法人携帯・社用スマホ見直しガイド
社用スマホのルールは、社員を縛るためではなく、事故が起きた時に迷わないために作る
社用スマホには、メール、チャット、顧客情報、写真、地図、勤怠、二段階認証アプリなど、多くの業務情報が入ります。紛失した時、退職した時、個人端末を仕事に使う時にルールがないと、会社も本人も困ります。
このページでは、小さな会社や個人事業主でも始めやすいように、画面ロック、アプリ、データ保存、BYOD、紛失時対応、退職時削除を具体的に整理します。
まず押さえる用語
社用スマホで起きやすい事故
セキュリティ対策というと難しく聞こえますが、まずは起きやすい事故を想像することから始めます。大企業のような複雑な規程がなくても、よくある事故に備えるだけでかなり守りやすくなります。
| 起きやすい事故 | 何が困るか | 先に決めること |
|---|---|---|
| スマホを電車や飲食店に置き忘れる | メール、写真、顧客情報を見られる可能性がある | 画面ロック、紛失時連絡先、遠隔ロック |
| 退職者がチャットやメールに入れる | 社内情報や顧客情報に退職後もアクセスできる | 退職日のアカウント停止、端末返却、初期化 |
| 個人LINEで顧客対応する | 記録が会社に残らず、退職時に引き継げない | 業務連絡に使うアプリ、禁止する連絡手段 |
| 私物スマホに顧客情報や写真が残る | 会社が削除や確認をしにくい | BYOD時の保存場所、削除範囲、費用補助 |
| 認証アプリが退職者端末に残る | 銀行、SNS、クラウドに入れなくなる | 二段階認証の管理者、予備手段、移行手順 |
最低限決めたい利用ルール
最初から長い規程を作る必要はありません。まずは、次の項目を1枚のルールにまとめます。
- 画面ロックを必須にする。パスコードなしは禁止する
- 業務連絡に使うアプリを決める。個人LINEや私用SNSで顧客対応しない
- 顧客情報や業務写真の保存先を決める。端末内だけに残さない
- アプリの追加、クラウド同期、外部共有のルールを決める
- 公共Wi-Fiや共有端末でのログインをどう扱うか決める
- 紛失時に誰へ何分以内に連絡するか決める
- 退職時に端末、SIM、アカウント、二段階認証を確認する
IPAの情報セキュリティ6か条をスマホ運用に置き換える
IPAの中小企業向けガイドラインでは、まず取り組みたい基本対策として、OSやソフトウェア更新、ウイルス対策、パスワード、共有設定、脅威や手口への意識、バックアップの考え方が整理されています。社用スマホでも、同じ考え方を小さく当てはめられます。
| 基本対策 | 社用スマホでの具体例 | 放置すると起きること |
|---|---|---|
| 更新する | OSとアプリを古いままにしない。 | 古い脆弱性を突かれる、業務アプリが動かない。 |
| 守る | 画面ロック、認証アプリ、端末探す機能を有効にする。 | 紛失時にメールや顧客情報を見られる。 |
| 強い認証 | 推測されにくいパスコード、二段階認証、管理者複数名を用意する。 | 担当者変更や紛失時に重要アカウントへ入れなくなる。 |
| 共有を絞る | 写真、ファイル、クラウド共有先を会社管理の場所へ寄せる。 | 個人端末や私用クラウドに業務データが残る。 |
| 気づく | 不審なSMS、偽アプリ、怪しいWi-Fiを使わないように伝える。 | フィッシングや不正ログインにつながる。 |
| 戻せる | 業務写真やファイルを端末内だけに置かず、会社管理の保存先へ戻す。 | 故障・紛失時にデータも一緒に失う。 |
BYODでは「会社が消せる範囲」を先に決める
BYODは、個人スマホを仕事にも使うため、会社支給より費用を抑えやすい一方で、個人の写真、家族の連絡先、私用アプリと業務情報が同じ端末に入ります。
そのため、会社が何を求めるのかを先に説明しておく必要があります。たとえば、業務チャットから退室してもらう、会社メールを削除する、クラウドストレージからログアウトする、認証アプリを移行する、などです。
| 決めること | 会社支給端末 | BYOD |
|---|---|---|
| 端末の初期化 | 会社側で実施しやすい | 私物なので原則難しい。業務データ削除範囲を決める |
| アプリ制限 | 制限しやすい | 私用アプリまで制限しにくい |
| 紛失時対応 | 遠隔ロックや回線停止を決めやすい | 本人連絡と会社アカウント停止が中心になる |
| 費用負担 | 会社負担が明確 | 通信費補助、端末補助、対象範囲を決める |
| 退職時 | 返却、初期化、再貸与が可能 | 業務アプリ削除、ログアウト、認証移行を確認する |
端末の持ち方自体で迷う場合は、会社支給とBYODの違いから確認してください。
紛失時の初動を決める
スマホをなくした時に一番困るのは、何を止めればよいかわからないことです。本人が焦っている時でも動けるように、連絡先と対応順を決めておきます。
- 本人が管理者へすぐ連絡する
- 端末の場所確認、遠隔ロック、必要に応じて遠隔消去を検討する
- 携帯回線、SIM、クラウドアカウント、メール、チャットを確認する
- 顧客情報や個人情報が入っていた可能性を確認する
- 取引先や顧客への連絡が必要か判断する
- 再発防止として、画面ロック、保存先、持ち出しルールを見直す
端末台帳があると、電話番号、SIM、利用者、業務アプリ、管理者アカウントをすぐ確認できます。台帳の作り方は端末管理・キッティングで整理しています。
退職時の削除・返却チェック
退職時は、端末返却だけでなく、アカウント停止と二段階認証の移行が重要です。スマホ本体が戻っても、クラウドやチャットに入れる状態が残ると危険です。
- 端末本体、SIM、充電器などの返却を確認する
- メール、チャット、クラウドストレージ、勤怠、会計、SNSの権限を停止する
- 二段階認証アプリやSMS認証の移行先を確認する
- 業務写真、顧客リスト、ファイルを個人端末に残さない
- 端末を初期化し、確認者と日時を記録する
- 電話番号を継続するか、解約するか、別担当へ引き継ぐか決める
退職手続き全体は、従業員が退職するときの手続きでも確認できます。
二段階認証とSMS認証は「誰のスマホか」を決める
銀行、SNS、広告アカウント、クラウドサービスでは、ログイン時にSMSや認証アプリが必要になることがあります。これが個人スマホに入っていると、退職や機種変更の時にログインできなくなることがあります。
会社で使う重要アカウントは、誰の端末で認証するのか、予備の認証方法はあるのか、管理者が複数いるのかを決めます。代表者個人のスマホだけに依存すると、紛失時や退職時に詰まりやすくなります。
よくある質問
小さな会社でもMDMは必要ですか
必ず必要とは限りません。まずは画面ロック、業務アプリ、保存先、紛失時連絡、退職時削除を決めることが先です。台数が増えたり、顧客情報を多く扱ったり、遠隔ロックやアプリ制限が必要になったらMDMを検討します。
個人スマホで業務チャットを見るだけならルールはいりませんか
必要です。通知画面に顧客名が出る、退職後もチャットに入れる、ファイルを個人端末へ保存する、といったことが起きるためです。
業務写真はスマホに保存してもよいですか
一時的に撮影することはありますが、保存先は会社管理のクラウドや業務システムに寄せ、端末内だけに残さない運用が安全です。人物や顧客情報が写る写真は特に注意します。
ルールが細かいと現場が使いにくくなりませんか
細かさより、事故が起きやすい場面に絞ることが大切です。禁止事項ばかりではなく、「このアプリを使う」「紛失時はここへ連絡する」のように、現場が動ける形にします。
参考にした公的情報
スマホの情報管理は、個人情報や情報セキュリティと関係します。自社ルールを作る時は、公式情報も確認してください。
導入時に確認したいサービス候補
社用スマホの安全性は、回線契約だけでなく、端末手配、初期設定、退職時返却、サポート体制にも関係します。
