IIJの広報誌「IIJ.news」（出典：IIJのWebサイト）

　「BYOD」というキーワードがあります。「Bring Your Own Device」、つまり、あなたの私用端末を持ち込んで業務に使用するという意味です。かつてはスマートフォンを配る余裕がない組織で、BYODをいかに安全に実行するかが議論されてきました。 　しかし現在では私用端末に対して組織がどこまで介入できるかという点が難しく、例えば何らかの問題が起きたとき、業務に使用したからといって遠隔で私物端末の位置を特定したり、データを完全消去したりしていいのかという課題があります。 　ただ、BYODはどうしても根絶できません。仕事でいろいろな方とご一緒すると、特にITに強い会社でなければ組織内での連絡は、個人が所有するアカウントでの「LINE」であることがほとんどです。これも広義のBYODであり、シャドーITだと言えます。 　最新の「Android 15」では、OSの新機能として「プライベートスペース」が実装されました。プライベートスペースとは、デバイスにいつも使っているものとは別の隔離環境を構築できる機能で、これを使えば、1台のスマートフォンに2つのLINEをインストールして、アカウントを使い分けられます。 　とはいえ操作自体は意識的に切り分ける必要があるため大変で、個人的にはあまり推奨しませんが「単一の端末でプライベートと仕事を分けたい」という方はこうした機能を利用することも（組織の許可を得て）アリだと思います。

気付いたら端末がマルウェアに感染？　BYODに潜む大きな“ワナ”

　その文脈で、曖昧（あいまい）になりがちな「組織の一員」と「個人」の線引きについて、考え込んでしまうレポートが公開されました。通信事業の大手、インターネットイニシアティブ（以下、IIJ）の広報紙を紹介したいと思います。 　こちらの広報誌の中でも筆者が特に注目してほしいのは「インシデント対応の現場から」という記事です。ここでは多くの組織を狙う情報窃取型マルウェアの実態と注意喚起がまとめられています。認証情報そのものを奪われることで、「VPN機器」や「リモートデスクトップ」の脆弱（ぜいじゃく）性にきちんと対処していたとしても、正規のユーザーを装って堂々と正面突破されてしまう実情があります。 　組織が管理するデバイスであれば、それなりの防御機能が備わっているはずですので感染は防げそうなものですが、依然として被害が収まらない理由として、記事の中では最近以下のような不正アクセスのパターンが増加していると指摘されています。 実は、自宅と職場のPCで利用していた「Google Chrome」に同一のGoogleアカウントでログインしており、アカウントの同期機能によって職場のPCでWebブラウザに保存していた認証情報が自宅のPCへも同期されていました。そして、自宅のPCが情報窃取型マルウェアに感染した結果、情報漏えいが起きてしまったのです。 （IIJ.newsから引用） 　これまでも会社の資料を個人端末にコピーする行為は厳重に注意され、監視されてきました。しかし「組織の一員」と「個人」の境界が曖昧になる今、クラウド同期にも気を付けなければ、脆弱な部分が、防御が行き届いていない場所に露出するリスクがあります。 　IIJはこの問題への対策として「ネットワーク内に侵入されたり、認証情報が漏えいしたりすることを前提にしておくことが重要」だとしています。この他、同期機能を組織側がコントロールしてガバナンスを効かせることも大事でしょう。この際、利便性が下がる対策も併せて実施する必要があると思います。