イベントID 4699（スケジュールされたタスクが削除された）の見方

イベントID 4699 は、スケジュールされたタスクが削除されるたびに記録されます。タスクの作成は 4698、更新は 4702 です。この3つを並べると、タスクの一生が分かります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4699 を絞り込みます。

見る項目

• Subject の Account Name：操作を行ったアカウント（実行者）
• 発生時刻：作業の予定や申請と合っているか

使い方

• 削除された理由の確認：作業の記録と、削除した人・時刻が合っているか見る。
• 痕跡の確認：不審なタスクが作られて、実行されたあとに削除されていないか、4698 と合わせて見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4699; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4698タスクスケジューラに新しいタスクが作られるたびに記録される。見覚えのないタスクは要確認。
• 4702タスクスケジューラのタスクの内容が変更されたときの記録。実行内容や実行アカウントの変更を確認できる。

出典・参考

• 4699(S) A scheduled task was deleted（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について