［事例編1］アジア航測、インテル

アジア航測
安くなったMDMでスマホを管理
セキュリティ対策の証跡に活用

　航空測量や地理情報管理などを手掛けるアジア航測は、BYODという言葉に注目が集まる前からPCや携帯電話機（フィーチャーフォン）で私有端末の業務活用を実践してきた。スマートフォンにもいち早くBYODを適用した。

PCはメリハリを付けて管理

経営管理本部　経営情報部 部長
坪井 哲也

　同社が私有端末を業務に活用し始めたのは2004年～2005年頃と古く、当初の対象はPCだった。当時、同社ではISMS認証を取得しようと考えており、建物の物理的な入退出のチェックから、ネットワーク上でのPCの入り口、出口のチェックまでを徹底することにした。

　ところが社内には、メールを個人用アカウントに転送したり、USBメモリーでデータを持ち帰ったりして仕事の残りを自宅のPCで進める従業員がいた。ちょうど、世の中でP2P（ピアツーピア）ファイル共有アプリが流行し、情報漏洩の原因になると騒がれていた時期だった。「セキュリティ確保のために従業員が自宅で使うコンピュータまできちんと管理しなければいけないと考えた」（同社 経営管理本部 経営情報部の坪井哲也部長）。

　こうした動きと並行して同社では、営業担当者など頻繁に外出する従業員からノートPCを使いたいというニーズが出ていた。ただ当時、まだノートPCの価格が高く、一人1台ずつの会社支給は予算的に難しかった。そこで優先度を付けて順番に支給し、支給対象外の社員については「会社のルールに従う形なら、個人の所有物を使ってもよいことにした」（同氏）。

　会社にあるパソコンについては、インベントリー管理ソフトを導入し、細かく管理している。私有のPCについては、大きく2通りの管理方法を採っている。会社に持ち込んで常時接続しておくものや、外部からVPN経由で頻繁に接続するものについては、会社のデスクトップPCと同様に管理している。一方、自宅で使うPCやほとんど会社のネットワークに接続しない個人所有PCは、会社の集中管理が行き届きにくいため、半期に1回、必要事項を満足しているかどうかチェックリストで確認している。

携帯電話機の私物利用で運用ルールを確立

　私有の携帯電話機（フィーチャーフォン）についても業務利用を認めることしたのは2007年～2008年頃のことだ。同社では、会社から携帯電話機を支給しておらず、基本的には従業員が自分の端末を使っていた。主な用途は、会社のメールチェックである。客先との通話や会社への定時連絡などに個人の携帯電話機を使うケースもあった。そうすると、会社のメールや客先の電話番号が端末に残る。「Pマークを取得する際、携帯に入っている電話番号もすべて個人情報という認識にした」（同氏）。このため個人の端末を管理する必要に迫られた。

　具体的な管理方法は、パスコードロックをかける、落とさないようにするストラップを付ける、といった項目の実施状況のチェックである。また、もし端末を紛失したら、上長やセキュリティ委員会にすぐに報告するというルールを設けた。チェックは、私有パソコンと同様、半期に1度、チェックリストを使って実施している。「端末を無くしていないか、ルールを順守しているか定期的に確認する棚卸しになる。ユーザーへの注意喚起にも役立つ」（同氏）という。

スマホ管理に導入したMDMは証跡に活用

図2-1●アジア航測のBYOD向けネットワーク構成

同社では、私有のスマートフォンでのメール利用を許可している。基本的な接続方法は、VPN経由で会社のサーバーにアクセスする形をとる。また、私有端末を含めたスマートフォンの管理に、この2月からクラウド型のMDMサービスの利用を始めた。

[画像のクリックで拡大表示]

　最後にスマートフォンについて。これは、携帯電話機からの流れでそのままBYODを適用した。主な利用方法はメールのチェック。携帯電話機と同様、会社のメールを転送する方法と、一部試験的にVPNで社内に接続し、メールを見たりグループウエアを確認したりといった取り組みも始めている（図2-1）。

　当初、携帯電話機と同じルールでスマートフォンを管理していたが、2012年2月に大塚商会のMDMサービス、「たよれーる デバイスマネジメントサービス」を導入した。これでリモートからの設定や紛失時のリモートロック/リモートワイプが可能となった。

　「携帯電話機と同じ“アナログ”な方法での管理では、確認頻度が少なくなり、当然抜けが増える。社内のポリシーよりレベルが一段低かったため、それを通常レベルへ上げたかった」と同氏はMDM導入の理由を説明する。このタイミングで導入したことについて同氏は、「私たちから見ると、1～2年前はこういった仕組みが比較的高価だった。最近は初期費用が安価で、導入しやすくなった」ことを理由に挙げる。

　幸いにもMDMが活躍するような事故は起こっていない。それでもセキュリティ管理の状況を対外的に説明するのにMDMが役立っているという。「当社はISMS規格のISO 27001を取得しているが、そういった監査のときに管理の証跡としてMDMを提示できるので、管理部門としては楽になるはずだ」としている。