MDM製品シナリオ（2）：デバイス保護

　データのセキュリティを確保したら、MDMによってモバイルデバイス自体を保護する方法を確認する。スマートフォンやタブレットのセキュリティが確保されていないと、ネットワークの感染やデータの侵害につながる恐れがある。そのため、これも重要なトピックだ。

Jailbreak／root化の検出

　ほとんどのMDMシステムでは、ユーザーがiOSの「Jailbreak（脱獄）」またはAndroidの「root化」（スマートフォンやタブレットの正規の使用法や管理から逃れる目的でOSを改変したり、端末の管理者権限を取得したりする行為）を試みた場合に警告を管理者に送ることができる。Jailbreak／root化されたモバイルデバイスでは製造元が意図していない機能の他、IT部門や企業が承認していない機能を実行することが可能になる。例えば、管理者権限でのアクセス、アプリストア以外からのアプリのダウンロードやインストール、マルウェアの実行などだ。

　当然、これらの全てが必ずしも悪いものだとは限らない。だがJailbreak／root化は企業ネットワークにリスクをもたらす。そのため、初期段階でユーザーがスマートフォンやタブレットをJailbreak／root化できないようにすることで、こうした事態を回避するのが望ましい。

PINとパスコードの強制

　どのモバイルデバイスでも最前線の防御としてパスワード保護が要求される。MDMを利用すると、PINやパスコードを強制するポリシーをスマートフォンとタブレットにプッシュ通知できる。その際にはタイムアウト時間も設定できる。デバイスを盗んだり盗み見たりした侵入者からアクセスが試みられた場合に、そうした予期せぬアクセスからシステムを保護するにはこの方法が簡単だ。

　MDMを利用してパスワードセキュリティを強制することはとても単純で、それほど重要なことでないように見えるかもしれないが、欠かしてはならない。

リモートワイプ

　スマートフォンやタブレットをリモートワイプするオプションは、デバイスが既に正規の所有者の手元にない場合の救世主となる。この機能は、スマートフォンやタブレットにある全データにアクセスできなくする。スマートフォンやタブレットのデータの価値は、そのモバイルハードウェア自体の価値を大きく上回る。

OSの変更とアプリ

　シンプルなMDMポリシーでも、管理者はユーザーがインストールするアプリを制限できる。スマートフォンやタブレットのOSに加えられる変更を限定することも可能だ。例えば、ホワイトリストを使用して特定アプリのインストールのみを許可し、サポート対象のスマートフォンで全てのカメラを無効にする。これにより、モバイルデバイスをマルウェアに感染させかねない危険なアプリをインストールできなくなる。危険なアプリはデータの損失やそれ以上の問題を引き起こす恐れがある。

　そして、モバイルシステムがネットワークに対して基準となるOS構成状態で保持できる。そのため管理が簡単になる。モバイルデバイスをエンドユーザーに支給する際には、このレベルのアプリ管理とシステム管理は必須だ。

モバイルデバイスの暗号化

　企業は、重要な企業データが保存されているモバイルデバイスを全て暗号化する必要がある。MDM製品は、サポート対象の全てのスマートフォンとタブレットを強制的に暗号化することができる。この暗号化は、ノートPCとデスクトップPCを対象とするディスク全体の暗号化と同じような方法だ。暗号化によって、モバイルデバイス自体とそのデータが保護できる。コンテナ化MDM製品を使用している場合でも、全てのモバイルデバイスを対象にデバイスそのものを暗号化できることは重要だ。

MDM製品シナリオ（3）：モバイル接続の保護

　MDMによりモバイルデータとモバイルデバイス自体を保護したら、スマートフォンとタブレットの通信の安全性を確保する方法を確認する。この最後のシナリオでは、モバイルデバイスと企業リソース間で確立される接続やセッションをMDM製品でセキュリティ保護する方法に重点を置く。

　MDMを使用する企業は、モバイルデバイスから特定機能を取り除くサードパーティー構成をブロックし、MDM製品内の特定の機能を有効にすることで、安全でない通信のリスクを軽減できる。前者については確認すべき領域が1つある。それはモバイルデバイスでのVPN接続を有効にする機能だ。VPN接続によって、企業と安全に通信できるようになる。

　ユーザーが社内ネットワークにあるデータやサービスにアクセスしなければならない場合は少なくない。そのため、多くのMDM製品では安全性の足りない形でこれらのリソースへのアクセスを許可するのではなく、管理者が企業サイトへのVPN接続を要求できるようにしている。そうすることで、安全なデータアクセスを実現している。

　企業ネットワークへのアクセスセキュリティを確保する方法はもう1つある。安全でないアクセスを制限することだ。それには、Wi-Fiで使用できるサービスセット識別子（SSID）を制限する。これでは制約がやや厳しくなる可能性がある。だが、企業ネットワーク範囲内にあるモバイルシステムに対し、セキュリティが確保されたワイヤレスネットワークを常に優先的に使用させるポリシーを管理者側が作成できる。これにより、安全性に欠けるワイヤレスネットワークにもアクセスできる場合でも、そうしたネットワークの優先度が低くなる。

　企業サーバからモバイルデバイスにプッシュした内部証明書を使用できる機能もお勧めだ。この機能により認証の層が上乗せされる。

　特定のWebサイトへのアクセスを制限するMDMオプションもある。このテクノロジーは「セキュアWebブラウジング」と呼ばれ、企業ネットワークへの接続を経由するのが一般的だ。また、企業の標準WebプロキシやWebフィルタリングサービスを利用してユーザーのブラウジング操作を継続的に保護する追加ポリシーも導入できるようになる。モバイルデバイスは企業ネットワークを拡張する。そのため、オンサイトのPCと同じWebポリシーをプッシュすることで、Webアクセスに関して一貫性のあるセキュリティとユーザーエクスペリエンスが実現できる。

　最後に、本稿執筆時点のMDMシステムにはジオフェンシングと呼ばれる機能が組み込まれている。これにより、特定の地理的位置に限りモバイルデバイスが機能するようになる。スマートフォンやタブレットを持ち歩くユーザーにとっては制限が厳し過ぎる可能性があるし、このように感じるユーザーがほとんどであるのは間違いない。だが、特定の場所を離れるはずのないモバイルデバイスには適している機能だ。例えば、モバイル販売時点管理（POS）システムなどである。事前に決められた領域の外にデバイスが持ち出されると、企業のポリシーによってそのデバイスは使用できないものと見なされる。

　最近はほぼ全ての労働者にとって、モバイルデバイスがビジネスツールとしてデファクトスタンダードになっている。これほど普及しているからこそ、モバイルデバイスで使用されているデータ、システム、接続のセキュリティを確保する必要がある。スマートフォンやタブレット自体を保護するだけでは不十分なのだ。