BYODの無秩序な普及がスマートフォンのセキュリティ問題を深刻に

　Gartnerの予想によると2014年までに、モバイル端末を使いこなす能力を持つ従業員の80％が、少なくとも2台の私物端末を使って会社のシステムやデータにアクセスするようになるという。こうした従業員は、会社から支給された端末よりも私物のスマートフォンやタブレット端末を好む傾向があるからだ。

　私物端末の無秩序な業務利用が進むと、重大なセキュリティの課題が生じることになる。従業員がスマートフォンやタブレット端末を会社に持ち込んで業務アプリケーションにアクセスし、社内の機密ファイルを端末に無断で保存。社内データベースの情報を勝手にコピー＆ペーストする──こうした行為が状態化しかねないからだ。

　状況を放置すれば問題はさらに大きくなる。一般消費者向けに開発されたモバイル端末の多くはセキュリティソフトを標準搭載していない。従業員が意図せずに悪意のあるWebサイトにアクセスしてマルウェアをダウンロードしたとしたら、LAN内のシステムにマルウェアの感染が広がるのは時間の問題となる。

　モバイル端末の脆弱性は次々と浮上している。攻撃者が脆弱性を悪用して従業員の端末に不正に侵入すれば、端末やLAN内にある会社の決済情報や社会保障番号、顧客のクレジットカード番号、価格情報といった重要情報や社外秘情報を容易に取得できてしまう。

　可搬性が高いモバイル端末は従業員が社外に持ち歩くケースが多く、盗難や紛失が発生しやすいのも課題だ。従業員が自社のセキュリティポリシーを無視し、モバイル端末に暗号化ソフトウェアやバックアップ機能を導入していなければどうなるだろうか。攻撃者は入手した端末の電源を入れるだけで、機密情報を思うがままに抜き出せてしまう。

セキュリティ製品の導入は“一時しのぎ”、ポリシーの強制が不可欠

　こうした状況に対処するため、ユーザー企業はモバイル端末の監視や情報漏えい対策としてモバイル端末管理（MDM）やユーザー認証、セキュアゲートウェイといった各分野の製品に目を向けてきた。3LMやBoxTone、Enterproid、Good Technologies、Numara Software、Research in Motion（RIM）、Sybase、Tangoe、VMware、Zenpriseといったベンダー各社は、モバイル端末の管理を支援する企業向け製品を提供している。

　モバイル端末にある個人データと業務データを区別するため、ベンダー各社は幾つかのアプローチを採る。個人用と業務用に別々のユーザーインタフェースを用意し、データの「ロックボックス」を作成することで個人データと業務データを切り離す製品はその一例だ。個人用と業務用のユーザーインタフェースを共通化しつつ、業務データを隔離できる製品もある。

　これらのセキュリティ製品は、企業がモバイル端末に関するセキュリティポリシーを強制する一助となる。例えば、従業員が社内データベースの情報をGmailなどの個人メールにコピーして転送するのを阻止するといった制御ができる。

　セキュリティ製品が備えるこうした機能は確かに有用だ。だが長期的な対策というより、企業がモバイル端末に関するセキュリティポリシーを強制適用する能力を得るまでの“一時しのぎ”にすぎないとの見方がある。

　ゴールド氏は「効果を最大限に発揮するためには、セキュリティ機能をモバイル端末のOSレベルに組み込む必要がある」と強調する。現時点でOSにセキュリティ機能を組み込んでいるのはRIMのBlackBerryのみだが、GoogleもAndroidにセキュリティ機能を組み込もうとしている。AppleとMicrosoftは別の機能強化を優先させている。

　モバイル端末のセキュリティポリシーを策定しただけでは脅威は防げない。「ユーザー企業はポリシーを強制適用するためのセキュリティチェックの必要性を認識すべきだ」と専門家は口をそろえる。さもなければ、従業員が終業時に堂々と重要情報を持ち出すという状況は今後も続くだろう。