私物スマホで社内データをどこまで扱わせるか

情シスとしてデバイスを管理する立場では、会社支給のデバイスではなく個人が所有するデバイスを業務で使いたい、いわゆるBYODの要望が社内から上がることが多いです。 TeamsやSlackだけだったら利用しても良いことにしている企業もありますが、どこまで利用してもよいかという境界が曖昧になり、想定外のリスクとなるケースもあります。

だからと言って全面禁止に振り切れば、業務に支障が出るだけでなく、隠れて使われて実態が見えなくなりがちです。 BYODを全か無かで決めようとすると、どちらに寄せても無理が出ます。ご支援の現場でも、どういう方針にしようか迷われているというご相談をよくいただきます。

では、どこで線を引けばよいのでしょうか。メールやチャットが中心なら、答えは端末そのものを管理するのではなく、業務アプリの中だけを守るという発想にあります。

BYODの3つの選択肢

私物端末への対応は、大きく3通りに整理できます。会社支給端末以外を締め出すか、私物ごと会社の管理下に置くか、業務アプリの中身だけを保護するかです。

全面禁止: 会社支給の端末以外からのアクセスを遮断します。統制は最も強い一方、支給端末のコストがかかり、「メールだけ見たい」程度の需要を潰すと不満とシャドー利用が生まれやすくなります。
MDMフル管理: 私物端末をIntuneなどのMDM（モバイルデバイス管理）ツールに登録させる方式です。技術的には可能ですが、私物を会社が管理することへの心理的抵抗が強く、ご支援の範囲では中小企業で定着した例はあまりありません。
アプリ保護（MAM）: 端末そのものは管理せず、業務アプリの中のデータだけを保護する方式です。Microsoft環境ならIntuneのアプリ保護ポリシーがこれにあたり、ご支援でも現実解としてご提案することが多い方式です。

どれを選ぶかの分かれ目は、私物スマホでやりたいことが保護に対応したアプリの中で完結するかどうかです。メールとチャットのように、OutlookやTeamsの中だけで用が足りるなら、アプリ保護で対応できます。ファイルを端末に保存したい、保護に対応していない業務システムを使いたい、端末の構成を継続的に管理したい、といった条件が入ると、アプリ保護だけでは届きません。その場合は会社支給端末を配るか、業務領域だけを切り分けて登録するMDMの方式を検討します。

アプリ保護の具体的な設定は、使っている製品によって変わります。中小企業のご相談ではMicrosoft 365とIntuneの組み合わせが多いため、以降はその前提で書きます。他のグループウェアやMDMをお使いなら、同じ考え方が使える製品かどうかを個別にご確認ください。

アプリ保護ポリシーで何ができるか

アプリ保護（MAM）の中心にあるのは、OutlookやTeamsといった業務アプリに「会社データの扱いルール」を適用する仕組みです。端末そのものをMDMに登録する必要はありません。 ※ただしAndroidでは、ポリシーを受け取るためにIntuneポータルサイトアプリのインストールが要ります。

まず一つ目の制御としては、保護が効いていないアプリでの業務システムへのアクセスを止められます。ここで使うのが条件付きアクセス（サインインの条件を決めて、満たさないアクセスを遮断するMicrosoft Entra IDの機能）です。「アプリの保護ポリシーを必須にする」を条件に加えると、会社が想定していないメールアプリからの接続を弾けます。ブラウザでの閲覧を許すなら、Microsoft Edgeにもアプリ保護ポリシーを適用したうえで、Edgeを使わせる設計にします。

二つ目の制御がアプリ内でのPINや生体認証です。端末自体のロックが甘い場合でも、会社データを開く手前にもう一段の認証が入ります。

三つ目の制御は、業務アプリから個人の領域へのデータ移動のブロックです。業務アプリから個人アプリへのコピー＆ペーストや、端末内の個人用フォルダへの「名前を付けて保存」を止められます。ただし塞げるのは保護対応アプリを経由する経路までで、別の端末で画面を撮る、手元で書き写すといった持ち出しは残ります。

退職時や紛失時には、会社データだけを消せます。 選択的ワイプでは業務アプリ内の会社データが削除され、端末の初期化は行われません。写真や個人のLINEはそのまま残ります。ただし削除が実行されるのは対象アプリが起動して同期したときなので、端末が使われるまで反映されません。保護の外へ既にコピーされたデータも戻せません。いつ実行するかは、「まだ生きていました」をなくす情シスのオフボーディング設計で整理した退職対応のタイムラインに組み込んでおくと、実行漏れが起きにくくなります。

設定でつまずきやすいところ

アプリ保護のポリシー自体は設定項目が多くありませんが、その前後の準備で止まることがあります。

アプリ保護ポリシーには対象ユーザーごとにIntuneのライセンスが、組み合わせる条件付きアクセスにはMicrosoft Entra ID P1が必要です。どちらもMicrosoft 365 Business Premiumに含まれています（2026年8月時点の公表情報）。貴社の契約プランでカバーされているかを、導入前にご確認ください。

アプリ保護ポリシーだけを配って条件付きアクセスを設定しないと、対応していないメールアプリからの迂回が残るため、先にアプリ保護ポリシーを対象アプリへ適用し、効いていることを確かめてから、条件付きアクセス側の設定に進んでください。

また、この条件を使うには、端末をMicrosoft Entra IDに登録しておく必要があります。そのためにiOSではMicrosoft Authenticator、AndroidではIntuneポータルサイトのインストールが事前に必要です。

なお、条件付きアクセスをいきなり全体に適用すると、全員が締め出される事故が起こり得ます。緊急時に使う管理者アカウントを対象から除外し、レポート専用モードで影響を確認してから、試験グループ、全体の順に広げてください。想定外の締め出しが出たらポリシーを無効に戻し、除外設定を見直してから再開します。

私物PCまで同じ枠で考えると、保護の届かない範囲が広がります。アプリ保護が効くのはスマホの業務アプリが中心で、PCで使うブラウザやデスクトップアプリは対象の範囲が限られます。 PCは原則として会社支給とし、スマホとは分けて議論することをおすすめします。

対応アプリとサービス側のプランを確認する

アプリ保護ポリシーは、対応しているアプリにしか設定できません。 Microsoftが対応しているアプリを一覧で公開しており、2026年8月時点で190本ほどが載っています。(ここに載っていないアプリでもアプリ保護が使えるものもあります) Microsoft Intune 保護されたアプリ（Microsoft Learn）

Microsoft製ではOutlook、Teams、Word、Excel、PowerPoint、OneDrive、SharePoint、Edgeなど、他社製ではSlack、Zoom、Notion、Box、ServiceNowなどが対応しています。

他社製は、通常版とは別に配布される専用版を使うものが多くあり、「Slack for Intune」のように、アプリ名で見分けられます。一方でNotionのように、通常のアプリのまま対応するものもあります。

見落としやすいのは、対応アプリの一覧が2つあることです。アプリを制御するポリシーを当てられるアプリと、条件付きアクセスの「アプリの保護ポリシーを必須にする」が効くアプリは別物で、後者に挙げられているのは31本です。

例えば、Slackはポリシーを当てることはできても、Entra ID側で「保護されたアプリ以外を弾く」条件は使えません。 Notionは一覧にありませんが、Notion側がIntuneのアプリ保護ポリシーへの対応を案内しています。アプリ保護ポリシーや条件付きアクセスでのアプリ保護の要求が利用できるかどうかは、サービスの提供元にご確認いただく必要があります。

もうひとつ確認していただきたいのが、特定のプランが必要なケースがあることです。 Slack for Intuneが使えるのは、SlackのEnterprise系プランです。 NotionのIntune対応もEnterpriseプラン限定で、あわせてNotionの管理コンソールで有効にする操作が要ります。 Outlookモバイルは、Exchange Onlineのメールボックスとライセンスが要ります。先進認証を有効にしたオンプレミスのExchange Serverも対象になります。 Word、Excel、PowerPointは、Microsoft 365 Appsのライセンスに加えて、会社データの保存先としてOneDriveなどの管理された場所の設定が要ります。

アプリ保護だけで統制を組まない

確認してみると、使いたいサービスが非対応だったり、上位プランが要ると分かることがあります。ここで問うべきなのは、そのサービスをどうにかしてアプリ保護に載せられるかではありません。私物スマホからそのサービスを見せる必要が本当にあるのか、から考えてください。

BYODのためだけにサービスを乗り換えたり、プランを上げたりするのは、費用対効果が合いにくくなります。サービス側でIntune連携を使えるのは、SlackもNotionもEnterpriseプランです。私物スマホの統制だけを理由に全社のプランを上げれば、費用は利用人数の分だけかかり続けます。乗り換えやプラン変更は、SSOの統合や運用の集約など、BYOD以外の効果も含めて判断してください。

これから増やすサービスは、Entra IDとIntuneで管理できるかも評価軸に入れてください。すでにMicrosoft 365をお使いなら、その中で完結する範囲は、アプリ保護と条件付きアクセスと選択的ワイプを同じユーザーとグループの上で設計できます。サービスが分かれていても、Entra IDのSSOに寄せておけば、条件付きアクセスの一部は共通で効きます。

アプリ保護に載らないサービスにも、打てる手はあります。ひとつはブラウザ利用に寄せる方法で、Microsoft Edgeにアプリ保護ポリシーを当てたうえで、Edgeから見てもらいます。これはアプリ保護の適用先をブラウザに替えるやり方なので、ネイティブアプリや他のブラウザからの直接アクセスは別途止める必要があります。 SharePointやOneDriveには、管理外の端末をブラウザだけに絞る設定があります。ダウンロードと印刷と同期を止められます。 Outlook on the webでは、添付ファイルのダウンロードを止められます。私物からは見せないと決めるのも、ひとつの統制です。

冒頭の、どこまで使ってよいか曖昧なまま認めている状態から抜け出すには、順番があります。どのデータを、どの経路で、誰に見せるかを先に決めて、そのうえでアプリ保護をはじめとする手段を当てはめてください。対応していないサービスが出てきたときに見直すのは、手段ではなく線の引き方です。

私物端末を認めるなら、その端末も台帳の対象に入れます。持たせる項目はひとり情シスがまず整えるべき3つの台帳で解説しました。

会社支給端末をどう管理するかは、MacとWindowsが混在する会社のデバイス管理で扱っています。

自社の環境でどこまで許可すべきか相談したい方は、デバイス管理導入支援のページをご覧ください。