freeeの情シス運用に学ぶ端末管理・セキュリティ・TCO最適化

概要

freee株式会社の情シス（IT Produce本部）における業務端末運用は、単に「管理しやすい環境へ統一する」のではなく、以下を同時に実現しようとしている点が非常に参考になる。

従業員の生産性と使いやすさ
セキュリティ
情シスの運用効率
自動化・セルフサービス化
端末のライフサイクル全体を見たTCO（Total Cost of Ownership）の最適化

特に印象的なのは、「管理効率のために利用者へ制約を押しつける」のではなく、利用者の自由度を確保したうえで、MDM、自動化、多層防御、標準化によって運用負荷を吸収していることである。

1. Mac / Windowsを従業員自身が選べる

freeeでは、原則として入社時に本人が以下を選択できる。

Mac
Windows
日本語配列キーボード
英語配列キーボード

端末を一律に統一するのではなく、従業員が使い慣れた環境を選べるようにすることで、入社直後から本来の業務へ集中しやすくしている。

一方で、すべてを自由選択にしているわけではない。

たとえば、外部委託先のコールセンターなどではChromebookを指定する場合がある。

理由は以下。

端末内にデータを残さない運用を行いやすい
セキュリティを確保しやすい
比較的低コストで導入できる
故障時の一時貸出端末としても利用しやすい

ポイント

「従業員の選択を尊重する領域」と「セキュリティやコストの観点から会社が指定する領域」を分けている。

端末の完全統一による管理効率だけを追求せず、従業員体験と運用効率のバランスを取っている点が重要。

2. OSごとに最適なMDMを使い分ける

freeeでは、複数OSを1つのMDMへ無理に統合するのではなく、OSごとに適した管理基盤を採用している。

OS	管理ツール
macOS	Jamf Pro
Windows	Microsoft Intune
ChromeOS	Googleの標準管理ツール

Macについてはさらに以下を組み合わせている。

Apple Business
Jamf Connect

Jamf Connectにより、会社のアカウントIDとMacのログインを連係し、初期セットアップ時の認証も簡素化している。

ポイント

「ツールを1つに統一すること」自体を目的にしていない。

各OSに対して最適な管理機能を利用できることを優先している。

これはマルチOS環境を運用する場合の重要な考え方である。

3. キッティングを情シスから利用者へ移す

以前は、情シス側で端末をキッティングしてから新入社員へ渡していた。

設定やアプリ配布そのものは自動化されていたものの、処理が途中で止まっていないかを確認し、完了まで見守る必要があった。

現在は、新入社員自身が入社時のオリエンテーション中に端末をセットアップする方式へ変更している。

利用者は画面の案内に沿って操作し、必要な以下の処理は自動的に適用される。

端末設定
セキュリティポリシー
業務アプリ
認証設定

効果

情シスのキッティング作業を大幅に削減
入社人数が増えてもスケールしやすい
端末発送後のリモートセットアップへ発展させやすい
利用者自身がセットアップするため、端末利用開始までの流れが分かりやすい

重要な考え方

自動化するだけでなく、「誰が作業するか」も見直している。

情シスが自動化処理を監視する運用から、利用者自身がセルフサービスで完結できる運用へ移行している点が優れている。

4. 端末・認証・ネットワークを多層で守る

EDRにはPalo Alto NetworksのCortexを採用。

さらに以下を組み合わせている。

MDM
EDR
OneLogin
クラウド型VPN
OS標準のセキュリティ機能
クラウドサービス中心の業務環境

MacとWindowsでMDMは異なるが、セキュリティ全体については共通化できる部分を共通化している。

考え方としては、

Endpoint
Identity
Network

の各レイヤーに防御を配置する多層防御（Defense in Depth） である。

また、業務の多くをGoogle Workspaceなどのクラウドサービスで完結させ、ローカル端末へデータを残す場面を減らしている。

一時的にデスクトップやダウンロードフォルダへ保存されたファイルも、再起動時に自動削除する運用が採用されている。

ポイント

セキュリティ製品を導入するだけではなく、

端末
ID
ネットワーク
データ保存方法

まで含めて設計している。

5. OSアップデートを「利用者へのお願い」にしない

Windows

Microsoft Intuneを利用してOSアップデートを自動化。

Mac

以前はSlackでアップデートを案内し、未対応者へ個別確認していた。

現在はJamf Proのブループリント機能を利用し、期限までに更新されなかったMacに対してアップデートを強制適用し、自動再起動させる運用へ変更している。

また、freeeではサポート対象OSを一定範囲に限定し、古いOSを使い続けない運用を徹底している。

ポイント

セキュリティ運用を「社員が対応してくれること」に依存させない。

情シスからのお願いやSlack通知ではなく、MDMで技術的に統制する。

これは大規模な端末管理では非常に重要。

6. メジャーOSアップデートは段階的に展開する

OSのメジャーバージョンが公開されても、すぐに全社員へ適用しない。

まず検証用端末で確認する。

主な確認対象は以下。

社内システム
業務アプリ
VPN
認証
MDM
EDR
周辺機器
業務プロセスへの影響

問題がないことを確認してから全社展開する。

これはMacだけでなくWindowsでも共通の運用。

基本フロー

OS Release
    ↓
Test Devices
    ↓
Compatibility Test
    ↓
Approval
    ↓
Phased Deployment
    ↓
Mandatory Update

7. アプリ配布もセルフサービス化する

MacではJamf Proの「Self Service+」などを活用し、従業員自身が必要なアプリを選択してインストールできる環境を目指している。

会社が承認したアプリのカタログを用意し、その中から利用者が必要なものを自分でインストールする。

従来

Employee
   ↓ Request
IT Help Desk
   ↓ Push
Device

セルフサービス

Approved App Catalog
          ↓
      Employee
          ↓
        Install

効果

ヘルプデスクへの依頼削減
アプリ導入までの待ち時間削減
シャドーIT抑制
承認済みソフトウェアの標準化
情シスの運用負荷削減

端末ライフサイクルとTCO

8. 端末価格ではなくTCOで判断する

freeeでは端末の評価を単純な購入価格だけではなく、TCOで考えている。

TCOには以下を含めて考える必要がある。

TCO
 = Purchase Cost
 + Management Cost
 + Support Cost
 + Failure / Repair Cost
 + Help Desk Cost
 + Replacement Cost
 - Resale Value

端末価格が多少高くても、

長期間利用できる
故障が少ない
バッテリー寿命が長い
管理工数が少ない
中古売却価格が高い

のであれば、TCOでは安くなる可能性がある。

9. 更新周期を固定ルールではなく実態に合わせて見直す

従来の更新周期は以下だった。

端末	更新周期
Mac（エンジニア）	2年
Mac（非エンジニア）	3年
Windows	3年

Appleシリコン搭載Macでは、4年程度利用しても性能やバッテリーの面で実用性を維持できる感触が得られたため、更新周期を見直している。

ポイント

「3年経ったから交換する」のではなく、

性能
バッテリー
故障率
OSサポート
セキュリティ
利用者の業務要件

を見ながらライフサイクルを決める。

10. リースではなく購入して使い切る

freeeでは業務端末をリースではなく購入している。

リースでは契約期間に合わせて返却時期が固定されるが、購入であれば端末の状態に応じて柔軟に利用期間を調整できる。

購入方式のメリット

利用期間を柔軟に延長できる
状態のよい端末を長く利用できる
退職者端末を再利用できる
必要に応じて途中売却できる
リセールバリューを回収できる

11. 退職者端末を再利用する

退職者から返却された端末は、

回収
清掃
初期化
再セットアップ
次の利用者へ再配布

という流れで再利用する。

端末を「1人に1台買って終わり」と考えず、会社のIT資産として循環利用している。

12. 最後は中古市場へ売却する

社内で完全に利用を終えた端末も、すぐ廃棄するのではなく、売却可能な端末は中古市場へ売却する。

特にMacはリセールバリューが高いため、売却額をTCOから差し引いて考えることができる。

Net Device Cost
 = Purchase Price
 + Operating Cost
 - Resale Value

端末の購入判断時に「出口価格」まで考える点が重要。

13. 保守サービスも固定化しない

以前はAppleCare+を利用していたが、その後、自社の利用実態により合う販売代理店の保守サービスへ変更している。

端末だけでなく、保守契約についても定期的に見直している。

freeeの情シス運用で特に参考になる点

1. ユーザ体験を犠牲にしない

管理しやすさのために端末を統一するのではなく、利用者が働きやすいことを重視している。

2. 自動化だけでなくセルフサービス化する

情シスが自動処理を実行するのではなく、利用者自身が安全に実行できる仕組みへ移行している。

例：

セルフキッティング
アプリのセルフインストール

3. 人に依存する運用をシステム化する

Slackで依頼
↓
未対応者を確認
↓
個別催促

ではなく、

Policy
↓
MDM
↓
Deadline
↓
Mandatory Update

へ変えている。

4. OSごとの最適解を採用する

すべてを1製品に統一することより、各OSで最も適した管理方法を選ぶ。

5. Security by Layers

Endpoint / Identity / Network / Dataをそれぞれ保護し、1つの製品へ依存しない。

6. 端末のライフサイクル全体を最適化する

Purchase
   ↓
Provisioning
   ↓
Operation
   ↓
Reuse
   ↓
Resale

この全体をTCOとして管理する。

自社へ応用する場合のチェックリスト

Device

Mac / WindowsのEmployee Choiceを導入できるか
職種ごとの標準モデルを定義する
Chromebookなど用途限定端末を検討する
キーボード配列など利用者選択項目を定義する

MDM

macOS：Jamf Pro等
Windows：Microsoft Intune等
ChromeOS：Google Admin Console等
OSごとに管理ポリシーを標準化する

Identity

IdPを統一する
端末ログインと会社IDを連係する
SSOを拡大する
MFA / Passkeyを検討する

Endpoint Security

EDRを導入する
ローカルデータ保存を最小化する
ディスク暗号化を強制する
端末紛失時のリモートロック・ワイプを用意する

Provisioning

Zero Touch Deploymentを目指す
セルフキッティング化する
入社オリエンテーションへ端末セットアップを組み込む

Patch Management

OSアップデートをMDMで管理する
アップデート期限を設定する
期限超過端末へ強制アップデートを適用する
メジャーアップデート前に検証期間を設ける

Application Management

承認済みアプリ一覧を定義する
セルフサービス型アプリカタログを作る
不要な個別インストール依頼を削減する

Lifecycle / TCO

端末更新年数を固定値だけで決めない
故障率を記録する
バッテリー状態を管理する
退職者端末を再利用する
売却価格を含めてTCOを計算する
購入とリースをTCOで比較する
保守契約を定期的に見直す

まとめ

freeeの端末運用で最も参考になるのは、特定の製品を使っていることそのものではない。

重要なのは、以下の設計思想である。

利用者の自由度を確保しながら、管理・セキュリティ・自動化の仕組みを裏側で整備する。

そして、

人が頑張る運用を減らし、ポリシーとシステムによって自動的に正しい状態へ収束させる。

さらに端末を、

購入 → セットアップ → 利用 → 再利用 → 売却

というライフサイクル全体で管理し、TCOを最適化している。

情シスの役割を単なる「PC管理」ではなく、

Employee Experience + Security + Automation + Cost Optimization

として捉えている点が、非常に参考になる。

参考記事

MacとWinの混在にも価値を見出す。freeeが3500台もの業務端末をあえて統一しない理由
https://macfan.book.mynavi.jp/business/article/112562/
MacとWinの混在環境における端末管理のベストプラクティス。freee株式会社のMDM、OSアップデート、キッティングの裏側
https://macfan.book.mynavi.jp/business/article/112584/
MacはWinよりTCOに優れている。管理費用、故障対応、買い替えサイクル、リセールバリューほか、端末価格だけでは測れない本当のコスト
https://macfan.book.mynavi.jp/business/article/112596/

このメモは上記記事を参考に、情シス・Corporate IT運用の観点から要点を再構成したもの。