データが危険にさらされただけでも処罰の対象に
USBメモリのデータを守るためにSMBにできること
重要データを記録したUSBメモリ紛失のリスクはSMBでも避けられない。情報を守るための5項目を紹介する。
ニュースを見ている人なら誰でも知っての通り、USBメモリやCD／DVDディスクは毎日のように紛失したり、置き忘れられたり、盗まれたりしている。こうした記録媒体には、重要データがパスワード付き暗号などの適切な措置によって守られないまま保存されていることがある。
データ流出による実質的な損害はなかったとしても、セキュリティが掛けられていないデータが危険にさらされたという事実だけで、相当の罰金や処罰の対象となりかねない。こうしたリスクや罰則は、あらゆる規模の企業に当てはまる。複雑なセキュリティ措置のためのITリソースを持たない中堅・中小企業（SMB）さえも例外ではない。
小さいながら何Gバイト分もの情報が記録されたこの媒体の紛失を防ぐ簡単な手だてはないが、従業員が社外へ持ち出す前に、重要データのセキュリティを確保する簡単な、そして手ごろな手段はある。
携帯メディアのデータを守るためのノウハウを以下に挙げる。
1．重要データとは何か、なぜ保護しなければならないのかを理解する
- 重要データに該当するのは、従業員の個人情報や顧客情報、企業秘密、顧客の連絡先／販売データベース、商品価格などの競争に関連したデータなど
- なぜ保護する必要があるのか。サーベンス・オクスリー（SOX）法、HIPAA（医療保険責任法）といった業界や政府の規則では、特定のデータの適切なメンテナンスを義務付けている。情報流出などの形でコンプライアンス違反があれば、相当の罰金を払うことになりかねない。情報流出が会社の生産性、財務、評判などに与える潜在的影響も考慮しなければならない
2．従業員がどんな情報を持ち出そうとしているのか、理由はなぜかを突き止める
- データを社外に持ち出したがっているのは誰（従業員、業務委託者、顧客、見込み客など）なのか、どの程度の情報を、いつ、どこへ持ち出そうとしているのかを突き止める。データを利用する必要があるのは誰か。オフライン（例えば機内など）で仕事をする必要があるのか
- 従業員はオフィスからデータのコピーを持ち出しているだけなのか、それとも、これも保護対象となるべき新しいデータを作成したり取得したりしているのか
- 自社のIT担当者はどの程度のセキュリティ管理ができるのか。自分はどの程度の予算を自社のIT部門あるいは外部のサービスに割り当てる用意があるのか
3および4．社外へのデータ持ち出しに関するポリシーを定め、それを実装する製品を選ぶ
この2項目はひとまとめにする必要がある。導入したポリシーによって、検討対象となる製品が決まるためだ。選んだ製品によって、自分が管理できるポリシーが決められたり制約されるされたりすることもある。
- 社外持ち出しを認めるデータと認めないデータ、紛失したり行方不明になった記録媒体の報告手順を盛り込んだ「データの社外持ち出し」ポリシーを定める
- 記録媒体の供給責任者を決める。例えば、すべての媒体を会社が買って支給するのか。ユーザーが手持ちのUSBメモリを使って会社のデータを持ち歩くことを認めるのか。ユーザーが私用ファイルを会社のUSBメモリに保存しても構わないのか
- ポリシーを公表する。掲示板に張り出し、会社のUSBメモリを支給する前に各従業員に署名させ、人事ファイルに記載する
5．テストと研修
- 従業員にデータの保護方法と利用方法を確実に身に着けさせ、研修の機会を設ける
- 「パスワードの入力回数を制限できる」ソフトウェアを試し、どのように機能するかを知っておく（試験データのコピーを利用する）
番外 ベンダー提供のセキュリティソリューション
USBメモリやソフトウェアのベンダーは、SMBのためのセキュリティソリューションを提供している。
セキュアなUSBメモリを提供しているベンダーにはIronKey、Kingston Technology、SanDisk、Verbatimなどがある。ドライブ全体にセキュリティを掛けているものもあれば、非公開（セキュリティ対象）と公開（セキュリティ対象外）を区分けできるものもある。そのほかの機能として、ショックや振動に対応する設計と不正防止ハードウェア／リモート管理機能と管理・ログ記録ソフトおよびサードパーティー製ツールとの互換性／FIPS 140-2認定バージョン／パスワードバックアップやデバイス管理のための管理型サービスなどがある。
ソフトウェア製品も提供されており、中にはメディアカード、外付けHDD、CD／DVDディスクまで扱えるものもある。
ファイル／フォルダや公開／非公開の区分けまたはドライブ全体の暗号化機能を提供しているソフトウェアベンダーは、PGPやRSA Securityなど。オープンソースの暗号化ツールにはTrueCryptやToucanがある。U3 SmartDrive USBフラッシュメモリではセキュリティソフトも利用できる。USBメモリなどの媒体向けエンドポイント管理ソフトの一例にはGFI EndPointSecurityが挙げられる。
SMBが重要データを守るためにできる最も重要なことは、選んだ製品が確実に使われるようにすることだ。このためには従業員教育と、ある程度の強制が必要になる。パスワードのコピーは、特に新しいデータを社外から収集する場合、中央で確実に管理しておくことだ。
本稿筆者のダニエル・P・ダーン氏は独立系の技術ライター。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTPCコミュニケーションズ株式会社] 「回線速度不足」だけが原因ではない？ Web会議の遅延を解決する方法とは -
製品資料
[東京エレクトロン デバイス株式会社] 工場の可用性向上に重要な「7つの領域」と対策 OTセキュリティ強化の基礎知識 -
製品資料
[リコージャパン株式会社] 問い合わせ対応で本来の業務が進まない、総務や情シスの負担をどう減らす？ -
製品資料
[リコージャパン株式会社] 自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法 -
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Azure Red Hat OpenShiftは脱VMware問題の救世主になるか？ 技術資料で解説
-
2
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
3
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
4
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
5
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
6
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
7
「企業におけるAI導入検討度とIT投資優先度」に関するアンケート
-
8
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
9
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
10
Claude Codeで開発生産性は本当に上がったか？ 3社の取り組みに学ぶ次なる手段
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー