山下眞一郎/富士通南九州システムエンジニアリング 第一ソリューション事業部 ネットソリューション部 担当部長

 最近,ある企業のシステム管理者から「USBメモリーを使用する場合の注意点を教えてほしい」との相談を受けました。

 雑誌でも「便利なアイテムであるUSBメモリーをスマートに使いこなそう」といった記事を目にすることがあります。最近では,16Gバイト程度の小型USBメモリーも比較的安価に入手でき,軽量で大量のデータを簡単に持ち運べるようになっています。データの持ち運びだけでなく,自分が使用するアプリケーションやOSそのものを格納して,ほかのパソコンを自分仕様で便利に利用する手法も公開されています。さらには,Windows Vistaの一部のタイプには,高速なUSBメモリーを追加キャッシュ・メモリーとして使える「Windows ReadyBoost」という機能が含まれています。

 ただ,こうした便利な利用方法は,今の企業の現場には全くそぐいません。USBメモリーは,存在そのものが企業の存続を危うくする“危険な劇物”であるとの認識を持つ必要があります。私自身,現在ではUSBメモリーは“見るのも触るのもイヤ”という感覚を持つものになっています。USBメモリーにかかわる様々なインシデントを見聞きしましたが,一旦紛失事故などが発生した際の対応工数や失う信用,企業の経営基盤への影響といった膨大なマイナスのインパクトを考えれば,使用するメリットを見いだせません。私物のUSBメモリーはもちろんのこと,会社支給のUSBメモリーも含めて即座に一旦使用禁止にすべきだと考えます。

 データの保管という観点でのUSBメモリーの使用禁止は,ある程度容易に実現可能です。しかし,データを受け渡しするという観点では,ルールで使用禁止にするだけでは逆に危険です。USBメモリーがここまで簡単な手段として認知されている現状では,“隠れ使用”を促進することになりかねないからです。必ずデータを受け渡しする際に有効な代替手段を提示しなければなりません。

 代替手段の1つめは,「USBデータリンク・ケーブル」の活用です。持ち出しルールに則った安全なパソコンにデータを格納し,ターゲットのマシンとUSBデータリンク・ケーブルで接続することにより,データの受け渡しを簡単に実現するわけです。パソコンの持ち出しルールとしては,BIOSパスワード設定,HDDパスワード設定,HDD全体の暗号化,ログイン・パスワード設定,スクリーン・セーバー・パスワード設定,スタンバイ復帰後のパスワード要求設定(場合によってはスタンバイ禁止)などの義務化,そして前回のコラムで紹介した「コンピュータを守るための四つのステップ」の徹底が挙げられます。実際にこれらをルール化しているケースは少なくないでしょう。

 USBデータリンク・ケーブルにはUSB 2.0(最大データ転送速度480Mビット/秒)対応の製品がありますから,パソコン同士をUSBインタフェースで相互接続すれば高速にデータを受け渡すことができます。USBバス・パワー対応ですからUSBポートから供給される電源で動作可能であり,外部電源は必要ありません。また,「データ転送ソフト」を製品本体に内蔵しているケースがほとんどですので,別途アプリケーションやドライバ・ソフトをインストールする事前準備も不要です。まさしくUSBメモリー感覚で,すぐに利用できます。以前はなかったWindows VistaやWindows Server 2003対応の製品も,システムトークス製の「スゴイケーブル・イージー」など,徐々に増えてきました。

 こうしたUSBデータリンク・ケーブルは,パソコンのハード・ディスクの空き容量さえあれば,大容量のファイル(数十Gバイトでも)にも対応可能です。しかも,データの受け渡しするという目的はUSBメモリーと共通であるにもかかわらず,本製品を紛失してもデータ漏えいとは無縁です。制約はサポートOSがWindowsだけであること。UNIXやLinux,Mac OSをサポートしている製品はあまり一般的ではありません。このほか,データ受け渡し先のパソコンと手持ちのパソコンの直接接続を許可してもらえるのかという検討や,環境整備(必要に応じて相手側に受け渡し専用パソコンを用意してもらうなど)を行う必要があります。

 代替手段の2つめは,「データ交換用サーバー」の活用です。会社のルール化を前提として環境を事前に準備し,インターネットに接続されたサーバーに,ID,パスワードで保護された受け渡し相手ごとのスペースを用意して,SSL通信でデータを受け渡します。ログイン認証にICチップを格納したスマートカードを使う,格納されるデータそのものを暗号化するなどの方策と併せることで,セキュリティを高められます。

 ただし無償(一部のメニューは有償)で利用できる一般的なオンライン・ストレージサービスは利用を禁止すべきです。契約の中で,操作履歴の保存,運用状況の監査,必要に応じてログ提示依頼を実現できるサービスでなければセキュアに運用できません。

 すぐにはこうした代替手段を取れず,USBメモリーを継続して使用しなければならないケースも一部には残るでしょう。こうしたケースでも,最低限の製品選定条件や,運用条件は明確にすべきです。筆者は以下の4点が選定の為の最低条件だと思います。

  • その1 無条件(事前セットアップなし)に,USBメモリー全体が暗号化されている(ハードウエア的にフラッシュ・メモリーに暗号化して書き込まれる)こと
  • その2 認証に8文字以上のパスワードを設定でき,パスワードを一定回数(5回程度)間違えるとロックされること。ロックの解消は,システム管理者しかできないこと
  • その3 データ復元ソフトでも復元不可能な方法で,データ・イレース(完全消去)できる機能を有していること
  • その4 USBメモリー本体にストラップ・ホールがあること

 こうした機能を実現した製品には,アイ・オー・データ機器製「EasyDisk Secure2」シリーズなどがあります。現在は,指紋認証を採用している製品もありますが,”グミ指”(コピー指紋を配したゼラチン製などの人工指)の存在があるため,筆者個人としては推奨していません。ただ,指紋認証センサーが温度で指紋の文様を読み取る感熱式であれば,基本的に”グミ指”も防御できますし,センサー部に指紋が残らないスイープ型(棒状のセンサーの上で指を滑らせる)指紋認証センサーを採用しているUSBメモリーも存在しますので,それぞれの機能を評価する必要があります。

 さらに,運用方法にもルール化が必要です。筆者が考える運用の最低条件は以下の5点です。

  • その1 可能な限り小容量のタイプを選択すること
  • その2 資産番号を付与した上で,期間限定の貸し出し制にし,使用履歴を追えるように管理すること
  • その3 貸し出し時には,データ復元ソフトでも復元が不可能な方法でUSBメモリー全体をデータ・イレース(完全消去)してから貸し出すこと
  • その4 貸し出し中は,USBメモリー内に存在するデータを継続的に把握すること(持ち出す前にUSBメモリーに存在する全ファイルを社内サーバーにコピーするなど)
  • その5 貸し出し中は,USBメモリー本体のストラップ・ホールに,大型で目立つネック・ストラップを取り外しできない方法で取り付けること

 特に,USBメモリーは小型で持ち運びが簡単なことから,ポケットに入れての紛失,もしくは作業後の抜き忘れというケースが多い状況です。容易にポケットに入らないように,また抜き忘れしないように大型で派手な目立つネック・ストラップを付けることが意外なほど有効です。なるべく持ち出したくない形態になるという付帯的な効果もあります。

 余談になりますが,最後にUSBメモリーを悪用した特定の企業や組織への攻撃の危険性にも触れておきたいと思います。

 もし会社の駐車場でUSBメモリーを拾ったらどうするでしょうか。「自社の社員や関係する人がUSBメモリーを落としたのだろう。困っているだろうから,内容を確認し所有者が分かれば届けてあげよう」と考えて,自分が所有するパソコンに接続するという読者は少なくないのではないでしょうか。しかし,拾ったUSBメモリーは絶対に社内のパソコンに接続してはいけません。システム管理者に届けることが大切です。

 なぜなら,それは悪意のある人物がターゲットの社内でのウイルス感染,情報漏えいを狙って様々な仕込みを施した”毒入りUSBメモリー”かもしれないからです。情報を盗もうとした場合,インターネットからの攻撃では証拠が残りやすく,実際の攻撃にはある程度のスキルが必要になります。建物への侵入にも危険が伴います。一方,公共の道路からターゲットの駐車場に仕込みを施したUSBメモリーを投げ込むことは非常に簡単です。

 IPA(情報処理推進機構)でも,「コンピュータウイルス・不正アクセスの届出状況[6月分および上半期]について」というレポートを公開し,「USBメモリーを安易にパソコンに接続しないように!」と注意を呼びかけています。USBメモリーを挿したと同時に自動起動してウイルス感染を仕掛けるタイプが指摘されていますので,充分注意しましょう。各種ウイルス対策ベンダーからも警告が出されています(関連記事)。

 システム管理者側では,社内ネットワークから切り離した上で,「コンピュータを守るための四つのステップ」やUSBメモリーの自動実行の無効化を施した「検疫専用のパソコン」で解析することが必要です。

著者について
以前,ITproで「今週のSecurity Check [Windows編]」を執筆していただいた山下眞一郎氏に,情報漏えい対策に関する話題や動向を分かりやすく解説していただきます。(編集部より)