「使っていないから、切るだけ」。ある会社（30名規模）で、セキュリティ製品の Trellix はそういう話で進んでいた。根拠は、ソフトの配布率が0%という数字だ。Windows には Defender（Windows に標準で入っているウイルス対策）があり、Microsoft 365 の契約で管理もできる。それなのに別の製品の費用を払い続けている、という認識だった。
解約の話を進める前に、Trellix の管理画面を開いた。読むだけで、設定は変えていない。その日、26台の PC が管理画面に状態を報告してきていた。
0%は、管理画面に並ぶ4つの製品のうち、1つだけの数字だった。そしてこの0%は、自分の作業メモにも書いてあった。数字を信じて切っていたら、切ったあとに何が消えるのかを、誰も説明できないところだった。
先に断っておく。自分の提案は解約の方向のままだ。変えたのは「切るだけ」という見方だ。ただ、解約もアンインストールもまだしていないし、この会社の承認もまだ決まっていない。この記事は解約前の記録で、事実は2026年11月9日の時点のものだ。製品の正式な名前や設定の細かい話は、後半の「担当者向け」にまとめた。
この記事でわかること
- ▶ 「配布率0%」が、製品の一部だけの数字だった理由
- ▶ 切ると残るものと、なくなるもの
- ▶ 移す設定より「移さない設定」を先に決めた理由。理由の分からない設定をどう扱ったか
- ▶ 解約より先に直すものと、自分の会社で聞いておくこと
▼何が起きたか：「使っていない」はずの製品に、その日26台の PC がつながっていた
管理画面の数字は、次のとおりだった。どれも、読むだけで分かる数字だ。
| 管理画面の PC | 台数 |
|---|---|
| 登録されている PC | 58台 |
| その日（11月9日）、状態を報告してきた | 26台 |
| 直近7日で報告してきた（その日の26台を含む） | 30台 |
| 10月以降に報告してきた（上を含む） | 33台 |
| 残りは、2026年5月以前で止まっている（一番古いものは2022年） | 25台 |
30名規模で58台は多い。この58台には、報告が止まったままの PC の記録も入っている。止まっている25台がもう使っていない PC なのかは、まだ確かめていない。
「0%」だけ見れば、誰も使っていないように見える。「58台」だけ見れば、全社に行き渡っているように見える。どちらも実際の姿とは違っていた。
▼原因：0%は4つの製品のうち1つの数字。同じ日のメモに「AV は0%」と「Trellix は0%」が並んでいた
10月の時点の自分の作業メモには、こう書いてある。同じ日に作ったメモだ。
この製品の作業メモ：「Trellix の AV は配布率0%」
会社の環境をまとめたメモ：「Trellix は配布率0%」
AV はウイルス対策のことだ。片方は「ウイルス対策は0%」、もう片方は「Trellix は0%」。製品の一部の話が、数文字縮まっただけで製品全体の話になっている。
誰が最初に0%と言ったのかは、記録からはたどれない。ただ、8月の引き継ぎの作業で、新しい PC に Trellix を入れて管理画面に出るのを、自分の目で見ていた。それでも10月のメモは0%のままで、「使っていないから切る」という話で進んでいた。10月半ばには PC の準備の手順にも「配布率は0%」と書き、新しい PC には入れない方針で確認を始めていた。
管理画面を開くと、ソフトの配布状況は製品ごとに分かれていた。
| 管理画面に並ぶ Trellix の製品 | 管理画面で見た状況 |
|---|---|
| 旧来の、Trellix 独自のウイルス対策 | 0%（「配布率0%」はこれ） |
| PC と管理画面をつなぐ管理用のソフト | 入っている |
| Defender を操りながら、自分でも怪しいものを見つけて止める製品 | 入っている |
| 情報の持ち出しを防ぐ機能 | 一部の PC に入っている。ただしルールは0件 |
検知の一覧でも、同じことが起きた。管理画面に最初から用意されている検索では、検知は0件と出る。だがこの検索が見ているのは旧来のウイルス対策の分だけで、PC を1台ずつ開くと検知が残っていた。
「0%なのに動いている」と「入っているのに何もしていない」。逆に見えて、同じ読み違いだ。配布の数字だけでは、「働いているか」は分からない。PC からの報告と設定の中身を読むしかない。
▼切ると何が変わるか：ウイルス対策は残る見込み。なくなるのは Trellix が自分で見つけて止めていた分
ウイルス対策の本体は、今も Windows の Defender だ。会社の PC をまとめて管理する Microsoft のサービス（Intune）の記録では、49台のうち48台で、ファイルを開くたびに検査する機能がオンだった。古い記録も含む数字で、残りの1台も古い重複の記録だ。だから Trellix を外しても、ウイルス対策が空白になることはない見込みだ。
「別のウイルス対策が入っていると、Defender は待機に回るのでは」と思う人もいるはずだ。ここで動いているのは、独自のウイルス対策ではなく、Defender を操る製品のほうだと見ている。PC の中で Defender が実際にどう動いているかは、確認用の小さなプログラムを一部の PC に配って、結果を待っている。
ただ、何も失わないわけではない。Trellix は Defender を操るだけでなく、自分でも怪しいものを見つけて止めている。外すと、この分はなくなる。
何を止めていたのか。警告が多かった2台で、一覧に出ていた検知を見た。
| PC | 時期と件数 | 止めたもの | 見立て |
|---|---|---|---|
| 1台目 | 8月の5日間、28件 | Windows に標準で入っている、命令を実行する道具のブロック。AI ツールの作業ファイルの隔離（見つけたファイルを、動かせない場所に移すこと） | 誤検知の可能性が高い（推定） |
| 2台目 | 9月の約1時間半、9件 | 社内で作った小さなツールの隔離 | 誤検知（推定） |
誤検知らしいものが中心だ。ただ、これは2台の話で、1件ずつ詳しく開いたのは、その検知のうちの一部だ。ほかの PC の履歴は取れていない。同じ PC の Defender の検知は0件だったが、過去の分を全部残しているかは確かめていないし、Defender が同じファイルを見つけないとまでは言えない。だから「なくなっても困らない」とは、まだ言わない。
もう1つ分かっていないことがある。Defender の設定を、今 Trellix と Intune のどちらが決めているのかだ。Defender が残っても、今と同じ設定で残るとは限らない。
▼一番の注意：解約より先に直すものがあった。動いている PC が、残す側の管理画面にいない
Trellix の管理画面、Intune、Defender の管理画面。3つの一覧を突き合わせると、切る製品ではなく、残す製品の側に穴が見つかった。
| 見つかった PC | 何が困るか |
|---|---|
| 使っているのに、Defender の管理画面に出ていない PC が一部ある | PC の中で Defender は動いている。でも Defender の管理画面に出ないので、何か見つけても、この画面を見ているだけでは気づけない |
| Trellix にはつながっているのに、Intune にいない PC がある | Trellix を外すと、この PC を管理する手段がなくなる。Defender が動いているかも、まだ確かめていない |
前の節の「残る見込み」は、2つ目の PC にはそのまま言えない。
1つ目の PC は、設定を勝手に変えられないようにする機能（改ざん防止）がオフの PC と一致した。ライセンスは足りていて、原因はそこではなかった。多くは、本当の原因がまだ分かっていない。確認用のプログラムの結果を待っている。
切る製品の調査で、切る前に直すものが出てきた。今の段取りでは、Trellix を外す作業より先に、この PC を直す。
▼判断の分かれ目：移す設定より「移さない設定」を決める。検査から外す設定は穴だから
Trellix から移す設定を数えたら、少なかった。割り当てられている設定はほぼ初期設定のままで、手を入れてあったのは、検査の対象から外す設定（除外）だけだった。だから問題は、何を移すかより、何を移さないかだった。今の判断はこうだ。
| 設定 | 今の判断 | 理由 |
|---|---|---|
| 見つけたら隔離する | 明示する（まず試す PC から） | Trellix はすべて隔離。Intune は設定がなく、Defender の初期の動きに任せていた |
| 業務ソフトの除外 | 試す PC にだけ入れる。要らないと確かめられたら消す | そもそも全社の設定ではなかった |
| 社員個人のフォルダを指す除外 | そのまま移さない | 今も使っているかを確かめる。使うなら共通の場所に寄せる |
| ブラウザの本体を外す除外 | 移さない | 入れた理由が分からない。社外に触れる入口で、残す理由が言えない |
| 情報の持ち出しを防ぐ機能 | 移さない。代わりなしで提案する | ルール0件で、今も何も止めていない |
| そのほかの標準の設定 | 移さない見込み。2つは中身を読んでいない | 初期設定のまま、または効いていない |
除外は全社の設定ではなかった
除外が当たっていたのは、管理画面の中の1つのグループにいる PC 22台分の記録だけだった。今も動いているのは、そのうち4台。大半の PC は、除外なしで動いている。全社に配る理由がない。
足された理由は、Trellix の誤検知らしい
さきほどの表の2台目で、社内で作った小さなツールが隔離されていた。除外が足された理由はこれらしい（推定）。Trellix の誤検知への対処なら、Defender にも要るとは限らない。
そこで除外は全社に配らず、当たっていた4台のうち2台にだけ入れた。別の会社で古いウイルス対策を Defender に替えたときは、業務アプリの除外を Defender へ移している。今回は移して終わりにせず、要らないと確かめられたら消す方向で考えている。除外はウイルス対策の検査に開けた穴で、残さないほうがいいからだ。
理由の分からない1行を、どう扱うか
除外の一覧に、ブラウザ Chrome の本体を検査から外す1行があった。いつ、なぜ入れたのかは分からない。8月に、AI で作った画像をダウンロードすると Trellix の検知が繰り返し出る例を見ていた。その対策かもしれないが、つながりは確かめていない。自分の推測だ。当時は何か事情があったのだと思う。
それでも移さない。除外を入れた人に聞ければ早いが、理由が分からないことは、そのまま引き継ぐ理由にならない。ブラウザは社員が毎日、社外のサイトやファイルに触れる入口で、その本体を検査から外すことになる。ダウンロードしたファイルまで外れるのかは確かめていない。だが、確かめてまで残す理由が、今はない。理由の分からない設定を読むときは、入れた人が正しかったかどうかではなく、今この穴を開けておく理由が言えるかどうかで分ける。
「代わりなし」と聞くと怖い機能
情報の持ち出しを防ぐ機能は、代わりを用意しない案で提案する。名前だけ聞くと、なくすのは怖い。だが中を見るとルールは0件で、設定が最後に適用されたのは2021年、過去1か月の記録も0件だった。今も何も止めていないから、移すものがない。この案について、会社の了承はまだ取っていない。
除外を消す確かめ方は、まだ決まっていない
「要らないと確かめられたら消す」と書いたが、確かめ方はこれからだ。除外を入れたままの PC では、Defender はそこを検査しない。だから検知が出なくても、「要らない」の根拠にはならない。ここはまだ答えがない。
▼解約の順番：先に外して、最後に切る。終わっているのは「数台で試す設定」だけ
契約が切れると、管理画面から PC のソフトを外せなくなるおそれがある。だから解約は最後で、まず契約の満了日を確かめる。今の段取りは3段階だ。
| 段階 | やること | 今 |
|---|---|---|
| 1. 確かめる・直す | 会社の承認、契約の満了日と金額、Defender の管理画面に出ていない PC の手当て | まだ |
| 2. 数台で試す | Intune で、見つけたら隔離する設定を3台に、除外を2台に入れる。効いているかを確かめる | 設定だけ入れた（11月9日）。結果待ち |
| 3. 外して切る | 数台から Trellix を外して様子を見る。全台から外す。最後に解約 | まだ |
2の設定は、Trellix には触らず、数台に、元に戻せる形で入れた。1より先に進んだのはここだけだ。Trellix を外す作業は、業務が止まると困る時間帯を避ける。
会社への説明の案も直した。「使っていない製品の契約を、実態に合わせるだけ」とはもう言えない。Defender がウイルス対策の本体であることと、外す前に何を移したかを説明する。
▼まだやっていないこと
- ▶ 解約とアンインストール。この会社の承認もまだ決まっていない
- ▶ 契約の満了日と金額の確認。満了のあと管理画面がいつまで使えるかも、これから確かめる
- ▶ Defender の管理画面に出ていない PC の原因調査と手当て
- ▶ Intune にいない PC の用途の確認と、扱いの決定
- ▶ 止まっている25台の扱い
- ▶ Defender の設定を決めているのが Trellix か Intune かの確認（結果待ち）
- ▶ 除外が要らないことの確かめ方
- ▶ すべての PC の検知の履歴（2台しか見ていない）と、読んでいない設定
- ▶ 検知が出たら誰が見て、どこへ報告するかの決定
- ▶ Trellix を外したあと、業務ソフトが動くかの確認
▼まとめ：自分の会社で確かめること
切る前に見るのは、製品ごとの動き、残す側の管理画面、誰かが足した設定の3つだ。引き継いだセキュリティ製品の更新や解約の話が出たら、担当者か販売店に、この順に聞いてみてほしい。
- ▶ 「使っていない」の根拠の数字は、どの製品の、どの数字ですか
- ▶ この製品の管理画面に、今週報告してきた PC は何台ですか（登録の総数ではなく）
- ▶ 切ると何がなくなりますか。その分は、残す製品でどこまで見られますか
- ▶ 使っている PC は、残す製品の管理画面に全部出ていますか
- ▶ 誰かが足した設定（検査から外す設定など）はありますか。どの PC に当たっていて、なぜ足したか分かりますか
- ▶ 切ったあと、検知が出たら誰が見ますか
- ▶ 契約の満了日はいつですか。満了のあと、管理画面はいつまで使えますか
どれも、設定を変えずに答えが出る質問だ。答えられない項目があれば、そこが解約の前に見ておく場所だ。
▼担当者向け：設定と手順の詳細
前半の言い方と、実際の名前
| 前半の言い方 | 実際の名前 |
|---|---|
| 旧来の、Trellix 独自のウイルス対策 | Trellix Endpoint Security（ENS） |
| 管理用のソフト | Trellix Agent |
| Defender を操りながら、自分でも止める製品 | Trellix Endpoint 2311（旧 MVISION Endpoint） |
| 情報の持ち出しを防ぐ機能 | Trellix Data Loss Prevention（DLP） |
| Trellix の管理画面 | Trellix ePO |
| Defender の管理画面 | Microsoft Defender ポータル（Defender for Business）。security.microsoft.com/machines?range=180 でフィルターなしの180日分を見た |
| 見つけたら隔離する設定 | Defender の脅威の処理（深刻・高・中・低の既定の動作） |
| 確認用の小さなプログラム | Intune のプラットフォーム スクリプト（読み取りのみ） |
ePO で見たところ
- ▶ ソフトウェア ステータス：製品ごとに分かれている。ENS の0%はここの表示。ほかの3つの行には「最新版」の割合が出ていて、ENS の0%が「入っている割合」か「最新版の割合」かは、画面の定義まで確かめていない。ソフトの一覧を見た1台に ENS はなく、ENS のポリシーは効いていないと判断した
- ▶ システム ツリー：組織の直下と、もう1つのグループに分かれている。カスタムの除外と DLP の割り当ては、そのグループ側だけ。PC ごとに当たるポリシーが違うので、ポリシーの中身だけでなく割り当て先まで見る
- ▶ 検知：既定のクエリーは ENS の分だけで0件。脅威イベント ログは画面で期間を変えられず、端末をまたいだ履歴は取れなかった。エスカレーションの件数（88、43）と、PC ごとの一覧の件数（28、9）は一致しない
- ▶ 検知名：
JTI/Suspect（確認した3件）、ARC AI1-LS、ARC AI1-PEFT（確認した1件）。これらの意味の公式の説明は見つけられなかったので、名前だけ書く - ▶ 読み取りだけで見た。編集画面は開いたがキャンセルで閉じ、保存していない。「エスカレーションから削除」も押していない
ポリシーの割り当てと判断
| 製品 | ポリシー | 判断 |
|---|---|---|
| Trellix Endpoint／全般 | バランス（既定） | 下の差分表で Intune と比べる |
| Trellix Endpoint／除外 | カスタムの除外（1つ） | 試す PC にだけ入れる。次の項 |
| Trellix Endpoint／除外 | MVISION Endpoint の既定の除外対象 | 不要の見込み（中身は未読） |
| Trellix Endpoint／ファイアウォール | 標準ファイアウォール ルール | 不要。バランスでファイアウォール機能がオフ |
| Trellix Endpoint／エクスプロイト対策 | 標準エクスプロイト防止 | 中身は未読。Intune の攻撃面の縮小（ASR）は解約のあとに別途検討 |
| DLP | 既定のポリシー | 移さない。ルールセット0件、最終適用2021年5月、過去1か月のインシデント0件。Windows クライアント設定は未読（ルール0件なので影響はない見込み） |
| ES Threat Prevention・Firewall・Web Control など | Trellix Default | 不要（ENS が効いていないため） |
| Trellix Agent、DXL など | 既定 | 不要（Trellix の運用用） |
カスタムの除外の仕分け
| 種類 | Defender 側の扱い |
|---|---|
| 業務ソフトのフォルダとプロセス（C ドライブ直下など、全員で同じパス） | 試す PC にだけ入れる。要らないと確かめられたら消す。中には、用途や使っている人を確認中のものがある |
C:\Users\<利用者>\… や OneDrive の中を指すパス（複数行） |
そのまま移さない。今も使っているかを確かめて共通のパスに寄せる。寄せられなければ個別に登録 |
C:\Program Files\Google\Chrome\Application\chrome.exe（ファイルの除外として登録） |
移さない |
拡張子、制御フォルダー、許可アプリ、ASR のパス、スクリプトのハッシュの除外は空だった。
差分：Trellix「バランス」と Intune の全端末向けポリシー
| 項目 | Trellix（バランス） | Intune（現状） | 対応 |
|---|---|---|---|
| リアルタイム・動作監視・スクリプト・クラウド | オン | オン | 同じ |
| 不審なアプリ（PUA） | ブロック | ブロック | 同じ |
| ネットワーク ファイル | オン | オン | 同じ |
| メール・マップされたドライブ | オフ | オフ | 同じ |
| 脅威の処理 | すべて隔離 | 設定なし | 明示的に隔離を設定 |
| 除外 | あり | なし | 除外のプロファイルを新設（試す PC だけ） |
| 隔離ファイルの保持 | 30日で削除 | 無期限（0） | 30日にそろえる案（低優先） |
| アーカイブ・リムーバブル | オフ | オン | Intune のまま（厳しいほう）。外したあとの体感に注意 |
| ネットワーク保護 | 無効 | ブロック | Intune のまま |
| クラウド保護レベル | 項目なし | 高 | Intune のまま |
| 定義の更新間隔 | 8時間 | 4時間 | Intune のまま |
| スケジュール スキャン | 土曜 02:00 クイック | 毎日 12:00 クイック | Intune のまま（昼休み。実績も出ている） |
| フォルダー アクセスの制御・ASR | 無効・未管理 | 未設定 | 移行の範囲外。解約のあと、監査モードから別途 |
| 自己保護 | オン | 改ざん防止（端末によりオフあり） | オフの端末を直す |
Intune に入れたもの（2026年11月9日）
| もの | 中身 | 割り当て |
|---|---|---|
| 除外のプロファイル | 業務ソフトのフォルダとプロセス。個人のパスと Chrome は入れていない | Trellix で除外が当たっていた4台のうち2台 |
| 脅威の処理のプロファイル | 深刻・高・中・低のすべてを隔離 | 上の2台＋1台 |
| プラットフォーム スクリプト（読み取りのみ） | 下の項目を JSON 1行で出す。利用者のフォルダ名は伏せる | 状態を見たい PC |
どれもデバイスのグループに割り当て、元に戻すときは割り当てを外す。同期の指示は権限がなく通らなかったので、端末の定期チェックインを待っている。
スクリプトで読むのは、主に次の項目だ。
- ▶ EDR のセンサー：
Senseサービスの状態、HKLM:\SOFTWARE\Microsoft\Windows Advanced Threat Protection\StatusのOnboardingState、SENSE のイベント ログのエラー - ▶ Defender の状態：
Get-MpComputerStatusのAMRunningMode、RealTimeProtectionEnabled、IsTamperProtected、TamperProtectionSource - ▶ Defender の実効値：
Get-MpPreferenceの除外、*ThreatDefaultAction、EnableNetworkProtection、スキャンの時刻 - ▶ Trellix の製品：レジストリの Uninstall キーから、製品名と版
- ▶ 除外の対象の業務ソフトが、その PC にあるか
公式の記述と、未検証のこと
- ▶ 除外は穴：Microsoft は「除外はすべて保護の穴」とし、控えめに使い、定期的に見直して理由を残すよう書いている（除外の概要）
- ▶ 実行ファイルの除外とプロセスの除外：Microsoft の説明（除外の概要）では、実行ファイルの除外で止まるのはそのファイル自体の検査で、そのプログラムが開くファイルは除外されない。今回の Chrome の行はファイルの除外として登録されていた。Trellix でどこまで外れるかは確かめていない
- ▶ 脅威の処理を設定しないとき：Set-MpPreference のリファレンスでは、既定はセキュリティ インテリジェンス更新に基づく動作を適用する。「設定なし＝何もしない」ではない
- ▶ 改ざん防止と、Defender ポータルにいない PC：Intune で改ざん防止を管理する要件に、端末のオンボードが入っている（改ざん防止の概要）。だから2つが一致しても不思議ではない、というのが今の推定だ。この会社の原因として確かめたわけではない
- ▶ 未検証：Trellix と Intune のどちらが効いているか：Trellix のガイドは、確認できた抜粋の範囲では、ドメインのグループ ポリシーや SCCM が Trellix より優先されるとしていて、Intune の話は見当たらなかった。また、改ざん防止が有効なときに Defender のポリシーを適用するとしている一方、リアルタイムの監視など一部の項目は管理しない、という記述もある。本文の全体は確かめていない。実効値は上のスクリプトで見る。Microsoft は、Defender の設定を複数の道具で管理すると衝突するので1つにするよう書いている（設定のトラブルシューティング）
- ▶ 未検証：Trellix を外したときに、Defender の除外が残るか消えるか
- ▶ 未検証：Trellix を外す手順：Agent・Endpoint・DLP の3つを外す想定で、まだ試していない
📅 30分無料相談、受け付けています
「引き継いだセキュリティ製品を切っていいのか分からない」「更新の案内が来たが、何が動いているのか説明できない」——そういった段階からお気軽にどうぞ。今の状況の読み取りから、切り替えの段取りまで対応しています。
📅 30分無料相談を予約する →