はじめに
「業務連絡はLINE WORKSで」と社内ルールを決めたはずなのに、気づけば私物のスマホからも普通にログインできてしまう——そんな状態に、心当たりはないでしょうか。
コミュニケーションツールの多くは、IDとパスワードさえ分かればどの端末からでもログインできてしまいます。会社が把握していない端末や、セキュリティ対策が甘い私物端末からのアクセスは、いわゆる「シャドーIT（会社の許可なく従業員が業務で使ってしまう未承認の環境）」の温床になりがちです。
今回は、LINE WORKSとMDMを組み合わせた「条件付きアクセス」の設計で、この問題にどう対処するかを解説します。
なぜ「アプリを配ってあるから安心」ではないのか
MDMを使って会社支給端末にLINE WORKSを配信していても、それだけでは安心できません。多くの場合、LINE WORKSはApp StoreやPlayストアから誰でも無料でダウンロードでき、会社のアカウント情報さえ分かれば、私物のスマホや未登録の端末からもログインできてしまうからです。
つまり「会社支給端末に配信している」ことと、「会社が把握していない端末からのログインを防いでいる」ことは、まったく別の話なのです。この2つを混同してしまうと、シャドーITのリスクに気づけないまま運用を続けることになります。
条件付きアクセスの仕組み
LINE WORKSには「外部MDM連携」という機能があり、これを使うことで、MDM管理下の端末以外からのログインを制限できます。
この機能を有効にすると、LINE WORKSの管理者画面から「Configuration Key」を発行できます。このキーをMDM側の設定に登録し、MDM経由で配信したLINE WORKSアプリだけにこのキーを持たせることで、「MDMから配信されたアプリでなければログインできない」という状態を作れます。App StoreやPlayストアから個人でダウンロードしたLINE WORKSアプリでは、このキーを持たないためログインがブロックされる、という仕組みです。
設定の3ステップ
まず、LINE WORKSの管理者画面で外部MDM連携を有効にします。次に、そこで発行されるConfiguration Keyを、自社で使っているMDM（Jamf・Intune・LANSCOPEなど）のアプリ配信設定に登録します。最後に、MDM経由でLINE WORKSアプリを配信し、対象端末を管理下の端末に限定します。この3ステップを踏むことで、未登録端末からのログインを技術的にブロックできるようになります。
実務での勘どころ
1つ目の勘どころは、既存ユーザーへの周知です。すでに私物端末でLINE WORKSを使っていた従業員がいる場合、設定変更後に突然ログインできなくなり、問い合わせが集中する可能性があります。切り替え前に「いつから私物端末では使えなくなるか」を案内しておくと、混乱を防げます。
2つ目は、退職者・異動者への対応とセットで運用することです。MDM管理下の端末を回収・初期化すれば、その端末からのLINE WORKSアクセスも自動的に無効になります。オフボーディングのフローにこの確認を組み込んでおくと、退職後もログインできてしまう、という事態を防げます。
3つ目は、Configuration Keyの管理です。このキーが漏洩すると、条件付きアクセスの意味が薄れてしまいます。MDMの設定変更権限を持つ担当者を最小限に絞り、キーの取り扱いにも注意を払ってください。
退職・異動時の挙動もあわせて確認する
条件付きアクセスを導入したら終わり、ではありません。退職者や異動者が出たときに、その端末からのアクセスが確実に切れる状態になっているかも、あわせて確認しておくべきポイントです。
MDM管理下の端末を回収・初期化すれば、その端末に紐づくConfiguration Keyの実体もなくなるため、LINE WORKSへのログインもできなくなります。ただし、これは「端末を回収した場合」の話です。私物端末をMDM管理下に置いてBYOD運用を認めている組織では、退職時に会社側のプロファイルだけを個別に削除する手順が必要になります。この手順が曖昧なまま運用していると、退職後もLINE WORKSにログインし続けられる状態が残ってしまう恐れがあります。オフボーディングのチェックリストに「LINE WORKS用プロファイルの削除確認」を明記しておくことをおすすめします。
他のコミュニケーションツールとの違い
SlackやMicrosoft Teamsのような海外製ツールでも、同様に条件付きアクセスの仕組みは用意されています。ただし、多くの場合はID管理基盤（Azure ADやOktaなど）と連携させる形が主流で、MDMとの連携設定もそれに準じた構成になります。
LINE WORKSの外部MDM連携は、ID管理基盤を別途用意していない中小企業でも比較的シンプルに導入できる点が特徴です。すでに何らかのMDMを導入済みであれば、追加のID基盤なしにConfiguration Keyの発行・登録だけで条件付きアクセスを実現できるため、一人情シスの環境とも相性がいい仕組みだと感じています。
落とし穴：BYOD運用との両立
私物端末（BYOD）でも一部業務利用を認めている組織の場合、外部MDM連携を有効にすると、私物端末そのものをMDM管理下に置く必要が出てきます。全面禁止ではなく、私物端末でも一定の管理を受け入れてもらった上で利用を許可する、という設計にするのか、それとも私物端末での利用は一切認めず会社支給端末のみに限定するのか。この方針は、技術設定を始める前に、社内で合意を取っておくべきポイントです。
技術的な制限を先に導入してしまうと、「聞いていない」「不便になった」という反発を招きやすくなります。ルール変更の背景をきちんと共有した上で進めることをおすすめします。
まとめ
LINE WORKSの外部MDM連携を使った条件付きアクセスは、シャドーIT対策として有効な仕組みです。ただし、技術設定だけで完結する話ではなく、既存ユーザーへの周知やオフボーディングフローとの連携があってこそ、実効性のある対策になります。
Mobitech Solutionへのご相談
LINE WORKSと各種MDMを組み合わせた条件付きアクセスの設計、既存運用からの移行手順についても、Mobitech Solutionでは実務目線でのご相談を承っています。「私物端末からのアクセス、どこまで制限すべきか分からない」という方は、ぜひ現状の運用を一緒に確認させてください。
