強固なセキュリティ環境にも残る「USBメモリ」というリスク
クラウドストレージやオンラインでのファイル共有が一般的になった現在でも、USBメモリはさまざまな業務で利用されています。
2026年8月、三重県は庁内で使用されているUSBメモリの調査結果を公表しました。確認されたUSBメモリは12,357個にのぼり、そのうち3,789個が私物でした。また、47個のUSBメモリからマルウェアが検知されています。なお、検知されたマルウェアはいずれも活動しておらず、感染や被害は確認されていません。三重県では、この結果を受け、私物USBメモリを全面禁止し、業務で利用するUSBメモリを台帳で管理する方針を示しています。
クラウドが普及した現在でも、なぜUSBメモリは使われ続けているのでしょうか。そして、業務上USBメモリが必要な場合、企業はどのように管理すればよいのでしょうか。
USBメモリのセキュリティ対策は、「私物USBを禁止する」「利用前にマルウェアをチェックする」といったルールを決めれば終わりではありません。実際の利用状況を把握し、必要なルールと仕組みを整え、それらが現場で機能しているかまで確認することが重要です。
1. なぜUSBメモリは今も使われているのか
USBメモリには、ネットワークを介さずにデータを移動できるという特徴があります。
一般的なオフィス業務では、クラウドストレージや社内ネットワークを使ってファイルを共有できます。一方、工場の設備や試験機器、OT（Operational Technology）環境などでは、外部ネットワークへの接続が制限されているシステムもあります。そうした環境でも、ソフトウェアやファームウェアの更新、ログの回収、データの持ち込み・持ち出しなどが必要になることがあります。
米国国立標準技術研究所（NIST）も、OT環境ではUSBメモリなどの可搬媒体が物理的なデータ移送手段として利用されているとしています。具体例として、隔離されたOTネットワーク内の機器のファームウェア更新や、外部で診断するためのログデータの取り出しを挙げています。
このように、ネットワーク経由でのデータ移送が難しい環境では、USBメモリが現在もデータ移送の手段として使われています。そして、USBメモリをデータの出入口として利用するのであれば、その経路にも適切なセキュリティ対策が必要です。
2. USBメモリにはどのようなリスクがあるのか
USBメモリのリスクというと、紛失による情報漏えいを思い浮かべるかもしれません。しかし、システムへのデータ持ち込みに利用する場合には、それ以外にも注意が必要です。
ここでは、「USBメモリ内のデータ」と「USBメモリの使われ方・管理」の2つの観点から考えます。
USBメモリを介してマルウェアが持ち込まれる
USBメモリにマルウェアが含まれていれば、ネットワークに接続していない端末にもマルウェアを持ち込む可能性があります。実際、三重県工業研究所では2026年7月、試験機器用のスタンドアローンPCへのマルウェア感染が確認されました。三重県は、マルウェアチェックをしていないUSBメモリを接続したことが侵入原因と推察しています。
一方、このPCはネットワークに接続されていなかったため、マルウェアによる外部からの遠隔操作などはできない状態でした。スタンドアローンだったことで外部からの遠隔操作などは防げた一方、USBメモリを介したマルウェアの持ち込み自体は防げませんでした。ネットワークとは別のデータ経路にも、それぞれに応じた対策が必要です。
私物や管理されていないUSBメモリが使われる
もう一つ考えたいのが、USBメモリの管理です。
誰が所有しているのか、どの端末で使用したのか、ほかのシステムでも使われているのか、必要なチェックが行われているのか。こうした利用状況を組織が把握できていなければ、問題が起きた際に原因や影響範囲を確認することも難しくなります。今回の三重県の調査でも、確認されたUSBメモリ12,357個のうち3,789個が私物でした。
また、業務で使用するUSBメモリについては、誰のものかだけでなく、会社が認めた媒体なのか、どのような経路で調達したものなのかも確認する必要があります。NISTでは、組織が所有する媒体を購入・認可・管理するとともに、それ以外の出所から提供された媒体は信頼できないものとして扱う考え方を示しています。
重要なのは、マルウェアが入っているかどうかだけではありません。「どのUSBメモリが、どこで、どのように使われているのか分からない状態」をなくすことも、USBメモリのセキュリティ対策には欠かせません。
3. USBメモリを安全に使うための4つの対策
業務上USBメモリを使う必要がある場合、どのように管理すればよいのでしょうか。USBメモリの管理は、利用ルールを決めれば完了するものではありません。
利用実態を把握する → 利用条件を決める → 技術的に制御する → 守られているか確認し、見直す
という流れで考えることが重要です。
①まず、USBメモリの利用実態を把握する
最初に確認したいのは、自社でUSBメモリがどのように使われているかです。
例えば、次のような点を確認します。
- どの部署やシステムで使われているか
- 何のために使われているか
- 誰が使っているか
- どのUSBメモリが管理対象になっているか
- 私物や管理外のUSBメモリが使われていないか
- そもそもUSBメモリを使う必要があるか
NISTも、承認された可搬媒体について、誰が使えるのか、どのシステムで使うのか、何の目的で使うのかを識別できるよう、インベントリ管理やラベル付けを行うことを推奨しています。
まず利用実態を把握することで、不要な利用と業務上必要な利用を分けて考えられるようになります。
②何を、誰が、どこで使ってよいかを決める
利用実態を把握したら、USBメモリを利用できる条件を明確にします。
例えば、次のようなルールが考えられます。
- 私物USBメモリを使用しない
- 会社が管理するUSBメモリだけを使用する
- 利用できる担当者を限定する
- 使用できる用途や端末を決める
- 購入・調達方法を決める
- 使用前後のマルウェアチェックを必須にする
三重県工業研究所でも、マルウェア感染を受け、試験機器用PCに接続するUSBメモリを公用のものに限定し、接続前と使用後の2回、チェックする運用へ変更しています。
業務上USBメモリが必要な環境では、単純に全面禁止とするだけでは運用できない場合があります。だからこそ、何のために、誰が、どのUSBメモリを、どこで使えるのかを明確にすることが重要です。
③人の注意だけに頼らず、技術的にも制御する
ルールを決めても、すべてを利用者の判断や注意だけに任せていると、操作ミスやルール違反を防ぎきれない場合があります。そこで、可能な部分はシステム側でも制御します。
例えば、
- USBメモリを使う必要のない端末ではUSBポートを無効化する
- 許可したUSBメモリだけを接続できるようにする
- USBメモリ接続時にマルウェアを検査する
- USBメモリの接続やデータ転送を検知・記録する
といった方法があります。
NISTも、不要なポートの無効化、利用可能なデバイスの制限、利用前後のスキャン、USB接続やデータ転送の検知などを対策として挙げています。
「未許可のUSBメモリを使わないでください」と周知するだけでなく、未許可のUSBメモリを接続できない、あるいは接続されたことを把握できる仕組みを組み合わせることで、人の注意だけに依存しない対策につながります。
④ルールが守られているか確認し、必要に応じて見直す
USBメモリの管理で見落としやすいのが、ルールを作った後の確認です。「私物USBメモリは禁止」「利用前にマルウェアチェックを行う」と決めても、それが実際に守られていなければ、ルールを作っただけで終わってしまいます。
定期的に、次のような点を確認します。
- 許可されていないUSBメモリが使われていないか
- 台帳と実際の保有状況が一致しているか
- 定めたマルウェアチェックが実施されているか
- 接続ログに想定外の利用がないか
- 例外的な運用が常態化していないか
IPAも、情報セキュリティのルールについて、明確化して関係者へ周知するだけでなく、ルールに沿って適切に運用されているか確認することを求めています。
また、守られていない場合に「利用者がルールを守っていない」で終わらせないことも重要です。
業務上どうしてもルールどおりに運用できない場面が繰り返し発生しているのであれば、ルール自体が実際の業務に合っているか、技術的な仕組みで補えないかを確認し、必要に応じて見直します。
ルールを決める → 運用する → 守られているか確認する → 必要なら見直す。
ここまで継続して行うことで、USBメモリを管理できる状態を維持しやすくなります。
4. 必要なUSBメモリを「管理できる状態」にする
USBメモリを利用しなければ、USBメモリを経由するリスクを減らすことはできます。そのため、USBメモリを利用する必要がない業務については、別のデータ受け渡し方法へ切り替えられないか検討することも一つの選択肢です。
一方、ネットワークへの接続を制限したシステムや設備とのデータ受け渡しなど、USBメモリが必要な環境もあります。
大切なのは、「USBメモリを禁止するか、自由に使うか」という二者択一で考えることではありません。
まず、どこでUSBメモリが使われているのかを把握する。そのうえで必要な利用だけを残し、利用条件を決める。可能な部分は技術的にも制御し、それが実際に守られているかを継続して確認する。
USBメモリを使うのであれば、「管理できている状態」をつくり、それを維持することが重要です。
まずは自社で、USBメモリが「どこで・誰に・何のために」使われているのかを確認するところから始めてみてはいかがでしょうか。