USBメモリによる情報の持ち出しと紛失は、報道される事故の中でも繰り返し登場する類型です。「私物のUSBは使用禁止」と規程に書いてあっても、物理的に挿せる状態であれば使われます。この記事では、グループポリシーで実際に使えなくする手順と、完全禁止が業務に合わない場合の中間的な設定を扱います。
ポリシーを作って対象に適用する（ドメイン環境）
Active Directory の環境では、USB制限用のポリシーを1つ作り、対象のPCが入ったOU（組織単位）に適用します。既存の「Default Domain Policy」に書き足すと、あとで外すときに他の設定と切り分けにくくなるため、専用のポリシーを作るのが基本です。
- ドメインコントローラーか管理用PCで gpmc.msc（グループポリシーの管理）を開く
- 対象PCが入っているOUを右クリック →「このドメインに GPO を作成し、このコンテナーにリンクする」
- 「USB制限」など分かる名前を付け、作成したGPOを右クリック →「編集」
- 開いたグループポリシー管理エディターで、次の「設定の場所」の項目を設定する
いきなり全社のOUにリンクせず、テスト用のOUに数台だけ入れて確認してから広げてください。業務で使っている周辺機器が止まらないかを、実際の端末で確かめるためです。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
設定の場所
グループポリシー管理エディターで、次の場所を開きます。
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス
ユーザー単位で分けたい場合は、ユーザーの構成側の同じ場所にも同一の項目があります。「端末で縛るか、人で縛るか」を先に決めてください。共用PCがある環境ではコンピューターの構成、担当者ごとに可否を分けたい場合はユーザーの構成が向きます。
完全に禁止する
次の項目を「有効」にします。
| 設定項目 | 対象 |
|---|---|
| リムーバブル ディスク: 読み取りアクセス権の拒否 | USBメモリ・外付けHDD/SSD |
| リムーバブル ディスク: 書き込みアクセス権の拒否 | 同上 |
| すべてのリムーバブル記憶域クラス: すべてのアクセスを拒否 | CD/DVD・テープを含むすべて |
スマートフォンをUSBケーブルでつないでファイルを移す経路は、リムーバブルディスクの設定では止まりません。スマートフォンやデジカメは「WPD デバイス」として扱われるため、同じ場所にある「WPD デバイス: 読み取りアクセス権の拒否」「WPD デバイス: 書き込みアクセス権の拒否」も合わせて有効にします。
3つ目を有効にすれば、上の2つを個別に設定する必要はありません。ただし対象が広く、業務でCD/DVDを使う部署があると支障が出ます。まずはUSBメモリに限定した1つ目・2つ目から始めるのが無難です。
設定後、対象PCで反映します。
gpupdate /forceこの設定は再起動が必要になる場合があります。反映されない場合は、コマンドの実行だけで判断せず再起動して確認してください。
適用されたかを確かめる
対象PCで次のコマンドを実行し、「適用されたグループ ポリシー オブジェクト」に作成したGPOの名前が出ているかを見ます。
gpresult /r出ていない場合は、PCが別のOUに入っているか、ユーザーの構成側に設定したのにコンピューターの一覧を見ていることがほとんどです。最後に、実際にUSBメモリを挿して「アクセスが拒否されました」と表示されることを確認します。
見落としやすい経路
ドメインに参加していないPCで設定する
1台ずつ設定する場合は、そのPCでgpedit.msc（ローカル グループ ポリシー エディター）を開き、同じ「リムーバブル記憶域へのアクセス」の項目を設定します。場所は「コンピューターの構成 → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス」です。
Windows のHomeエディションには gpedit.msc がありません。その場合はレジストリで同じ設定を入れます。管理者として開いたコマンドプロンプトで次を実行すると、USBメモリなどのリムーバブルディスクへの書き込みが禁止されます（読み取りも禁止する場合は Deny_Read も 1 にします）。
reg add "HKLM¥SOFTWARE¥Policies¥Microsoft¥Windows¥RemovableStorageDevices¥{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}" /v Deny_Write /t REG_DWORD /d 1 /fレジストリの変更は、誤ると起動しなくなるなどの影響が出ることがあります。台数が多い場合は、1台ずつの手作業ではなくドメインのグループポリシーでの一括設定を検討してください。
読み取りだけ許可する（現実的な中間案）
完全禁止は、外部から受け取ったデータを読む必要がある業務では成立しません。その場合、「書き込みアクセス権の拒否」だけを有効にします。
これにより、受け取ったUSBメモリの中身を読むことはできますが、社内のデータを書き出すことはできません。持ち出しによる漏えいという主目的に対しては、これで大半を塞げます。
ただし、読み取りを許すということは、持ち込まれたUSBメモリから不正なプログラムが入る経路は残るということです。この経路への備えは、端末側の対策で行うことになります。ランサムウェアの侵入経路については ランサムウェアの基本対策で扱っています。
例外を認める場合の運用
全社一律の禁止は、実務上どこかで破綻します。取引先からUSBで納品される、機器の設定にUSBが要る、といった事情が必ず出てきます。
現実的な組み立ては次のとおりです。
- 既定は禁止にする — 全社に適用したうえで
- 例外を認めるユーザーだけをグループにまとめ、そのグループにポリシーを適用しない（セキュリティフィルター処理で除外する）
- 例外の一覧と理由・期限を記録に残す
3つ目が抜けると、例外が増え続けて既定が意味を失います。「いつ・誰が・なぜ・いつまで」を残し、定期的に棚卸ししてください。この考え方は権限管理と同じで、 IDの棚卸しと監査の進め方が流用できます。
「リムーバブル記憶域へのアクセス」の設定は、USBメモリの種類ごとに許可・禁止を分けることはできません。会社支給の特定のUSBメモリだけを使わせたい場合は、「コンピューターの構成 → 管理用テンプレート → システム → デバイスのインストール → デバイスのインストールの制限」で、デバイスのIDを指定して許可する方法があります。ただし設定の組み合わせが複雑で、誤ると他の周辺機器まで使えなくなるため、台数が多い場合はデバイス制御の専用製品を使うほうが管理しやすくなります。
なお、例外を認めるPCについては、暗号化機能のあるUSBメモリを会社支給とするのが基本です。紛失したときに中身が読めない状態にしておくためで、私物の利用を認める場合とは意味が大きく変わります。
この設定で塞げない経路
USBを禁止しても、データの持ち出し経路がなくなるわけではありません。ここを理解せずに「対策済み」としてしまうのが、いちばん危うい状態です。
| 残る経路 | 対処の方向 |
|---|---|
| 個人のクラウドストレージへのアップロード | ネットワーク側での制御 |
| 個人のメールアドレスへの送信 | メールの送信制御・ログの点検 |
| スマートフォンでの画面撮影 | 技術的には防げない。抑止と記録で対応 |
| そもそも見られる範囲が広すぎる | アクセス権の見直し |
最後の項目が根本です。持ち出しの制御より前に、その人が本来アクセスする必要のないファイルまで見られる状態になっていないかを確認する方が効果があります。手順は ファイルサーバーのアクセス権を棚卸しする手順にまとめています。
また、誰が何を持ち出したかを後から追えるかどうかも重要です。共有フォルダのアクセス記録については 共有フォルダのアクセス履歴を記録する手順を参照してください。
USB禁止と認証の関係
一点、注意が必要な組み合わせがあります。USBデバイスを広く禁止する設定を入れると、USB接続のセキュリティキーによるログインが使えなくなる場合があります。
認証の強化を進めている環境では、この2つの設定が衝突しないかを事前に確認してください。前述のとおり、記憶域クラス全体を拒否するのではなく、リムーバブルディスクに限定した設定にしておけば、この問題は避けられます。セキュリティキーについては ハードウェアセキュリティキーで扱っています。
よくある質問
USBメモリを禁止するグループポリシーの場所はどこですか
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス です。ユーザーの構成側にも同じ項目があり、端末で縛るか人で縛るかを選べます。
読み取りだけ許可することはできますか
できます。「リムーバブル ディスク: 書き込みアクセス権の拒否」だけを有効にすると、受け取ったデータの読み取りは可能なまま、社内データの書き出しを防げます。
Homeエディションでも設定できますか
gpedit.msc はありませんが、レジストリの HKLM¥SOFTWARE¥Policies¥Microsoft¥Windows¥RemovableStorageDevices 以下に同じ設定を入れることで、書き込みや読み取りを禁止できます。
スマートフォンをつないだファイルのコピーも止められますか
リムーバブルディスクの設定だけでは止まりません。スマートフォンは「WPD デバイス」として扱われるため、「WPD デバイス: 読み取りアクセス権の拒否」「書き込みアクセス権の拒否」も有効にします。
USBを禁止すれば情報漏えいは防げますか
防げません。個人のクラウドストレージやメール送信、画面撮影といった経路が残ります。持ち出しの制御と並行して、そもそも各人がアクセスできる範囲が適切かを見直す必要があります。
いまの運用を棚卸ししてみる
USBの制御は持ち出し対策の一部です。アクセスできる範囲そのものが広ければ、経路を1つ塞いでも効果は限られます。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。設定項目の名称や配置は、Windowsのバージョンおよび管理用テンプレートのバージョンによって異なる場合があります。全社への適用前に、業務で使用している周辺機器への影響を検証環境で確認してください。