私物スマートフォンの業務利用はどうあるべきか？
BYOD最終案内 ポリシーを徹底できない企業はつまづく
企業がBYODに取り組む場合、セキュリティの観点から端末を管理する必要があるが、エンドユーザーは管理されるのは否定的だ。エンドユーザーの使い勝手を維持しつつセキュリティも維持できる管理方法を探る。
モバイル端末向けOSの強みと課題（出典：ガートナー2013年4月）《クリックで拡大》
企業ではモバイルデバイスの使用が爆発的に増加している。そして、多くの企業は従業員に対して独自のBYOD（私物端末の業務利用）ポリシーを展開している。だが、企業で従業員が私物端末を使用すると、モバイルセキュリティのリスクは高くなる。法規則を順守する必要がある企業がBYODに取り組む場合、監視を強化して、セキュリティとプライバシーポリシーに抵触しないようにしなければならない。
併せて読みたいお薦め記事
BYODを始める前に読むべき関連記事
“オワコン化”するMDM
手始めはポリシーと教育
あらゆるセキュリティ戦略と同様、ポリシーの基礎固めから取り組みを始める企業は成功を収める可能性が非常に高くなる。時間をかけて企業内でのBYODに関する境界線を明確に定めることが必要だ。企業のBYODセキュリティポリシーは、エンドユーザーとIT担当者がBYODについて抱く多くの共通の疑問に対処しなければならない。例えば下記のような疑問だ。
- 私物端末から企業のデータにアクセスする権利は誰にあるのか
- どのような条件であれば私物端末から会社のネットワークに接続してよいのか
- 企業はBYODインスタンスごとに明示的な許可を必要とするのか
- BYOD端末ではどのようなセキュリティ管理が必要か
BYODセキュリティポリシーを策定するだけで順守義務を果たせるわけではない。ユーザーがポリシーの要件を順守しなければならない。それを実現するには、そもそもユーザーがポリシーの詳細を熟知していなければならない。そこで役に立つのがトレーニングと意識改革だ。最低でも、全従業員がBYODセキュリティポリシーが存在することと、私物端末を使用する前にIT担当者に相談する必要があることを把握すべきである。BYODプログラムに参加するユーザーは、BYODポリシーで許可および禁止される行為について、より広範なトレーニングを受けることになるだろう。
企業と個人が保有するデータの分離
企業がBYODを実施する上で最も大きな課題の1つは、デバイスの個人使用に悪影響を与えないようにしながら企業情報を保護するというバランスを取ることだ。結局のところ、従業員は企業のセキュリティ要件に対して良い反応を示す可能性は低い。こうした要件は従業員が自分で購入した私物端末の使用を制限することになるためだ。企業は、このような分離の課題に対して、さまざまな解決策で取り組むことになる。
モバイルデバイス管理（MDM）製品には、モバイルデバイスをポリシーベースで管理する機能がある。MDM製品を使用すると企業のセキュリティ要件を強制することができる。例えば、
- デバイスコンテンツの暗号化
- デバイスアクセス時のパスコードの要求
- 紛失／盗難に遭ったスマートフォン、タブレットのデータの遠隔消去の支援
などだ。MDM製品の中には、IT担当者がデバイスでの実行を許可するアプリケーションを指定したり、企業の機密情報にアクセスできるアプリケーションを指定できるものもある。各企業が私物端末にMDMの導入および構成する際には、企業の順守義務を果たし、なおかつ企業文化の制約に抵触しないアプローチをとらなければならない。
また、HIPAA（米国における医療保険の相互運用性と説明責任に関する法令）やSOX法（上場企業会計改革および投資家保護法）のような厳格な義務が課せられている一部の企業には、「コンテナ技術」を使用してBYODに取り組む選択肢もある。このアプローチを採用した場合、私物端末から企業のデータを操作しようとする従業員は、デバイスにアプリケーションとして導入されるセキュアなコンテナ経由でデータにアクセスする。コンテナ経由でアプリケーションを開くことで、従業員はアプリケーションのインタフェースを使用して企業のデータにアクセスできる。アプリケーションを閉じると、企業に関する全データがデバイスから削除され、デバイス所有者が適切と見なす個人データをデバイスで操作することができる。このアプローチによって、企業は、管理されていない私物端末に保護された安全地帯を築けると考えることができる。
定期監査
BYODの課題への対処方法としてどのようなアプローチを選択したとしても、企業は定期的にIT運用の実情を監査して、規定したBYODセキュリティポリシーに反していないか調べなくてはならない。BYODを全面的に禁止している企業では、企業所有のデバイスのみが会社のネットワークに接続していることを検証する取り組みが必要だ。BYODを許可している企業は、社内のセキュリティポリシーと社外の順守義務の範囲内でBYODユーザーが作業しているか検証すべきである。
冷戦時代にロナルド・レーガン元大統領が言った「信ぜよ、されど確認せよ」という言葉を思い出して欲しい。この言葉に従うことで、企業はエンドユーザーのBYODに対する要望と、企業の規則順守の要件との間でバランスを取ることが可能だと分かることだろう
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[o9ソリューションズ・ジャパン株式会社] 「改正物流効率化法対策」徹底解説 総物流費を抑制するサプライチェーン戦略 -
製品資料
[o9ソリューションズ・ジャパン株式会社] 「サプライチェーン最適化」実践ガイド：効果的な意思決定を実現する秘訣とは？ -
製品資料
[株式会社リンプレス] 非デジタル／IT人材を「自走するDX推進者」に変えるための育成ロードマップ -
市場調査・トレンド
[ワンアイルコンサルティング株式会社] AI時代の組織設計：「判断と責任」を人に残すための2つの原則とは？ -
技術文書・技術解説
[ワンアイルコンサルティング株式会社] システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
-
2
ソフトウェア開発生産性向上に取り組む企業は4割 調査で学ぶ「停滞」の正体
-
3
「完璧な設計」なのに3000万円溶けた AWSの失敗事例から学ぶ3つの教訓
-
4
クラウド資格コレクターは評価されない？ 年収1000万を分ける“OSの理解度”
-
5
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
6
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
7
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
-
8
「配信に1カ月」の代償 カルビーがLINE運用で外部依存を断ち切った理由
-
9
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
-
10
フィッシング詐欺の説明として最も正しい記述は？
ホワイトペーパーランキング PR
-
1
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
4
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
5
「Google Workspace」活用事例34選、先進の生成AIによる組織変革の全貌
-
6
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
7
「人員を増やす」という選択肢はない 情シスが負の連鎖から抜け出すには？
-
8
「問題が深刻化しやすいプロジェクト管理」から脱却する方法とは？
-
9
Linuxのスキルを証明する“激推し”の認定資格はこれだ
-
10
NTTドコモが実践したクラウド統合監視 業務量2倍でも残業削減を実現できた理由
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー