あらゆるセキュリティ戦略と同様、ポリシーの基礎固めから取り組みを始める企業は成功を収める可能性が非常に高くなる。時間をかけて企業内でのBYODに関する境界線を明確に定めることが必要だ。企業のBYODセキュリティポリシーは、エンドユーザーとIT担当者がBYODについて抱く多くの共通の疑問に対処しなければならない。例えば下記のような疑問だ。

• 私物端末から企業のデータにアクセスする権利は誰にあるのか
• どのような条件であれば私物端末から会社のネットワークに接続してよいのか
• 企業はBYODインスタンスごとに明示的な許可を必要とするのか
• BYOD端末ではどのようなセキュリティ管理が必要か

　BYODセキュリティポリシーを策定するだけで順守義務を果たせるわけではない。ユーザーがポリシーの要件を順守しなければならない。それを実現するには、そもそもユーザーがポリシーの詳細を熟知していなければならない。そこで役に立つのがトレーニングと意識改革だ。最低でも、全従業員がBYODセキュリティポリシーが存在することと、私物端末を使用する前にIT担当者に相談する必要があることを把握すべきである。BYODプログラムに参加するユーザーは、BYODポリシーで許可および禁止される行為について、より広範なトレーニングを受けることになるだろう。

企業と個人が保有するデータの分離

　企業がBYODを実施する上で最も大きな課題の1つは、デバイスの個人使用に悪影響を与えないようにしながら企業情報を保護するというバランスを取ることだ。結局のところ、従業員は企業のセキュリティ要件に対して良い反応を示す可能性は低い。こうした要件は従業員が自分で購入した私物端末の使用を制限することになるためだ。企業は、このような分離の課題に対して、さまざまな解決策で取り組むことになる。

　モバイルデバイス管理（MDM）製品には、モバイルデバイスをポリシーベースで管理する機能がある。MDM製品を使用すると企業のセキュリティ要件を強制することができる。例えば、

• デバイスコンテンツの暗号化
• デバイスアクセス時のパスコードの要求
• 紛失／盗難に遭ったスマートフォン、タブレットのデータの遠隔消去の支援

などだ。MDM製品の中には、IT担当者がデバイスでの実行を許可するアプリケーションを指定したり、企業の機密情報にアクセスできるアプリケーションを指定できるものもある。各企業が私物端末にMDMの導入および構成する際には、企業の順守義務を果たし、なおかつ企業文化の制約に抵触しないアプローチをとらなければならない。

　また、HIPAA（米国における医療保険の相互運用性と説明責任に関する法令）やSOX法（上場企業会計改革および投資家保護法）のような厳格な義務が課せられている一部の企業には、「コンテナ技術」を使用してBYODに取り組む選択肢もある。このアプローチを採用した場合、私物端末から企業のデータを操作しようとする従業員は、デバイスにアプリケーションとして導入されるセキュアなコンテナ経由でデータにアクセスする。コンテナ経由でアプリケーションを開くことで、従業員はアプリケーションのインタフェースを使用して企業のデータにアクセスできる。アプリケーションを閉じると、企業に関する全データがデバイスから削除され、デバイス所有者が適切と見なす個人データをデバイスで操作することができる。このアプローチによって、企業は、管理されていない私物端末に保護された安全地帯を築けると考えることができる。

定期監査

　BYODの課題への対処方法としてどのようなアプローチを選択したとしても、企業は定期的にIT運用の実情を監査して、規定したBYODセキュリティポリシーに反していないか調べなくてはならない。BYODを全面的に禁止している企業では、企業所有のデバイスのみが会社のネットワークに接続していることを検証する取り組みが必要だ。BYODを許可している企業は、社内のセキュリティポリシーと社外の順守義務の範囲内でBYODユーザーが作業しているか検証すべきである。

　冷戦時代にロナルド・レーガン元大統領が言った「信ぜよ、されど確認せよ」という言葉を思い出して欲しい。この言葉に従うことで、企業はエンドユーザーのBYODに対する要望と、企業の規則順守の要件との間でバランスを取ることが可能だと分かることだろう