用携帯も記録媒体として同じ考え方で判定します。電車や飲食店で落とした可能性が残る時点で、漏えいのおそれとして扱うのが前提です。Q6-2は、第三者に閲覧されないうちに全てを回収した場合は漏えいに該当しないとしていますが、その確認にはアクセスログ等の裏付けが必要です。端末が戻っても、閲覧されていないと示せなければ、おそれは消えません。

報告対象の4類型と社用携帯に入っている情報を照らし合わせる判定表

個人情報保護委員会の漏えい等の対応とお役立ち資料は、報告が必要な事態を4つに整理しています。社用携帯の中身に当てはめると次のようになります。

同じページは、不正の目的を持つ主体に従業者だけでなく盗難等の第三者も含むとしています。置き忘れか盗難かで類型が変わるため、第一報での状況の聞き取りがここで効いてきます。どれにも当たらない場合でも、社内の記録として判定の経緯を残してください。

暗号化と遠隔削除の機能があれば報告対象から外れうる条件と限界

報告対象からは、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものが除かれます。前述のQ&AのQ6-19は、第三者が見読可能な状態にすることが困難な暗号化等の技術的措置として、電子政府推奨暗号リストやISO/IEC18033等に掲載された暗号技術を挙げている記述です。そのうえで、暗号化した情報と復号鍵を分離して鍵の漏えいを防ぐこと、遠隔操作で暗号化された情報か復号鍵を削除する機能を備えること、第三者が復号鍵を使えない設計にすること、のいずれかを満たすよう求めています。

つまり、端末の暗号化とMDMの遠隔削除を事前に整えていた会社は、報告対象から外れる可能性があります。ただし最終的な判断は、個別の事情しだいです。パスコードを設定していなかった、端末外のストレージにファイルを保存していた、といった事情があれば前提が崩れます。迷ったら速報を出して、確報で状況を補う方針が無難です。

速報3〜5日と確報30日の期限と令和8年改正で見直される本人通知

漏えい等の対応とお役立ち資料のページでは、速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正の目的による事案は60日以内としています。前述のQ&AのQ6-24は、部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられるとしているので、社員が紛失に気づいた日が起算点になりえます。

2026年7月17日公布の改正法では、本人の権利利益の保護に欠けるおそれが少ない場合に本人通知を緩和するなどの見直しが示されています。施行は公布から2年を超えない範囲で政令が定める日で、それまでは現行の手順での対応が必要です。改正の全体像は個人情報保護法改正とは：令和8年改正で企業対応はこう変わるにまとめています。

紛失に備えて社用携帯のMDMで事前に用意しておく設定と手順書の中身

初動の速さは、紛失前の準備でほぼ決まります。MDMの設定と社内の手順書の両方を、紛失が起きる前に整えておきます。

パスコードの強制がない端末では遠隔ロックが画面を消すだけになる問題

Intuneのリモートロックのページは、この操作がパスコードかPINが設定済みの場合にのみ有効だと注意しています。パスコードが無いと画面がオフになるだけで、拾った人はそのまま端末を使える状態です。そのため、リモートロックを使う前にパスコードのポリシーを適用するよう案内しています。

パスコードの強制は、前述の報告対象外の条件にも関わります。全台にパスコードの最小桁数と自動ロックまでの時間をポリシーで配り、準拠していない端末は社内のメールに接続させない設定にしておくと、紛失時に「ロックが効かない端末だった」という事態を防げます。

監視対象のiPhoneやAndroid完全管理など登録方式で変わる紛失時の操作

同じMDMでも、端末の登録方式によって紛失時に使える操作が違います。IntuneとAppleの公式の記載をもとに並べると次のとおりです。

Appleの説明では、ユーザ登録を使っている場合はリモートワイプを実行できません。Intuneの廃止アクションの説明では、私物の仕事用プロファイル端末は廃止の対象で、仕事用プロファイルのデータとアプリと設定が削除されます。廃止が実行されるタイミングは、次回端末がチェックインしたときです。紛失時に端末全体を確実に消したい業務なら、会社支給で監視対象か完全管理に登録します。登録方式の選び方はMDMでiPhone・iPadを管理する方法とAndroid MDMで業務端末を管理する方法、私物端末の扱いはBYODとは：私物端末の管理範囲と費用負担で解説しています。

ワイプ権限を持つ担当者と夜間休日の連絡経路を手順書に書く方法

紛失は夜や休日にも起きます。Intuneでリモートロックとワイプを実行できるのは、ヘルプデスクオペレーターなどの組み込みロールか、該当する権限を持つカスタムロールのアカウントです。手順書には、このロールを持つ担当者を最低2人と、その連絡先を書いておきます。

ワイプは、2人目の管理者の承認を求めるアクセスポリシーの対象にできるとワイプのページに記載があります。承認を必須にしている会社では、夜間に承認者がつかまらずワイプが止まる場面を想定し、承認者の当番も決めておきます。社員側には「紛失に気づいたら何時でもこの番号へ」という1行を、端末の配布時に渡してください。

社用携帯の紛失対策を自社で回す条件と外部の保守運用に任せる判断

最後に、どこまで自社で整え、どこから外部に任せるかを言い切ります。

MDMを入れずキャリアの遠隔ロックだけに頼る運用を見送るべき条件

キャリアの遠隔ロックは、MDMが無くても使える点で手軽です。ただし、端末の画面を止めることはできても、ログイン中のアプリの管理や業務データだけの削除、パスコードの強制はできません。

次のいずれかに当たる会社は、キャリアの遠隔ロックだけに頼る運用を見送り、MDMを入れてください。社用携帯で顧客の個人情報を扱っている、社用携帯で多要素認証を受けている、台数が増えて誰がどの端末を持っているかを台帳で追えなくなっている、の3つです。報告対象外の条件を満たせるかどうかも、遠隔削除の機能を備えているかで変わります。逆に、通話とショートメッセージだけに使う端末で、業務アカウントにログインさせていないなら、キャリアのロックと回線停止の手順書で足ります。

紛失対応の手順書づくりと端末管理の運用を外部に任せる判断基準

MDMの設定とロールの割り当てだけなら、情報システム担当が自社で進められます。外部に任せる価値が出るのは、情報システムの専任者がいない、夜間休日の初動を回す体制を社内で組めない、紛失時に業務システム側のセッション無効化や権限の停止を自動で行う仕組みが要る、といった場合です。いずれもMDM製品の設定画面だけでは完結しません。

一創では、業務システムの運用や改修、運用中の仕組みへの機能追加を保守運用・内製化支援として承っています。端末の台数と登録方式、紛失時に止めたい業務アカウントの一覧がそろった段階で相談いただくと、手順書と自動化の範囲を絞り込めます。

よくある質問

社用携帯の紛失について、管理者から寄せられやすい質問に答えます。

社用携帯を紛失したら最初に何をすればよいですか？

本人から紛失の日時と場所、最後に操作した時刻、パスコードの有無を聞き取り、MDMで遠隔ロックか管理対象紛失モードを送ります。端末の応答を確認できたら、キャリアに回線の利用中断を申し出ます。並行して、社用携帯からログインしていたメールやチャットのセッションを無効にし、パスワードをリセットしてください。そのうえで警察に遺失届を出し、端末に入っていた情報から個人情報保護委員会への報告が必要かを判定します。この順番を手順書にしておくと、担当者が替わっても同じ動きができます。

MDMを入れていない社用携帯でも遠隔でロックできますか？

キャリアのサービスを使えば可能です。NTTドコモの場合、利用中断と同じ手続きのページから「おまかせロック」を設定でき、連絡するだけで端末の画面にロックがかかります。手続きには契約者電話番号とネットワーク暗証番号が必要です。ただし、キャリアのロックではログイン中のアプリのセッションは止まらないので、業務アカウントのパスワードリセットとセッション無効化は別に行います。顧客情報を扱う端末なら、MDMの導入を検討してください。

電源が切れている社用携帯にワイプは届きますか？

届きません。MDMのワイプやロックの命令は、端末がネットワークにつながり、管理サーバーと通信した時点で実行されます。電源が切られたまま、あるいは回線が止まりWi-Fiにもつながらない端末では、命令は待ち状態のままです。だからこそ、パスコードの強制と端末の暗号化を全台に入れておくことが紛失対策の本体になります。紛失の報告を受けたら、ワイプの完了を待たずに業務アカウント側の対処を済ませてください。

社用携帯の紛失は必ず個人情報保護委員会に報告しますか？

必ずではありません。端末に入っていた個人データが、要配慮個人情報を含む、財産的被害のおそれがある、不正の目的によるおそれがある、本人の数が1,000人を超える、のいずれかに当たる場合に報告が必要です。盗難は不正の目的によるおそれに当たりえます。一方で、Q&AのQ6-19が示す高度な暗号化等の措置を講じていた場合は報告対象から外れる可能性があります。判断に迷う場合は、発覚から3〜5日以内の速報を出し、確報で状況を補ってください。

見つかった社用携帯はそのまま使ってよいですか？

そのまま使わず、初期化してから再登録するのが安全です。紛失していた間に第三者が操作したか、不審なアプリや設定が入れられたかを、端末の外から確かめる方法は限られます。MDMで紛失モードを解除したあと、端末を初期化し、業務用の設定とアプリを入れ直してから本人に返します。発見時の状態と経過は、報告や社内記録の材料になるので、写真とあわせて残しておいてください。

関連記事

• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】：紛失対策以外にMDMで管理できる項目の全体像を解説しています。
• リモートワークの端末管理：MDM・VDI・ゼロトラストの選び方と持ち出し端末のルール：PCを含む持ち出し端末の台帳と暗号化の規程を扱っています。
• MDM導入の手順と失敗例：端末棚卸しから段階展開まで情シスが進める6工程：紛失対策の前提になるMDMの導入工程を整理しています。
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：報告書の書き方と提出の流れを詳しく説明しています。