モバイルアプリの脆弱性：組織で対策すべき5つのリスクとは：リスクを明らかにする努力は足りているか

モバイルアプリに関わるリスクには最優先で取り組む必要がある。安全性が確認されていないモバイルアプリの危険性について、専門家が解説する。

[Kevin Beaver，TechTarget]

　企業の情報セキュリティマネージャーに、モバイルアプリに関するリスクへの対処方法について聞いてみると、大抵の場合、MDM（モバイルデバイス管理）とUEM（統合エンドポイント管理）をネットワーク全体にわたってどのように導入しているかという返答を得る。MDMとUEMには有用な幾つかの制御機能が含まれているが、このモバイルアプリの議論は、単にそれだけのものではない。

　従来のネットワークとデバイス層に加えて、モバイルアプリに関連するセキュリティは、モバイルエンドポイントにあるもの全てに関わる、というよりもむしろ、Webアプリケーションやシステム開発ライフサイクルと密接に関連している。それでも、セキュリティリスクを最小限に抑えるために、モバイルアプリは特定のタイプの注意が必要となる実際の業務用アプリケーションではなく、単発のニッチ製品として扱われることが多いようだ。

　情報セキュリティプログラムが持つこの側面を効果的に管理したいのであれば、まずモバイルアプリに関するセキュリティを認識し、その監視体制を構築することだ。その際、社内で開発されたモバイルアプリを全体のリスク管理の取り組みに包含し、開発および品質保証プロセスに統合する必要がある。モバイルアプリの運用をマーケティング会社、オフショア開発者、または他の誰かにアウトソースしている場合、セキュリティ監視は多少なりとも限定的になる場合があるが、そのことで組織が全ての責任から免れるというわけではない。

併せて読みたいお薦め記事

モバイル管理が求められる理由

• 危険なアプリと安全なアプリ、ビジネスで使う際はどう見極めるべき？
• EMM導入を検討するIT担当者は約4割、中堅規模の組織にも拡大
• どこでも“セキュアに働ける環境”の構築術、鍵を握る2つのITツールとは
• 社員も会社も安心、私物スマホ活用のオキテはこう作る

最も重要な懸念事項？　業務用モバイルの選び方

• 「何となくiPad」は最悪　業務用モバイルは5つの視点で選べ
• 真っ向勝負「iOS」 vs. 「Android」、セキュリティ機能を比べてみた
• iPhone、iPadのiOSを最新版にアップデートしない人の言い分

　いずれの状況においても、いざモバイルアプリのセキュリティを監視対象とするとなれば、セキュリティ要件が満たされていることを確認するために他のコアビジネスシステムに対して実施するのと同じアプローチが必要だ。これには、以下のモバイルアプリを中心に考えたアプローチを含む。

• セキュリティポリシーと対策基準。これは合意後、文書化され、必要な全ての関係者、特に社内外のデベロッパーと品質保証テスターと共有する。
• 特定の脅威と確認された、または潜在的な攻撃対象の領域を特定する脅威モデリング。
• アプリおよびそのアプリに関連するインフラストラクチャとWebサービスに対する脆弱（ぜいじゃく）性診断と侵入テスト。これは、社内チームまたは第三者が実施する。
• 静的解析によるソースコードレビュー。または、対話型アプリケーションセキュリティテスト。
• ベンダーマネジメントとモバイルアプリのサプライチェーン内のあらゆる側面に関連するサードパーティーへの監査。これには開発、インフラストラクチャサービスおよびクラウドベンダーを含む。

　上記の各対策が導入されず、他の業務システムと同じレベルの監視が実施されない場合、モバイルアプリはセキュリティ確保のための努力もむなしく、目に見えるセキュリティリスクをもたらす。