MDMの仕組みと6つの基本機能、混同されやすいEMM／UEMとの違い、Windows環境で押さえる要点、導入の5ステップ、そしてSaaS管理プラットフォームとの棲み分けまでを、情シスがそのまま実装に落とし込める形で整理しました。

MDM導入や見直しを検討する情報システム部門・セキュリティ責任者を主な読者として想定しています。

この記事の要点

• MDMはスマートフォン・タブレット・PCを一元管理する仕組みで、設定配布・アプリ配布・ポリシー適用・遠隔ロック／ワイプを管理コンソールから実行できます
• EMMはMDMにアプリ管理とコンテンツ管理を加えた概念、UEMはさらにPCやIoT機器まで対象を広げた概念です。現在販売されている主要製品の実体はほぼUEMで、「MDM」は狭義（モバイル管理機能）と広義（デバイス管理製品の総称）で使い分けられています
• 「Box for EMM」のようなEMM対応版アプリは、MDMに登録済みの端末に限ってアプリの利用を許可するための仕組みです。同じサービスでも管理配下向けの別アプリが用意されている場合があります
• Windows環境では、グループポリシーとMDMを併用する共同管理（co-management）から段階的に移すのが現実的です
• MDMはSaaSのライセンス管理やシャドーIT検知までは守備範囲外です。SaaS管理プラットフォームとの併用が前提になります

MDMとは

MDM（Mobile Device Management、モバイルデバイス管理）は、企業が従業員に貸与するスマートフォン・タブレット・ノートPCなどのデバイスを一元管理する仕組みです。OSの設定・アプリ配布・セキュリティポリシー適用・遠隔ロック／ワイプといった機能を提供します。

MDMで実現できること

紛失時の遠隔ワイプ、パスコード強制、暗号化必須化、業務アプリの一括配布、未承認アプリのブロックといった統制を、情シスの管理コンソールから一括で適用できます。デバイス台数が増えるほど効果が拡大します。

MDMが必要になる背景

リモートワーク・BYOD・社外持出デバイスが増えると、社内ネットワーク前提の境界防御モデルが機能しなくなります。デバイス自体に統制をかける必要が生まれ、ゼロトラスト設計の中核として位置づけられます。

前提として、認証情報の流出はすでに珍しい事象ではありません。ジョーシスの調査（2026年・225社対象）では、99%の企業で認証情報がダークウェブなどに流出していました。IDとパスワードが漏れている前提に立つと、「正しい認証情報でログインしてきた相手が、管理下のデバイスから来ているか」を確認する層が必要になります。この確認層を担うのがMDMであり、ゼロトラストセキュリティの原則における「デバイスの状態を常に検証する」という要件に対応します。

参考：テレワークにおけるセキュリティ確保 - 総務省

MDMの主な機能

MDM製品は基本機能として6カテゴリの機能を提供します。組織のリスクや業務に合わせて、必要な機能を組み合わせて運用します。

構成管理（Configuration）

Wi-Fi、VPN、メール、証明書などのデバイス設定をリモートで一括配布できます。新規デバイスのキッティング工数を大幅に削減し、設定ミスによるセキュリティホールも防げます。

アプリケーション管理

業務アプリの一括配布、アンインストール、未承認アプリのブラックリスト化を実施できます。Microsoft Intuneのアプリ保護ポリシーのように、業務アプリ内のデータだけを保護する高度な制御も可能です。

セキュリティ管理

パスコード強制、ストレージ暗号化、画面ロック時間、カメラ／Bluetooth利用制限、ジェイルブレイク／root化検知といったセキュリティポリシーを一元適用します。

遠隔操作

紛失・盗難時の遠隔ロック、パスコードリセット、ワイプ（初期化）が可能です。退職者デバイスからの即時データ削除も同じ仕組みで実現できます。

モニタリングとインベントリ

OSバージョン、インストール済みアプリ、ハードウェア情報、最終接続日時、位置情報を可視化できます。資産管理台帳との突き合わせやセキュリティパッチ適用率の追跡に使えます。

条件付きアクセス連携

IDaaSと連携し、「MDM管理下のデバイスからのみ社内SaaSへアクセスを許可」といったゼロトラスト的な制御を実現します。Microsoft Entra IDとIntuneの組み合わせが代表例です。

Entra IDの条件付きアクセスはP1／P2といったライセンス階層で利用できる機能が変わるため、MDMと組み合わせる前提でライセンスを確認しておくと手戻りを防げます。詳細はEntra IDの機能とライセンス体系の解説で確認できます。

参考：Microsoft Intune のデバイスの機能と設定 - Microsoft Learn

MDM・EMM・UEMの違い

MDM周辺には類似カテゴリが複数あり、製品検討時に混乱しがちです。3つの関係は「MDMを内側に含みながら、管理する対象と範囲が段階的に広がっていく」入れ子構造として捉えると整理できます。

近年はUEMが主流で、PC（Windows／Mac）とスマホ（iOS／Android）を1つのコンソールで統合管理できます。「MDM」という言葉はEMM／UEMの旧称または狭義として使われることが多く、社内で製品を検討する際は「どの範囲まで管理したいのか」を先に決めてから用語を選ぶほうが議論が噛み合います。

EMM（Enterprise Mobility Management）

MDMにアプリ管理（MAM）、コンテンツ管理（MCM）、ID管理（IAM）を統合した進化形カテゴリです。スマホ・タブレット中心の管理が主軸で、「端末そのもの」ではなく「端末上の業務データ」を守る発想が加わっている点がMDMとの分かれ目になります。BYODの普及で、私物端末を丸ごと管理できない状況が一般化したことが背景です。

UEM（Unified Endpoint Management）

EMMにPC（Windows・macOS）統合管理を追加した最新カテゴリです。スマホ・PC・IoTデバイスをすべて1つのコンソールで管理でき、「モバイルはMDM、PCはActive Directory」と分かれていた管理系統を統合できます。管理画面が1つになることで、OSごとに担当者が分かれていた運用体制も見直しやすくなります。

狭義のMDMと広義のMDM

用語の混乱の大半は、「MDM」が2つの意味で使われていることに起因します。狭義のMDMは、デバイスを登録して構成プロファイルを配布し、ロックやワイプを実行する機能そのものを指します。広義のMDMは、その機能を含むデバイス管理製品の総称です。

国内で「MDMを導入する」と言われる場合、実際に検討している製品はUEMであることが多いです。ベンダー側もMDMという呼称を残したまま、機能としてはPC管理やコンテンツ管理まで提供しています。したがって、製品比較の場では「MDMかUEMか」というカテゴリ名の議論よりも、「自社が管理したいOSと機能が揃っているか」を確認するほうが実務的です。

ジョーシスのプラットフォームを使えば、MDM／UEMと連動したSaaSアカウント管理を一元化できます。資料ダウンロードは5分でわかるJosysからどうぞ。

参考：Understand how UEM, EMM and MDM differ from one another - TechTarget

EMMとは何か｜MDMとの違いと「EMM対応アプリ」が存在する理由

EMM（Enterprise Mobility Management、エンタープライズモビリティ管理）は、業務で使うモバイル端末とその上の業務データを、まとめて統制するための考え方と製品カテゴリです。MDMの機能を土台にしながら、アプリ単位・コンテンツ単位の管理を足しているのが特徴です。

EMMが生まれた背景

MDMは端末そのものを管理対象にします。会社支給端末であれば全領域を統制できるため相性が良い一方、私物端末では成立しません。従業員の私物スマートフォンを会社が初期化できる状態にすることは、プライバシー上も現実的ではないからです。

そこで「端末は管理しないが、業務アプリと業務データだけは統制する」という発想が必要になりました。この要求に応える形で、MDMにアプリ管理とコンテンツ管理を加えたEMMが登場しています。

MAM・MCM・IAMがEMMに統合された意味

EMMを構成する3要素は、それぞれ守る対象が異なります。

• MAM（Mobile Application Management）: 業務アプリ単位の統制。アプリ内のコピー／ペースト制限、他アプリへのデータ持ち出し禁止、アプリ単位のリモート消去などを行います
• MCM（Mobile Content Management）: 業務ファイル単位の統制。閲覧のみ許可、ダウンロード禁止、暗号化された領域での保管などを扱います
• IAM／ID連携: 誰がどの端末からアクセスしているかの認証と認可。IDaaS側の条件付きアクセスと組み合わせて使います

実務上重要なのは、MAMだけを使う運用が成立する点です。端末をMDMに登録せず、業務アプリの内側だけを保護する方式は「MAM without enrollment（登録なしアプリ管理）」と呼ばれ、BYODの現実解としてよく採用されます。

Box for EMMは通常のBoxアプリと何が違うのか

「box for emm 違い」のように、特定サービスのEMM対応版を調べる場面があります。代表例がBoxです。

Boxの公開ドキュメントによると、Box for EMMはMDMに登録済みのデバイス上でしか利用できないアプリです。企業はBoxの利用を、会社が承認したモバイルデバイスに限定できます。管理対象アプリの設定を通じてアプリの挙動を構成でき、ログイン時にBoxとMDMサーバー間の通信でデバイスの管理状態を確認する運用も選べます。

一方、通常のBoxアプリはMDM登録なしでも利用できます。iOSでMDMの利点を最大限に得るにはBox for EMMが必要ですが、MAMのみを使う構成であれば標準のBoxアプリ側で保護を有効化できます。

つまりEMM対応版アプリは、機能が豪華になった上位版ではありません。「管理配下の端末でしか動かない」という制約を付けることで、未管理端末からの業務データ利用を構造的に塞ぐための仕組みです。同じ考え方の専用アプリは他のSaaSにも存在するため、EMM／MDM導入時は主要業務アプリの提供形態を確認しておくと配布設計で迷いません。

EMM製品を比較するときに見る3つの軸

「emm 比較」で情報を探す場合、製品名を並べる前に評価軸を決めるほうが早く結論に近づきます。実務では次の3点が判断を分けます。

1. 対応OSと管理モードの範囲: iOSのユーザー登録、Android Enterpriseの仕事用プロファイルなど、BYODに使えるモードに対応しているか
2. アプリとコンテンツ制御の粒度: アプリ単位のデータ持ち出し禁止、選択ワイプ、閲覧のみ許可といった制御がどこまで細かく指定できるか
3. IDaaSとの連携深度: 管理状態を条件付きアクセスの判定材料として渡せるか。ここが弱いと「管理端末のみ許可」が実現できません

製品ごとの機能・価格・向く企業規模を一覧で比較したい場合は、MDM主要10製品の機能・価格比較にまとめています。本記事は概念と用語の整理、比較記事は製品選定という役割分担です。

参考：BoxでのEMMの使用 - Box公式ドキュメント

UEMとは何か｜MDMとの違いとUEMへ移行する判断基準

UEM（Unified Endpoint Management、統合エンドポイント管理）は、モバイル端末・PC・その他のデバイスを単一の管理画面から扱うツール群を指すカテゴリです。EMMがモバイル中心だったのに対し、UEMはWindows・macOSのPC管理を同じ基盤に取り込んでいます。

UEMが主流になった理由

管理対象が分かれていること自体が、運用のリスクでした。モバイルはMDM、PCはActive Directoryとグループポリシー、資産台帳はExcelという状態では、「この端末は暗号化されているか」を1画面で答えられません。監査で証跡を求められたときに、複数のツールから手作業で集める必要が生じます。

UEMはこの分断を解消します。1つのコンソールでOSを横断してポリシーを適用し、インベントリを取得できるため、パッチ適用率や暗号化状況をそのまま報告資料に使えます。市場側でも、主要なEMM製品はUEMとして位置づけを変えています。

UEMとMDMの違い早見表

表の通り、UEMは対象範囲でMDMを包含します。したがって「MDMかUEMか」で迷う場面の多くは、実質的に「PCを同じ仕組みに載せるか」という問いに置き換えられます。

UEMへ統合すべき組織とMDMで足りる組織

判断は次の観点で分かれます。

• UEMへ統合すべき: 従業員にPCとスマートフォンの両方を貸与している／リモートワークでPCが社外に出る／ISMSなどの監査でPCの暗号化・パッチ証跡を求められる／情シスの人員に対して管理台数が多い
• MDMで足りる: 業務用スマートフォンのみを貸与しており、PCは別の資産管理ツールで統制済み／店舗端末のように用途が固定された専用デバイス中心

なお、統合するかどうかを判断する前に、そもそも何台をどの基準で管理しているのかを把握しておく必要があります。管理対象の棚卸しから着手する場合は、デバイス管理の5つのアプローチと運用ステップが実務手順の参考になります。

参考：Microsoft Intune とは - Microsoft Learn

MDM導入のメリット

MDMはセキュリティ強化と運用効率化の両軸で効果を発揮します。情シス・セキュリティ・経営の各視点でメリットを整理しました。

セキュリティの構造的強化

紛失・盗難時の遠隔ワイプ、退職者デバイスからのデータ削除、未承認アプリのブロックが標準化され、デバイス起点の情報漏洩リスクが大幅に低減します。条件付きアクセスと組み合わせれば、未管理デバイスからの社内SaaSアクセスをブロックできます。

キッティング・運用工数の削減

新規デバイスのキッティングをゼロタッチ化（Apple Business Manager、Windows Autopilot連携）でき、現地での設定作業が不要になります。台数が多いほど工数削減効果が大きく、年間数百〜数千時間単位の削減が現実的です。キッティングの業務範囲や手作業との比較を確認したい場合は、PCキッティングの業務範囲と自動化手法を先に読むと、MDMで自動化できる工程の切り分けが判断しやすくなります。

コンプライアンス対応の効率化

ISMS、SOC2、PCI DSS、改正電帳法といった監査要件で、デバイス暗号化・パスコード強制・パッチ適用率の証跡が標準化されます。監査対応の資料作成工数も大幅に削減できます。

MDM導入の注意点

メリットの大きさに反して、設計を誤ると現場の反発や業務影響を招きます。情シスが事前に押さえるべきポイントを3つ紹介します。

BYODと会社支給の使い分け

会社支給デバイスは全領域を統制できますが、BYODは私物領域とのプライバシー境界を慎重に設計する必要があります。Android Enterprise Work Profile、iOS User Enrollmentなど、BYOD向けの仕組みを使い分けます。

OSアップデートとMDM対応の追従

iOS／AndroidのメジャーOSアップデートでMDM側の対応が遅れることがあります。リリース直後にユーザーが自動更新するとMDM管理が一時的に不安定になる可能性があるため、更新延期ポリシーを設定しておきます。

退職時の確実なワイプ

会社支給デバイスは退職時に確実にワイプする必要があります。BYODの場合は業務領域だけを選択的にワイプ（Selective Wipe）する設計が必要で、最初から運用ルールに組み込みます。

MDMだけでは守れない領域を把握しておく

MDMは「端末が正しい状態に保たれているか」を担保する仕組みです。端末上で実行される攻撃の検知と対処は別レイヤーの役割で、EPP・EDR・XDRといったエンドポイントセキュリティ製品が担当します。両者は代替関係ではなく、MDMで統制した端末の上にEDRを載せる補完関係です。役割の違いはEPP・EDR・XDRの違いと選び方で整理しています。

導入前に「MDMで守る範囲」「EDRで守る範囲」「SaaS側で守る範囲」を1枚に書き出しておくと、稟議での説明も通りやすくなります。

参考：仕事用プロファイルとその機能 - Android Enterprise ヘルプ

MDM代表製品の比較

国内外で利用される主要MDM／UEM製品を、情シスの選定観点で整理しました。ここでは各製品の性格を短く押さえる範囲にとどめます。機能一覧・価格・向く企業規模まで踏み込んだ比較はMDM主要10製品の比較ガイドにまとめているため、選定フェーズに入っている場合はそちらを参照してください。

Microsoft Intune

Microsoft 365契約企業の標準解です。Entra IDとの連携が深く、条件付きアクセスとの組み合わせでゼロトラスト設計の中核を担えます。Microsoft 365 E3／E5に付属するため、追加コストを抑えやすい特徴があります。詳細はMicrosoft Intune 公式で確認できます。

Jamf

macOS／iOS専門のMDM／UEMで、Apple環境では業界標準。Apple Business Managerとの統合・キッティング自動化・教育機関向け機能で評価が高いです。詳細はJamf Pro 製品ページで確認できます。

Omnissa Workspace ONE（旧VMware Workspace ONE）

クロスプラットフォーム対応のUEMで、Windows・macOS・iOS・Android・ChromeOSを統合管理できます。エンタープライズの大規模導入に強みがあります。提供元がOmnissaへ移行しているため、既存資料でVMware表記のまま検討している場合は最新の製品ページで内容を確認してください。詳細はWorkspace ONE 公式で確認できます。

Kandji（現Iru）

macOS／iOS特化の新世代UEMとして評価されてきた製品です。モダンな管理画面と自動化機能、即日適用ポリシーが特徴でした。現在はIruブランドのエンドポイント管理製品として提供され、MacとWindowsを対象範囲に含めています。旧ドメインのURLは新サイトへ転送されるため、社内の検討資料にKandji表記のリンクが残っている場合は更新しておくと混乱を避けられます。詳細はIru Endpoint Management 製品ページで確認できます。

MOTEX LANSCOPE

国産MDM／IT資産管理の代表格。日本企業向けの操作ログ取得・PC操作監視機能が手厚く、内部統制重視の組織に選ばれています。Apple Business ManagerとAndroid Enterpriseに対応しており、PCとスマートフォンを同じコンソールで扱えます。詳細はLANSCOPE エンドポイントマネージャー クラウド版で確認できます。

OPTiM Biz（旧Optimal Biz）

国内シェア上位の国産MDMです。スマホ・タブレット・PCの統合管理に対応し、日本語サポートと国産プロダクトの安心感が評価されています。製品名がOptimal BizからOPTiM Bizへ変更されているため、過去の比較資料を参照する際は名称の違いに注意してください。詳細はOPTiM Biz 製品ページで確認できます。

WindowsデバイスをMDM／UEMで管理する場合の要点

Windows PCをMDMで管理するかどうかは、モバイル端末の管理とは検討軸が変わります。すでにActive Directoryとグループポリシーで統制している資産があるためです。

Active Directory・グループポリシーとMDMの関係

グループポリシーは社内ネットワークへの接続を前提とした仕組みです。ドメインコントローラーに到達できる環境であれば強力に機能しますが、社外に持ち出されたPCには設定が届きません。VPN接続時にしかポリシーが適用されない状態は、リモートワークが定着した組織では管理漏れの原因になります。

MDM／UEM方式はインターネット経由で構成プロファイルを配布します。PCが社内にあるか社外にあるかを問わず同じポリシーを適用できる点が、グループポリシーとの決定的な違いです。

共同管理（co-management）という中間解

グループポリシー環境からの一括移行は現実的ではありません。Microsoftは、Configuration ManagerのクライアントとIntuneへの登録を同じPCに併存させる共同管理を提供しています。

Microsoftの公開ドキュメントによると、共同管理では管理者がワークロード単位で権限をConfiguration ManagerからIntuneへ移せます。有効化はエンドユーザーに対して透過的で、再起動・エージェント導入・中断・通知は発生しません。まずパイロットグループで一部のPCに対してIntuneの機能を検証し、問題がなければ対象を広げる進め方が取れます。

既存の運用プロセスを維持しながらクラウド側へ寄せられるため、Windows環境でUEMを検討する際の現実的な第一歩になります。

Windows Updateの配信をどう扱うか

更新の配信管理も判断材料になります。WSUS（Windows Server Update Services）は非推奨のステータスにあり、新機能の追加や新規の機能要望の受付は行われません。ただし既存機能は維持され、WSUSチャネル経由での更新提供は継続されます。すぐ使えなくなるわけではない点に注意してください。

Microsoftはクラウド側のツールへの移行を推奨しており、クライアントの更新管理についてはIntuneやWindows Autopatchが選択肢に挙げられています。UEM側で更新リングを設計できるかは、Windows管理を統合する際の実務上のチェック項目になります。

Windows対応でMDM製品を比較するときのチェック項目

「windows mdm 比較」の観点では、モバイル向けの機能表だけでは判断できません。次の5点を確認します。

1. Windows Autopilotによるゼロタッチ登録に対応しているか
2. BitLockerの暗号化ポリシーと回復キーの管理ができるか
3. 更新リング（更新の段階配信）を設計できるか
4. Win32アプリ（従来型インストーラー）の配布に対応しているか
5. グループポリシーからの移行手段や共同管理に対応しているか

このうち3と4は、モバイル中心のMDM製品では対応が弱い領域です。Windows PCを本格的に載せるのであれば、UEMとして設計された製品を前提に検討するほうが後戻りが少なくなります。

参考：Windows デバイスの共同管理 - Microsoft Learn／Windows Server Update Services (WSUS) deprecation - Windows IT Pro Blog

MDM導入の進め方

「現状把握 → ポリシー設計 → 製品選定 → パイロット → 全社展開」の5ステップで進めます。最初から100%カバーを目指さず、優先度の高いデバイスから段階導入します。

ステップ1：現状把握とリスク評価

会社支給／BYOD／併用の現状、デバイス種別ごとの台数、紛失・退職時の対応フロー、機密データ保管状況を棚卸しします。リスクの大きい領域からMDM対象として優先度を付けます。

ステップ2：ポリシー設計

パスコード要件、暗号化、画面ロック時間、許可アプリ、Wi-Fi制限、ワイプ条件などのセキュリティポリシーを定義します。BYODはプライバシー保護を最優先にします。

ステップ3：製品選定とPoC

Microsoft 365利用企業ならIntune、Apple中心ならJamf、クロスプラットフォーム重視ならWorkspace ONEといった軸で2〜3社をPoCします。実機での動作・管理コンソール操作性・コスト総額を比較します。Windows PCも対象に含める場合は、前述のチェック項目5点をPoCの検証シナリオにそのまま組み込むと、選定後の想定外を減らせます。

ステップ4：パイロット導入

情シス部門と1部署で先行導入し、ユーザーへの影響・問い合わせ傾向・障害時のリカバリ手順を検証します。マニュアルとFAQを整備したうえで全社展開に進みます。

ステップ5：全社展開と継続運用

部署単位で段階的に展開し、四半期ごとにポリシー見直しと棚卸しを実施します。新規デバイスはAutopilot／Apple Business Managerでゼロタッチ登録に切り替え、運用工数を継続的に削減します。

MDM用語集

MDM関連で頻出する用語を簡潔にまとめました。検討資料の作成や社内説明にもそのまま使えます。

MAM（Mobile Application Management）

業務アプリ単位で管理する手法。BYOD環境で「私物デバイスの業務アプリ内データだけを保護する」設計に使います。

MCM（Mobile Content Management）

業務コンテンツ（ファイル）の配布・閲覧制御を担う仕組み。MDMとは独立して運用される場合もあります。

Apple Business Manager（ABM）

AppleのデバイスをゼロタッチでMDM登録できる仕組み。新規購入したiPhone／iPadを開封即業務利用可能にできます。

Windows Autopilot

WindowsデバイスのゼロタッチMDM登録機能。Microsoft Intuneと組み合わせて、新規PCを開封即セットアップできます。

ワイプ（Wipe）

デバイスのデータを完全消去する操作。フルワイプ（全消去）と選択ワイプ（業務領域のみ消去）の2種類があります。

ジェイルブレイク／root化

iOSやAndroidの制限を解除する不正改造。MDMで検知し、社内SaaSアクセスをブロックする運用が一般的です。

共同管理（Co-management）

WindowsデバイスをConfiguration ManagerとIntuneの両方で管理する構成。ワークロード単位でIntune側へ権限を移せるため、グループポリシー環境からの段階移行に使われます。

MAM without enrollment（登録なしアプリ管理）

端末をMDMに登録せず、業務アプリの内側だけを保護する方式。BYODで私物端末に踏み込めない場合の選択肢になります。

MDMだけでは解決しないSaaS管理の課題

MDMはデバイス起点のセキュリティを担保しますが、SaaSのライセンス管理、シャドーIT検知、契約・更新管理までは守備範囲外です。利用するSaaSが30種類を超える組織では、MDMとSaaS管理プラットフォーム（SMP）の組み合わせが現実解になります。

ライセンス利用率の可視化

MDMはアプリのインストール状況は把握しますが、SaaS有償ライセンスの利用率や過剰契約までは追跡しません。年間SaaSコスト最適化には別の仕組みが必要です。契約数と実利用数の突き合わせ方はSaaSライセンス管理の手順とツール比較で解説しています。

SaaSアカウントとデバイスの紐付け

退職時にデバイスをワイプしても、SaaS側のアカウントが残ったままだと不正アクセスリスクが残ります。SaaS横断でのアカウント削除プロセスとしてはSCIM自動化＋管理プラットフォームでの監査が必要です。退職処理でどこまでを自動化できるかは、退職者アカウント削除の手順とリスク対策にチェックリスト付きで整理しています。

シャドーITの検知

部署が情シス無断で契約したSaaSはMDM管理対象外です。クレジットカード明細やSaaS購買データを横断的に取得する仕組みでなければ、こうした抜け穴は塞げません。MDM管理下の端末からでもブラウザ経由で未承認SaaSは使えるため、端末統制とSaaS統制は別問題として扱う必要があります。前提整理はシャドーITとは｜種類と4大リスクを参照してください。

SaaS管理プラットフォームが補う領域

ジョーシスのプラットフォームは350以上のSaaS連携と31カテゴリの管理機能を備え、MDM／UEMがカバーしないSaaSライフサイクル全体を統合管理できる設計です。国内外1,000社以上の導入実績があり、IT工数を最大50%、ITコストを最大75%削減できます。実際にAnker JapanではITコストを75%削減し、Sales MarkerではIT工数を約50%削減しています。

無料デモはJosys デモ予約から日程を選べます。

MDMについてよくある質問

検討フェーズで担当者から多く寄せられる質問を整理しました。

MDMはBYODでも使えますか

使えますが、私物領域とのプライバシー境界を尊重する設計が必須です。Android Enterprise Work Profile、iOS User Enrollmentなど、業務領域だけを管理対象とする仕組みを使います。

MDMは中小企業にも必要ですか

リモートワーク・社外持出・退職者対応がある組織であれば規模に関係なく必要です。Microsoft 365 Business Premiumに付属するIntuneやGoogle Workspace付属のEndpoint Managementから始められるため、初期コストは抑えられます。

MDMはPCにも使えますか

UEM対応製品（Intune、Jamf、Workspace ONE）であれば、Windows・macOS・iOS・Androidを統合管理できます。スマホ専用の旧来型MDMから乗り換える企業が増えています。

MDMでプライベート利用は監視されますか

会社支給デバイスは原則として業務利用前提のため、業務領域での操作は監視対象です。BYODの場合は業務アプリ内のデータだけを保護する設計が標準で、私物領域への監視は行われません。

MDMとUEMの違いを一言で言うと何ですか

管理する対象範囲の広さが違います。狭義のMDMはスマートフォンとタブレットを対象にしますが、UEMはPC・macOS・IoT機器まで含めて1つのコンソールで管理します。UEMはMDMの機能を包含する上位カテゴリです。

EMMとMDMはどちらを導入すべきですか

会社支給端末のみを管理するのであれば、MDMの機能範囲で足ります。私物端末（BYOD）を業務で使わせる場合は、アプリ単位・コンテンツ単位で統制できるEMM以上の範囲が必要です。ただし現在販売されている製品はEMM／UEM相当の機能を備えていることが多く、カテゴリ名より機能要件で選ぶほうが実務的です。

Box for EMMと通常のBoxアプリはどう使い分けますか

Boxの公開ドキュメントによると、Box for EMMはMDM登録済みのデバイスでのみ利用でき、会社が承認した端末に利用を限定できます。通常のBoxアプリはMDM登録なしでも使えます。iOSでMDMの利点を最大限に得たい場合はBox for EMM、MAMのみで保護する構成であれば通常のBoxアプリという使い分けになります。

MDMとEDRは何が違いますか

MDMは端末の設定と状態を統制する仕組み、EDRは端末上の不審な挙動を検知して対処する仕組みです。目的が異なるため、どちらかで代替する関係にはありません。MDMで統制した端末にEDRを載せる構成が一般的です。

まとめ

MDMはデバイス管理の中核機能で、近年はEMM／UEMへ進化してPC・スマホ・IoTを統合管理できるようになっています。ゼロトラスト設計の柱として、IDaaSの条件付きアクセスと組み合わせて使うのが現代的な標準構成です。

用語としては、狭義のMDM（モバイル管理機能）と広義のMDM（デバイス管理製品の総称）が混在しています。EMMはアプリとコンテンツの統制を足した概念、UEMはPCまで対象を広げた概念で、現在の主要製品の実体はほぼUEMです。カテゴリ名で迷うより、管理したいOSと機能要件を先に決めるほうが選定は早く進みます。製品ごとの機能・価格を確認する段階に入ったら、MDM主要10製品の比較ガイドへ進んでください。

ただしMDM単体ではSaaSのライセンス管理やシャドーIT可視化までは届かないため、SaaS管理プラットフォームとの組み合わせ運用が現実解になります。自社のSaaS環境を統合的に整備したい場合は、5分でわかるJosysから検討を始めるのが近道です。