はじめに
「営業がカフェのフリーWi-Fiで基幹システムにアクセスしている」
こんな話を聞くと、情シス担当者としては冷や汗をかきますよね。
VPN（Virtual Private Network：通信を暗号化して安全な経路を作る仕組み）を導入すればいいと分かっていても、「端末全体の通信を常にVPN経由にする」設定は、動画視聴や個人アプリの通信まで社内ネットワーク経由にしてしまい、通信速度の低下やプライバシーへの懸念という新しい問題を生みます。特にBYOD（私物端末の業務利用）では、この「全通信を会社が見られる状態」が従業員の心理的な抵抗につながることも珍しくありません。
そこで今週末、ぜひ試していただきたいのが「Per-App VPN（アプリごとのVPN）」です。特定の業務アプリだけがVPN経由で通信し、それ以外のアプリは通常のインターネット接続を使う、という設計を実現できます。
Per-App VPNとは何か
Per-App VPNは、その名の通り「アプリ単位でVPN接続の有無を制御する」機能です。たとえば社内の顧客管理システムにアクセスする業務アプリだけをVPN経由にし、同じ端末に入っているSNSアプリやカメラアプリは通常のインターネット接続のまま、という使い分けができます。
通常のVPN設定が端末全体を対象にする「オンデバイスVPN」なのに対し、Per-App VPNは「このアプリがアクティブなときだけVPNを使う」という条件付きの動作になります。アプリを閉じれば、VPN接続も自動的に切れます。
Android EnterpriseでのPer-App VPN設定の勘どころ
Android Enterprise環境でPer-App VPNを設定する場合、多くのMDM製品ではアプリ構成ポリシーの中でVPN接続を許可するアプリを個別に指定する形になります。Microsoft Intuneを例にすると、対象のVPNクライアントアプリを選び、そのVPN接続を利用してよい業務アプリをストアアプリの一覧から選択して紐づける、という流れです。
設定の際に気をつけたいのは、対象アプリの選定です。「念のため全部のアプリに許可しておこう」とすると、結局は全体VPNと変わらない状態になってしまいます。本当に社内リソースへのアクセスが必要なアプリだけに絞り込むことが、Per-App VPNのメリットを活かす前提条件です。
iOSでの設定と、MDMごとの違い
iOSでもPer-App VPNは構成プロファイルの機能として提供されており、Apple Business（旧Apple Business Manager）で管理している端末に対して、対象アプリとVPN接続設定を紐づけたプロファイルを配布する形になります。
ここで注意したいのは、MDM製品によって設定画面の呼び方や細かい挙動が異なる点です。Jamf Proのような特定のMDMベンダーでは、iOS側の構成プロファイルをベースにした画面で設定しますが、Android側の設定手順とは操作感がまったく違います。複数OSを併用している環境では、「iOSの設定を覚えたつもりでAndroidも同じだろう」と考えず、それぞれのMDM管理コンソールで実際の画面を確認しながら進めることをおすすめします。
導入前に確認しておきたい落とし穴
Per-App VPNは便利な機能ですが、いくつか事前確認が必要な点があります。
まず、すべてのMDM製品・すべてのOSバージョンで同じレベルの機能が提供されているとは限らない、という点です。導入前に、自社が契約しているMDM製品のドキュメントで対応状況を必ず確認してください。特に古いOSバージョンの端末が混在している環境では、一部端末だけ設定が反映されない、という事態が起こり得ます。
次に、ユーザー体験への影響です。VPN接続がアプリ単位で切り替わる分、通信が不安定なネットワーク環境では、アプリの起動タイミングによって接続の確立に多少のタイムラグを感じることがあります。導入後は、実際の利用シーンで動作確認をしておくと安心です。
最後に、VPNサーバー側の同時接続数の設計です。全社員が同時に対象アプリを開く時間帯（始業直後など）に接続が集中し、VPNゲートウェイの処理能力を超えてしまうケースがあります。導入台数が多い場合は、事前にキャパシティの見積もりをしておきましょう。
週末に試すなら、まずは1つのアプリから
いきなり全社展開する必要はありません。まずは経理システムや顧客管理システムなど、もっとも守りたい1つの業務アプリに絞って、テスト機で設定を試してみてください。動作を確認できたら、対象アプリを少しずつ広げていく進め方が、トラブルを最小限に抑えるコツです。
まとめ
Per-App VPNは、「すべてを守る」から「守るべきものだけを守る」への発想の転換です。通信速度への影響を抑えながら、業務データへのアクセス経路だけを確実に暗号化する。BYODが広がる今の環境において、検討する価値のある選択肢です。
Mobitech Solutionへのご相談
Per-App VPNの設定支援や、お使いのMDM製品での対応状況の確認、BYOD環境全体のセキュリティ設計について、Mobitech Solutionでは実務目線でのご相談を承っています。まずは現状の端末構成をお聞かせください。
