社用のノートパソコンやSurfaceのような持ち出し端末は、社内に据え置くデスクトップPCとID管理の前提が異なります。据え置きPCであれば、そもそも建物への入館という物理的な壁がありますが、持ち出す端末にはそれがありません。この記事では、社用ノートパソコンやSurfaceのID管理で押さえておきたい認証の考え方と、端末側で確認しておきたい点を整理します。
持ち出し端末は「攻撃者の手元に渡る前提」で考える
据え置きPCとの決定的な違いは、端末そのものが第三者の手に渡りうるという点です。移動中の置き忘れ、カフェや車内からの盗難、出張先での紛失など、原因はさまざまですが、いずれの場合も端末を物理的に自由に扱える相手がいる状態になります。
この状態では、ネットワーク側の防御は前提として働きません。通信経路の保護はVPN機器の脆弱性・社内Wi-Fiの入口のような論点として別に整理する必要がありますが、端末が手元にある相手に対しては、最後に残る壁がその端末のログインそのものになります。社用のモダンPCを配備するときは、この一点を出発点に考えると判断がぶれにくくなります。
紛失・盗難のときに何が起きうるか
端末が第三者の手元にある状況では、次のような広がり方が想定されます。
- 端末内の業務データ — 保存されたファイル、ダウンロード済みの資料、ローカルに残ったメールなど
- 保存された認証情報 — ブラウザやアプリに記憶させたIDとパスワード、保存済みのログイン状態
- そこから先の社内システムやクラウド — ログイン状態が生きていれば、業務システムやクラウドサービスにそのまま到達されうる
つまり被害は「その端末に入っていたもの」で止まりません。端末のログインを突破されると、そこを足がかりに組織側の資産へ届いてしまう構造があります。認証情報が外部に渡ったあとの広がり方についてはパスワード漏洩の影響で整理しています。
IDとパスワードだけのログインが持ち出し端末で特に危うい理由
端末が手元にある相手は、時間の制約を受けずに何度でも入力を試せます。社内であれば気づかれるような試行も、持ち去られた端末の上では誰にも見られません。加えて、社外での作業中は背後からの覗き見や、入力の様子から推測される可能性もあります。
知識だけで通過できる認証は、こうした条件下では相対的に弱くなります。だからこそ、持ち出し端末ではOSログインの段階で要素を増やすことに意味があります。多要素認証の基本的な考え方は多要素認証の基礎、Windows環境での具体的な位置づけはWindows OSログインの2要素認証を参照してください。
認証面で押さえること
- OSログインの多要素化 — 端末を開く時点で、パスワード以外の要素を必要とする状態にする
- PCとは別の確認の併用 — 本人のスマホや物理キーなど、PCとは別のものを組み合わせ、パスワードを知っているだけでは入れない形にする。なお顔や指紋はログインを簡単にする手段で、それだけでは2要素認証になりません
- 画面ロックの自動化 — 離席時に手動でロックする運用は必ず抜けが出るため、一定時間で自動的にロックがかかるようにしておく
- 共有アカウントを持ち出し端末で使わない — 共有アカウントは、誰が使っていたかを後から特定できず、紛失時に何を止めるべきかの判断もできなくなります
なお、認証方式をどの基盤で管理するかという選定の話はローカルアカウント・ドメイン・Entra IDの選び方で扱います。ここではまず「持ち出す端末のログインを厚くする」という方針だけを固めておけば十分です。
持ち出し先でネットワークにつながらない場合にログインできるかは、事前に確認が必要です（インターネットに繋がらない環境の2要素認証）。業務スマートフォンを配布していない場合の選択肢はスマホなしで多要素認証を導入する方法に整理しています。
端末面で押さえること
- ディスクの暗号化 — 端末を分解して記憶装置だけを取り出されても内容が読めない状態にしておく。OSログインを厚くしても、ディスクが平文であればそこを迂回されます
- 資産としての台帳管理 — 誰にどの端末を貸与しているかが一覧で分かる状態を保つ
- 紛失時の連絡・停止フロー — 気づいた本人が誰に連絡するか、連絡を受けた側が何を止めるかを、事前に決めておく
紛失は起きたその日に対応が必要になります。手順を決めておけば、本人は迷わず連絡でき、受けた側も落ち着いて何を止めるかを決められます。
台帳と貸与管理はID管理と地続き
端末の台帳は、備品管理の話に見えて実際にはID管理の一部です。紛失の連絡を受けたときに止めるべきものを決められるのは、その端末が誰のもので、誰のアカウントでログインされているかが分かっている場合だけです。台帳が実態とずれていると、何を止めればよいかの判断そのものができません。
同じことは退職や異動のときにも当てはまります。貸与端末とアカウントの対応が分かっていなければ、返却されていない端末に生きたログイン状態が残り続ける可能性があります。台帳を手で更新するのが追いつかない場合は、PCから状態を自動で集めて1か所で見られるようにすると、どの端末を誰が使っているかを1台ずつ確かめずに済みます（PC管理台帳の項目とExcelでの作り方）。この観点は退職者アカウントの棚卸し、台帳そのものの整え方はアカウント管理システムとは？の解説記事で扱っています。社外からの業務全般についてはテレワークのセキュリティも併せて確認してください。
持ち出し端末では、ディスクの暗号化と認証のどちらが何を守るのかを分けて考える必要があります。 BitLockerと認証の違いで整理しています。
持ち出し端末で最後の防御になるのがディスクの暗号化です。鍵の保管状況は BitLockerの回復キーを確認する方法で確認できます。社外でパスワードの期限切れに気づけず作業が止まる問題は パスワードの有効期限が切れる前に通知する設定で扱っています。
普段の管理が楽になると何が変わるか
持ち出しPCは、社内のPCより「いまどこで誰が使っているか」が見えにくい端末です。PCの状態とログイン記録を1か所で見られるようにしておくと、次のような場面が楽になります。
- 紛失の連絡を受けたとき：そのPCに最後に連絡があったのはいつか、最後に誰がログインしたかを、台帳を探さずに画面で確かめられます。報告書にもそのまま書けます。
- 在宅勤務・出張中のPC：インターネットにつながっていれば、社内のPCと同じ画面に並ぶので、OSや空き容量を確かめるためにPCを回収しなくて済みます。
- 退職・異動のとき：席まで行かずに本人のスマホの登録を外し、ローカルアカウントを止められます。
- 台帳の更新：7日以上連絡のないPCが一覧で分かるので、返却されていない端末や使われていない端末を見つけやすくなります。
いまの運用を棚卸ししてみる
持ち出し端末の認証をどこまで厚くすべきかは、貸与している台数や社外での業務内容によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社のID・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。中小企業向けのセキュリティチェックリストと併せて、現状の確認から始めてみてください。