「Android」搭載デバイスの場合、攻撃者が会社のシステムへの不正アクセスに悪用できる重大なセキュリティホールを排除するために、Googleやデバイスベンダーは比較的古いバージョンのAndroidに対してもパッチを提供している。それでも組織としては、古いAndroidを搭載するデバイスの利用は、可能な限り避けるべきだ。古いデバイスは生産性低下の問題とともに、セキュリティホールによるリスクが高まる。

　市販のAndroidデバイスは、その多様性が原因でOS更新の管理が難しい。従ってこの点においてはApple「iPhone」の方が圧倒的に有利だ。それでもやはり、同じ生産性の理由からiPhoneも定期的にアップグレードする必要がある。

　スマートフォンに関して、私物デバイスの業務利用（BYOD）を認めている組織は珍しくない。私物のスマートフォンであっても、ライフサイクルポリシーを立てる必要がある。上記のようなセキュリティおよび実務上の理由から、組織内LANへの接続を認めるのは、会社が許可したデバイスのみに限定しなければならない。

　BYODを許可する組織は、ユーザーが業務利用できるデバイスを4～6種類リストアップする必要がある。それ以外のデバイスは組織内LANへの接続を認めてはならない。IT部門はこのリストを、最長でも6カ月ごとに更新すべきだ。IT部門はデバイスごとに会社のポリシーに対する順守状況をテストしなければならないため、このリストのメンテナンスはある程度の負担になるだろう。それでも長い目で見ると、不特定多数のデバイスが会社のリソースにアクセスしてサポートを必要とする事態に比べれば、そちらの方が望ましい。

　デバイスのアップグレードだけでは十分ではない。組織はまた、セキュリティ問題とパフォーマンス問題の両方に対処し、サポートの必要性を最小限に抑えるために、ユーザーがモバイルアプリケーション（会社購入、個人購入問わず）を最新バージョンに更新していることを確認する必要がある。これにはセキュリティパッチ、VPNコンポーネント、デバイス内のマルウェア対策ソフトウェアを含めなければならない。組織はそれぞれのデバイスの各コンポーネントについてログを記録し、ポリシーを順守していないデバイスを洗い出す手段を持つ必要がある。こうした機能は「エンタープライズモビリティー管理」（EMM）製品や「統合エンドポイント管理」（UEM）製品に搭載されていることもある。

スマートフォンライフサイクルポリシーの導入

　スマートフォンライフサイクルポリシーを確実に機能させるためには、たとえ従業員の私物デバイスであっても、IT部門がそうしたデバイスを効率的に管理できる仕組みを用意する必要がある。近年のEMM／UEM製品は、単純な資産管理の域を越えた相当量の機能がある。

　EMM／UEM製品の機能を適切に利用することは、組織を守ることにつながる。各デバイスの状態が鮮明になって、どのデバイスに問題があるかを把握できる。組織はEMM／UEM製品のログ機能や分析機能を使って、ユーザーのスマートフォンの状態をIT部門が確認できるようにしなければならない。そうすればどのデバイスの入れ替えが必要かに関する情報も取得できる。

　パフォーマンスが低下しているスマートフォンが見つかれば、IT部門はEMM／UEM製品を使って、ユーザーをスムーズに新デバイスに移行させることができる。こうした製品を使えばユーザーによるセットアップのプロセスを省くことができ、遠隔操作で新しいデバイスをプロビジョニング（利用できるようにするための準備）して、古いデバイスの登録を解除する手続きもできる。そうした機能を利用すれば、ユーザーが組織のリソースに接続できなくなる事態を起こさずに新しいデバイスを支給できる。

　ユーザーが新しいデバイスを受け取ったら、IT部門はデバイス切り替え作業を実行できる。IT部門がこのプロセスのスケジュールを立て、夜間などユーザーがデバイスを必要としない時間帯に作業を進めることで、生産性の低下を最低限に抑えることが可能だ。新しいデバイスのプロビジョニングと古いデバイスの登録解除は、通信状態によって、わずか数分か、かかったとしても数時間で済ませることができる。IT管理者は、そのデバイスのためのユーザープロファイルを設定するだけで済み、そのプロセスも比較的シンプルだ。