サポート切れのコスト——サポート終了システムがIT予算とリスクに与える影響

要点： サポート終了は警告ではなく、価格です。Microsoftは、Windows 10の拡張セキュリティ更新プログラム（ESU）の価格を、1年目はデバイス1台あたりUS$61とし、その後は毎年倍額になり、最長3年間、しかも累積方式であると公表しています。2年目に初めて加入するデバイスは、1年分の保護のために61 + 122 = US$183かかります。判断を先送りするほど、コストは膨らみます。

どのIT予算にも「余裕ができたら入れ替える」という項目があります。ベンダーがある製品のサポートを終了した日に、目に見えて何かが壊れるわけではないため、この項目は毎年そのまま繰り越されがちです。変わるのは、事業が受け取れなくなるものです。セキュリティ修正、技術的な支援、そして新しいソフトウェアが旧来のソフトウェアと並んで動作し続けるという保証です。

本レポートでは、そのコストがいくらになるのかを問い、答えのうち公表価格が存在する部分を取り上げます。Windows 10は2025年10月14日にサポートが終了しました。Microsoftは有償の延長プログラムを販売しており、定価、倍額ルール、累積購入ルールが同社自身のドキュメントに明記されています。そのため、ここで中心に据える数字は、アナリストの推計ではなくベンダーの定価です。その周辺には、同じ証拠から読み取れる、更新見積書には現れないコスト、セキュリティ上のリスク、そしてサポート切れのソフトウェアが「自ら選んで負うリスク」から「満たせない要件」に変わる場面を並べます。

開示事項。 Brocentはマネージドサービス事業者であり、ライフサイクル管理は当社が販売する業務です。この点を補うため、すべての数値を名称の明らかな出典に結び付け、計算過程を公開し、当社自身の所見はそうと明示し、システムを使い切ることが商業的に正しい答えとなるケースも含めました。

主な調査結果

• Microsoftは「現状維持の価格」を公表しています。 2025年11月17日付の最終更新日を持つLearnドキュメントには、組織向けのWindows 10 ESUがボリューム ライセンス経由で1年目はデバイス1台あたりUS$61であること、「価格は毎年倍額になり、最長3年間」であること、最小購入数が1ライセンスであることが記載されています。
• このプログラムは累積方式であり、購入者が見落としがちなのはこの点です。 同ページには「2年目にプログラムを購入する場合、ESUは累積方式であるため、1年目の分も支払う必要があります」とあります。倍額ルールを適用すると、2年目に初めて加入するデバイスは61 + 122 = US$183、3年目に初めて加入するデバイスは61 + 122 + 244 = US$427になります（累積ルールを3年目にも適用した場合）。2年目と3年目の金額はMicrosoftのルールに基づく当社の計算であり、Microsoftが公表している価格ではありません。
• ESUで購入できるのはセキュリティ更新プログラムであり、サポートではありません。 Microsoftは、技術サポートは含まれないこと、新機能やお客様の要望による非セキュリティ更新はないこと、ライセンスキーが有効化される前にデバイスがWindows 10 バージョン22H2であり所定の前提更新プログラムが適用されている必要があることを明記しています。
• セキュリティ上の論拠は、統計に頼らなくても示せます。 CISAのKnown Exploited Vulnerabilities（KEV）カタログには、サポート終了済みの可能性がある製品に影響するとCISA自身が注記した、名称と日付の明らかなエントリが掲載されています。Internet Explorer、Windows ActiveXコンポーネント、D-Linkルーターなどがあり、またサポート終了済みのSharePoint Server 2013以前については、公衆インターネットから切り離すよう所有者に求めています。
• 規制当局や認証制度がルールを明文化している場合、その基準は多くの予算が想定するより厳格です。 シンガポールのCyber Essentialsマーク（2025年4月の第2版）は、サポート終了日に達した資産は「撤去されなければならない」とし、継続利用が必要な場合のために、文書化され上級管理職の承認を得る例外手続きを設けています。

「サポート終了」は警告ではなく価格である

ベンダーや業界メディアは、サポート終了を日付として説明しがちです。この捉え方では、サポート終了は警報になります。つまり、その日に何かが起きるので、備えておくべきだという発想です。より有用なのは、サポート終了によってメーターが回り始めると捉えることです。その日以降は、デバイスを稼働させ続ける毎月が、未パッチの危険にさらされる月か、延長プログラムに支払う月のどちらかになります。

Windows 10については、Microsoftがこのメーターを文書化しています。Microsoft Learnのページ「Extended Security Updates (ESU) program for Windows 10」の最終更新日は2025年11月17日で、当社は本レポートの起草日に再読しました。同ページは、次の内容を一次情報として示しています。

• Windows 10のサポートは2025年10月14日に終了しました。
• 組織向けのESUは、ボリューム ライセンス経由で「1年目はデバイス1台あたり61米ドル」で購入できます。
• 「価格は毎年倍額になり、最長3年間」です。
• 最小のライセンス購入数は1ライセンスで、ESUは年単位で購入する必要があり、期間の途中からの購入はできません。1年目は2025年11月に始まります。
• ESUは、プログラムに登録されたPCに対する重要および重大なセキュリティ更新プログラムを対象とします。新機能、お客様の要望による非セキュリティ更新、設計変更要求は含まれません。

実際の請求額を左右する細部がさらに2点あります。第1に、単位はデバイスであり、ユーザーでも全体の台数でもないため、コストは廃棄できない、あるいは廃棄しないマシンの台数に比例して増えます。第2に、価格はボリューム ライセンス経路の定価です。販売代理店のマージン、現地の税金、為替、契約ごとの割引はこれに上乗せまたは差し引きされますが、Microsoftのドキュメントには記載されていません。

サポート終了後のWindows 10デバイスの動作についても、争いはありません。MicrosoftのFAQ自身が、PCは「引き続き動作する」と述べています。問題はマシンが動くかどうかではありません。動かし続けるために何を支払うのか、あるいはどのようなリスクを負うのか、という点です。

判断の先送りがコストを膨らませる理由

最も注目すべきルールは、累積方式です。1年目を飛ばして後から加入できるのかという当然の疑問に、MicrosoftのFAQは一文で答えています。2年目に購入する場合、「ESUは累積方式であるため、1年目の分も支払う必要があります」。

倍額ルールと組み合わせると、計算は単純です。直感的な読み方が誤りであるため、あえて書き出しておく価値があります。直感的な読み方では、1年待てば請求が1年先送りされると考えます。文書化された読み方では、1年待つと加入時の価格が上がります。

• 1年目に加入： 最初の1年分の保護でデバイス1台あたりUS$61。
• 2年目に初めて加入： US$61 + US$122 = デバイス1台あたりUS$183。1年目にそのデバイスが未登録だったにもかかわらず、Microsoftは1年目の金額の支払いを求めます。
• 3年目に初めて加入： US$61 + US$122 + US$244 = デバイス1台あたりUS$427で、保護は1年分のみです。
• 3年間すべて加入し続ける： 合計はやはりデバイス1台あたりUS$427で、3年分の保護に分散されます。

上記の2年目と3年目の金額は当社の計算です。Microsoftのページが公表しているのは1年目の価格と倍額ルールであり、当社はそのルールを適用しました。サードパーティの販売代理店カタログやボリューム ライセンス契約では、端数処理や価格が異なる場合があるため、購入の判断には契約書の金額を用いてください。

前提を明示した試算例

具体例として、今年中にアップグレードできないWindows 10デバイスが50台ある仮想的な環境を考えます。これは計算の例示であり、実在する企業についての予測ではありません。Microsoftの米ドル定価を用い、販売代理店のマージン、税金、割引は含みません。

• 1年目から加入： 50 × US$61 = 初年度US$3,050。
• 2年目に初めて加入： 50 × US$183 = 実際に保護される最初の年でUS$9,150。
• 3年目に初めて加入： 50 × US$427 = 実際に保護される最初の年でUS$21,350。

同じ台数のデバイスでも、判断が1年目から2年目にずれると、最初の保護年度のコストは3倍になり、3年目までずれると7倍になります。この数字はESUを購入すべきだと主張するものではありません。「来年度の予算で決める」ことが、価格の付いた財務上の判断であることを示しています。

もう1つ、時期に関する事実があります。Microsoftは1年目が2025年11月に始まると述べています。つまりESUの2年目は2026年の秋に始まり、本レポートの公開時期とほぼ重なります。当社は、2年目の対象期間を引用できる形で示した信頼できるページを確認できていません。そのため、日付はご自身のライセンス契約で確認してください。

更新見積書に現れないコスト

サポート切れの環境にかかるコストのうち、ライセンス費用は最小の部分です。ライセンス費用はベンダー側の負担にしか対応しないためです。それ以外のコストは自社側にかかり、その根拠はそれぞれ、調査ではなくMicrosoft自身のドキュメントから得られます。

サポートは含まれず、互換性は徐々にずれていく

Microsoftは、技術サポートがESUに含まれないことをはっきり述べています。ドキュメントによれば、ESUに含まれるのは「ライセンスのアクティベーション、インストール、およびESU自体に起因し得る不具合に対するサポートのみ」であり、それらの問題であっても技術サポートを受けるには、有効なサポートプランが必要です。より一般的には、MicrosoftのWindowsライフサイクルFAQが、オペレーティングシステムがサポート終了に達すると「お客様は技術支援、ソフトウェア更新プログラム、セキュリティ修正を受けられなくなる」と述べています。つまり延長プログラムで買えるのは、この3つのうち1つです。さらにMicrosoftは、サポート対象外のシステムを使い続けるほど、「新しいプログラムやハードウェアが古いOS上で十分な性能を発揮しない可能性が高まる」と指摘しており、これは予算外の小規模なプロジェクトとして表面化します。たとえば、インストールできない業務アプリケーションの新リリースや、ドライバーのない周辺機器などです。

管理作業は実際の仕事である

延長プログラムの有効化は、スイッチではなく手順です。2026年4月21日付の最終更新となっているMicrosoftのESU有効化ガイダンスは、各デバイスがWindows 10 バージョン22H2であり、指定の累積更新プログラムと別個のESUライセンス準備パッケージが適用されていることを求めています。また、特定のボリューム ライセンスのロールを持つ担当者が、Microsoft 365 管理センターから複数アクティベーション キー（MAK）を取得することも求めています。ESUの各年度には固有のアクティベーションIDがあり、デバイスはMicrosoftのアクティベーション サーバーにアクセスできるか、手動の電話アクティベーション手順を踏む必要があり、再イメージ化したマシンではキーのアクティベーション上限の引き上げが必要になる場合があります。日常的に行っているチームにとっては難しくありませんが、毎年繰り返される作業です。前提更新プログラムが適用されていないデバイスは、費用を支払った更新プログラムを受け取れません。

1つのアプリケーションが全体の足かせになりうる

Windows 11には、多くのWindows 10マシンが満たしていない可能性のあるハードウェア最小要件があります。Microsoftが挙げているのは、対応する64ビット プロセッサ、4 GBのメモリ、64 GBのストレージ、セキュア ブート対応のUEFIファームウェア、TPM 2.0です。このいずれかを満たさないマシンはインプレース アップグレードできないため、更新対象またはESUの購入対象になります。これとは別に、新しいオペレーティングシステムで動作しないレガシー アプリケーションが1つあるだけで、他の点では十分な性能のマシンが旧OSに縛り付けられることがあります。

請求書のセキュリティ面

セキュリティ上の論拠は、通常は集計統計を用いて語られます。当社は統計を用いません。サポート切れ製品が関与するインシデントの割合を測定した一次情報を見つけられなかったためです。名称の明らかなエントリで誠実に示せるのは、攻撃者がベンダーのサポートが終了した製品を実際に悪用しており、悪用状況を追跡する公開カタログがそれを記載しているということです。

Known Exploited Vulnerabilities（KEV）カタログは、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が管理しています。同ページには、CISAが「実環境で悪用されている脆弱性についての信頼できる情報源を維持している」とあり、「組織はKEVカタログを、自社の脆弱性管理における優先順位付けの枠組みへの入力として使用すべきである」と勧告しています。当社は本レポートの起草日にカタログの機械可読ファイルをダウンロードしました。バージョンは2026.10.13、公開日は2026年10月13日で、エントリ数は1,741件でした。

何かを集計するのではなく、当社はサポート終了の状態に自らのテキストで言及している個別のエントリを読みました。各エントリはCVE識別子で検索できます。

• CVE-2025-53770、CVE-2025-49704、CVE-2025-49706（Microsoft SharePoint Server）。 2025年7月にカタログに追加されました。必須対応の記述には、一部に次のようにあります。「サポート終了（EOL）またはサービス終了（EOS）に達した、公衆に公開されているSharePoint Serverのバージョンを切断すること。これにはSharePoint Server 2013以前のバージョンが含まれる。」CVE-2025-53770のエントリには、ランサムウェア攻撃キャンペーンでの使用が確認されていると記録されています。
• CVE-2010-0249（Microsoft Internet Explorer）。 2026年5月に追加されました。エントリには、影響を受ける製品が「サポート終了（EoL）やサービス終了（EoS）に達している可能性がある」こと、そしてユーザーは「その製品の利用を中止すべきである」ことが記されています。
• CVE-2013-3918（Windows ActiveXコンポーネント）。 2025年10月に追加され、同じサポート終了に関する文言が付されています。
• CVE-2022-37055（D-Linkルーター）。 2025年12月に追加され、同じ文言が付されています。ネットワーク機器も同様に寿命を迎え、エッジ デバイスは攻撃者が最初に出会う対象です。

3つの注意点があります。このカタログが一覧にしているのは脆弱性であり被害者ではないため、悪用が存在することは示せても、その頻度は示せません。CISAの文言は断定を避けたもの（「サポート終了済みの可能性がある」）であり、当社もその留保を保っています。また、カタログ内の期限は米国連邦政府機関向けの期限であり、それ以外の組織にとっては参考情報です。実務上の読み方は限定的です。有償の延長プログラムが低減するのはオペレーティングシステムの脆弱性へのリスクであり、同じ環境内にあって独自のサポート終了日を持つアプリケーション、ファームウェア、アプライアンスには何の効果もありません。パッチ適用のサイクルとガバナンスという別の問いについては、当社のガイドアジア太平洋地域におけるパッチ管理と監査人が確認する点をご覧ください。本レポートが扱うのは、パッチを当てるものがもう残っていない場合に何が起きるかです。

サポート切れが「リスク」ではなく「障害」になる場面

コストとリスクは、事業が負うことを選択できるものです。それとは別に、制度、規格、規制当局がルールを明文化していて、サポート切れの資産がそれに適合しない場面があります。これらは市場や制度ごとに異なるため、個別に整理します。

シンガポール：Cyber Essentialsマーク

Cyber Essentialsマークは、シンガポールサイバーセキュリティ庁（CSA）が発行しています。当社が確認した版は、2025年4月に公表された第2版です。したがって、条項番号に依拠する前に、CSAのサイトで後の版が出ていないか確認してください。この文書によれば、このマークは「IT・サイバーセキュリティの専門知識やリソースが限られた」組織向けに設計されており、組織は手引き付きの自己評価を行い、その後に認証機関による独立した評価を受けます。また、「組織がCyber Essentialsマークの認証を受けるには、すべての要件を満たさなければならない」とされ、認証の有効期間は2年間です。

本レポートに直接関わる条項は3つあります。

• インベントリにはサポート終了日を記載すべきです。 資産管理の条項は、ハードウェアのインベントリに各資産の「サポート終了（EOS）日」を含めるべきこと、ソフトウェアのインベントリにも同様に「EOS日」を含めるべきことを定めています。また、インベントリを少なくとも年2回見直すことも推奨しています。
• サポート終了の資産は「撤去されなければならない」。 条項A.2.4 (f)は、「許可されていないハードウェアおよびソフトウェア資産、またはそれぞれのEOS日に達した資産は撤去されなければならない。」と定めています。
• 例外手続きがあります。 条項A.2.4 (g)は、EOS資産の継続利用が必要な場合、「組織はサイバーセキュリティ リスクを評価して理解し、上級管理職の承認を得て、その資産が置き換えられるまで監視しなければならない」と述べています。

文書の別の箇所では、ソフトウェア更新の条項が、カメラやプリンターなどのIoT機器で「ソフトウェアのパッチや更新を受け取っていない」ものは撤去または交換すべきだとしており、マルウェア対策の条項は、対象に含まれる場合には完全にサポートされたWebブラウザーとメールクライアント ソフトウェアのみを使用すべきだとしています。どちらも義務（「shall」）ではなく推奨（「should」）として書かれているため、当社は障害要因として扱いません。

したがって、正確な要約は「古いシステムがあると認証されない」ではありません。この制度が組織に求めているのは、サポート終了日を把握し、それを過ぎた資産を撤去し、残すものについては文書化、承認、監視を行うことです。文書化されていないレガシー サーバーは指摘事項になります。所有者、リスク評価、置き換え期日が文書化されているサーバーは、プロセスが機能している状態です。個々の認証機関が実務でどのように判断を適用するかについては、当社は述べることができません。

香港：データセキュリティ上の義務

香港については、あまり具体的に述べることができず、その旨をお断りします。個人データ・プライバシー専員公署（PCPD）は、2022年8月30日に、情報通信技術におけるデータセキュリティ対策に関するガイダンス ノートを発行しました。PCPDは、2022年の最初の7か月間に68件のデータ侵害通知を受け、そのうち約4分の1がデータ利用者の情報通信技術システムの脆弱性に関わるものであったと報告しています。個人データ（プライバシー）条例のデータ保護原則4は、データ利用者に対し、個人データを不正または偶発的なアクセス、処理、消去、紛失、使用から保護するために、実行可能なあらゆる措置を講じることを求めています。

本調査の間、PCPDのウェブサイトが自動アクセスを遮断していたため、ガイダンス ノート本体を開くことができませんでした。そのため、サポート対象外のソフトウェアについてそこに何が書かれているか、また規制当局がサポート対象外のシステムをどのように扱うかについては、当社は述べません。そのようなシステムで個人データを保有している組織は、ガイダンス ノートを直接お読みになり、「実行可能なあらゆる措置」という基準が自社の事実関係にどう適用されるかについて助言を受けてください。

決済カード環境：3つの市場すべて

Payment Card Industry Data Security Standardは、カードデータが扱われる場所すべてに適用されるため、香港、シンガポール、米国に固有のものではありません。PCI Security Standards Councilが公表した変更点の要約には、バージョン4.0の新要件12.3.4として「使用中のハードウェアおよびソフトウェア技術を少なくとも12か月に1回見直すこと」が挙げられ、2025年3月31日まではベスト プラクティスと位置付けられていました。この日付以降は、評価の一部となっています。要件の全文は入手できなかったため、当社はCouncilの要約が述べている内容のみを報告します。

引き継いだ環境の実態

このセクションは、クライアントのIT環境を引き継いできた経験に基づく、Brocent自身の定性的な所見です。件数、割合、平均値は含まれておらず、データではなく経験談としてお読みください。

環境を引き継ぐとき、問題は明らかに古い1台のマシンであることはまれです。繰り返し現れるパターンがあります。

• 1つのアプリケーションのために次のオペレーティングシステムに移行できないマシン。 ハードウェアには問題がありません。古く、しかも一度購入したきりであることが多い業務アプリケーションが、より新しいものでは動作せず、マシン全体がそれに縛られています。
• 更新を誰も担当していないため稼働し続けているアプライアンス。 ファイアウォール、スイッチ、ストレージ アレイがキャビネットに置かれています。購入した担当者が退職した時点でサポート契約が失効し、組織のカレンダーにはそのサポート終了日が記録されていません。
• 「来年度の予算で」というループ。 入れ替えの費用は見積もられ、先送りされ、繰り越されました。毎年、少しずつ高くなり、少しずつ緊急性が増し、そして毎年また先送りされます。
• 誰も経過年数を把握していない環境。 一覧がありません。経過年数や日付は1人の頭の中にあり、その人が去れば、ライフサイクル計画も一緒に失われます。

今すぐ更新、ESUのうえ後で更新、使い切る：比較

適切な答えは、デバイス、それが接続している先、そして保持しているものによって異なります。比較には、価格が公表されているWindows 10のケースを用います。サーバーやアプライアンスにも同じ論理が当てはまりますが、日付は異なります。

選択肢の比較

• 今すぐ更新する。 時間が経つ前にデバイスを交換またはアップグレードします。コスト：ハードウェアと移行作業の人件費で、1回限りです。強み：繰り返し発生する延長費用がなく、サポート対象のプラットフォームを何年も使えます。弱み：先行投資として資本が必要で、急いだ移行は計画的な移行より費用がかかる場合があります。最適な対象：いずれにせよWindows 11の最小要件を満たさないデバイス、および機密データを扱うデバイスやネットワークの境界にあるデバイス。
• ESUを購入し、更新は後で行う。 計画的な入れ替えの予定を組む間、延長プログラムの費用を支払います。コスト：1年目はデバイス1台あたりUS$61で、Microsoftの倍額ルールに従って上昇します。強み：緊急事態をスケジュールに変え、オペレーティングシステムのセキュリティ更新プログラムを購入できます。弱み：累積方式のため開始が遅いほどコストが高くなり、技術サポートは含まれません。最適な対象：管理された展開に1年近くかかる混在環境で、1年目から加入を始める場合。
• ワークロードをクラウド デスクトップに移す。 Microsoftは、Windows 365、Azure Virtual Desktop、Azure仮想マシン上のWindows 10仮想マシンではESUが追加費用なしで利用できること、また、Windows 365 Cloud PCに接続するWindows 10エンドポイントは、有効なWindows 365サブスクリプション ライセンスがあれば最大3年間ESUの対象となることを述べています。コスト：サブスクリプションまたはホスティング費用。強み：古いエンドポイントとサポート対象のデスクトップを切り離せます。弱み：1つの継続コストを別のものに置き換えるだけで、接続環境が必要です。最適な対象：サポート対象のデスクトップが必要だが、デバイスをアップグレードできない、少数のアプリケーションまたはユーザー。
• 使い切る（セグメント化して）。 デバイスを更新なしで稼働させ続け、ネットワークの他の部分およびインターネットから隔離し、所有者、文書化されたリスク受容、廃止期日を設けます。コスト：隔離と監視の工数。強み：隔離された単一目的のデバイス、たとえば1台の装置を制御し機密データを保持しないマシンにとっては、商業的に正しい答えになりえます。弱み：隔離が実効性を保つ間、かつ受容が見直される間に限り、妥当です。最適な対象：特殊な装置のコントローラーやテスト ベンチ。決して適さない対象：インターネットに接続するデバイス、個人データを保持するデバイス、社内ネットワーク上にあるデバイス。

「使い切る」は、所有者と終了日を伴う記録された決定であれば、失敗ではありません。これは、前述のシンガポールの例外手続きと同じ形をしています。評価し、承認し、監視し、置き換える。ただし、誰も決めなかった結果として生じるデフォルトであってはなりません。

サーバーとハードウェアは別の判断

サーバー、ストレージ、ネットワーク機器では、同等の選択はしばしば、更新と、メーカーがサポートを終了した後に独立した企業がハードウェアを支援するサードパーティ保守との間になります。このルートがどのくらいの頻度で選ばれているかについて、当社は公開データを持たないため、判断のルールだけをお示しします。保守の費用を見積もり、入れ替えの費用を見積もり、どちらを選んだか、どの期間かを書き留めてください。

サーバーの日付は、今のうちに把握しておく価値があります。Microsoftのライフサイクル表は、Windows Server 2016のメインストリーム サポートが2022年1月12日に終了し、延長サポートが2027年1月13日に終了すると記載しています。同じ表では、Windows Server 2012 R2の延長サポートは2023年10月に終了し、有償の拡張セキュリティ更新プログラムの3年目で最後の年が2026年10月14日に終了したと記載されています。Exchange Server 2019の延長サポートは2025年10月に終了すると記載されています。これらは個別の製品と日付です。ある製品の日付を別の製品に一般化しないでください。

実際に維持できるライフサイクル台帳を作る

上記のどの選択肢も、ほとんどの組織が持っていない文書に依存しています。保有するものと、それぞれがいつサポート対象外になるかを日付付きで一覧にしたものです。シンガポールのCyber Essentialsマークは、その項目を示しています。ハードウェアでは、モデル、資産タイプ、保証情報、設置場所、所有者、ベンダーの連絡先、サポート終了日。ソフトウェアでは、名称、発行元、バージョン、EOS日です。専任のセキュリティチームを持たない組織向けに設計されているため、どの市場でも実用的なテンプレートになります。

担当者が変わっても残る台帳には、いくつかの特性があります。

• 資産ごとに、名前の付いた所有者を1人置く。 所有者のいないデバイスは、更新の担い手がいないデバイスです。
• 状態ではなく日付を記録する。 「古い」は項目になりません。「サポートは2027年1月13日に終了」は項目になり、並べ替えもできます。
• 日付はベンダーから取得する。 ベンダーのライフサイクルのページから取得し、そのページと閲覧した日を記録します。たとえばMicrosoftのページには、固有の最終更新日が記載されています。
• 年2回の見直しと、何かを購入または廃棄した際の随時見直し。 シンガポールの文書は半年ごとの見直しを推奨しています。これは目標ではなく最低限です。
• 日付から12か月以内にあるすべての項目に判断を下す。 各項目に、上記4つの結果のいずれかを、所有者と日付とともに割り当てます。判断のない項目こそが、本当の指摘事項です。
• 日付の後ではなく、前に予算の項目を設ける。 上述の累積ルールが、これを裏付ける財務上の根拠です。

当社側では、Brocentのすべてのプランに、パッチ管理と、テクノロジー ロードマップを持つ専任のvCIOが含まれています。ライフサイクル台帳が個別に約束された成果物であるとは主張せず、それによる節減額の数値も公表しません。現在の定価を以下に示します。料金ページと同じデータから生成されているため、ここで古くなることはありません。これらは1ユーザー1か月あたりの価格であり、ESUはデバイス単位であるため、比較は行いません。米国の価格はプランの区分のみを対象としています。

各プランに含まれる内容の詳細は、BrocentのマネージドITサポートと料金をご覧ください。この問いのもう半分、つまりアプリ、デバイス、ベンダーの数が人員よりも速く増える場合に何が起きるかについては、ITスプロール（アプリ・デバイス・ベンダーの乱立）の隠れた運用コストに関する調査をご覧ください。さらに、曲線の終点が実際にどうなるか、つまりデバイスを安全に使用から外す必要がある場合については、シンガポールの製造業におけるITアセットの安全な廃棄とデコミッショニングの実例をご覧ください。

本レポートが主張しないこと

調査レポートの有用性は、その限界がどれだけ明確かで決まります。以下が当社の限界です。

• サポート切れのシステムがどれだけ広がっているか、またそれがどのくらいの頻度で侵害されるかを、定量化していません。 香港、シンガポール、米国のいずれについても、そのための一次情報を見つけられませんでした。KEVのエントリが示すのは悪用が現実に存在することであり、その頻度ではありません。
• ESUの2年目と3年目の金額は、当社の計算です。 Microsoftの1年目の価格と倍額ルールに基づく、販売代理店のマージン、税金、割引を除いた米ドルの定価です。50台のデバイスという想定は仮想的なものです。実際に支払う金額については、お客様の契約が正式な根拠です。
• シンガポールの条項は、Cyber Essentialsマークの2025年4月付の第2版によるものです。 CSAの最新の公表版をご確認ください。
• 香港のセクションは意図的に薄くしています。 また、保険の結果に関する読める情報源も見つけられなかったため、どちらについても主張しません。
• Brocentの所見は当社自身のものです。 定性的で、クライアント環境の引き継ぎから得られたものであり、標本ではありません。

よくある質問

Windows 10の拡張セキュリティ更新プログラム（ESU）は、デバイス1台あたりいくらですか。

Microsoftは、ボリューム ライセンス経由で購入する組織向けに、1年目はデバイス1台あたりUS$61と明記しており、価格は毎年倍額になり、最長3年間です。このルールを適用すると、2年目はUS$122、3年目はUS$244となりますが、この2つの金額はMicrosoftのページに記載された価格ではなく、当社の計算です。定価には販売代理店のマージン、税金、割引は含まれません。

最初のESU年度を飛ばして、後から購入できますか。

可能ですが、飛ばした年度の分も支払うことになります。Microsoftのドキュメントには、2年目に購入する場合は1年目の分も支払う必要があると、「ESUは累積方式であるため」と記されています。したがって、2年目に初めて加入するデバイスは定価でUS$183、3年目に初めて加入するデバイスはUS$427となり、保護は1年分です。

サポート終了日を過ぎたシステムを使い続けても安全ですか。

そのシステムが何に接続し、何を保持しているかによります。正直な答えは「記録された判断がある場合に限る」です。CISAのKnown Exploited Vulnerabilitiesカタログには、サポート終了済みの可能性がある製品に影響するとCISAが注記したエントリが含まれており、少なくとも1件では、サポート終了済みで公衆に公開されているサーバーを切断するよう所有者に求めています。機密データを保持せず、所有者、文書化されたリスク受容、廃止期日を備えた隔離デバイスは、正当化できる例外です。インターネットに接続するデバイスや、個人データを扱うデバイスは、通常はそうではありません。

シンガポールのCyber Essentialsマークは、サポート終了の資産について何と述べていますか。

2025年4月付の第2版では、条項A.2.4 (f)が、サポート終了日に達した資産は「撤去されなければならない」と定め、条項A.2.4 (g)は、組織がリスクを評価し、上級管理職の承認を得て、その資産が置き換えられるまで監視する場合にのみ、継続利用を認めています。この制度はまた、インベントリに各資産のサポート終了日を記録することも求めています。条項番号に依拠する前に、CSAの最新版をご確認ください。

Windows Server 2016と2012 R2は、いつサポートが終了しますか。

Microsoftのライフサイクル表は、Windows Server 2016の延長サポートが2027年1月13日に終了すると記載しています。Windows Server 2012 R2については、延長サポートは2023年10月に終了しており、有償の拡張セキュリティ更新プログラムの3年目で最後の年は2026年10月14日に終了したと記載されています。各製品には固有の日付があるため、お使いのエディションについては、ベンダーのライフサイクルのページで日付をご確認ください。

クラウド デスクトップは、ESUの価格を回避する手段になりますか。

一部のワークロードについては、なります。Microsoftは、Windows 365、Azure Virtual Desktop、Azure仮想マシン上のWindows 10仮想マシンは追加費用なしでESUを受けられること、また、Windows 365 Cloud PCに接続するWindows 10エンドポイントは、有効なサブスクリプションがあれば最大3年間ESUの対象となることを述べています。ただし、コストがサブスクリプションに移り、接続環境にも依存するため、これはトレードオフであって、当然に節約になるわけではありません。