端末紛失や情報漏えいへの対策は？

専門家に聞く、スマートフォンの主なセキュリティリスクと対策

企業でのスマートフォン活用が進む中で、懸念すべきセキュリティリスクとその対策を紹介する。

公開 2011年04月20日 09時00分

更新 2012年09月04日 15時41分

著者

Crystal Bedell

[TechTarget]

印刷する

　モバイル端末の利用が拡大する中、スマートフォンのセキュリティに対する懸念が高まっている。米調査会社Gartnerによると、2010年の世界市場におけるスマートフォンの販売台数は前年比で72％増加したという。第4四半期にはスマートフォンの販売台数の52.3％を西欧および北米の市場が占めたが、そうした地域ではスマートフォンが人々の生活を大きく変えつつある。

　例えば、連絡の取り方や、いつどのように働くかといったことから、銀行の手続きや買い物の方法といったことまでだ。そういう次第で、スマートフォンはまた一方ではセキュリティリスクももたらしている。こうした状況を受け、欧州ネットワーク情報セキュリティ庁（ENISA）は2010年12月、スマートフォンのセキュリティリスクとその対策に関する報告書「Smartphones: Information security risks, opportunities and recommendations for users」を発表した。

　TechTargetはこの報告書の執筆者の1人、マーニックス・デッカー氏にメール取材を行い、スマートフォンが企業にもたらすリスクについてさらに詳しく話を聞いた。

【記事インデックス】企業のスマートフォン／タブレット活用とセキュリティ

私物スマートフォンの職場利用に対応するポリシー制定を

携帯端末・スマートフォンのセキュリティを守るベストプラクティス

――報告書では、エンドユーザーが注意すべきスマートフォンのセキュリティリスクのうち上位10件が挙げられていますが、それらのうち企業にとって最も危険なセキュリティリスクはどれでしょうか？

デッカー氏　この報告書の作成に参加した専門家の意見では、企業にとって最大のリスクはスマートフォンの盗難あるいは紛失です。スマートフォンにロックが掛けられていない場合やメモリのセキュリティ対策が不十分な場合、盗難や紛失はデータの漏えいにつながりかねません。

――そうしたリスクに対処するためには、企業はどうすればいいのでしょうか？

デッカー氏　われわれはこの報告書において、企業のIT責任者が通常のセキュリティポリシーに追加できるような対処法をリスクごとに具体的に提案しています。

　スマートフォンの盗難や紛失に伴うデータ漏えいのリスクについては、何よりもまず、スマートフォンの暗号化（保存データの暗号化）やアクセス制御（PINロック）などに関するモバイルポリシーを策定することが重要です。ちなみに、そうしたポリシーはノートPCやUSBメモリなど従来のモバイル端末にも等しく適用されます。

　次に重要なのは、スマートフォンには機密データを保存すべきではないという点です。一般的に言って、スマートフォンに入れておく機密情報の量はできるだけ制限するのが得策です。そのためには、アプリケーションをWebベースで稼働するよう設計するのも1つの方法です。

　第三に、もし重要なデータをスマートフォンに保存しているのなら、企業のIT責任者はそうしたデータのバックアップを確実に取ることを義務付けるルールを定めるべきです。このリスクに対処すれば、「スマートフォンを不適切な方法で廃棄する」というもう1つの大きなリスクも軽減できるという点に注目してください。

――この報告書ではそれぞれの脅威について、一般家庭や企業など、スマートフォンが利用される環境ごとに、その「起こりやすさ」と「影響の大きさ」の他、それらを総合した上での「リスクの度合い」がランク付けされています。それによると、一般ユーザーにとってリスクの度合いが低い脅威は概して企業ユーザーにとってはリスクの度合いが高く、その逆もまたしかりのようです。そういうことなら当然、個人所有のスマートフォンを企業環境に持ち込むことこそがあらゆる脅威の中で最も重大なものということになると思いますが、いかがでしょうか？

デッカー氏　それは興味深い論点ですね。個人所有のスマートフォンを業務に使うことを認める企業は増えつつあります。スマートフォンは非常に個人的な端末であり、従業員に2台のスマートフォンを使い分けさせるというのは現実的ではありません。われわれはこうした傾向を脅威というよりも、むしろ進展と捉えています。

　今回の報告書では、まだこうした状況については取り上げていません。今後検討する予定です。今回の報告書はIT責任者がセキュリティポリシーの順守を実施できることを前提としており、個人所有のスマートフォンについてIT責任者がどのようにポリシーを実施するかの詳細には触れていません。

――個人所有のスマートフォンを業務に使用することについて、IT責任者はどう対処すべきでしょうか？

デッカー氏　企業には、そうした使用を認めざるを得ない業務上の明確な理由があるようです。ただし、それに伴うリスクには特別な配慮が必要です。先ほども述べましたが、こうした側面については今後数カ月の間に別途検討する予定です。

――報告書では、一般ユーザーと企業ユーザーの両方に向けてアドバイスがなされています。従業員の個人所有のスマートフォンのセキュリティについて、企業は教育や実際のセキュリティ確保の点でどの程度の責任を負うべきでしょうか？

デッカー氏　とてもいい質問ですね。IT責任者はスマートフォンのセキュリティ対策について従業員にアドバイスや支援を行いやすい立場にいますし、個人所有のスマートフォンのセキュリティに関して、アドバイスを行ったり、可能であればツールを提供したりすることはIT責任者の責務と言えます。

――報告書では、セキュリティ強化につながるスマートフォンの各種機能や性能についても幾つか説明されています。社内ネットワークでどのスマートフォンの利用を認めるかを判断する際、企業はそのうちのどの項目を基準にすればいいのでしょうか？

デッカー氏　われわれは本格的な市場調査や製品比較は行っていませんが、ベンダー各社がそれぞれ異なる方法でスマートフォンのリスクに対処していることは分かりました。例えば、盗難や紛失のリスクを軽減するためにメモリを暗号化するスマートフォンもあれば、同じ目的に位置特定機能やリモートワイプ機能を搭載しているスマートフォンもあります。どのような設計のスマートフォンを選ぶかは、大きな違いをもたらします。従って、スタートとしては「主要なリスクからどう保護されているか（あるいはどう保護できるか）」を基準にするのがいいかもしれません。もちろん、セキュリティ以外の各種の基準も重要な要素となります。実際、大半の企業はデスクトップPCを選ぶ際、セキュリティではなく、コストや相互互換性といった基準を基に判断しています。

　スマートフォンのセキュリティに関するベンダー各社のアプローチがそれぞれ全く異なるという事実は、消費者にとっては混乱の元であり、IT責任者にとっては仕事を複雑にする要因となっています。われわれはセキュリティ対策の面でスマートフォンベンダー各社間の標準化が進むことを期待しています。また、スマートフォンとスマートフォンアプリケーションのセキュリティに関する業界標準の開発をできる限りサポートしていく方針です。

印刷する