BYODのマルウェア対策｜私用端末の業務利用を安全に実現するガイド

BYODの現状とリスク

BYOD（Bring Your Own Device）とは、従業員が個人所有のスマートフォン、タブレット、PCを業務に使用することを指します。利便性とコスト削減のメリットがある一方、セキュリティ上の課題も存在します。

BYODの普及状況

リモートワークの拡大に伴い、BYODの導入は急速に進んでいます。

項目	状況
BYOD許可企業の割合	約60%（日本の中堅・大企業）
リモートワーク実施率	約50%（2024年時点）
私用端末で業務データにアクセスする従業員	約70%
BYODポリシーを正式に策定している企業	約35%

導入メリット

従業員が使い慣れた端末を使用できることによる生産性向上、端末調達コストの削減、柔軟な働き方への対応、従業員満足度の向上などが挙げられます。特にコスト面では、端末購入費用の削減だけでなく、ヘルプデスク対応の削減効果も期待できます。

導入が進む背景

COVID-19パンデミックによるリモートワークの急拡大が、BYODの普及を加速させました。会社支給端末の調達が間に合わず、一時的にBYODを許可したケースも多く、そのまま恒久的な制度として定着した企業も少なくありません。

BYODのセキュリティリスク

BYODには、会社支給端末にはないセキュリティリスクが存在します。

マルウェア感染リスク

私用端末では、業務と無関係なアプリのインストール、非公式ストアからのダウンロード、個人的なWebブラウジングなど、マルウェア感染の経路が増えます。感染した端末で業務データにアクセスすれば、社内システムへの感染拡大や情報漏洩につながります。

データ漏洩リスク

業務データと個人データが同じ端末に存在することで、意図しない情報漏洩のリスクが高まります。プライベートのクラウドストレージへの同期、SNSへの誤投稿、紛失・盗難時の情報流出などが考えられます。

シャドーIT問題

正式なBYODポリシーがないまま、従業員が勝手に私用端末を業務に使用する「シャドーIT」は、シャドーIT・無許可SaaSで解説しているように、組織にとって大きなリスクです。把握できていない端末は管理もできず、インシデント発生時の対応も困難になります。

紛失・盗難リスク

私用端末は会社外で使用される機会が多く、紛失・盗難のリスクが高まります。適切な暗号化やリモートワイプの仕組みがなければ、端末とともに業務データも失われる可能性があります。

退職時のリスク

従業員が退職する際、私用端末内の業務データを確実に削除することは困難です。意図的なデータ持ち出しだけでなく、単純に削除を忘れるケースも懸念されます。

マルウェア感染の経路

BYOD端末特有のマルウェア感染経路を理解することが対策の第一歩です。

感染経路	リスク	例
個人アプリ経由	高	ゲームアプリ、便利ツールに仕込まれたマルウェア
非公式ストア	非常に高	サイドロードアプリ、改造アプリ
家庭ネットワーク経由	中	同居家族の感染端末からの横感染
フィッシング	高	個人メールへのフィッシングメール
公衆Wi-Fi	中	カフェ等での中間者攻撃
USB接続	中	私用PCと接続時の感染

---

BYODポリシーの策定

BYODを安全に運用するためには、明確なポリシーの策定が不可欠です。

ポリシーで決めるべき事項

BYODポリシーでは、以下の項目を明確に規定します。

カテゴリ	規定項目	検討ポイント
対象端末	許可する端末の種類・条件	OS種類、バージョン、メーカー、root化/脱獄の禁止
利用範囲	業務利用の範囲	メールのみ/フルアクセス、持ち出し可能データ
セキュリティ要件	端末に求めるセキュリティ条件	パスコード設定、暗号化、ウイルス対策
管理ソフト	導入が必要なソフトウェア	MDM/MAMエージェント、セキュリティアプリ
費用負担	端末・通信費の負担	全額自己負担/一部補助/全額会社負担
紛失時対応	紛失・盗難時の対応	報告義務、リモートワイプへの同意
退職時対応	退職時のデータ削除	削除確認方法、MDM解除手順

対象端末の条件例

iOS 16以上またはAndroid 12以上、メーカーのセキュリティアップデートが提供されている機種、root化・脱獄されていないこと、などを条件として設定します。古いOSや改造された端末は、脆弱性が放置されているリスクが高いため、業務利用を禁止します。

従業員との合意

BYODは従業員の私物を業務に使用するため、十分な説明と同意取得が必要です。

BYOD利用規約

BYODの利用条件を文書化した利用規約を作成し、従業員の署名・同意を得ます。規約には、セキュリティ要件、監視範囲、インシデント時の対応、退職時の手続きなどを明記します。

同意取得プロセス

BYOD利用を希望する従業員に対し、規約の内容を説明する機会を設けます。特に、会社が端末に対してどのような管理を行うか、プライバシーはどう保護されるかを明確に説明します。理解を確認した上で、書面またはシステム上で同意を取得します。

定期的な再確認

年1回程度、BYOD利用者に規約の再確認と同意更新を求めます。ポリシーが改訂された場合も、再同意を取得します。

プライバシーへの配慮

BYODでは、従業員のプライバシー保護が重要な課題となります。

懸念事項	対応方針
個人データへのアクセス	会社は業務データのみを管理し、個人の写真・メール・アプリにはアクセスしない
位置情報の追跡	業務時間外の位置情報は取得しない、または取得しても利用しない
閲覧履歴の監視	業務アプリの利用状況のみ監視し、個人のWebブラウジング履歴は取得しない
リモートワイプの範囲	業務データのみを削除し、個人データには影響しない仕組みを採用

後述するMAM（Mobile Application Management）やコンテナ化技術を採用することで、業務データと個人データを分離し、プライバシーを保護しながらセキュリティを確保できます。

---

技術的対策

BYODを安全に運用するための技術的対策を解説します。

MDM（Mobile Device Management）

MDMは、モバイル端末を一元的に管理するソリューションです。

主な機能

端末の設定を遠隔から構成する、パスコードポリシーを強制する、OSアップデートを管理する、インストール可能なアプリを制限する、紛失時にリモートでロック/ワイプする、などの機能を提供します。

BYODでの活用と制限

MDMはBYODでも活用できますが、端末全体を管理するため、従業員のプライバシー懸念が生じやすいです。そのため、後述のMAMやコンテナ化と組み合わせて使用することが一般的です。

製品名	ベンダー	特徴	価格帯（ユーザー/月）
Microsoft Intune	Microsoft	Microsoft 365との統合、Windows管理に強み	約600〜1,500円
VMware Workspace ONE	VMware	統合エンドポイント管理、VDI連携	約500〜1,200円
Jamf Pro	Jamf	Apple製品に特化	約400〜800円
MobileIron	Ivanti	ゼロトラスト対応	約500〜1,000円
LANSCOPE	MOTEX	日本製、日本語サポート充実	要問い合わせ

MAM（Mobile Application Management）

MAMは、端末全体ではなくアプリレベルで管理を行うアプローチです。BYODとの親和性が高い手法です。

アプリレベルの管理

MAMでは、業務用アプリに対してのみポリシーを適用します。個人アプリには影響せず、従業員のプライバシーを保護しながら、業務データを保護できます。

コンテナ化技術

業務アプリとデータを「コンテナ」と呼ばれる隔離された領域に配置します。コンテナ内のデータは暗号化され、コンテナ外へのコピー&ペーストやスクリーンショットを制限できます。退職時はコンテナのみを削除すればよく、個人データには影響しません。

個人/業務データの分離

メール、カレンダー、連絡先、ファイルなどの業務データはコンテナ内に保存され、個人のアプリからはアクセスできません。逆に、会社はコンテナ外の個人データにはアクセスできません。

実装アプローチ	内容	メリット	デメリット
ネイティブMAM	OSのネイティブ機能を活用	シームレスな体験	OS依存、機能限定
SDKラッピング	アプリにセキュリティ機能を組み込み	細かい制御可能	アプリ開発が必要
セキュアブラウザ	専用ブラウザ経由でアクセス	導入が容易	Webアプリ限定
VDI/DaaS	仮想デスクトップを利用	端末にデータを残さない	オフライン利用不可

条件付きアクセス

端末の状態に応じてアクセスを制御する「条件付きアクセス」も重要な対策です。

デバイスコンプライアンス確認

業務システムへのアクセス時に、端末がセキュリティ要件（パスコード設定、暗号化有効、OSバージョン等）を満たしているかを確認します。要件を満たさない端末はアクセスを拒否されます。

リスクベースアクセス制御

端末のリスクレベル（マルウェア検知、異常な動作等）に応じて、アクセス権限を動的に変更します。リスクが高い場合は追加認証を求める、または一時的にアクセスを制限するといった対応が可能です。

ゼロトラストとの統合

BYODの条件付きアクセスは、ゼロトラストセキュリティモデルの重要な構成要素です。「すべてを疑い、常に検証する」という原則に基づき、端末の信頼性を継続的に評価します。

エンドポイント保護

BYOD端末にもエンドポイント保護を導入します。

対策	内容	導入方法
BYOD向けEDR	端末の脅威検知・対応	軽量エージェントの導入
MTD（Mobile Threat Defense）	モバイル特化の脅威防御	専用アプリのインストール
セキュアDNS	悪意あるドメインへのアクセスブロック	DNS設定変更またはアプリ
VPN	通信の暗号化	VPNアプリの導入

MTD（Mobile Threat Defense）製品例

Lookout、Zimperium、Microsoft Defender for Endpoint（モバイル版）、Pradeo、Wanderaなどがあります。フィッシング検知、マルウェア検知、ネットワーク脅威検知、脆弱性検知などの機能を提供します。

---

OSプラットフォーム別対策

iOS/iPadOSとAndroidでは、セキュリティモデルや管理方法が異なります。

iOS/iPadOS

Appleのセキュリティモデルは厳格であり、BYODにおいても一定のセキュリティが確保されています。

Appleのセキュリティモデル

App Storeでの厳格な審査、アプリのサンドボックス化、ハードウェアベースの暗号化など、Appleのセキュリティモデルは強固です。脱獄（jailbreak）されていない限り、マルウェア感染のリスクは比較的低いです。

管理プロファイル

iOS/iPadOSでは、MDMによる管理は「管理プロファイル」のインストールによって行われます。BYODでは「ユーザー登録」モードを使用することで、個人データへのアクセスを制限しつつ管理できます。

App Store限定のメリット

公式App Storeからのみアプリをインストールできる仕組みは、マルウェア対策として効果的です。サイドロードが困難なため、悪意あるアプリのインストールリスクが低くなります。

推奨設定項目	設定内容
パスコード	6桁以上の数字または英数字
Face ID/Touch ID	有効化推奨
自動ロック	5分以内
データ保護	有効（暗号化）
iCloud バックアップ	業務データは除外（MAMで対応）
OSアップデート	最新バージョンに維持

Android

Androidはオープンな設計であり、iOSと比べてセキュリティ管理に注意が必要です。

多様なデバイスへの対応

Androidは多くのメーカーから多様なデバイスが提供されており、セキュリティアップデートの提供状況もまちまちです。BYODでは、セキュリティアップデートが適切に提供されているデバイスに限定することが重要です。

Android Enterpriseの活用

Android Enterprise（旧Android for Work）は、Googleが提供する企業向けAndroid管理フレームワークです。Work Profileを使用することで、業務用と個人用の領域を分離し、BYODでのセキュリティとプライバシーの両立を実現できます。

非管理端末のリスク

MDM/MAMエージェントがインストールされていない端末は、セキュリティ状態を把握できません。BYODを許可する場合は、管理ソフトの導入を必須条件とすることが重要です。

推奨設定項目	設定内容
画面ロック	PIN（6桁以上）、パターン（複雑）、または生体認証
暗号化	端末暗号化を有効化
提供元不明アプリ	インストールを禁止
Google Play プロテクト	有効化
Work Profile	Android Enterprise Work Profileを設定
OSアップデート	セキュリティパッチを適用

Windows/macOS

ノートPCのBYOD利用も増えています。

個人PCの業務利用

個人所有のPCを業務に使用する場合、モバイル端末以上にセキュリティリスクが高まります。より多くのデータを保存でき、ソフトウェアのインストールも自由なためです。

VDI/DaaSの活用

個人PCから仮想デスクトップにアクセスするVDI（Virtual Desktop Infrastructure）やDaaS（Desktop as a Service）を活用することで、端末にデータを残さずに業務を行えます。ネットワーク接続が前提となりますが、データ漏洩リスクを大幅に低減できます。

ローカルデータ最小化

VDI/DaaSを使用しない場合は、クラウドストレージ（SharePoint、OneDrive等）を活用し、ローカルへのデータ保存を最小限に抑えます。

---

運用プロセス

BYODを継続的に安全に運用するためのプロセスを整備します。

端末登録・設定

従業員がBYODを開始する際のオンボーディングプロセスです。

登録フロー

1. 従業員がBYOD利用を申請、2. 規約の説明と同意取得、3. MDM/MAMエージェントのインストール、4. デバイスコンプライアンスの確認、5. 業務アプリのプロビジョニング、6. 利用開始。このフローを明確化し、すべてのBYOD利用者に適用します。

初期設定の自動化

MDM/MAMを活用し、パスコードポリシー、暗号化設定、アプリ配布などを自動化します。手動設定に依存すると設定漏れが発生するため、可能な限り自動化することが重要です。

セルフサービスポータル

従業員が自分でBYOD登録や業務アプリのインストールを行えるセルフサービスポータルを提供します。IT部門の負荷を軽減しつつ、迅速なBYOD導入を実現できます。

継続的な管理

登録後も継続的な管理が必要です。

管理項目	頻度	内容
コンプライアンス監視	リアルタイム	パスコード設定、暗号化、OSバージョンの継続確認
パッチ適用状況	週次	OSセキュリティパッチの適用状況確認
登録端末の棚卸し	月次	利用されていない端末、退職者の端末の確認
ポリシー遵守状況	四半期	非準拠端末の是正、ポリシー見直し

インシデント対応

BYOD端末でセキュリティインシデントが発生した場合の対応手順を整備します。

紛失・盗難時の対応

従業員は紛失・盗難を発見次第、IT部門に報告する義務があります。IT部門は速やかにリモートロックまたはリモートワイプを実行し、業務データを保護します。MAMを使用している場合は、業務コンテナのみをワイプし、個人データには影響を与えないことを従業員に説明しておきます。

マルウェア検知時の対応

MTDやセキュリティアプリがマルウェアを検知した場合、端末を業務システムから隔離し、感染状況を調査します。必要に応じて業務データのワイプを行い、端末がクリーンな状態に戻るまで業務利用を停止します。

リモートワイプの判断

リモートワイプは最終手段として慎重に判断します。MAM/コンテナワイプで対応できる場合はそちらを優先し、フルワイプは業務データの漏洩リスクが極めて高い場合に限定します。

---

法的・労務的考慮

BYODには法的・労務的な観点からの検討も必要です。

労働法的観点

項目	考慮事項	対応例
労働時間管理	私用端末で業務を行うと、労働時間の境界が曖昧になる	業務時間外のメール送信禁止ルール、業務アプリの利用時間制限
費用負担	端末購入費、通信費の負担	通信費補助（月額固定）、端末購入費の一部補助
業務外利用制限	会社が私用端末の利用を制限することの妥当性	業務時間内のセキュリティ設定維持義務に限定
監視の範囲	プライバシー侵害にならない監視範囲	業務データ・アプリに限定した監視、事前同意の取得

退職時の対応

従業員の退職時には、BYOD端末内の業務データを確実に削除する必要があります。

データ削除確認

退職手続きの一環として、MAM管理コンソールから業務コンテナをワイプします。可能であれば、従業員立ち会いのもとで削除を確認します。

アクセス権剥奪

退職日にすべての業務システム、クラウドサービスへのアクセス権を剥奪します。MDM/MAMからの登録解除も同時に行います。

確認書への署名

業務データを削除し、機密情報を保持していないことを確認する書面への署名を求めることも有効です。

セキュリティポリシー策定と連携し、BYOD関連の規定を整備してください。

---

よくある質問

Q: BYODで従業員のプライバシーはどう守られますか？

A: MAM（アプリ管理）やコンテナ化技術を使えば、業務データと個人データを完全に分離できます。会社は業務コンテナ内のみ管理し、個人の写真やSNS、プライベートなアプリには一切アクセスしません。ポリシーでこの範囲を明確化し、従業員に説明・同意を得ることが重要です。

Q: BYODとCYOD（Choose Your Own Device）の違いは何ですか？

A: BYODは従業員が既に所有している私物端末を業務に使用するのに対し、CYODは会社が提示した選択肢の中から従業員が端末を選び、会社が購入・支給する形態です。CYODは会社が端末を管理しやすい一方、端末コストは会社負担となります。セキュリティと利便性のバランスで選択します。

Q: BYODで会社支給端末と同じセキュリティレベルを実現できますか？

A: 完全に同じレベルを実現することは困難ですが、MDM/MAM、条件付きアクセス、MTDなどの技術を組み合わせることで、近いレベルのセキュリティを実現できます。ただし、端末の完全制御ができない点、従業員のセキュリティ意識に依存する点は残ります。リスク許容度に応じて、BYODで許可するアクセス範囲を制限することも検討してください。

Q: 小規模企業でもBYODのセキュリティ対策は必要ですか？

A: 必要です。むしろ小規模企業では専任のIT管理者がいないことが多く、BYODによるリスクが放置されやすいです。まずはBYODポリシーの策定、パスコード設定の義務化、紛失時の報告ルールなど、費用をかけずにできることから始めましょう。クラウドベースのMDM/MAMは小規模でも導入しやすい価格帯のものがあります。

Q: 個人端末にMDM/MAMを導入することに従業員が抵抗感を示しますが？

A: 抵抗感を示す従業員は少なくありません。対策として、1. MAM/コンテナ化で個人データへのアクセスがないことを明確に説明する、2. BYODは任意であり、希望しない場合は会社支給端末を使用できる選択肢を用意する、3. 経営層やIT部門自らがBYODを使用し、プライバシーが守られることを示す、などが有効です。

---

まとめ

BYODは利便性とコスト削減のメリットがある一方、適切な対策なしにはマルウェア感染や情報漏洩のリスクが高まります。安全なBYOD運用のポイントを振り返ります。

ポリシー策定では、対象端末、セキュリティ要件、費用負担、退職時対応などを明確にし、従業員との合意を取得します。技術的対策では、MDM/MAMによる管理、コンテナ化による業務/個人データの分離、条件付きアクセス、MTDによる脅威検知を組み合わせます。プライバシーへの配慮では、業務データのみを管理し、個人データにはアクセスしないことを明確にします。

BYODは「禁止」するのではなく「安全に活用」することが現実的なアプローチです。組織的マルウェア対策と連携し、組織全体のセキュリティ体制の中でBYODを位置づけてください。

---

---