BYOD(ビーワイオーディー)の概要と導入背景
「BYOD（Bring Your Own Devices）」とは、従業員が「私物の端末（パソコンやスマートフォンなど）を持ち込んで業務に利用すること」をいいます。
基本的には、企業が従業員に対して私物の端末の利用を一定の条件や制約のもとで許可することが前提になります。つまり、従業員はそのルールに従って私物の端末を使わなくてはいけません。
BYODが広がっている背景として、働き方の多様化や新型コロナウイルス感染症による、テレワークの導入などが挙げられます。以前はスペックやセキュリティ面での課題が多く、個人利用の端末を仕事へ持ち込むことを禁じる企業がほとんどでした。しかし、端末のスペック向上や社会情勢の変化にともない、BYODを導入する企業は増えています。
BYOD導入による企業のメリット・デメリット
BYODを導入するメリットとデメリットは以下の通りです。
◆BYOD導入のメリット
＜企業側＞
- 端末の購入や維持などのコストを削減できる
- シャドーITの抑止になる
＜労働者側＞
- 使い慣れた端末を利用することで業務の効率化が図れる
＜双方＞
- 非常時での業務継続が円滑になる
シャドーITとは、従業員が私物端末を無断で持ち込んで業務に利用することをいいます。私物端末の利用を例外なく一切禁止にすると、逆に無断で私物端末を業務に利用されるリスクが高まる恐れがあります。適切なルールのもとで、業務に利用する端末を企業のコントロール下に置けば、デメリットよりもメリットのほうが大きくなるといえるでしょう。
◆BYOD導入のデメリット
＜企業側＞
- セキュリティリスクの増加が懸念される
- 従業員のプライバシー保護への配慮が必要になる
＜双方＞
- セキュリティリスクへの対応が必要となり、私物端末の管理コストが生じる
BYOD導入による最大のデメリットはセキュリティリスクです。従業員の私物端末は、企業が管理し従業員に貸与している端末と同じセキュリティ設定ができるとは限りません。たとえ同様の設定が可能であっても、企業による管理から外れると、端末の盗難や紛失、マルウェア感染による情報セキュリティリスクは高くなります。
そのリスクを低減するためには、私物端末を企業が管理する必要がありますが、管理コストがかかったり、従業員のプライバシーへの配慮も必要になります。
BYOD導入に必要な就業規則等の整備
BYODによるリスク（上記のデメリット）を回避するためには、私物端末の利用に関するルールを就業規則等にきちんと定めておくことが重要です。以下は一例です。万が一、従業員が規定に従わなかった場合、私物端末の使用をやめるよう求めることや、場合によっては懲戒処分を下すことも考えなければなりません。
- 従業員にBYODの実施について届出を義務づける
- BYOD端末が必要なセキュリティ対策を施しているかを確認する
- BYOD端末の管理の一環として、特定のソフトウェアの導入または禁止を許可条件として定める
- 機密性の高い情報をBYOD端末で扱わせないようにする
- 業務に関するファイルを端末内に蓄積させないようにする
- 業務に関するファイルの保存を認める場合は、一定の条件を定める
- 端末の利用料金の負担を明確にしておく
◆初期対応
まずは、すべてのBYOD端末を把握しましょう。企業が定めるソフトウェアをBYOD端末にインストールしてもらい、必要な管理ができるようにするなどの対策も欠かせません。
たとえばスマートフォンの場合、緊急時にスマートフォンの位置情報を把握する、遠隔操作で初期化できる設定にする、モバイルデバイスを管理するためのツールを導入する、またBYODの許可条件として、当該ツールのインストールを義務づけることなどが考えられます。
そのほか、BYOD端末の利用料金を誰が負担するのかも、あらかじめ定めておくことをおすすめします。たとえば、スマートフォンをBYOD端末として使用させる場合、その回線費用を誰がどの程度負担するのかを定めておかないと、後々トラブルに発展する可能性があります。
◆導入時のポイント
BYOD端末では機密性の高い情報を扱わせない、業務に関するファイルを端末内に蓄積させないのが基本です。また、一定の条件下で業務に関するファイルの保存を認める場合には、プライベートのデータと混ざらないよう従業員への指導を徹底しましょう。
◆従業員の退職
適切にデータを消去することもセキュリティ上、とても重要です。従業員が退職する際には、確実にデータを消去させ、それを企業側で確認できる仕組みを作っておくことも必要です。
BYODによる企業のリスクマネジメント
私物のBYOD端末は、業務用端末とは異なり、完全に企業の管理下に置くことはできません。そのため、企業は情報漏えいをはじめとするセキュリティリスクへの対応が必須です。BYODを導入する場合、業務用端末を用いたテレワークと比較して、より情報セキュリティリスクに慎重に対応する必要があり、企業側の負担は増えます。
だからといって、リスクを回避するためにBYODやテレワークを全面的に禁止すると、「シャドーIT」が蔓延し、かえってセキュリティリスクが増大することにつながります。セキュリティ対策と利便性のバランスを取りつつ、どうすればBYODによるリスクを許容できる範囲まで低減し、導入につなげられるかを見定めることが重要です。
まずは、全面的に業務に利用できるようにするのではなく、私物のスマートフォンで業務用のメールの送受信をできるようにするなど、管理しやすい範囲内で、限定的に導入することから始めるといいかもしれません。
※記事内で取り上げた法令は2022年1月時点のものです。
＜取材先＞
森・濱田松本法律事務所 シニア・アソシエイト弁護士 蔦大輔さん
TEXT：塚本佳子
EDITING：Indeed Japan ＋ 南澤悠佳 ＋ ノオト
