IT管理者は多くの場合、Microsoftの「Sysprep」などのシステム準備ツールを使って、その後のデスクトップ展開用にWindowsの参照イメージを作成する。こうしたイメージの作成時に適切なセキュリティ原則を適用するためには、まずOSのハードニング（堅牢化）について理解する必要がある。

　OSをハードニングするということは、OSのセキュリティに加え、システム（今回の場合はWindows 10クライアント）が使用するアプリケーションのセキュリティを堅牢にするということだ。基本的な考え方は、攻撃を阻止するために攻撃対象となり得る側面をできるだけ排除するというものである。従ってWindowsをハードニングする上では、いかなる種類の攻撃も拒否、抑止、遅延できるよう、利用できる全ての手段を講じることが肝要となる。

　Windowsのハードニングはまず、使っていないWindows機能を全て停止または無効にすることから始める。攻撃対象面を減らすことで、攻撃者に狙われる可能性を減らそうというわけだ。

　さらに「最小権限の原則」を適用すれば、より強固にシステムを守ることができる。セキュリティの世界では、最小権限の原則とは、業務遂行に必要な最小限のアクセス権と特権のみをユーザーに与えることを意味する。そのためにはまず前提として、通常業務の遂行時には標準のユーザーアカウントにログオンするよう全てのユーザーに義務付けるアカウントポリシーを設定する必要がある。

　IT管理者自身も、管理タスクを実行する必要がある場合にのみ管理者権限でログオンし、タスクが終わり次第ログオフすべきだ。実際、管理タスクの自動化には、IT管理者が管理者権限でログオンする時間を最小限に抑える狙いがある。管理タスクには、プログラムのインストール、システムやサービスやネットワークの設定、システムの保守（バックアップ、更新、パッチ適用、構成設定など）や管理などがある。

　以上の基本原則を踏まえてWindows 10の管理に取り組めば、Windows 10など各種のクライアントOSをハードニングする上でやるべきことを理解できるだろう。

ハードニングの最初の手順

　システムイメージをハードニングするためには、通常のインストールとは異なる手順を踏む必要がある。通常はイーサネットネットワークのケーブルを抜くか、無線LANでネットワーク接続しているデバイスのWi-Fiを無効にするかして、Windowsのイメージを作成するワークステーションをネットワークから切り離す。

　次に、起動可能なUSBインストーラを使って、既存のイメージを修正するならアップグレードインストールを実行、新規イメージを作成するならクリーンインストールを実行する。新規イメージの作成時にプロダクトキーの入力をスキップすることもある。あるいはボリュームライセンスキーを記載したプロダクトIDファイル（PID.txt）をUSBインストーラの\Sourcesディレクトリに入れておけば、適用可能な全てのクライアントインストールに使うことができる。

イメージのカスタマイズ

　次に、Sysprepを使って「監査モード」でWindows 10の基本イメージをカスタマイズする。監査モードを使用するには、Windows 10のインストールの最終段階で表示されるセットアップ画面で「設定のカスタマイズ」や「簡単設定を使う」を選ばずに、CTRLキーとSHIFTキーを押しながらF3ファンクションキーを押す。するとWindowsが監査モードで再起動し、Sysprepのダイアログボックスが表示される。Sysprepを使う前にやるべき作業が幾つかあるので、ここでは「キャンセル」をクリックしてダイアログボックスを閉じ、先に進む。

　次に「Windowsアセスメント＆デプロイメントキット（Windows ADK）」をインストールし、Windows ADKに含まれる「Windowsシステムイメージマネージャー（Windows SIM）」を使えるようにする。Windows SIMを使ってSysprep用の応答ファイルを作成、修正すれば、自社に合わせてカスタマイズしたWindowsイメージを作成することが可能だ。Windowsの参照イメージを完成させ、カスタマイズしたら、イメージには「Windows 10ベース、バージョンxxxx」と名前を付ける（xxxxはバージョン番号）。

イメージの保守

　要件の進化やソフトウェアの更新に伴い、いずれ基本イメージをアップデートしたり修正したりする必要が生じるだろう。その際の手順は、基本イメージをカスタマイズする場合と同じだ。

　例えば、「1511」から「1607」のようにWindows 10のバージョン番号が変わった場合は、一からやり直す必要がある。そうでない場合は、基本イメージをアップデートすることが可能だ。Sysprepファイルを作り直し、アプリケーションや各種の設定、アカウント情報を更新する。

　ファイル名は常に明示的なものを使用し、何か変更を加えた場合は新しいファイルを作成すること。そうしておけば、イメージの作成や修正、カスタマイズの過程でミスを犯したり、何か問題が発生したりしても、以前のバージョンに戻すことができる。

　前述したWindowsをハードニングする際の基本原則の適用も忘れずに。そうすれば、Windowsシステムを安全かつセキュアに保つという目的からそう大きく外れることはないはずだ。変更の是非について判断を迷った場合は、実行に移す前に、その変更がハードニングの基本原則のいずれか1つでも満たすかどうかを自問するといい。Windowsをセキュアに保つ上でなぜどのように効果的であるかについて、十分に説得力のある説明ができないようなら、その変更は恐らく実行に移す価値がないということだ。