BYOD・SaaSのリスク管理とISMS運用の効率化

最近では、会社から支給されたパソコンだけでなく、自分のスマホを仕事に使う機会が増えています。また、インターネットを通じてソフトを使う「SaaS（サース）」も、仕事には欠かせない存在になりました。しかし、これらには情報漏洩やマルウェア感染、不正アクセスといった懸念がつきまとうものです。

この記事では、BYODやSaaSにどのようなリスクがあるのか、そしてISMSの運用をどうすれば楽に、かつ確実に進められるのかを詳しくお伝えします。

BYODとSaaSが常識の今、潜むセキュリティリスクとは？

多くの会社で、自分のデバイス（端末）を使ったり、クラウド上のサービスを活用したりすることが当たり前になりました。しかし、便利になった一方で、情報の守り方がこれまで以上に難しくなっています。

ここではなぜ普及したのか、そしてどんな危険があるのかを見ていきましょう。

BYODとSaaSの普及の背景

BYOD普及の背景を理解するには、デバイス・クラウド・テレワークという3つの側面に着目しましょう。

まず1つ目は、デバイスの普及です。今では誰もがスマートフォンを持ち、家には自分専用のPCがあることも珍しくありません。SNSなどが生活に欠かせなくなったことで、プライベートな端末をそのままビジネスでも使いたいというニーズが自然と高まったのです。

2つ目は、クラウドサービス（SaaS）の進化です。ネット環境さえあれば、どの端末からでも仕事ができるようになったことで、場所を選ばない働き方が可能になりました。

そして3つ目が、働き方改革やコロナ禍によるテレワークの定着です。会社に行けない状況下で、急いで仕事環境を整えるために「自分の端末を業務に使う」というスタイルが急速に浸透しました。

企業にとっても、社員に端末を買い与えるコストを抑えられる点は大きな魅力です。さらに、使い慣れた端末を使うことで作業の効率が上がったり、自由な場所で働けたりするなど、生産性の向上につながるメリットが普及を力強く後押ししたと言えるでしょう。

BYOD（私物端末利用）に潜む主なリスク

ここからは、BYOD（私物端末利用）に潜む主なリスクについて解説します。

端末の紛失・盗難による情報漏洩

私物端末は、会社支給のPCに比べてプライベートで持ち歩く機会が格段に多くなります。そのため、カフェや電車内での置き忘れ、盗難に遭う確率も上がってしまうでしょう。万が一、端末にロックがかかっていなかったり、会社の大切なデータが保存されていたりすれば、そのまま情報漏洩につながる恐れがあります。

マルウェア感染のリスク

プライベートでのWebサイト閲覧や、個人のメール、アプリ利用は制限が難しいものです。プライベートでのWeb閲覧やアプリ利用により端末がマルウェアに感染した場合、その端末を社内ネットワークに接続した瞬間に被害が広がるリスクがあります。

仕事とプライベートの使い分けが曖昧なことが、セキュリティの穴になってしまうのです。

退職者端末からの情報アクセス

退職した従業員のアカウント削除を忘れたり、適切なデータ削除やアクセス権限の剥奪が行われなかった場合、退職後も退職者端末から機密情報にアクセスできてしまうリスクがあります。

悪意がなくとも、機密情報が個人の端末に残ること自体が、企業にとっては大きなコンプライアンス上のリスクとなるでしょう。

SaaS利用における主なリスク

ここからは、SaaS利用における主なリスクについてまとめています。

不正アクセス・アカウントの乗っ取り

多くのSaaSはIDとパスワードだけでログインできてしまいます。そのため、「123456」のような弱いパスワードを使っていたり、他のサービスと同じものを使い回していたりすると、攻撃者に簡単に特定されてしまいます。また、フィッシング詐欺でログイン情報を盗まれ、社外秘のデータが丸ごと流出する事件も後を絶ちません。

「シャドーIT」によるリスクの把握漏れ

会社の許可を得ずに、社員が勝手に使っているSaaSのことを「シャドーIT」と呼びます。例えば、「このチャットツールの方が使いやすいから」といって個人で使い始めると、会社はその存在を把握できません。管理の目が届かない場所でデータがやり取りされるため、潜在的な情報漏洩リスクが放置されてしまいます。

従業員による内部不正（データの持ち出し）

クラウドストレージを利用すれば、大容量のデータを数クリックで自分のスマホや個人PCに保存できます。USBメモリのような物理的なデバイスを使わなくても、ネット経由で簡単に持ち出せてしまうのです。この「手軽さ」が、結果として内部不正のハードルを下げてしまい、退職時などに正規権限を悪用されて機密データを私的ストレージへ容易に持ち出されるリスクがあります。

BYODとSaaSの組み合わせが引き起こす脅威とは？

BYODとSaaSのリスクが組み合わさると、さらに厄介な事態を招きます。

例えば、ある従業員が「便利だから」と私物スマホ（BYOD）で、会社が認めていないストレージ（シャドーIT）にログインしたとします。そこで機密資料を編集し、そのまま保存した後にそのスマホを紛失してしまったらどうでしょうか。

会社は「スマホにデータがあること」も「そのストレージを使っていたこと」も把握していないため、対策の打ちようがありません。このように、見えないところでリスクが掛け合わさり、気づかぬうちに甚大な被害へと発展する可能性を示唆しています。

ISMS認証におけるBYOD・SaaS管理の難しさと自社運用の限界

ISMS（ISO 27001）を取得・維持するためには、これらの新しいIT環境を適切に管理しなければなりません。しかし、現場の担当者が自力ですべてをカバーするには、限界が近づいています。

ISMS（ISO27001）で求められる管理策

ISMSでは情報を守るための具体的なルール（管理策）が定められています。BYODやSaaSに関係する主な項目は以下の通りです。

A.6.2　モバイル機器:BYODの紛失・盗難や私的利用によるリスクを管理するため、モバイル機器ポリシーの策定が求められる。
A.9　アクセス制御:SaaSへの不正アクセスやアカウント乗っ取りを防ぐため、ID管理の一元化やMFAの導入など、強固な論理的アクセス制御が必要。
A.13　通信のセキュリティ:BYODとSaaS間の通信における盗聴や改ざんを防ぐため、暗号化や安全なVPNの使用など、通信経路の保護が要求される。
A.15　供給者関係（SaaSベンダーの管理）:SaaSベンダーのセキュリティレベルや契約内容を評価し、自組織のセキュリティ要求事項を満たしているか確認・管理する必要がある。

こうした管理策でBYODやSaaS特有の危険を見極め、情報の漏洩やサービスの停止を防ぐための対策を当てはめていきましょう。これこそが、ISMSがもっとも大切にしている「リスクに基づいた運用」の核心と言えます。

なぜ自社でのBYOD・SaaS管理は難しいのか？

BYOD・SaaSの組み合わせ管理が難しいのは、管理権限の分散と利便性との衝突という根本的な問題があるためです。ここからは、なぜ自社でのBYOD・SaaS管理は難しいのかについて解説します。

技術的な課題：MDM・CASB等のツール導入と運用負荷

BYODとSaaSの複合リスク対策には、MDM（MobileDeviceManagement）やCASB（CloudAccessSecurityBroker）などの専用ツールの活用が有効です。

しかし、これらのツールは導入費用が高いだけでなく、設定にも高度な専門知識が必要です。日々の通知（アラート）を監視し、不審な動きがないかチェックする工数を確保するためにも、予算と人員体制が必要となるため、組織やIT担当者への負担も重くなります。

人的・体制的な課題：ルールの形骸化と教育コスト

「BYOD利用規定やSaaS利用ガイドラインを作成しても、全従業員に遵守させるための継続的な教育や監視体制が追いつかない。」
「頻繁に更新されるSaaS機能やセキュリティ状況に対し、規定の更新も追いつかない。」

こうした状況に直面されている方も多いのではないでしょうか。

また、普段の仕事では「速さ」が優先されがちです。難しすぎるルールは読まれなくなり、「本当はダメだけど便利だからやってしまおう」という禁止行為が当たり前になってしまうこともあります。

これを防ぐには「教育」と「見張り」の両方にお金と時間がかかり、結局「問題が解決しないまま先送りされる」というのが、多くの会社での本当のところではないでしょうか。

「シャドーIT」という見えない脅威

社員は「もっと便利に仕事をしたい」という気持ちから、会社が許可していないサービス（シャドーIT）を勝手に使ってしまうことがあります。

そうなると、情報システムの担当者はそのサービスが使われていること自体に気づけません。その結果、誰がデータを見ているのか、どんな情報が保存されているのかが、リスクのチェック対象から完全に外れてしまいます。

このように、把握できていない「見えない脅威」が放置されることで、ISMSが目標としている「会社全体の情報を漏れなく守る」という仕組みが壊れてしまう危険があるのです。

ISMS審査でのよくある指摘事項

ISMSの審査では、BYODやSaaSの管理が足りていないと、「決めたことと、実際にやっていることがバラバラだ」という厳しい指摘を受けてしまいます。

具体的には、以下のような例が挙げられます。

リスクの見極め不足：私物スマホの利用や勝手に使われているサービスのリスクを、正しく評価していない。

ルールの運用の不備：サービスを使うときのルールはあるけれど、実際には申請や記録が行われていない。

周知不足：スマホを使うときのルールが、社員にしっかりと伝わっていない。

こうした問題が見つかると、ISMSの認証が認められない「不適合」という結果になり、「セキュリティを良くしていく力がこの会社にはない」と判断されてしまうかもしれません。

ISMS運用の工数削減とセキュリティ強化を両立する方法

ISMS運用の工数削減とセキュリティ強化の両立には、技術的統制が鍵になります。また、自社ですべてを抱え込まず、専門的な知見を積極的に取り入れることが大切です。

BYOD・SaaS管理とISMS運用の「自社運用」の難しさ

情報セキュリティ担当者の業務は、SaaSの増加や法改正への対応などで肥大化し続けています。自社運用に固執しすぎると、本来注力すべき戦略的なセキュリティ強化に手が回らず、対策が常に後手に回るという悪循環に陥りかねません。

複雑化するSaaS管理とISMS認証は専門コンサルへ

BYODやSaaSは、コストを削減し利便性や業務効率を向上させる一方で、従来の社内システムにはなかった新たなセキュリティリスクをもたらします。加えて、複雑化するSaaS管理のための継続的な監視体制と運用コストの問題だけでも、組織内のリソースを圧迫することもあるでしょう。

もしも、「自社だけでは難しいかもしれない」と感じはじめたら、専門家への相談も視野に入れるのも一つの手です。ISMS認証コンサルタントに相談することで、「最新のリスクに対応したISMS構築支援」「自社担当者の工数大幅削減」「認証取得の確実性向上」といったメリットを受けられるため、結果として企業全体の効率化につながるでしょう。