DATA STORAGE ／選定ガイド

社内データサーバーとクラウド、どちらを選ぶ？

社内ファイルの保管先は、ファイルをどこで使うか、何時間まで業務を止められるか、誰が保守できるかで選びます。文書の共同編集が中心ならクラウド型ファイル共有を、社内LANで使う大容量ファイルや既存システムとの接続が重要なら社内サーバーを候補にします。

3つの選択肢を比較する

社内LANが使える間は、インターネット回線が止まっても社内から利用できる構成を作れます。既存の共有フォルダーや業務ソフトとの相性も確認しやすい方式です。

確認事項　機器故障・停電への備え、OS更新、社外接続、別の場所へのバックアップと復元の担当。

文書の共同編集や社外からのアクセスを検討しやすく、基盤の保守は提供元が担います。会社は利用者の管理、共有権限、データの保護と復旧方法を確認します。

確認事項　回線障害時に使える範囲、契約の容量・保持期間、外部共有の制限、契約終了時のデータ取り出し。

既存のファイルサーバーに近い構成を、クラウド上に作る選択肢です。OSやアプリ、アクセス制御など、契約で提供元に任せる部分を除いて運用が必要です。

確認事項　拠点との接続と遅延、OS更新、バックアップ、仮想マシン・ストレージ・通信の料金。

設計例として、社内LANで使う設計データは社内、共同編集する文書はクラウドに分ける方法もあります。ファイルごとに正本の置き場所とアクセス権を決めます。

作業と接続: 利用人数、拠点、社外利用、ファイル容量を確認します。CADや業務ソフトは、対応する保存先や同時編集時の動作を製品資料と試験で確認します。
3年の総費用: 導入・移行費と36か月分の運用費を足して比べます。社内は機器・電源・保守・更新の作業時間、クラウドは利用者・容量・通信・バックアップの料金も見積もります。
誰が守るか: 権限設定、外部共有、退職者の停止、ログ確認、更新を誰が担当するか決めます。顧客との契約などに保存場所の条件がある場合は、移行前に確認します。
どこまで戻せるか: 「何時間で復旧するか」と「何時間前のデータまでなら戻ってよいか」を業務側と決めます。同期・履歴の保持範囲を確認し、必要に応じて独立したバックアップを用意します。誤削除やランサムウェアを想定して復元を試します。

移行を決める前に、少人数で代表的なファイルを使い、速度、権限、回線が止まった場合の作業、バックアップからの復元を試します。

候補ごとに、設定できることと、実際に担当者が運用できることを確認します。重要データを扱う構成は、必須条件を満たせない場合に保留し、対策と担当を決めてから再評価します。

1. 誰に何を見せるか

社内サーバー・IaaSは共有フォルダーとファイルの権限、SaaSは共有リンク・ゲスト・管理者の権限を点検します。管理者は日常用と管理用のアカウントを分け、対応する管理画面やリモート接続に多要素認証を設定します。

導入前に試す　権限のない社員や社外ゲストが重要ファイルを開けないか、退職者のアカウントを停止した後にアクセスが残らないか確認します。

2. 入口と更新を管理できるか

社内サーバー・IaaSのファイル共有（SMB）や管理ポートをインターネットに直接公開せず、社外接続は認証付きの経路に限定します。OSやNASの更新担当とサポート期限を確認します。SaaSは基盤の更新を提供元が担う一方、自社の接続条件や外部共有設定は自社で管理します。

導入前に試す　社外から接続できる入口を棚卸しし、承認した接続方法だけで業務ができるか確かめます。

3. 攻撃や誤削除から戻せるか

重要データについて、許容できるデータ損失（RPO）と復旧までの時間（RTO）を決めます。例として、前日までのデータを4時間以内に戻す条件を置き、実測します。同期や世代履歴で戻せる期間を確認し、必要に応じて本番と異なる権限で管理するバックアップや、オフライン・変更不能なコピーを用意します。

導入前に試す　ファイルとアクセス権を別の場所に復元し、時間を計ります。本番の管理者が侵害されても、復旧用コピーが削除されない構成か確認します。

4. 異常を調べて対応できるか

誰がいつアクセスしたか、共有設定や権限を変えたかを確認できるログを選びます。社内サーバー・IaaSは取得と保管の設定を、SaaSは契約で使えるログと保持期間を確認します。

導入前に試す　テストで外部共有や権限変更を行い、ログから日時・実行者・対象を確認します。事故時にアカウント停止や共有解除を行う担当と、保守会社への連絡先も決めます。

5. データの条件を満たせるか

機密情報の種類を把握し、保存先の地域、暗号化、委託先の取扱い、事故通知、契約終了時の返却・削除を確認します。社内保管でも、持ち出しや遠隔バックアップの保管先を点検します。

導入前に試す　取引先との契約や社内ルールと照合し、クラウド候補では代表ファイルを取り出して別環境で使えるか確認します。

迷ったときは、必須条件を先に判定する

例として、匿名の外部共有を禁止できること、担当者不在時にも復旧できること、必要な操作ログを確保できることを必須にします。候補ごとに「確認済み／対策が必要／未確認」を記録し、確認資料・試験結果・担当を残します。

IPAの手引き: クラウド導入前に確認する項目を整理するための資料です。サービスの選定、データ管理、利用開始後の運用を点検する際に使えます。中小企業のためのクラウドサービス安全利用の手引き（PDF） ↗
Microsoft Learn: 社内運用・IaaS・SaaSで、提供元と利用企業が受け持つ作業の違いを確認できます。クラウドにおける共同責任 ↗
IPAの事例資料: ランサムウェア被害の教訓から、バックアップや復旧計画を見直す際の観点を確認できます。ランサムウェア被害から学ぶ教訓集 ↗

資料確認日　2026年11月5日