ファイルサーバー・NASのセキュリティ対策はどこまで必要？バックアップを取っていたのに8割が復元できなかった理由と、共有フォルダの権限・費用ゼロでできる7つの手順【中小企業向け】
結論から申し上げます。
ファイルサーバーやNAS（ネットワークに接続する共有ハードディスク）は、社内でいちばん重要なデータが集まっている場所であり、ランサムウェア攻撃の最終目標そのものです。
そして警察庁が2026年3月に公表した令和7年の調査では、被害に遭った組織の9割はバックアップを取っていたにもかかわらず、そこから復元できた組織は約2割にとどまりました。
理由の第1位は「バックアップも一緒に暗号化されていた」ことです。
つまり、「NASにバックアップを取ってあるから大丈夫」という状態は、対策をしていないのとほとんど変わりません。
この記事では、ファイルサーバーとNASを守るために何をすればよいのかを、公的な一次資料の数字と、費用をかけずに今日から着手できることを分けて整理します。
この記事でいちばんお伝えしたいこと：ファイルサーバー・NASの対策で、追加費用が必ず必要になるのは「バックアップを別の場所に置くこと」と「サーバー本体の監視」の2つだけです。共有フォルダの権限を見直す、初期パスワードを変える、SMBの古い設定を止める、復元テストをする——これらはすべて0円でできます。
ファイルサーバーやNASは、なぜ真っ先に狙われる？
攻撃者が本当に欲しいのは、1台のパソコンの中身ではありません。
会社の売上台帳、図面、顧客名簿、契約書、給与データ——それらが1か所にまとまっている場所です。
ファイルサーバーとNASは、まさにその条件に当てはまります。
米国国立標準技術研究所（NIST）が2026年7月22日に公開したストレージ基盤のセキュリティガイドラインの初版ドラフト「SP 800-209 Rev.1」は、冒頭でこう述べています。
「ストレージ、コンピューティング、ネットワーキングは、情報技術基盤を構成する3つの基本的な要素である。」
（NIST SP 800-209r1 初版ドラフト・2026年7月／原文は英語、以下同じ）
この文書は2026年7月22日に公開された初版ドラフトで、公開時点ではまだ意見募集の段階にあります。正式版で表現が変わる可能性がありますが、ここで示されている考え方自体は、国際的なストレージのセキュリティ標準（ISO/IEC 27040など）と整合したものです。
サーバーの脆弱性対策やネットワーク機器の設定は話題になりますが、「データを置いている箱そのもの」の守り方は、中小企業ではほとんど議論されていません。
その空白が、そのまま攻撃者にとっての近道になっています。
そもそもファイルサーバーとNASは、何が違う？
この2つは混同されがちですが、守り方を考えるうえでは区別しておいたほうが分かりやすいので、先に整理します。
| ファイルサーバー（Windows Server など） | NAS（専用機） | |
|---|---|---|
| 正体 | 汎用のサーバーOSに、ファイル共有の役割を持たせたもの | ファイル共有に特化した専用OSを載せた小型の機器 |
| できること | 権限管理・監査ログ・グループポリシー・ウイルス対策ソフトの導入まで幅広く対応 | 機種によって差が大きい。ウイルス対策ソフトを入れられないことが多い |
| 守り方の要点 | OSの更新、権限設計、監査ログ、EDRの導入 | ファームウェア更新、初期パスワード変更、管理画面を外に出さないこと |
つまりファイルサーバーは「中身を細かく守れる代わりに、守る仕事も多い」／NASは「手軽な代わりに、守れる範囲が機種に依存する」という違いです。
中小企業では両方が混在していることも多く、その場合はどちらも一覧に入れて管理する必要があります。
ファイルサーバー・NASには、実際に何が置かれているか
| 置かれているもの | 失うと何が起きるか |
|---|---|
| 見積書・請求書・契約書 | 取引の証跡が消え、請求も入金確認もできなくなる |
| 図面・仕様書・設計データ | 製造や施工が止まり、取引先の生産ラインにも波及する |
| 顧客名簿・取引先リスト | 漏えいすれば個人情報保護法の報告義務が発生する |
| 人事・給与・マイナンバー関係 | 特定個人情報の漏えいとなり、社内の信頼も損なう |
| 業務システムのデータベース | 受注・在庫・会計が同時に止まる |
| 過去のバックアップファイル | 「戻せる」という前提そのものが消える |
警察庁の令和7年の統計では、ランサムウェア被害の業種別内訳で製造業が91件と全体の約4割を占めています。
図面や生産管理データがファイルサーバーに集約されている業種ほど、止まったときの損害が大きいということです。
▶ 関連記事：Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？ランサムウェアが一晩で全社に広がる仕組みと、費用ゼロでできる7つの守り方
バックアップを取っていれば大丈夫？──9割が取っていて、8割が戻せなかった
これがこの記事の中心です。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）の被害組織アンケートを、実際の件数で見てみます。
| 調査項目 | 結果 | 割合 |
|---|---|---|
| バックアップを取得していたか | 取得していた 105件／取得していない 11件（計116件） | 取得率 約90% |
| バックアップから復元できたか | 復元できた 20件／できなかった 79件（計99件） | 復元できたのは約20% |
| 復元できなかった理由（最多） | バックアップも暗号化されていた 48件（計72件） | 理由の約67% |
| 同（2番目） | 運用不備 19件 | 約26% |
読み方：「バックアップを取っているか」ではなく「そのバックアップから実際に戻せるか」が分かれ目です。バックアップを取っていた組織が9割いたのに、戻せた組織は5社に1社しかありませんでした。
なぜこうなるのか。理由は警察庁の報告書本文にはっきり書かれています。
「攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。そして、より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。（中略）復旧を妨害するため、バックアップも一緒に暗号化される場合が多い。」
（警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）
つまり攻撃者は、バックアップの存在を知らないのではありません。
知ったうえで、わざわざ探して一緒に暗号化しています。
社内のNASにバックアップを取っている中小企業は非常に多く、その場合、ファイルサーバーとバックアップが同じネットワークの同じ資格情報で到達できる場所にあるため、一撃で両方失うことになります。
NISTも「バックアップそのものが標的になる」と明記している
「したがって攻撃者は、主要なデータ資産だけでなく、そのバックアップやコピーも標的にする強い動機を持っている。既存のコピーを侵害できない場合、もう一つの有効な攻撃戦略は、バックアップの処理そのものに干渉し、将来のコピーを徐々に“汚染”していくことである。十分な時間が経過したところで、攻撃者は本来の目的である主要なデータ資産の侵害に戻ることができる。復旧に使えるコピーが古すぎることを分かったうえで。」
（NIST SP 800-209r1 初版ドラフト 3.2.4）
同ドラフトは、ランサムウェアの対象について「利用者のパソコンや企業のサーバーのデータやファイルを狙うものだったが、NASやバックアップ用アプライアンスといった他のストレージ機器も含むように進化してきた」とも述べています（3.2.5）。
▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策
どこから入ってくる？──侵入経路はVPN機器が6割超
ファイルサーバーが暗号化されるとき、攻撃者はファイルサーバーを直接殴りに来ているわけではありません。どこか別のところから社内ネットワークに入り、そこから歩いてきています。
| 侵入経路 | 件数（有効回答92件） | 割合 | 意味すること |
|---|---|---|---|
| VPN機器 | 61件 | 約66% | 外から社内に入るための機器が、そのまま攻撃者の入口になっている |
| リモートデスクトップ | 19件 | 約21% | 在宅勤務や保守のために開けたリモート接続 |
| 不審メール・添付ファイル | 2件 | 約2% | メール経由は少数派になっている |
| その他 | 10件 | 約11% | 公開サーバーの脆弱性など |
VPN機器とリモートデスクトップだけで約87%を占めます。
そして侵入経路とされる機器のセキュリティパッチの適用状況を見ると、71件中40件（約56%）で未適用のパッチが残っていました。
つまり多くの被害は、すでに修正プログラムが出ている穴から入られています。
ファイルサーバーの権限をどれだけ丁寧に設計しても、VPN機器の管理者アカウントが破られて管理者権限を取られてしまえば、権限の設定ごと書き換えられます。入口（VPN・リモート接続）と、中身（ファイルサーバー）の両方を見る必要があります。
▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行
NASは「家電」ではなくサーバーです
中小企業でよく見かけるのが、事務所の棚に置かれた小さなNASです。
見た目は外付けハードディスクに近いので、「箱」として扱われがちですが、実際にはOSが動き、利用者を認証し、Webの管理画面を持ち、ネットワークにつながった小さなサーバーです。
NAS大手のQNAPは自社サイトで、2025年に外部の研究者151名から224件の脆弱性報告を受け取り、報奨金として合計88,000米ドルを支払い、重大・重要と評価された脆弱性は1週間以内に修正したと発表しています（同社発表）。
年に200件以上の脆弱性が報告されるソフトウェア製品を、事務所の棚に置いて何年も更新せずに使っている——それが多くの中小企業の実態です。
なぜNASは脆弱性管理から漏れるのか
「ストレージ技術は専門性が高いため、ストレージシステムは組織の脆弱性管理プログラムに常に含まれているとは限らない。さらに、脆弱性を発見するために使われるツールの多くは、ストレージ機器のOSやアプリケーションを十分にカバーしていない。組織は、脆弱性管理プログラムにストレージシステムを含めるべきである。」
（NIST SP 800-209r1 初版ドラフト DSSS-VM-C01）
これは中小企業の実感そのものです。
パソコンのWindows Updateは資産管理ツールで見えていても、NASのファームウェアの版数はどこにも記録されておらず、誰も見ていない、という状態が普通に起きています。
NASでとくに危ないのは、この5つです
| よくある状態 | 何が起きるか | 対処にかかる費用 |
|---|---|---|
| 初期パスワードのまま／admin のまま | 公開された初期値の一覧で総当たりされる | 0円 |
| 管理画面をインターネットに公開している | 世界中からログインを試され、脆弱性も直接突かれる | 0円 |
| ファームウェアを何年も更新していない | 公表済みの脆弱性がそのまま残る | 0円 |
| ゲスト／匿名アクセスが有効 | 認証なしでファイルを読み書きされる | 0円 |
| NASをバックアップ先にしている | 本体と一緒に暗号化される | 別の保管先の費用が必要 |
NASの管理画面を外部に公開していないかは、ルーターのポート開放設定（ポートフォワーディング／NAT設定）を見れば分かります。NAS側の「外出先からアクセス」機能を有効にしている場合も、実質的に公開している状態になっていることがあります。外から使う必要があるなら、公開ではなくVPNやゼロトラスト接続を経由させてください。
▶ 関連記事：複合機・プリンターのセキュリティ対策はどこまで必要？「コピー機」ではなくサーバーである理由
共有フォルダの権限は、どこまで絞ればいい？
多くの中小企業のファイルサーバーは、作ったときのまま「全社員が全フォルダを見られる」状態になっています。
これは日々の業務では便利ですが、1人のアカウントが乗っ取られた瞬間に、全社のデータが攻撃者のものになるという意味でもあります。
「Everyone」と「フルコントロール」は、外すところから始める
NISTのストレージガイドラインは、Windowsのファイル共有（SMB）について具体的な指示を出しています。
「SMBで公開したファイルシステムには、次のアクセス制御を適用すべきである。・SMB共有およびNAS機器への認証なしのアクセスを無効にする（匿名アクセスの制限）・すべてのSMB共有で、Guest（ゲスト）とEveryone（全員）のアクセスを無効にする・認証とアクセス制御を、集中管理の仕組み（LDAPなど）で実装する」
（NIST SP 800-209r1 初版ドラフト SNTC-FL-C11）
さらに踏み込んでいるのが次の項目です。
「SMBを使用する場合、「フルコントロール」の権限はいかなる利用者にも付与すべきではない。その権限を受け取った者は、それを使って権限そのものを変更でき、結果として権限の漏えいにつながるためである。」
（NIST SP 800-209r1 初版ドラフト SNTC-FL-C14）
ここが見落とされがちなポイントです。
フルコントロールは「削除できる」だけの権限ではありません。
「誰がそのフォルダを見られるかを書き換えられる」権限です。
フルコントロールを持ったアカウントが乗っ取られると、攻撃者は自分に都合のいいように権限を付け替えたうえで、本来の管理者を締め出すことができます。
共有アクセス許可とNTFSアクセス許可の違い
Windowsのファイルサーバーには権限の設定画面が2つあり、ここで混乱が起きます。
| 種類 | どこで設定するか | 効き方 |
|---|---|---|
| 共有アクセス許可 | フォルダのプロパティ→「共有」タブ | ネットワーク越しのアクセスにだけ効く |
| NTFSアクセス許可 | フォルダのプロパティ→「セキュリティ」タブ | ネットワーク越しでもサーバーに直接ログインしても効く |
| 実際に許される権限 | — | 両方の「厳しいほう」が適用される |
実務では、共有アクセス許可を「Everyone：フルコントロール」にしたうえで、NTFS側で細かく制御する運用がよく使われます。
これは動きますが、NTFS側の設定を1か所間違えると、そのフォルダが全員に開いてしまうという危うさがあります。
NISTの指示に沿うなら、共有側でもEveryoneを外し、必要なグループだけに絞るほうが安全です。
権限は上のフォルダから引き継がれる──いちばん間違いが起きるところ
Windowsのフォルダの権限は、原則として上位のフォルダの設定が下位のフォルダとファイルに自動的に引き継がれます。これは便利な仕組みですが、実務でもっとも事故が起きるところでもあります。
- 共有の一番上のフォルダに「全社員：変更」を付けると、その下に作ったすべてのフォルダに同じ権限が広がる
- 下の階層で個別に権限を絞っても、上の階層で付け直すと元に戻ってしまうことがある
- 「継承を無効にする」操作をした時点の権限がそのまま固定されるため、あとから上位を直しても反映されない
そのため権限は、いちばん上のフォルダをできるだけ狭く作り、必要な部署のフォルダだけを個別に開けていくという順番で設計します。
逆に「まず全部開けておいて、見せたくないところだけ閉じる」という作り方をすると、新しく作られたフォルダが自動的に全社員に開いた状態で生まれ続けることになります。
現在の権限がどうなっているかを確認するには、フォルダのプロパティ→「セキュリティ」タブ→「詳細設定」→「実効アクセス」で、特定の利用者が実際にどこまでできるかを確かめられます。設定画面の見た目ではなく「実効アクセス」で確認するのがポイントです。
権限は「人」ではなく「グループ」で付ける
| 原則 | 具体的にどうするか | 費用 |
|---|---|---|
| 最小権限にする | 業務に必要なフォルダだけを見られるようにする | 0円 |
| 個人ではなくグループで付ける | 「営業部」「経理部」などのグループに権限を付け、人はグループに入れる | 0円 |
| フルコントロールを外す | 一般利用者は「変更」または「読み取り」までにする | 0円 |
| Everyone・Guest・匿名を消す | 共有・NTFSの両方から削除する | 0円 |
| 年に1回、棚卸しする | 誰がどのフォルダを見られるかを一覧にして確認する | 0円 |
個人単位で権限を付けていると、異動や退職のたびに全フォルダを調べ直すことになり、必ず外し忘れが出ます。
グループで付けておけば、その人をグループから抜くだけで権限が消えます。
これは費用ではなく設計の問題なので、今日からでも直せます。
▶ 関連記事：退職者のアカウントを放置していませんか？無用なアカウントが招くリスクと対策
退職者・異動者の権限は、いつ外していますか
ファイルサーバーの権限が残っている状態は、内部不正の入口にもなります。
アカウントを無効にしていても、共有フォルダの権限設定にその人の名前が残っていれば、同じ名前でアカウントを作り直したときに権限が復活してしまうことがあります。
退職時のチェックリストに「共有フォルダの権限から外す」を1行入れるだけで防げます。
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方
SMBの設定は古いままになっていない？
Windowsのファイル共有はSMBという仕組みで動いています。このSMBの安全性は年々上がっているのですが、古いサーバーを使い続けている会社では、その恩恵をまったく受けていません。
「時代遅れの、推奨されない、または安全でないプロトコルのバージョン（SMB v1、v2、CIFSなど）は、クライアント側とサーバー側の両方でブロックし、無効にすべきである。SMBはバージョン3以降を使用すべきである。」
（NIST SP 800-209r1 初版ドラフト SNTC-FL-C13）
Windows Server 2025・Windows 11 24H2で既定値が大きく変わりました
マイクロソフトは、Windows Server 2025とWindows 11 バージョン24H2でSMBの既定の設定を刷新しました。主な変更は次のとおりです。
| 変わったこと | 既定の動作 | 中小企業にとっての意味 |
|---|---|---|
| SMB署名 | 送受信ともに既定で必須（以前はSYSVOL／NETLOGONのみ） | 通信の改ざんと、認証情報を盗む中継攻撃を防ぐ |
| ゲストアクセス | 既定で拒否（Windows 11 Proも同様に） | パスワードなしで共有に入られる経路が閉じる |
| SMB認証レート制限 | 既定で有効・失敗ごとに2秒の遅延 | 毎秒300回・5分で9万回の総当たりが、50時間かかる計算になる |
| SMB1 | 非推奨・既定で削除／NetBIOSポートも既定のファイアウォール規則から除外 | 最も古く危険な版が、そもそも入っていない |
| SMBのバージョン指定 | 最小・最大の版を明示的に指定できる | 「3.1.1以上のみ許可」という運用ができる |
| NTLMのブロック | クライアント側でNTLM認証を禁止できる | 総当たり・中継・Pass-the-Hashを緩和できる |
| SMB over QUIC | Windows Server 2025の全エディションで利用可能 | TLS 1.3で暗号化され、VPNなしで外部から安全に使える |
裏を返すと：まだWindows Server 2012 R2や2016でファイルサーバーを運用している場合、これらの守りはひとつも効いていません。Windows Server 2016のサポートは2027年1月12日に終了しますので、入れ替えを検討する時期と、SMBの設定を今の水準にする時期は、そのまま重ねられます。
▶ 関連記事：Windows Server 2016のサポート終了は2027年1月12日｜法人のESU費用と「Azureなら無償」の誤解・SQL Server 2016との連鎖
SMB1を止めると困る機器がないか、先に確認する
SMB1を無効にするときの唯一の注意点が、古い複合機・スキャナー・産業機械です。
これらが「スキャンしたデータを共有フォルダに保存する」機能でSMB1しか話せないことがあり、無効化すると保存できなくなります。対処は3つあります。
- 複合機側のファームウェアを更新してSMB2／SMB3に対応させる（多くの機種で対応済み）
- 複合機のスキャン保存先を、共有フォルダからメール送信やクラウドに変える
- どうしても必要な機器だけを、別のネットワークに分けて隔離する
「SMB1を止めると複合機が使えなくなるから」という理由で全社のSMB1を有効のままにしておくのは、1台の複合機のために、全社のファイルサーバーを危険にさらしている状態です。
誰が何を持ち出したか、あとから分かる？
ファイルサーバーで事故が起きたとき、いちばん困るのは「何を見られたのか分からない」という状態です。
個人情報保護法では、不正の目的による漏えいは1人分でも報告義務が発生し、速報はおおむね3〜5日以内、確報は60日以内と決まっています。
その確報には「漏えいした個人データの項目」や「原因」を書く欄がありますが、ログがなければ埋められません。
「SMBサーバー上のデータは、次の方法で保護すべきである。・可能な限りSMBの監査を有効にすること・SMB共有に置かれている内容と、それに対応するアクセス制御を継続的に見直すこと・必要に応じて保存データを暗号化すること・マルウェアから防御すること・強力な認証（Kerberos）とともにSMBを使用すること」
（NIST SP 800-209r1 初版ドラフト SNTC-FL-C12）
Windowsのファイルサーバーで見るべきイベントログ
| イベントID | 記録される内容 | 実務上のポイント |
|---|---|---|
| 5140 | ネットワーク共有へのアクセス | 「誰がどの共有につないだか」。ファイル名までは記録されない |
| 5145 | 共有内のファイル単位のアクセス | 「詳細なファイル共有の監査」を有効にすると出る |
| 4663 | オブジェクトへのアクセス試行 | 読み取り・書き込みまで分かるが、件数が非常に多くなる |
| 4624 / 4625 | ログオン成功／失敗 | 深夜や休日の大量失敗は総当たりの兆候 |
| 4672 | 特別な特権の割り当て | 管理者権限での操作を把握できる |
| 1102 | 監査ログの消去 | 攻撃者が痕跡を消した可能性を示す |
4663（オブジェクトアクセス）はすべてのフォルダで有効にすると膨大な量になります。設計・人事・経理など、本当に守りたいフォルダだけに絞って有効にするのが現実的です。
ログは「消せない場所」に置く
「監査ログの保持と保護のために、次の対策を採用すべきである。（a）侵害が発生した、または発生しつつあることに気づくまでには時間がかかることが多いため、十分に長い期間ログを保持すること。（b）十分な保存容量を確保し、空き容量とログ量の異常な増加を能動的に監視すること。ログを無意味な記録で埋め尽くしてフォレンジック調査を妨害するという既知の攻撃手法が存在するため、適切な監視によってそうした攻撃をリアルタイムに検知できる。（c）保持したログデータは改ざんから保護すべきである（WORMや不変ストレージ、オブジェクトロック、削除時の多要素認証の承認など）。」
（NIST SP 800-209r1 初版ドラフト DSSS-SA-C09）
ファイルサーバーのログをそのファイルサーバー自身の中にだけ置いていると、サーバーが暗号化された時点でログも一緒に消えます。ログは別の場所（管理ツールのクラウド側など）にも送っておくのが基本です。
▶ 関連記事：セキュリティログの保存期間はどれくらい必要？法令・ガイドラインの要件と現実的な運用
バックアップはどう置けば「戻せる」？
この記事の冒頭に戻ります。バックアップを取っていた9割のうち、戻せたのは2割でした。差を分けるのは「どこに、どう置いたか」です。
| 置き方 | ランサムウェアで一緒にやられるか | 戻せる可能性 | 費用 |
|---|---|---|---|
| ファイルサーバーの別フォルダ | ほぼ確実にやられる | 低い | 0円 |
| 社内の別のNAS（常時接続） | やられることが多い | 低い | 機器代 |
| 外付けHDD（バックアップ後に外す） | つないでいなければ無事 | 高い | 数千〜数万円 |
| クラウドバックアップ（別の資格情報） | 基本的に無事 | 高い | 月額 |
| OneDrive・Googleドライブへの同期 | 同期で暗号化が伝わることがある | 版の履歴次第 | 既存契約内 |
同期はバックアップではありません。OneDriveやGoogleドライブは「常に最新の状態を映す」仕組みなので、手元のファイルが暗号化されれば、その暗号化された状態がクラウド側にも上書きされます。バージョン履歴で戻せる場合もありますが、対象範囲と保存期間には限りがあります。
NISTが挙げる、バックアップを守る4つの考え方
| 考え方 | 内容 | 中小企業での現実的なやり方 |
|---|---|---|
| エアギャップ（切り離す） | 復旧用のコピーを、物理的・ネットワーク的に本番と切り離す | バックアップ後に外付けHDDを外す／別の資格情報のクラウドを使う |
| 不変ストレージ（変えられなくする） | 保持ロックや不変ポリシーで、あとから書き換えられないようにする | クラウドバックアップ側の保持設定を使う |
| スナップショットの保護 | スナップショットを読み取り専用にし、不正アクセスから守る | NASのスナップショット機能を有効にし、管理者以外は消せなくする |
| 復元テスト | 定期的に実際に復元し、目標時間内に終わるか確かめる | 年に1回、1フォルダだけでも実際に戻してみる |
「復元テストを定期的に実施し、正常に完了すること、および目標とする時間内に収まることを検証すること。」
（NIST SP 800-209r1 初版ドラフト DPRC-SB-C03）
「バックアップが動いている」と「バックアップから戻せる」は別物です。
警察庁の統計で「運用不備」を理由に復元できなかった組織が19件あったのは、まさにここが確認されていなかったためです。
復元テストは費用ゼロで、しかも効果がいちばん確実な対策です。
バックアップに含めるべきものは、ファイルだけではない
「重要なデータ資産の構成要素を含むすべてのストレージ要素は、災害復旧とサイバー攻撃からの復旧の両方に備えて保護しバックアップすべきである。これには、ストレージボリューム、重要なファイルシステム、データベース、ソフトウェアイメージ、証明書、暗号鍵、起動ファイル、カタログ情報、アクセス制御リスト（ACL）、仮想化の設定、構成ファイルが含まれる。」
（NIST SP 800-209r1 初版ドラフト DSGV-PP-C07）
ここでとくに中小企業に効くのが「アクセス制御リスト（ACL）」＝共有フォルダの権限設定です。
ファイルだけを戻しても、誰がどのフォルダを見られるかという設定が消えていると、復旧後にもう一度すべての権限を設計し直すことになります。
NASの設定のエクスポート機能や、権限一覧の書き出しを、バックアップの一部として保管しておいてください。
▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法
▶ 関連記事：バックアップの基本「3-2-1ルール」とは
「どこまで戻せればよいか」は決まっていますか？──RTOとRPO
バックアップの話で最後に必ず出てくるのが、この2つの言葉です。専門用語ですが、中身は経営の判断そのものです。
| 言葉 | 意味 | 決めていないと何が起きるか |
|---|---|---|
| RPO（目標復旧時点） | どこまでのデータが消えても耐えられるか 「前日の夜まで戻れればよい」「半日分なら手作業で入力し直せる」といった判断 |
バックアップの取得頻度が決まらず、「1週間前のデータしかない」と後から気づく |
| RTO（目標復旧時間） | いつまでに復旧していなければ困るか 「3日止まると出荷が間に合わない」といった判断 |
復元に何日かかる仕組みなのかを誰も検証せず、実際には1か月かかる |
「各データ資産についてRPOを設定すること。RPOとは、障害の発生後に失われても許容できるデータの量を時間で表したものである。同様に、各データ資産についてRTOを設定すること。RTOとは、システムが復旧して機能することが期待されるまでに許容できる停止時間の長さである。データ保護の仕組みの設計と実装は、これらの目標を満たしながらデータを復旧できるものであるべきである。」
（NIST SP 800-209r1 初版ドラフト DSGV-SR-C08）
「データ保護の仕組み（バックアップや複製など）は、単にデータを保存することではなく、素早く復旧できることを念頭に設計すべきである。その設計には、具体的なRTOとRPOを含めるべきである。」
（NIST SP 800-209r1 初版ドラフト DPRC-GN-C02）
中小企業では、この2つを情報システムの担当者だけで決めることはできません。
「3日止まったら、うちの会社はどうなるか」を答えられるのは経営者だけだからです。
逆に言えば、経営者が「2日以内に、前日の夜の状態に戻せること」と一言決めれば、バックアップの取得頻度も、保管場所も、必要な予算も自動的に決まります。
同ドラフトは、バックアップのテストについて「重要なデータについては少なくとも月1回、整合性と復元可能性を検証すること」「厳しいRTOが求められる用途では、実際の復旧を模した環境へデータセット全体を復旧させる、端から端までの復元テストを実施すること」としています（DSGV-PP-C06）。まずは年1回からで構いませんので、「戻せるかどうか」を実際に確かめる予定をカレンダーに入れてください。
▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点
ファイルサーバーが止まると、実際どうなる？
警察庁の令和7年アンケートから、被害が業務に与えた影響と、そこからの復旧を見てみます。
| 項目 | 結果 |
|---|---|
| 業務への影響 | 全業務停止 9件／一部の業務に影響あり 97件／影響なし 11件（計117件）＝約9割で業務に影響 |
| 復旧に要した期間 | 1週間未満 29件／1週間〜1か月未満 31件／1〜2か月 15件／2か月以上 7件／調査時点でまだ復旧中 25件（計107件） |
| 調査・復旧に要した費用の総額 | 1,000万円以上 46件（計89件）。警察庁は本文で「復旧に総額1,000万円以上を要した組織の割合は全体の5割を超えている」としている |
| セキュリティ監査の実施 | 監査を実施していない 63件（計111件）＝約57% |
| 事業継続計画（BCP） | サイバー攻撃を想定に含むBCPを策定済 20件（計111件）＝約18%のみ |
| ウイルス対策ソフトの導入 | 導入していた 105件（計119件）＝約88%が導入済みでも被害に遭った |
ウイルス対策ソフトを入れていた組織が約88%という数字は重要です。ファイルサーバーの被害は「ウイルス対策ソフトを入れていなかったから」起きているのではありません。正規の資格情報でログインされ、正規の権限でファイルを暗号化されているので、ソフトから見れば「許可された利用者が普通にファイルを書き換えている」ようにしか見えないのです。
▶ 関連記事：ランサムウェアとは？感染経路と被害事例・中小企業がとるべき対策
費用ゼロでできることは、どこまである？
ここまでの内容を、費用の観点で仕分けます。
| やること | 効果 | 費用 |
|---|---|---|
| 共有フォルダとNASの一覧を作る | 何を守るのかが決まる。すべての出発点 | 0円 |
| Everyone・Guest・匿名アクセスを削除する | 認証なしで入れる経路を塞ぐ | 0円 |
| 一般利用者からフルコントロールを外す | 権限を書き換えられる状態をなくす | 0円 |
| 権限を個人からグループに付け替える | 異動・退職のたびの外し忘れがなくなる | 0円 |
| NASの初期パスワードを変える | 公開された初期値での侵入を防ぐ | 0円 |
| NASの管理画面をインターネットから外す | 世界中からの総当たりを止める | 0円 |
| SMB1を無効化する | 最も古く危険なファイル共有の版を止める | 0円 |
| 監査ログを有効にする（重要フォルダのみ） | 事故のとき「何を見られたか」を答えられる | 0円 |
| バックアップから実際に復元してみる | 「戻せるつもり」を「戻せる」に変える | 0円 |
9項目のうち、追加の費用が必要なものはひとつもありません。ファイルサーバーとNASの対策で本当にお金がかかるのは、次の2つだけです。
- バックアップをファイルサーバーの外に置くこと（クラウドバックアップの月額）
- サーバーとパソコンを監視すること（EDRと24時間365日の監視の月額）
どの製品で埋めればいい？
当社（株式会社アーデント）が取り扱っている製品のうち、ファイルサーバー・NASの守りに直接効くものを並べます。「対応する手順」の行は、この記事の最後にある7つの手順の番号に対応しています。
| 項目 | クラウドバックアップ powered by Acronis | SentinelOne データお守り隊 | LANSCOPE エンドポイントマネージャー | ISM CloudOne | Webセキュリティ Plus |
|---|---|---|---|---|---|
| 役割 | バックアップを社外に置く | サーバー・PCの検知と対応（EDR＋SOC） | IT資産台帳・操作ログ・USB制御 | 脆弱性診断・操作ログ・デバイス制御 | インターネット出入口の防御（SASE） |
| ファイルサーバーの守りで担う役割 | 暗号化されても戻せる状態を作る | 暗号化が始まった段階で止める | 誰が何のファイルを触ったかを残す | サポート終了OS・未適用パッチを見つける | VPN機器に代わる安全な社外接続 |
| 初期費用（税別） | 0円 | 0円 | 30,000円／契約 | 30,000円 | 60,000円 |
| 月額（税別） | 100GB 3,000円／500GB 12,500円／1,000GB 20,000円 | 1ユーザー 1,000円（＋Control 1,100／＋Complete 1,660） | ベーシック 500円／台（ライトA 300円・ライトB 400円） | PC 600円／台〜（1,000台以上で360円） | 1台 1,580円（年18,960円） |
| 特徴 | 端末数無制限。変更分のみ自動保存。バックアップ側もランサムウェアから防御 | AIが24時間365日監視。ワンクリックで自動修復。サイバー保険最大50万円 | エージェントを入れられないNASやプリンターも台帳に登録可（最大10,000件）。操作ログ標準2年 | 毎日更新のセキュリティ辞書と突合する自動脆弱性診断。サポート終了OSを可視化 | Check Point Harmony SASE搭載。簡易サイバー保険と駆けつけ対応が付帯 |
| 対応する手順 | ⑥ | ⑦ | ①・⑤ | ③・⑤ | ③ |
| お試し | 30日評価版 | 要相談 | 60日体験 | 要相談 | 要相談 |
| 導入実績 | — | — | 12,000社以上 | 90,000社（2025年3月時点） | — |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
NASを資産台帳に載せられるかどうかは、実は大きな差になります。NASにはウイルス対策ソフトのようなエージェントを入れられないため、多くの管理ツールでは「そもそも存在が見えない」状態になります。LANSCOPEはエージェントを入れられない機器も任意項目として台帳に登録できるので、「うちのNASは何台あって、ファームウェアはいつ更新したか」を1か所で管理できます。
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方
もし暗号化されてしまったら
すでに感染が疑われる場合は、電源を切る前にご相談ください。
慌てて電源を落とすと、メモリ上にしか残っていない痕跡が失われ、原因の特定が難しくなります。
当社では、多数のPCをまとめて調べる「マルウェア感染調査サービス」を、300台まで298,000円（税別）でご提供しています（17時までのご注文で翌日対応）。
▶ 関連記事：インシデント発生時の初動対応チェックリスト
費用はどのくらいかかる？
従業員30名・パソコン30台・ファイルサーバー1台・NAS1台、守りたいデータ量が500GBの会社を想定した目安です（すべて税別）。
| 内訳 | 金額 |
|---|---|
| クラウドバックアップ powered by Acronis（500GB） | 年 142,500円 |
| SentinelOne データお守り隊（30台） | 年 360,000円 |
| LANSCOPE エンドポイントマネージャー ベーシック（30台） | 初期 30,000円＋年 180,000円 |
| 共有フォルダの権限見直し・SMB設定・復元テスト | 0円 |
| 初年度 合計 | 約 712,500円（月あたり約59,400円） |
| 2年目以降 | 年 682,500円（月あたり約56,900円） |
| （参考）被害後の調査・復旧費用 | 警察庁の調査では約52%が総額1,000万円以上 |
年に約71万円と、1,000万円以上。
差はおよそ14倍です。
しかも復旧費用を払っても、止まっていた期間の売上と、取引先に迷惑をかけた事実は戻りません。
警察庁の統計では、調査時点でまだ復旧中の組織が107件中25件ありました。
補助金で抑えられる部分があります
| 枠 | 補助額 | 補助率 |
|---|---|---|
| 通常枠 | 5万〜450万円 | 原則1/2（小規模事業者は最大4/5） |
| セキュリティ対策推進枠 | 5万〜150万円 | 小規模2/3・中小1/2（サービス利用料は最大2年分） |
デジタル化・AI導入補助金を使う場合、申請までにSECURITY ACTIONの自己宣言IDとGビズIDが必要です。また交付決定前に発注したものは対象外になります。NAS本体などのハードウェアが対象になるかは枠と年度で扱いが変わるため、最新の公募要領の確認が必要です。要件は年度ごとに変わりますので、詳しくは専門家にご確認ください。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
何から始めればいい？──7つの手順
| 順番 | やること | 担当の目安 | 費用 |
|---|---|---|---|
| ① | 共有フォルダとNASを一覧にする どこに何台あるか、何が入っているか、ファームウェアはいつ更新したかを書き出す |
総務・情シス | 0円 |
| ② | 権限を棚卸しし、Everyoneとフルコントロールを外す 個人単位の権限をグループに付け替え、退職者・異動者を削除する |
情シス＋各部署 | 0円 |
| ③ | 外からの入口を閉じる NASの初期パスワード変更、管理画面のインターネット公開停止、VPN機器のパッチ適用 |
情シス | 0円 |
| ④ | SMBの設定を今の水準にする SMB1の無効化、SMB署名の有効化。困る機器がないか先に確認する |
情シス | 0円 |
| ⑤ | ログを取り、別の場所にも残す 重要フォルダだけ監査を有効にし、管理ツールのクラウド側にも保存する |
情シス | 一部有料 |
| ⑥ | バックアップを社外に出し、実際に戻してみる ファイルサーバーとは別の資格情報で到達する場所に置き、年1回は復元テストをする |
情シス＋経営 | 有料 |
| ⑦ | サーバー本体を監視する ファイルサーバーにもEDRを入れ、夜間・休日の監視を外部に任せる |
経営判断 | 有料 |
①から④までは費用ゼロで、しかも効果が大きい項目です。⑤以降に予算が必要ですが、その前に①〜④を片付けておくと、「何を守るために、どこにいくら払うのか」がはっきりします。
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
よくある質問
Q. 従業員10名の会社でも、ファイルサーバーの対策は必要ですか？
A. 必要です。
警察庁の令和7年の統計では、ランサムウェア被害を報告した226件のうち中小企業が143件（約63%）を占めています。
攻撃者は会社の規模を見て狙うのではなく、VPN機器の脆弱性やパスワードの弱さといった「入りやすさ」で選んでいます。
むしろ従業員が少ない会社ほど、ファイルサーバーが1台しかなく、そこが止まると全業務が止まります。
まずは共有フォルダの一覧を作るところから始めてください。費用はかかりません。
Q. NASにはウイルス対策ソフトが入れられません。どう守ればいいですか？
A. NASを直接守るのではなく、NASにたどり着ける経路を絞るという考え方に切り替えます。
具体的には、①初期パスワードを変える②管理画面をインターネットに出さない③ファームウェアを更新する④Everyone・ゲスト・匿名アクセスを無効にする⑤NASに接続するパソコン側にEDRを入れる、の5つです。
NASの中身を暗号化するのはNAS自身ではなく、NASにつながったパソコンやサーバーで動いているマルウェアなので、端末側を守ることがNASを守ることに直結します。
Q. NASにバックアップを取っています。それでは不十分ですか？
A. 不十分です。
警察庁の調査では、バックアップから復元できなかった理由の第1位が「バックアップも暗号化されていた」（72件中48件）でした。
同じネットワーク上にあり、同じアカウントで書き込める場所は、攻撃者から見てもすぐに見つかります。
バックアップ後にケーブルを抜く、あるいはファイルサーバーとは別の資格情報でしか触れないクラウドに置く——このどちらかにするだけで、戻せる可能性が大きく変わります。
Q. OneDriveやGoogleドライブに置いてあれば安全ですか？
A. 同期はバックアップではありません。
手元のファイルが暗号化されると、その状態がクラウド側にも同期されます。
バージョン履歴から戻せる場合もありますが、対象となるファイル形式・保存される版数・保存期間には制限があり、大量のファイルを一括で特定の時点に戻す作業は簡単ではありません。
Microsoft 365やGoogle Workspaceを使っている場合も、専用のバックアップサービスを別に用意することをおすすめします。
Q. 共有フォルダの権限を絞ると「見られない」と苦情が出そうです。
A. いきなり全社で絞る必要はありません。
まず人事・給与・経理・図面など、明らかに限定すべきフォルダ1つから始めてください。
そのうえで、権限を個人ではなく「営業部」「経理部」といったグループに付けておけば、異動があってもその人をグループに入れ替えるだけで済み、運用の手間はむしろ減ります。
苦情の多くは「絞ったこと」ではなく「誰に頼めば見られるようになるのか分からないこと」から出るので、申請先を1か所決めて周知しておくと収まります。
Q. SMB1を無効にすると、古い複合機やスキャナーが使えなくなりませんか？
A. 古い機種ではその可能性があります。
まず複合機のファームウェアを更新してSMB2／SMB3に対応できないか確認してください。
多くの現行機種は対応済みです。
対応できない場合は、スキャンの保存先を共有フォルダからメール送信やクラウドに変えるか、その機器だけを別のネットワークに分けて隔離します。
1台の複合機のために全社のSMB1を有効のままにしておくのは、割に合わないリスクです。
Q. NASの管理画面を外から見られるようにしています。危険ですか？
A. 危険です。
NASの管理画面がインターネットに出ていると、世界中から自動的にログインを試され、公表済みの脆弱性も直接突かれます。
過去には、インターネットに公開されたNASだけを狙って暗号化するランサムウェアが世界中で数千台規模の被害を出した事例もあります。
外出先から使う必要があるなら、公開するのではなくVPNやゼロトラスト接続（SASE）を経由させてください。
Q. ファイルサーバーがWindows Server 2016です。急いだほうがよいですか？
A. はい。
Windows Server 2016の延長サポートは2027年1月12日に終了します。
終了後は修正プログラムが提供されなくなるため、新しい脆弱性が見つかっても塞げません。
また、この記事で紹介したSMB署名の既定必須化や認証レート制限といった守りは、Windows Server 2025で入ったものなので、2016のままでは恩恵を受けられません。
入れ替えの検討と、SMBの設定見直しは同時に進められます。
Q. 誰がファイルを持ち出したか、あとから分かりますか？
A. 監査ログを有効にしていれば分かります。
有効にしていなければ分かりません。
Windowsのファイルサーバーでは、イベントID 5140（共有へのアクセス）と5145（ファイル単位のアクセス）が中心になります。
重要なのはログは事故が起きてからさかのぼって取ることができないという点です。
今日有効にしておけば、明日以降の記録は残ります。
設定自体は費用ゼロでできます。
Q. IT担当者がいないのですが、どこから相談すればよいですか？
A. まずは「共有フォルダとNASの一覧を作る」ところだけ社内で進めてください。
台数、置き場所、入っているデータの種類、最後にファームウェアを更新した時期——この4つが分かれば、外部に相談したときに具体的な話ができます。
当社では、この一覧づくりからご一緒し、費用ゼロでできる部分と、補助金を使って導入する部分を分けてご提案しています。
▶ 関連記事：ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実
まとめ
ファイルサーバーとNASは、社内でもっとも重要なデータが集まっている場所であり、ランサムウェア攻撃の最終目標です。
そして警察庁の令和7年の統計が示したのは、バックアップを取っていた9割のうち、実際に戻せたのは2割だけという厳しい現実でした。
理由の3分の2は「バックアップも一緒に暗号化されていた」ことです。
攻撃者はバックアップの存在を知らないのではなく、探して壊しにきています。
一方で、この記事で挙げた9項目——共有フォルダの棚卸し、Everyoneとフルコントロールの削除、権限のグループ化、NASの初期パスワード変更、管理画面の非公開化、ファームウェア更新、SMB1の無効化、監査ログの有効化、復元テスト——はすべて費用ゼロでできます。
本当にお金が必要なのは、バックアップを社外に置くことと、サーバーを監視することの2つだけです。
もし今日1つだけ手をつけるとしたら、「バックアップから実際に1フォルダ戻してみる」ことをおすすめします。
費用はかかりませんし、そこで戻せなければ、いま取っているバックアップは事故のときにも戻せません。
その事実を、事故の日ではなく今日知れることに意味があります。
当社では、共有フォルダとNASの棚卸しから、権限の設計、バックアップの置き換え、サーバーの監視までを一貫してご支援しています。
デジタル化・AI導入補助金の支援事業者として、コストを抑えたご提案も可能です。
まずは「うちのNAS、どうなっているか分からない」という状態からで構いませんので、お気軽にご相談ください。
▶ 関連記事：法人向けサーバーセキュリティソフトの選び方｜Windows/Linuxサーバーを守る製品比較と費用相場
▶ 関連記事：電子帳簿保存法の電子取引データはどう守る？バックアップが法令要件でない理由と、ランサムウェアで7年分が消えたときに起きること
▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと
株式会社アーデント 代表取締役。2006年にオフィス専門不動産会社アーデントを創業。その後、オフィス賃貸仲介、ワークプレイス作りに10年以上携わり、合計500社以上のオフィス移転をサポート。2018年よりクラウドＰＢＸを中心にネットワーク、通信分野を専門に400社以上の電話、ネット環境づくりをサポート。2022年より100以上のクラウドサービスの販売を開始。
デジタル化・AI導入補助金を使って、150社以上にクラウドツールを提供。IT活用による業務改善のDXコンサルを提供。ノーコードツールを使ったExcelやAccessからの基幹システム移行によるDX実績多数。サイバーセキュリティ対策の導入も50社以上を担当実績あり。
アマゾンで出版している書籍はこちら！
「AppSheetで作る中小企業の基幹システム」 ～Excel限界からの脱出。GoogleWorkspaceを使って、失敗しない業務アプリ導入を解説～
「Google Workspace完全活用マニュアル」 ～Google Workspaceをフル活用する方法を徹底解説！～
amzn.to/3w5zWfT
「中小法人向け サイバーセキュリティ完全ガイド」～サイバーセキュリティ対策で、特に中小企業が 守るべきポイントを網羅！～
amzn.to/3Y9Nm5n