国外へ出ていった営業用ノート PC

要点： シンガポールの SaaS 企業のアカウントエグゼクティブが、ジャカルタでの顧客訪問からチャンギ空港へ向かう途中でノート PC を紛失したと報告した。「中に何が入っていたのか、リモートで消せるのか」という問いに対する正直な答えは、「誰も分からない」だった。この瞬間にデバイス管理は IT 部門の好みの問題ではなくなり、顧客データの問題になる。そして就業規則にしか書かれていない BYOD ポリシーが、意味を失う瞬間でもある。

シンガポールの SaaS 企業が手荷物で運んでいるリスクは、思っているより大きい

シンガポールには、組織図の上では小さく、地図の上では大きい会社がたくさんある。CBD のオフィスに 80〜100 名の B2B ソフトウェア企業が、インドネシア、マレーシア、ベトナム、フィリピン、タイの顧客を担当し、アカウントチームは自宅よりホテルで過ごす夜のほうが多い。エンジニアリングチームは一部屋に収まっている。一方でレベニューチームは、たまたま同じ郵便番号を共有しているだけの分散組織である。

この形には、多くの運用責任者がインシデントの後になって初めて気づく具体的な帰結がある。会社にとって最も機微な資料は、オフィスの中にはない。オフィスを出ていくデバイスの上にある。顧客との契約ドラフト、価格モデル、パイプラインのエクスポート、顧客のシステム構成が書かれた導入メモ、添付に実在のエンドユーザーデータを含むサポートチケット——これらが毎月バックパックに入って 4 か国を移動する。入社初日にたまたま手が空いていた誰かがセットアップした 1 台のノート PC の中で。

この市場には第二の圧力もある。シンガポールの SaaS 企業はエンタープライズ顧客に売り、エンタープライズ顧客は調達の過程で質問をする。銀行、医療グループ、上場メーカーから届くセキュリティ質問票は、ベンダーがエンドポイントをどう管理しているか、デバイスは暗号化されているか、アクセスは失効させられるか、紛失時に何が起きるかを尋ねる。これは引っかけではない。ベンダー評価のごく普通の中身である。これに具体的に答えられない会社が失格になるわけではない——ただ遅くなる。すべての商談に、競合他社は経験しなくてよいセキュリティ是正の会話が 1 つ増えるからだ。

そして個人データという層がある。シンガポールで事業を行う会社は個人情報保護法（PDPA）の下で個人データを扱い、域内に販売する会社は顧客がそれぞれ従う制度にも向き合うことになる。本稿はこれらの義務の解釈を試みるものではない——それは本来、その会社自身の法務・コンプライアンス顧問が答えるべき問いである。本稿が述べるのは運用上の事実だ。どのデバイスに会社のデータが載っているかを把握できること、そして自分の管理下を離れたデバイスからそのデータを取り除けること——これが、データの取り扱いについて会社が返すあらゆる回答の実質的な土台になる。この土台がなければ、どの回答も事実ではなく約束にとどまる。

シナリオ：90 名、2 つのデバイス方針、そして台帳が存在しない

以下は複合的な情景である。特定の顧客名ではなく、この市場で繰り返し現れる、率直に描写する価値のある形だ。

シンガポールの B2B SaaS 企業、およそ 90 名。エンジニアリング、プロダクト、ファイナンスは CBD のオフィスで働く。営業、ソリューションコンサル、カスタマーサクセスは移動の中にいる。エンジニアには会社支給の MacBook——創業チームの好みがそのまま定着した。商務チームの多くは会社が購入した Windows ノートで、増員のたびにまとめ買いしてきた。そして携帯電話——社内のすべての携帯は私物である。会社支給の端末を配ったことは一度もない。必要だと思えたことがなかったからだ。従業員は入社初日に自分の iPhone や Android に業務メールを追加する。人はそうやって働くからである。

BYOD ポリシーは文書として存在する。就業規則の中の 1 段落半で、従業員は個人デバイス上の会社情報を保護する責任を負い、紛失は直ちに報告することと書かれている。新入社員は全員「規則を読みました」にチェックを入れる。しかし、この文章のどの部分も、環境の中の何かによって強制されてはいない。

登録管理はない。どのデバイスも、どこにも登録されていない。ノート PC のシリアル番号の表はあり、IT——社内ツールも兼務するシステム管理者ひとり——が思い出したときに更新する。最後に正確だったのは 14 か月ほど前だ。業務メールが入っている携帯が何台あるかは誰も知らない。その数は「在籍者の人数、プラス既に辞めた何人か」としか言いようがないからである。

暗号化のベースラインもない。Mac の多くは FileVault が有効になっている。macOS が初期設定で尋ね、たいていの人が「はい」を選ぶからだ。Windows 側はまちまちで、キッティング時に BitLocker を強制したことがなく、何台かはユーザー自身がセットアップしている。

そして、いかなるワイプ能力も存在しない。デバイスが失われたとき、会社が実際に引ける唯一のレバーは、その人のパスワードをリセットして祈ることだけだ。このレバーはディスク上に既にあるものを何ひとつ取り除かない。携帯に既にダウンロードされたメールも消さない。機内で作業するためにローカル同期された 60 ページ分の顧客導入ドキュメントのフォルダも消さない。

そこへ、ジャカルタからのメッセージが届く。

何が壊れるのか、そしてなぜその順序で壊れるのか

失敗は劇的であることはめったにない。小さな「分からない」が積み重なり、何ひとつ確かなことが言えなくなる。そのうち 4 つは、ほぼ毎回現れる。

「中に何が入っていたか」に誰も答えられない。 これが最初の、そして最悪の問いである。インシデントが顧客データに触れていれば、顧客が必ず尋ねる問いだからだ。管理されていないデバイスには、同期内容の記録も、インストール済みアプリケーションの台帳も、どのクラウドドライブがオフラインアクセス用に構成されていたかという可視性もない。会社は推測を提示できる。事実は提示できない。調達の会話や顧客への通知において、この 2 つの差はきわめて大きい。

アクセスを断つことは、データを取り除くことと同じではない。 パスワードのリセットとセッションの失効は現実に有効な手段であり、最初にやるべきことでもある。しかしそれが扱うのは将来のアクセスであって、ディスク上に既に存在する複製ではない。管理もフルディスク暗号化もされていないデバイスでは、放置されたノート PC は鍵が挿さったままのキャビネットである。会社の統制はログイン画面で終わるが、データはログイン画面の上にはない。

従業員がデバイス管理に抵抗するのには、完全に正当な理由がある。 インシデント後にシステム管理者が MDM を提案すると、商務チームからの反対は即座で、予想どおりだ。私物の携帯に監視ソフトを入れるのはやめてほしい。IT はこれを不合理な障害として扱いがちだが、そうではない。多くの人はデバイス管理が何を見られて何を見られないのかを知らない。そして正直な答え——適切に構成されたワークプロファイルは私的な写真もメッセージも閲覧履歴も読めない——を平易な言葉で説明されたことが一度もない。この答えを最初に置かない BYOD プログラムは登録率が低くなる。そして低い登録率はプログラムがないことより悪い。「カバーできている」という誤った感覚を生むからだ。

退職者が会社のメールを持ったままになる。 最も静かな失敗である。誰かが辞めるとき、ノート PC は返ってくる——たいていは。携帯は返ってこない。もともと会社のものではないからだ。メールアカウントは、いずれ無効化される。しかしデバイスに既に落ちているメールはそこに残り、開いてキャッシュされた文書も残る。誰も思い至らない。思い至らせる仕組みが環境の中に存在しないからだ。退職プロセスは、誰かが書き留めておいたものしか取り除けない。

Brocent の見方：統制よりも「分離できること」

インシデントの後、人は統制に手を伸ばしたくなる——会社支給の携帯を配り、すべてを固め、全デバイスに管理を義務づける。この本能は、高価な端末資産と、静かな不遵守を同じだけ生み出す。

より長持ちする枠組みは違う。目的は従業員のデバイスを統制することではない。どのデバイスであれ、その「会社側の半分」を分離可能・棚卸可能・失効可能にすることである。

分離可能とは、会社のアプリケーションとデータが個人デバイス上の明確なコンテナに収まり、その人自身の資料とは独立していて、片方を取り除いてももう片方に触れないということ。棚卸可能とは、誰にも尋ねずに、いつでも、どのデバイスが登録され、その暗号化とパッチの状態がどうで、どの会社アプリが載っているかを会社が把握できるということ。失効可能とは、デバイスの現物を手にすることなく、また持ち主の協力を得ることもなく、会社が自分の側の半分を数分で取り除けるということである。

この 3 つの性質こそが、重要な問いに会社が答えられるようにする。そして偶然ではなく、登録を求められる側にとって BYOD プログラムを受け入れ可能にするのも、この 3 つである。会社が取り除けるのはワークプロファイルだけで、それ以外には触れないと理解している従業員には、「はい」と言う理由がある。会社が自分のメッセージを読めるのではないかと疑う従業員には、「いいえ」と言う十分な理由があるし、その疑いは静かに正しい。

これは Brocent がエンドポイント全般について述べている主張と同じである——マネージドエンドポイントセキュリティを参照——が、デバイス管理はそれが最も具体的になる場所だ。会社と個人の境界が、画面の上で物理的に見えるからである。

実際にはどういう形になるのか

Brocent の MDM & BYOD 管理は、単一の製品を中心にではなく、プログラムが機能するかどうかを決める設計上の判断を中心に組み立てられている。とりわけ重要なのは 5 つだ。

プラットフォーム選定は、ベンダーとの関係ではなく実機構成に従う。 Brocent は実際の環境に応じて Microsoft Intune、Jamf Pro、VMware Workspace ONE のいずれかを導入する。Microsoft 365 の ID 基盤を既に使っているマイクロソフト中心の組織には Intune が自然な選択で、シンガポールの SaaS 企業の多くは既定でこの類型に入る。Apple 中心の環境の正解は Jamf Pro で、エンジニアリング主導の会社にはこの形が少なくない。OS 混在のエンタープライズ配備には Workspace ONE が合う。実機構成に合わせてプラットフォームを選ぶか、プラットフォームに実機構成を合わせさせるか——この差が、完走するロールアウトと 60 パーセントで止まるロールアウトの違いになる。

ゼロタッチ登録がセットアップのボトルネックを消す。 iOS と macOS は Apple DEP、Android は Zero-Touch、Windows は Autopilot によって、会社所有デバイスは IT の手作業なしに箱から出したまま自己構成される——オフィスに来たことのないリモート採用者へ直送された場合も含めて。ジャカルタやクアラルンプールで採用している会社にとって、これは便利機能ではない。新入社員が初日から生産的である状態と、システム管理者がビデオ通話で午後いっぱいキッティングを手取り足取り案内する状態との差である。

コンテナ化が、BYOD を誠実なものにする。 従業員所有のデバイス上に、Brocent はマネージドコンテナ（ワークプロファイル）を実装し、会社のアプリケーションとデータを個人のコンテンツから分離する。会社データはコンテナから取り除けるが、その人の写真、メッセージ、アプリには触れない。プライバシーの会話を、なだめではなく実際の答えにするのは、この技術的事実である。

ポリシーの強制は、質問票に耐える部分である。 暗号化（BitLocker、FileVault、デバイス暗号化）、PIN とパスワードの複雑性、画面ロックのタイムアウト、脱獄・root 検出、そして条件付きアクセス——非準拠デバイスは会社リソースにそもそも到達できない。ここで過小評価されているのが条件付きアクセスだ。ポリシーを「事後に監査するもの」から「単にそうである事実」へと変える。準拠状態から外れたデバイスは、戻るまでアクセスを失うからである。

ワイプは意図的に 2 種類ある。 紛失報告から数分以内に、登録済みデバイスから会社データをリモートで消去できる。完全ワイプは会社所有デバイスに適用され、選択的ワイプ——会社データのみ——は BYOD に適用される。この区別は技術的な細部ではない。従業員が私物の携帯を登録することに同意する、その根拠のすべてである。

そして、はっきり言っておく価値のある商業上の事実がひとつある。 MDM は Brocent のマネージド IT プランのどの階層でもアドオンである。すべてのプランに含まれる 13 項目——24/7 NOC 監視、ヘルプデスク、マネージドファイアウォール、パッチ管理、バックアップ／DR、パスワードと資格情報の管理、専任 vCIO など——には入っていない。デバイス管理はそれらと並ぶ有償の追加項目である。無償であるかのように匂わせるより、こう述べるほうが有用だ。予算を立てる会社は、それが独立した費目であることを知っておく必要があるからである。現在の構成と価格はマネージド IT サポートのページと料金ページにある。

デバイスへの向き合い方 3 つと、それぞれの実際のコスト

デバイス管理をしない——「信じて祈る」

• 内容： 会社ノート PC と私物携帯を、登録もベースラインも中央可視性もないまま使う。何にも強制されていない文書ポリシーが 1 枚ある。
• コスト： 請求書の上ではゼロ。コストはすべて「言えないこと」の側にある——台帳がない、「中に何が入っていたか」に答えられない、手元にないデバイスからデータを取り除けない、そしてセキュリティ質問票を事実ではなく形容詞で埋めることになる。
• 向く相手： 正直に言えば、全員の画面が互いに見える 5 人の会社。最初のひとりが顧客データを持って出張し始めた時点で、誰にとっても向かなくなる。

会社所有デバイスのみ、フル管理

• 内容： 携帯を含むすべてのデバイスを会社が支給し、完全統制の下で管理する。私物デバイスは会社データに一切触れない。
• コスト： 実際の設備投資と、実際の摩擦。2 つ目の携帯資産を購入し更新し続けることになり、人々に 2 台持ちを求めることになる。従う人もいる。多くは静かに私物へメールを転送し、元の問題を再現しながら「解決済み」という錯覚だけを残す。
• 向く相手： 実際に義務づけがある規制環境と、デバイスが個人の持ち物ではなく道具である職種。筋の通ったモデルではある——ただ高価で、その失敗の仕方は「見えない不遵守」である。

コンテナ化 BYOD ＋ 管理された会社デバイス——Brocent が勧めるモデル

• 内容： 会社ノート PC は暗号化、パッチ、条件付きアクセス、完全ワイプ能力を備えてフル管理。私物のスマートフォンとタブレットはワークプロファイルで登録し、会社のアプリとデータのみを保持し、選択的ワイプの対象とする。
• コスト： 階層ごとの有償アドオンに加え、登録設計・ポリシー・それに伴うコミュニケーションという実作業。無料でもなければ、即座でもない。
• なぜ持ちこたえるのか： 範囲が本当に限定されているので登録率が高い。デバイスが自ら状態を報告するので台帳が正確になる。顧客の調達チームが尋ねそうなあらゆる問いに、きれいな答えを返せる。そして退職処理を、信念の行為から 1 つの操作へと変える。

スタックの他の部分との接続点

デバイス管理は単独で完結する買い物ではない。ID 基盤の上に載るものであり——条件付きアクセスは ID プロバイダーが適切に構成されて初めて意味を持つ——登録後のデバイスを見張るエンドポイント保護と隣り合っている。Brocent のマネージドエンドポイントセキュリティと MDM & BYOD 管理が一緒に導入できるよう設計されているのは、そのためである。

すでにマネージド IT プランを利用しているシンガポールの会社にとって、現実的な次の一歩はスコーピングだ。会社所有デバイスが何台か、BYOD 登録が何件か、実機構成はどのプラットフォームを示唆しているか、そして営業チームが進んで参加するために登録案内には何を書くべきか。これは見積もりではなく会話である——お問い合わせいただければ、実際の構成に沿って一緒に整理する。

よくある質問

IT プロバイダーは BYOD 端末の私的なメッセージを読めるのですか？

読めません——Brocent が実装する、適切に構成されたワークプロファイル配備においては読めません。管理の範囲は会社のコンテナに及びます。会社のアプリケーション、会社のデータ、そしてデバイスレベルの準拠状態（暗号化されているか、パッチが当たっているか、脱獄されていないか）です。私的な写真、私的なメッセージングアプリ、私的な閲覧履歴、私的なアカウントには及びません。これは登録の際に書面で明確に従業員へ伝える価値があります。「管理＝監視」という思い込みが、BYOD プログラムが浸透しない最大の単一要因だからです。

デバイスをワイプすると実際には何が起きますか——写真は消えますか？

どちらのワイプが発行されたかで完全に変わります。そしてこの区別は意図的なものです。選択的ワイプは個人デバイスに適用され、会社のコンテナ——会社メール、会社文書、会社アプリ——を取り除き、それ以外には一切触れません。完全ワイプは会社所有デバイスに適用され、端末を工場出荷状態に戻します。BYOD 端末が完全ワイプを受け取ることはあってはならず、正しく構成されたポリシーはそれを許可しません。

紛失したデバイスは実際どれくらい早くワイプできますか？

紛失の報告から数分以内に、登録済みデバイスから会社データをリモート消去できます。正直に述べるべき現実的な前提がひとつあります。ワイプ命令は、デバイスが次にネットワークにつながったときに届きます。カバンの中で電源が切れている携帯は、電源が入ったときにその命令を受け取ります。だからこそ、ワイプ単体よりも「登録＋暗号化」のほうが重要です。デバイスが復帰するまでの時間窓でデータを守るのが暗号化であり、その後に取り除くのがワイプだからです。

Microsoft 365 を既に持っていますが、MDM は必要ですか？

Microsoft 365 が与えるのは ID 基盤、条件付きアクセスの能力、そしてライセンス次第では Intune プラットフォームそのものです。与えないのは、設計された配備です。登録プロファイル、準拠ポリシー、アプリ配布、BYOD 向けワークプロファイルの構成、そして準拠状態を見守り必要な手を打つ運用の習慣。ライセンスは素材にすぎません。「Intune を持っている」と「機能するデバイス管理プログラムを持っている」の間にある差が設計と運用であり、それが Brocent のサービスの範囲です。

MDM はマネージド IT プランに含まれますか、別料金ですか？

別料金です。MDM はどの階層でもアドオンで、各階層に含まれる 13 項目には本当に入っていません。スコーピングの段階で発覚するより、率直に述べるほうがよいと考えています。全階層に含まれるのは 24/7 NOC 監視、ヘルプデスク、マネージドファイアウォール、パッチ管理、バックアップ／DR、パスワードと資格情報の管理、専任 vCIO といった項目であり、デバイス管理はそれらと並ぶ有償の追加項目です。現在の構成はマネージド IT サポートのページにあります。

退職者の私物スマートフォンはどうなりますか？

登録が済んでいれば、退職処理にワークプロファイルの選択的ワイプが含まれます。会社メール、文書、アプリケーションが取り除かれ、その人自身のデバイスとコンテンツには影響がなく、削除の記録が残ります。登録がなければ、正直な答えはこうです。会社はアカウントを無効化し、デバイス上のキャッシュされた複製は無期限にそこへ残ります。デバイス管理がセキュリティの会話だけでなく退職の会話にも属するのは、このためです。

当社は 90 名です。過剰ではありませんか？

規模は誤った尺度です。正しい尺度は「何が建物の外へ出ていくか」です。商務チームが毎月 4 か国へ顧客導入ドキュメントを持ち歩く 90 名の会社は、全員が現場で一度も動かないサーバーに向かって働く 300 名の会社より、実質的に大きな露出を抱えています。顧客データが移動するなら、デバイス管理は釣り合いの取れた投資です。本当に移動しないのであれば、後回しでかまいません。

導入にはどれくらいかかりますか？

この規模の台数であれば、主たる作業は設計——プラットフォーム選定、ポリシー定義、登録プロファイル、BYOD 向けの説明——であり、単位は月ではなく週です。会社所有デバイスの登録は、とくに新機がゼロタッチで入ってくるなら速く進みます。BYOD の登録ペースを決めるのは技術ではなく人です。従業員が参加してくれる速さがそのまま進度になります。だからこそ、あのプライバシー説明は「あれば良いもの」ではなく、納品上クリティカルな構成要素なのです。