Android Enterprise のフル マネージド デバイス セキュリティの構成例

この記事では、Microsoft ゼロ トラスト セキュリティ モデルをサポートするために、Android Enterprise のフル マネージド モバイル ユーザーのデバイス コンプライアンス ポリシーとデバイス制限ポリシーの両方を構成するために、Microsoft Intune で使用する構成例を示します。 これらの例には、ゼロ トラストの原則に沿ったデバイス セキュリティ構成のレベルが含まれます。

これらの例を使用する場合は、セキュリティ チームと協力して、脅威環境、リスク選好度、およびさまざまなレベルと構成が使いやすさに与える影響を評価してください。 organization のニーズに合わせて例をレビューおよび調整した後、初期テストとその後の運用環境での使用のためのリング展開アプローチを実装します。

各ポリシー設定の詳細については、次を参照してください。

• Intune を使用してデバイスを準拠または非準拠としてマークする Android Enterprise の設定
• Intune を使用して個人所有のデバイス上の機能を許可または制限する Android Enterprise デバイス設定

フル マネージド基本セキュリティ (レベル 1)

レベル 1 は、組織が所有するモバイル デバイスに対して推奨される最小限のセキュリティ構成です。

レベル 1 のポリシーでは、以下を実行することで、ユーザーへの影響を最小限に抑えながら、妥当なデータ アクセス レベルを適用します。

• パスワード ポリシーの強制
• 最小 OS システム バージョンの必要
• 特定のデバイス機能 (USB ファイル転送など) を無効にする

以降の表では、これらの例に含まれる設定のみを示します。 表に記載されていない設定は構成されていません。

デバイス コンプライアンス (レベル 1)

デバイスの制限 (レベル 1)

フル マネージド強化セキュリティ (レベル 2)

レベル 2 は、ユーザーがより機密性の高い情報にアクセスする会社所有デバイスに対して推奨される構成です。 これらのデバイスは、今日の企業では自然な対象です。 これらの設定では、高いスキルを持つセキュリティ担当者の大規模な配置は想定されていません。 そのため、ほとんどのエンタープライズ組織が利用しやすくなっています。 この構成では、より強力なパスワード ポリシーを設定し、ユーザー/アカウントの機能を無効にすることで、レベル 1 の構成が拡張されます。

レベル 2 の設定には、レベル 1 で推奨されるすべてのポリシー設定が含まれています。 ただし、次のセクションに記載されている設定には、追加または変更される設定のみが含まれます。 これらの設定は、ユーザーまたはアプリケーションに与える影響が若干大きくなります。 モバイル デバイスで機密情報にアクセスするユーザーが直面するリスクへの対応に適したレベルのセキュリティが提供されます。

デバイス コンプライアンス (レベル 2)

デバイスの制限 (レベル 2)

フル マネージド高セキュリティ (レベル 3)

レベル 3 は、以下の両方に対して推奨される構成です。

• 大規模な洗練されたセキュリティ機構を持つ組織。
• 敵対者によって一意に標的にされている特定のユーザーとグループ。

このような組織は、通常は、潤沢な資金を持つ世故に長けた敵対者の標的になります。

この構成では、以下を実行することで、レベル 2 が拡張されます。

• 最も安全な Microsoft Defender for Endpoint レベルまたはモバイル脅威防御レベルを適用することで、デバイスが準拠していることを確認する。
• オペレーティング システムの最小バージョンを上げる。
• 追加のデバイス制限を適用する (ロック画面で編集されていない通知を無効にするなど)。
• アプリを常に最新の状態にする必要があります。

レベル 3 の設定には、レベル 2 に推奨されるすべてのポリシー設定が含まれます。 ただし、次のセクションに記載されている設定には、追加または変更される設定のみが含まれます。 これらの設定は、ユーザーまたはアプリケーションに大きな影響を与える可能性があります。 攻撃対象の組織が直面するリスクへの対応に適したレベルのセキュリティが提供されます。

デバイス コンプライアンス (レベル 3)

デバイスの制限 (レベル 3)

関連記事

個人所有デバイスのセキュリティ設定の構成