法人スマホのゼロトラスト入門｜端末だけに頼らない対策

境界型との違い

デジタル庁の「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月30日決定）は、境界型セキュリティを、ネットワークの境界で内外を分け、内側は信頼できるとみなす考え方と整理しています。これに対しゼロトラストは、境界の内側が侵害されることも想定したうえで、要求ごとに必要最小限の権限でアクセスを制御するものとしています。ただし、境界型の対策を否定するものではなく、追加のアクセス制御として併用できるとも書かれています。

構成要素をスマホに当てはめる

方針の構成要素	スマホでの具体例
ID管理	従業員ごとのアカウントと多要素認証。共用アカウントを減らす
デバイス等のリソース管理	MDMで端末を登録し、OSのバージョンや画面ロックの状態を確認する
ポリシー判断と施行	「管理された端末で、OSが一定以上なら業務メールを開ける」などの条件を決めて適用する
ネットワーク保護	通信の暗号化。社外のWi-Fiを暗黙に安全とみなさない
観測	サインインや端末の状態のログを取り、不審なアクセスを見つける

小さな会社で始める順番

アカウントを人ごとに分ける：部署共用のIDとパスワードを使い回していると、誰がアクセスしたか分からず、退職者の利用も止めにくくなります。
多要素認証を必須にする：パスワードを盗まれても、それだけではログインできない状態にします。
端末を台帳とMDMで把握する：管理されていない端末からのアクセスを見分ける土台になります。
条件付きのアクセスを試す：最初は業務メールなど1つのサービスから、管理端末だけに限る設定を試し、困る業務がないか確かめます。
ログを見る担当を決める：見る人がいないログは役に立ちません。月1回でも確認する日を決めます。

スマホならではの注意点

私物端末を業務に使う場合、端末全体を管理するのは難しくなります。Androidでは仕事用プロファイルで業務アプリとデータを分ける方法があり、Googleのヘルプでは個人用のアプリ、データ、使用状況は組織に公開されないと説明されています。会社支給の端末と私物端末で、アクセスできる範囲を変えるのも一つの方法です。

また、総務省のテレワークセキュリティのチェックリストにあるとおり、メーカーのサポートが終わったOSを使わないことは、端末の状態を確認する仕組みの前提になります。

よくある誤解

「ゼロトラスト製品を買えば完成する」：方針の構成要素は、ID管理、端末の管理、ポリシー判断、ネットワーク保護、観測と幅広く、1つの製品で全部をまかなうものではありません。既に使っているサービスで足りる部分も多くあります。

「中小企業には関係ない」：社員が社外のスマホから業務アカウントにアクセスしている時点で、境界の外からの利用はすでに始まっています。人ごとのアカウント、多要素認証、端末の把握という最初の3段階は、規模にかかわらず取り組めます。

どこから始めるか迷う場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録「5分でできる！情報セキュリティ自社診断」で自社の状況を確かめ、弱いところから手を付ける方法もあります。

一度に全部を進めず、3か月ごとに1段階ずつ進めると、社員の負担を抑えながら定着させられます。

進め方は経営者とも共有し、どの段階まで進んだかを年に1回確認すると、取り組みが途中で止まるのを防げます。

相談先・申込先の選び方

ゼロトラストの仕組みは、ID管理やMDMなど複数のサービスの組み合わせで作ります。携帯電話会社や販売店に相談する場合は、回線とあわせて提供されるMDMやID管理サービスの範囲、既に使っているクラウドサービスとの連携可否、月額と最低利用期間を確認します。導入前には少人数で試す期間を設けると、業務への影響を確かめられます。手順は法人スマホ導入前の試験運用にまとめています。

PR（広告）