Windows 11の「コア分離」内にある「メモリ整合性」は、仮想化ベースの分離環境でカーネルモードコードを検証するHVCI（Hypervisor-protected Code Integrity）です。原則はオンのまま使い、オンにできない場合も最初に無効化するのではなく、Windowsセキュリティに表示された互換性のないドライバー名と発行元を記録し、Windows Updateまたは機器メーカーの更新版を探します。設定変更前にBitLocker回復キー、業務影響、復元手段を確認してください。
メモリ整合性が守る範囲
コア分離はWindowsの重要プロセスを仮想化環境へ分離します。メモリ整合性は低レベルドライバーを利用した攻撃者がカーネルへ不正コードを挿入しにくくする機能です。ウイルス対策、ファイアウォール、更新プログラムの代替ではなく、多層防御の一部です。オンでもすべての攻撃を防ぐとは限らず、オフにすれば古いドライバーが必ず正常化するとも限りません。
Windows 11の版とハードウェアによって、コア分離画面に表示される機能は異なります。メモリ整合性にはUEFI/BIOSでハードウェア仮想化が有効であることが必要です。セキュアコアPCでメモリ整合性を切るとセキュアコア状態から外れるとMicrosoftは警告しています。性能や互換性の評価は端末単位で行い、全社一括無効化を解決策にしません。
現在の状態を変更せず確認する
- スタートから「Windows セキュリティ」を開き、「デバイス セキュリティ」→「コア分離の詳細」を開く。
- メモリ整合性のオン／オフ、再起動要求、互換性のないドライバー表示をスクリーンショットまたは作業票へ記録する。
- Windows Updateの更新履歴と、問題が始まった日時、接続した機器、導入したアプリを時系列で整理する。
- デバイスマネージャーで対象機器名、ドライバーの提供元、日付、版を読み取る。ここでは削除やロールバックを実行しない。
- BitLocker回復キーが組織の正規保管先にあること、停止できない業務やリモート復旧手段を確認する。
「ドライバー名と会社名だけが信頼できる情報」というMicrosoftの注意に沿い、似たファイル名をWeb検索して非公式配布サイトからドライバーを入れないでください。ファイル名だけで機器を断定できない場合は、端末メーカーまたは周辺機器メーカーへ照会します。
オンにできないときの優先順位
1. Windowsとメーカー提供ドライバーを更新する
まずWindows Updateを完了し、「オプションの更新プログラム」に正規ドライバーがあるか確認します。次にPCまたは周辺機器メーカーのサポートページで、正確な型番、Windows 11の版、CPUアーキテクチャに合う署名済み更新を探します。BIOSやファームウェア更新は電源断で起動不能になる可能性があるため、AC電源、回復手段、メーカー手順を確認し、ドライバー問題と無関係なら同時に実施しません。
2. その機器やアプリが必要か判断する
更新版がない場合は、古いドライバーを必要とする機器やアプリを今後も使うのか、代替機器へ移行できるかを業務所有者と判断します。たとえば旧式の計測器、USB機器、バックアップソフト、仮想化製品は停止影響が異なります。接続を外すだけでドライバーが削除されるとは限らないため、メーカーのアンインストール手順を使い、構成とライセンスをバックアップします。
3. 限定的な例外を検討する
更新も代替も間に合わず業務継続へ重大な影響がある場合に限り、セキュリティ責任者が期間、端末、用途、ネットワーク範囲、監視、終了条件を定めた例外を判断します。メモリ整合性をオフにするなら、そのPCが受ける保護低下を明記し、再起動後の状態を確認し、更新版が出た時点でオンへ戻す期日を設定します。「全PCでオフ」「警告を非表示」は採りません。
ドライバーを削除する前の安全確認
- ドライバーの対象デバイスと提供元を確認し、同名ファイルの推測だけで削除しない。
- 端末構成、ドライバー版、インストーラー、ライセンス、必要な設定を保管する。
- ストレージ、ネットワーク、入力装置、暗号化、バックアップに関係するドライバーは遠隔だけで作業しない。
- 復元ポイントだけを唯一のバックアップにせず、業務データとBitLocker回復キーを別に確認する。
- メーカーのアンインストーラーまたはデバイスマネージャーの対象デバイスに限定し、ドライバーストアを一括清掃しない。
pnputilなどのコマンドでドライバーパッケージを削除する方法はありますが、公開記事の既定手順として未確認の公開名を削除すると、起動やネットワークに必要な機能を失う恐れがあります。まずGUIで対象と依存関係を特定し、メーカーが指定した場合だけ、対象公開名と復元用パッケージを記録して承認済み保守枠で実行します。
設定をオンにする手順と検証
- 互換性問題を解消し、作業中のファイルを保存して保守時間を確保する。
- Windowsセキュリティの「デバイス セキュリティ」→「コア分離の詳細」でメモリ整合性をオンにする。
- 再起動要求が出たら、回復キーと現地またはリモート復旧手段を確認したうえで再起動する。
- 再起動後に同じ画面でオンを確認し、Windowsセキュリティの警告とイベント発生を確認する。
- ネットワーク、ストレージ、印刷、USB機器、VPN、バックアップ、業務アプリの代表操作をテストする。
問題が出たときの戻し方
オンにした直後に特定機器が使えなくなった場合は、エラーと時刻を記録し、まず機器の更新または代替を確認します。業務復旧のため一時的に元のオフ状態へ戻す必要がある場合は、変更承認とリスク受容を記録し、Windowsセキュリティから対象端末だけを戻して再起動します。正常化を確認しても解決完了とはせず、ドライバー更新と再有効化を追跡します。レジストリを直接書き換える方法は、UIや管理ポリシーと不整合を作るため一般利用者の初手にしません。
2026年の脆弱ドライバーブロックにも注意
Microsoftは2026年4月14日以降のWindowsセキュリティ更新で、脆弱ドライバーブロックリストが有効な環境において、特定の第三者バックアップ製品が使う古いpsmounterex.sysをブロックし得ると案内しています。これはメモリ整合性を無効にすれば恒久解決する話ではありません。該当する場合はバックアップ製品の更新とベンダー案内を確認し、既存バックアップからの復元テストまで行います。保護を弱めたまま古い脆弱ドライバーを使い続けないでください。
管理環境での判断基準
組織では端末ごとに手作業で切り替える前に、対象台数、互換ドライバー、業務所有者、例外期限を一覧化します。段階展開ではIT部門の検証機、代表機種、少数ユーザー、全体の順に広げ、各段階で起動、周辺機器、VPN、バックアップ、性能を比較します。失敗時はその波だけを戻し、原因未解決のまま次へ進めません。管理ポリシーが設定を強制している端末ではローカルUIの変更が戻るため、管理者へ申請します。
まとめ
メモリ整合性はHVCIによるカーネル保護で、原則オンが適切です。オンにできない場合は警告を消すために全体を無効化せず、表示されたドライバーを記録し、Windows Update、メーカー更新、機器やアプリの必要性の順に調べます。変更時はBitLocker回復キーと業務影響を確認し、再起動後にセキュリティ状態と代表機能を検証します。一時例外には端末、期限、監視、再有効化条件が必要です。
性能低下を疑うときの測り方
メモリ整合性をオンにした後に「遅くなった」と感じても、体感だけでオフへ戻しません。同じ電源設定、同じWindows更新、同じアプリ版で、起動時間、業務処理時間、CPU、メモリ、ディスクI/Oを複数回測ります。バックグラウンド更新、ウイルススキャン、同期、熱によるクロック低下を分けます。差が業務許容値を超える場合は、ハードウェア要件、仮想化、ドライバー、アプリのベンダー情報を確認し、代表端末だけで再現させます。保護を切った結果だけを採用せず、更新ドライバーや端末更改も比較します。
監査記録に残す内容
変更記録には端末識別子、Windows版、メモリ整合性の変更前後、互換ドライバー名と版、根拠となるサポート番号、承認者、再起動時刻、検証した機能、例外終了日を残します。スクリーンショットだけでは後からドライバー更新との因果を追いにくいため、Windows Update履歴とメーカー配布物も紐付けます。設定をオンへ戻したら例外を閉じ、管理台帳と監視の期待値を更新します。
Windowsセキュリティ画面に項目自体がない場合は、レジストリで無理に表示させず、Windowsの版、仮想化対応、UEFI設定、管理ポリシーを確認します。メーカーが非対応とする端末では、端末更改や用途分離を検討し、見かけ上のオン表示だけを目標にしません。
コメント