1. スマホ法とは

「スマホ法」とは、正式名称を「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律」という法律の通称です。公式での略称は「スマホ法」で、「スマホ新法」と言った場合も同じものを指します。2024年6月に成立・公布され、2025年12月18日に全面施行されました。

対象となるのは、スマートフォンの利用に欠かせない4つの「特定ソフトウェア」、すなわち「モバイルOS」「アプリストア」「ブラウザ」「検索エンジン」です。これらの分野で強い影響力を持つ事業者（指定事業者）に対して、公正な競争環境の整備と利用者の選択肢拡大を目的とした義務を課す点が特徴です。公正取引委員会は、スマホソフトウェア競争促進法に基づき、特定ソフトウェアの種類ごとに、年度の各月平均利用者数が4,000万人以上などの政令で定める基準を満たす事業者としており、2026年8月時点ではApple Inc.、iTunes株式会社、Google LLCの3社が該当しています。

これまでのスマートフォン市場では、OSやアプリストアを提供する少数の事業者が、アプリの配信経路や決済手段を事実上コントロールしてきました。この「囲い込み」的な構造を見直し、多様な事業者の参入とイノベーションを促すことが、スマホ法制定の背景にあります。

2. スマホ法で何が変わるのか

スマホ法の施行により、企業のスマートフォン利用にも関わる形で、主に次の3つの変化が生じます。

• アプリのインストール経路の拡大：スマホにインストールできるアプリの配信経路はこれまでApp StoreやGoogle Playに限られていましたが、サードパーティ製のアプリストアやWeb経由といった配布方法にも広がります
• ブラウザ・検索エンジンの選択肢拡大：初回起動時やOSアップデート時などに、複数の選択肢から自由に選べる「チョイススクリーン」の導入が進みます
  ※チョイススクリーン：「暗黙のデフォルト」を是正するため、初期設定のタイミングで複数の選択肢（自社サービスと他社サービスを含む一覧）を並べて提示し、ユーザー自身に選ばせる画面が表示されるようになります
• 決済方法の多様化：これまで特定の決済システムの利用が事実上義務付けられていたアプリ内課金についても、指定事業者による決済手段の強制が制限されます

利用者にとっては選択の幅が広がる一方で、これらの変化は業務用スマートフォンの管理という観点では新たなリスク要因にもなりえます。なぜなら、今まではプラットフォーマーの審査下では承認されていなかったようなアプリケーションやブラウザが蔓延することにもつながるためです。

3. 業務用スマホで注意すべきリスク

個人利用のスマートフォンと異なり、企業が従業員に支給するスマートフォンには、顧客情報、社内資料、営業情報、認証情報など、事業活動に直結する重要なデータが保存されています。

そのため、スマホ法の施行に伴って想定される次のようなリスクは、個人利用時以上に企業にとって深刻な影響を及ぼす可能性があります。

• 不正アプリのインストールによるマルウェア感染や情報漏えい
• 代替アプリストアやサイドローディング経由での「なりすましアプリ」「偽アプリ」による認証情報・決済情報の詐取
  ※サイドローディング：通常定められた配布手段を迂回し、異なる経路で端末にアプリを送り、使用可能にすることを指します。
• 業務データの持ち出しや意図しない外部共有
• 従業員が個人の判断でアプリに過剰な権限（連絡先・位置情報・カメラなど）を許可してしまうことによる情報漏えい
• サービス選択肢の多様化に伴う問い合わせ窓口・責任の所在の分散（アプリ不具合はアプリ開発者、決済トラブルは決済事業者、インストール不具合はストア運営者、など）
• 決済・アカウント管理の複雑化による外部決済サービス導入に伴う不正利用や、返金・保証対応のない決済
• 端末ごとに利用するストアやブラウザ、検索エンジンが異なることによる、管理者側の運用・監視負荷の増大
• 公式ストアの審査を経ないアプリの混入によるセキュリティ水準のばらつき（社内で「安全なアプリ」の基準が統一しづらくなる）

業種別に見るリスクの深刻度

上記のリスクは、業種によって影響の大きさや優先すべき対策が異なります。以下に代表的な業種ごとの傾向を整理します。

• 金融・保険業：口座情報や決済情報などの機微情報を扱うため、なりすましアプリによる認証情報の詐取や不正送金のリスクが特に高くなります。金融庁のガイドラインでも、モバイル端末の管理体制整備が求められています。
• 医療・介護業：患者の診療情報など要配慮個人情報を扱う端末が多く、電子カルテ連携アプリの信頼性や、位置情報・カメラなどアプリ権限の管理が特に重要な課題となります。
• 製造業：設計図面や仕様書、取引先情報など機密性の高いデータを現場端末で扱うケースが多く、サイドローディング経由の情報流出リスクや、海外拠点を含めた端末管理方針の統一が論点になります。
• 小売・EC業：決済手段の多様化に伴うトラブル対応や、店舗スタッフが利用するシフト管理・POS連携アプリなど、端末ごとに利用アプリが異なることによる管理負荷の増大が起こりやすい業種です。
• 士業・コンサルティング：契約書や顧客の機密情報を持ち歩く端末が多い一方、専任のIT管理者を置いていない組織も多く、運用の統制が手薄になりやすい傾向があります。
• 公共機関・自治体：住民情報を扱う端末が対象となる一方、予算やリソースの制約からMDM未導入のケースも見られ、対応の優先順位づけが課題となります。

4. 特に注意したい「アプリのインストール経路拡大」

前章で挙げたリスクの中でも企業が特に注意すべきなのは「アプリのインストール経路の拡大」です。

これまでApp StoreやGoogle Playでは、一定の審査基準やセキュリティチェックを経てアプリが配信されてきました。しかし、スマホ法の施行後は、サードパーティ製のアプリストアやサイドローディング（Webサイトなどからの直接インストール）といった、ほかの経路からもアプリを入手できるようになるため、審査水準の異なるアプリストアや配布元からアプリがインストールされる可能性が高まります。

従業員が個人の判断でアプリをインストールできる状態のままでは、提供元が不明なアプリや業務に不要なアプリが端末に入り込み、マルウェア感染や機密情報の漏えいにつながる恐れがあります。企業が管理するデバイスにおいては、この「インストール経路の拡大」が最も直接的なセキュリティリスクの拡大要因になると考えられます。

5. 企業がまず見直すべき社内ルール

スマホ法の施行に合わせて、企業は業務用スマートフォンの利用に関する社内ルールを見直す必要があります。具体的には、次のような項目を明確化することが求められます。

• 業務での利用を認めるアプリ・禁止するアプリの範囲
• 利用アプリの申請・承認フロー
• 外部決済サービスの利用可否
• 業務データの保存・共有

すでに社内ルールを策定している企業であっても、スマホ法によって新たに想定されるリスクに対応できているかどうかを、あらためて点検しておくことが望まれます。

6. ルールだけでは不十分な理由

しかし、社内ルールを整備するだけでは、実際の運用を担保することはできません。従業員一人ひとりの判断や手作業による対応に依存する限り、運用の抜け漏れは避けられないためです。

特に管理対象の端末台数が多い企業では、「誰が」「どの端末で」「どのアプリを」利用しているかを人力で把握することは現実的に困難です。ルールを形骸化させず実効性を持たせるためには、技術的な制御と可視化の仕組みを両方とも導入することが不可欠です。

7. MDMで実現できるスマホ法時代のアプリ管理

こうした課題への有効な対策として挙げられるのが、MDM（Mobile Device Management）の活用です。特にスマホ法の施行後は、App StoreやGoogle Play以外の経路からもアプリが入手できるようになるため、「従業員個人の判断に委ねない仕組み」を技術的に用意しておくことの重要性が増しています。

MDMで実現できる代表的な機能は次の通りです。

• アプリの一括配信：管理者が選定したアプリを対象端末へ自動配布し、従業員が自分でアプリを探す必要をなくす
• インストール制限：セーフリスト／ブロックリスト方式で、業務に関係のないアプリや審査水準の不明な代替アプリストア経由のアプリを制御
• 利用状況の可視化：どの端末にどのアプリが、いつ入っているかを管理画面から一覧把握
• リモートロック／リモートワイプ：紛失・盗難時に遠隔でロックやデータ消去を実施
• OSアップデート管理：脆弱性パッチの適用状況を一元把握し、未更新端末を放置しない体制を構築
• 構成プロファイルによる機能制限：iOS／iPadOSでは代替アプリストアやサイドローディング自体を無効化することも可能

とりわけ、アプリの入手経路が拡大するスマホ法時代においては、「インストールできるアプリを管理者側で制御できる」機能の重要性が一段と高まっています。従来のようにOS標準ストアの審査だけに安全性を委ねるのではなく、企業自身がMDMを通じて能動的に管理する姿勢が求められます。

8. OPTiM Bizでできるアプリ管理・端末管理

OPTiM Bizは、スマートフォンやタブレットを管理画面から一元管理できるMDMサービスです。スマホ法の施行を踏まえたアプリ管理の観点からは、次のような機能で企業のセキュリティ対策と運用負荷の軽減を支援します。

• Android Enterpriseと連携したアプリ配信・権限設定：「企業許可アプリ」機能により、managed Google Playの中から配信を許可するアプリを管理者があらかじめ選定・登録。リストにないアプリのインストールを制御し、許可したアプリのみを業務端末で利用させる運用が可能です
• iOS／iPadOSにおけるアプリ利用制限：構成プロファイルを通じて、アプリケーションID単位で「一部のAppのみを許可」または「一部のAppを許可しない」制限を設定可能。Safariの利用可否やJavaScriptの有効/無効といったブラウザ設定も併せて管理できます
• 複数OS対応のリモートロック・リモートワイプ：iOS、Android、macOS、Windowsなど複数OSに対応しており、端末を紛失した場合でも管理画面から遠隔操作でロックやデータ消去を行えます
• OSアップデートの一元管理：端末のOSバージョンを一覧で把握し、脆弱性が修正された最新版への更新を促す運用を支援します

App StoreやGoogle Play以外の経路からのアプリ入手が広がる中でも、こうしたセーフリスト／ブロックリスト方式によるアプリ制御と、OS標準の管理機能を組み合わせることで、業務利用が想定されていないアプリのインストールを制御し、情報漏えいやマルウェア感染のリスクの低減が期待できます。

9. 導入前に確認すべきポイント

MDMの導入・見直しを検討する際は、事前に次のような項目を整理しておくとスムーズです。

• 管理対象の端末台数：スマートフォン・タブレットの総数を把握します。台数によって、管理画面上でのアプリ登録・配信作業の負荷や、後述するキッティング方法の向き不向きが変わってきます。
• OSの種類（iOS／iPadOS／Android など）：OSごとにアプリ制限の実現方式（構成プロファイル／Android Enterpriseの企業許可アプリなど）が異なるため、混在環境では両方の設定方針をあらかじめ揃えておく必要があります。
• 会社支給端末かBYODか：会社支給端末であれば、後述するAndroid Enterpriseの「専用デバイス」やゼロタッチ登録など、より強力な一括制御・一括キッティングの仕組みを使いやすくなります。BYODの場合は、プライベート領域と業務領域を分離する運用（コンテナ型管理など）の要否も併せて検討します。
• 業務で必要なアプリ、制限したい操作の範囲：許可アプリ・禁止アプリの切り分けだけでなく、Safari／ブラウザの利用可否、JavaScriptの有効/無効といった細かな制限項目まで、どこまで管理するかの方針を固めておきます。
• 紛失・盗難時の対応フロー：リモートロック・リモートワイプを「誰が」「どの権限で」実行するか、実際に紛失が発生した際の連絡経路や初動対応の手順をあらかじめ決めておきます。

併せて、Apple BusinessやAndroid Enterpriseの利用有無、キッティング方法（Androidであれば、Googleのゼロタッチポータルを使った一括登録・設定の自動適用など）、既存端末への適用可否についても確認しておくことで、導入時の混乱を抑えやすくなります。

10. よくある質問（FAQ）

スマホ法やMDM導入に関して、企業の担当者からよく寄せられる質問をまとめました。

Q. BYOD（私物端末）を業務利用している場合も、スマホ法の影響を受けますか？

A. 端末の所有形態にかかわらず、業務データが保存されている以上、想定されるリスクは会社支給端末と同様に存在します。BYODの場合は、MDMのコンテナ型管理機能などを用いて業務領域とプライベート領域を分離する運用が有効です。

Q. 中小企業でもスマホ法への対応は必要ですか？

A. スマホ法上の義務を直接負うのは Apple Inc.、iTunes株式会社、Google LLCの3社の指定事業者であり、企業規模を問わず利用者側として影響を受ける立場になります。むしろIT管理体制が手薄になりがちな中小企業ほど、相対的なリスクは高くなる傾向があります。

Q. すでにMDMを導入している場合、追加の対応は必要ですか？

A. 既存のポリシーが代替アプリストアやサイドローディングを想定していない場合は、企業許可アプリの設定や構成プロファイルの内容をあらためて棚卸しすることをおすすめします。

Q. スマホ法への対応にはいつまでに着手すべきですか？

A. 法律自体に企業側の対応期限は定められていませんが、2025年12月18日の全面施行以降、代替アプリストアやサイドローディング経由のリスクは徐々に高まっていくため、早めの対応が望まれます。

Q. 会社支給端末と私物端末で、MDMの設定を分ける必要はありますか？

A. 会社支給端末であれば、Android Enterpriseの専用デバイス設定など、より強力な一括制御が可能です。私物端末（BYOD）の場合は、コンテナ型管理により業務領域のみを制御する方式が一般的です。

Q. MDM導入にかかる費用や期間の目安はありますか？

A. 管理対象の端末台数やOSの混在状況、キッティング方法によって変動するため一概には言えませんが、無料トライアルなどを活用しながら自社の環境に即した見積もりを取ることをおすすめします。

Q. 決済トラブルもMDMで防ぐことができますか？

A. MDMは主にアプリのインストールや利用状況の制御を担うものであり、決済手段そのものに起因するトラブルの防止は範囲外です。決済については、社内ルールでの利用可否の明確化と併せて検討する必要があります。

11. まとめ

スマホ法の全面施行（2025年12月18日）により、アプリのインストール経路、ブラウザ・検索エンジンの選択、決済方法など、スマートフォン利用者の選択肢は着実に広がっていきます。

一方で、業務用スマートフォンを利用する企業にとっては、アプリのインストール経路拡大に伴う不正アプリのインストールリスクや情報漏えいリスクへの備えが、これまで以上に重要な経営課題となります。

社内ルールの見直しだけに頼るのではなく、MDMによるアプリ制御・端末管理を組み合わせることで、スマホ法時代においても業務用スマートフォンを安全に活用できる環境を整えていくことが求められます。

12. 用語集

本稿で登場する主な用語をまとめました。

• MDM（Mobile Device Management）：スマートフォンやタブレットなどのモバイル端末を、管理者が一元的に管理・制御する仕組み、またはそのためのソフトウェア・サービス
• サイドローディング：公式アプリストアなど通常定められた配布手段を経由せず、Webサイトなど別の経路からアプリを端末に導入すること
• チョイススクリーン：初期設定などのタイミングで、自社サービスと他社サービスを含む複数の選択肢を並べて提示し、ユーザー自身に選ばせる画面
• 指定事業者：スマホ法において、国スマホソフトウェア競争促進法に基づき、特定ソフトウェアの種類ごとに、年度の各月平均利用者数が4,000万人以上などの政令で定める基準を満たす事業者。現時点ではApple Inc.、iTunes株式会社、Google LLCの3社が該当
• 構成プロファイル：iOS／iPadOS端末に対して、Wi-Fi設定やアプリ利用制限、セキュリティポリシーなどをまとめて配布・適用するための設定ファイル
• Android Enterprise：Googleが提供する法人向けAndroid端末管理の枠組み。企業許可アプリ、専用デバイス、ゼロタッチ登録などの機能を含む
• 企業許可アプリ：Android Enterpriseにおいて、managed Google Playの中から管理者があらかじめ選定・登録したアプリのみを配信・利用可能にする仕組み
• BYOD（Bring Your Own Device）：従業員が私物のスマートフォンやタブレットを業務に利用すること
• コンテナ型管理：BYOD端末などで、業務用のデータやアプリを専用の領域（コンテナ）に隔離し、プライベート領域と分離して管理する方式
• ゼロタッチ登録：Android端末を初期設定時に自動的に企業のMDMへ登録し、設定を一括適用できる仕組み（Googleのゼロタッチポータル経由）
• Apple Business：Appleが提供する法人・教育機関向けの組織登録・端末管理・アプリ配布ポータル（2026年4月にApple Business Manager（ABM）から本名称へと変更されました）
• リモートロック／リモートワイプ：端末の紛失・盗難時に、管理者が対象端末を遠隔操作でロックしたり、データを消去したりする機能

参考資料

・公正取引委員会「スマホソフトウェア競争促進法（スマホ法）」https://www.jftc.go.jp/msca/

▶ OPTiM Biz 資料ダウンロードはこちら

▶ OPTiM Biz お問い合わせはこちら