役員端末は高性能機ではなく意思決定を止めない業務基盤である

役員・管理職向け端末の要件定義で最初に避けたいのは、「最上位機種を人数分買う」という決め方である。役員端末には、取締役会資料、未公表の業績、M&A、人事、顧客、認証情報など、漏えい時の影響が大きい情報が集まりやすい。一方で、移動、会食、出張、講演、災害対応など社内標準端末とは異なる環境でも、短時間で判断しなければならない。必要なのは豪華さではなく、許可した情報へ安全に到達でき、故障・紛失・通信障害が起きても意思決定を継続できる構成である。

要件は役職名ではなく、扱う情報、利用場所、停止許容時間、本人以外の支援者、会社として許容する残存リスクから作る。本稿は、総務、情シス、セキュリティ、秘書、購買が同じ表で判断できるところまで落とし込む。

最初に「誰の何が止まるか」を一枚にする

端末台数を数える前に、対象者ごとの業務を「通常」「重要会議」「緊急」「移動」に分ける。役員がメールを読めない30分と、代表者が決裁システムへ入れない30分では損失が違う。停止時間だけでなく、代理決裁の可否、締切、社外への影響を記録する。

業務影響票に残す項目

  • •対象者、役職、秘書・代理者
  • •端末で扱う情報の種類と機密度
  • •必須アプリ、認証方式、会議システム
  • •国内外の利用場所、移動頻度、圏外時間
  • •一日のうち利用が集中する時間帯
  • •端末停止時に止まる承認・連絡・発表
  • •代理処理できる業務と本人限定の業務
  • •許容停止時間と代替手段への切替時間
  • •紛失、盗難、のぞき見、誤送信の影響
  • •休日・夜間に支援が必要となる条件

「VIPだから例外」と書かず、例外が必要な理由と期限を書く。顔認証を使いたい、海外SIMを使いたい、個人アプリも入れたいといった希望は、そのまま要件にせず、業務上の必要性、代替案、管理上の制約を並べて承認する。

対象者を役職ではなくリスク場面で分類する

同じ執行役員でも、常時社内にいる人と海外出張が多い人では必要構成が違う。次の場面を組み合わせてプロファイルを作ると、過剰仕様と不足仕様を減らせる。

  • •未公表情報を日常的に閲覧・承認する
  • •会社代表として緊急連絡を受ける
  • •国内外の出張が多く公共空間で利用する
  • •大容量資料を閲覧しオンライン会議へ参加する
  • •本人以外に秘書やIT担当者が設定を支援する
  • •災害・事故時の対策本部へ参加する
  • •競合、投資家、報道機関との接点が多い
  • •視覚、聴覚、手指操作などの配慮が必要である

分類結果は「高・中・低」の抽象語ではなく、必要な制御へ接続する。例えば公共空間で機密資料を見るなら、画面輝度だけでなく、通知内容の非表示、外部画面への出力制御、のぞき見防止、遠隔ロック、紛失連絡の目標時間が要件になる。

情報・アプリ・認証を先に固定する

機種比較の前に、端末から利用してよい情報とアプリの一覧を確定する。個別の要望を後から追加すると、MDMで配布できないアプリ、古い認証方式、データを個人領域へ書き出すアプリが混ざり、例外運用が増える。

アプリ要件表の列

  • •業務名とアプリ名
  • •管理部門と問い合わせ先
  • •SSO、証明書、パスキー、多要素認証への対応
  • •データ保存場所とオフライン保存の可否
  • •コピー、共有、印刷、画面撮影の扱い
  • •最低OS、推奨OS、更新停止予定
  • •VPNまたは条件付きアクセスの要否
  • •端末変更時の移行方法と所要時間
  • •障害時のWeb版、電話、代理承認などの代替

認証は「パスワードを強くする」だけでは足りない。端末自体のロック、業務アカウント、重要システムの追加認証、アカウント回復を分ける。本人が海外で端末を失ったとき、秘書がパスワードを知って復旧する設計は避け、本人確認と緊急発行の手順を事前に決める。

所有・私用・管理方式を曖昧にしない

会社所有・業務専用、会社所有・私用許可、個人所有・業務領域分離では、会社が管理できる範囲と退職時に消せる範囲が異なる。Android Enterpriseは会社所有やワークプロファイルなどの管理形態を示し、遠隔ロック・消去、ポリシー適用、アプリ配布といった機能を管理ソリューション経由で利用できると説明している。詳細はGoogleのAndroid管理の開始手順で確認できる。

要件書には次を明記する。

  • •端末、電話番号、回線、アカウントの所有者
  • •私用アプリ、個人写真、私用電話を許可するか
  • •会社が収集する端末情報と収集しない私用情報
  • •紛失時にロック・消去する範囲
  • •バックアップ先と復元できるデータ
  • •退任、退職、休職時の回収・消去・番号移管
  • •本人と秘書・IT担当の操作権限

本人の利便性を理由に管理対象外へすると、事故時に会社が事実確認も初動もできない。反対に、必要性を説明せず私用領域まで監視すると信頼を失う。技術仕様と利用規程、本人への説明を同時に設計する。

セキュリティ要件を端末機能名で終わらせない

暗号化、顔認証、遠隔消去という機能名だけでは、運用できるか分からない。要件は「どの状態を検出し、誰が何分以内に何をするか」で書く。IPAの経営者が認識すべき3原則と重要10項目も、経営者の責任と、CISO等へ指示すべき事項を示している。役員端末こそ、経営判断と現場運用を分離せずに設計する。

最低限決める制御

  • •対応OSとセキュリティ更新の許容遅延
  • •端末ロックの方式、桁数、無操作時間
  • •改造・脱獄・ルート化を検知した際の遮断
  • •管理外アプリ、クラウド、キーボードへのデータ移動
  • •ロック画面に表示してよい通知内容
  • •USB、外部画面、近距離共有、テザリングの扱い
  • •フィッシング耐性を考慮した認証方式
  • •端末の健全性に応じた条件付きアクセス
  • •管理命令が届かない期間の検知と遮断
  • •ログの取得範囲、保存期間、閲覧権限

例外は対象端末、理由、承認者、代替制御、終了日を記録する。「役員なので更新を延期」は要件ではない。重要会議の時間帯を避けた更新窓、事前通知、予備端末への切替を設計し、延期日数に上限を置く。

移動・海外・公衆環境を通常利用として設計する

役員端末では出張が例外ではない。国・地域ごとの回線、ローミング、現地SIM、充電規格だけでなく、入国時の端末取扱い、公共Wi-Fi、ホテル会議室、タクシー内の通話、空港保安検査後の置き忘れを想定する。

海外利用プロファイルには、渡航先、期間、利用アプリ、持ち出すデータ、緊急連絡先、紛失時の代替番号、帰国後の点検を含める。高リスクと判断した渡航では、日常端末から必要最小限の情報だけを移した貸出端末を使い、帰国後に回収・消去・ログ確認する選択肢も設ける。

通信は単一回線が止まった場合を考える。デュアルSIMを採用しても、同じ通信網へ依存していれば冗長化にならない場合がある。主回線、予備回線、Wi-Fi、衛星・固定電話など、利用場所と業務影響に応じた切替順を決める。

会議・発表・署名の周辺機器まで要件化する

本体だけを選ぶと、会議室の表示装置へ映らない、マイク音質が悪い、資料へ手書きできない、充電器が統一されないといった問題が導入後に判明する。実際の会議室、車内、出張先を再現し、次を確認する。

  • •会議アプリでの連続通話時間と発熱
  • •マイク、スピーカー、イヤホンの聞き取りやすさ
  • •外部画面、投影、変換アダプターの互換性
  • •電子署名・承認画面の視認性と操作数
  • •大容量資料の表示、注釈、検索速度
  • •片手操作、文字拡大、補聴器などのアクセシビリティ
  • •ケース装着時の充電、カメラ、ボタン操作
  • •車載機器や海外電源との接続

機種名ではなく、合格条件を残す。例えば「オンライン会議ができる」ではなく、「指定会議アプリ、会社回線、Bluetoothイヤホン使用で90分連続し、音切れ件数、電池残量、表面温度、再接続時間が基準内」とする。

台数は本人用・予備・検証・移行を分けて数える

対象者20人に20台では、故障時の即時交換も更新検証もできない。必要台数は次の式で考える。

`必要台数 = 常用台数 + 即時交換用予備 + 更新検証用 + 移行重複 + 長期出張用 - 共用可能台数`

予備率を一律10%にせず、停止許容時間と調達リードタイムから決める。二時間以内の復旧が必要なのに、販売店から翌日届く前提では要件不一致である。予備端末は箱に入れたままにせず、管理登録、OS更新、必要アプリ、回線開通可否を定期確認する。ただし本人の秘密鍵や業務データを常時複製する必要はない。安全に初期化された待機状態から、本人確認後に短時間で復元できることが重要である。

予算は端末単価ではなく利用可能な一人月で置く

比較する費用には、本体、回線、MDM、アプリ、ケース、充電器、保険、キッティング、サポート、交換、廃棄を含める。さらに、役員本人、秘書、IT担当が移行や障害対応へ使う時間も原価である。

`一人月TCO =（取得費 + 設定・移行費 + 回線・ライセンス + 支援費 + 故障・紛失期待損失 - 売却回収額）÷ 実利用可能月数 ÷ 利用者数`

「実利用可能月数」は会計上の償却期間ではない。OS更新期限、必須アプリの対応期限、電池状態、性能、修理部品、回線方式を満たして使える月数である。中古端末は取得費を下げられる一方、残りの更新期間や個体差を見なければ一人月TCOが上がる。候補の現在価格を確認するときは、仕様と状態をそろえて[販売相場を調べる](/market-search)を使い、表示価格を見積額や将来価格と同一視しない。

調達方式は停止リスクと変更頻度で選ぶ

購入、新品・中古、レンタル、リースを税務上の区分だけで決めない。機種を長く固定できるか、増減があるか、海外貸出が多いか、故障交換SLAが必要か、退役時の消去証跡が必要かで比較する。

比較表には、初期費用、最低利用期間、中途解約、故障交換時間、同一機種保証、代替機の管理登録、データ消去証明、回収物流、売却益の帰属を載せる。安い月額でも、代替機が管理対象外、本人確認に一日、返却時の傷料金が不明なら、重要業務には向かない。

支援体制と本人確認を要件の中心に置く

夜間・休日・海外で誰が連絡を受け、何を遠隔操作できるかを決める。役員本人からの電話というだけでロック解除や認証再設定を行うと、なりすましに弱い。登録済み番号への折返し、別の承認者、本人だけが持つ回復手段など、緊急時でも省略しない本人確認を設計する。

支援SLAの例

  • •紛失連絡の受付：24時間、一次応答15分以内
  • •遠隔ロック：本人確認後15分以内
  • •アカウント遮断：影響確認後30分以内
  • •予備端末引渡し：主要拠点で2時間以内
  • •海外代替手段：安全な連絡経路を30分以内に確立
  • •重大事故の経営・法務報告：判定基準に従い即時

数字は自社の体制で守れるものにする。24時間受付と書いて夜間担当がいなければ、要件書は安心材料ではなく未管理リスクの記録になる。

受入試験は役員本人の本番初日より前に行う

候補機を一台見るだけでなく、MDM登録から退役まで通す。試験者は情シスだけでなく、本人または代表利用者、秘書、セキュリティ、会議運営担当を含める。

  • •初回起動から管理登録まで自動で進むか
  • •必須アプリと証明書が正しく配布されるか
  • •ロック、暗号化、共有制限が強制されるか
  • •会議、承認、署名、資料閲覧を実務時間内に完了できるか
  • •圏外復帰、回線切替、再起動後に認証できるか
  • •紛失想定で位置確認、ロック、消去、報告が動くか
  • •予備端末へ目標時間内に復旧できるか
  • •退役後に業務アクセスと回線が残らないか

結果は合否、測定値、条件、試験者、証跡、未解決事項で残す。本人の感想も重要だが、「使いやすい」だけで合格にしない。

役割分担は例外承認と事故対応まで書く

経営層は許容リスクと予算を承認し、情報セキュリティ責任者は制御基準を決める。情シスは登録・配布・監視・復旧を担い、総務・秘書は利用予定、貸出、連絡先、回収を管理する。購買は価格・契約・交換条件を確認し、法務・個人情報担当は監視範囲、ログ、越境利用、事故報告を確認する。

境界で漏れるのは「誰も担当しない作業」である。渡航予定を誰がITへ伝えるか、退任日を誰が回収担当へ通知するか、休日の紛失を誰が重大判定するか、例外を誰が終了させるかまで、責任者と代行者を記載する。

要件定義書は合格条件と証拠まで含める

最終成果物は機種候補表ではなく、次の項目を持つ要件定義書である。

  • •対象者プロファイルと業務影響
  • •情報、アプリ、認証、周辺機器の要件
  • •所有・私用・管理・プライバシーの境界
  • •国内外の通信と代替経路
  • •台数内訳、予備配置、復旧目標
  • •セキュリティ基準、例外、更新期限
  • •調達・回線・保守・退役の契約条件
  • •初期費用と一人月TCOの上限
  • •受入試験、運用指標、見直し時期
  • •責任者、代行者、承認者、証跡保管先

各要件には「必須・望ましい・対象外」、根拠、測定方法、合格値を付ける。「十分なセキュリティ」では検収できない。「管理登録され、暗号化が有効で、指定OS以上、最終同期24時間以内でなければ業務システムを遮断する」のように判定可能な文章へ変える。

実務チェックリスト

  • •役職名ではなく業務・情報・利用場所で分類したか
  • •本人限定業務と代理可能業務を区別したか
  • •停止許容時間と予備端末への切替時間を決めたか
  • •必須アプリの最低OSと認証方式を確認したか
  • •会社所有・私用許可・個人所有の境界を明記したか
  • •会社が収集する情報を本人へ説明できるか
  • •紛失、のぞき見、誤送信、海外利用を試験したか
  • •ロック画面通知や外部共有の制御を決めたか
  • •更新延期の承認者と終了日があるか
  • •会議機器・イヤホン・充電器まで互換性を確認したか
  • •即時交換用、検証用、移行用を別々に数えたか
  • •予備端末を定期的に起動・更新しているか
  • •単価ではなく一人月TCOで候補を比較したか
  • •夜間・休日・海外の本人確認手順を試したか
  • •退任・退職・機種変更時の回収と消去を定義したか
  • •要件ごとに測定方法と合格証拠があるか

良い役員端末要件は安全な例外を減らす

役員・管理職向け端末を特別扱いする目的は、制御を弱めることではない。重要な意思決定を止めず、本人の時間を浪費せず、機密情報を守るために、標準より明確な復旧・支援・通信・認証を用意することである。役職を理由にした無期限の例外は、本人と会社の双方を危険にする。

業務影響から始め、情報とアプリ、所有境界、セキュリティ、移動、周辺機器、台数、TCO、支援SLA、受入試験を一つの要件書へつなぐ。そうすれば、機種の人気や担当者の経験に依存せず、「なぜ必要か」「事故時にどう守るか」「いつ見直すか」を説明できる調達になる。

完成した要件書は調達時だけで閉じない。四半期ごとに、対象者、必須アプリ、渡航、事故、復旧実績、更新期限を照合し、変化した条件だけを再承認する。端末交換がなくても経営環境や攻撃手法は変わるため、利用可能で安全な状態を継続的に証明することが、役員端末管理の最終成果である。