ITセキュリティ管理者の多くはこのような場合、まずネットワーク接続を提供した上でさまざまな疑問点を解消していくのだろうが、アレクサンダー氏は自らが先頭に立ち、BYOD（私物端末の業務利用）のデータセキュリティを確保するための戦略の策定に乗り出した。モバイル端末ポリシーを策定する際に、このステップを飛ばしてしまうIT部門は少なくない。だが、それが後々、複雑な問題を引き起こす。

戦略が必要

　BYODは、技術上の問題と捉えられることが多い。実際、米IBMがCISOを対象に実施した調査「2013 IBM Chief Information Security Officer Assessment」では、モバイル端末のセキュリティを確保するための最も重要な要素として「全社的なBYOD戦略」を挙げたCISOは、全体のわずか10％にとどまっている。

　モバイルエンドポイント管理ソフトウェアメーカーである米Moka5の創業者兼最高技術責任者（CTO）のジョン・ウェイリー氏は、次のように語る。「どこから手を付けたらいいのかと尋ねられることがあるが、おかしな話だ。ユーザーは既にBYODを実践しているのだから。企業は、BYODの流れが既に広まりつつあるという現実を認める必要がある」

　ITセキュリティの責任者にとって、従業員が職場に持ち込む端末のセキュリティを確保する上で重要なのは、「全体的な戦略を策定すること」と「その戦略に基づき、BYOD利用者向けのポリシーを策定すること」の2つだ。だがIBMの調査によれば、「従業員の私物端末に対し、インシデント対応ポリシーを策定済み」という企業は全体の40％に満たず、「従業員の私物端末がもたらすセキュリティ問題に対処するための全社的な戦略を策定済み」という企業もわずか29％にとどまっている。

　米IBM Security Solutionsのモバイルセキュリティ担当グローバル製品マネジャー、ビジャイ・ディープ氏によれば、企業はBYODポリシーを特別に用意するよりも、全てのエンドポイント端末に適用できる広範なポリシーを策定すべきだという。

　「何か新しいタイプの端末が加わるたびに新たな戦略やポリシーを考案しなければならないのは負担だ。そうした負担は排除すべきだ。状況は全てのエンドポイント端末で常に変化しているのだから」と、同氏は語る。

事業部門との関係を強化して適切なポリシーを策定する

　モバイル端末ポリシーの策定に際しては、会社全体のニーズをカバーできるよう、さまざまな事業部門をまとめることが重要となる。アプリケーションセキュリティ企業の米Veracodeでモバイル担当副社長を務めるテオドラ・ティトニス氏によれば、ポリシー策定の話し合いに参加すべきはIT部門の責任者だけではないという。どのようなポリシーを策定するにせよ、法務とリスク管理の担当者が関与する必要がある。

　「われわれは、対話を確立し、事業部門の関係者のパイプ役となり、成功のための目標のリストに取り組む必要がある」と、ティトニス氏は語る。

　ずさんなモバイル端末ポリシーは、重大なセキュリティ問題を引き起こしかねない。ポリシーがあまりに緩くてはデータ漏えいにつながりかねず、厳し過ぎると従業員に問題をもたらす。

　この点は、英メール管理サービス会社MimecastのCEO、ピーター・バウアー氏の経験談からも明らかだ。バウアー氏は2010年に南アフリカで休暇を過ごしたが、その際、同氏の携帯電話を使おうとした娘が間違った暗証番号（PIN）を5回入力したせいで、会社の自動リモートワイプポリシーが発動され、それまでに撮った休暇中の写真を全て失ったという。

　「IT部門にとって大きな問題は、個人的な通信と業務のための通信の境界がほとんどなくなってしまったことだ」と、バウアー氏は語る。「BYODでは、私的なコンテンツをビジネスツールと一緒に持ち歩くのは自然なことだが、こうした行為はリスクを伴う」

　「コンシューマー向けクラウドサービスを社内で利用する場合も同じだ。われわれはこれを“Bring Your Own Cloud（私物クラウドの業務利用）”と呼んでいるが、こうした行為は恐らく、データセキュリティにとってはBYODよりも脅威だ。IT部門がエンドユーザーのこうした希望にも沿わなければならないのなら、相当厳しいセキュリティポリシーを全社規模で強制する以外に選択肢はない」と、バウアー氏は続ける。

　なお、モバイル端末ポリシーには常に、モバイル端末を使用する上での潜在的なリスクと会社の要件を明確に詳述する必要がある。米IT人材派遣会社TEKsystemsがIT責任者やIT担当者を対象に実施した調査「2013 IT Industry Survey: BYOD」では、「従業員が業務にモバイル端末を使用することによって、機密データのセキュリティ侵害のリスクが高まる」と考える回答者が全体の4分の3近くを占めている。

管理するのは端末かアプリかデータか

　CISOにとって、モバイルセキュリティ戦略の策定で重要となるのは、「管理の焦点をどこに置くか」の判断だ。端末を保護するのか、特定のアプリだけに業務データへのアクセスを認めるのか、データ管理にフォーカスを絞るのかによって、戦略もポリシーも違ってくる。

　端末にフォーカスを絞ったアプローチは、従来マネージドソリューションでモバイル端末やノートPCを管理してきた企業が選ぶ傾向にある。ITセキュリティチームが新種のモバイル端末として一番注目しているのは確かにスマートフォンやタブレットだが、こうした端末が浮き彫りにしている問題の多くはスマートフォンやタブレットに限ったものではない。大半の企業は以前から、ノートPCや、自宅でデスクトップPCを使って仕事をする従業員を相手に、同様の問題に取り組んでいる。

　「企業がデータを保護する方法としては従来、モバイル端末管理が主流だ」と、米ネットワークベンダーJuniper Networksの製品管理戦略担当上級副社長、ホレーショ・ザンブラノ氏は語る。

　カナダの通信端末メーカーであるBlackBerryのセキュリティ担当上級副社長、スコット・トツケ氏によれば、もう1つ別のアプローチとしては、検証可能な方法で保護できるスマートフォンやタブレットだけをサポートするという方法もあるという。

　「端末自体に、攻撃に対するある程度の耐性が必要だ」と、同氏は語る。

　それでも、Moka5のウェイリー氏によれば、最近は端末ではなくアプリとデータに照準を絞る企業が増えており、中には、情報漏えい対策（DLP）の実践としてBYODに取り組んでいる企業もいるほどだという。各種の端末上のデータを保護する方法として主流なのは、「セキュアコンテナ」と呼ばれる方法だ。

　従業員によるモバイル端末の利用を企業があたかも独裁者のように管理することには、法務やポリシー面で厄介な問題が伴うが、コンテナ化はそうした問題の回避にも役立つ。また、公私のデータを分離させることで、前出MimecastのバウアーCEOが経験したような“不慮”のリモートワイプを回避できる。「企業は個人データには触わらずに、業務データだけを削除できる」と、ソフトウェアベンダーの米Dell Softwareで統合ソリューションを担当するエグゼクティブディレクターのニール・フォスター氏は語る。

　「初めて端末から個人的な写真を削除しなければならなくなったとき、とりわけその端末が上層社員のものであれば、そのときこそがコンテナ化を採用すべきタイミングだ」と、同氏は語る。

ユーザーの意見を聞く

　ポリシーをめぐる議論にはしばしば、そのポリシーの影響を受ける従業員の存在が欠けている。前出のTEKsystemsの調査では、「会社が自分の端末の利用状況を監視しているレベル」について不満を抱いているIT担当者はわずか14％で、「モバイル端末に関する会社のポリシーは十分に伝えられている」とした回答者はわずか35％だった。

　会社のセキュリティ対策に関して多くのユーザーが共通して抱えているのは、「端末の業務利用を妨げられる」という問題だ。Veracodeのティトニス氏によれば、この点はコンテナ化技術についてもよく批判される問題という。また同氏によれば、使いづらいセキュリティ対策はほとんどの場合、効果がないという。

　「従業員は、不便なプロセスをすり抜ける方法を見つけるものだ。誰も、モバイル端末に13桁のパスワードなど入力したくない。慣れ親しんだ方法で操作できる必要がある」と、同氏は語る。

　企業がモバイル端末のポリシーと戦略について従業員と話し合う必要があるのは、こうした理由からだ。

　方向性がいったん決まった後も、コミュニケーションは重要だ。「従業員にモバイルポリシーを伝えるための必須のトレーニングを用意していない」という企業は現在、全体の3分の2以上を占めている。「ユーザーの賛同を得るには、モバイル端末が会社にもたらし得るリスクをきちんと説明する必要がある」と、Moka5のウェイリー氏は指摘する。

　さらに同氏によれば、企業は携帯端末に保存されている業務データが会社に属するものであることをユーザーに明示すべきであり、そうした意味でも、ポリシーの話し合いには最初から法務担当者が加わる必要があるという。

　「従業員が取り組んでいる業務に関連したデータに対し、裁判所から証拠開示命令が出されているにもかかわらず、従業員が私物端末の提出を拒むような事態は避けなければならない」と、ウェイリー氏は語る。