こんにちは、keisuke です。
「MDMを導入した方がいいらしいから、情報収集してみて」と頼まれたものの、MDMが何なのか、何から調べればよいのかが分からない。社内のITを担当していると、専任か兼任か、エンジニアかどうかを問わず、こうした場面に出会うことがあります。
日ごろからMDMの導入や運用に携わっている立場からおすすめしたいのは、製品を調べる前に、自社の現状（As-Is）を把握し、MDMで目指す姿（To-Be）を定義することです。この2つがそろってから製品を調べると、何を比べればよいかがはっきりします。
具体的には、次の順で進めることをおすすめします。
- MDMとは何かを理解する（目指す姿を考えるための前提）
- 現状（As-Is）を把握する：社内で起きている課題と、端末の状態を確かめる
- 目指す姿（To-Be）を定義する：MDMでやりたいことを決め、MDMだけでは対応できないことを切り分ける
なお、この記事では、製品ごとの機能の違いや設定の手順は扱いません。
1. MDMとは何かを理解する
MDMは、会社が仕事で使う端末（パソコン、スマートフォン、タブレット）をまとめて管理し、会社が決めた状態に保ち続けるための仕組みです。Mobile Device Managementの略で、名前に「モバイル」とありますが、WindowsやMacも管理の対象になります。
ここでいう会社が決めた状態とは、例えば次のような状態です。
- 画面ロックや暗号化が、会社のルールどおりに設定されている
- OSやアプリに、必要なアップデートが適用されている
- 業務に必要なアプリがインストールされている
管理者がMDMの管理画面にルールや配るアプリを登録すると、それらがインターネットを通じて各端末に届きます。端末からは、OSのバージョンや入っているアプリ、設定などの状態が、定期的にMDMへ報告されます。そのため、たくさんの端末に同じ設定を一度に届けたり、各端末の状態を管理画面で確認したりできます。
2. 現状（As-Is）を把握する
現状の把握でやることは、社内で起きている課題の洗い出しと、端末の状態の確認の2つです。課題はMDMで解決したいことの出発点になり、端末の状態は製品を比べるときの前提になります。
社内で起きている課題を洗い出す
端末を手作業で管理していると、次のような課題が起きやすくなります。どれも、端末の設定や状態を人の手で確認していることが原因です。当てはまるものに印を付けておくと、MDMで解決したいことの一覧になります。
| 分類 | 起きやすい課題 | 内容 |
|---|---|---|
| 運用面 | 新しい端末の準備に時間がかかる | 1台ずつ手作業で設定やアプリを入れる必要がある |
| 運用面 | 設定にばらつきが出る | 担当者によって設定内容が変わり、設定漏れが起きやすい |
| 運用面 | 端末の状況が分からない | 誰がどの端末を使い、OSがどのバージョンなのかを手作業で調べる必要がある |
| セキュリティ面 | 紛失や盗難のときに中のデータを守れない | 画面ロックや暗号化が設定されていないと、中のデータを読まれるおそれがある |
| セキュリティ面 | アップデートの漏れに気づけない | 弱点が修正されていない端末が残り、ウイルス感染などの原因になりうる |
| セキュリティ面 | 会社が許可していないアプリが入る | 危険なアプリや、データを外部に送るアプリが入れられてしまう |
端末の状態を確認する
確認するのは、端末の種類と台数、誰がどの端末を使っているか、各端末のOSの種類とバージョンです。MDMは製品によって管理できるOSが違うため、端末の種類によって選べる製品が変わります。
あわせて、使っているサービスと契約しているプランの名前も控えておきます。Microsoft Intuneのように、Microsoft 365の一部のプランにMDMが含まれている場合があるためです。含まれているかどうかは、製品を比べる段階で確認すれば間に合います。
端末管理台帳があれば、それを使って確認します。台帳が購入や貸し出しの記録として作られている場合、OSのバージョンや使っているサービスまでは記録されていないことがあります。台帳がある場合もない場合も、最終的に次の項目がそろうように調べます。
- 端末の台数
- 端末の種類（Windows、Mac、iPhone、iPad、Androidのうちどれがあるか）
- 誰がどの端末を使っているか
- 各端末のOSのバージョン
- 使っているサービス（Microsoft 365、Google Workspaceなど）と、契約しているプラン
すぐに調べられない項目は、分からないという事実を記録しておきます。把握できていない項目があること自体も、現状の把握の結果の一つです。
あわせて、台帳に載っていない端末がないかも確かめておきます。ここで漏れた端末は、MDMを導入しても管理されないまま残ります。
3. 目指す姿（To-Be）を定義する
現状の把握（As-Is）で課題や端末の状態が分かったら、次は「それをどう変えたいか」を考えます。目指す姿を具体化することで、自社に必要な機能や運用が明確になり、製品を選ぶときの判断基準になります。
例外の端末を作らない理由
会社のデータやシステムにアクセスできるにもかかわらず、管理の対象から外れている端末があると、その端末が攻撃の入口になりうるからです。攻撃者は、会社の中でもっとも守りの弱い端末を探して入り込み、そこからほかの端末やシステムへ被害を広げます。そのため、ほかの端末がルールどおりでも、アップデートされていない端末が1台残っていれば、会社全体が危険にさらされます。
MDMでやりたいことを決める
洗い出した課題ごとに、MDMで何をしたいかを具体的な操作で書きます。同じ機能名でも、製品やOSによってできる範囲が異なるためです。操作で書いておけば、製品を比べるときの確認リストとしてそのまま使えます。
たとえば「紛失対策をしたい」では、製品が対応しているかを確かめられません。「紛失した端末を、離れた場所からロックしてデータを消したい」のように、何をしたいのかが分かる形で書きます。課題ごとの書き方の例は、次のとおりです。
| 洗い出した課題 | MDMでやりたいこと（書き方の例） |
|---|---|
| 紛失や盗難のときに中のデータを守れない | 全端末に暗号化と画面ロックを設定し、紛失した端末を離れた場所からロックしたり、データを消したりしたい |
| 新しい端末の準備に時間がかかる | 新しい端末を、電源を入れてインターネットにつなぐだけで設定とアプリが入る状態にしたい |
| 設定にばらつきが出る | パスワードのルールや暗号化などのセキュリティ設定を、全端末に同じ内容で届けたい |
| 端末の状況が分からない | 機種、OSのバージョン、入っているアプリを自動で集め、どの端末を誰が使っているかを一覧で確認したい |
| アップデートの漏れに気づけない | 各端末のアップデート状況を確認し、適用されていない端末にアップデートを実行したい |
| 会社が許可していないアプリが入る | 仕事に必要なアプリを配り、許可していないアプリを入れられないようにしたい |
このほか、「USBメモリなどの外部記憶装置の利用を制限したい」「退職や入れ替えで回収した端末を、離れた場所から初期化したい」「決めた設定から外れた端末を見つけて、元に戻したい」といったことも候補になります。
MDMだけでは対応できないことを切り分ける
MDMは端末の設定や状態を管理する仕組みです。目指す姿によっては、ほかの仕組みも組み合わせる必要があります。
大まかにいうと、MDMはデバイスの管理、IdPは社員のIDの管理とログイン時の本人確認を担います。IdPはIdentity Provider の略で、社員のアカウントを管理し、ログインする人が本人かどうかを確かめる仕組みです。例えば、Microsoft Intuneも、アカウントの管理やログイン時の本人確認にMicrosoft Entra IDを利用します。MDMの導入を考える際は、連携するIdPについても確認する必要があります。
また、端末上のウイルス感染などの異常を見つけ、被害が広がらないように対処する仕組みがEDRです。EDRはEndpoint Detection and Responseの略で、端末の動きを監視し、異常があれば管理者に知らせたり、感染が疑われる端末をネットワークから切り離したりできます。
検討時は、MDMだけでなく他の製品と組み合わせて考え、MDMで対応することとほかの仕組みで対応することを分けておきましょう。
4. まとめ
MDMの情報収集は、製品を調べる前に、現状（As-Is）の把握と目指す姿（To-Be）の定義から始めるのがおすすめです。
- 前提：MDMは、会社が仕事で使う端末をまとめて管理し、会社が決めた状態に保ち続けるための仕組み
- 現状（As-Is）：社内で起きている課題を洗い出し、端末の状態（種類と台数、使っている人、OSのバージョン）に加えて、契約中のサービスとプランを確認する
- 目指す姿（To-Be）：すべての端末を、会社が決めた状態に保ち続ける。そのうえで、課題ごとにやりたいことを具体的な操作で書き出し、MDMだけでは対応できないことを切り分ける
ここまで調べたら、現状、目指す姿、MDMだけでは対応できないことの3つをメモにまとめておきます。このメモが、MDMを導入するかどうかを社内で検討する材料になります。まずは手元の端末管理台帳を開いて、端末の状態の確認から始めてみてください。
MDMの導入・運用、クラウドネイティブがお手伝いします！
クラウドネイティブでは、ベンダー中立の立場で、現状の整理から製品選定、導入、運用まで、必要な段階に応じた支援をさせていただくエンドポイントマネジメントサービスをご提供しています。
これから導入を検討される方はもちろん、
- デバイス管理が属人化している
- 運用リソースが足りず運用が追いつかない
- 現在のMDMの環境を評価してほしい
といった、運用中のお悩みにもベンダー中立の立場でお応えしています。
お気軽に、ぜひ一度ご相談ください！
