情報セキュリティ対策は、機密性、完全性、可用性の3分野の保護に大別できる。会社のデータを私物端末にコピーする際は、このいずれも犠牲にしてはならない。

　機密性の保護は、情報流出を防止することに尽きる。BYODポリシーには、私物端末にコピーしてはならないデータと、場合によってはコピーを認めるデータを区別するデータ分類スキームを盛り込む必要がある。例えば、新製品のデザインや新興の知的財産などは極めて価値が高い。こうしたデータは、会社が管理しているハードウェア以外の端末に保存するリスクを冒すことはできないと判断すべきだろう。

　少数の顧客や患者の情報を従業員の私物端末に保存することは許されるかもしれない。ただし、大量の顧客情報を私物端末にコピーするには、それを正当化できるだけの業務上の理由がなければならない。

BYODのセキュリティツール：DLP

　何百Gバイトものストレージ容量がある私物のノートPCやデスクトップPCには、大量のデータを簡単にダウンロードできる。こうした私物端末には、大量の社外秘情報が転送されないように、「Data Loss Prevention（DLP）」の導入を検討すべきだろう（DLPについては「読めば分かる！　情報漏えい対策製品『DLP』の選び方」を参照）。ストレージ容量が小さいスマートデバイスの場合、セキュリティリスクは低減するが、リスクを排除することはできない。

　データに対する制限は、役割や責任に基づくものでなければならない。営業担当者には自分が受け持つ顧客の情報を必要とする合理的理由がある。マーケティングアナリストには膨大な数の顧客情報が必要かもしれないが、それぞれの顧客に関する詳しい情報は不要だ。

BYODのセキュリティツール：MDM

　BYODのセキュリティ対策では、物理的なセキュリティにも対処しなければならない。会社のデータを保存している私物端末には、未使用時の盗難や紛失を防ぐための対策が必要だ。会社の情報を記録したUSBメモリなどのデータ保存デバイスは、仕事以外の用途に使ったり、他人と共有したりしてはならない。

　端末の盗難や紛失に対処するには、パスワードロックといった認証手段の導入を義務付ける必要がある。盗難や紛失に遭った端末のリモート消去に対応した「モバイル端末管理（MDM）システムも利用したい。

　データの完全性を守る方法は、改ざんされる可能性を低減することだ。画面ロックはそのための第1段階にすぎない。スマートデバイスやノートPCはパスワードで保護する必要がある。私物端末のWebブラウザにビジネスアプリケーションのパスワードを保存することは、特にその端末を他者と共有する可能性がある場合、認めるべきではない。

BYODのセキュリティツール：アクセスコントロール

　ノートPCやデスクトップPCを複数のユーザーで共有する場合、各自のアカウントを個別に用意する必要がある。アクセスコントロールは、ファイルシステムで共有されるビジネスデータのコピーや改ざん、従業員以外のユーザーによる削除を防ぐ上で役立つ。

　改ざんは常に悪意を持って実行されるとは限らない。親が子どもにタブレットを渡し、読書やゲームをさせて静かにしていてもらおうとする場合を想像してほしい。そのタブレットが、親の会社のメールシステムにログインしたままだったとしたら？　意図しない改ざんを防ぐため、一定時間使わなかった場合のタイムアウトといったコントロールをポリシーに盛り込んでおきたい。

BYODのセキュリティツール：端末スキャン

　IT部門は、私物端末にある悪質なソフトウェアがビジネスアプリケーションやデータ、ネットワークに干渉する事態も防がなければならない。クライアントPCとスマートデバイスが、悪質なコンテンツによって同じ影響を受けることはないかもしれないが、攻撃者が私物端末を介して、ネットワークに悪質なコンテンツを侵入させる可能性はある。

　私物端末をVPNに接続する場合、端末をスキャンして、OSがサポートされたバージョンであるかどうか、必要なアップデートが適用されているかどうかを確認する必要がある。マルウェア対策製品とパーソナルファイアウォールがインストールされているかどうかも確認する。

　脆弱性スキャンも実行したい。脆弱性のあるアプリケーションが入ったモバイル端末は、ネットワークから締め出さなければならない。アプリケーションブラックリストを利用して、私物端末のポリシーを徹底することだ。

　私物端末からアップロードするコンテンツも、マルウェアに感染していないかどうかをスキャンする必要がある。ウイルス定義ファイルベースの検出をかわすマルウェアの手口は巧妙になっている。IT部門は、プログラムの動作を分析するふるまいベースの検出手段も採用すべきだろう。

本稿筆者のダン・サリバン氏は、コンピュータサイエンスの修士号を有し、IT業界においてシステムアーキテクトやコンサルタントとして20年以上の経験を持つ。先端分析技術、システム構築、データベース設計、エンタープライズセキュリティ、BI（ビジネスインテリジェンス）などの分野、金融サービス、製造、小売、教育などの業界に関わっている。