中小企業のスマートフォン・タブレットセキュリティ対策｜MDM導入と情シス1人でもできるモバイル端末管理ガイド

「社員のスマホやタブレットが業務メールにアクセスできる。でも、そのスマホが電車の中に落ちたとき、どうなるか考えたことはあるか？」

中小企業の情シスを担当していると、こういったリスクをじっくり考える余裕がないのが実情です。パソコンのセキュリティには気を配っても、スマートフォンやタブレットは「個人が管理するもの」として放置されがちです。

ところが攻撃者は違う見方をしています。業務用メール、VPNアクセス、クラウドストレージ──これらに接続できるモバイル端末は、企業ネットワークへの絶好の入口です。紛失しても気づかれにくく、パソコンと違って管理ツールが入っていないことも多い。攻撃者にとってこれほど狙いやすいものはありません。

この記事では、中小企業のモバイルデバイスセキュリティの実態と、MDM（モバイルデバイス管理）を中心とした実践的な対策を解説します。情シス1人体制でも今日から動けるレベルで具体的にまとめました。

スマートフォン・タブレットのセキュリティリスクとは？

まず、モバイル端末がなぜ危ないのかを整理します。

パソコンと違い、スマートフォンには次のような特性があります。

・常時持ち歩く＝紛失・盗難リスクが高い: 電車・飲食店・タクシーでの置き忘れは毎年数万件規模で発生しています。
・プライベートと業務が混在しやすい: 同一端末で業務メールと個人SNSを使うBYOD環境は、情報漏洩の温床です。
・社員が自由にアプリを入れられる: 管理されていない端末には、情報収集アプリや悪意あるアプリが入る余地があります。
・PCより管理されていないことが多い: アンチウイルスやログ監視の対象外になっていることがほとんどです。

特に深刻なのが、紛失・盗難時のシナリオです。画面ロックがなければ、拾った人間が業務メールを読めます。クラウドストレージのアプリにアクセスできれば、そのまま機密ファイルをコピーできます。MDMが入っていなければ、管理者はそれを止める手段がありません。

攻撃者が狙うモバイル端末の弱点（敵を知る）

攻撃者視点でモバイル端末の弱点を把握しておきましょう。

【弱点1】SMSフィッシング（スミッシング）

「Amazonから荷物が届きません。こちらから確認してください」という偽SMSは、スマートフォンを狙うフィッシング攻撃の典型例です。メールフィルタが機能していても、SMSはノーガードの端末がほとんどです。偽のログイン画面に誘導し、業務アカウントの認証情報を盗みます。

【弱点2】公共Wi-Fiを悪用した通信傍受

カフェや駅の公共Wi-Fiに接続した状態で業務データを送受信すると、同一ネットワーク上の攻撃者に通信を傍受されるリスクがあります。VPNなしで業務通信を行うのは危険です。

【弱点3】野良アプリ・マルウェアアプリの侵入

AndroidはGoogle Play以外からのアプリインストール（サイドローディング）が可能です。業務端末でこれを許可した状態にしておくと、マルウェアに感染したアプリを踏む可能性があります。iPhoneでも、フィッシングサイト経由で不正なプロファイルを強制インストールされる手口が確認されています。

【弱点4】画面ロックなし・簡単すぎるPIN

「1234」「0000」などの簡単なPINや、画面ロック未設定の端末は、拾った第三者に即座にアクセスされます。管理されていない環境では、こういった端末が意外に多く存在します。

MDM（モバイルデバイス管理）とは？

MDM（Mobile Device Management）とは、複数のスマートフォンやタブレットを一元管理するための仕組みです。IT管理者がリモートから端末のセキュリティ設定を統一したり、紛失時にデータを消去（ワイプ）したりできます。

1. MDMでできること

代表的な機能を整理します。

・端末の一覧管理: 会社が管理している端末を台帳として把握できます。
・セキュリティポリシーの強制適用: 画面ロックのPIN桁数、暗号化の有効化、アプリインストール制限などを一括設定できます。
・リモートロック・ワイプ: 端末を紛失した場合、管理コンソールから遠隔でロックしたり、データを消去したりできます。
・VPN設定の自動配布: 業務用VPNの設定を、社員の手を借りずに全端末に配布できます。
・アプリの強制インストール・禁止: 業務に必要なアプリを自動配布し、不要なアプリのインストール禁止もできます。
・コンプライアンスチェック: OSのバージョンが古い端末や、脱獄・ルート化された端末を検出して警告できます。

2. 無料・低コストのMDM選択肢

「MDMは高い」と思われがちですが、実は低コストで始められる選択肢があります。

すでにMicrosoft 365 Business Premiumを使っている企業なら、追加費用なしでMicrosoft Intuneが利用できます。まずこちらの活用を検討するのが最も現実的な出発点です。

3. Microsoft Intuneによるデバイス管理の基本的な流れ

Intuneを使ったMDM管理の大まかな手順を示します。

# Microsoft Intune MDM 設定の大まかな流れ（管理者側）

# 1. Intune管理センター（intune.microsoft.com）にサインイン

# 2. コンプライアンスポリシーを作成
#    「デバイス」→「コンプライアンスポリシー」→「ポリシーの作成」
#    - 最低OSバージョンを指定（例: Android 12以上、iOS 16以上）
#    - 画面ロックを必須に設定
#    - ストレージの暗号化を必須に設定

# 3. 構成プロファイルで設定を配布
#    「デバイス」→「構成プロファイル」→「プロファイルの作成」
#    - Wi-Fi / VPN 設定を全端末に自動配布

# 4. 業務アプリを必須配布
#    「アプリ」セクションから対象アプリを指定

# 5. 社員はポータルサイトアプリをインストールしてデバイス登録
#    → 登録後、コンプライアンスポリシーが自動適用される

具体的なモバイルセキュリティ対策手順

MDM導入の前後を問わず、今日から実施できる対策手順を示します。

1. 端末棚卸しと台帳管理

まず「どの端末が会社の業務に使われているか」を把握することが出発点です。

・社員に業務利用している端末（個人所有含む）を申告させる
・機種・OS・バージョン・利用している業務クラウドサービスを記録する
・台帳をExcelまたはスプレッドシートで管理する
・四半期に1回、台帳を更新する運用を定着させる

「把握されていない端末」の存在こそが最大のリスクです。台帳化だけでも大きなセキュリティ改善になります。

2. 紛失・盗難時の遠隔ロック・ワイプを事前に設定する

MDMなしでも、OSの標準機能で遠隔ロックやデータ消去が可能です。ただし、事前に有効化しておかなければ紛失後に使えません。

Androidの場合（Googleアカウント連携）

・「設定」→「セキュリティ」→「デバイスを探す」がオンになっているか確認する
・Googleアカウントに端末を紐付けておく
・紛失時はandroid.com/findから遠隔ロック・消去が可能

iPhoneの場合（Apple ID・iCloud）

・「設定」→「Apple ID」→「iCloud」→「iPhoneを探す」をオンにする
・紛失時はiCloud.comまたは別のAppleデバイスから「紛失モード」を有効化
・紛失モード中は画面にメッセージと連絡先を表示でき、遠隔消去も可能

3. 最低限のセキュリティポリシーを文書化して周知する

MDMがなくても、社員向けにルールを文書化して周知することで、基本的なリスクを大幅に減らせます。

4. BYODポリシーの整備

社員の私物スマートフォンで業務を行う場合（BYOD: Bring Your Own Device）は、会社と社員それぞれの役割を明確にしたポリシーが必要です。

・会社が管理できる範囲を明記する: 業務アプリのインストール・削除、業務データのリモートワイプ（私物全体ではなく業務エリアのみ）が対象であることを明確にする
・プライバシーの保護を保証する: 社員の個人データ（写真・個人メール等）は管理対象外であることを文書化する
・退職時の処理を義務付ける: 退職時に業務アプリからのサインアウトと業務データの削除を手順化する
・MDM登録を利用条件にする: 業務利用するならMDMへの登録を必須とし、未登録端末は業務メールにアクセスできない設定にする

BYODは管理強化と社員のプライバシー保護のバランスが重要です。ポリシー策定時には事前に社員への説明と合意を得ることが不可欠です。一方的な管理強化は信頼関係を損なうことがあります。

中小企業でも今日からできること

MDMの導入や本格的なポリシー整備は時間がかかります。今日、すぐにできることから始めましょう。

・Step 1（所要時間: 1時間）: 業務利用中の端末を全社員から申告させ、台帳を作る
・Step 2（所要時間: 5分/人）: 「iPhoneを探す」「Androidデバイスを探す」が有効になっているか社員に確認させる
・Step 3（所要時間: 30分）: 画面ロックのPINルール（6桁以上）を全社員にメールで通知する
・Step 4（所要時間: 1時間）: 紛失時の報告手順（誰に・いつまでに・何を連絡するか）をA4一枚にまとめて配布する
・Step 5（所要時間: 半日）: M365 Business Premiumを使用中であればIntuneの管理センターにアクセスし、まず1台をテスト登録してみる

ゼロからMDMを構築する必要はありません。「把握する」「最低限のルールを周知する」だけでも、リスクは大幅に下がります。

よくある誤解と注意点

【誤解1】「iPhoneはウイルスに感染しないから安全」

iPhoneはAndroidと比べてマルウェアのリスクは低いですが、「安全」ではありません。SMSフィッシング・不正プロファイルの強制インストール・パスワード使い回しによるアカウント乗っ取り──これらは機種を問わず起こります。「iPhoneだから管理不要」という考え方は危険です。

【誤解2】「MDMを入れると社員の行動が丸見えになる」

MDMは端末の「セキュリティ状態」を管理するものであり、LINEやメールの本文を盗み見る機能ではありません。ただし、社員がそう誤解しているケースは多いため、導入前に「何を管理するか・何は管理しないか」を明確に説明することが重要です。透明性が信頼につながります。

【誤解3】「退職者のアカウントは本人が消してくれる」

退職した社員のスマートフォンに業務メールアカウントが残ったままになるケースは珍しくありません。MDMがあればリモートで業務データを消去できますが、MDMがない場合は管理者が能動的にアカウントを無効化し、アクセス停止を確認する必要があります。退職時チェックリストにモバイル端末の項目を追加してください。

本記事のまとめ

中小企業のモバイルデバイスセキュリティで押さえるべきポイントをまとめます。

スマートフォンは「個人のもの」という感覚が強い分、管理の死角になりやすい機器です。攻撃者はその死角を積極的に狙っています。まずは台帳化と「端末を探す」機能の有効化から始めてください。それだけでも、多くのインシデントを防ぐことができます。

Linuxサーバーのアカウント管理や権限管理については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。