BYODとは？会社の端末との違いと、認めるときの注意点を解説

テレワークでBYODを考えるとき、BYODは条件つきでなら使えますが、最初から広げるものではありません。重要な情報を広く扱う仕事や、端末を細かく見たい仕事では、会社の端末を優先したほうが安全です。

• BYODを認めやすい場面：用途を絞れ、端末条件と認証を決められるとき
• 避けたい場面：重要な情報を広く扱うとき、端末に保存しやすいとき
• 先に見る点：業務の範囲、使ってよい端末の条件、保存の可否、事故時の動き

BYODを認めやすいのは、仕事の範囲を絞り、使ってよい端末の条件を決め、認証や管理の仕組みを入れられる場合です。逆に、重要な情報を広く扱う仕事や、端末に保存しやすい仕事では、BYODを先に決めないほうが安全です。いちばん危ないのは、その前提を飛ばして「私物端末でも大丈夫ですよね」で済ませることです。

総務省の「テレワークセキュリティガイドライン 第5版」では、テレワーク方式ごとの考え方を整理しています。また、「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」は第3版（令和4年5月）として案内されており、専任の担当者がいないような中小企業等のシステム管理担当者向けに、まず確認すべき対策項目を整理しています。

つまり、BYODは最初から前提にするものではなく、条件が合う範囲で限定して選ぶものです。順番を逆にすると、コストを抑えるつもりが、管理しきれない運用を抱え込みます。

方式全体の違いを先に見たい場合は、テレワーク方式の比較を確認してください。BYODと組み合わせやすい方式や避けたい方式まで整理したい場合は、テレワーク方式の選び方をご覧ください。導入全体の進め方から見たい場合は、テレワーク導入の進め方もあわせて参照してください。

BYODとは

BYODは「Bring Your Own Device」の略で、従業員の私物PC、私物スマートフォン、私物タブレットなどを業務に使う考え方です。テレワークでは、自宅や外出先で使いやすいため候補に上がりやすい一方、会社が端末を持っていないため、設定、更新、保守、データの削除を会社主導でそろえにくくなります。

ここで誤解しやすいのは、「会社アカウントで入るのだから端末全体も会社の管理下だろう」という考えです。そうとは限りません。BYODでは、会社が管理できる範囲は業務アカウント、業務アプリ、仕事用の領域などに限られやすく、端末全体まで一律に管理できるとは限りません。私用アプリ、家族との共用、私用クラウド、個人バックアップ、古いOS、サポート切れ端末といった要素が残ります。ここが会社の端末との大きな違いです。

会社の端末との違い

大きな違いは、会社の端末は端末全体を見やすく、BYODは仕事で使う部分だけを見る形になりやすいことです。とくに差が出やすいのは、設定変更、更新、事故のときの動き、データを消す手順です。

会社の端末は端末全体を前提に管理しやすい

会社の端末なら、OS更新、ウイルス対策、暗号化、画面ロック、アプリ配布、USB制御、ログ取得、遠隔ワイプなどを会社主導で決めやすいです。端末そのものを会社が持っているため、どこまで管理するかを決めやすいです。

BYODは管理できる範囲が狭くなりやすい

BYODでは、会社が触れられるのは業務アプリや業務アカウント、仕事用の領域に限られることが多いです。従業員の同意がないと入れにくい機能もありますし、私用の領域まで踏み込めば反発が出ます。つまり、会社が管理できる範囲とできない範囲を先に分けて考える必要があります。

事故のときの動きも違う

会社の端末なら、紛失時に会社判断で停止、初期化、回収を進めやすいです。BYODでは、どこまで初期化してよいか、私用データに触れてよいか、従業員の同意をどう扱うか、といった問題が出ます。事故のときこそ差が大きくなります。

BYODのよい点

初期コストを抑えやすい

大きな利点は、端末の調達、配送、保守の負担を減らしやすいことです。少人数で試しやすく、スマートフォンでの確認や軽い承認だけを認める場合は、小さく始める方法として選びやすい面があります。

慣れた端末を使える

普段から使っている端末のほうが、基本操作で迷いにくいです。通知も見逃しにくく、短い確認や承認には向いています。営業や管理職のように、外で少しだけ確認したい人には使いやすい面があります。

クラウドや限定用途と組み合わせやすい

セキュアブラウザ方式や一部のクラウドサービス方式のように、端末全体を会社仕様にしなくても成り立ちやすい仕組みとは比較的組み合わせやすいです。ただし、これは他の方式より取り入れやすいという程度であって、何でも安全にできるという意味ではありません。

BYODで起こりやすい危険

端末の把握が甘くなりやすい

誰がどの端末を使っているか、OSは何か、サポートは切れていないか、共用端末ではないか。こうした情報が曖昧になりやすいです。使ってよい端末の台帳がないBYODは、管理していないのと大差ありません。

端末への保存を止めにくい

私物端末では、ローカル保存、私用クラウドとの同期、個人バックアップ、他アプリへの共有が起きやすいです。会社の端末なら止められることも、BYODでは止めきれないことがあります。

更新や防御の強さがそろいにくい

古いOS、サポート切れ端末、非公式アプリ、弱い画面ロック。こうした差がそのまま残ります。私物端末では、マルウェア対策ソフトの有無やOS更新の状況が端末ごとに分かれやすく、会社が同じ水準にそろえにくい点に注意が必要です。

事故のときに責任が曖昧になりやすい

紛失、誤送信、不正アクセスが起きたときに、会社と利用者のどちらがどこまで持つのかが曖昧になりやすいです。曖昧なまま始めると、事故時に揉めやすく、動きも遅れます。

BYODを認めるなら決めること

使ってよい端末の条件を決める

OSの版、暗号化、画面ロック、ウイルス対策、脱獄・root化の禁止、共用利用の禁止、紛失時の連絡義務など、最低条件を文書にします。「本人が気をつければよい」はルールではありません。

会社が見える範囲をはっきりさせる

MDMやMAMを入れるなら、会社が何を見られるのか、何を消せるのかを先に説明する必要があります。曖昧なまま入れると反発を招きますし、説明を省くと後で揉めます。

仕事のデータの扱いを絞る

私用メールへの転送禁止、私用クラウドへの保存禁止、スクリーンショットの扱い、印刷の扱い、退職時の削除確認などを決めます。技術で止めにくい部分ほど、文書で先に決めておく必要があります。

連絡の流れを決める

紛失、盗難、不審な通知、フィッシング画面、端末故障のとき、どこへいつ連絡するかを決めます。テレワークではその場で相談しにくいため、窓口が曖昧だと報告が遅れます。

ルール整備の全体像は、テレワークのルール整備とは？でも整理しています。

BYODを認めやすい場面

比較的認めやすいのは、メール確認、申請の承認、社内ポータルの閲覧、チャット確認のように、業務の範囲を絞りやすく、クラウドやブラウザ中心で完結しやすい使い方です。端末に重い業務データを残さずに済む場面のほうが、BYODの前提と合います。

一方、資料のローカル保存、専用アプリの常用、管理者権限を使う作業、周辺機器前提の仕事まで広げると、私物端末ごとの差がそのまま運用の重さになります。BYODを認めるなら、まず用途を絞って始め、広げる前に事故時の対応と管理機能が足りるかを確認するほうが安全です。

BYODを避けたほうがよい場面

まず、重要な情報を扱う仕事です。個人情報、設計情報、契約の原本に近いデータ、社外秘の重い資料などを私物端末へ載せるのは、かなり慎重であるべきです。

次に、専用アプリや多くの周辺機器を使う仕事です。私物端末ごとの差が大きく、サポートの負担も上がります。さらに、端末に保存することが前提になりやすい方式、とくにスタンドアロン方式との組み合わせも危ういです。管理しにくいもの同士を重ねる形になるからです。

また、会社として最低限の管理機能を入れられない場合も避けたほうがよいです。画面ロックすら強制できない、紛失時に停止できない、端末条件を確認できない。そこまでできないなら、会社が十分に管理できないままBYODを運用することになります。

方式ごとに見るBYODの注意点

VPN方式での注意

VPNは社内ネットワークへ広くつながるため、私物端末の状態が悪いとそのまま危険になります。社内と同等の作業ができる反面、端末保存やマルウェア混入の危険も大きいです。安易にBYODと組み合わせるべきではありません。詳しくは、テレワークのVPN方式とは？を確認してください。

リモートデスクトップ方式での注意

私物端末へデータ保存を抑えやすいのは利点ですが、認証情報の管理、のぞき見、画面転送先での情報露出、クリップボードやローカルドライブをどう扱うかまで決める必要があります。保存しないから安全、と単純には言えません。詳しくは、テレワークのリモートデスクトップ方式とは？を確認してください。

VDI方式での注意

VDIは端末にデータを残しにくく、BYODでも候補に上がりやすい方式です。ただし、私物端末の安全性を見なくてよいわけではありません。認証、画面転送時ののぞき見対策、クリップボードやローカルドライブの扱い、通信品質、運用コストまで含めて確認が必要です。端末に保存しにくいから、そのまま安心だとは言えません。詳しくは、テレワークのVDI方式とは？を確認してください。

クラウドサービス方式での注意

BYODと組み合わせやすい一方で、私用アプリや私用クラウドとの距離が近く、誤共有や誤保存が起きやすいです。アカウント分離、多要素認証、条件付きアクセスが重要です。詳しくは、テレワークのクラウドサービス方式とは？を参照してください。

スタンドアロン方式での注意

この組み合わせは危険が大きいです。私物端末へ会社データを直接保存する形になりやすく、削除確認も難しいからです。よほど条件がそろわない限り、避けたほうがよい組み合わせです。詳しくは、テレワークのスタンドアロン方式とは？をご覧ください。

セキュアブラウザ・セキュアコンテナ方式での注意

BYODでも比較的検討しやすい方式ですが、安全だと考えてよいわけではありません。私物端末側のOS更新、画面ロック、紛失時の停止、アプリ制御まで決めて、初めて運用できます。詳しくは、テレワークのセキュアブラウザ方式とは？やテレワークのセキュアコンテナ方式とは？も確認してください。

方式をまたいだ安全対策の考え方は、テレワークセキュリティの基本で整理しています。

まとめ

BYODは、条件つきでなら使えますが、最初から広げるものではありません。重要な情報を扱う仕事や、端末を細かく見たい仕事では、会社の端末を優先したほうが安全です。

使うなら、用途を絞り、端末の条件、認証、保存の扱い、事故時の動きまで先に決めておく必要があります。便利そうだから入れるのではなく、どこまでなら認められるかを先に決めることが大事です。

結局は、コストだけで決めないことです。使う仕事の範囲、扱う情報、会社がどこまで見られるかを見たうえで、会社の端末とBYODを使い分けるほうが安全です。

よくある質問

BYODは中小企業でも使えますか

使える場面はありますが、無条件ではありません。仕事の範囲を絞り、使ってよい端末の条件を決め、認証と管理を入れられることが前提です。コストだけを理由に入れると危険です。

BYODなら会社の端末は不要ですか

不要とは言えません。重要な情報を扱う仕事や、端末を細かく管理したい部署では、会社の端末のほうが向いています。BYODだけで全社運用を続けるのは難しいです。

BYODで必須の対策は何ですか

画面ロック、OS更新、暗号化、多要素認証、使ってよい端末の台帳、紛失時の連絡手順、業務アカウントを止める手順です。これらがないBYODは、ほぼ管理できていません。

BYODはどの方式と組み合わせやすいですか

比較的検討しやすいのは、クラウドサービス方式やセキュアブラウザ方式、場合によってはセキュアコンテナ方式です。ただし、何が合うかは、業務の範囲、端末に保存するかどうか、会社がどこまで管理できるかで変わります。

私物端末にMDMを入れると従業員に嫌がられませんか

嫌がられることはあります。だからこそ、会社が何を見て、何を見ないのかを明確に説明する必要があります。説明を避けると、導入後に信頼を失います。

BYODをやめる判断はいつ必要ですか

使ってよい端末の条件を守れない、事故が続く、重要なデータが増えた、管理機能を入れられない、現場の仕事が限定用途を超えた。こうした状況なら、BYOD前提を見直すべきです。

BYODで私物スマートフォンだけを認める運用はできますか

できます。ただし、メール確認や承認など用途を絞り、端末保存の制御、画面ロック、多要素認証、紛失時の停止手順を決めることが前提です。PCと同じ範囲の仕事をそのまま許可するのは危険です。

退職や異動のときは何を確認すべきですか

業務アカウントの停止、業務アプリの削除、業務データの削除確認、保存先の確認、セッション失効の実施を確認します。BYODでは端末を回収できないため、終わるときの確認手順が重要です。

BYODでMDMやMAMは必須ですか

必ずしも同じ強さで必要とは限りませんが、会社が端末条件を確認できない、業務データを消せない、アプリ制御ができない状態なら、BYODの危険は高くなります。限定用途でも、何を管理できるかは先に決める必要があります。

BYODで禁止しやすい仕事は何ですか

個人情報や設計情報など重要なデータを扱う仕事、管理者権限を使う仕事、専用アプリや周辺機器が必要な仕事、端末保存が前提の仕事は、BYODと相性がよくありません。

BYODと会社の端末を併用する運用はできますか

できます。実際には、重要な情報を扱う仕事や管理者権限を使う仕事は会社の端末に限定し、メール確認や承認など用途を絞った場面だけBYODを認める運用のほうが現実的です。全業務をどちらか一方にそろえるより、仕事の内容で切り分けたほうが管理しやすい場合があります。