業務に関連する情報が保存されたスマートフォンが紛失または盗難に遭えば、情報漏えいという深刻な事態をもたらす。データは当然暗号化してパスワードで保護されているべきだが、それよりも管理者は脅威を食い止めるため、スマートフォンから企業のデータを丸ごと削除してしまいたいと考える。そうするには幾つかの方法がある。

　まず、米Microsoftの「Exchange ActiveSync」や米IBM「Notes Traveler」などのツールに搭載されている「リモートワイプ（遠隔削除）」機能を利用するという手がある。これは「ハンマーで破壊するような」アプローチだ。ワイプコマンドが送信されると、端末に保存されているあらゆるコンテンツが削除される。業務に関係のない個人的な写真、音楽、アプリ、着信音などのアイテムも削除対象になる。

　端末が見ず知らずの人の手に渡っているならば、所有者はコンテンツを削除してしまってもいいと思うかもしれない。運がよければ、コンテンツはIT部門が定期的にバックアップしてくれている場合もあるだろう。

　端末の紛失とは別の対処をしなければならないシナリオも想定しておかなくてはいけない。従業員が退職した場合だ。この場合はモバイルデバイス管理（MDM）システムが効果的だ。MDMシステムを使用すると、ユーザーの個人情報は残したまま、業務に関連するコンテンツだけを端末から削除できる。もちろん、ユーザーから要請があれば、全てのデータを削除することも可能だ。

　ただ、リモートワイプは100％有効とは限らないという点は留意しておきたい。スマートフォンの電源が入っていなかったり、機内モードに設定されていたり、あるいはもっと単純に、端末がネットワークに接続できない場所にある場合は、ワイプコマンドを受信できないのだ。

　MDMクライアントがアンインストールされていたり、ExchangeあるいはNotes Travelerアカウントが無効になっている場合も、同様に端末はワイプコマンドに応答しない。もっとも、多くの場合はMDMクライアントをアンインストールまたはアカウントを無効にした時点で、その端末に関連付けられた全てのデータは消去されることにはなるが。

データ流出を食い止めよ

　モバイルデバイスの紛失は業務に関連するデータを制御できなくなる原因の1つだ。だが、モバイル情報管理では他にも考慮すべきことがある。ユーザーは業務メールを個人アカウントに転送したり、業務に関連するファイルを「Dropbox」などの一般消費者向けクラウドストレージサービスにアップロードすることがある。そのいずれも利用できない場合でも、従業員は単純にコピー＆ペースト機能を使って業務メールや添付ファイルの情報を好きな場所に移動することはできる。

　幸い、MDMサービスプロバイダーはこの脅威を認識しており、防止する手段を既に開発している。基本のツールは「セキュアコンテナ」あるいは「サンドボックス」と呼ばれるものである。これは、端末をソフトウェア的に分割して設けられた領域に、業務に関連する情報を保存しておくものだ。ファイルはユーザーの個人的なファイルから分けて格納され、パスワードで保護されている。デバイスが紛失や盗難にあった場合、あるいは従業員が退職する場合には、セキュアコンテナは遠隔で削除できる。

　セキュアコンテナには、もう1つ重要な機能がある。それは受信した全ての業務データにタグを付けて、コンテナ外に転送できなくするというものだ。メールや添付ファイルは転送できず、その内容をコピー＆ペーストすることもできない。

　セキュアコンテナには他のアプリケーションを格納することも可能で、そのコンテンツの転送も防止できる。Dropboxなどの一般消費者向けサービスを不要にするために、セキュアなクラウドストレージ機能を備えているMDM製品もある。

　MDMサービスプロバイダーは、このアプローチの名称に「デュアルペルソナ」という印象的な造語を採用した。デュアルペルソナを最初に実現したのは、カナダBlackBerryが開発したセキュリティ機能「BlackBerry Balance」だ。現在は他のベンダーも実質的に全てのモバイルOSで、この機能を提供している。

　最近では、韓国Samsung Electronicsが米Googleの「Android」プラットフォームに対応した独自のセキュアコンテナ技術を「KNOX」の一部として発表した。KNOXは多くのMDMソリューションと連動し、セキュアブート機能も搭載している。

アプリケーションのセキュリティ

　ただ、デバイスがマルウェアに感染してしまった場合、これまで述べてきたセキュリティ対策は全て無駄になる可能性がある。モバイルアプリは、さまざまな場所から入手できる。そのため、ベンダーはアプリを配布する前に、多種多様なアプローチでマルウェアに感染していないか、テストしている。が、全てのアプリがテストされているという保証はない。

　デバイスが、通信キャリアやハードウェアメーカーの課した制限を不正に回避する措置（iOSでは「Jailbreak」、Androidでは「root化」と呼ばれている）を施されている場合、情報漏えいの問題はさらに深刻だ。これをやられると、デバイスに組み込まれている基本的なセキュリティのメカニズムが無効になり、あらゆるアプリのインストールが可能になってしまう。Jailbreakやroot化を行うためのソフトウェアはインターネットでいくらでも手に入る。

　ほとんど全てのMDM製品にはJailbreak／root化の検知機能が搭載されている。この機能を使えば、デバイスがコンプライアンス基準を満たす状態に戻るまで、業務メールやその他のシステムへのアクセスをブロックできる。ちなみに、BlackBerryや米Microsoftの「Windows Phone」デバイスがJailbreakまたはroot化されたという報告例はない。これは設計の特性による。つまり、Jailbreakとroot化はiOSとAndroidに限られた問題ということになる。

　iOSに関していえば、ユーザーがアプリケーションをAppleの「iTunes Store」からダウンロードしている限り、アプリ自体は問題なく保護されている。Appleは、アプリの詳細なテストを行うことで、配布する前にマルウェアを検知している。ただし、デバイスがJailbreakされている場合、ユーザーはどこからでもiOSアプリをダウンロードできるようになる。そのため、全ての対策が無駄になる。

　現時点では、モバイルマルウェアの大半はAndroidを標的としている。米セキュリティ会社McAfeeの2013年6月版「モバイルセキュリティ動向リポート」によると、Androidマルウェアの件数は四半期の間に約33％増加し、68万件のサンプルが検知されたという。

　単純な窃盗を目的とした事例が多く、主にデバイスを乗っ取って勝手にプレミアムSMS（SMSを通じて有料のコンテンツを提供し、対価を通信料に上乗せする仕組み）のテキストを送信させていた。その他、ハッカーが通信を監視したり、実質的にスマートフォンにある全てのデータファイルを入手したりできるようにするマルウェアも存在する。

　このような攻撃を防止するには、まずJailbreak／root化を検知する必要がある。MDMシステムを導入していない場合、企業のモバイル利用ポリシーとしてJailbreak／root化を明示的に禁止することをお勧めする。

　MDMシステムを使用すると、管理者はアプリケーションをブラックリストに登録できる。チェコ共和国のAVAST Software、ルーマニアのBitdefender、ロシアのKaspersky Labなどの企業では、Android向けのウイルス対策製品を提供している。ドイツの独立系ITセキュリティ会社AV-TESTによると、多くの優れたウイルス対策製品では95％もの効果があるという。

　モバイルアプリケーションの制御を強化するため、自社専用のアプリストアを実装するという手段を取っている企業も存在する。この機能は米Apperianや米App47といった専門業者だけでなく、大半のMDMサービスプロバイダーが提供している。このような自社専用のアプリストアでは、アプリの配布とアップデートに加え、コーポレートライセンスのソフトウェアを管理することも可能だ。