セキュリティの
学び場

BYODとは

BYOD は Bring Your Own Device の略称で、個人所有の端末、特にスマートフォン（以下「スマホ」）を業務で使用する仕組を意味します。 ここでは、BYODのニーズと注意事項を解説します。

スマートフォン業務利用のニーズ

皆さんの組織では業務でスマホを利用しているでしょうか？ もし、まだ利用していない場合でも「利用できたらなー」という場面が増えていませんか？

業務でのスマホ利用のニーズとして「クラウドによるさらなる業務効率化」と「リモートワーク推進」が挙げられます。 近年、多くの組織ではクラウド活用が進んでおり、また、リモートワーク等の働き方の改革に対しても大きな注目が集まっています。この流れの中で「スマホの業務利用」は大きなニーズとなっています。

クラウド活用の代表例としてはクラウドベースのグループウェア(Google Workspace や Microsoft365 等)導入が挙げられます。このような製品はスマホと連携することで特に大きな効果を発揮します。例えば、移動中に予定を調整したり、業務連絡をしたり・・・、外出の多い方には「クラウドとスマホ活用はセットで必要」と言えるでしょう。

また、スマホは多くのクラウドサービスの認証で「多要素認証（所持認証）」に利用されます。リモートワーク等でオフィス外から業務用クラウドサービスへアクセスする際には、スマホによる「所持認証」は重要なセキュリティ対策となります。

個人スマートフォンを業務で兼用するニーズ

BYODでは「個人所有のスマホ」を業務利用しますが、なぜ、「会社貸与のスマホ」ではないのでしょうか？

実は、スマホを業務利用している組織でも、必ずしも全ての組織が「個人所有のスマホ」を許可しているわけではありません。中には、個人所有のスマホとは別に、会社貸与のスマホを利用する組織もあり、これは一般的なBYODには該当しません。

個人所有のスマホを利用する大きな理由としては以下が挙げられます。

• 2台以上になるとスマホの「常に持ち歩く」特性を損なう
• BYODのリスク管理の仕組み(MDM)が提供されている

一番大きな理由としては「2台以上になるとスマホの特性を損なう」が挙げられるでしょう。 スマホさえ持ち歩けば写真が撮れて、コミュニケーションもできて、お金の支払いだってできる・・・これは「常に持ち歩く」からこその利便性です。 一方で、スマホが2台以上になると、「1台はカバンの中に・・・」となり、この特性を損なう恐れがあります。

また、どんなに個人スマホを活用する利便性が大きくても、情報漏えい等のリスクを管理できなければ活用はできないでしょう。Android や iOS にはこのようなリスクを管理する仕組み(MDM)が提供されており、これを活用することでBYODの実現が可能になっています。

野放図な個人スマホ利用の危険性と「BYOD」

個人スマホを活用するニーズを説明しましたが、個々人が「勝手にBYOD」をすることはセキュリティリスクを生じます。「勝手にBYOD」と書きましたが、これは「シャドーIT」と呼ばれる行為であり BYOD ではありません。

BYODは「個人所有のスマホを業務で利用する仕組」であり、そのような仕組を用意せずに、個人が持ち込んだスマホを勝手に業務利用することはBYODではないと言えます。（自己承認のBYODということで、筆者は「オレオレBYOD」と呼んでいたりします。流行っていませんが・・・。）

野放図に個人スマホを業務利用した場合、以下のようなセキュリティリスクが生じます。

• 端末セキュリティ(安全なロックが設定されているか等)を組織が制御できない
• 紛失・離職時のデータ消去を組織が制御をできない
• スマホを通した 不正な情報持ち出しを組織が制御できない

BYODでは、このようなセキュリティリスクを管理する必要がありますが、その技術的仕組として MDM があります。

MDMとは

MDM は「Mobile Device Management = モバイルデバイス管理」の略称です。
MDMの重要な機能としては以下が挙げられます。

• プロファイル(設定)の強制
• リモートロック・ワイプ
• プロファイル内へのアプリとデータの隔離

「プロファイルの強制」では「仕事用プロファイル」という設定やアプリ・データ領域を利用者に強制します。 これによりスマホに「スクリーンロック」や「安全なロック解除方法」を強制し、セキュアな状態に保ちます。また、スマホで業務アカウントへアクセスする際に、仕事用プロファイルでしかアクセスできないよう、制御します。

「リモートロック・ワイプ」は組織の管理者が端末をロックしたり、データを削除したりできる仕組みです。 これにより、スマホ紛失時等のリスクを制御します。

「プロファイル内へのアプリとデータの隔離」では業務用アプリとそのデータをプロファイル外に持ち出せないようにする仕組みです。 例えば、業務用アプリからデータをコピーして、個人用クラウドストレージに保存する・・・といった事ができないようになります。

おわりに

ここでは BYOD のニーズとリスク、およびそのリスクを制御する仕組であるMDMを紹介しました。MDMはあくまで技術的な仕組であり、実際にBYODを実現するためには組織内でのルールや運用を整備する必要があります。

まずは「野放図なスマホ利用（シャドーIT）」が統制されているか確認することが重要です。その上で、今後も重要な技術となる「スマホとクラウドの活用」に向けてBYODの効果とリスクについて検討してみてはいかがでしょうか？