OneDrive×Windowsエクスプローラー運用者のためのセキュリティ手順【2026年版・第三者アクセス対策】

CHECK1：Windowsにどう入っているか（Microsoftアカウント／ローカルアカウント）

1. スタート → 設定（歯車） → アカウント → ユーザーの情報を開きます。
2. 名前の下にメールアドレス（◯◯◯@outlook.jp など）が表示されていればMicrosoftアカウント、表示されず「ローカルアカウント」と書かれていればローカルアカウントです。
3. どちらでもOKですが、後のBitLocker回復キーの保管先と多要素認証の設計が変わるので、どちらかをメモしておきます。

CHECK2：OneDriveにどのアカウントでサインインしているか

1. 画面右下のタスクトレイ（時計の左）の雲アイコンを右クリック → 歯車（設定） → 「アカウント」タブを開きます。
2. サインイン中のメールアドレスを確認。「個人用」（@outlook.com / @hotmail.com / @live.jp など）と、「会社・学校」（Microsoft 365のメール）では、設定できる項目とポリシーの主導権が違います。
3. 個人と会社の両方にサインインしている（雲アイコンが青と白で2つある）ケースもあります。両方ある場合はそれぞれあとのSTEP3（MFA）を適用します。

CHECK3：エクスプローラー左側のOneDriveに、何が同期されているか

1. エクスプローラーを開き、左側のナビゲーションから雲マーク付きの「OneDrive - ◯◯」をクリック。
2. ファイル名の左側のアイコンが、雲＝クラウドのみ／緑のチェック＝開いたことがありローカルにキャッシュ／緑の塗りつぶしチェック＝常にこのデバイスに保持を意味します。
3. 「常にこのデバイスに保持」になっているフォルダーが多いほど、PCを失くした時に物理的に読めるファイルが多くなります。今は数えるだけでOK。STEP5で見直します。

STEP1-1：パスワード／PIN／Windows Helloを設定する

1. 設定 → アカウント → サインインオプションを開きます。
2. PIN（Windows Hello PIN）を設定（4桁の生年月日などは避けます）。PINは「そのPCでしか使えない」ため、漏れても他PCの不正サインインには使えません。
3. 指紋・顔カメラ搭載機なら、Windows Hello（指紋／顔認証）も有効化。日常のサインインが速くなり、肩越しに見られても破られにくくなります。
4. パスワードレスにする場合は、「Microsoftアカウントにサインインを求める」設定をオンにし、PIN・Helloでログインする運用に切り替えます。

STEP1-2：離席時に自動でロックする

1. STEP1-1と同じサインインオプション画面を下にスクロールし、「しばらく操作しなかった場合に、もう一度 Windows へのサインインを求めるタイミング」（旧表記：「不在時にロックする」）を、「毎回」または短い時間（例：1分／3分）に設定。
2. Bluetooth対応スマホがある場合は、すぐ下の「動的ロック」（スマホが離れると自動でロック）も併用すると、席を立つときの締め忘れを防げます。
3. スクリーンセーバー経由でも担保したい場合は、設定 → 個人用設定 → ロック画面 → スクリーンセーバーから、待ち時間（例：5分）＋「再開時にログオン画面に戻る」にチェック。
4. 離席時はキー操作でWindowsキー + Lでも手動ロックできます。これだけで第三者が触る余地が大きく減ります。

STEP2-1：BitLockerを有効化する（Pro/Enterprise）

1. スタート → 「BitLocker の管理」を検索して開きます。
2. システムドライブ（通常はC:）の「BitLockerを有効にする」をクリック。
3. 暗号化方式は「使用済みディスク領域のみ」（新品・データ少なめのPC）または「ドライブ全体」（既に使い込んだPC）を選択。
4. 暗号化モードは「新しい暗号化モード（XTS-AES）」を選択（持ち運びの少ない据え置きPC向き）。

STEP2-2：回復キーの保管先を必ず指定する

1. 回復キー（48桁の数字）の保管先を選択する画面で、Microsoftアカウントに保存するのがいちばん手軽（ローカルアカウントの場合は表示されません）。
2. あわせて「ファイルに保存」または「印刷」でローカルにも控えを残し、PCとは別の場所（USBメモリ・印刷物の金庫保管など）に置きます。
3. 後から回復キーを確認したい場合は、別端末からブラウザで account.microsoft.com/devices/recoverykey にサインインすると一覧できます。

STEP3-1：個人用OneDrive（@outlook.com など）の2段階認証

1. ブラウザで account.microsoft.com/security を開き、サインイン。
2. セキュリティ画面の上部ヘッダー右側にある「2 段階認証」のカード（「オフ」または「オン」と現在の状態が表示されています）の「管理 ＞」をクリック。
   ※見当たらない場合は、画面下部の「サインイン方法の管理」「追加のセキュリティ」からも入れます（古いUIでは「高度なセキュリティオプション」表記）。本人確認のため認証コード／メールでの追加確認が入ることがあります。
3. 遷移先の画面で「2段階認証」の「有効にする／オンにする」を選択。
4. 確認方法は認証アプリ（Microsoft Authenticator）を推奨。QRコードが表示されるので、スマホのMicrosoft Authenticatorアプリで読み取って登録します。SMS（電話番号）でも有効化できますが、機種変・解約時に注意。
5. 有効化後はパスワード復旧用の連絡手段を2つ以上（メール・SMS・別のメールなど）登録しておきましょう。連絡手段を失うと復旧に最大30日かかる場合があります。

STEP3-2：OneDrive for Business（@会社ドメインのアカウント）のMFA

1. 個人では有効化できない場合があります。Microsoft 365管理者にMFA有効化を依頼するのが基本ルートです。
2. 個人でも有効化を試したい場合は、ブラウザで aka.ms/mfasetup にサインインし、サインイン方法でMicrosoft Authenticatorを追加します。
3. 会社全体での統制方法は、関連記事のMicrosoft 365管理者のOneDrive/SharePoint統制と可視化もご参照ください。

STEP4-1：個人用Vaultを開く

1. エクスプローラーの「OneDrive - 個人用」の中にある「Personal Vault（個人用Vault）」をダブルクリック。
2. 初回はセットアップ画面が出ます。本人確認方法（認証アプリのコード等）を選択して登録。
3. 解除後はエクスプローラーで普通のフォルダーと同じように使えます。20分操作しないと自動で再ロックされます（設定で時間変更可）。

STEP4-2：入れるものを決める

1. 身分証のスキャン（運転免許・マイナンバー関連）、パスポートのコピー、銀行・カードの明細、契約書類、クライアントの機密書類などを優先的に移動。
2. 普段からよく開くファイル（請求書テンプレ・原稿など）は、毎回ロック解除が面倒なので、Vault外で運用するのが現実的です。
3. Vault内のファイルも、同期されたPCのローカルキャッシュは暗号化済みディスク（BitLocker）の上に乗ります。STEP2と組み合わせて初めて完全な多層防御になります。

STEP5-1：ファイル オン デマンドの設定画面を開く

1. タスクトレイ（時計の左）の雲アイコンを右クリック → 歯車（設定） → 「同期とバックアップ」 → 「詳細設定」を開きます。
2. 下にスクロールして「ファイル オン デマンド」のセクションに、「ディスク領域の解放」と「すべてのファイルをダウンロードする」の2つのボタンがあることを確認します。
   ※最新のOneDriveアプリでは、ファイル オン デマンドは常に有効で、この2つのボタンでローカルキャッシュの状態をまとめて操作します（古いバージョンでは別途ON/OFFスイッチが存在する場合あり）。

STEP5-2：「ディスク領域の解放」でローカルキャッシュをまとめてクラウドに戻す

1. STEP5-1の画面で「ディスク領域の解放」をクリックすると、緑チェック付きのファイルがすべて雲アイコンに戻ります（オンライン時はそのまま開けます）。
   ※「すべてのファイルをダウンロードする」は逆の動作（全部をローカルに落とす）なので、セキュリティ目的では押さないでください。
2. 個別に絞りたい場合は、エクスプローラーでOneDrive内のフォルダーを右クリック → 「空き領域を増やす」を選ぶと、そのフォルダーだけクラウドへ戻せます。
3. 逆に旅行・出張などオフラインで必要なフォルダーだけ右クリック → 「常にこのデバイスに保持」に切り替え。用が済んだらまた「空き領域を増やす」で戻す運用にすると、攻撃面が最小化されます。
4. 大量のフォルダーをまとめて見直したい場合は、設定の「アカウント」タブ → 「フォルダーの選択」から、同期対象自体を絞る方法もあります。

STEP6-1 手順：棚卸しの始め方

1. エクスプローラーのOneDriveフォルダーを表示し、ビューを「詳細」にします。
2. ファイル名の隣にある人物アイコンを探す、または列ヘッダーで「状態」「共有」列を表示して並び替えます。
3. 共有中のファイルを右クリック → 「OneDrive → 共有」を選択すると、現在の共有相手・リンクを確認できます。
4. 不要になった相手やリンクは、ここから削除・共有停止できます。
5. 網羅性を担保したい場合は、ブラウザ版OneDrive左メニューの「共有」 → 「ユーザーが共有しているもの」からも一覧表示できます。エクスプローラー側で見落としたものを拾えます。

STEP6-4 推奨フォルダー構成

1. OneDriveのトップに「クライアント」のような親フォルダーを作る。
2. その下にクライアント名／プロジェクト名で子フォルダーを切る（例：クライアント／A社／2026下期サイト改修）。
3. 外部共有はこの子フォルダー以下に限定する。親（トップやDocuments直下）からは絶対に共有しない。
4. 子フォルダーごと共有する場合も、「特定のユーザー」＋閲覧（必要なら編集）＋有効期限のセットを毎回守る。
5. プロジェクト終了時は子フォルダー単位で共有解除すれば、漏れがなくなる。

STEP7-1：紛失したPCのOneDriveをリモートで切断する

1. 別のPC／スマホのブラウザで account.microsoft.com/devices にサインイン。
2. 紛失したPCを選択し、「このデバイスをアカウントから削除する」を実行。ただしこれは「PCを自分のMSアカウントから切り離す」操作で、OneDriveアプリのトークンも無効化されます。
3. あわせてMicrosoftアカウントのパスワードを変更し、すべてのセッションをリセットします。MFA有効なら、新規ログインに第三者は突破できません。
4. 会社アカウント（Microsoft 365）の場合は、情報システム担当者・管理者にアカウントの一時停止を依頼するのが先決です。

STEP7-2：BitLocker回復キーが手元にあるか再確認

1. 紛失後の調査・データ復旧で必要になります。新しいPCで account.microsoft.com/devices/recoverykey にサインインし、該当PCの回復キーが残っていることを確認。
2. 会社管理のPCなら、回復キーは組織側に保管されていることがあります。情報システム担当に連絡を。

STEP7-3：日常運用での「離席ロック」を習慣にする

1. 離席時はWindowsキー + Lでロック。
2. カフェ・コワーキングではOneDriveの個人用Vaultを必ずロック状態に戻してから席を立つ。
3. 共有PCでブラウザのOneDriveを使ったときは、必ず右上のアカウントメニュー → サインアウトして閉じる。