モバイル GIS を使用すると、柔軟性が向上し、エンタープライズ GIS の一部として有益な機能を利用できます。 進化するモバイル環境において、データの機密性、完全性、可用性を維持するために重要な役割を果たすのはセキュリティです。 このトピックでは、エンタープライズ GIS の一部であるモバイルに固有のリスクを軽減するために推奨されるベスト プラクティスを示します。
モバイル配置のセキュリティ環境を強化するためのモバイル セキュリティに関する一般的な推奨事項と機能を以下に示します。 モバイルのリスクとその緩和策の包括的なリストについては、「OWASP Mobile Top 10」をご参照ください。
エンタープライズ向け MDM (モバイル デバイス管理) ソリューションは、さらに安全なモバイル動作の実現に向けた優れた開始点になります。 MDM は、組織内のモバイル デバイスの管理です。 MDM は、通常、モバイル デバイスの機能およびセキュリティ管理の一元化と最適化を可能するソフトウェアを使用して適用されます。 このソフトウェアは、一般に、管理コマンドをモバイル デバイスに送信するサーバー コンポーネントを含み、モバイル デバイスは、管理コマンドを受信して実行するクライアント コンポーネントを含みます。
MDM ソリューションには、通常、次の機能が含まれています。
- デバイスの監視、再起動、および暗号化
- パスワード ポリシーの使用、パスワードのリセット
- あらかじめ定義された WiFi 設定/仮想プライベート ネットワーク (VPN) 構成
- ロックの解除およびワイプ機能
- バックアップ設定の使用
- Jailbreak の検出
モバイル アプリケーション管理 (MAM) は、モバイル デバイスの追加のセキュリティ レベルを提供し、デバイス上の個別のアプリをプロビジョニングしてそのアクセスを制御するソフトウェアおよびサービスを使用します。 管理者は、MAM を使用して、アプリケーション レベルで、アプリ データを管理して保護するためのより粒度の細かい制御を行うことができます。 MDM ソフトウェア ソリューションは、その機能の一部として MAM 機能を含むことができます。
Esri は、MDM ソフトウェア開発キット (SDK) を使用してアプリを再構築することを必要とする MDM 中心の MAM サービスが、通常、十分に機能しないということを観察しました。 Esri の一部のお客様は、MDM SDK を組み込むことを必要としない MAM サービスを使用しています。 Esri は、製品のライフ サイクルのサポート中に示された、リリース済みのストア バージョンのサポートのみを提供します。
詳細について、Esri ソフトウェアのセキュリティとプライバシー チームは、IT 管理者や GIS 管理者がモバイル フィールド コンポーネントを使用するエンタープライズ GIS のデプロイを支援するために、「ArcGIS Secure Mobile Implementation Patterns」というテクニカル ペーパーをリリースしました。
認証
ユーザー認証とは、クライアントの本人性を確認するために、接続時に認証情報が検証されることです。 GIS サービスにアクセスする場合は、ユーザー認証を必ず有効にします。 特にモバイルにおいては、エンタープライズで使用可能な機能に応じて、オプションがいくつか用意されています。たとえば、モバイル セキュリティ ゲートウェイを使用するかどうか、モバイル デバイスで既存の仮想プライベート ネットワーク (VPN) を使用するかどうか指定するオプションなどがあります。 オプションには次のものがあります。
- 統合 Windows 認証 (IWA) - ケルベロス (これが使用できない場合は、NTLM) を使用します。ケルベロス認証は、Windows ベースの環境でシングル サイン オンを可能にします。
- トークンベース認証 - ArcGIS トークンを使用します。ArcGIS での認証が可能になります。
- SAML 2.0 または OpenID Connect を使用した組織固有のログイン - ArcGIS Online または ArcGIS Enterprise では、Web でのシングル サイン オン機能を提供するために、SAML 2.0 か OpenID Connect を使用することができます。
認証
認証とは、リソースへのアクセスまたは特定機能の実行の前に、クライアントの権限が検証されるプロセスです。 ユーザーには、ロールと最小権限の原則に基づいて権限を割り当ててください。 モバイルの場合、レベルが複数にわたる可能性があります。
- ArcGIS で使用可能なロール (管理者、公開者、ユーザーなど) 内で認証を適切に管理します。
- EMM レベルでは、細分化されていないアプリケーションレベルの認証とプロビジョニングを使用します。
暗号化
暗号化は、暗号化キーへのアクセス権のないユーザーはデータを読み取ることができないように、データを変換するプロセスです。
- エンタープライズ GIS で HTTPS を必要とする送信データを暗号化します。
- モバイル デバイスで保存データを暗号化します。 これを技術的に可能にするには、次の方法を使用します。
- エンタープライズ MDM
- Microsoft Exchange を使用している場合、MS Exchange ActiveSync
ログ記録と監査
ログ記録とは、システムの対象のイベントを記録することです。 監査とは、システムが適切に機能していることを確認したり、発生したトランザクションに関する質問に答えたりするために、これらのログを検査することです。 モバイルでのログ記録と監査は、次のレベルで役立ちます。
- デバイス レベル (エンタープライズ モビリティ管理ソリューションの使用によって)
- アプリケーション レベル (特定のユーザー トランザクションの記録によって)
これらの結果は、企業のセキュリティ情報およびイベント管理 (SIEM) ソリューションに送られ、ログ データの自己相関が促進され、悪意のある動作の検出に役立ちます。
ハードニング
ハードニングとは、できるだけ多くのセキュリティ リスクを軽減するために、システムを安全に構成するプロセスです。 次の方法を実行することによって、モバイル デプロイメントが攻撃される可能性を最小化することができます。
- サーバーのエンドポイントを強化します。
- モバイル アプリケーション管理 (MAM) ソリューションを使用して、アプリケーションを制限します。
- サーバー側のセキュリティは、OWASP モバイル トップ 10 によれば、第 1 位のモバイル リスクとして識別されます。
- 業界のベスト プラクティスに合わせて、標準的なサーバーの堅牢化の推奨事項に従ってください。