Claude CodeやCodexで、PCからの情報漏洩リスクをどう確認する？AIに話しかける診断の始め方

取引先から届いた顧客名簿や見積書を、毎日何気なくPCで開いている。そんな折に情報漏洩のニュースを見て、「うちの会社のパソコンは大丈夫だろうか」と手が止まったことはないでしょうか。何をどう確認すればよいのか分からず、セキュリティの専任者もいない、詳しい人を呼ぶのもハードルが高い——そうした状態のまま日々の業務が続いている会社は少なくないはずです。動画でも、会社への入口はウェブサイトだけではなく、社員が毎日使うパソコンや、外部から会社のネットワークにつながる仕組みであると説明されています。サーバー側をどれだけ固めていても、手元の1台の設定が緩ければ、そこから入られてしまうかもしれません。

この記事では、Claude CodeやCodexに「セキュリティ診断をしたい」と話しかけるだけで、PCのどこが危ないかを調べてレポートにしてくれる診断スキルを題材にします。ウイルス対策や暗号化、画面ロック、OSの更新といった設定のどこを見るのか、診断を始める前に社内で何を決めておくのか、出てきた結果をどう受け止めて次の行動につなげるのかを順に整理します。WindowsでもMacでも使える手順として紹介されていますが、本記事は保存済みの字幕で確認できた範囲をもとに構成しており、動画全編の内容を網羅するものではありません。AIに渡す資料のルールを扱う記事とは違い、ここではPC側の設定を確認する手順に焦点を当てます。

サーバーだけでは守れない——手元のPCを確認する理由

会社の入口は、ウェブサイトやサーバーだけではない

情報漏洩というと、ウェブサイトやサーバーを思い浮かべるかもしれません。しかし動画の字幕で確認できた範囲では、社員が毎日使うパソコンや、外部から社内ネットワークにつながる仕組みも入口として挙げられています。

社員が毎日使うPCが入口になる場面

たとえば、取引先から届いた顧客名簿を開き、そのまま社内フォルダーへ保存します。外出先から社内システムに接続します。日常の操作は便利な半面、PCの設定が緩いままなら入口になり得ます。動画の字幕でも、サーバーがしっかりしていても、手元の1台が緩ければ、そこから入られるかもしれないと説明されています。

サーバーの対策と端末の設定は別に確認する

サーバー側の対策と、端末ごとの設定は別の確認項目です。PCごとに、ウイルス対策ソフトが有効か、暗号化されているか、画面ロックがかかるか、OS更新が止まっていないかを確認します。「サーバーは対策済み」とまとめず、端末は別項目で見ましょう。

AIを使うPCでは、設定の漏れが業務情報に直結する

AIツールに渡す前に、PC上にある業務情報を整理する

Claude CodeやCodexに相談する前に、そのPCにある業務情報を書き出します。たとえば、顧客名簿や見積書、契約書、社内議事録がどこにあるかです。診断後に確認する範囲を決めやすくなります。

入力ルールだけでは拾えない端末側のリスク

「この資料はAIに渡さない」と決めても、暗号化や画面ロックが不十分なら、端末の紛失や置き忘れで情報が読まれるおそれがあります。渡す資料のルールと、PCそのものを守る設定は別の層です。

既存記事との違い——「何を渡すか」と「端末がどうなっているか」

既存の入力ルール記事は、AIに渡してよい資料かどうか、社内の線引きを決めるのが中心です。本記事は、それとは別に、PCの設定状態を、動画で紹介された診断スキルを題材に確認します。両方を別々に点検することが大切です。

診断スキルは何を見るのか——設定項目とレポートの読み方

基本の設定項目を、事故の場面と結びつける

保存済みの字幕で確認できた範囲では、診断スキルはウイルス対策、暗号化、画面ロック、OS更新の4点を中心に設定を見ます。項目名だけでなく、どの事故の場面で効く設定なのかをセットで捉えると、レポートを読みやすくなります。

ウイルス対策とOS更新の確認

ウイルス対策は、ソフトの有無だけでなく保護が有効に動いているかまで見ます。OS更新は止まっていないか。期限情報は作成時点のもので、時間が経つと新しい更新が反映されないことがある、と動画では注意されています。

暗号化と画面ロックの確認

暗号化は、ノートPCを電車に置き忘れた場面で効きます。なければ拾った人に中身を読まれるおそれがあります。画面ロックは離席中のぞき見を防ぐ基本です。

立場に合わせて、確認する質問を変える

経営者か、総務担当か、一般社員か。PCにどれだけ詳しいかによって、質問の仕方を変えてくれると説明されています。詳しくない人でも分かる言葉で聞いてくれるので、身構えなくて大丈夫です。

経営者・総務担当者・一般社員それぞれの確認事項

• 経営者：会社としてどこまで守るかを決める材料として、予算と優先順位を確認する
• 総務担当者：社員それぞれの診断結果をまとめ、社内の傾向と配布する案内を整理する
• 一般社員：自分のPCの設定を確認し、指摘された項目を上長や担当者に共有する

設定を業者に任せている場合の質問リスト

設定を業者に任せている会社は、実際に何がどこまで設定されているかを意外と把握していません。細かい質問を飛ばし、業者に確かめる項目をリストにしてくれるので、そのまま渡せます。

レポートは点数ではなく、次の行動を見る

場面別の判定とA〜Eのレベル表示（動画で説明された範囲）

レポートはブラウザで開きます。全体のレベルはAからEで示され、ランサムウェア感染、PCの紛失、退職者のアカウントが残った場合といった場面ごとに「危ない」「分からない」などの判定が分かれ、次にやることが書かれています。AからEの表記だけで優先順位を決めず、まず「危ない」の場面を確認します。

「危ない」「分からない」「次にやること」の読み分け

「危ない」はすぐ直す候補、「分からない」は社内や業者に確認して埋める穴として読みます。IDの使い回しのように、自分たちでは見落としていた穴が見つかることもあります。

診断は目安であり、安全を保証するものではない

診断はあくまで目安で、これで安全が保証されるわけではない、と動画でも説明されています。読んだ設定内容はAIの会社に送られるため、会社で許可されたAIとプランで行いましょう。

診断を始める前の準備——AIに何を読ませるかを先に決める

診断は「セキュリティ診断をしたい」と話しかけるだけですが、その前に社内で決めておきたいことがあります。どのAIに、何を読ませ、結果をどこへ置くのか。先に決めておくと、診断後の動きがぶれません。

会社で許可されたAIとプランで行う

個人アカウントで業務PCを診断しない理由

動画では、会社で許可されていないAIで診断して情報を出してしまったら本末転倒だと説明されています。業務PCは、会社が契約しているアカウントとプランで診断します。

提供元の利用条件と、社内のAI利用規約を確認する

入力や設定がどう扱われるかは提供元ごとに異なります。利用条件と社内のAI利用規約を突き合わせ、保存や学習への利用の扱いを確認しておきます。

Claude CodeやCodexがない場合の選択肢

動画では、Claude CodeやCodexを入れていない会社向けに、外部のセキュリティ診断サービスも案内されています。PCの設定に加えて、AIの使い方や入力している情報まで確認する内容だと説明されていました。

診断スキルが読む範囲と、外へ送られる情報を確認する

動画で説明された「読まない範囲」を提供元の資料で確認する

動画では、個人ファイルの内容や閲覧履歴、メールの中身は読まない作りだと説明されています。ただしこれは動画内の説明なので、実際の挙動は提供元の資料でも確かめます。

設定内容がAI事業者に送られる可能性と、結果の保存先

読み取った設定内容はAIの会社に送られる、と動画で注意されています。レポートの保存先と、社内で共有する相手を先に決めておきます。

• 利用するAIとプラン（会社のアカウントか）
• 読まれる範囲（何を読まない作りか）
• 設定内容の送信先
• レポートの保存先と共有する相手

WindowsとMacで共通の導入手順を整理する

WindowsでもMacでも、主な手順は3つで、権限確認とレポート表示は付随する操作として説明されています。

権限確認は設定を読むだけの処理なので許可してよい、と動画では説明されています。それでも、表示された内容が読む処理だけかを一度確かめると安心です。

診断結果をどう扱うか——優先順位づけと次の一歩

悪い判定が出ても、落ち込む必要はありません。動画では、今まで気づかないまま危ない状態で使っていたということで、事故の前に直すチャンス、むしろラッキーだと説明されています。

悪い結果は「見つかった穴」として扱う

レポートは点数を競うものではなく、穴と次の行動の一覧です。「危ない」と表示された項目から、直す・確かめる・保留するに振り分けていきます。

すぐ直せる設定と、時間がかかる運用の分け方

暗号化を有効にする、画面ロックまでの時間を短くするといった変更は、その場で終わる部類です。退職者のアカウント整理や業者との作業範囲の見直しは、関係者との調整が要ります。

設定を変える前に、現在の値を記録する

変える前に現在の値を控えます。画面のキャプチャに、日付・担当・変えた理由を一言添えておけば、戻したいときに迷いません。

会社全体で共有するなら、個人の結果の扱いを決める

総務担当者向けには、社員がそれぞれ診断した結果をまとめて見られる仕組みがあると説明されています。ただし、まとめて見られることと、何でも共有してよいことは別です。

総務担当者が複数のPC結果をまとめる場合の範囲

集めるのは、レベルや「次にやること」の件数など、傾向が分かる情報までにします。個別の設定値まで集めると、集められる側の負担が大きくなります。

本人に見せる情報と、管理者だけが扱う情報

• 本人と総務で共有する：診断レベル、場面別の判定、次にやること
• 総務だけが扱う：集計した傾向、業者への質問リスト、修正の進捗
• 記録に残さない：診断とは関係のない個人のファイル名や閲覧履歴

業者に任せている設定は、質問リストで確認する

設定を業者に任せていても、実際に何がどこまで設定されているかは把握していないことがある、と動画では指摘されています。診断結果は、その確認の材料になります。

契約上の作業範囲と実際の設定の突き合わせ

契約書や作業報告書に書かれた範囲と、レポートの判定を並べます。暗号化が契約に含まれているのに無効なら、まずそこを確認します。

診断結果から聞くべき項目を作る

• 暗号化は端末ごとに有効になっているか
• OS更新の適用は誰が、どの頻度で行っているか
• 画面ロックの待ち時間は社内の基準と一致しているか
• 退職者のアカウント停止はどの時点で行われるか

診断を一度きりにせず、入力ルールと組み合わせる

端末の設定を直しても、AIに渡す資料の線引きが曖昧なままでは穴は残ります。逆に、渡す資料を絞っても、設定が緩ければ端末の紛失で読まれるおそれがあります。

入力ルールは、AIに渡す資料の記事で確認する

どの資料をAIに渡してよいかは、入力ルールを扱う既存の記事の範囲です。本記事は端末側、既存記事は資料側と、担当する層が違います。

再確認の時期と担当を決める

OSのサポート期限などは作成時点の情報で、時間が経つとその後出た更新やサポート切れが参照データに含まれないことがあります。動画でも早めの利用が勧められていました。半年ごとなど時期を決め、担当者を名指ししておきます。

最後に、診断はあくまで目安で、安全を保証するものではありません。結果を過信せず、気になる項目は業者や詳しい人に確かめながら、直せるものから閉じていきましょう。