パソコンの使用履歴を確認する方法いつ・誰が使ったかを調べる場所の一覧と全PCをまとめて見る方法

Windowsには「パソコンの使用履歴」をまとめて表示する1つの画面はありません。知りたいことによって、見る場所が分かれています。「いつ電源が入っていたか」「誰がサインインしたか」「どのファイルを開いたか」「どのWebページを見たか」を、それぞれ別の記録で確かめます。この記事では、使用履歴の全体を1枚の地図にまとめ、それぞれの見方、履歴が残っていないときの理由、複数台をまとめて見る方法を順に説明します。

使用履歴の地図　何をどこで見るか

まず、知りたいことと見る場所の対応を一覧にします。詳しい手順は、右の列の記事にまとめています。

いつ電源が入っていたかを見る（起動・シャットダウン）

起動とシャットダウンの記録は、イベントビューアー（スタートボタンを右クリック →「イベント ビューアー」）の「Windowsログ → システム」に残ります。通常の権限で見られます。右側の「現在のログをフィルター」で、次のイベントIDを指定します。

• 6005：イベントログサービスの開始。起動した時刻の目安
• 6006：イベントログサービスの停止。正常にシャットダウンした時刻の目安
• 6008：直前のシャットダウンが予期しないものだった（電源断・フリーズなど）
• 1074：シャットダウン・再起動を指示したユーザーとプログラム

Windows 10・11で高速スタートアップが有効だと、シャットダウンしてもカーネルの状態が保存されるため、記録の出方が通常の起動と変わります。稼働時間の読み方やスリープの扱いは、PCの稼働状況・稼働時間を確認する方法で説明しています。

誰が使っていたかを見る（ログオン・ログオフ）

サインインの記録は2か所にあります。目的に合わせて使い分けます。

セキュリティログ　4624・4634・4647

「Windowsログ → セキュリティ」に、4624（ログオンの成功）・4634（ログオフ）・4647（利用者が操作したログオフ）が残ります。ユーザー名とログオンの種類（画面の前でのサインインか、リモートデスクトップか、ロック解除か）まで分かる、いちばん詳しい記録です。見るには管理者権限が必要です。PowerShellを管理者として開き、直近7日分を出すには次を実行します。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4624, 4634, 4647; StartTime = (Get-Date).AddDays(-7) } -MaxEvents 300 |
  Select-Object TimeCreated, Id |
  Format-Table -AutoSize

4624はサービスやシステムのサインインも大量に含みます。人がサインインした記録だけを取り出す方法や、ログオンの種類の読み方は、Windowsのログイン履歴を確認する方法にまとめています。

システムログ　7001・7002

「Windowsログ → システム」には、ソースが Winlogon の7001（ログオン）と7002（ログオフ）が残ります。管理者権限がなくても見られ、人のサインインだけが並ぶので、1日の使い始めと終わりを見るのに向いています。利用者は名前ではなくSID（S-1-5-21-…で始まる番号）で書かれているので、次のように名前に直します。

(New-Object System.Security.Principal.SecurityIdentifier 'S-1-5-21-ここにSID').Translate([System.Security.Principal.NTAccount])

7001・7002はソースを指定して絞り込みます。システムログには、同じ番号で別のソース（サービスの起動の失敗など）の記録もあるためです。勤怠の確認に使う場合の手順は、PCのログイン時間・ログオフ時間を確認する方法で説明しています。

1日の流れを1つの表にする

起動・停止とログオン・ログオフを時刻順に並べると、「電源が入り、誰かがサインインし、サインアウトして、電源が切れた」という1日の流れが分かります。管理者権限は要りません。

$from  = (Get-Date).Date.AddDays(-1)
$label = @{ 6005 = '起動'; 6006 = '正常な停止'; 6008 = '予期しない停止'; 1074 = 'シャットダウン・再起動の指示'; 7001 = 'ログオン'; 7002 = 'ログオフ' }
$power = Get-WinEvent -FilterHashtable @{ LogName = 'System'; Id = 6005, 6006, 6008, 1074; StartTime = $from } -ErrorAction SilentlyContinue
$logon = Get-WinEvent -FilterHashtable @{ LogName = 'System'; ProviderName = 'Microsoft-Windows-Winlogon'; Id = 7001, 7002; StartTime = $from } -ErrorAction SilentlyContinue
@($power) + @($logon) | Sort-Object TimeCreated |
  Select-Object TimeCreated, Id, @{ n = '出来事'; e = { $label[$_.Id] } } |
  Format-Table -AutoSize

Windows Serverでも、イベントビューアーとPowerShellの手順は同じです。サーバーにリモートデスクトップで入った記録は、リモートデスクトップの接続履歴を確認する方法で接続元まで追えます。

PCを1台ずつ開いてイベントビューアーを見る代わりに、全PC・サーバーのログインの記録と、使い始めた時刻・終えた時刻を1画面で見られます（アプリップリキー）。ログは10年残り、誰がどのPCにどのスマホで入ったかも分かります。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

どのファイルを開いたかを見る（最近使ったファイル）

Windows 11ではエクスプローラーの「ホーム」、Windows 10では「クイック アクセス」に、最近開いたファイルが並びます。表示の名前は、Windowsの版によって「最近使用した項目」「最近使用したファイル」などと変わります。もっと多く見たいときは、Windowsキー + R で「ファイル名を指定して実行」を開き、shell:recent と入力します。最近使った項目のショートカットが、開いた日時とともに並びます。

PowerShellでは、新しい順に30件を出せます。

Get-ChildItem "$env:APPDATA\Microsoft\Windows\Recent" -Filter *.lnk |
  Sort-Object LastWriteTime -Descending |
  Select-Object -First 30 Name, LastWriteTime

Word・Excelなどは、それぞれのアプリの「ファイル」→「開く」の「最近使ったアイテム」にも履歴があります。

この記録で分かること・分からないこと

• サインインしている本人の分だけです。ほかの利用者の最近使ったファイルは、その人のサインインでしか表示されません。
• 「開いた」ことは分かりますが、何を書き換えたか、どこへコピーしたかまでは分かりません。共有フォルダで誰がファイルを開いた・消したかを残すには、フォルダの監査を別に設定します。
• 利用者が自分で消せます。エクスプローラーの設定画面（ファイル名を指定して実行で control folders）の「全般」にある「消去」を押すと、履歴は空になります。

どのWebページを見たかを見る（ブラウザの履歴）

Microsoft Edge・Google Chromeとも、Ctrl + H で閲覧履歴が開きます。日付ごとに、見たページと時刻が並びます。

• 履歴は、ブラウザのプロファイル（利用者）ごとに分かれています。別の利用者や別のプロファイルの履歴は、そこを開かないと見えません。
• InPrivateウィンドウ（Edge）・シークレットウィンドウ（Chrome）で見たページは、履歴に残りません。
• 利用者は履歴を自分で消せます。また、ブラウザの同期をオンにしていると、ほかの端末で見たページが混ざって見えることがあります。

ブラウザの履歴は「そのPCで、その時刻に誰がいたか」の裏付けにはなりません。誰がいたかは、ログオンの記録と合わせて判断します。

どのアプリを使ったかを見る

Windows 10には、過去に使ったアプリやファイルを時系列で表示するタイムラインがありましたが、Windows 11にはタイムラインの機能がありません。いまのWindowsで手がかりになるのは、次の2つです。

• タスクマネージャーの「アプリの履歴」：アプリごとのCPU時間やネットワークの使用量が、集計の開始日からの合計で出ます。どのアプリをよく使っているかの目安にはなりますが、いつ使ったかの時刻は出ません。
• プロセス作成の監査（4688）：監査ポリシーで「プロセス作成の監査」を有効にすると、プログラムが起動するたびにセキュリティログへ4688が残ります。既定では無効なので、有効にした日より前の分はありません。記録の量が増えるため、ログの容量もあわせて広げます。

使用履歴が消える・残らない3つの理由

1. ログの容量がいっぱいになり上書きされた

イベントログには容量の上限があり、上限に達すると古いものから上書きされます。サインインの多いPCでは、セキュリティログが数日から数週間分しか残っていないことがあります。いま何日分残っているかの確かめ方と、上限の広げ方は、イベントビューアーのログ保存期間を確認・変更する手順で説明しています。

2. 利用者が消した

最近使ったファイルとブラウザの履歴は、利用者がいつでも消せます。イベントログは管理者権限がないと消せず、消すとセキュリティログでは1102、システムログでは104が記録されます。記録が途中から始まっているときは、この2つを探します。

3. 監査ポリシーで記録していない

セキュリティログに何が残るかは、監査ポリシーで決まります。ログオンの記録が見当たらないときは、管理者として開いたコマンドプロンプトで、いまの設定を確かめます。

auditpol /get /category:*

「ログオン/ログオフ」の項目が「監査なし」になっていれば、4624・4634・4647は残りません。

よくあるつまずきと直し方

セキュリティログを開くと「アクセスが拒否されました」と出る

セキュリティログは管理者権限が必要です。イベントビューアーやPowerShellを、右クリック →「管理者として実行」で開き直します。

「指定された選択条件に一致するイベントは見つかりませんでした」と出る

指定した期間に、その番号の記録がありません。StartTimeの日数を広げるか、上の3つの理由（上書き・削除・監査ポリシー）に当てはまらないかを確かめます。

共用のIDで使っていて誰か分からない

部署で1つのIDを使い回していると、記録には同じ名前しか出ず、誰が使ったかは分かりません。記録が本人と一致しない場合の考え方は、PCのログイン時間・ログオフ時間を確認する方法にまとめています。

複数台・全台で使用履歴を見るときの手間

PCが何台もあると、ここまでの手順を1台ずつ繰り返すことになります。PowerShellの Invoke-Command で管理用のPCから各PCのイベントログを読み出すこともできますが、各PCでWinRMを有効にしておく必要があります。

• 確かめたその瞬間に、社内につながっているPCしか読めません。持ち出し中・テレワーク中のPCには届きません。
• 調べようとしたときには、もう上書きされていることがあります。何かあってから見に行くと、肝心の日の記録が残っていないことがあります。
• 最近使ったファイルやブラウザの履歴は、利用者ごと・PCごとに分かれていて、まとめて集める仕組みはWindowsにありません。
• PCを入れ替えたり初期化したりすると、そのPCの記録はなくなります。

ログを1か所に集めるWindows標準の方法（Windowsイベント転送）は、複数台のPCのログを1か所に集める方法で説明しています。

全PCの使用の記録を1画面で見る

アプリップリキーを使うと、アプリップリキーを入れた全PC・サーバーについて、次のことができます。

• いつ使っていたかが1画面で分かる：PCを使い始めた時刻と終えた時刻、日ごと・月ごとの稼働時間が残ります。PCを1台ずつ開いて、6005や7001を探す必要はありません。
• ログは10年残る：全PCのログを1か所に10年間残し、期間・PC・利用者・IPアドレス・認証の方法で絞り込んで、CSVで出せます。PCを入れ替えても記録は残るので、「あの日、誰が使っていたか」を聞かれたその日に答えられます。取引先から記録を求められたときの出し方は「ログイン記録を出して」と言われたらにまとめています。
• 誰が、どのスマホで入ったかまで分かる：どのPCに、誰の、どのスマホ（会社用・個人用）が紐づいているかを一覧で見られ、ログインの記録にも使ったスマホが残ります。
• 台帳もいつも最新：台数・部署・利用者・OS・空き容量の台帳が自動で作られるので、どのPCを誰が使っているかを手で直さなくて済みます。

ADは要らず、ワークグループのPCでもそのまま使えます。管理の機能は、インターネットにつながっているPC・サーバーが対象です。

さらに、アプリップリキーはPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにします（PC版・サーバー版。リモートデスクトップでのログインも対象）。2要素認証になりますが、毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。使用履歴に残る名前が本人であることを、パスワードだけのときより確かに説明できます。

よくある質問

いまの運用を棚卸ししてみる

使用履歴を1台ずつ見に行く作業のように、台数の分だけ人の手がかかる作業は、退職者のアカウントの扱いやログイン失敗の確認などにも残っていることがあります。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。

参考・出典

• Microsoft Learn「Get-WinEvent」
• Microsoft Learn「イベント 4624」
• Microsoft Learn「イベント 4688」

※ 本記事は2026年11月時点の一般的な解説です。表示される項目名は、Windowsの版や表示言語によって変わることがあります。