リスクはUSBメモリだけではない

　そして、今回ぜひ皆さんにも理解してほしいのは、USBメモリだけが管理の対象ではないということです。前述のベネッセにおける情報漏えいを引き起こしたのは、実はUSBメモリではありません。

　多くの組織で禁止されているUSBメモリは、一部のソリューションを使えば一律に利用を禁止できます。しかし、このとき大きな注目を集めたのは、そのようなUSBメモリ禁止ソリューションを導入していても、例えばスマートフォンやカメラを直接接続すると、USBメモリとは異なる形式で接続でき、結果として検知されることなく情報を引き出せてしまう可能性がある、という指摘でした。

　その意味では、USBメモリだけでなくUSB機器全般、加えていえば、ネットワークやPCを取り巻く全ての接点が、リスク管理の対象となるわけです。攻撃可能な領域を意味する「アタックサーフェス」を管理するという考え方で捉えれば、今風かもしれません。

　先日、ある組織に話を聞いたとき、ちょっとドキッとする事例を耳にしました。その組織である日、アラートが発せられ、調査を行ったところ、原因はまさにUSB機器だったそうです。

　マルウェアが検知されたそのUSB機器とは、意外なことに「電子タバコ」でした。これを空いているPCのUSBポートに接続して充電しようとしたとき、検知の仕組みが動いたとのことです。

　これも、USBメモリというより、「つながるもの全て」をリスク管理すべき事例の1つといえるでしょう。

セキュリティソリューションだけではカバーし切れないならば……

　ここでの教訓は、皆さんが何げなく利用しているものの中にも、組織全体、ひいては地域や国、家族を脅かしかねないリスクにつながるものがあるということです。

　USBメモリという小さく便利なデバイスにも悪意が込められる可能性があり、自分は無関係だと思ってルールを破ってしまうと、どこかで「事件」につながってしまうかもしれません。この可能性を、多くの方に意識してほしいと思っています。

　おそらく、ほとんどの組織では、少なくとも口頭レベルで「USBメモリは利用不可」となっているはずです。まずはそれをしっかり守らなければなりません。それでも使っている人がいた場合は、ぜひ今回の記事を紹介してほしいと思います。「自分だけは大丈夫」という心理は、攻撃者に利用されかねないのです。

　USBメモリだけではありません。最近は電子機器を持ち歩くことも増えましたので、空いているUSBポートがあるからと、機器を接続して充電する行為にもリスクがあります。できる限りACアダプターを持ち歩き、信頼できないUSBポートにつなぐことも避けるようにしてほしいと思います。

　以前、本コラムでも≪アジア出張者を狙う攻撃者の話＞＞をしたかと思います。そのときは「こういう事例もある」という取り上げ方でしたが、もしかしたら、もう少し危機意識のレベルを上げなければならないかもしれません。

　もはやサイバー空間は、有事ともいえる状況です。「セキュリティは全員参加」という意識で、ぜひ、ご安全に。

あらためて読み返しておきたい過去のコラム

• もう一度、自分ごととして考える「標的型攻撃」の脅威
• 製造業だからこそ知っておきたい、意外と簡単な侵入の方法
• 危険なのはUSBメモリではなく「見知らぬUSBデバイス」だ
• 「USBメモリ紛失事件」で私たちが学ぶべきこと

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！