USBメモリの利用を制限するには、一律に禁止するのではなく、会社が許可した機器だけが使える設定と、現場の例外の手順を一緒に決めます。全部止めるか自由にするかの二択にはしません。
今日やることは、部署ごとに「USBメモリで何を、どこからどこへ運んでいるか」を1枚に書き出してもらうことです。使い道が分かれば、なくせる業務と残す業務を分けられます。
一律に禁止するとなぜ守られにくいのか？
規則があっても、現場に別の手段がなければ破られることがあります。
BIPROGYの第三者委員会の報告書は、社内アンケートの結果を載せています。業務でUSBメモリを扱ったことがある178名のうち、「個人所有のUSBは使用しない」を守れなかったことがある人は12名、「申請して使用許可を取る」を守れなかったことがある人は19名でした。
理由には「定められたとおりにするのが面倒だった」「緊急性を求められていた」「本来のUSBが故障した」「障害対応で夜中にUSBを借用できなかった」があります。「守らなくても構わないと思った」という回答もありますが、手順が緊急時に合っていなかったと読める回答も混じっています。
NTT西日本グループの2024年の資料でも、多くの社員がルール順守の運用負担が大きいと答えたことが課題に挙げられています。同資料の暫定対処には、システム設定による接続禁止とあわせて、USBメモリの代わりになる手段の導入が書かれています。止める設定と代わりの手段は、対になります。
何も制限していないと何が起きるのか？
尼崎市の個人データを含むUSBメモリが2022年6月に紛失した件で、市の調査委員会の報告書は、サーバー側の状態を具体的に記録しています。どのUSBメモリでも差し込めば認識され、作業の記録はなく、接続ログは既定の容量で古いものから上書きされる場合がありました。
USBメモリは発見され、報告書は漏えいがあったとは認められないと結論づけています。それでも再発防止として、管理者が解除の手続きをしたときだけ記録媒体を認識する仕組みへの切り替えと、作業者に記録を付けさせて担当部署が確認することを求めています。接続の制御と記録を組み合わせる形は、民間の会社にも当てはめられます。
どんな区分でルールを決めるのか？
IPAの組織における内部不正防止ガイドライン第5版は、個人所有の記録媒体の持ち込みを制限し、利用を会社貸与品のみとする対策を示しています。持ち出しには、管理者の承認と記録を求めています。これをもとに、私たちは次の4区分を案として示します。
| 区分 |
対象の例 |
扱い |
| 使わない |
私物、持ち主の分からないもの |
接続できない設定にする |
| 許可 |
会社支給で登録し、暗号化したもの |
担当者を決めて申請で使う |
| 読み取りのみ |
外部のデータを取り込む端末用 |
書き込みを止める |
| 設備専用 |
工場の機械とのデータ受け渡し用 |
設備ごとに決めて持ち出さない |
持ち主の分からないUSBメモリを使わないことは、総務省の国民のためのサイバーセキュリティサイトでも注意点に挙げられています。ウイルス感染のおそれがあるためです。
許可した機器だけ使える設定には何があるのか？
Windowsの端末なら、Microsoftのデバイス制御の説明に沿って、主に次の選択肢があります。私たちが動作を試した結果ではなく、公式文書の内容です。
| 手段 |
できること |
注意点 |
| デバイスのインストール制限 |
承認した機器だけ導入を許可 |
許可する種類の指定漏れで周辺機器が止まる |
| Defender のデバイス制御 |
機器、利用者、読み書き別に制御 |
Defender for Endpoint か Defender for Business が前提 |
| BitLocker の書き込み拒否 |
暗号化していない媒体への書き込みを拒否 |
使える Windows のエディションを確認 |
| 専用製品 |
製品により台帳や申請の機能がある |
対応範囲は製品ごとに異なる |
グループポリシーの手順には、認められたUSBメモリだけを許可するシナリオがあります。Intuneを使う会社にはUSBデバイスを制限する手順があります。BitLockerの管理に対応するエディションはBitLockerの設定の文書に載っています。
専用製品を検討するなら、USB・デバイス制御の製品比較で台帳や申請の機能を見比べます。セキュリティソフトの機能で足りるかどうかは、セキュリティソフトの製品比較と合わせて確かめます。USBだけでなくメールやクラウドへの持ち出しも見るなら、DLP（情報漏えい対策）の製品比較が入口です。
公式文書にある落とし穴
- Windowsでいう「リムーバブルメディア」は、すべてのUSB機器を指しません。Defenderの場合、ドライブとして見えるものが対象です
- Defenderで既定を拒否にすると、バージョンによってはプリンターも止まります。手順の説明のように、対象を記憶装置に絞る設定があります
- 1つの機器が複数の種類を持つことがあります。Intuneの文書は、許可したはずの機器が止まる原因として説明しています
- Defenderのデバイス制御は、サーバーに対応していません。サーバーは別の方法で考えます
進める順番
最初の期間は止めずに記録します。Defender for Endpointに登録した端末では、基本的な接続の記録が既定で取れると説明されています。他の手段でも、記録のみの設定や接続履歴の機能を確かめてください。
1か月ほど記録を見て、実際に使われている機器と部署を確かめます。次にテスト用の端末で、キーボード、マウス、プリンター、カードリーダー、スマートフォンの動作を見ます。そのあと、影響の小さい部署から順に広げます。全社へ一度に適用すると、止まった業務の連絡が同時に集まり、対応しきれなくなります。
現場の例外はどう決めるのか？
例外の手順は、設定を有効にする前に決めます。次の項目を1枚にまとめてください。
- 誰が承認するか：担当者と、不在時の代理を決める
- 何を記録するか：日時、使う人、USBの番号、持ち出すデータ、目的、返却予定
- いつまで許可するか：期限を設け、過ぎたら自動で戻す
- 終わったあと何をするか：データの消去と返却を確認する
- 夜間と休日はどうするか：下の案のように緊急時の道筋を用意する
夜間の障害対応については、BIPROGYのアンケートにあった「夜中にUSBを借用できない」という回答が参考になります。私たちの案は、登録済みで暗号化したUSBメモリを、当番だけが開けられる鍵付きの場所に置いておく形です。使ったら翌営業日に事後申請し、誰がいつ何を運んだかを残します。
尼崎市の報告書では、パスワードが長く共用されていたことや、使用後のデータが消されないまま引き出しに残っていたことも記録されています。暗号化した機器を選んでも、パスワードの共用と消し忘れがあると効果が下がります。
工場の設備はどう扱うのか？
工場には、ネットワークにつながず、USBメモリでデータを受け渡す機器があります。経済産業省の工場システムのガイドラインVer1.0（2022年）も、単独で設置してデータを記憶デバイスで連携する機器に触れています。
たとえば、NC工作機械へ加工プログラムをUSBメモリで渡している工場の場合、ポートを一律に塞ぐと生産が止まります。設備ごとに次のことを確かめます。
- データの受け渡しに使っているポートと、使っていないポートを分ける
- 使っていないポートは、同ガイドラインの例にある端子キャップなどで塞ぐ
- 受け渡し用のUSBメモリは設備専用とし、番号を振って工場の外に出さない
- メーカーの保守員が持ち込むUSBメモリの扱いを、保守の前に決めておく
同ガイドラインの対策例は、不要なポートについて、最低限が端子キャップ、中程度がサービス停止やUSBクラス制限などのソフトによる閉塞、高い水準がハードの閉塞という段階を示しています。表は例示であり、自社に合わせて精査が必要とされています。
設備の制御用パソコンは、設定を変えると動作や保証に影響することがあります。設定を変える前に設備メーカーへ確認してください。
止めたあとに何で運ぶのか？
代わりの手段がないと、USBメモリの制限は続きません。社内なら共有サーバー、社外なら権限と期限を付けられるファイル共有サービスが候補です。
出口を1つ塞ぐと、別の出口へ流れることもあります。ガイドラインは、記録媒体だけでなくモバイル機器のカメラや通信での持ち出しにも触れています。USBの制限だけで情報漏えいがなくなるわけではないので、公表された内部不正の共通点にあるように、権限とログの見直しも一緒に進めてください。ほかの対策は情報漏えい対策のカテゴリーにまとめています。
運用を続けるには何が要るのか？
許可したUSBメモリは台帳で管理します。番号、持ち主の部署、購入日、暗号化の有無を記録し、年に1回以上は現物と突き合わせます。経済産業省のガイドラインも、可搬型の記憶デバイスの保管と利用の方法の設定、定期的な監査を例に挙げています。
処分のときは、IPAのガイドラインが示すとおり、復元できないように消去します。外部に頼むなら、委託先の確認と廃棄証明書の受け取りも手順に入れます。
