GCHQ遺失儲存裝置在警告多年後仍未能交代去向
儘管英國情報監察機構多年來發出警告，GCHQ至今仍未能全面交代遺失儲存裝置的去向。GCHQ遺失儲存裝置調查涵蓋可攜式媒體，即USB手指、外置硬碟、光碟及記憶卡等便攜儲存裝置。部分裝置可能載有透過法定監控權力取得的資訊。然而，已公布的調查結果並未證實數千部裝置已永久遺失，亦未證實外人曾存取其內容。
調查權力專員辦公室（Investigatory Powers Commissioner’s Office，IPCO）於2026年10月29日公布最新年度調查結果。專員Brian Leveson在隨附的監督調查結果中，指出該機構對問題的了解仍不完整。核心矛盾很直接：GCHQ在部分行動中需要使用便攜儲存裝置，但同時亦必須證明其能夠妥善管控這些裝置。
此前已有參照案例。IPCO早前曾發現，GCHQ及英國本土安全部門MI5均存在相關追蹤漏洞。因此，最新披露引發的不只是個別裝置身處何方的問題，還涉及後續跟進是否到位。當一個機構承認紀錄有缺陷時，甚麼證據能證明其替代管控措施確實有效？
GCHQ遺失儲存裝置數字實際衡量的是甚麼
已公布的估算所指，是未能即時尋回的裝置，而非已確認遺失的最終統計數字。
2025年年度報告第4.66至4.68段提供了關鍵區分。GCHQ估計，未能交代去向的裝置最多達「數千部」。進一步調查將確定其中有多少已確認遺失。IPCO亦形容，可攜式媒體對該機構部分程序不可或缺。
這項區分改變了讀者理解標題的方式。一筆未解決的庫存紀錄，只反映登記冊與調查人員可尋獲設備之間存在落差。它本身不能證明裝置去了哪裏、當中仍存有甚麼資訊，或是否有人曾存取其內容。
各種可能解釋需要獨立證據支持。裝置最終或會被尋回、與不完整的棄置紀錄配對，或被判定為確實遺失。這些是調查上的可能性，並非關於特定GCHQ裝置的既定結論。把它們混為一談，會掩蓋仍須進行的工作。
因此，「非常顯著的數量」這個說法，是對未解決範圍的警示，並非精確的裝置數目。無論是該描述還是較廣泛的估算，均不足以支持推算確切總數、儲存容量或已外洩資訊的數量。
讀者亦不應將每件受影響物品都視為USB手指。報告所指類別涵蓋不同儲存格式。裝置類型本身並不能判定敏感程度：小型儲存裝置可載有重要資料，而較大型的裝置亦可能不含任何相關內容。
報告期同樣重要。年度報告描述的是經過一段時間形成的調查結果，而不是即時庫存儀表板。其公布日期只說明結果何時公開，並不代表每項底層評估都在當日早上完成。
這正是GCHQ遺失儲存裝置事件需要謹慎用詞的原因。「未能交代去向」描述的是尚未解決的管控問題；「確認遺失」則指調查後得出的結論；「遭洩露」則需要有未經授權存取或披露的證據。
若直接由第一類跳至最後一類，便會誇大公開紀錄所能支持的結論；反過來看也同樣具誤導性。後果尚未明朗，並不會抹去設備未能妥善交代這項既定失誤。
實際重要性在於這條尚未釐清的界線。在調查人員核對紀錄前，觀察者無法可靠地區分：哪些裝置是透過行政工作尋回，哪些則需要持續的保安應對。這條界線決定最終解釋必須回應甚麼問題。
延誤令GCHQ管理層承受壓力
長期未能交代設備去向，使管理層能否完成調查成為保安問題的一部分。
專員的關注不僅在於有設備下落不明。他的公開聲明強調，問題在早前介入後仍然持續。這令機構管理層承受壓力，須展示可供獨立監察者評估的成果。
時間改變了問題的性質。最初出現差異時，可觸發搜尋及檢討紀錄；但若差異在多次檢討後仍未解決，便會引發對責任歸屬、升級處理及判定進展標準的疑問。
這些是分析層面的問題，並非針對個別僱員的指控。已公布資料並未證實員工蓄意隱瞞遺失情況，亦未指出單一技術原因足以解釋每一項未解決個案。
儘管如此，管理層必須將調查帶向可合理辯護的終點。搜尋更多地點、改善紀錄及引入新軟件都是行動；它們的價值取決於能否更清楚交代受影響設備及其狀態。
壓力亦延伸至行動團隊與合規人員的關係。行動人員需要在有需要時取得設備；合規團隊則需要設備轉手後仍然有用的紀錄。若兩者需求出現落差，例外情況便可能不斷累積，卻沒有清晰的解決方案。
即使尚未確定資訊是否外洩，這已構成制度問題。若一個機構無法重建某裝置的責任鏈，便不能有把握地評估該未解決裝置。這種不確定性可能迫使調查人員檢視本可由較完善紀錄排除的可能性。
因此，文件紀錄薄弱時，釐清事實的負擔會增加。實體搜尋或可確認裝置位置，卻未必能解答早前保管責任的問題。相反，完整的保管紀錄或可解釋表面上的缺失，即使最終未能尋回裝置。
這個差別對監督工作十分重要。專員需要足夠證據評估該機構的解釋。泛泛表達承諾，無法回答與可識別設備及已記錄結果掛鈎的紀錄所能回答的同類問題。
情報工作環境下的公開問責另有局限。公布詳細儲存地點、行動用途或調查方法，可能會暴露敏感資訊。不過，一份可信的公開交代毋須披露這些細節，也能證明曾受獨立審查。
相關檢驗在於，監督機構能否在這些限制下確定結果。當監察者能夠區分已解決的發現與持續存在的不確定性時，公開克制與有意義的問責可以並存。
對管理層而言，核心挑戰是把已承認的關注轉化為能結束事件的證據。再次表達重視意義不大；一份經獨立審視的書面解釋，則會大幅改變評估。
MI5說明為何追蹤與保護並不相同
保護裝置內容與掌握裝置所在地，是兩項不同責任。
早前的比較具啟發性。IPCO的2024年年度報告指出，該辦公室於2023年要求MI5及GCHQ檢討可攜式媒體。兩者均未能尋回可能存有機密資料的裝置。大部分未能交代去向的物品已加密或須輸入PIN碼。IPCO將遺失歸因於過往發放及交還管控不足。
加密是指沒有適當密匙便無法讀取資訊，它處理的是與庫存準確度不同的問題。加密可減低裝置遺失後的外洩風險，卻無法證明設備去了哪裏，或其處理是否符合適用要求。
早前的發現亦需要劃清界線。關於保護措施的說法，不能自動套用至較後期GCHQ估算涵蓋的每一件物品。不同報告期及不同樣本範圍，意味着讀者不能假設兩份交代中的保安狀況完全相同。
因此，MI5是有用的制度比較，而非兩個機構現時面對相同問題的證據。最新的GCHQ段落並未說明MI5目前的狀況。把較新的估算延伸至兩個機構並不準確。
更廣泛的教訓在於保障措施互相重疊。實體保管決定誰控制設備；存取限制決定誰可使用其內容；棄置紀錄則說明設備如何退出使用。每一項均解答其他措施未必能完全解答的問題。
設想一部經加密而位置變得不明的硬碟。強力加密或可支持對資料披露風險作出較低評估，但調查人員仍須判斷該裝置是被保留、轉移、銷毀，還是在未經授權下被移走。
再考慮相反情況：一部硬碟放在已知的櫃內，但其存取紀錄不清楚。實體尋回可解決一項疑慮，卻不會自動解答誰曾使用它，或尋回前發生了甚麼事。
兩個例子均非有紀錄的GCHQ事故。它們說明，涉及保管、內容及存取的調查，不能由單一看似令人安心的事實定案。有效評估必須連結這些面向。
這亦是為何討論不應假設可攜式儲存裝置本質上不可接受。報告指出其在行動上的依賴，但未披露足夠細節，讓人判斷特定程序的替代方案。根據這些發現直接主張全面禁止，並非有證據支持的結論。
更重要的問題是，行動需要是否伴隨可證明的管控。仍屬必要的設備，仍須有可問責的生命週期，即由引入至退役均有紀錄的歷程。
與MI5的比較強化了這項區分。技術保護可以限制後果，但行政弱點仍可能未獲解決。存在一項保障措施，既不能證明另一項同樣有效，也不能證明整體結果無害。
GCHQ稱已採取行動，但結案仍需證據
承認追蹤系統有缺陷具有意義；要證明調查已獲解決，則需要額外證據。
GCHQ向The Register表示，其舊有管理系統無法妥善追蹤已登記的媒體。該機構在回應可攜式媒體管控時稱，已按IPCO的建議採取行動。這是該機構的具名立場，而非獨立證實每一件尚未解決物品均已有交代。
在這類調查中，「已處理」可以有多種不同意思。一個機構可以修正程序、更換工具，或完成搜尋。每一項都代表進展，但未必能證實其他工作線的結果。
例如，更換登記冊可以改善由現在起發出設備的追蹤。它本身無法重建從未被記錄的歷史事件。調查人員需要獨立證據，才能釐清那些較早期的缺口。
這便形成了防止重演與解釋過去之間的區別。兩者都是評估回應時所必需的。即使部分歷史不確定性仍然存在，只要這些不確定性被如實識別及評估，預防工作成功仍具價值。
同樣地，找到歷史設備也不會自動證明日後的發放做法可靠。成功的搜尋與成功的控制系統，透過不同證據解決彼此相關的問題。
以這些角度理解 GCHQ 的儲存設備調查，終點便更清晰。該機構必須確立可交代的範圍、界定仍未解決的事項，並展示現行控制措施如何處理例外情況。
這個終點不要求假裝每一項歷史細節都可以復原。有些調查會就現有證據的限制得出站得住腳的結論。關鍵問題在於，這些限制是否清楚列明並獲獨立審視。
更有力的交代應區分不同信心水平，而非將所有設備歸入同一種令人安心的描述。經實體核實的裝置、有文件佐證的處置，以及仍未解決的紀錄，不應僅因曾納入審計而看似等同。
這同樣適用於軟件部署。一項工具即使按設計運作，也可能接收不完整資料。它的存在證明某個系統已被引入；其效用則取決於實際設備流轉是否產生準確及及時的紀錄。
因此，爭議不僅在於 GCHQ 是否購買或委託開發科技。問題是，該機構能否以專員接受的證據，支持其對保管責任及風險的結論。
兩種說法在不同階段都有可能準確。GCHQ 可能在報告期後進行了糾正工作，而 IPCO 已公布的發現則記錄了該期間尚未解決的疑慮。日期與核實結果決定這些說法如何互相吻合。
GCHQ 資料安全風險仍難以量化
證據證實存在帳目管理失誤，但特定資訊所受影響的後果在公開層面仍未釐清。
根據 The Record 對遺失儲存裝置的報道，該報告並未指稱對手取得有關設備。一名 GCHQ 發言人拒絕回答該機構是否知悉未經授權的存取。該媒體亦報道曾進行審計，同時指出審計是否確定了最終遺失數量仍存在不確定性。
這留下了一個重要的核實缺口。未獲回答的問題並不等於確認曾發生資料外洩；它也不能成為向讀者保證未曾發生未經授權存取的依據。
潛在涉及的資料與規管監控權力的《調查權力法》有關。公開交代未有識別個別仍未解決裝置的內容，因此無法支持關於哪些人的資訊受影響的具體說法。
GCHQ 的資料安全風險取決於多個層面，並非一個標題數字所能涵蓋。相關問題包括任何保留資訊的性質、適用的存取保護措施、裝置消失的情況，以及其後可取得的證據。
單憑裝置數目無法解決這些問題。把每件未解決項目視作同樣敏感，會抹平有意義的差異；把所有項目都定為同樣低風險，亦屬同樣缺乏依據的假設。
對個人而言，核心關注是透過監控取得的資訊是否仍受適當控制。對該機構而言，關注亦包括行動安全。對監督者而言，挑戰是既要評估證據，又不能披露其必須保護的資料。
這些利益彼此重疊，但並不相同。一個機構對行動損害的評估，可能不同於關注私人資訊的人士。可信的監督程序必須考慮相關保障措施，而不能假定任何一種視角已涵蓋整個問題。
因此，最有力的質疑解讀應該精準。GCHQ 對糾正行動的保證值得考慮，但不能取代獨立評估的結果。同時，未解決的庫存問題亦不足以讓人憑空推斷存在敵對接收者或已暴露的資料集。
對企業讀者而言，這宗事件提供的是分析上的參照，而非法律義務的直接比較。在系統之間流轉敏感資訊的機構，面對相同的基本證據問題：它們能否重建每一份副本的去向？
可搜尋的知識庫可協助人們找回工作文件。它與證明設備保管責任的紀錄用途不同。方便檢索不應與受控處理的證明混為一談。
在評估任何資訊系統時，這種區別十分重要。找到文件回答的是檢索問題；確定誰控制某一特定副本，回答的是問責問題。機構需要了解其工具實際提供的是哪一類證據。
這正是 GCHQ 遺失硬碟調查更廣泛的意義。先進的資訊能力不能免除對一般儲存設備保留可靠紀錄的需要。公開發現說明，當這些紀錄不完整時，評估後果有多困難。
留意遺失數量、追蹤證據及監督結論
下一項有意義的進展，將是縮窄不確定性的證據，而非又一份泛稱已有改善的聲明。
未來數月，最清晰的評估應依循固定次序：調查結果、現行追蹤措施的成效，以及獨立回應。這些是觀察重點，並非已宣布的公開披露期限。
首先，留意獲確認的帳目核對結果。有用的更新應區分在核對期間找到的設備，以及被評估為遺失的設備。即使不能公布敏感細節，也應指出是否仍有任何類別未獲解決。
未解決總數下降可反映進展，但其原因同樣重要。實體尋回、有文件佐證的銷毀，以及更正重複紀錄，代表不同結果。若較小的數字未作這些區分，便更難解讀。
帳目核對的日期及範圍亦很重要。更新應清楚說明涵蓋哪些對象，以及調查人員何時作出評估。否則，讀者可能錯誤比較按不同定義得出的數字。
第二，留意追蹤安排在實務中有效的證據。關鍵問題是，現時的設備流轉是否會產生可在檢查時保持準確的紀錄。單靠部署並不能回答這個問題。
有用的保證應涵蓋例外情況，並不只是例行交易。當設備逾期、責任人改變，或紀錄與實體核查出現衝突時，系統的價值會更清楚。這些情況考驗一個機構能否偵測並解決差異。
經獨立審視的控制措施會加強對預防工作的信心。即使底層軟件仍可使用，若反覆出現無法解釋的差異，信心便會減弱。結果既取決於機構實務，也取決於技術功能。
第三，留意專員對結案的評估。機構聲明與監督結論具不同的證據份量。後者有助確立糾正工作是否回應了促使審視的疑慮。
該評估可能仍附帶條件。監督者可能接受經改善的控制措施，同時繼續審查歷史遺失情況。讀者應保留這項區別，而非把每次更新簡化為完全平反或徹底失敗。
沉默則較難解讀。情報監督並不保證公眾可即時取得每項發現或進度報告。沒有公布更新，並不能獨立證明補救成功，亦不能證明情況持續惡化。
對 GCHQ 遺失硬碟調查而言，決定性問題是公開交代最終能否由未解決的估算，轉為站得住腳的結果。該結果毋須披露行動機密，但必須讓讀者有可靠依據理解監督程序確立了甚麼。
應帶着這些區別跟進下一輪更新。留意具日期的帳目核對、證明現行追蹤能通過獨立檢查的證據，以及清楚說明仍未解決事項的聲明。把已確認尋回、已確認遺失及狀況不明視為不同發現。當證據支持時，應肯定糾正工作的價值，同時保留關於歷史處理方式的未答問題。不要把遺失裝置等同已證實的資料披露，也不要把已宣布的改善等同調查已結案。面對任何未來聲明，最有用的具體問題是：現有證據如今確立了哪些先前交代無法確立的事情？這才是判斷這項長期調查是否得出有意義結論的標準。
