【連載第7回】端末管理とデバイスセキュリティ ― MDMとBitLockerの導入ガイド
リモートワークの普及により、社員が社外でPCやスマートフォンを使う機会が増えています。端末の紛失・盗難は、情報漏洩の大きなリスクです。
なぜ端末管理が重要か
IPAの調査によると、情報漏洩の原因の約15%が「紛失・置き忘れ」です。端末にログイン制御やディスク暗号化が設定されていなければ、紛失＝全データ流出に直結します。
その前に、端末が何台あるかを把握する
MDMの検討より先に確認すべきことがあります。自社に端末が何台あり、誰が使っているかを正確に言えるかです。
- 退職者から回収した後、誰にも割り当てられていないPCが何台あるか
- 一時的に貸し出したまま返ってきていない端末はないか
- 業務で使われている私物のPC・スマートフォンはどれくらいあるか
- 保守期限（サポート終了）を過ぎたOSの端末が残っていないか
台帳がない状態でMDMを導入しても、「管理されていない端末」は管理対象になりません。 最低限、端末ごとに「機種／シリアル番号／使用者／購入日／OS」を一覧にしてください。Excelで十分です。この一覧が、後の資産管理・保守期限管理・退職時の回収漏れ防止すべての土台になります。
Microsoft Intune（MDM）の導入
Intuneでできること
- 端末のセキュリティポリシーの一元管理
- リモートワイプ（遠隔データ消去）
- アプリの配布と管理
- コンプライアンスポリシーの適用（暗号化必須、OS最新版必須など）
- 条件付きアクセスとの連携
導入ステップ
- Microsoft 365 Business Premium以上のプランを確認
- Intune管理センターで自動登録を有効化
- コンプライアンスポリシーを作成（BitLocker必須、パスコード要件など）
- 端末をIntuneに登録（ユーザー自身がセルフサービスで登録可能）
- 条件付きアクセスと組み合わせて「Intune準拠端末のみアクセス許可」を設定
コンプライアンスポリシーは段階的に適用する
5番目をいきなり有効にしないでください。 「準拠していない端末はアクセス不可」を即日適用すると、登録が済んでいない端末の利用者が一斉に業務できなくなります。
- まずポリシーを作成し、準拠状況をレポートで確認するだけの期間を置く
- 非準拠の端末と理由（暗号化未実施、OSが古い、パスコード未設定）を洗い出す
- 対象者に個別に案内し、期限を伝える
- 非準拠が十分に減ってから、アクセス制限を有効にする
猶予期間を設定できる項目もあります。 「非準拠になってから何日でブロックするか」を指定すれば、更新プログラムの適用待ちで突然締め出される事故を防げます。
導入前に確認しておくこと
- ライセンス — Intune を含むプランかどうか。Microsoft 365 Business Premium 以上が目安です
- 既存の管理方法との関係 — Active Directory のドメインに参加しているPCがある場合、移行方式の検討が必要です
- キッティングの流れ — 新規購入分は Windows Autopilot を使うと、開梱してサインインするだけで設定が完了します。先に登録の仕組みを作ってから端末を買うほうが手戻りがありません
- 既存端末の登録方法 — 利用者自身に登録してもらう場合は、画面付きの手順書が必須です
BitLockerによるディスク暗号化
BitLockerとは
Windows標準のディスク暗号化機能です。端末が盗難されても、暗号化されていればデータを読み取ることはできません。
Intuneからの一括設定
- Intune管理センター → 「エンドポイントセキュリティ」→「ディスク暗号化」
- プロファイルを作成 → 「BitLocker」を選択
- 暗号化方式（XTS-AES 256ビット推奨）を設定
- 回復キーをEntra IDに自動バックアップする設定を有効化
- 対象グループに割り当て
BYODへの対応
個人端末を業務利用する場合は、Intuneのアプリ保護ポリシー（MAM）で業務データのみを管理する方法があります。端末全体を管理せずとも、業務アプリ内のデータコピーや保存先を制限できます。
私物端末をMDMで管理しようとすると、ほぼ確実に反発が出ます。 会社が初期化できる状態になるためで、これは正当な懸念です。私物を業務に使わせるなら、MAM を選んでください。退職時も、端末を初期化せずに業務アプリ内のデータだけを消去できます。
回復キーの保管が最重要
BitLockerで最も事故が多いのは、暗号化そのものではなく回復キーの紛失です。更新プログラムの適用やハードウェア変更をきっかけに回復キーの入力を求められることがあり、キーがなければそのPCのデータは二度と取り出せません。
- Entra ID への自動バックアップを必ず有効にする（設定手順の4番）
- 有効にする前に暗号化された端末は、キーが保存されていない可能性がある。管理センターで一覧を確認する
- 手動で暗号化した端末や、個人アカウントで設定された端末は特に要注意
- 回復キーを参照できる管理者を複数名にしておく
「暗号化したつもり」の確認方法として、Intune の暗号化レポートで全端末の状態を一覧化できます。台数と一致しているかを見てください。
紛失・盗難が起きたときの現実
遠隔ワイプは万能ではありません。端末が電源オフやオフラインのままだと、コマンドは届きません。 電源を入れずに持ち去られた場合、ワイプは実行されないままです。
つまり、実際に情報を守るのはディスク暗号化です。遠隔ワイプは補助手段と考えてください。
紛失時の初動は次の順です。
- アカウントのサインインセッションを取り消す（端末の状態に関係なく即時に効く）
- パスワードを変更し、MFAの登録状況を確認する
- 遠隔ロック／ワイプのコマンドを送る（オンラインになった時点で実行される）
- 暗号化の適用状況を確認する — 報告要否の判断材料になります
- 警察への遺失届（盗難の場合は被害届）
「暗号化されていたか」を後から調べられる状態にしておくことが、報告義務の判断で効いてきます。
端末のライフサイクルまで決めておく
- 貸出時 — 台帳に記録する。誰にいつ渡したかが分からないと回収できません
- 退職時 — 回収を人事の退職手続きに組み込む。IT担当者が個別に追いかける運用は漏れます
- 廃棄時 — データ消去の方法を決める。第三者に処分を委託する場合は、消去証明書の発行を条件にしてください
- USBメモリ — 全面禁止が難しい場合は、貸出制にして台帳で管理する。私物USBの利用だけでも止める価値があります
次回は、クラウドサービスのセキュリティ設定を解説します。
まとめ
- MDMの前に端末台帳を作る。管理外の端末はMDMを入れても管理対象にならない
- コンプライアンスポリシーはレポートで確認する期間を置いてから制限を有効にする
- 猶予期間を設定し、更新待ちで突然締め出される事故を防ぐ
- 新規購入分は Autopilot を前提に、登録の仕組みを作ってから端末を買う
- BitLockerの事故で最も多いのは回復キーの紛失。Entra ID への自動バックアップを必ず有効にする
- 有効化前に暗号化した端末はキーが保存されていない可能性がある。一覧で確認する
- 遠隔ワイプは端末がオフラインだと届かない。実際に守るのはディスク暗号化
- 紛失時はまずサインインセッションの取り消し。端末の状態に関係なく即時に効く
- 私物端末は MAM。MDMで管理しようとすると反発が出るうえ、初期化権限は持つべきでない
- 退職時の回収は人事の手続きに組み込む。廃棄委託時は消去証明書を条件にする
← 前回: 【連載第6回】メールセキュリティ設定 ｜ 次回: 【連載第8回】クラウドセキュリティ →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。