2026.08.29

MDM在宅勤務を安全に進める端末管理の基本

MDM在宅勤務を安全に運用する鍵は、端末を配布して終わりにせず、利用者・端末・アクセス権限を継続的に確認することです。自宅のネットワークや私物端末を利用する環境では、オフィス内だけを守る従来の対策では不十分になりがちです。

MDMは「Mobile Device Management」の略称であり、スマートフォン、タブレット、PCなどを一元管理する仕組みです。紛失時の遠隔ロック、暗号化の確認、業務アプリの配布、OS更新状況の可視化を通じ、在宅勤務の端末リスクを減らします。

本記事では、MDMを起点にリモートアクセス、SSO認証、パスワード管理、PCログ管理をどうつなぐべきかを解説します。ゼロトラストの考え方も取り入れ、会社支給端末とBYODの双方で実行できる運用設計を紹介します。

MDM在宅勤務で最初に整える端末統制

在宅勤務用ノートPCをMDMで一元管理する担当者

MDMの役割は端末を見える状態にすること

MDM在宅勤務で最優先すべきことは、誰がどの端末を使い、どの状態で業務データへ接続しているかを把握することです。数十台、数百台へ端末が増えても、資産台帳、OSバージョン、暗号化、セキュリティ設定を管理画面で確認できる状態を目指します。

端末管理の中心には、資産管理、位置情報管理、状態監視、機能制限、遠隔ロック・ワイプ、アプリケーション管理の6つがあります。特にiOS、Android、Windowsが混在する場合は、登録方式と制御可能な機能を事前に検証し、例外端末を放置しないことが重要です。

  • 業務利用を認めるOSと端末種別を定義する
  • 暗号化・画面ロック・OS更新を準拠条件にする
  • 端末台帳と実際の利用状況を定期的に照合する

BYODは業務領域と私用領域を分けて扱う

BYODでは、私物端末の全データを企業が監視・消去する設計は避けるべきです。社員の同意を得たうえで、業務アプリと業務データだけを管理対象にし、必要に応じてMAM（Mobile Application Management）を併用すると、プライバシーと安全性を両立しやすくなります。

会社支給端末は、紛失・盗難時にリモートワイプ機能で端末全体を初期化できるようにします。一方、BYODでは業務コンテナだけを削除する方式を基本にし、退職・異動・端末交換時のデータ削除範囲を利用規約へ明記することが欠かせません。

  • BYODの管理対象、取得ログ、消去範囲を文書化する
  • 業務アプリへのコピー・保存・共有を必要最小限に制限する
  • 紛失報告からロック、削除までの連絡経路を決める

安全な接続は端末確認と認証をセットにする

リモートアクセスは用途ごとに接続範囲を絞る

リモートアクセスは、自宅や出張先から社内システム、クラウド、業務アプリへ接続するための手段です。ただし、全社ネットワークへ一律に接続させるのではなく、業務アプリ単位で許可範囲を設計すると、侵害時に影響が広がる範囲を抑えられます。

利用者には少なくとも2つの手段で本人確認を行い、MDMが確認した端末の健全性も接続条件に加えます。たとえば、暗号化が無効、OS更新が未適用、画面ロック未設定の端末は、Microsoft 365などの重要サービスへの接続を制限する運用が有効です。

  • VPNは社内ネットワーク全体への接続が必要な業務に限定する
  • 特定アプリだけを使う業務はアプリ単位の接続を検討する
  • 委託先には利用期間と接続先を限定したアカウントを発行する

SSO認証で利便性を保ちながら認証を強化する

SSO認証は、一度の本人確認で複数の業務サービスを利用できる仕組みです。利用者がサービスごとにパスワードを使い回す状況を減らせるため、在宅勤務の操作負担を抑えつつ、退職者や異動者の権限停止を一元化しやすくなります。

連携仕様はSAML 2.0及びOpenID Connect 1.0への対応を確認し、ID基盤を中心に権限を管理します。SSO認証だけで完結させず、多要素認証、MDMの準拠判定、職務に応じた最小権限を組み合わせることが、認証突破後の不正利用対策になります。

  • 人事異動と連動してグループ・権限を見直す
  • 管理者権限は通常アカウントと分離する
  • 共有アカウントを個人アカウントへ段階的に置き換える

ゼロトラストで在宅端末を継続的に検証する

信頼を前提にしないアクセス判断へ変える

ゼロトラストは、社内ネットワークや会社支給端末であっても無条件に信頼しない考え方です。NIST SP 800-207が示すように、利用者、端末、アプリ、データへのアクセスを都度評価し、必要な操作だけを許可することで、在宅勤務における境界型対策の弱点を補えます。

実装では「Verify and Never Trust（決して信頼せず必ず確認せよ）」を運用へ落とし込みます。認証の成功だけで許可せず、端末がMDMのポリシーに準拠しているか、接続場所や時間が妥当か、要求権限が職務に合うかを継続的に判定します。

  • 利用者ID、端末状態、接続先、操作内容を判断材料にする
  • 重要データは閲覧・ダウンロード・共有の権限を分離する
  • 例外アクセスには承認期限と再確認日を設定する

導入効果は利用率と対応力の指標で確認する

ゼロトラストは製品導入数ではなく、運用指標で効果を確認します。導入検討で参照される調査には54%、83%、87%、48%、94%、62%といった差のある結果があり、他社平均をそのまま目標にするより、自社のMFA適用率、未管理端末数、権限棚卸し率を基準化することが実務的です。

クラウドサービスには$300 分の無料クレジットや20 以上の Always Free プロダクトが提示される場合もありますが、検証では利用期限と本番費用を分けて評価します。また、Tier1ワークの90%をオフロードする自動化を目標にする場合も、誤検知時の有人確認と復旧手順を必ず残します。

  • MFA適用率とMDM準拠率を毎月確認する
  • 高権限アカウントと例外アクセスを定期棚卸しする
  • 検知から隔離、復旧までの時間を記録する

PCログ管理とパスワード管理を日常運用へ組み込む

PCログ管理は監視ではなく異常対応の根拠になる

PCログ管理は、端末へのサインイン、アプリ起動、ファイル操作、外部媒体の利用、管理者権限の実行などを記録し、事故発生時の確認を可能にする仕組みです。目的、取得範囲、閲覧権限、保存期間を明確にすれば、必要以上の監視を避けながら調査力を高められます。

在宅勤務では、普段と異なる地域からの接続、深夜の大量ダウンロード、退職予定者によるデータ持ち出しなどを優先的に確認します。PCログ管理の記録は、MDMの端末情報とSSO認証のアクセス履歴を結び付けることで、誰が何を行ったかをより正確に追跡できます。

  • ログの閲覧者を情報システム部門などに限定する
  • アラート条件は業務特性に合わせて段階的に調整する
  • インシデント時の証跡保全と本人連絡の手順を定める

パスワード管理と働き方の可視化を両立させる

パスワード管理では、長く固有のパスワードをサービスごとに使い、管理ツールで安全に保管することが基本です。SSO認証で利用回数を減らしつつ、SSOの対象外サービスや緊急用アカウントも管理対象に含めれば、メモやチャットでの共有を防げます。

技術統制だけでは、在宅勤務における相談の遅れや孤立は解消できません。SWiseのようなバーチャルオフィスでは、アバターを近づけるだけで会話でき、出退勤や稼働時間をデータで管理できます。14日間の無料トライアルを活用し、ログ取得とコミュニケーションの負担を現場で確かめる方法もあります。

  • 初回ログイン時にパスワード管理ツールの利用方法を案内する
  • 業務状態の可視化は目的と利用範囲を社員へ説明する
  • セキュリティ運用と日常の相談経路を同時に整備する

まとめ

MDM在宅勤務を安全に進めるには、端末の一元管理だけでなく、リモートアクセスの制御、SSO認証、ゼロトラスト、PCログ管理を連携させる必要があります。社員の利便性とプライバシーを考慮し、会社支給端末とBYODで異なるルールを設計することが成功の基盤です。

要点

  • MDMで端末の状態、アプリ、紛失時の対応を一元管理する
  • リモートアクセスは端末準拠と多要素認証を条件にする
  • ゼロトラストでは利用者・端末・権限を継続的に検証する
  • PCログ管理は目的と取得範囲を明示して運用する
  • パスワード管理と円滑なコミュニケーションを両立させる

まずは端末台帳、BYOD利用状況、管理者権限、社外接続先を棚卸ししてください。そのうえで小規模な部門からMDMの準拠ポリシーとSSO認証を試行し、現場の声を反映しながら全社展開へ進めることをおすすめします。

よくある質問

Q1. MDM在宅勤務で最低限必要な機能は何ですか？

端末台帳、暗号化・画面ロックの確認、OS更新管理、業務アプリ配布、紛失時の遠隔ロックまたは業務データ削除が基本です。BYODでは個人領域を消去しない設定も必要です。

Q2. MDMがあればVPNやSSO認証は不要ですか？

不要にはなりません。MDMは端末の管理、VPNやZTNAは接続経路の制御、SSO認証はID認証の集約を担います。役割が異なるため、連携して運用することが重要です。

Q3. PCログ管理は社員監視になりませんか？

取得目的、対象操作、閲覧者、保存期間を明示し、セキュリティ事故の調査と不正利用防止に必要な範囲へ限定すれば、過度な監視を避けられます。導入前の説明と同意が不可欠です。

Q4. BYOD端末を紛失した場合、どこまで消去すべきですか？

原則として業務アプリ、業務データ、業務用証明書などの企業領域だけを削除します。端末全体を初期化するかどうかは、社員の私用データ保護と事前同意を踏まえて決めます。

Q5. ゼロトラストは小規模な会社でも始められますか？

始められます。まずは多要素認証、MDMによる端末準拠確認、共有アカウントの廃止、重要クラウドサービスの権限棚卸しから始めると、段階的に基盤を整えられます。