• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版

PLUS

ベネッセ事件容疑者はなぜスマホでデータを持ち出せたか、IT部門は設定の再点検を

ニュース

 ベネッセコーポレーションによる個人情報漏洩事件では、容疑者は大量のデータを貸与PCから私物のスマートフォンにコピーし、持ち出していたとされる。貸与PCはUSBメモリーへのデータ書き込みを禁止する設定だったとされるが、なぜ容疑者はスマートフォンにデータを書き込めたのか。

 複数のセキュリティ技術者が「有力な可能性」として指摘するのが、USBマスストレージの使用は制限できていた一方、デジタルカメラや携帯音楽プレーヤ、スマートフォンに特有のファイル転送方式「MTP(Media Transfer Protocol)」の使用を制限できていなかった可能性である。

 一般的なUSBメモリーは、Windowsのデバイスクラスでは「USBマスストレージ」として認識され、ドライブ名が割り当てられる。一方でスマートフォンでは、USBマスストレージのほか、ドライブ名が割り当てられないWPD(Windows Portable Devices)クラスとして認識されることがある。

 USBマスストレージではPCがファイル制御を担うのに対し、WPDではファイル転送方式としてPTP(Picture Transfer Protocol)やMTPを使い、デバイス側がファイルを制御する。これにより、例えばファイル書き込み中にデバイスを引き抜く、PCとデバイスでファイルを同時に書き換えるなどしても、ファイルが破損しにくくなる。PTPは画像ファイルの転送に対応し、PTPの拡張規格であるMTPはそれ以外のファイルの転送にも対応する。

 このMTPの存在は、情報漏洩対策の盲点になり得る。デバイス制御ソフトやActive Directoryのグループポリシーの設定でUSBマスストレージの使用を制限しても、MTPあるいはWPDデバイスの使用制限を忘れると、スマートフォン経由で簡単にPCからデータを持ち出せてしまう。例えばAndroid端末の場合、機能としては2011年9月に公開されたバージョン3.1、本格的には2011年10月公開のバージョン4.0から、MTPによるファイル転送に対応している。

 商用のデバイス制御ソフトでは一般に、USBマスストレージの使用制限に加え、WPDデバイスの使用を制限することで、スマートフォンへのデータ転送を制限できる。ただし、WPD制限機能に対応を開始したのは、2009年から2013年とソフトによってまちまちだ。デバイス制御ソフトを採用しているIT部門はまず、採用ソフトのバージョンが、WPDの使用制限機能に対応しているかを確認した方がいいだろう。

デバイス制御ソフトがMTP/WPD使用制限機能に対応した時期の例
[画像のクリックで拡大表示]
注)NECのInfoCageシリーズは、許可されたUSBデバイス以外の使用を、MTP/WPD機器を含めて制限する機能を2007年7月から実装しているという。

 マイクロソフト製品のセキュリティに詳しい濱本常義氏によれば、この“穴”は2013年ごろからセキュリティ技術者の間で話題になっていたという。「Android4.0の登場まではMTP対応端末が少なく、現実的な脅威ではなかった。他企業のIT部門でも、USBメモリーは制御しても、MTPの設定まで思い至らない例は多いのでは」(濱本氏)。

 デバイス制御ソフトを使わなくとも、Active Directoryのグループポリシーを設定することで、WPDデバイスのアクセス制限を行うことは可能だ。ただし「Windows XPやWindows Server 2003は、Active Directoryによるデバイス制御機能が貧弱なため、デバイス制御に頼るのは避けた方が無難」(ネットエージェントの杉浦隆幸氏)という。

浅川 直輝

  • PR
Twitter

バックナンバー

  • 2017年8月17日号
  • 2017年8月3日号
  • 2017年7月20日号
  • 2017年7月6日号
  • 2017年6月22日号
  • 2017年6月8日号

バックナンバー一覧

関連書籍

SEよ大志を抱こう

SEのやりがいを改めて認識できるともに、楽しく働きながら大成するための「気付き」が得られます。これからの時代を生きるSEに必要な心構えや物事の考え方を体系的に整理し、53のメッセージとしてまとめています。『日経コンピュータ』の人気連載を基にした、SE一筋40年の著者による待望の初書籍です。

( A5判、276ページ、1,680円 )