増谷 洋 NRIセキュアテクノロジーズ事業開発部長
池浦 規之 NRIセキュアテクノロジーズ事業開発部セキュリティエンジニア
外部記憶媒体は，ほかの情報流通手段に比べて利用の証拠が残りにくいため，社外に情報を持ち出す手段に使われていることが懸念されます。個人情報保護法が施行された現在，外部記憶媒体にもパソコンと同レベルで利用状況を記録する体制が求められています。
NRIセキュアテクノロジーズが過去2年間に集計した情報漏えい経路についての統計によると，情報漏えい事故の多くは，Webやメールを介したりパソコンの紛失・盗難によるものでした（表1）。しかし原因不明の事故が60件あることも見逃せません。ここには，多くのユーザーが使う外部記憶媒体を原因とするものが相当数含まれていると考えられます。
外部記憶媒体を原因とする情報漏えいは，判明している分だけを見ると少数派です。しかし，外部記憶媒体には適切な資産管理が実施されていません。情報を持ち出した際の証拠が残りにくいため，悪用される懸念が残ります。
「コピー禁止と追跡可能」の両立が重要
多くのパソコンはフロッピー・ディスクやCD-Rといった装置を内蔵するうえ，フラッシュ・メモリーなどの記憶媒体を取り付けられるUSBポートを備えています。これらを使えるようにしておくと，情報漏えいの可能性が高くなります。不要なら使えなくすべきです。
ただし社内にあるすべての外部記憶装置を使用できなくする処置は，現実的ではありません。CD-Rなどにバックアップを取ることもあるでしょう。しかし一部のパソコンで外部記憶媒体を付けたままにすると，万が一情報漏えい事故が発生した場合に，その原因を調べることができません。つまり，外部記憶媒体に対しては(1)不要な情報のコピーをできなくすること，(2)情報をコピーする場合は，いつ誰がそれを実施したかを追跡できるようにしておくこと——の2点を両立することが重要です。
外部記憶媒体の使用方法をツールで管理
不要な情報のコピーを阻止するには，パソコンからフロッピー・ディスク・ドライブなどの外部記憶装置を取り外してしまえば完璧でしょう。OSでデバイスを無効化して利用禁止にしてしまう方法もあります。こちらは，機密情報を扱うことの多い金融機関などで，情報漏えい対策の手段として用いられてきました。
しかしこれらの方法は，業務で必要になる作業を管理者が一方的に禁止することにつながります。業務上必要な情報もコピーできなくなってしまうでしょう。その結果，利用者の利便性を極端に下げる恐れがあります。
利便性を下げず，かつ必要のない情報のコピーを禁止するには，外部記憶媒体からの持ち出しを防ぐためのツールを導入するとよいでしょう（図1）。総合的な情報漏えい対策ツールの一部も，外部記憶媒体への書き込み禁止を機能として備えています。
これらのツールはいずれも，利用者の権限に応じて，外部記憶装置の使用を部分的に許可/禁止することが可能です。例えば「外部デバイスからの読み込みはできるが書き込みは禁止」，「読み書きともに禁止」といった制限を，ユーザーまたはパソコンごとに設定できます。また，USBメモリーの読み書きを禁止しても，マウスやスキャナーなど業務に必要なUSB機器の利用は制限されません。
使用状況の把握機能も不可欠
(2)で示した情報コピーの履歴の記録も，外部記憶媒体による情報漏えいを防ぐためには不可欠です。外部記憶媒体への書き込みを禁止するツールや情報漏えい対策ツールによっては，外部記憶媒体が「誰によって」，「どのように使われたか」を記録できます。
ある特定のパソコンに対して外部記憶媒体への書き込みを許可しながら，その使用状況を記録しなかったケースを想定してください。もし悪意のある社員がこのパソコンを使って外部記憶媒体に情報をコピーして持ち出しても，それが誰の行為によるのかを追跡できません。これでは，ほかの多くのパソコンに設定した書き込み禁止措置が無意味になってしまいます。
使用状況を記録すれば，今まで不明確だった外部記憶媒体の利用実態を把握することもできます。そうすれば，「外部記憶媒体へのコピーが本当に必要なのか」，「外部記憶媒体以外でのデータ送受信方法に代替できないか」といったことを検討し，データのコピーを必要最小限に抑えていくことを考えるきっかけになるでしょう。使用状況を単に記録するだけでなく，それを分析して次のアクションにつなげていくことが重要です。
