USBメモリによる情報の持ち出しと紛失は、報道される事故の中でも繰り返し登場する類型です。「私物のUSBは使用禁止」と規程に書いてあっても、物理的に挿せる状態であれば使われます。この記事では、グループポリシーで実際に使えなくする手順と、完全禁止が業務に合わない場合の中間的な設定を扱います。
設定の場所
グループポリシー管理エディター（gpmc.msc）で対象のポリシーを編集し、次の場所を開きます。
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス
ユーザー単位で分けたい場合は、ユーザーの構成側の同じ場所にも同一の項目があります。「端末で縛るか、人で縛るか」を先に決めてください。共用PCがある環境ではコンピューターの構成、担当者ごとに可否を分けたい場合はユーザーの構成が向きます。
完全に禁止する
次の項目を「有効」にします。
| 設定項目 | 対象 |
|---|---|
| リムーバブル ディスク: 読み取りアクセス権の拒否 | USBメモリ・外付けHDD/SSD |
| リムーバブル ディスク: 書き込みアクセス権の拒否 | 同上 |
| すべてのリムーバブル記憶域クラス: すべてのアクセスを拒否 | CD/DVD・テープを含むすべて |
3つ目を有効にすれば、上の2つを個別に設定する必要はありません。ただし対象が広く、業務でCD/DVDを使う部署があると支障が出ます。まずはUSBメモリに限定した1つ目・2つ目から始めるのが無難です。
設定後、対象PCで反映します。
gpupdate /forceこの設定は再起動が必要になる場合があります。反映されない場合は、コマンドの実行だけで判断せず再起動して確認してください。
読み取りだけ許可する（現実的な中間案）
完全禁止は、外部から受け取ったデータを読む必要がある業務では成立しません。その場合、「書き込みアクセス権の拒否」だけを有効にします。
これにより、受け取ったUSBメモリの中身を読むことはできますが、社内のデータを書き出すことはできません。持ち出しによる漏えいという主目的に対しては、これで大半を塞げます。
ただし、読み取りを許すということは、持ち込まれたUSBメモリから不正なプログラムが入る経路は残るということです。この経路への備えは、端末側の対策で行うことになります。ランサムウェアの侵入経路については ランサムウェアの基本対策で扱っています。
例外を認める場合の運用
全社一律の禁止は、実務上どこかで破綻します。取引先からUSBで納品される、機器の設定にUSBが要る、といった事情が必ず出てきます。
現実的な組み立ては次のとおりです。
- 既定は禁止にする — 全社に適用したうえで
- 例外を認めるユーザーだけをグループにまとめ、そのグループにポリシーを適用しない（セキュリティフィルター処理で除外する）
- 例外の一覧と理由・期限を記録に残す
3つ目が抜けると、例外が増え続けて既定が意味を失います。「いつ・誰が・なぜ・いつまで」を残し、定期的に棚卸ししてください。この考え方は権限管理と同じで、 IDの棚卸しと監査の進め方が流用できます。
なお、例外を認めるPCについては、暗号化機能のあるUSBメモリを会社支給とするのが基本です。紛失したときに中身が読めない状態にしておくためで、私物の利用を認める場合とは意味が大きく変わります。
この設定で塞げない経路
USBを禁止しても、データの持ち出し経路がなくなるわけではありません。ここを理解せずに「対策済み」としてしまうのが、いちばん危うい状態です。
| 残る経路 | 対処の方向 |
|---|---|
| 個人のクラウドストレージへのアップロード | ネットワーク側での制御 |
| 個人のメールアドレスへの送信 | メールの送信制御・ログの点検 |
| スマートフォンでの画面撮影 | 技術的には防げない。抑止と記録で対応 |
| そもそも見られる範囲が広すぎる | アクセス権の見直し |
最後の項目が根本です。持ち出しの制御より前に、その人が本来アクセスする必要のないファイルまで見られる状態になっていないかを確認する方が効果があります。手順は ファイルサーバーのアクセス権を棚卸しする手順にまとめています。
また、誰が何を持ち出したかを後から追えるかどうかも重要です。共有フォルダのアクセス記録については 共有フォルダのアクセス履歴を記録する手順を参照してください。
USB禁止と認証の関係
一点、注意が必要な組み合わせがあります。USBデバイスを広く禁止する設定を入れると、USB接続のセキュリティキーによるログインが使えなくなる場合があります。
認証の強化を進めている環境では、この2つの設定が衝突しないかを事前に確認してください。前述のとおり、記憶域クラス全体を拒否するのではなく、リムーバブルディスクに限定した設定にしておけば、この問題は避けられます。セキュリティキーについては ハードウェアセキュリティキーで扱っています。
よくある質問
USBメモリを禁止するグループポリシーの場所はどこですか
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス です。ユーザーの構成側にも同じ項目があり、端末で縛るか人で縛るかを選べます。
読み取りだけ許可することはできますか
できます。「リムーバブル ディスク: 書き込みアクセス権の拒否」だけを有効にすると、受け取ったデータの読み取りは可能なまま、社内データの書き出しを防げます。
USBを禁止すれば情報漏えいは防げますか
防げません。個人のクラウドストレージやメール送信、画面撮影といった経路が残ります。持ち出しの制御と並行して、そもそも各人がアクセスできる範囲が適切かを見直す必要があります。
自社の対応状況を確認するには
USBの制御は持ち出し対策の一部です。アクセスできる範囲そのものが広ければ、経路を1つ塞いでも効果は限られます。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。設定項目の名称や配置は、Windowsのバージョンおよび管理用テンプレートのバージョンによって異なる場合があります。全社への適用前に、業務で使用している周辺機器への影響を検証環境で確認してください。