古いPCを使い続ける危険性とは？企業が見落としやすいセキュリティリスク

「まだ動いているから大丈夫」が、一番危ない判断です

古いPCやOSをそのまま使い続けている企業は、中小企業に限らず珍しくありません。PC入れ替えのコスト、利用中ソフトとの互換性、設定やデータ移行の手間。理由はよくわかります。業務を止めずに運用することは、それ自体は正しい判断です。

ただ、現在のサイバー攻撃の多くは、すでに見つかっている「既知の脆弱性」を狙って行われています。攻撃者は特別な技術で突破するのではなく、更新されていない環境を自動的に探し出して侵入しています。

つまり今は、「古いけれど動いている」ではなく、「安全な状態を維持できているか」が問われる時代になっています。

サポートが切れた瞬間、そのPCは"無防備"になる

OSやソフトウェアには、日々新たな脆弱性が発見されています。MicrosoftやAppleなどの各社は、継続的にセキュリティ更新プログラムを提供することで問題を修正しています。しかしサポートが終了すると、新たな脆弱性が見つかっても修正プログラムは提供されなくなります。問題が発見されても、防御できない状態のまま使い続けることになるのです。

代表的な例として、Windows 10は2025年10月に延長サポートが終了しています。

引用：Microsoft「Windows 10 サポート終了」

1台の感染が、共有フォルダや社内サーバーを経由して社内ネットワーク全体へ広がるケースもあります。中でも近年被害が増えているのがランサムウェアです。社内ファイルが暗号化され、「データが開けない」「基幹システムが停止した」「業務そのものが止まった」という深刻な事態に至る事例も少なくありません。

引用：IPA「情報セキュリティ10大脅威」

まず"この順番"で把握と整備を進めてください

「動いている」と「安全である」は別物です。問題が起きてからでは遅いケースも少なくありません。難しく考えすぎず、この順番で進めてみてください。

STEP 1：社内のPC・OSの状況を洗い出す

まず把握することが先決です。「社内に何台あり、誰がどの端末を使っているか」を正確に把握できていない企業は意外と多くあります。特にテレワークの普及や複数拠点での運用、私物端末の業務利用（BYOD）が進んだことで、端末管理は複雑化しやすくなっています。

まずはExcelでいいので、以下の情報を一覧にしてみてください。

• 端末名・機種・利用者名
• OSのバージョンとサポート終了日
• 購入・使用開始からの経過年数

「管理から漏れている端末」を見つけることが、この作業の一番の目的です。退職者のPCが未回収のまま、使われていない端末が放置されたまま、というケースも少なくありません。

STEP 2：セキュリティ更新の適用状況を確認する

洗い出しが終わったら、次は各端末のアップデート状況を確認します。

• OSのアップデートが止まっていないか
• ウイルス対策ソフトの定義ファイルが最新か
• 古いブラウザをそのまま使っていないか

利用者自身が気づかないまま、長期間更新が止まっているケースがあります。Windowsであれば「設定→Windows Update」から最終更新日を確認できます。まずは現状を把握するだけでも、どこにリスクがあるかが見えてきます。

STEP 3：OSのサポート期限と更新ルールを整備する

現状が把握できたら、次は「計画的に更新していく」仕組みを作ります。

• OSのサポート終了日をカレンダーに登録する
• PCの使用年数に社内ルールを設ける（目安は5年）
• アップデート状況を四半期に一度確認する担当者を決める

「気づいたら対応する」から「期限で動く」に変えるだけで、管理漏れは大きく減ります。特にWindows 10のサポートは2025年10月に終了しているため、まだ移行が済んでいない端末がある場合は優先度を上げて対応してください。

STEP 4：IT資産管理ツールの導入を検討する

端末台帳をExcelで管理するには限界があります。端末数が増えたり、拠点が複数になってきたりすると、手動での管理は漏れが出やすくなります。

最近では、クラウド型のIT資産管理ツールを導入する企業も増えています。端末情報や更新状況を一元管理できるため、管理漏れや対応遅れの防止につながります。代表的なものとして、Jamf（Mac向け）・Microsoft Intune・Skysea Client Viewなどがあります。

まずは現在の端末台帳がExcelで正しく維持できているかを確認し、限界を感じたタイミングでツール導入を検討するのが現実的なステップです。

それでも、これだけでは終わりません

ここまで紹介したのは、あくまで「まず動き出すための入口」です。

実際には、ネットワーク機器の更新管理、インシデント発生時の対応フロー整備、定期的な脆弱性診断など、やるべきことはまだあります。全部を一度にやる必要はありませんが、優先順位を間違えると、抜け穴が残ります。