「USBメモリは危険だから、すべて禁止しましょう」
情報セキュリティ対策としては、分かりやすい方針です。
しかし実際の業務では、取引先から物理媒体での納品を求められる、インターネットへ接続できない製造設備とデータを受け渡す、現場で測定データを回収するなど、USBメモリを完全にはなくせない場合があります。
その結果、会社の正式なルールでは禁止しているのに、現場では私物USBメモリを使うという、かえって把握しにくい状態が生まれることもあります。
重要なのは、「全面禁止か、自由利用か」の二者択一ではありません。
原則としてUSBメモリを使わず、業務上やむを得ない場合だけ、会社が所有する登録済み媒体を、目的・期間・利用者を限定して使用することです。
さらに、USBメモリには二つの異なる危険があります。
一つは、紛失や盗難によって、保存した情報が外部へ漏れる危険です。
もう一つは、外部のパソコンや設備で使用したUSBメモリから、社内へマルウェアを持ち込む危険です。
暗号化だけではマルウェアの混入を防げません。ウイルスチェックだけでは、紛失時の情報漏えいを防げません。
本記事では、USBメモリをゼロにできない中小企業が整備すべき、承認、暗号化、マルウェア検査、持出記録、返却確認、紛失時初動を整理します。
2026年夏の公表事案から分かる二つの危険
47個のUSBメモリからマルウェアが検知された三重県の事例
三重県は2026年7月8日、庁内で保有しているUSBメモリを調査した結果、総数1万757個のうち47個からマルウェアを検知したと公表しました。
検知されたマルウェアはすべて活動していないもので、パソコンへの感染や被害は確認されていません。
検知された47個の内訳は、過去に保存したメールデータに含まれていたものが29個、外部端末で使用した際に混入したものが18個でした。
三重県は原因について、USBメモリ使用時のウイルスチェックが徹底されていなかったためと説明しています。今後の対策として、必要性を精査したうえでの使用数削減、登録管理、私物USBメモリの全面禁止、ウイルスチェックの自動化、外部から受け取ったUSBメモリを確認する専用端末の設置などを挙げています。
この事例で重要なのは、47個からマルウェアが検知されたことだけではありません。
実際の感染や被害が確認されていなかったことと、マルウェアが含まれていたことを分けて考える必要があります。
「マルウェアが検知された」という事実だけで、すでに情報が盗まれたと断定することはできません。一方で、日常的な確認をしなければ、活動していないマルウェアを長期間保有し続ける可能性があることも分かります。
ルールがあっても実行されなかった陸上自衛隊の事例
陸上自衛隊は2026年6月30日の記者会見で、中部方面総監部が2024年4月以降に使用していたUSBメモリについて、2025年2月にマルウェアを検知したと説明しました。
確認されたものは自己増殖の動作にとどまる古典的なマルウェアで、情報窃取、外部通信、接続したシステムへの拡散、外部への情報流出は確認されなかったとしています。
一方で、USBメモリの使用時に例外なくウイルスチェックを行うという規則が守られていなかったことも明らかにされています。
この事例から分かるのは、規則を作るだけでは十分ではないということです。
「USBメモリを使うときは検査する」と規程へ記載していても、誰が、どの端末で、どのタイミングに検査し、結果をどこへ記録するのかが決まっていなければ、現場では省略されやすくなります。
厳重なサーバ室でも外部記憶媒体が所在不明になった事例
九州電力送配電は2026年7月8日、一部システムのバックアップに使用していた外付けSSDが所在不明となった事案について、原因と再発防止策を公表しました。
対象はUSBメモリではなく外付けSSDですが、外部記憶媒体を管理するうえで共通する教訓があります。
公表資料によると、サーバ室には本人確認、カード認証、生体認証、監視カメラなどの対策が施されていました。一方、SSDを保管していたキャビネットは施錠されておらず、SSD自体にも暗号化やパスワード保護は行われていませんでした。
委託先に対しても、保管場所や施錠の有無などを仕様書や作業手順書で具体的に指示しておらず、会社側の立会いや施錠確認も行われていなかったと報告されています。
同社は再発防止の基本を「使わない・持ち出させない・読み取れない」と整理し、やむを得ず外部記憶媒体を使う場合の権限者承認、施錠保管、暗号化、委託先への明確な指示などを対策に挙げています。
この事例は、「サーバ室の中にあるから安全」「委託先が作業しているから大丈夫」という判断が十分ではないことを示しています。
建物や部屋への入退室管理と、USBメモリやSSDそのものの管理は、分けて考えなければなりません。
共通する問題は「例外業務が管理されていないこと」
三つの公表事案は、発生した組織、媒体、確認された影響がそれぞれ異なります。
すべてを同じ事故として扱うことはできません。
一方で、実務上の共通点として、次の点を読み取ることができます。
- USBメモリの保有数や使用状況を把握できていない
- 使用時の確認が、利用者の注意力に依存している
- 安全な区域にあることを、媒体自体が安全であることと混同している
- 暗号化、施錠、検査、承認のどれか一つだけで十分と考えている
- 委託先へ具体的な作業条件を伝えていない
- 規程はあるが、実施記録や確認者が決まっていない
USBメモリ対策で必要なのは、一つの製品を導入することではありません。
「使う必要性」「媒体の所有者」「保存する情報」「接続する端末」「持ち出す人」「返却日」「紛失時の連絡先」を一つの流れとして管理することです。
基本方針は「原則不使用、必要な場合だけ承認」
会社として最初に決めるべきなのは、USBメモリを原則として使わないという方針です。
ただし、禁止の一文を書くだけではなく、次の二つも同時に決めます。
一つ目は、USBメモリを使わずに業務を行うための代替手段です。
例えば、会社が契約したクラウドストレージ、アクセス期限付きの共有リンク、管理されたファイル転送サービス、社内ネットワーク上の受け渡し領域などが考えられます。
ただし、クラウドやメールへ変えれば必ず安全になるわけではありません。取り扱う情報、契約条件、共有相手、アクセス制限、保存期間に応じて、適切な方法を選ぶ必要があります。
二つ目は、USBメモリを使わなければ業務ができない場合の例外手続です。
例えば、次のような場合です。
- ネットワークへ接続できない製造設備とのデータ受け渡し
- 顧客が指定した物理媒体による納品
- 現場機器からの測定データ回収
- 障害対応時のログ回収
- インターネットから分離された環境への更新データ搬入
- 災害や通信障害時の代替手段
例外を認める場合は、「この従業員はUSBメモリを使ってよい」と人に対して包括的に許可するのではなく、業務目的、対象データ、利用期間、接続先ごとに承認します。
以下の運用案は、すべての会社に一律に課される法的義務ではありません。個人情報保護委員会の安全管理措置、直近の公表事案、IPAの中小企業向けガイドラインを踏まえた、中小企業向けの実務上の提案です。IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、個人事業主や小規模事業者を含む中小企業が、段階的に対策を進めることを想定しています。
会社として決めたい八つの最低ルール
| ルール | 実施する内容 | 残す記録 |
|---|---|---|
| 私物USBを使わない | 会社が購入・登録した媒体だけを使用する | USBメモリ台帳 |
| 必要性を承認する | 代替手段では対応できない理由を確認する | 持出申請票、利用申請票 |
| 利用者と期間を限定する | 特定の業務、利用者、接続先、返却日を決める | 承認者、利用開始日、返却予定日 |
| 保存データを最小限にする | 必要なファイルだけをコピーし、元の一覧や不要な履歴を入れない | データ区分、対象件数 |
| 暗号化する | 媒体または保存ファイルを会社指定の方法で暗号化する | 暗号化方式、設定確認日 |
| 接続先を限定する | 会社が許可した端末、検査端末、対象設備だけで使う | 接続先、検査結果 |
| 施錠・携行を管理する | 未使用時は施錠保管し、車内や机上へ放置しない | 保管場所、鍵の管理者 |
| 返却・消去を確認する | 業務終了後に返却し、不要データを消去する | 返却日、消去確認者 |
個人情報保護委員会の通則ガイドラインでは、個人データを記録した電子媒体や書類の盗難・紛失を防止するための管理を行うこと、持ち運ぶ場合には容易に個人データが判明しないよう安全な方策を講じることが示されています。
ここでいう「持ち運ぶ」には、会社の外へ持ち出す場合だけでなく、管理区域や取扱区域から別の場所へ移動させる場合も含まれます。事業所内の移動であっても、紛失や盗難への配慮が必要です。
USBメモリ台帳に記録する項目
USBメモリは、小さいため、現物を見ただけでは誰のものか、何の業務に使うのかが分かりません。
まず、会社が保有しているUSBメモリを一度集め、管理番号を付けます。
USBメモリ台帳の記載例
| 項目 | 記録内容 |
|---|---|
| 媒体管理番号 | USB-001など、会社独自の番号 |
| 製品情報 | 製品名、容量、シリアル番号 |
| 所有者 | 会社名、部署名 |
| 管理責任者 | 保管と貸出を管理する担当者 |
| 主な用途 | 顧客納品、設備更新、ログ回収など |
| 利用可能者 | 氏名または部署 |
| 接続可能な端末 | 検査端末、指定PC、対象設備 |
| 暗号化 | 有無、確認日 |
| 保管場所 | 鍵付き保管庫、管理者席など |
| 貸出日 | 利用者へ渡した日 |
| 返却予定日 | 返却を確認する期限 |
| 返却日 | 実際に返却された日 |
| 最終検査日 | マルウェア検査を行った日 |
| 状態 | 保管中、貸出中、故障、廃棄など |
| 廃棄記録 | 消去方法、廃棄日、確認者 |
シリアル番号を取得できない製品では、会社独自の管理番号と、視認できる管理ラベルを併用します。
台帳上では「保管中」なのに現物が見つからない、同じ管理番号の媒体が複数ある、誰が持っているか分からないといった状態をなくすことが目的です。
持出申請票は「書類を増やすため」ではない
持出申請票は、従業員の責任を追及するための書類ではありません。
持ち出す前に、会社が確認すべき事項を漏れなく確認するためのものです。
持出申請票へ入れる項目
| 項目 | 確認内容 |
|---|---|
| 申請者・部署 | 誰が持ち出すか |
| 媒体管理番号 | どのUSBメモリを使うか |
| 利用目的 | 何の業務に必要か |
| 代替できない理由 | クラウド等では対応できない理由 |
| 持出先 | 顧客、現場、委託先など |
| 持出期間 | 持出日と返却予定日 |
| 保存する情報 | 顧客資料、図面、測定値など |
| 情報区分 | 公開、社内限り、機密、個人データなど |
| 対象件数 | 個人データがある場合の人数・件数 |
| 暗号化 | 実施方法と確認者 |
| 受渡方法 | 手渡し、書留、専用便など |
| 紛失時連絡先 | 第一報を受ける責任者 |
| 承認者 | 業務責任者、情報管理責任者 |
| 返却・消去確認 | 返却日、消去日、確認者 |
申請票には、個人の氏名や具体的な機密情報をそのまま転記しないようにします。
「顧客名簿500人分」「製品Aの設計図3ファイル」など、情報の種類と規模を判断できる範囲で記録します。
申請票を作るだけでは事故は防げません。
申請内容を確認する人、承認せず差し戻す条件、緊急時の例外承認、返却を催促する人まで決める必要があります。
「社外へ出すUSB」と「社外から受け取るUSB」を分ける
一つのUSBメモリを、顧客への納品、外部からのデータ受領、社内でのファイル移動のすべてに使うと、接続先が増えます。
接続先が増えるほど、どこでマルウェアが混入したのかを追跡しにくくなります。
本稿では、少なくとも次の三種類へ分けることを提案します。
| 区分 | 主な用途 | 管理上の注意 |
|---|---|---|
| 社内専用 | 社内の許可端末間だけで使用 | 社外端末へ接続しない |
| 社外持出用 | 顧客への納品、現場への持出し | 持出承認、暗号化、返却確認 |
| 受入専用 | 顧客や委託先から受け取るデータ | 通常PCへ直接挿さず、検査端末で確認 |
特に、外部から受け取ったUSBメモリを、会計、給与、顧客管理、製造管理などの重要端末へ直接接続することは避けるべきです。
まず、通常業務から分離した検査用端末や、会社が指定した確認環境で検査します。三重県も、外部から業務で受け取ったUSBメモリを確認するための専用端末を順次設置するとしています。
ウイルス対策ソフトで何も検知されなかったことは、安全を永久に保証するものではありません。
検査は、リスクを下げるための一つの対策として扱い、接続先の限定、OS・ソフトウェアの更新、不要な自動実行の抑止などと組み合わせます。
暗号化は何を守り、何を守らないのか
暗号化の主な目的は、USBメモリを紛失したり盗まれたりしても、第三者が保存内容を容易に読めないようにすることです。
一方で、暗号化されたUSBメモリでも、正規の利用者が解除して使用している間は、保存データを読み取れます。
また、暗号化は、USBメモリにマルウェアが混入することを防ぐ対策ではありません。
そのため、暗号化とマルウェア検査は、別々に必要です。個人情報保護委員会は電子媒体を持ち運ぶ際の安全な方策を求めており、三重県の事例ではマルウェア混入防止のための登録管理、検査、自動化、専用端末の導入が示されています。
暗号化の運用で確認したいこと
- 会社指定の暗号化方法を使っているか
- 暗号化が実際に有効になっているか
- 復号に必要なパスワードや鍵を会社が管理できるか
- USBメモリとパスワードを同じ袋に入れていないか
- パスワードを媒体本体へ貼り付けていないか
- 担当者の退職後も会社が復号できるか
- 故障時や担当者不在時の復旧方法を確認しているか
顧客へUSBメモリを渡す場合、復号パスワードを同じ封筒や同じ連絡手段で送ると、媒体とパスワードを同時に取得される可能性があります。
受渡方法、パスワードの連絡方法、受取人の本人確認を分けて設計します。
「暗号化していたから報告不要」と即断しない
個人情報保護委員会への報告が不要となり得る「高度な暗号化等」に該当するためには、その時点の技術水準に照らして、第三者が情報を読める状態にすることが困難である技術的措置が適切に実装され、復号鍵などの手段も適切に管理されている必要があります。
個人情報保護委員会のFAQでは、暗号化した情報と復号鍵を分離し、鍵自体の漏えいを防ぐ措置なども必要と説明されています。
したがって、単に「パスワードを設定した」「暗号化ソフトを使った」という事実だけで、報告や本人通知が不要だと判断してはいけません。
使用した方式、実装状況、鍵の管理、パスワードの強度、媒体と鍵が同時に失われていないかを確認したうえで判断します。
判断が難しい場合は、個人情報保護委員会の相談窓口、所管官庁、弁護士、情報セキュリティ専門家などへ確認してください。
持ち出す前から返却までの実務フロー
| 段階 | 実施すること | 証拠として残すもの |
|---|---|---|
| 1. 必要性確認 | 他の安全な方法で代替できないか確認する | 利用理由 |
| 2. 情報確認 | 保存するファイル、情報区分、件数を確認する | データ一覧、対象件数 |
| 3. 媒体貸出 | 登録済みの会社所有USBを割り当てる | 媒体管理番号 |
| 4. 事前検査 | USBとコピー元端末を確認する | 検査日、結果 |
| 5. データ最小化 | 不要なファイル、別案件、変更履歴等を除く | 確認者、確認結果 |
| 6. 暗号化 | 会社指定の方法で保護し、復号確認を行う | 暗号化確認記録 |
| 7. 承認 | 業務責任者と情報管理責任者が確認する | 承認者、承認日 |
| 8. 持出し | 施錠可能なかばん等で携行する | 持出日時、行き先 |
| 9. 受渡し | 指定された相手へ直接渡す | 受領者、受領日時 |
| 10. 返却 | 期限までに管理者へ返却する | 返却日 |
| 11. 再検査 | 外部端末で使用した場合は、通常端末へ接続する前に検査する | 検査結果 |
| 12. 消去 | 保存が不要になったデータを消去する | 消去日、確認者 |
特に見落とされやすいのが、返却後の再検査です。
持ち出す前には検査していても、顧客や現場の端末へ接続すれば、戻ってきた時点では「外部から受け取った媒体」と同じ状態です。
返却されたUSBメモリを、そのまま社内の重要端末へ接続しない運用が必要です。
USBメモリを紛失したときに最初にすること
紛失に気づいた従業員は、「もう少し探してから報告しよう」と考えがちです。
しかし、探し続けて報告が遅れると、会社はデータの内容、暗号化状態、報告義務、取引先への連絡を確認できません。
第一報では、すべての事実が確定している必要はありません。
分かっている範囲で、直ちに責任者へ報告します。
第一報で伝える内容
| 確認項目 | 内容 |
|---|---|
| 発覚日時 | なくなったことに気づいた日時 |
| 最終確認 | 最後に媒体を確認した日時と場所 |
| 移動経路 | 会社、訪問先、駅、車両、店舗など |
| 媒体 | 管理番号、製品、外観、容量 |
| 保存情報 | ファイルの種類、情報区分 |
| 対象件数 | 個人データがある場合の人数 |
| 保護状態 | 暗号化、パスワード、鍵の管理状況 |
| 利用端末 | 最後に接続した端末 |
| 関係者 | 携行者、受取予定者、委託先 |
| 現在の対応 | 捜索、施設への連絡、警察への届出など |
報告を受けた責任者は、捜索と影響確認を並行して進めます。
会社側の初動
- 紛失者から時系列を確認する
- USBメモリ台帳と持出申請票を確認する
- 保存したデータの正確な内容と件数を調べる
- 暗号化方式と復号鍵の管理状態を確認する
- 訪問先、交通機関、施設の遺失物窓口へ連絡する
- 必要に応じて警察へ届出を行う
- 個人情報、営業秘密、顧客情報への影響を確認する
- 委託元、取引先、所管官庁への連絡要否を判断する
- 個人情報保護委員会への報告と本人通知の要否を判断する
- 判断過程と実施した対応を記録する
紛失者が独断で顧客全員へ連絡したり、SNSへ説明を書き込んだりしてはいけません。
会社として事実関係、影響範囲、連絡内容、問い合わせ窓口を整理して対応します。
個人情報保護委員会への報告が問題となる場合
個人情報保護法上、すべてのUSBメモリ紛失について、必ず個人情報保護委員会への報告が必要になるわけではありません。
まず、そのUSBメモリに「個人データ」が保存されていたかを確認します。
そのうえで、次の報告対象事態に該当するかを確認します。
| 報告対象となる主な事態 | USB紛失時の確認例 |
|---|---|
| 要配慮個人情報を含む | 病歴、診療情報、健康診断結果など |
| 財産的被害のおそれがある | クレジットカード情報、送金に使える認証情報など |
| 不正目的の行為によるおそれがある | 盗難、内部不正、意図的な持ち出しなど |
| 本人の数が1,000人を超える | 対象データの本人が1,001人以上となる場合 |
個人情報保護委員会の通則ガイドラインでは、患者の診療情報や調剤情報を含む個人データを記録したUSBメモリを紛失した場合が、報告を要する事例として明示されています。
報告対象事態に該当する場合、個人情報保護委員会は、速報を発覚日からおおむね3～5日以内、確報を原則30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。
ただし、実際の判断では、次の点も確認する必要があります。
- 保存されていた情報が個人データに該当するか
- 本人の人数をどのように数えるか
- 漏えい等が発生した「おそれ」があるか
- 高度な暗号化等の要件を満たしているか
- 委託先として預かっていたデータか
- マイナンバーが含まれていないか
- 業界固有の報告先や契約上の連絡期限がないか
「見つかるかもしれないから待つ」「暗号化しているから大丈夫だろう」と考えて判断を先送りしないことが重要です。
個人情報保護委員会は、USBメモリ紛失事案を受けた注意喚起において、地方公共団体から委託を受けた事業者などで個人データを含むUSBメモリの紛失が発生しているとして、個人情報保護法に沿った適正な取扱いを求めています。
紛失したUSBメモリが見つかった場合
USBメモリが見つかっても、その場で通常の業務用パソコンへ接続してはいけません。
紛失していた間に、第三者の端末へ接続されたり、内容を書き換えられたりした可能性を否定できないためです。
回収後は、少なくとも次の確認を行います。
- 外観や封印に変化がないか
- 最後に確認したものと同一の媒体か
- 管理番号やシリアル番号が一致するか
- 検査用端末でマルウェアが検知されないか
- ファイル数、更新日時、ハッシュ値等に変化がないか
- 新しいファイルやショートカットが追加されていないか
- 紛失中に接続された痕跡を確認できるか
すべてのUSBメモリで高度なデジタルフォレンジック調査が必要になるわけではありません。
ただし、重要な個人情報、営業秘密、認証情報、取引先から預かった情報が含まれていた場合は、自社だけで「問題なし」と結論付けず、IT事業者や専門家へ相談します。
マルウェアが検知された場合の初動
USBメモリからマルウェアが検知された場合は、まずそのUSBメモリの使用を停止します。
ファイルを開いて内容を確認したり、別のパソコンへ何度も接続したりすると、影響範囲が広がる可能性があります。
確認する事項
- USBメモリの管理番号
- 検知日時
- 検知した端末
- マルウェア名や警告内容
- 実行・隔離・削除の状況
- USBメモリを接続した可能性がある端末
- 接続した日時と利用者
- 開いたファイル
- コピーしたファイル
- 外部端末での使用履歴
- ウイルス対策ソフトやEDRのログ
対象USBメモリを接続した端末については、利用を継続してよいかをIT管理者や保守事業者が判断します。
重要なのは、マルウェアの「検知」と、パソコンへの「感染」、情報の「窃取」を区別することです。
三重県の公表事案でも、USBメモリからマルウェアは検知されましたが、すべて活動しておらず、感染や被害は確認されていませんでした。検知したという事実だけで情報漏えいを断定せず、端末への影響、実行の有無、外部通信、情報へのアクセスを確認します。
委託先がUSBメモリを扱う場合
USBメモリを自社の従業員が扱わず、保守会社や業務委託先が扱う場合でも、管理を相手任せにしてはいけません。
契約書、仕様書、作業手順書には、少なくとも次の事項を記載します。
| 確認項目 | 取り決める内容 |
|---|---|
| 使用媒体 | 委託元所有か、委託先所有か |
| 私物媒体 | 使用禁止 |
| 利用目的 | 指定業務以外に使用しない |
| 保存情報 | 必要最小限とする |
| 暗号化 | 方法と鍵の管理 |
| 接続端末 | 指定端末以外へ接続しない |
| 保管 | 鍵付き保管場所 |
| 持出し | 事前承認の要否 |
| 作業記録 | 接続日時、担当者、コピー内容 |
| 返却・消去 | 完了期限と確認方法 |
| 紛失・異常 | 連絡先と報告期限 |
| 再委託 | 可否と管理条件 |
| 監査 | 記録確認や現地確認の方法 |
九州電力送配電の公表資料では、社内規定上は情報の取扱いや持運びのルールを委託仕様書等へ記載することとしていたものの、具体的なSSDの保管方法や施錠について明確な指示がなく、会社社員による立会いや確認も行われていなかったことが原因の一つとして挙げられています。
「適切に管理すること」という抽象的な一文だけでは、保管場所、施錠、暗号化、確認者が決まりません。
委託先が実際に何を行うのかを、作業単位で記載する必要があります。
月1回確認したいUSBメモリの数字
経営者が個々のUSBメモリを確認する必要はありません。
管理担当者から、次の数字を報告してもらいます。
| 指標 | 確認する意味 | 目指す状態 |
|---|---|---|
| 登録済みUSBメモリ数 | 会社が保有する媒体を把握できているか | 台帳と現物が一致 |
| 貸出中の数 | 誰が持っているか分かるか | すべて利用者と期限を特定 |
| 返却期限超過数 | 持ち出したままになっていないか | 0 |
| 暗号化されていない例外数 | 保護されていない媒体が残っていないか | 原則0 |
| 利用目的不明の数 | 過去の媒体が放置されていないか | 0 |
| 私物・未登録媒体の検知数 | 会社管理外の媒体が使われていないか | 0 |
| 最終検査期限超過数 | 定期確認が止まっていないか | 0 |
| 紛失・所在不明数 | 重大な管理不備がないか | 0 |
月次確認の頻度は、すべての企業に一律に課されるものではありません。
媒体の数、利用頻度、保存する情報の重要度に応じて、毎月、四半期、利用の都度など、自社に合った頻度を決めます。
30日で最低限の仕組みを作る
専任の情報システム担当者がいない会社では、次のように四週間へ分けると進めやすくなります。
| 期間 | 実施すること | 完成させるもの |
|---|---|---|
| 第1週 | 社内のUSBメモリを集め、所有者、用途、保管場所を確認する | USBメモリ台帳の初版 |
| 第2週 | 不要媒体を廃止し、会社指定媒体、暗号化、保管方法を決める | 利用ルール、許可媒体一覧 |
| 第3週 | 持出申請、貸出、返却、受入検査の流れを試す | 持出申請票、貸出台帳 |
| 第4週 | 紛失時の報告訓練を行い、委託先との手順も確認する | 初動チェック表、委託先確認票 |
最初から高額な媒体制御システムやDLP製品を導入しなければならないわけではありません。
まずは、次の状態を作ります。
- 私物USBを使わせない
- 会社所有のUSBを識別できる
- 誰が持っているか分かる
- 機密情報や個人データを暗号化する
- 外部から戻った媒体を検査する
- 紛失時に直ちに報告できる
- 実施記録を提示できる
そのうえで必要に応じて、USBストレージの接続禁止、端末ごとの許可リスト、操作ログ、データ持出制御、読み取り専用化などの技術的対策を検討します。
経営者が確認したい五つの質問
- 会社が保有するUSBメモリの本数と保管場所を説明できるか
- 私物USBメモリを技術面・運用面の両方で禁止できているか
- 個人情報や機密情報を持ち出す際の承認者が決まっているか
- 暗号化の設定と復号鍵の管理を実際に確認したことがあるか
- 紛失した従業員が、夜間や休日でも第一報を送れるか
この五つに答えられないからといって、直ちに情報漏えいが発生しているとは限りません。
しかし、USBメモリを会社として管理できていない可能性があります。
まとめ
USBメモリそのものが、常に危険なわけではありません。
問題になるのは、会社が存在を把握していない媒体、利用目的が不明な媒体、暗号化されていない媒体、外部端末で使用した後に検査されていない媒体です。
USBメモリを完全に廃止できない会社では、次の順番で管理します。
- 原則として使用しない
- 必要な場合だけ承認する
- 私物ではなく会社所有の登録媒体を使う
- 保存データを必要最小限にする
- 暗号化とマルウェア検査を別々に行う
- 持出し、返却、消去を記録する
- 紛失時は、探し終わる前に報告する
- 個人データがある場合は、報告・本人通知の要否を速やかに判断する
最初の一歩は、社内にあるUSBメモリを集め、管理番号を付けることです。
「何本あるか分からない」という状態を解消するだけでも、私物媒体、所在不明媒体、不要媒体を発見できます。
ライトハウスコンサルタントの「中小企業セキュリティ現状診断」では、情報資産の管理、持ち出しルール、個人情報の取扱い、委託先管理、インシデント時の連絡体制などを確認対象としています。USBメモリを禁止しているはずなのに現場で使われている、持出申請が形骸化している、紛失時の判断に不安がある場合は、現在の業務を止めない形で管理方法を整理することが重要です。
