BYOD（個人デバイス利用）のセキュリティ設計 ― 業務利用を許可しつつリスクを管理する方法
「社員の個人スマートフォンからTeamsやOutlookを使いたい」——BYODの需要は高いですが、個人デバイスに会社の管理エージェント（MDM）をフルインストールすることに抵抗を感じる社員は少なくありません。
Microsoft Intuneの**MAM（Mobile Application Management）**を使えば、デバイス自体を管理せず、業務アプリ内のデータだけを保護する「MAM without enrollment（登録なしMAM）」が実現できます。
技術の前に決めるべきこと
BYODは技術だけの問題ではありません。 設定を始める前に、次を人事・総務と整理してください。ここが曖昧なまま進めると、後で運用が崩れます。
- 業務利用を「認める」のか「求める」のか — 会社が私物の利用を前提にすると、端末代や通信費の負担の議論が生じます
- 費用負担の扱い — 通信費や端末代の手当を出すか。出さない場合、業務利用は任意である必要があります
- 私物を使いたくない社員への代替手段 — 会社支給端末を用意するか、ブラウザ経由の限定利用を認めるか。代替がないと事実上の強制になります
- 時間外の対応 — 私物スマホに業務メールが届くと、時間外の対応が常態化しやすくなります。通知の扱いを明示してください
「認めるかどうか」を決めずに、技術的に使える状態を作らないでください。 使える状態にした時点で、実態として運用が始まります。
MDMとMAMの違い
MDM（Mobile Device Management）： デバイス全体を管理。パスコード強制、リモートワイプ、アプリインストール制限等。会社支給デバイス向け。
MAM（Mobile Application Management）： アプリ単位でデータを保護。業務アプリ（Outlook、Teams、OneDrive等）内のデータにのみポリシーを適用。デバイス自体は管理しない。BYOD向け。
MAMで設定できる保護ポリシー
データ漏えい防止： 業務アプリから個人アプリへのコピー&ペースト禁止、「名前を付けて保存」の制限（個人のiCloudやGoogleドライブへの保存禁止）
アクセス制御： 業務アプリ起動時にPIN入力または生体認証を要求
条件付き起動： OSバージョンが古い場合やデバイスがJailbreak/root化されている場合にアプリの起動をブロック
選択的ワイプ： 退職時に個人デバイス上の業務データのみを消去（個人データには影響しない）
BYOD対応の推奨構成
会社支給PC： MDM（Intune フル管理）＋コンプライアンスポリシー＋条件付きアクセス
個人スマートフォン（BYOD）： MAM（登録なし）＋アプリ保護ポリシー＋条件付きアクセス（MFA必須、ブラウザのみ or MAM保護アプリのみ）
個人PC（BYOD）： 条件付きアクセスで「ブラウザアクセスのみ＋ダウンロード禁止」に制限。MDM登録は求めない。
社員への説明
BYODポリシーの導入時に最も重要なのは、「会社が個人のスマートフォンを監視するわけではない」ことを明確に伝えることです。MAMは業務アプリ内のデータのみを管理し、個人の写真、メッセージ、ブラウザ履歴には一切アクセスしません。
説明では「できないこと」を先に伝えてください。 抵抗の原因は、何をされるか分からない不安です。
- 会社は個人の写真・連絡先・メッセージ・通話履歴・位置情報を見ません
- 会社は端末全体を初期化できません。消せるのは業務アプリ内のデータだけです
- 会社はインストールされている個人のアプリを把握しません
そのうえで、実際に発生する制約を伝えます。
- 業務アプリを開くときに、PINまたは生体認証が必要になる
- 業務アプリから個人アプリへのコピー＆ペーストが制限される
- 業務データを、個人のクラウドストレージや写真フォルダーに保存できない
- OSが古い場合、業務アプリが起動しなくなる（更新の依頼が必要になります）
「OSを更新してください」の連絡は必ず発生します。 私物端末のOS更新は会社側で強制できないため、事前に「古いOSでは使えなくなる」と伝えておかないと、使えなくなった時点で問い合わせになります。
運用で押さえておくこと
退職時の選択的ワイプには前提があります。 端末がオンラインで、業務アプリを起動したタイミングで消去が実行されます。端末を触らなければ、すぐには消えません。 退職手続きでは、ワイプの実行と併せてアカウントのサインインブロックとセッションの取り消しを必ず行ってください（退職者対応のチェックリスト）。
個人PCからのアクセスは、ブラウザ限定＋ダウンロード禁止が現実的です。 私物PCにMDMを入れさせるのは反発が大きく、かといって無制限にダウンロードを許すとローカルに業務データが残ります。閲覧はできるが端末には残らない構成が落としどころになります。
家族と共有している端末に注意してください。 自宅のタブレットやPCを家族で使っている場合、業務アプリのPINと生体認証が重要な防御になります。BYODの対象に含めるかどうかを、規程で明示してください。
紛失時の手順も決めておきます。 私物端末は会社の資産ではありませんが、業務データは会社のものです。第一報の連絡先と、選択的ワイプを誰が実行するかを決めておいてください。
規程に書くこと
- 業務利用を認める端末の条件（OSバージョン、会社が指定するアプリの導入）
- 認める業務の範囲（メールとチャットのみ、など）
- 会社が実施する管理の内容と、実施しないことの明記
- 紛失・盗難時の連絡義務と手順
- 退職・異動時の業務データ消去への協力義務
- 費用負担の扱い
「実施しないことの明記」が、最も効きます。 会社が何を見ないかを文書に残すことで、社員の不安と、後々の労務上のトラブルを同時に減らせます。
まとめ
- 技術の前に、認めるのか求めるのか・費用負担・代替手段・時間外の扱いを人事と整理する
- 代替手段がないと、私物利用が事実上の強制になる
- 説明では**「できないこと」を先に伝える**。抵抗の原因は何をされるか分からない不安
- 実際の制約（PIN、コピー制限、保存先制限、古いOSでは起動しない）も併せて伝える
- OSの更新依頼は必ず発生する。事前に伝えないと、使えなくなった時点で問い合わせになる
- 選択的ワイプは端末がオンラインで、アプリを起動したときに実行される。即時ではない
- 退職時はサインインブロックとセッション取り消しを必ず併用する
- 個人PCはブラウザ限定＋ダウンロード禁止が落としどころ
- 家族と共有している端末の扱いを規程で明示する
- 規程には会社が実施しないことを明記する。不安と労務トラブルを同時に減らせる
BYODは「禁止」よりも「制限付き許可」の方が現実的です。IntuneのMAMと条件付きアクセスを組み合わせれば、個人デバイスに会社の管理を強制せず、業務データだけを保護できます。
情シス365では、BYOD対応のセキュリティ設計を支援しています。お気軽にご相談ください。