HOME/ビジネス/Microsoft Security/Microsoft Intune
Microsoft Intune
端末管理（MDM・MAM）とゼロトラスト、AI時代の業務環境の設計
Microsoft Intuneは、会社の
01/Intuneとは
Microsoft Intuneとは：会社のPC・スマートフォンを一元管理するクラウドサービス
Microsoft Intune
管理の方法は
Intuneがしていること
Microsoft Learn「Microsoft Intune のアプリ管理とは」などの記載をもとに作図
把握するどの端末を、誰が使っているか 会社の端末を登録し、利用者・OSの版・セキュリティの状態を一覧にする
→
そろえる設定・アプリ・更新を配るパスワードの決まり、暗号化、業務アプリ、OSの更新を、遠隔でまとめて適用する
→
守る安全な端末だけを通すルールを満たした端末だけに社内のデータを開き、紛失時は遠隔でロック・消去する
一緒に使われるMicrosoft製品との役割分担
Microsoft Intune
端末とアプリを管理する
PC・スマートフォンを登録し、設定・アプリ・更新を配り、ルールを満たしているかを確かめる。
Microsoft Entra ID
人のIDと入口を管理する
社員のIDでサインインを確かめ、Intuneが「安全」と判定した端末からだけ社内のデータに入れる（条件付きアクセス）。Entra IDの設計も支援しています。
Microsoft Defender
攻撃を見つけて止める
端末で起きた不審な動きを検知し、調査・対応する。Intuneは、Defenderの設定を端末に配る役割も持つ。
Microsoft Purview
データそのものを守る
文書に機密のラベルを付け、持ち出しを防ぐ。端末の外に出たデータの扱いを決める。
Intuneを使うメリット
端末を把握できる
誰がどの端末を使い、OSやセキュリティの状態がどうなっているかを、一覧で確かめられます。
設定のばらつきがなくなる
パスワード、暗号化、画面ロックなどのルールを全端末に同じ形で配れます。
どこからでも安全に使える
ルールを満たした端末だけが社内のデータに入れるため、在宅や外出先でも同じ水準で守れます。
私物の端末も仕事に使える
仕事用のアプリとデータだけを守る方法を選べば、社員の私的な領域に立ち入らずに済みます。
紛失しても被害を抑えられる
端末を遠隔でロックしたり、会社のデータだけを消したりできます。
準備と入れ替えが速くなる
新しいPCは、電源を入れて社員がサインインするだけで、必要な設定とアプリがそろいます。
02/注目される背景
社外で働く前提のセキュリティ： 公的ガイドラインが示す端末管理とゼロトラスト
在宅勤務や
文書（発行主体・時期）端末管理に関する記載の要旨
ゼロトラストアーキテクチャ適用方針（DS-210） デジタル庁／2022年6月30日
政府情報システム向けに、6つの適用方針を示しています。最初の方針「リソースを識別し、特定できる状態にする」では、業務利用を許可した個人端末を含むデバイスを登録対象とし、手作業での把握は現実的でないとして、端末の初回起動時に自動で資産登録する仕組みを例に挙げています。デバイスのOSのバージョンや構成情報を確かめ、その結果でアクセスを判断することも方針に含まれます。
テレワークセキュリティガイドライン（第5版） 総務省／2021年5月
テレワークの対策を「資産・構成管理」「データ保護」「アカウント・認証管理」など13の分類で整理しています。私物端末を使う場合（BYOD）は、利用ルールの策定、端末に必要な対策が施されていることの確認、端末の管理が必要だとしています。
中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）第3版 総務省／2022年5月
対策項目として「テレワーク端末の紛失時に備えてMDM等を導入し、リモートからのデータ消去、ログイン時の認証ポリシーやハードディスクの暗号化などのセキュリティ設定を強制的に適用する」を挙げています。会社支給・私物のどちらの端末でも対象とされています。
ゼロトラストの6つの適用方針と、端末管理が担う部分
デジタル庁「ゼロトラストアーキテクチャ適用方針」（2022年6月）の6つの適用方針をもとに作図。色の濃い3つが、端末管理（Intune）が主に担う部分
方針 1リソースを識別し、特定できる状態にする 端末を登録し、台帳にする
方針 2主体の身元確認・当人認証を実施する サインインする人を確かめる（Entra ID）
方針 3ネットワークを保護する 通信を暗号化する
方針 4リソースの状態を確認する OSの版や設定がルールどおりかを確かめる
方針 5アクセス制御ポリシーで評価し、アクセス管理をする 安全な端末だけを通す（条件付きアクセス）
方針 6リソースとアクセスを観測する 記録を残し、不審な動きを見つける（Defender）
さらに、端末の
03/主な機能
Intuneでできることと、ライセンスの考え方
Intuneの
できること内容業務での使い道
端末の自動準備Windows Autopilot
新しいPCを社員に直接送り、電源を入れてサインインするだけで、会社の設定とアプリが入ります。
情報システム部門が1台ずつ準備（キッティング）する手間をなくす
設定の配布構成プロファイル
パスワード、暗号化、Wi-Fi、VPN、USBの利用可否などの設定を、端末にまとめて配ります。
全社で同じセキュリティ水準をそろえる
ルールの確認コンプライアンスポリシー
OSの版、暗号化、ウイルス対策などが会社のルールを満たしているかを、端末ごとに判定します。
ルールを満たさない端末を見つけ、本人に直してもらう
安全な端末だけを通す条件付きアクセス（Entra ID連携）
ルールを満たした端末からだけ、メールやファイルなど社内のデータに入れるようにします。
私物や管理外の端末からの情報持ち出しを防ぐ
アプリの配布アプリ管理
業務アプリや自社開発のアプリを、部署ごとに配ったり、更新したりします。
部署に必要なアプリだけを、手作業なしで届ける
仕事のデータだけを守るアプリ保護ポリシー（MAM）
仕事用アプリのデータを、私用アプリへコピー・保存できないようにします。
私物のスマートフォンで、安全に業務メールやTeamsを使う
更新の管理Windows Update の管理
OSやアプリの更新を、試験用の少人数から順に配ります。
更新で業務が止まる事故を防ぎながら、弱点を早くふさぐ
紛失・退職時の対応リモートロック・ワイプ
端末を遠隔でロックしたり、全データまたは会社のデータだけを消したりします。
紛失や退職のときに、情報の流出を防ぐ
Intuneは、
04/MDMとMAM
会社支給端末と私物端末（BYOD）： MDMとMAMの使い分け
端末をどこまで
MDM（モバイルデバイス管理） 会社支給の端末：端末ごと管理する
端末全体を会社が管理 会社のアプリ・データ（守る） 設定・アプリ・更新・暗号化も会社のルールで管理
・設定・アプリ・更新をMAM（モバイルアプリケーション管理） 私物の端末（BYOD）：仕事のアプリだけを守る
端末は個人のもの（会社は管理しない） 会社のアプリ・データ（守る） 写真・私用アプリ・個人データ（会社は見ない・消さない）
・端末を会社に05/導入の進め方
Intune導入の6つの工程： 端末の棚卸しから部署ごとの展開まで
端末管理は、
導入の流れ
1
端末とIDの棚卸し
会社の端末が何台あり、誰が使い、どの方法で管理されているかを洗い出します。管理されていない端末や、複数の台帳に分かれた情報もここで見つけます。
端末台帳・管理状況の診断
2
登録のルールづくり
会社支給の端末だけを登録できるようにするか、私物を認めるか、どの方法で登録するかを決めます。
登録ルール・BYOD方針
3
ルールとアクセス条件の設計
端末が満たすべきルールと、満たさない端末をどう扱うか（社内のデータに入れない等）を、IDの仕組みと合わせて決めます。
準拠ルール・アクセス条件
4
設定・アプリ・更新の準備
配る設定、部署ごとのアプリ、更新の順番を用意します。Defenderなどのセキュリティ設定もここで組み込みます。
設定一覧・配布計画
5
少人数のパイロット
数名から十数名で試し、業務が止まらないか、問い合わせが増えないかを確かめて、設定を直します。
検証結果・利用者向け手順書
6
部署ごとの展開と運用
部署単位で広げ、状況を定期的に確認し、ルールを見直す運用に移します。
展開計画・運用手順
06/当社の支援内容
端末管理の基礎・安全な業務環境・AI時代の統制の3層で組み立てるIntune支援
Microsoft Intune
支援の3層
合わせて構成
LAYER 1端末管理の基礎
端末の登録、設定の配布、ルールの確認、アプリの配布、更新の管理を整えます。会社支給の端末と私物端末（BYOD）の使い分けも、ここで決めます。 IntuneWindows AutopilotMDM・MAM
LAYER 2安全な業務環境
社員のID、脅威への備え、クラウド上のPC（Windows 365）と組み合わせ、ルールを満たした端末からだけ社内のデータに入れる業務環境をつくります。 Entra ID 条件付きアクセスDefender for EndpointWindows 365
LAYER 3AI時代の統制
社員の端末で動くAIツールや、AIエージェントが使う作業環境を、人と同じルールで管理します。AIエージェントの登録・権限の統制（Agent 365）と組み合わせます。 Agent 365シャドーAIの把握Windows 365 for Agents
顧客環境（Microsoft 365・Azure）に
支援 2
登録・ルール・アクセス条件の設計
会社の端末だけを登録できる仕組み、端末が満たすべきルール、ルールを満たした端末だけを通すアクセス条件を、IDの設計と合わせて組み立てます。
組み合わせるサービス Microsoft Entra ID
支援 3
会社支給端末とBYODの方針づくり
端末の持ち主と業務の内容に応じて、端末ごと管理するか、仕事のアプリだけを守るかを決め、社員向けの利用ルールにまとめます。
組み合わせるサービス Microsoft Purview
支援 4
セキュリティ設定の組み込み
セキュリティの標準設定、ウイルス対策・攻撃の検知、攻撃に使われやすい機能の制限を、Intuneから端末に配る構成を設計します。
組み合わせるサービス Microsoft Defender
支援 5
クラウド上のPC（Windows 365）の管理
社員やAIが使うクラウド上のPC（Cloud PC）をIntuneで管理し、ドライブやUSB、コピー＆ペーストの制限を含む作業環境を設計します。少人数のパイロットから部署ごとの展開まで、段階を分けて計画します。
組み合わせるサービス Agentic Security
07/特長
人とAIエージェントが働く環境を、ID・端末・クラウド上のPCで一体設計
08/取り組み事例
社内環境での端末管理と、AI業務基盤・AIエージェント統制へのIntuneの組み込み
当社は、自社の
対象・テーマ取り組み内容
当社（社内の業務環境） 端末管理の診断と登録計画
自社の業務環境でIntuneを使い、管理状況を調べて、管理されていない端末や、複数の管理手段に分かれた端末情報を課題として整理しました。そのうえで、Intuneへの登録を進める計画に落としています。
当社（AIを使った業務基盤の構成案） Cloud PC・ID・端末の一体設計
AIを使った業務基盤の構成案として、会社が事前に登録した端末だけを許可し私物端末を禁止する登録制限、ルールを満たした端末だけが社内のデータに入れるアクセス条件、Cloud PCのIntune管理、セキュリティの標準設定、Defender for Endpoint、攻撃に使われやすい機能の制限、ドライブ・USB・コピー＆ペーストの制限を設計しています。少人数のパイロットから部署ごとの展開までの段階と完了条件も定めています。
お客様向けのご提案 AIエージェント統制への組み込み
AIエージェントの統制基盤の構築支援として、Agent 365を中心に、Entra・Defender・Purviewと並べてIntuneによる端末管理を組み込んだ構成を設計しています。
09/顧客価値
端末の把握漏れ・設定のばらつき・紛失時の対応遅れの解消と、役割別の効果
よくある課題当社の進め方得られる価値
会社の端末が何台あり、誰が使っているかを正確に答えられない
端末とIDを棚卸しし、Intuneに登録して台帳を一本化する
監査や紛失時に、すぐに状況を説明できる
部署や人によって、端末の設定がばらばら
ルールと設定をまとめて配り、満たさない端末を見つける
全社で同じセキュリティ水準を保てる
私物のスマートフォンで業務メールを見ている
仕事のアプリとデータだけを守る方法（MAM）を設計する
社員のプライバシーを守りながら、情報の持ち出しを防げる
新しいPCの準備に、情報システム部門の時間が取られる
Windows Autopilotで、サインインするだけで準備が終わる流れをつくる
入社・入れ替え時の準備時間を大きく減らせる
社員が許可されていないAIツールを使っている
端末上のAIツールを把握し、利用ルールとAIエージェントの統制とつなぐ
AI活用を止めずに、統制の取れた形で広げられる
経営層・リスク管理
端末からの情報漏えいのリスクを把握し、ガイドラインに沿った対策を取っていることを説明できます。
情報システム部門
端末の準備・設定・更新・紛失対応を遠隔でまとめて行え、1台ずつの作業から離れられます。
セキュリティ担当
ルールを満たさない端末を見つけ、社内のデータに入れないようにできます。Defenderの検知とも連携できます。
社員
新しいPCがすぐに使え、在宅や外出先でも同じように働けます。私物端末でも、私的な領域は会社に見られません。
10/業界ユースケース
金融・製造・現場業務・AI活用での使い道と、向いている企業
業界・領域よくある悩みIntuneでの使い道
金融・保険
顧客情報を扱う端末の管理と、監査での説明が厳しく求められる
登録制限とアクセス条件で、管理された端末からだけ顧客情報に入れるようにし、記録を残す
製造
工場・拠点ごとに端末の管理方法が違い、更新が遅れがち
拠点の端末をIntuneに集約し、更新を少人数から順に配る
小売・物流・現場業務
店舗や倉庫で共用するタブレット・スマートフォンの設定や紛失対応が大変
共用端末を業務アプリだけが使える状態に固定し、紛失時は遠隔でロックする
全業種（在宅勤務・BYOD）
私物端末の業務利用を認めたいが、情報の持ち出しが心配
仕事のアプリとデータだけを守る方法（MAM）で、私的な領域に立ち入らずに管理する
全業種（AI活用）
社員が許可されていないAIツールを端末で使っている。AIエージェントの作業環境の管理方法がない
端末上のAIツールを把握し、AIエージェントが使うCloud PCを人と同じルールで管理する
向いている企業
・Microsoft 365（E3・E5・Business Premium）を契約しているが、Intuneを十分に使えていない ・在宅勤務や拠点が多く、端末が社外で使われている ・私物端末の業務利用（BYOD）を、ルールを決めて認めたい ・AIエージェントやCopilotの全社展開を見据え、統制の土台を整えたい
別の方法が合う場合
・端末が少数で、手作業の管理で十分に回っている ・Microsoftの仕組み（Microsoft 365・Entra ID）を使う予定がない ・端末の大量調達・物理的な設置作業（キッティング作業の代行）だけを求めている
最初の打ち合わせで伺うこと
Q. 管理対象の端末は何台で、OSの内訳（Windows・Mac・iPhone・Android）はどうなっていますか Q. 端末の台帳はどこにあり、何で管理していますか Q. 私物端末の業務利用を認めていますか。認める予定はありますか Q. Microsoft 365のライセンスの種類と、Entra IDの利用状況を教えてください Q. 端末の紛失や退職時の対応手順は決まっていますか Q. 社員が使っているAIツールや、今後使うAIエージェントの予定はありますか
11/想定ROI
端末の準備・設定配布・紛失対応・監査準備の工数試算
社員1,000
作業現状導入後削減
新しいPCの準備（キッティング）
300台 × 3時間 = 年900時間
300台 × 0.5時間 = 年150時間
▲83%
設定変更・アプリの配布
月20時間 = 年240時間
月5時間 = 年60時間
▲75%
OS・アプリの更新の確認と催促
月16時間 = 年192時間
月4時間 = 年48時間
▲75%
紛失・退職時の端末対応
年60件 × 2時間 = 年120時間
年60件 × 0.5時間 = 年30時間
▲75%
監査・報告のための端末状況の集計
年4回 × 24時間 = 年96時間
年4回 × 6時間 = 年24時間
▲75%
ライセンス費用と
12/他の手段との違い
台帳管理・社内サーバでの管理・他社の端末管理製品との比較
方法特徴起きやすいこと
表計算ソフトの台帳
すぐに始められ、費用がかからない
実態とずれ、紛失時や監査時に正確な状況が分からない
社内サーバでの管理（グループポリシー等）
社内ネットワークにつながる端末は細かく管理できる
社外で使う端末やスマートフォンに設定が届きにくい
他社の端末管理製品
製品によっては特定のOSや業種向けの機能が充実している
Microsoft 365のIDとの連携やライセンスの重複を別途検討する必要がある
当社の支援（Intune）
Microsoft 365のIDと一体で、社外の端末やCloud PC、AIの作業環境まで同じルールで管理する
最初に端末とIDの棚卸しと、ルールの合意が必要
13/ガバナンス
管理者権限・変更の承認・社員のプライバシーと責任分界
端末管理の
管理者権限の分割
全社の端末を変えられる権限を少人数に絞り、部署や地域ごとに管理できる範囲を分けます。
重要な変更の承認
全端末の消去や設定の一括変更など影響の大きい操作は、別の管理者の承認を経てから実行する設定にします。
段階的な配布
設定や更新は、少人数から順に配り、問題がないことを確かめてから広げます。
社員のプライバシー
私物端末では会社が見られる範囲・消せる範囲を限定し、社員向けの利用ルールで説明します。
記録と監査
誰がいつどの設定を変えたか、どの端末がルールを満たしているかを記録し、監査に使えるようにします。
AIツールの利用ルール
端末で使ってよいAIツールと禁止するものを決め、AIガバナンスの方針と合わせて運用します。
14/当社について
Microsoftの上位パートナー認定と、ID・セキュリティ・AIエージェント統制の支援体制
Microsoftの上位パートナー認定
「AI Platform on Microsoft Azure」「Agentic DevOps with Microsoft Azure and GitHub」の2つのSpecializationを取得しています。2024年に「AI イノベーション パートナー オブ ザ イヤー」を受賞しました。
ID・セキュリティ領域の支援
Microsoft Entra ID、Microsoft Defender、Microsoft Purviewの設計・導入を支援し、AIエージェントの全社展開に向けて対応領域を広げています。
AIエージェントの統制
Agent 365を中心に、エージェントの登録・ID・権限・監視の統制基盤の設計を支援しています。
自社での利用
自社の業務環境でもIntuneを使い、管理状況の診断と登録の計画を進めています。
15/はじめ方
端末管理の現状診断から部署ごとの展開までの5ステップのスタートプラン
まず現状の
1
STEP 1 現状診断
端末の台数と内訳、台帳、管理の方法、Microsoft 365のライセンスとEntra IDの利用状況を確かめます。効果を比べる基準となる現行工数もここで測ります。
2
STEP 2 方針の決定
会社支給端末と私物端末の扱い、登録の方法、満たすべきルール、アクセスの条件を決めます。
3
STEP 3 設定の準備とパイロット
設定・アプリ・更新を用意し、少人数で試して、業務への影響と問い合わせの量を確かめます。
4
STEP 4 部署ごとの展開
部署単位で広げ、利用者向けの手順書と問い合わせ窓口を整えます。
5
STEP 5 運用の定着と拡張
定期的な状況確認とルールの見直しを運用に組み込み、Cloud PCやAIエージェントの統制へ広げます。X-Tech FDEで現場に入り込んで伴走します。
AIエージェントの
16/関連ソリューション
17/よくあるご質問
Q. Microsoft Intune（マイクロソフト インチューン）とは何ですか。
A. 会社のPC・スマートフォン・タブレットとアプリを、インターネット経由で一元管理するMicrosoftのクラウドサービスです。端末ごと管理するMDMと、仕事のアプリとデータだけを守るMAMの両方の機能があります。
Q. MDMとMAMは何が違いますか。
A. MDM（モバイルデバイス管理）は端末全体を会社の管理下に置く方法で、主に会社支給の端末に使います。MAM（モバイルアプリケーション管理）は、端末は個人のままで、仕事用のアプリとデータだけを守る方法で、私物端末（BYOD）に向いています。
Q. Intuneのライセンスはどれに含まれていますか。
A. Microsoft 365 E3・E5、Microsoft 365 Business Premiumなどに含まれています。上位の機能の範囲は改定されることがあるため、導入時に最新の公式情報を確かめたうえでご提案します。
Q. Entra IDとIntuneはどう違いますか。
A. Entra IDは人のIDとサインインを管理し、Intuneは端末とアプリを管理します。Intuneが「ルールを満たしている」と判定した端末からだけ社内のデータに入れるようにするには、両方を組み合わせます（条件付きアクセス）。Entra IDの設計も支援しています。
Q. 私物のスマートフォンを管理すると、写真や個人データも会社に見られますか。
A. MAMで仕事のアプリだけを守る方法を選べば、端末を会社に登録する必要はなく、会社が見られる・消せるのは仕事のアプリのデータに限られます。社員向けの利用ルールで、見られる範囲を説明します。
Q. 社内サーバのグループポリシーで管理していますが、置き換えが必要ですか。
A. すぐに全部を置き換える必要はありません。社外で使う端末やスマートフォンからIntuneに移すなど、現状の診断結果に合わせて段階的に進めます。
Q. AIエージェントとIntuneは関係がありますか。
A. Microsoftは、Intuneに登録したWindows端末で許可されていないAIエージェントを見つけて止める機能（試験提供中の機能・プレビュー）や、AIエージェント専用のCloud PC向けのセキュリティ設定の標準を加えています。当社は、これらをAgent 365によるAIエージェントの統制とつなげて設計します。
Q. 効果はどのくらい出ますか。
A. 一律の削減率はお約束できません。最初の診断で、端末の準備・設定配布・紛失対応などの現行工数を測り、貴社の状況に合わせて効果を算出します。
Q. 最初は何から始めればよいですか。
A. 端末とIDの棚卸し（現状診断）から始めます。端末の台数と管理の方法、ライセンスの状況を確かめ、少人数のパイロットで業務への影響を確かめてから広げます。
Microsoft Intuneのご相談
端末管理の