法人スマホのアプリ利用ルール｜許可・禁止・更新

公的な目安：公式ストア以外から入れない

総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」第3版では、スマートフォンなどにアプリを入れる場合は公式アプリケーションストアを使うよう従業員に周知することが対策項目に挙がっています。あわせて、メーカーのサポートが終わったOSやアプリを使わないこと、OSとアプリに最新のセキュリティアップデートを当てることも求めています。社内ルールの最初の一行は、この3点を自社の言葉に置き換えるところから始めると書きやすくなります。

アプリを3つの区分に分ける

区分	例	決めること
会社が配布する必須アプリ	業務チャット、メール、勤怠、MDMのエージェント	配布方法、初期設定、更新の担当
申請すれば使えるアプリ	地図、乗換案内、名刺管理など	申請の窓口、承認者、費用負担
使わないアプリ	私用のクラウド保存、業務と無関係なゲーム等	理由の説明、例外の扱い

禁止リストを長くするより、必須アプリと申請制アプリをはっきりさせる方が従業員は迷いません。「申請すれば使える」区分を用意しておくと、黙って私物アカウントのアプリを入れる動機も減ります。

配布の仕組みはOSごとに違う

iPhoneを会社で管理する場合、Appleの「Apple Business」にデバイスを登録し、デバイス管理サービス（MDM）に割り当てる流れになります。Appleの案内では、Appleや正規販売店・携帯電話会社から購入した端末は番号のひも付けで自動的に表示され、箱から出して起動するとデバイス管理サービスに登録された状態で使い始められるとされています。

Androidでは「Android Enterprise」の仕組みで、会社所有の端末をまとめて登録したり、私物端末に仕事用プロファイルを作って業務アプリだけを分けたりできます。Googleのヘルプでは、仕事用プロファイルのアプリにはブリーフケースのアイコンが付き、個人用のアプリやデータ、使用状況は組織に公開されないと説明されています。

権限・課金・更新のルール

権限：位置情報、連絡先、写真、マイクへのアクセスを求めるアプリは、業務で必要な理由を申請書に書いてもらう
課金：アプリ内課金や有料アプリは会社のアカウントで購入し、個人のカード払いを経費精算する運用は避ける
更新：自動更新をオンにするか、MDMで配信日を決めるかをOSごとに決める。業務システム側の対応確認が必要なら、検証用端末を1台用意する
削除：使われなくなったアプリは台帳から外し、端末からも消す。年1回の棚卸しで見直す

端末を返すときのアプリとデータ

MDMで管理を外すと何が消えるかは製品で違います。MicrosoftのIntuneでは、「ワイプ」は個人データも含めて工場出荷時の状態に戻す操作で、「廃止（リタイア）」は会社が配ったアプリやデータを外す操作として分けて説明されています。退職や機種変更の手順書には、どちらの操作を使うかを明記しておきます。

申請書と台帳のひな形

申請制のアプリは、次の項目を書いてもらうと承認の判断がそろいます。アプリ名と提供元、使う業務、求められる権限（位置情報・連絡先・写真など）、費用の有無、業務データを保存する場所、代わりになる会社配布のアプリがないか。承認したアプリは台帳に載せ、承認日と承認者、見直し予定日を残します。

年1回の見直しでは、提供が終わったアプリ、長く更新されていないアプリ、利用者がいなくなったアプリを外します。業務システムの入れ替えや取引先の指定で必要なアプリが変わることもあるため、見直しの時期は予算や契約更新の時期と合わせると漏れが減ります。

相談先・申込先の選び方

アプリのルールづくりは、端末を買う前に決めておくと手戻りがありません。契約先を比べる段階では、MDMを一緒に提供してもらえるか、Apple BusinessやAndroidのゼロタッチ登録に対応した販売店か、初期設定（キッティング）を代行してもらえるかを見積もり項目に入れます。MDMの機能比較はMDMの基本と主要サービスの公式機能比較にまとめています。

個人情報や機密情報を扱うアプリの可否は、情報システム担当や顧問の専門家と相談して決めてください。

PR（広告）