「重要なファイルが消えている」「誰がこの資料を開いたのか知りたい」という場面で、Windowsは既定では何も記録していません。必要になったときに記録が残っているよう、この記事では普段のうちに記録を残しておく手順を扱います。共有フォルダ以外も含めて不審なアクセスを確認したい場合は不正ログインを無料で確認する方法を先にご覧ください。
設定は二段構えになっている
1か所の設定では動きません。次の2つを両方入れて初めてログが出ます。「設定したのに何も出ない」相談の大半はこれが原因です。
| 設定 | 役割 |
|---|---|
| ① 監査ポリシー | 「オブジェクトへのアクセスを記録する」という全体の許可 |
| ② フォルダ側の監査設定 | 「どのフォルダの、誰の、どの操作を」という指定 |
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
① 監査ポリシーを有効にする
対象のファイルサーバーで gpedit.msc（ドメイン環境では gpmc.msc）を開き、次の順で設定します。
監査ポリシーの設定
- 1
ポリシーを開く
コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカル ポリシー → 監査ポリシー
- 2
「オブジェクト アクセスの監査」
成功と失敗の両方にチェック
- 3
反映する
gpupdate /force
失敗側も有効にしてください。権限がないのにアクセスを試みた記録は、それ自体が重要な情報です。
gpupdate /force② フォルダ側で対象を指定する
対象フォルダごとに、次の手順で監査の対象を指定します。
フォルダ側の監査設定
- 1
プロパティを開く
対象フォルダを右クリック → プロパティ
- 2
監査タブで追加
セキュリティ → 詳細設定 → 監査 → 追加
- 3
対象を Everyone に
「プリンシパルの選択」で指定
- 4
種類と操作を選ぶ
「成功」か「すべて」、記録したい操作を選ぶ
プリンシパルは Everyone にしてください。グループを指定すると、そのグループに属さない人の操作が記録から漏れます。調べたい相手は、たいてい想定外の人です。
どの操作を記録するか
「フル コントロール」を選ぶと、ファイルを1つ開くだけで何十件も記録され、実用に耐えません。目的に応じて絞ります。
| 知りたいこと | 選ぶ項目 |
|---|---|
| 誰が消したか | 削除、サブフォルダーとファイルの削除 |
| 誰が書き換えたか | データの書き込み、データの追加 |
| 誰が持ち出した可能性があるか | データの読み取り |
| 誰が権限を変えたか | アクセス許可の変更、所有権の取得 |
読み取りの記録は、対象を機密性の高いフォルダに限定してから追加してください。
ポイント
記録を見る
イベントビューアー（eventvwr）の Windowsログ → セキュリティ で確認します。フィルターで次のIDに絞ります。
| ID | 意味 |
|---|---|
| 4663 | オブジェクトへのアクセスが試行された（中心となる記録） |
| 4656 | ハンドルが要求された |
| 4660 | オブジェクトが削除された |
| 4670 | アクセス許可が変更された |
PowerShellなら期間を指定して抽出できます。
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4663; StartTime=(Get-Date).AddDays(-3)} | Select-Object TimeCreated,Message誰の操作かは、イベント詳細の「サブジェクト」のアカウント名で分かります。共有アカウントでは共有IDしか出ず、個人を特定できません。1人1IDが前提です（ 共有アカウントの廃止）。
ログが溢れないようにする
この設定でセキュリティログは大きく増えます。既定のサイズ上限のままでは、数日でログイン履歴ごと上書きされます。
| 対策 | やり方 |
|---|---|
| 最大ログサイズを引き上げる | イベントビューアーで「セキュリティ」を右クリック → プロパティ |
| 対象フォルダを絞る | サーバー全体ではなく、重要なフォルダに限定する |
| 記録する操作を絞る | 読み取りを外すだけで件数は大きく減る |
「全部記録しておけば安心」とすると、量が多すぎて見返せなくなります。ログイン履歴側の保存設計と合わせて考えてください。詳細は Windowsのログイン履歴を確認する方法と アクセスログの監査にまとめています。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
記録に残るのはアカウント名です。そのアカウントのパスワードを知っている人が操作していれば、記録上は本人の操作に見えます。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
記録が必要になる場面
平時には使いませんが、次の場面で必要になります。いずれも、普段から記録が残っていれば、その日のうちに答えられます。
| 場面 | 記録が果たす役割 |
|---|---|
| 個人情報の漏えいが疑われたとき | 影響範囲を確定する。できなければ対象者全員への通知が必要になり得る（報告義務と期限） |
| 退職者の持ち出しが疑われたとき | 退職前後のアクセスを追う |
| ランサムウェアの被害 | どこまで到達されたかの判断材料 |
| Pマーク・ISMSの審査 | 記録の有無と点検した事実が問われる |
どの場面でも、手間がかかるのは1台ずつ記録を探す作業です。全PC・サーバーのログイン記録を1か所に集めておけば、退職前後に誰がどのPCに入ったかも画面で絞り込んでCSVで出せ、記録は10年間残ります（アプリップリキー）。審査で記録を聞かれたときも、その画面やCSVをそのまま見せられます。
記録より先にやること
見られる範囲が広すぎると、記録は「多くの人が正当にアクセスした」事実を並べるだけになります。権限の棚卸しを先に行ってください。手順は ファイルサーバーのアクセス権を棚卸しする手順にまとめています。
盗まれた認証情報で社内に入られ、サーバーとファイルサーバーがまとめて暗号化された事例もあります（オーミケンシの事例）。共有フォルダは、社内に入られた後に最初に狙われやすい場所です。
普段の管理が楽になると何が変わるか
「誰がこのファイルを消したのか」と聞かれたとき、いちばん時間がかかるのは、その時間に誰がどのPCを使っていたかを確かめる作業です。ログイン記録が1か所にあれば、日時と利用者で絞り込むだけで済み、社員に一人ずつ聞いて回る必要がありません。
Pマーク・ISMSの審査や取引先のチェックシートで記録を求められても、聞かれたその日にCSVで出せます。兼任の担当者でも、調べる時間と呼ばれる回数が減ります。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
共有フォルダのアクセス履歴はどう設定しますか
監査ポリシーで「オブジェクト アクセスの監査」を有効にし、加えて対象フォルダのプロパティ → セキュリティ → 詳細設定 → 監査タブで、記録する対象と操作を指定します。両方を設定しないと記録は出ません。
設定したのに何も記録されません
監査ポリシーとフォルダ側の監査設定は二段構えで、どちらか一方だけでは動作しません。両方を確認し、gpupdate /force を実行してください。それでも出ない場合は、フォルダ側で指定したプリンシパルが対象者を含んでいるかを確認します。
ログの量が多すぎる場合はどうしますか
監査の対象を重要なフォルダに限定し、記録する操作から「データの読み取り」を外すと大きく減ります。あわせてイベントビューアーのプロパティで最大ログサイズを引き上げてください。
いまの運用を棚卸ししてみる
アクセス履歴の記録は、事故が起きたときに範囲を確定するための備えです。記録があることと、侵入されないことは別の問題です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けます。PDFレポート付き、個人情報の入力・会員登録は不要です。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。画面の名称や既定値は、Windows Serverのバージョンおよび適用されているポリシーによって異なる場合があります。監査の有効化はログ量に影響するため、検証環境での確認のうえ実施してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。