• アカウントの作成と変更を許可しない
• ユーザー資格情報の構成を許可しない
• 外付けの物理ストレージデバイスのマウントを許可しない
• USB経由のファイル転送を許可しない
• USBストレージを許可しない
• USBデバッグを許可しない

　これらのセキュリティ制限設定は、業務利用する私物デバイス（以下、BYODデバイス）や私物利用可能な会社支給デバイス（以下、COPEデバイス）の仕事用プロファイルの展開に役立つ。会社支給の業務専用デバイス（以下、COBOデバイス）のような「完全管理対象デバイス」（業務目的でのみ使用する会社支給デバイス）の配備にも活用できる。

　アカウントやユーザー資格情報の作成、変更、構成を禁じるポリシーを適用すれば、会社のIT部門以外は、会社が管理するデバイス領域に制限や設定を加えることができなくなる。会社が管理するデバイス領域とは、COBOデバイスの場合はデバイス全体、BYODデバイスの場合は仕事用プロファイルのみであり、COPEデバイスの場合はそのどちらかになる。

　管理対象外の個人用プロファイルと会社のデータがデバイス内に共存しなければ、従業員が業務用以外のネイティブアプリケーションやクラウドサービスを使って、デバイスの外部に会社のデータを流出させる危険はない。ただし個人用プロファイルの操作を制限することが、常に適切だとは言い切れない。

　モバイルデバイスから外部メディアへの会社データの移動を制限するには、未承認の外付けストレージやUSB経由のデータ転送、USBデバイスのマウントを禁止する。特に完全管理対象デバイスには、この設定が重要だ。仕事用プロファイルを使用する場合は、データの抽出防止策がデフォルトで含まれている。

認証の強化

　パスコードの設定は有効なセキュリティ対策だ。Android Enterpriseはそれ以外の対策も用意している。認証を強化するには、次のような制限を適用する。

• 特定の条件でロック解除を不要にする「Smart Lock」を無効にする
• 画面ロックと仕事用プロファイルのパスコード共通化を無効にする
• 顔認証と虹彩認証によるロック解除を無効にする
• 画面スリープと自動デバイスロックまでの最長時間を制限する

　Smart LockはBluetooth接続に加え、信頼できるデバイスや信頼できる場所、信頼できる音声を設定してパスコードポリシーの例外とし、こうした条件に一致すればデバイスをロックしないようにする機能だ。業務用デバイスでは通常、Smart Lockを全面的に無効にした方がよい。

　画面ロックと仕事用プロファイルのパスコード共通化は、「Android 9 Pie」以降のBYOD／COPEデバイスの仕事用プロファイルに使用できる機能だ。共通化したパスコードでデバイスのロックを解除すると、仕事用プロファイルのロックも解除される。通常は可能な限りパスコード共通化を無効にする。仕事用プロファイルにはデバイスのパスコードとは別のパスコードを使用する方が、セキュリティ強度が高まる。

　顔認証と虹彩認証も、あまりセキュリティ強度の高くないロック解除方法だ。攻撃者がAndroidデバイスの顔認証を突破した例は無数にある。画面スリープと自動デバイスロックまでの時間が長い場合も、セキュリティリスクが高まる。通常、1分程度でデバイスを即時ロックするのが望ましい。目の届かないところにデバイスを長時間置いた場合、自動ロックまでの時間が長いほど不正アクセスの危険が高まる。

　仕事用プロファイルを使用する場合には、デバイスの自動的な画面ロックまでの時間を長くしても、仕事用プロファイルの自動ロックまでの時間を短くすれば、会社のデータを保護できる。顔認証や虹彩認証、Smart Lockについても、Android Enterpriseを利用すれば同じような使い分けが可能だ。

　指紋を使ったロック解除を可能にすることで、利便性を高めているデバイスもある。こうした仕組みを使えば、自動ロックまでの時間を短くしても、エンドユーザーは楽にロックを解除できるだろう。