会社支給・管理下のiPhoneで、雇用主はあなたの写真を見られる？

結論から言うと、多くの企業が使っている登録方式では見られません。個人所有のiPhoneにAppleのUser Enrollmentで仕事用プロファイルを入れている場合、IT部門やそのMDMベンダーが写真アプリを開いたり、iCloud写真を閲覧したり、カメラロールから画像を取り出したりする方法は存在しません。これはOS自体に組み込まれた仕組みであり、会社のポリシー次第ではありません。会社が所有する端末はまったく別の話です。それは管理の範囲がずっと広い別の登録方式であり、自分の端末がどちらなのかを知っておく価値があります。

仕組みの実際

個人所有のiPhoneをUser Enrollmentで仕事用に登録すると、Appleは管理対象のアプリとアカウント専用に、暗号化された独立のAPFSボリュームを作成します。会社のMDMベンダーが受け取るのはこの一つのボリュームの鍵だけで、写真を含む個人データが入ったボリュームの鍵は決して渡されません。この方式では、ITが通常見られるのは端末のモデル、管理対象アプリの一覧、会社のメールアカウント、暗号化やパスコードの要件を満たしているかどうかまでです。構造的に見られないもの——それは写真、テキストメッセージ、閲覧履歴、個人用アプリ、位置情報です。

会社が購入して支給した端末は仕組みが異なります。Automated Device Enrollmentで登録された会社所有のiPhoneは監督下（supervised）に置かれ、組織にはるかに大きな管理権限と可視性を与えます。監督下の端末では「組織が通信内容を監視し、この端末の位置を特定できます」という常時表示の通知が設定画面に出るほどです。これは修理のために自分の端末を誰かに預けるのと少し似ています——何が見られるかは、実際に与えたアクセス権次第であり、端末の見た目や普段の使い勝手とは関係ありません。

プライバシーにとって重要な理由

User Enrollmentのもとで行われるAPFS分離は構造的な仕組みです。たとえ会社側がもっと可視性を望んだとしても維持されます——これは会社が譲歩してくれている好意ではありません。ただしこの壁が存在するのはBYOD型の登録の場合だけです。完全に会社所有で監督下にある端末に切り替わると、話は逆転します。個人的なものであれ何であれ、そこに保存されている内容についてプライバシーを合理的に期待できる立場にはなくなるのが一般的です。

米国の雇用主は、自社が所有する端末を監視する法的な裁量をすでに広く持っています。プライバシー擁護団体は、業務管理に必要な範囲をはるかに超えてデータを集める職場監視ツールに異議を唱えており、監視は必要最小限で、目的に見合ったもので、かつ従業員に開示されるべきだと主張しています。端末のブランドやどれだけ制限されているように感じるかを気にするより、ITにどの登録方式が使われているかを尋ねる方が有益です——その答えが、実際に何が見えているのかを何よりも物語ります。

とはいえ、この壁は自分自身が越えない限り機能します。会社のVPN経由で個人アカウントを確認したり、仕事用メールで個人の写真を送ったりすれば、そのコンテンツは会社が正当に見られる領域へと移動してしまいます。どんなMDMポリシーも、この種の自分自身によるデータ漏えいは防げません。どんな理由であれ端末を人に預ける前にも、同じ考え方が当てはまります——境界線は、正しい側にとどまっているものしか守ってくれません。

Privaraはこの問題にどう対応するか

Appleのアーキテクチャ自体が、User Enrollmentのもとですでに写真ライブラリをITから守ってくれていますが、その保護は管理対象ボリュームに限定されており、個人ボリュームのすべてを保証するものではありません。Privaraは、雇用主がどの登録方式を選んだかに依存しない、自分自身で直接コントロールできる第二の独立した層を追加します。一つのAES-256暗号化されたボックスに、写真・動画・書類、そして連絡先までも保管でき、見た目も動作も普通の電卓そのもので、開くのは自分のPINだけです。アカウント登録は不要で、初期設定ではどこにもアップロードされません——ローカルでゼロ知識のボックスなので、上位のデバイス管理層で何が起きていても、中身にはアクセスできません。

これは会社所有で監督下にあるiPhoneでこそ、なおさら重要になります。BYODユーザーを守るOSレベルの壁は同じようには働かないため、自分でコントロールするボックスこそが、最後まで機能する唯一の分離層になります。ついでに、それ以外の個人的な情報もメイン端末から切り離しておく価値があります。写真を隠すのと同じボックスで、連絡先もメイン端末から切り離しておけます。App StoreからPrivaraをダウンロードして、誰かの端末ポリシーに左右されない鍵の後ろに、自分の大切なコンテンツを置いてください。

よくある質問

会社のMDMプロファイルを入れると、個人の写真を見られてしまいますか？

BYODで使われる標準のUser Enrollmentでは見られません。Appleは管理データと個人データを別々の暗号化ボリュームに分けており、組織が持っているのは管理対象ボリュームの鍵だけです。写真ライブラリは設計上アクセスできません。

自分のiPhoneがUser Enrollmentなのか、完全に監督下にあるのか、どう見分けますか？

監督下にある会社所有のiPhoneは、設定画面に「組織が通信内容を監視し、端末を特定できます」という常時表示の通知が出ます。その通知がなく、仕事用メールやアプリのために自分の端末を自発的に登録した場合は、ほぼ確実にUser Enrollmentです。

会社所有のiPhoneと、仕事用プロファイルを入れた個人のiPhoneは違うのですか？

はい、大きく異なります。監督下にある会社所有の端末は、組織にずっと広い技術的な管理権限を与え、一般的にはそこに保存された内容についてプライバシーを期待できる立場にはありません。User Enrollmentのもとにある個人所有の端末は、個人データの周囲にしっかりした技術的な壁を維持します。

仕事用プロファイルを削除すると、個人の写真も消えますか？

いいえ。登録を解除すると消えるのは管理対象ボリュームとその暗号鍵だけで、組織のアプリ・アカウント・データはそれとともに消えます。写真を含む個人ボリュームはそもそも同じ暗号化ボリュームに存在したことがないため、影響を受けません。

まとめ

雇用主が写真を見られるかどうかは、たった一つの事実で決まります。それは仕事用プロファイルの有無ではなく、iPhoneが実際にどの登録方式かということです。標準のUser Enrollmentのもとでは、Appleのアーキテクチャが設計上、写真ライブラリを見えない場所に保っています。会社所有で監督下にある端末では、その保護は同じようには働きません。いずれの場合でも、自分自身でコントロールできるボックスを持っておく価値はあります——それは誰かの端末ポリシーに依存しないからです。