ISMSのUSBメモリ管理はどうする？使用許可・持ち出し・返却のルール
更新日：16時間
『このUSB、誰のですか』と聞かれても、持ち主がすぐには分からない。棚に戻ってきた機器を次の人へ貸してよいかも曖昧。USBメモリは小さく手軽な分、貸し出しや返却の境目で管理が途切れがちです。
ISMSのUSBメモリ管理は、紛失しないよう気を付けるだけでは足りません。使ってよい機器と用途、持ち出し、返却後の処理まで、一本の流れとして決めましょう。必要な記録も、その流れから考えると整理しやすくなります。
▼目次
1. USBメモリ管理は、用途と扱う情報の確認から始める
USBメモリには、紛失や盗難による情報漏えい、別の端末へのデータの残存、マルウェアの持ち込みなどのリスクがあります。機器の本数だけでなく、何を入れ、どこで使うかを確認することから始めます。
社内で承認されたファイル共有の仕組みで渡せるなら、USBに保存して運ぶ作業を減らす選択肢もあります。ただし、代わりの共有サービスにも利用権限や保存期間などの管理が必要です。USBをやめれば、情報の受け渡し全体の確認が不要になるわけではありません。
ISO27001は、すべての会社へUSBの全面禁止を一律に定めるものではありません。自社のリスク評価、顧客との契約、情報の重要度から、禁止する用途と許可できる用途を決めます。取引先が媒体の使用を認めていない情報は、その条件に従いましょう。
2. 許可する機器と、申請で確認する内容を決める
使用を認める場合は、会社が管理する機器を特定し、私物や出所不明の機器と区別します。機器番号を付け、管理者と保管場所を決めておくと、誰に何を貸したかを確認しやすくなります。
拾ったUSBや、用途の分からないUSBを、内容確認のために業務用パソコンへ挿してはいけません。取引先から受け取った物も、その場で接続するのではなく、社内の担当者へ渡し、決められた確認方法で扱います。
申請は、情報と行き先が分かる内容にする
利用者、機器番号、目的、保存する情報の種類、使用する場所・端末、持ち出し先、利用期間、返却予定日を確認します。秘密のファイル名を誰でも見られる台帳へ詳しく書く必要はありません。情報の区分と、承認者が内容を確認できる記録を結び付ける方法も考えます。
暗号化は、会社が認めた方式を確認する
保存する情報に応じて、会社が承認した暗号化などの保護策を使います。『パスワード付き』という表示だけで十分と決めず、方式、設定、解除情報の管理、受け渡し先での扱いを確認します。解除情報をUSBと同じ袋へ入れると、同時に失うおそれがあります。
3. 貸出から返却までの記録を、途中で切らない
台帳が『貸した日』で終わっていると、返っていないのか、返却の記入だけ漏れているのか分かりません。貸出時と返却時に確認する人を決め、返却予定を過ぎた機器へ気付けるようにします。
次は、記録のつながりを考えるための架空の文例です。承認の方法や項目は、自社の管理方針に合わせて変更してください。
途中で別の人へ渡すときも記録を更新する
借りた本人が同僚へそのまま渡すと、台帳上の使用者と実際の使用者が変わってしまいます。再貸出や利用期間の延長は管理者へ相談し、記録を更新します。持ち運ぶ間は放置せず、使わないときの保管場所も決めておきましょう。
貸出の記録
機器U-03／利用者○○／用途：許可済み検査データの受け渡し／持ち出し先：取引先事務所／承認者○○／貸出日○月○日／返却予定○月○日。
返却の記録
返却日○月○日／受取確認者○○／必要なデータの引き渡し確認：済み／残存データの処理：所定手順で実施／保管場所：施錠棚。
4. 返却されたUSBは、すぐ次の人へ貸さない
返却を確認したら、機器だけでなく中に残る情報も扱います。必要なデータが社内の正しい保存先へ引き渡されているかを確かめたうえで、会社が定めた方法で残存データを処理します。担当者が判断せずに、必要な原本まで消してしまわないようにします。
通常のファイル削除や簡単な初期化だけで、機密情報の復元が防げるとは限りません。再利用や廃棄に必要な消去方法は、媒体の特性と情報の重要度を踏まえて管理者が決めます。壊れた機器も、中の情報がなくなったと決め付けず、所定の廃棄・処分手順に回します。
ウイルス対策についても、利用者が各自の判断で『スキャンしたから安全』と結論付けないようにしましょう。使用できる端末や接続制限、外部から持ち込む媒体の確認方法など、社内の技術的な対策と合わせて運用します。
5. 見つからないときは、一人で探し続けず連絡する
紛失したかもしれないと分かったら、社内で決めた連絡先へ速やかに報告します。最後に使った時刻・場所、機器番号、入っている可能性のある情報、暗号化の有無、探した範囲などを、分かる範囲で伝えます。内容がすべて判明するまで報告を待つ必要はありません。
会社側は、情報の種類や影響を調べ、顧客対応や必要な届出などを判断します。利用者が独断で関係先へ連絡したり、証拠となる記録を消したりせず、責任者の指示に沿って対応します。暗号化していても、報告を不要としてはいけません。
連絡先は、手順書の奥に載せるだけでなく、貸出を受ける人がすぐ確認できる場所にも示します。夜間・休日の連絡方法が必要な業務なら、あらかじめ決めておきましょう。
6. IT企業F社の支援事例を踏まえた、少人数向けの整え方
ISOトラストが支援したIT企業F社は、入札案件の条件としてISO27001の取得が必要でした。限られた予算と人員での対応が課題でしたが、支援後は認証を取得し、入札条件を満たした新規案件の獲得や顧客からの信頼向上につながっています。
公開事例では、F社のUSB利用方針や機器の構成は紹介していません。以下は同社の実施内容ではなく、少人数で管理を担当する会社に向けたISOトラストの提案です。
まず機器の保管場所と貸出窓口を決め、一つの記録で使用許可から返却後の処理まで見られるようにします。承認者が不在のときの相談先も決め、急ぎの案件だからと無断利用しなくて済む手順を用意します。
機器を一台選び、『今、誰が持ち、何の目的で、いつ返すのか』を記録だけで説明できるか試してみてください。新しい台帳を増やす前に、手順の途切れるところを直すことが出発点です。USBメモリ管理を含め、自社に合うISMSのルールを整理したい方は、ISOトラストへご相談ください。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント