17-3. BYOD、MDM
17-3-1. BYOD（Bring Your Own Device）導入に向けて
BYODの概念や、導入に向けたポイント、運用手順を説明します。
BYOD（Bring Your Own Device）
BYODとは、個人が私物として所有している端末（PCやスマートフォンなど）を業務に使う利用形態のことです。従来は、業務で使用する端末は企業が購入し、従業員に貸与することが一般的でした。しかし、使い慣れた端末を利用できることによる働きやすさの実現や、端末購入コストの削減などの観点から、従業員が持つ私物のデバイスを業務に利用するBYODが導入されるようになりました。
BYODの主なメリット・デメリット
企業は、端末の調達や管理にコストがかかりません。故障した際の修理費用や老朽化した端末の入替も基本的には個人負担となります。
・使い慣れた端末の業務利用
従業員は、自分の使い慣れた端末を使用でき、操作方法や設定などを新たに覚える必要がないため作業効率があがります。また、仕事用とプライベート用に分けて端末を複数台持つ必要がなくなります。
ルールの整備や技術的な対策を講じないと、シャドーITが増加してしまう恐れがあります。
・セキュリティリスク
個人の端末では、さまざまなWebサイトやアプリケーションを利用することがあるため、ウイルス感染や不正アクセスといった被害にあう可能性が高くなります。
BYODを運用する際のポイント BYODを運用する際は、適切なルールを策定し、周知することが重要です。また、ルールに加えて、技術的な対策を講じることも重要です。
運用手順（例）
a. BYODに関する使用ルールや禁止事項を決めて周知する。
b. BYODで使用する機器については管理者に申請し、許可を得る。
c. BYODで使用する機器が紛失した場合の対応フローを策定し、周知する。
d. BYODで行える業務範囲やリモートアクセスの権限を設定する。
e. 社内ネットワークへは、VPNを利用する場合のみ接続できるようにする。
f. 必要以上に業務データを蓄積させない。（保存可能なデータに関するルールを決める。）
g. 業務で使用するPCは、EDRを導入し、「8.7 マルウェアに対する保護」に準じた設定を行う。
h. 業務で使用するPCに、ファイル共有ソフトなどの不正なソフトウェアをインストールすることは禁じる。
17-3-2. MDM（Mobile Device Management）導入のポイント
MDMの概念や、導入に向けたポイント、運用手順について説明します。
MDM（Mobile Device Management）
MDMとは、企業が保有しているモバイル端末(スマートフォンやタブレットなど)を一元管理できるシステムのことです。オフィスの外にあるデバイスも管理できます。ポリシー（パスワードの長さやロック画面の解除方法、インストールできるアプリケーションの制限など）を従業員のモバイル端末に適用し、違反した場合に警告を行ったり管理者に通知したりできます。また、万が一紛失や盗難があった際には、位置情報の確認や遠隔でモバイル端末の画面をロックしたり、リモートワイプ（端末に保存されているデータを遠隔で初期化する機能）したりすることができ、機密情報を守れます。
MDMを導入する際のポイント
コスト・費用 MDMは導入して終わりではなく、維持費がかかります。自社の予算に合わせた確認をすることが大切です。
対応しているOSの確認 すべてのOSに対応しているMDMもあれば、一部のみに対応しているMDMもあります。導入するMDMが、自社で使用している端末のOSに対応しているか確認することが大切です。
サポート体制 MDMの導入時や導入後の運用サポートなどが受けられるか確認することが大切です。
利用者の意見を反映した社内ルールの策定、およびMDMの選定 MDMは情報セキュリティの向上や業務効率化に役立ちますが、いくつか注意点があります。例えば、紛失・盗難されたデバイスがネットワークに接続されていない場合には、初期化などのリモート制御ができません。また、MDMによる制限が厳しくなりすぎると、使い勝手が悪くなり利用者から不満がでる可能性があります。利用者の意見を聞きながら、社内ルールの策定やMDMの選定を進めることが重要です。
MDMの運用手順について説明します。
運用手順（例）
a. モバイル端末の紛失・盗難時の対応
1. 従業員は、モバイル端末を紛失・盗難にあった場合は、速やかに情報セキュリティ管理者に報告する。
2. 情報セキュリティ管理者は、従業員からモバイル端末の紛失・盗難の報告を受けた場合、速やかにリモートでモバイル端末の画面をロックし、位置情報を確認する。
3. 情報セキュリティ管理者は、モバイル端末の位置情報が確認できず、発見が困難であると想定される場合、リモートワイプを実施し、モバイル端末内のデータを削除する。
b. 業務で新たにアプリケーションが必要になった場合、情報セキュリティ管理者に連絡し、インストールの許可をもらう。
