MDM を導入していても、ポリシーが「Android 全機種」一律設定だと中華格安端末のリスクは止められない。 Keenadu 事案では、MDM 配下にあった端末の半数以上で初期検知ができなかった事例が報告されている。本記事は、Intune／Workspace ONE／Jamf Now で実装可能な OEM／機種粒度のポリシー設計と検知ルールを提示する。
目次
- 中華 Android 端末対応で MDM が機能不全になる典型パターン
- 必須 MDM ポリシー 7 項目
- Intune 設定テンプレート
- Workspace ONE 設定テンプレート
- Jamf Now（Android）設定テンプレート
- Play Integrity API での検知ルール
- 許可機種ホワイトリストの運用
- 隔離トリガー条件と自動対応
- よくある質問（FAQ）
中華 Android 端末対応で MDM が機能不全になる典型パターン
| パターン | 症状 | 影響 |
|---|---|---|
| GMS 非搭載端末 | Play Protect が動かず、検知失敗 | malware 残存 |
| Bootloader 解錠出荷 | OS 改造耐性なし | system 領域改竄 |
| 登録基準 OS バージョンが緩い | 古い Android で参加可 | 既知脆弱性放置 |
| メーカ／機種制限なし | 中華格安機種が混在登録 | 攻撃面拡大 |
| 検疫ポリシー設定なし | 不審検知でも自動対応せず | 横展開リスク |
必須 MDM ポリシー 7 項目
Intune 設定テンプレート
コンプライアンスポリシー（Android Enterprise）
デバイス制限プロファイル
- 不明なソースからのアプリインストール: ブロック
- USB デバッグ: 禁止
- バックアップサービス: 禁止
- ファクトリーリセット保護: 必須
Workspace ONE 設定テンプレート
制限プロファイル（Android Enterprise Work-managed）
Tunnel／VPN ポリシー
- 業務通信は VPN（Workspace ONE Tunnel）強制
- C2 候補ドメインを上流 SWG でブロック
Jamf Now（Android）設定テンプレート
Play Integrity API での検知ルール
サーバ側で `deviceIntegrity` を検査：
| 値 | 意味 | 対応 |
|---|---|---|
| MEETS_DEVICE_INTEGRITY | 検証通過 | 通常運用 |
| MEETS_BASIC_INTEGRITY | Bootloader 解錠等 | 警告＋限定機能 |
| MEETS_VIRTUAL_INTEGRITY | エミュレータ | ブロック |
| 値なし | 検証失敗 | 隔離＋管理者通知 |
許可機種ホワイトリストの運用
| ランク | 例 | 対応 |
|---|---|---|
| A 完全許可 | Samsung Galaxy Tab Active 系／Lenovo ThinkPad Tablet | フル機能 |
| B 条件付き | Sharp／Sony／NEC 国産 Android | 一部機能制限 |
| C 観察 | Xiaomi／Oppo（GMS 認証） | 強監視 |
| D 禁止 | Keenadu／ALLDOCUBE／DOOGEE 等 | 登録不可 |
隔離トリガー条件と自動対応
| トリガー | 自動対応 |
|---|---|
| Play Integrity 検証失敗 | 隔離 VLAN 移動＋ Slack 通知 |
| 月次パッチ 60 日超未適用 | 業務アプリ起動禁止 |
| 不審アプリインストール検出 | 端末ロック＋ユーザー通知 |
| OEM がブラックリスト追加 | 全該当端末を隔離＋交換手続 |
よくある質問（FAQ）
Q. BYOD で社員が中華 Android を持ち込む場合は？ A. 別記事「BYOD 禁止リスト管理」参照。原則 BYOD 中華端末は業務利用禁止が安全。
Q. Intune／Workspace ONE／Jamf、どれを選ぶ？ A. Microsoft 365 中心なら Intune、混在環境なら Workspace ONE、シンプル運用なら Jamf Now。中堅企業の傾向は Intune が約 60%、Workspace ONE 約 25%、Jamf Now 約 10%（2026 年 4 月、GXO ヒアリング）。
Q. ホワイトリスト運用が現場に厳しすぎないか？ A. 業務スマホ＋業務タブレットは厳格運用、検品／POS／案内端末は専用業務端末（Honeywell／Zebra）に切り分けると現場負荷を下げられる。
参考資料
- Microsoft Intune for Android Enterprise ドキュメント
- VMware Workspace ONE UEM Android ガイド
- Google Play Integrity API 公式ドキュメント
MDM ポリシー設計、ホワイトリスト運用設計、Play Integrity API 連携実装は GXO の端末セキュリティ運用サービスで対応可能です。
GXO実務追記: サイバーセキュリティで発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- [ ] 重要システムと個人情報の所在を棚卸ししたか
- [ ] VPN、管理画面、クラウド管理者の多要素認証を必須化したか
- [ ] バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
- [ ] 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
- [ ] EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
- [ ] インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
MDM 中華 Android 端末 セキュリティ ポリシー 2026｜Intune／Workspace ONE／Jamf 設定テンプレートと検知ルールを自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。