スマートフォンを無くした場合を考える：モバイルデバイスを護る術

多機能なスマートフォンはノートPCよりも小さいだけに紛失しやすい。情報漏えいにもつながる紛失のリスクに対していかに備えるべきか。

[國谷武史，ITmedia]

本記事の関連コンテンツは、オンライン・ムックPlus「あなたのモバイルデバイスを護る術」でご覧になれます。

　メールやインターネット、自由度の高いアプリケーション環境など、スマートフォンはPCで頻繁に利用させる機能をカバーしていることから、ノートPCの置き換えとして導入に関心を企業が増えつつある。セキュリティ対策を1つとして機密情報が満載されたノートPCの社外持ち出しを禁止する企業も多く、スマートフォンに必要限度の機能と情報を持たせて社外での業務効率の向上に注目しているようだ。

　スマートフォンは見た目で分かるように、重さが1キログラムを切るようなモバイルノートPCよりもさらに小さくて軽い。モバイル端末を持ち歩く際に最も心配されるのは紛失や盗難だが、スマートフォンはノートPCよりもリスクが高いと言えるだろう。スマートフォンを企業で利用するには、何よりも先に紛失・盗難時に第三者による不正利用、データ盗難に対する備えが求められる。

石川英祐テクニカルサポートグループリーダー

　スマートフォンが国内に登場する以前からPDA端末向けの認証･暗号化ソフト「Pointsec」シリーズを販売するメトロの石川英祐氏（セキュリティソリューション部テクニカルサポートグループリーダー）は、「スマートフォンは持ち運びやすいだけに紛失するのも早い。事前にPCと同じレベルの対策が取ることが大切だ」と話す。

物語で保護する

　それでは、スマートフォンでどのような認証・暗号化機能が利用できるのかをWindows Mobile向けの「Pointsec for Pocket PC」を例にみていこう。

　まず認証機能には、複数のイラストを組み合わせる「Picture PIN」、英数文字パスワード、数字パスワードの3種類がある。特にPicture PINはカスタマイズの自由度が高く、一般的な英数字パスワードよりも柔軟なパスワード認証を設定できる。

見た目にはユニークなPicture PINだが、カスタマイズの幅は広い（Nokia E61向けのSymbian OS対応版は英数字パスワード認証のみ）

　Picture PINのパスワードは、「AとBが、どこで、なにを、どうした」というように独自の“ストーリー”に基づき、ストーリーに合うイラストを選んで入力する。最低でも4つ以上のイラストの入力が必要で、入力エラーの回数が管理者の設定する回数になると端末が自動的にロックされる仕組みだ。

　イラストはGIF形式を利用しているため、標準の絵柄以外にユーザー企業が独自に用意したイラストデータを利用できる。独自の絵柄と自社（もしくは部門など）の社員にしか分からないようなストーリーをパスワードとして設定しておくことで、「文字列以上にパスワードの推測を難しくすることが望ましい」と石川氏は説明する。Picture PINはユーザーが頭の中でストーリーをイメージしながらパスワードを入力するため、固定の文字列を暗記しなければならない英数字よりもユーザーの抵抗感が少ないという。

　またPicture PINでは、イラストの表示位置が毎回ランダムに変化する。英数字のパスワード入力はキーボードやディスプレイ上のソフトキーボードをタップして行うが、毎回同じ文字を入力していればキーボートやディスプレイに汚れが付き、簡単にパスワードを推測されてしまう。Picture PINの運用は、文字列のパスワードと同じように利用期間や入力する内容・桁数を定期的に変更することが大切。過去に使ったパスワードを再利用しないように管理することも必要になる。

必要な場所を暗号化

　暗号化機能は、端末本体内のデータとminiSDカードのような外部メディア内のデータを保護する。端末内のデータは、所有者やメール、アドレス帳などのPIMデータのほかに管理者が任意に指定したフォルダやファイルを暗号化する。

　一方、外部メディアはメディア内にあるすべてのデータを暗号化する。外部メディアはPCなどで簡単に再生できるため、PointsecソフトがインストールされたPCでなければ再生できず、他のPCではファイル名すらも表示しないため、拾得者にデータの存在を気付かせない仕組みとなっている。

　メトロではSymbian OS向けの「Pointsec for Symbian」も展開しており（関連記事参照）、こちらでも管理者が指定したフォルダやファイルを暗号化して保護できるようになっている。

Pointsec for Pocket PCの管理者画面

　Pointsec for Pocket PCは管理者側で53項目のセキュリティルールを設定でき、このセキュリティルールを適用したインストール用のイメージファイルを作成することができる。端末はインストールされた当初から保護されることになる。

　スマートフォンの保護対策について、石川氏は「紛失したら最悪の場合は端末が手元に戻らないものと考え、拾得者に悪用されないように被害を最小限にとどめる対策をするべきだろう」と話している。