NASの外部アクセスを安全にするには？共有（SMB）の直公開を避ける設計とセキュリティ対策

社内のNASやファイルサーバーへの外部アクセス（外出先・在宅からの利用）を安全にしたい。中小企業でよくある要望です。一方で、「外から使えるように」とファイル共有（SMB）をインターネットに直接公開してしまうと、不正アクセスやランサムウェアの入口になりかねません。

安全に使う基本は、ファイル共有を直接インターネットに出さず、安全な経路の内側から、利用者ごとに必要な共有だけにつなぐことです。この記事では、その考え方を専門用語ぬきで整理します。

この記事でわかること

• NAS・ファイルサーバーの直接公開が危ない理由
• 危ない使い方のセルフチェック
• 社外から安全に使う基本と、現実的な選択肢

動画のナレーションの文字起こし

1. 外から会社のNASを使いたい

   自宅や外出先から、会社のNASを使いたい。

   方法は4つ。1つめの、ファイル共有の直接公開は、おすすめしません。

   不正アクセスやランサムウェアの入口になるからです。

2. 2. VPNの内側から使う

   2つめはVPN。今あるNASを活かせて、拠点どうしを常につなぐのに向きます。

   ただ、社内LAN全体へ届く形になりやすい点に注意です。

3. 3. 接続先を絞るリモートアクセス

   3つめは、利用者ごとに接続先を絞るリモートアクセス。今のNASを活かせます。

   そのかわり、最初の許可の設定に手間がかかります。

4. 4. クラウドストレージへ移す

   4つめはクラウドストレージ。NASの機器の管理から離れられます。

   ただ、仕事の手順が変わり、同期による誤削除や暗号化の広がりにも注意です。

5. 条件で選ぶ

   拠点どうしを常につなぐなら、VPN。

   今のNASのまま、利用者ごとに範囲を絞るなら、接続先を絞るリモートアクセス。

   NASの管理から離れたいなら、クラウドです。

6. 選択肢のひとつ ForceLink

   ForceLink は、接続先を絞るリモートアクセスの一例です。

   許可した人だけが、決めたNASへつながり、社内LAN全体は開きません。

   なお、多要素認証には、いまは対応していません。

   自社の構成で使えるかは、お問い合わせで確かめられます。

NAS・ファイルサーバーとは

NAS（ネットワーク接続ストレージ）やファイルサーバーは、社内の書類・素材・データを集約して共有する保存場所です。Windowsの「ファイル共有（SMB＝Windowsのファイル共有でよく使われる通信）」などで、社内の各PCからアクセスして使います。SMBは、本来は社内ネットワーク内でファイルを共有するための通信で、インターネットに直接公開する前提の使い方ではありません。用語の整理は用語集でも行っています。

問題は「便利さ」ではなく、社外から使うために、この共有口をインターネットに直接さらす使い方にあります。

ファイル共有（SMB）を直接公開するセキュリティリスク

1. 共有口が外部から見える

ファイル共有（SMB、標準では445番ポート）をインターネットに直接開けると、世界中から自動で接続を試されます。本来は社内向けの通信を、外に出してしまう状態です。

2. 総当たり・既知の脆弱性の対象になる

弱いパスワードや使い回しは、総当たりで突破されかねません。また、ファイル共有の仕組みに関わる脆弱性が悪用されることもあり、過去には、ファイル共有の脆弱性が大規模なランサムウェア被害につながった例も知られています。JPCERT/CCも2016年の注意喚起で、ネットワーク機器を不用意にインターネットへ公開しないよう促しています。

3. 重要データが集まる場所である

NASやファイルサーバーは、社内データが集約される場所です。侵入されたときの影響が、ほかの機器より大きくなりがちです。

4. 共有フォルダごと暗号化・削除されうる

ランサムウェアに侵入されると、共有フォルダ単位でファイルがまとめて暗号化・削除される被害につながりやすい場所です。だからこそ、入口を絞り、バックアップも併せて備えることが大切です。

攻撃が実際にどの順番で進むのか、避けたい公開パターンの全体像は、NASの外部アクセスで何が起きるかを解説した記事で詳しく整理しています。

NASの危ない使い方セルフチェック

まずは自社の使い方を点検してみてください。

3つ以上当てはまる場合は、目安として、使い方（経路・認証・範囲）の見直しを検討してください。

NASの外部アクセスを安全にする基本

1. ファイル共有を直接公開しない

NASの共有口を外に直接出さず、VPNやリモートアクセスの内側に入ってからファイル共有を使うのが基本です。ルーターのポート転送・UPnPでNASを直接開ける設定は避けます（自分で設定した覚えがなくても、機器やアプリの設定で外部公開されていることがあります）。「直接公開しない」考え方は、RDPの記事やネットワークカメラの記事とも共通です。

2. 利用者ごとに、必要な共有だけに絞る

「全員がすべての共有に入れる」状態をやめ、利用者・部署ごとに必要なフォルダ・サーバーだけを許可します。接続できても社内のどこへでも行ける、という状態を避けるのがポイントです（最小権限）。設計の考え方はセキュリティのページで解説しています。

3. 認証を強くし、更新を続ける

パスワードだけに頼らず、アカウントは利用者ごとに分けます（共有IDは避ける）。NAS本体のファームウェアやOSの更新も続けます。退職・委託終了時はアクセスを止めます（→ 権限管理の記事）。

4. バックアップを備える

NASは被害が集中しやすい場所です。複数の場所・世代でバックアップを取り、少なくとも1つは普段から直接書き換えられない形にし、復元できるかを試しておきます。なお、NASのRAIDはバックアップではありません。ディスク故障には備えられても、ランサムウェアによる暗号化や誤削除には十分ではないため、別の場所へのバックアップ・世代管理・復元テストを確認してください。

NASで特に確認したい設定

つなぎ方だけでなく、NAS本体の設定も点検しておきましょう。

NASへ外部アクセスする4方法の比較

社外から社内のNASへアクセスする方法を検討する際は、安全性の確認と、自社の管理体制や運用形態に合うかどうかの見極めが必要です。NASの共有口を外に直接出さず、VPNやリモートアクセスの内側に入ってからファイル共有を使う構成が基本となります。ルーターのポート転送やUPnP機能を使ってNASを直接インターネットへ開ける設定は避ける必要があります。

どの方式を採用するかは、既存のNASを継続して利用するか、社外からの接続範囲をどこまで絞り込むか、そして運用の手間に対応できるかという対象条件によって分かれます。代表的な4つの方法の特徴と適用条件を以下に整理します。

ファイル共有（SMB）をインターネットへ直接公開する方法は、設定作業自体は簡潔ですが、不正アクセスやランサムウェアの入口となるため非推奨です。通信を保護する暗号化や遮断の壁を介さずにファイル共有機能が外部にさらされる状態となるため、向く条件はありません。社内データを保持する用途であれば、例外なく避ける選択肢となります。

拠点間VPNやリモートアクセスVPNの内側から既存のNASを使う方法は、社外の端末と社内ネットワークの間に仮想的な専用通信路を作る仕組みです。拠点の数だけ機器の設置と接続設定が必要になり、リモートアクセスVPNでは接続した端末から社内LAN全体へ通信が届く状態になりやすい点に注意を要します。既存のNASを活かしたい場合や、複数拠点を常時接続して社内と同じネットワーク環境を共有したい条件に向きます。一方で、社外からの接続者ごとにアクセスできる社内機器の範囲を細かく制限したい条件には向きません。

利用者ごとに接続先を限定するリモートアクセスの内側から使う方法は、仮想の通信路を介した上で、特定の端末やフォルダのみに接続先を絞り込む仕組みです。社内のどこへでも通信が行き届く状態を避けられる反面、あらかじめ利用者や部署ごとに必要なフォルダやサーバーだけを許可する初期設定の手間が発生します。既存のNASを活かしたい場合や、最小限の権限として利用者ごとに共有の範囲を絞り、接続後の到達範囲を限定したい条件に向きます。一方、接続後に社内LAN内のあらゆる機器へ自由に横断アクセスしたい条件には向きません。

クラウドストレージへ移す方法は、ファイルを社外の事業者が運用する基盤上へ保管する仕組みです。機器自体の保守は不要になりますが、既存の業務手順やファイルの保管場所を変更する必要が生じます。また、提供元のセキュリティ基準やデータの所在を確認する必要があるほか、端末上のファイルを自動で同期する仕組みでは、手元の誤削除やランサムウェアによる暗号化がクラウド側へそのまま反映されるリスクが存在します。なお、NASのRAID構成は機器障害への備えであり、誤削除や破損に対処するバックアップではありませんが、クラウドへ移行する場合も同期とは別のデータ保護設計が求められます。クラウド中心の環境へ移行したい条件に向く一方、既存のNASを活かして現在の業務手順を維持したい条件には向きません。

既存のNAS・ファイルサーバーを活かす場合は、直接公開せず、リモートアクセスの内側から利用者ごとに必要な共有だけを使う方法が現実的です。たとえばForceLinkは、SMBをインターネットに直接公開せず、許可した利用者だけが指定したNAS・ファイルサーバーへ接続するリモートアクセスの一例です。機能名として「社内リソース・ルート制御」（利用者ごとに接続できる社内リソースを限定する機能）を提供し、接続後に社内LAN全体を開放しない設計です。ただし、現時点で多要素認証（MFA）には未対応のため、MFAを必須要件とする場合は要件に合う構成を別途ご確認ください。自社のNAS・サーバー構成で使えるかは、お問い合わせで個別にご確認いただけます。

まとめ：まず確認すべき3点

1. ファイル共有（SMB）を、インターネットに直接公開していないか（ポート転送・UPnPに注意）
2. 利用者ごとに、必要な共有だけに絞れているか（全員が全共有に入れる状態を避ける）
3. 更新・認証・バックアップを続けられているか

業種別では、図面・写真データを扱う建設・不動産のテレワーク、図面・仕様書（営業秘密）を扱う中小製造業のテレワーク、契約書・顧問先資料を扱う会計事務所・法律事務所のテレワークでも、ファイルの扱いを具体的に解説しています。クラウド化できないファイルサーバーが残る場合はハイブリッド環境の記事もどうぞ。

NASへの外部アクセスは、「直接公開せず、安全な経路の内側から、必要な共有だけ」が基本です。自社での進め方は、比較ページで方式を確認しつつ、あわせて料金ページとFAQで確認してください。

参考・出典

• JPCERT/CC「ネットワークに接続されたシステム・機器の設定には注意を」
• 警察庁「ランサムウェア被害防止対策」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• 総務省「テレワークセキュリティガイドライン（第5版）」