OSごとに異なる管理基盤を使い分ける
端末の設定やセキュリティポリシーを遠隔でコントロールするMDM（モバイルデバイス管理）について、freeeではOSごとに異なるツールを使い分けています。具体的には、Macは「Jamf Pro」、Windowsは「Microsoft Intune」、ChromebookはGoogleの標準管理ツールを採用しています。
Mac環境においては、会社支給の端末を管理する「Apple Business Manager（現在は「Apple Business」に統合・名称変更）」も併用。さらに認証ソリューション「Jamf Connect」を導入し、会社のアカウントIDとMacのログインパスワードを連係させています。これにより、新入社員は初期セットアップ時に会社アカウントで認証するだけで、そのままスムースにMacへログインできます。
市場には複数OSを統合管理できるMDMも存在しますが、必ずしもすべての端末を同等の高い水準で管理できるとは限りません。そのため同社では、管理ツールを1つに統合することよりも、各OSの特性に合った最適な管理機能をフル活用できる状態を優先しています。
端末のセットアップは新入社員自身で
新入社員の入社が決まると、人事採用チームが本人の希望するOSとキーボード配列を確認し、ITヘルプデスクが該当する端末を手配します。
以前は、ヘルプデスク側で端末をキッティング（初期設定）してから新入社員に手渡していました。設定やアプリのインストール作業自体は自動化されていたものの、「途中で処理が止まっていないか」を都度チェックし、完了まで見守る手間がかかっていたといいます。
そこで現在は、入社時のオリエンテーション内で、新入社員自身に自分の業務端末をセットアップしてもらうセルフ方式へと移行しました。画面の案内に沿って操作を進めるだけで、業務に必要な設定やアプリが自動的に適用される仕組みです。
「本人には一定の作業時間をいただくことになりますが、ヘルプデスク側の負担は大幅に軽減されました」（常峰さん）
今後の課題は、ネットワーク環境などによりセットアップが途中で止まってしまうケースをなくすこと。現在は、完全リモート環境でも確実にセットアップを完了できるよう、さらなる仕組みの改良を進めています。
端末、認証、ネットワークを多層で守る
MDMはOSごとに分けていますが、セキュリティ対策までOSごとにまったく別の仕組みを構築しているわけではありません。端末上の不審な挙動を検知して被害の拡大を防ぐEDR（Endpoint Detection and Response：従来のウイルス対策ソフトでは防ぎきれない未知のサイバー攻撃をいち早く検知・対応する仕組み）には、Palo Alto Networks社の「Cortex」を導入。さらに、クラウド型VPNや認証基盤の「OneLogin」などを組み合わせて運用しています。
Mac固有の管理ツールとしてJamf製品を活用しているものの、それ以外のセキュリティツール構成はMacとWindowsで大きく変わらないそうです。
「端末、認証、ネットワークとそれぞれの層に対策を設け、単一の製品や仕組みだけに依存しない『多層防御』を徹底しています」（常峰さん）
また、日々の業務の大部分は「Google Workspace」などのクラウドサービス上で完結するため、開発職を除けば、業務端末のローカル環境にファイルを保存する場面は多くありません。デスクトップやダウンロードフォルダなどに一時保存したファイルも、再起動のタイミングで自動的に削除される安全な運用ルールを敷いています。
OS更新を「お願い」だけにしない
過去のMac運用において情シスを悩ませていたのが、OSのアップデート対応でした。WindowsはMicrosoft Intuneを使って自動でOSのアップデートを実行させています。しかし、MacはOSのアップデートを設定するとその瞬間に再起動してしまうため、自動アップデートを適用することができません。そのため、ユーザ自身に手動でアップデートするようにお願いするしかなく、社内のSlackで更新を呼びかけても、なかなか実行されないケースが散見されていたと言います。
「以前は、Slackで全社にアップデートをアナウンスし、未実施の社員には個別に状況を確認するというアナログな対応をしていました。しかし現在はJamf Proのブループリント機能を活用し、期限までに更新されなかったMacに対しては強制的にアップデートを適用し、自動で再起動させる運用へと切り替えています」（常峰さん）
現在、freeeはサポート対象とするOSを「最新から2バージョンまで」に限定しており、それより古いOSを使用している端末には更新を促す方針を徹底しています。
ただし、OSのメジャーアップデートが公開されても、すぐに全社へ適用するわけではありません。まずは検証用の端末で社内システムや業務への影響を慎重にテストし、安全が確認できてから全社へ展開しています。この運用プロセスは、Windows環境でも変わりません。
アプリの配布もセルフサービス化へ
端末管理のさらなる進化に向けて、freeeが次に見直そうとしているのが「業務アプリの配布方法」です。今後Macにおいては、Jamf Proの「Self Service+」などを活用し、従業員が必要なアプリを自分自身で選んでインストールできる環境の構築を目指しています。
これまでのように情シスが各端末へ個別にアプリをプッシュ配信するのではなく、会社として利用を許可したアプリのカタログを用意し、そこから各自が自由に入手できるようにする構想です。
入社時のキッティングに続き、日々のアプリ導入についても従業員自身で完結できる「セルフサービス化」へとシフトすることで、情シスの管理負荷をさらに軽減しつつ、ユーザの利便性を高めようとしています。
次回は、単なる端末の初期価格だけでは測れない「MacのTCO（総所有コスト）」に対する考え方と、更新サイクルの見直しについて詳しく伺います。
写真●黒田彰
