セキュリティを重視して選ぶノートパソコンの見どころ

ノートパソコンを買うときの比較軸は、価格や重さ、画面の大きさ、バッテリーの持ちに寄りがちです。ところが持ち運ぶ機械である以上、置き忘れや盗難、外出先での画面ののぞき見といった、据え置き機では起きにくい事故が実際に起こります。しかも中身を守る仕組みの多くは、購入後にソフトを入れて足せるものではなく、本体のチップやファームウェアが対応しているかで決まります。この記事は、仕事用や家庭用のノートパソコンを選ぶ一般の利用者に向けて、後から変えにくい部分を中心に選定の軸を整理します。記述は執筆時点で確認できた公式情報にもとづいています。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の利用環境に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

起動の土台になるTPM 2.0とUEFIセキュアブート#

Microsoft LearnのWindows 11の要件では、最小ハードウェア要件として1GHz以上で2コア以上のプロセッサ、メモリ4GB以上、ストレージ64GB以上に加え、システムファームウェアが「UEFI、セキュアブート対応」であること、TPMが「トラステッド プラットフォーム モジュール(TPM)バージョン2.0」であることが挙げられています。この2つは足切り条件であると同時に、上位の保護機能が乗る土台になります。

TPMは、暗号化操作を行うために設計されたセキュアな暗号プロセッサとして説明されています。BitLockerはこのTPMの実装と組み合わせることで、鍵の保護をTPMとプラットフォームの状態に結び付けます。そのため、ドライブだけを取り外して別のパソコンにつないでも復号しにくくなります。なおTPM 2.0にはディスクリートのTPMのほか、統合型TPMやファームウェアTPMという実装もあり、どの形で搭載されるかは機種によって異なります。セキュアブートのほうは、OEMが信頼するソフトウェアのみでデバイスが起動することを確認する仕組みで、起動時にファームウェアがUEFIドライバー、EFIアプリケーション、オペレーティングシステムといったブートソフトウェア各部の署名を確認し、有効な場合にOSへ制御を渡します。OSが立ち上がる前に割り込む攻撃に対して、この署名検証が最初の関門になります。

Microsoft Learnは、TPMチップが暗号化操作を実行するように設計された暗号プロセッサであり、改ざんを防ぐ物理的なメカニズムを備え、暗号化キーの生成と格納と使用制限やブートプロセスの測定値の記録に使えると説明しています。

Microsoft Learnは、TPM 2.0がBIOSのレガシモードおよび互換性サポートモジュール(CSM)モードではサポートされず、BIOSモードをネイティブUEFIとしてのみ構成する必要があるとも記載しています。中古機や整備済み品では、TPMの搭載だけでなくUEFIモードで動く構成かどうかも確認しておきたいところです。

仮想化ベースのセキュリティとCredential Guardで分かれるエディション#

起動の土台の次に見ておきたいのが、仮想化ベースのセキュリティ(VBS)を使った保護です。代表格のCredential Guardは、NTLMパスワードハッシュやKerberosのチケット保証チケット(TGT)、アプリケーションがドメイン資格情報として保存するデータを、実行中のOSから分離された保護環境に置きます。管理者権限で動くマルウェアであってもVBSで保護されたシークレットを抽出できない、という効き方です。

Microsoft Learnによれば、Credential Guardが必要とする機能はVBSとセキュアブートで、TPMは鍵をハードウェアに結び付ける追加の保護として推奨され、UEFIロックも推奨項目に挙げられています。TPMは1.2と2.0のどちらもサポートされ、ディスクリートとファームウェアのいずれの実装でも構いません。既定で有効になる条件は製品によって分かれ、Windows 11のバージョン22H2以降はライセンス要件とハードウェアおよびソフトウェアの要件を満たし、明示的に無効化されていない場合に既定で有効になります。Windows Server 2025以降は、これらに加えてドメインに参加していることとドメインコントローラーでないことが条件になります。

見落としやすいのがエディションの扱いです。個人向けに売られるノートパソコンの多くはHomeまたはProのため、Credential Guardを前提にするなら、EnterpriseやEducationのライセンスを使える環境かどうかが先に決まります。Microsoft Learnは、機能がどのエディションでサポートされるかの表と、その機能を使う権利を与えるライセンスの表を分けて示しています。

まず、機能ごとのサポート対象エディションです。

次に、Credential Guardを使う権利を与えるライセンスです。エディションがEnterpriseやEducationであっても、実際に使えるかはライセンスの種別で決まります。

Microsoft Learnは、Windows 11のバージョン22H2以降ではライセンス要件とハードウェアおよびソフトウェアの要件を満たし明示的に無効化されていない場合にCredential Guardが既定で有効になること、Windows Server 2025以降ではこれらに加えてドメインに参加しドメインコントローラーでないことが条件になることを説明しています。サポートするエディションの表ではWindows EnterpriseとWindows Educationを「はい」、Windows ProとWindows Pro Education/SEを「なし」と示し、別の表でライセンスの権利を、Windows Enterprise E3およびE5とWindows Education A3およびA5を「はい」、Windows ProとPro Education/SEを「なし」と示しています。

Credential Guardが使えない構成では、端末内に残る派生資格情報をVBSで分離する保護は得られません。使い回しのないパスワードをパスワードマネージャーで管理し、重要なアカウントに多要素認証を設定する対策は、エディションに関係なくアカウントが乗っ取られる可能性を下げますが、Credential Guardの代わりになるものではなく、防ぐ相手が異なる別種の対策です。

ストレージ暗号化はBitLockerとデバイス暗号化の2系統#

落としたり置き忘れたりしたときに中身を読まれないようにする仕組みがストレージ暗号化です。Windowsには、明示的に構成するBitLockerと、条件を満たすデバイスで自動的に有効になるデバイス暗号化の2つの入口があります。

BitLockerは、紛失や盗難、不適切に使用停止されたデバイスからのデータ盗難に対処するボリューム全体の暗号化機能で、TPMと組み合わせたときに最大限の保護を提供するとされています。TPMを持たないデバイスでも使えますが、その場合はリムーバブルドライブに置くスタートアップキーかパスワードが必要になり、パスワードはブルートフォース攻撃の対象になるため既定では無効、と明記されています。

デバイス暗号化は、一部のデバイスでBitLocker暗号化を自動的に有効にする機能で、Microsoft Learnは「すべてのWindowsバージョンで使用でき」ると記載しています。従来はモダンスタンバイまたはHSTIの要件を満たすことなどが条件でしたが、Windows 11のバージョン24H2以降はその前提条件が削除され、対象となるデバイスが増えたと説明されています。暗号化されるのはOSドライブと固定ドライブのみで、外付けのUSBドライブは含まれません。

確認しておきたいのが、自動で有効になるデバイス暗号化とサインイン方法の関係です。Microsoft Learnは、Microsoft Entra参加やActive Directoryドメイン参加であれば回復キーがそれぞれのディレクトリにバックアップされ、どちらでもない場合は管理者権限を持つMicrosoftアカウントが必要になると説明したうえで、「デバイスがローカルアカウントのみを使用する場合は、データが暗号化されていても保護されません」と明記しています。デバイス暗号化をローカルアカウントだけで使うと、暗号化は進んでいてもクリアキーが取り除かれず、保護が完了しない状態が生じるということです。暗号化したつもりで守られていない食い違いを避けるため、初期設定の時点でサインイン方法を決めておきます。

回復キーをどこに保管するかは、これとは別に、鍵を失って自分のデータへ入れなくなる事態を避けるための論点です。Pro以上で手動でBitLockerを構成する場合は回復パスワードをファイルなどへ保存でき、Microsoftアカウントへの預託が保護成立の条件になるわけではありません。いずれの場合も、控えを本体とは別の場所に残しておきます。

Microsoft Learnは、BitLockerの有効化をサポートするエディションとしてPro、Enterprise、Pro Education/SE、Educationを挙げ、デバイス暗号化はすべてのWindowsバージョンで使用でき、24H2以降はDMAとHSTIやモダンスタンバイの前提条件が削除されたこと、ローカルアカウントのみを使用する場合はデータが暗号化されていても保護されないことを記載しています。

外付けのストレージやUSBメモリはデバイス暗号化の対象外のため、持ち歩くデータがあるなら別の手当てが必要になります。

あわせて読みたい

ハードウェア暗号化ポータブルSSDの選び方。持ち出すデータを紛失時も守る

Windows Helloの生体認証と赤外線カメラ#

サインインの手間とパスワードの入力機会をあわせて減らせるのが、Windows Helloの生体認証です。Microsoft Learnは、生体認証データまたはPINでWindowsデバイスにサインインできる認証テクノロジとして説明し、組み込みのブルートフォース保護を備えるとしています。

ここで分けて考えたいのが、端末へのサインイン方法と、その裏側で使われる認証の仕組みです。顔や指紋やPINはあくまで端末のロックを解く手段で、フィッシング耐性のある認証として働くのは、MicrosoftアカウントやMicrosoft Entra ID、Windows Hello for Businessと組み合わせて、端末内で生成した非対称鍵のペアを使う場合です。Microsoft Learnは、ローカルアカウントで使うWindows Helloは非対称鍵に支えられておらず、MicrosoftアカウントやEntra IDでの鍵ベースの認証と同じ水準ではないと説明しています。個人利用でも、鍵ベースの認証を働かせたい場合はサインインに使うアカウントの種類から確認します。

顔認証と指紋認証では必要なハードウェアが違います。顔認識は赤外線(IR)光で見る特別なカメラを使い、写真と生きている人の違いを見分けられるとされ、対応には特殊な赤外線センサーを内蔵したデバイスとソフトウェアが必要と明記されています。Windows 11の要件ページでも、Windows Helloには近赤外線画像用に構成されたカメラまたは指紋リーダーが必要で、生体認証センサーがないデバイスではPINまたはMicrosoft互換のポータブルセキュリティキーを使えると記載されています。カメラが付いていれば顔認証が使えるとは限りません。

生体データの扱いも見ておきます。Microsoft Learnは、Windows Helloの生体認証データがローカルデバイスのみに安全に保存され、ローミングを行わないため外部デバイスやサーバーには送信されないと説明しています。あわせて、顔認証は登録中や認証中のマスク着用をサポートしないため、マスクを外せない環境ではPINまたは指紋の使用を検討するよう案内されています。

Microsoft Learnは、Windows Helloの顔認識に特殊な赤外線センサーを内蔵したデバイスとソフトウェアが必要なこと、生体認証データがローカルデバイスのみに保存されローミングしないこと、顔認証がマスク着用をサポートしないことを説明しています。

ファームウェアとドライバの更新が続く期間#

購入時点の安全性と同じくらい、その状態を何年保てるかも選ぶ材料になります。OSの更新とは別に、UEFIファームウェアやチップセットのドライバはパソコンのメーカーが提供するため、更新の提供期間や配布方法は機種ごとに異なります。法人向けモデルは管理ツールとあわせて配布する仕組みを持つことが多く、個人向けモデルは専用のアップデートユーティリティで提供されるのが一般的ですが、提供年数の目安が公開されているかには差があります。共通の年数を断定できないため、候補が絞れた段階でメーカーのサポートページで確認します。

メーカー側の更新が必要になる場面は実際にあります。Microsoftのガイダンスは、一部のWindowsデバイスが2011年に発行されたセキュアブート証明書を今も使っており、この証明書は2026年6月から期限切れが始まっていると案内しています。更新しなかった場合でも、デバイスは起動して通常のWindows更新を受け取り続けることがある一方、初期ブートコンポーネントに対する将来のセキュアブートの保護を受けられない可能性があるとされています。あわせて、ファームウェアが古い環境や証明書の更新が正しく適用されない環境では、セキュアブートの検証エラーやBitLockerの回復画面の繰り返し、起動のハングや起動失敗が起きうる点も挙げられています。対応としては、まずOEMが提供するファームウェア更新の適用が推奨され、証明書の更新自体はMicrosoft Intune、レジストリキー、構成サービスプロバイダー(CSP)、グループポリシーのいずれかで配布する方法が案内されています。更新できているかは、システムイベントログのイベントID 1801と1795、レジストリ値UEFICA2023StatusがUpdatedになっているかで確認できます。

Microsoftは、一部のWindowsデバイスが2011年に発行されたセキュアブート証明書を使用しており2026年6月に期限切れになること、更新しない場合もデバイスは起動し通常のWindows更新を受け取り続ける場合があるが初期ブートコンポーネントに対する将来のセキュアブートの保護を受けられない可能性があること、環境によってはセキュアブートの検証エラーやBitLockerの回復画面の繰り返し、起動のハングや起動失敗が起きうること、更新状況はイベントID 1801と1795やレジストリ値UEFICA2023Statusで確認でき、OEMのファームウェア更新を適用したうえでMicrosoft Intuneやレジストリキー、CSP、グループポリシーで証明書更新を配布できることを説明しています。

OS側の期限は公開されています。Microsoft Lifecycleは、Windows 10 Version 22H2、Windows 10 Enterprise 2015 LTSB、Windows 10 IoT Enterprise LTSB 2015が2025年10月14日にサポート終了となり、この日以降セキュリティ更新プログラムを受け取れなくなると案内しています。同じLTSC系でもLTSB 2016やLTSC 2021は別のライフサイクルのため、該当する製品を使っている場合は個別にサポート期限を確認します。

サポート終了後もWindows 10を使い続ける場合の拡張セキュリティ更新プログラム(ESU)は、個人向けと組織向けで内容が異なります。個人向けのESUは、Windows 10のバージョン22H2のHome、Professional、Pro Education、Workstationsの各エディションが対象で、登録には管理者アカウントであるMicrosoftアカウントが必要とされ、子供用アカウントは使えません。登録方法は3つあり、PC設定の同期を利用する方法(追加費用なし)、Microsoft Rewardsの1,000ポイントと引き換える方法、30米ドルまたは現地通貨の相当額(税別)の一度きりの購入から選べます。プログラムが終了する2027年10月12日まではいつでも登録できるとされています。ここで参照しているのは米国向けのページで、同ページ自身が欧州経済領域(EEA)などの例として、登録方法と提供時期が地域によって異なる場合があると記載しているため、日本での条件はあらためて確認してください。組織向けは有料の年次契約で、商用または教育機関の登録済みPCで最大3年間と説明されています。どちらも期限を先送りする一時的な手当てになります。

IPAが日常の情報セキュリティ対策としてファームウェアの更新を挙げている対象はルータやスイッチ等のネットワーク機器ですが、更新が届き続けるかで安全性が変わるという考え方は、パソコン本体のUEFIファームウェアにも当てはめられます。

物理面で確認しておく装備#

ソフトウェアで防げない事故は、持ち運ぶ機械ほど起こりやすくなります。移動中やカフェで画面を横から読まれるのぞき見は、暗号化や生体認証では止められません。画面の視野角を物理的に狭めるプライバシーフィルターが直接の対策になり、この機能を内蔵してキー操作で切り替えられる法人向けモデルもあります。

内蔵カメラを物理的にふさぐシャッターも、法人向けを中心に採用が広がっています。ソフトウェア側でカメラを無効にする設定と違い、ふさがっているかを目で確かめられる点が持ち味です。後付けのスライド式カバーは画面を閉じたときに干渉する厚みの製品もあるため、内蔵の有無を先に見ておくほうが失敗が減ります。

盗難対策としては、本体側面のセキュリティロックスロットの有無を確認します。ワイヤーで机や什器につないで持ち去りを難しくするための穴で、薄型のモデルでは省略されている場合があります。ワイヤーロックは持ち去りを完全に止めるものではなく、その場から素早く持ち出しにくくする備えになります。

外出先での画面のぞき見への備え方は、フィルターの選び方の記事で整理しています。

あわせて読みたい

のぞき見防止フィルター(プライバシーフィルター)の選び方。肩越しの情報漏えいを防ぐ

買ったあとに最初に決めておく設定#

最初のセットアップで決めておかないと、後から直しにくい項目があります。

IPAは対象の機器ごとに書き分けています。スマートフォンやタブレット等については、紛失した際に不正に使用されないよう画面ロック機能を必ず有効にし、紛失時に速やかにロックされるよう時間を短めに設定することを推奨しています。パソコンについては、第三者に見られたり操作されたりしないよう画面ロックを設定し、席を離れる際にロックをかけるよう案内しています。持ち出す機会の多いノートパソコンは紛失の危険もあわせて負うため、離席時の習慣と時間設定の両方を決めておくと取りこぼしが減ります。

IPAは日常の情報セキュリティ対策として、パソコンやスマートフォン等のOSと各種ソフトウェアを最新のバージョンに更新し、無線LANルータ等は最新のファームウェアに更新すること、持ち出す機器やUSBメモリ等の外部記憶媒体には適切な暗号化を施すこと、パソコンやスマートフォン等に画面ロックを設定して席を離れる際はロックをかけること、スマートフォンやタブレット等は紛失時に備えてロックまでの時間を短めに設定することを挙げています。

買い替えと廃棄のときに残るデータ#

選ぶ話は、手放すときの話とつながっています。ファイルを削除して初期化しただけでは、機器や手順によってデータが読み取れる形で残る場合があるためです。ストレージが暗号化された状態で使っていれば、鍵を破棄して読めなくする暗号化消去を利用できる場合があります。ただし対応は機器やソフトウェアによって異なるため、メーカーが提供するSanitizeやSecure Eraseの機能、または所属する組織の消去基準に従って実施し、その結果を確認する必要があります。下取りに出す場合は、事業者がどの水準の消去を行うか、証明書が発行されるかを事前に確認しておきます。

あわせて読みたい

パソコンやスマホを手放す前のデータ消去はどこまでやれば足りるのか

買う前のチェックリスト#

まとめ#

ノートパソコンのセキュリティは、購入後にソフトを足して埋められる部分と、本体を選ぶ時点で決まる部分に分かれます。TPM 2.0とUEFIセキュアブートは暗号鍵の保管と起動時の署名検証という土台を担います。Credential GuardはVBSとセキュアブートを必要とし、TPMは鍵をハードウェアに結び付ける追加の保護として推奨されるもので、Microsoftの表ではEnterpriseとEducationがサポート対象とされています。自動で有効になるデバイス暗号化をローカルアカウントだけで使うと、暗号化されていても保護が完了しない状態が生じます。生体認証は顔認証に赤外線カメラが必要になります。ここに書いた内容は執筆時点で確認できた公式情報にもとづくもので、対応する機能や仕様は機種ごとに異なります。購入前に各メーカーの製品ページとMicrosoftの公式ドキュメントで最新の情報を確認することをおすすめします。