社内で使用している共有フォルダからデータが見当たらないときに、重要なデータが削除されていた場合、業務停止や情報資産の喪失という大きな被害が発生します。

誤操作や共有フォルダに使用しているサーバーの不具合であれば、バックアップやデータ復元で対応できる可能性があります。

しかし、横領・情報持ち出しなどの社内不正を行う(隠ぺいする)目的で意図的に共有フォルダ内のデータを削除した場合、賠償請求や犯人特定を行うために証拠としてのデータ復元・調査が必要です。

本記事では、削除されたデータの復元方法や、社内不正が疑われる場合の適切なデータ復元・調査方法を解説します。

共有フォルダとは

共有フォルダとは、特定のフォルダを複数のユーザーの端末間で共有したり、情報を共有するために使用されるフォルダです。

共有フォルダを使用することで、複数のユーザー間でファイルやデータを簡単に共有できるようになり、許可なく確認や編集ができます。いわゆるファイルサーバーやNASというのは、ほぼ共有フォルダと同義で扱われることが多いです。

共有フォルダのデータが削除される原因

共有フォルダのデータが削除されている原因として以下のようなものが考えられます。

• ヒューマンエラーでデータを誤削除している
• 個人に不利益のあるデータが意図的に削除されている
• 外部から不正にアクセスされて削除されている
• アクセス権限を持つ人によってデータが外部に持ち出しされている

誤削除であれば、データを復元すれば大きなトラブルは発生しないですが、アクセス権限内の不正行為や外部からのサイバー攻撃によってデータが削除されている場合には、情報持ち出しや不正アクセスなどの危険があります。

不正アクセスによって共有フォルダの個人情報が漏洩した疑いがある場合は、感染経路などを調査し、改正個人情報保護法に基づいてしかるべき機関に報告を行う必要があります。

共有サーバーへの不正アクセス調査にあたり、自身で復旧ソフトなどを使った作業は証拠となるログの上書きにつながる可能性があるためおすすめしません。

法的対応やセキュリティ対策を見越すのであれば、専門家に相談することを強くお勧めします。共有ファイルが削除された痕跡や証拠を適切に保全し、解析結果などをレポートなどでまとめてもらうことも可能です。

共有ファイルのデータを削除した犯人を特定する方法

共有ファイルのデータが削除されている場合には、削除された原因や犯人の特定を急ぐ方も多いですが、まずは情報漏洩などのトラブルが発生しているか事実調査することが必須です。事実調査をする時には、専門業者に相談する必要があります。

しっかりと事実調査をしたうえで、データを削除した犯人に対しての賠償請求・懲罰を目的とした犯人を特定する方法で調査しましょう。共有ファイルのデータを削除した犯人を特定する方法は以下の通りです。

• イベントログを確認する
• 専用のソフトウェアでアクセスログを確認する
• 専門の調査業者に相談する

イベントログを確認する

イベントログとは、Windowsの中で発生した事象の記録を指します。イベントログはすべてバイナリの. Evtファイルに保存されるため、事前に設定をしていれば確認することが可能です。イベントログの確認方法は以下の通りです。

1. スタートボタンをクリックする
2. イベントビューアーを選択してWindowsログをクリック
3. 確認したいイベントログをクリック

ただし、イベントログの設定次第でログの保存されている期間や保存できるデータの総量が決まっています。ログが削除されている場合には、この方法で調査することはできないので注意してください。

専用のソフトウェアでアクセスログを設定する

専用のソフトウェアを用いてアクセスログを確認する方法があります。データが削除される前に専用のソフトウェアでアクセスログを管理していた場合は、ソフトウェアの機能を用いて怪しいログがないか確認しましょう。

ただし、ソフトウェアは万能ではないため、すべてのログが検出できるわけではない可能性があります。また、削除される前に確認用のソフトウェアを設定していない場合は確認できません。

専門の調査業者に相談する

悪意ある人物によって共有フォルダ内のデータが削除された時は、早急にデジタルフォレンジック調査の専門業者に依頼することが必要です。

デジタルフォレンジックとは、端末内のデータの証拠保全・解析を行う技術です。従業員の不正や犯罪の調査といった法的対応をはじめ、不正アクセスやマルウェアなどのセキュリティに対する脅威の特定にも活用される技術です。フォレンジック調査業者では、この技術を用いて「情報漏洩調査」「企業の不正調査」などの目的に合わせて調査をします。

デジタルフォレンジック調査ではどれだけのデータが漏えいしたか、どの端末が共有サーバーに不正アクセスを行ったかなどを機器のデータから抽出・分析します。

この時社内の人物が犯人だった場合、訴訟に発展する可能性もあります。しかしデジタルデータは改ざんが容易なため、社内のみで調査を完結することは、データの証拠能力を失うことにつながります。法的対応だけでなく、従業員の懲戒処分などを検討する場合でもフォレンジック調査の専門家に相談することをおすすめします。

※１　累計ご相談件数39,451件を突破（期間：2016年9月1日～）
※２　データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）

共有ファイルの調査を行う場合、専門業者に相談する

当社が選ばれる5つの理由

当社はフォレンジック技術や世界最高水準のデータ復旧技術を用いて、サイバー攻撃被害や犯罪・不正行為をはじめとした、様々な問題の解決に貢献してきました。

個人・法人問わず、多くのお客様から選ばれ続ける理由は以下の通りです。

• ①累積ご相談件数39,451件以上の実績
• ②24時間365日スピード対応
• ③利用しやすい料金設定　相談・見積無料
• ④国内最大規模の最新設備・技術
• ⑤国際空港レベルのセキュリティ体制

①累積ご相談件数39,451件以上の実績

官公庁・上場企業・捜査機関・法律事務所・監査法人等から個人のお客様まで幅広い支持をいただいており、累積39,451件以上（※1）のご相談実績があります。

また、大手保険会社様、警察をはじめとした数々の取引実績があります。

（※1）集計期間：2016年9月1日～

②24時間365日スピード対応

緊急性の高いインシデントにもいち早く対応できるよう24時間365日受付しております。ご相談から最短30分で初動対応のWeb打合せを開催・即日現地駆けつけ対応も可能です。（法人様限定）

③利用しやすい料金設定　相談・見積無料

安心してご利用いただきやすいよう、他社様/業界水準よりも安価に調査サービスを提供しております。初動対応のご相談・お見積は無料で実施。はじめてのご利用でもお任せください。

④国内最大規模の最新設備・技術

多種多様な調査依頼にお応えするため、世界各国から最新鋭の調査・解析ツールや復旧設備を導入しています。

自社内に40名以上のエンジニアが在籍し、14年連続国内売上No.1のデータ復旧技術(※2)とフォレンジックの技術でお客様の問題解決をサポートします。

（※2）第三者機関による、データ復旧サービスでの売上の調査結果に基づく。(2007年～2017年)

⑤国際空港レベルのセキュリティ体制

官公庁や警察などの機密性の高い情報を取り扱うため、第三者機関の警備やセキュリティゲート、監視カメラを配置し、情報の管理を行っています。

世界基準のセキュリティ規格であるISO、Pマークを取得。万全のセキュリティ体制を構築しています。

共有フォルダから削除されたデータを復元する方法

情報漏洩の有無・データが削除された経緯・犯人を調査するために、削除されたデータを復元したい場合には、データを復元する方法を試しましょう。データを復元する方法は以下の方法があります。

• ファイル履歴から復元する
• システムの保護から共有ファイルのデータを復元する
• Time Machine機能で復元する(Mac)
• データ復旧業者に相談する

また、データを一番確実に復旧できる方法は、データ復旧業者に相談することです。デジタルデータを証拠として復元したい場合は、ただデータを復元しても意味をなさず、デジタル機器に残されたデータに法的証拠能力を持たせるには、第三者が把握できる法的資料を作成する必要があります。

デジタルデータフォレンジック（DDF）では、フォレンジック調査ならびにデータ復旧サービスで蓄積してきた豊富な経験と技術力をもとに、削除・破損したデータでも復元・修復して、証拠を確保することが可能ですので是非ご依頼ください。

ファイル履歴から復元する

Windows(10/11)では、「ファイル履歴」の機能を用いてデータを復元することが可能です。ファイル履歴の設定方法は以下の手順で設定できます。

1. スタートボタンを選択し、「設定」を開く
2. 「Windowsの設定」から「更新とセキュリティ」を選択
3. 「バックアップ」から「ファイル履歴を使用してバックアップ」の下の「ドライブの追加」を選択する
4. 「バックアップ先にするドライブ」を選択し、「ファイルのバックアップを自動的に実行」をオンに変更
5. 「この方法は以前のデータらバックオプションを選択
6. 「バックアップのタイミング・バックアップ対象」のフォルダを確認する

ただし、OSがWindows8以前のパソコンでは利用できない復元方法になります。また、ファイル履歴が有効でない場合にはデータを復元できないので、その際は専門業者に相談する必要があります。

システムの保護から共有ファイルのデータを復元する

Windows(7/10)では、システムの保護から削除した共有ファイルのデータを復元できる可能性があります。システムの保護機能でデータを復元する方法は以下の通りです。

1. 復元したいファイルを右クリック
2. 「以前のバージョンの復元」をクリック
3. 「ドキュメント」から「プロパティ」をクリック
4. 「以前のバージョン」タブの中から「フォルダのバージョン」をクリック
5. 復元したい日時のファイルを選
6. 復元をクリック
7. 復元可能な場合はデータが復元される

ただし、システムの保護が有効でない場合には、ファイルのデータが保存されていないため、データを復元することができません。

更に、この方法は以前のデータに戻す作業ですので、実行する前にデータのバックアップを取る必要があります。昔の状態に戻す作業は失敗するとデータの構成が破壊される・後戻りできないなどのリスクがあります。確実にデータを復旧したい場合には、自力で対処せずにデータ復旧業者に相談しましょう。

Time Machine機能で復元する(Mac)

Macのデータの場合には、Time Machineというバックアップ機能を用いてデータを復元できる場合があります。Time Machineの設定方法と使用方法は以下の通りです。

1. 復元したいファイルを開く
2. 「Time Machine」のメニューを開く
3. 「Time Machineに入る」を選択する
4. 右側に表示される時間軸or上下の矢印を使用して復元したい時点のファイルを選択する
5. 復元ボタンをクリックする
6. バックアップからファイルが復元される

ただし、事前にMacでTime Machine機能を設定する必要があり、もし設定できていない場合にはデータを復元することができません。また、データが復元できない場合はHDDに物理的な障害が発生している可能性が高いです。

物理障害は自力で対処できないので、自力で対処せずにデータ復旧業者に相談しましょう。

ネットワークやPC、NASの設定を見直しても共有ファイルが開けない状況が改善されない場合には、データ復旧専門業者に一度相談しましょう。

一方で、メーカーや販売店に修理に出すと機器は直るものの、 通常データは全て初期化されてしまいます。

機器の障害を正確に判断できない状態で試すにはリスクが高すぎるため、異常を感じられた際は、すぐに使用を中止しデータ復旧の専門家に相談するのが一番確実です。

デジタルデータフォレンジックではデータ復旧サービスも行っているので、まずは事実調査を依頼して、必要な場合にはデータ復旧もまとめてご依頼ください。

共有フォルダ内のデータを削除されないための対策

調査した後は、共有フォルダ内のデータを削除されないために対策をしておくことが重要です。共有フォルダ内のデータを削除されないための対策として以下のようなものがあります。

• アクセス権限を設定する
• セキュリティソフトを利用する
• データのバックアップを取っておく
• 監査ログを有効化する

アクセス権限を設定する

共有フォルダはアクセス権限を設定して、共有したい人だけに情報を共有することが可能です。アクセス制限の方法は以下の通りです。

1. 共有フォルダを右クリックする
2. プロパティを選択する
3. 共有のタブから共有を選択するとアクセス権限の設定画面が表示される
4. 「Everyone」を選択して削除する
5. 「共有を許可するユーザー」を選択し、追加をクリックする

ただし、アクセス制限を持った人の不正な削除を対策することはできません。アクセス制限を行ってもデータが削除されている場合には、機器の調査をしてアクセスログの確認が必須です。

セキュリティソフトを利用する

セキュリティソフトを利用することで、共有フォルダ内部の不審なデータのやり取りを遮断することができる可能性があります。

セキュリティソフトでは、「ファイルサーバーの保護」に特化したものもあり、外部へのファイルの持ち出しを制限するものや、すべてのファイルを管理・検索できる機能があります。あわせてマルウェアなどの感染対策もできるので、セキュリティソフトを利用して対策しましょう。

ただし、セキュリティソフトは万能ではないため、すべてのログやデータの管理ができている保証がないです。セキュリティソフトを活用しつつ、専門業者での定期的な調査も依頼しておくと安心です。

データのバックアップを取っておく

あらかじめデータのバックアップを取っておくことで、削除されたとしてもデータを復元することが可能です。削除されたデータが必要になる可能性がある場合には、定期的にバックアップを取っておくことにしましょう。

ただし、機器の操作ログまではバックアップに残っていない可能性があります。この場合は専門業者に相談しても調査が難しい場合もあります。すぐに専門業者に相談して対処可能か確認しましょう。

監査ログを有効化する

監査ログを有効化することによって、最大90日分のログを監査することが可能になります。

監査ログを有効化するための手順は以下の通りになります。

1. Microsoft 365 コンプライアンス センター」にアクセスする
2. 画面左側のメニューから「監査」を選択する
3. 「ユーザーと 管理アクティビティの記録を開始する」を選択する
4. 変更が開始される

監査が有効になっていない場合は、「ユーザーと管理者のアクティビティの記録を開始する」というリンクが表示されますが、監査が有効な場合は表示されません。監査が必要な場合は監査ログを有効化し、ログを残しておくことでトラブルが解決する可能性があります。

監査ログの有効化だけでなく、調査の専門業者に依頼してログを調査することができるので、設定が難しい・対策に困ったときは専門業者に相談するのが確実です。