[論文レビュー] BYOD Security: A New Business Challenge

Kathleen Downer, Maumita Bhattacharya|arXiv (Cornell University)|Jan 6, 2016

Information and Cyber Security参考文献 22被引用数 3

ひとこと要約

本論文は、企業におけるBring Your Own Device（BYOD）の増加するセキュリティ課題に取り組むものであり、BYODセキュリティ問題の分類法を提案し、既存のフレームワークを評価する。主な脆弱性を特定し、解決策の限界を分析し、動的なBYOD環境におけるより効果的でビジネスと整合性のあるセキュリティ戦略を導くために、構造的な分類を貢献する。

ABSTRACT

Bring Your Own Device (BYOD) is a rapidly growing trend in businesses concerned with information technology. BYOD presents a unique list of security concerns for businesses implementing BYOD policies. Recent publications indicate a definite awareness of risks involved in incorporating BYOD into business, however it is still an underrated issue compared to other IT security concerns. This paper focuses on two key BYOD security issues: security challenges and available frameworks. A taxonomy specifically classifying BYOD security challenges is introduced alongside comprehensive frameworks and solutions which are also analysed to gauge their limitations.

研究の動機と目的

• BYODの導入に伴う上昇するビジネスリスクに取り組むが、そのセキュリティ的影響についての認識が限られている。
• 企業環境におけるBYODに関連する核心的なセキュリティ課題を特定し分類する。
• 既存のBYODセキュリティフレームワークを評価し、その長所と短所を明らかにする。
• 効果的なBYODセキュリティポリシーの設計と実装を支援するための構造的分類を提供する。
• BYODセキュリティを、企業のIT戦略において重要なが、過小評価されがちな懸念事項として位置づける。

提案手法

• 脅威ベクトルと攻撃表面に基づいて、BYODセキュリティ課題を分類する包括的な分類法を開発した。
• 既存のBYODセキュリティフレームワークをレビュー・分析し、カバー範囲と実用的適用性を評価した。
• スケーラビリティ、デバイス多様性への対応、エンタープライズシステムとの統合性などの基準を用いてフレームワークを評価した。
• 特定の制御メカニズムとポリシー実行ポイントに、同定されたセキュリティ課題をマッピングした。
• 事例ベースの分析を用いて、実際のエンタープライズ展開におけるフレームワークの限界を示した。
• 得られた知見を統合し、BYODセキュリティソリューションの選定および適応のための構造的アプローチを提示した。

実験結果

リサーチクエスチョン

• RQ1 企業環境におけるBYODが引き起こす主なセキュリティ課題は何か？
• RQ2 既存のBYODセキュリティフレームワークは、同定された脅威や脆弱性をどのように対処しているか？
• RQ3 現在のフレームワークが、多様なデバイスタイプとエンタープライズポリシーを処理する上で、どのような主な制限を抱えているか？
• RQ4 標準化された分類法は、BYODセキュリティ戦略の設計と実装をどのように改善できるか？
• RQ5 BYODの導入が拡大しているにもかかわらず、なぜBYODセキュリティは他のITセキュリティ懸念と比べて依然として軽視されているのか？

主な発見

• BYODは、データ漏洩、デバイスの改ざん、ポリシーの実行困難さといった広範なセキュリティ課題を引き起こす。
• 既存のフレームワークは、多様なデバイスエコシステムや動的なアクセスパターンに対し、包括的なカバーを欠いていることが多い。
• 多くのフレームワークは、ユーザーのプライバシーとエンタープライズデータ保護のバランスを十分に扱えていない。
• 提案された分類法は、BYOD脅威を明確に分離され、分析可能なコンponentsに分類でき、リスク評価を向上させる。
• 認知度の向上にもかかわらず、他のITリスクと比較して、BYODセキュリティは依然として企業のセキュリティ計画において優先順位が低いままである。
• フレームワークの評価から、進化するエンタープライズおよびモバイルデバイス環境へのスケーラビリティと適応性の大きなギャップが明らかになった。