英コンサルティングファームPricewaterhouseCoopers（PwC）ITリスク＆セキュリティ部門のディレクター、ダン・フィッツジェラルド氏とマネジャーのニキタ・リーバ氏は、モバイルセキュリティに関する2013年9月25日の講演の冒頭、PwCが各国で実施したセキュリティ動向調査結果を紹介した。

　中でも目を引いたのは、モバイルセキュリティ戦略を確立済みと答えた企業のセキュリティ専門職が40％にとどまるという調査結果だった。フィッツジェラルド氏が聴衆に「モバイルセキュリティ戦略を確立済みの人は」と尋ねたところ、手を挙げたのは20％程度に過ぎなかった。

　両氏は続いて、モバイルリスク管理プログラムの導入を成功させるために必要な条件を紹介。重点を置いたのは、モバイル端末そのものよりも、端末のデータを守ることを優先したデータ中心のアプローチだ。

　このアプローチの必要性を際立たせる目的で、米国の企業が欧州連合（EU）を本拠とする企業を買収するという想定で、フィッツジェラルド氏とリーバ氏は話を展開した。EUは、コンシューマー情報のプライバシーに関して厳密な規制を設けている。そのため両者は、米国企業は買収を完了する前に、こうした情報保護規定の管理にまつわるリスクをどう管理するかについて計画を立てる必要があると指摘する。

　リーバ氏は、さまざまな要因に基づき、モバイル端末の適切なセキュリティコントロールを選んで実装することの重要性を強調。脅威モデルの活用は、こうした要素を見極める助けになると説明する。例えば、モバイルを狙った攻撃にはさまざまな形態があり、データを狙う手口も多岐にわたる。だが、その組織が所属する業界に対して発生する頻度が高い攻撃に目を向ければ、どのようなリスクにさらされる可能性が大きいかをもっとよく理解できるようになり、モバイル端末の適切なセキュリティコントロールの確立が可能になるという。

　フィッツジェラルド氏は、データ中心アプローチに添った最善のセキュリティコントロールの1つに暗号化を挙げる。その説明のために、個人の特定が可能な情報（PII： Personally Identifiable Information）の収集と保存の問題を引き合いに出し、「モバイル端末でのPII収集は勧めない」と忠告しつつ、「送信時にPIIを確実に暗号化している組織であれば、適切なポイントで暗号化を実装している限りは安全なはずだ」と語る。

　効果的なモバイルセキュリティプログラムを導入した後であっても、環境の変化に応じてセキュリティコントロールの内容を見直す柔軟性は保つ必要があると両氏は説く。こうした変化の典型的な例として、米Appleの「iPhone 5s」には指紋認証技術が搭載され、端末や特定アプリのロック解除に利用できるようになった。こうした技術がもたらす潜在的リスクの管理を巡り、例えばユーザーの端末に保存された生体情報に対して会社が責任を負うかどうかなどを企業は検討する必要があるとリーバ氏は言う。

　セキュリティ予算が豊富な一部の企業では、モバイルセキュリティ問題のために予算を投じたい誘惑に駆られるかもしれない。だが両氏によると、さまざまなモバイルセキュリティ製品を「ピカピカの新品」として購入しても、望ましい結果は得られないという。それよりも、「NIST Special Publication 800-124」（米国国立標準技術研究所＜NIST＞が公開する、企業におけるモバイル端末のセキュリティ管理ガイドライン）の最終改訂版など既存のモバイル端末向けセキュリティコントロールフレームワークや、エンドユーザーに協力してもらうための分かりやすい利用ポリシー作成に目を向ける必要がある。

　「利用可能な最善の技術を導入することは、重要ではない」とリーバ氏は強調している。

聴衆との対話が浮き彫りにした混乱

　講演の終盤には、モバイル端末のセキュリティコントロールの実装とモバイルデバイス管理（MDM）製品の評価について、聴衆からの意見や経験の紹介を募った。結果的に内容は散漫になり、モバイルセキュリティに対するアプローチをさらに標準化する必要性が浮き彫りになった。

　多くの参加者は、米Good TechnologyのMDM製品を導入した経験を語り、その中の1人は「エンドユーザーに不安を感じさせずにモバイル端末のデータを消去できるようにする利用ポリシー適用の一環として、この製品を取り入れた」と語る。別の参加者は、私物端末用にGood Technologyの製品を1年ほど使っていたが、ユーザーの反発で米AirWatchのMDM製品に切り替えたいきさつを紹介した。

　世界で約7000台の端末のセキュリティ対策を担っているという参加者も、「AirWatchの製品にはほぼ満足している」と話しながらも、国境を越えてMDM技術を使った経験から、MDM製品を導入する際は法務担当者を関与させる必要があると強調する。「法務担当者や相手の国と協力して、端末やトラックに何を保存することが許されるのかを見極めなければならない」と、この参加者は話す。特にロシアと韓国は対応に注意を要するという。

　リーバ氏は講演後に米TechTargetの取材に応じ、特にデータの保存に関するさまざまな規制を不安要因と見なす点は聴衆と同意見だと述べている。こうした問題に対しては、「セキュリティコントロールと並んでデータ分類が答えになるかもしれない」と語る。

　フィッツジェラルド氏は、モバイル端末のリスク管理への対応において、「成熟したセキュリティ機能」が既に導入されていることを理想とすべき理由が、聴衆との対話で示されたと指摘。今回の講演で紹介した内容は、既存のセキュリティプログラムを促進させる役割を果たし得るとしながらも、まだ導入していない企業の多くはトラブルに見舞われかねないとの見方を示す。

　同氏はこの日の講演について、「少しばかり釈迦に説法をしてみた」と振り返り、「顧客の中にも間違いなく成熟が足りない企業があり、そこのCEOは、『自分が持ち込みたいと思う端末は何でも持ち込む』と公言している」と言い添える。