1. 従業員や業務委託者、コンサルタントが私物の携帯電話やタブレットを仕事に使っているかどうか

　使っていないだろうと思っても、実際には何らかの形で使っている確率が高い。こうしたモバイルエンドポイント経由で会社の情報にアクセスされることのないよう、モバイルセキュリティ対策を確立する必要がある。

2. どのようなモバイルプラットフォームが使われているか

　米Appleの端末のみ、あるいはカナダResearch In Motionの「BlackBerry」のみが使われていると思い込むのはたやすい。ではAndroid端末はどうか。Symbianは？　これらの他、聞いたことさえないプラットフォームで会社の重要な情報にアクセスされたり、端末内に情報を保存されてしまう可能性がある。

3. どのようなアプリケーションが使われ、どのようなデータがモバイル端末に保存されているか

　電子メールやVPN、イントラネットポータル、CRM、PDFファイル、スプレッドシートなどは、全てモバイル端末で使われている公算が大きい。これらのデータはユーザーのデスクやズボンのポケット、バッグの中にあり、いつでも悪用できる状態にある。

4. 全モバイル端末に一律に導入されているエンドポイントコントロールにはどのようなものがあるか

　引っ掛かりやすく、かつ厄介なのはこの点だ。パスワードを設定したり、暗号化を使ったり、バックアップを取っているところはあるだろう。それでも恐らくモバイル端末のセキュリティコントロールは、デスクトップPCには遠く及ばないだろう。

　あえて推測すると、事実上どんな企業でも、ノートPCやデスクトップPCでは考えられないような、セキュリティコントロールの著しく欠如したモバイルエンドポイントが少なくとも数台はあるはずだ。このことは、情報流出に関する報道や研究で裏付けられている。

　例えば米調査機関Ponemon Instituteと米情報漏えい対策企業ID Expertsが2011年に実施した「患者のプライバシーと情報セキュリティに関する年次ベンチマーク調査」によると、医療機関の81％が保護すべき健康情報の収集や保存、転送にモバイル端末を使っているにもかかわらず、端末に何らかの保護対策を施しているのは51％にとどまった。私の推測だが、何らかの方法で「保護されている」端末でも、多くは弱いパスワードや暗号化の欠如、バックアップの不備などが原因で、依然として悪用される可能性はありそうだ。

　モバイルエンドポイントには、なぜ適切な対策が施されないのか。小さ過ぎて目に入らないので忘れられてしまうのか。あまりにも普及しているためか。私物であることを理由に、端末でやっていいことと悪いことを管理部門があえて指示していないのかもしれない。

　だが、企業のIT部門がエンドポイントの複雑さとモバイルセキュリティの重要性を無視できる余地はない。「これで十分」という姿勢でガードを緩めてはならない。モバイル端末のセキュリティ対策をいつまでも管理部門とユーザー任せにしておくわけにもいかないのだ。モバイルエンドポイントに、従来のワークステーションと同じレベル、もしくはさらに上の保護対策が必要な理由はそこにある。

　モバイル端末によってIT部門の役割は変化した。それはエンタープライズデスクトップPCの管理方法にとどまらず、全般的なコンプライアンスと情報リスク管理に対する姿勢にも当てはまる。自社のモバイルセキュリティをどう計画するかが問われている。