サポート切れAccessのセキュリティ対策｜6つの緩和策を優先度順に

結論：完全に安全にはできない。リスクを下げて時間を稼ぐのが現実的な方針

サポートが切れたAccessやOfficeを使い続ける限り、セキュリティ更新は届きません。これはMicrosoft公式が明示しているとおりで、Access 2016/2019は2025年10月14日にセキュリティ修正が止まり、Access 2021も2026年10月13日に同様の状態になります。詳しいサポート期限の整理はAccessのサポート終了はいつ？をご覧ください。

では何もできないかというと、そうでもありません。対策の目的は「安全にする」ではなく「攻撃に遭いにくくする、遭っても被害を最小化する」です。この記事では、優先度の高い順に6つの対策を解説します。「大がかりな設定変更は難しい」という場合でも、上から3つだけでも実施しておくと、何もしない状態とはリスクの水準が変わります。

対策の優先順位一覧

以下の6項目を優先度順に並べました。優先度「高」は費用を低く抑えやすく、今日から着手しやすいものです（ネットワーク分離は環境次第でコストが発生することもあります）。

1. ネットワーク分離：インターネットに出ないPCでAccessを動かす

サポート切れソフトの主なリスクのひとつが、外部からの攻撃がパッチで塞がれないことです。逆に言えば、そのPCにインターネットへの経路をなくせば、多くの遠隔攻撃は成立しません。

具体的な対応は2段階あります。まず、Accessを動かすPCをインターネットにつないだ用途と分けることです。同じPCでWebブラウジングやメールを行いつつAccessを動かすのはリスクが高い使い方のひとつで、メール添付のマルウェアがOS上で実行されてAccessのデータに被害が及ぶ経路が開いたままになります。次に、業務上どうしても同じPCを使わざるを得ない場合は、少なくともメールの添付ファイルを開く作業をAccessとは別の端末に分けるだけでもリスクが下がります。

「ネットワーク分離は大げさ」と感じるかもしれませんが、当社の経験上、Accessのデータがローカルネットワーク内で完結していてインターネット接続を業務上必要としないPCは少なくなく、そのようなケースでは現実的な選択肢になります。一般的なセキュリティ対策として、サポート切れソフトをインターネット非接続環境で動かすことはリスク低減の有効手段とされています。

2. アクセス権限の最小化：使う人だけがアクセスできる状態に

Accessファイルが置かれているフォルダのアクセス権が「全員フルコントロール」のままになっているケースを、当社の現場確認でときどき目にします。この状態では、社内の別のPCがマルウェアに感染した場合、ネットワーク経由でAccessのデータが読み取られたり改ざんされたりするリスクがあります。

Windowsのフォルダ設定（プロパティ→セキュリティタブ）で、Accessファイルにアクセスできるユーザーを実際に使う担当者だけに限定します。ゲストアカウントやEveryoneグループへの書き込み権限は削除するのが無難です。また、管理者権限を持つアカウントで日常業務をしている場合は、日常操作用に一般ユーザーアカウントを作り、Accessの操作はそちらで行うことも一般的な対策です。権限が最小であれば、万一マルウェアが動いても被害の広がりを抑えやすくなります。

分割データベース（フロントエンド/バックエンド構成）を使っている場合は、バックエンドファイル（データ実体）のフォルダ権限の管理が特に重要です。構成についてはDB分割で延命する方法も参考にしてください。

3. マクロ設定と信頼できる場所の見直し

Accessに限らず、Officeのマクロは歴史的にマルウェアの感染経路として利用されてきました。Microsoft Defenderのドキュメントによると、マクロマルウェアはOfficeファイルに埋め込まれ、メール添付やZIPファイルとして届きます。

Accessの場合、社内で管理しているaccdbを開く分には外部から持ち込まれたファイルではないため、マクロをそのまま使えることが前提になるケースがほとんどです。ここで確認したいのは「信頼できる場所（Trusted Location）」の設定です。Accessのメニューから「ファイル→オプション→トラストセンター→トラストセンターの設定→信頼できる場所」を開き、登録されているフォルダが本当に自社で管理している場所だけに絞られているかを確認します。Microsoft公式の説明にある通り、信頼できる場所に保存されたファイルはセキュリティチェックの一部がスキップされます。不審なパスが登録されていれば削除してください。

信頼できる場所の設定確認に加えて、「ネットワーク上の信頼できる場所を許可する」オプションが有効になっている場合は、そのネットワーク共有フォルダが本当に必要かどうか見直すことも一般的な対策として有効です。

なお、Accessのデータベースを信頼するかどうかを決める設定についても、日常的に触らない社外ファイルはコンテンツを有効化しないままにするのが安全です。

4. ウイルス対策ソフトの有効化と継続更新

ソフト本体のセキュリティ更新が止まっていても、ウイルス対策ソフトの定義ファイルは別のルートで更新が続きます。Windows 10/11に標準搭載されているMicrosoft Defender Antivirusは追加費用なしで使え、定義ファイルは通常自動的に更新されます（設定やネットワーク環境によっては手動確認が必要な場合もあります）。Accessが動いているPCでウイルス対策が無効になっていたり、サードパーティ製のセキュリティソフトの定義更新が止まっていたりするケースを、実務でときどき目にします。まずリアルタイム保護がオンになっていることを確認してください。

ただし、ウイルス対策ソフトはセキュリティ更新の代替にはなりません。Microsoft Defenderは定義ファイルに加えて振る舞い監視や機械学習による検知も行っていますが、サポート切れソフトに対する未知の脆弱性を突く攻撃については検知できない可能性があります。ウイルス対策ソフトはあくまで対策の1つです。

またActiveX関連の注意点で触れているとおり、古いActiveXコントロールを使っているAccessは、脆弱性を含む古いコントロールを棚卸しして削除・更新することも検討してください。

5. バックアップ：攻撃を受けた後の復旧手段を用意しておく

対策が万全でも侵害を受ける可能性はゼロにはなりません。ランサムウェアにAccessファイルを暗号化されたり、誤操作でデータが消えたりした後に復旧できるかどうかが、延命期間中の安全網になります。

バックアップの基本原則は「使用中のファイルを直接コピーしない」「複数の世代を保管する」「定期的に復元テストをする」の3点です。詳しい手順はAccessのバックアップ設計にまとめています。特に復元テストは「コピーはしているが実際に戻せるかどうか確認していない」というケースが多いため、年に1回程度の実施をおすすめします。

バックアップ先をOffice/Windowsと同じPCに保存するだけでは、PCごと暗号化されると意味をなしません。外部ストレージや別のサーバーへの保管が一般的な対策です。Accessの公式仕様にあるとおりファイル上限は2GBで、当社の経験上1GBを超えると破損リスクも高まるため、バックアップの頻度を上げることを検討してください。

6. 操作ログと異常検知

これは優先度「低〜中」に位置付けています。前の5項目が整ってから取り組む内容です。

Accessには、レコードの変更を自動的に記録する監査証跡（オーディットトレイル）の標準機能が備わっていません（Microsoft Q&Aの確認）。「誰がいつどのデータを変更したか」を追跡したい場合は、VBAでテーブルに変更履歴を書き込む仕組みを自作するか、バックエンドをSQL Serverに移したうえでSQL Serverの監査機能を使う方法があります（後者についてはAccessとSQL Serverの組み合わせ構成を参照）。

Windowsのイベントログを使ってファイルへのアクセスを記録する方法もありますが、ログ量が多くなるため実務的には見るコストも掛かります。延命期間中にどこまでのログが必要かは、扱うデータの重要度や社内のセキュリティポリシーに応じて判断してください。

延命中のセキュリティ状態を定期的に棚卸ししたい場合は、延命チェックリスト10項目を基準に点検することもできます。不安な点があれば無料の解析可否チェックで現状を確認してみてください。

よくある質問

Q. サポートが切れたAccessは使い続けるほど危険になりますか。

一般的には、時間が経つほど脆弱性が累積し、かつパッチが当たらない状態になります。ただし危険度は「どういう環境で使っているか」に大きく左右されます。インターネット非接続のPCで社内データのみを扱い、アクセス権限を絞っている環境と、インターネット接続のPCでメールも使いながら共有フォルダに置いている環境では、リスクの水準がまったく異なります。

Q. Accessのパスワード機能は使ったほうが良いですか。

使える場合は設定しておくと、万一ファイルを持ち出された場合に内容が読まれにくくなります。Accessのパスワード暗号化機能はaccdb形式でのみ動作し、旧来のバージョンより強い暗号化アルゴリズムが使われます。ただしパスワードを忘れるとMicrosoftでも復旧できないため、パスワード管理を別途しっかり行う必要があります。また、複数人で使う場合はパスワード運用自体が課題になることも念頭に置いてください。

Q. Access 2021ならあと1年ほどサポートが続くので、今は対策しなくて大丈夫ですか。

Access 2021のサポートは2026年10月13日まであるため、期間中はセキュリティ更新が届きます。ただし、Accessが動くWindowsのOSが既にサポート切れになっているケースは今から問題です。Windows 10（Home/Pro）のサポートは2025年10月14日に終了済みで、引き続き更新を受け取るにはESUへの登録が必要です。詳しくはWindows 10サポート終了後もAccessを使い続けるとどうなるかをご覧ください。

Q. この記事の対策をすべて実施すれば安全ですか。

セキュリティ更新が止まった状態での「完全な安全」はありません。この記事の対策は、リスクを下げて移行準備の時間を稼ぐための緩和策です。業務上重要なデータを扱っている場合は、これらを実施しながら並行して移行の計画を立てることをおすすめします。