情報セキュリティが脆弱に！BYODのデメリットとは

BYODのメリット・デメリット

従業員の私物であるスマートフォンなどの端末を会社の業務に利用することを、BYOD（Bring Your Own Device）と言います。BYODの導入によって、業務の効率化やコスト削減のメリットはありますが、プライベートと同じ端末を使うことで、端末の盗難や紛失、不正アクセスによる情報流出のリスクに対して無防備になりやすいなど、セキュリティに関してのデメリットがあることも忘れてはいけません。

BYOD

私物のスマートフォンやタブレットを業務で使うメリット

BYODの対象となる端末としては、スマートフォンのほか、ノートパソコンやタブレット端末など、インターネットなどを介して企業情報にアクセスできるデバイスのことを言います。また情報の持ち出しを厳密にするために、USBやフラッシュメモリ、SDカード、HDDなどの記憶媒体についても、BYODの対象に含めてルールを設けているケースもあります。

多くの企業や団体の職場でBYODの導入が進んでいる背景には、スマートフォンやタブレットの基本性能が向上し、ビジネス環境に十分対応できるようになったことがあります。また、デバイスの種類に依存しないクラウド型やWebベースなどのアプリケーションを業務で使用する頻度が増え、相対的に端末の重要性が薄れてきたこともあります。

BYODを導入するメリットとしては、使い慣れている端末を利用することによる業務効率の向上や、社内のIT管理部門のヘルプデスクなどに操作を問い合わせることが減ることなどがあります。従業員は社用とプライベート用のスマートフォンを使い分ける必要がなくなり、端末の管理や紛失リスクを低減できます。また企業側にとっても、情報端末に関わる初期投資および運用コストが削減できます。

ウイルス感染、情報漏洩などセキュリティは脆弱に

一方で、BYODの導入にはデメリットもあります。最も懸念されているのが情報セキュリティに関するリスクです。従業員がプライベートで使っている端末に、さまざまなアプリケーションをインストールしたり、Webサイトを訪問したりすることで、悪意の第三者による不正アクセスやウイルス感染のリスクが高まるからです。

またBYODは、従業員にとっても良いことばかりとは言えません。プライベート端末で業務を行うことが可能になるため、プライベートと仕事の切り替えが難しくなり、結果的に長時間業務から解放されることがなくなり、ストレスが増加する恐れがあります。

さらに、会社が端末の管理ができるアプリケーションをインストールしたことによって、そのアプリケーションを通じて端末利用状況をはじめとする従業員たちのプライベート情報が危険にさらされる危険性もあります。

勝手に個人所有のデバイス使うシャドーITを防ぐには

BYODが認められていない職場で、個人端末を勝手に使うことも問題視されています。正式な許可や手続きを経ずに社員の勝手な判断で個人所有のスマートフォンなどを業務で使用する行為やその状態のことを「シャドーIT」と言います。スマートフォンだけでなく、個人所有のノートパソコンなどを業務に使用することもシャドーITの一種です。

シャドーITが発生すると、会社側が従業員個人の端末の使い方を把握することは難しく、その結果として、情報セキュリティは脆弱になります。従業員の端末がすでにウイルス感染している場合は、情報が筒抜けになってしまう可能性もあります。

シャドーITを行う従業員に悪意はなく、業務を効率的に進めるための手段と考えていることがほとんどです。だからといって、セキュリティが脆弱化している状態を放置することは許されません。BYOＤを導入するためには、システム面や運用面でセキュリティ対策をしっかりと講じることが求められています。

BYOD導入する場合、システム・運用面で注意すべきこと

情報セキュリティのシステム面での対策としては、モバイル端末管理システム（MDM：Mobile Device Management）があります。MDMを施すことによって、端末の紛失や盗難が発生した場合に、リモートで当該端末の所在確認、ロック、データ削除などの措置を行うことが可能です。

さらに、デスクトップの仮想化（VDI）もシステム面での有効な対策です。情報をすべてクラウド上で管理し、端末に対しては、VDIによる画面からの操作のみを許可する方法です。これによって端末のHDDにデータが収納されないため、端末を紛失した場合でも、その端末から会社のデータにアクセスするリスクを低減することが可能です。

一方、運用面の対策としては、社内でBYODに関するガイドラインやルールを設定することによって、人為的なミスによるセキュリティリスクを低減することが可能になります。従業員が所有する端末で行える業務の範囲を明確に定める一方で、情報の保管や持ち出しルールを厳格化します。また、多要素認証など操作が簡単で高セキュリティな認証デバイスを提供し、従業員がストレスなく、セキュリティを徹底できる環境を整えることも有効な対策です。