「社員に配ったノートパソコン、今この瞬間に一台なくなったとして、中のファイルを遠隔で消せますか」——中小企業のIT担当の方にこう尋ねると、多くは言葉に詰まります。台数は総務の管理表に載っているけれど、実際にどのPCが誰の手元にあり、画面ロックがかかっているのか、暗号化されているのかまでは把握できていない。決して珍しい状態ではありません。
端末を守る仕組みというと「MDM（モバイルデバイス管理）ツールを別途契約しないといけない」と思われがちですが、すでにGoogle Workspaceを使っているなら、会社支給のWindows PCの多くはその中の「Googleエンドポイント管理」で管理できます。新しい製品を増やす前に、まず手元の契約で何ができるかを確認するのが先です。本記事は、iPhone/iPadの制御を扱ったGoogleエンドポイント管理のiOS新設定の姉妹編として、Windows PCに絞って整理します。
そもそも「端末が管理できていない」と何が起きるか
管理できていないPCが怖いのは、平時ではなく事故のときです。起きがちなのは次の三つです。
- 紛失・盗難：営業車に置いたノートPCごと盗まれる。ログインパスワードだけが頼りで、ディスクが暗号化されていなければ抜き取られる。
- 退職時の取り残し：辞めた社員の私用同然になっていたPCに、顧客データが残ったまま回収も初期化もされない。
- アップデート放置：Windows Updateが各自任せで、脆弱性が残った端末が社内に混在する。
いずれも「誰かがちゃんとやっているはず」で回している間は表面化せず、事故が起きて初めて「管理していなかった」と気づきます。逆に言えば、画面ロックの強制・遠隔ワイプ・暗号化・更新管理の四つを管理者側から一括でかけられれば、被害の大半は未然に防げます。
追加費用ゼロで始まる「基本管理」
うれしいのは、入り口に追加コストがかからないことです。Googleエンドポイント管理には「基本管理」と「高度な管理」の二段階があり、基本管理はすべてのGoogle Workspaceプランで追加費用なしに使えます。
社員が会社のGoogleアカウントでChromeにログインしたり、Windowsの職場アカウントとして接続したりすると、その端末が管理コンソールの一覧に自動で載ります。基本管理の段階でも、管理者は次のことができます。
| できること | 効果 |
|---|---|
| 端末一覧の可視化 | 誰がどの端末で会社アカウントを使っているか把握できる |
| アカウント単位のワイプ | 紛失・退職時に、その端末から会社アカウントとデータを消去 |
| 画面ロックの要求 | パスワード未設定の端末を締め出す |
まずここまでを有効にするだけで、「台数すら把握できていない」状態からは抜け出せます。実際の設定はGoogle Workspace 管理コンソールから行います。
Windows端末を本格的に締めるなら「高度な管理」
より踏み込んで、会社支給のWindows PCそのものを管理下に置きたい場合は「Windowsデバイス管理（高度な管理）」を使います。こちらはBusiness Plus以上のプランが対象で、Windows 10/11のPCに対して次のような統制を管理コンソールから配れます。
- BitLockerによるディスク暗号化を必須化する（紛失時にディスクを抜かれても中身が読めない）
- Windows Updateの適用タイミングと頻度を管理者側で制御し、更新放置を防ぐ
- パスワードの複雑さや画面ロックの条件を組織のポリシーとして強制する
ここで一点、2026年に入って実務者に効く改善がありました。従来は「会社が端末を管理する」と「利用者がローカル管理者権限を持つ」の両立が難しかったのですが、Endpoint Managementで特定ユーザーのローカル管理者アクセスを保ちつつ、会社側の管理も効かせる設定が柔軟にできるようになっています。開発者や一部の業務担当に管理者権限を残したまま全社ポリシーを当てたい、という現実的な要望に応えやすくなりました。
なお、Windowsへのログインそのものを会社のGoogleアカウントに寄せて入口を固めたい場合は、GCPW（Google Credential Provider for Windows）という別の仕組みがあります。詳しくはWindowsログインを物理キーで固めるGCPWの記事を参照してください。端末管理とログイン統合は組み合わせると効果が高まります。
導入でつまずかないための順番
いきなり全端末に厳しいポリシーを当てると、現場から「PCが使いにくくなった」と反発が出て頓挫します。無理なく定着させる順番は次のとおりです。
- まず基本管理で棚卸し：全端末を一覧化し、誰が何を使っているかを可視化する。ここは追加費用なしで今日始められます。
- 画面ロックと遠隔ワイプを先に有効化：事故時のダメージを止める設定から入る。利用者の操作感をほとんど変えずに守りを固められます。
- 暗号化・更新管理は一部の部署で試す：BitLocker必須化やUpdate制御は、まず情シスに近い数名で試し、支障がないか確かめてから広げる。
- 例外の扱いを決めておく：ローカル管理者権限が必要な担当を洗い出し、前述の柔軟設定で個別に扱う。
この段取りなら、専用MDMの新規契約を急がずとも、いま払っている費用の範囲で守りの土台が作れます。プランがBusiness Plusに満たない場合でも、基本管理だけで得られる効果は小さくありません。
まず、管理コンソールの端末一覧を開く
会社のPC管理は、高価なツールを買うことではなく「今ある契約で何が見えて何ができるか」を知ることから始まります。今日、管理コンソールの端末一覧を一度開いて、把握しているつもりの台数と実際の台数が合っているかを確かめてみてください。ズレていたら、それが最初に手をつけるべき箇所です。
自社のプランでどこまで管理できるか整理してほしい、紛失・退職時の運用フローを一緒に設計したい、専用MDMを買うべきかWorkspaceの範囲で足りるか判断したい——そうしたご相談は、グリームハブのIT・Google Workspace 無料相談からお気軽にどうぞ。御社の契約プランと端末の実態にあわせて、追加費用をかけずに始められる範囲から一緒に設計します。
