モバイルセキュリティ対策で心掛けるべきこととは

モバイルセキュリティの抜け、漏れを防ぐ4つのチェックポイント

モバイルセキュリティに関する限り、これ1つで事足りるという手段は存在しない。ただし対策を検討する際に知っておきたい心構えはある。

公開 2017年04月06日 08時02分

更新 2018年05月15日 18時24分

著者

Steve Damadeo

[TechTarget]

印刷する

モバイルデバイス活用に失敗しないために必要なセキュリティ対策の心構えとは

　モバイルデバイス活用において、セキュリティ対策ほど難しいことはない。何らかのセキュリティ対策を考えるとき、他のセキュリティ対策のルールやアプローチを参考にできることは、まれだ。新しい要素に対して既存のセキュリティ対策をそのまま適用すると、重要なリスクを見落として情報流出を招く事態になりかねない。

　IT部門は、モバイルデバイス活用で最もありがちなセキュリティの不備を知り、それをどう避けるかを知らなければならない。そのヒントとなる4つのポイントを紹介する。

併せて読みたいお薦め記事

iOSとAndroidの違い

iPhone／Androidスマホの安全性

ポイント1：セキュリティを後回しにしない

　エンドユーザーがモバイルセキュリティ関連の指示を無視するのは、それをうっとうしく、仕事をする上での妨げになると考えているからだ。多くの組織でセキュリティチームは、エンドユーザーにやってはいけないことを説いて回る存在と化している。例えばセキュリティチームが複雑なパスワードポリシーを定めたことで、エンドユーザーが記憶できないパスワードを付せんに書いて張る状況が生まれている。

　アプリケーションを構築するに当たり、会社が正式リリースの前にセキュリティチームに正式なゴーサインを出すよう求めることがある。だがそこでストップがかかり、結果的に導入が遅れることは珍しくない。優秀な組織では、セキュリティチームが最初から関わって、開発の全プロセスにセキュリティ対策を組み込む。

ポイント2：周辺対策だけでは不十分

　IT部門はかつて、ネットワークのセキュリティを守る最善の手段は、その周辺に巨大な城壁を築いて、非常に少数の信頼できる人しか中に入れないことだと信じてきた。だがこの周辺防御のアプローチの問題は、従業員がネットワークの中にいることを前提としている点にある。モバイルデバイス活用の状況は、その対極に位置する。

　モバイルデバイスの活用を前提とした「モバイルファースト」の考え方が浸透した現在では、データそのものに重点を置いた複数段階のセキュリティアプローチが要求される。デバイスレベルでは、最低でも会社が「エンタープライズモバイル管理」（EMM）ツールを使ってデバイスやアプリケーションを守る必要がある。

　多段階認証は今では非常に一般的になったが、必須というわけではない。IDとパスワードのみ、または生体認証のみで十分なこともある。IT部門はデバイスに保存されたデータと、アプリケーションからアクセスされる移動中のデータの両方を守る必要がある。

ポイント3：プライバシー規定に注意を払う

　モバイルセキュリティに関する法制度は国や地域によって異なる。EU（欧州連合）は特にプライバシーに関する法制度が厳しいことで知られる。一例を挙げると、組織がEU域外の第三国に、個人の特定が可能な情報を移転することに極めて高いハードルを設けている。

　2016年8月には、EU域内から米国へのデータ移転に関する枠組み「プライバシーシールド」がスタートした。この枠組みにより、例えば米国にシステム基盤を持つクラウドツールを使って、EU域内の市民に関するデータを保存することが条件付きで可能になった。

　だがこの枠組みは、欧州の多くの国に存在する個人情報保護法の代替にはならない。多くの多国籍組織はこうした状況に対処するため、各地域において許容される範囲でデータを収集・利用している。

ポイント4：過剰にならない

　セキュリティは極めて重要だが、対策によっては過剰になる。モバイルデバイスの特徴は利便性と柔軟性にある。モバイルデバイス管理やアプリケーション開発ポリシーの中にモバイルセキュリティ対策があまりに多く存在すれば、どんなに立派でも誰も使われないシステムやアプリケーションが増えてしまう。

　組織がモバイルデバイス活用に成功するためには、セキュリティと利便性との間でバランスを保つことが必要だ。IT担当者、人事担当者、法務担当者、セキュリティ担当者、ヘルプデスク担当者、ターゲットとするエンドユーザーを、プロジェクト計画の段階から巻き込む。そのグループが連携して、最小限のセキュリティニーズと、セキュリティに関する最大限の要望、そして使い心地に関するガイドラインを定める。

　あらゆる組織やエンドユーザーに通用する特効薬的なアプローチは存在しない。成功の確率を最大限に高めるためには、モバイルセキュリティ対策に対して「何もかも適度に」の心構えを持つことだ。このアプローチなら、モバイルデバイス活用の根幹をなす基本的なニーズ、つまり非伝統的な手段で情報を素早く入手するニーズを尊重しながら、セキュアなモバイルデバイス活用環境を提供できる。

印刷する