高機能化で高まるリスクにどう対応するか
携帯端末・スマートフォンのセキュリティを守るベストプラクティス
スマートフォンは企業に多大なセキュリティリスクをもたらす可能性がある。リスクを最低限に抑えるための携帯端末管理ポリシーとは。
企業は従業員の生産性向上のためスマートフォンへの依存度を増している。しかし残念ながら、基本的なセキュリティと携帯端末管理の欠如により、スマートフォンユーザーはセキュリティ上の大きなリスクにさらされている。しかも、多くの企業は端末の所有や情報流出といった問題について適切なガバナンスを提供していない。本稿では、企業における携帯端末／スマートフォンのセキュリティポリシー策定と強制について、ベストプラクティスを紹介する。
スマートフォンがもたらすセキュリティ問題
スマートフォンは潜在的に、多大なセキュリティリスクを企業にもたらす可能性がある。私物のスマートフォンを使って会社のアプリケーションにアクセスする従業員は増えている。残念ながら、そうした携帯端末の多くはコンシューマー向けの設計になっている。結果として、ITチームが従業員所有端末のサポートを拒むことも多い。そこでユーザーはITを通さずに、米AppleのMobileMeといった外部のサービスを使って自分の携帯端末を管理するようになる。ストレージの大容量化と携帯通信速度の高速化によっても、重要な情報をスマートフォンや携帯端末に保存することが容易になり、情報流出関連のリスクが高まっている。
携帯端末とスマートフォンのセキュリティ対策
企業は過度に利便性を損なうことなくリスクを低減するため、携帯端末のセキュリティポリシーを確立する必要がある。われわれは以下のような携帯端末管理ポリシーを推奨している。
ユーザーごとのニーズの定義
それぞれ異なるモバイル情報ニーズを持った携帯ユーザーのグループ（例えばフィールドエンジニアや営業担当者など）を特定する。グループごとにユーザーの使用事例を定義する（例えばフィールドエンジニアは技術仕様に、営業担当者はCRMソフトにアクセスする必要がある）。
強制可能な携帯端末のセキュリティポリシー作成
利用事例ごとに、所有者、私用／社用、セキュリティといった問題に対応した携帯端末管理ポリシーを定義する。このポリシーは、個々の利用事例に応じて異なる場合もある（例えば制限をかける程度など）。
セキュリティのベストプラクティス順守
以下に挙げるようなセキュリティのベストプラクティスを順守する。
- 携帯端末へのアクセスとネットワークへのアクセス用に、強いパスワードを強制する。誤ったパスワードが定められた回数を超えて入力されたら（通常は5回以上）、携帯端末へのアクセスが自動的にロックされるようにする
- 携帯端末の紛失や盗難があった場合や売却する場合、外部に修理に出す場合には、リモート消去（例えば端末をリセットして工場出荷時の状態に戻すなど）を実行する
- セキュリティ設定とポリシー順守について定期的な監査を実施する。携帯端末の設定がうっかりあるいは意図的に変更されていないことを確認する
- 内部と外部メモリ（例えばSDカードなど）を含め、ローカルストレージを暗号化する
- 携帯端末と会社のサーバとの通信は、仮想プライベートネットワーク（VPN）の利用を強制する
- ノートPCとスマートフォンに同じ無線セキュリティポリシーを強制する
- 携帯端末に保存されている社外秘情報の定期的なバックアップと復旧を行う
- 端末はユーザーがPCに接続してローカルで同期するのに任せるのではなく、無線を介して集中設定とソフトウェアのアップグレードを行う
ベンダーのベストプラクティスを順守
ベンダーが提供しているベストプラクティスを参照し順守する。例えば「Microsoft Security Guide（英文）」「BlackBerry Enterprise Solution Security Technical Overview（英文）」などを参照のこと。
アプリケーションの残留データ消去
モバイルアプリケーションの削除では、会社の情報がすべて端末から消去されることを確認する。モバイルアプリケーションによって残留した情報は、セキュリティ上のリスクになりかねない。
サードパーティー製品の検討
Trust DigitalやGood Technologyといった会社のサードパーティー製品も増えており、企業の携帯端末管理の助けになるかもしれない。こうした製品が、多様なベンダーのスマートフォンをサポートしなければならない企業のセキュリティプロビジョニング簡素化にどう役立つのか検討したい。
ユーザーの啓発
携帯端末のリスクや会社の携帯端末管理・セキュリティポリシーについて従業員を教育する継続的なプログラムを導入する。
電子メールの利用、予定表の同期、会社のアプリケーション利用のために、私用の端末で会社のネットワークに接続したいと思う従業員は増えている。端末が会社のものではないとしても、端末に保存された情報資産は会社のものだ。
企業はスマートフォンのセキュリティリスクを最低限に抑えるために、本稿で解説した推奨事項を検討してほしい。
本稿筆者のポール・デビーシ氏はBurton Groupの上級アナリストを経て、現職はGartnerのネットワーク・通信戦略（NTS）研究チームの研究ディレクター。通信・無線業界で25年余りの経験を持ち、業界で指導的な役割を果たす。ボストン大学でシステムエンジニアリングの理学士を、コーネル大学で電気工学の工学修士の学位を取得している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
3
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
4
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
5
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
6
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
7
エンジニアが選考を辞退する本当の理由 7割が隠す“面接の違和感”とは
-
8
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
9
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
10
「Windows派」「Linux派」を分ける決定的な違い
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー