自作の基礎・ 2026-08-11 （更新：2026-08-11）

WindowsコントロールされたフォルダーアクセスでランサムウェアからVSSを守る7原則｜副業PCの第2層防護設定

ランサムウェアがVSS（シャドウコピー）を真っ先に削除する問題に対し、Windows 11のコントロールされたフォルダーアクセス（CFA）を有効化してVSSの不正削除を防ぐ7原則を解説。許可アプリの追加・保護フォルダの拡張・誤検知対処まで実務手順で完全網羅。推測ASIN・推測URLは不使用。

#コントロールされたフォルダーアクセス #ControlledFolderAccess #ランサムウェア対策 #VSS #シャドウコピー #Windows11 #Windowsセキュリティ #データ保護 #副業PC #在宅勤務 #自作PC

※ 本記事はアフィリエイト広告（Amazon アソシエイト等）を含みます

Windowsシャドウコピー（VSS）は「コスト0円・設定5分」で誤削除を巻き戻せる副業PCの第1層防護ですが、ランサムウェアがVSSを真っ先に削除するという根本的な弱点があります。結論から言うと、Windows 11の「コントロールされたフォルダーアクセス（CFA）」を有効化すると、信頼できないプロセスが vssadmin delete や wmic shadowcopy delete を実行しようとした瞬間にWindowsがブロックし、VSSの不正削除を防げます（Microsoft Learn）。CFAはランサムウェア対策完全ガイドで紹介した多層防護の中でも、副業PCで最も有効化コストが低いのに導入率が低い機能です。有効化から許可アプリの設定、誤検知への対処まで7原則にまとめました。

この記事の要点

CFAは「信頼できないプロセスによるフォルダ変更をブロック」する仕組み——ランサムウェアが重要フォルダのファイルを暗号化・削除しようとするとWindowsが自動遮断
VSSの保護にも間接的に機能する——VSS/シャドウコピーの削除コマンドを実行する未知のプロセスをCFAでブロック
設定はWindows セキュリティから3クリック——有効化は1分、その後の許可アプリ設定が本作業
デフォルトで保護されるフォルダ：ドキュメント・デスクトップ・ピクチャ・ビデオ・ミュージック・お気に入り
副業フォルダ（DドライブやOneDrive以外の自作フォルダ）は手動追加が必要
誤検知でアプリがブロックされる——許可アプリの追加手順を覚えておけば解消できる
推測ASIN・推測URLは不使用

1. コントロールされたフォルダーアクセスとはなにか

コントロールされたフォルダーアクセス（Controlled Folder Access、以下CFA）はWindows Defenderの一機能で、保護対象フォルダへのアクセスを試みるアプリを監視し、Microsoft社が信頼していないアプリによるファイルの変更・削除・暗号化をブロックします（Microsoft Learn）。

通常のウイルス対策は「既知のウイルスのシグネチャと照合してブロック」しますが、新種ランサムウェアはシグネチャ登録前に感染することがあります。CFAはシグネチャに関わらず「未知のプロセスが重要フォルダを変更しようとした」行動そのものをブロックするため、ゼロデイのランサムウェアにも有効です。

ウイルス対策とコントロールされたフォルダーアクセスの役割の違い

評価項目	従来のウイルス対策（Microsoft Defender）	コントロールされたフォルダーアクセス（CFA）推奨
ブロックの判断基準	既知ウイルスのシグネチャと一致するか	信頼できないプロセスが保護フォルダを変更しようとしたか
新種ランサムウェアへの有効性	シグネチャ登録前は無効（ゼロデイ弱点）	行動ベースのため新種にも有効
保護対象	PC全体の悪意あるファイルの実行を防止	指定フォルダ内のファイルの変更・削除・暗号化を防止
VSS削除コマンドへの対応	コマンド自体をウイルスと判定しなければスルー	未知プロセスからのシャドウコピー削除コマンドを行動でブロック
誤検知の影響	ほぼなし（正規アプリはシグネチャが一致しないので通過）	正規アプリでも初回はブロックされる場合がある（許可アプリ登録が必要）

CFAとウイルス対策は別の軸で守る。両方有効にすることで防護の重なりが生まれ、どちらか一方を突破されても残りが機能する。

CFAはVSSを直接保護するわけではない

CFAが保護するのは「指定されたフォルダ内のファイル」です。VSSのシャドウストレージ（非表示の専用領域）はCFAの保護対象フォルダではありません。ただし、ランサムウェアが vssadmin delete shadows /all /quiet を実行するためには特定の条件（管理者権限など）が必要であり、CFAが有効だとランサムウェアが重要フォルダへの書き込みをブロックされた時点で被害を抑制できます。VSSそのものを守る直接の手段としては、Windows 11 ProのBitLockerとWMIアクセス制限が別途必要です。本記事では「CFAで副業ファイルを守り、VSSを最後の砦として温存する」構成を解説します。

2. コントロールされたフォルダーアクセスを有効化する手順

Windows 11でCFAを有効化する手順です（gigafree.net参照）。

手順①：Windows セキュリティを開く

スタートメニュー → 「Windows セキュリティ」と検索して開く、またはタスクバーのシールドアイコンをクリックします。

手順②：「ウイルスと脅威の保護」を選択

左メニューまたはメインパネルの「ウイルスと脅威の保護」をクリックします。

手順③：「ランサムウェアの防止の管理」を開く

画面を下にスクロールして「ランサムウェアの防止」セクションの「ランサムウェアの防止の管理」をクリックします。

手順④：「コントロールされたフォルダーアクセス」をオンにする

トグルスイッチをクリックしてオン（青色）にします。UAC（ユーザーアカウント制御）の確認ダイアログが表示された場合は「はい」を選択してください。

PowerShellで有効化する場合（管理者権限）

# 現在の状態を確認
Get-MpPreference | Select-Object EnableControlledFolderAccess

# CFAを有効化（Enabled = 1）
Set-MpPreference -EnableControlledFolderAccess Enabled

EnableControlledFolderAccess の値が 1 ならオン、0 ならオフです。

3. 保護フォルダを副業用に追加する

CFAが有効になると、以下のフォルダがデフォルトで保護されます（Microsoft Learn）。

デフォルト保護フォルダ	パス例
ドキュメント	`C:\Users\[ユーザー名]\Documents`
デスクトップ	`C:\Users\[ユーザー名]\Desktop`
ピクチャ	`C:\Users\[ユーザー名]\Pictures`
ビデオ	`C:\Users\[ユーザー名]\Videos`
ミュージック	`C:\Users\[ユーザー名]\Music`
お気に入り	`C:\Users\[ユーザー名]\Favorites`
Windowsシステムフォルダ	`C:\Windows\*`（変更・削除不可）

副業PCでよくある「Dドライブに副業作業フォルダを作っている」「Cドライブ直下にプロジェクトフォルダがある」ケースでは、これらのデフォルトフォルダに含まれないため、手動での追加が必要です。

副業用フォルダの追加手順

「ランサムウェアの防止の管理」画面で「保護されたフォルダ」をクリック
「保護されたフォルダを追加」ボタンをクリック
追加したいフォルダをエクスプローラーから選択して「フォルダーの選択」をクリック

PowerShellで保護フォルダを追加する場合

# 副業フォルダをCFAの保護対象に追加
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\副業"
Add-MpPreference -ControlledFolderAccessProtectedFolders "E:\作業データ"

# 現在の保護フォルダ一覧を確認
Get-MpPreference | Select-Object -ExpandProperty ControlledFolderAccessProtectedFolders

4. 許可アプリの設定——誤検知によるブロックを解消する

CFAを有効化すると、信頼されていないアプリが保護フォルダ内のファイルを変更しようとするとブロックされます。Microsoftが明示的に信頼リストに載せていない正規アプリもブロックされる場合があります（dynabook）。

よくあるブロックパターン：

テキストエディタ（VSCode、サクラエディタ等）がドキュメントフォルダへの保存をブロック
バックアップソフト（AOMEI Backupper等）が保護フォルダ内のバックアップ先を作成できない
副業で使う会計・クライアント管理ソフトがブロック

ブロックされたことを確認する方法

タスクバー右下のシールドアイコンをクリック → 通知が表示されている
Windows セキュリティ → ウイルスと脅威の保護 → 「保護の履歴」でブロック記録を確認

許可アプリを追加する手順（billionwallet.com参照）

「ランサムウェアの防止の管理」画面で「コントロールされたフォルダーアクセスによってアプリを許可する」をクリック
「許可されたアプリを追加する」→「すべてのアプリを参照する」をクリック
許可したいアプリの実行ファイル（.exe）をエクスプローラーから選択
「開く」をクリックして追加完了

PowerShellで許可アプリを追加する場合

# VSCodeを許可アプリに追加
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Users\[ユーザー名]\AppData\Local\Programs\Microsoft VS Code\Code.exe"

# AOMEI Backupperを許可アプリに追加
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files (x86)\AOMEI Backupper\ABService.exe"

# 許可アプリ一覧を確認
Get-MpPreference | Select-Object -ExpandProperty ControlledFolderAccessAllowedApplications

5. 監査モードで事前テストする（本番適用前の確認方法）

CFAを有効化すると正規アプリがブロックされて作業が止まるリスクがあります。本番運用前に**監査モード（Audit Mode）**で事前テストできます。

監査モードでは、CFAが有効の場合にブロックするはずの操作をブロックせずにイベントログへ記録するだけです。これにより「どのアプリが保護フォルダにアクセスしているか」を事前把握してから許可アプリを登録できます。

PowerShellで監査モードに切り替え

# 監査モードで有効化（ブロックせずログのみ記録）
Set-MpPreference -EnableControlledFolderAccess AuditMode

# 1〜3日間通常通り作業してからイベントログを確認
# Windowsイベントビューア → アプリケーションとサービスログ → Microsoft → Windows → Windows Defender → Operational
# イベントID 1124 が「CFA監査モードでブロックされるはずだったアクセス」の記録

# 確認後、本番モードへ切り替え
Set-MpPreference -EnableControlledFolderAccess Enabled

監査モードのイベントID一覧

イベントID	意味
1123	CFAが有効でアプリをブロックした（本番モード）
1124	CFAが監査モードでアクセスを検出した（ブロックせず記録のみ）
5007	CFAの設定が変更された

監査モードで1〜3日間作業し、イベントID 1124 の記録を確認してから許可アプリを追加 → 本番モードへ切り替えるのが安全な移行手順です。

6. CFAとVSSを組み合わせた副業PC防護の全体像

CFAとVSSを正しく組み合わせると、ランサムウェアが副業PCの重要ファイルを破壊するまでの道程に複数の壁が立ちます。

ランサムウェアが副業PCのデータを破壊するための各ステップと防護の対応

評価項目	ランサムウェアの行動	防護機能推奨
①感染・実行	悪意あるファイルを実行させる（メール・偽ソフト等）	Microsoft Defender（ウイルス対策）でシグネチャ検知
②副業ファイルの暗号化	保護フォルダ内のファイルを書き換える	コントロールされたフォルダーアクセス（CFA）がブロック
③VSSの削除	vssadmin/wmicでシャドウコピーを全消去する	CFAで副業ファイルをブロックされ感染が止まればVSS削除コマンドの実行機会が減少
④復元不可状態の固定	バックアップ先も暗号化・削除する	ファイル履歴（外付けHDD）・システムイメージが別デバイスにある場合は生き残る
⑤身代金要求	復号キーと引き換えに金銭を要求する	バックアップから復元できれば支払わずに済む

CFAは②（副業ファイルの暗号化）を防ぐ。VSSは誤削除・上書きに対応。システムイメージ・ファイル履歴は物理障害・ランサムウェア感染後の最終復元手段。3層が揃って初めて副業PCは安全になる。

副業PCの現実的な4層防護：

第1層（VSSシャドウコピー）：誤削除・上書きからの即時巻き戻し——設定手順はこちら
第2層（CFAコントロールされたフォルダーアクセス）：ランサムウェアによる副業フォルダの暗号化・削除をブロック——本記事
第3層（ファイル履歴・システムイメージ）：外付けHDDへ定期バックアップ・月1回のOS丸ごとバックアップ
第4層（ブータブルUSB）：OS起動不能時の最終手段

CFAを副業PCで使う判断軸

メリット

追加コストゼロ——Windows 11 Home/Pro標準搭載、サードパーティソフト不要
ゼロデイランサムウェアに対応——シグネチャではなく行動ベースでブロック
副業フォルダを個別指定して保護できる——Dドライブの作業フォルダも保護対象に追加可能
監査モードで事前テストできる——本番適用前に影響するアプリを把握してから切り替え
VSSの有効性を高める間接効果——ランサムウェアの被害を初段でブロックできればVSS削除コマンドの実行機会が減る

デメリット

正規アプリがブロックされる——初期設定後は許可アプリの追加作業が必要
VSSを直接守るわけではない——管理者権限を持つランサムウェアはVSS削除コマンドを実行できる場合がある
クラウドストレージ（OneDriveなど）との相性問題が発生する場合がある——OneDriveフォルダを保護対象に追加すると同期処理がブロックされることがある
ゲームやクリエイティブアプリが誤検知されやすい——保護フォルダ内のセーブデータ・プロジェクトファイルを変更するアプリは許可登録が必要
設定状態の定期確認が必要——ドライブのフォーマットや再インストール後に設定がリセットされる

落とし穴5つ

落とし穴①：OneDriveフォルダを保護対象に追加すると同期が止まる

OneDriveの同期フォルダはMicrosoft公式アプリなので本来はブロックされないはずですが、OneDriveのフォルダを「保護されたフォルダ」に手動追加すると動作が不安定になるケースが報告されています。OneDriveフォルダはデフォルトの保護対象フォルダに含まれているため、二重登録は避けてください。

落とし穴②：バックアップソフトを許可アプリに追加しないままバックアップが失敗する

AOMEI BackupperやWindows自動バックアップのバックアップ先を保護フォルダ内に設定している場合、バックアップ処理がブロックされてサイレントに失敗します。バックアップが実際に取れているかをWindows イベントビューアで定期確認してください。

落とし穴③：CFA有効化後に設定を確認しない

Windows Update後にCFAの設定がリセットされたという報告はほぼありませんが、大型機能アップデート（Windows 11 24H2等）後に設定が変わった事例があります。月1回の定期メンテナンス時に Get-MpPreference | Select-Object EnableControlledFolderAccess で状態を確認する習慣をつけてください。

落とし穴④：管理者権限で実行したランサムウェアはCFAをバイパスできる

CFAはシステムレベルのランサムウェアや、管理者権限で動作するプロセスに対しては必ずしも有効ではありません。CFAをくぐり抜けたランサムウェアがVSSを削除するリスクはゼロにはできません。だからこそファイル履歴・システムイメージという別物理デバイスへの定期バックアップが最終的な安全網として必要です。

落とし穴⑤：CFA有効化前にランサムウェアへ感染していた場合は無効

CFAは「有効化した後に実行された不審なプロセス」をブロックします。すでに感染済みのランサムウェアがシステムに潜伏している状態でCFAを有効化しても、そのランサムウェアが最初の実行を受けてから活動を開始していれば効果が薄い場合があります。CFAを有効化する前に、Microsoft Defenderのフルスキャンを実施してください。

コントロールされたフォルダーアクセス設定7原則

まずMicrosoft Defenderのフルスキャンを実施してから有効化する——感染済みの状態でCFAを有効化しても意味がない
最初は監査モード（AuditMode）で1〜3日間テストしてから本番有効化する——正規アプリのブロックを事前把握して許可アプリを登録してからオンにする
副業作業フォルダ（DドライブやCドライブ直下のプロジェクトフォルダ）を保護フォルダに追加する——デフォルトの保護フォルダだけでは副業ファイルをカバーしきれない
バックアップソフトを許可アプリに追加してバックアップが正常に実行されていることを確認する——CFAがバックアップを止めていると第3層・第4層防護が機能しなくなる
許可アプリは「ブロックされて困ったアプリだけ」追加し、念のための追加はしない——許可アプリが増えるほどCFAの有効性が下がる
月1回 Get-MpPreference | Select-Object EnableControlledFolderAccess で有効状態を確認する——大型更新後のリセットを早期発見できる
CFAだけに頼らず、ファイル履歴・システムイメージで外付けHDDへの定期バックアップを継続する——CFAは副業ファイルの暗号化を防ぐ第2層であり、第3・第4層と組み合わせて初めて完全な防護になる

Q&A

Q1. Windows 11 HomeでもCFAは使えますか？

A. 使えます。CFAはWindows 11 Home/Proの両方で利用できます。Windows Defenderが有効であれば（サードパーティのウイルス対策ソフトを入れていても、Defenderが共存モードで動作していれば）CFAは機能します。

Q2. CFAを有効にしたらVSCodeでファイルを保存できなくなりました。どうすれば？

A. VSCodeを許可アプリに追加してください。Windows セキュリティ → ウイルスと脅威の保護 → ランサムウェアの防止の管理 → コントロールされたフォルダーアクセスによってアプリを許可する → VSCodeの実行ファイル（Code.exe）を追加します。VSCodeはMicrosoftが提供する正規アプリですが、CFAのデフォルト信頼リストに入っていないバージョンではブロックされる場合があります。

Q3. CFAを有効にするとゲームのセーブデータが保存されなくなりました。

A. ゲームのセーブデータが保存されるフォルダ（例：C:\Users\[ユーザー名]\Documents\My Games\）が保護フォルダに含まれているため、ゲームの実行ファイルがブロックされています。ゲームのexeを許可アプリに追加することで解消できます。副業PCでゲームを多用する場合は、「ゲームフォルダを保護フォルダから除外する」か「ゲームのexeをすべて許可アプリに追加する」のどちらかを選んでください。

Q4. CFAとBitLockerは別の機能ですか？

A. 別の機能です。BitLockerはドライブ全体を暗号化して「PC本体が盗まれた場合にデータを読めないようにする」機能です。CFAは「実行中のプロセスが保護フォルダのファイルを変更するのをブロックする」機能です。どちらも副業PCのセキュリティに有効で、組み合わせて使うことで守備範囲が広がります。

Q5. ランサムウェアに感染した場合、CFAを有効にしていれば復元できますか？

A. CFAが有効でも、感染したランサムウェアが管理者権限を取得した場合はCFAをバイパスして暗号化が進む可能性があります。CFAはあくまで「副業フォルダへの無断アクセスをブロックする第2層」であり、感染後の復元はVSSシャドウコピー・ファイル履歴・システムイメージに依存します。CFAだけに頼らず、外付けHDDへの定期バックアップを必ず維持してください。

まとめ

Windowsのコントロールされたフォルダーアクセス（CFA）はWindows 11に標準搭載の無料機能で、ランサムウェアが副業PCの重要フォルダを暗号化・削除しようとした瞬間にWindowsがブロックする第2層防護です。VSSシャドウコピー（第1層）・ファイル履歴（第3層）・システムイメージ（第3層）・ブータブルUSB（第4層）と組み合わせることで、副業PCのデータは物理故障・誤操作・ランサムウェアのいずれに対しても復旧できる状態になります。まず監査モードで有効化し、1〜3日間の使用でブロックされたアプリを確認してから本番モードへ切り替えてください。

次推奨：AOMEI BackupperのクローンでCドライブを新しいSSDへ複製する手順（SSD換装時に副業PCのデータを安全に引っ越す最短ルート）、またはWindows 11 ProのBitLockerで副業SSDを丸ごと暗号化して盗難・廃棄時のデータ流出を防ぐ設定。