Android Enterprise のフル マネージド デバイスのセキュリティ構成の例

Microsoft ゼロ トラスト セキュリティ モデルをサポートするために、この記事では、Android Enterprise フル マネージド モバイル ユーザーのデバイス コンプライアンス ポリシーとデバイス制限ポリシーの両方を構成するために Microsoft Intune で使用する構成の例を示します。 これらの例には、ゼロ トラスト原則に沿ったデバイス セキュリティ構成のレベルが含まれます。

これらの例を使用する場合は、セキュリティ チームと協力して、脅威環境、リスクアペタイト、およびさまざまなレベルと構成が使いやすさに与える影響を評価してください。 organizationのニーズに合わせて例を確認して調整した後、初期テスト用のリング展開アプローチを実装し、その後に運用環境で使用します。

各ポリシー設定の詳細については、次を参照してください。

• Intune を使用してデバイスを準拠または非準拠としてマークする Android Enterprise 設定
• Intune を使用して個人所有デバイスの機能を許可または制限する Android Enterprise デバイス設定

フル マネージド基本セキュリティ (レベル 1)

レベル 1 は、組織が所有するモバイル デバイスに対して推奨される最小限のセキュリティ構成です。

レベル 1 のポリシーでは、以下を実行することで、ユーザーへの影響を最小限に抑えながら、妥当なデータ アクセス レベルを適用します。

• パスワード ポリシーの適用
• OS システムの最小バージョンを要求する
• 特定のデバイス機能を無効にする (USB ファイル転送など)

次のセクションの表は、これらの例に含まれている設定のみを一覧表示します。 テーブルに一覧表示されていない設定は構成されていません。

デバイスコンプライアンス (レベル 1)

デバイスの制限 (レベル 1)

フル マネージド強化セキュリティ (レベル 2)

レベル 2 は、ユーザーがより機密性の高い情報にアクセスする会社所有デバイスに対して推奨される構成です。 これらのデバイスは、今日の企業では自然な対象です。 これらの設定では、高いスキルを持つセキュリティ担当者の大規模な配置は想定されていません。 そのため、ほとんどのエンタープライズ組織が利用しやすくなっています。 この構成では、より強力なパスワード ポリシーを設定し、ユーザー/アカウントの機能を無効にすることで、レベル 1 の構成が拡張されます。

レベル 2 の設定には、レベル 1 で推奨されるすべてのポリシー設定が含まれています。 ただし、次のセクションに示す設定には、追加または変更された設定のみが含まれます。 これらの設定は、ユーザーやアプリケーションへの影響が少し大きくなる可能性があります。 モバイル デバイスで機密情報にアクセスするユーザーが直面するリスクへの対応に適したレベルのセキュリティが提供されます。

デバイスコンプライアンス (レベル 2)

デバイスの制限 (レベル 2)

フル マネージド高セキュリティ (レベル 3)

レベル 3 は、以下の両方に対して推奨される構成です。

• 大規模な洗練されたセキュリティ機構を持つ組織。
• 敵対者が一意にターゲットとする特定のユーザーとグループ。

このような組織は、通常は、潤沢な資金を持つ世故に長けた敵対者の標的になります。

この構成では、以下を実行することで、レベル 2 が拡張されます。

• 最も安全なMicrosoft Defender for Endpointまたはモバイル脅威防御レベルを適用することで、デバイスが準拠していることを確認します。
• オペレーティング システムの最小バージョンを上げる。
• 追加のデバイス制限を適用する (ロック画面で未処理の通知を無効にするなど)。
• アプリを常に最新の状態にする必要がある。

レベル 3 の設定には、レベル 2 で推奨されるすべてのポリシー設定が含まれています。 ただし、次のセクションに示す設定には、追加または変更された設定のみが含まれます。 これらの設定は、ユーザーまたはアプリケーションに大きな影響を与える可能性があります。 攻撃対象の組織が直面するリスクへの対応に適したレベルのセキュリティが提供されます。

デバイスコンプライアンス (レベル 3)

デバイスの制限 (レベル 3)

関連記事

個人所有デバイスのセキュリティ設定を構成する