小規模な企業では、顧客ごとに特化したサービスを提供することが、長い間、成功したビジネスに共通する特徴となっていた。成功の秘訣は、担当者が顧客のことを知っているだけでなく、顧客がどう扱われたいかも知っているということだ。親切な近所のクリーニング店やレストラン、ファッションブティックや洗車場も、モバイルアプリを使って同じように成功したいと思うのは自然なことだ。しかし、ここで注意してもらいたい。モバイルアプリが集めた個人情報は、予期せず厄介な場所にひょっこり現れることがある。そして、プライバシー侵害の原因が顧客にあったとしても、責められるのはアプリを提供した方だ。

　ある大きな医療企業は、この問題に関連して苦い経験をした。その会社が委託して作らせた女性向け健康アプリには、恐らく特定の女性層には便利な機能があった。それは、自分の健康や医療の状況について書き込むことができる自由入力形式のメモ欄だ。そこには月経周期やその周期に影響を及ぼした可能性のある出来事などの情報を入力できた。

　メモを見ることができるのは、書いた女性だけのはずだった。が、アプリには広告が掲載されていて、広告ネットワークがクリックスルー情報（インターネット広告の効果測定指標）を取得したタイミングで、モバイル端末のIDと個人を特定できる具体的なものを含め、全ての情報も同時に取られていた。米Hewlett-Packard（HP）のFortify部門で、モバイルアプリのテストプロセスを監督しているダニエル・ミエスラー氏の説明によると、広告サーバに取り込まれた、このような極めて個人的な情報は、バックアップが多数取られ、無数のスプレッドシートやアナリティクスプログラムに送り込まれるということだ。

提案

　顧客が好きな情報を入力できる自由入力形式は避ける。ビジネスにとって本当に必要な情報は何か？　それを決めておけば、顧客や見込み客を守ることにつながる。開発者やマーケティング担当者の多くは、集めたデータが流出してしまったときの悲惨な状況を考えもせずに、アプリに質問や機能を簡単に追加している。

1枚の写真が多くのモバイルセキュリティ問題を生む

　今日、ほとんど全てのスマートフォンが高品質の写真や動画を撮影できる。モバイルアプリのビジュアル機能を使って、視覚に訴える写真や動画を買い物客に使わせない手はない。

　ある種のビジネスでは、デジタル画像がアプリの機能のカギとなることは確かだ。例えば、カメラアプリでは、高性能カメラにあるような複雑な設定を使って、見栄えの悪い写真を修正できる。また、自動車保険会社であれば、事故発生時に、被保険者である顧客に、車の損傷を撮影させることができるだろう。

　しかし、写真や動画にそれほど多くのビジネス上の戦略的価値がないとしても、企業はセキュリティリスクを回避するための対策を講じなければならない。デジタル画像がどのような被害をもたらすのだろう？　昨今のデジタル写真はメタデータと切っても切れない関係にある（顧客が関係を断つ複雑な手順を踏んでいない限り）。メタデータは写真が撮影された正確な場所と日時を示し、個人のプライバシーに介入できる。時間の経過とともに十分な数の写真がそろえば、メタデータから、その顧客の旅行の詳しい行程表を作ることもできる。

　メタデータだけではなく、写真そのものが、公開したくないビジネスの詳細を明らかにしてしまう場合がある。古風な食堂のテーブルを紹介するつもりで撮影した写真に、例えば、そのときテーブルの上に置いてあった請求書の明細が偶然に写ってしまうこともあるのだ。

　地理位置情報を追跡する場合にも、写真と同様のプライバシー侵害に気を配らなければならない。米Starbucksはこのことを、嫌というほど思い知らされた（※）。

※2014年1月にStarbucksのモバイル決済アプリに脆弱性が見つかった。同アプリは、顧客の氏名やメールアドレス、アプリのパスワード、立ち寄り先の位置情報リストを、暗号化せずにプレーンテキストで保存していたため、顧客のモバイル端末が盗難に遭ったり、不正にアクセスされたりすれば、顧客の個人情報が簡単に盗まれる状態にあった。

提案

　モバイルアプリで写真や動画を使用することについて、重要なビジネスニーズがあればそうすべきだ。しかし、単なる遊びや機能を増やすだけのためなら、1枚の写真が後になって会社を困らせることになるかもしれないという可能性を全て考慮してからにすべきだ。

アプリケーションサーバを孤島にする

　中小企業が作るモバイルアプリについて、ゾッとするような（前例がなくもない）シナリオを紹介しよう。アプリのコードが非常に強力なコンピュータにダウンロードされている可能性がある。そのコンピュータは、潜在的なサイバー犯罪者の手に落ちているか、あるいは客を横取りして会社のブランドを傷つけようと企てる競合他社が完全にコントロールしている。彼らはコードを巧みに操り、ビジネスを妨害するために、できることは何でもやる。

　どうすれば、こんなことが起きるのだろう？　原因は、サーバ環境が貧弱で、セキュリティについて無知なことだ。最も安上がりにモバイルアプリを管理する方法は、アプリを会社のプライマリサーバに連係させることだ。しかし、プライマリサーバでは、給与計算や顧客のカード取引の支払い処理が行われ、そこには顧客リストだけでなく、取引先の連絡先情報や社内の価格表なども保管されている。サイバーセキュリティのコンサルティング会社、米SMLR Groupのマネージングディレクター、アラン・ヘイマン氏はこうアドバイスする。「モバイルアプリの情報は、社内の他の全ての業務と関連を持たない、独立したサーバに置きなさい」

提案

　モバイルアプリと情報のやりとりをするための専用サーバを立ち上げる（小規模なサーバで支障はない）。一部の中小企業にとっては、このことが、メンテナンスに頭を悩ませることがない低価格なクラウドサーバを探す機会になるかもしれない。社内の他のどのシステムにも全くアクセスしないマシンが必要だ。モバイルアプリサーバのセキュリティを確保し、そのサーバを完全に切り離すことができたら、プライバシー侵害の最悪のシナリオに至る可能性は、かなり低いといえるだろう。