はじめに
前回の記事では、情シスの登竜門である「PCセットアップ」について解説しました。実はそのセットアップ作業の中で、情シスが必ず意識して設定しているものがあります。
それが、Windowsの「アカウント権限（管理者権限・一般権限）」です。
会社のPCを使っていて、「ソフトをインストールしようとしたらパスワードを求められた」あるいは「設定を変えようとしたら弾かれた」という経験はないでしょうか？ 今回は、この「権限」ってそもそも何のためにあるのか、具体的な違いは何なのか、そして実際の会社の現場（メーカー情シス）ではどのように使い分けているのか、リアルな裏側を解説します。
管理者権限と一般権限、根本的な違いはどこにある？
この2つの違いは、PCを「ひとつのマンション（建物）」に見立てると非常にわかりやすいです。
- 管理者権限（Administrator）：マンションのオーナー（大家さん） 建物の構造変更から、全部屋の合鍵の所持まで、あらゆる変更ができる最強の権限です。
- 一般権限（Standard User）：マンションの住人（間借り人） 自分の部屋の中で生活する（ファイルを作る、ネットを見る）ことは自由にできますが、建物の壁を壊したり、他の人の部屋に勝手に入ったりすることはできません。
【深掘り】一般権限で「できないこと」の具体例
一般権限では、PC全体（建物全体）に影響を及ぼすような以下のような操作がシステム的にブロックされます。
- ソフトウェアのインストール： システムの根幹に関わるソフトは入れられません。
- ネットワーク設定の変更： IPアドレスやDNSなどを勝手に変更することはできません。
- 深いデバイスドライバーの追加： 普通のUSBマウスなどは挿せば動きますが、特殊な測定機器や古いプリンターなど、システム深部に干渉するドライバーは弾かれます。
- システム時刻の変更： 実は時計も勝手にズラせません。これは、システムログの正確性を担保したり、セキュリティ証明書のエラーを防いだりするためです。
- 他ユーザーのデータ閲覧：
C:\Users\以下にある、他の人のフォルダの中身は覗けません。
うちの会社の実態：基本は「全員管理者」というモダンな運用
一般的に、セキュリティに厳しい会社では「社員には一般権限しか渡さず、ソフトのインストールはすべて情シスを通す」という運用をしているところも多いです。
しかし、私の会社では少し毛色が異なります。 実は、ドメイン参加（会社のネットワークの仲間入り）した社員個人のIDでログインした場合、基本的には「管理者権限」が付与されるようになっています。
なぜか？ それは、「現場の業務スピードを落とさないため」です。 いちいちフリーソフトを一つ入れるだけで情シスに申請していては、事業部の仕事が止まってしまいます。利便性とアジリティ（俊敏性）を優先しているのです。
「え、それじゃあ勝手に変なソフトを入れられて危険じゃないの？」と思うかもしれません。 そこは、権限を奪うのではなく、強力なエンドポイントセキュリティ（EDR等の監視ソフト）や、Web閲覧を制限するプロキシ、全社一括のポリシー制御など、「別のセキュリティレイヤー」でガバナンスを効かせるというスタンスをとっています。
情シスはここで使う！「一般権限・ローカルユーザー」の活躍場所
基本が「管理者権限」だからこそ、情シスが意図的に「一般権限ローカルユーザー（ドメインに参加しないPC単独のアカウント）」を使用するケースが際立ちます。メーカー特有のリアルな使い分けを紹介します。
ケース①：現場の共用端末（工場ラインなど） 工場の製造ラインなどで不特定多数の作業員が触るPCは、必ず「一般権限」のローカルユーザーでログインさせます。 もし誰かが誤ってネットワーク設定（IPアドレス）を変更してしまい、他の機器とIPが被る（競合する）と、最悪の場合ラインの通信が止まってしまいます。そういった「人的ミスによるシステム破壊」を物理的に防ぐためです。
ケース②：サイネージ用PC（無人端末） 食堂やエントランスで映像を流し続けるサイネージPCなど、人が常にいない場所にある端末も一般権限にします。 物理的にイタズラされたり、万が一ネットワーク越しに乗っ取られたりしても、一般権限であればシステム全体を破壊されるリスクを最小限に抑え込めるからです。
ケース③：実験・測定データ用のスタンドアロンPC 研究開発などで、超重要な測定データや実験データが入っているPC。これらはあえて社内ドメイン（ネットワーク）に参加させず、特定のローカルユーザーしかログインできないようにします。ネットワークの脅威から完全に隔離して、データを強固に守るための措置です。
私用PCで意識する必要はあるの？
最後に、皆さんが自宅で使っている私用PCについてです。
家電量販店でPCを買って、最初に言われるがまま設定したアカウント。実はこれ、自動的に「管理者権限」になっています。 つまり、大半の人は「常に最強の大家さん状態」でネットサーフィンをしていることになります。もしこの状態で悪意のあるマルウェア（ウイルス）を踏んで実行してしまったら、システム全体を瞬時に破壊されてしまいます。
利便性が落ちるため「絶対に一般権限の日常用アカウントを別で作れ！」とまでは言いません。 しかし、ソフトをインストールしようとした時などに、画面がフッと暗くなって「このアプリがデバイスに変更を加えることを許可しますか？」と聞かれる画面（UAC：ユーザーアカウント制御といいます）が出ることがありますよね。
あの画面が出た時は、「あ、今自分は管理者として、システム全体に関わる変更をしようとしているんだな」と意識してください。身に覚えのないタイミングであの画面が出たら、絶対に「いいえ」を押す。それだけでも、セキュリティ意識は大きく変わります。
まとめ
Windowsの権限は、ただ社員を制限していじめるためにあるわけではありません。 会社のセキュリティポリシー、事業部の利便性、そして端末が置かれる環境（工場なのか、無人なのか）。これらを総合的に判断し、「目的に合わせた最適な環境」を作るための強力なツールなのです。
会社のPCを使っていて少し不便に感じる設定があったとしても、その裏側にある情シスの意図を少しでも知ってもらえたら嬉しいです。
コメント