BYODの落とし穴：企業と従業員が知っておくべきセキュリティリスクとは

15年前の型落ちパソコンを週40時間使い続け、ちらつくモニターと格闘する日々は、もう過去のものになりました。世界中のオフィスワーカーは、もはや健康や精神を犠牲にする必要はありません。先進的な企業の多くは、従業員が自分のデバイスを持ち込んで使うことを歓迎しています。

しかし、勝者がいれば敗者もいるものです。目の疲れは軽減されるかもしれませんが、「BYOD（Bring Your Own Device：持ち込みデバイス）」制度に参加することで、安全性とセキュリティを大きく損なう可能性があります。そしてその危険性は従業員だけにとどまりません。企業自身もリスクに晒されることになるのです。

BYODにはどのようなセキュリティ上の落とし穴があるのでしょうか。本記事では、まずBYODが普及している背景を説明し、その後に起こり得る問題点を詳しく解説します。

BYODとは？

BYODとは、従業員が個人所有のデバイスを使って、会社のデータ、メール、インフラ、ネットワークにアクセスすることを許可する企業ポリシーを指す総称です。

対象となるデバイスは、スマートフォンやタブレットからノートパソコン、プロジェクターまで多岐にわたります。一般的には、インターネットに接続され、社内ネットワークにつながっている従業員所有のデバイス全般を意味します。

この用語は2009年にIntelによって広まり、以降この制度は爆発的に普及しました。現在では世界の大手企業の大多数が何らかの形でBYODを採用しており、数千社の中小企業（SME）も同様です。

統計によると、BYODの普及率が最も高いのは中東で、事務職の80％以上がこの制度を利用できる環境にあります。ブラジル、ロシア、インド、UAE、マレーシアが世界の上位5カ国で、いずれも75％超の普及率を誇ります。一方、北米では約44％にとどまっています。

なぜ企業はBYODを好むのか？

企業がBYODを積極的に採用する理由は、主に「コスト削減」と「生産性向上」の2つです。

コスト面では、ハードウェア、ソフトウェア、デバイス保守の費用を節約できます。理論的には、急速に変化するテクノロジーの進歩に追いつくのに苦労しているIT部門の負担軽減にもつながります。

生産性の観点からは、複数の調査により、BYOD制度を利用できる従業員の方が幸福感が高く、快適に働き、作業スピードも速い傾向があることが示されています。

しかし、すべてが順風満帆というわけではありません。従業員と企業の双方が考慮すべき、深刻なセキュリティ上の落とし穴が潜んでいるのです。

従業員にとってのセキュリティ上の落とし穴

企業はBYOD制度の管理にリモートのモバイルデバイス管理（MDM）ソフトウェアをよく使用しますが、そのソフトウェアは従業員が思っている以上に侵入的です。以下の3つのポイントに注意しましょう。

1. データ収集

あなたは会社にどれほどのデータを共有する意思がありますか？ 例えば、上司に自分の閲覧履歴をすべて知られたら嫌ではありませんか？ IT部門に位置情報を共有したいと思いますか？

答えはおそらく「ノー」でしょう。しかし、Bitglassの調査レポートによれば、こうした深刻なプライバシー侵害に自分自身を晒している可能性があるのです。

「モバイルデバイス管理ソリューションの目的は、従業員を監視することではなく、マルウェアなどのセキュリティ上の脅威を監視することです。しかし、これらのツールはそれ以上のことができます。端末の位置情報、インストールされているアプリ、さらにはユーザーがアクセスしていたウェブサイトまで把握できるのです。当社の従業員の中に、健康関連の情報をウェブで検索している人がいることも確認できました。」—— Bitglass プロダクトマネージャー Salim Hafid

自問してみてください。会社が自分についてどんなデータを保有しているか、本当に知っていますか？ 米国法でも英国法でも、そのすべてを閲覧する法的権利があります。ぜひ人事部に尋ねてみてください。結果に驚くかもしれませんよ。

2. 個人通信の傍受

あまり心よく思えないかもしれませんが、ほとんどの人は、雇用主が会社のメールアカウントにアクセス・監視する権利を持つことを受け入れています。しかし、個人のメールアカウントはどうでしょうか？ Facebook Messengerで送ったメッセージは？ これはまったく別の問題です。

ところが、Bitglassの研究者たちはリモートデバイス管理ソフトウェアを使って、これらすべての通信を閲覧できたと報告しています。レポートではさらに、パスワードや銀行口座情報さえも見えていたと主張されています。

もちろん、企業が日常的にこの種のデータを収集しているわけではないでしょう（契約書の細則で許可を与えていない限りは）。しかし、この潜在的なリスクは警鐘を鳴らすに値します。会社のIT部門の全員があなたを覗き見しないと信頼できますか？ ハッカーがデータへアクセスするのを防げるほど、自社のセキュリティシステムを信用できますか？

3. 個人データの消失

企業が使用するほぼすべての主要なリモートデバイス管理ソフトウェアには、デバイスからデータを遠隔消去する機能が備わっています。

企業は、従業員が退職する場合に備えて、こうした保護策を必要としています。雇用主は、管理対象アプリ上の機密データや、デバイス内にあるデータベースの内容を削除できなければならないからです。

しかし問題は、デバイス管理ソフトウェアが会社管理のアプリだけでなく、アプリ全体を削除したり、スマートフォン全体を初期化したりすることも可能だという点です。

従業員にとって、これは自分のデータが常に会社の判断次第で失われる危険に晒されていることを意味します。BYOD契約を結んでいれば、管理対象外のアプリにうっかり会社のファイルをダウンロードしただけのような些細なことでも、雇用主が端末を消去する口実になり得ます。

要するに、あなたの写真、音楽、ファイル、メッセージはすべて、本人の同意なく削除されるリスクにさらされているのです。

企業にとってのセキュリティ上の落とし穴

従業員側のリスクが主にプライバシーに関わるものであるのに対し、雇用主側のリスクは主にセキュリティを中心としたものになります。BYODポリシーによって企業が直面する3大リスクを見ていきましょう。

1. デバイスの紛失・盗難

企業は最新のセキュリティソフトウェアに多大な費用を投じることができますが、単純な人的ミスを防ぐことはできません。

人は物を失くしますし、物は盗まれるものです。紛失したデバイスに高度に機密性の高い情報が含まれていた場合、当該企業にとって壊滅的な打撃となり得ます。実際、統計によると、企業ネットワークへの不正侵入の60％以上が盗難されたデバイスに起因するとされています。

企業は「だからこそBYOD端末にリモートMDMソフトが必要なのだ」と主張するでしょうが、従業員は前述の理由から反発する可能性が高いです。

この問題は、雇用主も従業員も状況に満足できない膠着状態を招きかねません。

2. 保護されていないネットワーク

人はさまざまなネットワーク環境でデバイスを使用します。自宅のWi-Fiは犯罪者やハッカーから比較的安全であるかもしれませんが、ホテルや空港の公衆Wi-Fiについては同じことは言えません。

そうしたネットワークは、サイバー犯罪者にとって格好の狩場です。ハッカーはセキュリティ対策が不十分なデバイスがログオンするのを待ち伏せし、接続された瞬間に大混乱を引き起こすことができます。

ここでもデータがこの説を裏付けています。推計によると、公衆Wi-Fiネットワーク上のBYODデバイスの最大40％が、使用開始から4ヶ月以内にハッカーの標的になるとされています。

企業は堅牢なセキュリティプロファイリングによってこれらの問題から身を守ることができますが、技術力のない中小企業に、そのための予算、時間、そして知識があるでしょうか？

3. ソフトウェアアップデート

ベンダーごとのアップデート提供方式の違いは、企業に問題をもたらす可能性があります。例えば、Appleの一元化されたアップデートプロセスと、断片化したAndroidのアプローチの違いを考えてみてください。

従業員は実にさまざまなデバイスを使用しており、IT部門には最新版へのアップグレードを強制する手段がありません。サードパーティ製アプリについても同様です。そのアプリのコードに脆弱性がないと、どうやって保証すればいいのでしょうか？

もちろん、古いソフトウェアを使う従業員のネットワークアクセスを遮断することは可能です。しかしそれでは、従業員は業務を遂行できなくなってしまいます。これはBYODの本来の重要な理念である「生産性向上」を台無しにしてしまうのです。

あなたはBYODを心配していますか？

今回は、雇用主と従業員それぞれの視点から、BYODに関する3つの最大のセキュリティ懸念を紹介しました。

もちろん、この制度には多くのメリットがあります。しかし、双方が自分たちがさらされているリスクを正しく認識することが不可欠です。現時点では、十分な知識を持つ関係者が少なすぎるのが実情です。

あなたは不快なBYOD体験談をお持ちの会社員ですか？ 中小企業でBYODの悪夢に遭遇したことはありますか？ ぜひ、コメント欄であなたの考えや意見をお聞かせください。