ビジネス用途で活用する際の注意点：Androidセキュリティの今、これから（3）（1/4 ページ）

爆発的な勢いで普及し始めたAndroid端末は、大きなポテンシャルを秘める一方で、セキュリティという課題にも直面しています。この連載では一般ユーザー、ビジネスユーザーと、あらゆるAndroidユーザーを対象に、Androidのセキュリティについて解説していきます。（編集部）

[Android セキュリティ部，＠IT]

「ビジネス用途」ならではの注意点

　第1回で紹介したように、今日、Android OS搭載端末（以下、Androidと略）は全世界で数多く出荷され、これに伴ってビジネス用途でのAndroidの活用も広がっています。この爆発的な普及のけん引力は、他のスマートフォンとの大きな違いであるAndroidの「自由さ」にあるといっても過言ではありません。

　しかし、その「自由さ」の一方で、より慎重なセキュリティ対策が必要とされているのも事実です。

　本記事は、主にAndroidをビジネス用途で活用したい、あるいはすでに社員が使っているために対策を考えたい情報システム管理者に向けて、ビジネス用途でAndroidを活用する際のセキュリティ上の注意点を、技術的、物理的、人的側面から解説します。

　また、Androidアプリを開発する開発者にとっても、セキュリティ仕様を実装する際の参考になることを願い、実装に関する情報も併せて記載します。現場ではAndroidアプリのセキュリティ部分において、仕様策定者と開発者の意見に食い違いが見られることもあることでしょう。本記事が、双方の事情や立場を理解して歩み寄り、よりセキュアな実装につながるきっかけになれば幸いです。

　一般ユーザー向けのセキュリティ対策については、第2回の「Androidを取り巻く脅威―ユーザーにできることは？」をご参照ください。Androidにおける基本的なセキュリティ対策を理解することは、Androidをビジネス用途で利用する際のセキュリティ対策を考える上でも有用です。

　一般的にビジネス用途でAndroidを利用しようとする場合、現在、最も大きなセキュリティ脅威となる問題は、情報漏えいです。この問題を取り扱う際に避けて通れないのは、守るべき情報を定義し分類する作業です。これは企業におけるセキュリティポリシーを策定および運用する際に重要になるためです。

　本記事では、Androidのビジネス利用における脅威と対策の概要を解説します。そして次回は具体的な対策の1つであるMDM（注1）を、さらにその後に、Androidを利用する際に必要となるリスク管理プロセス（情報の重要度の分類、リスクアセスメント、セキュリティポリシーの策定）を紹介します。

注1：Mobile Device Managementは、モバイルデバイスを管理する手法の概念的用語です。

企業におけるAndroid利用のメリット

　先に記述したAndroidの「自由さ」は、操作性（Androidの多くは、タッチパネルで自由度の高い操作ができます）や、OHA（Open Handset Alliance、注2）から自由にAndroidソース一式を入手できる点、アプリを比較的自由に公開できるAndroid Market（注3）に限りません。インテント（Intent、注4）という仕組みによってAndroidのアプリ連携が容易にでき、マッシュアップが行えることも魅力的な要因の1つであり、ビジネス向けアプリの実装においても大きなメリットとなっています。

　Androidは他のスマートフォンと同じく、携帯電話機としての側面とPCの側面を兼ね備えています。しかし、Androidは先の「自由さ」から、よりPCに近いスマートフォンといえます。

　本記事では、単に電話・メール・スケジュール管理といったコミュニケーションツールとしての利用にとどまらず、業務システムの一環としてAndroidが活用されることも視野に入れて記載します。

注2：Googleが中心となってAndroidの開発を推進する団体で、OHAのWebサイトからはAndroidソースを自由にダウンロードできます。

注3：当初アプリ登録審査は皆無に近い状態でしたが、現在では簡単なマルウェア調査とマーケット規約準拠程度の審査は行われています。しかし、他のスマートフォンより緩やかです。

注4：Intent（インテント）を利用すると、わずか数行で、「ブラウザを開く」「電話をかける」「地図を出す」などのアプリ機能を容易に利用できます。

進化（バージョンアップ）の早いAndroid

　ここでは代表的なOSとして、Android、iOS、そしてWindowsのリリースタイミングを比較してみます（2.3.xなどの.xは省略）。

図1　WindowsとスマートフォンのOSリリースタイミング比較（クリックすると拡大します）

　この図のように、スマートフォンは最長でも200日以内（注5）には更新されていますが、Windows OSの更新は、最短でも約1年以上の期間が必要となっています。スマートフォンではインフラやデバイスのマッシュアップによるイノベーションが絶えず行われているため、進化のスピードが早いといえます。

　その進化速度のため、Androidをビジネスで活用したいと考える企業が、端末の選定に苦慮するケースも見られます。まず、Androidをビジネスで活用する目的をしっかりと定義することで、Androidの選定基準やアプリ要件が明確になるものと考えますが、本記事はビジネス用途のAndroid導入ガイドではなく、そのセキュリティ上の注意点を述べることを目的としているため、詳細は割愛します。

　また、業務アプリの自社開発も視野に入れてAndroidをビジネスで活用したいと考える企業にとっては、小規模でのアジャイル開発モデルやスパイラル開発モデルを利用し、短期開発・早期運用を行うことが重要となるでしょう。Androidでは前述したIntentを利用することで、非常に簡単にマッシュアップを実現できます。この特性を最大限活用するには、軽量な開発手法の利用がキーポイントになります。

注5：Androidでの最長は2.2から2.3の期間で199日。同様にiOSでは2.2から3.0の期間で209日。Androidの場合はSDKの公開日としていますので、実際に端末としてリリースされた期間ではないことに留意してください。