第4章端末管理 — 調達・キッティング・MDM・廃棄

🎯 この章で学ぶこと

端末のライフサイクル(調達 → 初期設定 → 運用 → 廃棄)の全体像
機種の標準化とキッティングの定型化で「楽をする」設計
MDM/EDRによる一元管理・紛失対応・ウイルス対策
アップデート管理、BYOD、そして確実な廃棄・データ消去

4.1 端末のライフサイクル

端末管理は「PCを配って終わり」ではありません。1台のPCには、生まれてから廃棄されるまでの一連の流れ(ライフサイクル)があります。この流れを意識すると、どこで手間がかかり、どこにリスクが潜むかが見えてきます。

段階	やること	主なリスク・課題
調達	機種選定、購入 or リース、在庫管理	バラバラな機種、予備機なしで故障時に困る
初期設定(キッティング)	OS設定、ソフト導入、アカウント設定、台帳登録	1台ずつ手作業で時間を溶かす、設定のばらつき
運用	アップデート、故障対応、貸出管理、監視	更新されない脆弱性、紛失・盗難
廃棄・返却	データ消去、リース返却、処分証明	データ消去漏れによる情報流出

一人情シスにとって、端末は「数の暴力」がもっとも効いてくる領域です。10台なら手作業でも回りますが、50台・100台となると、個別対応では確実に破綻します。だからこの章の主題は、いかに一台ずつの手作業を減らし、まとめて管理するかです。

4.2 標準化で楽をする

端末管理の負担を減らす最大のコツは、バラバラにしないこと(標準化)です。機種も、設定も、手順も揃っているほど、管理は劇的に楽になります。

機種をなるべく揃える — 部署ごとにバラバラのメーカー・モデルだと、トラブル対応も部品も手順もその都度変わります。「標準機はこれ」と1〜2機種に絞れば、故障対応・予備機の使い回し・キッティングがすべて楽になります。
キッティング手順を定型化する — 「新しいPCをセットアップする」たびに思い出しながらやるのをやめ、手順書(チェックリスト)にします。誰がやっても同じ状態に仕上がり、あなた以外にも頼めるようになります(属人化の解消)。
初期設定の効率化 — 標準的なソフト構成を決めておき、可能ならまとめて導入します。Windowsの「Autopilot」やAppleの「自動デバイス登録」といった、箱から出して電源を入れるだけで自動セットアップされる仕組みを使えると、キッティングの手間は大きく減ります。

✅ 「キッティング手順書」は最高の時短投資

キッティング手順書を1枚作るのは面倒に感じますが、これは作った瞬間から時間を生み続ける投資です。手順が文書になっていれば、繁忙期に総務の人に一部を頼む、外部に委託する、といった選択肢も生まれます。第2章の「記録の習慣」を、端末でも実践する形です。手順書には、導入ソフト・セキュリティ設定・台帳への登録までを1本の流れとして書いておきましょう。

4.3 MDM / EDR で一元管理

台数が増えたら、1台ずつ手元で見るのは限界です。ここで導入を検討したいのがMDMとEDRです。名前は難しそうですが、役割はシンプルです。

用語	ざっくり言うと	できること
MDM(端末管理)	PC・スマホを遠隔でまとめて管理する司令塔	設定の一括配布、資産の可視化、紛失時のリモートロック/ワイプ、アプリ配布
EDR(端末の防御・監視)	各端末の不審な動きを見張り、対処する見張り番	ウイルス検知、不審な挙動の検知・隔離、感染の追跡
ウイルス対策ソフト	従来型の「既知のウイルスを防ぐ」守り	既知のマルウェア検知・駆除(EDRはこれを発展させたもの)

MDMの最大の価値は、一人情シスが手元を離れた全端末を、画面越しに把握・操作できることです。とくに重要なのが次の2点です。

台帳との連動 — MDMは「どの端末が、今どんな状態か(OSバージョン、暗号化の有無、最終通信など)」を自動で集めます。第2章で手作業だった端末台帳が、ここで生きた情報になります。
紛失・盗難時のリモートロック/ワイプ — 端末を外で落としても、遠隔でロック(画面を固める)したり、ワイプ(中身を消す)したりできます。情報流出を水際で止める、いざという時の命綱です。

💡 まずは持ち出す端末から

全端末に一気にMDM/EDRを入れるのは負担が大きいものです。優先すべきは社外に持ち出すノートPCとスマホです。これらは紛失・盗難・社外ネットワーク接続のリスクが高く、リモートロックや暗号化の恩恵が最も大きい端末だからです。据え置きのデスクトップは後回しでも構いません。「リスクの高い端末から」が、限られたリソースでの正しい順番です。

4.4 アップデート管理

地味ですが、端末管理の中でセキュリティ上もっとも重要なのがアップデート(更新)です。OSやアプリの更新には、機能追加だけでなく「見つかった弱点(脆弱性)をふさぐ修正」が含まれています。更新を放置した端末は、公開済みの弱点を突かれる格好の的になります。実際、多くの侵入は「とっくに修正が出ているのに、当てていなかった穴」から起きています。

⚠️ 「後で」が積み重なって脆弱性の山になる

更新は再起動や一時的な作業中断を伴うため、社員は先延ばしにしがちです。「後で」を各自の判断に任せると、社内には古いまま放置された端末が積み上がります。ばらつきをなくすには、MDMやOSの機能で「更新を一定期間内に必ず適用させる」仕組みにするのが有効です。全社員に「更新してね」とお願いし続けるより、仕組みで担保する方が、一人情シスの労力も減ります。

更新管理のポイントは、①OSだけでなくアプリ(ブラウザやPDFソフトなど、狙われやすいもの)も対象にすること、②MDMで「どの端末が最新か/遅れているか」を可視化すること、③重要な更新は期限を切って適用させること、の3点です。脆弱性がなぜ攻撃の入口になるのか、その仕組みを深く知りたい場合は、入門コース(🐍 Python × セキュリティ)第9章(情報セキュリティの基礎知識)や第11章(Webセキュリティ入門)が参考になります。

4.5 私物端末(BYOD)とスマホの扱い

BYOD(Bring Your Own Device)とは、社員の私物のPCやスマホを業務に使うことです。会社が端末を用意しなくて済む反面、「会社が管理できない端末に、会社の情報が入る」という管理の難所でもあります。一人情シスは、まず「認めるのか、認めないのか」の線引きを会社として決める必要があります。

方針	考え方
原則禁止	会社貸与端末のみ業務利用可。管理はシンプルだが、端末調達コストと社員の利便性とのバランスが課題
条件付きで許可	一定のセキュリティ条件を満たす端末に限り許可。現実的だが、条件の運用が必要
なし崩し的に黙認(危険)	ルールがないまま私物で業務メールを見ている状態。最も危険——事故が起きるまで誰も把握していない

もし条件付きで認めるなら、最低限これらのラインは守りたいところです。①画面ロック(PIN/生体認証)必須、②OSを最新に保つ、③紛失時に会社のデータだけ遠隔で消せるようにする(スマホは会社用の領域を分けるMDM機能が有効)、④退職時に会社データを確実に消す。とくにスマホでの業務メール閲覧は、意識せず広まりがちなので、放置せずルールに含めましょう。

✅ 「黙認」だけは避ける

BYODで一番まずいのは、禁止でも許可でもなく「ルールがないまま、みんな私物で仕事している」状態です。事故が起きて初めて「あの人、私物スマホに顧客リストを入れていた」と発覚します。完璧なBYOD制度を作れなくても、まずは「私物での業務利用はここまで」という一線を決めて周知するだけで、リスクは大きく下がります。ルール作りの進め方は第8章で詳しく扱います。

4.6 廃棄・返却

ライフサイクルの最後、廃棄と返却は「もう使わない端末」ゆえに気が緩みがちですが、情報漏えいのリスクは最後まで残ります。捨てたPCや返却したリース機から情報が流出する事故は、決して珍しくありません。

⚠️ 「初期化」だけではデータは消えないことがある

「初期化したから大丈夫」と思いがちですが、通常の削除や初期化では、データが復元できる形で残る場合があります。とくに古いHDDでは要注意です。確実に消すには、①専用ソフトによる完全消去(データ抹消)、②暗号化されている端末なら暗号鍵を破棄する方式、③物理的な破壊、といった方法をとります。「消したつもり」で外部に渡さないことが鉄則です。

確実なデータ消去 — 端末を手放す前に、上記の方法で確実に消去します。自社で難しければ、データ消去を証明書付きで行う専門業者に委託するのも現実的な選択です。
リース返却 — リース機は返却期限と原状回復の条件を確認します。第2章の契約台帳に返却期限を記録しておくと、慌てずに済みます。
証明の残し方 — 「いつ、どの端末を、どう処分したか」を記録に残します。専門業者に頼む場合はデータ消去証明書を受け取り、保管します。監査や万一の問い合わせのときに、対応の正しさを示す証拠になります。
台帳の更新 — 廃棄した端末を台帳から落とし(または「廃棄済み」と記録し)、実物と台帳を一致させます。

🛡️ セキュリティの視点 — 端末は「社外に出る会社の一部」

端末が怖いのは、会社の情報を持ったまま社外を歩き回る点です。オフィスのサーバーは物理的に守られていても、ノートPCやスマホは電車に置き忘れられ、カフェのWi-Fiにつながり、時に盗まれます。だから端末の守りは「境界の外」を前提に組み立てます。優先度の高い順に、①ディスク暗号化(拾われても中身を読めなくする。WindowsのBitLocker、Macのファイルボールト)、②紛失時のリモートロック/ワイプ(MDM)、③画面ロックとMFA、④アップデートの徹底。この4つは、一台の紛失や感染を「情報漏えい」に発展させないための基本セットです。感染がネットワーク全体へ広がる問題は、次章(第5章)のネットワーク分離と合わせて考えると効果が高まります。

まとめ

端末には調達 → 初期設定 → 運用 → 廃棄のライフサイクルがあり、各段階にリスクが潜む
機種・設定・手順の標準化と、キッティング手順書で「一台ずつの手作業」を減らす
MDM/EDRで全端末を可視化・遠隔管理。まずは持ち出す端末から。紛失時はリモートロック/ワイプ
アップデートは最重要のセキュリティ対策。各自任せにせず仕組みで期限内適用させる
BYODは「認めるか/認めないか」を明示。最悪なのはルールなしの黙認
廃棄・返却は初期化だけで安心せず確実に消去。証明を残し、台帳を更新する

演習(自社の点検)

問題 4-1

もし社員が社外でノートPCを紛失したら、今の自社では何が起きますか? ①中のデータは第三者に読まれてしまうか、②遠隔でロックや消去ができるか、③そもそも「紛失したらどうする」という手順は決まっているか——を確認してください。

考え方

この問いは、端末セキュリティの現在地を一発で映し出します。ディスク暗号化が有効なら、拾われても中身は読めず被害は大きく下がります。MDMがあれば遠隔ロック/ワイプで止血できます。手順が決まっていれば、社員も「まず情シスに即連絡」と動けます。3つのうち欠けているものが、優先的に手をつけるべき対策です。とくに暗号化は、多くの端末で設定を有効にするだけで済み、費用もほぼかからないのに効果が大きいため、真っ先に確認する価値があります。完璧な紛失対応制度がなくても、「暗号化+連絡先の周知」だけで初動は大きく改善します。

問題 4-2

自社のPCが「今どのくらい更新されているか」を把握できますか? 数台でよいので、OSとブラウザが最新かを実際に確認してみてください。遅れている端末があった場合、どうすれば全社的に更新を徹底できるでしょうか。

考え方

抜き取りで数台見るだけでも「実態」がつかめます。1台でも大きく更新が遅れていたら、他にも同様の端末が眠っている可能性が高いと考えるべきです。全社徹底の王道は、社員へのお願いに頼らず、MDMやOSの更新管理機能で「一定期間内に必ず適用」を仕組み化することです。ただし、いきなり全端末を強制更新すると業務が止まる不安もあるため、まずは「可視化(どの端末が遅れているか見えるようにする)」から始め、遅れが目立つ端末に個別対応しつつ、徐々に仕組み化へ移すのが現実的です。まず見える化、次に自動化、という順番を意識してください。

問題 4-3

過去に廃棄・返却したPCがあれば、そのデータがどう消去されたかを思い出してください。「消去した」と証明できますか? これから廃棄する端末について、確実な消去と証明を残す手順を考えてみましょう。

考え方

「たぶん初期化した」「業者に渡したが証明書は取っていない」という答えなら、それは改善点です。ポイントは、消去の確実性(初期化だけでは残る場合がある)と、証明の有無(後から「ちゃんと消した」と示せるか)の両方です。自社での完全消去が難しければ、データ消去証明書を発行してくれる専門業者への委託が現実的です。重要なのは、これを毎回の廃棄手順に組み込み、第2章の台帳と連動させて「いつ、どの端末を、どう処分し、証明はどこにあるか」を残す仕組みにすることです。単発の対応で終わらせず、廃棄フローとして定型化するのが一人情シスの負担軽減につながります。