[論文レビュー] Investigating Information Security Risks of Mobile Device Use within Organizations

William Bradley Glisson, Tim Storer|arXiv (Cornell University)|Aug 21, 2013

Privacy, Security, and Data Protection参考文献 10被引用数 9

ひとこと要約

本研究は、グローバルなフォーチュン500企業の従業員から返却された32台のデバイスを分析することで、企業環境におけるモバイルデバイスのセキュリティリスクを実証的に調査している。重要なポリシー違反やデータ漏洩のリスクが特定され、暗号化されていないデータや不正なアプリケーションが含まれており、将来的な組織的環境におけるモバイルセキュリティに関する研究の基盤的知見を提供している。

ABSTRACT

Mobile devices, such as phones, tablets and laptops, expose businesses and governments to a multitude of information security risks. While Information Systems research has focused on the security and privacy aspects from the end-user perspective regarding mobile devices, very little research has been conducted within corporate environments. In this work, thirty-two mobile devices were returned by employees in a global Fortune 500 company. In the empirical analysis, a number of significant security risks were uncovered which may have led to leakage of valuable intellectual property or exposed the organization to future legal conflicts. The research contribution is an initial empirical report highlighting examples of corporate policy breaches by users along with providing a foundation for future research on the security risks of the pervasive presence of mobile devices in corporate environments.

研究の動機と目的

• 企業環境におけるモバイルデバイス利用に関連する情報セキュリティリスクを検討すること。
• 従業員が貸与されたモバイルデバイスにおいて、具体的な企業ポリシー違反の事例を特定すること。
• データ漏洩や法的リスクを引き起こす可能性のある技術的および行動的脆弱性を同定すること。
• 将来的な組織におけるモバイルセキュリティに関する研究の初期実証的基盤を提供すること。

提案手法

• グローバルなフォーチュン500企業の従業員が返却した32台のモバイルデバイスを対象に、実証的分析を実施した。
• 保存済みファイル、インストール済みアプリケーション、設定設定などのデバイスデータを収集・分析した。
• デバイス内容のフォレンジック検査を通じて、企業セキュリティポリシーへの準拠状況を評価した。
• 機密データの存在、弱い暗号化、不正なソフトウェアの有無に基づいて、セキュリティリスクを特定・分類した。
• 定性的および記述的分析を用いて、観察されたポリシー違反やリスクパターンを文書化した。

実験結果

リサーチクエスチョン

• RQ1 企業環境における従業員のモバイルデバイスに、どのような種類の情報セキュリティリスクが存在するか？
• RQ2 従業員のモバイルデバイスが、設定された企業セキュリティポリシーにどの程度違反しているか？
• RQ3 分析されたデバイスで特定された具体的なデータ露出や脆弱性は何か？
• RQ4 ユーザーの行動とデバイス設定は、組織のセキュリティリスクにどのように寄与しているか？

主な発見

• 32台のモバイルデバイスから、暗号化されていない機密データがデバイス上に保存されているという顕著なセキュリティリスクが判明した。
• 多くのデバイスに、企業セキュリティポリシーに違反する不正なアプリケーションが含まれていた。
• 貴重な知的財産が、セキュリティが確保されていない場所に保存されており、漏洩リスクが高まっていた。
• 複数のデバイスで弱いまたは存在しない暗号化が確認され、データが侵害の恐れがあった。
• 組織が法的または規制上の問題に直面する可能性があるポリシー違反の証拠が、本研究で発見された。
• 研究結果は、企業環境におけるモバイルデバイス利用の広範かつしばしば管理されていないリスクを浮き彫りにしている。