レッスン4：デバイス管理と PC キッティング

このレッスンで学ぶこと

MDM（Intune／Jamf／Kandji）の役割と選定軸を語れる
EDR（Defender／CrowdStrike／SentinelOne）と MDM の役割分担を整理できる
BYOD 判断基準（会社所有 vs 私物持込）の 3 つの論点を挙げられる
端末調達の 3 パターン（リース／購入／レンタル）の使い分けを判断できる
退職時回収と再セットアップの標準手順を組める

前レッスンでは社内ネットワークを扱いました。本レッスンでは、ネットワークに接続される「デバイス」の管理に踏み込みます。PC・スマートフォン・タブレットの調達から日常運用、退職時の回収までを型化します。

MDM の役割と選定

MDM（Mobile Device Management、モバイル・デバイス・マネジメント）は、企業配布デバイスを一元管理する仕組みです。近年は PC も含めて統合的に管理する「Unified Endpoint Management（UEM）」への統合が進んでいます。

MDM で管理できること

OS 設定の一括配布（パスワードポリシー、画面ロック時間、暗号化）
業務アプリの一括インストール／アップデート
紛失時のリモートワイプ（データ全消去）
位置情報の取得
監査ログ（誰がいつどの設定を変更したか）

主要 MDM 3 社

日本の中堅企業でよく使われる MDM は 3 つです。

MDM	特徴	適したシーン
Microsoft Intune	Entra ID とのネイティブ統合、Microsoft 365 との統合	Windows／Microsoft 365 中心
Jamf	macOS／iOS 特化、Apple の機能に深く対応	Apple デバイス中心の企業
Kandji	新興 MDM、macOS 特化、UX 重視	中堅 Apple 企業の新規導入

Intune は 2023 年 4 月に旧 Microsoft Endpoint Manager と統合されて「Microsoft Intune」に一本化されました。macOS を混在させる企業では Intune + Jamf の併用パターンも多く見られます。

EDR と MDM の役割分担

MDM がデバイスの「管理」であるのに対し、EDR（Endpoint Detection and Response）はデバイス上の「脅威検知・対応」を担う別レイヤーです。両者は補完関係にあります。

flowchart TB
  A[企業配布 PC] --> B[MDM<br/>設定・アプリ・監査]
  A --> C[EDR<br/>脅威検知・隔離・調査]

EDR 主要 3 社

Microsoft Defender for Endpoint：Intune・Entra ID との統合、Windows Defender の企業版
CrowdStrike Falcon：2011 年設立、独立系 EDR の代表、クラウドネイティブ
SentinelOne：2013 年設立、AI 駆動のエンドポイント保護

役割分担の例

MDM：新入社員 PC のセットアップ、業務アプリ配布、パスワードポリシー適用
EDR：不審なプロセスの実行検知、マルウェア検出時の隔離、フォレンジック調査

MDM と EDR を両方入れることで、「配布・運用」と「守る」の両輪が回ります。中堅企業では最低限の投資として MDM + EDR のセット導入が実務の標準です。

⚠️ 注意 「Microsoft Defender」は無償版と有償版で機能に大きな差があります。無償の「Windows Defender」（Windows 標準）はマルウェア検知のみで、EDR 機能（フォレンジック・自動対応）は「Microsoft Defender for Endpoint（有償）」でしか提供されません。企業利用では有償版が必要です。

BYOD 判断基準

BYOD（Bring Your Own Device、私物持込）を許可するか、会社所有デバイスに限定するかは、情シスと経営陣で早期に判断すべき論点です。

論点 1：セキュリティ管理

会社所有：MDM/EDR を強制インストールでき、完全な管理が可能
BYOD：MDM/EDR インストールに従業員の同意が必要、拒否されると管理不能

論点 2：コスト

会社所有：デバイス費用 + MDM/EDR ライセンス費が発生
BYOD：デバイス費用は不要（従業員負担）、MDM/EDR ライセンスは同様

論点 3：プライバシー・法的リスク

会社所有：業務利用のみが前提、私的利用は制限
BYOD：私的データと業務データの分離が難しい、個人情報保護の論点が発生

多くの日本企業では、PC は会社所有・スマートフォンは業務専用支給または BYOD 選択制、といった分離運用が典型です。中堅企業のスタンダードは「会社所有 PC 中心、業務用スマホは支給または業務専用アプリのみ BYOD 許可」です。

端末調達の 3 パターン

企業が PC・スマートフォンを調達する方法は 3 つあります。

パターン 1：リース

リース会社（NTT ファイナンス、ORIX、東京センチュリー等）から機器を借りる方式。3〜5 年のリース期間で毎月定額を支払います。

利点：初期投資が少ない、経費として損金計上できる
欠点：リース期間中の入替が難しい、総支払額は購入より高い

パターン 2：購入

会社が機器を買い切る方式。減価償却で費用計上します（一般的な耐用年数：PC 4 年、サーバー 5 年）。

利点：総支払額が安い、契約期間の制約なし
欠点：初期投資が大きい、資産管理が必要

パターン 3：レンタル

短期利用（数ヶ月〜1 年程度）でレンタル会社から借りる方式。

利点：短期のプロジェクトに柔軟対応
欠点：長期利用ではコストが高い

選定の目安

3 年以上使う定型 PC：購入かリース（税制と資金繰りで判断）
短期プロジェクト用：レンタル
テスト機・開発機：購入（1〜2 台の少数）

退職時回収と再セットアップの標準手順

退職時のデバイス回収は、アカウント運用と並ぶ情シスの重要業務です。次の 5 ステップで型化します。

flowchart LR
  A[退職通告] --> B[回収予約]
  B --> C[退職日回収]
  C --> D[データ抽出<br/>必要に応じて]
  D --> E[初期化・<br/>再セットアップ]
  E --> F[次の利用者へ配布]

ステップ 1：退職通告後、回収予約

退職通告後、退職日にデバイスを回収する予約を入れます。物理的な回収場所（本社、支社、宅配便返却など）を確定します。

ステップ 2：退職日回収

退職日当日にデバイスを回収します。物理的な受け取りと、シリアル番号の照合を行います。

ステップ 3：データ抽出

業務に必要な業務データが個人 PC 内にある場合、事前にクラウドストレージへ移動しておきます。退職者のプライベート情報（個人メモ等）は取り扱いに注意します。

ステップ 4：初期化・再セットアップ

MDM から工場出荷時初期化を実行します。物理的にディスクを暗号化していた場合、鍵を廃棄することでデータ復元不能にできます（Windows BitLocker、macOS FileVault）。

ステップ 5：次の利用者へ配布

初期化した PC を、新入社員または既存社員の PC 交換用にキッティングして配布します。

💡 ポイント 「退職者が使っていた PC を新入社員に配布する」流用サイクルは、コスト効率が高い運用ですが、初期化とキッティングの品質が担保されないと前任者のデータや設定が残ります。MDM の初期化コマンドを標準手順化し、キッティングチェックリストを必ず回すことが実務の要点です。

PC キッティングの標準手順

新入社員に PC を配布する前のキッティング（初期セットアップ）を、次の 6 ステップで標準化します。

OS 初期化と最新化：出荷時状態から最新の OS アップデートを適用
MDM への登録：Intune／Jamf 等の MDM に PC を登録
業務アプリ配布：MDM 経由で Microsoft 365、Slack、業務専用アプリを自動配布
EDR インストール：Defender／CrowdStrike／SentinelOne を導入
暗号化有効化：BitLocker／FileVault を有効化、鍵は IdP 側に自動バックアップ
キッティング完了確認：チェックリストで全項目確認、初期パスワードは 1 回目のログイン時に変更を強制

理想は「新入社員が初日にログインしただけで業務開始できる」状態です。MDM を使うと、この一連の作業を大幅に自動化できます。

中核メッセージ 6 個の再掲

本コース全体を通じて、6 個のメッセージを繰り返します。

情シスは「守る・選ぶ・運用する」の 3 役割——役割ごとに時間を配分する
アカウント運用が情シスの生命線——入社と退社の 2 点で 8 割が決まる
SaaS は買った瞬間ではなく解約時に苦しむ——契約時に出口を設計する
ヘルプデスクは「早く直す」より「二度と起こさない」——ナレッジ化が本業
インシデントは一次受付・トリアージ・エスカレーションの 3 手で対応する
IT 予算は「守り・攻め・維持」の 3 分類で経営に説明する

このレッスンで扱うのはメッセージ 2「アカウント運用は情シスの生命線」の物理的な担い手であるデバイス管理です。MDM と EDR の両輪で、入社から退職までのデバイスライフサイクルを型化することが、セキュリティ・業務効率・コストの三軸で成果を出す鍵です。

次のレッスンで扱うこと

次のレッスン 5 では、情シスの「選ぶ」役割の中核である SaaS 選定・契約・棚卸しに踏み込みます。買い手側の要件定義、比較評価の 3 軸、契約交渉のポイント（自動更新・データ返還・SLA）、シャドー IT 対処、解約プロセスまで整理します。SaaS は買った瞬間ではなく解約時に苦しむ——契約時に出口を設計する視点を提示します。

確認クイズ

このレッスンで学んだ内容を確認しましょう。