その｢USBメモリ｣は誰がどこで入手した？陸上自衛隊の｢ウイルス感染USB｣が突きつけた"身近なリスク"と"運用の盲点"

企業や組織は何から手をつければよいのでしょうか。経営者が確認すべきなのは、単にUSBメモリの使用を禁止しているかどうかではありません。

第一に、「利用実態と例外運用の可視化」です。自社で、どの部署が、どのような用途でUSBメモリや私物ストレージを使っているのか。私物媒体の持ち込み、立替精算による購入、取引先やイベントで受け取った媒体の利用など、正式なルールから外れた運用が黙認されていないかを確認する必要があります。

第二に、「安全で使いやすい正規の選択肢を用意すること」です。現場に代替手段がなければ、ルールを定めても抜け道は生まれます。閉域環境で使えるファイル受け渡しの仕組み、認証と暗号化を備えた貸与用媒体、組織として管理できる調達ルートなど、業務を止めずに安全を確保できる手段を整えることが重要です。

第三に、「ルールを仕組みと点検で機能させること」です。許可した媒体以外を接続できないようにするデバイス制御、保存データの暗号化、接続時のマルウェア検査などを導入し、人の注意力だけに頼らない運用にする。加えて、定めたルールが現場で守られているかを継続的に確認する必要があります。

今回の防衛省の事案で問題となったのは、定められた規則が現場で機能していなかったという点でした。こうした事案が発生すると、やみくもに禁止事項を増やすことに走りがちですが、本当に必要なのは、現場の実態を把握し、安全で使いやすい正規の選択肢を用意し、例外運用を放置せず、ルールが実際に機能しているかを継続的に確認することです。

東洋経済Tech×サイバーセキュリティでは、サイバー攻撃、セキュリティの最新動向、事業継続を可能にするために必要な情報をお届けしています。