MDMと端末管理の実務ガイド｜社内ルールと責任分界を設計する

# MDMと端末管理の社内ルール｜所有区分・監視範囲・登録・例外・ワイプを設計する

MDMを導入しても、端末を登録するだけでは管理は成立しません。会社所有のスマートフォン、従業員の私物端末、共有タブレット、店舗の専用端末では、会社が管理すべき範囲と利用者のプライバシーが異なります。管理者が強い権限を持つ一方で、誰がどの操作を承認し、遠隔ワイプをいつ実行し、退職時に何を解除するかが曖昧なら、セキュリティ対策そのものが業務事故の原因になります。

本記事では、情報システム、セキュリティ、法務・人事、総務、内部監査の担当者向けに、MDM（Mobile Device Management）と端末管理の社内ルールを設計します。所有区分と利用形態の分類、登録強制、ポリシー階層、監視情報の開示、アプリ配布、準拠判定、紛失対応、遠隔ロック・ワイプ、管理者権限、BYODの同意、例外、退職・譲渡時の解除までを、運用可能な判断基準へ落とし込みます。

MDMの目的を「監視」ではなく会社データの統制と定める

MDMは端末を遠隔操作するためだけの製品ではありません。会社が許可した端末と設定を把握し、業務データへアクセスできる条件を継続的に満たすための統制です。導入目的を曖昧にすると、取得できる情報を無目的に集めたり、反対に必要な制御を遠慮して適用できなかったりします。

社内方針には、少なくとも次の目的を明記します。

•業務データへ接続する端末を識別する
•暗号化、画面ロック、OS更新など最低基準を適用する
•業務アプリ、設定、証明書を安全に配布・更新する
•紛失、盗難、退職時に業務アクセスを停止する
•会社所有端末の所在・利用者・状態を資産台帳と照合する
•管理操作と例外の履歴を残し、事故や監査で説明する
•個人利用領域と会社管理領域の境界を明示する

「従業員の行動を常時監視する」ことを目的にしません。位置情報、アプリ情報、通信情報などは、業務上の必要性、対象、利用目的、保持期間、閲覧者を限定します。

所有区分と利用形態を先に分類する

同じ管理ポリシーを全端末へ配ると、会社所有の専用端末には弱過ぎ、BYODには強過ぎる管理になります。端末の所有者、用途、個人利用の可否、データ重要度で管理モデルを分類します。

会社所有・業務専用

会社が所有し、業務だけに使う端末です。端末全体を管理し、承認されていない設定変更、アカウント、アプリ、データ移動を広く制御できます。キオスク、受付、物流、現場端末など、用途を限定する専用端末は、利用可能なアプリや機能をさらに絞ります。

会社所有・私的利用許可

会社所有だが、限定的な個人利用を許す端末です。会社が適用する端末全体の制約と、閲覧しない個人情報の範囲を事前に示します。私的利用を許しても、所有権、返却義務、セキュリティ設定、事故時のワイプ条件は会社規程に従います。

BYOD・個人所有

従業員が所有する端末を業務へ使う形態です。会社は原則として仕事用プロファイル、管理対象アプリ、会社アカウントとデータの範囲だけを管理します。端末全体の初期化を前提にせず、仕事用領域の削除とアクセス停止を優先します。対応できないOS、改造端末、共有家族端末など、登録を認めない条件も明記します。

共有・専用・無人端末

会議室、店舗、工場、受付、デジタルサイネージなど、個人へ割り当てない端末です。利用者名の代わりに、設置場所、業務オーナー、日常点検者、緊急連絡先を登録します。固定用途では、アプリや外部接続を必要最小限に制限します。

GoogleのAndroid Enterprise概要は、個人所有端末の仕事用プロファイル、会社所有の混合利用、業務専用のフル管理、専用端末という管理モデルを区別しています。端末を「Android」と一括りにせず、利用形態に合う登録方式を選びます。

登録方式と管理強度を資産区分へ対応付ける

MDMへの登録は、利用者が任意でアプリを入れるだけの方式から、購入時に会社へ割り当てて削除を制限できる方式まであります。管理方式を端末ごとの判断にせず、所有区分と用途に対応付けます。

AppleのDevice Enrollment and device managementでは、アカウントによる登録やプロファイルによる登録などが説明されています。会社所有端末は、調達段階で組織へ割り当てる自動登録を基本とし、利用者が管理プロファイルを外せない構成を検討します。個人所有端末は、個人領域への影響を抑えた利用者登録や管理対象アプリを使います。

登録方針に含める項目

•対象OS、最低バージョン、対応モデル
•所有・利用区分ごとの登録方式
•購入経路と自動登録への割当手順
•登録期限と、未登録時の業務アクセス制限
•初期設定を行う担当者と本人確認方法
•MDM端末IDと資産ID・利用者IDの対応
•登録失敗・重複・旧レコードの処理
•管理プロファイルを削除できる条件
•端末交換、修理、初期化後の再登録方法

登録済みというだけで準拠端末とみなしません。登録後にポリシー適用、暗号化、OS、アプリ、証明書、最終接続を確認し、「登録」「設定中」「準拠」「非準拠」「隔離」「解除済み」を分けます。

ポリシーを基準・対象・例外の三層に分ける

端末ごとに設定を直接変更すると、なぜ違う設定なのか追跡できません。組織の最低基準、利用形態・部門別の追加基準、期限付き例外の三層で構成します。

全管理端末の最低基準

•サポート対象OSと更新期限
•画面ロック、認証方式、試行回数
•ストレージ暗号化
•改造・脱獄・root化端末の禁止
•端末の時刻、証明書、信頼設定
•MDM・セキュリティエージェントの稼働
•紛失時のロック・業務データ削除
•一定期間未接続時の確認とアクセス制限

対象別の追加基準

営業端末には社外ネットワークと持出し対策、開発端末にはソースコード・認証情報対策、役員端末には高リスクアカウント対策、店舗端末にはキオスク制御を追加します。部門名だけでなく、扱う情報、権限、利用場所、業務停止影響に基づきます。

例外

業務上どうしても基準を満たせない場合、対象、理由、リスク、代替策、承認者、失効日を記録します。「この端末だけ除外」という恒久設定にせず、期限到来時に自動的に再確認します。

会社が取得する情報と取得しない情報を明示する

MDMに対する不信は、何が見えるか分からないことから生まれます。管理画面で技術的に取得できる情報と、会社が実際に取得・利用する情報を分けて説明します。

通常取得する情報の例

•資産ID、端末名、メーカー、モデル、OS
•シリアル番号、IMEIなど会社資産の識別情報
•MDM登録状態、最終接続日時、準拠状態
•暗号化、画面ロック、更新状態
•会社が配布したアプリ・設定・証明書の状態
•会社アカウント、仕事用プロファイルの状態
•会社所有端末の紛失対応に必要な情報

原則取得・閲覧しない情報の例

•個人の写真、メッセージ、通話内容
•個人メールや個人クラウドの内容
•個人アプリ内のデータ
•業務目的のない継続的位置情報
•個人の閲覧履歴や入力内容
•BYODの個人プロファイル内にあるアプリ一覧

実際の可視範囲はOS、登録方式、所有区分、MDM製品で異なります。利用者向け説明には一般論だけでなく、自社設定で見える項目、見えない項目、閲覧権限者、利用目的、保存期間、問合せ先を載せます。設定変更で範囲が増える場合は、事前に規程と説明を更新します。

個人情報・プライバシーの管理ルールを設ける

端末管理情報には、利用者ID、端末識別子、位置・接続履歴など、個人と結び付く情報が含まれます。必要以上に収集せず、利用目的を限定し、閲覧権限と保持期間を設定します。

位置情報の扱い

位置情報を使う場合、対象を会社所有端末に限定するか、紛失・盗難など特定の事故時だけ有効にするかを定めます。常時追跡を既定にせず、実行理由、承認者、実行時刻、閲覧者、終了時刻を記録します。BYODではOS・登録方式の制約を確認し、私的領域を追跡しない設計を優先します。

ログの保持

MDM管理ログを無期限に保持せず、セキュリティ調査、監査、トラブル対応に必要な期間を定めます。通常運用の参照権限と、事故調査時の追加権限を分けます。エクスポートしたログも同じ保護・削除ルールの対象にします。

利用者への透明性

登録前に、管理される範囲、会社が実行できる操作、非準拠時の制限、ワイプ条件、退職時の解除、個人データのバックアップ責任を説明し、同意または規程確認を記録します。拒否した場合の代替端末・代替業務も定めます。

アプリと業務データの配布ルールを統一する

MDMはアプリを入れるだけでなく、配布元、設定、更新、データ移動を統制します。業務アプリの審査と配布を、担当者の個別判断から標準フローへ移します。

アプリ登録時の確認

•業務目的と利用部門
•提供元、ライセンス、利用規約
•必要権限、収集情報、外部送信
•保存する会社データの種類
•OS・端末との互換性
•更新方法とサポート終了時の対応
•仕事用領域と個人領域のデータ共有
•アプリ削除時のデータ回収・削除方法

承認アプリ、任意アプリ、禁止アプリを区分します。アプリ名だけでなく配布元IDやパッケージIDで識別し、似た名称の別アプリを誤配布しないようにします。重要アプリの更新は、一部端末で検証してから段階配布し、失敗時のロールバックや業務継続方法を決めます。

準拠判定とアクセス制御を連動させる

非準拠端末を一覧に表示するだけでは、改善されません。リスクに応じて通知、猶予、限定、遮断、隔離へ段階的に進めます。

準拠条件の例

•MDM登録が有効で、一定期間内に接続している
•OSがサポート対象で、重大更新が期限内に適用されている
•暗号化と画面ロックが有効である
•改造・脱獄・root化の兆候がない
•必須のセキュリティアプリと証明書が有効である
•端末の利用者・所有区分が台帳と一致する
•高リスク例外が期限切れでない

軽微な遅延は利用者へ自己修復手順を案内し、一定期間後に業務アプリへのアクセスを制限します。改造端末、紛失、退職者、無効な証明書など高リスク条件は即時隔離します。自動遮断が業務や安全に影響する端末には、代替手段と緊急承認経路を設けます。

遠隔ロック・ワイプの承認と実行を分ける

遠隔ワイプは強力で、誤操作すれば業務データや個人データを失います。管理画面へ入れる人が単独で実行できる状態を避け、対象確認、承認、実行、結果確認を分けます。

実行区分

•業務データ削除：仕事用プロファイル、管理対象アプリ、会社アカウントを削除
•端末ロック：端末の利用を一時停止し、連絡先を表示
•パスコード解除・再設定：本人確認とサポート手順に基づき実施
•端末全消去：会社所有端末の紛失、盗難、譲渡、再初期化などで実施

AppleのErase Apple devicesは、管理サービスから遠隔消去を開始でき、端末が受領確認を返して消去を実行する流れを説明しています。コマンド送信済みと消去完了を同じ状態にせず、受付、配信待ち、端末応答、完了、失敗を記録します。

実行前チェック

•対象の資産ID、シリアル番号、利用者を二つ以上の情報で照合する
•端末所有区分と登録方式を確認する
•紛失、退職、再配布など実行理由を案件へ記録する
•必要なデータ保全と法務・事故対応を確認する
•ロック、業務領域削除、全消去のどれが必要か判断する
•承認者と実行者を分ける
•利用者・関係部門への通知要否を決める
•オフライン時の保留と追跡期限を設定する

実行後はコマンド結果、端末応答、時刻、実行者を記録し、台帳、アカウント、回線、処分工程へ連携します。

管理者権限を職務ごとに分ける

MDMの全権管理者は、端末情報閲覧、設定配布、ロック、ワイプ、証明書、アプリ、管理者追加など広い操作が可能です。日常業務のために全員へ全権を与えません。

権限ロールの例

•閲覧・ヘルプデスク：端末状態を確認し、定型案内を行う
•登録担当：新規登録、資産ID・利用者の紐付けを行う
•ポリシー担当：設定案を作成し、検証グループへ配布する
•配布承認者：本番グループへの適用を承認する
•事故対応者：紛失時のロック・業務データ削除を実行する
•全消去承認者：端末全消去を承認する
•監査担当：設定・操作・例外の履歴を読み取り専用で確認する
•管理者管理：管理者アカウントとロールを変更する

管理者は個人アカウントを使い、多要素認証を必須にします。共有IDを避け、緊急用アカウントは通常利用せず、使用時にアラートと事後確認を行います。退職・異動時の権限削除を人事イベントと連携します。

ポリシー変更は段階配布とロールバックを前提にする

一つの設定変更で全端末の通信や業務アプリが止まる可能性があります。管理コンソールで変更できることと、安全に変更できることは別です。

変更管理の標準手順

変更理由、対象、期待効果、影響を記録する
OS・モデル・利用形態ごとの互換性を確認する
検証端末で正常系と復旧手順を確認する
小規模な先行グループへ配布する
エラー、問合せ、業務影響を監視する
段階的に対象を拡大する
完了後に適用率と例外を照合する
設定バージョンと変更履歴を保存する

緊急変更でも、最低限の対象確認、承認、記録、事後レビューは省略しません。設定を元に戻すだけで復旧できない場合に備え、証明書再配布、再登録、代替端末などの手順を用意します。

例外端末は期限付きで隔離可能にする

古い業務アプリ、検証機、医療・製造設備など、標準設定をすぐ適用できない端末があります。例外を非管理端末として放置せず、見える状態で管理します。

例外申請に必要な項目

•資産ID、所有区分、利用者・責任者
•満たせないポリシーと理由
•扱うデータ、接続先、業務影響
•想定リスクと代替統制
•利用できるネットワーク・アプリ・期間
•解消計画、期限、予算、担当者
•承認者と次回見直し日

例外端末はネットワーク分離、アプリ制限、追加認証、データ保存禁止などで影響を抑えます。期限が切れたら自動的に再承認またはアクセス制限へ進めます。例外件数、最長継続日数、同じ理由の再発を定期レビューします。

退職・交換・売却時の解除順序を固定する

MDMから先に削除すると、遠隔ロックや業務データ削除ができなくなる場合があります。反対にBYODを長く管理し続ければ、退職後の個人端末へ会社の制御が残ります。利用終了理由ごとに順序を決めます。

会社所有端末

利用者のアクセス停止と現物回収を確認する
必要な業務データ移行を承認する
遠隔または手元でデータ消去を実施・確認する
端末・アプリ・証明書・回線の割当を解除する
再配布ならMDMへ再登録し、新利用者へ割り当てる
売却・返却なら自動登録サービスの組織割当を適切な時点で解除する
資産台帳と証跡を更新する

BYOD

会社アカウントと業務アクセスを停止する
仕事用プロファイル・管理対象アプリ・会社データを削除する
削除結果またはアクセス不能を確認する
MDM登録と証明書を解除する
会社が保持する端末情報を保存期間に従って削除する
個人領域へ影響がないことと問合せ先を本人へ案内する

端末全消去を既定にせず、所有区分と事故状況に応じて最小限の操作を選びます。

台帳・ID・MDMの三者照合を行う

MDMだけを見ても、会社が所有するが電源を切って保管中の端末、修理中、未登録、売却済み未解除などは正しく判断できません。資産台帳、人事・ID管理、MDMを定期的に照合します。

抽出すべき差異

•台帳では貸与中だがMDMに存在しない端末
•MDMに存在するが台帳にない端末
•台帳とMDMでシリアル番号・IMEIが一致しない端末
•退職済み利用者へ割り当てられた端末
•MDMの利用者と人事上の利用者が一致しない端末
•一定期間接続がなく、所在確認もない端末
•台帳では売却・廃棄済みだがMDM登録が残る端末
•MDM解除済みだが会社アカウントや証明書が残る端末

差異を自動削除で合わせず、原因、正本、修正担当、期限を記録します。二重登録や修理交換では、古いレコードを履歴として残しつつ現行個体を一つに確定します。

導入・改定時のチェックリスト

•[ ] MDMの目的と対象業務データを文章化した
•[ ] 会社所有、混合利用、BYOD、共有・専用端末を分類した
•[ ] 区分ごとの登録方式と管理強度を決めた
•[ ] 最低OS、暗号化、画面ロック、改造禁止を定めた
•[ ] 会社が取得・閲覧する情報と取得しない情報を開示した
•[ ] 位置情報、ログ、エクスポートの利用・保持を定めた
•[ ] アプリ審査、配布、更新、削除の責任者を決めた
•[ ] 非準拠時の通知、猶予、制限、隔離条件を定めた
•[ ] ロック、業務データ削除、全消去を区別した
•[ ] ワイプの対象確認、承認、実行、結果確認を分けた
•[ ] 管理者権限を役割別にし、多要素認証を適用した
•[ ] ポリシー変更を検証・先行・段階配布できる
•[ ] 例外に代替策、失効日、再確認がある
•[ ] 退職・交換・売却時の解除順序を決めた
•[ ] 台帳、人事・ID、MDMの差異を定期照合する
•[ ] 障害時の代替運用と復旧後の再登録手順がある

IPAの中小企業の情報セキュリティ対策ガイドラインは、組織的・技術的な対策を進める実践資料を公開しています。またIPAのIT製品の調達におけるセキュリティ要件リスト活用ガイドは、国際標準に基づくモバイル端末管理のユースケースや脅威を整理しています。製品機能の一覧だけで選ばず、自社の所有区分、脅威、権限、証跡、例外要件に対応できるかを確認します。

まとめ：MDMは所有区分と透明性から設計する

MDMの社内ルールは、全端末へ強い制約をかけることではありません。会社所有・BYOD・共有・専用という利用形態を分け、会社が守るデータと利用者の私的領域の境界を明示し、登録、ポリシー、準拠判定、例外、ワイプ、解除を一つのライフサイクルとして管理することです。管理者の強い操作には職務分離と履歴を設け、利用者には取得情報と実行可能な操作を具体的に説明します。

端末更新やMDM対象外化を判断するときは、セキュリティ適合だけでなく、修理費、残存利用期間、市場価値も記録します。処分候補の会社所有端末は、データ消去とMDM解除を確認した後、[中古端末の買取相場を確認する](/kaitori-search)ことで、再利用・売却・廃棄の根拠を揃えられます。まずは現在のMDMから、所有区分不明、利用者不一致、30日以上未接続、期限切れ例外、退職者割当という五つの差異を抽出してください。