多くの企業は、主にパソコンの使用を前提としたネットワークセキュリティに力を入れています。その一方で、ネットワークに接続されるスマートフォンのセキュリティの重要性を認識している企業は多くありません。企業だけでなく、個人ユーザーの多くも、モバイルを狙うセキュリティの脅威には無頓着です。実際のところ、2013 年ノートン レポートによると、成人の 57% が、モバイルデバイス向けのセキュリティ製品が存在することすら知りません。

さらに危険なのは、モバイルデバイスの攻撃対象領域が広がっていることです。カメラ、NFC、GPS、Bluetooth、無線。これらはすべてスマートフォンの一般的な機能ですが、ハッカーはこうした機能を利用して数多くの脆弱性を突き、悪用する可能性があります。モバイルデバイスに保存されている情報にアクセスして送信したり、位置情報を追跡したり、アドウェアやスパイウェアをインストールしたりするほか、さらにはデバイスの設定を勝手に変更することもあるのです。

モバイルデバイスの普及に伴い、自分のデバイスを仕事に利用したいと考える従業員が増加しています。個人用のデバイスをオフィスに持ち込んでいる従業員の多くは、電子メールのチェック、機密文書の参照、音声またはテキストメッセージによる同僚とのやり取りといった作業に自分のデバイスを利用しています。このような個人所有デバイスの持ち込み (BYOD) がここ数年で広まったことで、個人ユーザーに対するセキュリティの脅威が、企業にとっても脅威になりつつあります。モバイルデバイスはネットワークの内部と外部を移動するため、社内システムに自動的に接続して機密情報にアクセスした後、社外のさまざまなネットワークに接続することも珍しくありません。その間、パソコンを対象としたセキュリティ対策が適用されることはないため、企業データが流出する危険性が高まります。
 

パソコンだけじゃない、マルウェアの標的

ネット犯罪者は、自らの活動を巧妙に隠すために、モバイルアプリの内部に悪意のあるコードをこっそりと埋め込みます。こうした悪意のあるアプリは、アプリストアから簡単にダウンロードされます。電子メールを介して悪意のあるアプリをダウンロードさせる手法も一般的です。電子メールのリンクをクリックすると、悪意のあるウェブサイトに移動し、アプリをダウンロードするよう誘導されるのです。知らない相手から送られてきた電子メールのリンクは、絶対にクリックしないようにしてください。

シマンテックのインターネットセキュリティ脅威レポートでは、「攻撃者をモバイル環境に引きつける要因は明らかにユーザー数とその増加率です。また、デバイスに侵入したときに簡単に盗み出すことのできる個人情報の量も関係します」との報告があります。この報告は、ネット犯罪者にとって、こうしたデータの商業的な価値が高まっていることを示すものと言えます。

現在、モバイルデバイスに対する最も悪質なコードは、トロイの木馬です。トロイの木馬は、正規のアプリを装ってデータや機密情報を盗み取る能力を備えています。注目すべきなのは、2013 年におけるモバイルマルウェアの攻撃対象は Android プラットフォームにほぼ集中しており、2013 年半ばに Android 用のリモートアクセス型トロイの木馬 (RAT) ツールキットが登場したことが、Android プラットフォームへの攻撃の拡大に結び付いたと思われることです。

モバイルマルウェアの識別
今日のインターネット環境では、モバイルマルウェアの脅威は偽アプリだけではありません。電子メールや SMS メッセージ、怪しい通知メッセージを介してセキュリティ更新を装うこともあり、リンクをクリックするとマルウェアに感染し、データが盗まれる可能性があります。また、マルウェアはオペレーティングシステムの脆弱性を悪用してデバイスに侵入するおそれがあります。こうした脅威を防ぐためにも、デバイスのソフトウェアを最新に保つことが何より重要です。従業員にマルウェアの脅威を認識させること。これがデータ侵害の発生を防ぐために有効な対策です。しかし、これだけが解決策ではありません。

BYOD の普及によってセキュリティの懸念が増大しているのに伴い、IT 担当者は、セキュリティ上の多くの課題に直面しています。具体的には、さまざまな種類のデバイスハードウェアとソフトウェアに共通したセキュリティプロトコルの実装や、データ侵害の防止、アプリのセキュリティの監視、デバイスが紛失または盗難に遭ったときの対応などです。

モバイルネットワークを保護する方法

BYOD に対応したネットワークセキュリティを実現するには、適切なセキュリティ、管理、制御を組み合わせることが必要です。ここでは、これらをモバイルセキュリティポリシーとして統合するためのヒントを紹介します。

• 無線ネットワークにセキュリティ対策を適用する。パスワードまたはセキュリティキーを導入することで、許可されていないスマートフォンから企業の無線ネットワークへのアクセスを防止できます。また、ネットワークを経由して転送される情報を保護するために暗号化技術を利用してください。
• アプリのアクセス許可を確認する。アプリはモバイルデバイスのさまざまな機能へのアクセス許可を要求する必要がありますが、多くのユーザーはこうした要求をよく確認していません。このため、悪意のあるアプリの開発者は、本来であれば不要なアクセス許可をたやすく手に入れてしまいます。アクセス許可を与える前に、アプリからの要求をよく確認するよう従業員を教育してください。
• ネットワークからアクセスできるアプリを制限する。アプリに脆弱性が存在すれば、そのアプリは容易にハッキングされ、企業のセキュリティに対する脅威となります。企業を保護するために、企業ネットワーク経由でダウンロードまたはアクセスできるアプリを規定するポリシーを策定してください。

モバイルデバイスを保護する方法

企業ネットワークに接続されているモバイルデバイスであれば、セキュリティを効果的に制御できます。しかし、モバイルデバイスは常に企業ネットワーク内に存在するわけではありません。ここでは、社外で使用されるスマートフォンを保護するためのヒントを紹介します。

• 仮想プライベートネットワーク (VPN) を使用する。保護されているネットワークの外部から企業データにアクセスする必要がある場合は、VPN を整備し、他のネットワークを経由してアクセスできるようにしてください。
• 暗証番号またはパスワードを設定する。モバイルデバイスを業務に使用している場合は、スマートフォンに企業の機密情報が保存されている可能性があります。スマートフォンが犯罪者の手に渡った場合、最初の防御手段は暗証番号またはパスコードです。強力なパスワードを設定し、自動ロックまでの時間を 5 分以内に設定するよう従業員に奨励してください。
• 紛失したらロックまたはワイプ (消去) する。紛失や盗難に遭ったときに管理者や従業員がスマートフォンをロックまたはワイプできる機能を備えたアプリをダウンロードしておいてください。デバイスをリモートからロックすることにより、のぞき見を防止できます。紛失したスマートフォンが見つかりそうにない場合は、連絡先、文書、SMS テキストメッセージ、写真、電子メール、ブラウザの履歴、ユーザーアカウント (Facebook、Twitter、Google など) といったデータを消去してください。
• 常に最新の状態に保つ。更新プログラムが公開されたら即座にアプリを更新するよう従業員を教育してください。ソフトウェアの更新には、新たな脆弱性や悪用のおそれのあるセキュリティホールに対する修正が含まれている場合があります。
• 暗号化する。可能な場合は、スマートフォンを暗号化するよう徹底するか、少なくとも暗号化されているデータの送受信のみを許可するようにしてください。
• モバイルセキュリティを「死角」にしない。モバイルデバイスに大量の個人情報が保存され、モバイルマルウェアが増え続けている現在、パソコンの保護に向けているのと同等の注意をモバイルデバイスにも向ける必要があります。

ここで紹介したヒントに従って、企業ネットワークと個人用スマートフォンを保護してください。さらに、ノートン セキュリティなどのモバイルセキュリティ製品をインストールすれば、スマートフォンをいっそう強力に保護することができます。