USBメモリのセキュリティ管理｜禁止・許可・例外を業務で決める

USBメモリなど可搬媒体の管理では、不正プログラムの持込みと情報の持出しを分けて考えます。暗号化は紛失時の情報保護に役立ちますが、感染したファイルや許可のないコピーを自動でなくすものではありません。利用する業務、媒体の所有者、持ち出せる情報、検査と廃棄の条件を決めます。

全て禁止する規程でも、設備の保守や外部との受渡しで媒体が必要な場合があります。現場が隠して使う状態にせず、承認された媒体と経路、検査方法、記録を用意します。端末の接続制御や自動実行の扱いは環境により異なるため、規程と実際の設定を照合します。拾った媒体を内容確認のため業務端末へ接続しないことも基本です。

暗号化、マルウェアの検査、持出しの承認は別の目的を持ちます。どれか一つを行ったことを全ての対策が済んだ根拠にしないでください。

可搬媒体の利用は申請、支給、検査、返却や廃棄をつなげます。持出し先とデータの種類が変わった場合は、過去の許可をそのまま使わず再確認します。

媒体の一覧には所有者と用途、必要な取扱いを残します。暗号化の鍵の管理と復旧も、媒体を渡す前に確認してください。

外部から受け取る媒体と、自社から持ち出す媒体では確認する方向が異なります。受入れでは検査と接続先、持出しでは情報の分類、相手、コピーや返却を確認します。一つの承認様式を使う場合も、それぞれに必要な項目を明示します。

廃棄する媒体には、画面からファイルを消しただけで十分かを別に確認します。消去方法と実施結果、物理的な処理を担当者が確認します。媒体自体の紛失と、保存された情報の影響も区別して報告できるようにします。

サイバーセキュリティの学習ガイドで、このテーマを認証・端末とアクセス管理の中に位置付けてください。関連する前提は情報の分類と取扱いルール、OTとITのセキュリティの違いで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。