茨城県立水戸第一高、成績データ入りUSBメモリが所在不明 — 持ち出し禁止ルール下での無許可コピー

項目	内容
発生日	2026年4月9日（USBメモリへのデータ保存）
判明日	2026年4月17日
公表日	2026年5月20日
対象組織・業界	茨城県（県立水戸第一高等学校・同附属中学校）
事象	生徒の成績関連データを保存したUSBメモリの所在不明
影響件数	非公表
情報源	Security NEXT（2026年5月20日）

概要

茨城県は2026年5月20日、県立水戸第一高等学校および同附属中学校の教員が使用していたUSBメモリが所在不明になったことを公表しました。

USBメモリには、生徒の氏名、考査結果、評価案など、過年度の成績作成のために用いたデータが保存されていました。対象となる生徒の人数は公表されていません。

データは2026年4月9日に保存されたもので、4月17日に所在不明であることが判明しました。当該教員は、パソコンの不調に対応する際、許可を得ずに個人情報をUSBメモリへ持ち出しており、組織内の持ち出し禁止ルールに違反していたとされています。

経緯

• 2026年4月9日: 教員がパソコンの不調に対応する過程で、許可を得ずに生徒の成績関連データをUSBメモリへ保存
• 2026年4月17日: USBメモリの所在不明が判明
• 関係者への謝罪を実施。インターネット上への流出の有無について監視を開始
• 2026年5月20日: 茨城県が公表。校内の個人情報保護管理体制の強化と、教職員の意識向上・再発防止策の実施を表明

原因

パソコンの不調への対応中に、許可を得ずに個人情報をUSBメモリへ持ち出したことが原因と公表されています。持ち出しは組織内のルールで禁止されていました。紛失の状況（どこで所在不明になったか）については公表されていません。

考えられる原因（推測）: 注目すべきは、この持ち出しが「不調のパソコンからデータを退避させる」という、業務継続のための行動として発生している点です。成績処理のように締切が固定された業務の途中でパソコンが不調になれば、担当者はデータを失う恐れと、作業を止められない状況の両方に同時に直面します。そこで最も手近な退避手段がUSBメモリであった、という経路が考えられます。規程に反する行動が、規程を軽視した結果ではなく、正規の代替手段が即座に得られなかった結果として選ばれた可能性があります。また保存から所在不明の判明まで8日を要していることからは、USBメモリが特定の保管場所を持たずに扱われていた可能性も考えられます。いずれも推測であり、公表された事実はルール違反の事実までです。

対策

組織が学ぶべきこと

1. 禁止ルールは、代替手段とセットでなければ守られない

「USBメモリへの持ち出しは禁止」というルール自体は、多くの学校・自治体で既に整備されています。それでも同種の事案が繰り返されるのは、ルールが禁じている行動の背後に、業務上の切実な必要が残されているからです。パソコンが不調になったとき、データを安全に退避させる正規の手段が、その場で・その担当者の権限で・数分以内に使えるか。この問いに答えられないまま禁止だけを強めると、違反は水面下に潜り、発覚がさらに遅れます。

2. トラブル対応時こそ、ルールから外れやすい

情報の取り扱いに関する事故は、平常業務よりも「何かがうまくいっていないとき」に集中して発生します。機器の故障、システム障害、締切直前の作業。こうした局面では、判断の優先順位が「業務を完遂すること」に振れ、手続きの正当性は後回しになります。研修で扱うべきなのは、平常時の正しい手順ではなく、イレギュラーが起きた瞬間に何をどこへ相談するかです。

3. 過年度データが手元に残り続ける構造を見直す

保存されていたのは「過年度の成績作成のために用いたデータ」でした。すでに用済みとなった中間データが、教員個人の作業領域に残り続けていたことになります。成績処理のような周期業務では、処理後に中間生成物を削除するタイミングを業務手順に明記することで、いざ何かが持ち出されたときの被害範囲を小さくできます。

ヤグラの視点 — 相談のハードル：規程を破らせたのは、その場で頼れる先がなかったことかもしれない

物理媒体の紛失を技術で止める手段はなく、書けるのは運用設計と、相談経路の設計の話に限られます。

そのうえで、この事案を「教員のルール違反」で説明を終えると、同じことがまた起きます。見るべきなのは、なぜその瞬間、規程を破ることが最も合理的な選択肢に見えたのかです。

パソコンが不調になった教員の前には、いくつかの選択肢がありました。情報担当に連絡して指示を仰ぐ。管理職に許可を求める。作業を中断して翌日に回す。あるいは、手元のUSBメモリにデータを移して作業を続ける。このうち最後の選択肢だけが、待ち時間ゼロで、誰の判断も仰がずに、今すぐ実行できるものでした。

組織の側が用意すべきは、より厳しい禁止ではなく、この選択肢の並びを変えることです。「困ったときに、迷わず・すぐに・気軽に相談できる先」が1つあるかどうかが、規程遵守の実効性を決めます。相談先が複数の部署に分かれていたり、書面での申請が必要だったり、「そんなことで連絡してくるな」という空気があったりすれば、現場は自力で解決する方を選びます。そしてその自力解決の多くが、規程の外側にあります。

報告・相談の経路をどれだけ短くできるかは、フィッシングの報告でも、機器トラブルの相談でも、構造は同じです。経路が長い組織では、事故は起きてから発見されるのではなく、起きる前の分岐点で握りつぶされます。

今後の対応

USBメモリは発見されておらず、茨城県はインターネット上への流出の有無について監視を継続しています。校内の個人情報保護管理体制の強化と教職員への再発防止策が進められます。流出が確認された場合の追加公表が想定されます。

更新履歴

日時	内容
2026-05-20	初稿公開（公表日時点）