この連載では、企業がBYODの潮流に向き合うにあたり、見落とされがちな重要なポイントについてまとめている。3回目となる今回は「モバイルワーク」環境を視野に入れた場合のセキュリティ上のポイントについて考えて見よう。
「BYOD」（Bring Your Own Device）について議論する場合、「Bring」という単語のイメージに気をとられてしまうと「社内に持ち込まれる私物デバイス」を中心に、ポリシーや技術的な対応を考えてしまいがちだ。しかし、実際のBYODは、モバイルワーク（外出先での仕事）やテレワーク（在宅勤務）といった、さらに広い、ワークスタイル全体におよぶコンセプトである。
例えば、「BYODによる生産性の向上」を考える場合、社員が私物のスマートデバイスやPCなどを「社内だけで」業務利用するという状況は考えづらい。スマートフォンを筆頭にBYODの対象となりやすいデバイスの多くは、その携帯性に優位性をもっている。出張時はもちろん、メールのチェックや日報の作成といった「スキマ時間」を活用できる業務を、外出先で行いたいと思うのは当然だろう。
また、社員の在宅勤務を含む「テレワーク」に対応する視点も考慮したい。現在では、ほとんどの家庭にインターネット接続環境が普及している。社員が自宅で業務を行う場合、そのためのデバイスは「私物」になるのが多い。
現在テレワークを導入していない企業であっても、BYODへの対応を考えるのであれば、合わせてテレワーク環境までを視野に入れておくことを勧めたい。人事評価や費用負担などの制度を別にすれば、技術的な仕組みの多くはモバイルワークと共用できるからだ。自宅から社内のシステムにアクセス出来る環境さえあれば、大規模災害などにより、多くの社員が出社できない事態になったとしても、完全に業務が止まってしまうという状況は回避しやすくなる。BYODのための環境整備やポリシーの策定といった作業を、BCP（事業継続計画）の一部として進めると更に効率かもしれない。
BYODの範囲として「モバイルワーク」や「テレワーク」までを考慮すると、単に「社内での私物デバイス利用」を許可する場合とは違うポリシーの策定や技術的な実装が必要になる。そこを見落としていると「ワナ」にはまってしまう可能性が高い。いくつかポイントを挙げてみよう。
「どこまでBYODを認めるか」を慎重に検討する
まず考えるべきなのは、どの業務に対しBYODを認めるかという点だ。エンドユーザーのニーズとして最も高いのは「メールの送受信」や「スケジュール確認」といったコミュニケーションツールへのアクセスだろう。生産性の向上という観点では、さらに「日報システム」「稟議ワークフローなどを含むグループウェア」へのアクセスあたりまでは検討するケースが多くなるはずだ。
ただし、安易にBYODで可能な業務の範囲を広げると、何らかの事故が発生した場合のリスクを高めてしまう。
「モバイルワーク」環境には、常にデバイスの紛失や盗難のリスクがつきまとうし、「テレワーク」環境では、子どもが不用意にインストールした「ファイル共有ソフト」や「悪意あるソフトウェア」によって、仕事のために持ち帰ってPCに入れていた機密データが大規模に漏えいするといった事件が繰り返し起きてきた。
企業オフィスは、安全かつ快適に業務をおこなうために最適化された空間である。そこから離れるのであれば、それ相応の準備が必要になるはずだ。
最近では、オフィスのペーパーレス化が進み、業務に関するあらゆる情報がデジタルデータ化されて、システム内に置かれている状況にある。リスク評価の結果と合わせて考える必要があるが、モバイルワークやテレワークを想定するならば、現状よりもワンランク上の情報セキュリティレベルを目指すことが望ましい。
