モバイルセキュリティとその管理

脅威情報
2010.12.20

※本記事は、マカフィー株式会社モバイルエンジニアリングプログラムマネージャー石川克也によるものです。

ユーザーが自分のデバイスやアプリケーションで企業ネットワークにアクセスする、いわゆる「ITのコンシューマ化」が進むと同時に、新たな生産性ツールとしての使用が主となる、iPadに代表されるタブレット型の新しいモバイルデバイスも登場する中、個人のみならず企業にとってモバイルセキュリティとその管理は、急激に重要な問題となりつつあります。今回は、このモバイルセキュリティとその管理について、個人ユーザーと企業ユーザー、双方の視点からその問題点を考察してみます。

モバイルセキュリティとモバイル管理の最大の問題は、一体何でしょうか。個人ユーザーにとっての問題は非常に単純で、モバイルデバイスに保存したデータを紛失するわけにはいかないことです。個人ユーザーは、コミュニケーションだけでなく、連絡先、写真、ビデオといった個人データを保存するなど、さまざまな活動にモバイルデバイスを利用しています。そのため、デバイスを紛失すれば、最も重要な情報を失うことになります。

一方、企業ユーザーにおける問題は、モバイルデバイスで企業ネットワークからデータにアクセスしたり、データを保存したりすると、セキュリティが侵害される可能性があるため、IT部門がモバイルデバイスに否定的なことです。従来、IT部門は、標準化（BlackBerryの端末にBES経由でPIMアプリケーションを配信）により、モバイル管理を行ってきました。しかし、現在、モバイルデバイスは、以下の3つのベクトルにより、企業に急速に浸透してきています。

会社から支給、個人で入手など、デバイスのタイプの増加（ハードウェア、OS）
移動しながら仕事の大半またはすべてをこなすという最終目標を持った社員が幹部以外にも増加
使用事例（企業アプリケーション、Webへのアクセスを含む）の増加

IT部門がモバイルデバイスに否定的なのは、デバイスを有効化、保護、コントロールできないからです。

有効化：簡単でスケーラブルな方法で、デバイスのポリシーを規定、管理、配備できない。
保護：他のインフラと同レベルのセキュリティ（認証、セキュアワイヤレスアクセスなど）をモバイルデバイスに拡大して適用できない。
コントロール：デバイス本体、デバイスに保存されているデータ、デバイスから企業ネットワークへのアクセスをコントロールできない。

次に、モバイルセキュリティにおける脅威について考えてみます。個人ユーザーにとっての脅威は、デバイス本体を紛失し、デバイスに保存した重要な個人情報が失われることです。またこれにより、デバイスそのものがマルウェアに感染する脅威も存在しています。

一方、企業ユーザーにとっての最大の脅威は、適切なセキュリティ対策が講じられていないデバイスが企業ネットワークにアクセスしてくることです。デバイスが、本来アクセスすべきではないアプリケーションにアクセスするケースは、急激に増加しつつあります。例えば、ノートPCとCRMアプリケーションのセキュアでない接続、マルウェアに感染したノートPCが販売データにアクセスするのを容認することは、決してできないでしょう。

ではモバイルデバイスをターゲットにしたウイルスや脅威は、実状はどうでしょうか。現時点では、モバイルデバイスのウイルスや脅威が、従来のPCの世界で占めている割合は、余り大きくはありません。これは、PCの世界はサイバー犯罪が成長した場所であり、ユーザーはスマートフォンの一部の機能しか利用していないからと推測できます。しかし、フィッシング、Zeus（Zbot）のようなパスワードを盗み出すトロイの木馬など、モバイルマルウェアの活動は活発化してきています。以下は、ZeusがSMSメッセージ通信を使って携帯電話で活動する仕組みの一例です。

では今後のモバイルセキュリティ、すなわち「次世代」のモバイルプラットフォームのセキュリティはどうあるべきでしょうか。

既に企業では、より多くのアプリケーションにアクセスする、さまざまな形のより多くのデバイスが、より多くの社員に広がっています。もはや、幹部だけがBlackBerry端末でメールにアクセスする時代ではありません。すべての従業員が、モバイルデバイスを活用することで、生産性を高めることができます。

一方で、より多くのユーザーがデバイスでより多くのことを行い、より脆弱なデバイスが市場に出回るようになった場合、モバイルデバイスをターゲットにするサイバー犯罪が増えると予想されます。すでに、SMSを使ってフィッシングを仕掛け、トロイの木馬をダウンロードし、資格情報や財務情報を盗み出すZeusが登場しています。また、マルウェアの脅威以外にも、デバイスの拡大により、データが故意に、あるいは誤って失われたり、盗み出されたり、漏えいされたりする危険性が拡大しています。

モバイルデバイスの利用を活性化ししていくためには、個人ユーザーの視点では、データをクラウドにバックアップし、データ消去などのリモート管理によりこれらのデータを保護し、位置検索によりデバイスのリモートで検索して、デバイスに保存した重要な個人データの保護を行っていかなければなりません。また企業ユーザーは、従来のPCで得ているITインフラ、データのセキュリティ、コントロール、管理をモバイルデバイスにも拡大していく必要があります。同時に、急増するモバイルデバイスを他のITインフラと同じコンプライアンス下に置き、慣れ親しんだ使いやすいひとつのコンソールで一括して管理していくことも必要でしょう。

「次世代」のモバイルプラットフォームは、これらのセキュリティが担保された上で、初めて実現されるのです。