ノートパソコンが盗まれると、私のデータはどうなりますか？

ほとんどの場合、ドライブが暗号化されていたかどうかで決まります。暗号化されていれば、解錠できない窃盗犯が手にするのは高価な文鎮と読み取れない暗号文だけです。暗号化されていなければ、あなたのログインパスワードは玄関の鍵にすぎません。ドライブを取り出して別のパソコンで読み取ったり、USBメモリからノートパソコンを起動したりすれば、すべてのファイル、ブラウザのプロフィール、同期されたクラウドフォルダが読み取れてしまいます。

パスワードを知らない相手でも私のファイルにアクセスできますか？

ディスクが暗号化されていなければ、可能です。WindowsやmacOSのログインパスワードは、実行中のOSに誰がサインインできるかを制御するだけで、ドライブ上のデータを暗号化するわけではありません。ドライブを取り出して別のパソコンに接続すれば、ファイルはただのファイルです。フルディスク暗号化こそが、あなたのパスワードを実際にデータを保護するものに変えます。

FileVaultやBitLockerは盗まれたノートパソコンを守ってくれますか？

はい、それがまさにその目的ですが、重要な注意点が一つあります。フルディスク暗号化は「保存されたデータ」、つまり電源が切れているときのデータを守ります。ノートパソコンが起動してサインインした状態で盗まれた場合、ドライブはすでにロック解除されており、その瞬間その保護は何の役にも立ちません。どちらもデフォルトで有効になっているとは限らないため、思い込まずに確認してください。

盗まれたノートパソコンをリモートで消去できますか？

場合によります。macOSの「探す」とWindowsの「デバイスを探す」は端末を消去対象として指定できますが、そのコマンドはノートパソコンが次にインターネットに接続したときにしか実行されません。一度もオンラインにしない窃盗犯や、ドライブを取り出してしまう窃盗犯には届きません。リモート消去はおまけとして有効にしておく価値はありますが、対策の中心にすべきではありません。

DropboxやOneDrive、iCloudのファイルはどうなりますか？

ここは過小評価されがちな部分です。デスクトップ版のクラウドアプリはサインインしたままになっており、同期されたフォルダの読み取り可能なローカルコピーを保持しています。そのため、盗まれたノートパソコンは自身のディスクだけでなく、クラウドストレージまで明け渡してしまう可能性があります。機微なファイル自体を暗号化し、ローカルのコピーもクラウドのコピーも暗号文にしてしまうことで、その入り口を塞げます。

ノートパソコンが盗まれてから最初の1時間で何をすべきですか？

まず主要なメールアカウントのパスワードを変更してください。それが他のすべてへの復旧経路になるからです。次にすべてのセッションからサインアウトします。クラウドストレージ、銀行、ブラウザに保存されていたすべてのアカウントのパスワードを変更してください。クラウドストレージとパスワードマネージャーから端末の連携を解除し、リモート消去を実行し、保険用の参照番号のために警察に届け出てください。

ノートパソコンが盗まれたとき、あなたのデータに何が起きるか

ノートパソコンを失うことは、モノを失うことのように感じられます。買い替え費用を見積もり、保険の自己負担分に不満をこぼし、そして先に進みます。しかしバッグの中身の中で、ハードウェアはたいてい最も安いものです。本当の問題は、それを手にした人が何を読めるかです — そしてほとんどのノートパソコンにとって、正直な答えはすべてです。

ノートパソコンが持ち去られた後、あなたのデータに実際に何が起きるのか、そしてそのすべてを左右するたった一つの設定について解説します。

ログインパスワードは金庫ではなく、ただの扉

これが最も大きな被害をもたらす誤解です。

WindowsやmacOSのログインパスワードが決めるのは、実行中のOSに誰がサインインできるかだけです。ドライブ上のバイト列には何もしません。ディスクが暗号化されていなければ、窃盗犯にはそれを回避する簡単な方法が2つあります。

ドライブを取り出す。 最近のノートパソコンではこれが難しくなっていますが、ストレージが取り外し可能な場合、外付けディスクとして別のパソコンに接続できます。相手のパソコンはあなたのパスワードの存在など知らず、ただのファイルとして見えるだけです。
別のものから起動する。 USBインストーラーやLive Linuxから起動すれば、ログイン画面を一切見ることなく内部ドライブを閲覧できます。

どちらも特別な技術は必要ありません。どちらもインターネット上に手順が公開されています。ログインパスワードは同居人を止めることはできても、ドライバーと午後の時間を持ってその機器と向き合う相手を止めることはできません。

実際に読み取られうるもの

ディスクが暗号化されていないと仮定します。ごく普通の仕事用ノートパソコンの現実的な中身は次の通りです。

書類フォルダ — 確定申告書、給与明細、契約書、パスポートや運転免許証のスキャン。暗号化せずに保存してはいけないファイルは、統計的に見てまさにそこにあります。
写真 — 「非表示」や意味ありげな名前のフォルダに移したものも含めて。それらは意味のある形では隠れていません。ファイルマネージャーのチェックボックス一つで表示されてしまいます。
ブラウザのプロフィール — 保存されたパスワード、自動入力の住所やカード情報、クッキー、そしてパスワードを一切必要とせず誰かをあなたのアカウントにサインインさせたままにできるセッショントークン。
同期されたクラウドフォルダ — Dropbox、OneDrive、Google Drive、iCloud Driveのローカルコピーは、平文の読み取り可能な状態でディスク上に存在し、デスクトップアプリはたいていサインインしたままです。
メッセージ — デスクトップのチャットアプリはローカルに履歴を保持します。何年分もの会話が、検索可能な状態で。

最後の二つが、実は一番痛手になる部分です。人々は盗まれたノートパソコンを「ノートパソコンの中にあったもの」を失うことだと考えがちです。しかし実際には、まったく別の場所にあるアカウントへの鍵一式を失うことになりがちなのです。

「でもリモートで消去すればいい」

試すべきですし、試すことはできます。macOSの**「探す」とWindowsの「デバイスを探す」**は、端末を消去対象としてフラグ付けできます。

問題は、消去コマンドが魔法の杖ではないということです。それはキューに入り、ノートパソコンが次にインターネットに接続したときに実行されます。蓋を開けたままにしない窃盗犯や、ネットワークに一度も接続する前に消去して再インストールする窃盗犯には、決してそのコマンドが届きません。ドライブだけが欲しい相手なら、そもそもノートパソコンの電源を入れる必要すらありません。

リモート消去は、手に入れば嬉しい宝くじの券として扱ってください。データ保護戦略そのものとして頼ってはいけません。

これを実際に左右する設定：フルディスク暗号化

ここで良い知らせがあります。結果全体を変えるたった一つの設定があり、それはすでにあなたが持っているOSに組み込まれています。

macOS：FileVault。 システム設定 → プライバシーとセキュリティ → FileVault
Windows：BitLocker／デバイスの暗号化。 設定 → プライバシーとセキュリティ → デバイスの暗号化、または対応エディションではBitLockerドライブ暗号化

フルディスク暗号化がオンになっていれば、ドライブ全体があなたの認証情報なしには読み取れなくなります。取り出しても、別の場所に接続しても、USBから起動しても関係ありません。読み取れるものが何もないからです。窃盗犯が手にするのはハードウェアだけです。それがすべてです。

知っておくべき2つの注意点：

常にオンとは限らない。 暗号化が最初から有効になっているかどうかは、OSのバージョン、エディション、ハードウェア、機器のセットアップ方法によって異なります。思い込まずに設定を開いて確認してください。
保護するのは「保存中」のデータ。 フルディスク暗号化が機能するのは機器の電源が切れているときです。カフェのテーブルから起動してサインインした状態のノートパソコンをひったくられた場合、そのディスクはすでにロック解除されています。その中のすべても同様です。

この2つ目の注意点こそ、多くの盗難がすり抜けてしまう隙間です。ノートパソコンが午前3時に施錠された引き出しから盗まれることはめったにありません。開いたまま、テーブルの上で、話の途中で盗まれるのです。

二つ目の鍵：重要なファイルを暗号化する

フルディスク暗号化は床であって天井ではありません。それは建物の外側にある一つの鍵であり、その機器を使っている間ずっと開いたままです。

その対策は、本当に失うと困る少数のファイル — 身分証明書、金融記録、プライベートな写真、顧客資料、法律や医療に関するものすべて — の周りに、別の第二の鍵を設けることです。それらのファイルは個別に、独自の認証情報の奥で暗号化されるべきです。そうすれば、パソコンがロック解除されて動作中であっても読み取れないままになります。

これがWindowsとMacで機微なファイルを適切に保存することの背景にある原則です。機微な少数派は、日常的な多数派よりも強力な扱いを受けるべきなのです。

Vaultineが担う役割

Vaultineがその二つ目の鍵です。

OSのログインではなく、独自の認証情報。 保管庫はあなたのパターンまたはPINの奥にロックされたままです。ノートパソコンにサインインしても保管庫は開かないため、起動したまま盗まれた機器でも保管庫までは明け渡しません。
すべてのファイルが個別に暗号化される。 各ファイルは独自のAES-256鍵を受け取ります。鍵はあなた自身のパターンまたはPINから生成され、端末から出ることはありません。
乗っ取られるアカウントがない。 登録もメールアドレスもないため、誰かに乗っ取られるログインもなく、侵害や召喚状の対象になるファイルのコピーが私たちのサーバーにあることもありません。
クラウド上のコピーも暗号文。 あなたの保管庫はデフォルトで端末上にあります。あなた自身のDropbox経由で同期を選んだ場合も、アップロードされるのは暗号化されたデータのみです。そのため、Dropboxにサインインしたままの状態で盗まれたノートパソコンからも保管庫は露出しません。
他の端末でも同じ保管庫。 Windows、macOS、Android、iPhone。ノートパソコンがなくなっても、ファイルはなくなりません。

そして、開くことを強要されることもあなたの脅威モデルに含まれるなら、Decoy Vaultは別のPINで、ごく普通に見える別の保管庫を開き、Duress Vaultは空の保管庫を開いて本物の中身を消去します。

20分でできるチェックリスト

必要になる前に、これを済ませておいてください。

フルディスク暗号化をオンにする。 macOSならFileVault、WindowsならBitLockerまたはデバイスの暗号化。復旧キーはノートパソコン以外の場所に保管してください。
画面のロックを早く設定する。 1〜5分の無操作でロックし、すぐにパスワードを要求するようにします。これが「起動中に盗まれる」時間帯を縮めます。
ブラウザにパスワードを保持させるのをやめる。 専用のロックを持つパスワードマネージャーに移してください。
「探す」／「デバイスを探す」を有効にする。 この宝くじ券は無料です。
本当に困るファイルを暗号化する。 身分証明書、金融記録、プライベートな写真、顧客の仕事関連のものを、独自の認証情報を持つ保管庫に入れてください。
バックアップが本物か確認する。 暗号化は相手からデータを守ります。バックアップは消失からデータを守ります。両方が必要です。

すでに盗まれてしまった場合

最初の項目が他のすべての鍵になるため、この順序で進めてください。

主要なメールアカウントのパスワードを変更し、すべてのセッションからサインアウトします。メールは他のすべてのアカウントへの復旧経路です。
クラウドストレージ、銀行、ブラウザに保存されていたもののパスワードを変更する。 一部のサービスではパスワードを変更してもセッショントークンが有効なままのことがあるため、すべての場所からサインアウトもしてください。
端末の連携を解除する。 クラウドストレージとパスワードマネージャーから外し、同期コピーの更新を止めます。
リモート消去を実行する。 届くかもしれません。試して損はありません。
警察に届け出る。 保険や、事情を説明する必要のあるアカウント提供元のために参照番号が必要になります。
買い替えた機器で初日から暗号化をオンにする — ファイルを移す前に。

まとめ

盗まれたノートパソコンがハードウェアの問題で済むのは、その中のデータが読み取れなかった場合だけです。そうでなければ、それはハードウェアの問題の姿をした、身元情報の問題であり、金銭の問題であり、プライバシーの問題です。

フルディスク暗号化は、あなたの機器の中で最も価値の高い設定であり、オンにするのに2分もかかりません。そのうえで、見知らぬ人に開かれたら困るファイルの周りに二つ目の鍵をかけてください。なぜなら、本当に重要な瞬間は、ノートパソコンがすでにロック解除されていたその瞬間だからです。

最も困るファイルから始めましょう — Vaultineなら最初のファイルを無料で暗号化できます。