個人的なデータを業務データと別々に扱うMDMシステムを実装するのも、1つの方法だ。例えば、「MaaS360」「MobileIron」などのMDM製品を使えば、企業は個人ファイルに触れることなく、端末から業務データを消去できる。こうした製品を使っても、追跡や監視をめぐる懸念は解消できない。だが従業員は、少なくとも自分の夏休みの写真を消去される心配はせずに済む。

　個人のデータを保護する方法としては、端末ではなくデータを管理するというアプローチもある。この場合、IT部門はモバイルアプリケーション管理（MAM）製品を導入し、業務に関連したアプリケーションと、従業員による業務データへのアクセスだけを管理する。

　MAM製品を使えば、ロールベースのポリシーを設定して実施し、関連ファイルの保存や共有の方法を指定できる。従業員が退職したり端末を紛失したりした場合には、データを消去し、アプリケーションの設定を解除することも可能だ。IT管理者は、こうして業務アプリケーションとそのデータを管理することで、業務データが個人用のプログラムやサービスに漏れ出すのを防ぐことができる。つまり従業員は、機密情報を危険にさらすことなく、自由な時間にはゲームの「Angry Birds」を好きなだけ楽しめるということだ。コンプライアンスとセキュリティの問題は、最終的には端末ではなくデータに行き着く。

　企業の中には、BYOD端末のアクセス用に仮想デスクトップを構築したり、特別に構成したAndroid端末に仮想電話回線を実装したりしているところもある。こうした選択肢もいずれ、MDM製品やMAM製品と競い合うことになるのかもしれない。いずれにせよ、企業はBYODプログラムに参加しようとする従業員に対し、「自分が何に対して同意しているのか」を明確に示す必要がある。企業がどのような方法で個人データの分離と保護を実現するかにかかわらずだ。

プライバシーポリシー

　企業は、従業員が十分に情報を与えられた上で明確な同意を示すまでは、MDMやMAMクライアントのインストールも含め、私物端末には何もしてはならない。同意を得ないまま、少しでも端末にアクセスすれば、米国のデータプライバシー法に違反していると見なされかねない。そこで必要となるのが、入念に計画されたBYODポリシーステートメントだ。

　ポリシーステートメントには、個人的なデータの保護方法も含め、雇用主と従業員両方の権利と責任を明確に定める必要がある。「雇用主が私物端末のどのデータにアクセスでき、何をインストールできるか」「従業員が端末を紛失したり会社を退職したりした場合に、どのような措置が講じられるか」といった情報を従業員に明確に伝える内容でなければならない。

　従業員は、端末が押収や捜索の対象となる状況も含め、「雇用主側に認められている行為」についても明確に理解しておく必要がある。ステートメントへの署名は、「自分が何に対して同意することになるか」を十分に理解した上でなされなければならない。ポリシーの策定に当たっては、「企業と従業員の両方を保護すること」を目標とすべきだ。

　だが、BYODポリシーの策定は簡単ではない。ポリシーは（米国では）州法と連邦法に抵触してはならないが、その内容は業種によっても大きく異なる。私物端末に対してどの程度の監視や管理が認められるかは、国によってまちまちであり、多国籍企業にとってはさらに難しい問題だ。

　BYODポリシーの内容は、従業員が世界のどこにいるのであれ、プライバシーを侵害しないものでなければならない。つまりポリシーは、私物端末を監視して管理することの意味合いを十分に理解した上でなければ実装すべきではない。企業は、法的な問題を回避できるよう慎重に歩みを進める必要があるだろう。

BYODのプライバシーのこれから

　ITコンシューマライゼーションの流れに関しては、もはやBYOD以前の日々に戻ることは想像し難い。だが未知の要因もまだ数多く残っている。内部告発者保護法などにより、法的保護を与えられている従業員の扱いについては、特にそうだ。たとえ従業員が同意書に署名したとしても、その従業員の端末に企業がアクセスすることをめぐっては、問題が生じる可能性がある。こうした状況下での従業員保護については、まだ法的な優先性が明確に定められていない。また、どんなポリシーをもってしても、証拠開示請求は回避できない。

　一方、企業があまりに厳密なポリシーを策定すれば、従業員はBYODプログラムへの不参加を選択する可能性がある。そうなればコストが増えるだけでなく、競争上の優位性が損なわれることにもなりかねない。だが、いくら業務の効率アップにつながるとはいえ、企業が従業員に私物端末の使用を義務付けるのは難しいはずだ。

　では結局のところ、われわれを取り巻く状況はどのように変わっていくのだろうか？　プライバシーの問題が複雑過ぎるために、従業員は業務用に2台目の端末を持たされることになるのだろうか？　あるいは、BYODのプライバシーをめぐる法的問題への対応があまりにも難しいために、企業はBYODプログラムの撤回を余儀なくされるのだろうか？

　BYODの世界は生まれたばかりであり、ルールもまだ流動的だ。1つだけ確かなのは、どんな状況にせよ、BYODをめぐる個人データの扱いや従業員のプライバシーの権利に関する問題が自然に消滅することはないということだ。であれば、解決が早ければ早いほど、関係者全員にとってより都合がいいはずだ。