Macとモバイルデバイスのセキュリティコンプライアンスを極める

Appleデバイスを導入する組織が増える中、ITポリシーのコンプライアンスを維持し、業界のセキュリティベンチマークやスタンダードを遵守するためのしっかりとした計画を立てることが不可欠となっています。

コンプライアンス管理の基礎について説明したこちらのeBookでは、コンプライアンスやコンプライアンス管理の意味、組織がコンプライアンスを無視した時に起こること、コンプライアンス上のニーズを管理するための最初のステップなどについてわかりやすく説明しています。

コンプライアンスとは

セキュリティにおけるコンプライアンスとは、法律、業界基準、データおよびセキュリティ要件の遵守を意味します。組織のコンプライアンス管理戦略は、デバイスおよびデータのユースケースや業界、法的要件によって大きく異なります。

データセキュリティ分野のコンプライアンスについて考えるとき、組織が理解しなければならないのは、コンプライアンスが満たされないことで以下のようなリスクが生じるということです。

• データの漏洩や流出
• 罰金または賠償金などによる金銭的損失
• 顧客や取引の損失
• 評判の損失

コンプライアンスを守るメリット

金銭的損失以外にも、セキュリティコンプライアンスを遵守することで組織は以下のようなメリットを得ることができます。

• 組織の評判を保護
• セキュリティリスクの軽減
• 顧客からの信頼向上
• 業務効率の向上
• 競合他社に差をつける

コンプライアンスのフレームワーク

特定のセキュリティ基準や規制基準を満たすために組織が使用することのできる一般的なコンプライアンスフレームワークは3種類あります。

• CIS（Center for Internet Security）ベンチマーク：ネットワークやシステムのセキュアな運用を支援するためのガイドラインで、一般的なサイバー脅威に対する対策として取ることのできる実践的なステップに焦点を当てています。
• NIST（米国国立標準技術研究所）：5つの中核機能（検知、防御、検出、対応、復旧）に基づいてサイバーセキュリティのリスクを管理するための包括的なガイドラインを提供し、リスクアセスメントと管理、そして継続的なモニタリングと改善の重要性を強調しています。
• ISO（International Organization for Standardization）： 物理的なセキュリティ、アクセス管理、およびインシデント管理など、幅広いセキュリティ管理をカバーする情報セキュリティマネジメントシステム（ISMS）の規格であるISO 27001を制定しています。

規制された多くの業界では、追加で以下のセキュリティベンチマークの適用も求められています。

• ヘルスケア組織は、HIPAA（医療保険の携行性と責任に関する法律）の要件を満たす必要があります。
• クレジットカード決済を行うリテールまたはEコマース企業は、PCI DSS（Payment Card Industry Data Security Standard）の対象となるシステムを使用している場合があります。
• 初等中等教育機関や高等教育機関は、FERPA（家族の教育の権利とプライバシーに関する法律）に基づき、生徒の教育記録のプライバシーを確保するための対策を行う必要があります。

コンプライアンスのベストプラクティス

コンプライアンスとベンチマークが確立されたら、macOSとモバイルデバイスのコンプライアンスを最適化するためのベストプラクティスについて検討する必要があります。

• セキュリティベースラインとベンチマーク ：デバイスのコンプライアンスを継続的に検証し、デバイスに一定のコントロールを設定
• デバイスの管理ツールの使用 ：Jamf Proのようなモバイルデバイスの管理（MDM）ソリューションの使用により、組織のすべてのデバイスに対して、構成や導入の自動化、アプリ管理、インベントリ管理、構成とポリシーの強制適用によるコンプライアンスの維持を実現
• デバイスのアップデート ：オペレーティングシステム、アプリ、ソフトウェアが常に最新の状態であることを確認
• 暗号化やパスワードポリシーの導入：フルディスク暗号化の有効化と、強力なパスコードまたは生体認証を介した認証
• エンドユーザの教育 ：セキュリティのベストプラクティスについてユーザを教育。Verizon が2021年に発表したデータ漏洩に関する調査レポートによると、データ漏洩の85％はユーザ側に原因があり、従業員を教育することの重要性を示しています

相性の良いMDMとエンドポイントセキュリティ

エンドポイントセキュリティソリューションは、macOSやモバイルデバイスにコンプライアンスポリシーを適用するための重要なツールです。 MDMとエンドポイントセキュリティは密接な関係にあり、これらのテクノロジーを組み合わせることで、組織は従業員のデバイスを安全かつ最新の状態に保ち、該当する規制へのコンプライアンスを維持することができます。

BYODのモバイルデバイスにおけるセキュリティとプライバシーのバランス

Jamfは、個人所有のデバイスを業務用に登録する方法を効率化し、個人データと企業データを分離するためのワークフローを提供しています。これにより、デバイス管理とセキュリティ、そしてユーザのプライバシーの”ちょうどいい”バランスを実現します。

規制された業界におけるMacの使用のための特別な配慮

macOSセキュリティ・コンプライアンス・プロジェクト（mSCP）は、AppleのオペレーティングシステムであるmacOSが、様々なセキュリティ基準や規制に準拠した形でセキュアに運用されることを目指す取り組みです。

セキュリティガイドを作成するためにプログラムによるアプローチを提供するこのオープンソースの取り組みは、アメリカの国立標準技術研究所（NIST）、航空宇宙局（NASA）、国防情報システム局（DISA）およびロスアラモス国立研究所（LANL）の連邦運用ITセキュリティスタッフの共同プロジェクトです。

セキュリティコントロールの導入、設定の構成、システムの監視により、組織はセキュリティインシデントの可能性を減らし、セキュリティベースラインが守られている状態を維持することができます。

macOSセキュリティ・コンプライアンス・プロジェクトをベースに構築されたツールであるJamf Compliance Editorは、macOSデバイスのコンプライアンスベースラインを簡単に確立および管理する方法をmacOSシステム管理者に提供します。

Trusted Accessによるコンプライアンスの徹底

さまざまな場所から業務リソースにアクセスするモバイルワーカーが増えた今、データとデバイスの保護とセキュリティは非常に重要な課題となっています。

職場へのAppleテクノロジーの導入が活発になる中で、より迅速なセットアップやアプリごとのポリシー適用に加えて、従業員や組織に関わるすべてのユーザにシンプルで合理的なユーザエクスペリエンスを提供しながら、完璧なコンプライアンス状態を維持するにはどうすればよいでしょうか？

Jamfは、Apple製品の管理とセキュアな運用を通して組織の成功を支援するためのTrusted Accessと呼ばれるアプローチを提供しています。Trusted Accessは、デバイス管理、アイデンティティ＆アクセスワークフロー、エンドポイントセキュリティの優れた要素を組み合わせ、連携させたものです。

Trusted Accessがあれば、従業員は自分が一番使い慣れたデバイスで生産的に働くことができ、組織はすべてのユーザとデバイスの信頼性に加え、業務リソースへのアクセスが保護されていることを確認できます。