MDM/BYOD管理ガイド2026｜Intune料金・MAMとの違い・失敗回避チェックリスト

結論を先に述べる。 個人所有端末（BYOD）を業務利用させたい中小企業が最初にすべき判断は「どのMDM製品を買うか」ではない。「その端末を丸ごと管理（MDM）するのか、業務アプリの中だけを守る（MAM／アプリ保護ポリシー）のか」という管理方式の選択だ。ここを取り違えると、従業員のプライバシー反発で導入が止まる、逆に管理が緩すぎて情報漏えいの穴が残る、という両極の失敗を招く。Microsoftの公式ドキュメントでも、BYODの個人端末はデバイス登録（MDM）なしでアプリ単位に保護する「アプリ保護ポリシー」が想定用途として明記されている（Microsoft Learn｜MAMとアプリ保護のFAQ）。

本記事は、社内にIT専任者が少ない年商1〜10億円規模の企業の経営者・実務決裁者に向けて、MDM/MAMの違い、BYODと会社支給の分け方、Microsoft Intune・Jamf・CLOMOの選定軸、そして製品カタログには載らない「発注前に確認すべきこと」「ベンダーに聞くべきこと」「見積もりの隠れコスト」を判断フレームとして提示する。数字の羅列ではなく、どこで判断を誤り、どこで費用が膨らむのかを先回りするための記事である。

この記事の要点（先に押さえる3点）

1. BYODの正解はMDMではなくMAM寄り：個人端末を丸ごと管理しようとすると反発と法務リスクが出る。業務アプリの中だけを守るアプリ保護ポリシー＋条件付きアクセスが、利便性とセキュリティの現実的な折衷点。
2. Intuneは「新規購入」より「既に払っている枠の棚卸し」から：Microsoft 365 Business Premium以上を契約済みなら、Intune相当の機能はすでに料金に含まれている。二重投資を避けるため、まず自社ライセンスの中身を確認する。
3. 製品選定はOS構成・ID基盤・IT体制から逆算：Windows中心ならIntune、Apple統一ならJamf、多OS混在で日本語サポート重視ならCLOMO、が大枠。だが「誰が運用するのか」を決めずに製品だけ入れると、設定した瞬間から放置される。

この記事を読むべき人

• テレワークやBYODを認めているが、端末管理のルールが曖昧なまま運用している経営者・管理部門長
• Microsoft 365を契約しているのに、Intuneを使っていない（あるいは使えることを知らない）企業
• 取引先や親会社から「デバイス管理体制を示してほしい」と求められ、対応を迫られている担当者
• MDM製品の見積もりを取ったが、どこを見て判断すればいいか分からない情シス（兼任含む）
• 従業員の私物スマホに会社データが入っているが、紛失・退職時にどうなるか把握できていない企業

なぜ今、デバイス管理を先送りできないのか

「社内ネットワーク＝安全」という前提はもう成り立たない

働く場所が自宅・カフェ・出張先へ広がった結果、ファイアウォールの内側だけを信頼する境界型の守り方は機能しなくなった。守るべき対象がネットワークの「線」から、端末という「点」へ移ったということだ。どのネットワークにつないでも一定のセキュリティ水準を端末側で担保する仕組み、それがMDM/MAMの役割になる。

公的データが示す、脅威の所在

独立行政法人 情報処理推進機構（IPA）が2026年に公表した「情報セキュリティ10大脅威 2026」の組織編では、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」に続き、「リモートワーク等の環境や仕組みを狙った攻撃」が引き続き上位脅威として挙げられている（IPAは順位を対策の優先度とは切り離すよう明言している点に注意）。端末やリモートアクセス経路が攻撃の入口になり続けている、という事実は変わらない。

漏えいの規模感も公的統計で裏取りできる。個人情報保護委員会の「令和6年度 年次報告」によれば、令和6年度（2024年4月〜2025年3月）に処理された漏えい等事案の報告は19,056件で、前年度の12,120件から約57%増と過去最多を更新した。原因の内訳では、報告者本人からの漏えいは誤交付・誤送付・誤廃棄といったヒューマンエラーが8割超を占める一方、委託先からの漏えいでは不正アクセスが最多だった。つまり「人の手違い」と「外部からの侵入」の両面で守りが要る。端末を管理下に置くことは、このどちらに対しても効く数少ない打ち手だ。

なお、1件あたりの漏えいコストを「平均◯億円」と断言する海外調査（IBMのCost of a Data Breach等）も流通しているが、これらは大企業を含むグローバル平均で、母集団・算定方法が中小企業の実態と異なる。本記事では金額の断定は避け、「一度の漏えいが、MDMの数年分のコストを桁違いに上回りうる」という定性的な事実に留める。数字の大きさで脅すより、次に述べる判断の順序のほうが実務では役に立つ。

MDMとMAMの違い（ここを外すと全部ズレる）

MDMとMAMは似た略語だが、守る対象が根本的に違う。ここを理解しないまま製品を選ぶと、BYODで炎上するか、セキュリティに穴が空くかのどちらかになる。

Microsoftの公式FAQは、アプリ保護ポリシー（MAM）について「デバイス管理状態を設定せずにMAMポリシーをユーザーに適用すると、個人所有デバイス（BYOD）でもポリシーが適用される」と説明している（MAM FAQ）。さらに、データ消去にはフルデバイスワイプ／MDMの選択的ワイプ／MAMの選択的ワイプの3種類があり、MAMの選択的ワイプは「アプリから業務データだけを削除する」と明記されている。つまり退職者の私物スマホから、個人の写真は一切触らず会社メールとファイルだけを消す、という運用が公式に想定されている。

実務上の勝ち筋はこうだ。 会社支給端末はMDMで丸ごと管理する。私物のスマホ・タブレット（BYOD）はMDM登録を求めず、MAM（アプリ保護ポリシー）＋条件付きアクセスで「業務アプリの中だけ」を守る。私物PCは業務アプリのブラウザ利用に絞る。この三層の切り分けを最初に決めれば、後の製品選定も導入の説明もぶれなくなる。

BYODか会社支給か——二者択一で考えない

「BYODは安い」「会社支給は安全」という単純な対立で決めると失敗する。判断軸は費用だけではない。取り扱うデータの機密度、職種、退職時の回収可能性、法務・就業規則の整備コストまで含めて考える。

判断軸マトリクス

BYODは端末購入費がゼロに見えて安いが、見えないコストがある。私物利用を認めるなら、監視範囲を明示した同意書、業務利用手当（通信費・端末摩耗の一部負担）、就業規則やBYOD規程の整備、労務との合意形成が要る。これを飛ばすと、後で「勝手に私物を監視された」というトラブルや、逆に手当なしの私物業務利用が労務問題化するリスクが残る。費用比較は端末代だけでなく、この制度整備コストまで含めて初めて正しく比べられる。

ハイブリッドが現実解

多くの企業の着地点は「営業・現場には会社支給、内勤にはBYOD＋MAM」というハイブリッドだ。全社一律にせず、職種と機密度でゾーニングする。この設計自体が、後述の第三者診断で最も相談が多いポイントでもある。

Microsoft Intune・Jamf・CLOMO——選定の実像

製品比較表は各社サイトに溢れているので、ここでは「自社にとってどれか」を逆算するための軸に絞る。

対応OSと得意領域

判断の起点はシンプルだ。すでにMicrosoft 365を使っているか。社内端末はWindowsかAppleか。ID基盤（誰がどの端末でログインしているか）を持っているか。 この3つで大枠が決まる。ゼロトラスト（端末が会社の基準を満たしていなければ社内リソースへのアクセスを自動で遮断する仕組み）まで見据えるなら、ID基盤と条件付きアクセスが直結するIntuneが有利。Apple統一環境ならJamf、日本語サポートと多OS対応を最優先するならCLOMOが候補になる。

Intuneの料金は「新規で買う」前に自社枠を確認する

Intuneの料金でつまずく企業が多いので、公式情報で整理する。Microsoftのライセンス解説によれば、Intuneは3構成だ。

• Intune Plan 1：基本サービス。クラウドベースのデバイス／アプリ統合管理（MDM/MAM）と条件付きアクセス。
• Intune Plan 2：Plan 1へのアドオン。MAM用Microsoft Tunnel、専用／共有デバイス管理、FOTA（無線経由ファーム更新）など。
• Intune Suite：Plan 1へのアドオン。Plan 2を含み、リモートヘルプ、高度分析、Endpoint Privilege Management、Cloud PKIなどを統合。

重要なのは、多くの企業はこれらを単体購入せず、Microsoft 365バンドル経由で手に入れているという点だ。中小企業の定番であるMicrosoft 365 Business Premiumには、Intune Plan 1相当のデバイス／アプリ管理機能が含まれる（Microsoft 365 Businessプランと価格）。Business Premiumは月額2,180円（税別・年間契約、1ユーザーあたり／2026年時点の公式表示）で、この中にOffice・メール・セキュリティとともにIntuneが入っている。つまりすでにBusiness Premiumを払っている企業は、追加コストなしでIntuneを使い始められる。別のMDMを新規契約する前に、この事実を必ず確認したい。ここを見落として二重に払っている中小企業は少なくない。

なお2026年7月にはMicrosoft 365商用ライセンスの価格改定が実施されたが、Business Premiumは値上げ対象外で据え置きとされている（複数の代理店による解説。最終的な自社の適用価格は契約更新日と販売形態で変わるため要確認）。加えて、Microsoftの案内では2026年7月以降、E3/E5などの上位ライセンスにPlan 2相当の高度機能やリモートヘルプ等が順次組み込まれる動きがある。今まさにライセンスの中身が変わる局面であり、「去年の見積もり」で判断すると損をする。これが本記事を今読むべき理由でもある。

Jamf・CLOMOの料金は、Jamfがデバイス単位課金でApple Business Manager連携により購入から初期設定まで自動化できる点、CLOMOが初期費用＋基本料＋デバイス単位の月額という国内型の明快な体系で日本語サポートと請求書払いに強い点が特徴だ。ただし各社とも公表価格はプランや台数、代理店によって変動するため、カタログ価格をそのまま自社コストと見なさず、必ず自社の台数・OS構成で見積もりを取ること。

GXOが見てきた「デバイス管理の失敗パターン」

製品の優劣より、導入プロセスの設計ミスで失敗する企業のほうが圧倒的に多い。典型を挙げる。自社に一つでも当てはまれば、発注前に立ち止まる合図だ。

• 「入れて終わり」問題：MDMを契約したが、ポリシーを設定した後は誰も見ていない。非準拠端末が放置され、コンソールが形骸化する。運用担当と月次レビューを決めないまま導入すると必ずこうなる。
• BYODプライバシー炎上：私物端末にMDMを丸ごと入れさせようとして従業員が反発し、導入が頓挫する。MAMで業務アプリだけを守る設計にすべきところを、方式選択を誤った典型。
• 条件付きアクセス抜けの穴：端末は登録したが、「非準拠端末からのアクセスを遮断する」条件付きアクセスを設定しておらず、管理していない端末からも社内データに入れてしまう。MDMを入れただけでは守れない。
• 退職時ワイプ漏れ：退職者の私物端末に業務データが残ったまま。回収の運用フローを決めていないため、誰も消去を実行しない。
• 二重管理・二重課金：Microsoft 365 Business Premiumを契約済みなのに、別のMDMを新規契約。機能が重複し、運用も二系統になる。
• PoC止まり：試験導入は成功したが、全社展開の体制（ヘルプデスク・マニュアル・段階ロールアウト）を用意せず、本番移行できないまま放置される。

これらはいずれも製品の問題ではなく、「誰が・何を・どの順で決めるか」を設計しなかったことによる失敗だ。

発注前チェックリスト（保存版）

MDM/MAMの見積もりを取る前、あるいはベンダーに相談する前に、以下を自社で確認する。埋まらない項目があるなら、そこが相談すべき論点だ。

• 会社支給端末とBYOD端末の台数・OS（Windows/mac/iOS/Android）を棚卸ししたか
• 私物端末（BYOD）で業務利用している「非公式な」端末を把握しているか
• 端末で扱う最も機密度の高いデータは何か、それはMDMかMAMどちらの守りが要るか決めたか
• すでに契約しているMicrosoft 365等のライセンスに、MDM/MAM機能が含まれていないか確認したか
• ID基盤（Entra ID等、誰がどの端末でログインしているか）を持っているか、なければ整備が先か
• 条件付きアクセス（非準拠端末の遮断）まで設定する前提になっているか
• BYODの監視範囲・手当・同意を就業規則／BYOD規程に明文化する準備があるか
• 退職・紛失時のワイプ運用フローと責任者を決めたか
• 導入後に月次でポリシー準拠状況をレビューする担当と会議体を決めたか
• 初期費用だけでなく、運用工数・ヘルプデスク・教育コストまで見積もったか
• PoC（試験導入）で終わらせず、全社展開の段階計画を描いているか
• 社内で判断できる範囲と、外部支援が必要な範囲を分けたか

見積もりの読み方——隠れコストはここに出る

ベンダー見積もりのライセンス月額だけを見て「思ったより安い」と判断すると、後で費用が膨らむ。総保有コスト（TCO）で効いてくる隠れコストは主に次の4つだ。

1. 初期構築・設定費：ポリシー設計、条件付きアクセス構成、既存ID基盤との連携。ここを外部委託するか内製するかで初年度費用が大きく変わる。
2. 運用工数：非準拠端末の対応、新入社員のエンロール、退職者のワイプ、OS更新への追随。月あたり何時間を誰が使うのかを見積もりに織り込む。
3. ヘルプデスク・教育：導入直後は問い合わせが集中する。マニュアル整備と一次対応の体制がないと、情シスが疲弊して運用が崩れる。
4. ID基盤・前提システムの整備：Intuneの条件付きアクセスはMicrosoft Entra ID等が前提。ID基盤未整備なら、そこの構築費が先に乗る。

ベンダーに見積もりを依頼するときは、次の質問を投げると相手の実力と誠実さが分かる。「BYODは登録なしMAMで運用できるか、それとも端末登録を求める設計か」「条件付きアクセスの構成は初期費用に含まれるか別か」「退職・紛失時のワイプ運用も支援範囲か」「既存のMicrosoft 365ライセンスで代替できる機能はどれか」。これらに具体的に答えられないベンダーは、製品を売りたいだけの可能性が高い。

導入の進め方（4ステップ）

1. 棚卸しと方式決定：端末・OS・BYODの実態を把握し、会社支給＝MDM／私物＝MAMの切り分けと、ゾーニング（職種×機密度）を決める。
2. ライセンス確認とPoC：既存契約の中身を確認し、二重投資を避ける。候補を2〜3製品に絞り、5〜10台で操作性・条件付きアクセス・サポートを検証する。
3. ポリシーと規程の整備：BYOD規程・同意書・退職時フローを明文化し、労務と合意する。技術設定と規程整備は並行で進める。
4. 段階展開と月次運用：IT部門と協力的な部門から先行導入し、ヘルプデスクを整えてから全社へ。導入後は月次で準拠状況をレビューする。

期間の目安は、要件が固まっていれば3〜5か月。ただしID基盤やBYOD規程が未整備なら、その前工程で数か月上振れする。「製品を入れる期間」ではなく「運用が回り始めるまでの期間」で見積もることが肝心だ。

BYODポリシーに最低限盛り込む項目

私物端末の業務利用を認めるなら、口頭合意ではなく文書化する。中小企業で最低限おさえたい条項を挙げる（自社の業種・機密度に応じて追加が必要）。

• 目的と適用範囲：どの端末（スマホ・タブレット・PC）に適用するか
• 利用許可の条件：上長承認、指定アプリ／MAMの適用、同意書への署名
• セキュリティ要件：サポート中のOSバージョン、画面ロックとPIN、暗号化、脱獄／root化端末の禁止
• 禁止事項：業務データの個人クラウドへの保存、業務アプリから個人アプリへのコピー、公衆Wi-Fiでの無防備なアクセス
• プライバシー保護の明示：会社が「個人の写真・連絡先・閲覧履歴・私的位置情報を取得しない」ことを明記。MAMでは業務アプリの中だけを管理する旨を書く
• 退職・紛失時の取り扱い：業務データのみを対象とする選択的ワイプの実施と、その期限・責任者

プライバシー範囲を明示することが、導入をスムーズにする最大のコツだ。「会社は私物を監視しない」を先に約束できるかどうかで、従業員の受け入れは大きく変わる。

GXOに相談すべきタイミング

デバイス管理は「製品を買う」より「自社に合う守り方を設計する」ことに価値がある。以下のいずれかに当てはまるなら、発注や契約更新の前に、第三者の視点で棚卸しをする段階だ。

• 取引先・親会社からデバイス管理体制の提示を求められ、何をどう整えればよいか分からない
• Microsoft 365を契約しているが、Intuneを使えるのか・何が含まれるのか判断できない
• BYODを認めているが、プライバシーや退職時の扱いをどう決めればいいか迷っている
• MDMの見積もりを複数取ったが、比較の軸が分からず判断できない
• 端末管理だけでなく、ゼロトラストを含めた守り全体を見直したい

GXOでは、自社に必要な守りの範囲を第三者の目で整理するための導入前の第三者診断（30分の壁打ち＋要件整理）を用意している。端末管理を入口に、ゼロトラストやEDRまで含めたセキュリティ体制の再構築が必要な場合は全体設計から、導入後に「入れて終わり」を避け月次で棚卸し・脆弱性対応まで回したい場合はセキュリティ運用の伴走（月額の運用代行）へと、状況に応じて接続できる。まずは「うちはMDMとMAMどちらで守るべきか」を整理するところから始めればよい。

よくある質問（FAQ）

BYODにはMDMとMAMのどちらを使うべきですか？

私物端末（BYOD）は原則MAM（アプリ保護ポリシー）が適しています。端末を丸ごと管理するMDMは、私物ではプライバシー反発や法務リスクが出やすいためです。Microsoft公式でも、BYODは端末登録なしでアプリ保護ポリシーを適用する運用が想定されています。会社支給端末はMDM、私物はMAMという切り分けが基本です。

すでにMicrosoft 365を使っています。MDMを別に買う必要はありますか？

契約プランによります。Microsoft 365 Business Premium以上には、Intune Plan 1相当のデバイス／アプリ管理機能が含まれます。まず自社ライセンスの中身を確認してください。含まれているのに別のMDMを新規契約すると、機能重複と二重課金になります。

導入にはどのくらいの期間がかかりますか？

要件とID基盤が整っていれば3〜5か月が目安です。ただしID基盤（Entra ID等）やBYOD規程が未整備の場合、その前工程で上振れします。製品導入期間ではなく、月次運用が回り始めるまでの期間で見積もることをおすすめします。

退職した従業員の私物スマホから会社データだけを消せますか？

可能です。MAMの選択的ワイプを使えば、個人の写真や連絡先には触れず、業務アプリ内の会社データだけを削除できます。ただし運用フロー（誰が・いつ実行するか）を事前に決めておかないと、実際には消去されないまま放置されがちです。

製品選びで一番大事な判断軸は何ですか？

自社のOS構成（Windowsかmacか多OSか）、既存のMicrosoft 365契約の有無、ID基盤の有無、そして「誰が運用するか」の4点です。製品の機能差より、運用体制を決めずに導入することのほうが失敗要因になります。

まとめ

MDM/BYOD管理は、製品選びの前に「どの端末を、どの方式（MDM/MAM）で、誰が運用するか」を決める設計の問題だ。BYODは登録なしMAM＋条件付きアクセスを軸に、会社支給はMDMで丸ごと、と切り分ける。Intuneは新規購入の前に自社のMicrosoft 365ライセンスの中身を確認する。そして「入れて終わり」を避けるため、月次レビューと退職時フローまで含めて運用を設計する。ここまでを発注前に整理できれば、製品はおのずと絞れる。判断に迷う段階でこそ、第三者の視点で棚卸しをする価値がある。

---

本記事の仕様・料金・統計は、公開時点でMicrosoft公式ドキュメント、IPA、個人情報保護委員会の一次情報を確認して記載している。料金と機能は改定されるため、契約前に必ず各社公式および自社の契約内容を確認すること。

参考・一次情報

• Microsoft Learn｜MAM とアプリの保護に関してよく寄せられる質問
• Microsoft Learn｜Microsoft Intune ライセンスプランとオプション
• Microsoft｜Microsoft 365 Business のプランと価格
• IPA｜情報セキュリティ10大脅威 2026
• 個人情報保護委員会｜令和6年度 年次報告