個人用デバイスでの安全で生産的な業務の実現

Databricks ITでは、会社のデータを危険にさらすことなく、従業員がどこからでも働けるようにすることを目指しています。モバイルデバイスにおける重点は、単にメールをチェックすることから、実際の業務をこなすことへと移行しています。従業員は個人のスマートフォンでSlackを使用し、申請を承認し、社内アプリにアクセスしており、それらが「普通に動く」ことを期待しています。さらに、AIエージェントやGenie、Omnigent、Claude Codeといったツールの普及により働き方が変化しており、外出先でも集中した作業やコンテキストを失わないよう、デスクトップのセッションをスマートフォンに移行したいという要望が高まっています。モバイルのBYOD（個人端末の業務利用）は、仕事とプライベートが同じデバイスを共有するため、これを難しくします。個人のスマートフォンは、会社のノートPCとは異なります。Databricksとして、私たちはそれを所有しておらず、特定のアクセスを制限することはできず、その中身を閲覧する権利もありません。私たちが解決しようとした課題は、言うのは簡単ですが実行するのは困難なものでした。それは、ユーザーのプライバシーを侵害することなく、私たちが所有していないデバイス上の企業データを保護することです。

本ブログ記事では、社内におけるモバイルセキュリティへのアプローチ方法について説明します。単一の製品だけに焦点を当てるのではなく、私たちの手法はデバイス管理、認証、ゼロトラスト、アプリケーション管理という、それぞれ特定の目的を持つ4つのレイヤーで構成されています。

デバイス管理

スマートフォンのセキュリティを確保する前に、アプリ、構成プロファイル、証明書、セキュリティポリシーをインストールするための信頼できる方法を確立する必要があります。これは、他のすべてのコンポーネントが依存する基盤レイヤーであるモバイルデバイス管理（MDM）を通じて実現されます。

個人デバイスにおける最も重要な決定は、それらをどのように登録（エンロール）するかです。私たちは、iOSで「個人端末の業務利用（BYOD）」シナリオ向けにカスタマイズされたアカウント駆動型ユーザー登録（ADUE）を利用しています。個人のスマートフォンに対する完全なデバイス管理は避けています。ユーザー登録は仕事関連のコンポーネントのみを管理し、デバイス自体は管理しないため、私たちが他人の個人のスマートフォンを制御したり、不必要な制限を課したりすることを防ぎます。世の中で発生した顕著なセキュリティインシデントにおいて、完全なワイプ機能がないことが大きなメリットとなり、モバイルセキュリティ管理の導入に対するユーザーの信頼構築に役立つことが示されています。

登録中、スマートフォンは管理された企業のアイデンティティにリンクされた仕事用データのために、分離され暗号化されたワークスペースを確立します。一方で、個人のアプリ、写真、メッセージは完全にプライベートなままであり、私たちはアクセスできません。Androidでは、仕事用プロファイル（Work Profile）が同様の明確な分離を提供します。

MDMはゴールと誤解されがちですが、実際にはスタート地点にすぎません。これにより基準（ベースライン）を確立することはできますが、誰にアクセスを許可するかを決定したり、デバイスが信頼できるかどうかをチェックしたりすることはできません。これらの機能は、後続のレイヤーにあります。

アイデンティティとアクセス

デバイス管理が確立されたら、次のステップはアクセスの決定です。認証（authN）とコンテキスト対応シグナルは、すべての企業リソースのゲートキーパーとして機能し、アイデンティティプロバイダーを通じて管理されます。

アイデンティティだけでリクエストが許可されることはありません。すべてのリクエストは、ゲートを開くかどうかを総合的に判断する一連のシグナルに照らし合わせて評価されます。1つ目はアイデンティティであり、フィッシング耐性のある強力なパスワードレス多要素認証に裏付けられた、ユーザーが本人であることの確認です。次はデバイスであり、リクエストが未登録または不明なスマートフォンからではなく、既知の管理されたスマートフォンから送信されていることを確認します。最後にネットワークパスであり、リクエストが信頼できるトンネルを経由して届いた場合にのみアクセスを許可します。ここで、認証は次のレイヤーに静かに依存することになります。ゲートはリクエストが安全なネットワークアドレスから送信されていることを検証し、それらのアドレスはゼロトラストによってデバイスが健全であると判断されている間のみ有効になります。これらのシグナルのいずれかが弱いか欠けている場合、ゲートは閉じたままになります。

ほとんどの組織にとって、これは有効にできる最も効果の高い管理策であり、最初に適用すべき適切な対策です。信頼できるシグナルがなければ、アクセスはできません。

ゼロトラスト

認証はアクセスを許可すべきかどうかを決定するのに対し、ゼロトラストネットワークアクセス（ZTNA）ソリューションの導入は、ログインイベントに限定されず、デバイスの現在の健全性を評価し、リアルタイムの強制適用を提供します。仕事関連のトラフィックは、アプリごとのVPNを介して安全なトンネルを経由してルーティングされ、個人のトラフィックが確実に分離された状態を維持します。ポスチャ（セキュリティ状態）は、入り口で一度だけ評価されるのではなく、デバイスの使用中に継続的に評価されます。例えば、私たちのポリシーは、脆弱性がある、または侵害されたOSを自動的に特定し、手動の介入なしにそのデバイスのトラフィックを即座にブロックできます。

基本原則は、デフォルトでアクセスを拒否し、許容可能な条件が満たされた場合にのみ許可することです。広範なネットワークアクセスを許可するのではなく、ZTNAはユーザーのアイデンティティとデバイスの健全性の両方が有効である間のみ、特定のアプリケーションへのアクセスを許可します。いずれかが低下または無効になった場合、アクセスは遮断されます。私たちは、継続的な検証が最も重要となる、最も重要なアプリケーションに焦点を当てています。

アプリケーション管理

モバイルデバイスにアプリをデプロイする際の最初のステップは、管理対象アプリとしてインストールすることです。これにより、スマートフォン上のアプリのコピーが、自分でダウンロードしたバージョンではなく、私たちによって管理されるようになります。その後、企業データをどのように保護するかはアプリによって異なります。MDMを介して、データをアプリ内に制限する設定や、安全なサインインを事前設定するなどの管理された構成をプッシュすることがあります。一部のアプリには独自のエンタープライズ管理機能が含まれており、他のアプリでは、デバイスではなくサービスを通じて管理される、アプリ外へのコピー＆ペーストのブロックなどのテナントレベルの制御が提供されます。これが効果的に機能すると、個人デバイスであっても、企業データは安全な境界内に留まります。

モバイルデバイス管理がアプリを提供するのに対し、アプリケーション管理はその機能を決定します。

アプリまたはサービス自体が互換性を持っており、私たちの管理された構成なしでの実行を拒否するか、安全なトンネルからのトラフィックのみを受け入れる場合のいずれかにおいてのみ、管理対象バージョンのアプリを確実に強制適用できます。アプリがどちらもサポートしていない場合、私たちのアイデンティティポリシーはデバイスが管理されていることを確認できますが、使用されている特定のコピーが私たちのものか、アプリストアから直接ダウンロードされたものかを判別することはできません。私たちは、機密性に応じてアプリを階層化し、エンタープライズモビリティ管理をサポートするアプリを厳格に優先し、Webアプリをエンタープライズ管理のブラウザ経由で誘導することで、単一の制御されたチャネルで一度に多くのサービスをカバーし、新しいモバイルアプリケーションを評価する際に管理された構成またはネットワーク制限のサポートを要求することで、この問題を解決しています。

プライバシーと透明性

モバイルセキュリティプログラムの成功は、従業員の登録にかかっています。従業員が、会社が個人のデバイスを密かに監視していると感じて参加率が低下すれば、どんなに高度な管理策も役に立ちません。そのため、私たちは従業員体験と透明性を極めて重要な要素として優先しています。

私たちの基盤は、プライバシーに関する完全な透明性です。会社のスタッフがアクセスできるものとできないもの、そして個人デバイスで実行できるアクションについて、わかりやすい言葉で明確に伝えています。私たちはこのポリシーを文書化し、法務およびプライバシーチームとレビューし、登録前に簡単にアクセスできるようにしました。この高いレベルの透明性を通じて信頼が構築されます。

実践での取り組み

私たちはこのモデルを使用して、Databricks ITが最初の顧客（カスタマーゼロ）となったGenieモバイルアプリを含む、独自のモバイルアプリを構築し、セキュリティを確保しています。

Databricks ITは、単なるステークホルダーとしてではなく、エンジニアリングチームと緊密に連携しています。私たちは彼らと協力し、Genieが今日まで使い続けている追加の管理策を推奨しました。Genieは管理対象アプリとして当社のモバイルフリートにデプロイされており、管理されたデバイス上の許可されたユーザーのみが使用できるように、アイデンティティ管理を通じてアクセスが制限されています。トラフィックは、セキュリティと定期的なポスチャチェックのために、安全なトンネルを介して送信されます。基盤となるセキュリティレイヤーがすでに整っていたため、Genieは個別のモバイルセキュリティソリューションを必要とせず、代わりに既存のインフラストラクチャを使用しました。

カスタマーゼロとして、Databricks ITは製品開発を導き、お客様がアプリをデプロイするのに役立つドキュメントを作成する機会を得ました。私たちはエンジニアリングチームに対し、登録、モバイルアクセスプロセス、およびモバイルに必要なセキュリティモデルについてフィードバックを提供しました。この継続的なインプットは、GenieやOmnigentといったDatabricksの製品・サービスを形成するのに役立っています。このパートナーシップにより、安全でモバイルファーストな体験を提供する、将来の多くの社内向けおよび顧客向けアプリケーションが可能になります。

主なポイント

• モバイル戦略のレイヤー化
  • 単一の管理策だけでモバイルデバイスを完全に保護することはできません。代わりに、セキュリティはデバイス管理、アイデンティティ、ゼロトラスト、アプリ管理を組み合わせることに依存しており、各レイヤーが補完的な管理策を追加することで、最終的に包括的なソリューションが構築されます。
• プライバシーとユーザーの信頼
  • 個人データを視覚的に保護する管理策こそが、人々が受け入れやすいものであり、その受け入れこそが戦略を機能させる鍵となります。
• 機能を把握する
  • すべてのアプリを個人デバイス上で完全にロックダウンできるわけではありません。ポリシーが想定以上に機能すると仮定するのではなく、その現実を踏まえて戦略を構築してください。

結論

個人のデバイスを単一の制御策だけで保護することはできません。代わりに、複数のレイヤーが連携して機能することでセキュリティが担保されます。まずはモバイルデバイス管理から始め、IDとデバイスのステータスによってアクセスを制御し、重要なシグナルに対する継続的なヘルスチェックを実行し、可能な限りアプリレベルでデータを隔離します。これらのレイヤーを段階的に導入し、常にユーザーのプライバシーを尊重することで、セキュリティが強制されたものではなく、本来備わっているものであると感じられるようにします。会社が所有していないデバイスにおいては、ユーザーが自発的に参加することが、セキュリティを効果的に機能させる鍵となります。

詳細については、JAMF Nation User Conferenceのセッションにお申し込みください。 https://reg.jnuc.jamf.com/flow/jamf/jnuc2026/home26/page/sessioncatalog/session/1774388531566001paC8

プラットフォームのセキュリティとコンプライアンス機能の詳細については、https://www.databricks.com/trustをご覧ください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事