仮想化基盤（VMware ESXi・Hyper-V）のセキュリティ対策はどこまで必要？ハイパーバイザーにウイルス対策ソフトを入れられない理由と、ホスト1台で全サーバーが同時に暗号化される仕組み・費用ゼロでできる7つの手順【中小企業向け】

結論から申し上げます。
仮想化基盤（VMware ESXi や Hyper-V）を使っている会社では、ホスト1台の管理者権限を取られた時点で、その上で動いているすべてのサーバーが同時に暗号化されます。
ファイルサーバー、業務システム、ドメインコントローラ、そして同じホストに置いたバックアップまで、まとめて一度で失われます。

しかも困ったことに、ハイパーバイザー本体にはウイルス対策ソフトを入れられません。
これはメーカーが「サポートしない」と明言している仕様です。
つまり「ウイルス対策ソフトを全台に入れてあるから大丈夫」という安心は、仮想化基盤の一番大事な部分にはまったく届いていません。

この記事では、米国NISTの標準文書とマイクロソフト・Broadcom（VMware）の公式資料、そして警察庁が2026年3月に公表した令和7年の被害統計をもとに、中小企業が今日から費用ゼロで着手できることと、お金をかけるべき部分を切り分けて整理します。
最後にまとめた7つの手順のうち、5つは追加費用ゼロで実行できます。

そもそも仮想化基盤とは？──「サーバーは1台」なのに「サーバーが5台ある」状態

仮想化とは、1台の物理サーバーの中に、独立したサーバーを何台も作る技術です。
物理的には1台のマシンなのに、社内から見ればファイルサーバー・業務システム・ドメインコントローラがそれぞれ別のサーバーとして見えます。

この土台のソフトウェアをハイパーバイザーと呼びます。
代表的なものが VMware の ESXi と、Windows Server に付いてくる Hyper-V です。
中の1台1台は仮想マシン（VM）と呼ばれ、その実体はホストの中に置かれた大きなファイル（VMDK や VHDX）です。

	昔の物理サーバー	いまの仮想化基盤
台数と場所	業務ごとに1台ずつ、ラックに並んでいる	物理1台の中に、サーバーが複数入っている
1台壊れたときの範囲	その業務だけ止まる	そのホストに載っている全業務が同時に止まる
中身の実体	サーバーごとに個別のディスク	ホスト上の大きなファイル（VMDK／VHDX）

いいことが多い技術です。電気代も置き場所も減り、サーバーの入れ替えも楽になります。ただし「壊れたときの範囲」だけが物理サーバーの時代より広くなっているという一点は、必ず押さえておく必要があります。

米国NISTの標準文書「NIST SP 800-125A Rev.1（サーバー向けハイパーバイザー基盤のセキュリティ推奨事項・2018年6月7日公開の現行版）」は、この点を次のように書いています。

In the case of hypervisor, impact of insecure configuration can be more severe than in many server software instances since the compromise of a hypervisor can result in the compromise of many VMs operating on top of it.
（ハイパーバイザーの場合、設定が安全でないことの影響は、多くのサーバーソフトウェアの場合より深刻になりうる。ハイパーバイザーが侵害されると、その上で動く多数の仮想マシンが侵害される結果になりうるからだ。）
（NIST SP 800-125A Rev.1 第7章 より）

ホスト1台に、何が載っていますか？

中小企業の仮想化基盤は、たいてい次のような構成になっています。心当たりがあるかどうか、確認してみてください。

ホスト上の仮想マシン	そこに入っているもの
ファイルサーバー	部門の共有フォルダ、見積・図面・契約書
業務システム	販売管理・会計・生産管理と、その裏のデータベース
ドメインコントローラ（AD）	全社員のIDとパスワード、権限の設計
メール・グループウェア	社内外のやり取りの履歴
バックアップ用のサーバーや領域	同じホストの中、または同じホストにつながったNAS
管理コンソール（vCenter など）	仮想化基盤そのものを操作する権限

最後の2行が、この記事でいちばん申し上げたい点です。バックアップが同じホストの中、または同じホストにつながったNASにあると、ホストが暗号化された瞬間にバックアップも一緒に消えます。「毎日バックアップを取っている」ことと「事故のときに戻せる」ことは、別の話です。

▶ 関連記事：ファイルサーバー・NASのセキュリティ対策はどこまで必要？バックアップを取っていたのに8割が復元できなかった理由と、共有フォルダの権限・費用ゼロでできる7つの手順【中小企業向け】

ホストの管理者権限を取られると、具体的に何が起きる？

攻撃者ができること	会社側で起きること
すべての仮想マシンを一括で暗号化する	全業務が同時に停止する
仮想マシンを一括で停止・削除する	業務システムそのものが消える
仮想ディスク（VMDK／VHDX）をコピーして持ち出す	ゲストOSにログインしなくても、中身をすべて持ち出せる
スナップショットとバックアップを削除する	戻す手段がなくなる
ログを消して痕跡を消す	何が起きたのか特定できなくなる

3行目が見落とされがちなところです。
仮想マシンの中身はホスト上の1つのファイルなので、ホストの権限があればゲストOSのパスワードを知らなくても丸ごとコピーできます。
ゲストOS側でどれだけ厳しくアクセス権を設定していても、土台の権限を取られた時点でその前提が崩れます。

なぜ「ウイルス対策ソフトを入れてあるから大丈夫」が通用しないのか？

ここが仮想化基盤で最も誤解されている点です。
ハイパーバイザー本体には、ウイルス対策ソフトのエージェントを入れられません。
これは「入れ忘れている」のではなく、メーカーが明確に非サポートとしている仕様です。

It is not supported to install 3rd Party Agents or Antivirus Software directly on the VMware vCenter Server Appliance (VCSA) or ESXi hosts.
（VMware vCenter Server Appliance（VCSA）や ESXi ホストに、サードパーティ製のエージェントやウイルス対策ソフトを直接インストールすることはサポートされない。）
（Broadcom ナレッジベース 記事ID 330057 より）

Hyper-V の場合はホストが Windows Server なのでウイルス対策ソフト自体は動きます。
ただしマイクロソフトの公式ガイダンスは「Configure anti-virus exclusions and options for Hyper-V（Hyper-V 向けにウイルス対策の除外設定を構成する）」を明記しています。
仮想ディスクファイルをスキャン対象から外さないと、性能問題や仮想マシンの起動失敗を招くためです。
つまりどちらの方式でも、土台そのものはウイルス対策ソフトでは守れません。

守る場所	ウイルス対策ソフトは効くか	では何で守るか
ハイパーバイザー本体（ESXi／Hyper-Vの土台）	入れられない／除外設定が必要	更新の適用・管理画面の隔離・管理者権限の絞り込み
ゲストOS（仮想マシンの中のWindows Server 等）	効く（導入と運用が推奨されている）	EPP＋EDR＋24時間365日の監視
管理サーバー（vCenter など）	入れられない	アクセス元の限定・多要素認証・更新の即時適用

NISTも同じ論点を、ゲストOSの中に監視ツールを置くやり方の弱点として指摘しています。

However, because of the dependency of the security tool on the underlying Guest OS, any attack on the latter will also disable the function of the security tool, thus disabling the countermeasure.
（ただし、セキュリティツールは下にあるゲストOSに依存しているため、そのゲストOSが攻撃されればセキュリティツールの機能も無効化され、結果として対策そのものが無効になる。）
（NIST SP 800-125A Rev.1 6.3節 より）

警察庁の統計も、この構造を裏づけています。
令和7年にランサムウェア被害を報告した組織のうち、ウイルス対策ソフトを導入していたのは105件／119件＝88.2%。
ほとんどの会社が入れていました。
それでも被害に遭っています。

さらに踏み込んだ数字があります。ウイルス対策ソフト等による検出状況は「検出有25件／検出無64件（計89件）」＝実際に検出できたのは約28%だけでした（警察庁 令和7年 統計編P136）。7割強は、ウイルス対策ソフトが入っていたのに何も検出しないまま暗号化されています。「入れてあるかどうか」ではなく「入れたものが効く場所か」で考える必要があります。

▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法

攻撃者はどこから入ってくる？──入口の8割以上はリモートアクセス機器

仮想化基盤が狙われるといっても、攻撃者はいきなりハイパーバイザーに現れるわけではありません。
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表）は、攻撃の流れを次のように書いています。

攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。そして、より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。（中略）復旧を妨害するため、バックアップも一緒に暗号化される場合が多い。
（警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」より）

同レポートの被害組織アンケートによる感染経路は、次のとおりです。

感染経路	件数	割合	仮想化基盤との関係
VPN機器	61件	66.3%	VPNの先が社内LAN＝管理画面が同じ網にある
リモートデスクトップ	19件	20.7%	踏み台のサーバーから管理画面へ届く
不審メールやその添付ファイル	2件	2.2%	端末から社内LANへ横に広がる
その他	10件	10.9%	—

VPN機器とリモートデスクトップを足すと80件／92件＝87.0%です。
つまり仮想化基盤を守るうえでいちばん効くのは、ハイパーバイザーの設定をいじる前に入口となっているリモートアクセス機器を最新にし、多要素認証を付けることです。
同レポートも「特に、主要な侵入経路であるＶＰＮ機器等は速やかな対応が必要である」と明記しています。

業種別に見ると、令和7年の被害226件のうち製造業が91件＝40.3%と最も多くなっています。
製造業では生産管理システムや設計データのサーバーを仮想化基盤に載せているケースが多く、ホスト1台の停止がそのまま生産ラインの停止につながります。

侵入されたときのパッチの状況も公表されています。侵入経路とされる機器のセキュリティパッチは「適用済み31件／未適用のパッチ有40件（計71件）」＝56.3%が未適用でした。

▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行【中小企業向け】

▶ 関連記事：インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策【中小企業向け】

2026年に何が起きた？──公表から5日後に侵入が始まった

「仮想化基盤を狙う攻撃は昔の話」と思われるかもしれません。しかし2026年の夏に、まさにその事例が起きています。

Broadcom は2026年7月29日、VMware 製品の重大な脆弱性を公表しました（VMSA-2026-0006）。
JPCERT/CC の Weekly Report 2026年8月19日号は、その後の状況を次のように伝えています。

Broadcomが2026年7月29日に公表した複数のVMware製品の脆弱性について、QUIRSO GmbHがCVE-2026-59309およびCVE-2026-59310の悪用に関する情報を公表しました。同社によると、8月3日以降、CVE-2026-59310を悪用したとみられる攻撃によりvCenterが侵害され、バックドアなどが設置されたとのことです。また、別の攻撃者によるものとみられる活動では、CVE-2026-59309が悪用され、管理者アカウントが作成された可能性があるとしています。
（JPCERT/CC Weekly Report 2026年8月19日号【3】複数のVMware製品に脆弱性 より）

脆弱性	内容	深刻度と対処
CVE-2026-59309	VMware Directory Service の認証回避。vCenter にネットワークで到達できれば、認証を回避してアクセスされうる	CVSS v3.1 基本値 9.8（緊急） 回避策なし・修正版の適用のみ
CVE-2026-59310	vCenter の Syslog 処理のパストラバーサル。任意のコードを実行されうる	CVSS v3.1 基本値 9.8（緊急） 回避策なし・修正版の適用のみ

注目していただきたいのは公表（7月29日）から実際の侵入（8月3日以降）まで5日しかなかったことです。「次のメンテナンスのときにまとめて当てよう」という運用では間に合いません。とくに回避策が存在しない脆弱性は、パッチを当てるか、管理画面に到達できる範囲を狭めるかの二択になります。

さかのぼれば2023年2月にも、JPCERT/CC が ESXi を標的としたランサムウェア攻撃（ESXiArgs）の注意喚起を出しています。
CVE-2021-21974（OpenSLP の脆弱性）を悪用したもので、サポート対象外のバージョンでも被害が報告されました。
このときJPCERT/CCが挙げた対策は、既知の脆弱性への対応、稼働するサービスやアクセス制限の見直し、サポート対象バージョンへの更新、SLPサービスを利用していない場合は無効化の4点でした。

ハイパーバイザーの種類を変えれば逃げられる？

残念ながら、そうはいきません。
米国CISA・FBIらが連名で出している注意喚起「#StopRansomware: Akira Ransomware」（2024年4月18日公開／2025年11月13日更新）には、次の記述があります。

In April 2023, following an initial focus on Windows systems, Akira threat actors deployed a Linux variant targeting VMware Elastic Sky X Integrated (ESXi) virtual machines (VMs).
（2023年4月、当初はWindowsを標的としていたAkiraの攻撃者は、VMware ESXi の仮想マシンを標的とする Linux 版を投入した。）
…Akira threat actors deployed payloads to target Nutanix Acropolis Hypervisor (AHV) systems in a June 2025 incident.
（2025年6月の事案では、Akiraの攻撃者は Nutanix Acropolis Hypervisor（AHV）のシステムを標的とするペイロードを投入した。）
（CISA/FBI ほか「#StopRansomware: Akira Ransomware」AA24-109A より）

攻撃者は、ハイパーバイザーの種類ごとに専用の暗号化プログラムを用意しています。
Windows 版、Linux／ESXi 版、そして2025年には Nutanix AHV 版まで確認されました。
同注意喚起は、このグループが2025年9月下旬時点で約2億4,417万米ドルの身代金収益を得たとしています。

同注意喚起はまた、初期侵入について「Akira threat actors obtaining initial access to organizations through a virtual private network (VPN) service without multifactor authentication (MFA) configured.（多要素認証が設定されていないVPNサービス経由で組織への初期アクセスを得ている）」と記しています。
警察庁の統計と同じ結論です。

さらに実務的な指摘として、同注意喚起は Akira の暗号化プログラムがPowerShell を使って Windows のシャドーコピー（VSS）を削除することを挙げています。つまり「Windowsの以前のバージョンに戻す」機能も、攻撃者に先に消されます。ホストの外にコピーを持つ以外に手がない、という結論はここでも変わりません。

つまり3年前から言われていることは変わっていません。更新を当てる・使っていないサービスを止める・到達できる範囲を狭める。この3つです。

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断（Webアプリ・ペネトレ）とマネージド脆弱性管理の違いを中小企業向けに解説

▶ 関連記事：CVSSとは？脆弱性の深刻度を評価する共通指標をわかりやすく解説

管理画面は、どこから見えていますか？──専用のLANケーブル1本という話

仮想化基盤で最も重要な設定は、実は難しい話ではありません。管理画面（vSphere Client や Hyper-V マネージャー）に到達できる範囲を、物理的に狭めることです。

NIST SP 800-125A Rev.1 は、20ある推奨事項の最後を、この一点に充てています。

Security Recommendation HY-SR-20: Protection for hypervisor host and software administration functions should be ensured by allocating a dedicated physical NIC or, if that is not feasible, placing the management interface of the hypervisor in a dedicated virtual network segment and enforcing traffic controls using a firewall (e.g., designating the subnets in the enterprise network from which incoming traffic into the management interface is allowed).
（ハイパーバイザーのホストとソフトウェアの管理機能は、専用の物理NIC（ネットワークカード）を割り当てることで保護すべきである。それが現実的でない場合は、ハイパーバイザーの管理インターフェースを専用の仮想ネットワークセグメントに置き、ファイアウォールで通信を制御すること。たとえば、管理インターフェースへの通信を許可する社内ネットワークのサブネットを限定する。）
（NIST SP 800-125A Rev.1 7.2節 より）

興味深いのは、マイクロソフトの Hyper-V 向け公式ガイダンスがまったく同じことを言っている点です。

Use a separate network with a dedicated network adapter for the physical Hyper-V computer.
（物理 Hyper-V マシンには、専用のネットワークアダプターを備えた別のネットワークを使うこと。）
Use a private or secure network to access VM configurations and virtual hard disk files.
（仮想マシンの構成ファイルや仮想ハードディスクファイルへのアクセスには、プライベートなネットワークまたは安全なネットワークを使うこと。）
（Microsoft Learn「Plan for Hyper-V security in Windows Server」より）

NIST SP 800-125B（仮想ネットワークの安全な構成・2016年3月）はさらに踏み込んで、仮想スイッチだけでは足りないと書いています。

VM-NS-R2: Isolation of the hypervisor’s management network using virtual switches needs special configuration. In addition to dedicated virtual switches, the management traffic pathway should have separate pNICs and separate physical network connections (besides the traffic itself being encrypted).
（ハイパーバイザーの管理ネットワークを仮想スイッチで隔離するには特別な構成が必要である。専用の仮想スイッチに加えて、管理通信の経路は別の物理NICと別の物理ネットワーク接続を持つべきである（通信自体を暗号化することは当然として）。）
（NIST SP 800-125B 2.6節 より）

2つの独立した標準と、マイクロソフトの公式ガイダンスが同じ結論に至っている論点は、それだけで実行する価値があります。中小企業の現場に翻訳すると、次の3段階です。

やり方	難易度と費用	どこまで守れるか
管理用に物理NICを1つ専用にし、管理用のスイッチに別のLANケーブルでつなぐ	費用ゼロ〜数千円（既存の空きNICとケーブル）	業務LANから管理画面に届かなくなる（最も強い）
管理画面を専用のVLANに置き、そのVLANに入れるIPアドレスをファイアウォールで限定する	設定作業のみ（費用ゼロ）	業務LANのPCからは届かない
せめて管理画面にアクセスできるIPアドレスを絞り、ログを取る	設定作業のみ（費用ゼロ）	誰でも届く状態は解消できる

最悪なのはハイパーバイザーの管理画面がインターネットから直接見えている状態です。「リモートで保守するために開けている」というケースが実際にあります。VPNやZTNA（後述）の内側に入れてください。管理画面が外から見えている状態は、公表から5日で悪用される脆弱性が出たときに、真っ先に狙われます。

▶ 関連記事：ネットワークセキュリティ徹底比較｜UTM・SASE・ZTNA・SWG・FWaaSの違いとおすすめ製品

管理画面に入る人を、どう絞るか

NIST SP 800-125A Rev.1 の第7章は、ハイパーバイザーにも当然あてはまるが本文では扱わない「サーバーソフト共通の基本」として、次の3点を挙げています。

• (a) ホスト上の管理者アカウントの管理と、管理者ごとの最小権限の割り当て
• (b) ハイパーバイザーのソフトウェアとホストOSのパッチ管理
• (c) TLS や SSH といった安全なプロトコルでハイパーバイザーと通信すること

この3つは、追加費用ゼロで着手できます。
とくに(a)は現場でいちばん崩れているところです。
「管理者アカウントを全員で共有している」「退職者のアカウントが残っている」「パスワードが導入業者のときのまま」という状態は珍しくありません。

同文書は、権限の細かさについても推奨事項を置いています（HY-SR-18）。
仮想マシンのグループ単位で権限を与えられるだけでなく、そのグループの中の特定の仮想マシンだけは触れないように拒否できることを求めています。
たとえば「業務システムは見てよいが、ドメインコントローラの仮想マシンは触らせない」という設定です。

▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場【中小企業向け】

▶ 関連記事：多要素認証（MFA）セキュリティ強度ランキング｜認証方式の強さと弱点を徹底解説

ロックダウンモードとSSHは、どう設定すればよい？

ESXi にはロックダウンモードという機能があります。Broadcom の公式ドキュメントは次のように説明しています。

In lockdown mode, operations must be performed through vCenter Server by default.
（ロックダウンモードでは、既定で操作を vCenter Server 経由で行わなければならない。）
In strict lockdown mode, the Direct Console User Interface (DCUI) service is deactivated.
（厳格ロックダウンモードでは、直接コンソール（DCUI）のサービスが無効になる。）
（Broadcom TechDocs「Lockdown Mode Behavior」より）

モード	何が変わるか	中小企業での考え方
通常のロックダウンモード	操作は原則 vCenter 経由になる。例外ユーザー一覧に載った管理者権限のアカウントは、直接コンソール（DCUI）にアクセスできる	vCenter を使っている構成なら有効化を検討する
厳格ロックダウンモード	直接コンソール（DCUI）のサービス自体が無効になる	vCenter が止まったときに手元で復旧できなくなるため、手順と体制が整ってから

例外ユーザー一覧の運用に注意してください。Broadcomのドキュメントは、例外ユーザー一覧は「ホストに直接アクセスする必要があるサードパーティ製ソリューションや外部アプリケーションのアカウント」を追加するためのものであり、管理者用ではないと説明しています。また例外ユーザーはロックダウンモードに入っても権限を失いません。つまりここに人のアカウントを足していくと、ロックダウンモードの意味がなくなります。

あわせてSSH と ESXi Shellです。
Broadcomのドキュメントは「ESXi Shell や SSH が有効化された状態でホストをロックダウンモードに入れた場合、例外ユーザー一覧に載っていて管理者権限を持つアカウントはそれらのサービスを使える」と説明しています。
つまりSSHを開けたままロックダウンモードにしても、抜け道が残ります。

vCenter を持たない単体運用の会社（中小企業では珍しくありません）では、ロックダウンモードの運用は難しくなります。
その場合は「SSHとESXi Shellを止める」「管理画面に入れるIPアドレスを絞る」「使っていないサービス（SLPなど）を無効にする」の3点を確実にやるほうが実務的です。
いずれも費用はかかりません。

Hyper-V の場合はどうする？

Hyper-V はホストが Windows Server なので、考え方が少し変わります。マイクロソフトの公式ガイダンスから、中小企業で効く項目を抜き出します。

Don’t use the Hyper-V host as a workstation or install any unnecessary software.
（Hyper-V ホストを作業用の端末として使ったり、不要なソフトウェアをインストールしたりしないこと。）
Remotely manage the Hyper-V host. If you must manage the Hyper-V host locally, use Credential Guard.
（Hyper-V ホストはリモートで管理すること。どうしてもホスト上で直接管理する必要がある場合は Credential Guard を使うこと。）
Minimize the attack surface by using the minimum Windows Server installation option that you need for the management operating system.
（管理OSに必要な最小限の Windows Server インストールオプションを使い、攻撃対象領域を最小化すること。）
（Microsoft Learn「Plan for Hyper-V security in Windows Server」より）

最初の一文は、中小企業の実態を正面から指しています。「Hyper-V ホストにファイルサーバーの役割も持たせている」「ホストにリモートデスクトップで入って作業している」「ホストに業務ソフトを入れている」という構成は、マイクロソフトの公式ガイダンスが明確に避けるよう書いていることをやっている状態です。役割はゲスト側の仮想マシンに移し、ホストは仮想化だけをさせてください。

マイクロソフトはさらに、権限の分離についても一文を置いています。

Add users that need to manage the Hyper-V host to the Hyper-V administrators group.
Don’t grant virtual machine administrators permissions on the Hyper-V host operating system.
（Hyper-V ホストを管理する必要があるユーザーは Hyper-V Administrators グループに追加すること。仮想マシンの管理者に、Hyper-V ホストOSの権限を与えないこと。）
（同上）

そのほか、費用をかけずにできる Hyper-V 側の設定として、公式ガイダンスは第2世代の仮想マシンを作る／セキュアブートを有効にする／ホストのディスクを BitLocker で暗号化する／仮想マシンに必要なデバイスだけを構成する／本番環境で必要でなければ入れ子（ネスト）を有効にしない／中身の分からない仮想ディスク（VHD）をマウントしないを挙げています。

同じホストの中の通信は、UTMを通っていますか？

もう1つ、仮想化基盤ならではの盲点があります。
同じホスト上の仮想マシン同士の通信は、物理ネットワークに出ません。
つまり、社内の出入口に置いたUTMやファイアウォールを1回も通らずに、仮想マシン同士が直接やり取りしています。

Inter-VM traffic is initiated when a VM generates communication packets that are sent through a vNIC of that VM to the port of a virtual switch defined inside the hypervisor kernel. If the target VM resides inside the same virtualized host, these packets are forwarded to another port in the same virtual switch.
（仮想マシン間の通信は、仮想マシンがパケットを生成し、その仮想NICからハイパーバイザーのカーネル内に定義された仮想スイッチのポートへ送ることで始まる。宛先の仮想マシンが同じ仮想化ホストの中にある場合、これらのパケットは同じ仮想スイッチの別のポートへ転送される。）
（NIST SP 800-125B 4章 より）

通信のパターン	物理ネットワークに出るか	出入口のUTMで見えるか
同じホスト上の仮想マシン同士	出ない	見えない・止められない
別のホスト上の仮想マシン同士	出る	経路上に置いていれば見える
仮想マシンとインターネット	出る	見える

これが何を意味するか。
1台の仮想マシンがやられたとき、同じホスト上の他の仮想マシンへの横移動は、UTMのログに一切残りません。
「UTMを入れているから社内の通信は見えている」という前提は、仮想化基盤の内側では成立していません。

中小企業での現実的な対策は次のとおりです。

• 用途ごとに仮想スイッチ（またはポートグループ）を分ける。とくに管理用と業務用を同じスイッチに混ぜない（費用ゼロ）
• 仮想マシンの中のWindowsファイアウォールを有効にする。同一ホスト内の横移動を止められる唯一の無料の壁です（費用ゼロ）
• ゲストOSにEDRを入れる。ネットワークで見えない通信も、端末側の振る舞いとして検知できます
• ホスト間・仮想マシン間の通信を制御したい場合は、仮想アプライアンス型のファイアウォールを検討する。NISTも遅延の小さい仮想化環境では仮想ファイアウォールを推奨しています（VM-FW-R1）

LANケーブルを抜けば止まりますか？──仮想化基盤では初動が変わる

感染がわかったときの初動として、よく「そのPCのLANケーブルを抜く」「そのポートを止める」と言われます。
ところが仮想化基盤では、この初動がそのままでは使えません。
NISTはこの点を具体的に指摘しています。

For example, in the case of a network attack on a physical server that is not virtualized, merely turning off the offending port is a solution… However, such a solution is not practical in the case of a hypervisor host since the same port in the physical network interface card of the hypervisor host could be shared by several running VMs. Instead, a specialized security fix, such as disabling the virtual NICs of VMs that use those ports, is needed.
（たとえば仮想化されていない物理サーバーへのネットワーク攻撃であれば、問題のポートを止めるだけで解決策になる。しかしハイパーバイザーのホストの場合、その物理ネットワークカードの同じポートが稼働中の複数の仮想マシンで共有されている可能性があるため、この解決策は現実的でない。代わりに、そのポートを使っている仮想マシンの仮想NICを無効化するといった、専用の対処が必要になる。）
（NIST SP 800-125A Rev.1 2.2.5節 より）

平たく言えば、ホストのLANケーブルを抜くと、感染していない仮想マシンも全部ネットワークから切れます。
ファイルサーバーも業務システムもドメインコントローラも同時に止まるので、「調査のあいだ隔離しておく」という判断が非常に取りづらくなります。

そこで、事故が起きる前に決めておくべきことが2つあります。

決めておくこと	なぜ必要か	費用
仮想マシン単位でネットワークを切り離す手順を書いておく	管理画面から該当VMの仮想NICだけを無効化すれば、他の業務を止めずに隔離できる。手順を知らないと、慌ててホストごと止めることになる	0円
ホストごと止める判断を誰がするかを決めておく	全業務が同時に止まる判断は、情シス担当者ひとりでは背負えない。経営者が事前に「この条件なら止めてよい」と決めておく	0円

あわせて電源を慌てて切らないでください。警察庁のレポートも、電源を落とすとログなどの侵入の痕跡が失われ、あとの調査が困難になると指摘しています。仮想化基盤では、ホストの電源を落とすと稼働中の全仮想マシンが強制停止になるため、データ破損のリスクも加わります。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

▶ 関連記事：UTM（統合脅威管理）とは？法人向けおすすめ製品の比較と費用相場・クラウド型の選び方【中小企業向け】

▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT/ITネットワーク分離の実務

ドメインコントローラを仮想マシンにしていませんか？

多くの中小企業では、Active Directory のドメインコントローラ（社員のIDとパスワードを預かっているサーバー）も仮想マシンとして動いています。
これについて、マイクロソフトは非常にはっきりした表現を使っています。

The local admin credentials of a computer that hosts virtual writeable DCs should be treated as equal to the default domain admin of all domains and forests those DCs belong to.
（書き込み可能な仮想ドメインコントローラをホストしているコンピューターのローカル管理者の資格情報は、そのドメインコントローラが属するすべてのドメインとフォレストの既定のドメイン管理者と同等のものとして扱うべきである。）
（Microsoft Learn「Virtualizing domain controllers with Hyper-V」より）

つまり、ハイパーバイザーのホストにログインできる人は、実質的にドメイン管理者です。
ホストの管理者権限があれば、ドメインコントローラの仮想ディスクをコピーして、その中のパスワード情報（NTDS.dit）を取り出せてしまうからです。
ADの管理者アカウントをどれだけ厳しく守っていても、土台の権限が緩ければ意味がありません。

同じ文書は、ホストの管理が甘い場合の影響範囲も明示しています。

You must manage the host computer where you run your virtual DCs as carefully as you would a writeable DC, even if the computer is only a domain-joined or workgroup computer. Mismanaged hosts are vulnerable to elevation-of-privilege attacks… These attacks can compromise all virtual machines (VMs), domains, and forests hosted by the affected computer.
（仮想ドメインコントローラを動かしているホストコンピューターは、たとえそれが単にドメイン参加のコンピューターやワークグループのコンピューターであっても、書き込み可能なドメインコントローラと同じくらい慎重に管理しなければならない。管理が不適切なホストは権限昇格攻撃に対して脆弱であり、これらの攻撃は、そのコンピューターがホストしているすべての仮想マシン、ドメイン、フォレストを侵害しうる。）
（同上）

論点	マイクロソフトの公式ガイダンス	中小企業での実務
ホストの権限	ホストのローカル管理者はドメイン管理者と同等に扱う	ホストのアカウントを人数分に絞り、共有をやめる（費用ゼロ）
ホストの役割	Hyper-V 以外のアプリケーションを載せない Server Core 構成を推奨	ホスト兼用のファイルサーバーをやめ、仮想マシン側に移す（費用ゼロ）
仮想ディスクの扱い	仮想DCのVHDファイルは物理ハードディスクと同じ。信頼できる管理者だけがアクセスできるようにする	仮想ディスクの置き場所を確認し、共有フォルダに置いていないか点検（費用ゼロ）
台数と配置	異なる仮想化ホスト上に、ドメインごとに最低2台の仮想DCを動かす。加えて物理のDCも置く	ホストが1台しかないなら、小型PCで物理DCを1台足すことを検討

最後の行は、費用ゼロでは解決できない唯一の項目です。マイクロソフトは「Add physical DCs to all of your domains. Configuring your system to have physical DCs prevents your host systems from experiencing virtualization platform malfunctions.（すべてのドメインに物理のドメインコントローラを追加すること。物理のDCを持つ構成にすれば、ホストシステムが仮想化基盤の不具合の影響を受けることを防げる）」と書いています。ホスト1台に全DCを載せている構成は、そのホストが止まった瞬間に誰もログインできなくなります。

▶ 関連記事：Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？ランサムウェアが一晩で全社に広がる仕組みと、費用ゼロでできる7つの守り方【中小企業向け】

仮想DCでスナップショットを使ってはいけない理由

これはセキュリティというより運用の話ですが、事故のときに致命傷になるので触れておきます。マイクロソフトは仮想ドメインコントローラについて、次のように明記しています。

Don’t take or use snapshots of virtual DCs. You should use a more permanent and reliable backup method instead.
（仮想ドメインコントローラのスナップショットを取ったり使ったりしないこと。代わりに、より恒久的で信頼できるバックアップ方法を使うべきである。）
The method we recommend you use to back up and restore your virtualized DCs is to run Windows Server Backup in the guest OS.
（仮想化されたドメインコントローラのバックアップと復元に推奨する方法は、ゲストOSの中で Windows Server Backup を実行することである。）
（同上）

理由はUSNロールバックという現象です。
古いスナップショットからドメインコントローラを戻すと、他のDCとの間で更新の番号が食い違い、AD が「これは戻された」と判断してNet Logon サービスを停止し、レプリケーションを止め、イベントID 2095 を記録します。
ログインができなくなる、しかも直すには強制降格が必要という状態に陥ります。

「困ったらスナップショットから戻せばいい」は、ドメインコントローラでは通用しません。戻す作業そのものが二次災害になります。

スナップショットは、バックアップではありません

仮想化基盤でいちばん多い誤解がこれです。
スナップショットは「同じホストの中にある、直前の状態への戻り道」であって、バックアップではありません。
ホストが暗号化されれば、スナップショットも一緒に暗号化されます。

	スナップショット	バックアップ（外に置く）	イミュータブルなバックアップ
置き場所	同じホストの中	別の機器・別の場所・クラウド	書き換え・削除ができない領域
ホストが暗号化されたら	一緒に失われる	残る（ホストから切り離してあれば）	残る
管理者権限を取られたら	まとめて削除される	認証が別なら残る	保持期間中は削除できない

マイクロソフトも、スナップショットの位置づけをはっきり書いています。

While Windows Server 2016 and later is compatible with snapshots, snapshots don’t provide the type of stable, permanent backup history you need to consistently restore your system during disaster scenarios.
（Windows Server 2016 以降はスナップショットに対応しているが、スナップショットは、災害時にシステムを確実に復元するために必要な、安定した恒久的なバックアップ履歴を提供するものではない。）
（Microsoft Learn「Virtualizing domain controllers with Hyper-V」より）

▶ 関連記事：バックアップの基本「3-2-1ルール」とは

バックアップを取っていれば戻せる？──9割が取っていて、8割が戻せませんでした

警察庁が令和7年のランサムウェア被害組織に行ったアンケートの数字を並べます。この3つの数字が、この記事でお伝えしたいことのほぼすべてです。

調査項目	結果	割合
バックアップの取得状況	取得有 105件／取得無 11件（計116件）	取得率 90.5%
バックアップからの復元結果	復元可 20件／復元不可 79件（計99件）	復元できたのは 20.2% だけ
復元できなかった理由（最多）	バックアップも暗号化 48件（計72件）	理由の 66.7% がこれ
同（2番目）	運用不備 19件	26.4%

9割の会社がバックアップを取っていて、そのうち戻せたのは2割だけ。戻せなかった理由の3分の2は「バックアップも一緒に暗号化されていた」。これが実態です。

仮想化基盤では、この問題がさらに深刻になります。ホストの中にバックアップ用の仮想マシンを立てている、ホストにUSB接続した外付けHDDに取っている、ホストからマウントしたNASの共有フォルダに取っている──いずれもホストの権限を取られた時点で全滅します。「毎日成功しています」というメールが届いていても、それは「事故のときに戻せる」ことの証明にはなりません。

では、どこに置けばよいのか。中小企業で現実的な選択肢を並べます。

置き方	ホストが暗号化されても残るか	費用の目安	運用の手間
ホスト内のスナップショット・ホスト直結の外付けHDD	残らない	ほぼゼロ	小
別の物理サーバー／別のNAS（認証を分ける）	認証を分けていれば残る可能性が高い	機器代	中
ローテーションする外付けHDDを持ち帰る（オフライン）	残る	1万円台〜	手作業が発生する
クラウドへ送る（ホストとは別の認証・別の管理画面）	残る	年3万円台〜（容量による）	小（自動化できる）

ポイントは「認証が別かどうか」です。
ホストの管理者アカウントでバックアップ先にもログインできるなら、それはホストと運命共同体です。
ADに参加していないバックアップ先、あるいはクラウド側の別アカウントで守られている場所に、コピーを1つ持っておいてください。

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法【中小企業向け】

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】

「どこまで戻せればよいか」は決まっていますか？

仮想化基盤でとくに大事なのは、ホストごと壊れたときに、どの順番で何を戻すかを決めておくことです。全部を同時には戻せません。

1. ドメインコントローラ（AD）──これが戻らないと誰もログインできず、他のサーバーも動きません
2. 業務が止まっているシステム──受発注・生産・請求など、1日止まると実害が出るもの
3. ファイルサーバー──業務は続けられるが、なければ仕事にならないもの
4. それ以外──社内向けの参照系など、後回しにできるもの

経営者が決めるべきことは1つだけです。「何日以内に、どの時点の状態まで戻せればよいか」。これを決めれば、バックアップの頻度・保管場所・予算は自動的に決まります。

▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点・税制の落とし穴【中小企業向け】

更新されないまま取り残されている仮想マシンはありませんか？

仮想化の便利さは、仮想マシンを簡単に増やせることです。
そしてそれがそのまま弱点になります。
NIST SP 800-125A Rev.1 は、仮想マシンのライフサイクル管理（HY-BF4）に対する脅威をこう整理しています。

Presence of non-standard running VM instances due to their creation from non-standard images, restoration from snapshots, a drift from standard as a result of a lapse in monitoring, and updates that could result in any of the platform-level threats.
（標準的でないイメージから作られた、スナップショットから復元した、監視の抜けにより標準からずれた、といった理由で標準的でない稼働中の仮想マシンが存在すること。これが基盤レベルの脅威につながりうる。）
（NIST SP 800-125A Rev.1 2.2.4節 より）

取り残されやすいもの	何が起きているか	対策（費用ゼロ）
仮想マシンのテンプレート	作った当時のOSとパッチのまま。ここから作った新しいサーバーは最初から古い	テンプレートを定期的に起動して更新を当て、作り直す
停止中の仮想マシン	電源が入っていないので更新が当たらない。起動した瞬間に穴が開いた状態でネットにつながる	起動する前に更新を当てる／起動時はネットワークから切り離す
スナップショットから戻した仮想マシン	戻した時点まで更新も設定も巻き戻っている	戻した直後に更新とアカウントの確認をする手順を作る
使わなくなった仮想マシン	誰も見ていないのに動き続け、古い認証情報を持っている	資産台帳に載せ、退役の手順を決める

NISTはイメージ置き場についても推奨事項を置いています（HY-SR-9）。
「Images in the VM Image library should be periodically scanned for outdated OS versions and patches, which could result in a drift from the standard.（仮想マシンイメージのライブラリにあるイメージは、標準からのずれにつながる古いOSバージョンやパッチについて定期的にスキャンすべきである）」。

マイクロソフトも同じ趣旨を、より短い一文で書いています。
「Install the latest security updates before you turn on a virtual machine in a production environment.（本番環境で仮想マシンの電源を入れる前に、最新のセキュリティ更新をインストールすること）」。

まずやるべきことは、仮想マシンの一覧を紙かExcelに1枚作ることです。「ホスト名／仮想マシン名／役割／OSとバージョン／サポート期限／稼働中か停止中か／誰が使っているか」の7項目でかまいません。ここに載っていない仮想マシンは、誰も更新しません。この作業に費用はかかりません。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】

▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性

VMware か Hyper-V か──サポート期限とライセンス変更はどうなっている？

セキュリティの話と切り離せないのが、サポート期限です。
サポートが終わったハイパーバイザーには、新しい脆弱性が見つかっても修正が出ません。
公表から5日で悪用が始まる時代に、修正が出ない土台の上で全業務を動かすのは、かなり大きな賭けになります。

製品	節目の時期	確認すべきこと
VMware vSphere 7.0	2025年10月2日に一般サポート（End of General Support）終了（Broadcom公式）	すでに終了済み。自社のバージョンを管理画面で確認する
VMware のライセンス形態	Broadcom による買収後、永続ライセンス＋保守からサブスクリプション中心へ移行	更新見積りの金額が跳ね上がっていないか。契約内容を確認する
Windows Server 2016（Hyper-V ホスト）	2027年1月12日にサポート終了	ホストのOSがこれなら、移行計画を今年度中に立てる
Hyper-V Server 2019（無償の単体版）	メインストリームサポートは2024年1月10日に終了、延長サポートは2029年1月10日まで（Microsoft公式）。これが最後のバージョン	無償の単体版は後継がない。Windows Server 版への移行を前提に考える

Broadcom によるライセンス形態の変更は、中小企業にとっては痛い話です。
ただし「更新費用が上がったので、そのまま古いバージョンで使い続ける」という判断がいちばん危険です。
前述のとおり2026年7月の脆弱性には回避策がなく、修正版の適用しか手がありませんでした。
修正版が出ないバージョンを使っていれば、その手も使えません。

選択肢は3つです。

• VMware のサブスクリプションで更新する──構成を変えずに済むが、費用は上がる
• Hyper-V へ移行する──Windows Server のライセンスに含まれるので追加のハイパーバイザー費用が不要。ただし移行作業と運用の学び直しが必要
• クラウドへ移す──ハイパーバイザーの管理そのものをやめる。月額は発生するが、更新の適用や機器の故障から解放される

どれを選ぶかは費用と体制の話ですが、セキュリティの観点では「サポートが続いていて、更新をすぐ当てられる状態」であることが最優先です。ハイパーバイザーの種類より、更新が届くかどうかのほうが影響が大きいと考えてください。

▶ 関連記事：Windows Server 2016のサポート終了は2027年1月12日｜法人のESU費用と「Azureなら無償」の誤解・SQL Server 2016との連鎖と移行までの守り方【中小企業向け】

▶ 関連記事：法人向けサーバーセキュリティソフトの選び方｜Windows/Linuxサーバーを守る製品比較と費用相場【中小企業向け】

費用ゼロでできることは、どこまでありますか？

ここまでの内容を、追加費用が必要かどうかで仕分けます。10項目のうち9項目は、設定と運用ルールだけで実行できます。

やること	費用	根拠となる資料
ホストと仮想マシンの一覧を1枚作る（役割・OS・サポート期限・稼働状況）	0円	NIST HY-SR-9／実務
管理画面（vSphere Client／Hyper-Vマネージャー）に到達できるIPアドレスを絞る	0円	NIST HY-SR-20
管理用に空いている物理NICを1つ専用にし、別のスイッチにつなぐ	0円〜数千円	NIST HY-SR-20／VM-NS-R2／Microsoft
ホストの管理者アカウントを人数分に分け、共有と退職者分をやめる	0円	NIST 第7章(a)／HY-SR-18
SSH と ESXi Shell を止める。使っていないサービス（SLP等）を無効にする	0円	JPCERT/CC 2023年注意喚起
ホストを作業用端末やファイルサーバーとして兼用するのをやめる	0円	Microsoft「Don’t use the Hyper-V host as a workstation」
仮想マシンのWindowsファイアウォールを有効にする（同一ホスト内の横移動を止める）	0円	NIST SP 800-125B 4章
第2世代の仮想マシンにしてセキュアブートを有効にする／ホストのディスクをBitLockerで暗号化する	0円	Microsoft 公式ガイダンス
バックアップから実際に1台の仮想マシンを別の場所へ復元してみる	0円	警察庁（復元できたのは20.2%）
バックアップのコピーを1つ、ホストとは別の認証・別の場所に置く	有料	警察庁（復元不可の66.7%がバックアップも暗号化）

本当にお金がかかるのは最後の1行だけです。「バックアップを、ホストとは切り離した場所に出す」──ここだけは、機器かクラウドのどちらかに費用が発生します。あとの9項目は今日から着手できます。

お金をかけるなら、どこに使うのが効きますか？

仮想化基盤の守りは、大きく4つの層に分かれます。当社で取り扱っている製品を、どの層を埋めるものかという観点で並べます。

項目	クラウドバックアップ powered by Acronis	SentinelOne データお守り隊	LANSCOPE エンドポイントマネージャー	ISM CloudOne	Sophos Firewall
どの層を埋めるか	戻せるようにする	ゲストOSの中を見る	台帳と更新	脆弱性の可視化	管理網の分離
仮想化基盤で担う役割	ゲストOSごとのデータをホストの外（クラウド）へ退避	仮想マシンの中の不審な動きをAIが24時間365日監視し自動修復	ホストや周辺機器も含めた資産台帳とWindows更新の管理	毎日更新のセキュリティ辞書と突合する自動脆弱性診断とサポート終了OSの可視化	VMware／Hyper-V上の仮想アプライアンスとしても導入でき、管理ネットワークを分離
初期費用（税別）	0円	0円	30,000円／契約	30,000円	本体 124,400円〜（XGS 107）
月額・年額（税別）	100GB 年36,200円／500GB 年142,500円／1,000GB 年228,000円	1ユーザー 月1,000円 （+Control 1,100円／+Complete 1,660円）	プランⅢ ベーシック 月500円／台 （年額6,000円／台）	基本機能 PC 月600円（1〜）〜360円（1,000〜）	Xstream Protection 年55,200円〜（XGS 107）
対応範囲のポイント	バックアップできる端末数は無制限（容量内）。変更箇所のみの永久差分。バックアップ側へのランサム攻撃も排除	プロセス停止・隔離とワンクリック自動修復。サイバー保険最大50万円が付帯	エージェントを入れられない機器も台帳に登録可（最大10,000件）。操作ログ標準2年	操作ログ10種類以上。外部デバイス制御に利用申請ワークフロー標準	AWS／Azure／VMware／Hyper-V仮想／ソフトウェアアプライアンスに対応
導入実績・試用	30日間の無料評価版	SOCがインストールを支援。30台以上で単価値引き	12,000社以上／60日間の体験	90,000社（2025年3月時点）	Gartner Customers’ Choice 2024
注意点	端末側のウイルス対策は別途必要。仮想マシン単位での対応可否は構成により異なるため要確認	海外製で英語表記が中心。AI検知のため誤検知が出ることがある	資産管理と更新の管理が主。ウイルス対策は別途	エンドポイント管理が主。ウイルス対策は別途	本体とライセンスの組み合わせ。仮想環境向けライセンスは別途見積り
補助金	対象	対象	対象	対象	対象
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

このうち最優先は左端のバックアップです。
前述のとおり、仮想化基盤で失われるものの大きさは物理サーバーの比ではなく、しかも警察庁の統計では復元できたのが2割だけでした。
ホストの外にコピーが1つあるかどうかが、事業が続くかどうかを決めます。

管理画面へのアクセスを、VPNからもう一歩進めたい場合

「管理画面はVPNの内側にあるから大丈夫」という構成は、VPN機器そのものが侵入経路の66.3%を占めている現状では十分とは言えません。
VPNに代わる考え方としてZTNA（必要なシステムにだけ、必要な人だけを通す仕組み）があります。

当社が取り扱う Sophos Workspace Protection は、その入口となるZTNAゲートウェイをVMware ESXi 7以降、Hyper-V 2016以降、または Sophos Firewall 上の仮想マシン（推奨2コア／4GB）として立てられます。
既存の仮想化基盤の上に置けるので、機器を増やさずに始められます。
エージェントレスでブラウザ経由の RDP／SSH 接続にも対応しており、接続前に端末の状態（OS・エンドポイント保護の稼働・ディスク暗号化）を確認する仕組みも備えています。

項目	Sophos Workspace Protection
構成	Protected Browser／ZTNA／DNS Protection／デバイスポスチャを1ライセンスに統合
ゲートウェイの置き場所	VMware ESXi 7+、Hyper-V 2016+、Sophos Firewall 上（推奨VM：2コア／4GB）
ID連携	Microsoft Entra ID、Okta、オンプレミスの Active Directory
年額（1ユーザーあたり・税別）	〜9名 34,040円／10〜24名 32,250円／25〜49名 29,462円／50〜99名 27,574円
詳細	詳細を見る

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方【中小企業向け】

全部そろえると、いくらかかりますか？

従業員30名・PC30台・仮想化ホスト1台・その上の仮想マシン5台・守るべきデータ約1TBという想定で試算します（いずれも税別）。

内容	初年度	2年目以降（年額）
クラウドバックアップ powered by Acronis 1,000GBプラン	228,000円	228,000円
SentinelOneデータお守り隊 30台（ゲストOSと社内PCの監視）	360,000円	360,000円
LANSCOPE エンドポイントマネージャー ベーシック 30台（台帳・更新）	初期30,000円＋180,000円	180,000円
Sophos Firewall XGS 107＋Xstream Protection（管理網の分離）	本体124,400円＋55,200円	55,200円
合計	約977,600円（月約81,500円）	約823,200円（月約68,600円）
まず最低限だけなら（バックアップ＋台帳）	約438,000円（月約36,500円）	約408,000円（月約34,000円）
費用ゼロでできる9項目	0円	0円

これを、事故が起きたあとの費用と比べます。
警察庁の統計では、令和7年の被害組織の調査・復旧費用は「1,000万円以上」が46件／89件＝51.7%でした。
つまり半数以上が1,000万円を超えています。

さらに厳しい数字があります。同レポートの「復旧期間と費用の関係性」では、復旧に2か月以上かかった組織は、費用が「1,000万円以上5,000万円未満」が50%、「1億円以上」が50%──つまり全件が1,000万円以上でした。ホスト1台に全業務が載っている構成は、この「長引く」側に入りやすい構成です。

当社のマルウェア感染調査サービスは300台まで298,000円（詳細レポートは別途500,000円）で、17時までのご注文で翌日対応できます。
ただしこれは「何が起きたかを調べる」費用であって、暗号化された仮想マシンが戻ってくる費用ではありません。
止まった業務も、流出した図面や名簿も、調査では戻りません。

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

補助金は使えますか？

デジタル化・AI導入補助金（旧・IT導入補助金）を活用できる可能性があります。当社は同補助金の支援事業者です。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模2/3・中小1/2（サービス利用料は最大2年分）

申請にあたっては、SECURITY ACTION の自己宣言ID と GビズIDがあらかじめ必要です。また交付決定前に発注したものは補助の対象外になるため、購入のタイミングにご注意ください。

注意点として、サーバー本体やネットワーク機器といったハードウェアが補助対象になるかは、枠と年度によって扱いが変わります。仮想化ホストの入れ替えを補助金で行いたい場合は、必ず最新の公募要領を確認し、専門家にご相談ください。バックアップ・IT資産管理・EDRといったITツールやサービス利用料のほうが、補助金で賄いやすい領域です。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】

結局、何から始めればよいですか？──7つの手順

優先順位をつけて並べます。1〜5は追加費用ゼロで、いずれも半日から数日でできる作業です。

順番	やること	費用	所要の目安
1	ホストと仮想マシンの一覧を1枚作る。ホスト名・仮想マシン名・役割・OSとバージョン・サポート期限・稼働／停止・担当者の7項目	0円	半日
2	入口を固める。VPN機器・リモートデスクトップの機器を最新にし、多要素認証を付ける（侵入経路の87.0%がここ）	0円（既存製品の設定）	1〜3日
3	管理画面の到達範囲を狭める。管理画面に入れるIPアドレスを絞る。可能なら管理用の物理NICとスイッチを専用にする。インターネットから直接見えている状態は今日やめる	0円〜数千円	半日〜1日
4	ホストの管理者アカウントを整える。共有をやめて人ごとに分ける。退職者・導入業者の初期アカウントを見直す。SSHとESXi Shell、使っていないサービスを止める	0円	半日
5	ホストの兼用をやめる。ホストをファイルサーバーや作業用端末として使っている場合、その役割を仮想マシン側へ移す	0円	1〜3日
6	バックアップをホストの外へ出す。ホストとは別の認証・別の場所（クラウドまたは持ち帰る外付けHDD）にコピーを1つ置く	有料	1〜2週間
7	復元テストを1回やる。仮想マシン1台を、別の場所へ実際に戻してみる。戻せる時間を測って記録する	0円	半日

順番を守ってください。いきなり6（バックアップの外出し）から始めると、入口が開いたままで攻撃者に先を越されます。逆に1〜5だけやって6をやらないと、防げなかったときに戻す手段がありません。1〜5で「入られにくくする」、6と7で「入られても戻せるようにする」という2段構えです。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】

▶ 関連記事：社内のネットワーク機器（ルーター・スイッチ・無線AP）のセキュリティ対策はどこまで必要？侵入経路の87%がリモートアクセス機器という現実と、パスワードを変えても元に戻らない乗っ取り・費用ゼロでできる7つの手順【中小企業向け】

▶ 関連記事：ネットワークカメラ・防犯カメラのセキュリティ対策はどこまで必要？9割が「外から見えるつもりはなかった」という現実

まとめ：ホスト1台の守りが、会社1社分の守りになっている

仮想化基盤は、中小企業のIT投資としてはとても合理的な選択です。1台のサーバーに複数の業務を載せられるので、費用も置き場所も電気代も抑えられます。
ただしその合理性の裏側で、「1台やられたら全部やられる」という構造が生まれています。
そして土台であるハイパーバイザーには、ウイルス対策ソフトを入れられません。これは設定の不備ではなく、メーカーが非サポートと明言している仕様です。
だからこそ、守り方が変わります。入口（VPN・リモートデスクトップ）を固め、管理画面に到達できる範囲を物理的に狭め、管理者アカウントを絞り、バックアップをホストの外に出す。この4点です。
米国NISTの標準文書は20の推奨事項の最後を「管理機能の保護には専用の物理NICを割り当てるべき」という一点に充てており、マイクロソフトの Hyper-V 向け公式ガイダンスもまったく同じことを書いています。
2つの独立した資料が同じ結論に至っている論点で、しかも空いているLANポート1つとケーブル1本でできる作業です。
警察庁の統計は、バックアップの取得率が90.5%である一方、そこから復元できたのは20.2%だけだったことを示しています。復元できなかった理由の66.7%は「バックアップも一緒に暗号化されていた」でした。
「毎日バックアップを取っている」ことは、「事故のときに戻せる」ことの証明にはなりません。
今日1つだけやるなら、バックアップから仮想マシン1台を、別の場所へ実際に戻してみてください。費用はかかりません。そこで戻せなければ、事故のときも戻せません。
その事実を、事故の日ではなく今日知れることに意味があります。

よくあるご質問

Q. 社員10名の会社ですが、仮想化基盤のセキュリティ対策は必要ですか？

A. 必要です。むしろ規模が小さいほど「ホスト1台に全部載っている」構成になりやすく、失われる範囲が広くなります。警察庁の令和7年の統計では、ランサムウェア被害を報告した226件のうち中小企業が143件（63.3%）を占めています。
まずは費用ゼロでできる手順1〜5から着手してください。とくに手順1（一覧を作る）と手順3（管理画面の到達範囲を狭める）は、規模に関係なく効果があります。

Q. ESXi にウイルス対策ソフトを入れられないなら、何で守るのですか？

A. 3つです。(1) 更新をすぐ当てる（回避策のない脆弱性はこれしか手がない）(2) 管理画面に到達できる範囲を狭める (3) 管理者アカウントを絞る。
あわせて、仮想マシンの中のゲストOSにはEDR（振る舞いを見て検知するタイプの製品）を入れてください。ハイパーバイザー本体は守れませんが、その上で動くサーバーの中の不審な動きは検知できます。

Q. スナップショットを毎日取っているので、バックアップは足りていますか？

A. 足りていません。スナップショットは同じホストの中にあるため、ホストが暗号化されればスナップショットも一緒に暗号化されます。マイクロソフトも「スナップショットは、災害時にシステムを確実に復元するために必要な、安定した恒久的なバックアップ履歴を提供するものではない」と明記しています。
スナップショットは「更新を当てる前の一時的な戻り道」として使うもので、バックアップの代わりにはなりません。

Q. 管理画面は社内からしか見えないので大丈夫ですか？

A. 「社内から見える」だけでは不十分です。攻撃者はVPN機器やリモートデスクトップを経由して社内LANに入ってくるため、社内LANのどのPCからでも管理画面に届く状態は、実質的に攻撃者からも届く状態です。
NISTの推奨事項は「管理インターフェースへの通信を許可する社内ネットワークのサブネットを限定する」と書いています。社内LAN全体ではなく、管理者が使う数台だけに絞ってください。

Q. ホストを1台しか持っていません。2台にしないと危ないですか？

A. 2台にできればそのほうが安全です。ただし費用がかかるので、優先順位としては「2台目のホストを買う」より先に「バックアップをホストの外に出す」をおすすめします。ホストが2台あっても、両方が同じネットワークにあって同じ管理者アカウントで操作できるなら、まとめて暗号化されます。
なお、ドメインコントローラについてはマイクロソフトが「異なる仮想化ホスト上に最低2台」「加えて物理のDCも置く」と推奨しています。ホストが1台の構成では、小型PCで物理のドメインコントローラを1台足すだけでも、「誰もログインできない」という最悪の状態を避けられます。

Q. VMware のライセンス費用が上がったので Hyper-V へ移りたいのですが、セキュリティ面での差はありますか？

A. どちらが安全とは一概に言えません。守るべき論点（管理ネットワークの分離・管理者権限の絞り込み・更新の適用・バックアップの外出し）は両方に共通します。
強いていえば、Hyper-V はホストが Windows Server なのでホストを兼用してしまう誘惑が強いという運用上のリスクがあります。マイクロソフト自身が「Hyper-V ホストを作業用の端末として使ったり、不要なソフトウェアをインストールしたりしないこと」と明記しているので、移行するならこの点をルールとして決めてください。

Q. ドメインコントローラを仮想マシンで動かしていますが、問題ありますか？

A. 仮想化そのものは問題ありません。マイクロソフトも仮想ドメインコントローラを正式にサポートしています。ただし「ホストのローカル管理者は、ドメイン管理者と同等に扱うべき」という公式の位置づけを理解しておく必要があります。
つまりホストにログインできる人が5人いるなら、実質的にドメイン管理者が5人いる状態です。ホストのアカウントを絞ることが、そのままAD全体を守ることになります。あわせて、仮想DCのスナップショットからの復元はUSNロールバックという障害を招くため避けてください。

Q. ホストを兼用でファイルサーバーにしています。だめですか？

A. 望ましくありません。マイクロソフトの公式ガイダンスは「Hyper-V ホストを作業用の端末として使ったり、不要なソフトウェアをインストールしたりしないこと」と書いており、仮想ドメインコントローラの文書ではさらに踏み込んで「Hyper-V 以外のアプリケーションを載せない Server Core 構成」を推奨しています。
理由は単純で、ホストに機能を足すほど、ホストが攻撃される入口が増えるからです。そしてホストが取られれば全仮想マシンが取られます。ファイルサーバーの役割は、ホストではなく仮想マシン側に移してください。移行作業に費用はかかりません。

Q. IT担当者がいなくても対策できますか？

A. 手順1〜5は、導入業者に依頼すれば設定作業として対応してもらえる内容です。「管理画面に入れるIPを絞ってほしい」「SSHを止めてほしい」「ホストの管理者アカウントを人ごとに分けてほしい」と伝えれば済みます。
手順6・7（バックアップの外出しと復元テスト）は、自動化されたクラウドバックアップを使えば日々の手作業はほぼ発生しません。ゲストOSの監視についても、SOC（監視の専門チーム）が付いたサービスを使えば、社内に担当者がいなくても24時間365日の監視ができます。

Q. まず何から相談すればよいですか？

A. 「ホストが何台あって、その上に何が載っているか」をお聞かせいただければ、そこから優先順位をご提案できます。分からない場合でも、実機を確認して一覧を作るところからお手伝いできます。
あわせて、デジタル化・AI導入補助金を使えるかどうかも同時にご案内します。当社は同補助金の支援事業者です。バックアップ・IT資産管理・EDR・脆弱性管理といったITツールは補助金で賄いやすい領域なので、費用の見通しが立てやすくなります。

あわせて読みたい記事

▶ 関連記事：Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？ランサムウェアが一晩で全社に広がる仕組みと、費用ゼロでできる7つの守り方【中小企業向け】

▶ 関連記事：ファイルサーバー・NASのセキュリティ対策はどこまで必要？バックアップを取っていたのに8割が復元できなかった理由と、共有フォルダの権限・費用ゼロでできる7つの手順【中小企業向け】

▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法【中小企業向け】

▶ 関連記事：Windows Server 2016のサポート終了は2027年1月12日｜法人のESU費用と「Azureなら無償」の誤解・SQL Server 2016との連鎖と移行までの守り方【中小企業向け】

▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説

▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点・税制の落とし穴【中小企業向け】

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】