NTLMv1由来SSOの遮断：Wi-Fi・VPN停止と一時例外を経営判断へ戻す

結論：接続継続と例外解除を同じ承認事項にする

編集上の提案：役員・情シス責任者は、更新の完了条件にWi-Fi・有線LAN・VPNから業務システムへ到達できることを加え、依存関係の解消費用と担当を承認してください。クラウドサービス自体が稼働していても、利用者の接続経路が止まれば業務を続けられないという観点で判断します。

編集上の比較：強制モードを維持して証明書ベース認証へ移行する案と、重要業務に限って一時的な監査モードを使いながら移行する案を比較します。後者は保護が低下するため、接続回復だけを完了扱いせず、例外解除の期限と強制モードでの再試験まで決めることを提案します。

背景と理由：プロトコルの削除と派生暗号の遮断は別である

確認済み事実：Microsoftは、NTLMv1プロトコルの削除後も、ドメイン参加環境のPEAP-MSCHAPv2やEAP-MSCHAPv2等にはNTLMv1由来の暗号処理が残り得ると説明しています。2026年10月の変更は、その資格情報を使うSSO要求を監査だけで許可する状態から、条件に応じて遮断する状態への変更です。

確認済み事実：Windowsメッセージセンターの10月14日告知は、これを計画されたセキュリティ強化とし、10月更新の既知の問題ではないと明記しています。KB5066470の10月19日変更履歴はWindows 11 26H1の適用対象追加を示しています。

編集上の分析：更新プログラムの不具合を待つだけでは依存関係が解消しません。端末更新とネットワーク認証を別の委託先へ任せている場合は、構成情報と試験結果を共通の変更記録にまとめる必要があります。

具体的な適用期日・数値・対象範囲

日付の区別：KB5066470の元の公表日＝2025-08-29、変更履歴で確認できる最新の更新日＝2026-10-19、既定動作を変更する更新プログラムのリリース起点＝2026-10-13です。各端末への実際の適用日は導入履歴で確認するため、本記事ではnullとします。記事の公開日・確認日＝2026-10-31です。

確認済み事実：KBの対象一覧はWindows 11 26H2・26H1・25H2・24H2とWindows Server 2025です。既定動作の変更はCredential Guardが無効で、BlockNtlmv1SSOレジストリ値が未設定の端末に適用されます。未設定時の内部動作が0相当の監査から1相当の強制へ変わり、更新はその値を作成・変更しません。

確認済み事実：明示的な値0は監査しつつ許可、値1は遮断です。ログは監査時の警告4024、強制時のエラー4025です。KBのFAQは資格情報の手動入力は強制モードでも機能すると説明していますが、本記事は個別のVPN製品や認証構成での成功を保証しません。

日付の区別：メッセージセンターの当該告知は2026-10-14 14:00 PTです。ページ全体の最終更新日2026-10-30を、この告知の公表日・更新日とは扱いません。当該告知の独立した更新日は確認できないためnullです。

技術・システム上の確認事項

編集上の確認事項：OS版、更新履歴、Credential Guardの実稼働状態、BlockNtlmv1SSOの未設定・0・1を端末単位で記録します。値がないことを「影響なし」の根拠にせず、Wi-Fi・有線LAN・VPNそれぞれのEAP方式とSSO依存を認証基盤担当に照合してください。

編集上の確認事項：少数端末で接続、再接続、業務アプリへの到達を試験し、端末のNTLM/Operationalログと認証基盤側の結果を時刻で突き合わせます。4024・4025の対象、実行プロセス、発生時刻を必要な範囲で保管します。ログの不存在だけでは安全と判定せず、対象経路を実際に試したか確認します。

確認済み事実と提案の区別：Microsoftは証明書ベース認証への移行を推奨しています。証明書配布・更新・失効、端末交換、社外からの初回接続、障害時の代替接続を受入項目に含めることは本記事の編集上の提案です。監査モードへの変更は全社一括の恒久対応として扱わず、正式な変更手順で限定して実施します。

経営・監査・契約・責任分界上の論点

編集上の論点整理：端末保守会社には更新と設定採取、ネットワーク事業者には認証方式・互換性・ログ、社内責任者には停止・例外・再開の承認を割り当てる案が考えられます。SLAで測定する範囲が回線、VPN装置、認証サーバー、端末のどこまでかを確認し、接続できないという事象だけで契約違反や補償の有無を断定しません。

編集上の契約確認事項：計画変更の事前通知、接続試験への協力、緊急対応時間、証跡提供、証明書移行の追加費用、例外設定の解除作業を保守範囲と照合します。標準契約で追加作業が対象外なら、別途発注と自社対応の費用・復旧時間を比較してください。

編集上の監査提案：例外の理由、対象端末、承認者、開始・終了予定、保護低下の受容、代替策、解除確認を保存します。ログ中のユーザー名等は必要な担当者に閲覧を限定し、保存期間と提出方法を決めます。これらは本記事の運用提案であり、特定の保存年数や一律の法的義務を示すものではありません。

エグゼクティブ向けアクション／確認リスト

編集上の提案：まず対象端末と重要な接続経路を特定し、代表構成で接続試験を実施します。影響があれば、業務停止の影響と保護低下を比較したうえで、移行計画または期限付き例外を承認してください。

編集上の完了条件：更新適用、業務接続、ログ確認、委託先の引継ぎ、例外解除をそれぞれ記録し、以下のチェックリストで責任者と証跡を確認します。

公式一次情報と本記事の対応範囲

一次情報は、下記の日本語版Microsoft Support KB5066470とMicrosoft LearnのWindowsメッセージセンターです。資料日付には、KBは変更履歴の更新日2026-10-19、メッセージセンターは当該告知の公表日2026-10-14を示します。初回公表・更新・適用・確認の意味は本文のとおり区別しています。

本記事は一般的な情報提供と編集上の検討材料であり、個別案件の法的判断・法的助言は行いません。行政書士として契約書類や運用整理等に対応可能かは、関係法令と業務範囲の事前確認が必要です。契約解釈、紛争、代理交渉等は必要に応じて弁護士等の専門家へ確認してください。