USBメモリを使ってよいか聞かれたら

USBメモリを使いたいという相談は、手段の質問の形で来ます。答える前に、運ぶデータの中身、持って行く先、いつまでに必要かの3つを聞きます。

家で続きの作業をしたいだけなら、会社が契約しているクラウドストレージで足りることが多いです。取引先の会議室で資料を映したいなら、印刷や画面共有でも間に合います。相手の会社がネット経由の受け渡しを止めていて、USBメモリしか選べないこともあります。

運ぶ目的を聞けば、代わりの方法を出せます。聞かずに「だめです」と答えると、社員は相談をやめて、私物のUSBメモリで済ませてしまいます。

私物の機器をどう扱うかは、会社が先に決めておく部分です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録5（情報セキュリティ関連規程のサンプル）は、私物のパソコンやスマートフォン、USBメモリ、HDDなどを業務で使う場合について、2つの形を載せています。システム管理者の許可を得る形と、利用を禁止する形です。会社はどちらかを選んで規程に書きます。

同じサンプルは、社内への持ち込みについても、システム管理者の許可を得る形と禁止する形を示しています。持ち込みを認める場合も、充電を除いて社内のパソコンやサーバーへの接続は禁止すると書かれています。

まず自社の規程がどちらなのかを確かめます。書かれていなければ、その場で可否を言い切らず、【情シスの窓口】で確認してから返すと伝えます。

同じサンプルは、情報資産を社外に持ち出すときの決まりとして、社外秘なら所属部門長、極秘なら代表取締役の許可を得ることを挙げています。USBメモリなどの電子媒体に保存して持ち出す場合は、不要なデータを完全消去専用ツールで消し、持ち出すデータを暗号化するとしています。会社が貸し出したUSBメモリについても、重要な情報または個人情報を保存して外出する場合はファイルを暗号化すると書かれています。

紛失を防ぐ方法も具体的です。USBメモリのような小型の電子媒体には、大きなタグを付ける、ストラップで体やかばんに固定する、落としてもすぐ分かるように鈴を付けるといった方法が挙げられています。携行中は常に監視できる距離を保つとも書かれています。

社員に伝えるのは、要らないデータを中に残さないこと、ファイルを暗号化すること、持っている間は体から離さないことの3つです。

個人情報保護委員会のFAQは、個人データが記録されたUSBメモリを紛失し、紛失場所が社内か社外か特定できない場合は、漏えい（又は漏えいのおそれ）に該当すると考えられるとしています。社内で紛失したままである場合は、滅失（又は滅失のおそれ）に当たるとされています。社内を探している間も、報告の判断は待ってもらえません。

個人情報保護法施行規則の第7条は、委員会への報告が必要になる事態を4つ挙げています。1つ目は、要配慮個人情報が含まれる個人データの漏えい等です。2つ目は、不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等です。3つ目は、不正の目的をもって行われたおそれがある行為による漏えい等です。4つ目は、本人の数が1,000人を超える漏えい等です。ガイドライン（通則編）は、報告を要する事例として、病院で患者の診療情報や調剤情報を含む個人データを記録したUSBメモリを紛失した場合を挙げています。

同じガイドラインは、漏えい等が発生した個人データに高度な暗号化等の秘匿化がされている場合には報告を要しないとしています。前の項目の暗号化は、ここで効きます。

報告が必要な事態に当たるときは、知った時点からおおむね3～5日以内に速報を出し、知った日から30日以内（規則第7条第3号の事態では60日以内）に確報を出します。本人への通知も必要になります。社員に覚えてもらうのは1つだけです。なくしたと気づいたら、探す前に【情シスの窓口】へ連絡することです。

取引先からUSBメモリでデータを受け取ったときは、差し込む前にウイルス検査をします。IPAのサンプル規程も、電子媒体でファイルの受け渡しを行う場合は、媒体内のファイルにウイルス検知を実施するとしています。あわせて、外部記録媒体を使う端末では自動実行（auto-run）や自動再生（auto-play）を無効にするとしています。差し込んだ瞬間にプログラムが動くのを止める設定です。

使い終わったUSBメモリの始末も決めておきます。サンプル規程は、社外秘または極秘の情報資産を保存した媒体を廃棄する場合は、破壊、細断、完全消去のいずれかを行うとしています。OSによる削除やクイックフォーマットでは足りないと明記されています。再利用する場合も、完全消去をしてからとされています。

持ち出しのために渡したUSBメモリが、そのまま社員の引き出しに残っているのはよくあることです。返却先と期限を決めて、貸し出すときに一緒に伝えます。