リモートワークの端末管理：MDM・VDI・ゼロトラストの選び方と持ち出し端末のルール

リモートワークの端末管理で最初に決めるのは、製品名ではなく「業務データを社外の端末に残すかどうか」です。残す前提ならMDMで端末そのものを統制し、残さない前提ならVDIやセキュアブラウザで端末を画面の窓口に変えます。この記事では、総務省のテレワークセキュリティガイドライン第5版が示す7つのテレワーク方式と特性比較をもとに、MDM・VDI・ゼロトラスト型構成の選び分けを整理しました。あわせて、端末台帳・ディスク暗号化・紛失時の遠隔ワイプといった持ち出し端末の運用ルールと、従業員規模ごとの判断基準を示します。

まとめ：リモートワークの端末管理はデータの置き場所で方式を決めて台帳とルールを先に整える

会社支給のPCで業務データを手元に保存させるなら、MDMでディスク暗号化・パッチ適用・遠隔ワイプを強制する構成が基本線になります。端末にデータを残したくない、または私物端末を使わせるなら、VDI・リモートデスクトップ・セキュアブラウザのいずれかで画面だけを転送します。

どちらを選んでも、端末台帳と紛失時の初動手順が無ければ統制は崩れます。製品の比較より先に、台帳の項目と規程を決めてください。Microsoft 365を使っている組織なら、Intuneの準拠状態をEntra IDの条件付きアクセスに組み込み、管理外の端末からのサインインを止める構成まで進めると、VPN頼みの境界防御から一段抜けられます。

リモートワークで管理する端末の範囲と総務省ガイドライン第5版が求める端末対策

端末管理の範囲は「誰が所有し、どこにデータを置くか」で変わります。攻撃の侵入口や場所ごとのリスクはテレワークのセキュリティ対策と総務省ガイドライン第5版の要点で扱っているので、ここでは管理の手段に絞ります。

会社支給PC・社用スマホ・私物端末で変わる管理の届く範囲と規程で決める線引き

会社支給のPCと社用スマホは、OSの設定・アプリの導入・初期化まで会社が決められます。私物端末は事情が違います。端末全体を初期化する権限を会社が持つことに、従業員の同意を得にくいからです。

そのため私物端末では、業務アプリと業務データの領域だけを管理するか、VDIなどで端末にデータを置かせない方式に寄せるのが一般的です。私物を使わせる場合の管理範囲・費用負担・紛失時の扱いは、BYODの管理範囲と費用負担の決め方で規程の書き方まで整理しています。

総務省ガイドラインの資産・構成管理とデータ保護に並ぶ端末対策の基本と発展

総務省のテレワークセキュリティのページで公開されているガイドライン第5版（2021年5月公表）は、対策を13の分類・98項目に整理し、「基本対策」と「発展対策」に分けています。端末管理に直結するのは「資産・構成管理」と「データ保護」の2分類です。

基本対策には、テレワーク端末の台帳整備、端末にデータを保存する場合の記録媒体レベルの暗号化、紛失・盗難に備えたMDM等の導入と遠隔でのデータ・アカウント初期化、位置情報を検知する仕組みの導入が並びます。一方、未許可アプリのインストールを端末管理ツールで制限する措置や、暗号化を強制して利用者が設定を変えられないようにする措置は発展対策の扱いです。専任の担当者がいない中小企業向けには、テレワークセキュリティの手引き（チェックリスト）第3版（2022年5月）も公開されています。

端末管理の手段を業務データが端末に残るかで比べるMDM・VDI・セキュアブラウザ

手段の選び分けは、ガイドラインの方式分類に沿うと迷いにくくなります。

総務省の7方式を端末に業務データが残るかどうかで2群に分けたときの特性比較

テレワークセキュリティガイドライン第5版の第3章は、テレワーク方式を7種類に整理し、「セキュリティ統制の容易性」「システム導入コスト」など5つの軸でS〜Dの4段階評価を付けています。端末管理の観点で並べ直すと次のとおりです。

上の3方式は端末側にデータが残るため、端末そのものの統制、つまりMDMによる暗号化と遠隔ワイプが運用上の前提です。下の4方式は端末を「画面の窓口」として使うので、端末管理の負担は軽くなる代わりに、サーバー側の基盤とネットワークに費用が移ります。VDIは統制の容易性がSと最も高い一方、導入コストはCで「高額なシステム導入が必要」と評価されています。

MDMで端末そのものを統制する方式が向く会社支給PC中心の組織と管理の限界

MDMが向くのは、会社支給のPCとスマホでVPN方式かクラウドサービス方式を使い、端末に業務ファイルが残る組織です。OSのパッチ適用状況の把握、BitLockerやFileVaultによるディスク暗号化の強制、パスワード設定の強制、紛失時の遠隔ロックとワイプを1つの管理画面から実行できます。MDMの定義や管理できる項目の範囲はMDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違いで詳しく解説しています。

限界もはっきりしています。遠隔ワイプは端末がネットワークにつながってから届くため、電源を切られたまま持ち去られた端末には即効性がありません。そのため、ディスク暗号化を先に強制しておくことが紛失対策の本体であり、ワイプは後追いの手段と位置づけます。

VDIやセキュアブラウザで端末にデータを置かせない方式の費用と操作性の代償

VDIやリモートデスクトップは、私物端末を使わせたい場合や、個人情報・設計図面のように端末に1ファイルも残したくない業務で効果を発揮します。端末を紛失しても、端末側には画面の転送データしか無いからです。

代償は通信と費用です。ガイドラインの特性比較では、VDIとリモートデスクトップの「通信集中時の影響度」はいずれもC（影響を受けやすい）とされています。全社員が朝9時に一斉接続する働き方では、帯域とサーバーの容量を見積もらないと業務が止まります。セキュアブラウザはオフィス業務の再現性がC（メールや資料閲覧に限定）なので、閲覧中心の職種に限って使う方式です。自席PCに接続する構成の仕組みとVDIとの違いはリモートデスクトップとは？仕組み・VPN/VDIとの違いで比較しています。

ゼロトラスト型の端末管理：MDMの準拠状態を条件付きアクセスへつなぐ構成と展開順

MDMで端末を管理していても、管理外の私物PCから同じIDとパスワードでクラウドにサインインできるなら、統制には穴が開いたままです。ゼロトラスト型の構成では、端末の状態をサインインの条件に組み込んでこの穴を塞ぎます。考え方の全体像はゼロトラストとは？境界型防御との違いと導入判断にまとめています。

端末の準拠状態をサインイン条件にするIntuneとEntra IDの連携の流れ

Microsoft 365の環境では、Intuneの「コンプライアンスポリシー」で暗号化の有無やOSの最低バージョンなどの条件を定め、満たした端末に「準拠」の印を付けます。そのうえでMicrosoft Learnの条件付きアクセスでデバイスのコンプライアンスを要求する手順に沿って、Entra IDの条件付きアクセスに「デバイスは準拠としてマーク済みである必要があります」という許可条件を設定します。

これで、Intuneに登録されていない端末や、暗号化が外れた端末からのサインインは拒否されます。同じページには、Intuneでコンプライアンスポリシーを作らないままこの条件を有効にすると意図どおりに動かない旨の警告があるため、順番を守ってください。ID基盤と業務システムの認証を連携させる設計から相談したい場合は、認証基盤・ID管理システム開発のページで対応範囲を紹介しています。

レポート専用モードから始める段階展開と緊急アクセス用アカウントの除外設定

条件付きアクセスは、いきなり全員に「オン」で適用しないことが鉄則です。Microsoftの手順でも、ポリシーを作成したらまず「レポート専用」で有効化し、影響を確認してから「オン」に切り替える流れになっています。

除外の設定も忘れられがちです。設定を誤って全管理者が締め出される事態に備え、緊急アクセス用のアカウントと、ディレクトリ同期などに使うサービスアカウントは対象から外します。レポート専用の期間に「準拠していない端末で毎日サインインしている利用者」を洗い出し、端末の登録を済ませてから本適用に進むと、適用当日の問い合わせを抑えられます。

持ち出し端末の運用ルール：台帳・暗号化・紛失時の初動と廃棄で規程に書く項目

ツールを入れても、規程と手順が無ければ紛失時に誰も動けません。この章は規程に書き写せる粒度で整理します。

端末台帳に記録する6項目と棚卸しの頻度を利用状況の変化に合わせて決める方法

ガイドラインの資産・構成管理の基本対策では、台帳で把握する利用状況として、シリアルナンバー、OS種別・バージョン、使用アプリケーション、パッチ適用状況、利用者、所在の6つを挙げています。リモートワークでは「所在」が自宅住所や出張先に広がるため、貸与日と返却予定日も足しておくと棚卸しが楽になります。

棚卸しの頻度は、入退社と異動の多さで決めます。MDMや資産管理ツールで自動収集できる項目は日次で更新されるので、人手で確認するのは「所在」と「利用者」の2項目に絞れます。ツールの選び方はIT資産管理ツールの選び方：台帳・ライセンス・持ち出し統制の要件分解を参照してください。

紛失・盗難時の初動手順：報告からアカウント停止と遠隔ワイプまでの実行順

紛失時の初動は、手順を番号付きで規程に書いておきます。順番を誤ると、ワイプで証跡が消えたり、乗っ取られたアカウントが動き続けたりします。

1. 利用者が気付いた時点で、時刻・場所・端末の台帳番号を情報システム担当へ報告する
2. 担当者が該当ユーザーのサインインセッションを無効化し、パスワードをリセットする
3. MDMで端末を遠隔ロックし、位置情報が取れるなら記録する
4. 発見の見込みが無い、または機密情報が保存されていた場合に遠隔ワイプを実行する
5. 個人情報が含まれていたかを判断し、報告義務の有無を確認する

Intuneの場合、Microsoft Learnのデバイスをワイプする手順によると、Windowsでは「電源が切断されてもワイプを続行する」オプションを選べます。ただし端末が回復不能になる場合があるとされ、会社所有で回復手順を用意した端末に限る扱いです。テナント全体で1日あたり最大500件というワイプの上限もあるので、大量の端末を一度に初期化する計画では事前に確認が要ります（2026年10月時点の記載）。社用携帯に絞った紛失時の対応は、社用携帯を紛失したときの初動手順：遠隔ロック・回線停止・報告の順番とMDMの備えで整理しています。

自宅・カフェでの利用ルールと端末廃棄時のデータ消去で抜けやすい規程の項目

利用場所のルールでは、公衆Wi-Fiへの接続可否、のぞき見防止フィルターの装着、家族との端末共用の禁止を明記します。USBメモリなどのリムーバブルメディアは、ガイドラインの基本対策どおり「業務上の必要性が認められたものに限定」と書き、許可制にします。

見落とされやすいのが廃棄と返却です。ガイドラインは、通常のフォーマットや初期化だけでは専門技術で復元できると注意したうえで、データ消去専用ソフトウェアの使用や物理破壊を求めています。退職者から回収した端末を再配布する場合も、MDMからの登録解除と初期化の手順を台帳の項目に入れておくと漏れません。

方式選定の判断基準：従業員規模と業務内容でMDM単独・VDI併用・見送りを決める

ここからは、どの組織にどの組み合わせを勧めるかを条件付きで言い切ります。

50人未満で会社支給PC中心ならMDMと条件付きアクセスで足りると判断できる条件

従業員50人未満で、全員に会社支給PCを配り、業務の中心がMicrosoft 365やGoogle Workspaceなどのクラウドサービスである組織は、VDIを入れずにMDMと条件付きアクセスで足ります。端末側に残るデータは暗号化で守り、管理外端末からのサインインはIDの側で止める構成です。

この規模でVDIを入れると、基盤の運用だけで担当者1人分の工数が消えます。導入の進め方はMDM導入の手順と失敗例：端末棚卸しから段階展開までの6工程で、端末の棚卸しから段階展開まで追えます。

VDIを入れるべき業務と、入れても通信集中や操作性で失敗する業務の見分け方

VDIを入れるべきなのは、私物端末での業務を認める組織と、顧客の個人情報や未公開の設計情報を扱い「端末に残さない」ことを取引先から求められている業務です。この2つに当てはまらないなら、VDIは過剰投資と判断します。

入れても失敗しやすいのは、CADや動画編集のように画面描画の負荷が高い業務と、Web会議を長時間つなぎっぱなしにする職種です。画面転送と会議の通信が同じ回線に重なり、操作の遅延が業務に直結します。こうした職種だけは会社支給の高性能PCとMDMの組み合わせに切り出し、VDIは事務系の職種に限る併用構成が現実的です。

端末管理ツールを入れず台帳とルールで回す判断が妥当な小規模組織の条件

従業員10人前後で、扱う情報に個人情報や営業秘密がほぼ無く、リモートワークが週1日程度に限られるなら、MDMを入れずに台帳とルールで始める判断も妥当です。その場合でも、OS標準のディスク暗号化を全台で有効にし、端末を探す機能（Windowsの「デバイスの検索」やAppleの「探す」）をオンにする2点は外せません。

ただし、端末が20台を超えた時点、または私物端末の利用を認めた時点で、手作業の台帳は更新が追いつかなくなります。そこがMDM導入に切り替える目安です。

よくある質問

リモートワークの端末管理を検討する段階で寄せられやすい質問に答えます。

リモートワークの端末管理にMDMを入れれば総務省ガイドラインの対策は足りますか？

足りません。MDMが直接カバーするのは、資産・構成管理とデータ保護の一部、つまり台帳の自動収集・暗号化の強制・遠隔ワイプなどです。ガイドラインはこのほかに、アカウント・認証管理、アクセス制御、インシデント対応、教育など計13分類の対策を挙げています。MDMは端末の分類を埋める道具と捉え、規程と教育は別に整えてください。

私物端末をリモートワークに使わせる場合も会社がMDMで管理してよいのですか？

技術的には可能ですが、端末全体を管理する形で登録すると、初期化の権限や位置情報の取得に従業員の抵抗が出やすくなります。私物端末では、業務アプリと業務データだけを管理するMAM（モバイルアプリケーション管理）や、端末にデータを残さないVDIを選ぶのが一般的です。選び方はMDMとMAMの違い：私物端末でMAMを選ぶ条件で比べています。

VPNを使っていればリモートワーク端末の管理ツールは不要と考えてよいですか？

不要にはなりません。VPNが守るのは通信経路で、端末に保存されたファイルや、パッチが当たっていない端末そのものは守れません。ガイドラインの特性比較でも、VPN方式の「セキュリティ統制の容易性」はC（データ管理とセキュリティ統制が必要）です。VPN方式を採る場合ほど、端末側の暗号化とパッチ管理を強制する仕組みが必要になります。

MDMとIT資産管理ツールはリモートワーク端末の管理でどう使い分ければよいですか？

MDMは端末に設定を強制し、遠隔でロックやワイプを実行する道具です。IT資産管理ツールは、ソフトウェアのライセンスやハードウェアの台帳、操作ログの収集を得意とします。スマホを含めて遠隔で統制したいならMDM、PCのライセンス管理や操作ログの監査が主目的ならIT資産管理ツールが軸になります。両方の機能を1製品で備える製品も増えているため、台帳の6項目とワイプの要否から必要な機能を先に決めてください。

紛失した端末がオフラインのままだと遠隔ワイプはいつ実行されるのですか？

ワイプの命令は、端末がネットワークにつながり、MDMのサーバーと通信した時点で届きます。電源が切られたまま、あるいは通信を遮断されたままなら、命令は実行されません。だからこそ、ディスク暗号化を全台で強制し、端末を開かれても中身を読めない状態にしておくことが先です。紛失の報告を受けたら、ワイプを待たずにアカウントのセッション無効化とパスワードリセットを済ませてください。

関連記事

• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】：MDMの定義と管理できる範囲、EMM・UEMとの違いを解説しています。
• テレワークのセキュリティ対策｜侵入経路の実態と場所別のリスク、総務省ガイドライン第5版の要点：テレワークで狙われる侵入口と場所別のリスクを整理しています。
• BYODとは？企業導入のメリット・デメリットとCYOD・COPEとの違い、私物端末の管理範囲と費用負担：私物端末を使わせる場合の規程と費用負担をまとめています。
• MDM導入の手順と失敗例：端末棚卸しから段階展開まで情シスが進める6工程：MDMを入れると決めた後の導入作業を6工程で示しています。
• テレワークの労務管理とは？就業規則・労働時間・費用負担の決め方【2026年】：端末の費用負担を含む就業規則側の決め方を扱っています。