Windowsの印刷履歴を確認｜誰が何を印刷したか残るログと証拠

2026年9月13日 2026年9月23日

デジタル・フォレンジック調査ラボ

Windowsでは、PrintService関連のイベントログや印刷ジョブ、環境によってはSPL・SHD等のスプール関連データから、いつ、どのユーザーアカウントで、どのプリンターへ、どのような文書名のジョブが送られたかを確認できる場合があります。

Microsoftの仕様では、PrintServiceのEvent ID 307に関係するデータとして、文書名、ジョブ所有者のユーザー名、クライアントPC名、プリンター名、ポート名、ジョブサイズ、総ページ数に対応する情報が定義されています。

ただし、最初に区別しておきたいことがあります。

「印刷ジョブが記録された」ことと、「物理プリンターから紙が正常に出力された」こと、さらに「特定人物がその紙を受け取って持ち出した」ことは同じではありません。

また、PrintServiceログが無効だった、対象期間のログが上書きされた、印刷後にスプールファイルが削除された、といった理由で過去の記録を確認できない場合もあります。

そのため印刷履歴の調査では、1種類のログだけで結論を出すのではなく、PC、プリントサーバー、元ファイル、プリンター・複合機等に残る証拠を必要に応じて照合します。

※Microsoft公式仕様・公開資料の確認日：2026年9月13日。

印刷履歴だけでなく、Windows PCに残るファイル操作、USB利用、削除、Web閲覧、ログオンなどの証拠や、PCフォレンジック全体で確認できる範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

Windows PCのフォレンジック調査では、ファイル操作、USBメモリの利用、削除、Web閲覧、アプリの実行、ログオンなど、さまざまな記録を組み合わせて確認します。

Windows PCでどのようなことが分かるのか、まず全体像を確認したい方は、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことをご覧ください。

確認したい内容が決まっている場合は、以下の各専門記事から詳しく確認できます。

印刷履歴だけでなく、ファイル利用、USB接続、ブラウザ、アプリ実行などWindows PCに残る操作履歴を広く確認したい場合は、Windows・PCフォレンジックで、主な証拠と調査方法をまとめています。

Windowsの印刷履歴は後から確認できる？

対象期間の記録が残っていれば、後から確認できる場合があります。

Windowsで主な確認対象になるのが、

Microsoft-Windows-PrintService/Operational

です。

イベントビューアーでは、概ね次の場所から確認できます。

アプリケーションとサービスログ → Microsoft → Windows → PrintService → Operational

ただし、Operationalログが対象期間に有効だったとは限りません。

Windowsイベントログの仕様では、チャネルが無効な状態では、そのチャネルへのイベント書き込みは破棄されます。したがって、調査時点でログを有効化しても、無効だった期間のイベントが遡って生成されるわけではありません。

また、イベントログには最大サイズや保持方法があります。設定によっては最大サイズへ到達した後に古いイベントが上書きされます。wevtutilでも、ログの有効状態、最大サイズ、保持設定等を確認できます。

そのため、

PrintServiceログが見つからない＝印刷されていない

とは判断できません。

通常の社内管理として「今後の印刷履歴を残したい」のであれば設定を確認する意味がありますが、すでに情報持ち出しや内部不正が疑われているPCでは、証拠の状態を変える操作になるため、調査目的を整理してから対応する必要があります。

印刷ジョブの記録と実際の紙の出力は同じではない

印刷調査で特に重要なのが、Windows上の印刷処理と、物理的な紙の動きを分けることです。

少なくとも次の段階は別々に考えます。

アプリケーションから印刷操作が行われる
印刷ジョブが作成される
Print Spoolerでデータが処理される
プリンターまたはプリントサーバーへデータが送られる
物理プリンターで紙が出力される
誰かがその紙を受け取る
その紙を社外等へ持ち出す

MicrosoftのWindows印刷アーキテクチャでも、クライアント側のPrint Spoolerがアプリケーションの出力を受け、共有キューを利用する場合はプリントサーバーへ送り、サーバー側で処理・バッファリングした後に対象プリンターへ送信する構成が示されています。

つまり、PC側の記録は重要な証拠ですが、紙が実際に排出されたことや、その紙を誰が回収したかを直接撮影・記録しているわけではありません。

さらに、Windowsには物理プリンターだけでなく、Microsoft Print to PDFのような機能もあります。MicrosoftはWindows 10・11に含まれるMicrosoft Print to PDFを使い、印刷操作からPDFファイルを作成できると案内しています。

したがって、

印刷イベントがある＝紙へ印刷された

とも限りません。

プリンター名、ポート、ドライバー、ネットワーク構成等も確認して、何を出力先としていたのかを判断します。

Windowsで印刷履歴を調べる主な証拠

印刷履歴の調査では、証拠ごとに役割が異なります。

PrintServiceイベントログ

Windows側で最初に確認する代表的な情報源です。

対象環境やログの保存状態によって、

印刷ジョブに関する日時
文書名
ユーザーアカウント
クライアントPC
プリンター
ポート
ジョブサイズ
ページ数

等を確認できる場合があります。

印刷ジョブ・プリンターキュー

プリンターキューには、現在処理中または保持されているジョブが存在する場合があります。

Windowsには印刷済みジョブを保持する設定もあり、Microsoftの仕様ではKeepPrintedJobsが有効な場合、印刷後にジョブを削除せず保持する動作が定義されています。

ただし、現在その設定を有効にしても、過去に削除されたジョブが復活するわけではありません。

SPL・SHD

Windowsのスプールフォルダーには、環境や印刷状態によって.SPLや.SHDが存在する場合があります。

Microsoftの現在のトラブルシューティング資料でも、

%systemroot%\System32\Spool\Printers

を既定のスプールフォルダーとして挙げ、.SPL・.SHDファイルを確認対象としています。

ただし、正常に印刷処理が完了すると、スプールフォルダー内のファイルは削除されるのが通常です。

元ファイル側の履歴

「何を印刷したのか」を調べる場合、印刷ログだけでなく、候補となる元ファイルの利用痕跡も確認します。

例えば、

LNK
Jump Lists
Recent Files
Officeの最近使ったファイル
$MFT
$UsnJrnl
PDFビューアー等の履歴
ブラウザ・ダウンロード履歴

などです。

これらは「対象文書がそのPCに存在した」「同じ時間帯に開かれていた」等を補強する材料にはなりますが、それ単独で印刷されたことを証明するものではありません。

LNKファイルやJump Listsなどから、対象文書が開かれた・利用された痕跡を確認する方法については、Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法で詳しく解説しています。

ファイルの作成・変更・名前変更・削除など、ファイルシステム上の履歴を確認する方法については、MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析で詳しく解説しています。

プリンター・複合機・プリントサーバー側のログ

企業環境では、PCから直接プリンターへ送るとは限りません。

Windows Print Server、ネットワークプリンター、複合機等を経由している場合、PC側とは別の記録が残っている可能性があります。

確認できる項目や保存期間はメーカー、モデル、認証方式、管理設定等によって異なるため、機器ごとに確認します。

PrintServiceのイベントログから何が分かる？

PrintServiceのOperationalログが残っていれば、Windowsの印刷処理に関する時系列を確認する有力な手掛かりになります。

イベントビューアーで調べる場合は、

Microsoft-Windows-PrintService/Operational

を確認し、対象日時のイベントを絞り込みます。

ここで重要なのは、イベントIDだけを見るのではなく、

発生日時
文書名
ユーザー
クライアントPC
プリンター
ポート
サイズ
ページ数
周辺の成功・失敗・エラー関連イベント

等をまとめて確認することです。

PrintService配下のAdmin等も、エラーや周辺状況を確認する必要がある場合の調査候補になります。

また、ログが存在していても、対象期間全体を網羅しているとは限りません。

最大ログサイズに達した場合の動作は保持設定によって異なり、循環型のログでは古いイベントが上書きされる場合があります。

そのため調査結果では、

「対象期間に印刷はなかった」

ではなく、

「取得できたPrintServiceログの範囲では、該当する記録を確認できなかった」

といった形で、確認範囲を区別することが重要です。

Event ID 307から何が分かる？

Event ID 307は、Windowsの印刷履歴を確認するときに特に重要なイベントの一つです。

Microsoftの公開仕様では、Event ID 307の生成に利用される情報として、

文書名
ジョブ所有者のユーザー名
クライアントコンピューター名
プリンター名
ポート名
印刷ジョブのサイズ
総ページ数

が定義されています。

そのため、対象環境で307が適切に記録され、必要な値が残っていれば、

「あるユーザーアカウントに関連する印刷ジョブが、どのプリンター・ポートへ送られ、何ページ程度のジョブだったか」

を確認する重要な材料になります。

ただし、307は万能ではありません。

Microsoftは、Windows 8／8.1やWindows Server 2012／2012 R2の一部環境について、Event ID 307の文書名が実際の名前ではなく汎用的な文字列になる問題を公式に記録しています。これは現行Windows 11で常に同じ問題が起きるという意味ではありませんが、Event ID 307の文書名を全環境で無条件に「元ファイル名」とみなすべきではないことを示す例です。

アプリケーションやドライバー、印刷方式、設定等も含めて評価します。

また、307が確認できても、

307がある＝特定人物がその紙を手に取った

ではありません。

必要な結論が物理的な印刷完了や紙の回収まで及ぶ場合は、プリンター・複合機側のジョブ記録や認証履歴等を追加確認します。

誰が印刷したか分かる？

ユーザーアカウントまでは確認できる場合がありますが、それだけで実際の人物本人とは断定できません。

Event ID 307には、印刷ジョブを所有するユーザー名に対応する情報が定義されています。

しかし、会社PCでは、

共有PC
共有アカウント
パスワード・資格情報の共有
RDP
AnyDeskやTeamViewer等による遠隔操作
管理者による代理操作
自動処理やサービス
プリントサーバー経由

等も考慮する必要があります。

そのため、

「Aさんのアカウントで印刷ジョブが記録されている」

ことと、

「Aさん本人がその時刻に印刷操作をした」

ことは分けて評価します。

実際の操作者まで確認する必要がある場合は、同じ時間帯について、

Windowsのログオン履歴
RDP接続履歴
遠隔操作ソフトのログ
PCの利用者割当情報
アプリ実行履歴
ファイルを開いた履歴
EDR等の端末ログ
入退室・勤怠等

を必要に応じて照合します。

重要なのは、証拠を増やすこと自体ではなく、各証拠が「アカウント」「端末」「操作」「実際の人物」のどこまでを裏付けるのかを分けることです。

何を印刷したか分かる？

文書名までは確認できる場合がありますが、文書名が分かることと、文書内容そのものが分かることは別です。

例えばEvent ID 307で文書名が確認できても、それだけでは、

元ファイルの保存場所
元ファイルの実体
印刷時点の内容
全ページの内容
印刷範囲
印刷後に編集されたか

まで分かるとは限りません。

同じファイル名の別ファイルが存在することもあります。

そのため、具体的な文書を特定する必要がある場合は、候補となる元ファイルと、

印刷時刻
ファイルを開いた時刻
ファイルパス
アプリケーション利用
ファイルシステム上の記録
印刷ジョブの文書名
ページ数
プリンター・ポート

等を時系列で照合します。

Word、Excel、Adobe Acrobat、ブラウザ等の実行痕跡が同時間帯に存在することも補助材料になりますが、

アプリが実行された＝印刷した

ではありません。

元文書の内容そのものを確認したい場合は、元ファイルが残っているか、スプールデータから解析可能な内容があるかを別途確認します。

SPL・SHDから印刷内容を確認できる？

残っているSPL・SHDは有力な調査対象ですが、すべての印刷で残るわけではなく、元文書を必ず完全復元できるわけでもありません。

Microsoftは、Print SpoolerがEMF、テキスト、RAW等の異なるデータ形式を扱うと説明しています。印刷ジョブのデータは、アプリケーション上の元ファイルそのものではなく、印刷処理に適した形式へ変換される場合があります。

したがって、

SPL ＝元のWord・Excel・PDFファイルそのもの

ではありません。

MicrosoftのPrint Spoolerに関する技術資料では、印刷ジョブに応じてスプール用のデータが生成され、正常に印刷された後は削除される動作が説明されています。現在のWindows Server向けトラブルシューティング資料でも、既定のスプールフォルダーに.SPL・.SHDが残る場合がある一方、正常動作時にはジョブ処理に伴ってファイルが削除されるとされています。

Microsoftの技術ブログでも、Print Spoolerが印刷データとSHDのようなジョブ管理用情報を扱う構造が説明されています。

つまり、

SPL・SHDが現在存在する
削除された痕跡が残る
印刷ジョブの形式を解析できる
内容の一部を再構成できる

といった可能性はありますが、結果はWindowsのバージョン、プリンタードライバー、データ形式、印刷方式、残存状態等によって変わります。

重大な調査でSPL・SHDを確認する場合は、元のPC上でファイルを開いたり変換したりするのではなく、保全したデータを解析対象にする方が適切です。

印刷履歴が残っていない場合はどう調べる？

PrintServiceログが確認できなくても、直ちに「印刷されていない」とは判断しません。

まず、なぜ記録がないのかを考えます。

考えられる例は、

対象期間にOperationalログが無効だった
ログが最大サイズへ到達して古い記録が上書きされた
ログが消去された
対象PCではなくプリントサーバー側で確認すべき構成だった
別の端末から印刷された
SPL・SHDが印刷完了後に削除された
仮想プリンター等、想定と異なる出力経路だった

などです。

Operationalチャネルが無効であれば新しいイベントは受け付けられず、書き込みは破棄されます。後から有効化しても、その期間の記録は遡って作成されません。

そこで必要に応じて、

プリントサーバーのログ
プリンター・複合機側のジョブログ
SPL・SHDやそのファイルシステム上の痕跡
元文書のLNK・Jump Lists
MFT・USN Journal
Office等の最近使ったファイル
アプリ実行履歴
Windowsログオン履歴
RDP・遠隔操作履歴
EDR・DLP・SIEM等の記録

を確認します。

ただし、これらはすべて役割が異なります。

例えば、元文書のLNKが見つかっても「印刷された」とは言えませんし、Wordが実行されていても印刷の証拠にはなりません。

直接的な印刷記録が失われている場合ほど、各補助証拠が何を示し、何を示さないかを明確にする必要があります。

ネットワークプリンターや複合機ではどこを確認する？

企業では、PCだけでなくプリントサーバーや複合機側も確認対象になる場合があります。

MicrosoftのWindows印刷アーキテクチャでは、クライアント側のPrint Spoolerがアプリケーションから印刷データを受け取り、共有プリントキューを利用する場合はプリントサーバーへ送ります。サーバー側では必要な変換やバッファリングを行い、対象プリンターへ送信します。

そのため企業環境では、

クライアントPC → Windows Print Server → ネットワークプリンター・複合機

という複数段階で記録が存在する可能性があります。

確認候補は次のように分かれます。

クライアントPC

PrintService
元ファイル
アプリ実行
ログオン
RDP・遠隔操作
ファイル操作痕跡

プリントサーバー

PrintService
プリントキュー
サーバー上のスプール関連データ
サーバー側のユーザー・クライアント情報

プリンター・複合機

製品によっては、

ジョブ履歴
利用ユーザー
部門・認証情報
印刷日時
ページ数
ジョブ名

等を確認できる場合があります。

ただし、保存される情報と保持期間はメーカー・機種・設定によって異なります。

複合機だから必ず全文書名や過去の印刷内容が残るとは限りません。

また、PC、プリントサーバー、複合機を時系列で突き合わせる場合は、各機器のタイムゾーンや時計のずれも確認します。

大量印刷があれば情報持ち出しと判断できる？

大量印刷だけでは、情報持ち出しや不正行為とは判断できません。

業務上、

会議資料をまとめて印刷した
顧客提出資料を作成した
帳票を定期出力した
月末処理で大量印刷した

という可能性もあります。

一方、

退職直前
深夜・休日
短時間に通常より多い件数
顧客一覧や設計資料等、持ち出しが問題となる文書
本来担当していない文書
通常使用しないプリンター
周辺でUSB・クラウド・メール等の不自然な操作がある

といった事情が重なる場合は、調査上の着眼点になることがあります。

ただし、「通常より多い」と評価するには、可能であれば通常時の印刷量や業務内容との比較が必要です。

大量印刷＝不正

と先に結論を置くのではなく、

どの文書を、いつ、どのアカウントから、どこへ、どの程度印刷したのか

を整理し、業務上の説明や周辺証拠と照合します。

Windowsの印刷履歴で分かること・分からないこと

印刷履歴を証拠として読むときは、「確認できた事実」と「そこからはまだ言えないこと」を分けることが重要です。

証拠	比較的確認しやすいこと	それだけでは分からないこと
PrintServiceログ	Windows上の印刷処理に関する記録	紙を本人が持ち出したこと
Event ID 307	文書名、ユーザー、プリンター、ポート、ページ数等	全環境で元ファイル名・内容が分かること
ユーザー名	ジョブ所有者として記録されたアカウント	実際に操作した人物本人
プリンター名・ポート	Windows上の出力先に関する手掛かり	物理的に紙が排出されたこと
文書名	印刷ジョブ上の文書情報	元文書の全文・印刷時点の内容
SPL	印刷処理用データが残っている場合がある	元ファイルを必ず完全復元できること
SHD	印刷ジョブ管理に関する情報が残る場合がある	印刷内容の全ページ
プリントサーバーログ	サーバーを経由したジョブの手掛かり	紙を誰が回収したか
複合機側ログ	機器側で処理されたジョブの手掛かり	PC上で行われたすべての操作
元ファイル履歴	印刷対象候補となる文書の利用痕跡	実際にその文書を印刷したこと
ログがない	該当する記録を確認できなかった	印刷が行われなかったこと

特に、

印刷ジョブが記録された
≠ 紙が正常に出力された
≠ その人物が紙を受け取った
≠ その紙を社外へ持ち出した

という区別が重要です。

情報持ち出し調査では、印刷履歴は「印刷」という一つの行為を評価する証拠であり、その後の物理的な行動まで自動的に証明するものではありません。

調査前に保存するもの・避けたい操作

印刷履歴を懲戒、紛争、訴訟、重大な情報持ち出し調査等で利用する可能性がある場合は、確認作業そのものによって証拠を変えないことが重要です。

調査前には、可能な範囲で、

対象PC
対象ユーザー
問題となる期間
利用していたプリンター
プリントサーバーの有無
複合機・プリンターの管理者
すでに実施した操作
取得済みのログ

を整理します。

証拠保全前に不用意に、

PrintServiceログを消去する
印刷キューを削除する
SPL・SHDを削除する
プリンタードライバーを入れ替える
ログ設定を変更する
OSを初期化する
PCを再配布する
「整理」のため関連ファイルを削除する

といった操作は避けます。

デジタルフォレンジックでは、取得したデータだけでなく、どの機器からどのような手順で取得したかを後から説明できる状態にすることが重要です。

一方、不正利用や情報漏えいが現在進行している場合、証拠を残すことだけを理由に被害を放置するわけにはいきません。

必要なアクセス停止等を行う場合は、実施した内容・日時・判断理由を記録し、被害抑止と証拠保全を分けて検討します。

自社確認で足りる場合とフォレンジック調査を検討する目安

日常的な管理目的で現在の印刷ジョブを確認するだけなら、必ずしもフォレンジック調査が必要なわけではありません。

目的によって必要な調査範囲が変わります。

状況	自社で確認しやすい	専門調査を検討する目安
最近のPrintServiceイベントを確認したい	○	―
今後の印刷ログを保存したい	○	―
特定アカウントの印刷日時を確認したい	○～△	証拠利用する場合
何という文書名だったか確認したい	○～△	ログだけで特定できない場合
元文書の内容まで照合したい	△	○
SPL・SHDの解析が必要	△	○
PrintServiceログが残っていない	△	○
複数PC・サーバー・複合機を時系列で照合したい	△	○
実際に操作した人物まで確認したい	△	○
印刷後の情報持ち出しまで評価したい	△	○
懲戒・訴訟等で証拠利用する可能性がある	△	○

デジタルフォレンジックPROでは、社内不正調査で確認するアーティファクトの例として、PrintService Operational、Event ID 307、SPL、SHD、プリントジョブ履歴等を公表しています。

ただし、これらのデータがあるだけで結論が出るとは限りません。

相談時には、

「印刷履歴を見たい」

だけでなく、

「誰が印刷したかを確認したい」
「元文書まで特定したい」
「紙による持ち出しを調べたい」
「懲戒等に使える形で経緯を確認したい」

など、必要な結論を整理すると調査範囲を決めやすくなります。

まとめ

Windowsでは、PrintServiceのイベントログや印刷ジョブ、SPL・SHD、プリントサーバー等から、過去の印刷に関する情報を確認できる場合があります。

特にEvent ID 307は、文書名、ユーザー、プリンター、ポート、ジョブサイズ、ページ数等を確認する重要な手掛かりになります。

一方で、印刷履歴の調査では次の区別が重要です。

印刷ジョブが記録されたことと、紙が正常に出力されたことは別
ユーザーアカウントと、実際に操作した人物は別
文書名と、文書内容そのものは別
Event ID 307だけですべての印刷を確認できるとは限らない
SPL・SHDは印刷後に削除される場合がある
PrintServiceログがないことと、印刷がなかったことは別
Microsoft Print to PDF等では、印刷処理が紙への出力を意味しない
印刷されたことと、その紙が社外へ持ち出されたことは別

PC側の記録だけで結論を出せない場合は、プリントサーバー、複合機、元ファイル、Windowsログオン、RDP、アプリ実行履歴等を同じ時間軸で照合します。

すでに不正や情報持ち出しが疑われており、後から証拠として利用する可能性がある場合は、ログ消去、印刷キューの削除、設定変更、PC初期化等を進める前に、何を保全すべきか確認することが重要です。

参考資料

Microsoft Learn「[MS-RPRN]: RPC_BranchOfficeJobDataPrinted」
Microsoft Learn「Print Spooler - Win32 apps」
Microsoft Learn「[MS-PRSOD]: Print Spoolers」
Microsoft Learn「Troubleshooting scenarios for printing - Windows Server」
Microsoft Learn「[MS-EVEN6]: Channels」
Microsoft Learn「wevtutil」
Microsoft Support「Event ID 307 does not show the printed document name in Windows」
Microsoft Support「Save an Outlook message as a .eml file, a PDF file, or as a draft」