Windows 11のSmart App Controlで社内ツールがブロックされた場合の署名要件と対応手順

Windows 11をクリーンインストール(またはPCのリセット)した環境で、長年利用してきた社内内製のツールが「Smart App Control」によってブロックされ、実行できなくなることがあります。Intuneなどで企業管理されているPCでは、Smart App Controlは自動的にオフになるため、実際に問題になるのは管理対象外のPCや、キッティング前の状態で使っているPCが中心です。

原因と落とし穴

Smart App Controlは、Microsoftのクラウドで安全と判定できないアプリを、署名がない限りブロックします。ここで信頼される署名は「Microsoftの信頼されたルートプログラム(Trusted Root Program)に加盟している認証局」が発行したコードサイニング証明書によるものだけです。社内CAで署名しても、そのルート証明書を各PCに配布しても、Smart App Controlの判定では信頼されません。また、特定のアプリだけを許可する例外設定もありません。

なお、ブロックが起きるのは「オン」(強制モード)のときです。「評価」モードは動作を観察しているだけで、アプリをブロックしません。

以前は「一度オフにすると、Windowsを再インストールしない限りオンに戻せない」という制約がありましたが、2026年4月の累積更新(KB5083769)以降は、Windowsセキュリティの画面からいつでもオン・オフを切り替えられるようになっています。

切り分け・対処手順

①ブロック原因の特定: イベントビューアーの「アプリケーションとサービスのログ > Microsoft > Windows > CodeIntegrity > Operational」を確認し、どのファイルがブロックされたかを特定します(AppLockerのログには出ません)。

②パブリックな証明書で署名する: 社外にも配るツールや、管理対象外のPCで使うツールは、Trusted Root Program加盟の認証局から購入したコードサイニング証明書で署名します。社内CAの署名では解決しません。

③業務PCは管理方式を変える: 社内CAで署名した内製ツールを業務PCで使いたい場合は、PCをIntuneなどで管理し、Smart App Controlではなく「App Control for Business」で、社内CAの署名を許可するポリシーを配布します。こちらは許可ルールを会社として設計できます。

④一時的な回避: 単発のインストール作業などでは、Smart App Controlを一時的にオフにし、作業後にオンへ戻す方法もあります(KB5083769適用済みの場合)。

まとめ

Smart App Controlは個人向けに近い保護機能で、社内CAの署名を信頼させる設定はありません。内製ツールと共存させるなら、「パブリックな証明書で署名する」か「業務PCはApp Control for Businessで管理する」のどちらかを、会社として決めておくのが確実です。

■ あわせて読みたい

▶ Intune設定カタログによるEdge/ChromeブラウザのURLBlocklist一括配信と除外設定
▶ GPOとIntuneを併用する環境で「MDM優先(MDMWinsOverGP)」を安易に有効にしてはいけない理由

■ 取引先からセキュリティ対策を問われたときに

SCS評価制度（★3・★4）の評価基準に沿って、自社の対策状況を無料で自己点検できます（非公式）。
▶ SCS評価制度の自己点検（無料）

■ この記事に関連するテンプレート

署名のない内製ツールをどう扱うかは、端末ごとの判断にせず、会社としてのセキュリティ方針に書いておくと迷いません。中小企業のセキュリティ方針をNotionで整理するためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

▶ 無料版（情シス向けNotionテンプレート3種）を見る
▶ 中小企業向けセキュリティベースライン設計キット（¥2,980）