対策済みの個人は3人に1人
予算内でスマートフォンのセキュリティを高める3つの対策
SMBもスマートフォンのセキュリティ問題を無視することはもはやできない。最小限のコストで最大限の効果を挙げるにはどうしたらいいのか。
手持ちのスマートフォンにセキュリティ対策を講じているユーザーは3人に1人にとどまることが、F-Secureが最近実施した調査で分かった。にもかかわらず、ほとんどのユーザーはスマートフォンを持ち歩き、仕事のため──特に電子メールや連絡先、タスクの同期──に使っている。この“危険な組み合わせ”により、端末に保存された無防備な企業情報が紛失や盗難の危険にさらされることになる。
予算の縮小とモバイルワークフォースの拡大で、多くの中堅・中小企業（SMB）は身動きが取れなくなっている。もはやこのリスクを無視することはできない。しかし携帯端末管理システムは、予算も問題も規模の大きいエンタープライズ向けだ。これより規模の小さい企業が最小限のコストで最大限の効果を挙げるにはどうしたらいいのか。
第1段階：パスワードを義務付ける
アクセス制限は、どんな携帯端末にでも適用できる最も単純な安全措置だ。現代の携帯電話OSはすべて、電源を入れたときの暗証番号またはパスワード入力に対応している。ただ、わざわざそれを有効にしていないユーザーが多いだけだ。1日に何度も、メールをチェックする前にいちいち暗証番号を入力するのはそれだけ手間が掛かる。しかしそうすることにより、なくしたり盗まれたりしたスマートフォンを不正利用されるのを防止でき、生産性を大きく損なわれずに済む。
従業員のスマートフォンをコントロールできない企業であっても、仕事に使うスマートフォンで電源投入時の暗証番号／パスワード入力を義務化するポリシーの導入は可能である。できる限り順守されるよう、一般的なスマートフォンの暗証番号／パスワード設定方法について、分かりやすい説明書を、従業員の関心を引くような理由を付けて配布するといい。例えば、毎年タクシーの中に置き忘れられる携帯電話の数と、それが個人的、職業的にどんな結果をもたらしたかを記載する。
ユーザーの設定頼みにするのは常にリスクが大きい。管理者がスマートフォンに暗証番号／パスワードを掛けられるベーシックなプロセスを検討したいと思う人もいるだろう。例えば設定済みのスマートフォンを従業員に支給する、ユーザーに手持ちのスマートフォンを提出させて電子メールといった会社のサービスのアクセス設定をする、などだ。こうしたやり方は従業員が多い場合は現実的ではないが、比較的規模の小さい企業では効果的かもしれない。可能であれば、例えば端末のIDに基づいてMicrosoft Exchange ActiveSyncへのアクセスを制限するなどの方法で、会社側が設定していない端末からのアクセスを遮断して順守を強制する。
第2段階：紛失したスマートフォンのデータ消去
電源入力時の暗証番号とパスワードは、紛失したスマートフォンを拾った人による不正利用を防ぐための第一線の防御措置だ。しかし、このようなベーシックなアクセスコントロールでは、本気で盗もうとする相手は防げないかもしれない。例えば、iPhoneの暗証番号は簡単に破られてしまうことで有名だし、「0000」といった入力しやすく推測しやすい暗証番号も同様だ。
スマートフォンの種類と会社のネットワークとの通信方法によっては、2番目に導入が容易な措置として「キルピル」が使えることもある。これは、紛失したり盗まれた携帯端末のハードウェアリセットまたはデータ消去を実行し、ただの機械の塊にしてしまえる機能だ。
端末によっては、認証に失敗した場合のポリシー（3回失敗するとアウトなど）を定めることにより、非同期的なデータ消去を実行させることができる。従業員のBlackBerryを設定するのであれば、そのスマートフォンが紛失して一定期間使われなかった場合にユーザーデータをすべて自動消去する「Secure Wipe if Low Battery」「Secure Wipe Delay After Lock」の設定を検討するのもいいだろう。
場合によっては、サーバ同期化を使って紛失後にリモートからの消去を実行できることもある。例えば「BlackBerry Remote Wipe Reset to Factory Default」「Microsoft Exchange 2003/2007 Remote Wipe」といった機能がそれだ。
あるいは、紛失したり盗まれたりした携帯端末を追跡してデータを消去してくれるスタンドアロンサービスに投資するのもいい。例えばAbsolute Softwareが提供している「Computrace Mobile」は、盗まれたノートPCの追跡、消去、回収を行う同社の人気サービス「LoJack」のスマートフォン版だ。端末1台当たり年間13.95ドルで、Absolute SoftwareがユーザーのBlackBerry（4.2.1およびそれ以降のバージョン）とWindows Mobile 5／6搭載のスマートフォンを追跡してくれ、ユーザーは同社が提供するWebポータルから、AWOL端末（行方不明になった端末）のデータ消去コマンドを実行できる。
第3段階：スマートフォンのデータ暗号化
もちろん、データ消去の目的は、潜在的に重要な企業情報が望ましくない相手の手に渡るのを防ぐことだ。しかし、データ消去は最後に取るべき破壊的手段だ。事を急いでユーザーデータを消去したいとは思わないだろうし、リモートからの消去実行のため同期化を待つのはいい気分ではないだろう。
こうした点で助けになるのが保存されたデータの暗号化だ。Windows VistaのBitLockerなどのOS組み込み型ツール、TrueCryptなどのオープンソースツールにより、ノートPCのデータ暗号化はSMBにも利用しやすくなった。ただし、ノートPC暗号化ツールはスマートフォンでは利用できない。スマートフォンの場合、OSの種類やバージョンによって、データ暗号化が比較的容易なこともあれば、まったくできないこともある。
BlackBerryのコンテンツ保護機能では、カレンダーに入力した予定、アドレス帳の連絡先、メモ、タスク、電子メールなどのユーザーデータを暗号化できる。Windows Mobile 6.1搭載端末では、Active Directoryのグループポリシーを使ってファイルとフォルダの暗号化を有効にできる。従業員がこのどちらかを使っていれば、比較的容易にこれらスマートフォンに保存された仕事関連のデータを選んで暗号化できるかもしれない。必要なサーバインフラがない場合、プロバイダーの有料サービス利用を検討するといい。小規模企業向けのBlackBerryホスティングサービスは多数ある。
最後に、OSに暗号化が組み込まれていないスマートフォンをユーザーが使っている場合でも、必ずしも暗号化が利用できないとは限らない。例えば、スタンドアロンのPDA暗号化製品（AirScanner Mobile Encrypter、Softwinter Sentry 2020 for WMなど）を従業員に買わせ、インストールさせる手もある。会社がスマートフォンを買って従業員に持たせるのであれば、携帯電話会社がモバイルセキュリティサービスを提供しているかどうか尋ねてみよう。エンタープライズクラスのMDM（Master Data Management：マスターデータ管理）は、重荷になる部分を他者が負担してくれるのであれば、それほど非現実的ではないという結論になるかもしれない。
以上の3段階の措置だけで、不安要因となる携帯電話のセキュリティリスクすべてに対応できるわけではない。しかし、この3つを根本として押さえておけば、多額のコストを費やすことなくスマートフォンのリスクを大幅に抑えられる優れた手段となる。
本稿筆者のリサ・ファイファー氏はCore Competenceの副社長。25年以上にわたってネットワーク、セキュリティ、管理製品の設計、導入、評価に携わり、大小の企業を対象に、セキュリティの必要性、製品評価、新興技術の利用、ベストプラクティスについて助言してきた。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[フォーティネットジャパン合同会社] 複雑化しがちな「SASE運用」 IT・医療・金融などの事例に見る導入成功の秘訣 -
製品資料
[フォーティネットジャパン合同会社] 「SD-WAN」導入で失敗しないための5つの重要事項 -
技術文書・技術解説
[フォーティネットジャパン合同会社] VPNの代替候補「ZTNA」を理解できるようになる“3大要素”とは？ -
事例
[フォーティネットジャパン合同会社] すぐ分かる「SD-WAN」選定のポイント 成功企業はどんな成果を出した？ -
製品資料
[SCSK株式会社] 「Dropbox」管理・運用の困りごと解決ガイド
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
みずほ証券が「液冷サーバ」を採用 1日3.6億件の計算を支えるための要件
-
3
Microsoft月例パッチ1400件超で過去最多 「限界点」を迎えたパッチ管理
-
4
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
5
SAP導入後も残る“Excel依存” 京急電鉄は「kintone」でどう解消した？
-
6
被害額は過去最高額 それでも「サイバー犯罪者が捕まらない」3つの理由
-
7
「身代金を支払う」以外のランサムウェア対策は本当にあるのか？
-
8
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
9
いまIBM iエンジニアが直面する「5つの技術的課題」とその解決策
-
10
AI時代のITインフラ戦略とは？ 販売代理店が知っておきたい最新トレンド
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
7
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「標的型攻撃メール」事例・サンプル集
-
10
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー