はじめに
「退職者が出るたびに、社用スマホの初期化とアカウント停止を手作業でやっている」
一人情シスの方からよく聞く話です。
引き継ぎ書を確認し、人事から連絡を受け、本人にデバイスを返却してもらい、MDM（Mobile Device Management：スマートフォンやPCの設定・セキュリティポリシーを遠隔から一元管理する仕組み）画面でリモートワイプをかけ、それとは別にID管理システムでアカウントを無効化する。ひとつひとつは単純な作業でも、これを人手でつなぐと必ずどこかに抜け漏れが生まれます。特に「本人が引き止められて退職日がずれた」「私物スマホにも会社のメールアプリが入っていた」といったイレギュラーが重なると、対応漏れのリスクは一気に跳ね上がります。
この記事では、Microsoft Entra ID（旧Azure AD）に代表されるID管理基盤と、MDMを連携させることで、退職者対応を「人の記憶力」から「仕組み」に移す方法を整理します。
なぜID管理とデバイス管理は別々に運用されがちなのか
多くの中小企業では、Microsoft 365やGoogle WorkspaceのID管理と、MDMによる端末管理が別々の担当者・別々のタイミングで運用されています。理由は単純で、導入した時期も、契約したベンダーも違うからです。
ID側の視点では「アカウントが無効化されていればセキュリティは守られている」と考えがちですが、実際には端末側にキャッシュされたメールやファイルは、アカウント無効化だけでは消えません。逆にMDM側だけでリモートワイプをかけても、クラウド上のアカウントが生きていれば、退職者が別の私物端末から社内システムにアクセスし続けられる可能性が残ります。
この「片方だけ対応した状態」が、情報漏洩のもっとも典型的な穴になります。
Entra IDとMDMを連携させる3つの勘どころ
1. 条件付きアクセスで「準拠デバイスのみ」を必須にする
Microsoft Entra IDの条件付きアクセス（Conditional Access）は、ログイン時にさまざまな条件を組み合わせて許可・拒否を判断する仕組みです。Intuneなどのモバイル管理と連携させることで、デバイスのコンプライアンス状態（画面ロックの設定有無、暗号化の有無、OSバージョンなど）をログイン許可の条件に組み込めます。
ポイントは、この条件付きアクセスの評価対象になるのは「MDMに登録済みの端末」に限られるという点です。私物端末を業務利用させている場合、その端末がMDM管理下になければ、条件付きアクセスの恩恵はそもそも及びません。BYOD（私物端末の業務利用）を許可しているなら、最低限のMAM（Mobile Application Management：端末全体ではなく特定アプリの中だけを管理する仕組み）だけでも組み込んでおく必要があります。
2. 退職フローをトリガーに、アカウント無効化とデバイスロックを同時に走らせる
理想は「人事システムでの退職処理」を起点に、アカウント無効化とMDM側のリモートロック・ワイプが自動的に連動する状態です。専用の自動化基盤を組まなくても、Entra IDのライフサイクルワークフローや、簡易なフロー連携ツールを使えば、中小企業の規模でも「退職日当日の朝、自動的にアカウントが無効化され、対象端末に強制チェックインが走る」程度の仕組みは組めます。
ここで一人情シスが陥りやすい落とし穴は、退職日と「最終出社日」がずれるケースです。有給消化中に端末を持ち帰ったまま出社しない、といった状況では、自動化のトリガーを「退職日」ではなく「最終出社日」に設定しないと、実際にはとうに社内にいない人物が数週間分のアクセス権を持ち続けることになります。運用フローを設計する段階で、人事担当と「どの日付を起点にするか」をすり合わせておくことが欠かせません。
3. 私物端末に残ったデータは「コンテナ化」で切り分けておく
BYODで会社のメールアプリを私物スマホに入れている場合、リモートワイプで端末全体を初期化するわけにはいきません。MAMのアプリコンテナ機能を使い、業務データだけを暗号化された領域に隔離しておけば、退職時は「そのコンテナだけ」を遠隔で消去できます。これを導入していないと、退職者対応のたびに「初期化させてもらえるか」を本人にお願いする、という不安定な運用になってしまいます。
導入時の落とし穴
自動化を急ぐあまり見落としがちなのが、緊急アクセス用アカウント（ブレークグラスアカウント）の扱いです。条件付きアクセスのポリシーを厳しくしすぎると、管理者自身がロックアウトされ、誰も設定を直せなくなる事態が起こり得ます。緊急用アカウントは必ずポリシーの対象外にしておく、という基本を忘れないでください。
また、退職者対応の自動化はゴールではなく手段です。仕組みを作ったからといって「もう安心」と気を抜かず、四半期に一度は実際に退職者役でテストし、意図通りに動くかを確認する運用が望ましいでしょう。
まとめ
ID管理とデバイス管理は、別々のベンダー・別々の画面で運用されているからこそ、意識的につなげないと連携しません。退職者対応を仕組み化しておくことは、セキュリティ対策であると同時に、一人情シスの精神的な負担を減らす投資でもあります。
Mobitech Solutionへのご相談
Entra IDとMDMの連携設計、条件付きアクセスのポリシー設計、退職者対応フローの自動化について、現状のツール構成を踏まえた具体的な設計をご相談いただけます。まずは今の運用フローを一緒に棚卸しするところから始めませんか。Mobitech Solutionまでお気軽にお問い合わせください。
