【徹底比較】iOSやAndroidで使えるモバイルデバイス管理（MDM）製品のセキュリティ機能

モバイルデバイス管理（MDM）製品で使える機能は対応端末によって異なることが多い。では、全ての対応端末で間違いなく使える機能は何か？　セキュリティ機能に焦点を当てて比較する。

公開 2013年08月19日 08時01分

更新 2014年02月07日 20時20分

著者

鳥越武史

[TechTargetジャパン]

印刷する

　対応OS／端末のはずなのに、使いたい機能が使えない――。端末やOSによって、使える機能が異なるケースが多いのが「モバイルデバイス管理（MDM）製品／サービス」だ。特にAndroid端末の場合、OSのバージョンは同じでも、端末によって制御可能な項目が異なることもある。管理可能なOSや端末（以下、対応OS／端末）の数がいくら多くても、自社が使うOSや端末で必要な機能が使えなければ意味がない。

　こうした状況を踏まえた上で、自社にとって適切なMDM製品／サービスを選定するにはどうすべきか。各MDM製品／サービスについて、対応OS／端末の全てで確実に利用できる共通機能を把握することが、その一助となるはずだ。TechTargetジャパンでは、2013年6月から7月にかけてMDMベンダーに調査を実施。本稿では、特にセキュリティ機能に絞り、調査結果を比較表にまとめた。なお、各MDM製品／サービスの価格と料金については、「【徹底比較】最安はどれ？　iOSやAndroidで使えるモバイルデバイス管理製品38種の価格」で解説している。

MDM製品のセキュリティ機能比較表

　主要なiOS／Android端末向けMDM製品のセキュリティ機能の比較表を以下に示す（表1）。比較表には、各MDM製品／サービスについて、全ての対応OS／端末で利用可能な共通のセキュリティ機能を中心に掲載している。参考資料として、全ての対応OS／端末では利用できないものの、各MDM製品／サービスが備える特筆すべきセキュリティ機能もまとめた。アプリケーション管理やコンテンツ管理機能に関わる機能については、後日公開する記事で詳しく紹介する。

　なお今回は、企業で利用されている主要なスマートデバイスであるiOS端末やAndroid端末で利用できるMDM製品／サービスを取り上げた。ベンダーの意向などにより、期限内に回答が得られなかった一部のMDM製品は掲載していない。OEM（相手先ブランドによる生産）供給など、市販のMDM製品／サービスの機能をほぼ変更なしで提供しているMDM製品／サービスは省いた。

表1：主要なiOS／Android向けMDM製品のセキュリティ機能比較表

MDM製品のセキュリティ機能比較表のダウンロード

今回調査したMDM製品のセキュリティ機能を見やすくまとめた比較表をMicrosoft Excelファイルで提供しています。「iOS／Android向けMDM製品38種のセキュリティ機能比較表（2013年版）」からダウンロードしてください。

リモート制御機能：iOS／Androidの場合、多くの製品で利用可能

　リモート操作で端末をロックしたりデータを消去したりするリモートロック／リモートワイプは、MDM製品／サービスの代表的かつ基本的な機能だ。だが対応OS／端末の種類が多いMDM製品／サービスの中には、リモートロック／リモートワイプができる対応OS／端末が限定されるケースもあるので注意したい。

　ただし、対応OS／端末の種類が多いMDM製品／サービスの中でも、iOS／Android端末に限ってリモートロック／リモートワイプを可能としているケースも多いようだ。例えば、iOSとAndroidに加えてWindows 7でも利用可能なNECの「NC7000-DM Lite」の場合、Windows 7端末ではリモートロックのみ可能でリモートワイプはできないが、iOS／Android端末ではリモートロック／リモートワイプの双方とも可能だ。

　もちろん、リモートロック／リモートワイプを全ての対応OS／端末で利用可能にしているMDM製品／サービスもある。iOSやAndroid、Windows系OSに加え、BlackBerry、Symbian OSといったOSでも利用可能なデータコントロールの「AirWatch」（開発：米AirWatch）、日本アイ・ビー・エムの「IBM Endpoint Manager for Mobile Devices」は、その例だ（表2）。国内でSymbian OSを利用するユーザー企業はそれほど多くはないと考えられるが、グローバル展開をしている企業など、幅広い端末でリモート制御をしたいユーザー企業には役立つだろう。

表2：iOS、Android、Windows系OS、BlackBerry、Symbian OS対応のMDM製品／サービスの一例
製品／サービス名	対応OS／端末	リモートロック（全対応OS／端末で利用可能）	リモートワイプ（全対応OS／端末で利用可能）
AirWatch	・iOS 4.0以降・Android 2.2以降・Windows Mobile 5以降・Windows Phone 7 ・BlackBerry 4.5以降・Symbian S60	○	○
IBM Endpoint Manager for Mobile Devices	・iOS 4.x以降・Android 2.2以降・Windows Phone 8 ・BlackBerry ・Symbian OS	○	○

端末パスワードポリシー設定：変更履歴保持が可能なサービスも

　リモートワイプ／リモートロックは基本的な機能ということもあり、調査対象の38種のMDM製品／サービスのうち、32種が全ての対応OS／端末で利用可能にしている。これらに次ぐ26種が全ての対応OS／端末で利用可能にしているのが、端末パスワードポリシー設定機能だ。

　製品／サービスによって若干異なるが、端末パスワードポリシー機能には、主に「端末のパスワード設定の義務化」「設定可能なパスワードの長さや有効期限の設定」といった機能がある。

　過去に設定したパスワードを一定数保持するパスワード履歴保持機能を搭載するMDM製品／サービスもある。定期的にパスワードを変更するルールを設けていても、以前に利用したパスワードを再度設定できてしまうと意味がない。パスワード履歴保持機能を利用すると、「直近に設定した3個のパスワードと同じパスワードは設定できない」といった制御が可能だ。iOS／Android端末に加え、Windows RT端末などでも利用可能な日本マイクロソフトの「Windows Intune」は、全対応OS／端末でパスワード履歴保持機能を利用できる（表3）。

表3： Windows Intuneの端末パスワードポリシー設定機能
製品／サービス名	対応OS／端末	端末パスワードポリシー（全対応OS／端末で利用可能）
Windows Intune	・iOS 4.0／5.0以降・Android 2.1以降（Exchange ActiveSync経由のみ）・Windows Phone 7.0以降（Exchange ActiveSync経由のみ）／8 ・Windows RT ・Windows XP／Vista／7／8	○ （パスワード義務化、長さ指定指定、使用可能文字指定、利用期限指定、パスワード履歴保持）

製品機能を確実に利用可能にする工夫も重要

　全対応OS／端末で利用できる機能に加え、MDM製品／サービスをセキュリティ製品として導入する際に注目すべきなのが、製品機能を確実に利用可能にする工夫の有無である。

　MDM製品／サービスの弱点として指摘されるのが、エージェントがアンインストールされたり停止させられたりすることで、制御ができなくなることだ。また、iOSで端末の管理や制御に利用する構成プロファイルも、何らかの手段で削除されてしまうと、管理や制御ができなくなる。

　こうした状況に陥らないために、MDMベンダーは知恵を絞っている。エージェントのアンインストールや構成プロファイルの削除を防ぐ仕組みが、その代表例だ。具体的な手法を明らかにしているMDM製品／サービスはそれほど多くないが、各社ともアンインストールや削除を防止するさまざまな仕組みをMDM製品／サービスに盛り込んでいる。

　代表的な手法の1つが、通常のエージェントとは別に予備のエージェントを動作させ、一方がアンインストールや停止された際に、もう一方を復活させる仕組みだ。AXSEEDの「SPPM2.0」、インターネットイニシアティブの「IIJ Smart Mobile Managerサービス」、富士通ビー・エス・シーの「FENCE-Mobile RemoteManager」、ペネトレイト・オブ・リミットの「MobiControl」（開発：カナダSOTI）がある（表4）。ソフトバンクテレコムの「ビジネス・コンシェル　デバイスマネジメント」も、2013年内に同様の機能を利用可能にする。

表4：予備エージェントを設けるMDM製品／サービス
製品／サービス名	対応OS／端末	製品機能を確実に利用可能にする工夫
SPPM2.0	※詳細な対応OS／端末一覧（AXSEEDのWebサイト）・iOS 4.3～6.1 ・Android 2.2～4.2	・設定時間ごとに端末の死活監視を実施・クラウドサービス用サーバ、回線を全て冗長構成 ●Android ・通常のエージェントとは別に予備のエージェントを動作させ、一方がアンインストールや停止された際に、もう一方を復活させる・電話のダイヤル操作で端末ロックやワイプが可能
IIJ Smart Mobile Managerサービス	・iOS 4.2以降・Android 2.2以降	・通常のエージェントとは別のエージェントを動作させ、一方が削除や停止された際にもう一方を復活させる・ユーザーがMDM関連の構成プロファイルを削除した際、管理者用のWeb画面に通知・構成プロファイルには最低限のセキュリティ設定のみ記載するよう推奨
FENCE-Mobile RemoteManager	※詳細な対応OS／端末一覧（富士通ビー・エス・シーのWebサイト）・iOS 4.3以降・Android 2.1以降・Windows XP／Vista／7／8	●Android、Windows ・クライアントエージェントのアンインストール抑止 ●iOS ・構成プロファイルの削除検知 ●Android ・通常のエージェントとは別に予備のエージェントを動作させ、一方がアンインストールや停止された際に、もう一方を復活させる
MobiControl	・iOS 4.0以降・Android 2.3以降・Windows XP／Vista／7／8 ・Windows Server 2003／2008／2012 ・Windows Mobile ・Windows CE	・通常のエージェントとは別に予備のエージェントを動作させ、一方がアンインストールや停止された際に、もう一方を復活させる・構成プロファイルには最低限のセキュリティ設定のみ記載するよう推奨・ランチャー機能の利用により、端末をキオスク（特定用途端末）化することが可能