組織において従業員に機動力を提供する「エンタープライズモビリティ」に対する需要が高まっています。その範囲は、常に最新技術やビジネス動向をいち早く取り入れるハイテク企業だけでなく、金融サービスや医療、政府や公益事業といった伝統的に保守的な分野にも広がっています。しかし、その環境を守るセキュリティにおいても伝統的な考え方が通用しなくなっています。今回は、エンタープライズモビリティのセキュリティを考えるためポイントを解説します。
認証技術の革新がエンタープライズモビリティを保護する
幸い、認証技術におけるさまざまな革新が起こっています。モビリティの企業活用を、より安全かつ、より手頃なコストで、ユーザーと管理者の双方にとって扱いやすいものになってきているのです（図1）。
図1：強力な認証技術がエンタープライズモビリティのさまざまな場面に適用できる拡大画像表示
例えば、静的なパスワードに対しては、2要素認証（2FA）で容易に防げます。２FAは、その個人が実際に主張する本人であることを確認する手段です。最近、蘭ジェムアルトが実施した調査では、全世界の組織の40%が、ネットワークとアプリケーションへのアクセスを保護するために2FAを導入しています。モバイルデバイスからリソースにアクセスする祭も、ファイアウォールの外で企業リソースにアクセスする場合も、２FAでは「保証レベル（level of assurance）」が大幅に向上します。
従業員にとっての利便性の面では、ユーザーのパスワード疲れを解消するシングルサインオン（SSO）の仕組みがあります。SSOは、10や20ものID／パスワードのセットの代わりに、利用するすべてのアプリケーションに対し1つのユーザー名とパスワードでアクセスできるように簡素化します。SSOは「SAML 2.0」や「パスワードボールト（Vault）」「リバースプロキシ」「Open ID Connect」などの幅広いプロトコルや技術によって実現できます。
セキュアで利便性の高いモビリティを実現するもう1つの革新的な技術に「PKI Bluetooth Smartリーダー」があります。高度なPKI（公開鍵暗号基盤）ユースケースをモバイルデバイス上で実行するための仕組みで、電子メールの暗号・復号化、電子処方箋や電子申告書などへのデジタル署名、オンラインアプリケーションやモバイルエンタープライズコンテナに対するPKIベースの2段階認証（2要素認証）などを可能にします。
PKIユースケースはこれまで、デスクトップPCとノートPCでしか利用できませんでした。PKI Bluetooth Smartリーダーは、これをさまざまなモバイルデバイスでも利用できるようにしました。具体的には、スマートカードとUSBトークンに存在するPKIクレデンシャルを読み取り、Bluetooth Smartプロトコルを使用して、それらをモバイルデバイスに送信することで、Bluetooth接続によるPKI認証を実行します。
これら認証技術の革新には、「AaaS（Authentication as a Service）」や「IDaaS（Identity as a Service）」などのクラウド配信サービスが含まれます。これにより、ソリューションを維持するための運用コストが排除され、多要素認証とアクセス管理の形で、より強力になったセキュリティのコストを削減できます。ソフトウェアとハードウェアの保守、セキュリティパッチ、バックアップと復元機能、冗長性と高可用性などをクラウドに任せられるからです。
業界の管轄当局がモバイルセキュリティ対策を求めている
従業員が企業ネットワークやアプリケーションにリモートでアクセスする際のセキュリティ問題に対処するための規制要件の策定も進んでいます。英国の公共サービスネットワーク「PSN」」や、世界中の金融機関が導入している「PCI DSS v3.2」、米国の「NERC-CIP（北米電力信頼度協議会の重要インフラ保護規制）」、EUの「eIDAS（EU加盟国全体にわたる国境を越えた電子識別や電子取引のフレームワーク）」などが、それです。
業界を横断して管轄する当局は、リモートアクセスやエンタープライズモビリティを誰もが求めていることに気付いているのは明らかです。一企業の取り組みとしてだけでなく、社会インフラを支えるためにも、消費者の支払い情報や知的財産、患者医療データといった機密リソースを保護するために、強力な多要素認証など適切な方式を用いることが求められているのです。
次回は、今回紹介した技術の詳細を解説します。
筆者プロフィール
Mor Ahuvia（モウ・アフヴィア）
蘭ジェムアルト。ID保護市場、および法人と技術責任者に対し自社のIDaaS（ID） as s Service）ソリューションの評価調査に従事。ジェムアルト（旧SafeNet）入社前は、RSA FraudActionのサイバーコミュニケーションスペシャリストとして5年間、顧客やパートナー、メディアに対しマルウエアやフィッシング、サイバー犯罪といったブラックマーケットのオンライン上の脅威に関する最新情報を提供していました。LinkedIn：https://www.linkedin.com/in/morahuvia/
