企業経営者は、セキュリティと生産性、俊敏性の間でバランスを取ることに苦労しており、業務データの紛失と盗難の防止は依然として重大な関心事となっている。情報漏えいは非常に広い範囲に影響が及ぶ可能性があり、モバイルセキュリティ管理手法として広く利用されているパスコード、暗号化およびリモートワイプだけでは十分に対処することはできない。だが、IT部門はOpen-inの管理機能を利用することで、iOS端末に保存されたデータのセキュリティを強化することができる。

iOS端末のデータセキュリティと管理の選択肢

　「iPhone」と「iPad」のセキュリティおよび管理に関しては、ユーザーによる設定やUSBテザリング型アプリ、無線経由のモバイル端末管理（MDM）など、多数の選択肢が存在する。MDMはIT管理者が端末に配備するアプリと構成プロファイルを一元的に管理するための技術である。IT管理者はiOS端末にインストールした任意のアプリを“マネージドアプリ”に指定し、プロファイルを利用してアプリを設定できる。

　例えば、“エンタープライズワイプ”という機能では、MDMを通じてインストールされた全てのマネージドアプリをiOS端末から削除できる。アプリ別のVPNトンネルの使用、アプリデータやエンタープライズブックと「iCloud」の同期化の禁止といった制限をマネージドアプリに追加することも可能だ。AppleがiOS 7から導入したOpen-in制御機能は一種のMAM（モバイルアプリケーション管理）であり、マネージドアプリから業務データが流出するのを防止するのに役立つ。

iOSアプリ間のデータの流れを管理する

　IT部門は、Open-in制御機能を使ってマネージドアプリと非マネージドアプリ間のデータの流れを制御することにより、データを隔離できる。例えば、管理者は、ユーザーがマネージドアプリで作成されたデータを非マネージドアプリで開くこと（あるいはその逆）を制限することができる。また、非マネージドアプリ（ブラウザの「Safari」など）からマネージドWebドメインを開けるようにするかどうかをコントロールすることもできる。

　Open-in制御機能では、構成プロファイルを通じて制限を設定する。この制限が適用されるかどうかは、アプリがマネージドアプリとしてインストールされているかどうかに依存する。例えば、IT部門が業務用電子メールクライアントをインストールし、構成プロファイルで「allowOpenFromManaged-ToUnmanaged」を無効にした場合、他のマネージドアプリ（IT部門がインストールした「QuickOffice」やセキュアなコンテナアプリなど）でしか電子メールの添付ファイルを開くことができない。このコマンドが無効になっていると、「Pages」や「Google Drive」などのネイティブアプリやユーザーがインストールしたアプリでこれらの電子メール添付ファイルを開くことはできない。要するに、Open-in制御機能は2つの論理的に隔離されたドキュメント処理環境を作成するのである。

Open-in制御機能の弱点

　構成プロファイルで設定した制限は、アプリで開いたドキュメントにのみ適用される。つまりOpen-in制御機能はドキュメントの漏えい防止に役立つものの、データ漏えいを完全に防ぐことはできないということだ。例えば、マネージドアプリを使ってドキュメントを印刷する、「AirDrop」経由で配信する、電子メールを通じて共有するといったことに対しては、Open-in制御機能でコントロールできない。こうした潜在的な流出経路を制御するには、他の機能が必要になる。例えば、構成可能なセキュアコンテナを利用してコピー／ペーストや共有、印刷などを制限するといった方法だ。

　また、Open-in制御機能ではiOS端末を2つの論理環境にしか分割できない。これは業務用途と個人用途をサポートする端末向けには論理的なソリューションだが、タブレットを複数のユーザーで利用するような場合には適さない。

　ユーザーが既にインストールしているアプリを、IT部門が新たにマネージドアプリとしてインストールするような場合にも、問題が起きる恐れがある。IT部門はまず、ユーザーがインストールした非マネージドアプリを削除し、それからマネージドアプリをインストールしなければならない。再インストールの際に、保存してあったドキュメントや同期化されているドキュメントが失われる可能性がある。例えば、IT部門がインストールしたQuickOfficeでは個人用のドキュメントを開けなくなるかもしれない。この場合は、ユーザーが別の非マネージドオフィスアプリをインストールすればドキュメントを開くことができるが、このような代替策が存在しないケースもあるだろう。

Open-in制御とDLPを併用する

　Open-in制御機能は、「データ漏えい防止」（DLP）に向けた総合的アプローチを構成する重要な要素の1つにすぎないともいえる。この他にも、企業向けクラウドサービスを利用してiOS端末に保存されるデータの量を減らすという方策がある。また、MAMとコンテナ技術を利用すれば、マネージドアプリで扱うiOS端末のデータのセキュリティをさらに強化できる。

　だが、その気になれば抜け道は見つかるものである。データ漏えいの可能性を減らすことを目指すことだ。漏えいを完全に防ぎ切れると期待してはならない。流出防止策を潜り抜けた業務データは、VPNトンネリングとネットワークDLPを組み合わせて検出、記録、ブロックすればいいのだ。