MDM運用のKPI設計｜登録・準拠・更新・紛失対応・解除を継続改善する

MDMのダッシュボードに「管理端末800台」と表示されても、管理品質は分かりません。本来登録すべき端末が50台漏れているかもしれず、登録済み端末の一部は30日以上接続していないかもしれません。ポリシー配布率が高くても、端末側で適用されていなければ業務データは守れません。MDMのKPIは、製品画面の大きな数字ではなく、対象母集団、端末応答、是正、解除まで測る必要があります。

本記事では、情報システム、セキュリティ、ヘルプデスク、資産管理、内部監査の担当者向けに、MDMの管理対象網羅率、登録品質、準拠、OS更新、アプリ配布、未接続、紛失対応、遠隔ワイプ、管理者権限、BYOD解除、工数・費用を評価するKPIを設計します。分子・分母、基準時点、除外条件、対抗指標を明示し、800台規模の月次レビュー例まで解説します。

KPIを端末ライフサイクルへ対応付ける

MDMは登録だけでなく、準拠の維持、異常の是正、利用終了時の解除まで続きます。KPIも次の段階へ分けます。

• 対象確定：管理すべき端末を漏れなく識別できたか
• 登録：正しいテナント・プロファイル・資産・利用者へ登録したか
• 構成：必要なポリシー、証明書、アプリが端末へ適用されたか
• 準拠：業務アクセス条件を満たし続けているか
• 是正：非準拠、未接続、失敗を期限内に解消したか
• 事故：紛失・盗難時にアクセス停止と遠隔操作を完了したか
• 変更：ポリシー・アプリ更新を安全に配布できたか
• 終了：退職、交換、売却で会社データと管理関係を解除したか

各段階に結果指標と先行指標を置きます。事故件数だけを見るのではなく、未接続端末、期限切れ例外、ワイプ未完了など事故につながる兆候を測ります。

指標定義に必須の項目

「登録率」「準拠率」という名前だけでは、部門ごとに違う計算になります。KPI定義書へ次を記載します。

• 改善したい目的と指標名
• 分子、分母、単位、計算式
• 対象OS、所有区分、利用形態
• 対象母集団と除外条件
• 基準日時点と集計期間
• MDM、資産台帳、人事、IdPのうち正本となる情報
• データ取得時刻と同期失敗の扱い
• 目標値、警戒値、SLA
• 数値の所有者と是正責任者
• 閾値超過時の具体的な処置
• 誤入力・除外を検知する対抗指標

基準日時点の母集団を保存し、後日レコードを修正しても当時の報告を再計算できるようにします。

管理対象網羅率を最初に測る

MDM内の端末だけを分母にすると、未登録端末は存在しないことになります。資産台帳、人事、購買、自動登録サービス、IdP、ネットワークなどから「本来管理すべき端末」の母集団を作ります。

主要指標

• 管理対象確定率：所有区分と用途を判定できた端末の割合
• MDM登録網羅率：管理必須端末のうち有効登録がある割合
• 資産・MDM相互一致率：両方に同じ個体IDがある割合
• 利用者紐付け率：個人貸与端末で有効利用者が一致する割合
• 自動登録割当率：対象の会社所有端末で組織割当が済む割合
• 台帳外MDM端末数：MDMにはあるが資産台帳にない件数
• MDM外貸与端末数：台帳で貸与中だがMDMにない件数

MDM登録網羅率は次で計算します。

有効なMDM登録がある管理必須端末数 ÷ 基準日時点の管理必須端末総数 × 100

保管中で登録不要と定めた端末や、仕事用アプリ管理だけを使うBYODなどは、明示したルールで母集団を分けます。都合よく分母から外した件数も併記します。

登録品質と初期設定のKPI

登録件数だけでなく、初回で正しく登録され、所定時間内に準拠へ到達したかを測ります。

登録指標

• 初回登録成功率：再試行なしで登録完了した割合
• 登録リードタイム：受入・申請からMDM登録までの時間
• 準拠到達時間：登録開始から全基準適用までの時間
• 登録失敗率とエラー理由別件数
• 重複登録率：同一個体に複数の有効レコードがある割合
• 誤プロファイル率：所有区分・用途と異なる登録をした割合
• 利用者誤紐付け率
• 手動登録例外率と例外期限超過数

初回成功率を上げるために失敗を別キューへ隠さないよう、登録予定件数を分母にします。成功までの再試行回数と、未完了の最長滞留時間も確認します。

ポリシー適用と準拠のKPI

管理コンソールがポリシーを送ったことと、端末が適用したことを分けます。準拠率は、判定対象端末が一定期間内に応答し、最新基準で判定された場合だけ分子に入れます。

適用指標

• ポリシー配信成功率：MDMが対象へコマンドを配送できた割合
• 端末適用確認率：端末側で設定適用を確認できた割合
• ポリシーバージョン最新率
• 暗号化有効率、画面ロック適合率
• 必須証明書・セキュリティアプリ適用率
• 設定競合・適用失敗件数

準拠指標

• 有効判定端末の準拠率
• 高リスク非準拠端末数
• 非準拠検知から通知までの時間
• 非準拠解消までの中央値・90パーセンタイル
• 猶予期限超過率
• 隔離後の復帰率と再発率
• 手動解除・誤検知件数

「判定不能」端末を分母から除くと準拠率が高く見えます。未接続、応答なし、判定古化を別区分にし、準拠・非準拠・判定不能の合計が母集団と一致するようにします。

OS更新と脆弱性対応のKPI

OS更新は配布開始日だけでなく、対象端末が期限内に適用し、業務アプリが正常に動くところまで測ります。

更新指標

• サポート対象OS率
• 重要更新の期限内適用率
• 更新公開から検証完了までの時間
• 先行配布から本番開始までの時間
• 本番配布から80%・95%到達までの日数
• 更新失敗率、再試行率、ロールバック件数
• 更新後の業務障害・問合せ率
• OSサポート終了端末数と最長超過日数

適用率だけを追うと、電源が入らない端末や長期未接続端末を除外しがちです。資産台帳上の貸与状態、MDM最終接続、更新対象の三つを照合します。緊急更新では適用速度と同時に、障害件数、例外、未到達端末の封じ込めを報告します。

未接続・休眠端末のKPI

最終接続が古い端末は、保管中、故障、長期休暇、ネットワーク不通、管理解除、紛失など複数の原因があります。単純に削除せず、資産状態と照合します。

観測指標

• 貸与中で7日・14日・30日以上未接続の端末数
• 保管中なのに頻繁に接続する端末数
• 最終接続日不明・初回未接続の端末数
• 未接続端末の所在確認完了率
• 原因確定までの時間
• 紛失・台帳誤りへ移行した件数
• 再接続・再登録・回収の完了率

休職や長期保管など正当な未接続には、理由、責任者、次回確認日を付けます。「例外」として無期限に除外しません。

アプリ・証明書・ライセンスのKPI

業務アプリは配布成功だけでなく、必要なバージョン、構成、ライセンス、データ境界まで確認します。

アプリ指標

• 必須アプリの端末適用率
• 最新承認バージョン率
• 配布成功・保留・失敗・対象外の内訳
• 配布から初回起動・認証までの時間
• アプリ更新後のクラッシュ・問合せ・業務障害件数
• 禁止アプリ・未承認アプリの検知・是正件数
• 未使用ライセンス率とライセンス不足件数

証明書・構成指標

• 証明書期限内更新率
• 30日以内に失効する証明書数
• 期限切れ証明書によるアクセス障害件数
• VPN・Wi-Fi構成の適用成功率
• 古い構成プロファイル残存数
• 退職・解除端末に残る会社証明書数

GoogleのAndroid Enterprise概要は、管理対象Google Playとポリシーによるアプリ管理、仕事用プロファイルなどを説明しています。BYODでは仕事用領域の適用率と、個人領域へ不必要な制御が及んでいないことを併せて確認します。

紛失・盗難と遠隔操作のKPI

事故対応では、通報件数だけでなく、発覚から封じ込め、端末応答、結果確認までの時間を測ります。

初動指標

• 発覚から受付までの時間
• 受付から資産・利用者特定までの時間
• アカウント・回線停止までの時間
• ロック・業務データ削除・全消去の判断時間
• 高リスク案件のSLA遵守率

遠隔操作指標

• コマンド送信成功率
• 端末応答確認率
• 完了・失敗・配信待ち・取消しの内訳
• 誤対象・取消し・重複実行件数
• オフラインで期限超過するコマンド数
• 回収・発見後の完全性確認率

AppleのErase Apple devicesは、管理サービスから送った消去コマンドに端末が応答して実行する流れを説明しています。コマンド送信率をワイプ完了率として報告しないよう、端末応答を分子の条件にします。

ポリシー変更と配布品質のKPI

変更の速さだけでなく、検証、段階配布、失敗、ロールバック、業務影響を測ります。

• 変更要求から検証開始までの時間
• 検証で発見した不具合件数
• 先行配布端末数と観測期間の遵守率
• 本番適用率と適用完了までの時間
• 配布失敗率、再試行率、ロールバック率
• 変更後の問合せ・業務障害・非準拠増加
• 対象外・例外端末数と期限超過
• 緊急変更の事後レビュー完了率
• 配布対象集合と結果集合の不一致件数

高速配布を評価し過ぎると検証が省略されます。適用時間と障害率、ロールバック、未適用端末を対抗指標として並べます。

管理者・プライバシー・例外のKPI

端末側だけでなく、管理する側の権限と情報利用も測ります。

管理者統制

• 全権管理者数と必要性確認率
• 多要素認証適用率
• 休眠・退職・異動済み管理者数
• 一時昇格の期限超過件数
• 高リスク操作の二者承認率
• 緊急アカウント利用件数と事後確認率
• 操作ログ未取得・保持失敗件数

プライバシーと例外

• BYOD同意・規程確認率
• 位置情報照会件数、承認・終了記録の完備率
• 利用目的外のログ閲覧・エクスポート件数
• 例外端末数、期限切れ件数、最長継続日数
• 同じ理由の例外再申請率
• 代替統制の実施確認率
• 利用者からの問合せ・異議・誤削除件数

例外ゼロを目標にすると報告されない例外が増える可能性があります。例外の早期申告、期限内解消、再発防止を評価します。

退職・交換・売却時の解除KPI

端末をMDMから削除した件数ではなく、会社データ、証明書、アクセス、組織割当、台帳が正しく終了したかを測ります。

会社所有端末

• 回収対象のMDM・台帳照合率
• 回収から消去・解除までの時間
• 消去結果確認率
• アプリ・証明書・回線・利用者割当解除率
• 再配布端末の再登録・準拠完了率
• 売却・返却端末の自動登録割当解除率
• 台帳終了とMDM解除の不一致件数

BYOD

• 退職・利用終了から会社アクセス停止までの時間
• 仕事用プロファイル・会社データ削除確認率
• 管理証明書・MDM解除完了率
• 個人領域への誤影響・全消去件数
• 保持期間超過の端末情報件数

解除率を上げるために、端末応答を確認せずMDMレコードだけ削除しないよう、端末側結果とIdP側アクセス停止を対抗指標にします。

工数・費用・サポート品質のKPI

MDMの価値はセキュリティだけでなく、登録や配布の標準化による工数削減にもあります。ただし、利用者へ負担を移しただけでは改善ではありません。

工数・費用

• 1台当たり登録・設定時間
• 自動登録率と手動作業回数
• 1件当たり非準拠是正工数
• アプリ配布・更新の手動操作回数
• MDMライセンス利用率と1管理端末当たり費用
• 未使用ライセンス、重複ツール、委託費

サポート

• 登録・更新・アクセス制限に関する問合せ率
• 初回解決率、再問合せ率
• 平均解決時間と90パーセンタイル
• 利用者自己修復率
• 誤隔離・誤ワイプ・誤プロファイル件数
• サポート後の準拠復帰率

自己修復率を上げるために難しい問題を利用者へ押し戻さないよう、再問合せ、解決時間、利用者影響を併記します。

800台の月次レビュー例

基準日時点で、会社所有650台、BYOD150台の合計800台が管理必須だとします。MDMには790台ありますが、台帳との照合結果は次の通りでした。

• 正しい個体で有効登録：775台
• MDMにあるが台帳にない：8台
• 重複・旧レコード：7台
• 台帳では管理必須だがMDMにない：25台

MDM画面だけなら790台ですが、管理登録網羅率は775 ÷ 800 = 96.9%です。さらに775台のうち、最新基準で準拠730台、非準拠20台、30日以上未接続15台、判定処理中10台なら、有効な準拠率は730 ÷ 775 = 94.2%です。

非準拠20台の内訳が、OS期限超過8台、暗号化不明2台、必須アプリ失敗6台、期限切れ例外4台なら、対応を分けます。暗号化不明は高リスクとして即時確認し、アプリ失敗は配布ログと互換性を確認し、期限切れ例外は再承認ではなく解消計画を評価します。

当月の紛失3件では、ロック・ワイプコマンド送信3件、端末応答2件、オフライン1件だった場合、送信率は全件でも完了は2件です。残る1件はアカウント・回線停止と追跡を継続します。このように、見栄えの良い大きな数字から個体レコードと未完了作業へ掘り下げます。

目標値と対抗指標をセットで置く

すべてのKPIに同じ目標を置かず、高リスクの必須ゲートと段階改善を分けます。

全件完了を求めるゲート

• 全消去対象の個体・承認・結果確認
• 売却・返却前の会社データ削除と組織割当解除
• 高リスク管理者操作の本人識別とログ
• 退職者の会社アクセス停止

段階改善する指標

• 登録網羅率、MDM・台帳一致率
• OS更新、ポリシー適用、アプリ最新率
• 非準拠解消時間、未接続端末数
• 自動登録率、サポート工数、例外滞留

登録網羅率には重複・誤紐付け率、準拠率には判定不能率、更新速度には障害率、ワイプ送信率には端末応答率、解除率にはIdP・台帳不一致を対抗指標として置きます。

週次・月次・四半期レビュー

日次・週次

• 高リスク非準拠、紛失、退職者、全消去失敗
• 登録失敗、誤紐付け、証明書期限、ポリシー配布失敗
• 7日・14日・30日未接続と期限切れ例外
• 障害中の保留コマンドと業務アクセス例外

月次

• 管理対象網羅率と台帳・MDM相互一致
• 準拠、更新、アプリ、未接続の傾向
• 変更品質、サポート工数、ライセンス利用
• 管理者権限、例外、プライバシー操作
• 退職・交換・売却時の解除完了

四半期

• OS・モデル・登録方式別の事故と工数
• ポリシー基準、猶予、隔離条件の妥当性
• MDM・IdP・資産台帳連携の品質
• ベンダーSLA、費用、障害、サポート
• KPIの定義、目標、廃止・追加

IPAの中小企業の情報セキュリティ対策ガイドラインは、組織的・技術的対策を実務へ落とす資料を公開しています。AppleのDevice Enrollment and device managementも登録方式と管理範囲を説明しています。KPIは製品機能の多さではなく、自社の所有区分・業務データ・責任・証跡に対して管理が機能したかを測ります。

KPI定義の最終チェックリスト

• 指標を端末ライフサイクルの段階へ対応付けた
• 分子・分母・母集団・除外・基準時点を明記した
• MDM内だけでなく資産台帳・人事・IdPと照合した
• コマンド送信と端末側適用・完了を区別した
• 準拠、非準拠、判定不能の合計が母集団と一致する
• 平均だけでなく中央値、90パーセンタイル、最長滞留を見る
• 所有区分、OS、用途別に原因を分解できる
• 高リスク件数から対象端末へ掘り下げられる
• KPIごとに改善責任者と異常時アクションがある
• 数字の不正最適化を防ぐ対抗指標がある
• 母集団変更・手動解除・例外を履歴化している
• 過去の報告値を当時のデータで再計算できる
• 利用者負担とプライバシーへの影響も測っている
• KPI自体を定期的に見直している

まとめ：MDMの成果は端末側の結果と安全な終了で測る

MDMのKPIは、管理画面に表示される台数やコマンド送信件数だけでは足りません。管理すべき母集団を資産台帳から確定し、正しい個体・利用者・所有区分への登録、端末側のポリシー適用、準拠、非準拠の是正、未接続の原因確定、事故時の端末応答、退職・売却時の解除まで測ります。さらに、重複、判定不能、誤操作、利用者影響を対抗指標にして、数字だけが改善する状態を防ぎます。

売却対象端末の価値回収を評価する場合、MDM解除件数だけでなく、消去、組織割当解除、台帳終了、売却完了までを同じ個体集合で照合します。その上で中古端末の買取相場を確認すると状態・処理費を比較すれば、適切な時期に管理を終了した効果を説明できます。最初の月次レビューでは、MDM外貸与端末、30日以上未接続、期限切れ例外、退職者割当、端末応答未確認のワイプを抽出してください。