モバイルデバイス

あらまし †

モバイルデバイスとは？ †

ベンダーによって説明は異なるが、ここではスマートフォン、タブレット端末、モバイルPC（スレートPC、ノートPC）の総称として取り扱う。

これらはスマートデバイスと呼ばれることもある。

市場の動向 †

近年iPhone・iPadやAndroidスマホやタブレットなどのデバイスが躍進しており、2011年には世界のスマートフォン出荷台数がPCとタブレット端末の合計を上回ったらしい。
このように市場規模は急激に拡大しており、一説によると2015年の市場規模は12億ドルにも及ぶという見方もあるようだ。

これには、高速ネットワーク網の発展*1と、それを利用して必要なデータにタイムリーなアクセスを行うことのできる情報基盤が確立されてきたというインフラ面、軽量化と小型化もここまできたかというハードウエアの進化、生産性の向上やBCPの観点からの「物理的場所に縛られないビジネス」が求められてきたことなどが背景として挙げられる。

例えば、メールの送受信。いちいちメールを送受信するために帰社する不合理をなくすことが、どれだけ営業マンの助けとなるか。また、スケジュール確認するにも「手元に手帳がないからわからない」なんてやりとりはこれまで多くあった。
今となっては「できて当たり前」「何を有難がることがあるのか」というリアクションもあるかも知れないが、事実、昔はできなかった。

また、いわゆるガラケーでは携帯サイトしか見られずPCサイトの閲覧はできなかったが、出先からWebサイトを選ばずアクセスできることによって情報収集の効率化は劇的に向上した。他にも、位置確認サービスの活用は客先への経路の確認に便利であるし、筆者のような方向音痴には有難い。

この時点で相当ビジネスに貢献していると言えるが、基幹システムやファイルサーバなど社内環境への接続、ワークフローや日報などのアプリ利用、訪問先でのプレゼン（重くてかさばる資料を紙で持ち歩かなくても済むし、汚してしまったり部数が足りないかもなんて気にしなくてよいことも非常にGood）など活用の幅は広がるばかりだ。

それぞれの特徴と特長 †

当然ながら製品ごとに仕様は異なるが、総論としてそれぞれの特徴を簡単にまとめた。
別売りのアクセサリやオプションの追加で代替可能なものもあるが、基本的には純正仕様に対して評価している。

iPhone/iPad、Android、Windows Phoneの比較 †

モバイルPCは置いておいて、ここではスマホとタブレットについて記載した。
なお、Blackberryは息をしていないようなので語らない。

※下記情報は記事リリース時に使用した資料に基づくものであり、必ずしも最新情報へのUpdateされているわけではなく、あくまで目安

なお、iPadとAndroidには、通信キャリアのないWi-Fiモデルがある。
店頭や受付での自動表示や特定ネットワークでの配下でのみ利用する場合などはこちらも検討してよいかもしれない。

なお、各OSおよび機種の間で性能的には大差がないと認識しており、それぞれのキャリアやベンダーのコンセプトを鑑みることが肝要かと考える。（介入の余地があるなら、「好み」も重要）

スマートフォンとタブレット端末の違い †

それは、通話ができることだ。

当たり前と言われるかもしれないが、事実性能的には大差がなく、通話機能と画面の大きさがわかり易い違いとなっている。

しかしながら大きな違いもあり、スマートフォンは通話機能という非常に明確な役割を課せられているため携帯電話の延長線上のものとして採用されることが多い。もちろん豊富過ぎる機能やベンダーのコンセプトなどに苦労することも少なくないが、導入は比較的に楽だと言える。

しかし、タブレット端末は用途が充分に語られないまま導入されることも多いように思う。
確かに、「とりあえず使ってみる」というというアプローチで得られるものも少なくないため、全否定するつもりはない。
だが、目的がはっきりしないということは、その端末でどのようなデータを取り扱うかが不明確であるわけで、結果、どのようなセキュリティ対策を施す必要があるかよくわからないということにもつながる。

事実、導入企業の半数近くはタブレット端末を採用にあたっての明確な戦略はないと回答し、羅針盤のない船出をしたか、それを予定しているとのこと。

お偉いさんが話題のものに食いついたのはいいが、導入するにも理由が必要だからとIT部門に理由づけをさせる・・・などという酷い会社もあるそうだ。

iPhone/iPadについて †

自分自身も使用しているせいか持ち上げすぎてしまいそうなので、軽くダメ出しというか採用を見送る理由も記載しておくと、下記のような声がある。

• 基幹システムやファイルサーバからセキュリティポリシーといった取り決めまで、多くの企業はWindowsベースで情報資産を購入・構築しているが、とにかく親和しない。
• Flashが見られない。
• 機能としてはモバイルPCの下位互換に過ぎないし、何より入力作業がしづらい。マルチタスク作業もしづらい。ガラケー＋モバイルPCで充分。
• そもそも、導入するメリットがわからない。具体的にROI?を示せ。
• 流行りものに飛びつかない俺、かっこいい。
• Appleファンが嫌いなので、Apple製品も嫌い。*2
  
  

Androidは危ない？ †

iPhoneと違って、AndroidのセキュリティレベルはOSのバージョンや端末のメーカーなどによって不揃いで、セキュリティ上の課題とされている。

スマートフォンやタブレット端末でのセキュリティリスクとは、今現在PCでよくあるファイルでマクロ感染するようなものが見つかっていないこともあり、誤解を恐れずに言えば不正なアプリケーションによるマルウエアへの感染だと言っていい。

iPhoneやiPad用のアプリは、Appleによって審査され悪質なものは拒否される。これは、Apple社がセキュリティの一端を担ってくれていると言うことができる。*3

もちろんJailbreakと呼ばれる方法でApple Storeを経由しないアプリをインストールしてしまった場合などは同様のリスクを抱えることとなるが。

これに対し、Androidはオープン指向という長所やAndroid Marketやその他のMarketで検閲を行わずアプリを公開できるという自由度の反面、悪意あるアプリが介入しやすい。

もちろん、だからAndroidがダメだという話ではないが、製品の特性を理解し、しっかりとした対策を行ったうえで利用していかなければならない。

更に、マルウエアに感染した端末はネットワークや無線LANを経由して被害を拡大させるため、その拡散をいかに抑えるかは継続的な課題と言える。

タブレット端末に対するウオールストリートジャーナルの指摘 †

少し前に、「万能ではないタブレット型端末 企業が陥りやすい5つの過ち」と銘打った記事が出ていたので、引用し紹介させて頂く。
なお、指摘がら、内容は少しばかり否定的となっている。

1. 事前調査不足
   「実に多くの企業が明確な戦略なしにタブレット型端末を導入する」から始まる指摘は、実にごもっとも。
   「あーだこーだ言わず、とにかく使ってみようよ」というアプローチを否定する者ではないが、全社的な導入の前に少人数でのパイロット導入をすべきだと言われているが、そうしなかった企業がこれ。
   どんな仕事が可能できるのか、どんな作業ができそうか、どうすればもっと良くなるのか。また、管理のオーナーは誰あるいはどの部署なのか、どのように管理するのか。
   全てが明確になっていなければならないとは言わないが、少しは考えよう。
2. タブレット型端末の向き不向きの理解の不足
   タブレット端末は便利だが、万能ではない。
   当たり前の話だが、ノートPCの代わりにはならないことは忘れてはならない。また、ノートPCを持ち歩く人にタブレットも持ち歩けというのはナンセンスだ。
   データやアプリも従来のものと互換性が完全であるわけではない。便利なことは間違いないのだが、漠然と夢を持つにはコストが掛かりすぎる。
3. 必要なアプリを簡単に入手できるとの期待
   アプリは何万とあるし、自分たちが求めるものは簡単に手に入るだろう。
   そう楽観的に認識する企業もあるそうだが、そうは甘くない。
   殆どの企業では自ら開発することはないし、既存のアプリがぴったりフィットすることが担保されているわけでもないし、その多くはPC用ほどの機能は備わっていない。
4. タブレット型はノート型よりも安いと見積もる
   台数が多い場合はボリュームディスカウントが効くのだろうが、それを加味しない場合、大体5万円くらいが相場だろうか？
   確かにPCと比べると安いのだが、交換や故障の頻度とその度にかかる費用を考えると、多くの場合PCよりも高くなると見られている。
5. セキュリティーに対する甘い判断
   モバイルデバイスに多くのデータを格納すれば便利なのだが、そのデータを保全すること、漏洩しない手立ては考えなければならない。
   そもそもモバイルデバイスはPCよりも更にプライベート色が強いし、BYODを採用する場合は尚更だ。
   私物とビジネスデータがごちゃごちゃになりつつも利便性を損なわず且つセキュアな状態を保つなんて、少し考えただけでも難しいことは間違いない。
   記事には、これらの管理には新しい手法が要求されると考えなければならないとあり、コメントを寄稿した方は、「タブレット型端末を、今あるITシステムの蓄積されたものの延長だと考えてはいけない。そうではないのだから」と述べたようだ。

どんなことに使えるの？ †

社名は伏せるがWebやセミナーなどで公開された利用方法の他、自社で行っている或いは耳にした活用方法を紹介する。

外出先の仕事が捗る †

• 客先での急な引き合いにも、製品資料をその場で案内
  次改めて打ち合わせを設定することに難色を示したり面倒がったりする客も、「実は、こんなものがありまして・・・」と、その場でパッと何か出すことができれば、かなり違う。
• e-Learningによる社内教育の端末として
  開示されたアドレスにアクセスしてドキュメントを見るのは面倒でも、タッチパネルだと不思議と操作できてしまったりする。
  移動中や空き時間にさっと取り出せるのもGood。
• 外出時の持ち物をタブレットだけにすることで、機動力Up
  資料の紙出しや準備などの時間を減らすこと、それらの置き忘れなどによる漏洩リスクを減らすこと、持ち運びによる疲労を軽くすることなどは、かなり馬鹿にならない。
  
  

業務端末として †

• ものすごい数の操作マニュアルを、いつでもどこでもタブレット端末で見られるように
  タブレット端末は、実はドキュメントビューアとしてかなり優秀。
  「今現在操作している端末はそのままにしておいて、紙出ししたマニュアルを見ながら操作する」というユーザは相当数の存在するし、タブレットは持ち運びに便利だ。
• 電子カルテを採用し、リアルタイムな情報更新とデータアクセスを実現
  タブレットが有効であると言われるのは、実は医療の現場。
  申し送りの抜け漏れを防いだり、カルテの記載レベルに個人ごとにバラツキが出ることなどが期待効果らしい。
  
  

電話会議、テレビ会議、Web会議の端末として †

こういったことを実現するための機材は非常に高価であったし、せっかく買っても規格が古くなったり同時接続数が限られていたりで、内資もグローバル企業も問わずもっと良いものはないか？と思っていた人は多かったかと思う。
ノートPCでMessengerやSkypeを使用して実現することも昨今ではされてきたが、いかんせんWebカメラがある端末でないといけなかったりした。
その点、殆どのスマホやタブレットにはカメラもマイクもついているし、資料の共有やペーパーレスも加味したソリューションは多く出ている。
何より、電話会議だと高かった海外とのセッションも、Webなら安い。

よくある疑問と課題 †

下記に、よく挙げられる疑問や課題を例示する。
これらは、ポリシーの策定も含めたMDMで解決への道筋に触れる。

ちなみに、初期費用や導入の手間をかけたくない、運用も楽したいというのは誰もが望むところだが、「とりあえず導入してから色々考えよう」はあまりお勧めしない。不都合が起こってから対応するよりも、事前にある程度の指針と対応を講じる方が圧倒的に安上がりで楽なので。

セキュリティ面でのリスクと不安 †

PCと同じくWi-FiやBluetooth経由の侵入やスパムメールからのフィッシングもあるが、ここでは盗難・紛失による情報漏洩と、不正アプリや不正Webサイトへのアクセスによるマルウエア感染を挙げる。

紛失・盗難 †

スマートフォンやタブレット端末を導入した企業のうち、約40%が紛失や盗難を経験し、更にその半分はデバイス内に機密情報が保存されていた・・・という調べがある。
そしてその半分くらいは金銭的な被害があったとのこと。

タクシーに置き忘れた、飲み屋に忘れた、電車で落とした。
後述のマルウエアも脅威であることに違いないが、紛失や盗難は更にハイリスクだ。

そして、そういったうっかりさん程、パスコードの設定やバックアップなどの対策を取らずにクレジットカード番号や各種アカウントのIDとパスワードを保存しているらしい。

スマホもそうだが特にタブレット端末においては少し前のモバイルPCのスペックを軽々と凌駕するため、メールはもちろん取引先や製品の情報をはじめプレゼン資料、役職によっては人事や給与のデータさらには事業計画なども格納されているかもしれない。

端末はたかだか数万円に過ぎないが、こういった情報はそれ自体が最低でも数百万、ひょっとしたら億以上の価値を持つ。
そして、マーケットからは価値ある情報・保護しなければならない情報を漏洩させたダメ企業の烙印を押され、評価が下がるだけではなく業種や取扱製品によっては所轄の機関からペナルティが課されることもある。取引先と関係を維持するための出費もあるだろうし、離れていくこともあるだろう。

マルウエアの感染 †

紛失・盗難を最大の内的リスクと呼ぶならば、マルウエアへの感染は最大の外的リスクと呼べるかと思う。

従来のIT機器（というより、端的にはデスクトップやノートPC）においては、管理者権限を持つ部門が一括して設定を行わなければネットワークにも入れずシステムの利用やサーバへのアクセスできなかったが、スマホやタブレットにおいては、それは管理部門のあずかり知らないところで、ストアからアプリをボタン一発でインストールできてしまう。
また、勝ったままの状態では当然セキュリティ用のアプリは入っていない。

iPhone/iPadでは、App Storeが検閲を掛けてくれており一次的な防波堤となってくれているが、悪意のあるアプリがこれを潜り抜けて利用者が脅威に晒されても、その損害を彼らが弁済してくれるわけではない。

セキュリティ対策とポリシーは、どのように決めるか？ †

管理要件と利便性の狭間で揺れる運用ポリシー †

いまどき情報漏洩に何の対策も打っていない企業は少ないと思うが、それでも上記の盗難・紛失のほか、紙媒体やUSBメモリの置き忘れなどによる漏洩事件も後を絶たない。

特に電子データは物理的存在でないため盗まれたり漏れたりしても痕跡が残りづらく、また発覚もしにくい。回収することなどは不可能だし、複製や再配布もたやすい。

こうなると締めつける方に走りがちだが、かといっても利用自体を禁止したりデータの持ち出し一切ナシにするなど、「やり過ぎ」は完全に逆効果だ。

理由は二つあり、活用されないデータやシステムに価値はないということ、もう一つは締めつけを厳しくすればするほど人は抜け道を探すということ。

これについては落としどころを探すほかなく、無理になり過ぎないポリシーを定め、それを助ける仕組みを導入し、それらに従い運用するほかない。

この点は、MDMの項でも触れたいと思う。

セキュリティ対策のために †

モバイル端末が導入企業にもたらすのはベネフィットだけでない、ビジネスリスクもあるということは上述の通りだが、いまやビジネスリスクがあったとしても対策を行って使いたい、使う価値があると殆どの人が認識しているかと思う。昔のように、アレはダメ・これもダメ形式のリスクを嫌うIT部門側の意見だけでは済まされなくなっている。

しかしながら、「対策を行って」と記述したが、必ずしもそれが正しくアプローチされているようには感じられない。それは、端末やMDMツールの管理機能に問題があるのではなく、結局は意識の問題に帰結するように思う。

例えば、色々な操作が可能ではあるが、やらないでねの一言で済ませる。「運用でカバー」という筆者が大嫌いな表現は、その筆頭だ。性善説で済ませ、その色々な操作が可能な端末が悪意ある第三者の支配下に置かれる可能性に目を瞑る。

何故そうなってしまうかと言うと、自分たちが取り扱っている情報がどれだけの価値を持っているか認識が甘いことが挙げられる。普段身の回りにある珍しくもないデータでも、第三者にとってもそうとは限らない。とても価値あるものを無造作に扱ってはいけないよ、という啓蒙活動は地道だが根強く行っていかなければならない。
実際に漏洩した事件を引き合いに出し、社会的信用を失うこと、実際の金銭的被害がでることを伝え大事になることをしつこく伝えていくしかない。

また、モバイルのセキュリティ対策が難しいものではないはずだと甘く見てしまっているケースもあるようだ。大抵はガラケーと一緒くたに考えてしまっている根拠のない思い込みで、そういう手合いには、そもそもスマホもタブレットもケータイではなくパソコンの仲間なんだと理解してもらう必要がある。

最後に、ポリシーは非常に重要だが、ポリシーはあくまでポリシーであって、それを実現・運用していくのは技術と機能が欠かせないことを認識して欲しい。
必ずしも高価な仕組みが必須であるとは思わないが、データの暗号化や遠隔での保護などMDM製品の力を借りることは有効な手立てであることは間違いない。

その上で、守る側の理屈で「ポリシーを定めました」「管理機能を導入しました」ではなく、攻撃する側の立場でテストを行い強度を測ることが良いと思う。

私用とビジネスユースの切り分け †

タブレット端末もそうだが、特にスマートフォンにおいて、私用とビジネスユースの切り分けは必要だ。

そもそも会社から支給された端末であれば業務にのみ使用することで割り切れるが、私物あわせて二つのiPhoneを持ち歩くことはナンセンスだ。

こういったことを背景にBYOD（私物の業務利用）も推進されているが、紛失や盗難があった際に遠隔でデータを削除するというシーンで考えてみよう。

端末の中には思い出の写真も入っているし、個人的に購入した着メロもある。利用者の立場でいえば、「業務のデータを削除されるのは仕方ないが、こういったものまで消される筋合いはない！」とする人もいるだろう。

また、中には電話やメールについて予め許可した宛先にしか発信できないようにするというソリューションもあるようだが、一件セキュアに聞こえるものの使う立場になってみれば、どれだけバカバカしいことか。

経営者の立場から言わせてもらえば、「節度を守って、よしなに」使ってもらえればよいのだが、すべての従業員に伝わるとも守ってもらえるとも思えない。

会社から支給したものでもこういった面倒事があるのに、特にBYODでは通話や端末の料金負担の話があるため、より厄介だ。

アプリケーションやWebサイトのモバイル端末への対応 †

PCとモバイル端末では、グループウエアやeメールなど同じものを取り扱うこと或いは同じ先へアクセスすることもあるが、そもそも性能も特徴も用途が異なる。

それぞれの特徴を加味しつつ、基本的な考え方を定めることで効率的かつセキュアに開発や運用を進めることが求められる。

誰が、どこで、何に使う？ †

まず、活用するシーンを思い描き、登場人物と利用場所および用途をマトリクスにしよう。
これを元に、ネットワークおよびインフラの要件やセキュリティを担保する手段、投資とその効果をまとめると良いかと思う。

（例）

どのように取得や配布を行うか？ †

まず、委託を含む自社開発を行うか否かが大きな分かれ道で、行わない場合は既存のアプリストアからダウンロードして利用する形式となる。

その場合、購入時の状態そのままだと利用者任せになるし、業務外のアプリを利用することによってマルウエアに感染するリスクなどもあることから、MDM製品を導入することで利用できるアプリを制限したり、ダウンロード型ではなくプッシュ配信型で展開するなどの手段も用いられる。

どうやって作るか？ †

大きくは、HTMLやJavaScriptなどのオープンな技術を使用した一般的なWebアプリ（もちろんWebサイトを含む）、デバイスやOSごとに行うネイティブアプリ、技術の大部分をWebアプリで構築しつつデバイス特有の機能を使用したり記述が求められる箇所のみネイティブで記述するハイブリッドアプリの３つがある。

Webアプリはモバイル端末のブラウザからアクセスするタイプで、デバイス間の互換性に優れ、プラットフォームごとに個別に用意せずに済むという点で開発や保守運用においてダブルメンテを避けることができるという特徴がある。

対し、ネイティブアプリやハイブリッドアプリは、そのデバイス専用に構築することから使い勝手・使い心地は間違いなくWebアプリを上回り、カメラやGPSを利用した位置情報などデバイスの利点を活用することができるというメリットがある。

個別トピック †

IT管理者は眠らない †

PCと比べて、スマホやタブレットはプライベート時間にも使用されやすいことから、営業時間外の問い合わせも多くなりがち。

特に、エグゼクティブやマネージャ層は時間に関係なく仕事をしているし、彼らの仕事が滞ると損失も大きいということで対応せざるを得ないが、これが結構、管理者泣かせなのだ。

こういう時は「オフィスにいなければ対応できない」というネタの有無が決め手となる。
「物理的に会社のネットワークに入らないと、どうにもならない」なんてのは、もうお手上げで、こういう時のためにもVPNやクラウドソリューションでアドミ作業ができれば非常によい。

もちろん、それを口実に断わってしまうのも手なのだが評価を下げられても困るし、役に立っておけば貸しを作れるかもしれない・・・なんて事情もあるでしょう。

プライベートとビジネスのデータが共存しやすい一面 †

連絡先やメールなど、私物とビジネス用が混在することで誤送信や漏洩によるデータの流出が懸念事項として挙げられることが多い。

ただ、携帯電話というのは多分にプライベートな要素を含む性質であるため、完全に住み分けるのは難しい。

プライベート用とビジネス用で二つの電話を持ち歩くというのもナンセンス。
あるいは事前に登録したアドレス帳しか呼び出せないし電話もできないという制御が可能な製品があるらしいが、実に馬鹿げている。

商売の性質から取引先の数が非常に少なく改廃の頻度も低い、コミュニケーションを取る相手先が非常に少ない等、非常に限られたシーンではその限りでないかもしれないが、モバイルの導入によってもたらされる機動力というメリットを完全に殺してどうするのか。

さりとてリスクを放置するのかというと、そういうわけにもいかない。
ではどうするか？

リモートロックやワイプおよびセキュリティポリシーの強制適用など最低限の機能をITに頼るのは有用だとして、それ以上の話は過剰な機能制限でなくリテラシーの向上で解決するのが吉であると考える。

アテにならないものを信用してどうする、という声も聞こえてきそうだが、「良さ」を殺すくらいであれば金がかからない分だけ使わない方がマシなのでは、というのが正直な感想だ。

プライバシーの保護 †

スマホやタブレットで使用するソフトウエアやサービスの中には、位置情報を利用するものも少なくない。

例えば皆大好きGoogle Mapsや、食べログでは現在の位置からニーズに合う飲食店を探すことができるなど、便利極まりない。

これについて、例えば「機密保持のために、会社内の特定の場所などではカメラアプリの利用を禁止する制御なども利用できる」や「紛失・盗難時にはGPSで端末を探すことができる」などがあるが、これはつまり、自分が今どこにいるのか、位置情報を把握されているということを意味する。

管理者側としては、若い女性が診察のために服を脱いでいるようなもので、何とも思わないかもしれないが、中には興味本位や社内恋愛のためにその情報を利用する輩も出てくるかもしれない。それを思えば、そんなの誰だって嫌に決まっている。

ただ、位置情報を利用することで使用できる機能やヘッジできるリスクが多くあるため、一律に「悪だ」とはできないため、難しいところ。

ビジネスユースで会社側が端末の位置情報を把握するという場合は、従業員とのトラブルを避けるため、利用の用途が限定されていることや誰がどのように照会できるかなどを説明することは必須だろう。