ある設計・解析系の会社（Windows の PC 約25台）で、古いウイルス対策ソフトを Microsoft の Defender（Windows に入っているウイルス対策。Microsoft 365 の契約で、会社の PC をまとめて管理できる）に切り替えた。電源の入っている PC からは古いソフトを外し終えた。その直後、管理画面がまだ使えるうちに、設定を1つ残らず書き写した。

管理画面には「デバイスコントロール（USB メモリなど外部の機器を制御する機能）：オン」と出ていた。ダッシュボードには、過去30日でこの機能の検出が29件。自分も作業メモに「このソフトでも USB を制御していた」と書いていた。検出の数を見て、そう思い込んだ。ところが設定を開くと、USB メモリ・CD/DVD・ネットワーク上の共有フォルダは、すべて「フルアクセス」だった。止めていたのは、USB を差したときにプログラムが勝手に動く「自動実行」だけだ。ウイルス対策の設定としては、USB メモリへのコピーを止めていなかった。

USB への書き込みを止めていたのは、ウイルス対策ではなく、別に契約していた資産管理ツール（会社の PC の台帳を作り、使い方を制限する製品）だった。だからウイルス対策を外しても、USB への書き込みの守りは外れなかった。書き込みの守りが外れたのは、資産管理ツールを外したとき、それも PC 管理の仕組みの側で対象外にしていた数台だけだった。この記事では、古いウイルス対策を外すときに設定を書き写す理由と、そこから「引き継ぐ制限」と「新しく決める制限」をどう分けたかを書く。製品の正式な名前と設定値は、後半の「担当者向け」にまとめた。

この記事でわかること

  • ▶ 古いウイルス対策を外すとき、管理画面の設定を書き写しておく理由（管理画面は契約が切れると使えなくなる）
  • ▶ 「USB の制限：オン」に見えても、ウイルス対策は USB メモリへのコピーを止めていなかった話
  • ▶ 「前の製品にあった制限」と「新しく作る制限」を分けて考える判断の軸
  • ▶ 電源の入っていない PC を、契約が切れる前に片付けておく理由
  • ▶ 自分の会社で確かめること（担当者向けに、設定の名前と値も）

▼設定を書き写した理由：契約が切れて30日ほどで、管理画面に入れなくなる

古いウイルス対策は、販売店経由で契約したクラウド版のウイルスバスター（ビジネス向け）だった。管理画面には22台が登録されていて、そのうち電源の入っている12台から、10月27日に外した。契約は2026年11月29日まで。

契約が切れると、管理画面は長くは使えない。メーカーの公式の案内では、期限が切れてから30日ほどで管理画面にログインできなくなる。そうなると、どんな設定で守っていたのかは二度と確かめられない。書き写した理由は3つある。

  • ▶ 新しい方で同じ制限を作るかを決める材料：前の製品が何を止めていたかが分からないと、「引き継ぐ」のか「新しく作る」のかを決められない
  • ▶ 社内や監査に「何をしていたか」を説明する材料：取引先のセキュリティチェックや監査で、切り替え前の対策を聞かれたときに答えられる
  • ▶ 戻すときの手がかり：新しい方で業務アプリが動かないなどの問題が出たとき、前はどの業務アプリを検査の対象から外していたかが分かる

正直に書くと、書き写したのは PC から外した直後だった。管理画面を読むだけの作業で、かかったのは6分ほど。本当は外す前に読むほうがいい。理由は後の「外す流れ」で書く。

▼書き写して分かったこと：思っていた設定と違ったもの3つ

設定を1つずつ読んでいくと、「入っているから、こうなっているはず」と思っていたことが3つ外れた。

1. USB の制限は「オン」でも、ウイルス対策は USB メモリへのコピーを止めていなかった

一番の思い込みはこれだ。機能の一覧では「オン」。ダッシュボードには検出が29件。これだけ見れば、USB は止まっていると考えるのが自然だ。

中身はこうだった。外部の機器は種類ごとに「フルアクセス（読み書きとも自由）」から「ブロック」まで選べる。この会社の設定は、USB メモリ・CD/DVD・ネットワーク上の共有フォルダ・スマホなどのストレージ、どれも「フルアクセス」。効いていたのは「USB を差したときの自動実行を止める」という1項目だけだった。29件の検出は、この自動実行を止めた記録だと見ている（ログの中身はまだ見ていない）。

「機能がオン」と「その機能で止めたいものが止まっている」は別だ。オンの中に、種類ごとの細かい設定がある。今回の製品で、オンにしたときの初期値がどうなっているかは、メーカーの公式資料には見当たらなかった。だからこれは「この会社の設定では」の話で、自分の会社の設定は画面を開いて確かめるしかない。

2. 外すときのパスワードが設定されていなかった

ウイルス対策ソフトには、PC から外したり止めたりするときにパスワードを求める設定がある。この会社では、それが空だった。だから今回の撤去は楽だった。管理画面からでも、PC の側からでも、パスワードなしで外せる。

裏返すと、運用していた間ずっと、PC の管理者の権限を持っている人ならウイルス対策を止められた、ということだ。新しい Defender のほうは、「改ざん防止」（ウイルス対策を勝手に止めたり設定を変えたりできないようにする機能）がオンになっている。結果を確かめられた6台で、オンを確認した。

3. アプリの許可ルール15件は、どこにも使われていなかった

管理画面には「このアプリは動かしてよい」という許可のルールが15件作られていた。文書ソフト、CAD、GIS（地図のデータを扱うソフト）、Office、Teams などだ。ところが、ルールを使う機能そのものがオフで、どのポリシー（PC に配る設定のまとまり）にも割り当てられていなかった。作られていたが、一度も効いていない。新しい方には移さなかった。

▼判断の分かれ目：USB を止めていたのはウイルス対策ではなかった。引き継ぐ制限と、新しく決める制限を分ける

書き写した設定を、製品ごとに「何を止めていたか」で並べ直した。そうすると、新しい環境でやることが2種類に分かれる。前の製品にあった制限を移す「引き継ぎ」と、前の製品にはなかった制限を新しく作る「新しい決めごと」だ。

何を 前はどの製品が、どうしていたか 新しい環境でどうしたか
USB の自動実行 ウイルス対策が止めていた ウイルス対策の USB の制限はこれだけ。ウイルス対策を外すと、この制限は外れる。代わりを置くかはまだ決めていない（「まだやっていないこと」）
USB への書き込み 資産管理ツールが止めていた（「書き出し禁止」のグループに16台） Microsoft の PC 管理の仕組み（Intune）の「書き込み禁止」を10月13日に15台へ広げた。ただし、資産管理ツールで止めていた PC と顔ぶれは一致していない（下の本文）
ウイルス対策を勝手に止められないこと ウイルス対策：パスワードなし（止められた） Defender の改ざん防止がオン。前より強くなった
業務アプリを検査の対象から外す設定 ウイルス対策：CAD・GIS・文書ソフト・Web フィルタ（見てよいサイトを制限するソフト）などを登録 CAD・GIS・文書ソフトの分を9月16日に Defender へ移した。解約する Web フィルタの分は移していない
アプリの許可ルール ウイルス対策：15件あったが使われていない 移さない

判断の軸はこうだ。前の製品で止まっていたものを移すのは「引き継ぎ」で、業務への影響は変わらない。前の製品で止まっていなかったものを新しく止めるのは「新しい決めごと」で、業務で困る人が出る。後者は、決める前に「USB に書き出す仕事をしている人はいないか」を現場に聞く必要がある。

ただ、この線引きは製品の単位ではなく PC の単位で見ないと崩れる。この会社では、引き継いだつもりの書き込み禁止が、対象の PC の顔ぶれでずれていた。資産管理ツールで止めていたのは16台、Intune で止めたのは15台（最初から7台は対象外）で、同じ PC の集まりではない。引き継ぎのつもりでも、新しく対象に入った PC にとっては新しい制限になる。

実際、10月13日に Intune の書き込み禁止を広げたとき、解析データのバックアップや納品で USB に書き出す業務がどの PC にあるかは、確かめきれていなかった。9日後の10月22日、業務で USB に書き出す必要がある PC を1台、対象から外している。USB の制限は、かける前に「書き出す仕事をしている人はいないか」を聞くほうが、外して回るより早い。

反対の向きのずれもあった。資産管理ツールで書き込みを止めていた PC のうち、少なくとも4台は、Intune では対象外にしていた（社員が共有で使う PC）。資産管理ツールを外すと、この4台は USB に書き込めるようになる。10月21日に4台とも管理画面から外す操作をした。PC の中から消えたのを確かめられたのは今のところ1台で、1台は電源が入っておらず、まだ外れていない。このままでよいかは、先方と確かめている最中だ。

「ウイルス対策を外したら、何の守りが外れるか」は、ウイルス対策の画面だけ見ても分からない。USB の制限は、ウイルス対策・資産管理ツール・PC 管理の仕組みのどれにでも入りうる。製品ごとに「何を止めているか」を並べて、初めて「外したら何が外れるか」が見える。

▼外す流れ：読む → 外す → 保護が戻ったか確かめる

段階 やること この会社では
1. 読む 管理画面の設定を書き写し、外すと何が外れるかを確かめる 外した直後に読んだ。ウイルス対策を外して外れた USB の制限は、自動実行のブロックだけだった（書き込みの制限が外れたのは資産管理ツールを外したとき。前の節）
2. 外す 管理画面で PC を選んで外す。実行の前に「対象の台数」を見る 10月27日に12台。1回目は選択の操作がずれて別の PC まで選ばれ、確認画面の台数で気づいてやり直した
3. 確かめる 新しいウイルス対策が実際に守っている状態に戻ったかを、翌日以降に見る 翌日（10月28日）、外した12台すべてで Defender の保護が有効になった

読むのを外す前にしたほうがいい理由は単純で、外す前なら「外した瞬間に何が外れるか」を先に判断できるからだ。外した後に読んで何かが外れていたと分かっても、代わりを作るまでの間はそのままになる。今回は、ウイルス対策が止めていた USB の制限が自動実行だけだったので、順番が逆でも大きくは困らなかった。

3つ目の「確かめる」が要るのは、古いウイルス対策が残っている間、Defender は待機の状態（受け身）になって本来の保護をしないからだ。両方入れても二重の守りにはならない。外す順番や、この待機の状態の話は、同じ会社の記事に詳しく書いた。

📄 古いウイルス対策が PC を固まらせていた話と、外す順番はこちらの記事に書いています。

▼一番の注意：電源の入っていない PC は、契約が切れる前に外す

電源の入っている PC から外し終えても、管理画面には10台が「オフライン」のまま残った。うち8台は PC で、長く電源が入っていない（6台は Intune で管理している PC、2台は Intune にも入っていない古い PC）。残りの2台は、90日以上つながっていないサーバーとスマホだ。

この8台が厄介なのは、次に電源を入れたとき、古いウイルス対策が残ったまま起動することだ。外した12台がそうだったように、古いソフトがいる間は Defender は待機のままになるはずだ（電源の入っていない PC ではまだ確かめられていない。Intune に入っていない2台には、そもそも Defender の設定が届かない）。しかもメーカーの公式の案内では、契約が切れてから30日ほどで管理画面に入れなくなり、60日ほどで古いソフトの更新（新しいウイルスの情報を取り込むこと）が止まる。管理画面に入れなくなれば、管理画面から外す指示は出せない。契約が切れたあとに指示が出せるのか、電源の入っていない PC に後から届くのかは、公式の資料では確かめられなかった。放っておくと、更新の止まった古いソフトが居座り、新しい Defender は待機のまま、という一番悪い形になりうる。

この会社では外すときのパスワードがないので、PC の側から外す道も残ってはいる。ただ、契約が切れたあともその方法で外せるかは確かめていない。だから逃げ道には数えず、契約中に外す。

対処

  • ▶ 使う PC：契約が切れる前に電源を入れてもらい、管理画面から外す
  • ▶ もう使わない端末（古いサーバー・スマホなど）：管理画面の一覧から消す。一覧から消しても PC の中のソフトは消えず、次につながると一覧に戻ってくる（メーカーの FAQ）。使う予定があるなら外す方で片付ける
  • ▶ どちらか分からない端末：持ち主を探す。この確認がいちばん時間を食うので、契約満了の1か月前には始める

▼まだやっていないこと

2026年10月28日の時点で、残っているのは次のことだ。

  • ▶ 電源の入っていない8台を片付ける：使う PC は電源を入れて外し、使わない PC は一覧から消す。契約満了の11月29日までに
  • ▶ 契約の終わり方を確かめる：自動で更新されるか、更新しない連絡が要るか
  • ▶ USB の自動実行のブロックの代わりを決める：ウイルス対策と一緒に外れた。新しい環境で何かを置くか、置かなくてよいかを決める
  • ▶ USB に書き込めるようになる PC の扱いを決める：資産管理ツールを外したことで制限が外れる4台。業務の都合を聞いたうえで、止めるか、このままにするか
  • ▶ 検出29件の中身を見る：自動実行を止めた記録だと見ているが、ログは見ていない。管理画面が使えるうちに確かめる
  • ▶ PC が固まらないかを見る：古いウイルス対策はもともと PC を固まらせていた。全台で外したあとに再発しないかは、データからは分からないので、社員からの連絡で見ている

▼まとめ：自分の会社で確かめること

  • ▶ USB への書き込みを止めているのは、どの製品か（ウイルス対策か、資産管理ツールか、PC 管理の仕組みか。どれでもないか）
  • ▶ 「USB の制限：オン」の中身：USB メモリ・CD/DVD・ネットワーク上の共有フォルダが、それぞれ本当に止まっているか
  • ▶ ウイルス対策を外したり止めたりするときに、パスワードが要るか
  • ▶ ウイルス対策の契約の期限と、自動で更新されるか
  • ▶ 管理画面に、長く電源の入っていない PC や、もう使っていない端末が残っていないか
  • ▶ ウイルス対策の管理画面に、今だれが入れるか（販売店経由の契約だと、ログイン情報の持ち主があいまいになりやすい）
  • ▶ 入れ替えのとき、外す前に設定を誰が書き写すか。USB・見てよいサイト・アプリ・外すときのパスワードといった制限ごとに、どの製品で効いているかを1枚に並べられるか
📄 同じ会社で Intune と Defender を入れたときの実録（配ったのに保護されていたのは一部だった話）はこちらの記事に書いています。

▼担当者向け：設定と手順の詳細

前半の言い方と、実際の名前

前半の言い方 実際の名前
クラウド版のウイルスバスター（ビジネス向け）ウイルスバスター ビジネスセキュリティサービス（WFBS-SVC）。販売店の OEM 契約
USB メモリなど外部の機器を制御する機能ポリシー → デバイスコントロール
外すときのパスワードグローバルセキュリティエージェント設定 → エージェントコントロール → アンインストール／終了・ロック解除のパスワード
アプリの許可ルールアプリケーションコントロールのルール（ポリシー側でアプリケーションコントロールがオフ・割り当てなし）
業務アプリを検査の対象から外す設定グローバル除外リストの「信頼済み Windows プログラム」（挙動監視・デバイスコントロール・リアルタイム検索から除外）。ポリシーの「検索除外」（拡張子）とは別
Microsoft の PC 管理の仕組みの「書き込み禁止」Intune の構成プロファイル（リムーバブル記憶域への書き込み拒否。読み取りは可）。割り当ては「すべてのデバイス」＋除外グループ
待機の状態（受け身）Microsoft Defender ウイルス対策のパッシブモード
保護が有効になったIntune の windowsProtectionState でリアルタイム保護（realTimeProtectionEnabled）が True
改ざん防止Tamper protection

デバイスコントロールの設定値（この会社の PC 用ポリシー）

項目 設定
デバイスコントロールオン
USB ストレージデバイスフルアクセス
CD/DVDフルアクセス
ネットワークドライブフルアクセス
モバイルデバイスのストレージフルアクセス
USB ストレージデバイスでの自動実行機能をブロックするオン（効いていたのはこれだけ）
Bluetooth・COM/LPT・IEEE1394・イメージング・赤外線・モデム・PrintScreen キー・無線 NICすべて許可
許可 USB デバイス・ユーザ別の許可ルール0件

権限は「フルアクセス／変更／読み取りおよび実行／読み取り／デバイスの内容のみリスト表示／ブロック」から選べる（ネットワークドライブはブロックを選べない）。デバイスコントロールをオンにしたときの各権限の初期値は、WFBS-SVC の公式ヘルプ（Configuring Device Control）にも日本語の FAQ（KA-0003289）にも書かれていなかった。同じメーカーの企業向け製品（Apex One）の FAQ には「初期状態では自動実行だけブロックし、読み書きは許可」という趣旨の記述があり、今回の設定と同じ形だが、WFBS-SVC の初期値の根拠にはならない。ダッシュボードの検出件数は、ストレージの権限ではなく自動実行のブロックでも増える前提で読む。

外すときのパスワード

場所は「ポリシー → グローバルセキュリティエージェント設定 → エージェントコントロール」。「アンインストール」と「終了／ロック解除」のそれぞれにパスワードを求めるオプションがある（Configuring Agent Control）。この会社ではどちらも未設定だった。運用中の製品なら、入れ替えの予定がなくても設定しておく項目だ。

除外の引き継ぎ方

  • ▶ 「信頼済み Windows プログラム」は52件。中身は CAD（AutoCAD）・GIS（ArcGIS Pro / ArcMap）・DocuWorks・Web フィルタ・Office・Teams・リモート操作ツールなど。Web フィルタの分は PC ごとのユーザープロファイルのパスで登録されていて、件数の半分近くを占めていた
  • ▶ Defender の AV 除外ポリシーには、CAD・GIS・DocuWorks の分だけを移した。Web フィルタは解約するので移していない。Office・Teams・リモート操作ツールの分は移していない
  • ▶ ポリシーの「検索除外」（拡張子 EVT・EVTX・LOG・OST・PST）は別の設定。移すかは個別に判断する

アンインストールの手順

管理画面の「セキュリティエージェント」で対象の PC にチェック → 「タスク」→「セキュリティエージェントのアンインストール」。確認ダイアログに出る「対象: N」の台数を必ず見てから実行する。実行すると「コマンドが送信されました（配布には5〜10分）」と出て、一覧から消える。今回は再起動を求める表示は出なかった。オフラインの PC への指示が次にオンラインになったときに届くかは、公式資料では確認できなかったので、今回はオフラインの PC には出していない。なお、管理画面の一覧から消すだけでは PC の中のエージェントは消えず、再接続すると一覧に戻る（非アクティブなエージェントの自動削除についての FAQ KA-0003331）。

契約が切れたあとの挙動（公式の FAQ）

期限からの日数 管理画面 PC 側のエージェント
〜30日（猶予期間）ログインできる通常どおり動き、パターンファイルも更新される
31〜60日ごろログインできない動作・更新は続く
60日ごろ以降アカウントが無効になるオフライン扱い。サーバー接続・パターンファイルの更新・Web レピュテーションが止まる

出典：KA-0001509（日本語）、KA-0001893（英語。境界の日付が日本語版と1日ずれる）。期限切れのあとに管理画面からアンインストールの指示を出せるかは、どちらにも書かれていない。

Defender が有効になったかの確かめ方

  • ▶ Microsoft Graph で Intune の管理デバイスの windowsProtectionState を取り、realTimeProtectionEnabled を見る。外した当日は保護状態の報告時刻が古いままで、翌日に全台 True になった。最低1日空けて判断する
  • ▶ 当日に変化がなかったので、PC 側の状態を読むだけの Intune のプラットフォームスクリプトを全台に配った。見ている項目は、Defender のモード（Normal／Passive）、Windows セキュリティセンターに登録されている AV、Defender for Endpoint のオンボード状態（Sense サービス）、ForceDefenderPassiveMode の値、旧 AV やメーカー同梱のセキュリティソフトの残り、改ざん防止の状態。スクリプトは ASCII だけで書く（同じ会社で先に配った別の調査用スクリプトで、日本語のコメントが Windows PowerShell 5.1 で文字化けし、全台で失敗した）
  • ▶ 他社のウイルス対策がいる間、Defender for Endpoint にオンボード済みの PC ではパッシブモード、未オンボードなら無効になる。他社製品を外したあと自動で戻ることは「戻ることがある」という書き方で、保証ではない（Microsoft Defender Antivirus compatibility with other security products）。だから戻ったかを実際に見る
  • ▶ 改ざん防止は、Intune のエンドポイントセキュリティ → ウイルス対策のポリシー（Windows Security Experience）か、Defender ポータルの詳細機能で設定する（Tamper protection overview）

📅 30分無料相談、受け付けています

「古いセキュリティ製品を外したいが、何を引き継げばいいのか分からない」「どの製品が何を止めているのか、誰も把握していない」——そういった段階からお気軽にどうぞ。今の設定の棚卸しから、入れ替えの段取りまでお手伝いします。

📅 30分無料相談を予約する →