新入社員が「慣れてきた頃」が一番危ない。今すぐ確認したいPC設定5つ
入社から2週間。新人がSlackの使い方を覚え、複合機の操作にも慣れてきた頃。IT担当者としては、ひとまずホッとするタイミングです。
でも、セキュリティの観点だと、ここが一番ヒヤッとする時期だったりします。
入社初日の緊張感があるうちは、「これ触っていいですか？」と聞いてくれる。ところが2週目に入ると、自分で判断して動き始める。USBメモリを持ち込む、フリーWi-Fiに繋ぐ、怪しいメールを「とりあえず開いてみる」。悪気はない。ただ、まだ「何がダメか」を知らないだけです。
IPA「情報セキュリティ10大脅威 2026」を見ると、ランサムウェアが組織向けの第1位、標的型攻撃メールが第5位。知識が追いついていない入社直後の時期は、こうした攻撃の被害に遭いやすい。
「初日にやりきれなかった」という方も、心配いりません。慣れてきた今こそ、設定を見直すベストタイミングです。設定4つとルール確認1つ、合わせて30分あれば終わります。
設定1: Windows Updateの自動更新を確認する
新人にPCを渡したら、最初にやるのがこれです。
「OSのアップデート、後でやろうと思ってそのままにしてる人のPCが一番狙われます。今すぐ確認しましょう」
新人にはこう伝えています。ランサムウェアの侵入経路で多いのが、パッチ未適用のまま放置されたPCです。IPAの「情報セキュリティ6か条」でも、OSを最新の状態に保つことが第1条に挙げられています。
「更新を後回しにする」という習慣は、早いうちに潰しておきたい。PCの使い方は最初の数日で固まるので、ここが勝負です。
Windows 11での手順はこうです。
スタート → 設定（歯車アイコン）→ Windows Update
詳細オプションを開く
「更新プログラムを最新の状態に保つ」をオンにする
「アクティブ時間」を業務時間（例: 8:00〜19:00）に設定する
アクティブ時間を設定しておけば、業務中に勝手に再起動されることはありません。一緒に設定するときに「再起動を後でする、を毎回押さないでね」と一言添えておくと効果的です。
設定2: Microsoft Defenderの状態を確認する
Windows 11には、ウイルス対策ソフトが最初から入っています。Microsoft Defenderです。
「ウイルス対策、入ってますよ。ただ、ちゃんと動いてるか確認が必要です」
「入れてある」と「動いている」は別の話です。セットアップ済みのPCでも、他のソフトとの競合や設定変更でDefenderが無効になっていることがあります。
確認手順はシンプルです。
タスクバー右下の「^」マーク（隠れたインジケーター）をクリック
Windowsセキュリティ（盾アイコン）を開く
「ウイルスと脅威の防止」をクリック
「リアルタイム保護」がオンになっているか確認する
ここが「オフ」になっていたら、すぐオンにしてください。
たまにあるのが、有料のセキュリティソフトを入れた際にDefenderを無効化したまま、というケースです。有料ソフトの契約が切れているのにDefenderもオフ。どちらも動いていない状態が一番まずい。新人のPCを渡す前に、IT担当者側でも一度確認しておくと安心です。
設定3: パスワードとMFAを設定する
ここは、新人が持っている「パスワードの常識」を今のうちに上書きするチャンスです。
「パスワードは複雑にするより、長くする方が安全です。15文字以上、覚えやすいフレーズで作りましょう」
「Company2026!」のように会社名＋年＋記号で作るパスワードは、辞書攻撃で簡単に突破されます。NIST SP 800-63-4（米国の認証ガイドライン）では、短くて複雑なパスワードより、長くて覚えやすいパスフレーズの方が推奨されています。
もう一つ、「3ヶ月ごとにパスワードを変更する」というルールを設けている会社もありますが、NISTの基準では定期変更は推奨されていません。漏えいが確認されたときだけ変更する、が現在の主流です。新人に伝える前に、社内ルールとの整合性を確認しておいてください。
パスワードに加えて、MFA（多要素認証）も早めに設定しておきたい。Microsoft 365を使っている会社なら、MFAの仕組み（Microsoft公式）が参考になります。Microsoft Authenticatorアプリが無料で使えます。
スマートフォンにMicrosoft Authenticatorアプリをインストール
Microsoft 365にサインイン → セキュリティ情報の設定
「認証アプリ」を追加し、QRコードを読み取る
パスワードが万が一漏れても、MFAがあれば不正ログインを防げます。「鍵が2つあるドア」と伝えると、新人にもイメージしやすいです。
設定4: 画面の自動ロックを設定する
これは設定自体が一番簡単ですが、習慣にするのが一番難しい項目です。
「席を離れるときは、Win + L で画面をロック。トイレに立つたびに必ずこれを押してください」
「オフィスだから誰も見ないでしょ」という感覚は、入社早々になくしておきたい。離席中のPCから情報が漏れるケースは、オフィスでも在宅でもあります。
自動ロックの設定手順です。
設定 → 個人用設定 → ロック画面
「画面タイムアウトの設定」をクリック
5〜10分に設定する
ただ、タイムアウトだけだと「ロックまで10分間は開いたまま」です。だから手動ロック（Win + L）をセットで教える。操作を見せながら「ほら、一瞬でロックできるでしょ」と実演すると、新人は素直にやってくれます。
設定5: 私物デバイスとSNS・不審メールのルールを確認する
5つ目はPC操作の設定ではなく、確認事項です。でも、設定と同じくらい事故に直結する内容です。
新人に確認してもらうのは、3つのルールです。
まず、私物のUSBメモリやスマートフォンを社用PCに接続しないこと。IPA「情報セキュリティ10大脅威 2026」でも、私物デバイス経由のウイルス感染は報告されています。充電目的でスマホをPCにつなぐ人がいるので、「充電は電源タップで」と具体的に伝えてください。
次に、SNS投稿のルールです。業務に関する情報、社内の写真、顧客名や取引先名をSNSに投稿しない。「悪気がなかった」で済まないのがSNS投稿です。「何がダメか」を具体例で伝えておくことが大事です。
そして、フィッシングメールを受け取ったときの報告ルートです。誰に、どうやって報告するか。「クリックする前に○○さんに声をかける」と人の名前まで伝えておくと、いざというときに動けます。
この3つは、説明資料を渡して終わりにしないでください。口頭で一度「こういうケースはダメですよ」と話すだけで、定着度がまるで変わります。
なお、IPA「情報セキュリティ6か条」の具体的な設定手順は、こちらの記事にまとめています。
→ 【ステージ1】情報セキュリティ5か条、実際どうやるか——Windows設定手順と、やりがちな失敗パターン集
30分で、土台はできる
振り返ると、やったことはこれだけです。
設定1: Windows Updateの確認（5分）
設定2: Defenderの確認（5分）
設定3: パスワードとMFAの設定（10分）
設定4: 画面ロックの設定（3分）
設定5: ルールの口頭確認（10分）
合計30分ちょっと。新人と一緒にPCの前に座って、順番にやれば終わります。
完璧なセキュリティ体制を一気に作る必要はありません。この5つは「最低限、早めにやっておけばリスクが大幅に下がる」というラインです。ここを押さえた上で、次のステップに進んでいけばいい。
セキュリティの基本設定が終わったら、次は「会社として何を守るか」の整理です。愛知・東海エリアの中小企業で、新人教育や社内のセキュリティ体制づくりを進めたい方は、ステップガイドに全体の流れをまとめています。
「うちの場合、何から手をつければいいか」を整理したい方は、お気軽にご相談ください。
