【Intune】端末のセキュリティ状態を管理者へ報告する時の画面の見方

Intuneで管理されている会社のPCでは、セキュリティ状態が常に一定の基準を満たしているかどうかを確認する必要があります。管理者から「セキュリティ状態を報告してほしい」と言われたとき、どこを見ればよいのか迷う方は少なくありません。この記事では、Windowsのセキュリティベースライン、ファイアウォール、時刻同期、監査ログ、ローカル設定、端末保護状態を実際の画面で確認する方法を具体的に解説します。各項目で会社の基準との差分を正しく見極め、管理者に伝えるべき情報を整理できるようになります。

セキュリティベースラインの状態を確認する方法

Intuneでは、組織が定めたセキュリティベースライン(例:Microsoft 365 Security Baseline)が端末に適用されます。このベースラインに基づいて、端末のセキュリティ設定が自動構成されます。実際に自分のPCがベースラインに準拠しているかどうかは、以下の手順で確認できます。

1. スタートメニューから「Windowsセキュリティ」を開きます。
2. 左メニューの「デバイスセキュリティ」をクリックします。
3. 「セキュリティプロセッサ」の下にある「セキュリティの詳細」をクリックします。ここに「セキュリティベースライン」という項目が表示されます。
4. 「セキュリティベースライン」の状態が「オン」になっていれば、ベースラインが適用中です。「オフ」または「管理されていません」と表示される場合は、何らかの理由でベースラインが適用されていない可能性があります。
5. さらに詳細な情報を得たい場合は、管理者権限でコマンドプロンプトを開き、secedit /analyze /db %temp%\sec.db /cfg %windir%\security\local policy\secpol.cfg /log %temp%\sec.log を実行します。出力されるログファイル(%temp%\sec.log)をテキストエディタで開くと、個々のポリシー設定が「Enabled」「Disabled」「Not Defined」のいずれであるか確認できます。

このとき注意したいのが、ローカルで設定を変更してしまうと、ベースラインの状態が「オフ」と表示される場合があることです。たとえば、自分でパスワードポリシーを変更すると、ベースラインとの差分が生じて「準拠していない」と判断されます。そのような場合は、設定を元に戻すか、管理者に連絡して正しい状態に修正してもらう必要があります。

ファイアウォールの状態を確認する

会社のPCでは、Windows Defender ファイアウォールが有効になっていることが求められるケースが多いです。以下の手順で現在の状態を確認してください。

1. 「コントロールパネル」を開き、「システムとセキュリティ」→「Windows Defender ファイアウォール」を選択します。
2. 左側の「Windows Defender ファイアウォールの有効化または無効化」をクリックします。
3. プライベートネットワーク設定とパブリックネットワーク設定の両方で、「Windows Defender ファイアウォールを有効にする」が選択されていることを確認します。
4. もし、グレーアウトしていて変更できない場合、組織のポリシーによって固定されていることを示します。この場合は特に問題ありません。

ファイアウォールが無効になっていると、外部からの不正アクセスやマルウェア感染のリスクが高まります。報告時には、必ず「有効」「無効」「ポリシーで固定」のいずれかを伝えてください。なお、ファイアウォールを一時的に無効にする必要がある場合は、業務終了後に必ず有効に戻すことを忘れないでください。直し忘れは重大なインシデントにつながります。

時刻同期の状態を確認する

端末の時刻が正しく同期されていないと、認証エラーや監査ログの記録が不正確になるため、セキュリティ上の問題となります。次の手順で時刻同期の状態を確認しましょう。

1. 「設定」アプリを開き、「時刻と言語」→「日付と時刻」を選択します。
2. 「時刻を自動設定する」がオンになっていることを確認します。
3. さらに、「追加の日付、時刻、地域設定」→「日付と時刻の設定」→「インターネット時刻」タブで「設定の変更」をクリックし、サーバー「time.windows.com」との同期に成功しているか確認します。
4. 同期に失敗している場合は、「今すぐ更新」をクリックして手動同期を試みます。それでも失敗する場合、ファイアウォールやプロキシで時刻同期がブロックされている可能性があります。

よくある失敗パターンとして、端末がドメインに参加している場合、ドメインコントローラの時刻と同期するため、自動設定がオフに見えることがあります。その場合は、w32tm /query /status をコマンドプロンプトで実行し、ソースが「DC」や「Local CMOS Clock」などを確認してください。ソースが「Local CMOS Clock」の場合は同期が正常に行われていない可能性があります。

監査ログの設定を確認する

監査ポリシーが正しく構成されているかどうかは、セキュリティインシデントの追跡に直結します。次の手順で監査設定を確認しましょう。

1. 管理者権限でコマンドプロンプトを開き、auditpol /get /category:* と入力します。
2. カテゴリごとに「成功」「失敗」「成功と失敗」「監査なし」のいずれかが表示されます。会社の基準として「ログオン/ログオフ」「オブジェクトアクセス」「ポリシー変更」などが「成功と失敗」に設定されているかを確認します。
3. もし「監査なし」になっている項目がある場合、設定が変更されている可能性があります。その場合は管理者に報告し、再適用を依頼してください。

監査設定はローカルセキュリティポリシー(secpol.msc)からも確認できますが、一般ユーザーは変更できないよう保護されていることが多いです。勝手に変更しようとするとアクセス拒否されるため、心配は不要です。

ローカル設定の差分を確認する

Intuneで配布されたポリシーと、PCのローカル設定に差異があると、セキュリティホールになることがあります。差分を確認するには、次のような方法があります。

1. 前述のsecedit /analyze コマンドを使い、出力されたログを会社の基準値と比較します。たとえば「MaximumPasswordAge」の値が基準よりも長くなっていないかなどを確認します。
2. または、Windowsセキュリティアプリの「アプリとブラウザー制御」で、アプリケーションの実行制限(Windows Defender SmartScreen)が有効かどうか確認します。
3. さらに、gpresult /h gpresult.html を実行すると、適用されているグループポリシーの一覧をHTMLで出力できます。Intuneポリシーと競合していないかチェックする材料になります。

この手順は一般ユーザーでも実行可能ですが、結果の解釈には知識が必要です。わからない場合、差分が見つかった場合は、そのまま管理者へ報告し、判断を仰ぎましょう。

端末保護状態の総合的な確認

最後に、端末全体の保護状態を「Windowsセキュリティアプリ」のダッシュボードで確認します。以下の項目がすべて緑色のチェックマークになっていることが理想的です。

項目	確認場所	報告すべき状態
ウイルスと脅威の防止	Windowsセキュリティ > ウイルスと脅威の防止	「アクティブな脅威」が0件、リアルタイム保護がオン
アカウント保護	Windowsセキュリティ > アカウント保護	MicrosoftアカウントとWindows Helloが構成済み
ファイアウォールとネットワーク保護	Windowsセキュリティ > ファイアウォールとネットワーク保護	すべてのネットワークで有効
アプリとブラウザー制御	Windowsセキュリティ > アプリとブラウザー制御	SmartScreenがオン、アプリの実行制限が適切
デバイスセキュリティ	Windowsセキュリティ > デバイスセキュリティ	セキュリティプロセッサ(TPM)が正常、セキュリティベースラインがオン
デバイスのパフォーマンスと正常性	Windowsセキュリティ > デバイスのパフォーマンスと正常性	ドライバー、バッテリー、ストレージに問題なし

もし、いずれかの項目に黄色や赤色の警告が表示されている場合、その内容を詳細にメモし、管理者へ報告してください。特に「ウイルスと脅威の防止」で脅威が検出された場合は、自分で対処せずにすぐに管理者に連絡しましょう。

よくある質問

Q: Intuneで管理されていない端末でも同じ確認ができますか?
A: 基本的なセキュリティ状態の確認は可能ですが、ベースラインの適用状況はIntuneポリシーが適用されていなければ正しく表示されません。所属組織のポリシーに従って確認してください。

Q: 設定を無効にしたら直すように言われましたが、どうすればよいですか?
A: 自分で元に戻してもよい項目(ファイアウォールの一時的な無効化など)は戻してください。グループポリシーで固定されている場合は、管理者に修正を依頼する必要があります。絶対にローカルセキュリティポリシーをエディタで直接編集しないでください。

Q: 報告時に伝えるべき情報のまとめ方を教えてください。
A: 以下の4点を簡潔に列挙するとよいでしょう。①端末名とOSバージョン、②各項目の状態(準拠/非準拠)、③非準拠がある場合の具体的な差分、④スクリーンショット(必要な場合)。

まとめ

Intune管理下の端末でセキュリティ状態を確認するには、Windowsセキュリティアプリ、設定アプリ、コマンドプロンプトを組み合わせて使います。ベースライン、ファイアウォール、時刻同期、監査ログ、ローカル設定の各項目をひと通り確認し、会社の基準との差分を明確にしてください。設定を自分で安易に変更したり無効化したりせず、不明な点は管理者に確認しながら進めることが大切です。最後に、報告時には事実を正確に伝え、必要に応じてスクリーンショットやログを添付することで、迅速な対応が期待できます。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。