「取引先へ大きなデータを渡したいので、USBメモリを使ってもいいですか？」
社員からこのように聞かれたものの、会社として利用ルールを決めていない。私物のUSBメモリが使われているかもしれないが、誰が何を保存しているのか分からない。
専任のIT担当者がいない中小企業では、このような状況も珍しくありません。
USBメモリは、インターネット環境がない場所でもデータを受け渡せる便利な道具です。一方で、小さくて持ち運びやすいため、紛失や盗難、情報の無断持ち出し、マルウェア感染につながることがあります。
結論からいうと、会社でUSBメモリを使う場合は、私物USBメモリの使用を禁止し、会社が許可したUSBメモリだけを管理台帳へ登録して利用します。
| まずは「会社が許可したUSBだけ」「個人情報・機密情報は暗号化」「社外持出しは申請・記録」「使用後は削除・返却」「紛失時の連絡先を決める」の5点から始めましょう。 |
この記事の結論
| 項目 | 運用例 |
| 利用できるUSBメモリ | 会社が購入し、管理番号を付けたものだけ |
| 管理担当者 | 総務担当者またはITを兼任する担当者 |
| 利用者 | 業務上必要で、責任者の許可を受けた社員 |
| 保存できる情報 | 利用目的に必要な最小限の情報 |
| 社外への持ち出し | 上司または管理担当者の承認制 |
| 保護方法 | 暗号化やパスワードによる保護 |
| 利用記録 | 利用者、目的、持出日、返却日などを台帳へ記録 |
| 確認頻度 | 利用の都度記録し、管理担当者が月1回確認する運用例 |
| 紛失時 | すぐに上司と管理担当者へ連絡し、保存情報を確認 |
月1回という頻度は、すべての会社に共通する法定期限ではありません。利用本数や持出頻度に応じて、自社で無理なく継続できる確認頻度を決めてください。
| 最初の一歩は、社内で使われているUSBメモリを集めて、「会社支給」「私物」「所有者不明」の3つに分けることです。 |
USBメモリを一律禁止すればよいとは限らない
クラウドストレージやファイル転送サービスを利用できるなら、USBメモリを使わずにデータを受け渡す方法を優先できます。ただし、次のような環境ではUSBメモリが必要になる場合があります。
- インターネットへ接続できない機器からデータを取り出す
- 製造設備や計測機器へ設定ファイルを読み込ませる
- 取引先から指定された方法でデータを受け渡す
- 容量の大きなデータをオフラインで移動する
- 災害や通信障害に備えて特定のデータを保管する
重要なのは、USBメモリを使うか使わないかだけではありません。どのような場合に、誰が、どのUSBメモリを、何のために使えるのかを決めることが重要です。
| 社長「USBメモリは全部禁止にしてしまえば安全じゃないのか？」 担当者「禁止するだけでは、現場が隠れて私物USBを使う可能性があります。必要な業務を確認して、例外の使い方まで決めることが大切です。」 社長「使わせないルールだけでなく、安全に使う手順も必要なんだな。」 |
会社でUSBメモリを使う主なリスク
1. 紛失や盗難による情報漏えい
USBメモリは小さいため、カバンやポケットから落としても気づきにくいものです。顧客名簿、従業員情報、見積書、契約書などが保存されていた場合、紛失場所や保存情報によっては情報漏えいとして対応が必要になります。個人データ入りUSBの社外紛失は漏えい、社内紛失は滅失に当たり得ます。紛失場所が特定できない場合も、漏えいまたは漏えいのおそれに該当すると考えられています。
2. マルウェア感染
外部のパソコンや不特定多数が利用するパソコンへ接続すると、不正なプログラムを社内へ持ち込む可能性があります。所有者不明や私物のUSBを業務用パソコンへ接続しないルールが必要です。
3. 社員による無断持ち出し
USBを自由に使える状態では、顧客情報や設計資料などを簡単にコピーできます。誰が何を持ち出したのか記録し、利用者自身をトラブルから守ります。
4. データの消し忘れ
取引先へファイルを渡したあともデータが残ると、次の利用者や取引先に見られる可能性があります。利用後の削除と確認までをルールに含めます。
5. 会社所有物か分からない
管理番号や利用者の記録がなければ、会社支給品と私物を区別できません。紛失しても気づけない状態を避けます。
法律でUSBメモリの使用は禁止されている？
USBメモリそのものを、すべての民間企業で一律に禁止する法律があるわけではありません。ただし、USBメモリに個人データを保存する場合、個人情報取扱事業者には、漏えい、滅失、毀損を防ぐための必要かつ適切な安全管理措置が求められます。
- 施錠できるキャビネットや書庫など、定められた場所で管理する
- 持ち運ぶ場所を業務上必要な場所に限る
- 暗号化やパスワードによる保護を行う
- 必要に応じて施錠できる搬送容器を利用する
- 電子媒体の持ち運び状況などを記録する
- 従業員が社内規程に従っていることを確認する
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」には、経営者向けの指針、実践手順、情報セキュリティ関連規程や資産管理台帳のサンプルが用意されています。
中小企業がUSBメモリを管理する7つの手順
手順1. 現在使われているUSBメモリを確認する
誰が何本使っているのかを把握します。総務担当者が業務利用中のUSBを集め、「会社購入」「私物」「所有者・購入経緯不明」に分類します。所有者不明品は内容確認のために安易に接続せず、外部保守会社や詳しい担当者へ相談します。
完了の基準
□ 業務で使用中のUSBメモリが一覧になっている
□ 私物USBメモリの利用状況が分かっている
□ 所有者不明のUSBメモリが分けて保管されている
手順2. 利用できるUSBメモリを会社支給品に限定する
私物USBは購入時期、利用履歴、セキュリティ機能が分かりません。会社購入品へ「USB-001」などの管理番号を付けます。シールに顧客名や保存内容は書かない方が安全です。
完了の基準
□ 利用可能なUSBが会社支給品に限定されている
□ すべてに管理番号が付いている
□ 私物USBを使用しないことを社員へ案内している
手順3. USBメモリを使える業務を決める
「業務に必要なら可」ではなく、利用できる場面と認めない場面を具体化します。クラウド共有を使う場合も、共有相手、閲覧期限、編集権限を確認します。
| 判断 | 利用例 |
| 原則利用しない | 社内の部署間でファイルを渡す |
| 別の方法を優先 | 取引先へ通常の資料を送る |
| 承認後に利用 | 取引先がUSBでの提出を指定した |
| 承認後に利用 | ネット接続できない機器からデータを取り出す |
| 原則禁止 | 私物パソコンとのデータ移動 |
| 原則禁止 | 所有者不明USBの接続 |
手順4. 保存できる情報と保護方法を決める
利用目的に必要なファイルだけを保存し、フォルダごとのコピーは避けます。個人情報や機密情報は責任者の承認、暗号化、持出記録を組み合わせます。製品選定時は、全体暗号化、パスワード誤入力時の動作、管理者再設定、対応OS、故障時の復旧、ログの有無を確認します。
| 保存する情報 | 運用例 |
| 公開済みの会社案内 | 会社支給USBを使用 |
| 一般的な業務資料 | 利用目的を記録して使用 |
| 顧客情報 | 責任者の承認、暗号化、持出記録 |
| 従業員情報 | 原則として別の安全な方法を優先 |
| マイナンバーを含む情報 | 社内規程と法令上の取扱いを確認 |
| パスワードや秘密鍵 | 原則としてUSBへの保存を避ける |
| システムのバックアップ | バックアップ専用媒体として別管理 |
手順5. 管理台帳を作る
少数ならExcelやMicrosoft Listsで始められます。ファイル名や個人情報の詳細を書きすぎず、「顧客名簿」「設計資料」など対応判断に必要な範囲へとどめます。
| 項目 | 記録例 |
| 管理番号 | USB-001 |
| メーカー・製品名 | 製品名を記載 |
| 容量 | 32GB |
| 暗号化機能 | あり |
| 購入日 | 2026年8月1日 |
| 管理部署 | 総務部 |
| 保管場所 | 総務キャビネットA |
| 使用者 | 利用する社員名 |
| 利用目的 | 取引先への成果物提出 |
| 保存情報の種類 | 設計資料 |
| 社外持出日 | 2026年8月20日 |
| 持出先 | 取引先名または訪問先 |
| 承認者 | 所属長 |
| 返却予定日 | 2026年8月21日 |
| 返却日 | 実際の返却日 |
| データ削除確認 | 確認済み |
| 確認者 | 総務担当者 |
| 廃棄日 | 廃棄した日 |
| 備考 | 故障や紛失などを記録 |
手順6. 貸出し、返却、データ削除を記録する
申請、承認、台帳記録、必要ファイルの保存、返却、不要データ削除、確認の順で運用します。USB上のデータだけを原本にしないことも重要です。
完了の基準
□ 本体が返却されている
□ 不要なデータが削除されている
□ 返却日と確認者が台帳へ記録されている
□ 元データが社内の正しい保存場所に残っている
- 利用者が利用目的と持出先を申請する
- 上司または管理担当者が必要性を確認する
- 管理台帳へ持出日と返却予定日を記録する
- 必要なファイルだけを保存する
- 利用後にUSBメモリを返却する
- 不要になったデータを削除する
- 管理担当者が返却と削除結果を確認する
手順7. 紛失時の連絡方法を決める
責任追及より先に報告することを明記します。管理番号、最後に確認した日時と場所、発覚日時、保存情報、暗号化の有無、持出経路、立寄先、確認済みの場所を伝えます。会社は影響範囲を確認し、経営者や関係部署へ報告し、必要に応じて取引先、専門家、公的窓口へ相談します。
会社規模別の現実的な運用例
従業員10人程度の会社
- USBを2～3本程度に限定
- 総務担当者が鍵付きキャビネットで保管
- 貸出時にExcel台帳へ記録
- 社外持出しは社長または管理職が承認
- 個人情報を保存するときは暗号化
従業員30～50人程度の会社
- 総務部門で一括管理
- 利用申請フォームを作成
- 管理番号を貼付
- 月1回、台帳と実物を照合
- 紛失時の連絡網を社内規程へ記載
USBメモリを頻繁に使う会社
- 暗号化機能付きUSBへ統一
- 持出しの承認条件を明文化
- 用途別にUSBを分ける
- 不特定の外部端末へ接続しない
- 利用ログを取得できる製品を検討
- 代替できる業務からクラウド共有へ移行
よくある失敗と勘違い
「パスワードを付けたから問題ない」
パスワードは重要ですが、紛失そのものは防げません。管理番号、持出記録、暗号化、返却確認を組み合わせます。
「USBメモリを禁止したので確認は不要」
禁止だけでは隠れて使われる可能性があります。必要業務を確認し、代替手段か例外申請を用意します。
「会社で買ったUSBだから自由に使ってよい」
会社支給、台帳登録、利用記録の3点をセットにします。
「管理台帳を作れば管理できている」
利用の都度更新し、決めた頻度で台帳と実物を照合します。
「USBメモリをバックアップにしているから安心」
USB1本だけの保存では故障や紛失に備えられません。保存場所を分け、復元確認も行います。
USBメモリ利用ルールのひな形
| 以下は小規模な会社で始めるための簡易例です。自社の業務、契約、取り扱う情報に合わせて修正してください。 |
- 業務では、会社が購入し管理台帳へ登録したUSBメモリのみ使用する。
- 私物USBメモリおよび所有者不明のUSBメモリを会社のパソコンへ接続しない。
- USBメモリは、クラウド共有などの代替手段が利用できない場合に限って使用する。
- 社外へ持ち出す場合は、事前に上司または管理担当者の承認を得る。
- 保存するファイルは、利用目的に必要なものだけとする。
- 個人情報や機密情報を保存する場合は、会社が指定する方法で暗号化する。
- 利用者、目的、持出日、返却予定日、返却日を管理台帳へ記録する。
- 利用後は不要なデータを削除し、管理担当者へ返却する。
- 紛失した場合は、発見を待たず、すぐに上司と管理担当者へ報告する。
- 管理担当者は、定めた頻度で管理台帳と実物を照合する。
よくある質問
Q1. 従業員が数人の会社でも管理台帳は必要ですか？
USBメモリを業務で使用するなら、簡単な台帳を作ることをおすすめします。本数が少なくても、管理番号、利用者、持出日、返却日を記録しましょう。
Q2. USBメモリはすべて禁止した方が安全ですか？
業務上不要であれば原則禁止も選択肢です。ただし、取引先指定や設備保守などで必要になる業務を確認し、例外申請の条件を決めます。
Q3. 暗号化USBを買えば管理台帳は不要ですか？
暗号化USBを使っても台帳は必要です。暗号化は内容を読み取られにくくする対策であり、所在や返却予定を管理するものではありません。
Q4. 利用ルールは法律で決められていますか？
すべての会社に共通するUSB専用手順が一律に定められているわけではありません。ただし、個人データを扱う場合は必要かつ適切な安全管理措置が必要です。
Q5. 紛失したら必ず個人情報保護委員会へ報告しますか？
すべての紛失が報告対象ではありません。保存情報、暗号化、紛失経緯、対象人数などを確認し、報告対象に該当するか判断します。
Q6. 外部IT業者へ管理を任せてもよいですか？
製品選定や設定支援は依頼できますが、利用本数、管理番号、利用者、持出状況、紛失時の連絡先は自社でも把握します。
まとめ
会社でUSBメモリを使う場合は、自由利用を認めるのではなく、会社支給品へ限定して管理します。
- 私物USBメモリを業務で使用しない
- 会社支給品に管理番号を付ける
- 個人情報や機密情報は暗号化する
- 貸出し、持出し、返却を台帳へ記録する
- 紛失時はすぐに報告する
