セキュリティに配慮した業務用PC選び｜暗号化と一括管理に耐えうるスペックの確保

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

目的

SOHO環境では、パソコンを購入する段階でセキュリティ対策のしやすさや将来の運用負荷が大きく変わる。

性能の低いパソコンでは、暗号化やセキュリティソフトによって動作が重くなり、結果として重要な保護機能が無効化されることがある。また、Windows Homeなど管理機能が不足したOSが混在すると、端末ごとの設定差異が生まれ、運用ミスや管理漏れの原因ともなる。

一定以上のセキュリティを持ったPCを使い、長く運用するということを重視するため、本記事では、セキュリティ対策を無理なく継続できるスペックの業務用PCの調達基準を定めておく。

コスト削減のために「Home」エディション（Windows Home等）が混入することを禁止する。
Windows： 必ず「Windows Pro」以上を指定。ローカルグループポリシー（secpol.msc）による統制、BitLocker暗号化、および将来的なMDM（モバイルデバイス管理）ツールへの組み込みに必須となる。
macOS： 搭載エディションの区別はないが、最新OS（または1世代前）のアップデート保証期間内にあるモデル（概ね発売から5年以内）に限定する。

暗号化によるストレージへの負荷、およびEDR等の常時監視によるCPU・メモリ消費を前提とし、以下の「最低ライン」を満たす端末のみを調達する。

項目	最低要件	選定の理由・セキュリティ上の背景
CPU	Intel 第11世代以降 AMD Ryzen 5000シリーズ以降 Apple Silicon M1以降	暗号化処理やエンドポイントスキャンのバックグラウンド実行による業務遅延を防止。
メモリ	16GB 以上（重いアプリや大量のタブ、ローカル生成AI使用なら32GB）	セキュリティ製品やブラウザ保護機能の多重稼働によるメモリ枯渇とシステムハングを回避。
ストレージ	512GB 以上 / NVMe SSD 接続	セキュリティ製品やクラウド同期を併用した場合でも快適な操作性を維持するため
セキュリティ	TPM 2.0 / Apple T2・Silicon 搭載（大手メーカー製の新品ならほぼOK）	暗号化キーをハードウェア層で安全に隔離保持するための必須チップ。

パスワードだけに依存した運用は、のぞき見や使い回しによるリスクが高い。業務用PCを調達する際は、生体認証によるログインと、盗難・紛失時の対策機能を確認する。

Windows Hello（顔認証・指紋認証）または Touch ID に対応したモデルを優先する。
外出先での利用が多い場合は、指紋認証や顔認証を利用した多要素認証が構成できることを確認する。
ノートPCを選定する場合は、オフィスやコワーキングスペースでの物理盗難を防ぐため、ケンジントンロック（セキュリティスロット）の有無を確認する。スロットがない薄型PCの場合は、対応するアタッチメントや専用ワイヤーロックを同時に調達する。
画面への「のぞき見防止フィルター」が装着可能なディスプレイ形状であるか、純正または市販製品が利用できるかを確認する。
紛失時の位置確認機能（Windowsの「デバイスを探す」、Appleの「探す」）が利用可能な構成であることを確認する。

生体認証や位置確認機能は盗難や紛失そのものを防ぐものではないが、第三者による不正利用を防止し、端末回収の可能性を高める。特にノートPCを持ち出す運用では、暗号化と合わせて調達段階から考慮しておく。