ノートPCと同じレベルでの管理が必要

携帯端末のコンプライアンスと従業員管理

携帯端末にもコンプライアンスが要求されるようになり、モバイルコンプライアンスの問題がいっそう複雑になってきた。

公開 2007年09月25日 05時00分

更新 2012年09月04日 19時30分

著者

Lisa Phifer

[TechTarget]

印刷する

　今日、社員がPDAやスマートフォンなどのワイヤレス携帯端末を使用していることは、多くの企業が認識していることだ。携帯端末コンプライアンスをどのように監査、適用、立証すべきかを検討していこう。

初歩的段階

　Ponemon Instituteの調査によると、多くのITプロフェッショナルはコンプライアンスの重要性は理解しつつも、効率的かつ効果的な実践手段を策定するのに苦労しているようだ。回答者の58％はソフトウェアツールを使わずに手作業で監視・テストを実施しており、86％はこういった作業を一元化しておらず、リスク管理の理解が不足している恐れがある複数の部署に責任を分散している。長期的に見れば、自動化された一元的なプロセスの方がはるかに効果的で持続性が高いのは当然だ。

　この常識的指針は、モバイルワーカーと彼らが持ち歩く端末にも当てはまる。今日、社員がPDAやスマートフォンなどのワイヤレス携帯端末を使用していることは、多くの企業が認識している。携帯端末の業務利用に関するセキュリティポリシー（ビジネスリスクを減らすために導入すべき対策も含む）を定めている企業も増えている。しかし、携帯端末がいつ、どんな方法で企業の資産や法規制の対象となる可能性のあるデータにアクセスしたかを記録する包括的なプロセスを完全に自動化している企業は少ない。

携帯端末とユーザーのリストの作成

　CFO（最高財務責任者）が自分のiPhoneを紛失したとしても、そのiPhoneに暗号化されていない財務データが含まれていなかったかどうか知ることはできないし、それを立証することなどまず不可能だろう。iPhoneや不注意なCFOが悪いと言っているのではない。従来のコンプライアンス対策には、共通の（しかも深刻な）抜け穴があることを示す例を挙げたのだ。多くの企業では、ネットワークに接続したノートPC（VPNトンネルの向こう側にあるものも含む）のセキュリティに関する設定、チェック、記録のプロセスを既に確立している。しかしノートPC対策を主体としたプロセスの中で、従業員が所有するPDAなどの携帯端末までカバーしているものがどれだけあるだろうか。

　重要なのは、法規制の対象となるデータが含まれている可能性のある端末の完全なリストを作成することである。このリストには、社内のサーバやデスクトップ、従業員が持ち歩くノートPCだけでなく、自社のネットワークおよびシステムに接続するすべての端末を含めなければならない。従業員が自らPDAや携帯電話をIT部門に提出し、登録と設定の申請をするのを期待してはならない。社内のデスクトップのネットワークアダプタやWi-Fiアクセスポイント、インターネットにつながったVPN、アプリケーションゲートウェイなど、ネットワークのすべての接続ポイントを包括的に監視する一元的な自動ツールに投資する必要がある。

　注意しなければならないのは、同じ携帯端末であってもさまざまな方法で会社のネットワークにアクセスする可能性があり、また同じユーザーが複数の端末を通じて会社のネットワークにアクセスする可能性もあるという点だ。すべての接続ポイントからアクセス記録を収集するとともに、監視対象から漏れた経路（例えば、USBやBluetooth経由での携帯端末とデスクトップの接続）がないようにすること。さらに、フィンガープリント手法と相関手法を用いて、携帯端末、アクセス方法、関連するユーザーのIDのリストを作成する必要もある。

モバイルセキュリティポリシーの策定と適用

　モバイルユーザーとその端末のリストを作成したら、法規制の対象となるデータがこれらの端末でどのように行き来し、そういったセンシティブな情報がどこに（一時的あるいは永続的に）保存される可能性があるか調べる。

　携帯端末の利用シナリオを調べることにより、データ流出の潜在的可能性およびそれに伴うビジネスリスクを具体的に把握できる。しかし、モバイルハードウェアとワイヤレス技術は今後も、急速なペースで変化を続けるだろう。現実的なモバイルセキュリティポリシーを策定するには、モバイルユーザーと彼らのアクセスニーズや権限にフォーカスし、リスクがどこに存在し、法規制がどこに適用されるかを特定する必要がある。その場合、個々のハードウェアメーカー、ワイヤレスキャリア、端末の機種とは切り離して考えること（もちろん、こういった詳細情報も後で重要になる）。

　ポリシーを実行に移す際には、新しいツールとプロセスが必要になることが多い。CFOが持ち歩く端末とやりとりされる（あるいはそこに保存される）メールメッセージの暗号化を求めるポリシーを策定すれば事足れり、というわけにはいかないのだ。ワイヤレスで送信されるデータの暗号化およびCFOの携帯端末上のフォルダの暗号化を実施するためには、新しい製品を購入したりベンダーや機種、OSのバージョンに固有の機能を有効にしたりする必要もあるだろう。

　ポリシー実施の一貫性を高めるためには、既存のインフラやデータを活用する可能性を追求する必要がある。既存のユーザーデータベースと連携したモバイルセキュリティプラットフォームを探し出し、可能であればインベントリとソフトウェア配布システムを再利用すること。新たなモバイルインフラへの投資に関して言えば、特定の端末メーカーおよび携帯キャリアにフォーカスし（例えば、BlackBerryからAT&T Wireless経由で接続するなど）、ほかの端末の使用を禁じ、承認されていないインタフェース経由での社内ネットワークへのアクセスをブロックするという企業もあるだろう。その一方で、多数の異種携帯端末やワイヤレス技術をサポートする広範なモバイルセキュリティプラットフォームを選ぶ企業もあるだろう。

　いずれにせよ、新しい携帯端末を自動的に検出でき、一元的に定義されたポリシーに基づいてこれらの端末のプロビジョニングを自動的に行えるようなシステムを探すことが重要だ。必要なセキュリティ対策（携帯端末のアクセス制御、データの暗号化、ウイルス対策、OSのパッチなど）がそろっているか、そしてこれらの対策が適切に構成・運用されているか確認でき、アップデートや変更をセントラルリポジトリに記録する機能を備えたツールを選ぶこと。携帯端末のセキュリティの設定（およびセキュリティの維持）をユーザーに任せるのは失敗の元だ。ノートPCでもいまだに不可能なのだから。それに、携帯端末はノートPCほどに理解されておらず、リセットされてしまうことも多い。

モバイルコンプライアンスを絶えずチェックする

　ここまでに説明した方策はモバイルワーカーのコンプライアンスを高めるのに役立つが、たいていの法規制は企業にコンプライアンスの立証を義務付けている。例えば、紛失した携帯端末には暗号化が施されていたことを証明する報告書を作成したり、その端末が顧客記録データベースにアクセスしなかったことを立証したりする必要があるかもしれない。実際、コンプライアンスの眼目は、優れたセキュリティを導入するというよりも、必要なポリシーと手続きを確立し、それらに従うことにあるのだ。

　このため、モバイルコンプライアンスを保証する上で特に重要な作業が継続的監視と記録である。この作業では、自動化と一元化がコストの削減と効果の増大に大きな威力を発揮する。そのための手段としては、例えば、携帯端末がポリシーに従っているかどうか、また、前回のチェック以後に新たな未対応の脆弱性が出現していないかを確認するために、同じテストを繰り返し実行するといったことが挙げられる。

　また、携帯端末のチェックは従来のノートPC対策の延長として考える必要がある。ノートPC対策用と同じツールを使って詳細な監査を実施することはできないとしても、すべての結果を総合することによって、1つの「大きな絵」を描くことが必要だ。結局、ほとんどのプライバシー関連法規の狙いは、センシティブなデータがどこに存在するかにかかわらず、それを保護することにあるのだ。

本稿筆者のライザ・ファイファー氏は、ネットワークセキュリティおよび管理技術を専門とするコンサルティング会社、Core Competenceの副社長を務める。同氏は20年余りにわたり、データ通信、インターネットワーキング、セキュリティ、ネットワーク管理製品の設計、導入、評価に携わってきた。

印刷する