USB ストレージ制御
会社のコンピュータで USB ストレージをブロックする方法
選択されたコンピューターのアクションとグローバル ルールを混同することなく、リムーバブル ストレージを制限します。実用的な Windows ワークフローに従い、結果をテストし、ビジネス ファイルの承認されたルートを維持します。
01ブロックする必要があるものを定義する
会社のコンピュータで USB ストレージをブロックするには、まずどのコンピュータに制限が必要か、制限によってどのようなファイル転送リスクに対処するか、従業員が正当な作業を完了する方法を決定します。適切な制御を適用し、無害なテスト ファイルを使用してエンドポイントでそれを検証します。コンソールで選択したオプションは、確認された結果と同じではありません。
USB ストレージには、フラッシュ ドライブや外部ディスクなどのデバイスが含まれます。キーボード、マウス、ヘッドセット、電話、ドッキング ステーションも USB 経由で接続できますが、これらは交換可能なデバイス クラスではありません。すべての USB ポートを無効にするように要求するのではなく、ストレージをターゲットとして定義します。チームが使用する実際のハードウェアをテストします。異なる転送プロトコルを使用する電話機には、独自の評価が必要です。
ここで説明する Net Monitor for Employees Pro の Lock USB drives ワークフローは、Windows 従業員のコンピュータに適用されます。他の製品機能がこれらのプラットフォームをサポートしているからといって、この USB ストレージ アクションが macOS、Linux、または ChromeOS でサポートされていると想定しないでください。混合フリートの場合は、適切なプラットフォーム固有のデバイス制御を選択して検証します。
「パイロット アカウンティング PC では、テスト ユーザーはテスト USB ドライブとの間で無害なファイルをコピーできません。キーボードとマウスは引き続き機能します。許可された IT がアクセスを復元できます。」などの短い承認条件を書き込みます。コンピューター名、ユーザー、オペレーティング システム、デバイスの種類、コントロールの所有者、および承認されたファイル共有の代替手段を追加します。
02適切なスコープを持つコントロールを選択してください
ツールと制限ヘルプは、選択したコンピュータに対する即時アクションと、グローバルに適用される永続的な制限を区別します。これは、ラベルの類似性よりも重要です。
| コントロール | 対象範囲 | ご使用前にご確認ください |
|---|---|---|
| ツール → USB ドライブをロック | 選択したコンピュータに対する即時アクション。 | 選択したコンピュータを確認し、対応するロック解除アクションを準備します。 |
| 制限 → USB ドライブをロックする | 現在選択されているものだけでなく、従業員のコンピュータにグローバルに適用される永続的な設定。 | 独立したテスト設定を使用します。有効にする前に、影響を受けるすべてのコンピュータを理解してください。 |
| Windows ポリシーまたは専用デバイス制御 | 範囲と機能が選択したシステムに依存する管理ポリシー。 | 要件に、サポートされているデバイス ID 例外または個別の読み取り/書き込みルールが含まれる場合にこれを使用します。正確な機能セットを確認します。 |
Windows は、リムーバブル ストレージ アクセス ポリシーも提供します。さらに詳細な要件については、Microsoft のデバイス制御ドキュメントをご覧ください。これらは別のポリシー システムであり、Net Monitor for Employees Pro が自動的に構成する設定ではありません。管理者が 1 つの制限を解除し、別の制限がアクティブなままにならないように、どのシステムが強制を所有しているかを文書化します。
「承認された USB ドライブのみを許可する」という命令には、一般的なストレージ ロック以上のものが必要です。選択したソリューションで必要な ID、権限、および例外ルールがサポートされていることを確認します。製品の USB ロックが、シリアル番号許可リスト、読み取り専用アクセス、ファイル内容検査、または自動例外有効期限を提供すると想定しないでください。
03選択した Windows コンピュータで USB ストレージをブロックします
- スコープ内の会社の Windows コンピューターを特定し、エージェントが接続されていることを確認します。中断が生産作業に影響を与えないパイロット マシンから始めます。
- 現在のアクセス状態を記録し、正当な転送を完了するようにユーザーに要求します。無害なファイルのみを含むテスト用 USB ドライブを使用します。実際のバックアップやアクティブなビジネス ファイルの書き込みを中断しないでください。
- コンソールで対象のコンピュータを選択し、Tools and Restrictionsを開き、ToolsでLock USB drivesします。アクションを送信する前に選択内容を確認してください。
- ターゲット コンピュータで、ドライブと無害なコピーへの両方向のアクセスをテストします。すでに接続されているドライブと新しく挿入されたドライブを確認します。コマンドが送信されたことだけでなく、実際に何が起こったかを記録します。
- 認可されたテストまたは一時的な制限が終了したら、対象のコンピュータのUnlock USB drives、アクセスが復元されたことを確認します。別のポリシーが引き続きアクセスを拒否する場合は、ロック解除アクションを繰り返し送信するのではなく、そのポリシーの所有者を通じて解決してください。
アクセスできないコンピュータは未検証として扱います。コンソールからアクションを送信しても、オフライン エンドポイントがそれを受信または適用したことは確立されません。コンピュータを再接続し、関連する状態を確認し、タスクを完了として記録する前にエンドポイント テストを繰り返します。
04広範囲に展開する前に永続的な制限を確認する
アクティブなままにするルールについては、グローバル スコープを確認した後でのみ、RestrictionsのLock USB drivesを使用してください。文書化された動作では、これらの設定は、選択したコンピュータのみではなく、すべての従業員のコンピュータに適用されます。部門を選択しても、グローバル制限が部門のみのポリシーに変わるわけではありません。
このモードを別の限定された環境でテストしてください。ヘルプには、リモート コンピュータに保存され、再接続後に再度適用される制限設定について説明されています。再接続後および計画された再起動後の動作を確認します。この説明を、展開されたエージェント、Windows バージョン、およびストレージ ハードウェアでのテストの代わりに使用しないでください。
永続設定を無効にすると、その逆のアクションが送信されます。影響を受ける範囲と復旧チェックを事前に計画してください。グローバル ロックをアクティブにしておく必要がある場合は、個別のロック解除によって永続的な例外が発生すると想定しないでください。承認された転送ルート、または必要な例外モデルをサポートするデバイス制御システムを使用してください。
05ルールを弱めることなくビジネス例外を処理する
例外には、ビジネス タスク、コンピュータ、アクセスを承認する人、許可されたデータ、開始時間と終了時間、および制限を復元する責任のある人の名前を指定する必要があります。選択したシステムが実際に自動有効期限をサポートおよび強制しない限り、書面による有効期限は運用上の注意事項です。
たとえば、財務担当者は、承認された受信者にエクスポートを配送する必要があります。まず、承認された共有場所または管理されたファイル転送ワークフローでタスクを完了できるかどうかを確認します。リムーバブル メディアが必要な場合、IT は技術的にサポートされている例外を選択し、転送先を確認し、その後制限が復元されることを確認する必要があります。 1 人の転送のためにフリート全体で USB アクセスを開かないでください。
例外レコードは、ツールが自動的にログに記録する内容に関する仮定とは別に保管してください。承認者、実際のアクセスウィンドウ、検証結果、および終了に注意してください。 職場の監視とアクセス ポリシーに承認された転送ルートを記述し、ドライブがブロックされて正規の作業が中断された場合に従業員が何をすべきかを理解できるようにします。
06反復可能な USB ブロッキング テストを使用する
ロールアウトを拡張する前、および関連するポリシー、エージェント、オペレーティング システム、またはデバイス タイプが変更されるたびに、同じ小規模なチェック セットを実行します。予想される結果を事前に定義し、回復ルートを利用できるようにしておきます。
| テスト | 確認する内容 | レコード |
|---|---|---|
| 既存のドライブと新しく挿入されたドライブ | 意図したストレージ アクセスが両方の状態で拒否されました。 | デバイスのモデル、接続状態、および結果。 |
| 読み取りおよび書き込み | ドライブからの無害な読み取り/コピー、およびドライブへの書き込み/コピーは、意図されたルールを満たします。 | 各操作は個別に行われます。一方を他方から推測しないでください。 |
| キーボード、マウス、および必要な周辺機器 | ビジネスクリティカルな非ストレージ機能は引き続き動作します。 | 実際のペリフェラルおよび接続タイプ。 |
| 再接続と計画的な再起動 | コンピュータが復帰したときに、意図した永続状態が存在します。 | コンピューター、時間、ポリシー モード、および再テストの結果。 |
| 認可された復元 | 適切な制限が解除されると、アクセスが戻ります。他のポリシーも考慮されます。 | 誰が復元したのか、そしてテストは成功しました。 |
| 承認されたファイル転送の代替手段 | ユーザーは、未承認のリムーバブル メディアがなくても、必要な作業を完了できます。 | 宛先、タスク、および確認。 |
失敗したチェックは、カバレッジに関する有用な証拠となります。デバイス タイプ、ポリシー ソース、エンドポイント接続、サポートされているオペレーティング システムを調査します。 1 台の Windows コンピューターで 1 つのフラッシュ ドライブをテストした後、異種フリートを保護済みとしてマークすることは避けてください。
07保護を状況に応じて維持する
USB ストレージをブロックすると、考えられる転送ルートが 1 つ閉じられます。ファイルがコピーされていないことを証明したり、あらゆる形式のデータ損失を阻止したりすることはできません。電子メール、クラウド共有、印刷、他のシステムを介したアクセスには独自の制御が必要です。 従業員データ侵害防止ガイドを使用してより広いルートをマッピングし、エンドポイント制御の概要を使用して利用可能なアクションを比較します。
疑わしい転送について調査が必要な場合は、観察されたコントロールの状態を実際のファイル操作の証拠から分離します。画面イメージまたはアプリケーション エントリは、どのファイルが USB ドライブに到達したかを証明せずにコンテキストを提供する場合があります。関連する独立した記録を保存し、構造化された証拠記録を使用して観察、説明、所見を区別します。
操作結果は具体的である必要があります。対象の Windows コンピュータは定義されたストレージ テストに合格し、必要な作業は引き続き機能し、例外には所有者があり、復元が検証されました。これは、USB のリスクがすべて排除されたという大まかな主張よりも、展開の強力な根拠となります。
08USB ストレージのブロック: よくある質問
USB ストレージをブロックすると、キーボードまたはマウスもブロックされますか?
ストレージ制限は、通常のキーボードまたはマウス入力とは異なる機能を対象としています。これを、USB ポートの全面的なシャットダウンとして扱わないでください。従業員が使用する実際のキーボード、マウス、ドック、その他の重要な周辺機器をテストします。
承認されたフラッシュ ドライブを 1 つだけ許可できますか?
選択したデバイス制御システムが必要な例外をサポートしている場合のみ。一般的な Lock USB drives アクションでは、シリアル番号許可リストは確立されません。 ID ベースのアクセスを個別に検証するか、承認された代替転送ルートを使用します。
選択したコンピュータのロックは、制限と同じ範囲に影響しますか?
いいえ。 Tools は、選択したコンピュータに即時アクションを送信します。 Restrictionsは永続的な設定をグローバルに適用します。いずれかを変更する前に、モードと影響を受けるコンピュータを確認してください。
この製品ワークフローは、すべてのオペレーティング システムでストレージをブロックしますか?
いいえ。ここで説明する USB ストレージ ロック アクションは、Windows 従業員コンピューターを対象としています。 macOS、Linux、および ChromeOS には、サポートされている適切なデバイス制御方法が必要です。クロスプラットフォーム監視は、同一の USB 強制を意味するものではありません。
USB ストレージのロックを解除した後もブロックされたままになるのはなぜですか?
永続的な制限または個別の Windows/デバイス管理ポリシーがまだ適用されているかどうか、およびコンピューターが変更を受信したかどうかを確認してください。適用ポリシーを特定し、正しい所有者を通じてアクセスを復元し、エンドポイントで結果を確認します。