「Xiaomiのスマホ、安いし性能もいいけど、会社で使って大丈夫なのか」

備品購入の候補にXiaomi、Redmi、POCOが入った瞬間、ここで手が止まる人は少なくありません。個人用なら価格とスペックで選べても、企業スマホとなると話が変わります。営業資料、顧客情報、社内チャット、二段階認証アプリまで入るので、「安かったから」で済ませられないんですよね。

特に「Xiaomi バックドア」と検索している人は、もう購入直前か、すでに社内で使っていて不安になっている段階だと思います。会議前に上司から「この端末、セキュリティ的に大丈夫？」と聞かれ、根拠を持って答えられずに焦る。こういう場面、情報システム担当や小規模企業の管理者ならかなりリアルではないでしょうか。

結論から言うと、Xiaomi端末に「誰でも断定できる形で、全機種に共通するバックドアがある」とは言い切れません。一方で、過去にはリトアニア当局による検証報告や、検閲機能に関する指摘が報じられたことがあり、企業利用では“疑惑があるかどうか”よりも“業務データを守れる運用にできるか”で判断する必要があります。

安さは魅力です。それでも、いや、だからこそ、企業スマホは「端末価格」だけで選ぶと後から高くつきます。この記事では、Xiaomiのバックドア疑惑を現実的にどう見ればよいか、会社で使うなら何を確認すべきか、導入前と導入後の対策まで実務目線で整理します。

Xiaomiにバックドアがあると断定できるのかを最初に整理する

まず押さえるべきなのは、「バックドア」という言葉がかなり強い表現だということです。バックドアとは、通常の認証や操作を通らずに、外部から端末やシステムへアクセスできる抜け道のような仕組みを指します。

ネット上では、通信ログがある、プリインストールアプリが多い、中国メーカーである、という情報だけで「バックドアだ」と言い切られることがあります。ただ、企業の判断としては、それだけでは不十分です。疑いと証明は分けて考えないと、社内説明がかなり雑になります。

「バックドアがある」と「リスクがある」は別の話

Xiaomi端末については、過去にリトアニアの国家サイバーセキュリティ機関が、特定端末に検閲に関わる機能があると指摘したことが報じられています。報道では、欧州向け端末では無効化されていたものの、遠隔で有効化できる可能性があるとされた点が注目されました。

一方で、Xiaomi側はユーザーの検索、通話、Web閲覧などを制限・ブロックしたことはないという趣旨で反論しています。つまり、ここで企業が見るべきなのは「ある、ない」の断定合戦ではなく、疑義が出た端末を業務用途でどう扱うかです。

実務では、法務や情シスに「100％安全です」と言う必要はありません。むしろ言わないほうがいいです。正しくは、「公的に広く確認された全機種共通のバックドアとは断定できないが、データ送信、プリインストールアプリ、更新ポリシー、管理機能を確認したうえで導入可否を決める」と説明するのが現実的です。

企業スマホでは疑惑より管理できるかが重要になる

個人利用なら、「不安なら買わない」で終わります。でも企業では、コスト、在庫、従業員数、管理負荷まで絡みます。1台あたり数万円安い端末を100台入れれば、初期費用は大きく変わります。

ただし、端末が安くても、管理できないスマホは高くつきます。紛失時に遠隔ロックできない、アプリ制限ができない、OS更新が止まる、退職者の端末からデータを消せない。こうなると、端末代の差額以上にリスク対応コストが膨らみます。

だから、Xiaomiを企業スマホ候補に入れるなら、最初に見るべきは噂ではありません。見るべきなのは、アップデート期間、管理ツール対応、不要アプリの制御、業務データ分離、紛失時対応です。

Xiaomiバックドア疑惑で確認すべき過去の論点

Xiaomiのセキュリティ不安は、単なる都市伝説だけではありません。過去の報道や公的機関の指摘をきっかけに、企業利用で慎重に見られるようになった背景があります。

ここを雑に扱うと、「中国メーカーだから危ない」という感情論になります。それでは社内稟議に使えません。大切なのは、どの論点があり、企業利用では何に変換して対策すべきかです。

リトアニア当局の指摘は企業判断で無視できない材料になる

2021年、リトアニアの当局による報告をめぐって、Xiaomi端末の検閲機能に関する指摘が報じられました。報道では、特定の語句を検出・制限する機能について触れられており、企業利用者にとっては「端末内の機能がどこまで制御されるのか」という不安につながりました。

ここで注意したいのは、この話をそのまま「全Xiaomi端末にバックドアがある」と広げないことです。それは飛躍です。ただ、企業スマホの選定材料として「過去に公的機関から疑義が出たメーカーである」と記録するのは妥当でしょう。

実務では、稟議書にこう書くと整理しやすいです。「過去に海外当局からセキュリティ上の懸念が示された経緯があるため、導入する場合はAndroid Enterprise対応機種、更新期間、MDM制御可否を必須条件とする」。感情ではなく、管理条件に落とすのがポイントです。

Xiaomi公式のセキュリティ情報も確認対象にする

疑惑だけを見ると不安になりますが、企業判断ではメーカー公式の更新情報も確認します。Xiaomiは公式のTrust CenterやSecurity Centerで、スマートフォンやタブレット向けのセキュリティ更新情報を公開しています。

また、Xiaomiはスマートフォンとタブレット向けのセキュリティアップデート情報を公開しており、対象機種や更新状況を確認できるページも用意しています。導入前にここを見ないのは、かなり危ないです。

企業スマホは、購入時点のスペックより「いつまで安全に使えるか」が重要です。安く買っても、1年後にセキュリティ更新が止まるなら、社内システムへの接続端末としては使いにくくなります。

Xiaomiを企業スマホで使う前に確認する安全チェック

「結局、Xiaomiを会社で使っていいのか」と聞かれたら、答えは条件付きです。個人用のサブ端末なら許容できることでも、業務用メイン端末では確認ラインを上げる必要があります。

特に、営業担当に配る端末、店舗スタッフが使う端末、二段階認証アプリを入れる端末、社内チャットに常時ログインする端末は慎重に見てください。端末に入る情報の重さが違います。

Android Enterprise Recommended対応機種か確認する

企業利用でまず確認したいのが、Android Enterprise Recommendedです。これはGoogleが法人利用向けに一定の要件を満たすAndroid端末やサービスを示す仕組みです。対応機種では、管理性やセキュリティ更新などが判断材料になります。

XiaomiもAndroid Enterprise Recommendedに関する情報を公開しており、対象機種では定期的なセキュリティパッチや一定期間の更新が案内されています。Xiaomi公式ページでは、対象のBusiness Phoneについて、セキュリティ更新が初回出荷日から3年間、定期的なセキュリティパッチが90日以内に提供される旨が記載されています。

ただし、ここで終わらせないでください。販売地域、モデル番号、通信キャリア版、グローバル版、国内正規品かどうかで状況が変わることがあります。購入前に型番まで確認し、対象リストに載っているかを見ます。

セキュリティアップデートの終了時期を確認する

企業利用で怖いのは、購入時点では新しく見えても、サポート終了が近い端末を買ってしまうことです。特にRedmiやPOCOの廉価モデルは価格が魅力ですが、長期利用する前提なら更新期間を必ず確認してください。

社内で3年使うつもりなのに、購入から1年でセキュリティ更新が終わると、管理ルールを作り直すことになります。端末がまだ動くのに業務利用できない、という状態ですね。

確認する場所は、XiaomiのSecurity Updatesページ、Android Enterpriseのデバイス一覧、販売店の仕様ページです。販売店ページだけでは古い情報の可能性があるので、メーカー公式とGoogle側の情報を合わせて見るのが安全です。

プリインストールアプリを削除または無効化できるか確認する

Xiaomi端末は、モデルや地域によってプリインストールアプリが多い場合があります。個人利用では気にならなくても、企業スマホでは余計なアプリが情報漏えいリスクや通知ノイズになります。

たとえば、業務用スマホなのに不要なゲーム、広告系アプリ、独自ブラウザ、クラウド連携アプリが入っていると、従業員がどれを使ってよいのか迷います。設定画面で消せるもの、無効化できるもの、消せないものを初期設定時に確認してください。

削除できないアプリが多い場合は、MDMで利用制限をかける判断になります。MDMとは、Mobile Device Managementの略で、会社がスマホを遠隔管理する仕組みです。アプリ配布、ロック、初期化、利用制限などを一括管理できます。

Xiaomi端末を安全に使うための初期設定

Xiaomiを使うなら、買ってそのまま配るのは避けてください。最初の設定で差が出ます。端末そのもののリスクより、初期設定の雑さが事故につながることも多いです。

実務では、箱から出してWi-Fiにつなぎ、Googleアカウントを入れて、LINEやGmailを入れて終わり。こういう配布が一番危ないです。従業員ごとに設定がバラバラになり、後から管理できなくなります。

不要な権限をアプリに与えない

アプリを入れる時に、連絡先、位置情報、カメラ、マイク、ストレージへのアクセスを求められます。ここで全部許可してしまうと、業務データに触れる範囲が広がります。

操作前に、まず「このアプリは業務に必要か」を決めてください。必要なアプリだけ入れ、権限は最小限にします。たとえば勤怠アプリには位置情報が必要かもしれませんが、電卓アプリに連絡先権限は不要です。

設定アプリから「アプリ」「権限」を開き、連絡先、位置情報、マイク、カメラの許可状況を確認します。業務に不要な権限はオフにしてください。ここを初期設定でそろえるだけで、かなり安全になります。

Xiaomi独自アプリの同期設定を確認する

Xiaomi端末では、Xiaomiアカウントや独自クラウド機能が使える場合があります。個人利用なら便利ですが、企業スマホでは業務データの保存先が増えることになります。

会社でGoogle WorkspaceやMicrosoft 365を使っているなら、業務データの保存先は原則として会社管理のクラウドに寄せたほうが安全です。端末メーカー独自の同期先を使う場合は、誰が管理し、退職時にどう削除するのかまで決めてください。

設定画面で、写真、連絡先、メモ、バックアップの同期先を確認します。業務に不要ならオフにしておきましょう。特に連絡先同期は、顧客情報に関わるため慎重に扱うべきです。

広告IDと診断データの設定を見直す

スマホには、広告や利用状況分析のための設定があります。これ自体が即バックドアというわけではありません。ただ、企業端末では不要なデータ送信を減らすのが基本です。

設定からプライバシー関連の項目を開き、広告ID、診断データ、使用状況送信、パーソナライズ設定を確認します。業務に不要なものはオフにしてください。

この作業は地味ですが、社内説明ではかなり強いです。「不安だから使わない」ではなく、「不要なデータ送信を抑制する設定を標準化している」と言えるからです。

企業でXiaomiを使うならMDM管理を前提にする

企業スマホで本当に大事なのは、メーカー名より管理方法です。Xiaomiでも、Pixelでも、Galaxyでも、MDMなしで従業員に配ればリスクは上がります。

逆に、MDMでアプリ、権限、ロック、更新、紛失対応を管理できるなら、端末リスクをかなり抑えられます。企業スマホは“買って終わり”ではなく、“管理して初めて使える”ものです。

業務プロファイルで個人データと会社データを分ける

Androidには、仕事用プロファイルという仕組みがあります。これは、1台の端末内で個人領域と仕事領域を分ける機能です。仕事用アプリやデータを会社側で管理し、個人側と混ざりにくくできます。

GoogleのAndroid Enterpriseでは、仕事用プロファイルや企業管理端末の仕組みが用意されており、会社のデータと個人利用を分ける運用が可能です。個人所有端末での仕事用プロファイルはAndroid 5以降、会社所有端末ではAndroid 8以降で利用できると説明されています。

これは、従業員が端末を私用にも使う場合に特に重要です。会社のチャット、メール、ファイルアプリを仕事領域に入れ、退職時は仕事領域だけ削除する。これができると、個人データを触らずに会社データを消せます。

アプリのインストール制限をかける

企業スマホで起きる事故の多くは、端末そのものよりアプリから始まります。従業員が便利そうな無料アプリを入れ、権限を許可し、そこから連絡先やファイルにアクセスされる。こういう流れです。

MDMを使う場合は、業務に必要なアプリだけ許可するのが基本です。アプリストアを完全に自由にすると、端末ごとの状態がバラバラになります。

最初に、メール、チャット、認証、カレンダー、ファイル共有、勤怠、経費精算など、必要アプリをリスト化してください。そのうえで、それ以外のアプリは承認制にする。これだけで管理負荷が下がります。

紛失時の遠隔ロックと初期化を必ず設定する

営業担当が電車にスマホを置き忘れた。店舗スタッフが端末を紛失した。こういう場面で焦るのは、端末価格ではなく中のデータです。

MDMが入っていれば、遠隔ロックや初期化、位置確認、アカウント停止などができます。もちろん、会社のルールやプライバシーへの配慮は必要ですが、業務データを守るには必須です。

Xiaomiを導入するなら、購入前に「紛失時に何分でロックできるか」「誰が操作するか」「休日はどうするか」まで決めてください。ここまで決めていない企業スマホは、安くても危ないです。

Xiaomiを買う前に見るべき端末選定チェックリスト

端末選びでは、価格表だけ見て決めると失敗します。特にXiaomiはラインナップが広く、Xiaomi、Redmi、POCOで価格帯もサポート方針も違います。

同じXiaomi系でも、法人利用に向く端末と、個人のサブ機向け端末は分けて考えるべきです。ここを混ぜると、安く買えたのに管理できないという状態になります。

企業利用では安さより更新期間を優先する

業務端末は、最低でも利用予定期間中にセキュリティ更新が続くことを確認してください。2年使うなら2年以上、3年使うなら3年以上の更新見込みが必要です。

Xiaomi公式は、対象機種ごとのセキュリティ更新情報を公開しています。購入前に機種名だけでなく、正確なモデル名で確認してください。似た名前の端末でも地域や型番が違うと、扱いが変わることがあります。

社内稟議では、価格、更新期間、MDM対応、販売元、保証期間を並べて比較すると判断しやすくなります。端末代だけの比較表では、セキュリティリスクが見えません。

国内正規販売品を選ぶ

価格だけを見ると、並行輸入品や海外版が魅力的に見えることがあります。ただ、企業スマホでは国内正規販売品を選ぶほうが安全です。

理由は、保証、修理、技適、対応バンド、アップデート、サポート窓口が関わるからです。安く買った海外版が社内Wi-Fiや通信キャリアと相性が悪い、修理時に対応できない、ということもあります。

個人なら自己責任で済むかもしれません。でも会社で配る端末は、従業員が困った時に管理者が対応しなければなりません。管理コストまで含めると、国内正規品のほうが安くつく場合があります。

高リスク業務には使わない判断も必要

Xiaomiを完全に排除する必要はありません。ただし、使う業務は選ぶべきです。

たとえば、顧客情報を大量に扱う営業端末、役員端末、金融情報や医療情報を扱う端末、機密資料にアクセスする端末では、より慎重な選定が必要です。価格より、更新保証、管理機能、サポート体制を優先してください。

一方で、店舗の受付端末、検品用端末、限定された業務アプリだけ使う端末なら、MDMで制限したうえで採用できる余地があります。端末の安全性は、用途と管理レベルで変わります。

すでにXiaomiを業務で使っている場合の対策

すでに社内でXiaomi端末を使っている場合、いきなり全台交換する必要はありません。まずは現状把握です。端末台数、機種、OSバージョン、セキュリティパッチ日付、利用アプリ、保存データを確認してください。

会議の前日に「Xiaomiは危ないらしい」と言われ、慌てて使用禁止にすると現場が止まります。大事なのは、リスクを見える化して、優先順位をつけることです。

セキュリティパッチの日付を確認する

まず、各端末のセキュリティパッチ日付を確認します。Androidの設定から「デバイス情報」「Androidバージョン」などに進むと、セキュリティアップデートの日付を確認できます。

半年以上更新されていない端末は、業務利用を見直す候補に入れてください。特に、社内メール、顧客管理システム、クラウドストレージへアクセスしている端末は優先度が高いです。

確認したら、端末ごとに一覧化します。機種名、利用者、パッチ日付、業務アプリ、交換予定を表にすると、社内説明がしやすくなります。

不要アプリと不要権限を棚卸しする

次に、入っているアプリを確認します。業務に不要なアプリがあれば削除し、削除できない場合は無効化または利用制限を検討します。

権限も見直してください。連絡先、位置情報、カメラ、マイク、ファイルへのアクセス権限は、業務に必要なアプリだけに絞ります。

この作業は、1台ずつ手動でやると大変です。台数が多いならMDM導入を検討してください。手作業の管理は、端末が10台を超えたあたりから急に限界が来ます。

重要アカウントのログインを減らす

バックドアがあるかどうかに関係なく、端末に入れる情報を減らすことは有効です。特に、管理者アカウント、銀行系アプリ、全社ファイルにアクセスできるアカウントは慎重に扱うべきです。

Xiaomi端末を現場用として使うなら、用途を限定してください。たとえば、勤怠打刻、店舗連絡、特定アプリの利用だけに絞る。管理者権限のあるGoogleアカウントやMicrosoftアカウントを入れない。これだけでもリスクを下げられます。

スマホは便利です。でも、便利だから何でも入れると、紛失時や不正利用時の被害が広がります。企業端末では、入れない勇気もセキュリティです。

Xiaomiを避けるべき企業と導入できる企業の違い

Xiaomiを使うべきかどうかは、企業の管理体制で変わります。端末メーカーだけで判断すると、実務に合わない結論になりがちです。

同じXiaomi端末でも、MDMで制御し、業務アプリを限定し、更新確認をしている会社と、従業員に自由利用させている会社ではリスクがまったく違います。

避けたほうがいい企業の条件

次のような企業は、Xiaomiに限らず、価格重視のAndroid端末を安易に配るべきではありません。

• MDMを使っていない
• 端末台帳がない
• 退職時のデータ削除ルールがない
• 従業員が自由にアプリを入れられる
• セキュリティ更新の確認担当がいない
• 顧客情報や機密情報を端末に保存している

この状態で「安いからXiaomiにしよう」は危険です。端末の問題以前に、管理体制が追いついていません。

まずは、どの端末を使うかより、端末をどう管理するかを整えるべきです。管理できないスマホは、メーカーに関係なく事故の原因になります。

条件付きで導入できる企業の条件

一方で、Xiaomiを候補にしてもよい企業もあります。たとえば、用途を限定できる、MDMで管理できる、Android Enterprise対応機種を選べる、更新終了前に計画交換できる会社です。

この場合、Xiaomiのコストパフォーマンスは魅力になります。特に、店舗業務、現場報告、検品、受付、勤怠など、使うアプリが限られる業務では検討余地があります。

ただし、導入時は「安い端末を買う」ではなく、「管理条件を満たす端末を選ぶ」という順番にしてください。ここを逆にすると、後から苦しくなります。

まとめ｜Xiaomiのバックドア不安は断定より管理体制で判断する

Xiaomiにバックドアがあるのか。検索している人が一番知りたいのはそこだと思います。ただ、企業判断としては「ある」「ない」と単純に断定するより、過去の指摘、メーカーの更新情報、Android Enterprise対応、MDM管理の可否を見て判断するほうが現実的です。

過去には、リトアニア当局による検閲機能への指摘が報じられ、Xiaomi側はユーザー行動を制限していないという趣旨で反論しています。つまり、噂だけで決めるのも、メーカー発表だけで安心するのも危ういです。企業スマホでは、確認できる情報をもとに、リスクを管理できる状態にする必要があります。

Xiaomiを会社で使うなら、Android Enterprise Recommended対応機種か、セキュリティ更新期間は十分か、国内正規品か、MDMでアプリや権限を制御できるかを確認してください。すでに使っている場合は、セキュリティパッチ日付、不要アプリ、権限、重要アカウントのログイン状況を棚卸ししましょう。

安いスマホを使うこと自体が悪いわけではありません。問題は、安い端末を管理なしで業務データに接続することです。端末価格で得したつもりが、情報漏えいや運用トラブルで何倍ものコストになる。そこだけは避けたいですよね。

企業スマホ選びは、スペック表より運用表です。Xiaomiを選ぶなら、疑惑を感情で処理するのではなく、チェックリストで潰してから使う。それが、コストと安全性を両立する一番現実的な進め方です。