今やPCと同様に仕事に欠かせなくなったスマートフォン。
ちょっとした隙間時間にもスマートフォン一台で仕事が出来たり、昔より更に手放せなくなったデバイスといえるだろう。その反面、この小さな端末には顧客の連絡先や取引内容のメールなど機密情報が詰まっており、紛失や盗難によって情報流出のリスクにもなっている。

そのため、多くの企業ではモバイル端末を貸与する際には専用の管理ツール『MDM（モバイルデバイスマネージャー）』を導入しているはずだ。

しかし、OSやバージョンが異なるデバイスが混在し管理が煩雑になっている企業もあるだろう。中にはユーザーが勝手に操作し管理下から逃れることができてしまうMDMもある。せっかく入れたMDMが無効状態でピンチに陥った情シスがここにもひとりーーー

MDMは「Mobile Device Management」の略称で、その名の通り、スマートフォンやタブレット端末といったモバイル端末を管理するための端末管理システムだ。
MDMを導入することで、IT管理者は対象となる複数のモバイル端末を遠隔で管理・操作できるようになる。
また、モバイル端末に特定のアプリやファイルをダウンロードすることを制限できるため、デバイスがウイルスなどのマルウェアに侵されるリスクを大幅に抑止することができるぞ。
MDMを用いて機能の利用制限を行えば、従業員による業務目的外での私的利用を予防し、業務用途に特化したモバイル端末として安全に運用できるようになる。また、従業員が業務データの入った端末を紛失してしまった場合でも、IT管理者によって遠隔から画面をロックしたり、リモートワイプ機能で端末の初期化を行うことで情報漏洩を防ぐことが可能だ。

MDMはモバイル端末をMDMに登録・連携することで、MDMサーバで一括管理が可能になるというものだ。その方法には、「ポーリング方式」と「プッシュ方式」の2つある。

ポーリング方式とは、MDMサーバーとデバイスが直接・定期的に通信することで、MDMの設定をデバイスに反映させたり、デバイスのログや状況を収集したりする方式だ。定期的な通信により、デバイスの状況を常に最新の情報に更新できるのはメリットといえる。

デメリットとしては、定期的な通信によるモバイル端末の電力消耗が大きい点と、すぐに適用したい急を要する変更には対応できない点がある。

プッシュ方式は、MDMサーバーからモバイル端末を提供しているサーバにリクエストを送信して通信する方式のことである。主にキャリアが提供するSMSや、プッシュサービスから通知される方法を使い、管理者のデバイス操作を認証する。
デバイスのOSによっては、対応していないプッシュ方式もあるため、使用するMDMサービスが自社管理したいデバイスのOSに対応しているプッシュ方式を使えるか、なども事前に確認が必要だ。

プッシュ方式の場合、必要な時に通信を行えばよいため、定期的に通信をするよりもデバイス側の電力消耗を抑えることが可能になるし、緊急性の高い変更にも対応可能だ。一方、定期的な通信ができないため、デバイス側に何か問題が生じても、それを検知するまでに時間を要してしまうこともある。

ここ数年で、自宅やコワーキングスペースなど、オフィスの外で仕事をする新たなワークスタイルが浸透した。そんな中、従業員同士が同じフロアで顔を合わせていなくても、生産性を落とさずに業務を遂行する為、以前よりも社員同士によるオンラインでのコミュニケーションは活性化している。

こうした環境下でPCと同等に活躍するのがスマートフォンやタブレットなどのモバイル端末だ。本社でも支社でも、自宅でもオフィスでも、PCでもモバイル端末でも、Web会議やチャットツールによって遠隔地で働く従業員達が密にコミュニケーションを取れたり、業務で使うデータをいつでもすぐに共有・確認できたりと、さまざまなメリットがある。

しかし、気軽に使える優れた操作性がモバイル端末の大きな魅力である一方、業務用の端末であっても私的利用と混同されやすく、中には業務に関係のないアプリをインストールしたりファイルをダウンロードしたりしてしまう人もいるようだ。これではセキュリティリスクの問題が付いてまわる。例えば、私用目的でインストールしたアプリが悪質な不正ファイルで、そこからウイルスに感染してしまったり、うっかり不正なWEBサイトにアクセスしてマルウェアの被害に遭うといった可能性がある。

これらは、ウイルス対策ソフトをインストールしているだけでは万全とはいえない。なぜならウイルスの多くはシステムの脆弱性を狙って侵入するので、私用目的でIT管理者にとって想定外の操作が増えるほどそのリスクは高まってしまうからだ。

また、PCと比べてモバイル端末は小型である為、盗難や紛失に遭いやすいという物理的なリスクもある他、安易にフリーWi-Fi等に繋いで業務をしてしまう等、従業員のセキュリティリテラシーによってはいとも簡単に脅威に晒される。

MDMは、テレワークの拡大を背景として、企業が従業員にモバイル端末を持たせる際のセキュリティ対策として改めて注目されているのだ。

MDMがモバイル端末を管理するための端末管理システムというのに対して、MAMは端末のアプリケーションを管理するシステムのことだ。「Mobile Application Management」の略である。

たとえば、会社からモバイル端末を支給されている場合もあれば、BYOD※で私用のものを使うような運営になっている企業もあるだろう。後者の場合、私用用途のアプリケーションと業務用のアプリケーションを混同されてしまうと会社の管理が行き届かずに情報漏洩やマルウェア感染などセキュリティリスクが高まることになる。

^{※BYOD：Bring Your Own Deviceの略で自分のデバイスを持ち込み使用することを指す。会社貸与ではなく、社員が個人所有するデバイス（スマートフォンやPC）を業務に活用する仕組みである。}

とはいえ従業員の私用領域まで管理の手を広げるわけにもいかないだろう。こんな時にMAMが役に立つ。MAMが私用のモバイル端末内に業務用アプリケーションの領域を生成し、この領域内のアプリケーション利用はVPN越しに行わせることで、安全に業務用 アプリケーションを利用させることができるのだ。私用領域は管理外にあたるため、当然従業員は好きなアプリケーションを自由に利用していいことになる。モバイル端末を紛失してしまった場合でも、情報漏えいの影響が大きいアプリケーションだけを遠隔で削除することもできるぞ。

最近のMDMサービスは、MAMの機能を一部有しているものもある。いずれもモバイル端末を通じたセキュリティリスクを抑止する事が目的となっている為、共通する機能を有していると棲み分けが難しいが、自社に必要なサービスが何か？ではなく、自社に必要な機能は何か？その機能を有しているサービスが結果的にどれなのか？と考えると選定しやすくなるだろう。

MCMとは「Mobile Contents Management」の略であり、モバイル端末にインストールされたアプリケーションの中身を管理するツールだ。MAMではアプリ自体を管理するが、その中のコンテンツ管理までは対応していないので、特定のアプリを使って何のデータを保存しているか？や、保存データに対しての適切なアクセス権限管理までは行き届かない。そこを補完する役割なのがMCMと言えるだろう。

そして、MDM、MAM、MCMの機能を統合した管理システムがEMMだ。EMMは「Enterprise Mobility Management （エンタープライズモビリティ管理）」の頭文字からなる言葉だ。EMMの構成要素として他の3つの言葉が存在するといえる。これからの時代はMDMだけではなく、MAMやMCMも加えて統合的にモバイル端末やその他のスマートデバイスを管理してよりセキュアに業務ができる環境を従業員に提供する必要があるということだ。

業務で利用するモバイル端末には、電話帳やメールの送受信箱に顧客情報や社外秘のデータなどが詰まっている。業務用アプリをインストールしている場合には、直接社内システムにアクセスできるようになっているかもしれない。すなわち、モバイル端末を紛失したり盗難されたりするということは、情報漏洩や不正アクセスのリスクにさらされることになる。MDMの機能には、こうしたモバイル端末の紛失や盗難時に役立つ様々な機能がある他、通常運用時でも情シス担当者にとって便利な機能が沢山ある。

この章では、MDMの基本的な機能について解説していこう。

リモートロックとは、紛失や盗難時に、遠隔から対象のデバイスをロックする機能のことである。
万が一悪意のある第三者の手元に端末が渡ってしまった場合でも、操作出来ない状態にする事ができる。

リモートワイプとは、遠隔から対象デバイスのデータを消去して初期化する機能。盗難や紛失によりデバイスが行方不明になってしまった場合、最後の手段としてデバイスの初期化をして情報漏えいを防ぐことができる。サービスによっては、サーバにデータをバックアップできるものもある。

情シス担当者が従業員に配布したモバイル端末の資産情報を一元管理できる。全端末のハードウェア情報や設定情報を自動取得することで、モバイル端末の資産管理を効率的に行う事ができる。

管理できる対象範囲は、アプリやWi-Fiについてなどの設定までと幅広く、それぞれの設定やアプリは、個人、役職、部門など様々なグルーピングで管理することができるため、企業の体制に応じて管理することができる。

従業員に必要な業務アプリを各人のモバイル端末に一括配布したり、フリーWiFiへアクセスさせない等のWi-Fi設定を一括で反映させたり、従来一台一台設定していたものを遠隔から一括で管理・対応することができるのが大きなメリットだ。

従業員が業務に関係のないアプリをインストールして使用していた…といったような私的利用なども管理することができるため、テレワークなどにより端末での利用状況を把握しにくい現代においては重要な機能の一つと言えるだろう。

業務上不要なアプリのインストールを制限することが可能だ。管理者が許可したアプリのみ使用することができるため、個人利用のクラウドストレージやコミュニケーションツールなどを利用して情報が漏えいしてしまうことを防いだり、Wi-Fi接続を制限して公衆Wi-Fiによるセキュリティリスクからデバイスを守ったりすることができる。閲覧できるWebサイト自体も制限することができるため、悪意のあるWebサイトからのウイルス感染リスクを低減する事にもつながるだろう。

サービスによるが、コンテンツの管理や配信を行えるMDMもある。従業員に周知したい書類や業務で使用するファイル（例えば、クライアントに案内するパンフレットやカタログ）などをMDMを通じて配信することも可能だ。

新しい資料ができた際に一括で最新にアップデートすることができるため、更新漏れなどを防ぐことができるのだ。

MDMの導入を検討する企業の目的は、「情報漏洩やマルウェア感染に対するセキュリティ対策」、「必要な設定・アップデート等の一斉適用や自動IT資産管理による管理運用工数軽減」の二つに大別されるだろう。

一言にMDMサービスといってもベンダー毎に特色がある。前段で基本機能として紹介したものの中でも、サービスによっては非対応であったり、もっと踏み込んだセキュリティ関連機能を搭載しているものもあり、様々なのだ。

さらにMDMサービス自体、オンプレ提供のものもあればクラウド提供のものもあり、対応OSも「iOS」「Android OS」の両方に対応しているかどうかや、「Windows OS」「macOS」など、PCも対象に含まれる場合もあるので事前に確認しておくべきだろう。自社に必要な機能や想定される利用シーンを予め見返しておくことで、サービスについて情報収集をする際に迷わなくて済む。

MDMでは、モバイル端末のOSからアプリの中身(コンテンツ)までの全てを管理把握できるわけではないことを理解しておく必要がある。

より詳しく管理したいとなる場合は、アプリ内のコンテンツまでを管理することができるMCM（Mobile Contents Management）を利用する必要がある。

企業側の考えとしてはより詳細に、厳しく管理したいところだが、BYOD（従業員の私物デバイスを業務に利用している）の場合、私的な情報までは管理対象に出来ない為、プライバシー保護とセキュリティの両立を実現するには、アプリ単位で管理が出来るMAM（Mobile Application Management）や、MDMからMAM、MCMまでの機能が統合されたEMMサービスを視野に入れ、どのように活用していくかを詰めていくとよいだろう。

最後にお薦めのMDMサービスも紹介しておこう。「USEN GATE 02 モバイルマネージャー」は、iOS、Android、Windows、Mac などマルチキャリアに対応したクラウド型のMDMサービスだ。iOS や Android だけでなく、マルチOS（iOS・Android・Windows・macOS・tvOS） に対応し、さらに以下の強みがある。

そして「USEN GATE 02 LANSCOPE クラウド」は、外部脅威を防御し 、 内部情報漏えいを抑止する対策として「MDM機能」と「IT資産管理」そして「業務の見える化」を1つのクラウドサービスとして提供するサービスだ。

IT資産管理は管理する対象端末が増えれば増える程必要だ。近年、PCもスマートフォンもタブレットも全て一つのサービスで管理する需要が高まっており、このアプリはどのデバイスにインストールされているか？等が一つの画面に集約されるのはありがたい。「いつ」「どのようなアプリを利用したか」「誰と電話したか」など、スマートフォン・タブレットの「利用の見える化」を実現する。利用させるアプリケーションやアカウント権限の最適化にも一役買うことになるな。

従来の操作ログ収集と違う点としては、組織配下のグループ別比較や課題のあるデバイスの特定等、サマリーを表示してくれる点だろう。監視・管理ツールとしてだけではなく組織マネジメントの一助にもなるツールとして扱う事が出来る。

最後に「USEN GATE 02 セキュアエンドポイントサービス」は、外部脅威を防御し 、 内部情報漏えいを抑止する対策として「アンチウイルス」と「資産管理」を1つのクラウドサービスとして提供するエンドポイントセキュリティサービスだ。これはMDMに特化したサービスではなく、クラウド型のアンチウイルスに資産管理やMDM機能までついているイメージだ。

アンチウイルスはパターンファイルに頼らずAIを活用して独自のアルゴリズムで検出することで高い検出率を保持しているぞ。特徴的なオプションとしてはEDR機能だ。攻撃が発生した場合も、迅速なインシデント対応を支援してくれる。またマルウェア検体解析オプションだ。お客様から提供された検体の調査、解析を行い、マルウェアの危険度、修復方法などの情報を提供してくれる。

サービス毎に有するオプションに違いがあったり、UIが異なるが、いずれのサービスでもIT資産管理機能もMDM機能も一元管理が出来る。デバイスのインベントリ情報の管理の他、アプリケーションの利用、Webサイトの閲覧、ファイル操作、Wi-Fi接続など、「どういった状態のPCまたはモバイル端末で」「誰が」「いつ」「どんな操作をしたか」など利用状況を把握できるので、こちらも利用させるアプリケーションやアカウント権限の最適化にも一役買うことになるな。