モバイルセキュリティとは？法人利用で知るべきスマホの脅威と対策

「スマートフォンにセキュリティ対策は必要なのか」
「端末の設定や利用状況を管理すれば、セキュリティ対策として十分なのか」
と疑問を持つ法人スマホの管理担当者もいるでしょう。

スマートフォンには、フィッシングや不正アプリ、危険なWi-Fi、紛失・盗難などのリスクがあります。
法人利用では、こうしたリスクが情報漏えいや業務への影響につながる可能性もあるため、端末管理だけでなく、脅威を検知・防御する仕組みや運用体制が欠かせません。

本記事では、スマートフォンに必要なモバイルセキュリティの考え方、主なリスクへの対策、端末管理と脅威対策の違い、製品選定のポイントを整理します。 自社に必要な対策を検討する際にお役立てください。

法人でスマートフォンを利用する場合は、端末だけでなく、業務アプリやWebアクセス、ネットワーク、クラウドサービスまで含めて安全性を考える必要があります。

まずは、モバイルセキュリティの基本的な考え方と、法人利用で対策が求められる理由を整理します。

モバイルセキュリティとは

モバイルセキュリティとは、スマートフォンやタブレットなどのモバイル端末を、サイバー攻撃や紛失・盗難などの脅威から守るための取り組みです。

保護の対象は端末そのものに限らず、アプリやWeb、OS、ネットワークなど、端末を利用する環境全体に及びます。

法人利用では、端末内の情報を守るだけでなく、業務アプリやクラウドサービスへ安全にアクセスできる環境まで含め、組織として管理する視点が欠かせません。

法人利用でモバイルセキュリティ対策が必要な理由

スマートフォンにはOSなどの標準的なセキュリティ機能が備わっていますが、それだけですべてのリスクを防げるわけではありません。

フィッシングや不正アプリ、危険なネットワーク、紛失・盗難など、利用時には複数の脅威にさらされる可能性があります。

また、法人利用では、端末を通じて業務情報やクラウドサービスへアクセスするため、こうした脅威が情報漏えいや業務システムへの不正アクセスにつながるおそれもあります。

従業員一人ひとりの判断だけに任せず、組織として端末の利用状況を管理し、必要なセキュリティ対策を継続することが重要です。

スマートフォンには、利用者の操作を狙う攻撃、端末の状態や接続環境を狙う攻撃、紛失・盗難など、さまざまなリスクがあります。

法人利用では、こうした脅威が業務情報の漏えいやサービスへの不正アクセスにつながる可能性もあるため、主なリスクを把握しておきましょう。

フィッシング・スミッシングや不正サイト

スマートフォンでは、特にメールに対するセキュリティ対策が進んだことから、SMS（ショートメッセージサービス）やSNSなどを悪用し、フィッシングサイトや不正サイトへ誘導する手口が増加しています。

SMSを悪用したフィッシングは「スミッシング」と呼ばれ、実在する企業やサービスを装ったメッセージから偽サイトへ誘導する手口などが代表的です。

偽サイトにIDやパスワード、ワンタイムパスワードなどを入力すると、認証情報が盗まれ、業務で利用するサービスへの不正ログインに悪用されるおそれがあります。

そのため、SMSやSNSなどから届くURLにも注意が必要です。

不正アプリやOS・端末状態のリスク

不正アプリをインストールすると、端末内の情報を窃取される、又は不正な操作を受ける可能性があります。

偽サイトやSMSなどからアプリのインストールを促されるケースもあるため、開発元や入手経路を確認し、公式ストア以外から安易にインストールしないことが重要です。

また、OSやアプリを適切に更新していない端末では、修正されていない脆弱性を攻撃に悪用されるおそれもあります。

Android端末で管理者権限を取得するRoot化や、iPhoneなどでOSの制限を解除するJailbreakが行われた端末は、通常のセキュリティ制限が変更された状態です。

企業が想定するセキュリティ設定から外れている可能性があるため、管理対象の端末が適切な状態に保たれているか確認しましょう。

危険なWi-Fi・ネットワーク

外出先などで安全性を確認できないWi-Fiや、攻撃者が偽装したアクセスポイントへ接続すると、通信内容を盗聴・改ざんされるおそれがあります。

代表的な脅威の一つが、通信の途中に第三者が入り込む「中間者攻撃」です。
法人スマホを社外で利用する機会が多い場合は、接続先の安全性を確認せずに公衆Wi-Fiを利用することが、業務情報を危険にさらす要因になりえます。

端末そのものだけでなく、利用するネットワークにも注意が必要です。

紛失・盗難

スマートフォンの紛失・盗難は、サイバー攻撃とは異なる物理的なセキュリティリスクです。
端末が第三者の手に渡ると、保存されている情報を閲覧される、又はログイン済みのアプリやクラウドサービスへアクセスされる可能性があります。

特に法人利用では、端末内の情報だけでなく、業務メールや社内システムなどにも被害が広がるおそれがあるため、紛失を想定した管理が欠かせません。
持ち運ぶ機会が多いスマートフォンでは、盗難を含めた対策を事前に整えておきましょう。

法人スマホのセキュリティ対策では、端末管理だけでなく、脅威の検知・防御、従業員への教育、インシデント発生時の対応を組み合わせる必要があります。

企業によって端末の利用方法や守るべき情報、想定されるリスクは異なるため、すべての対策を一律に導入するのではなく、自社の環境に合わせて必要なものを整理することが大切です。

前章でご紹介した主な脅威に対して、企業が取り組むべき対策の方向性を整理すると、次のとおりです。

本章では、法人スマホを安全に運用するために押さえておきたい対策を具体的に解説します。

OS・アプリの更新と端末設定を適切に管理する

OSやアプリを適切に更新し、既知の脆弱性が残った状態で使い続けないことは、モバイルセキュリティの基本です。
画面ロックなどの端末設定も適切に管理し、業務で利用するアプリを組織側で把握・制御できる環境を整えましょう。

しかし、管理者が未更新の端末を1台ずつ確認する、従業員へ個別に更新を依頼するといった運用では、端末数が増えるほど管理負荷も大きくなります。
こうした管理には、端末を一元管理するMDM（Mobile Device Management）が有効です。

MDMについては以下の記事をご覧ください。

フィッシングなどには人的・技術的に対策する

フィッシング対策では、不審なURLを開かない、送信元やアクセス先を確認するといった従業員教育が基本となります。
ただし、実在する企業やサービスを装った巧妙なメールやSMSなどを、人の判断だけですべて見抜くことは容易ではありません。

そのため、危険なWebサイトやURLを検知・遮断する仕組みなどの技術的対策も組み合わせ、利用者の判断ミスによるリスクを抑えることが重要です。

紛失・侵害時に端末や業務データへのアクセスを制御する

端末を紛失した場合に第三者の利用を防げるよう、遠隔で端末をロックするリモートロックや、遠隔で端末内のデータを消去するリモートワイプを、必要に応じて実行できる状態にしておきましょう。
紛失時の対応窓口や対応手順も事前に定めておくと、発覚後の対応を進めやすくなります。

端末がサイバー攻撃などで侵害された場合は、業務システムへのアクセスを制限する仕組みも有効です。
危険な状態の端末から業務データへアクセスできないようにすることで、被害の拡大を防ぎやすくなります。

脅威検知後のインシデント対応体制を整える

「インシデント」とは、情報漏えいや不正アクセスなど、情報セキュリティ上の事故やそのおそれがある事象を指します。
セキュリティ製品が脅威を検知して警告（アラート）を出しても、確認する担当者や対応方法が決まっていなければ、迅速な対応にはつながりません。
脅威検知後は、対象端末の特定や状況確認、利用者への連絡、必要に応じたアクセス遮断や設定変更、復旧などの対応が発生します。
こうした対応を円滑に進めるため、誰が警告を確認し、対象端末の利用者へ連絡するのかをあらかじめ決めておきましょう。

あわせて、どのような場合に端末や業務システムへのアクセスを遮断するのか、どの段階で管理者や関係部署へ報告するのかも整理しておく必要があります。
特に管理する端末数が多い企業では、警告の確認から利用者への連絡、端末への対応までを情報システム部門だけで継続することが負担になる場合もあります。

自社の担当者だけで対応を継続することが難しい場合は、外部の導入・運用支援を活用することも選択肢の一つです。

法人スマホのセキュリティ対策では、端末管理を主な役割とするMDMと、モバイル脅威の検知・防御を主な役割とするMTDが利用されます。

両者は目的や得意とする領域が異なるため、それぞれの役割を理解したうえで、自社に必要な仕組みを検討することが重要です。

MDMとMTDは役割が異なる

MDM（Mobile Device Management）は、スマートフォンやタブレットなどの端末を組織として管理・統制する仕組みです。
端末を組織として一元管理し、利用ルールを統制したい場合に適しています。

一方、MTD（Mobile Threat Defense）は、端末の利用中に発生するモバイル特有の脅威を検知・防御する仕組みを指します。
不正アプリやフィッシング、危険なWi-Fiなど、端末利用時の脅威を検知・防御したい場合に有効です。

MDMとMTDの代表的な対応機能は、次のとおりです。

※対応する機能は製品によって異なります。

例えば、MDMではアプリの利用制限や端末設定の統一はできますが、通常、従業員がSMSから危険なURLを開いたり、不正なWi-Fiへ接続したりする脅威の検知・防御まではできません。

ただし、製品によってはWebフィルタリングなどのセキュリティ機能を備えたMDMや、簡易的な端末管理機能を持つMTDもあります。
製品カテゴリーだけで判断せず、自社が対策したい脅威に必要な機能が備わっているかを確認しましょう。

法人向けのモバイルセキュリティ製品を選ぶ際は、機能の多さだけで比較するのではなく、自社の端末環境や対策したい脅威との適合性を確認することが重要です。

既存システムとの連携や導入後の運用負荷、費用まで含めて比較しましょう。

自社の端末環境に対応しているか

まず、自社で利用しているOSや端末に対応しているかを確認しましょう。
iOS・iPadOS・Androidなど、OSの種類だけでなく、利用中のバージョンで必要な機能を使えるかも確認してください。

会社支給端末と、従業員の私物端末を業務利用するBYOD（Bring Your Own Device）では、組織側が管理できる範囲や適した管理方式が異なります。

端末の所有形態や利用方法も整理したうえで、自社の環境に合う製品を選んでください。

必要な脅威を検知・防御できるか

モバイルセキュリティ製品によって、検知・防御できる脅威の範囲は異なります。
自社が対策したいリスクを明確にし、不正アプリ、Web・フィッシング、OS・端末状態、ネットワークなど、必要な領域をカバーできるか確認しましょう。

あわせて、脅威を検知した際の動作も比較する必要があります。

アラートを表示するだけなのか、利用者への警告や危険なURLのブロック、端末の設定変更、業務システムへのアクセス制限まで行えるのかなど、検知後の対応範囲も確認してください。

既存環境と連携でき、運用負荷や費用が許容範囲内か

すでにMDMを導入している場合は、検討中の製品が既存環境に正式対応しているか確認しましょう。
単に「連携可能」と記載されていても、共有できる情報、連携後に実行できる制御、管理者側に必要な操作は製品によって異なります。
そのため、具体的な連携範囲まで確認することが大切です。

また、導入後に「誰がアラートを確認するのか」「誰が従業員からの問い合わせに対応するのか」まで想定しておく必要があります。
アラート確認や状況確認、端末への対応を自社の担当者だけで継続することが難しい場合は、外部の導入・運用支援も検討しましょう。

費用は月額料金だけでなく、初期設定や必要なオプション、導入・運用支援の有無まで含めて総額を比較することが重要です。

法人スマホのセキュリティ対策では、端末の管理だけでなく、利用中に発生する脅威への備えも必要です。
コネクシオでは、企業ごとの課題や利用環境に合わせて、「端末管理」と「脅威防御」の両面からセキュリティ対策を支援しています。

まず、セキュリティの基盤となる端末管理では、「CLOMO MDM」「SPPM3.0」「OPTiM Biz」「mobiconnect」など複数のMDMを取り扱っています。
一方で、MDM単体では防ぎきれないWeb閲覧時のフィッシング詐欺や不正アプリ、悪意あるWi-Fi通信といったリスクには、高度な「脅威防御（MTD）」が不可欠です。
当社が提供する「セキュアモバイルOne」を組み合わせることで、端末利用中に発生する多様な脅威をリアルタイムに検知・防御し、多層的な防護体制を実現できます。

コネクシオでは、最適な製品の選定にとどまらず、初期の環境設計・キッティングから導入後の日常的な運用代行までワンストップでサポートいたします。

「自社に必要な対策が分からない」「既存のMDMとMTDをどのように組み合わせればよいか判断できない」「導入後の運用まで自社だけで対応するのが難しい」などのお悩みをお持ちの場合は、お気軽にコネクシオへご相談ください。

法人スマホのセキュリティ対策を検討する際は、無料製品の利用や複数製品の併用、BYODへの対応などについて疑問を持つこともあるでしょう。
本章では、導入時に確認しておきたいポイントを3つ取り上げます。

無料のモバイルセキュリティ製品でも問題ない？

無料のモバイルセキュリティ製品でも、法人利用が認められており、自社に必要な機能を備えていれば選択肢になります。

ただし、無料製品のなかには個人利用を前提としたものもあるため、事前に利用規約などで法人利用が可能か確認してください。

また、法人利用では、対応OSや脅威の検知・防御範囲だけでなく、複数端末の管理方法や管理者向け機能、サポート体制なども確認が必要です。

無料か有料かだけで判断せず、自社で守りたい情報や端末数、運用体制に必要な機能・支援が備わっているかを比較し、不足する場合は有料製品も含めて検討しましょう。

モバイルセキュリティ製品は複数導入したほうが安全？

製品数を増やせば、必ずしもセキュリティが強化されるわけではありません。
同じ役割の製品を重複して導入すると、設定やアラートの管理が複雑になり、運用負荷が増える可能性があります。

一方、MDMとMTDのように異なる役割を持つ製品を組み合わせれば、端末管理と脅威の検知・防御を補完できます。
自社に不足している対策を整理したうえで、役割が重複しない構成を検討しましょう。

BYODのスマホにも会社側でセキュリティ対策はできる？

BYODでも、会社側で一定のセキュリティ対策を行うことは可能です。
ただし、会社支給端末と同じ範囲を管理できるとは限らず、端末の所有形態や管理方式によって制御できる領域が異なります。

例えばAndroidでは、仕事用プロファイルを使って仕事用のアプリやデータを個人用領域から分離し、業務用領域を組織側で管理する方法があります。

Apple端末でも、BYOD向けのユーザー登録を利用可能です。
従業員の私的な利用領域に配慮し、会社が管理する範囲を明確にして運用してください。

スマートフォンには、フィッシングや不正アプリ、危険なネットワーク、紛失・盗難など、さまざまなリスクがあります。

法人利用では、自社の利用環境や取り扱う情報を踏まえて想定されるリスクを把握し、どの脅威への対策を優先するか整理することが対策の出発点です。

また、端末管理にはMDM、利用中の脅威の検知・防御にはMTDなど、それぞれ役割の異なる仕組みがあります。
一つの製品だけですべてを補おうとせず、端末管理、脅威対策、従業員教育、インシデント対応などを必要に応じて組み合わせましょう。

まずは、自社で実施できている対策と不足している対策を整理し、端末環境や既存システム、運用体制に合った製品・運用方法を検討しましょう。

自社だけで製品選定や運用体制を整えることが難しい場合は、専門サービスへの相談も検討してみてください。