セキュリティ意識が低くても安全に利用｜USBメモリ導入事例
総務部 情報システム課
副主幹 長谷川 浩之様（中央）
東 浩一様（右） 野島 孝行様（左）
日野市は、東京都のほぼ中心部に位置し、多摩川と浅川の清流に恵まれ、湧水を含む台地と緑豊かな丘陵をもつまちです。
かつては農業地域でしたが、昭和の初めから大企業の誘致により工業都市の顔を加え、また、戦後は大規模団地の開発も行われ、首都圏の住宅都市として現在の人口は17万人を超え、まだ増え続けています。
日経パソコン誌が例年実施する自治体の情報化進展度を比較する「e都市ランキング」で毎年上位にランキング（2007年は1606市区町村中19位）され、また、日経グローカル誌における「電子化進ちょく度調査」のセキュリティ対策ランキングでは3位と、セキュリティ意識が高く、対策に力を入れる日野市役所様が「USBメモリ取扱要綱」に基づき、庁舎内でのデータ移送や、会議資料や講義資料などを庁舎外に持ち出す手段として「Sdcontainer 2.0」を導入されました。
その導入の背景、運用状況、感想を弊社営業担当者が総務部情報システム課 長谷川 浩之様、東 浩一様、野島 孝行様にお聞きしました。
導入製品：Sdcontainer
主な利用用途：USBメモリの無断使用を防ぐため / セキュリティ意識の低い職員の利用でも安全を確保
──セキュリティUSBメモリを導入したきっかけをお教えください。
当市の庁内ネットワークの構成は、安全性に配慮し、インターネットへの接続を限定されたパソコンに制限しております。そのため、インターネット側から送られてきたメールの添付ファイルや、WEBサイトから配信されるファイルを庁内ネットワークで利用するためには何らかの媒体を用いて移動させる必要があります。
一方で、当市では、原則パソコン導入時の初期装備以外の機器接続が禁じられているため、データ移送のための記録メディア機器は業務上必要な場合に限ってのみ接続が認められています。
以前でしたら、データ移動のための媒体はフロッピーディスクの利用がほとんどでしたが、最近はフロッピーディスクでは容量不足のため、十分な容量があり、かつ安価で簡単に使える、USBメモリのニーズが庁内でも高まっておりました。
また、USBメモリのニーズが高まってきた当時は、例外的に認められた場合にのみUSBメモリ等の記録メディアの利用が可能というポリシーのみでの規制であったため、無断使用があるのかもしれないという危機感がありました。
そこで、そのような危機感を払拭するために、我々情報システム課から各課に対して貸与したUSBメモリだけを利用できる環境を構築し、USBメモリを貸与することになりました。
また、そのようなルールについても、情報セキュリティポリシーではなく「USBメモリ取扱要綱」を作成し、持出や貸出の条件等を相当厳しく制限して書類面を整備しました。
──セキュリティUSBメモリの選定にあたっては、どのような観点で検討されましたか。
データ移送時のセキュリティ対策を万全にするという意味で保存したものは必ず暗号化されるということ、かつ他の自治体等と情報をやりとりする際にドライバやソフトウェアをインストールすることは難しいので、管理者権限やインストールが不要であるということ、この2点が両立できる製品を検討してきました。
──最終的に「エスディコンテナ」をご導入いただいたわけですが、「エスディコンテナ」のどのような点が評価のポイントになったのでしょうか？
情報セキュリティEXPOやインターネットで情報を得ながら、有名メーカーのセキュリティUSBメモリは相当期間をかけて評価検証し、「エスディコンテナ」も導入前に２度も借りて評価しました。
その結果、「エスディコンテナ」に決定しました。
他社製品で一番ネックになったのは、平文で書き込み可能な領域があることでした。
セキュリティ意識の低い人は平文領域に書き込む可能性もあり、セキュリティ意識の低い人たちでも暗号化できるようにと考えると、強制でしかも自動で暗号化される商品を求めていたのです。
また「エスディコンテナ」はデバイスロックでの制御にも対応することができたので、導入決定しました。
さらに、研修の際に講師から提案があったのですが、USBメモリを落とした際に音で分かるようにしなさいということで、USBメモリの筐体に鈴をつけることになったのですが、以前のUSBメモリはキャップ側に鈴を取り付ける部分があるものが多く、本体側に取り付ける部分があるものが少なかったのですが、幸い「エスディコンテナ」は本体側に鈴を取り付ける部分があったので、それも「エスディコンテナ」に決めた要因でした。
とにかく予算の無駄遣いと言われないためにも、それまで使っていたUSBメモリをおしてでも、買い換える価値のあるセキュリティUSBメモリでなければならなかったのです。
──「エスディコンテナ」をどのように運用されているのですか？
USBメモリには一番気を使っているので、法的なものを整備した上で、それに則り「エスディコンテナ」1本ずつに番号を振り、課単位で貸し出すようにしています。何課が何番を借りているのかを管理するとともに、貸出時に保管場所も具体的かつ詳細に記載させ、実際に保管場所を見に行ってから貸出許可を出しています。
ただ、貸出時にはチェックできても、貸し出してしまった後のチェックがなかなか難しいので年に1度チェックできるように貸出期間を毎年9月30日で切ることにしました。それとともに、途中のチェックは、内部監査を利用するようにしています。
また、紛失対策として、落した時に音ですぐわかるようにUSBメモリに鈴をつけています。
職員が「エスディコンテナ」を利用して課長に返す際には、中身をきれいにして返却するような運用にし、USBメモリ内は一切保存禁止にしています。
──「エスディコンテナ」をご導入後の感想をお聞かせください。
2007年3月から貸出しを開始していますが、最初は、通常みなさんが使っているUSBメモリと違って「エスディコンテナ」だという意識がないと、エクスプローラから見られないことやドラッグ＆ドロップできないことについて色々言われました。そこで「運ぶためのデバイス」ということを説明すると、すんなりと受け入れてもらえました。 運用に関しては、「パスワード忘れちゃったんですけど、どうしましょう？」というのがありました。それはパスワードを忘れる方が悪いので、初期化すると中身が消えてしまうとしか言えませんでしたが、最終的には解決したようです。
また、筐体の大きさもセキュリティの観点からは、持っていても無くさない大きさなのでちょうどよいのですが、実際にパソコンに挿して使う場合にパソコンの機種によっては隣のポートが使えなくなってしまうので、もう少し小型の筐体の方がいいですね。
──最後に、弊社に対して、もしくはセキュリティ製品全般に対して何かご要望があれば、お聞かせください。今後の製品開発の参考にさせていただきます。
暗号化機能付きのメモリーカードがあればいいですね。
市役所の中でも、現場を撮影しなければならないとか、業者さんのカメラからデータを受渡しなければならないなどがあり、デバイスの制御はかけているのですが、どうしても例外を設けないと業務が滞ってしまう場合があります。
そのような意味で、USBメモリ以外の可搬メディアのデータについてもセキュリティ対策ができればいいなと思います。
当市では、情報化推進にも力を入れており、市民に対してどんどんホームページなどを通じて情報を開示しています。そういう点では、業務上でデジカメやSDカードを使用することも多いので、可搬メディア全般に対しセキュリティ対策しようと思うと、メモリーカードはどうしても抜け穴になってしまいます。
このため、是非メモリーカードのセキュリティ製品も開発してほしいですね。