小規模事業者向けBYODセキュリティポリシー：すぐ使えるテンプレート

BYODポリシーのテンプレートを使えば、小規模事業者は、問題が起きて迫られる前に、つまり事後ではなく事前に、業務での私用スマートフォンに関するルールを決めておけます。セキュリティの最低基準、アクセスの限界、消去への同意、費用、そして誰かが退職したときの扱いを定めます。

取引先の受信トレイが開いたままのスマートフォンをタクシーに置き忘れたとします。書面のルールがなければ、その後の1時間は手順ではなく、プライバシーと信頼をめぐる言い争いになります。写真ごと、会社が消去してよいのでしょうか。このガイドは、スマートフォンがなくなる前にその線引きを決めます。

BYODポリシーとは何か、小さなチームにいま必要な理由

BYOD（私用端末の業務利用）ポリシーとは、従業員が自分のスマートフォンを業務にどう使えるか、そして会社がそのスマートフォンで何をしてよいかを定めた書面の合意です。

従業員がすでに自分のスマートフォンで業務メール、チャット、認証コードを確認しているなら、ポリシーは早すぎるのではなく、遅すぎるくらいです。最初の紛失が起きる前に、ルールを決めておきましょう。

BYODセキュリティポリシーは、同じ端末にある2つのものを同時に守ります。会社のデータと、従業員の私生活です。先延ばしにしたくなるのは自然です。不信の表明のように感じられることがあるからです。明確なポリシーはその逆で、会社が何に手を触れないかを最初に示します。

Expert Opinion

“

スマートフォンのルールは、曖昧だと不信のように読めます。会社が見ないものを具体的に挙げれば、署名する前に線引きが見えます。

編集上のペルソナ： Victoria Bryanは、プロジェクトが承認した架空の専門家プロフィールであり、独立して確認された実在の人物ではありません。このガイダンスは編集チームが執筆し事実確認したもので、インタビューの逐語的な引用ではありません。

役割によっては、会社支給のスマートフォンのほうが向いています。この選択が、以下の4つ目の方法です。スマートフォンに健康記録やその他の規制対象データが入っている場合は、このポリシーに加えて業界の規則が適用されるため、規制当局に確認してください。

残りを決めるのは、スマートフォンに入っているデータのために、私用スマートフォンをどこまで管理する必要があるか、という問いです。スマートフォンに何が入っているかがわかれば、そのデータを守る4つの方法が、最も軽いものから最も重いものへと並びます。

私用スマートフォン上の会社データを守る4つの方法

4つの方法は、管理が最も少ないものから最も多いものへと並んでおり、それぞれに評価がついています。「機能する」とは、従業員が書面で同意した範囲内で、スマートフォンの紛失時や従業員の退職時に会社のデータが守られることを指します。方法2と3は、よく知られたMDMかMAMかという問いです。モバイルアプリケーション管理（MAM）は業務アプリを、モバイルデバイス管理（MDM）は端末全体を対象にします。組み合わせることもでき、たとえば私用スマートフォンにはアプリレベルの管理を、特定の役割には会社支給のスマートフォンを使います。

1. 書面のルールと端末自体のセキュリティ

守れるもの： 書面のルールは期待事項を定め、端末自体のセキュリティに頼ります。現在のiPhoneやAndroidスマートフォンには、画面ロック、自動アップデート、パスコードで保護される端末の暗号化、そして持ち主自身による遠隔消去（iPhoneでは「探す」、AndroidではFind Hub）がすでに備わっています。

従業員に求めること： 管理ソフトは何もインストールしません。従業員はパスコードを維持し、アップデートをオンにしたままにして、紛失したら報告します。

理由： 書面のルールは合意であって、管理ではありません。私たちの見解では、これは最小規模のチームにとって誠実な出発点であり、劣った選択肢ではありません。

評価： スマートフォンに業務メールとチャットしか入っていない少人数なら、守ってもらえると信頼できる場合に機能します。私たちの見解では、取引先や決済のデータがスマートフォンにあるなら不十分です。

2. アプリレベルの管理：仕事用プロファイルとアプリ保護

守れるもの： 業務アプリとそのデータだけです。Androidでは、仕事用プロファイルが、業務アプリとデータをスマートフォン上の別の領域に分けて保ちます。アプリ保護ポリシー（MAM）はPINを要求でき、退職時や紛失時には業務データだけを削除できます。iPhoneでは、User Enrollmentが、管理対象の業務データを個人データから切り離します。

従業員に求めること： 業務アプリと、Androidでは仕事用プロファイルです。管理者は私用アプリ、写真、メッセージを見ることができません。

理由： アプリレベルの管理は、端末ではなく会社のデータの周りに線を引きます。これはMDMかMAMかという問いのMAM側です。

評価： 私たちの見解では、ほとんどの私用スマートフォンにとって妥当な出発点です。業務データを守りつつ、スマートフォンの残りには手を出しません。

3. 私用スマートフォンでの端末の完全管理

守れるもの： プラットフォームが許す範囲で端末全体です。Device Enrollmentを使ったiPhoneでは、MDMがパスコードとアップデートを強制し、スマートフォン全体を消去できます。Androidでは、私用スマートフォンは仕事用プロファイルで管理されます。完全管理は会社所有のスマートフォン向けです。

従業員に求めること： スマートフォン全体を登録することです。管理者は端末の詳細を見られ、プラットフォームやツールの設定によっては、インストール済みアプリの一覧も見られます。AppleとMicrosoftは、管理者が私用スマートフォンの位置情報を見られないとしています。ベンダーは、私用のメール、写真、メッセージを読めないとしています。

理由： 私たちの見解では、端末の完全管理は会社の端末のために作られたツールであり、それを従業員が自費で購入したスマートフォンに当てはめることになります。

評価： スマートフォンのデータが失われてはならないなら、私用スマートフォンを完全管理するのではなく、その人に会社支給のスマートフォンを渡してください。それでもこの方法を続けるなら、従業員の署名入りの確認書と、全消去の前の別途の消去同意書がある場合に限って使いましょう。

4. 完全な管理が必要な役割には会社支給のスマートフォン

守れるもの： 端末全体です。会社が所有しているので、完全に管理できます。スマートフォンは返却されるため、きれいな退職になり、仕事と私生活の間にはっきりした線も引けます。

従業員に求めること： 2台目のスマートフォンを持ち歩くか、会社支給のスマートフォンを仕事だけに使うことです。

評価： スマートフォンに取引先データが入っている、または完全な管理が必要な役割に選びましょう。それ以外の全員にはアプリレベルの管理を使い続けます。

会社所有のAndroidスマートフォンでは、従業員が事前に書面で通知を受け、確認した上であれば、当ブログの発行元が提供するHoverwatchのような監視ソフトを事業者が使えます。通話、テキストメッセージ、スマートフォンの位置情報を記録します。

ベンダーはこれをMDMやMAMとは説明しておらず、利用規定では、同意があっても私用スマートフォンでの使用を認めていません。より広い選択肢については、会社所有端末向けの監視ソフトの選び方のガイドをご覧ください。

4つの方法の比較と、どれが合うか

4つを一覧にすると次のとおりです。

方法	守れるもの	従業員に求めること
1. 書面のルールと端末自体のセキュリティ	従業員自身の画面ロック、アップデート、遠隔消去	パスコード、アップデート、紛失時の報告
2. アプリレベルの管理（仕事用プロファイル、MAM）	業務アプリとそのデータ（単独で削除可能）	業務アプリの利用。私用アプリは見えないまま
3. 私用スマートフォンでの端末の完全管理（MDM）	プラットフォームが許す範囲で端末全体。全消去が可能	署名入りの確認書に基づくスマートフォン全体の登録。全消去は消去同意書がある場合のみ
4. 会社支給のスマートフォン	端末全体（会社が完全に管理可能）。きれいな退職	2台目のスマートフォンを持ち歩く

私たちの見解では、状況別にはこうなります。

• 

  状況1

  ごく少人数で、業務メールとチャットだけの場合：書面のルールと端末自体のセキュリティ。

• 

  状況2

  スマートフォンに取引先のファイルや共有アカウントがある場合：アプリレベルの管理。

• 

  状況3

  失えないデータが入っているスマートフォンを使う役割：私用スマートフォンの完全管理ではなく、その役割に会社支給のスマートフォン。

• 

  状況4

  リモートまたはハイブリッドの従業員：分け方は同じです。ツールについては、リモート従業員の監視ソフトと私用端末のガイドをご覧ください。

私たちの見解では、どの方法を選んでも、書面にして署名して初めて成り立ちます。以下がその文面です。

BYODポリシーのテンプレート：コピーして使える4つのパート

以下のサンプル条項は4つのパートに分かれています。コピーして、[会社名]、[ポリシー責任者]、[日付]などの角括弧の項目を置き換え、使わない方法の条項を削除してください。条項2.6、3.1、3.5は、各行がどの方法に属するかを角括弧で示しています。

誰かが署名する前に、お住まいの州向けに最終文面の確認を受けてください。これは出発点であり、法的助言ではありません。

パート1：適用範囲、対象端末、セキュリティの最低基準

[会社名] 私用端末ポリシー、[日付]施行。このポリシーでは、「会社」は[会社名]を、「あなた」は従業員を指します。

1.1 目的と適用範囲。 このポリシーは、[会社名]のメール、チャット、ファイル、アカウントにアクセスするためにあなたが使う私用のスマートフォンとタブレットを対象とします。端末上のそれ以外のものは対象としません。

1.2 参加。 業務に私用端末を使うかどうかは任意です。会社は、使いたくない人に[会社支給のスマートフォン / デスクトップのみでのアクセス]を提供します。

1.3 対象端末。 あなたの端末は、メーカーからセキュリティアップデートを受け取れる必要があります。脱獄（ジェイルブレイク）またはroot化した端末は認められません。

1.4 セキュリティの最低基準。 パスコードまたは生体認証による画面ロックを使い、自動アップデートをオンにしたままにし、業務アカウントでは多要素認証を使ってください。アプリは公式のアプリストアからのみインストールしてください。

1.5 紛失・盗難。 端末を紛失または盗まれた場合は、[24]時間以内に[ポリシー責任者]へ報告してください。

1.6 相談先。 このポリシーに関する質問は、[連絡先]の[ポリシー責任者]へお寄せください。

これらの条項の理由：最低基準は設定とルールであり、管理ソフトではありません。多要素認証は認証アプリでもハードウェアセキュリティキーでも行えるため、1.4は誰にも業務アプリをスマートフォンに入れることを強制しません。

パート2：会社がアクセスできるものと、アクセスしないもの

2.1 会社がアクセスできるもの。 会社がアクセスできるのは、あなたの業務アカウントと業務データ、およびツールが初期設定で表示する端末の詳細（機種、OSのバージョン、パスコードが設定されているかどうかなど。ツールによってはシリアル番号や電話番号の一部）だけです。端末の完全管理では、2.6に挙げた項目も見ることができます。

2.2 会社がアクセスしないもの。 会社は、あなたの私用メール、メッセージ、写真、連絡先、閲覧履歴、私用アプリの内容を見ません。

2.3 監視ソフトや位置情報ソフトは使いません。 会社は、このポリシーに基づいて登録された私用端末に、監視ソフトや位置追跡ソフトをインストールせず、あなたの端末の位置情報も使いません。

2.4 私用のパスワードは求めません。 会社が、あなたの私用端末のパスコードや私用アカウントのパスワードを求めることは決してありません。

2.5 ツールが変わる場合。 会社は、あなたの端末でアクセスできるものに変更がある前に、書面でお知らせします。

2.6 ツールが管理するもの [アプリレベルの管理を使う場合：] 会社は業務アプリだけを管理します。

2.6 [端末の完全管理を使う場合：] 会社は、2.1に挙げた端末の詳細と、[ツールが収集する場合はインストール済みアプリの一覧]を見ることができます。位置情報の報告は、設定でオフにされています。端末全体を消去できるのは、条項3.3に従う場合だけです。

このパートが重要な理由：私たちの見解では、見ないものを先に示すことが、ポリシーを人々が署名するものに変えます。いくつかの州では、雇用主が従業員の個人のオンラインアカウントへのアクセスを求めることも禁じられています。条項2.4はこれに沿っています。

Expert Opinion

“

誰かが署名する前に、使うツールの管理コンソールを開き、実際に何を収集しているかを確認してください。条項2.1の約束より多くを表示するなら、その設定をオフにするか、条項を書き直しましょう。

編集上のペルソナ： Benjamin Yatesは、プロジェクトが承認した架空の専門家プロフィールであり、独立して確認された実在の人物ではありません。このガイダンスは編集チームが執筆し事実確認したもので、インタビューの逐語的な引用ではありません。

ツールが何を見られるかは、方法によって変わります。アプリレベルの管理は、管理対象の業務アプリまでです。端末の完全管理は、端末の詳細と、ツールが収集する場合はインストール済みアプリの一覧にも及びます。

パート3：紛失、遠隔消去、退職

3.1 紛失・盗難 [アプリレベルの管理または端末の完全管理を使う場合：] 1.5の報告を受けて、会社は端末から業務データとアクセス権を削除します。

3.1 [書面のルールのみを使う場合：] 1.5の報告を受けて、会社はあなたの業務アカウントへのアクセスを遮断します。あなたは業務アカウントを削除する必要があり、希望すれば端末を消去してもよく、削除したことを書面で確認します。

3.2 まず選択的削除。 ツールが対応している場合は常に、会社が削除するのは業務アカウントと業務データだけで、あなたの個人データは削除しません。

3.3 全消去は別途の同意がある場合のみ。 会社があなたの端末全体を消去するのは、合意書にある別途の消去同意書にあなたが署名した場合に限ります。端末が紛失・盗難に遭った場合を除き、消去の前にお知らせします。

3.4 ご自身のデータはバックアップしてください。 個人データのバックアップはあなたの責任です。あなたが同意した消去で失われた個人データについて、会社は責任を負いません。

3.5 退職。 最終日に、あなたは端末から業務アカウントと業務アプリを削除します。希望すれば[ポリシー責任者]が立ち会います。秘密保持の義務は、退職後も続きます。

このパートの理由：選択的削除なら従業員の写真は守られるため、全消去には下のフォームに別途の署名が必要です。

パート4：費用と就業時間外の仕事

4.1 費用負担。 会社は、業務に私用スマートフォンを使う従業員に、[月額[金額]の手当 / 申請に応じてスマートフォン料金の一部]を支払います。

4.2 州の規則（あなた向けのメモ。コピーからは削除してください）。 カリフォルニア州をはじめ、一部の州では、雇用主に業務費用の払い戻しが義務づけられています。カリフォルニア州では、業務に使う私用スマートフォンの料金の妥当な割合がこれに含まれます。連邦法では、雇用主が従業員に負担させる業務コストによって、報酬が最低賃金を下回ってはなりません。

4.3 破損と修理。 あなたの端末はあなたの所有物のままで、[会社名]が書面で別段の合意をしない限り[またはお住まいの州が会社に支払いを求めない限り]、修理はあなたの負担です。

4.4 就業時間外の仕事。 待機当番でない限り、就業時間外に業務メッセージを読んだり返信したりすることは求められません。時給で支払われている場合、業務メッセージに費やした時間は労働時間であり、支払われます。

残業代の対象外となる月給制の従業員は、報酬のルールが異なります。4.4が彼らにどう適用されるかは、このポリシーを確認する人に尋ねてください。

このパートの理由：お金と夜の時間は従業員が最初に尋ねることで、書面にしておけば早い段階で言い争いを防げます。それでもポリシーには署名が必要で、下のフォームがそれを集めます。

BYOD合意書：署名と消去同意書のフォーム

確認。 私は、[日付]付の[会社名]私用端末ポリシーを読み、それに従うことに同意します[。条項2.6に基づく私の端末の登録を含みます]。

従業員名：[氏名]；端末（メーカーと機種）：[端末]；日付：[日付]；署名：[署名]

会社の代表者：[氏名]；署名：[署名]；日付：[日付]

従業員は控えを保管します。フォームは電子署名でも構いません。消去同意書に署名しなかった従業員も、会社のツールが対応していれば3.2の選択的削除の対象となり、または1.2の代替案を選ぶこともできます。文面とフォームがそろったら、次の問いは、選んだ方法のために何を有効にするか、そしてその費用です。

何を有効にするか：小さなチームのためのツールと料金

まず1つ質問です。チームのメールは、Microsoft 365、Google Workspace、そのどちらでもない、のどれですか。すでに何が含まれているかはプランで決まります。購入が必要になるのは、必要な設定がプランに載っていない場合か、どちらも使っていない場合だけです。「何を有効にするか」とは探すべき設定の名前のことで、コンソールの操作手順ではありません。

どちらのプラットフォームも使わず、特定の役割に会社支給のスマートフォンを使う場合（方法4）、ツールは会社自身のスマートフォン向けの端末管理サービスになります。Miradoreが一例です。そのプランのページには、14日間のトライアル後に最大50台まで使えるFreeプランが載っており、機能表ではそのプランのLockとWipeにチェックが付いています。このようなサービスは会社所有のスマートフォン向けで、私用スマートフォン向けではありません。

状況	何を有効にするか	ベンダーが掲載しているプラン、料金、期間（事実確認日に確認）
どのチームでも、追加ツールなし	画面ロック、アップデート、そして紛失したスマートフォンを消去するための各従業員の「探す」（iPhone）またはFind Hub（Android）。	スマートフォンに含まれます。
Microsoft 365またはGoogle Workspaceのメール（方法2）	Microsoft：Intuneのアプリ保護ポリシー（プランを確認）。Google：基本的なモバイル管理。Androidの仕事用プロファイルには高度な管理。	Microsoft 365 Business Premium（Teams付き、Intune P1を含む）：$22.00 ユーザー/月、年払い。Intune P1のみ：$8.00 ユーザー/月、年払い。Google Workspace Business Plus：年間プラン（1年契約）でユーザーあたり$22.00/月、月払い、税別。
どちらでもなく、特定の役割に会社支給のスマートフォン（方法4）	ロックと消去に対応した、Miradoreなどの会社支給スマートフォン向け端末管理サービス。	Miradore Free：14日間のトライアル後に最大50台。有料プラン：端末ごと、プランのページを参照。

MicrosoftとGoogleはユーザー単位、Miradoreは端末単位の課金なので、金額は比較できません。料金は変わります。以下はベンダーのページで2026年10月22日に確認したものです。

何を有効にするかがわかれば、何を省いてよいかもわかります。

時間とお金をかけなくてよいところ

この7つのポイントは、これまでの節から導いた私たちの見解です。

• 

  ヒント1

  私用スマートフォンへの監視ソフト：テンプレートでは認めておらず（条項2.3）、スマートフォン上の会社データも守りません。

• 

  ヒント2

  私用スマートフォンの完全管理：会社支給のスマートフォンのほうがすっきりする場合は、支給してください。私用スマートフォンの全消去は、従業員の写真まで消してしまいます。

• 

  ヒント3

  2つ目の管理コンソール：まず、プランにすでに何が含まれているかを確認してください。Microsoft 365 Business PremiumにはIntune P1が含まれ、Google Workspace Business Plusには高度なモバイル管理が載っています。ページにその設定が載っていないプラン、たとえばMicrosoft 365 Business Standard、Google Workspace Business StarterやStandardでは、先にアドオンか別のプランが必要です。

• 

  ヒント4

  誰も署名しないポリシー：それは双方が合意したものではなく、ただの通達です。フォームは電子署名でも構いません。

• 

  ヒント5

  私用スマートフォンに残る業務メール：会社支給のスマートフォンを受け取ったら、その日のうちに私用スマートフォンから業務アカウントを削除してください。

• 

  ヒント6

  ポリシーの代わりの監視ソフト：会社支給のスマートフォンでの操作を記録するだけで、私用スマートフォンのルールは定めないため、書面のポリシーの代わりにはなりません。

• 

  ヒント7

  ポリシーに何もかも期待すること：どんなポリシーも、スマートフォンからすでにコピーされたデータを取り戻したり、州ごとの法的レビューの代わりになったり、規制対象データに関する業界の規則を単独で満たしたりはできません。

方針が決まれば、導入は1週間でできます。

小規模事業者がBYODポリシーを1週間で導入する

小さなチームなら、1日1ステップで十分です。

その後： 私たちの見解では、ポリシーは年に1回、またはツールが変わるたびに見直しましょう。

以下の質問は、従業員やIT担当者が公開フォーラムで尋ねていたことに基づき、事業者側の立場から答えています。

FAQ：従業員とマネージャーがよく尋ねること

• 小規模事業者は、たとえばサインイン用アプリのために、従業員に業務で自分のスマートフォンを使うよう求められますか。 +

  多くの場合は可能です。「at will」（随意雇用）では、民間の雇用主は合法的な理由であればいつでも雇用を終了できますが、払い戻しや配慮の義務は引き続き適用されます。州によっては雇用主に業務費用の払い戻しを求めており、カリフォルニア州は私用スマートフォン料金の妥当な割合を求めています。障害への配慮が必要な従業員には、別のサインイン方法が必要になることもあります。
  
  ハードウェアセキュリティキーや会社支給のスマートフォンなら、争いを避けられます。私用スマートフォンに業務アプリを入れなくても、サインインできるからです。そのためテンプレートは、条項1.2で私用端末の利用を任意としています。それでも義務づけるなら、初日から支払いましょう。

• 従業員が、私用スマートフォンに当社のセキュリティソフトを入れるより、会社の端末を受け取りたいと言っています。認めるべきでしょうか。 +
• マネージャーは、職場で従業員の私用スマートフォンの中身を見せるよう求められますか。 +
• ある従業員が、手当なしで何年も業務に私用スマートフォンを使ってきました。過去の分を支払う必要はありますか。 +
• 従業員が退職するとき、私用スマートフォンにすでに同期された業務メールを取り戻せますか。 +

この記事のすべての情報は、情報提供のみを目的としており、法的助言ではありません。