Windows運用管理で“やってはいけない”3つのこと それぞれの見直し方とは？：Windows搭載PCの運用管理における“当たり前”を疑う

Windows搭載PCの運用管理では、これまでの“当たり前”や認識のずれに基づく行動が、必要な取り組みの抜け漏れにつながることがあります。実は避けるべきだった3つのことを整理して、運用管理の見直し方を考えます。

[雨輝ITラボ（リーフレイン）, 編集：鳥越武史，＠IT]

　企業が利用するクライアントデバイスは多様化しています。開発者やデザイナーの間ではAppleの「Mac」が一定の支持を集めていますし、接客や工事現場など、立ち仕事が頻繁に発生する業務ではタブレットを利用することもあるでしょう。それでも企業の業務を支えるクライアントデバイスとしては、依然としてMicrosoftの「Windows」搭載PCが大きな役割を担っていることに変わりはありません。

　Windowsは、それを前提とした業務アプリケーションや周辺機器が充実している他、運用管理やトラブル対処のノウハウも蓄積されています。一方で注意すべきなのは、不具合やセキュリティインシデントが発生した場合の影響も大きくなりやすいことです。攻撃者にとっても、企業で広く利用されているWindowsは、引き続き重要な攻撃対象であり続けています。

　OSの設定を整え、更新プログラムを適用し、セキュリティ製品を導入する――。こうした取り組みは、企業がWindows搭載PCを利用する上で当然の取り組みになっています。ただし、これらを実施したからといって、Windows搭載PCをいつまでも安全かつ安定して利用できるとは限りません。Windowsの機能やセキュリティ仕様が変わったり、新たな脅威が生まれたりすれば、これまでの運用管理方法が見直しを迫られることもあります。

　Windowsの機能やセキュリティ仕様、取り巻く脅威が変化すれば、従来の“当たり前”が通用しなくなることがあります。これまでと同じ設定や運用管理方法を続けたり、仕組みを誤解したりすると、必要な取り組みを漏らしてしまいかねません。本稿は、こうした認識のずれから意図せずやってしまいがちな、本来は避けるべきことを3つ取り上げて、Windows搭載PCの運用管理で何を見直すべきかを考えます。

1．Windowsの「既定の設定」をそのまま受け入れてしまう

　「Windows 11」には、Microsoftがユーザーの利便性を考慮して定めた、さまざまな既定の設定があります。例えばMicrosoftのオンラインストレージ「OneDrive」によるフォルダのバックアップや同期、アプリケーションの自動起動、スタートメニューに表示するヒントや推奨事項などが、その一例です。

　Microsoftによる既定の設定が、そのまま自社の業務やセキュリティポリシーにとって最適だとは限りません。例えば企業が、業務データの保存先をファイルサーバや別のオンラインストレージに定めている場合、OneDriveの同期設定が自社の運用管理ルールと合わない可能性があります。不要なスタートアップアプリケーションや通知が、業務の妨げになることもあるでしょう。

　こうした設定を一律に変更することが正解とは限りません。自社の運用管理ポリシーに照らし合わせて、Microsoftの既定の設定をそのまま採用するのか、自社向けに変更するのかを判断することが大切です。

設定変更を「標準設定の見直し機会」だと捉える

　企業では、Microsoftの統合エンドポイント管理（UEM）ツール「Microsoft Intune」や、Windowsの設定を組織単位で一括管理する「グループポリシー」、キッティングなどによって、PC設定をあらかじめ標準化していることが一般的です。重要なのは、こうして定めた自社の「標準設定」が現在も適切なのかどうかを確認することです。

　Windowsでは、機能更新プログラム（Windowsの新しい機能や設定変更などを含む更新プログラム）の適用によって、既定の設定が変わったり、新たな機能が加わったりすることがあります。PCの導入時に自社の標準設定を定めて終わりではなく、機能更新プログラムの適用に伴って、標準設定の変更が必要かどうかを検証し続ける必要があります。

　Microsoftによる既定の設定をそのまま受け入れるのではなく、自社の運用管理に適しているかどうかを常に確認し、必要に応じて自社の標準設定も見直し続ける――。こうした姿勢が、Windows搭載PCの運用管理の基本だと言えます。

• 参考記事：初期設定のままはダメ！　Windows 11を買ったらすぐ消すべき「おせっかいな初期設定」5選（＠IT）

2．期限切れの証明書を放置してしまう

　PCの起動処理を担うUEFI（Unified Extensible Firmware Interface）準拠のファームウェアには、OSなどのソフトウェアが信頼できるかどうかを起動時に確認する「セキュアブート」という機能があります。セキュアブートは、UEFI準拠ファームウェアが保持するセキュアブート証明書などの信頼情報を使って、ソフトウェアのデジタル署名を検証します。

　2011年にMicrosoftが発行したセキュアブート証明書の一部は、2026年6月から順次期限を迎えています。セキュアブート証明書を更新しないまま期限を過ぎても、直ちにPCが起動しなくなるわけではありません。ただし同社によると、2011年版のセキュアブート証明書を更新していないPCでは、Windows起動前に動作するソフトウェアをセキュアブートで正しく検証できなくなる可能性があります。

　Microsoftは、Windowsの更新プログラムを配信する仕組みである「Windows Update」を通じて、新しい2023年版セキュアブート証明書への移行を段階的に進めています。ただし「Windows Updateで更新プログラムを適用していれば、セキュアブート証明書についても当然更新できているはずだ」と考えるのは危険です。

　Windows Updateを使って更新プログラムを適用していても、PCの状態によっては、セキュアブート証明書が自動で更新されない場合があります。情報システム部門は、Windows Updateを有効にしているかどうかだけではなく、自社PCのセキュアブート証明書が実際に更新されているかどうかを確認する必要があります。

自社端末の「状態」を把握し続ける運用管理へ

　自社PCのセキュアブート証明書の更新状況を確認するには、セキュリティ機能の状態を確認できる「Windows セキュリティ」や、Windowsの管理・自動化に使うコマンドラインシェルの「PowerShell」などが役立ちます。OSバージョンや更新プログラムの適用状況だけで判断せず、機種やUEFI準拠ファームウェアのバージョン、セキュアブートの状態なども確認して、セキュアブート証明書が更新されていないPCを特定します。

　セキュアブート証明書を自動で更新できないPCでは、PCベンダーが提供するUEFI準拠ファームウェアの更新プログラムを手動で適用するといった作業が必要になる場合があります。「Windows Server」搭載サーバについては、PC向けとは更新方法が異なることから、情報システム部門はセキュアブート証明書の更新対象となるサーバを把握して、必要な更新作業を進めることになります。

　情報システム部門にとっては、今回のセキュアブート証明書の更新を単発の作業で終わらせず、自社のWindows搭載PCの状態を把握し、リスクを管理する機会として捉えることが大切です。各PCが現在どのような状態にあり、どのようなリスクを抱えているのかを把握することで、まだ表面化していないリスクにも気付き、必要な対策につなげやすくなります。こうした取り組みを続けることが、Windows搭載PCを安全かつ安定して使い続けるための基本となります。

• 参考記事：Windows Server「セキュアブート証明書」“2011年版”が順次失効、2026年6月から（＠IT）

3．セキュリティ製品を過信してしまう

　「EDR」（Endpoint Detection and Response）製品は、PCで動作するソフトウェアの挙動を監視し、不審な動きを検知・調査して、インシデントへの対処を支援する機能を備えています。攻撃者にとっては、自らの活動を捕捉されてしまう恐れのある厄介な存在です。その厄介さ故に、攻撃者がEDR製品による検知や対処を回避したり、EDR自体を無力化したりしようとすることもあります。

　実際に2026年6月には、Windowsが標準搭載するQoS（Quality of Service：ネットワーク通信の優先順位や送信量の制御）機能を悪用して、EDR製品による保護を回避しようとする攻撃手法が公になりました。EDR製品と管理サーバとの通信を妨害することで、EDR製品のプロセスを停止させることなく、検知情報の送信や管理サーバからの指示の受信を困難にできるというものです。

　この攻撃例が示すのは、どれほど効果的なセキュリティ製品でも、攻撃者にその動作を妨げられれば、期待した役割を果たせなくなるということです。情報システム部門は、単一のセキュリティ製品に依存せず、複数の製品・技術を組み合わせて攻撃を防ぐ多層防御やログの監視、導入後の運用管理の見直しといった取り組みを続けることが重要です。セキュリティ製品が期待した役割を果たせる状態を維持することが、攻撃や実害への備えにつながります。

• 参考記事：EDRを“窒息”させる攻撃ツールが公開　Windows標準搭載のQoSを利用（＠IT）

Windows搭載PCの運用管理は「見直し続けること」が大事

　3つに共通するのは、Windows搭載PCの導入時に設定やセキュリティ対策を整えただけで、運用管理が完了するわけではないということです。Windowsの機能や仕様、そしてWindowsを取り巻く脅威は変化し続けています。Windows Updateによる更新は、全てのPCに同じタイミングで同じ内容が適用されるとは限りません。情報システム部門は、一度定めた標準設定や管理手順をそのまま維持するのではなく、現状に適しているかどうかを都度確認し、必要に応じて見直すことが重要です。

　Windows搭載PCの運用管理の見直しを迫る動きは、他にもあります。WindowsやアプリケーションへのAIの組み込みが進む中、AIが利用するアカウントや権限、データ、実行結果などをいかに管理するかが重要になっています。PCの調達や運用管理をサービスとして提供するDaaS（Device as a Service）の登場により、PCの運用管理を「自社で全て担う」ことが、当たり前の選択肢ではなくなりつつあります。

　「既定値だから」「Windows Updateで更新したから」「セキュリティ製品を導入したから」と安心せず、自社PCの状態を把握し、変化によって新たなリスクや管理対象が生じていないかどうかを確認する。その結果を標準設定や管理手順、監視方法に反映する――。一度決めた運用管理を単に守るだけではなく、状況に合わせて変え続けることが、Windows搭載PCの運用管理を担う情報システム部門に求められる姿勢です。