端末管理

MDM（Mobile Device Management）は、PC やスマホに設定・アプリ・証明書・OS の更新をまとめて配り、状態（OS の版・暗号化・最後の通信）を管理画面で把握する仕組みです。Windows は Microsoft Intune、Mac・iPhone は Jamf や Intune、Kandji などがよく使われます。紛失時のロックやデータ消去も MDM から行います。

導入して最初に決めるのは、端末の登録方法（会社の端末か私物か）、必ず配る設定（暗号化・画面ロック・更新）、そして準拠していない端末をどう扱うかです。

キッティング（PC を使える状態にする作業）を、情シスが1台ずつ触らずに済ませる方法です。購入した販売店・メーカーに会社の端末として登録してもらうと、社員が箱を開けて電源を入れ、会社のアカウントでログインするだけで、MDM への登録・設定・アプリのインストールが自動で進みます。

在宅の社員にもメーカーから直接送れるので、入社の準備が大きく楽になります。リセットされても自動で MDM に戻るので、盗まれた端末を初期化して使うこともできなくなります。

MDM で「会社のルールを満たしているか（準拠）」を端末ごとに判定し、その結果を IdP の条件付きアクセスに渡します。準拠していない端末からは SaaS に入れないようにできます。

落とし穴：判定を厳しくして一気に「ブロック」にすると、更新が遅れていた人がいっせいに仕事できなくなります。最初は通知だけにして、猶予期間（例：7日）を置いてからブロックに切り替えます。私物のスマホ（BYOD）は端末全体を管理せず、仕事用の領域だけを管理する登録方法にすると、私生活のデータを会社が見ずに済みます。

端末は「調達 → キッティング → 貸与 → 運用（更新・修理）→ 回収 → データ消去・廃棄」の流れで管理します。どの段階でも、その端末が今どこで誰が使っているかを資産台帳で分かるようにしておきます。

台帳を手で更新すると必ずずれるので、MDM の端末一覧（シリアル番号・最終通信・ログインした人）と定期的に突き合わせます。台帳にあるのに MDM にない端末は、未登録か所在不明です。

回収した PC は、初期化（Windows のリセット・Mac の「すべてのコンテンツと設定を消去」）してから再利用し、廃棄するときは消去の証明書を出す業者に頼みます。

MDM からは、端末のロック（画面に連絡先を出す）、位置の確認、データ消去（リモートワイプ）ができます。命令は端末がネットにつながったときに届くので、すぐに効くとは限りません。だからこそ、ディスクの暗号化を前もって必須にしておくことが大事です。暗号化されていれば、電源を切った状態の端末からデータを読まれる心配は小さくなります。見つかる見込みがあればまずロック、見込みが低ければワイプ、と判断します。私物の端末は全消去ではなく、仕事用のデータだけを消します。

端末を止めるだけでなく、IdP でその人のセッションを無効にし、端末に保存されたパスワードやトークンが使われないようにします。顧客の個人情報が入っていた場合は、暗号化の有無を確かめたうえで、個人情報の担当者と報告の要否を判断します。

ノート PC のディスクを暗号化しておくと、紛失・盗難にあっても、電源が切れた状態の端末からデータを読まれる心配が小さくなります。Windows は BitLocker、Mac は FileVault を MDM で有効にし、状態を必ず確かめます。

端末の更新は、全台に一度に配ると、不具合があったときに全社が止まります。更新リングは、まず少数の端末に配り、問題がないことを確かめてから広げる方法です。Windows は Intune の更新リング（Windows Update for Business）、Mac や iPhone は MDM から OS の更新の期限を指定して配ります。

脆弱性が悪用されている緊急の更新は、ふだんの日程を待たずに先行の期間を短くして配ります。更新が当たっているかは MDM のレポートで確かめ、何週間も当たらない端末は本人に連絡します。

パターンファイルで既知のマルウェアを止める従来のウイルス対策（EPP）だけでは、新種や、正規のツール（PowerShell など）を悪用する攻撃は防げません。EDR（Endpoint Detection and Response）は、端末で起きたこと（プロセスの起動・通信・ファイルの変更）を記録し続け、不審な振る舞いを検知して、管理画面から端末をネットワークから隔離できます。

運用のポイント：導入しただけで「検知のみ」のポリシーのままだと、夜中に検知しても誰も見ていません。自動隔離のポリシーと、アラートを誰がいつ見るか（夜間・休日は MDR に任せるか）を決めます。誤検知で業務ツールが止まることがあるので、まず監視モードで始めて除外ルールを整え、それから防御モードに。全端末に入っているか（MDM と突き合わせ）、止められていないかも定期的に確認します。