こんにちは、フルスタックエンジニアのryuです。
今回の記事では、基本情報技術者試験の過去問を使いながら、BYODとは何か、どのようなセキュリティリスクがあるのかを解説します。
BYODは、
Bring Your Own Device
の略です。
直訳すると「自分の端末を持ち込む」という意味ですが、試験ではもう少し具体的に、
従業員が個人で所有している端末を業務に利用すること
と理解しておきましょう。
スマートフォンやタブレット、PCなどを業務で利用すれば、働き方の柔軟性を高められる一方、会社が完全には管理できない端末から社内データへアクセスすることになります。
そのため、BYODではセキュリティだけでなく、個人端末を企業がどこまで管理するのかというプライバシー面も重要です。
この記事では、過去問を解きながら、BYODの意味、会社貸与端末との違い、メリットとリスク、導入時に必要なセキュリティ対策まで順番に解説します。
BYODの説明はどれか¶
今回はこちらの問題です。
BYOD（Bring Your Own Device）の説明はどれか。
ア：従業員が企業から貸与された情報端末を，客先などへの移動中に業務に利用することであり，ショルダハッキングなどのセキュリティリスクが増大する。 イ：従業員が企業から貸与された情報端末を，自宅に持ち帰って私的に利用することであり，機密情報の漏えいなどのセキュリティリスクが増大する。 ウ：従業員が私的に保有する情報端末を，職場での休憩時間などに私的に利用することであり，社内でのセキュリティ意識の低下などのセキュリティリスクが増大する。 エ：従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ設定の不備に起因するウイルス感染などのセキュリティリスクが増大する。 出典：平成25年秋期 問40
答えは、エです。
BYODで重要なのは、
「私物の端末」 と 「業務に利用する」
の二つです。
どちらか一方だけではBYODとはいえません。
BYODとは？¶
BYODとは、従業員が個人で所有している端末を、会社の業務に利用する運用です。
例えば、
個人所有のスマートフォン
↓
会社のメールを確認
↓
社内システムへアクセス
という使い方です。
あるいは、
個人所有のタブレット
↓
業務用アプリを利用
↓
会社のデータを扱う
というケースもあります。
ポイントは端末の所有者です。
会社が購入して従業員へ貸与
ではなく、
従業員が個人で所有
↓
その端末を仕事にも使う
のがBYODです。
会社貸与端末との違い¶
会社が購入し、従業員へ貸与したPCやスマートフォンはBYODではありません。
会社貸与端末であれば、企業側が端末の設定や利用アプリを統一しやすくなります。
例えば、
OSのバージョン
セキュリティソフト
端末暗号化
利用できるアプリ
などを企業ポリシーに合わせて管理しやすいです。
一方、BYODでは、
端末A：iPhone
端末B：Android
端末C：古いOS
端末D：さまざまなアプリが入っている
というように、端末ごとの状態が異なる可能性があります。
そのため、BYODには会社貸与端末とは異なる管理上の難しさがあります。
BYODのメリット¶
BYODには、適切に設計すればいくつかのメリットがあります。
働く場所の柔軟性を高めやすい¶
従業員が普段利用しているモバイル端末から、許可された業務システムへアクセスできれば、外出先やテレワークでも業務を行いやすくなります。
使い慣れた端末を利用できる¶
本人が使い慣れた端末を業務でも利用できるため、操作に慣れるまでの負担が小さい場合があります。
端末の選択肢を広げられる¶
業務内容や企業の方針によっては、会社がすべての端末を一律に用意する運用以外の選択肢を持てます。
ただし、
「BYODにすれば必ずコストが下がる」
とは限りません。
BYODを安全に導入するには、端末管理、認証、サポート、監視、ルール整備などが必要になります。
そのため、端末購入費だけで単純に比較するのではなく、管理コストやセキュリティリスクも含めて考える必要があります。
BYODのセキュリティリスク¶
BYODでは、個人の端末から会社のデータやシステムへアクセスします。
そのため、さまざまなリスクがあります。
OSやアプリが更新されていない¶
個人端末では、利用者がOS更新を後回しにしている可能性があります。
脆弱性が残った端末から業務システムへアクセスすると、マルウェア感染などのリスクが高まります。
紛失・盗難¶
個人スマートフォンやタブレットは、日常的に持ち歩きます。
もし端末を紛失し、
画面ロックなし
業務データを端末内へ保存
認証状態が残っている
といった状態なら、情報漏えいにつながる可能性があります。
私用アプリと業務データが同居する¶
BYOD端末には、個人が自由にインストールしたアプリも存在します。
業務データと私用データを適切に分離しなければ、意図しないアプリへデータが渡るなどのリスクがあります。
家族などが端末を利用する¶
個人端末では、家族と共用しているケースも考えられます。
業務システムへログインした状態の端末を第三者が操作できるなら、アクセス管理上の問題になります。
公衆Wi-Fiなどから利用する¶
個人端末はさまざまなネットワークへ接続します。
安全性が分からないネットワークから業務システムへアクセスする可能性も考慮する必要があります。
BYODではプライバシーも重要¶
BYODは会社のセキュリティだけ考えればよいわけではありません。
端末そのものは従業員個人の所有物です。
企業が端末管理のために、
- 端末情報を取得する
- アプリの状態を確認する
- 業務データを削除する
- 端末の利用状況を確認する
といった仕組みを導入すると、従業員の個人データや私生活へどこまで企業がアクセスできるのかという問題も生まれます。
そのため、
会社のデータを守る と同時に、 個人のプライバシーも守る
という設計が必要です。
BYODでは、技術だけでなく、会社と従業員の間でルールを明確にしておくことも重要になります。
BYODではどんな対策が必要？¶
企業でBYODを認める場合、例えば次のような対策が考えられます。
利用できる端末の条件を決める¶
サポート期間内のOS
画面ロック必須
端末暗号化
脱獄・root化された端末は禁止
など、業務へ利用できる端末の条件を決めます。
多要素認証を利用する¶
個人端末を紛失した場合でも、端末を持っているだけで社内システムへログインできる状態は避けたいところです。
ID・パスワード
+
追加の認証要素
を利用することで、不正アクセスのリスクを下げられます。
業務データと個人データを分離する¶
業務用アプリや管理領域を分けるなどして、
個人データ
業務データ
が不用意に混ざらないようにします。
これは、会社の情報を守るだけでなく、企業が個人データへ必要以上にアクセスしないためにも重要です。
端末を管理する仕組みを利用する¶
組織では、モバイル端末管理などの仕組みを使い、
- OSの状態
- セキュリティ設定
- 利用可能なアプリ
- 業務データへのアクセス条件
などを管理することがあります。
ただし、個人端末をどこまで管理するかはプライバシーにも関わるため、方針を明確にする必要があります。
紛失時の対応を決める¶
端末を紛失した場合に、
誰へ連絡する？
アカウントを停止する？
業務データを削除する？
といった手順を事前に決めておきます。
事故が起きてから考えるのではなく、運用ルールとして準備しておくことが大切です。
各選択肢を確認しよう¶
アは会社貸与端末¶
アでは、
企業から貸与された情報端末
とあります。
会社が所有する端末なのでBYODではありません。
移動中に利用するかどうかは、BYODを判断するポイントではありません。
イも会社貸与端末¶
イも、
企業から貸与された情報端末
なのでBYODではありません。
また、会社貸与端末を私的利用することとBYODは別の話です。
ウは私物端末だが業務利用していない¶
ウでは、
私的に保有する情報端末
なので個人所有端末ですが、
休憩時間などに私的に利用
しています。
業務利用ではないため、BYODの説明ではありません。
エがBYOD¶
エでは、
個人所有の端末
+
業務利用
という二つの条件を満たしています。
そのため正解です。
科目Bでは「誰の端末で何へアクセスしているか」を読む¶
BYODの問題では、
端末の所有者 と 利用目的
を見ると整理しやすくなります。
例えば、
従業員の個人スマートフォン
↓
会社のクラウドストレージへアクセス
↓
顧客データを閲覧
という構成ならBYODです。
ここから、
「端末のOSは安全か」 「認証は十分か」 「端末紛失時はどうするか」 「業務データと個人データは分離されているか」
まで考えられると、科目Bのセキュリティ学習につながります。
Giji AcademyでBYODやテレワークのセキュリティを学ぶ¶
科目Bのセキュリティでは、
「BYOD＝私物端末を業務利用」
と暗記するだけではなく、
その端末がどのネットワークへ接続し、どの情報へアクセスするのか
を考えることが重要です。
Giji Academyでは、ネットワークやサーバーの基礎から学び、そのうえでテレワークやBYODなど、実際の利用場面に近いセキュリティ問題へ進めるようにしています。
例えば、
自宅
↓
個人端末
↓
インターネット
↓
会社のシステム
という構成を見ながら、
- どこで認証するのか
- 通信をどう守るのか
- 私物端末をどこまで信用するのか
- どんなルールが必要か
を考えていきます。
「用語問題は解けるけど、科目Bで具体的な運用の話になると分からない」という方は、システム構成と一緒に考える練習をしてみてください。
登録不要で無料体験できます。
過去問解説まとめ¶
今回の記事では、BYODについて解説しました。
答えは、エの「従業員が私的に保有する情報端末を業務に利用する」です。
BYODで覚えておきたいポイントは次のとおりです。
- BYODは個人所有の端末を業務に利用する運用
- 会社貸与端末はBYODではない
- 働く場所や端末選択の柔軟性を高められる場合がある
- OS更新、マルウェア、紛失・盗難などのリスクがある
- 業務データと個人データの分離が重要
- 多要素認証や端末管理などを組み合わせる
- 企業側のセキュリティだけでなく従業員のプライバシーにも配慮する
基本情報技術者試験では、
個人所有 + 業務利用 = BYOD
とまず覚え、そのあとに「どう安全に利用するか」まで理解しておきましょう。
Giji Academyでは、擬似言語に加えて、科目Bに関連するネットワーク・セキュリティ問題も実践的に学習できます。
Giji Academy｜科目Bの擬似言語・セキュリティを学ぶ
基本情報技術者試験の過去問解説はこちらから確認できます。
