Androidデバイス管理とは

世界中のモバイル・デバイスの80%以上が、Googleが開発したモバイル・オペレーティング・システムであるAndroidを実行しています。この割合の高さは、企業の従業員が仕事用と個人用の両方で他のタイプのデバイスよりもAndroidを使用する可能性が高いことを示しています。

Androidデバイスで重要なビジネス・データにアクセスする場合、ハッキング、盗難、紛失などの被害に遭うと、セキュリティーが脅かされる可能性があります。しかし、単一のADM（Androidデバイス管理）プラットフォームを使用することで、IT部門とセキュリティー部門は企業のすべてのモバイル・デバイスを管理し、安全性と労働力の柔軟性と生産性を保つことができます。

Androidデバイス管理により、IT管理者はAndroidデバイスを管理し、保護することができます。システムの可視性、リモート・アプリ管理機能、自動セキュリティー更新とインストール、キオスク・モード、セキュリティー・アラート、紛失や盗難にあったデバイスを自動ロックできる位置情報またはジオフェンシング機能を提供します。

Statista社によると、Android OSは世界で最も広く使用されているモバイル・オペレーティング・システムです¹。そのため理論上、AndroidユーザーはApple iOSユーザーなどと比較して、より多くのセキュリティー侵害に遭遇します。Androidセキュリティの主な2つの脅威は、マルウェアとデータ漏洩です。

Google Playストアでは何百万ものAndroidアプリを利用できます。個人データを細心の注意を払って取り扱う安全なサービスもありますが、安全でないサービスも数多くあります。アプリは侵害される可能性があります。

侵害されたアプリはデータ漏洩につながるかもしれません。個人データや企業データが、安全でないアプリから悪質なサードパーティに流出する可能性があります。データが漏洩する原因の1つは、アプリの過度の権限付与です。アプリの権限は、アプリがユーザーのデバイス上でどの機能にアクセスできるかを決定します。一部のアプリ権限はその他のアプリ権限よりもリスクが高いため、ユーザーは付与する権限に注意を払う必要があります。

Wandera社の調査「モバイル脅威ランドスケープの理解」によると、Android上で最も要求される権限の45%が高リスクであると考えられています。しかし、どの権限が高リスクであり、どの程度リスクが高いのでしょうか？Wandera社が高リスクと考えるAndroid上で定期的に許可されている権限のリストは、次のとおりです。

• アカウントの検索：アプリがスマートフォンで認識されているアカウントのリストにアクセスできます。
• 連絡先の読み取り：アプリがデバイスに保存されている連絡先に関するデータを読み取ることができます。
• スマートフォン・ステータスの読み取り：アプリが電話番号やデバイスIDなどのデバイスの内部機能にアクセスできます。
• SDカードの読み取り：アプリがSDカードの内容を読み取ることができます。
• SDカードへの書き込み：アプリがSDカードの内容を変更または削除できます。
• 正確な位置情報：アプリがGPSまたはネットワーク位置情報ソースを使用して正確な位置を取得できます。
• 音声の録音：アプリがいつでもマイクを使用して音声を録音できます。
• 写真とビデオの撮影：アプリがいつでもカメラを使用できます。

Wandera社の調査によると、「組織の65%が、古いオペレーティング・システムを搭載したデバイスを少なくとも1台所有している」とされています。この調査データではまた、「Androidデバイスの57%が、現在のOSの少なくとも2つのフル・バージョンのOSを実行している」ことも示しています。オペレーティング・システムをアップデートすると、デバイスの性能が向上するだけでなく、クリティカルなセキュリティ・パッチも適用されます。そのため、OSをアップデートしないと、Androidデバイスはサイバー攻撃に対して脆弱なままとなります。

Androidデバイスのサイドローディングとは、デフォルトのGoogle Playストアを使用しないアプリのインストール・プロセスを指します。Android OSのデフォルト設定では、サイドロードされたアプリを非公式なソースからダウンロードおよびインストールすることはできませんが、サードパーティのアプリを許可するようにAndroid OS設定を構成することは可能です。そのため、ユーザーはWebサイトからアプリケーション・パッケージをダウンロードしたり、サードパーティーのアプリ・ストアからアプリをインストールしたりできます。

Wandera社の調査によると、Androidデバイスの約20％がこの設定を有効にしており、結果的にデバイスを脅威にさらしています。アプリをサイドロードするユーザーは、AppleとGoogleの公式アプリ・ストアでのアプリケーション検査プロセスを迂回するため、セキュリティー・リスクが増大します。そのため、誤ってインストールされたマルウェアに対するデバイスの保護機能は低下します。Wandera社の調査によると、「組織の35%は、サイドロードされたアプリが1つ以上インストールされたデバイスを少なくとも1台所有している」とのことです。

ルート化とは、Androidユーザーが内部OSシステムを制御できるようにするプロセスのことです。その名前が示すように、この手法はデバイスへのルート・アクセスを提供します。ルート化されたAndroidデバイスのユーザーは、デバイスのオペレーティング・システムの変更を含む大幅な変更を加えることができます。Android OSのルート化は、Apple iOSのジェイルブレイク（脱獄）に似ています。どちらも権限昇格の方法ですが、ルート化は、Appleユーザーがジェイルブレイクを通じて得られるよりも多くの制御をAndroidユーザーに提供します。

Wandera社の調査によると、「組織の6%は、ジェイルブレイクまたはルート化されたデバイスを少なくとも1台所有している」とされています。キャリア・ロックからデバイスを解除しようとするユーザーに人気がありますが、これらの危険な構成により、許可されていないソフトウェア機能やアプリケーションがインストールされる可能性があります。一部のユーザーは、セキュリティー強化を目的として、モバイル・デバイスをジェイルブレイクまたはルート化する場合があります。しかし多くのユーザーは、OSのカスタマイズや公式アプリ・ストアでは入手できないアプリケーションのインストールなど、より簡単な方法を求めています。いずれにせよ、ルート化はデバイスをサイバー脅威にさらすことになります。

成功するADMプログラムは、Android Enterpriseで最も効果的に機能します。Android Enterpriseは、職場でのAndroidデバイスとアプリの使用を可能にするGoogle主導の取り組みです。これは、企業所有のAndroidデバイスをデプロイするための迅速かつ合理化された方法を提供し、5.0以降を実行するAndroidデバイスのデフォルトの管理ソリューションです。

このプログラムは、Androidのサポートをエンタープライズ・モビリティー管理（EMM）ソリューションに統合するためのAPIやその他の開発者ツールを提供します。例えば、Android Enterprise推奨の統合エンドポイント管理（UEM）プラットフォームであるIBM® Security MaaS360は、Android Enterpriseと連携してAndroid EMMソリューションAPIをサポートします。これは、Androidオペレーティング・システムに一元化された管理エクスペリエンスをもたらします。

Android Enterpriseの統合により、組織は次のことが可能になります。

• OSシステムとバージョン番号、製造元の詳細、ルート検知など、各デバイスに関するインサイトを取得できます。
• デバイスの位置を特定し、紛失したデバイスをロックまたはワイプ（完全および選択的）するアクションを実行します。また、ブロックリスト、許可リスト、自動インストールまたは削除機能を使用してアプリを制御します。
• カメラなどのハードウェア機能にジオフェンシングを適用し、機密データを保護します。
• EメールからWi-FiおよびVPNまで、企業リソースにアクセスできるようにポリシーを設定します。進化する企業標準に合わせてパスコードの更新や長さを管理し、暗号化とキオスク・モードを適用します。
• カメラ、USBストレージ、マイクなどのハードウェア機能を無効にします。クリップボード、カット・アンド・ペースト、画面キャプチャー機能の制限により、データ・レベルの漏洩から保護します。
• 脆弱性を低減するためにOSの更新を強制するか、企業アプリケーションを精査してデプロイの準備が整うまで更新を一時停止します。
• 新しいAndroid OSバージョンとOEMConfigを使用して、デバイスのゼロデイをサポートします。
• 事前構成された設定によるゼロタッチ登録と、大規模な展開のためのワンタイム・セットアップを行います。

BYOD（個人所有デバイスの業務使用）は、個人のアプリ情報、デバイスの場所、物理所在地、SSID、閲覧履歴を保護することで、プライバシーと安心感をサポートします。Androidの仕事用プロファイルを使用すると、作業データを安全に保ちながら、個人データのプライバシーを守ることができます。ユーザーは、二者間でデータを共有することなく、仕事用プロファイルと個人用プロファイルを切り替えることができます。