お世話になっております。
営業担当 伊藤でございます。
2026年夏、USBメモリをはじめとする物理メディアのセキュリティリスクが、立て続けに報じられていて心を痛めています。弊社ではUSBメモリは使用しておりませんが、他人事とせずになぜこのような事が起きるのか、非エンジニアなりに考えていきたいと思います。
本記事の要約
- 報道によれば、国内の大規模組織で偽装USBメモリ由来のマルウェアが約1年間検知されないまま使用され続けた事案が明らかになり、ある自治体では1万個超のUSB調査で47個からマルウェアが検知されるなど、物理メディア経由の脅威が再びクローズアップされています。
- USBの不適切な利用の背景には「業務上の必要性」と「調達（サプライチェーン）の穴」があり、一律禁止はルールの形骸化（シャドーIT化）を招きます。
- 情シスは現場の事情に寄り添い、SaaSの提供・調達経路の統制と並行して、MDMによる制御と「アラートを正しく解読するEDR運用」を両立すべきです。
1. なぜいま、USBメモリのリスクが再燃しているのか
2026年夏、USBメモリをはじめとする物理メディアのセキュリティリスクが、立て続けに報じられています。
最も注目を集めたのは、2026年6月に報道された国内の大規模組織の事案です。報道によれば、正規に調達・物品登録されたUSBメモリにマルウェアが混入しており、機密情報を扱うシステムの端末で約1年間、検知されないまま使用され続けていたと報道されています。
しかも当該USBは、容量表示を偽装した粗悪品——外見は普通のUSBメモリながら、内部には安価なマイクロSDカードが仕込まれ、「1TB」と表示されて実際は240GB程度——であり、同種の偽装USBがネット通販で正規品の半値近くで広く流通していることも、あわせて報じられています。
これは一組織の特殊な失敗ではありません。ある自治体では、庁内で保有する1万個超のUSBメモリを調査した結果、47個からマルウェアが検知され、37部署に影響が及んでいたこと、職員の私物や外部端末からの混入も含まれていたことが公表されました。さらに所管省庁が、全国の都道府県・市区町村を対象としたUSBメモリの利用実態調査に乗り出す方向で検討を進めていると報じられており、対象はドローンやネット接続型監視カメラ等にも広がる見通しです。
かつてUSBメモリのセキュリティリスクといえば、紛失や盗難による「情報漏洩」が主流でした。そのため、多くの企業ではデータの暗号化機能付きUSBメモリを採用する、あるいは持ち出しを制限するといった対策が進められてきました。
しかし、いまクローズアップされているのは、外部から組織内へマルウェアを持ち込んでしまう「持ち込み型」の脅威です。しかもこの大規模組織の事案が示すのは、「怪しい私物USBがこっそり使われた」という単純な構図ではありません。正規に物品登録されたUSBメモリであっても、調達段階で偽装品を掴まされ、使用時のウイルスチェックが徹底されなければ、多重のチェック体制はすべてすり抜けられてしまう——という、より構造的な問題です。
「未登録の物理メディアは接続禁止」「使用前のウイルスチェックを徹底」というルールを設けている組織は少なくありません。それにもかかわらず、なぜ現場ではルールが機能せず、長期の潜伏を許してしまうのでしょうか。
2. ルールが形骸化する構図は「シャドーIT」「シャドーAI」と全く同じ
この問題を「現場のモラル不足」や「ルールの不徹底」として片付けるのは本質的ではありません。ルールが守られない背景には、現場の「業務を遂行するためにデータを動かしたい」という純粋な動機が存在します。
この構造は、情シスに無断で便利な外部クラウドサービスを使う「シャドーIT」や、業務効率化のために私的に生成AIを利用する「シャドーAI」と全く同じです。実際、前述の自治体の事案では、職員の私物USBや外部端末からのマルウェア混入も確認されています。公式な手段が不便であれば、現場は必ず「手元にある手軽な手段」に流れるのです。
情シスが安全で利便性の高い公式なデータ移行手段を用意していない、あるいはセキュリティのためにネットワークを過度に分離している場合、現場は業務を回すために自力で「抜け道」を探し始めます。その最も手軽な手段が、ポケットに入れて持ち運べるUSBメモリです。
ここで情シスが「USBメモリの全面禁止」という厳格なルールだけを押し付けると、かえって最悪のシナリオを招きます。現場は業務を止めるわけにはいかないため、さらに巧妙にルールをすり抜けるようになり、実態が情シスから完全に見えなくなる「ブラックボックス化」が進みます。セキュリティを厳しくした結果、かえってガバナンスが崩壊するというパラドックスに陥るのです。
3. 現場には「どうしてもUSBをやめられない事情」がある
クラウドネイティブな環境への移行が理想である一方、現実の業務環境においては「どうしてもUSBメモリや物理メディアをやめられない事情」が存在します。情シスはまず、この現実に寄り添う必要があります。
物理メディアへの依存が残りやすい典型的なケースには、以下のようなものがあります。
インターネットから隔離されたクローズド環境
基幹システム、制御システム、工場の製造ライン、あるいは極秘情報を扱うネットワークなど、セキュリティ上の理由からインターネット（オープン系システム）と完全に遮断されている環境です。これらの間でデータを移行する際、物理メディアを介したバケツリレーが唯一の手段になっているケースは珍しくありません。
前述の大規模組織の事案も、まさにこの構図の中で起きています。報道によれば、インターネットに接続する「オープン系」の端末で受け取ったデータを、隔離された「クローズ系」の端末へ運ぶ正規の手段としてUSBメモリが使われていました。つまりUSBの使用自体は「抜け道」ではなく公式な運用であり、だからこそ、そこに紛れ込んだ脅威が約1年間（報道による）も見過ごされ続けたのです。「隔離しているから安全」ではなく、「隔離しているからこそ、その橋渡し役である物理メディアが最大の弱点になる」——これがクローズド環境の本質的なリスクです。
外部取引先との商習慣
自社のシステムがどれだけクラウド化されていても、取引先や委託元、あるいは官公庁などの外部組織から「指定の物理メディアでデータを納品してほしい」と要求されるケースがあります。ビジネス上の関係性から、これを一律に拒否することは困難です。
こうした背景がある中で、「ダメなものはダメ」と切り捨てるだけではガバナンスは機能しません。情シスに求められるのは、理想論に走ることではなく、「現場が実際に守れる、現実的な運用ルール」をどう組み立てるかという視点です。
4. クラウドネイティブが考える「守れるルール」と「システム的統制」
現場の業務を止めず、かつ組織の安全を守るために、情シスは「利便性の提供」と「システム的な防御陣形」をセットで実装する必要があります。人の意志やモラルに頼らない、三位一体のアプローチを提案します。
アプローチ1：SaaS（クラウドストレージ）への移行による利便性の逆転
インターネットに接続できる標準的な業務環境であれば、最優先すべきは「物理メモリを使うより、クラウドで共有したほうが圧倒的に楽で安全」という状態を作ることです。
BoxやGoogle ドライブ、SharePointなどのエンタープライズ向けクラウドストレージを標準化し、社内外のデータ授受のインフラとして整備します。「URLを発行して共有するだけ」「大容量ファイルも一瞬で届く」という体験を現場に提供できれば、紛失リスクがあり移動に時間もかかるUSBメモリをわざわざ選ぶ理由はなくなります。
アプローチ2：やむを得ない環境での「安全なデータ受け渡し」の仕組み化
クローズド環境とのデータの行き来や、取引先の都合でどうしても物理メディアが必要な場合は、一律禁止ではなく運用のプロセスをシステム的に制御します。
暗号化・認証機能付きUSBのホワイトリスト管理と、調達経路の統制
会社が支給し、かつセキュリティ要件を満たした特定のシリアル番号のUSBメモリのみを接続許可とし、私物や未登録のデバイスは受け付けない設定を行います。
ここで重要なのは、ホワイトリスト管理が単なる「接続制御」ではなく、「信頼できる調達経路の担保」でもあるという点です。前述の事案で使われたのは、ネット通販で流通していたとみられる偽装USBでした。「安くて大容量」を理由に現場が個別調達したデバイスには、容量偽装やマルウェア混入といったサプライチェーンリスクが潜みます。会社支給に一本化することは、接続の入り口だけでなく、モノの入り口を統制することを意味します。
ファイル無害化・転送システムの導入
オープン系とクローズ系の間に、ファイルを無害化（マクロの除去やPDF化など）して転送する専用のアプライアンスやWebAPI経由の転送の仕組みを挟み、物理メディアの持ち込み自体を不要にします。
アプローチ3：MDMとEDRによる「システム的な統制」と運用最適化
ルールが機能しているかを監視し、万が一のすり抜けが発生した際に対処する最後の砦が、MDM（モバイルデバイス管理）とEDR（エンドポイント検出・対応）です。
MDMによる制御
Microsoft IntuneやJamf、Iru等を用い、組織のポリシーに応じたUSBストレージの制御を自動化します。「基本は読み取り専用とし、申請された端末のみ書き込みを許可する」といった柔軟なポリシー割り当てが可能です。
EDRによる挙動検知
ルールをすり抜けて未知のUSBメモリが接続され、そこから不審なプロセスやファイル書き換えが発生した場合、Microsoft Defender for EndpointなどのEDRがリアルタイムでその挙動を検知し、端末をネットワークから隔離します。
セキュリティツールを導入しただけでは早期発見は約束されない
前述の大規模組織の事案では、報道によれば、最終的に脅威を発見したのは自動検知ではなく、端末の動作の遅さに違和感を覚えた職員が、自らセキュリティソフトにUSB内の全量スキャンを指示したこと——つまり「人の勘」でした。
さらに、ウイルス対策ソフトのスキャン対象からUSBメモリが除外される設定になっていたとの報道もあります。ツールは導入されていたにもかかわらず、設定と運用が実態に追いついていなかったために、多重のチェック体制がすべて機能しなかったのです。
これは決して他人事ではなく、EDRを導入していても、膨大なアラートに埋もれてしまったり、検知内容を情シスが正しく解読できなかったり、除外設定が実態と乖離したまま放置されていれば、脅威は長期間潜伏し続けます。
株式会社クラウドネイティブの「EDR運用最適化サービス」は、Microsoft Defender for Endpoint P2に特化し、重要度の高いHighアラートだけでなく、Medium/Low/Infoを含むすべてのアラートを解析対象としています。一般的なSOCの定型監視（重要アラートの通知のみ）では見逃されがちな初期侵入の予兆や、低重要度アラートの傾向から見えてくる「危険な振る舞い」「ルールの形骸化」まで捉えることができます。
誤検知への対応も、「止めていいですか？」という確認で終わらせずに、お客様環境の利用状況を踏まえたチューニングの提案と実施、除外設定の妥当性確認まで踏み込み、異常の「通知」ではなく、原因の「解決」と「是正」を行います。
どんなに高性能なEDRも、自社環境に合わせた適切なチューニングと全データの深い分析があって初めて本来の防御力を発揮します——今回の事案が示したのは、まさにその裏返しです。
【EDR運用最適化サービス】紹介ページ
https://cloudnative.co.jp/services/edr-support/
5. まとめ：ルールを形骸化させないために、情シスが現場と並走する
セキュリティ対策において、現場の「利便性」と組織の「安全性」はトレードオフではありません。不便なルールは必ず形骸化し、新たなシャドーITを生む原因になります。
物理メディアを媒介とした脅威に対抗するために情シスがやるべきことは、システムの入り口に「持ち込み禁止」のお札（ルール）を貼ることではありません。現場がなぜそれを使わざるを得ないのかをヒアリングし、業務プロセスに深く入り込んで、より安全でより便利な代替手段を設計すること。そして、調達から接続、検知、対応までを一気通貫でシステム的に統制することです。
クラウドネイティブでは、「情シスの全部、やる」というミッションのもと、現場のビジネスを加速させながら組織のガバナンスを強固にする情報システムコンサルティングを提供しています。現在のデバイス管理ポリシーの見直しや、脱USBに向けたクラウド環境のグランドデザイン策定、そしてEDRを用いた実効性のある運用体制の構築まで、ワンストップで伴走します。自社のセキュリティルールと現場の運用に乖離を感じている方は、ぜひ一度ご相談ください。
