【Windows】グループポリシーでリムーバブルデバイスのインストールを禁止する方法

USBメモリなどのリムーバブルメディアを介してマルウェアやワームが蔓延する昨今、ユーザーが勝手に外部記憶装置を接続・インストールできないよう制限したいと考えるのは自然なことです。リムーバブルデバイスのインストールをブロックすれば、それらのデバイスはアクセス不能になり、特に企業内での情報漏洩対策や、カフェでコーヒーを買いに行く短時間などPCを離れる際のセキュリティ確保に役立ちます。

そこで本記事では、Windowsのグループポリシーエディターを使って、ユーザーによるリムーバブルデバイスのインストールを禁止する方法を詳しく解説します。

リムーバブルデバイスのインストールを禁止する手順

この設定にはグループポリシーエディターを使用するため、Windows ProまたはEnterpriseエディションが必要です。また、必要に応じてネットワーク全体へ一括適用することも可能です。まず「Win + R」キーを押し、「ファイル名を指定して実行」ダイアログに gpedit.msc と入力してEnterキーを押し、グループポリシーエディターを起動しましょう。

グループポリシーエディターが開いたら、以下の場所へ移動します。

コンピューターの構成 → 管理用テンプレート → システム → デバイスのインストール → デバイスのインストールの制限

ここにある「リムーバブル デバイスのインストールを禁止する」という設定を見つけてダブルクリックします。

設定ウィンドウが開いたら、「有効」ラジオボタンを選択し、「OK」ボタンをクリックして変更を保存します。

これで設定は完了です。以降、管理者を含むすべてのユーザーがリムーバブルデバイスをインストールできなくなります。

カスタムメッセージを表示する

Windowsがリムーバブルデバイスのインストールをブロックした際に、独自のメッセージを表示させたい場合は、「ポリシー設定によりインストールが阻止された場合にカスタム メッセージを表示する」というポリシーを構成します。

なお、この設定を行う際は注意が必要です。このポリシー設定は、同じグループ内の他のすべての設定よりも優先されるためです。

管理者による制限の回避を許可する

上記の設定の欠点は、管理者自身もリムーバブルデバイスのインストールがブロックされてしまう点です。これは状況によっては不便になることがあります。幸い、グループポリシーを構成して、管理者だけはこの制限を回避できるようにすることが可能です。

そのためには、「管理者がデバイス インストールの制限を上書きできるようにする」というポリシーをダブルクリックします。

設定ウィンドウが開いたら、「有効」を選択して「OK」をクリックし、変更を保存します。変更後はシステムを再起動すれば準備完了です。

これ以降、管理者はグループポリシー設定を頻繁にいじることなく、デバイスインストールの制限を簡単に回避できるようになります。ちなみに、このポリシーは同じグループ内で構成された他のすべてのポリシー(前述の制限設定を含む)よりも優先されます。

特定のハードウェアIDのみインストールを許可する

リムーバブルデバイスのインストールを完全にブロックするのではなく、許可リストに登録したハードウェアIDを持つデバイスのみインストールを許可したい場合は、「これらのデバイスIDのいずれかに一致するデバイスのインストールを許可する」という設定を有効にします。有効化する際は、「表示」ボタンをクリックしてハードウェアIDを追加することをお忘れなく。

デバイスのハードウェアIDを確認する方法は簡単です。デバイスマネージャーを開き、対象のデバイスを右クリックして「プロパティ」を選択します。次に「詳細」タブに移動し、ドロップダウンリストから「ハードウェアID」を選択すれば確認できます。

まとめ

以上のように、Windowsに標準搭載されているグループポリシーエディターを使えば、非常に簡単な操作でユーザーによるリムーバブルデバイスのインストールを制限できます。今回ご紹介した方法の良いところは、シンプルな設定だけで機能すること、そして同じ目的を達成するためにサードパーティ製ソフトウェアを導入する必要がない点です。

この記事が皆さんのセキュリティ対策のお役に立てば幸いです。実際に試してみた感想や経験があれば、ぜひコメント欄で共有してください。