管理されているからといって安全とは限らない

はじめに

管理は、現代のデバイス運用において不可欠な要素です。

モバイルデバイス管理（MDM）コンソールでデバイスの様々な要素を確認すると、次のようなことがわかります。

• ベースライン構成は導入済みか？はい。
• ポリシーによってコンプライアンスは確保されているか？問題なし。
• インベントリレポートは正確に作成されているか？問題なし。

すべてが管理されているからどんなタスクも円滑に実行できるとわかっているのは、安心感があります。

しかし、それらのデバイス環境は安全だと言えるでしょうか？

本記事では、以下について解説します。

• 「管理されている」状態と「安全である」状態の違い
• 隠れたセキュリティギャップを特定する方法
• ギャップを解消するには何が必要なのか

MDMができることとMDMでは把握できないこと

MDMは、中堅企業における管理戦略の基盤です。一元管理システムを通じてエンドポイント管理が容易になり、登録されたデバイスがコンプライアンスに準拠した形で導入されるよう設計されています。この実現には以下の機能が使用されます。

• オペレーティングシステム（OS）のアップデート
• アプリのインストール
• プロファイルの強化
• アクセス権限の設定
• ポリシーによる設定の強制適用

ID管理やセキュリティなどデバイス管理の他のすべての要素は、MDMを基盤とし、そのレイヤー上で相互に連携します。

これを踏まえたうえで、先に明確にしておきたい重要な違いがあります。「管理されていること」と「安全であること」はイコールではない、ということです。MDMは、以下のようなエンドポイントセキュリティ機能を処理したり代わりとなったりするようには設計されていません。

• 健全性ステータスの監視
• 高度な脅威の阻止
• リスクの高い挙動の検出
• 不審なアクティビティの特定
• 侵害されたデバイスの隔離

管理のプロセスにはセキュリティが不可欠です。

こう言い換えてもいいでしょう。デバイスは管理されていないと安全ではありませんが、デバイスが安全でないなら本当の意味で管理されていることにはなりません。

どちらか一方では成り立たないのです。

ギャップがはどこに生じ、なぜ見えないのか

管理とセキュリティは本質的に異なるものです。その違いを理解するために、車が動く仕組みを例に考えてみましょう。

デバイス管理はIT管理者に、デバイスのハードウェアとソフトウェア、車で言えばにボンネットの中にあるものや車体構造に関するインサイトを提供します。たとえば、エンジンの燃焼効率、エアフィルターの状態、タイヤの摩耗具合などです。

一方、セキュリティは、デバイスのパフォーマンスに影響を与える要因を可視化します。車であれば、特定のタスクを怠るとパフォーマンスや安全性に悪影響を及ぼします。例えば、メーカーのガイドラインに従ってオイル交換を行わないとエンジンが損傷し、フィルターを適切な時期に交換しないと車内の空気の質が低下し、タイヤのローテーションや交換を怠ると、路面状況によっては運転を続けることが危険になるおそれがあります。

端的に言えば、車のメンテナンスと同様に、IT管理者も環境をメンテナンスする必要があるということです。そのためには、意思決定の判断材料となるあらゆる情報を手に入れなければなりません。

エンドポイントセキュリティは、Appleの豊富なテレメトリをもとに、コンプライアンス違反、異常な挙動、パッチやアップデートの未適用など、デバイスの健全性や状態に関する重要なデータを可視化します。IT管理者はこれらの情報を活用して、デバイス管理の設定やポリシーを構成することができます。

セキュリティなしのMDMでは気づけない可視性ギャップの具体例には、以下のようなものがあります。

• 従業員がダウンロードしたアプリやデバイス構成の変更によって時間の経過とともに発生するものの、ポリシー違反にはならない構成ドリフト（構成のずれ）
• デバイスがMDMにチェックインしていなかったり電源がオフになっていたりするにおける、管理対象デバイスにOSアップデートやアプリパッチが適用されない
• 管理対象デバイス上で検出されずに実行されている未確認のマルウェアなどの脅威アクティビティ
• 退職者や部署異動した従業員の認証情報が有効なままになっているなど、システムが無防備になるような権限の不整合
• サーバがデバイスのチェックインを待つ間にテレメトリデータが遅れたり不完全になったりすることによる、デバイスの健全性の低下

ギャップを解消するために必要なこと

「MDMでは把握できない脅威に対して、IT部門はどのような保護（または修復）を講じればよいのか？」という疑問が浮かぶかもしれません。包括的なエンドポイント戦略を成功させるには、管理者が自身の視点を見直すことが必要です。管理とセキュリティを対等なものとして捉え、どちらかを軽視したり置き換えたりする発想はやめましょう。

可視性のメリットを活かし、デバイスで何が起きているかをリアルタイムで把握するには、IT部門が強固な基盤の上にセキュリティレイヤーを構築する必要があります。モバイルデバイス管理の役割は、ポリシーのステータス監視、アプリの導入、初期設定、ユーザの割り当てだけにとどまりません。MDMは、IT部門の戦略のあらゆる要素が構築されて実行される基盤となるレイヤーなのです。

統合こそが鍵

デバイス管理とエンドポイントセキュリティのソリューションをシームレスに統合することで、デバイス管理はX線のようにデバイスのハードウェアとソフトウェアの挙動を詳細に「見通し」ます。これにより、オフィスであろうとリモートであろうと、デバイスの状態をリアルタイムで反映するアイデンティティとアクセス制御が実現します。

さらに、エンドポイントセキュリティが提供するきめ細かさは、MDMでは検出できない以下のようなものも防御します。

• 挙動に関するシグナル
• 不審なプロセス
• セキュリティ侵害インジケータ（IoC）
• 悪意のある高度な脅威

そして、この統合は管理ソリューションとセキュリティソリューション双方の強みを結びつけ、継続的な強制適用と修復ワークフローを実現します。構成ドリフトを脆弱性が悪用される前に捕捉し、自動化されたインシデント対応によってエンドポイントの脅威を軽減し、コンプライアンスを維持します。

まとめ

適切に管理されているデバイスであっても、安全な状態であるとは限りません。MDMは、中堅企業のIT部門がデバイスの導入、設定、監視を行うための構造を提供する基盤です。次に取り組むべきことは、悪意のある脅威などの検出、リスクの高い挙動のフラグ設定、リアルタイムでの構成ドリフトの捕捉など、MDMが想定していない問題に対処できるようにすることです。

この可視性のギャップを埋める第一歩は、管理とセキュリティをどちらか一方だけではなく、互いに補完し合うレイヤーとして認識することから始まります。両者を統合することで、継続的な適用と迅速な修復が可能になるだけでなく、管理対象デバイスを真に保護されたデバイスに変えることができます。

ギャップの特定

組織内で管理とセキュリティのギャップがどこにあるかを特定するために、まずは以下のステップの実行を検討してみてください。

1. 現在のMDMコンソールを監査し、コンソールが報告している内容と、脅威や異常な挙動など検出できていないものを特定します。
2. デバイスのチェックインの合間で検出されなかったパッチの未適用やアクセス制御のギャップによって構成ドリフトが起きている箇所を特定します。
3. デバイスの健全性検証に、定期チェックインではなくリアルタイムのテレメトリを利用することで、対応時間がどれくらい短縮されるかを見積もります。
4. 自動化されたインシデント対応ではなく、まだ手作業で対応している修復ワークフローを特定します。
5. オンプレミスとリモートのエンドポイントでデバイスの状態変化がアクセス制御にリアルタイムでどのように反映されているかを評価します。