警告から数年を経てもGCHQの所在不明ドライブは未解決
英国の情報監督機関が長年にわたり警告してきたにもかかわらず、GCHQはいまなお所在不明の記憶装置を完全には把握できていない。GCHQの所在不明ドライブに関する調査は、USBメモリ、外付けドライブ、ディスク、メモリーカードなどの持ち運び可能なストレージであるリムーバブルメディアを対象としている。一部の機器には、法定の監視権限を通じて取得した情報が含まれている可能性がある。ただし、公表された調査結果は、数千台の機器が恒久的に紛失したことや、外部者がその内容にアクセスしたことを立証するものではない。
調査権限コミッショナー室（IPCO）は2026年10月29日、最新の年次調査結果を公表した。ブライアン・レベソン長官は、付随する監督調査結果で、この問題に対する同機関の把握が不完全であることを強調した。対立する課題は明快だ。GCHQは一部の業務で持ち運び可能なストレージを必要とする一方、そのストレージを管理下に置いていることも示さなければならない。
以前にも参照すべき事例がある。IPCOは過去に、GCHQと英国の国内治安機関MI5の両方で、関連する追跡管理の弱点を特定していた。したがって今回の開示は、個々の機器の所在にとどまらず、対応がどこまで実行されたかという問題を提起している。組織が不備のある記録を認めた場合、代替した管理策が機能していることをどのような証拠で立証できるのか。
GCHQの所在不明ドライブという数字が実際に示すもの
公表された推計は、直ちに所在を確認できない機器を示しており、確定した紛失件数の集計ではない。
2025年年次報告書の4.66項から4.68項は、この重要な区別を示している。GCHQは、所在を説明できない機器の最大数を「数千台」と見積もった。何台が紛失したと確認されるかは、さらなる調査で明らかになる。IPCOはまた、持ち運び可能なメディアが一部の機関業務に不可欠だと説明した。
この区別は、読者が見出しをどう解釈すべきかを変える。未解決の台帳記録は、登録簿と調査員が所在を確認できる機器との間にある隔たりを示す。それだけでは、機器がどこへ行ったのか、何の情報が残っているのか、誰かがアクセスしたのかを独立して立証するものではない。
考え得る説明には、それぞれ別個の証拠が必要となる。機器は最終的に発見されるかもしれず、不完全な廃棄記録と照合されるかもしれず、あるいは実際に所在不明と分類されるかもしれない。これらは調査上の可能性であり、特定のGCHQ機器に関する認定ではない。これらを同一視すれば、なお必要とされる作業が見えにくくなる。
したがって、「非常に大きな数」という表現は、未解決の範囲に対する警告である。正確な機器数ではない。この説明も、より広範な推計も、正確な総数、ストレージ容量、または露出した情報量を割り当てる根拠にはならない。
読者はまた、影響を受けたすべての機器をUSBフラッシュドライブとみなすべきではない。報告書の分類は異なるストレージ形式に及ぶ。機器の種類だけでは機密性は判断できない。小型の記憶装置に重大な資料が含まれることもあれば、大型のものに関連情報が何も含まれないこともある。
報告対象期間も重要である。年次報告書は、リアルタイムの在庫ダッシュボードを提供するのではなく、時間をかけて形成された調査結果を記述する。公表日は、調査結果がいつ公開されたかを示す。それは、基礎となる評価のすべてがその日の朝に行われたことを意味しない。
このため、GCHQの所在不明ドライブをめぐる報道には慎重な動詞が求められる。「所在を説明できない」は、未解決の管理上の問題を表す。「紛失が確認された」は、調査後の結論を表す。「侵害された」には、無許可のアクセスまたは開示に関する証拠が必要となる。
最初の分類から最後の分類へ直行すれば、公的記録を過大に表現することになる。反対方向に進んでも同様に誤解を招く。結果が不確実だからといって、機器を説明できないという既に確認された失敗が消えるわけではない。
実務上の重要性は、この未解決の境界にある。調査員が記録を照合するまで、観察者は、管理作業を通じて回収された機器と、継続的なセキュリティ対応を要する機器とを確実に区別できない。その境界が、最終的な説明で何を扱うべきかを決める。
遅れはGCHQの指導部に圧力をかける
長期化した管理不全は、調査を終結させる経営陣の能力自体をセキュリティ上の問題にする。
コミッショナーの懸念は、所在不明の機器が存在することだけにとどまらない。彼の公表声明は、この問題が以前の介入後も続いたことを強調している。そのため、機関の指導部には、独立した監督者が評価できる結果を示すよう圧力がかかる。
時間の経過は、この問題の性質を変える。当初の不一致は、捜索と記録の見直しを引き起こし得る。繰り返しの見直しを経ても解消されない不一致は、責任の所在、エスカレーション、そして進展を宣言する際の基準に関する疑問を生む。
これらは、個々の職員に対する疑惑ではなく、分析上の問いである。公表資料は、職員が意図的に紛失を隠蔽したことを立証していない。また、未解決のすべての機器を説明する単一の技術的原因も特定していない。
それでも指導部は、調査を防御可能な終着点へ結び付けなければならない。より多くの場所を捜索し、記録を改善し、新しいソフトウェアを導入することは活動にすぎない。その価値は、影響を受けた機器とその状態について、より明確な説明を生み出せるかどうかにかかっている。
圧力は、業務チームとコンプライアンス担当者の関係にも及ぶ。業務には必要な時に利用可能な機器が求められる。コンプライアンスチームには、機器の引き渡し後も有用であり続ける記録が必要となる。これらのニーズが乖離すれば、明確な解決なしに例外が積み重なる可能性がある。
これは、情報が流出したかどうかが判明する前から制度上の問題を生む。組織は、その機器に対する責任を再構築できなければ、未解決の機器を確信を持って評価できない。不確実性により、より良い記録であれば除外できた可能性まで調査員が検討せざるを得なくなる。
したがって、何が起きたのかを立証する負担は、文書化が弱いほど増大する。物理的な捜索は所在を解決するかもしれないが、それ以前の管理責任に関する疑問を残す可能性がある。逆に、完全な管理履歴があれば、機器を回収せずとも、見かけ上の不在を説明できる場合がある。
この違いは監督にとって重要である。コミッショナーには、同機関の説明を評価するのに十分な証拠が必要だ。一般的なコミットメント表明では、識別可能な機器と文書化された結果に結び付いた記録と同じ問いには答えられない。
情報機関の文脈では、公的説明責任には追加の制約がある。詳細な保管場所、業務上の用途、調査手法を公表すれば、機微な情報が露出する可能性がある。信頼できる公的説明は、独立した精査が行われたことを示すために、それらの詳細を明かす必要はない。
重要な基準は、こうした制約の下でも監督機関が結果を確認できるかどうかである。監督者が解決済みの調査結果と継続する不確実性を区別できるなら、公的な抑制と有意義な説明責任は両立し得る。
指導部にとって中心的な課題は、認められた懸念を、この問題を終結させる証拠へと転換することだ。深刻性を改めて表明しても、付け加わるものはほとんどない。独立して検証された文書化済みの説明であれば、評価を大きく変えるだろう。
MI5が示す、追跡と保護が異なる理由
機器の内容を保護することと、その機器の所在を把握することは、別々の責任である。
以前の比較は示唆に富む。IPCOの2024年年次報告書によると、同機関は2023年にMI5とGCHQに対し、リムーバブルメディアの見直しを要請した。両機関は、機密資料を含む可能性のある機器を見つけられなかった。所在を説明できない機器の大半は暗号化されているか、PINを必要とした。IPCOは、これらの紛失の原因を、過去の交付・返却管理が不十分だったことに帰した。
適切な鍵がなければ情報を読めなくする暗号化は、在庫精度とは異なる問いに対応する。紛失後の露出を抑えることはできる。しかし、機器がどこへ行ったのか、あるいはその取扱いが適用要件に従っていたかを立証することはできない。
以前の認定にも境界が必要だ。その保護に関する記述は、後のGCHQ推計が対象とするすべての機器を自動的に説明するものではない。報告期間と対象集団が異なるため、読者は両方の説明において同一のセキュリティ条件が存在したと推定すべきではない。
したがってMI5は、両機関が同一の現在の問題を抱えている証拠ではなく、有用な制度上の比較対象である。最新のGCHQの記述は、MI5の現在の状況を立証していない。新しい推計を両機関に拡張するのは不正確だろう。
より広い教訓は、重なり合う保護策に関するものだ。物理的な管理責任は、誰が機器を管理しているかを示す。アクセス制限は、誰がその内容を利用できるかを定める。廃棄記録は、機器がどのように運用から外れるかを説明する。それぞれが、他では完全に解決できない問いに答える。
所在が不確かになった仮想的な暗号化ドライブを考えてみよう。強力な暗号化は、情報開示リスクをより低く評価する根拠になり得る。それでも調査員は、その機器が保管されたのか、移管されたのか、破棄されたのか、あるいは無許可で持ち出されたのかを判断する必要がある。
次に逆の状況を考える。ドライブは所在が分かっているキャビネットにあるが、アクセス履歴が不明確である。物理的な回収は一つの懸念を解消する。しかし、それだけで誰が使用したのか、あるいは回収前に何が起きたのかという問いを解決するわけではない。
どちらの例も、文書化されたGCHQの事案を説明するものではない。これらは、管理責任、内容、アクセスを伴う調査において、単一の安心材料では結論を出せない理由を示している。有用な評価は、それらの側面を結び付けなければならない。
これが、議論において持ち運び可能なストレージが本質的に許容できないと想定すべきでない理由でもある。報告書は業務上の依存を示しているが、特定の業務における代替策を判断するには十分な詳細を開示していない。これらの調査結果から全面禁止を導くことは、証拠に基づく結論ではない。
より重要な問いは、業務上の必要性に実証可能な管理が伴っているかどうかだ。必要であり続ける機器にも、導入から退役までの文書化された履歴、すなわち説明責任のあるライフサイクルが必要となる。
MI5との比較は、この区別を補強する。技術的保護は結果を限定し得る一方、管理上の弱点は未解決のまま残る。ある保護策の存在は、別の保護策が機能したことを証明するものでも、全体として無害な結果だったことを立証するものでもない。
GCHQは対応したと述べるが、終結には証拠が必要
不備のある追跡システムを認めることには意味があるが、調査の解決を示すには追加の証拠が必要だ。
GCHQはThe Registerに対し、以前の管理システムでは登録済みメディアを十分に追跡できなかったと語った。リムーバブルメディア管理に関する回答で、同機関はIPCOの勧告に対応したと述べた。これは同機関に帰属する立場であり、未解決のすべての機器について説明が済んだことの独立した検証ではない。
「対処された」という言葉には、このような調査において複数の意味がある。組織は手順を是正し、ツールを置き換え、または捜索を完了できる。いずれも進展を示すが、必ずしも他の作業領域の結果を確定するものではない。
たとえば、台帳を置き換えれば、今後支給される機器の追跡は改善できる。しかし、それだけで記録されなかった過去の出来事を再現することはできない。調査官は、そうした過去の欠落を解明するために別個の証拠を必要とする。
このため、再発防止と過去の経緯の説明には区別が生じる。対応を評価するには、どちらも必要である。過去に関する不確実性が一部残ったとしても、それが特定され、誠実に評価されているならば、防止策の成功には価値がある。
同様に、過去の機器を発見しても、将来の支給慣行が信頼できることが自動的に証明されるわけではない。捜索の成功と統制システムの成功は、関連する問題を異なる証拠によって解決する。
この観点で説明すれば、GCHQの保管調査にはより明確な到達点がある。同機関は、説明可能な範囲を明らかにし、未解決の事項を定義し、現行の統制が例外をどのように扱うかを示さなければならない。
その到達点は、過去のあらゆる詳細を回復できると装うことを求めるものではない。一部の調査は、利用可能な証拠の限界について、擁護可能な結論に到達する。重要なのは、その限界が明示され、独立して検証されているかどうかである。
より強固な説明では、すべての機器を一つの安心感を与える説明にまとめるのではなく、信頼度の水準を区別するべきだ。物理的に確認された機器、文書化された廃棄、未解決の記録は、監査で扱われたというだけで同等に見なされるべきではない。
同じことはソフトウェアの導入にも当てはまる。ツールは、不完全な情報を受け取りながらも設計どおりに動作し得る。その存在は、システムが導入されたことを示す。その有用性は、実際の機器移動が正確かつタイムリーな記録を生むかどうかに左右される。
したがって、この論争は単にGCHQが技術を購入または委託したかどうかではない。問題は、同機関が保管責任とリスクに関する結論を、コミッショナーが受け入れる証拠で裏付けられるかどうかだ。
両方の説明が異なる段階で正確である余地はある。GCHQは報告期間後に是正作業を実施している可能性があり、一方でIPCOの公表した調査結果は、その期間に残っていた未解決の懸念を記録している可能性がある。日付と検証が、これらの記述がどう整合するかを決める。
GCHQのデータセキュリティリスクは依然として定量化が難しい
証拠が示しているのは管理上の失敗であり、特定の情報に対する影響は公には未解決のままである。
紛失したストレージ機器に関するThe Recordの報道によれば、この報告書は敵対者が機器を入手したとは主張していない。GCHQの報道担当者は、同機関が不正アクセスを把握していたかどうかへの回答を拒んだ。同媒体は監査についても報じたが、それが最終的な紛失件数を確定したかどうかには不確実性があると指摘した。
そこには重大な検証上の空白が残る。回答されていない質問は、侵害の確認ではない。しかし、不正アクセスが一度も発生しなかったと読者に保証する根拠にもならない。
対象となり得る情報は、監視権限を規定する法律であるInvestigatory Powers Actに関係する。公表されている説明は、個々の未解決機器に保存されていた内容を特定していない。したがって、誰の情報が影響を受けたかについて詳細な主張を裏付けることはできない。
GCHQのデータセキュリティリスクは、見出しの数字だけでは捉えられない複数の要素に依存する。関連する問いには、保存されていた情報の性質、適用されるアクセス保護、紛失の状況、その後に利用可能な証拠が含まれる。
機器数だけでは、これらの問いは解決しない。未解決の項目をすべて同じ程度に機微だと扱えば、意味のある違いが失われる。すべての項目に同じ低リスクを割り当てることも、同様に根拠のない仮定となる。
個人にとって中心的な懸念は、監視を通じて取得された情報が適切な管理下に置かれ続けたかどうかである。機関にとっては、運用上の安全保障も懸念に含まれる。監督機関にとっての課題は、保護すべき資料を露出させずに証拠を評価することだ。
これらの利害は重なり合うが、同一ではない。ある機関は運用上の損害を、私的情報を懸念する個人とは異なる形で評価するかもしれない。信頼できる監督プロセスには、一つの視点ですべてが尽くされると仮定せず、関連する保護策を検討する必要がある。
したがって、最も強い懐疑的な解釈は明確である。是正措置に関するGCHQの保証は考慮に値するが、独立して評価された結果の代わりにはならない。同時に、未解決の在庫があるからといって、敵対的な受領者や露出したデータセットをでっち上げることは正当化されない。
企業の読者にとって、この問題は法的義務を直接比較するものではなく、分析上の類似例を提供する。機微な情報をシステム間で移動させる組織は、同じ基本的な証拠上の問いに直面する。各コピーに何が起きたかを再構成できるのか。
検索可能なナレッジベースは、作業文書の検索を支援できる。しかし、それは機器の保管責任を立証する記録とは別の目的を果たす。便利な検索性を、統制された取り扱いの証明と混同すべきではない。
この区別は、あらゆる情報システムを評価する際に重要である。文書を見つけることは検索上の問いに答える。特定のコピーを誰が管理していたかを立証することは、説明責任の問いに答える。組織は、自らのツールが実際にどのような証拠を提供するのかを理解する必要がある。
これがGCHQの紛失ドライブ調査のより広い関連性である。高度な情報能力があっても、通常のストレージ機器に関する信頼できる記録の必要性はなくならない。公表された調査結果は、これらの記録が不完全な場合に影響を評価する難しさを示している。
紛失件数、追跡証拠、監督機関の判断に注目する
次に重要となる進展は、改善が行われたという包括的な声明ではなく、不確実性を狭める証拠である。
今後数か月で最も明確な評価は、調査の結論、現行追跡の有効性、独立した対応という固定された順序に従うべきである。これらは観測点であり、公表予定の期限ではない。
まず、確認された管理結果に注目すべきだ。有用な更新は、照合中に発見された機器と紛失と評価された機器を区別する。また、機微な詳細を公表できない場合でも、未解決の分類が残っているかどうかを明示すべきである。
未解決件数の減少は進展を示唆するが、その説明が重要になる。物理的な回収、文書化された破棄、重複記録の訂正は、それぞれ異なる結果である。こうした区別のない少ない数字は、解釈が難しくなる。
管理の日時と範囲も重要である。更新では、どの母集団を対象とし、調査官がいつ評価したのかを明確にすべきだ。そうでなければ、読者は異なる定義で作成された数字を誤って比較する可能性がある。
次に、追跡体制が実際に機能していることを示す証拠に注目する。重要なのは、現行の機器移動が、確認時にも正確な記録を生み出すかどうかである。導入だけでは、この問いへの答えにならない。
有用な保証は、通常の取引だけでなく例外にも対応する。機器が返却期限を過ぎた場合、責任者が変わる場合、または記録が物理確認と矛盾する場合に、システムの価値はより明確になる。こうした状況は、組織が不一致を検知し解決できるかを試す。
独立して検証された統制は、再発防止への信頼を強める。説明のつかない差異が繰り返されれば、基盤となるソフトウェアが利用可能なままであっても、その信頼は弱まる。結果は技術的な機能だけでなく、組織の運用にも依存する。
第三に、調査終結に関するコミッショナーの評価に注目する。機関の声明と監督上の結論は、証拠としての重みが異なる。後者は、是正作業が精査を招いた懸念を満たしたかどうかを明らかにする助けとなる。
その評価は限定的なものにとどまる可能性がある。監督者は、過去の紛失を引き続き調査しながら、改善された統制を受け入れることができる。読者は、すべての更新を完全な正当化か完全な失敗かに還元せず、この区別を保つべきだ。
沈黙は解釈がより難しい。情報機関に対する監督が、すべての調査結果や進捗報告への即時の公開アクセスを保証するわけではない。公表された更新がないことは、是正の成功も継続的な悪化も、それ自体では立証しない。
GCHQの紛失ドライブ調査において決定的な問いは、公の説明が最終的に未解決の推定から擁護可能な結論へ移行するかどうかである。その結論は運用上の秘密を開示する必要はない。しかし、監督が何を立証したかを読者が健全に理解するための根拠を与えなければならない。
次の更新は、こうした区別を念頭に置いて追うべきだ。日付のある管理結果、現行の追跡が独立した検証に耐える証拠、そして何が未解決のままかを明確に示す声明を探す。確認された回収、確認された紛失、未知の状態を別個の結論として扱う。証拠が裏付ける場合には是正作業を評価しつつ、過去の取り扱いに関する未回答の問いは残す。紛失した機器を立証済みの情報開示と同一視せず、発表された改善を調査の終結と同一視しない。将来のあらゆる声明に対して最も有用な問いは具体的である。すなわち、以前の説明では立証できなかった何を、証拠は今や立証しているのか。この基準こそが、この長期にわたる調査が意味のある結論に到達したかどうかを示す。
