ITマネジャーを悩ます携帯ストレージ・デバイスのセキュリティ・リスク

（2006年03月20日）

　米国の医療機関バプティスト・メモリアル・ヘルスケア（テネシー州メンフィス）では、最近、プラグ＆プレイのUSBドライブを持ち込んで使う職員が急速に増加し、患者情報などの機密データが危険にさらされるようになり、緊急の対策を講じなければならなくなった。本稿では、携帯ストレージ・デバイスの急速な普及によるセキュリティ・リスクの増大の現状とその対応策のいくつかを紹介する。

ルーカス・ミアリアン
Computerworld オンライン米国版

　バプティスト・メモリアル・ヘルスケアの情報システム担当ディレクターを務めるレニー・グッドマン氏は、企業での使用が増大する携帯ストレージ・デバイスについて、「非常に便利だが、非常に危険だ」と強調する。

　「フロッピー・ディスクの場合は大量のデータをコピーすることはできなかったし、CDやDVDの場合も、ライティング・ツールの利用を禁じることでデータ流出もある程度防止することができた。ところが、大容量の記憶容量を持ち、面倒なインストール作業も不要なUSBフラッシュ・ドライブの場合は、データの流出だけでなく、マルウェアの侵入といった複数の危機に直面している」（グッドマン氏）

　そのため、バプティスト・メモリアルでは、フラッシュ・メモリ・スティックやiPod、そのほかの携帯ストレージ・デバイスの利用に関する厳格なポリシーを策定し、暗号化とパスワード保護機能をネイティブに備えたUSBメモリ・スティックを業務用の標準デバイスとして採用することにした。

　「（米国内の）医療機関を規制するHIPAA（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）は、すべての医療機関が、すべてのリムーバブル・メディアを責任を持って取り扱う方針を策定することを義務づけている」（グッドマン氏）

　しかし、アナリストの多くは、アップルコンピュータのiPodの販売台数だけを見ても、これまでに米国でおよそ4,200万台に上っており、フラッシュ・メモリなどの携帯デバイスに保存されたデータの盗難や流出の危険が急激に増大していると見る。

　データ・モビリティ・グループの創業者でシニア・アナリストを務めるジョン・ウェブスター氏は、「iPodを携帯してバックアップ・デバイスとして使っている人も少なくないが、USBストレージ・デバイスはデータ流出の原因になるおそれがある」と指摘する。

　ITマネジャーの懸念に応え、ITベンダーはセキュリティに配慮したフラッシュ・メモリ・デバイスの提供に乗り出している。

　キングストン・テクノロジーは今年3月、パスワード保護とハードウェア・ベースの128ビットAES暗号化技術を利用してデータの安全を確保するUSBフラッシュ・ドライブを投入した。同ドライブは、最大4GBのデータを安全に保存することが可能で、25回続けてパスワード認証が失敗した場合はロックアウト機能が作動する。

　また、サンディスクも今年2月、TrustedFlash技術を利用してUSBフラッシュ・ドライブおよびモバイル・カードのセキュリティを強化すると発表している。TrustedFlashはサンディスクの32ビット・コントローラ・アーキテクチャと組み込み型暗号化エンジンにより、リアルタイム暗号化を可能にする。

　ガートナーのセキュリティ・リサーチ担当副社長、エリック・ウェレット氏は、「リムーバブル・ストレージ・デバイスの利用ポリシーを持っている企業は10％程度にすぎず、かなり深刻な状況にある」と指摘したうえで次のように警告している。

　「最近のリムーバブル・デバイスは非常に容量が大きく、iPodやMP3プレーヤーなどでは60GBを超えるものもある。小さなデータベースならまるごと収めることもでき、大量の重要データを流出してしまう被害にあう企業が出てくるのは、時間の問題だ」

　ウェレット氏は、デスクトップやノートPCでフラッシュ・ドライブ監視ソフトウェアを使うことを検討するように企業に勧めている。そうしたソフトウェアを提供しているベンダーには、ポイントセック・モバイル・テクノロジーズ（スウェーデン）やウティマコ・セーフウェア（ドイツ）などがある。

　フラッシュ・ドライブ監視ソフトウェアを使えば、USBドライブをロックアウトしたり、あるいは動作させる条件として、暗号化やパスワード保護機能の搭載を強制したりできる。

　またウェレット氏は、単純かつ有効でしかも無料のソリューションとして、Windowsプラットフォームのネイティブなロックアウト機能を挙げている。

　なお、アップルの担当者は、iPodのセキュリティを強化する計画があるかどうかについてコメントを控えている。

（Computerworld オンライン米国版）