登録したモバイルデバイスに設定を適用し、アプリを配布し、紛失時に対応します。日常の運用で使う機能をまとめます。
モバイルポリシーの管理場所
MDMのポリシーはAdministrationのPoliciesにあるMDM Policiesで管理します。
Device classごとに分かれる。Apple iOS、Apple iPadOS、Androidが別のPolicyになるAgentのポリシーと同様、Device classで対象が決まります。
Device class | 対象 |
|---|---|
Apple iOS | iPhone |
Apple iPadOS | iPad |
Android | Android端末 |
iOSとiPadOSが別区分である点に注意してください。同じPolicyをiPhoneとiPadの両方に適用することはできません。画面サイズが違うため設定できる項目も異なります。
Defaultの表示があるPolicyは、新規登録デバイスに自動で適用されるものです。一覧には適用台数と組織数も表示されます。
モバイルポリシーの構成
MDMのポリシーは、機能ごとのセクションに分かれています。
Passcodeではパスコードの要件を設定するiOS向けのポリシーでは次のセクションがあります。
| セクション | 設定できる内容 |
|---|---|
Passcode | パスコードの要件 |
Restrictions | 機能やアプリの制限 |
Applications | 配布するアプリ |
Network | 無線LANやVPNの設定 |
OS updates | OS更新の制御 |
Location tracking | 位置情報の取得 |
Androidでも同様の考え方ですが、設定できる項目はプラットフォームによって異なります。
パスコードの設定
デバイスのロック解除に必要なパスコードの要件を定めます。
設定できる主な項目は次の通りです。
| 項目 | 内容 |
|---|---|
| パスコードの必須化 | 設定しないと使えない状態にする |
| 英数字の要求 | 数字のみを禁止する |
| 最小文字数 | 桁数の下限 |
| 自動ロックまでの時間 | 操作しない状態が続いたときのロック |
| 失敗回数の上限 | 一定回数失敗したときの動作 |
設定には相互に排他な組み合わせがあります。画面上に案内が表示されるので、確認しながら設定してください。
【運用のポイント】 要件を厳しくしすぎると、利用者がデバイスを使わなくなります。業務で頻繁に使うデバイスで、20文字の英数字を毎回入力させるのは現実的ではありません。生体認証との併用を前提に、無理のない要件にしてください。
機能の制限
業務上必要のない機能を無効化できます。
| 制限の例 | 検討する理由 |
|---|---|
| カメラの無効化 | 撮影禁止区域での利用 |
| スクリーンショットの禁止 | 情報の持ち出し防止 |
| アプリストアの利用制限 | 業務外アプリの導入防止 |
| データのコピー制限 | 業務データの個人領域への移動を防ぐ |
制限は利用者の利便性を下げます。業務上の必要性を説明できるものだけにしてください。「念のため」で制限を増やすと、業務効率が落ちます。
BYODでは、個人領域への制限はかけられません。業務領域だけが対象です。
アプリの配布
業務で使うアプリを一括で配布できます。
| 配布の方式 | 内容 |
|---|---|
| 必須アプリ | 自動でインストールされる。削除できない |
| 任意アプリ | 利用者が選んでインストールできる |
必須にすべきなのは、業務に不可欠なアプリです。全社で使うグループウェアや、業務システムのクライアントアプリが該当します。
グループごとに配布内容を変えられます。営業部には営業支援アプリ、現場作業者には点検アプリ、という配布が可能です。
配布したアプリの更新も管理できます。古いバージョンが残らないよう、更新の設定も確認してください。
位置情報の取得
デバイスの位置を取得する設定です。紛失時の捜索に使えます。
【注意】 位置情報の取得は、利用者のプライバシーに関わります。取得する場合は、事前に利用者へ説明し、同意を得てください。特にBYODや、業務時間外も所持するデバイスでは慎重な判断が必要です。就業規則や労使協定との整合も確認してください。
取得する場合も、常時取得ではなく紛失時に限定する運用が一般的です。
紛失・盗難時の対応
対応の選択肢は3つあります。
| 操作 | 内容 | 使う場面 |
|---|---|---|
| リモートロック | デバイスをロックする | 一時的に見つからない |
| 位置情報の確認 | 現在地を調べる | 捜索する |
| リモートワイプ | データを消去する | 発見が見込めない、情報漏えいのリスクが高い |
対応の順序を決めておいてください。一般的には次の流れです。
- 紛失の報告を受ける
- リモートロックを実行する
- 位置情報を確認する
- 一定時間が経過し、発見が見込めなければワイプする
- 対応内容を記録する
4番目の判断基準を事前に決めてください。「何時間経過したらワイプするか」を決めておかないと、判断が遅れて情報漏えいのリスクが続きます。
【注意】 リモートワイプは取り消せません。会社所有デバイスなら全データが、BYODなら業務領域のデータが消えます。実行前に、本当に紛失しているかを確認してください。「机の引き出しにあった」という結末は珍しくありません。
退職時の処理
| デバイス | 対応 |
|---|---|
| 会社所有 | 登録を解除し、初期化してから回収する |
| BYOD | 業務領域を削除する。個人データは残る |
BYODでは個人のデータに触れられません。業務領域だけが削除され、利用者は個人利用を続けられます。
処理はチェックリストで管理してください。アカウントの停止、デバイスの解除、機器の回収を1つのリストにまとめれば、漏れを防げます。