「私物のUSBは使用禁止」と規程に書いても、物理的に挿せれば使われます。グループポリシーで実際に使えなくする手順と、完全禁止が業務に合わない場合の中間案をまとめます。
規程だけの禁止と、ポリシーでの制限
規程に書くだけ
- 挿せば使えてしまう
- 例外が記録されず増え続ける
グループポリシーで制限
- 挿しても「アクセスが拒否されました」
- 例外はグループと記録で管理
ポリシーを作って対象に適用する（ドメイン環境）
USB制限用のGPOを作り、対象PCのOUに適用します。Default Domain Policy に書き足すと外すときに切り分けにくいため、専用のポリシーを作るのが基本です。
GPOの作成からリンクまで
- 1
gpmc.msc を開く
ドメインコントローラーか管理用PC
- 2
OUにGPOを作成・リンク
OUを右クリック →「このドメインに GPO を作成し、このコンテナーにリンクする」
- 3
名前を付けて「編集」
例：USB制限
- 4
「設定の場所」の項目を設定
次の見出しを参照
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
グループポリシーでUSBを制限する設定の場所（Windows 10・11）
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス
| 設定する側 | 向いている環境 |
|---|---|
| コンピューターの構成（端末で縛る） | 共用PCがある |
| ユーザーの構成（人で縛る） | 担当者ごとに可否を分けたい。同じ場所に同一の項目がある |
USBメモリを完全に禁止する
次の項目を「有効」にします。
| 設定項目 | 対象 |
|---|---|
| リムーバブル ディスク: 読み取りアクセス権の拒否 | USBメモリ・外付けHDD/SSD |
| リムーバブル ディスク: 書き込みアクセス権の拒否 | 同上 |
| すべてのリムーバブル記憶域クラス: すべてのアクセスを拒否 | CD/DVD・テープを含むすべて |
スマートフォンをUSBケーブルでつなぐ経路は止まりません。スマートフォンやデジカメは「WPD デバイス」なので、「WPD デバイス: 読み取りアクセス権の拒否」「WPD デバイス: 書き込みアクセス権の拒否」も有効にします。
3つ目を有効にすれば上の2つは不要ですが、CD/DVDを使う部署に支障が出ます。まずはUSBメモリに限定した1つ目・2つ目からが無難です。
gpupdate /force再起動が必要な場合があります。反映されなければ再起動して確認してください。
適用されたかを確かめる
gpresult /r「適用されたグループ ポリシー オブジェクト」にGPO名が無ければ、PCが別のOUにあるか、ユーザーの構成側に設定したのにコンピューターの一覧を見ていることがほとんどです。最後にUSBメモリを挿し、「アクセスが拒否されました」と出ることを確かめます。
見落としやすい経路
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
USBを制限しても、PCにログインできる人は、そのPCの中のデータを扱えます。持ち出しの入口を絞るなら、ログインしているのが本人かどうかも同じくらい大切です。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
ドメインに参加していないPCで設定する
そのPCでgpedit.mscを開き、「コンピューターの構成 → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス」を同様に設定します。
Homeエディションには gpedit.msc がありません。管理者のコマンドプロンプトで次を実行すると、リムーバブルディスクへの書き込みが禁止されます（読み取りも禁止するなら Deny_Read も 1）。
reg add "HKLM¥SOFTWARE¥Policies¥Microsoft¥Windows¥RemovableStorageDevices¥{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}" /v Deny_Write /t REG_DWORD /d 1 /fレジストリは誤ると起動しなくなることがあります。台数が多ければドメインのグループポリシーで一括設定してください。
読み取りだけ許可する（現実的な中間案）
「書き込みアクセス権の拒否」だけを有効にした場合
残る経路
- 持ち込まれたUSBメモリから不正なプログラムが入る
できること
- 受け取ったUSBメモリの中身は読める
- 社内のデータは書き出せない
外部のデータを読む業務がある場合の現実的な設定です。持ち出しによる漏えいの大半はこれで塞げます。残る経路は端末側の対策で備えます（ランサムウェアの基本対策）。
例外を認める場合の運用
全社一律の禁止は、USBでの納品や機器設定などで必ずどこかで破綻します。
例外の組み立て方
- 1
既定は禁止
全社に適用
- 2
例外ユーザーをグループ化
セキュリティフィルター処理で除外
- 3
一覧・理由・期限を記録
いつ・誰が・なぜ・いつまで
- 4
定期的に棚卸し
進め方はIDの棚卸しと監査が流用できます。
この設定はUSBメモリの種類ごとに許可・禁止を分けられません。会社支給の特定のUSBメモリだけ使わせるなら、「システム → デバイスのインストール → デバイスのインストールの制限」でデバイスIDを指定して許可します。誤ると他の周辺機器も使えなくなるため、台数が多ければデバイス制御の専用製品が管理しやすくなります。
例外のPCには、暗号化機能のあるUSBメモリを会社支給にするのが基本です。紛失時に中身を読めない状態にするためです。
この設定で塞げない経路
USBを禁止しても持ち出し経路はなくなりません。USBの設定だけで「対策済み」とせず、残る経路も一緒に把握しておきます。
| 残る経路 | 対処の方向 |
|---|---|
| 個人のクラウドストレージへのアップロード | ネットワーク側での制御 |
| 個人のメールアドレスへの送信 | メールの送信制御・ログの点検 |
| スマートフォンでの画面撮影 | 技術的には止められない。抑止と記録で対応 |
| そもそも見られる範囲が広すぎる | アクセス権の見直し |
最後の項目が根本です。本来不要なファイルまで見られる状態でないかを先に確認します（ファイルサーバーのアクセス権を棚卸しする手順）。誰が何を持ち出したかを後から追う方法は 共有フォルダのアクセス履歴を記録する手順を参照してください。
USB禁止と認証の関係
USBデバイスを広く禁止すると、USB接続のセキュリティキーによるログインが使えなくなる場合があります。記憶域クラス全体ではなくリムーバブルディスクに限定した設定なら、この問題は避けられます。セキュリティキーは ハードウェアセキュリティキーで扱っています。
普段の管理が楽になると何が変わるか
USBを制限したあとも、「このPCは誰が使っていたか」「あの日ログインしていたのは誰か」を確かめる場面は残ります。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、次のような場面が楽になります。
- 持ち出しの疑いを相談されたとき、ログイン記録（日時・利用者・接続元のPC名とIPアドレス）を絞り込んで、誰がそのPCを使っていたかをその場で確かめられます。
- 例外を認めたPCの棚卸しで、台数・利用者・OSを1画面で見られるので、1台ずつ見て回らずに済みます。
- 取引先のチェックシートや監査で聞かれたら、ログイン記録をCSVでその日のうちに出せます。記録は10年間残ります。
なお、グループポリシーの設定が各PCに効いているかは、本文の gpresult /r や実際にUSBメモリを挿して確かめてください。
全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
USBメモリを禁止するグループポリシーの場所はどこですか
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル記憶域へのアクセス です。ユーザーの構成側にも同じ項目があり、端末で縛るか人で縛るかを選べます。
読み取りだけ許可することはできますか
できます。「リムーバブル ディスク: 書き込みアクセス権の拒否」だけを有効にすると、受け取ったデータの読み取りは可能なまま、社内データの書き出しを止められます。
Homeエディションでも設定できますか
gpedit.msc はありませんが、レジストリの HKLM¥SOFTWARE¥Policies¥Microsoft¥Windows¥RemovableStorageDevices 以下に同じ設定を入れることで、書き込みや読み取りを禁止できます。
スマートフォンをつないだファイルのコピーも止められますか
リムーバブルディスクの設定だけでは止まりません。スマートフォンは「WPD デバイス」として扱われるため、「WPD デバイス: 読み取りアクセス権の拒否」「書き込みアクセス権の拒否」も有効にします。
USBを禁止すれば情報漏えいはなくなりますか
なくなりません。個人のクラウドストレージやメール送信、画面撮影といった経路が残ります。持ち出しの制御と並行して、そもそも各人がアクセスできる範囲が適切かを見直す必要があります。
いまの運用を棚卸ししてみる
USBの制御は持ち出し対策の一部です。アクセスできる範囲や、誰がどのPCに入れるかも合わせて見ておくと、聞かれたときに説明しやすくなります。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。設定項目の名称や配置は、Windowsのバージョンおよび管理用テンプレートのバージョンによって異なる場合があります。全社への適用前に、業務で使用している周辺機器への影響を検証環境で確認してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。