【2026年】MDMで決める項目一覧｜配ったAIを手元で抑える

「配った後の端末に、こちらから何かを届ける手段がありません」「全台に同じ設定を入れたはずなのに、半年たったら中身がばらばらでした」——端末を配る側の相談では、この二つが同じ会議の中に並びます。総務省が2021年5月に改定したテレワークセキュリティガイドライン（第5版）は、対策を13の分類・98項目に整理していますが、そのうち64項目はシステム・セキュリティ管理者が実施すべき対策として置かれています。配った後の手当ては、渡した相手ではなく渡した側の仕事として並んでいるのです。効いてくるのは、離れた場所にある端末に、どこまで手が届くかです。この記事では、配った後に起きる4つの困りごとから、手元で効かせる項目の一覧、効かせる順番、一律に締めたときに起きること、会社の持ち物と個人の持ち物で変わる線、従業員に先に知らせること、返ってこない端末の畳み方、そして生成AIを配ったときに増える管理の対象までを順に整理します。制度と公表資料の記述は2026年9月時点のものです。

配る日は準備の終わりで、管理の始まりです

端末の準備は、配る日に向けて組み立てます。だから配布が終わると、仕事がひと区切りついたように見えます。けれども決めごとの量は、配った後のほうが多い。先ほどのガイドラインの98項目を立場ごとに数えると、経営者が実施すべき対策は5項目、システム・セキュリティ管理者が64項目、テレワーク勤務者が29項目です。全体の3分の2近くが、端末を渡した側に置かれています。

98項目は、さらに「基本対策」78項目と「発展対策」20項目に分かれます。発展対策は、一定の予算や組織体制がないと実施が難しいものの、実施すればさらに安全になる、という位置づけです。この20項目のうち19項目が管理者側にあり、勤務者側の発展対策は1項目しかありません。手を掛けようとすると、掛ける先はほとんど管理する側になる。配った後に効かせる仕事が、そもそも現場には振れない形で並んでいるということです。

同じガイドラインには、この構造を言い切った一文があります。ソフトウェアの利用について、ルールによる統制には強制力がないため、ファイルの実行やウェブへのアクセスをきっかけに入り込むものは防げないと書いたうえで、資産管理の仕組みによる統制を行えばリスクを下げられる、と続けています。周知は、届いたという保証を持ちません。配った後に手が届くかどうかは、周知の丁寧さではなく、仕組みの側で決まります。配る前の準備をどれだけ丁寧にやっても、ここを用意していなければ、以降の変更はすべて手作業になります。

用語をそろえる：手元で握っているのは、端末の設定です

端末の管理は、ガイドラインの用語集では「スマートフォン等のセキュリティ設定を統合的に管理するためのツール」と定義されています。定義の中心にあるのは「設定」です。端末そのものを遠くから操作する道具というより、設定を一か所で決めて、離れた端末に当てていく道具だと考えたほうが実際に近い。この理解を先に置いておくと、買った後に「思っていたことができない」となりにくくなります。

呼び名は場面で揺れます。同じガイドラインでも、台帳を常に最新にする文脈では資産管理の道具、許可していない道具の導入を止める文脈では端末管理の道具、と書き分けられています。名前で選ぶと、要る機能が入っていない買い物になります。見るのは呼び名ではなく、次の5つが届くかどうかです。設定を当てられるか。道具を入れたり消したりできるか。いまの状態を取れるか。所在が分かるか。そして中身を消せるか。

届かないものも、同じ場で決めておきます。業務としての是非は、届きません。この道具を使ってよいか、この資料を社外に出してよいか、この出力をそのまま顧客に渡してよいか。端末の管理は、何が入っているかまでは答えますが、その道具で何をしたかの妥当性には答えません。ここを混ぜたまま導入すると、端末は締まったのに事故の件数が変わらない、という結果になります。ガイドラインが「統制の容易性」を、端末へのデータ保存を制限しやすいかどうかと、更新を強制的に当てやすいかどうかで説明しているのも、同じ切り分けです。

配った後に起きることは、4つに集まる

配布から半年ほどの間に出てくる困りごとは、会社が違っても似た並びになります。順に、版がそろわない、入れた覚えのない道具が増える、退職した人の端末が残る、切ったはずの機能が戻る。4つとも、配った日には存在していなかった問題です。だから、配る前の点検表には載っていません。

困りごと	最初に気づく場所	手元で効く手	効かない手
1 版がそろわない	一部の端末だけ新しい機能が使えないと言われる	状態を取り、期限を切って当てる	更新してくださいという周知
2 入れた覚えのない道具が増える	申請の一覧に無い道具の名前が、問い合わせの中に出てくる	導入元を限り、一覧に無いものを止める	禁止事項を規程に書き足す
3 退職した人の端末が残る	台帳の台数と、手元の台数が合わない	貸与時に返却期限を書き、入口の側を先に閉じる	総務からの返却の催促
4 切ったはずの機能が戻る	現場から、使えるようになっていましたと報告が来る	設定値ではなく、動くかどうかの結果を定期に見る	一度切ったから大丈夫という前提

表で見てほしいのは、いちばん右の列です。効かない手には共通点があります。人の行動に期待しているということ。周知、催促、規程への追記。どれも必要ですが、どれも、届いたかどうかを数えられません。4つの困りごとは、いずれも「届いたかどうかを数えられる形」に置き換えたときにだけ収まります。以下、4つを順に見ていきます。

困りごと1：版がそろわないのは、更新を止めている人がいるからではない

更新が当たっていない端末は、必ず出ます。ただし、原因を「利用者が更新しないから」に寄せると対策を外します。実際に多いのは、端末が更新を受け取れる状態になかったほうです。長い休みで電源が入っていない。持ち出したまま社内の経路につないでいない。空き容量が足りず途中で止まった。更新を後回しにする設定が既定で入っていた。どれも、本人には自覚がありません。

更新の遅れは、日本ではもともと出やすいことが指摘されています。同じガイドラインは、脆弱性が公表されてから最初の1週間で、米国・英国・ドイツなどでは2割から5割の製品が更新されているのに対し、日本では更新の実施割合が1割にも満たないという調査結果を紹介しています。さらに、公表から7か月たった2020年3月下旬の時点でも、対応率が低いままだったとも書いています。遅れは例外ではなく、既定の状態だと考えて手を打つほうが、実務には合います。

手元で効かせるなら、二段に分けます。前半は本人に任せる期間、後半は期限を過ぎたら当てる期間。強制に切り替える日を先に決めておくのが要点です。ただし、切り替えた日に何が起きるかも同時に決めます。当てた直後の再起動が商談中や締め日の作業中に落ちると、その1回で信頼を失います。再起動を求めてよい時間帯、先送りを認める回数、それでも当たらなかった端末をどう扱うか。この3つを書いておくと、期限を守らせる話が、事故の話に変わらずに済みます。

困りごと2：入れた覚えのない道具が増える

ガイドラインの基本対策は、業務で使ってよいハードウェアとソフトウェアとクラウドのサービスを定めて周知し、それ以外は事前の申請を求め、問題がないと確認できたものだけ許可する、という形です。ここまでは紙の上で完結します。届く保証が入るのは、その次の発展対策のほうです。端末管理の仕組みを使って、許可していない道具の導入を制限する、あるいは警告する。基本と発展の間に、周知と強制の差がそのまま置かれています。

実務で抜けるのは、道具の数え方です。導入した本体だけを数えていると、ブラウザに後から足した拡張、業務の道具に後から付いた機能、無償で使える範囲だけを個人の登録で使っているもの、が一覧に載りません。数える単位を、入れたものから動いているものに変えると、初めて実態に近づきます。とくに後から付いた機能は、導入の記録がどこにも残らないので、台帳を何回見返しても出てきません。

そして、突き合わせは申請の側からではなく、端末の側から始めます。申請から見ると、申請していない道具は永久に見えないからです。端末から取った一覧と申請の一覧を並べ、片側にしか無いものを2種類に分けます。申請はあるのに入っていないもの。これは要らなかったものです。入っているのに申請が無いもの。これは、実務で要ったものです。後者を止める前に、なぜ要ったのかを聞く工程を1つ挟むと、この記事の後半で触れる失敗を避けられます。

困りごと3：退職した人の端末が返ってこない

返却が滞る理由は、悪意よりも段取りです。最終出社日と退職日がずれる。遠くで働いていて手渡す機会がない。私物と混ざって手元に置いたままになる。返却の期限を、貸与するときの書面に書いていない会社が多い。返す日が決まっていないものは、決まっている仕事より後ろに回ります。そして本人はもう社内にいないので、催促の相手がいなくなります。

返ってこない間にできることは、端末の側と入口の側に分かれます。入口の側は、その人の資格を止めれば、業務の中身にはたどり着けなくなります。端末の側は、遠隔で中身を消す、あるいは初期化する。ただし遠隔の初期化は、届いたときに実行される予約です。電源が入らない端末、経路につながらない端末には、いつまでも届きません。だから台帳には、実行を出した日ではなく、実行が届いたかどうかを書く欄が要ります。

消したあとの扱いも決めておきます。ガイドラインは、廃棄する場合には消去専用の仕組みや物理的な破壊で復元できない状態にすることを基本対策に置き、通常の初期化をしただけでは専門的な技術によって復元できることに注意する、と解説に書いています。返ってきた端末を、初期化しただけで次の人に渡さない。次に渡す前に何をするかを決めておけば、返却の遅れが二重の問題にならずに済みます。

困りごと4：切ったはずの機能が、更新で戻る

これがいちばん気づきにくい。切ったときの記録は残るのに、戻ったときには何も起きないからです。ガイドラインは、事業者側が行う機能の追加などの更新に際して、初期の設定値が変更されたり、設定値の意味するところが変更となったりすることもありえると書いています。そのうえで、仕様を都度確認し、意図しない設定になっていないことを確認することも大切だ、と続けます。

端末の上で動く道具が増えるほど、この形は増えます。項目の名前が変わる。切っていた項目が別の項目に統合される。既定で入になっている新しい項目が足される。設定の一覧を見比べても、気づけません。項目名が変わっていれば、一覧の差分には出てこないからです。差分が空だったという結果を、変わっていないという意味だと読むと、ここで外します。

見るのは、設定値ではなく結果です。代表の端末を数台決めて、そこでその機能が実際に動くかどうかを試す。試す間隔は、道具の更新の周期に合わせます。月に1度、動くかどうかを人が確かめる欄を作るだけで、静かに戻った設定はたいてい見つかります。試した記録には、いつ、どの端末で、何を確かめたかまで残します。次に戻ったときに、いつからの状態なのかを切り分けられるのは、この記録だけです。

生成AIを配ると、抑える対象が「端末の上で動く道具」に増える

総務省の令和7年版情報通信白書は、企業における生成AIの利用について、何らかの業務で使っていると回答した割合が日本で55.2%、メールや議事録、資料作成などの補助に使っていると回答した割合が47.3%だったと書いています。活用の方針を定めている企業の割合は49.7%で、前の年度の調査の42.7%より増えています。ただし企業の規模で分けると、中小企業では「方針を明確に定めていない」という回答が多く、およそ半数を占めます。使っている割合のほうが、方針を決めている割合より高い状態です。

端末を配る側から見ると、これは管理する対象が1段増えたことを意味します。これまでは、端末に何が入っているかを見ていれば足りました。いまは、入っている道具の、どの機能が動いているかまで見る必要があります。同じ道具でも、画面に映っているものを読んで説明する機能、会話をその場で文字にする機能、書きかけの文章の続きを出す機能は、それぞれ別に開け閉めできることが多い。台帳の欄が、道具の名前だけでは足りなくなったということです。

ここでAIに任せてよいのは、突き合わせと洗い出しです。端末から取った道具の一覧と申請の一覧を突き合わせて差を出す。設定の値を端末ごとに並べ、他と違っている項目を挙げる。申請の記録と実際の利用の記録がずれている端末を並べる。いずれも、答えが記録の中にある作業です。渡すときは、どの記録のどの行から出したかを必ず書かせます。根拠の行を書けない項目は、結論ではなく、確かめる前の候補として扱います。

人が決めるのは3つです。許すか止めるか。業務を止めてでも切るか。そして、従業員に何を知らせるか。この3つは、記録の中に答えがありません。ある部署で使われている道具を止めてよいかは、その部署の仕事が来週どうなるかで決まります。AIはその予定を知りません。次のような頼み方をすると、答えは返ってきます。ただし、返ってきた答えに根拠がありません。

• 「この一覧の中で危ないものに点数を付けて」——危なさは、入っている道具ではなく、その道具に何を入れたかで決まる
• 「止めてよい道具を選んで」——業務が止まるかどうかは、端末から取れる記録には書かれていない
• 「従業員向けの通知文を作って」——見ている範囲と見ていない範囲を決める前に、文だけができてしまう
• 「この設定で問題ないか判断して」——判断の材料である自社の規程と契約を、そもそも渡していない

線を引くときは、工程で切ります。集める、並べる、差を出すところまでがAI。許可の一覧に載せる、止める指示を出す、従業員に通知する。この3つは人。この形にしておくと、AIが出した一覧が、そのまま端末を止める操作につながらなくなります。止める操作は取り消せますが、止まった数時間の業務は取り消せません。

手元で効かせる項目の一覧

配った後に効かせる項目を、届かせ方とセットで並べます。並べる順番は、効き目の大きさではなく、業務を止めない順です。上から順に当てていくと、現場から反対が出にくくなります。

項目	決めること	届かせ方
1 画面の自動ロック	何分で掛かるか、解除に何を使うか	設定として当て、本人が緩められない形にする
2 記録媒体の暗号化	端末に業務のデータを残す運用かどうか	当てたうえで、当たっている台数を数える
3 誤入力での停止	何回で止めるか、誰が戻すか	会社の持ち物では当てる。個人の持ち物では相談する
4 更新の適用	猶予は何日か、期限を過ぎたらどうするか	期限を持たせて当て、当たらなかった端末を一覧にする
5 道具の出入り	導入元をどこに限るか	許可した一覧を先に配り、その外を止める
6 端末の上の機能	開ける機能と、開ける理由	機能の単位で開け閉めし、開けた理由を記録に残す
7 既定の保存先	作ったものをどこに置かせるか	個人の同期先を既定にしない
8 所在と応答	最後に応答した日をどこで見るか	応答が無い日数で区切って一覧にする
9 端末の権限	本人に管理者の権限を渡すか	渡さない。要る作業は依頼で受ける
10 消去と初期化	誰が、どの条件で実行できるか	実行の記録と、届いたかどうかを残す

この一覧のうち、3番と9番は、持ち主が会社であることを前提にしています。個人の持ち物に当てると、本人の私的な利用まで止めてしまうため、そのままでは持ち込めません。持ち主で変わるところは、この後で分けます。

8番の「応答」は、いちばん見落とされます。台帳にある台数と、いま連絡が取れる台数は別物です。在庫としては存在するのに、こちらから何も届かない端末は、管理されているように見えて管理されていません。最後に応答した日を並べ、たとえば30日を超えた端末だけを一覧にすると、返却が滞っている端末と、経路につながっていない端末が、同じ表の上に並んで出てきます。この表がある会社と無い会社で、翌月に打てる手が変わります。

効かせる順番は、届く道が先で、締めるのは後

順番を間違えると、締めた分だけ見えなくなります。先に作るのは、届く道と、届いたかどうかを数える欄です。締めるのは、その後。5段階に分けると、3か月ほどで一周できます。

3段目と4段目の間に、1回だけ現場に聞く工程を挟みます。入っているのに申請の無い道具について、なぜ要ったのかを聞く。ここを飛ばすと、次の章の状態になります。聞いた結果、許可の一覧に足すものが必ず何件か出ます。足したぶんだけ、締めたときに逃げる先が減ります。この工程は、犯人を探す場ではないと先に伝えておくと、素直な答えが返ってきます。

一律に締めると、現場は個人の持ち物に逃げる

端末の側で締めるのは簡単です。効き目もすぐ出ます。ただし、効き目が出たように見えるだけの締め方があります。共通しているのは、業務で必要な経路を1つも残さずに閉じたときです。実際に運用が壊れた形を並べます。

• 外部の記憶装置を全面的に止めた——大きな資料の受け渡しが、個人のメールと個人の保管先に移った
• 貼り付けを制限した——画面を個人のスマートフォンで撮って持ち出す運用が定着した
• 道具の導入を止めた——同じ道具を、個人の登録で、個人の端末に入れて使うようになった
• 会議の記録を切った——手元のスマートフォンで録音するようになり、相手への断りも同時に消えた
• 個人の端末から社内につなげなくした——自宅の端末に資料を送ってから作業する流れができた

どれも、締めた項目そのものは守られています。守られていないのは、その業務が会社の見える場所で行われることのほうです。逃げた先は、台帳にも、端末から取る記録にも、費用の記録にも出てきません。締める前より状態が悪くなるのは、この一点です。

締める前に決めるのは1つだけです。その業務を、会社の中でやる方法が1つ残っているか。残っていれば締めてよい。残っていなければ、残してから締める。残す方法がどうしても用意できないなら、締めないという判断もありえます。締めないと決めたことを、決めた理由と一緒に記録に残す。後で監査や取引先の確認票で聞かれたとき、答えられるのはこの記録です。

会社の持ち物と個人の持ち物で、手の届き方が変わる

同じ端末管理でも、持ち主が会社か個人かで、当てられる項目が変わります。総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」第3版は、この違いを方式の分け方そのものに持ち込みました。会社支給の端末と個人所有の端末を、別の方式として並べています。同じつなぎ方でも、点検する項目の一覧が別々に用意されているということです。

数で見ると、差ははっきりします。社内へ経路を張るか、社内の端末を遠隔で操作するか、という同じつなぎ方でも、会社支給の端末では34項目、個人所有の端末では32項目が並びます。個人所有の側にだけ無いのは2項目で、パスワードを一定回数以上まちがえたらそれ以上受け付けない設定と、管理者の権限は必要な作業のときだけ使うという項目です。端末そのものの持ち主が会社でないと、そこまでは押し込めない、という整理になっています。

ガイドラインの側にも、同じ線が引かれています。7つに整理された方式のうち、経路を張って端末で作業する方式、クラウドのサービスに直接つなぐ方式、端末に保存したデータだけで作業する方式の3つについては、会社からの支給端末を想定していると注記されています。いずれも、端末にデータが残る形です。個人の持ち物に業務を載せるなら、端末にデータを残さない方式に寄せるほうが、後から効かせる項目そのものが減ります。

それでも、個人の持ち物を業務に使わせること自体が否定されているわけではありません。同じガイドラインは、トラブル事例の1つとして、個人所有の端末で業務と関係のないメールを受け取り、そこから被害につながる形を挙げたうえで、個人所有の端末を業務に使う場合は、対策を勤務者任せにせず、組織として実施する必要があると書いています。任せないという言い方の中身が、ここまで並べてきた項目の一覧です。

従業員に先に知らせる：見ているものと、見ていないもの

端末に手が届く状態を作ったら、届く範囲を本人に伝えます。伝えないまま運用すると、2つの方向で壊れます。1つは、見られていないと思って使う人が出ること。もう1つは逆で、全部見られていると思った人が、業務を端末の外に持ち出すことです。後者のほうが厄介で、前の章と同じ結果になります。

書くのは、次の5つで足ります。取れるもの、取らないと決めたもの、消すときの条件、位置の扱い、そして連絡先。

• 取れるもの：入っている道具の一覧、更新の適用状況、端末の設定値、最後に応答した日、会社の資格でつないだ先の記録
• 取らないと決めたもの：私的な通信の中身、端末に保存された個人の写真、業務と無関係な閲覧の履歴
• 消すときの条件：紛失の届出を受けたとき、退職日から一定の日数を過ぎても返却がないとき。それぞれ誰が判断するかまで書く
• 位置：取るかどうか、取るなら何のために取り、いつまで残すか
• 連絡先：締めた設定で仕事が止まったときに、その日のうちに連絡がつく先

これを貸与するときの書面に入れると、後から配るより効きます。とくに「消すときの条件」は、実行する日ではなく、渡す日に合意しておくものです。実行する日に初めて説明すると、話が端末の話ではなく、人の話になります。個人の持ち物を業務に使わせる場合は、消す範囲が本人の私物にどこまで及ぶのかを、実行の前ではなく、利用を始める前に書いておきます。ここは会社ごとの契約と就業のきまりで変わるので、法務や労務の担当と一度だけ形を決めてしまうのが早い。

端末が返ってこないときの畳み方

返ってこない端末に対して、手は3つあります。入口の側を閉じる、端末の側に予約を置く、そしてどちらも届かなかったことを記録に残す。3つ目を手として数えるかどうかで、その後の対応が変わります。記録が無いと、翌月には「その端末の話」自体が社内から消えます。

入口の側を閉じるのは、いちばん早く効きます。会社の資格を止めれば、その端末から業務の中身にはたどり着けなくなります。ただし、端末の中に置かれたままの資料には効きません。だから同時に、端末に何が残っている見込みかを確かめます。台帳に「端末にデータを残す運用かどうか」の欄があれば、この確認は数分で終わります。無ければ、返ってくるまで分かりません。

端末の側の予約は、届いたときに実行されます。届かない間は、何も起きません。だから期限を決めます。たとえば、予約を出してから14日たっても実行の記録が返ってこない端末は、届かない端末として別の一覧に移す。移した先で、法務や労務の段取りに引き継ぐ。端末の管理の仕組みだけで最後まで畳もうとすると、必ずここで止まります。

返ってきた端末は、次に渡す前の工程を先に決めておきます。初期化しただけで終わりにしない、というのが前に触れた点です。加えて、台帳を更新する時点を「返ってきた日」ではなく「次の人に渡せる状態になった日」にすると、在庫の台数と、いますぐ使える台数がずれなくなります。この2つがずれている会社では、次の配布のたびに端末を買い足すことになります。

入れるかどうかの判断に使う5つの物差し

ここまでの項目は、専用の仕組みが無くても一部は動きます。表計算と手作業でも、台帳は作れます。足りなくなるのは、届いたかどうかを数える段になってからです。判断に使う物差しは、次の5つで足ります。

• 台数：手作業での確認が何台まで割に合うか。1台あたり数分でも、100台を月に1度見れば数時間になる
• 持ち出す頻度：社内に置いたままの端末と、毎日持ち出す端末では、手が届かない期間の長さが違う
• 端末にデータが残るか：残さない方式に寄せられるなら、効かせる項目そのものが減る
• 持ち主：会社の持ち物か、個人の持ち物か。当てられる項目の数が変わる
• 止まったときの影響：その端末が1日使えないと、いくらの仕事が止まるか

5つのうち、いちばん効くのは3番目です。端末にデータを残さない方式に寄せられる業務があるなら、その業務については、後から効かせる項目が丸ごと減ります。逆に、端末で資料を作り、端末に保存し、それを持ち出す業務が中心なら、どの物差しから見ても、仕組みを入れる側に寄ります。

入れても効かない場合も、先に見ておきます。端末が経路につながっていない。権限を持つ担当が決まっていない。台帳が古い。この3つのどれかが残っていると、仕組みを入れても数字が出ません。費用が増えるのは、台数そのものよりも、扱う端末の種類が増えるところと、例外を個別に扱う件数が増えるところです。例外を減らす決めごとを先に置くほうが、費用の話は落ち着きます。

まとめ

配った後の端末で決まるのは、規程の丁寧さではなく、離れた場所にある端末にどこまで手が届くかです。ガイドラインの98項目のうち64項目は管理者側の対策で、発展対策20項目のうち19項目も管理者側に置かれています。配った後の仕事は、現場に振れない形で並んでいます。出てくる困りごとは4つ。版がそろわない、入れた覚えのない道具が増える、退職した人の端末が残る、切ったはずの機能が戻る。どれも「届いたかどうかを数える形」に置き換えたときにだけ収まります。

効かせる順番は、届く道が先で、締めるのは後です。応答する台数を数え、台帳を端末から取った値で埋め直し、業務を止めない項目から強制に切り替え、止める前に許可の一覧を配り、消す権限と手順を使う前に書く。一律に締めると、業務は個人の持ち物に逃げて、そこから先は数えられません。持ち主が会社か個人かで当てられる項目は変わり、公表されているチェックリストでも34項目と32項目の差として現れています。生成AIを配ると、見る対象は道具の名前から、動いている機能の単位に増えます。AIには突き合わせと差分の一覧まで任せ、許すか止めるかの決め、業務を止めてでも切る判断、従業員に知らせる範囲の決めは人が持つ。この線を先に引いておけば、配った端末は、配った日の状態から遠ざかりません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。