ウイルスを媒介するからUSBメモリー禁止？

質問

近年ではUSBメモリーの使用を禁止している企業が増えて来ており、それらの企業においてUSBメモリーが禁止されている理由は幾つかあるようですが、その理由の一つとして
｢ウイルスを媒介するおそれがあるため｣
というものが挙げられているそうです。
　しかし、ウイルスを媒介するおそれを問題視するのであれば、CD、DVD、Blu-ray等々のディスクや、ネットワーク回線の類、その他全てのデータのやり取りもまた同様にウイルスを媒介するおそれがありますから、データのやり取り自体を禁止しなければならなくなるはずですが、実際にはUSBメモリー以外の手段によるデータのやり取りまでは禁止していない処が多いようです。
　つまり、他の手段においては｢ウイルスを媒介するおそれ｣自体は禁止する理由になっていないと考えられるわけですが、それでは何故USBメモリーの場合に限って｢ウイルスを媒介するおそれがある｣事が禁止される理由の一つとして挙げられているのでしょうか？

回答No.11

parts · ベストアンサー

面白い質問なので回答します。
昔、ある組織でシス管していたものです。そこでは、光学ドライブが搭載されていても使えませんでしたけど。当然ですが、USBメモリーを刺しても使えませんでした。

そもそも、理由の一つにウィルスと書かれているので、理由はそれだけではないという前提で見なければいけませんが、USBメモリーが禁止される最大の理由は、データをUSBメモリーに戻せるということにあります。

組織の場合、ネットワーク回線は外側からの攻撃に対してStealthまたはDeny設定がファイアウォールのポート管理や、ネットワークスイッチまたはルータやVPNで行われていますので、内側から破壊するか、何らかの脆弱性を利用しないと中を攻撃するのは今の時代困難です。また、内側から攻撃を掛けても、明らかに大規模なデータ流出があればいつかは必ず検出される可能性が高いのです。

次に光学メディアですけど、そもそも組織で光学ドライブとして搭載されているドライブの多くは、一部の管理者やデータ共有用のシステムを除いて、ROMドライブです。ROMというのはリードオンリーメモリーで読み出し専用の媒体を使うドライブになります。
この手のドライブでは、データを光学ディスクに書き込むことが絶対に出来ません。

では、USBメモリーはどうかというと、USBメモリーなどのフラッシュデバイスやリムーバブルハードディスクドライブ、小型なSSDフラッシュドライブなどは、マスストレージデバイスで通常は書き込み禁止をすることが出来ません。

そのため、もしもこれにデータを取り出して、媒体に書き戻すというプログラムが入っていると、根こそぎその組織の端末にあるデータを取り出される恐れもあります。それが、ウィルスなのかそれとも、悪意のある職員なのか社員なのかは分かりませんが、ウィルスがデータ漏洩に繋がるとかコンピュータを壊すとかそういう点で考えるなら、USBメモリーにデータを移して外に意図的に漏らす人がいるなら、それも悪意のある人というウィルスに該当します。

これを防ぐために、倫理規約としてデータを保護しなければならない部署や組織では、ウィルスやデータの漏洩を防ぐために、USBメモリーの利用を禁止しています。一方で、光学ドライブが許可されている組織では、ROMメディアしか再生出来ないハードを使う事や、あくまで指定されたソフトウェアのインストールなど組織の管理者が許可しているデータが収まっているディスクを使う場合に限り許諾されているケースが多いです。

これらの記述がなく、USBメモリーだけ外されている場合は、管理者が光学メディアの取扱指定を細かく設定せず、このぐらいのルールは当たり前だと思い込んでいるのでしょう。（これはみんな知っていて当たり前という性善説に基づきます）

まともな会社なら、個人情報保護教育などを行っており、そこでその辺りの説明をすることもあるはずですけど、それが派遣社員とか、請負とかいろいろ重なってくると、伝わらないケースもあるので……今は、そこまで理解出来ていない人や、そもそも正規の職員でも、そういう教育を受けて全部覚えていない人も多いでしょう。

ということになります。

これは、自動再生がうんたらという話じゃないのです。組織で使うドライブがROM中心で納入されているはず（これも、ちゃんと後の人に引き継がれていなければ馬鹿な管理者が書き換え対応のドライブを入れるケースがあります）だから、USBメモリーだけは絶対に外さないとデータがウィルスに限らず人によって漏れてしまう可能性があるからです。

お礼

御回答頂き有難う御座います。

>データをUSBメモリーに戻せるということにあります。

>USBメモリーなどのフラッシュデバイスやリムーバブルハードディスクドライブ、小型なSSDフラッシュドライブなどは、マスストレージデバイスで通常は書き込み禁止をすることが出来ません。

　USBメモリーにROMはないのですか?
　とあるソフトを購入した際、USBメモリーに入っているものがあったのですか、そういった類も実はROMではなかったという事なのでしょうか?
　後、世の中には下記のURLにあるようなものも存在しているようですが・・・

【参考URL】
サービス _ USBメモリROM化サービス _ Query, Inc.
https://www.query.co.jp/service/usb_rom.html

>そもそも組織で光学ドライブとして搭載されているドライブの多くは、一部の管理者やデータ共有用のシステムを除いて、ROMドライブです。

　セキュリティー上そうするのが当然という事は理解できました。
　実はつい最近読んだ下記のURLにある(おそらく実録の)漫画

【参考URL】
　ATMの謎の不具合。目的は果たせたけど気になる理系の性／理系の人々3（8）
　　https://www.lettuceclub.net/news/article/1106238/

において、別のパソコンへデータを移す際に、USBメモリーが禁止されているので、データを(社内のネットワークを使わずに)わざわざCDに書き込んでいる場面があったため、書き込み可能な光ディスクも使用可だと勘違いし、
「書き込み可能なCDが可なのに、USBメモリーが禁止なのは何故?」
と思っておりました。

>組織の場合、ネットワーク回線は外側からの攻撃に対してStealthまたはDeny設定がファイアウォールのポート管理や、ネットワークスイッチまたはルータやVPNで行われています

　社内でのテータのやり取りは外部の害から隔離されたネットワーク内で行い、外部とのやり取りはセキュリティチェックを通して行うという事なのですね。
　これが一番納得いきます。

回答No.3

heyboy

憶測ですいませんが、
最近のUSBメモリや
SDカードなどの媒体を
「容量詐欺」した
品々が多数、
アマゾンとかでも
販売してます。

つ・ま・り、
「容量詐欺」が出来るなら
ウイルスを仕込むのも
容易に出来ると
思われているかも。

それを危惧しているのかもね。

お礼

御回答者頂き有難う御座いました。
　せっかく御回答者頂いた処申し訳御座いませんが、容量詐欺が困難な媒体であってもウイルスを仕込む事自体は容易なはずですので、USBメモリーを禁止する理由にはなりません。

回答No.2

noname#255857

USBは挿した瞬間にパソコンを感染させられるのと、
USBメモリ自体もウィルスが分身を書き込めるからですね。

CD、DVD、Blu-rayはドライブに入れても読み込みをしないと
始まらないし、USBよりもできることが少ないので感染しにくい。
製品として作られた光ディスクはウィルス混入の可能性も低い。
また、書込み可能なディスクをパソコンに入れても勝手にウイルスが
書き込みされるような仕組みの媒体ではない。

色々なパソコンにUSBメモリを挿していけば、USBメモリが感染したら
以降のパソコンは全部感染するけど、CDなどは感染したPC
に入れても感染の媒体にはならないのです。書き込みできないから。

製品のディスクにウィルスが入ってた事例はありますし、
個人で焼いたディスクにウィルスが入る可能性はもちろんあります。
でもUSBメモリの危険の１％にも満たないんじゃなかろうか。

危険性と実用の間で、妥当なところを取ればUSBメモリは禁止、
光ディスクはOKと言うのは納得が行きます。私個人の感覚では。

お礼

御回答者頂き有難う御座います。
　ただ、御回答者頂いたお話の中に幾つか解らなかった点がありました。

>製品として作られた光ディスクはウィルス混入の可能性も低い

との事ですが、製品として作られたものであればウィルス混入の可能性が低いのはUSBメモリーでも同様ではないでしょうか？
　そしてデータのやり取りをする際にはデータの受け取り側のパソコンでデータを必ず読み込む事が前提となりますから、

>CD、DVD、Blu-rayはドライブに入れても読み込みをしないと 始まらない

という点は利点にはならないと思います。
　それと、繰り返し使用可能なタイプであればディスクのデータ消去や書き込みはパソコン側の制御で可能なはずですが、

>ディスクをパソコンに入れても勝手にウイルスが 書き込みされるような仕組みの媒体ではない

>CDなどは感染したPC に入れても感染の媒体にはならない

とはどういう事なのでしょうか？
　光ディスクOKとしている企業では1回限りタイプ以外は使用不可としているという意味なのでしょうか？
　それに

>以降のパソコンは全部感染

というのは回線でも同じ事と言いますかむしろUSBメモリーよりも酷いのではないでしょうか？

回答No.1

aokii

USBメモリーの場合に限って｢ウイルスを媒介するおそれがある｣事が禁止される理由の一つとして挙げられているのは、間違いです。CD、DVD、Blu-ray等々のディスクや、ネットワーク回線の類、その他全てのデータのやり取りもまた同様にウイルスを媒介するおそれがありますから、データのやり取り自体を禁止しなければなりません。

お礼

｢ウイルス感染をおそれるのならUSBメモリーだけを禁止しても意味が無い。データのやり取り自体を禁止しろ｣というご意見ですね。
　御回答者頂き有難う御座いました。