BYODとは？企業導入のメリット・デメリットとCYOD・COPEとの違い、私物端末の管理範囲と費用負担

BYOD（Bring Your Own Device、読みはビーワイオーディー）は、従業員が私物のスマートフォンやPCを業務に使う運用です。会社は端末を買わずに済みますが、代わりに「私物のどこまでを会社が管理するか」「通信費を誰がどう払うか」「なくしたときに誰が何日以内に何をするか」を決めなければなりません。この記事では、CYOD・COPEとの違いを押さえたうえで、総務省のテレワークセキュリティガイドライン、国税庁のFAQ、AppleとGoogleとMicrosoftの公式ドキュメントに沿って、企業がBYODを導入するかどうかを判断する材料を整理します。

まとめ：BYOD導入の判断と、先に決める管理範囲・費用・紛失時の対応

• BYODは端末の所有者が従業員です。会社が端末を所有し機種を選ばせるCYODや、会社所有で私的利用を認めるCOPEとは、端末費用の負担者が異なり、会社が消去できる範囲は採用する管理方式にも左右されます。
• 総務省のテレワークセキュリティガイドライン（第5版）は、私用端末ではデータ保存の制限やマルウェア対策ソフトの強制ができないことを前提に、方式ごとにBYODの条件を書き分けています。リモートデスクトップ方式とVDI方式は端末へのデータ保存を制限・禁止する必要があり、VPN方式などはリスクを評価したうえで可否を決めるとしています。
• iPhone・iPadのアカウント主導型ユーザ登録、Androidの仕事用プロファイル、IntuneのアプリごとのMAMを使えば、会社は業務データだけを管理し、私的な領域には触れません。この範囲を規程に書いて従業員に示すことが、BYODを定着させる前提になります。
• 通信費は、渡切りの手当にすると給与課税の対象です。国税庁FAQの算式（月額×在宅勤務日数÷その月の日数×1/2）などで業務使用分を合理的に計算して支給すれば、課税しなくて差し支えありません。常時10人以上の労働者を使用する事業場では、従業員に費用を負担させる定めを就業規則に記載する義務があります（労働基準法第89条第5号）。
• 顧客の個人データが入った私物端末を紛失し、報告対象の事態に当たれば、個人情報保護委員会への速報（目安は概ね3〜5日以内）と確報（原則30日以内）が必要です。高度な暗号化等により第三者が読み取れず、復号の手段も適切に管理されているなど、報告対象から除外される要件を満たす場合は報告を要しません。

以下では、用語の違い、メリットとデメリット、総務省ガイドラインの方式別の扱い、管理できる範囲、費用と税務、紛失時の対応、規程の作り方の順に見ていきます。

BYODの意味と、CYOD・COPE・COBOとの違い

BYODは、個人が所有する端末を会社の業務に使うことです。総務省のテレワークセキュリティガイドライン（第5版）も用語解説で「個人所有端末を業務に利用すること」と定義しています。米国のNISTは、テレワークとリモートアクセスの指針SP 800-46 Rev.2（2016年7月）で組織支給端末とBYOD端末の双方を保護の対象にしており、モバイル端末管理の指針SP 800-124 Rev.2（2023年5月）でも、組織支給と個人所有の両方の利用形態を適用範囲に含めています。

比較されるのは、会社が端末を所有する方式です。サムスンのKnoxの解説では、CYOD（Choose Your Own Device）は組織が用意した承認済み端末の一覧から従業員が選ぶ方式、COPE（Company Owned, Personally Enabled）は組織が所有・設定したうえで限定的な私的利用を認める方式、COBO（Company Owned, Business Only）は会社所有端末を業務利用だけに限る方式と定義されています。

※BYODは業務領域を分離する管理方式、会社所有端末は端末全体を管理する方式を採用した場合の例です。実際の消去範囲は登録方式と製品の設定で決まります。

実務上の分かれ目は最右列です。会社所有端末でも、遠隔初期化には対応する管理方式の設定が必要です。BYODでは私的データの誤消去を避けるため、業務データだけを削除できる方式を選び、消去の対象と条件を規程で定めます。この違いが、後述する管理方式の選び方と規程の書き方をほぼ決めます。

なお、会社が許可していない私物端末やクラウドサービスを従業員が勝手に業務に使う状態は、BYODではなく「シャドーIT」と呼ばれます。両者の線引きはシャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策で扱っています。

企業がBYODを導入するメリットとデメリット

メリット：端末調達の削減と2台持ちの解消

会社側の利点は、端末の購入費と更新費を減らせることです。社員数分のスマートフォンを買い、数年ごとに入れ替える負担が小さくなります。故障や紛失のときに業務を止めないための予備機を持つ運用なら、その分の調達は残ります。従業員の側は、使い慣れた1台で業務連絡も私用も済むため、会社支給のスマートフォンと私物の2台を持ち歩かずに済みます。

ただし、端末代がそのまま浮くわけではありません。通信費の補助、業務アプリやMDMのライセンス、規程の整備と問い合わせ対応の工数が新たに発生します。「端末を買わないからコストが下がる」とだけ見積もると、導入後に想定外の運用費が出ます。

デメリット：会社の統制が届かない範囲とプライバシーの摩擦

セキュリティ上の課題は、支給端末と同じ管理方式や制限を私物端末に適用しにくいことです。総務省のガイドラインは、個人所有端末ではデータを端末に保存できてしまうことや、マルウェア対策ソフト等のインストールを強制できないことを挙げ、「十分なセキュリティ統制が取れません」と書いています（第5版31頁、VPN方式の節）。

従業員のプライバシーとの摩擦も起きます。会社に私物の中身を見られるのではないかという不安から、端末の登録を拒む従業員が出ます。勤務時間外に業務の通知が届き続ける問題もあります。いずれも技術と規程の両方で手当てが必要で、次の章以降で順に扱います。

総務省テレワークセキュリティガイドラインに見る、方式別のBYODの扱い

総務省のテレワークセキュリティガイドライン（第5版・令和3年5月）は、テレワークのシステム構成を7つの方式に分け、方式ごとに「BYOD利用について」という項を設けています。方式の特性比較は、支給端末と個人所有端末（BYOD）の両方を想定して評価していますが、VPN方式・クラウドサービス方式・スタンドアロン方式の3つはメリットが大きい支給端末を想定しているとの注記があります（27頁）。各方式のBYODの項は、条件の厳しさで次の3群に分かれます。

リモートデスクトップ方式とVDI方式は、画面だけを手元に転送する構成なので、データ保存を禁止すればBYODとの相性がよい方式です。いずれもBYOD利用のルール策定、端末に必要なセキュリティ対策が施されていることの確認、BYOD端末の管理もあわせて求められています。セキュアブラウザ方式は、製品によってデータが削除されるタイミングが違い、使い方によっては意図せずデータが端末に残るおそれがあると注意されています。

反対に、社内ネットワークにそのままつなぐVPN方式、端末にデータを置いて持ち歩くスタンドアロン方式、クラウドサービスに直接アクセスする方式は、私物端末では「十分なセキュリティ統制が取れません」とされ、インシデントのリスクが受容可能かを評価したうえでBYODの可否を決めるよう書かれています。スタンドアロン方式では、USBメモリを介して私物端末から支給端末へマルウェアが広がるおそれも指摘されています（50〜51頁）。

VDIを使えば私物端末の対策は要らない、とは言えません。ガイドラインは、2020年5月に個人所有端末から正規のアカウントとパスワードを盗まれ、VDI経由で社内のファイルサーバを閲覧されたおそれがある事案を紹介し、VDIは端末経由の直接的なデータ持ち出しを制限できても閲覧による情報流出は防げないとしています（103頁）。私物端末側のマルウェア対策と多要素認証は、どの方式でも外せません。方式そのものの違いはリモートデスクトップとは？仕組み・VPN/VDIとの違いと設定手順・企業導入の判断【2026年版】で比較しています。

私物端末で会社が管理できる範囲、iPhone・Android・Intuneの業務領域分離

BYODでは、私的データを保護するため、業務の領域を分離して管理できる方式を選ぶことを推奨します。主要な仕組みはOSごとに用意されており、いずれも会社から私的な領域が見えない設計になっています。規程で「会社が見るもの・見ないもの」を示すときの根拠にそのまま使えます。

iPhone・iPad：アカウント主導型ユーザ登録で会社ができないこと

Appleは、私物のiPhone・iPad向けに「アカウント主導型ユーザ登録（account-driven User Enrollment）」という登録方式を用意しています。Appleの導入ガイドの比較表では、この方式のMDMは管理対象データの遠隔消去や管理対象アプリのインストールはできる一方、シリアル番号などの端末固有の識別子の照会、すべてのアプリの一覧の照会、端末のすべてのコンテンツと設定の遠隔消去、ソフトウェアアップデートの強制はできません。アカウント主導型デバイス登録、プロファイルベースのデバイス登録、自動デバイス登録では、これらはいずれも可能です。私物の端末でもデバイス登録の方式を選べば端末全体を消去できてしまうため、BYODではユーザ登録を指定しておく必要があります。

つまり、ユーザ登録で私物のiPhoneを登録しても、紛失時に会社が消せるのは業務アプリとそのデータだけで、写真や私用アプリは残ります。従業員への説明では、Appleの公式比較表と採用するMDMの仕様を照合し、実際に取得する情報と実行できる操作を示します。

Android：個人所有端末の仕事用プロファイル

Androidでは、Android Enterpriseの仕事用プロファイルが同じ役割を担います。個人所有の端末に仕事用プロファイルを作ると、業務アプリはそのプロファイルの中に入り、Googleのヘルプは「個人用のアプリ、データ、利用状況の詳細は組織から見えず、アクセスもできない」と説明しています。退職時は仕事用プロファイルだけを削除すれば、私的なデータには影響しません。一方で、組織が取得・記録する端末上のデータの詳細は、仕事用プロファイルの設定時に入れるDevice Policy Controllerアプリと利用規約で示されます。従業員には「個人用アプリの中身は見えない」ことと、「何のデータが取得されるか」を分けて説明します。

IntuneのMAM：MDM登録なしのアプリ保護と選択的ワイプ

MDMへの端末登録を避けたい場合は、アプリ単位で守る方法があります。ただし、AndroidでMicrosoft 365アプリにMAMを適用する場合は、Microsoft Entraへのデバイス登録が必要です。Microsoft Intuneのアプリ保護ポリシー（MAM）は、端末をMDMに登録しなくても、Outlookなどの対応アプリで企業データへのアクセスと共有を制御できます。たとえば業務アプリから私用アプリへのコピーを禁止できます。紛失時や退職時に使う「選択的ワイプ」は、対象アプリから会社のデータを削除する操作であり、端末全体の初期化ではありません。

選び方の目安は次のとおりです。メールやチャット、ファイル閲覧が中心で、利用アプリがMAMに対応し、必要な制御を満たせる場合は、MDM登録を省く構成を検討できます。保護対象外のアプリからのアクセスを防ぐため、条件付きアクセスも組み合わせます。業務アプリの配布、VPNやWi-Fiの設定配布、パスコードの強制まで必要ならユーザ登録または仕事用プロファイルを使います。MDM・EMM・UEMの違いと製品の選び方はMDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】で整理しています。

BYODの費用負担と税務、通信費の業務使用分の計算

就業規則に書くべき費用負担のルール

常時10人以上の労働者を使用する事業場で、通信費や端末の費用を従業員に負担させる定めをする場合は、労働基準法第89条第5号により、その内容を就業規則に記載しなければなりません。厚生労働省のテレワークガイドラインも、費用の負担者、会社負担の限度額、請求方法などを労使で事前に話し合ってルールを決め、就業規則等に規定しておくことが望ましいとしています。「私物だから費用は本人持ち」と口頭で済ませるのは、手続きとして不十分です。テレワーク全般の費用負担の決め方はテレワークの労務管理とは？就業規則・労働時間・費用負担の決め方【2026年】で解説しています。

国税庁FAQの算式で計算する通信費の非課税部分

国税庁の「在宅勤務に係る費用負担等に関するFAQ（源泉所得税関係）」（令和8年4月1日更新）は、在宅勤務で従業員が負担した通信費の扱いを示しています。精算を伴わない渡切りの在宅勤務手当（例として毎月5,000円）は、給与として課税されます（問1）。業務で使った部分を合理的に計算して支給する場合は、課税しなくて差し支えありません（問6）。

基本使用料やデータ通信料の業務使用分は、次の算式で計算できます。

1/2という係数は、1日24時間から睡眠8時間を除いた16時間のうち、法定労働時間の8時間が占める割合から来ています。FAQは、より精緻な方法で業務分を算出して支給する場合も課税しなくて差し支えないとしています。一方で、この算式はあくまで在宅勤務日数を基準にした例示です。外回りの営業担当が私物スマートフォンを使う場合のように在宅勤務以外で使うなら、通話明細や利用実績で業務分を計算できる精算方法を規程で決めておくほうが確実です。

私物端末の紛失・盗難時の対応と個人情報保護法の漏えい等報告

BYODで想定すべき事故の一つが、端末の紛失です。私物端末に顧客の個人データが入っていた場合、個人情報保護法の漏えい等報告の対象になりえます。個人情報保護委員会のガイドライン（通則編）は、要配慮個人情報を含む場合や本人の数が1,000人を超える場合などを報告対象事態とし、事業者がその事態を知ったときは速やかに報告するよう求めています。速報の目安は知った時点から概ね3〜5日以内、確報は知った日を1日目として30日以内（不正の目的による漏えい等は60日以内）です。土日・祝日も数えますが、期限が土日・祝日・年末年始閉庁日に当たる場合は、次の開庁日が期限となります。

ここで効くのが暗号化です。同ガイドラインは、漏えい等が起きた、または起きたおそれがある個人データに高度な暗号化等の秘匿化がされているなど、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合は、報告を要しないとしています。暗号化をしているだけでは足りません。委員会のQ&A（Q6-19）は、復号の手段が適切に管理されていることも求め、その例として、復号鍵を暗号化した情報と分離して漏えいを防ぐこと、遠隔操作で暗号化した情報か復号鍵を削除できること、第三者が復号鍵を使えない設計であることのいずれかを挙げています。業務データを遠隔消去できる前章の方式は、2番目の要件を満たす手段にもなります。BYODの規程では、端末の暗号化とパスコードの設定を登録の条件にし、業務データは前章の業務領域の中にだけ置く運用にしておくと、紛失時の判断がしやすくなります。

対応の手順として規程に書いておくべきなのは、従業員が紛失に気づいてから会社へ連絡するまでの期限、連絡先、会社が実行する操作（業務データの遠隔消去、アカウントのサインアウトとパスワードの変更）の3点です。報告期限の起算点は、法人であれば「いずれかの部署が当該事態を知った時点」とされています。従業員の連絡が遅れれば、その分だけ会社の対応時間が削られます。また、報告対象事態では本人への通知も原則必要なため、委員会への報告と併せて担当者と通知手順を定めます。

BYOD規程に書く項目と導入の進め方

BYOD規程は、セキュリティの技術要件だけでなく、従業員が登録に同意できるだけの説明を含めて作ります。最低限、次の項目を文書にします。

• 対象者と対象業務：どの部署のどの業務で私物端末を使ってよいか。
• 登録条件：OSの最低バージョン、パスコードと暗号化の設定、登録方式（ユーザ登録・仕事用プロファイル・MAM）。
• 会社が見る範囲と見ない範囲：前章の各方式で会社が取得・操作できることとできないこと。
• 費用負担：通信費の精算方法と上限、端末の故障・修理の扱い、就業規則との対応。
• 時間外の扱い：勤務時間外の業務連絡への応答義務の有無、通知の停止方法。
• 紛失・退職時の手順：連絡期限、業務データの消去、退職時の登録解除。

進め方は、対象業務の選定と方式の決定、規程と同意書の作成、一部の部署での試行、全社展開の順が基本です。試行では、登録を拒否した人の理由と、問い合わせの内容を集めておくと、全社展開前に規程の説明不足を直せます。テレワークで生じるリスクの全体像と優先順位はテレワーク導入企業が直面するセキュリティリスクの全体像と優先度整理で扱っています。

BYODを採用すべきでない業務の条件

次のどれかに当たる業務は、BYODではなくCYODかCOPEの支給端末にするべきです。一つ目は、要配慮個人情報や大量の顧客データを端末側に保存しないと成り立たない業務です。紛失時の報告対象になりやすく、暗号化の要件を従業員の私物で担保し続けるのは困難です。二つ目は、オフラインで端末にデータを置いて作業する業務です。総務省のガイドラインでスタンドアロン方式は支給端末を想定しており、BYODでは統制が取れないとされています。三つ目は、端末全体の設定を会社が強制しなければならない業務で、たとえばOSのアップデートを期日までに強制したい場合がこれに当たります。ユーザ登録の比較表でも、ソフトウェアアップデートの強制はユーザ登録の管理範囲に入っていません。

逆に、メール、チャット、スケジュール、社内ポータルの閲覧が中心で、対応アプリとアクセス制御によって必要な保護要件を満たせる業務は、BYODの利点を得やすい領域です。私物端末の接続元を毎回検証する考え方はゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説で説明しています。

よくある質問

BYODとは簡単に言うと何ですか？

従業員が自分で持っているスマートフォンやタブレット、PCを、会社の業務にも使う運用のことです。Bring Your Own Deviceの略で、「自分の端末を持ち込む」という意味です。会社は端末を買わずに済む代わりに、業務データの管理方法、通信費の精算、紛失時の対応をあらかじめ規程で決めておく必要があります。

BYODとCYODの違いは何ですか？

端末の所有者が違います。BYODは従業員の私物を使い、CYODは会社が用意した承認済み端末の一覧から従業員が機種を選び、端末は会社が所有します。初期化できる範囲は管理方式によって異なります。BYODでは、ユーザ登録など業務領域だけを消去できる方式を選び、私的データを保護する運用が適しています。

BYOD端末の読み方は？

「ビーワイオーディー」と、アルファベットを1文字ずつ読むのが一般的です。英語のBring Your Own Deviceの頭文字をとった略語で、日本語では「私物端末の業務利用」「個人所有端末の業務利用」と言い換えられます。

会社は私物のスマートフォンの中身を見られますか？

iPhone・iPadのアカウント主導型ユーザ登録やAndroidの仕事用プロファイルで登録した場合、会社が管理できるのは業務用の領域だけです。Appleの比較表では、ユーザ登録のMDMはすべてのアプリの一覧もシリアル番号も照会できず、端末全体の消去もできません。Androidでも、個人用のアプリやデータ、利用状況は組織から見えないと説明されています。

BYODの通信費を会社が払うと課税されますか？

払い方で変わります。毎月定額を渡しきりで支給する手当は給与として課税されます。国税庁FAQの算式（月額×在宅勤務日数÷その月の日数×1/2）など合理的な方法で業務使用分を計算して支給するか、通話明細で確認した業務通話料を支給する場合は、課税しなくて差し支えありません。端末本体の購入代金を会社が負担すると課税対象です。

関連記事

• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】
• シャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策
• テレワークの労務管理とは？就業規則・労働時間・費用負担の決め方【2026年】
• テレワーク導入企業が直面するセキュリティリスクの全体像と優先度整理
• リモートデスクトップとは？仕組み・VPN/VDIとの違いと設定手順・企業導入の判断【2026年版】