企業経営にスピードが求められる今、モバイルデバイスの業務への活用は、マストとして積極的に取り組むべき経営的なテーマだ。そのためにセキュリティ上の懸念を根底から拭い去る必要がある。モバイルという歴史の浅い領域に対してどんなアプローチが考えられるのか。先進的なソリューションを提供するモバイルセキュリティベンダー、モバイルアイアンの宮田智基氏と、セキュリティ、クラウド、モバイル、ネットワークなどの領域において、最先端のソリューションを取り扱うディストリビューター、マクニカネットワークスの小田切悠将氏に、インプレス編集主幹の田口潤が話を聞いた。
モバイルアイアン シニアソリューションアーキテクト 宮田智基氏（中央）、マクニカネットワークス 第3営業統括部第1営業部第2課 小田切悠将氏（左）、インプレス 編集主幹 田口潤（右）（本文中敬称略）モバイルの活用が企業の競争力を左右する
生産性の向上や労働時間の短縮、在宅勤務など多様な働き方の支援、タイムリーなレスポンスによるビジネススピードの加速など、企業がモバイル活用に寄せる期待は多岐にわたる。では、企業をモバイル活用へ向かわせる原動力は何だろうか。また、海外と日本でモバイル活用に向けた企業のスタンスに違いはあるのだろうか。
田口 皆さんは、モバイルのビジネス活用の現状をどう見ていますか？広がっているとすれば、背景には何があると考えますか。
小田切 どこにいてもオフィスと同じように仕事ができるのが当たり前になったと思います。大きいのはOffice 365やG Suiteといったクラウドサービスの導入が企業で広がっていることです。その延長線上にあるのがモバイルの活用です。
田口 一方でモバイルで仕事をするのを制限していたり、営業など一部の職種に限定する企業もありますよね？ 海外に比べて遅れているとも言われます。
宮田 私たちの所に相談があるのは基本的にはモバイルをもっと活用したいと考えている企業なのですが、それでも過去には管理者目線でのセキュリティの懸念ばかりが注目され、デバイスの機能やアプリの利用を強く制限する、あるいはデータを一切デバイスに保存させない、といった強い制約を設けるケースが多く見られました。しかし今では多くの企業が、より高い生産性・より良いユーザー体験が得られるアプリを、最大限に活用したいと考えています。働き方改革と生産性の向上を両立させるためには、時間や場所を問わず必要なことができないといけませんから、モバイルの活用は必要条件です。
小田切 海外に比べて日本が遅れているとすれば、導入の仕方の違いが大きいと思います。今ではBYOD（私物デバイスの業務利用）というキーワードを耳にすることは少なくなりましたが、その理由が海外と日本では正反対です。海外では利便性を求めてBYODが当たり前、ことさら話題にする必要がなくなった。一方の日本は、デバイス管理とセキュリティ面への不安からBYODが本格化せず、同一機種を会社支給というスタイルに戻ってしまった。こうした姿勢の違いが、活用の遅れとして現れるのは当然かも知れません。
田口 BYODができないなど、活用に制限があると優秀な人材を採用することさえ難しくなると危惧しますが、どう思われますか？
宮田 その通りで、もっと柔軟に利用者の視点で利便性を追求するべきでしょう。今では誰もが個人としてスマートフォンを持っており、その便利さを当たり前に感じていますから、それと比べて会社から与えられたツールの使い勝手が悪ければストレスに感じます。IT活用の巧拙が企業の競争力に直結する時代にあって、管理できないから導入しないといっているようでは競争力が失われてしまいます。
小田切 モバイル推進に拍車をかけるポイントは、自社独自のアプリを開発すること。汎用的なアプリだけでは生産性の向上には限界がありますし、自社内で使っているシステムをモバイル化することで、どんな点に注意すべきかもはっきり見えてきます。
田口 モバイルをしっかり業務に組み込むことで、モバイルに対する知見も磨かれるわけですね。デジタルトランスフォーメーションに取り組もうとする企業にとって、モバイルの活用は「一丁目一番地」だということを意識してほしいですね。
モバイルのセキュリティには従来の常識が通用しない
モバイル活用はメリットが多く、今や必然でもある。半面、セキュリティリスクを増大させる要因にもなりうる。既存の対策には、デバイスの盗難・紛失時にデバイスをロックしたり、データを遠隔消去したりするMDM（モバイルデバイス管理）があるが、それだけで十分なのだろうか。ここからは最新のモバイルセキュリティについて議論する。
田口 ところで重要な業務アプリもモバイル対応させるとなると、セキュリティの確保もより重要性を増してきます。モバイルだからこそのアプローチとしては、どんなことが考えられるのでしょうか。
宮田 重要な違いは、クラウド上に仕事の情報を置いているということです。これまではデバイスからの情報漏洩を防ぐことが求められてきましたが、クラウド上に情報があることを考えると、モバイルデバイスの保護はセキュリティ対策の一部でしかないととらえるべきです。クラウド上の情報をどう守るかを考えなければなりません。
小田切 これまでは働く場所が会社内に固定されていて、ファイアウォールという“絶対神”に守られていました。モバイルではその世界観は通用しない点を、ぜひ理解して欲しいですね。現在、モバイルデバイスは4Gネットワーク経由でインターネットに常に接続されていて、ファイアウォールという概念はありません。
だからといって、モバイルデバイスのインターネット接続を常時VPNなどで社内ネットワーク経由にさせたり、アクセス先を限定したりしてセキュリティを確保しようとすると、モバイルの特性が活かせなくなる。使いにくいとユーザーが勝手にデータを管理外のクラウドサービスに置いてしまう、いわゆるシャドウITのリスクが大きくなります。
何も信用できない“ゼロトラスト”からスタートする
境界防衛型セキュリティモデルが通用しなくなり、企業はセキュリティ戦略の転換を迫られている。モバイル時代のセキュリティのあり方を紐解くためのキーワードとして耳にするようになったのが、“ゼロトラスト”だ。
田口 モバイルを活用しようとすれば、これまでとは異なるセキュリティの考え方が必要になるということですね。
小田切 その通りです。境界に依存してトラスト・アントラストを定義してセキュリティを考えるのではなく、すべてをまず信頼できないものとして、境界とは異なったアプローチでセキュリティを設ける必要があります。これがゼロトラストの基本。境界が無いわけですので、企業所有のデバイスと、そうでないデバイスが入り乱れます。また、アクセスするユーザーが正規のユーザーなのか、なりすましたユーザーなのか、ID/パスワードの認証だけでは判別が付きません。そして、会社が許可したアプリを使っているのか、セキュリティリスクがあるアプリを使っているのか想定することも出来ません。
また、モバイルOSを狙った攻撃も存在します。例えば、正規なWi-Fi SSIDに見えるものの、実は攻撃者が設置したアクセスポイントだったため、インターネット通信をすべて傍受されてしまったなんてこともあります。技術的にそこまで難しいものではなく、特別なスキル無しで誰でも出来るんですよ。これらすべての観点で「企業にとって安全な状態であるか」を常にチェックしする必要があります。
田口 信用できるものがゼロだという前提で対策を立てろと？ 具体的には、どうすればいい？
宮田 今日大丈夫だったから明日も大丈夫という保証もありません。だからこそ、ユーザー、デバイス、OS、アプリ、ネットワークといったセキュリティ要素一つひとつを常にチェックして、多方面から防御していく方法が求められます。
田口 でもそれは現実的ですか？禁止するのも無理ない気もします。
小田切 ゼロトラスト環境では、アクセス制御の考え方が重要です。具体的にはデバイス管理と、攻撃からの防御、そして認証を組み合わせてセキュリティを確保していくのです。従来のウイルス対策とネットワーク監視を組み合わせる多層防御とは次元が異なります。
宮田 例えばユーザーの確認では、ID/パスワードに頼るのではなく、多要素認証を行うわけです。加えてネットワークの安全性を確認し、デバイスの防御の仕組みが正常に稼働しているかをチェックするといったことも統合してセキュリティを確保していきます。
田口 多要素認証について、より詳しく説明していただけますか。
宮田 一般的にはID/パスワード＋何らかのデバイスの物理的な所持を条件とする認証が想定されますが、モバイルの場合、例えばコンシューマー向けのスマートフォン決済を例に挙げると、本人が所持するデバイス上のアプリで、指紋認証や顔認証を行なった上で支払いが実行できます。多要素認証が、それを意識させない非常にシンプルなユーザー体験をもって実現されているわけです。企業における認証もこのようにシンプルになっていくべきではないでしょうか。
そもそもパスワードは1960年代に発明されたもので、セキュリティ的には一番弱い。情報漏洩の多くはパスワードが盗まれたことに起因しています。クラウドサービスへのアクセスをパスワード認証に依存していることの危うさに気づくべきですね。
ID、ネットワーク、アプリで総合的に安全性を確立する
田口 それに加えて、ネットワークやアプリについても安全性をチェックするわけですね。この3点に関して、モバイルアイアンはどの部分のソリューションを提供しているのでしょうか。
宮田 クラウドサービスへの条件付きアクセスを「MobileIron Access」が提供します。IDの正当性に加えて、情報漏洩対策の施された正規のデバイス・管理されたアプリを使っているかどうかをチェックした上でアクセスを許可するのですが、そのベースとなっているのが統合エンドポイント管理の「MobileIron UEM」です。さらにデバイスのネットワーク環境が安全であるか、セキュリティ侵害を受けていないかなどを「MobileIron Threat Defense」がチェックします。すべてが良好な場合、アプリからクラウドサービスにID/パスワードの入力無しにログインさせることもできます。
小田切 ユーザーは配布されたアプリをタップするだけで利用することができますし、IT管理者はパスワード忘れに対応する必要はありません。今後モバイルデバイスで活用するアプリが増えていくことを考えると、運用負荷の軽減はリスクを防ぐことにも繋がります。
田口 なるほど。ではセキュリティ侵害の対策について詳しく教えてください。
宮田 境界ファイアウォールで保護できないモバイルデバイスでは、エンドポイントに持たせる脅威防御機能が重要になっています。ネットワークの中間者攻撃やマルウェアを入り口として、モバイルOSへの侵入と不正利用を試みる悪意の第三者からの脅威を、モバイルデバイス上で検知し、即時にアクションを取らなければなりません。MobileIron Threat DefenseではUEMのクライアントに脅威防御エンジンを初めから組み込んでいますので、容易に展開ができ、アクションの即時性も高めることができます。
小田切 これらのソリューションは部分的に導入することもできますが、ワンプラットフォームとして提供されているので、セットで導入するのがお薦めです。点だったソリューションが面になることで、ゼロトラスト環境での安全なアクセスが実現できます。
モバイルアイアンのソリューションラインアップ拡大画像表示
田口 デバイスも常に進化していますから、すべて会社支給というのは無理があります。やはりBYODでも安全性が担保できるのは大きなポイントですね。今後はどんな展開を考えられているのでしょうか。
宮田 ゼロトラストベースの高度なセキュリティが確立されているモバイルデバイスを、パスワードに代わるデジタルIDとして活用できるようになります。例えばMobileIronで直接管理されていないPCなどからクラウドサービスにアクセスする際、これまではID/パスワードの入力が必要でしたが、今後は本人のモバイルデバイスでQRコードを読み込むだけで認証できるようになります。
小田切 これまで、「モバイル」というと“スマートフォン”が想定されがちでした。但しこれから、働き方改革の推進や、SIM内蔵の2 in 1タブレットなどデバイスの技術的進化に伴い、PCもモバイルデバイスの1つとして捉えられ、業務活用が当たり前の時代になってきます。すべてのデバイスが当たり前のように直接インターネットに接続し、インターネット上で業務が完結する時代が来ます。この、マルチOS・マルチデバイスな時代にも、MobileIronが活かせるようになってきます。
田口 5Gネットワークも目前なので、ゼロトラストを前提に利用者にとっても使いやすいセキュリティを目指すわけですね。ありがとうございました。
従来のセキュリティモデルでは、ルールを守って正しく運用することが前提だった。ユーザーは推測されにくいパスワードを設定し、定期的に変更する。パスワードの使い回しはしない――。ところが、実際にそのような運用を行っているのはごく少数で、多くは面倒だから正しくない運用を行っている。
そうした人間の弱さも織り込んでセキュリティを確保するために、ゼロトラストを前提にしたセキュリティの確保は最優先課題の一つだろう。それによって本格的なモバイルワークを整備し、働き方改革と生産性向上が両立するのはどんな企業にとっても重要だからだ。
詳細な事例資料をダウンロードいただけます。
【お問い合わせ先】
モバイルアイアン・ジャパン
Email : japan@mobileiron.com
URL : https://www.mobileiron.com
マクニカネットワークス株式会社
Email : mobileiron_sales@cs.macnica.net
URL : https://www.macnica.net
