BYODのセキュリティ対策｜MDMで会社に見える範囲と分離設計

テレワークで私物のスマートフォンやパソコンを業務に使うBYOD（Bring Your Own Device）では、企業データの保護と従業員のプライバシーをどこで線引きするかが設計の中心になります。業務領域だけを分離して管理すれば、会社が見るのは業務側に配信したアカウントとアプリに限られます。

モバイルデバイス管理 MDMを私物端末に入れたときに会社へ見える範囲、テレワークで広がるリスク、端末を丸ごと縛らないポリシーの作り方を順に説明します。

私物端末にMDMを入れると会社に何が見えるのか

BYODでMDMを導入するとき、従業員から最初に出る質問は「写真や通話履歴まで見られるのか」です。ここを曖昧にしたまま登録を求めると、同意が集まりません。業務領域と個人領域を分ける方式で登録した端末であれば、個人のアプリ・データ・利用状況は会社から見えません。

ただし、端末そのものの素性は会社に渡ります。機種名とメーカー、OSのバージョン、業務領域に入れたアプリ、ポリシーを満たしているかどうかは管理画面に並びます。Android 12以降の私物端末では、シリアル番号とIMEIが取得できなくなり、登録ごとの識別子に置き換わりました。「個人の中身は見えないが、端末の素性は見える」。この線引きを、同意を求める前に言葉にしておきます。

Androidの仕事用プロファイル

Androidには、業務用のアプリとデータだけを独立した領域に入れる仕事用プロファイルがあります。Googleの説明では、組織が管理するのは仕事用のアプリとデータで、個人用のアプリ・データ・使用状況は組織に公開されません。退職時に消えるのも、このプロファイル内のデータです。

AppleのBYOD向け登録方式（ユーザ登録）

iPhoneとiPadには、BYOD専用の登録方式としてユーザ登録（User Enrollment）があります。会社が発行する管理対象Appleアカウントと従業員個人のApple Accountを同じ端末に共存させ、業務データと個人データを分けたまま使う方式です。アカウント駆動型の登録はiOS 15以降で利用できます。

Appleの導入ガイドは、IT部門が管理できるのは組織アカウント・設定・デバイス管理サービスで配信した情報だけで、ユーザーの個人アカウントは管理できないと明記しています。端末の所有者が従業員である以上、適用できる構成プロファイルと制限も限られた範囲にとどまります。登録を解除すると、OSが業務データ用の暗号鍵を破棄します。

会社支給端末と同じ設定は入らない

分離は制約の裏返しでもあります。会社支給端末なら通る設定が、私物端末では通りません。Android 12以降、私物端末の仕事用プロファイルでは端末全体のパスワード要件を細かく指定するAPIが非推奨になり、高・中・低・なしという複雑さの段階で指定します。文字数や文字種を厳密に求めたいときは、端末のロック画面ではなく仕事用プロファイル側のセキュリティチャレンジに要件を置きます。

端末を丸ごと縛る発想から、業務領域だけを堅くする発想へ切り替える。BYODのセキュリティ設計はこの一点に尽きます。規程の書き方と社内調整の進め方はBYOD 運用ガイドライン策定で扱っています。

端末を登録せずに済ませる選択肢

業務で触るのがメールとファイル共有だけなら、端末そのものを登録せず、業務アプリの中のデータだけを保護するMAM（モバイルアプリケーション管理）で足りる場合があります。端末の設定に踏み込まないぶん、従業員の抵抗は小さくなります。ただし、紛失した端末そのものをロックする、OSを更新させるといった端末単位の操作はできません。OSのバージョンは業務アプリ側から読み取れるので、古いままの端末では業務アプリを起動させない、という条件は付けられます。業務で扱うデータの重さで選び分けます。

テレワークで広がるBYODのセキュリティリスク

BYOD環境では、従来の企業専用デバイス環境とは異なるセキュリティ課題が発生します。

1. デバイス紛失・盗難による機密情報漏洩

企業支給デバイスは通常、オフィスで使用されることが多いため、紛失・盗難のリスクは比較的低いです。一方、私物デバイスは従業員が常に持ち歩くため、駅・カフェ・移動中での紛失リスクが高まります。

具体的なシナリオ：

営業社員が駅の乗り換え時にスマートフォンをベンチに置き忘れた場合、拾った人物が以下にアクセスできます：

• メールアプリ：顧客メール、提案資料、社内報告書
• クラウドストレージ同期キャッシュ：営業資料、顧客情報、契約書
• VPN接続情報：企業ネットワークへのアクセス

MDMを導入していない場合、IT部門が気付くまでに数時間～数日の間、不正アクセスが可能な状態が継続します。

MDMによるリスク低減：

1. デバイス紛失報告直後にリモートロック実行（数秒）
2. 2次対応として、企業データのセレクティブワイプ実行
3. VPN接続情報を無効化し、ネットワークアクセスを遮断

2. 不安定なネットワーク環境での中間者攻撃

従業員がBYODで利用するネットワークは、企業ネットワークよりも脆弱です。

リスクのあるネットワーク使用例：

• カフェの公開Wi-Fi：暗号化なし、認証なし
• 公共施設の無料Wi-Fi：悪意のあるアクセスポイント（Evil Twin）が設置されている可能性
• 移動中のテザリング：通信キャリアの回線品質が不安定
• ホテルのWi-Fi：複数の宿泊客が利用するため、侵入リスク高い

中間者攻撃（MITM）のリスク：

不安全なWi-Fiに接続すると、攻撃者がデバイスとサーバー間のネットワーク通信を傍受できます。

• メールの盗聴：送受信内容を盗聴
• クラウドストレージへのアクセス：ログイン情報を盗聴
• VPN接続情報の盗聴：企業ネットワークへの不正アクセス経路を取得

3. 個人アプリのマルウェア感染リスク

BYOD環境では、従業員が個人的に好きなアプリを自由にインストールできます。その中には、セキュリティ品質が低いアプリも含まれます。

例：

• 無料ゲーム：内部に悪意のある広告ライブラリを含む
• SNSアプリ：権限が過剰で、メール、連絡先、写真にアクセス
• セキュリティツール（詐欺版）：実はマルウェアスキャナーではなく、デバイスを感染させる

マルウェア感染後、以下の被害が発生します：

• デバイス内の企業データ、顧客情報が暗号化・盗難される
• VPN接続情報が盗まれ、企業ネットワークへの侵入経路となる
• 他の従業員のデバイスへのマルウェア拡散の起点となる

4. 企業データと個人データの混在による削除リスク

BYOD環境では、企業データと個人データが同じデバイスに混在しています。従業員が退職する際、企業データのみを削除する必要がありますが、手作業では以下のリスクがあります：

リスクシナリオ：

1. 管理者が手作業でメールアカウントを削除
2. 誤ってクラウドストレージ同期を全削除
3. 従業員の個人写真、連絡先も一緒に削除
4. 従業員が個人データの復旧を要求
5. 法務部による対応が必要になり、時間とコストが増加

5. ユーザー側のセキュリティ意識のばらつき

個人デバイスの所有者は、セキュリティ設定の決定権を持っています。セキュリティ意識が低いユーザーは、以下のようなリスク行動を取ります：

• 簡単なパスワード設定（生年月日、連続番号など）
• Wi-Fi自動接続を有効化（公開Wi-Fiに自動接続）
• 公開ネットワークでのオンラインバンキング利用
• セキュリティ更新を放置

BYOD環境のセキュリティ対策の4つの柱

BYOD環境を安全に運用するには、複数のセキュリティ対策を組み合わせる必要があります。

1. コンテナ化によるデータ分離（Work Profile）

Androidデバイスのコンテナ化機能により、業務用と個人用を完全に分離します。

Work Profile の動作原理：

Androidデバイスに2つの完全に独立したユーザーコンテナを作成します：

[デバイス]
├── [個人用コンテナ]
│  ├── 個人メール（Gmail）
│  ├── SNSアプリ（LINE、Instagram）
│  ├── ゲーム
│  └── 設定：ユーザーが自由に変更可能
│
└── [業務用コンテナ（Work Profile）]
   ├── 企業メール
   ├── 営業支援ツール（Salesforce）
   ├── クラウドストレージ（OneDrive）
   ├── 設定：MDMにより強制
   └── 暗号化：MDMにより強制

Work Profile のセキュリティメリット：

1. 独立した暗号化：業務用コンテナはMDMの強制により、最新の暗号化アルゴリズムで保護
2. 独立したアプリ管理：個人がインストールしたマルウェアが、業務用コンテナに影響しない
3. 独立したネットワークストレージ：個人ファイルと企業ファイルが混在しない
4. 簡潔な削除プロセス：退職時に業務用コンテナのみ削除すれば、個人データは保持

iPhone・iPadでは、前述のユーザ登録が同じ役割を果たします。

実装例（LOCKEDでの設定）：

1. MDM管理画面で「Work Profile 有効化」を選択
2. デバイスに指令を送信
3. 従業員がデバイス設定画面で「業務用プロファイル」をアクティベート
4. 業務用メールアカウント、VPN、アプリが自動配信される

2. VPN強制接続による通信保護

業務側のネットワーク通信をVPN経由に強制し、公開Wi-Fiでの直接通信を遮断します。BYODでは端末全体ではなく、仕事用プロファイルや業務アプリの通信に適用します。個人の通信まで会社のVPNを通すと、私的な閲覧履歴が会社側の経路に乗ってしまうためです。

VPN設定フロー：

[デバイス]
  ↓
[VPN クライアント（常時接続モード）]
  ↓
[企業 VPN サーバー]
  ↓
[企業ネットワーク / インターネット]

VPN常時接続モードの特徴：

• 業務用の領域が起動した時点で自動的にVPNに接続
• VPN接続が切れている間は、業務側の通信をブロック
• 業務用の領域の中では、ユーザーが手動でVPNをオフにできない

設定例：

VPN常時接続のメリット：

1. 公開Wi-Fiに接続していても、業務通信は企業VPNを経由するため、平文のまま流れない
2. 業務通信の送信元IPアドレスが企業側に集約され、アクセス元を絞り込める
3. 同じWi-Fiにいる攻撃者が通信を傍受しても、中身を読めない

3. デバイスセキュリティポリシーの強制

パスワード、暗号化、ロック時間などのセキュリティ設定をMDMにより強制します。

BYOD向けセキュリティポリシーの例：

私物端末では端末全体に強い要件を課せないため、厳しい設定は業務用の領域へ寄せます。

パスワードの要件を写すときは、どちらの話かを分けてください。NISTは、離れた場所のシステムにログインするためのパスワードと、手元の端末で領域を開くロック解除コードを別の基準で扱っています。前者は長さを確保したうえで文字種の強制と定期変更をやめる、後者は短くてよいかわりに連続失敗の回数で止める、という考え方です。業務アカウント向けの15文字という数字をそのままロック解除コードに当てはめると、根拠のない負担を従業員に課すことになります。

ユーザーへの通知方式：

強制的にポリシーを適用すると、ユーザーの反発が生じます。そこで、以下のコミュニケーション戦略が重要です：

1. ポリシー適用前に、事前説明会を実施（なぜこのポリシーが必要か）
2. ポリシー違反時に自動メール通知（違反内容、改善方法を記載）
3. サポート窓口を明記（IT部門の連絡先、対応時間）

4. セレクティブワイプによる安全な企業データ削除

従業員が退職する際、企業データのみを削除し、個人データは保持する機能です。

削除対象・保持対象の定義：

削除対象：

• 企業メールアカウント
• クラウドストレージ同期キャッシュ（OneDrive、SharePoint）
• VPN設定、証明書
• 企業向けアプリ（Salesforce、SAP など）
• 企業データのローカルキャッシュ

保持対象：

• 個人メール
• 写真、動画
• 連絡先
• 個人アプリ（ゲーム、SNS）
• 個人ファイル

実装プロセス：

1. 退職予定の通知を人事部から受ける
2. MDM管理画面で対象デバイスを検索
3. 「セレクティブワイプ」コマンドを実行
4. デバイスに指令が送信される（数秒）
5. 業務用コンテナの全データが削除される
6. 個人用コンテナはそのまま

BYOD向けのセキュリティポリシー策定ガイド

BYOD環境のセキュリティポリシーは、企業のセキュリティ要件と従業員の利便性のバランスを取る必要があります。

段階的ポリシー実装アプローチ

第1段階：基盤セキュリティ（導入直後）

最小限の制限で、基本的なセキュリティを実現：

• 業務アカウントのパスワード：8文字以上（文字種は問わない）
• デバイス暗号化：ON
• ロック時間：15分

第2段階：強化セキュリティ（3～6ヶ月後）

ユーザーが慣れた後に追加制限：

• 業務アカウントのパスワード：15文字以上に引き上げ（文字種の強制は入れない）
• ロック時間：10分に短縮
• 業務通信のVPN常時接続：ON

第3段階：完全セキュリティ（6～12ヶ月後）

完全なセキュリティ態勢：

• 業務領域の分離（Work Profile / ユーザ登録）を必須化
• 業務領域で許可していないアプリの自動削除
• OSの更新が一定期間遅れている端末は、業務データへのアクセスを停止

ユーザー教育プログラム

ポリシーの強制だけでは不十分です。ユーザー教育により、セキュリティ意識を高める必要があります。

教育カリキュラム例：

監視と改善

ポリシー実装後も、継続的な監視と改善が必要です。

毎月実施項目：

1. ポリシー準拠状況をダッシュボードで確認
2. 非準拠デバイス一覧を抽出
3. ユーザーへの自動通知を送信
4. サポート窓口への問い合わせ数を集計
5. 改善点を検討し、ポリシーを調整

3ヶ月ごと実施項目：

1. セキュリティインシデント発生状況を分析
2. 他社のBYOD事例を参考に、ポリシーを見直し
3. ユーザーからのフィードバックを収集
4. 経営層へのレポート作成

BYOD実装のベストプラクティス

契約書・ガイドラインの整備

BYOD導入時に、以下のドキュメントを整備することが重要です：

BYOD利用契約書に含める項目：

1. MDMエージェント導入の義務化
2. セキュリティポリシー遵守の義務化
3. セレクティブワイプの同意
4. デバイス紛失時の報告義務
5. セキュリティ教育の受講義務
6. 違反時の措置（デバイスのMDM登録解除、アクセス権限剥奪など）

BYODセキュリティガイドラインに含める項目：

1. 許可されたOS・デバイス型番一覧
2. インストール禁止アプリ一覧
3. VPN、パスワード、暗号化の設定方法
4. 公開Wi-Fi 利用時の注意点
5. デバイス紛失時の対応フロー
6. IT部門への報告先・連絡方法

デバイスサポート体制の構築

BYOD環境では、ユーザーが自分のデバイスを使用するため、サポート体制が重要です。

サポート体制の例：

LOCKED MDMでのBYOD実装

LOCKEDは、BYOD環境に最適化されたMDM機能を提供します：

主な特徴：

1. Androidコンテナ化（Work Profile）対応：業務用・個人用の完全分離
2. セレクティブワイプ機能：企業データのみ削除、個人データ保持
3. VPN常時接続設定：すべての通信を暗号化
4. 非認可アプリ自動検知：マルウェア感染防止
5. ユーザー負担の最小化：直感的な設定UI、24時間日本語サポート

---

LOCKEDの詳細を見る BYOD環境のセキュリティでお悩みなら、LOCKEDの無料デモをお試しください。 資料請求・デモ依頼はこちら →

---

参考リンク

• Android Enterprise
• Android の仕事用プロファイルとは（Android Enterprise ヘルプ）
• ユーザ登録とMDM（Apple プラットフォーム導入ガイド）
• NIST SP 800-63B Digital Identity Guidelines
• デバイスを登録すると組織に何が見えるか（Microsoft Intune）
• 総務省 テレワークセキュリティガイドライン（第5版・2021年5月）
• IPA セキュリティ啓発
• JNSA（日本ネットワークセキュリティ協会）

関連記事

• モバイルデバイス管理（MDM）とは｜導入メリット・選定基準を解説
• BYOD 運用ガイドライン策定｜組織全体のセキュリティ方針を統一
• MDM による遠隔削除（Remote Wipe）｜紛失デバイスからのデータ保護
• シングルサインオン（SSO）導入で社員認証を一元管理【完全ガイド】
• テレワークのセキュリティ対策