ITトレンドがおすすめする製品・サービス
- ■重視したいリスク対策別
- 管理操作の記録を確認したい：Josys EMS、LANSCOPE エンドポイントマネージャー クラウド版
- グループ単位で設定を配信したい：OPTiM Biz、SOTI MobiControl、Jamf for Mac
- 私物端末の業務データと個人データを分けたい：Sophos Mobile
- 設定ミスによる業務停止を防ぎたい：BizMobile Go!
- マルウェアやフィッシングなど端末の脅威対策も行いたい：IIJセキュアエンドポイントサービス、Jamf for Mac、Sophos Mobile、Lookoutモバイルエンドポイントセキュリティ、MobileAppProtectionSuite
MDMのリスクは2つに分けて考える
MDMのリスクを考えるときは、MDMで減らせるリスクと、MDMを使うことで生まれるリスクを分けて整理すると判断を誤りにくくなります。前者だけを見て導入すると、運用の段階で思わぬ影響が出る場合があります。
MDMで減らせる端末のリスク
MDMが主に減らすのは、業務用のスマートフォンやタブレットに関するリスクです。端末を紛失したときに遠隔でロックやデータ消去を行えば、第三者に中身を見られる可能性を下げられます。
ほかにも、パスコードの設定を必須にする、業務に不要なアプリのインストールを制限する、OSの更新状況を一覧で把握するといった使い方があります。いずれも、端末ごとに利用者任せにしていた設定を会社としてそろえることで、管理の抜け漏れを減らすものです。
MDMそのものが生むリスク
一方で、MDMは多くの端末を1つの管理画面から操作できる仕組みです。便利な反面、管理画面での操作や設定の影響が、登録したすべての端末に及ぶ可能性があります。
例えば、管理者のIDとパスワードが漏えいすれば、第三者が端末の設定を変えたりデータを消去したりできてしまうおそれがあります。また、誤ったポリシーを配信すると業務アプリが使えなくなるケースも考えられます。MDMを導入する際は、端末のリスク対策とあわせて、管理する側のリスクにも備えておくことが大切です。
MDMの管理者権限に関するリスク
MDMの管理画面では、端末のロックや消去、アプリの配信など影響の大きい操作を行えます。誰がどの操作をできるのかを決めずに運用すると、不正利用や誤操作が起きたときの被害が大きくなりやすいため、権限の扱いを最初に整理しましょう。
管理者アカウントの不正利用
管理者アカウントが第三者に使われると、MDMで管理しているすべての端末が操作の対象になり得ます。推測されやすいパスワードの利用や、複数の担当者による1つのアカウントの共有は避けたい運用です。
対策としては、管理画面へのログインに多要素認証を設定する、接続できるネットワークを社内やVPN経由に限定する、といった方法があります。製品によって設定できる範囲が異なるため、資料請求の段階で、管理画面のログイン方法やアクセス制限の選択肢を確認しておきましょう。
権限の分割と操作履歴の確認
管理画面の権限をすべての担当者に同じように与えると、意図しない操作が起きたときに原因を追いにくくなります。端末データの消去など影響が大きい操作は、限られた担当者だけが行えるようにしておくと安心です。
あわせて、誰がいつどの操作をしたかを記録する操作ログを定期的に確認します。ログを残しておけば、設定変更の経緯を後から確かめられ、担当者の異動時の引き継ぎにも役立ちます。権限ごとに担当者を複数人置き、特定の人に作業が集中しない体制にしておくことも重要です。
一斉操作や設定ミスが全端末に広がるリスク
MDMの強みである一斉配信や遠隔操作は、誤りがあったときに影響が一気に広がる面も持っています。操作ミスや設定の不備が業務に与える影響を小さくするには、配信前の確認手順と、問題が起きたときに戻す手順の両方を用意しておくことが欠かせません。
リモートワイプの誤操作
リモートワイプは、紛失した端末のデータを遠隔で消去する機能です。対象の端末を取り違えると、業務中の社員の端末を初期化してしまうおそれがあります。消去したデータは元に戻せない場合があるため、慎重な運用が必要です。
誤操作を防ぐには、消去の前に端末名や利用者、最終接続日時を確認するルールを決めておきます。紛失の報告を受けたら、まずは遠隔ロックで様子を見て、見つからない場合に消去するといった段階的な手順にしておく方法もあります。承認者を置き、2人で確認してから実行する運用も有効です。
ポリシー配信で業務が止まるケース
アプリの利用制限やWi-Fi設定などのポリシーを誤って配信すると、業務アプリが起動しない、社内ネットワークにつながらないといった影響が出る可能性があります。OSの更新を強制する設定も、業務アプリの対応状況によっては動作に影響する場合があります。
対策として、新しいポリシーはまず少数のテスト用端末に配信し、問題がないかを確かめてから全体へ広げます。変更前の設定を記録しておき、不具合が起きたときにすぐ元の状態へ戻せるようにしておくと、影響を受ける期間を短くできます。
証明書や連携設定の期限切れ
MDMは、OSの提供元が用意する管理の仕組みや、各種サービスと連携して動いています。例えばiPhoneやiPadを管理する場合、Appleのプッシュ通知用の証明書を定期的に更新する必要があり、期限が切れると端末へ指示を届けられなくなるおそれがあります。
こうした期限は年に1回程度の作業になることもあり、担当者の異動で更新が漏れるケースが考えられます。更新期限を共有のカレンダーで管理し、手順書と担当者を複数人で決めておきましょう。期限が近づくと通知する機能があるかも、製品を比べる際の確認点です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でMDM（モバイル端末管理）の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
BYODでMDMを使う場合のプライバシーのリスク
社員の私物端末を業務に使うBYODでは、会社の情報を守りつつ、社員の私的な情報に立ち入らない運用が求められます。MDMで取得できる情報の範囲を確認しないまま導入すると、社員の不安や反発につながるおそれがあります。
MDMで取得できる情報の範囲
MDMでは、端末の機種やOSのバージョン、インストールされているアプリの一覧、位置情報などを取得できる場合があります。取得できる情報は、製品の機能や端末の登録方法、OSの仕様によって変わります。
私物端末で端末全体を管理対象にすると、業務と関係のない情報まで会社側から見える状態になる可能性があります。BYODでは、業務用のアプリやデータだけを分けて管理する方式を選べるかを確認しましょう。個人の写真やメッセージには触れない設計にできるかも、製品選びの重要なポイントです。
社員への説明と同意
BYODでMDMを使う場合は、何の情報を、何の目的で取得するのかを社員に説明し、同意を得てから登録することが大切です。説明が不十分なままでは、業務端末としての利用を断られることもあります。
あわせて、紛失時にどこまでのデータを消去するのか、退職時に業務データをどう扱うのかも事前に決めておきます。取得した情報の扱いについては、社内の個人情報の取り扱いルールとあわせて、人事や法務の担当者に確認しておくと安心です。
MDMだけでは防げないリスクと補う方法
MDMは端末の設定や状態を管理する仕組みのため、すべてのセキュリティリスクに対応できるわけではありません。MDMの守備範囲を正しく理解し、足りない部分をほかの対策で補うことで、端末まわりのリスクを抑えやすくなります。
不正アプリやフィッシングへの対策
MDMでアプリのインストールを制限しても、メールやメッセージに含まれる偽のリンクから、IDやパスワードを入力させられるフィッシングは防ぎきれません。端末に入った不正なアプリの挙動を細かく調べる機能も、MDMの役割の外にある場合があります。
こうした脅威には、モバイル端末向けの脅威対策製品を組み合わせる方法があります。MTDとも呼ばれ、危険なWebサイトへの接続や不審なアプリを検知するものです。MDMと連携して、危険と判断した端末の利用を制限できるかも確認しておきましょう。
社員の操作やルールによる対策
パスワードの使い回しや、メールの誤送信、許可されていないクラウドサービスへのファイル保存といったリスクは、端末の設定だけでは防ぎにくいものです。どれも社員の日々の操作に関わるため、利用ルールと教育を組み合わせる必要があります。
具体的には、端末の利用ルールを文書にまとめ、定期的に研修や注意喚起を行います。紛失時の連絡先と報告の手順を周知しておけば、遠隔ロックまでの時間を短くできます。MDMの設定とルールを年に1回は見直し、業務の変化にあわせて更新していきましょう。
MDMのリスク対策を比べる製品の特徴一覧
管理操作の記録やグループ単位の配信、端末の脅威対策など、リスクに備える観点ごとに製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Josys EMS | 管理者操作やポリシー変更を記録。専任オペレーターによる運用代行つき |
| OPTiM Biz | SaaSのほか閉域オンプレミスも選べるMDM。設定は一括・グループ単位で配信 |
| SOTI MobiControl | 階層構造のグループ管理で端末ごとに異なる設定を配信。オンプレミスにも対応 |
| Jamf for Mac | Mac向けの管理とセキュリティ。スマートグループ単位で設定を反映 |
| IIJセキュアエンドポイントサービス | IT資産管理とMDM機能にアンチウイルスを加えたエンドポイントセキュリティ |
| BizMobile Go! | 場所や時間で使えるアプリを自動切替。OS更新の時間帯指定にも対応 |
| LANSCOPE エンドポイントマネージャー クラウド版 | スマホに加えPCやMicrosoft 365も一元管理。ログ運用はオプション |
| Sophos Mobile | BYODに対応し、業務情報と個人情報を分けて保存。フィッシング対策も備える |
| Lookoutモバイルエンドポイントセキュリティ | デバイス、アプリ、ネットワーク、フィッシングの脅威を検知 |
| MobileAppProtectionSuite | アプリ実行時の脅威検知と、マルウェアやフィッシングの検出 |
管理側のリスクにも備えたいMDMと脅威対策製品
管理操作の記録、グループ単位の配信、私物端末の扱い、端末の脅威対策という観点で、MDMとその周辺の製品を紹介します。
Josys EMS
- ツール提供だけでなく運用代行もセット。専任が伴走
- 500円/台/月〜の低コストで導入可能
- 既存MDM/RMM・WSUSのリプレイスに最適
ジョーシス株式会社が提供する「Josys EMS」は、PC・スマートフォン・タブレットのエンドポイント管理を、設計から監視・改善まで運用代行とあわせて提供するサービスです。管理者の操作やポリシー変更、リモート接続などを記録し、監査レポートとして提出できます。管理画面の操作履歴を残したい企業が、MDM自体のリスクに備える際の選択肢です。Windows、macOS、iOS、iPadOS、Androidに対応しています。
OPTiM Biz
- 遠隔でロックやデータ消去ができ、強固なセキュリティ対策を実現
- 大量の端末も一括で設定でき、作業や運用コストの低減が可能
- 高セキュリティの求められる閉域オンプレミスでも構築できる
株式会社オプティムが提供する「OPTiM Biz」は、スマートフォンやタブレットを遠隔から管理するMDMサービスです。リモートロックやデータ消去のほか、設定を一括やデバイスごと、グループ単位で適用できるため、一部のグループから新しい設定を試す運用を組み立てやすくなります。SaaSでの提供に加えて、閉域のオンプレミスでの構築にも対応します。Android、iOS、iPadOS、Windows、macOSの端末を管理できます。
SOTI MobiControl
- オリジナルのホーム画面でデバイスを自社サービス専用機に
- リモートコントロール、アプリ配布などの遠隔操作で業務を効率化
- 会社の情報資産を保護する高度なセキュリティを標準実装
ペネトレイト・オブ・リミット株式会社が提供する「SOTI MobiControl」は、業務利用に特化したMDMツールです。管理画面ではグループを階層構造で表示でき、部署や教室ごとに異なる設定を適用できます。リモートロックやワイプ、アプリのホワイトリスト・ブラックリスト、Webフィルタリングを備え、クラウドに加えてオンプレミス環境でも利用できます。設定を配信する単位を細かく分けたい企業の候補です。
Jamf for Mac
- Macのアプリ配布と更新を一元管理
- 脆弱性やWeb上の脅威を検知・対策
- デバイスの状態に応じてアクセス制御
Jamf Japan合同会社が提供する「Jamf for Mac」は、Macの管理、セキュリティ、ID・アクセス管理をまとめて行うサービスです。役職や利用状況に応じたスマートグループを作り、グループ単位で設定やパッチ適用を反映できます。マルウェアやフィッシングなどWeb上の脅威の検知、脆弱性の管理にも対応しています。対象はMac向けです。
IIJセキュアエンドポイントサービス
- IT資産管理と各種セキュリティ機能をアセットレスに導入
- AIを駆使した「Aurora Protect」で、未知のマルウェアも検知
- 脆弱性の自動抽出から対策までをワンストップで実現
株式会社インターネットイニシアティブが提供する「IIJセキュアエンドポイントサービス」は、クラウド型のエンドポイントセキュリティサービスです。IT資産管理と内部情報漏えい対策、アンチウイルス、ブラウザセキュリティなどを1つのサービスで提供します。PCに加えてiOSとAndroidの端末も管理でき、遠隔から端末を管理するMDM機能も備えます。端末の管理と外部脅威への対策を同じサービスでそろえたい場合の選択肢です。
BizMobile Go!
- 特許技術で場所別にワークモード自動切替し、情報漏えいを防止
- 業務時間内外で利用可能なアプリを自動切替し働きすぎを防止
- 端末状況がひと目で分かるWeb管理画面でらくらく運用
BIZMOBILE株式会社が提供する「BizMobile Go!」は、OSアップデートの時間帯やバージョンを指定して配信できるクラウド型のMDM／EMMサービスです。リモートロックやリモートワイプのほか、一定期間更新を制限することもできます。オプションのジオフェンスや時限テンプレートで、場所や時間帯に応じて使えるアプリや機能を自動で切り替えられます。BYOD端末では個人アプリを非表示にする設定も用意されています。
LANSCOPE エンドポイントマネージャー クラウド版
- 使いやすい管理コンソール・MDM としての基本機能を実装
- Apple Business・Android Enterprise に対応
- スマホに加え、 PC・M365も一元管理
エムオーテックス株式会社が提供する「LANSCOPE エンドポイントマネージャー クラウド版」は、PCとスマートフォンをクラウドで一元管理するIT資産管理・MDMツールです。リモートロックやワイプ、位置情報の取得といった基本機能に加えて、Apple BusinessとAndroid Enterpriseに対応します。オプションのログ運用では、操作ログを過去5年分保存してCSVで出力できます。
Sophos Mobile （ソフォス株式会社）
- 第三者機関から高い評価を獲得
- 柔軟性に富んだ管理機能でBYODにも対応
- XDRで端末に潜む脆弱性を発見
Lookoutモバイルエンドポイントセキュリティ （ルックアウト・ジャパン株式会社）
- 脅威（デバイス、アプリ、NW、フィッシング）を検知
- モバイルAI活用で高度に防御
- BYODのデータ漏洩リスクを軽減
MobileAppProtectionSuite （Zimperium, Inc.）
- アプリ実行時のリアルタイム脅威検知・防御
- モバイルアプリの脆弱性スキャンとセキュリティテスト
- モバイルのマルウェア、フィッシング、不正アプリを検出
まとめ
MDMのリスクは、端末の紛失や情報漏えいといった「MDMで減らせるもの」と「MDMが生むもの」に分けて考えると整理できます。後者には、管理者権限の集中や一斉操作の誤り、証明書の期限切れ、私物端末のプライバシーがあります。権限の分割や操作ログの確認、段階的な配信を取り入れ、MDMだけで防げない脅威はほかの対策で補いましょう。自社に必要な管理機能を備えたMDM（モバイル端末管理）を比べるため、まずは資料請求してみてください。
