USBメモリ経由の情報持ち出しとは、USBメモリなどの記録媒体を使って、社内データを社外へ持ち出す行為を指します。
許可のない持ち出しは、内部不正に該当する可能性があり、情報漏洩につながるおそれがあります。
【結論】
USB制御により、未承認USBメモリの利用や外部記録媒体への書き込みを制限できる
メール、クラウドストレージ、印刷、スクリーンショット、画面撮影はUSB制御だけでは防げない
暗号化、操作ログの取得・監視、アクセス権限管理、運用ルールを組み合わせる必要がある
本記事では、USB制御でどこまで防げるのか、その限界と組み合わせるべき対策について解説します。
1. USBメモリ経由の情報持ち出しはなぜ問題になるのか？
USBメモリは手軽にデータを持ち運べる一方、記録容量が大きく、社外への持ち出しが容易な媒体です。
社内の顧客情報や設計データなどがUSBメモリにコピーされた場合、ネットワーク経由の送信とは異なり、適切なデバイス制御やログ監視が行われていなければ、コピーや持ち出しを把握しにくい場合があります。
2016年に公表されたIPAの調査では、情報の持ち出し手段としてUSBメモリが最も多く、従業員300名未満の企業の過半数が、外部記録媒体の利用制限について「方針やルールはない」と回答しています。
この結果からも、利用ルールだけでなく、技術的な利用制限を組み合わせることの重要性が分かります。
（出典：IPA「内部不正による情報セキュリティインシデント実態調査」報告書）
例えば、退職を控えた社員が、顧客リストや技術情報を私物のUSBメモリにコピーして持ち出すケースが考えられます。
正規のアクセス権限を持つ利用者によるコピーは、通常の業務操作と区別しにくい場合があるため、事前の利用制限やログ監視が重要になります。
悪意がなくても、USBメモリを紛失したり、置き忘れたりすることで情報が流出するケースもあります。
暗号化されていないUSBメモリの場合、拾得者や盗難者が中身を閲覧できてしまうおそれがあります。
USB制御製品では、製品や設定に応じて、許可されていないUSBメモリの利用（読み取り・書き込み）を、端末・ユーザー・媒体単位などで制御したり、コピー操作を記録・制限したりできます。
利用を許可制にすることで、業務上必要な媒体だけを利用可能にし、未承認媒体への持ち出しを仕組みで抑止できる点が特徴です。
USBメモリを対象とした制御は、外部記録媒体経由の持ち出しを抑止する対策です。
製品によってはSDカードや外付けストレージ、スマートフォンなども制御できますが、メール、クラウドストレージへのアップロード、印刷、スクリーンショット、スマートフォンなどによる画面撮影には、別の対策が必要です。
また、許可媒体へのコピー履歴を記録できても、コピー件数やデータ容量に基づくアラート、定期的なログ確認などを行わなければ、異常な大量コピーを見逃す可能性があります。
対策の対象範囲を整理すると、次のとおりです。
|
持ち出し経路 |
USBデバイス制御での対応 |
追加対策 |
|
未承認USBメモリ |
利用・書き込みを制限可能 |
許可媒体の登録・管理 |
|
許可済みUSBへの大量コピー |
ログ取得・アラート機能の有無による |
コピー容量・件数の監視 |
|
外付けSSD・SDカード |
制御対象に含まれるかは製品による |
対応デバイス範囲の確認 |
|
メール添付 |
原則対象外 |
メールDLP |
|
クラウドへのアップロード |
原則対象外 |
エンドポイントDLP・Web制御・CASB |
|
印刷 |
原則対象外 |
印刷制御・ファイル単位の持ち出し制御 |
|
スクリーンショット |
USB制御単体では対象外 |
画面キャプチャ制御 |
|
スマートフォン等による画面撮影 |
技術的な完全防止は困難 |
持ち込みルール・透かし・入退室管理 |
USB経由のリスクを抑えるだけでなく、ファイルそのものを保護する暗号化や、操作ログの取得・監視と組み合わせることで、対策の抜け漏れを減らせます。
コピー後も暗号化状態を維持する方式を採用すれば、万一ファイルが外部媒体へ移動した場合でも、第三者による閲覧リスクを抑えられます。
また、保護領域から外部へのコピー自体を制限し、ファイルの移動を防ぐ製品もあります。
暗号化製品によっては、正規ユーザーが保護領域外へファイルをコピーした際に、復号された状態で保存される場合があります。
そのため、暗号化の有無だけでなく、保護領域外へ移動した際の挙動も確認することが重要です。
USBデバイス自体の制御に加え、機密ファイルが保存されている領域からのコピーや画面キャプチャまで制限したい場合は、ファイル・フォルダ単位の持ち出し制御もあわせて検討します。
あわせて、機密ファイルにアクセスできるユーザーを業務上必要な範囲に限定することも重要です。
USB制御は、アクセスできるファイルを外部へ持ち出す行為を制限する対策であり、そもそも不要なユーザーが機密情報を閲覧できる状態までは解消できません。
定期的な権限棚卸しや、異動・退職時の権限削除もあわせて行います。
USB制御、暗号化、操作ログの取得・監視、アクセス権限管理を組み合わせることで、持ち出しの抑止と、万一の際の被害軽減の両方に対応できます。
USBメモリ対策は、次のような手順で段階的に進めるのが現実的です。
ステップ1: 社内で利用しているUSBメモリの台数・利用者・用途を洗い出す
ステップ2: 業務上必要な利用を整理し、許可制・申請制など運用ルールを見直す
ステップ3: USB制御製品を導入し、未承認のUSBメモリの利用や書き込みを制限する
ステップ4: 機密性の高いファイルや保存領域に、暗号化とアクセス権限管理を組み合わせる
ステップ5: 操作ログを定期的に確認し、大量コピーや通常と異なる操作がないかを監視する
費用は、運用ルールの見直しであれば大きな追加費用をかけずに始められますが、USB制御製品を導入する場合は、対象端末数や機能範囲に応じた予算確保が必要です。
IPAも、機器やデータの持ち出しルールを明確にして周知・運用状況を確認するとともに、USBメモリなどの外部記憶媒体には適切な暗号化を施すことを推奨しています。
（出典：IPA「日常における情報セキュリティ対策」）
USB制御製品は、製品によって対応範囲や設定の細かさが異なるため、次のような項目を確認しておくと比較しやすくなります。
制御できる媒体の種類
接続・読み取り・書き込みを個別に設定できるか
ユーザー・端末・媒体ごとにポリシーを設定できるか
許可媒体の登録や一時的な例外申請ができるか
コピー履歴、ファイル名、容量などを記録できるか
大量コピー時のアラートに対応しているか
フォルダ単位のコピー禁止や暗号化に対応しているか
オフライン端末でもポリシーが適用されるか
Active Directory（AD）などのユーザー管理基盤と連携できるか
対応OS・サポート期間・バージョンアップ方針
一律禁止も選択肢の一つですが、ルールだけではUSBメモリの利用を技術的に防げず、違反を把握できない場合があります。
業務上の利用が必要な場合は、許可された媒体だけを利用可能にし、それ以外の利用や書き込みを制限する仕組みと組み合わせる方が、実効性の高い運用につながります。
USB制御製品の費用は、対象端末数や管理サーバーの有無、ログ管理・暗号化などの機能によって異なります。
たとえば弊社、サイエンスパーク株式会社の情報漏洩対策製品「NonCopy 2」では、「デバイス制御」エディションがPC1台あたりライセンス料12,000円、年間保守料1,800円です。
※年間保守は初年度必須で・最小購入数は30ライセンス
なお、フォルダ単位の持ち出し制御や自動暗号化を利用する場合は、「フォルダ制御」または「セキュリティスイート」のエディションが対象となり、料金が異なります。
購入数によるボリュームディスカウントもあるため、実際の導入費用は個別の御見積が必要となります。
USBポートを物理的に塞ぐ方法は、比較的低コストで実施できる対策の一つです。
ただし、業務上USBメモリが必要な部署では運用が難しく、USB接続のキーボードやマウス、USB-Cドックなど業務上必要な機器への影響にも注意が必要です。
また、外部接続端子はUSBポート以外にも存在するため、これだけで十分とはいえません。
USBメモリ経由の情報持ち出しは、USB制御によって利用やコピーを一定程度抑止できますが、USB制御だけですべての経路をカバーできるわけではありません。
運用ルールの見直しから着手し、暗号化、操作ログの取得・監視、アクセス権限管理と組み合わせることで、対策の抜け漏れを減らせます。
USBメモリなど外部デバイスへのコピー制御、ファイルサーバー上の保護フォルダからの持ち出し制御、保護フォルダ内ファイルの自動暗号化まで対応したい場合は、弊社の情報漏洩対策製品「NonCopy 2」が選択肢の一つになります。
自社だけでは判断が難しい部分は、無理に運用でカバーしようとせず、専門サービスへの相談も検討するとよいでしょう。
弊社でも随時承っておりますので、お気軽にご相談ください。
参考情報・出典