「重要なファイルが消えている」「誰がこの資料を開いたのか知りたい」という場面で、Windowsは既定では何も記録していません。あとから調べようとしても、設定を入れていなければ手がかりは残っていません。この設定は、必要になってからでは間に合わない類のものです。この記事では記録を残すための手順を扱います。共有フォルダ以外も含めて不審なアクセスを確認したい場合は不正ログインを無料で確認する方法を先にご覧ください。
設定は二段構えになっている
ここが分かりにくい点です。1か所の設定では動きません。
- ① 監査ポリシー — 「オブジェクトへのアクセスを記録する」という全体の許可
- ② フォルダ側の監査設定 — 「どのフォルダの、誰の、どの操作を」という指定
①だけでは何も記録されず、②だけでも記録されません。両方を設定して初めてログが出ます。「設定したのに何も出ない」という相談の大半はこれが原因です。
① 監査ポリシーを有効にする
対象のファイルサーバーで gpedit.msc（ドメイン環境では gpmc.msc から対象のポリシー）を開きます。
コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカル ポリシー → 監査ポリシー
「オブジェクト アクセスの監査」を開き、成功と失敗の両方にチェックを入れます。
失敗側も有効にしてください。権限がないのにアクセスを試みた記録は、それ自体が重要な情報です。
設定後、反映します。
gpupdate /force② フォルダ側で対象を指定する
- 対象フォルダを右クリック → プロパティ
- セキュリティタブ → 詳細設定
- 監査タブ → 追加
- 「プリンシパルの選択」で対象を指定（Everyone を推奨）
- 種類を「成功」または「すべて」にする
- 「基本のアクセス許可」から、記録したい操作を選ぶ
プリンシパルは Everyone にしてください。特定のグループを指定すると、そのグループに属さない人の操作が記録から漏れます。調べたい相手は、たいてい想定外の人です。
どの操作を記録するか
ここで「フル コントロール」を選ぶと、記録が膨大になり実用に耐えません。ファイルを1つ開くだけで何十件も記録されるためです。目的に応じて絞ります。
| 知りたいこと | 選ぶ項目 |
|---|---|
| 誰が消したか | 削除、サブフォルダーとファイルの削除 |
| 誰が書き換えたか | データの書き込み、データの追加 |
| 誰が持ち出した可能性があるか | データの読み取り |
| 誰が権限を変えたか | アクセス許可の変更、所有権の取得 |
まずは「削除」と「アクセス許可の変更」だけから始めるのが実務的です。件数が少なく、事故につながる操作を確実に押さえられます。読み取りの記録は、対象を機密性の高いフォルダに限定してから追加してください。
記録を見る
イベントビューアー（eventvwr）の Windowsログ → セキュリティ で確認します。フィルターで次のIDに絞ります。
| ID | 意味 |
|---|---|
| 4663 | オブジェクトへのアクセスが試行された（中心となる記録） |
| 4656 | ハンドルが要求された |
| 4660 | オブジェクトが削除された |
| 4670 | アクセス許可が変更された |
PowerShellで期間を指定して抽出することもできます。
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4663; StartTime=(Get-Date).AddDays(-3)} | Select-Object TimeCreated,Message誰の操作かは、イベント詳細の「サブジェクト」のアカウント名で分かります。ただし共有アカウントが使われている場合、ここには共有IDしか出ず、個人の特定はできません。記録を残す意味を保つためには、1人1IDが前提です。
共有アカウントの廃止については 共有アカウントの廃止で扱っています。
ログが溢れないようにする
この設定を入れると、セキュリティログの量は大きく増えます。既定のサイズ上限のままでは、数日でログイン履歴ごと上書きされ、かえって調査ができなくなります。
- イベントビューアーで「セキュリティ」を右クリック →プロパティから最大ログサイズを引き上げる
- 監査の対象フォルダを絞る — サーバー全体ではなく、重要なフォルダに限定する
- 記録する操作を絞る — 読み取りを外すだけで件数は大きく減る
「全部記録しておけば安心」という設計は、実際には破綻します。ログイン履歴側の保存設計と合わせて考えてください。詳細は Windowsのログイン履歴を確認する方法と アクセスログの監査にまとめています。
記録が必要になる場面
平時には使わない設定ですが、必要になる場面ははっきりしています。
- 個人情報の漏えいが疑われたとき — 影響範囲を確定できなければ、対象者全員への通知が必要になり得ます。期限と対象は個人情報漏えいの報告義務と期限を参照してください
- 退職者による持ち出しが疑われたとき — 退職前後のアクセスを追うことになります
- ランサムウェアの被害を受けたとき — どこまで到達されたかの判断材料になります
- Pマーク・ISMSの審査 — 記録の有無と点検した事実が問われます
いずれも「そのときに設定を入れる」では間に合いません。
記録より先にやること
アクセス履歴は、起きたことを後から追うための仕組みです。そもそも見られる範囲が広すぎる状態なら、記録は「多くの人が正当にアクセスした」という事実を並べるだけになります。
権限の棚卸しを先に行ってください。手順は ファイルサーバーのアクセス権を棚卸しする手順にまとめています。
よくある質問
共有フォルダのアクセス履歴はどう設定しますか
監査ポリシーで「オブジェクト アクセスの監査」を有効にし、加えて対象フォルダのプロパティ → セキュリティ → 詳細設定 → 監査タブで、記録する対象と操作を指定します。両方を設定しないと記録は出ません。
設定したのに何も記録されません
監査ポリシーとフォルダ側の監査設定は二段構えで、どちらか一方だけでは動作しません。両方を確認し、gpupdate /force を実行してください。それでも出ない場合は、フォルダ側で指定したプリンシパルが対象者を含んでいるかを確認します。
ログの量が多すぎる場合はどうしますか
監査の対象を重要なフォルダに限定し、記録する操作から「データの読み取り」を外すと大きく減ります。あわせてイベントビューアーのプロパティで最大ログサイズを引き上げてください。
自社の対応状況を確認するには
アクセス履歴の記録は、事故が起きたときに範囲を確定するための備えです。記録があることと、侵入されないことは別の問題です。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。画面の名称や既定値は、Windows Serverのバージョンおよび適用されているポリシーによって異なる場合があります。監査の有効化はログ量に影響するため、検証環境での確認のうえ実施してください。