セキュリティソフトはいらない?会社のPCはWindows標準で足りるか

会社のパソコンにウイルス対策は必要です。ただ、Windows 10・11には「Microsoft Defender ウイルス対策」が初めから入っているので、有料のセキュリティソフトを買うかどうかは、会社の台数や管理のしかたで決まります。「セキュリティソフトはいらない」と「ウイルス対策はいらない」は、別の話です。

Windowsに入っている機能で何ができるか、標準で足りる会社と買うことを考えたい会社の分け方、ソフトがあっても防げないこと、★3や取引先のチェックシートで問われること、販売店に確かめる項目を順に見ていきます。

会社のパソコンにウイルス対策は要る?#

ウイルス対策そのものは要ります。IPAの「中小企業の情報セキュリティ対策ガイドライン」が最初に取り組むこととして挙げる情報セキュリティ6か条の2番目は、「ウイルス対策ソフトを導入しよう！」です。理由は「ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています」です。ソフトを入れ、ウイルス定義ファイル(ウイルスを見つけるためのデータ。パターンファイルとも呼ぶ)を常に最新の状態にしておきます^[1]。

対策が要るのは、パソコンやサーバーはインターネットにつないだ時点で攻撃の対象になるおそれがあり、攻撃は日々増えているため、使う人の注意だけで防ぐのは難しいからです。感染すると、パソコンが正常に動かなくなる、情報が勝手に社外へ送られる、情報が消えたり暗号化されて開けなくなる、社内のほかのパソコンへ広がる、といったことが起こります^[2]。

ただし、「ウイルス対策をする」と「有料のソフトを買う」は同じではありません。ガイドラインの対策例には、「統合型のセキュリティ対策ソフトの導入を検討する」と並んで、「OSやアプリケーションに標準搭載されているセキュリティ機能を有効活用する」があります^[1]。自社診断の解説編の具体的な対策にも、ウイルス対策ソフトや統合型のソフトを入れることと、OSのセキュリティ機能を有効にすること(例: WindowsのWindows Defender、macOSのXProtect)の両方が並んでいます^[2]。

ソフトを入れるにしても、OSの機能を使うにしても、ウイルス対策が全部のパソコンで動いている状態を保つことが出発点になります。

Windowsに入っている機能でできること#

Windows 10・11には「Windows セキュリティ」が組み込まれていて、その中の Microsoft Defender ウイルス対策が、ウイルスやマルウェアへのリアルタイムの保護をします。Windows セキュリティには、ほかに Windows ファイアウォールやスマート アプリ コントロールなどの機能があり、パソコンを起動した瞬間から保護が始まります^[6]。Microsoft Defender ウイルス対策は、Windows 10・11 と Windows Server のバージョンで使えます^[8]。

スタートメニューで「Windows セキュリティ」と検索すると画面が開き、「ウイルス & 脅威の防止」からスキャンやリアルタイム保護の設定ができます。リアルタイム保護を一時的にオフにしても、保護を再開するためにすぐ自動でオンに戻ります^[6]。

では、有料のセキュリティソフトを入れたら、標準の機能はどうなるのでしょうか。Windows 10・11 では、Microsoft以外のウイルス対策ソフトを主に使うと、Microsoft Defender ウイルス対策は自動で「無効モード」になります。Windows 11 でスマート アプリ コントロールが有効なときは、無効モードではなく「パッシブ モード」になる場合もあります。一方、Windows Server では自動では切り替わらず、ほかの製品を使うなら、標準のウイルス対策を手動で無効にするかアンインストールします^[7]。

つまり、パソコンでは有料のソフトと標準の機能が二重に動くことはありません。逆に、有料のソフトの契約をやめるときは、やめた後に「Windows セキュリティ」の画面を開き、ウイルス対策が有効になっているかを1台ずつ確かめましょう。何も動いていないパソコンが残らないようにするためです。

なお、Macにも、OSのセキュリティ機能として XProtect があります。

うちに要る?会社の状況で分ける#

決め手は、「全部のパソコンの状態を、誰がどう確かめるか」です。標準の機能でもウイルス対策はできますが、全台で有効になっているか、定義ファイルが更新されているかを見る手間は、台数や働き方で大きく変わります。会社の状況ごとの考え方は、次のとおりです。

例えば、社員8人の事務所で、全員がWindows 11のノートパソコンを使い、総務の担当者が月に1回画面を見て回れるような会社なら、標準の機能を有効にして確かめるだけで足りることがあります。反対に、営業所が3つあり、在宅で使うパソコンも多い会社では、1台ずつ見て回るのが現実的でないため、まとめて状態を見られる仕組みを考える理由が出てきます。

Windows 10は、2025年10月14日にサポートが終わりました。パソコンは動き続けますが、セキュリティ更新は提供されません^[9]。★3の要求事項でも、OSやソフトはサポートされている状態にし、サポートが終わったものは削除するか、インターネットとの通信をすべて遮断して対象から外すことが求められます^[3]。Windows 10が残っているなら、まず台数を数え、入れ替えか更新の計画を立てましょう。

Windows Serverは、前の見出しのとおり、ほかの製品を入れても標準のウイルス対策が自動では止まりません。サーバーがある会社は、どの製品がどう動いているかを担当者か保守会社に確かめておくと安心です。

社内に見る人がいない会社には、ソフトを買うのとは別に、端末の動きを24時間見張り、攻撃を見つけて知らせる監視のサービスもあります。公的な基準を満たした「サイバーセキュリティお助け隊サービス」には、EDR(パソコンやサーバーの中の不審な動きを見張る仕組み)などを使った端末監視のサービスがあり、求めに応じて技術者が駆け付ける支援も含まれます^[12]。サービスの中身はお助け隊の4つのサービスで紹介しています。

ソフトを入れていても防げないこと#

ソフトを入れていても、被害は防げないことがあります。警察庁の統計では、2026年1〜6月にランサムウェア(データを暗号化して身代金を求めるウイルス)の被害にあった組織のうち、ウイルス対策ソフトについて回答した47件中、40件が「導入していた」と答えています。また、検出の有無を回答した33件のうち、検出があったのは10件、なかったのは23件でした^[10]。

入口についても、同じ統計にヒントがあります。被害組織へのアンケートでは、侵入経路は VPN 機器(社外から社内のネットワークにつなぐ機器)が約5割で、2026年1〜6月に回答した36件のうち VPN 機器が18件、リモートデスクトップが9件でした。標的型攻撃メールなどの添付ファイルによる感染は少なくなっています^[10]。

今のランサムウェア攻撃では、OSに元からある正規の道具を悪用する手法も使われるため、マルウェアを見つけることを前提にしたウイルス対策ソフトだけで、全てを見つけて防ぐのは難しいです。攻撃者が、ウイルス対策ソフトやEDRを含む対策を無効にすることもあり得ます。IPAの「ランサムウェア被害から学ぶ教訓集」では、従来型のウイルス対策ソフトだけでは攻撃者の活動を十分に見つけられない場合があるとして、EDRなどを入れ、アラートにすぐ応えられる監視の体制を整えることが教訓の1つになっています^[11]。

だからといって、ソフトが無駄なわけではありません。ウイルス対策は守りの1枚で、それだけに頼らないことが大切です。ソフトを買い足す前に、お金をかけずにできることがあります。6か条の1番目は「OSやソフトウェアは常に最新の状態にしよう！」です^[1]。ウイルス対策の設定は、リアルタイム保護と「発見したらすぐ駆除する」設定、定義ファイルの自動更新が推奨です。出所がわからないUSBメモリを開かないことも、感染を防ぐ対策の例に入っています^[2]。

入口の約5割がVPN機器だったこともあわせると、先にやることは次の4つです。

• OSとソフトの更新
• リアルタイム保護と自動更新
• VPN機器・ルーターの更新
• 出所不明のUSBメモリを開かない

VPN機器がどう狙われるかはどこから入られるか、被害にあった会社がどんな備えをしていたかは被害にあった会社の備えにまとめています。

SCS★3と取引先のチェックシートで問われること#

SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)の★3は、特定の製品を求めていません。問われるのは、全部のパソコンとサーバーに入っていて、スキャンと更新ができているかです。★3の要求事項 4-4-5「マルウェア感染からの保護」には、次の3つの評価基準があります^[3]。原文は IPA の要求事項・評価基準で読めます。

不正なWebサイトへのアクセスの制限と、メールのマルウェアチェックは★4で加わる基準で、★3には入っていません。

制度の評価基準を満たすうえで、特定のセキュリティ対策製品の導入は求められません^[4]。経済産業省と内閣官房国家サイバー統括室は、この制度を引き合いにした製品・サービスの勧誘が報告されているとして、注意喚起を出し、「特定のセキュリティ対策製品の導入が必須とされているものではありません」と呼びかけています^[5]。「★3のためにこのソフトが要る」と言われたら、不適切な勧誘とはの例と照らしてみましょう。

近い項目もあります。4-4-4 では、OSやソフトがサポートされていることと、「重大」「高リスク」などの脆弱性(弱点)を直す更新を、出てから14日以内に当てることが求められます。4-4-1 では、使うことを許可していないソフトを削除するか無効にすることなどが求められます^[3]。標準の機能を使うにしても有料のソフトを使うにしても、4-4-5の3つの基準ができているかを確かめることが大切です。項目ごとの確かめ方は、4-4-5 マルウェア感染からの保護で解説しています。

取引先のチェックシートで「全パソコンにウイルス対策ソフトを入れていますか」と聞かれたときも、考え方は同じです。会社のパソコンとサーバーの一覧があり、どの機器で何が動いていて、定義ファイルがいつ更新されたかを言えることが、答えの土台になります。チェックシートの答え方はセキュリティチェックシートとはで紹介しています。

買うなら何を確かめる?費用の目安#

販売店から案内を受けたら、まず「何台に、何をしてくれるのか」を確かめましょう。値段だけで比べると、守れる範囲や手間の違いが見えなくなります。確かめたい項目は、次のとおりです。

パソコンでは、ほかのウイルス対策ソフトを主に使うと標準のウイルス対策は自動で無効モード(場合によってはパッシブ モード)になります。今のソフトの更新をやめて標準の機能に切り替える選択肢も含めて、比べてみてください。

費用は、製品・台数・契約の形で変わるため、この記事では相場を載せていません。目安として使えるのは、監視まで頼む場合の公的な基準です。お助け隊サービスの基準では、端末監視の月額は端末1台あたり2,000円(税抜)以下、初期費用などの合計は端末数によらず50万円(税抜)以下と決まっています。端末1台から契約でき、最低契約期間は2年以内です^[12]。これは上限で、実際の価格はサービスごとに違います。詳しくはお助け隊の費用の上限で紹介しています。補助金についてはセキュリティ対策推進枠にまとめています。

中小企業が今日やること#

よくある質問#

有料のソフトと標準の機能を両方動かしたほうが安全?#

パソコン(Windows 10・11)では、両方が同時に主役として動くことはありません。Microsoft以外のウイルス対策ソフトを主に使うと、Microsoft Defender ウイルス対策は自動で無効モード(Windows 11 の一部の設定ではパッシブ モード)になります^[7]。Windows Server では自動では切り替わらないので、ほかの製品を使うなら標準のウイルス対策を手動で無効にします。どちらか1つを確実に有効にし、更新されている状態を保つことが大切です。

Windows 10 でも、ソフトを入れれば使い続けられる?#

パソコンは動きますが、Windows 10 のセキュリティ更新は2025年10月14日で終わっています。★3の要求事項でも、OSがサポートされている状態か、サポートが終わったものを対象から外すことが求められます。入れ替えか更新を先に考えましょう。

Macにもウイルス対策は要る?#

OSのセキュリティ機能の例には、macOSの XProtect もあります^[2]。★3の 4-4-5-1 も、対象は「ネットワークに接続しているすべてのパソコン及びサーバ」で、Windowsに限っていません^[3]。Macがある会社は、どの機能やソフトで対策しているかを一覧に入れておきましょう。

標準の機能だけで★3を取れる?#

★3の評価基準を満たすうえで、特定の製品は求められません。問われるのは、全台への導入、スキャンの範囲と頻度、パターンファイルの更新の3つができているかです。標準の機能でこれらをどう満たし、どう記録するかを会社ごとに確かめてください。★3の項目全体はSCS評価制度★3チェックリストで確かめられます。