ウイルスを媒介するからUSBメモリー禁止？

質問

近年ではUSBメモリーの使用を禁止している企業が増えて来ており、それらの企業においてUSBメモリーが禁止されている理由は幾つかあるようですが、その理由の一つとして
｢ウイルスを媒介するおそれがあるため｣
というものが挙げられているそうです。
　しかし、ウイルスを媒介するおそれを問題視するのであれば、CD、DVD、Blu-ray等々のディスクや、ネットワーク回線の類、その他全てのデータのやり取りもまた同様にウイルスを媒介するおそれがありますから、データのやり取り自体を禁止しなければならなくなるはずですが、実際にはUSBメモリー以外の手段によるデータのやり取りまでは禁止していない処が多いようです。
　つまり、他の手段においては｢ウイルスを媒介するおそれ｣自体は禁止する理由になっていないと考えられるわけですが、それでは何故USBメモリーの場合に限って｢ウイルスを媒介するおそれがある｣事が禁止される理由の一つとして挙げられているのでしょうか？

回答No.11

parts · ベストアンサー

面白い質問なので回答します。
昔、ある組織でシス管していたものです。そこでは、光学ドライブが搭載されていても使えませんでしたけど。当然ですが、USBメモリーを刺しても使えませんでした。

そもそも、理由の一つにウィルスと書かれているので、理由はそれだけではないという前提で見なければいけませんが、USBメモリーが禁止される最大の理由は、データをUSBメモリーに戻せるということにあります。

組織の場合、ネットワーク回線は外側からの攻撃に対してStealthまたはDeny設定がファイアウォールのポート管理や、ネットワークスイッチまたはルータやVPNで行われていますので、内側から破壊するか、何らかの脆弱性を利用しないと中を攻撃するのは今の時代困難です。また、内側から攻撃を掛けても、明らかに大規模なデータ流出があればいつかは必ず検出される可能性が高いのです。

次に光学メディアですけど、そもそも組織で光学ドライブとして搭載されているドライブの多くは、一部の管理者やデータ共有用のシステムを除いて、ROMドライブです。ROMというのはリードオンリーメモリーで読み出し専用の媒体を使うドライブになります。
この手のドライブでは、データを光学ディスクに書き込むことが絶対に出来ません。

では、USBメモリーはどうかというと、USBメモリーなどのフラッシュデバイスやリムーバブルハードディスクドライブ、小型なSSDフラッシュドライブなどは、マスストレージデバイスで通常は書き込み禁止をすることが出来ません。

そのため、もしもこれにデータを取り出して、媒体に書き戻すというプログラムが入っていると、根こそぎその組織の端末にあるデータを取り出される恐れもあります。それが、ウィルスなのかそれとも、悪意のある職員なのか社員なのかは分かりませんが、ウィルスがデータ漏洩に繋がるとかコンピュータを壊すとかそういう点で考えるなら、USBメモリーにデータを移して外に意図的に漏らす人がいるなら、それも悪意のある人というウィルスに該当します。

これを防ぐために、倫理規約としてデータを保護しなければならない部署や組織では、ウィルスやデータの漏洩を防ぐために、USBメモリーの利用を禁止しています。一方で、光学ドライブが許可されている組織では、ROMメディアしか再生出来ないハードを使う事や、あくまで指定されたソフトウェアのインストールなど組織の管理者が許可しているデータが収まっているディスクを使う場合に限り許諾されているケースが多いです。

これらの記述がなく、USBメモリーだけ外されている場合は、管理者が光学メディアの取扱指定を細かく設定せず、このぐらいのルールは当たり前だと思い込んでいるのでしょう。（これはみんな知っていて当たり前という性善説に基づきます）

まともな会社なら、個人情報保護教育などを行っており、そこでその辺りの説明をすることもあるはずですけど、それが派遣社員とか、請負とかいろいろ重なってくると、伝わらないケースもあるので……今は、そこまで理解出来ていない人や、そもそも正規の職員でも、そういう教育を受けて全部覚えていない人も多いでしょう。

ということになります。

これは、自動再生がうんたらという話じゃないのです。組織で使うドライブがROM中心で納入されているはず（これも、ちゃんと後の人に引き継がれていなければ馬鹿な管理者が書き換え対応のドライブを入れるケースがあります）だから、USBメモリーだけは絶対に外さないとデータがウィルスに限らず人によって漏れてしまう可能性があるからです。

お礼

御回答頂き有難う御座います。

>データをUSBメモリーに戻せるということにあります。

>USBメモリーなどのフラッシュデバイスやリムーバブルハードディスクドライブ、小型なSSDフラッシュドライブなどは、マスストレージデバイスで通常は書き込み禁止をすることが出来ません。

　USBメモリーにROMはないのですか?
　とあるソフトを購入した際、USBメモリーに入っているものがあったのですか、そういった類も実はROMではなかったという事なのでしょうか?
　後、世の中には下記のURLにあるようなものも存在しているようですが・・・

【参考URL】
サービス _ USBメモリROM化サービス _ Query, Inc.
https://www.query.co.jp/service/usb_rom.html

>そもそも組織で光学ドライブとして搭載されているドライブの多くは、一部の管理者やデータ共有用のシステムを除いて、ROMドライブです。

　セキュリティー上そうするのが当然という事は理解できました。
　実はつい最近読んだ下記のURLにある(おそらく実録の)漫画

【参考URL】
　ATMの謎の不具合。目的は果たせたけど気になる理系の性／理系の人々3（8）
　　https://www.lettuceclub.net/news/article/1106238/

において、別のパソコンへデータを移す際に、USBメモリーが禁止されているので、データを(社内のネットワークを使わずに)わざわざCDに書き込んでいる場面があったため、書き込み可能な光ディスクも使用可だと勘違いし、
「書き込み可能なCDが可なのに、USBメモリーが禁止なのは何故?」
と思っておりました。

>組織の場合、ネットワーク回線は外側からの攻撃に対してStealthまたはDeny設定がファイアウォールのポート管理や、ネットワークスイッチまたはルータやVPNで行われています

　社内でのテータのやり取りは外部の害から隔離されたネットワーク内で行い、外部とのやり取りはセキュリティチェックを通して行うという事なのですね。
　これが一番納得いきます。

回答No.14

BuriBuri4

ウイルス対策はエクスキューズの一つで、主題は社員によるデータ持ち出しの防止だと思います。
社内のシステムではデータ参照数を監視しており、参照回数が規定値を超える利用には参照理由の調査が入ります。
団塊世代が退職時にデータを持ち出して売却する情報流出の事例が続発して以降取られた対策だと思います。

お礼

御回答者頂き有難う御座います。
　折角御回答者頂いた処申し訳御座いませんが、回答者様は質問内容を勘違いしておられるようです。
　私が尋ねているのは｢USBメモリーが禁止される理由について｣では御座いません。
　あくまで、｢データをやり取りする際にウイルスに感染するおそれがあるのは他の手段であっても同様であるのにもかかわらず、何故、USBメモリーの場合に限って、禁止する理由の1つとするほど問題視するのか？｣という事を尋ねているのです。
　その点を御間違えなきように願います。

回答No.13

121CCagent

>クラウドやネットワークドライブのサービスを
>利用するのは何か矛盾しているような気がします。
確かにそうですね。
ちゃんした会社ならクラウドやネットワークドライブのサービスでもウィルスチェックが整っているようなものしか利用できないようしたりするところもありますね。

お礼

三度の御回答有難う御座います。

　ウイルス対策としてなら、通常時は外部から隔離された社内ネットワークでデータをやり取りするのが最強なのでしょうが、外部との通信が必要とされる場合もある以上、社内ネットワークとそのサーバーをウイルスやハッキングから守りながら運用するためにはある程度高いレベルの専門知識とノウハウを持つ部門を常設せねばならず、コスト面と人材育成でかなりの負担を要するのではないかと想像がつきます。
　その点、

>クラウドやネットワークドライブのサービスでもウィルスチェックが整っているようなもの

であれば、ウイルス&ハッキング対策に専念する事もサービス提供側の通常業務の範囲内になりますから、情報関連分野以外の業種の企業がデータの保存先として自社内サーバーを設置するよりは安全そうですね。

回答No.12

i-q

メモリ等のUSBポート全般を禁止、
が多いと思います。
（ポートに鍵付きでロックされてたり）

圧倒的な自由度です。
光学ドライブやLANポートは使用目的がハッキリしていて対策もしやすいです。

ですがUSBポートは、あらゆる機器か接続できて、
コンピュータて可能なことなら何でも出来るほど自由度が高いです。
なので対策不可能に近いので使用禁止にして、素子してます。

お礼

御回答頂き有難う御座います。

　USBメモリー自体というよりもUSBポートの方に問題があるので禁止した方が良いとされている訳なのですね。

回答No.10

121CCagent

>自動実行がデフォルトであるか否かという点は
>あまり関係がないのではないでしょうか？
そうですね。最終的にはUSBファイルに保存したファイルを直接開くなりPCにコピーして開くなりしますからその際にウィルスへの感染リスクはありますね。

>現在のOSならば読み込み中のデータは
>既存の記憶領域からは隔離された所に
>設けられた別の記憶領域に
>保存されるようになっていて、
>そこへの保存と並行してウイルスチェックも
>行うようになっているという事なのでしょうか？
そんな機能はないですね…
あくまでUSBメモリを取り付けただけでUSBメモリに保存されている実行ファイルが自動実行されないってだけですね。

>それではデータのやり取りをどうやって行っているのでしょうか？
軽いデータならメールにファイル添付とかもありますが今だとクラウドやネットワークドライブのサービス経由でデータのやり取りをする事も多いですね。

お礼

再度の御回答有難う御座います。

>軽いデータならメールにファイル添付とかもありますが今だとクラウドやネットワークドライブのサービス経由でデータのやり取りをする事も多いですね。

　それですとインターネット等を介して外部のコンピューターと接続するという事になり、USBメモリーとは比較にならないほど「ウイルスを媒介するおそれ」が高くなるのではないでしょうか?
　USBメモリーを禁止する理由の全てではないものの、その１つに「ウイルスを媒介するおそれ」が挙げられている中で、クラウドやネットワークドライブのサービスを利用するのは何か矛盾しているような気がします。

回答No.9

121CCagent

昔の名残みたいなものかな？とも思ったりします。
かなり前はUSBメモリを取り付けただけで自動実行が始まりそのままウィルス感染って事はありましたが今のOSなら自動実行・再生が勝手に始まりウィルス感染って事は無いかな？とは思います。

>CD、DVD、Blu-ray等々のディスク
光学ドライブについては最近のPCだとそもそも搭載していない事が多くなりましたね。

お礼

御回答者頂き有難う御座います。

>かなり前はUSBメモリを取り付けただけで自動実行が始まり
>今のOSなら自動実行・再生が勝手に始まりウィルス感染って事は無いかな？

との事ですが、データのやり取りをする際にはデータの受け取り側のパソコンでデータを必ず読み込む事が前提となり、紛れ込んだファイルを読み込んだだけで感染するようなウイルスなど普通にあるとよく聞きますから、自動実行がデフォルトであるか否かという点はあまり関係がないのではないでしょうか？
　それとも現在のOSならば読み込み中のデータは既存の記憶領域からは隔離された所に設けられた別の記憶領域に保存されるようになっていて、そこへの保存と並行してウイルスチェックも行うようになっているという事なのでしょうか？

>光学ドライブについては最近のPCだとそもそも搭載していない事が多くなりましたね。

　それではデータのやり取りをどうやって行っているのでしょうか？
　もしネットワーク回線等で行っているのであれば、そちらの方がUSBメモリーなどよりも余程早くウイルスを媒介してしまいかねないと思うのですが・・・

回答No.8

JP002086

簡単な一言で片付けてしまいますと・・・・

仕事上で使用するパソコンに関する教育に、人員や経費を割きたくないから。

簡単な例えで言うと、有名なソフトハウスの経理担当でもパソコンやプログラムについて熟知ているか？　と言われれば「NO」となるのと一緒です。
人を育てる事が出来ていないので、企業は「やるな（禁止）」と言う措置をとります。

言ってしまうと、ＣＤ－ＲＯＭやＤＶＤ－ＲＯＭからでもウィルス感染したプログラムを焼いて保存すると、拡散する危険性が有るんですよ。
メモリーだって、リードオンリーに物理的やパスワードロックを掛ける事が出来るので、知っている者からすれば「はいはい。（呆れて何も言いたくない）」なんです。

そのため、多くの企業や団体では「持ち込み禁止」「持ち出し禁止」と表面上言っているだけ。
運用するにあたって、どの様にするのが合理的か？を考えられない方々が言っているだけと思った方が良いです。

お礼

御回答者頂き有難う御座います。
　小型で隠し持ちしやすいUSBメモリーを禁止する事自体は情報漏洩防止等の観点から多少は意味があるとは私も思っておりましたが、禁止する理由の一つとして｢ウイルスを媒介するおそれがあるため｣が挙げられている事に疑問を覚えておりました。
　その疑問の通り、ウイルス媒介という点のみにおいてはUSBメモリーもCDやDVDも大差がなく、USBメモリーだけを禁止する理由にはならないのにもかかわらず、運用する企業側の上層部が知識不足ないしは怠慢から禁止の理由に挙げているだけという事なのですね。

回答No.7

noname#255857

>CDなどは感染したPC に入れても感染の媒体にはならない
とはどういう事なのでしょうか？

ROMとRAMの違いを検索してみて下さい。
まずそこからです。
補足でみるにパソコンとかの機械に不案内な様子。
まずは基礎知識をつけてから、パソコンに詳しい人の
設けたルールの意味を吟味するべきだと思う。

補足

ROMはデータの読み取りのみが可能な記憶媒体、RAMは読み取りと書き込みの双方が可能な記憶媒体であり、USBメモリーであるかディスクであるかにかかわらずデータのやり取りに使用する(使用可能な)のは、(自前で作ったデータの)書き込みも可能なRAMの方です。
　書き込み可能である以上、ウイルスプログラムが自身のコピーを書き込む事もまた可能です。

回答No.6

chie65536（@chie65535）

USBメモリは、CD等とは違い、挿入しただけでウィルスが起動し感染を起こせますし、ウィルスが密かに自分自身を書き込む事ができます。

実際、USBメモリを差しただけで、セキュリティソフトが「○○を隔離しました」とか「○○をブロックしました」と警告して来ます。

CD、DVD、Blu-ray等は、挿入しただけでは何も起きませんし、書き込むには「空のメディア」を挿入しないとならないし、追加書込も簡単ではありません。

しかしUSBメモリは「差し込むだけで感染する」し、画面に何も表示せずにコッソリと上書きや書き込みが出来ます。

一般の人は「感染しているファイルを開かない限りは感染を起こさない」と思い込んでいるので、まさか「差し込むだけで感染する」とは思ってません。

なので、USBメモリは、CD等に比べ、何倍もウィルスを拡散させやすいのです。

汚染USBメモリを差し込むだけで感染し、感染したパソコンに別のUSBメモリを差し込むだけで、別のUSBメモリが汚染され、そのUSBメモリを別のパソコンに差すだけで感染し、というように感染するので、感染させてる本人も、感染させてる自覚がありません。

無症状コロナウィルス感染者が無自覚に感染を広げているのと、ソックリな事が起こります。

なので「USBメモリ使用禁止」になるのです。この「使用禁止」は「中身を開いて閲覧するのを禁止」ではなく「パソコンに差し込むのを禁止」です。

なので「開かなきゃ大丈夫だろう。禁止事項は守ってる」と思ってはいけません。差し込んだ時点でアウトです。

お礼

御回答者頂き有難う御座います。

>USBメモリは、CD等とは違い、挿入しただけでウィルスが起動し感染を起こせます

>CD、DVD、Blu-ray等は、挿入しただけでは何も起きませんし、書き込むには「空のメディア」を挿入しないとならないし、追加書込も簡単ではありません

との事ですが、データのやり取りをする際にはデータの受け取り側のパソコンでデータを必ず読み込む事が前提となりますから、挿入しただけでは何も起きないという点は特段利点とはならないのではないでしょうか？
　CD、DVD、Blu-ray等への書き込みや消去もパソコン側の制御で行われますし、そのパソコンの動作を勝手に行うものがウイルスなのですから、繰り返し使用タイプのディスクとUSBメモリーとの差は少ないように思えるのですが如何でしょうか？

回答No.5

m5048172715

それは謎だが、予想すると、禁止と通達する会社が利用しているWindowsが、大きなお世話でUSBメモリをすぐに読み込んでしまうからだろね。

USBメモリー装着で勝手にディレクトリが開くのはイヤ！
> 自動再生設定を変更する
https://forest.watch.impress.co.jp/docs/serial/win10tips/1025150.html

いや、CD、DVD、Blu-ray等々のディスクも読み込みますよ。
→ そうなんだけど、会社がUSBメモリしか頭にないので、光学系のメディアもありますと教えてやるしか無い。

そういえば昔、サーバー用の韓国製ソフトウエア「イントラワークス」のセットアップCD-ROMにウイルスが入っていたことがあった。Windowsサーバー機のノートンアンチウイルスが反応して分かった。

CD-ROMを見たら、ルートディレクトリには感染経路を記録したテキストデータがあった。という経験はある。

お礼

御回答者頂き有難う御座います。

>> 自動再生設定を変更する

が可能で

>いや、CD、DVD、Blu-ray等々のディスクも読み込みますよ。

という事であれば、

>メモリをすぐに読み込んでしまうから

という点において、USBメモリーもCD、DVD、Blu-ray等々のディスクも大差は無い事になりますから、要するに

>会社がUSBメモリしか頭にない

という事だけが理由という事なのですね。
　ですが、大差が無いのであればUSBメモリーだけを問題視して注意を払う理由も無いはずです。それにもかかわらず

>会社がUSBメモリしか頭にない

のは何故なのでしょうか？

回答No.4

eroero4649

最近のパソコンはDVDドライブがそもそも付いていないものが増えていますが、昔のDVDドライブが付いているパソコンの時代はDVDドライブそのものを外したり、テープで封印したりしていましたよ。
DVDドライブの場合は、ウイルス感染より内部データをDVDに焼いて持って行ってしまうことを禁止する意味合いのほうが多かったと思いますが。

私が昔いた会社でも、システム障害が起きて後日原因が誰か社員がウイルスに感染したUSBメモリを差したからだと聞いたこともあったので、そういう事例はある時代にはよく起きていたと思います。

仕事のうえでのデータのやり取りをどうするかのルールは、5年くらい経つといつの間にか更新されてることが多いですね。
私が昔よくやっていたのはファイルにパスワードをかけて、別のメールでパスワードだけを送るってやつでしたが、最近はこれもなんだかNGらしいですね。

補足

その話のどこに「『ウイルスを媒介するおそれがある』事がUSBメモリーだけが問題視される理由」が述べられているのでしょうか？