三重県庁のUSB全廃が突きつける「シャドーIT」という名の組織的怠慢

現場のエンジニアにとって、USBメモリはもはや「レガシーな遺物」というよりは、いつ爆発してもおかしくない「時限爆弾」に他ならない。三重県庁が実施した全数調査の結果、庁内で利用されていたUSBメモリ総数1万2357個のうち、実に3割にあたる3789個が私物であったという事実は、単なる管理不足という言葉では片付けられない深刻な構造的欠陥を露呈している。我々が日常的に直面する「利便性とセキュリティのトレードオフ」という永遠の課題が、ここでは極めて杜撰な形で放置されていたと言わざるを得ない。

今回の調査は、陸上自衛隊のUSBメモリからマルウェアが検出されたという報道を受けた総務省の通知が発端となっている。三重県が実施した調査では、1万757個のチェック対象のうち47個からマルウェアが検知された。内訳を見ると、29個が過去のメールデータ由来、18個が外部端末での使用時に混入したものだ。ここで注目すべきは、検知された47個のうち14個が「職員の私物」であったという点である。これは、公的なネットワーク環境に、管理外のデバイスが平然と接続され、マルウェアの温床として機能していたことを意味する。エンジニアの視点から見れば、これは「境界防御」が完全に崩壊していた状態であり、ネットワークの末端で何が起きているのかを誰も把握できていなかったという、極めて脆弱なガバナンスの証明に他ならない。

古典的な自己増殖型や情報搾取型のマルウェアが検知されたものの、幸いにも「活動していない状態」であったことは不幸中の幸いだが、これは技術的な対策が功を奏したというよりは、単に運が良かっただけではないかという疑念を抱かざるを得ない。我々が日々、EDR（Endpoint Detection and Response）の導入やゼロトラストアーキテクチャの構築に心血を注いでいる一方で、現場では依然として「ちょっとしたデータの受け渡し」という名目で、セキュリティポリシーを無視したUSBメモリの抜き差しが横行している。この乖離こそが、日本の組織が抱える最大の技術的負債であると私は考える。

三重県は10月1日から、業務利用する全てのUSBメモリを台帳で管理し、私物USBメモリを禁止する改正セキュリティポリシーを運用すると発表した。しかし、ここで我々エンジニアが問わなければならないのは、「台帳管理」という手法が現代の脅威に対してどれほどの抑止力を持つのかという点である。過去のインシデント事例を振り返れば、USBメモリの紛失や不正利用は、常に「管理の隙間」で発生している。台帳に記載したからといって、そのUSBメモリが物理的に暗号化されているのか、あるいは接続先のPCが最新のパッチを適用しているのかといった、技術的な担保がなければ、台帳は単なる「免罪符」に成り下がる。

自治体におけるセキュリティ対策は、しばしば「物理的な禁止」に終始しがちである。東京都の高専での全面禁止や、NTT西子会社でのインシデントを受けた対応など、過去の事例を見ても、USBメモリを「悪」と決めつけ、物理的に排除するアプローチが主流だ。しかし、これは本質的な解決策なのだろうか。業務効率を犠牲にしてまでUSBメモリを排除する一方で、クラウドストレージやセキュアなファイル転送サービスへの移行が遅れているのであれば、職員はまた別の「シャドーIT」に手を出すだけである。三重県の今回の対応は、あくまで「私物排除」という最低限のラインを引いたに過ぎず、真のデジタル変革（DX）には程遠い。

我々が目指すべきは、USBメモリという物理媒体に依存しない、セキュアでシームレスなデータ共有基盤の構築である。しかし、予算や組織の硬直性がそれを阻んでいるのが現実だ。三重県の事例は、全国の自治体や企業が抱える「管理の限界」を象徴している。以下の表は、今回の調査で判明したUSBメモリの状況を整理したものだが、この数値は単なる統計ではなく、組織のセキュリティ意識の低さを物語る「警告灯」として受け取るべきである。

この数値を見て、「3割も私物があったのか」と驚くか、「3割で済んでよかった」と安堵するかで、その組織のセキュリティレベルは決まる。私は後者である組織こそが、最も危険な状態にあると断言する。

三重県庁の事例は、決して対岸の火事ではない。多くの企業や組織において、USBメモリの私的利用は「黙認」という名のグレーゾーンとして放置されている。しかし、現代のサイバー攻撃は、こうした「管理の甘さ」をピンポイントで突いてくる。攻撃者にとって、USBメモリは標的のネットワーク内部に侵入するための最も安価で確実な「トロイの木馬」である。三重県庁が今回、私物USBメモリを全廃したことは、遅きに失したとはいえ、正しい第一歩であることは間違いない。しかし、これで安心していてはならない。

我々エンジニアが明日から取るべき対策は明確だ。まず、組織内の「シャドーIT」を可視化すること。USBメモリだけでなく、個人のクラウドストレージやチャットツールなど、業務データがどこを流れているのかを把握しなければ、セキュリティ対策は絵に描いた餅となる。次に、物理的な制限をかけるだけでなく、データそのものに暗号化やアクセス制御を施す「データ中心のセキュリティ」への転換を急ぐこと。USBメモリが物理的に盗まれても、データが復号できなければ被害は最小限に抑えられる。この「多層防御」の考え方を、組織の文化として定着させることが、シニアエンジニアとしての我々の責務である。

最後に、読者であるあなたに問いかけたい。あなたの組織では、USBメモリの管理台帳は「形骸化」していないだろうか？ 職員が「業務を円滑に進めるため」という大義名分で、セキュリティポリシーを破らざるを得ないような「不便な環境」を放置していないだろうか？ セキュリティとは、禁止することではなく、安全に業務を遂行するための「インフラ」であるはずだ。三重県の事例を単なるニュースとして消費するのではなく、自らの現場における「見えないリスク」を再定義する契機としてほしい。技術的な解決策は既に存在している。あとは、それを導入し、運用し、組織の文化を変えるという「泥臭いプロセス」を完遂する覚悟があるかどうかだけだ。あなたは、自分の組織のセキュリティを、自信を持って「安全だ」と言い切れるだろうか？