スマートデバイス管理製品比較─企業システムにモバイル端末を安全に取り込む、アプリ配布などにも機能が拡大

2011年7月14日(木)鳥越武史（IT Leaders編集部）

リスト

企業システムに機動性をもたらすものとして期待を集めるモバイル端末。導入にあたって課題となるのがセキュリティの確保だ。盗難/紛失時の情報漏えい防止や、端末設定の省力化に役立つのが、続々登場するスマートデバイス管理製品/サービスである。

企業が導入に関心を寄せるスマートフォンやタブレット端末。その洗練された使い勝手から最近は「スマートデバイス」とも呼ばれる。iPhoneやiPadなど米アップルのiOS搭載機に、グーグルが開発するAndroid搭載機が追随し、機能は磨きがかかる一方だ。スマートデバイスからデータにアクセスできる業務パッケージやSaaSが増えていることも企業導入の追い風になっている。

企業システムの端末としてスマートデバイスを導入するには、アクセス制御をはじめとするセキュリティ対策が不可欠で、なすべきことは広範に及ぶ。ここにきて、一連の対策を効率的に行うことに焦点を当てた製品/サービスの選択肢が増えており、注目を集め始めた。本稿ではスマートデバイス管理（SDM）とし、その概要を紹介する。今回はiOSもしくはAndroidを搭載した端末を対象とするものに絞った。

[メリット 1]
遠隔で端末ロックやデータ消去

小型なスマートデバイスは持ち運びがしやすいのがウリの1つだが、その分、盗難や置き忘れなどによる紛失の危険性がノートPCに比べて高まる。SDMの代表的な機能は、端末紛失時に、管理者が遠隔操作で端末のデータ消去（リモートワイプ）や端末のロック（リモートロック）をかけるというものだ。万が一のケースに、第三者が端末から情報を引き出すことを防ぐ。

[メリット 2]
端末設定の適用を容易に

端末には各種のセキュリティ設定を一律に適用しなければならない。パスワードの定期的変更や、VPNや社内無線LANへの接続プロファイルなど、その内容は多岐にわたる。多数の端末に対して管理者が手作業で設定するのは現実的ではないし、エンドユーザーに設定を任せるのはポリシー徹底の視点から望ましくない。SDM製品は複数の端末を対象に、遠隔操作で一斉に設定を適用したり、各端末の利用状況を一括収集したりできる。

[メリット 3]
端末機能やアプリの利用制限

スマートフォン内蔵のカメラで撮影した文書が外部に送信されるなど、故意または不注意で情報漏えいを起こす可能性は否定できない。iPhone（iOS）の場合、正規の使用法ならびに管理配下から逃れる目的でOSを改変する行為、いわゆる「Jailbreak（脱獄）」といった裏技も出てきた。SDM製品の中には、カメラ撮影など端末の機能を制限したり、アプリケーションのインストールや使用の制限、Jailbreakの検知機能などを備えたものも増えており、様々な視点から事故を防ぐよう配慮している。

[他の方法との比較]
負担軽減や詳細設定に強み

スマートデバイスに詳しい人であれば、専用製品/サービスを使わずともセキュリティ対策を施せると思うかもしれない。

例えばiOSの場合、構成プロファイル（各種機能制限など端末の動作を規定するXMLファイル）を作成するための「iPhone構成ユーティリティ」というツールをアップルが用意している。ただし、ここには構成プロファイルを複数の端末に自動配布する機能はない。いちいち端末を回収して構成プロファイルを書き込むのには多大な手間がかかってしまう。

グーグルも、Google AppsのPre-mier Editionの利用者向けに、リモートワイプ（Android 2.2以降が条件）などが可能な「Google Apps Device Policy」と呼ぶサービスを提供している。だがアプリケーションの利用制限など、きめ細やかなセキュリティ設定はできない。

いずれにしても、一定規模のスマートデバイスを対象にセキュリティ対策を徹底するならば、SDMを活用した方が効率的だ。

[制御の仕組み]
電源オフでも復帰時に制御

仕組みを見ると、中核となるのが管理サーバーだ（図1）。ここに個々の端末への設定情報やリモートロック/ワイプといった命令を登録し、3G回線などを介して端末に反映させる。その際、端末に導入した専用エージェントがサーバー上にある制御情報を受信するのが一般的。iOS端末に限っては、OSの機能を利用することでエージェントレスで制御可能にしているものもある。

図1　スマートデバイス管理製品/サービスの端末制御や設定変更方法の一例。管理者が管理サーバーの管理画面にアクセスし、端末を遠隔制御する（画像をクリックで拡大）

設定変更やリモートロック/ワイプといった制御命令の通知方法は、管理サーバーから端末に直接送信する「プッシュ型」と、端末のエージェントが管理サーバーに定期的に接続して確認/適用する「ポーリング型」の大きく2通りがある。プッシュ/ポーリング型ともに、電源オフだったり基地局からの電波が途切れていても、電源や電波が回復した段階で制御命令を受信したり、管理サーバーにアクセスするようになっている。

プッシュ型の場合、管理者が制御命令をサーバーに登録した時点で即座に、端末に配信する。制御命令そのものを直接送信してリモートロック/ワイプを実行するものや、管理サーバーへのアクセスを促して設定変更の内容を確認させるものなどがある。プッシュ通知には、通信キャリアが提供するショートメッセージサービス（SMS）か、iOS 4.0以降が搭載するアップルの「Apple Push Notificationサービス（APNs）」、Android 2.2以降が搭載するグーグルの「Android クラウド to デバイスメッセージング（C2DM）」といった仕組みを利用する。

ポーリング型の場合、エージェントが事前設定した時間間隔で管理サーバーにアクセスし、管理サーバーに置かれた設定変更やリモートロック/ワイプといった制御内容を確認して、端末に適用する。

[製品/サービスのトレンド]
アプリ配布機能の搭載進む

国内で提供されているiOS/Android搭載端末向けの主要なSDM製品/サービスを表に示す。

表　主要なiOS/Android端末向けスマートデバイス管理製品・サービス（画像をクリックで拡大）
製品

サービス

設定情報の一括適用、リモートワイプ/ロックなどの基本機能のほか、最近では、アプリケーション配布機能を搭載する動きが目立っている。iPhoneもAndroid端末も標準では公式アプリケーションマーケット（App Store/Android Market）を自由に使える。ユーザーの判断に任せきりだと、自社のセキュリティポリシーに適合しないアプリケーションを端末にダウンロードしてしまう可能性がある。そこで、アプリケーションの配付についても集中管理しようという動きが出始めたのだ。例えばSAPジャパンの「Afaria」などがアプリケーション配布機能を標準で備える（図2）。