モバイルのコンテナ化は、アプリとデータを保護する効果的な戦略だ。特に私物端末の業務利用（BYOD）のセキュリティには効果的である。今日、多くの従業員が業務で利用するために私物端末を企業環境に持ち込んでいる。そのためIT部門は、従業員の私物端末にある個人のデータで起こり得るマルウェアやデータ侵害のリスクから、業務データを守る方法が必要だ。コンテナ化には幾つかの方法がある。本稿では、最も一般的なモバイルコンテナ化の形態とそれらの違いを紹介する。

　コンテナ化に賛同する人の多くは、「デュアルペルソナ」方式に夢中だ。この方式では2つの個別の環境が作られ、同じ端末上のそれぞれの環境で個別のOSが動作する。

　デュアルペルソナ方式は、基本的に別々の端末として動作する2つの環境を作るため仮想化の力が必要になる。一方の環境では機密な業務アプリと業務データが運用され、個人的な作業はもう一方の環境で行われる。お互いに交わることは、ほぼ皆無に近い。

　デュアルペルソナによるコンテナ化には2つのアプローチがある。1つは、2つの仮想環境を並列に動作させ、どちらもハイパーバイザーに配置する方法だ。もう1つは、ホストPCで仮想マシンを実行するのと同じように、仮想化システムをコアOS内で動作させる方法だ。どちらのアプローチを選んでも、管理者はデータ漏えいの心配なく比較的簡単かつ効果的に企業リソースを保護することができる。

　ただし、デュアルペルソナには、2つのOS環境の運用によってパフォーマンスとバッテリー寿命が損なわれるという欠点がある。また、root／jailbreak化された端末に対する保護がほとんど提供されない。このため、ユーザーはデュアルペルソナといったサードパーティーによる端末の設定に加え、米Googleの「Android」や米Appleの「iOS」が課している制限もオーバーライドすることが可能だ。

　従業員による受け入れも懸念事項の1つだ。従業員は環境の切り替えがあまりに面倒だと感じると、生産性を維持するために、セキュリティが確保された企業のコンテナを迂回する方法を探す傾向が強い。

コードベースのコンテナ化

　デュアルペルソナの厳格な端末管理のアプローチに対抗する方法として、多くの企業がアプリ自体のコンテナ化を進めている。アプリレベルのコンテナ化では、デュアルペルソナと同様のメリットが多く得られる。また、パフォーマンスの代償が少ないという特長がある。

　一般的にアプリレベルのコンテナ化には、「コードベースの統合」および「アプリのラッピング」という2つの形がある。

　コードベースの統合とは、ベンダーのソフトウェア開発キット（SDK）をアプリのコードベースに組み込むことで、アプリをコンテナ化するプロセスを指す。開発者はベンダーのAPIとセキュリティ関連のライブラリを使用して、アプリのセキュリティを確保する。また、ドキュメントの共有やプリントサービスといった生産性向上機能も組み込むことができる。さらにアプリ固有の管理ポリシーの実装も可能だ。アプリは、セキュリティが確保された独自のコンテナの外側で機能することで、データの出入りを制御してコンテナの内部を保護する。

　コードベースの統合の欠点は、SDKを組み込むための専門知識だけでなく、アプリのコードベースへのアクセスが必要なことだ。また、企業が大量のアプリを変更しなければならない場合は、リソースが枯渇する恐れもある。加えて、コードベースのコンテナ化を進めると、企業はSDKを提供しているベンダーにロックインされることになる（少なくとも、そのSDKをコードに取り込んだアプリについては、そうなる）。そのため、この方式を採用した場合、管理者は長期的な取り組みになることを覚悟しなければならない。

アプリのラッピング

　企業の多くは、コードベースの統合を採用するための時間やリソースを確保できないため、もう1つのコードベースのコンテナ化であるアプリのラッピングに取り組んでいる。アプリのラッピングでは、コードベースを操作することなく、既存のアプリにラッパーを挿入する。主要なモバイル端末管理ベンダーのほとんどがアプリのラッピングを提供している。アプリのラッピングでは、コードベースの統合を利用する場合と同じレベルの専門知識は必要ない。

　アプリのラッピングでは、コードベースの統合ほどのカスタマイズは行えない。だが、アプリ内の構造を変えずに安全な状態でアプリをコンテナ化できる効果的な方法であることに変わりはない。アプリのラッピングではコードベースにアクセスする必要はなく、素早く簡単なプロセスで実装できる。

　アプリのラッピングには重大な課題が1つある。それは、このアプローチが必ずしも合法ではないことだ。コードベースの統合では、コードベースにアクセスできる企業にコードを変更する権利がある。だが、理論上、アプリのラッピングでは、企業は任意のアプリをラップできる。残念ながら、大半の商業サービスには、ラッピングを含むあらゆる変更を防ぐ法的な保護とライセンス契約が付属している。法的な検討事項について法律は整備されていないが、ベンダーが同意する可能性は低いだろう。

コンテナ化を理解する

　コンテナ化という言葉は、捉えどころが無いことがある。分離された安全な空間という概念は非常に分かりやすい。だが、深く掘り下げてみると、その定義はさらに特別な意味を持つ。例えば、アプリのラッピングはコンテナ化の形態ではないという見方をする人もいる。アプリレベルのコードベースの統合についても同様の意見が見られる。また、アプリとデータを保持するための暗号化された空間（フォルダー）として、コンテナ化をより包括的に定義する人もいる。

　コンテナ化の概念は、管理レイヤーで端末全体をラップすることにも当てはまる。端末全体をラップすると、IT部門は中央管理コンソールから端末を監視して操作できる。端末レベルのコンテナ化は、プロファイルの更新、アプリのプッシュ、パスワードの設定といったタスクの簡略化にも役立つ。

　その他のコンテナ化の形態には「マルチアプリのコンテナ」がある。マルチアプリのコンテナは、デュアルペルソナとコードベースのコンテナ化の中間に位置する方法だ。マルチアプリコンテナは、デュアルペルソナのように、業務用と個人用に別個のOSを作成することはしない。個人用と同じOSで実行し、レイヤーを作成して環境を分離することで企業データを保護している。マルチアプリコンテナは、コンテナプロバイダーのSDKを組み込んだサブアプリを運用しているアプリのように機能する。マルチアプリレベルであることを除けば、コードベースの統合に近い。

　コンテナ化はOSレベルでも実装することができる。韓国Samsung Electronicsの「KNOX」などを使えば、ハードウェアとソフトウェアに統合され、セキュリティが確保されたコンテナを作成することが可能だ。リモートデスクトップサービスを提供するアプリですら、一種のモバイルのコンテナ化と捉えられることもある。

　コンテナ化の技法は豊富にある。だが、デュアルペルソナ、コードベースの統合、アプリのラッピングという3つのアプローチが今もなお主流となっている。今後も新たな戦略は現れるだろう。だが、コンテナ化は企業のリソースを保護する方法として既に十分な効果を発揮している。