TPMとは？ThinkPadのセキュリティ機能とThinkShield

ThinkPadの製品ページには「ThinkShield」「TPM」「自己修復BIOS」と、セキュリティの言葉がたくさん出てくる。Windows 11では「TPM 2.0」が必要と聞くし、BitLockerの回復キーを急に求められて困った人もいるだろう。この記事では、ThinkShieldの中身を「何を守る機能か」「ThinkPadでは標準か、注文時に選ぶものか」「自分でやることは何か」の3つで整理する。

• TPM 2.0は、暗号化の鍵を守るチップで、Windows 11の要件である。今回調べた現行のThinkPadはすべて備えていて、tpm.mscで確かめるだけでよい
• ThinkShieldは、Lenovoのセキュリティ機能とサービスの総称。1つのソフトではなく、インストールも要らない。指紋・顔認証・覗き見防止の液晶は、機種と注文時の構成で決まる
• 自分でやることは3つ。BitLockerの回復キーの保存先を確かめる 、WindowsとBIOSを最新にする 、TPMとセキュアブートを切らない 

目的別に読むなら：TPMが有効か確かめたい ／回復キーを求められた ／買う前に機能を選びたい 。

ThinkShieldとは何か

ThinkShieldは、Lenovoが法人向けのPCに使っているセキュリティの名前である。Lenovoの日本のページは「PCからクラウドまで、ハード・ソフト・サービスなど、あらゆる規模に適した包括的なセキュリティ」と説明し、「サプライチェーン」「OS下層」「OSからクラウドへ」「サポート」の4つの柱を挙げている（Lenovo ）。

中身は、大きく2つに分けられる。この分け方はLenovoの公式な区分ではなく、この記事での整理である。

• ThinkPadに最初から入っている機能：TPM（セキュリティ・チップ）、自己修復BIOS、BIOSパスワード、カメラのシャッター、指紋・顔認証など。個人で買ったThinkPadでもそのまま使える
• 法人が別に契約するソフト・サービス：AIで脅威を見つけるXDR、Absoluteによる端末の管理、ファームウェアの監視など。会社のIT部門が使うもので、個人が気にする必要はほとんどない

「Lenovoのパソコンにセキュリティソフトは付いているか」という疑問もよく見る。ThinkShieldはウイルス対策ソフトではない。個人で使うなら、Windowsに入っているMicrosoft Defenderでウイルス対策をし、ThinkShieldはその下でPCそのものを守る仕組みと考えるとわかりやすい。

機能	何を守る	ThinkPadでは
TPM 2.0	暗号化の鍵やサインインの鍵を盗まれること	調べた現行機すべてに搭載
セキュアブート	起動時に不正なプログラムが動くこと	出荷時に有効なのが普通
自己修復BIOS	BIOSの破損・改ざん	調べた現行機すべてに搭載
BIOSパスワード	他人がPCを起動・設定すること	どの機種でも設定できる
カメラのシャッター	カメラでののぞき見	調べた現行機すべて（X9は電子式）
指紋・顔認証	サインインのなりすまし	機種と構成による
PrivacyGuard	画面の横からののぞき見	T14・T14s・X1 Carbonなど一部の構成

出典：ThinkShield（Lenovo） 、X1 Carbon Gen 14の仕様（Lenovo・英語） 

「調べた現行機」は、X1 Carbon Gen 14、X1 2-in-1 Gen 11、T14／T14s Gen 7、X13 Gen 7、E14 Gen 8、L14 Gen 7、X9、P1 Gen 9、P14s Gen 7、P16s Gen 5。16型のT16・E16・L16などは確かめていない。

TPMとは？Windows 11に必須の理由

TPM（トラステッド・プラットフォーム・モジュール）は、暗号化の鍵を安全にしまっておくためのチップである。Lenovoの用語集は、暗号鍵を組み込んでハードウェアを守る専用の部品だと説明している（Lenovo・英語 ）。

TPMそのものがファイルを暗号化するわけではない。BitLockerの暗号化の鍵、Windows Helloのサインインに使う鍵、起動時に「BIOSやWindowsが書き換えられていないか」を確かめた記録などを、取り出されにくい形で守る役目である。Microsoftは、TPM 2.0をWindows 11の要件としている（Microsoft・英語 ）。

なお、「TPMとは」で検索すると、工場の設備を守る活動（Total Productive Maintenance）の記事も多く出てくる。この記事で扱うのは、PCのチップのTPMである。

ThinkPadのTPMは独立したチップ

TPMには、マザーボードに独立したチップを載せる方式（dTPM）と、CPUの中の機能で作る方式（fTPM）がある。現行のThinkPadは、海外の仕様表でX1・T・X13・E・L・X9の各シリーズが「Discrete TPM 2.0」（独立したチップ）とされている。P1 Gen 9やP14s Gen 7などは、CPUの中のTPM（Firmware TPM 2.0）と独立したチップの両方が書かれている（X1 Carbon Gen 14 、P1 Gen 9 ・英語）。

どちらの方式でもWindows 11の要件は満たす。今のThinkPadを使う人は、方式の違いを気にしなくてよい。なお、Windows 11にはTPMのほかにCPUの世代などの要件もあるので、古い機種ではTPMがあっても入れられないことがある。

TPMの確認方法と有効化

今回調べた現行のThinkPadはTPM 2.0を備えているので、多くの人は「有効になっているか見るだけ」でよい。確かめ方は2つある。

• tpm.mscを開く：Windowsキー＋Rを押して「tpm.msc」と入力し、OKを押す。製造元の情報の「仕様バージョン」が2.0なら問題ない（Microsoft・英語 ）
• Windowsセキュリティを見る：「Windowsセキュリティ」→「デバイス セキュリティ」に「セキュリティ プロセッサ」があれば、TPMが働いている

「互換性のあるTPMが見つかりません」と出たら、BIOSでTPMが無効になっている可能性がある。ThinkPadのBIOSでは、TPMは「Security Chip」という名前で「Security」メニューの中にある（古い機種の資料による。現行機の項目名は機種で違うことがある）。BIOSは、電源を入れてすぐF1キーを押すと開ける。詳しくはBIOSの記事 にまとめた。

ゲームのチート対策などで「セキュアブート」も求められたときは、Windowsキー＋Rで「msinfo32」を開き、「セキュア ブートの状態」が「有効」になっているかを見る。

「Clear Security Chip」は押さない

BIOSには、TPMの中身を消す「Clear Security Chip」という項目がある。消すとTPMに入っていた鍵がなくなり、BitLockerの回復キーを求められ、キーがないとデータを読めなくなるおそれがある。Windows HelloのPINなども設定し直しになる。修理や譲渡の前など、理由があるときだけ、回復キーを手元に用意してから使う。

古いThinkPadには、TPMが1.2までの機種もある。その場合は2.0にできないことが多く、Windows 11の要件を満たさない。

BitLockerと回復キーの注意

BitLockerは、SSDの中身をまるごと暗号化するWindowsの機能である。PCをなくしても、SSDを抜き取られても、中のデータを読まれにくくなる。TPMは、この暗号化の鍵を守る役を受け持つ。

• 設定した覚えがなくても有効なことがある：Windows 11では、TPMとセキュアブートがあるPCにMicrosoftアカウントでサインインすると、「デバイスの暗号化」が自動で有効になり、回復キーがそのアカウントに保存されることがある。24H2以降を新しく入れたときやリセットしたときに起こりやすいと報じられている
• 切らずに使ってよい：紛失や盗難のときにデータを守る仕組みなので、有効のままがよい
• 回復キーの保存先を今確かめる：別のPCやスマートフォンでMicrosoftの回復キーのページ （aka.ms/myrecoverykey）を開き、Microsoftアカウントでサインインすると見られる。会社のPCは、会社の管理者が持っている。ページに何も出なければ、「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」（ProはBitLockerの管理画面）で、暗号化が有効かとキーの控え方を確かめる

回復キーを求められるのは、TPMが「PCの状態が変わった」と判断したときである。たとえば、BIOSの更新、TPMのクリア、セキュアブートなどのBIOS設定の変更、マザーボードを交換する修理のあとに起こりやすい。Microsoftは、なくした回復キーを再発行できないとしている（Microsoft ）。修理に出す前やBIOSを更新する前には、回復キーを控えておきたい。Pro版なら、BitLockerの管理画面の「保護の中断」で、更新のあいだだけBitLockerを一時停止することもできる。

キーが見つからない、入力できない、毎回求められるといったときの対処は、次の記事にまとめた。

セキュアブートと証明書更新

セキュアブートは、PCの起動時に、BIOSが起動するプログラムの電子署名を確かめ、信頼できる署名のものだけを動かす仕組みである。Lenovoの用語集は、BIOSで無効にできるが、特別な理由がなければ勧めないとしている（Lenovo・英語 ）。Windows 11の要件の1つでもある。

Linuxを入れる人は、セキュアブートで起動が止められることがある。機種によっては、BIOSで「Allow Microsoft 3rd Party UEFI CA」を有効にすると起動できるという報告がある。無効にする前に、この設定を確かめるとよい。

2026年の証明書の期限切れ

先に結論を書くと、ふだんどおり起動しているなら、慌てなくてよい。セキュアブートで使われるMicrosoftの証明書（2011年版）が、2026年6月から10月にかけて順に有効期限を迎えた。新しい2023年版の証明書への切り替えは、Windows UpdateとBIOSの更新で進められている。期限が過ぎても、今のWindowsがすぐ起動しなくなるわけではないとされる。Lenovoも、法人向けの技術資料で証明書の更新方法を案内している（Lenovo Press・英語 ）。

やることは、Windows UpdateとBIOSの更新を止めないことである。BIOSの更新のしかたは更新方法の記事 に書いた。ThinkPadの機種ごとに必要なBIOSの版は、この記事では確かめられなかった。証明書の更新のあとにBitLockerの回復キーを求められたという報告もあるので、前の節のとおり回復キーを確かめておきたい。

自己修復BIOSとパスワード

自己修復BIOS（Self-healing BIOS）は、BIOSが壊れたり書き換えられたりしたときに、正常なバックアップから自動で元に戻す機能である。Lenovoは、ThinkShieldの自己修復BIOSはビジネス向けのPCに標準で入っているとしている（Lenovo ）。海外の仕様表では、エントリー向けのE14 Gen 8も含め、今回調べた現行機すべてに書かれている。

ユーザー・ガイドによると、復旧中は画面が真っ暗なまま、キーボードのランプが点滅して進み具合を知らせることがある。このときは電源ボタンを押さず、ロゴが出るまで待つ（Lenovo・英語 ）。

BIOSパスワード

BIOSには、電源を入れるときのパワーオン・パスワード、BIOSの設定を守るスーパーバイザー・パスワード、SSDを守るNVMeパスワードなどがある。PCを盗まれたときや、他人に設定を変えられないための守りである。ただし、スーパーバイザー・パスワードを忘れると、有償でシステムボードを交換するしかない。NVMeパスワードを忘れると、SSDのデータは読めなくなる。設定するなら、控えを安全な場所に残す。種類と設定のしかたはBIOSの記事 で解説した。

PrivacyGuardと人感検知

PrivacyGuardは、画面に組み込まれた覗き見防止の機能で、キー操作で横からの見え方を狭くする。後から貼るプライバシーフィルターと違い、必要なときだけ切り替えられる。現行機では、T14 Gen 7、T14s Gen 7、P14s Gen 7（AMD）などの一部の構成で選べる。X1 Carbon Gen 14とX1 2-in-1 Gen 11は、日本の製品ページで選べるようになっている。

T14 Gen 7とT14s Gen 7（Intel）の海外の仕様表には、PrivacyGuardの画面と組み合わせたPrivacy Alertもある。後ろからのぞき込む人を見つけて知らせる機能である（Lenovo・英語 ）。

• 注文時にしか選べない：PrivacyGuardは液晶そのものの違いなので、買った後に付け足すことはできない
• 画面が少し暗く見えることがある：視野を狭める仕組みのため、利用者からは「通常の液晶より暗く感じる」「オフでも視野角がやや狭い」という声もある
• E・L・X13・X9は選べない：これらの機種では、後から貼るプライバシーフィルターを使う

離席すると自動でロックする人感検知

T14、T14s、X13などは、カメラやセンサーで人がいるかを見分ける人感検知を選べる。X1 Carbon Gen 14、X9、P1 Gen 9は標準で付く（OSなしのモデルを除く）。Lenovoは、P1 Gen 9で「席を離れると自動的にデバイスをロックします」と説明している（Lenovo ）。「数秒で画面が暗くなる」「勝手にロックされる」と感じたら、この機能が働いている可能性がある。設定の場所は機種で違うが、Windowsの「設定」→「システム」→「電源とバッテリー」の画面やBIOSで調整できる機種が多い。

カメラのシャッターと顔認証

今回調べた現行のThinkPadは、どれもカメラにプライバシーシャッターが付いている。以前は「ThinkShutter」と呼ばれていた、カメラの上をスライドさせて覆う仕組みである。X9だけは、キーでカメラを止める電子式のシャッターである。

カメラが映らない、ビデオ会議で真っ黒になるときは、まずシャッターが閉じていないかを見る。シャッターを閉じると、顔認証も使えなくなる。ほかの原因と直し方はカメラの記事 にまとめた。

顔認証と指紋

• 顔認証（Windows Hello）：IRカメラ（赤外線カメラ）の付いた構成で使える。X1 Carbon Gen 14、X9、P1 Gen 9は標準で、T14・E14・L14などは注文時に選ぶ
• 指紋：電源ボタンと一体の指紋センサー。指紋のデータをセンサーの中で照合する「Match on Chip」方式である。機種によって標準か選択かが違う。設定は指紋認証の記事 で

IRカメラも指紋センサーも、注文時に選ばなかった構成には後から付けられないと考えたほうがよい。

盗難・紛失対策とAbsolute

• セキュリティスロット：側面の小さな穴に、ワイヤーロックをつなぐ。現行機は「Kensington Nano Security Slot（2.5×6mm）」で、ナノスロットに合うワイヤーを選ぶ。X9にはスロットがない
• Absolute（旧Computrace）：ファームウェアに組み込まれた仕組みで（Lenovo ）、紛失したPCの把握や、上位のプランでは遠隔でのロック・データ消去ができる。使うにはAbsoluteの有償の契約が必要で、主に法人向けである（Lenovo・英語 ）
• 譲渡・廃棄のとき：BIOSの「ThinkShield secure wipe」で、SSDの中身を消去できる。X1 Carbon Gen 13のユーザー・ガイドでは、起動時にF12を押し、App Menuから選ぶ（Lenovo・英語 ）。手順は初期化の記事 に書いた

BIOSの「Absolute Persistence」の項目には「Permanently Disabled」（永久に無効）という選択肢があり、一度選ぶと戻せないという報告がある。個人で使うなら、触らずにそのままでよい。中古の法人向けPCを買った場合は、元の会社の管理が残っていないかも気にしたい。

修理で交換した古いハードディスク（HDD）を手元に残し、情報が漏れるのを防ぐ「ハードディスク返却不要サービス」も、Lenovoの日本のサービスのページで案内されている（Lenovo ）。保証と修理のサービス全体は保証・修理の記事 にまとめた。

機種別の搭載機能一覧

現行の主なThinkPadで、構成によって変わる機能をまとめた。先に目安を書くと、外で覗き見が心配ならT14かT14s、顔認証と指紋を最初から付けたいならX1 CarbonかX9、価格を抑えて基本の守りがあればよいならE14である。

機種	指紋	顔認証（IRカメラ）	PrivacyGuard	人感検知
X1 Carbon Gen 14	標準	標準	選択（日本）	標準
T14s Gen 7（Intel）	選択	選択	選択	選択
T14 Gen 7（Intel）	選択	選択	選択	選択
X13 Gen 7	選択	選択	なし	選択
E14 Gen 8	選択	選択	なし	なし
L14 Gen 7	選択	選択	なし	なし
X9 14	標準	標準	なし	標準
P1 Gen 9	標準	標準	記載なし	標準

Lenovo公式の製品ページ（日本・オーストラリア）を2026年10月22日に確認。「選択」は注文時に選べる構成がある、「選択（日本）」は日本の製品ページだけに載っている、「記載なし」は製品ページに書かれていないという意味。人感検知はOSなしのモデルでは使えない。E14 Gen 8はAMD版、X13とL14はIntel版の値。どの機種もTPM 2.0、自己修復BIOS、カメラのシャッター（X9は電子式）を備え、X9以外はセキュリティスロットがある。

表を見ると、TPMや自己修復BIOSなどの基本は、安いE14にも入っている。差が出るのは、PrivacyGuardと人感検知である。顔認証と指紋はどちらも便利だが、マスクをしていることが多いなら指紋、手を使わずにサインインしたいなら顔認証が向く。Intel vProは、会社のIT部門が遠隔でPCを管理するための機能で、個人ならなくても困らない（用語集 ）。

現行機の最安価格は次のとおり（2026年10月24日時点、Lenovo公式の最安構成）。最安構成には指紋やIRカメラが付かないことがあるので、カスタマイズの画面で確かめてほしい。

よくある質問

ThinkShieldはソフトですか？インストールが必要ですか？

ソフトではなく、Lenovoのセキュリティ機能とサービスの総称である。TPMや自己修復BIOS、カメラのシャッターなどは本体に組み込まれていて、インストールは要らない。XDRやAbsoluteなどの法人向けサービスは、別に契約するものである。

TPMはWindows 11に必須ですか？

MicrosoftはTPM 2.0をWindows 11の要件としている。現行のThinkPadはTPM 2.0を備えている。Windows 11にはCPUの世代などの要件もある。古い機種には、TPMが1.2までのものがある。

BIOSにTPMの項目がないのはなぜですか？

ThinkPadのBIOSでは、TPMは「Security Chip」という名前で「Security」メニューの中にあることが多い。項目名は機種や世代で違うことがある。

TPM（セキュリティチップ）をクリアするとどうなりますか？

TPMに入っていた鍵が消える。BitLockerが有効なら回復キーを求められ、キーがないとデータを読めなくなるおそれがある。Windows HelloのPINなども設定し直しになる。回復キーを用意してから行う。

BitLockerは解除したほうがいいですか？

有効のままがよい。PCをなくしたり盗まれたりしたときに、中のデータを守る。解除するより、回復キーがMicrosoftアカウントに保存されているかを確かめておくほうが大切である。

セキュアブートは無効でも大丈夫ですか？

特別な理由がなければ有効のままにする。起動時に不正なプログラムが動くのを防ぐ仕組みで、Windows 11の要件でもある。Linuxを入れるときも、無効にする前にBIOSの設定を確かめたい。

セキュアブートの証明書を更新しないとどうなりますか？

すぐに起動しなくなるわけではないとされる。ただ、古い証明書のままだと、今後の起動まわりのセキュリティの更新を受け取れなくなるおそれがある。Windows UpdateとBIOSの更新を止めずに入れておけばよい。更新のあとに回復キーを求められることがあるので、保存先は確かめておく。

Intel vProは個人にも必要ですか？

vProは、会社のIT部門が遠隔でPCを管理するための機能が中心で、個人ならなくても困らない。TPMや自己修復BIOS、指紋などの機能は、vProでない構成でも使える。

PrivacyGuardはどの機種で選べますか？

現行機では、T14 Gen 7、T14s Gen 7、P14s Gen 7（AMD）などの一部の構成で選べる。X1 Carbon Gen 14とX1 2-in-1 Gen 11は、日本の製品ページで選べるようになっている。E14・L14・X13・X9は選べないので、後から貼るフィルターを使う。

Computrace（Absolute）は個人でも使えますか？

BIOSに組み込まれた追跡や遠隔消去の仕組みだが、使うにはAbsoluteの有償の契約が必要で、主に法人向けである。個人ならBIOSの設定は触らずにそのままでよい。

まとめ

ThinkShieldは、Lenovoのセキュリティ機能とサービスの総称である。今回調べた現行のThinkPadは、TPM 2.0、自己修復BIOS、カメラのシャッターをすべて備えていて、個人で使ううえで特別な設定は要らない。指紋・顔認証・PrivacyGuardは、注文時の構成で決まる。

今日やっておきたいのは、BitLockerの回復キーの保存先を確かめること、WindowsとBIOSを最新にすること、TPMとセキュアブートを切らないことの3つである。

ThinkPadのほかの部品のしくみは、次のハブ記事から読める。