バックアップからサイバーレジリエンスへ：ランサムウェア時代にITリーダーがバックアップを再考すべき理由

ITの障害や中断が増加する中、ITチームは単なるデータのバックアップから、インシデント発生時の業務継続へと焦点を移しています。この変化の主な要因の一つが、頻度と複雑さの両面で進化し続けるランサムウェアの脅威です。Ransomware-as-a-Service（RaaS）プラットフォームの登場により、技術的な知識がほとんどない攻撃者でも大規模で深刻な攻撃を仕掛けることが可能になりました。これらの攻撃は、単にデータを暗号化するだけでなく、機密情報の流出による二重・三重の恐喝、バックアップの改ざんや削除、リカバリーインフラの無効化による復旧妨害など、多様化しています。

これは特に中小企業（SMB）にとって深刻な問題です。防御が手薄なため、標的にされるケースが増えています。年間売上1,000万ドルのSMBの場合、たった1日のダウンタイムでも55,076ドルの損失となり、顧客の信頼やブランドイメージへの長期的な影響は計り知れません。加えて、コンプライアンス要件の強化、金融や医療などの業界での規制強化、サイバー保険会社による基準の進化などを考慮すると、もはや重要データのバックアップだけでは不十分です。組織には、大規模な障害時でも業務を維持できるサイバーレジリエンス戦略が必要です。

従来のバックアップ戦略の限界と、SMBが本当のサイバーレジリエンスを構築し、最も重要な時にビジネスを継続する方法を見ていきましょう。

従来のバックアップが必要だが十分でない理由#

長年にわたり、バックアップ戦略はお決まりの手順に従ってきました。重要システムの定期的なスナップショット、復旧時間目標（RTO）と復旧ポイント目標（RPO）の設定、オフサイトでのレプリケーション、そして時折のリストアテスト。多くのITチームにとって十分な体制でした。過去にファイルの復元がうまくいったなら、今回もうまくいくはずだと考えるのも無理はありません。

しかし、ここに問題があります。その考え方は、障害の原因が主にハードウェア故障や人的ミス、ソフトウェアの問題など偶発的なものだった時代に基づいています。現在の現実、つまり復旧能力そのものを破壊することを目的とした、標的型で持続的なサイバー攻撃には対応できていません。

攻撃者は今や、ローカルバックアップの消去・破損、管理者権限の乗っ取りによるバックアップシステムの制御、リカバリーインフラの完全な無効化を日常的に行っています。多くは二重・三重の恐喝戦術を用い、データの暗号化、流出、そして公開漏洩の脅しを組み合わせます。さらに悪いことに、リスクは自社の境界内にとどまりません。

多くのランサムウェア攻撃は、サプライチェーン全体を標的にし、複数の組織を同時に混乱させています。ITリーダーとしては、サプライチェーン内のサードパーティベンダーがもたらす運用リスクを認識することが不可欠です。以下のような問いを検討しましょう：

• サイバーレジリエンスの期待値をベンダーやパートナーにどのように拡張するか
• （医療分野のHITRUSTなど）契約条項が、ベンダーのバックアップや災害復旧体制に本当に信頼を与えるか

状況をリスク許容度の観点で捉えましょう。

• バックアップがランサムウェアにより暗号化されるシナリオを、取締役会は許容できるか？厳しい質問を投げかけてください：
• レガシーバックアップから復元するために、3日間インフラ再構築を受け入れられるか？
• テストされていないシステムのため、復旧に数週間かかりデータ損失のリスクがあっても大丈夫か？
• 監査人やサイバー保険会社に、定められた期間内で業務復旧できると証明できるか？

これらの問いのいずれかに「NO」と答えるなら、事業継続性とレジリエンスへのアプローチを見直す時です。

サイバーレジリエンスとは？なぜ戦略的転換なのか#

バックアップはデータのコピーと後での復元に焦点を当てています。しかし、サイバーレジリエンスは一歩進み、攻撃中でもビジネスを継続させます。

レジリエントなサイバー体制は以下を統合します：

• クラウド上にオフサイトで保管されるイミュータブル（改ざん不可）バックアップ。これらは管理者権限が侵害されても、ランサムウェアによる改ざんや削除ができません。
• 自動化された検証済みの復元テスト。未検証のバックアップは計画ではなく、単なる仮説にすぎません。
• ファイル単位でなく、サービスやアプリケーション全体を再構築するオーケストレーションされた復旧プレイブック。Disaster Recovery-as-a-Service（DRaaS）などのソリューションがこれを効率化し、迅速かつ確実な業務復旧を可能にします。

図1：ITにおけるサイバーレジリエンスの重要性

意思決定の前に、予算とリスクのバランスも考慮しましょう。生産停止、給与遅延、顧客取引の中断など1週間の障害による損失と、それを未然に防ぐための投資、どちらが高くつくでしょうか？

サイバーレジリエンスは、深刻な障害の発生確率と影響の両方を低減します。保険は損失発生後の補償ですが、レジリエンスは脅威発生中でもビジネスの継続を可能にします。

ビジネス運用を守るレジリエンス重視戦略の構築方法#

サイバーレジリエンスの実現には、ITの準備と事業継続性を結びつけるフレームワークが必要です。以下に、ITリーダーが運用上の優先事項や取締役会の期待に沿ったレジリエンス重視の体制を構築するためのステップを紹介します：

1. ビジネスインパクトの視点から始める#

ビジネスインパクト分析（BIA）を実施し、ITシステムとそれが支える業務機能をマッピングしましょう。すべてのシステムが同じ重要度ではありませんが、ERP、CRM、ECプラットフォーム、スケジューリングシステムなどはミッションクリティカルかもしれません。以下を特定します：

• どのシステムが収益やサービス提供に不可欠か？
• 1時間のダウンタイムごとの金銭的・評判的損失は？

これは単なるRTOやRPOの話ではなく、連鎖的な混乱を防ぐためにどのビジネスサービスを常時稼働させるべきかを知ることです。

2. 重要な復旧インフラを多層防御で守る#

バックアップやリカバリーシステムは、本番環境と同等以上に保護する必要があります。

• 多要素認証（MFA）の徹底と、バックアップコンソール用の管理者資格情報の分離。
• バックアップ環境内でランサムウェア活動を早期検知できるソリューションの選択。
• イミュータブルバックアップの導入とクラウドへのオフサイト保管で、ランサムウェアや物理的脅威のリスクを低減。
• 異常行動のログやアラート監視。早期発見が侵害時の貴重な時間を稼ぎます。

3. バックアップ検証とテストの自動化#

テストされていないバックアップは信頼できません。復旧計画への自信は仮定ではなく証拠から得るべきです。ファイルだけでなく、アプリケーションレベルのサービス全体の復旧可能性を自動検証しましょう。

以下を組み込みます：

• 自動バックアップテストによる整合性検証。
• オーケストレーションされたDRランブックテストによる完全な復旧ワークフローのシミュレーション。

4. 復旧プレイブックの策定と文書化#

復旧戦略は、段階的で明確、かつ役割ごとに具体的であるべきです。

• 誰が、何を、どの順番で、どこで復元するかを定義。
• スタッフのシステム再接続や業務再開の手順も記載。
• 非技術系チームにも適切な対応ができるよう訓練。

例えば、小売店のPOSがダウンした場合、店舗スタッフは顧客への案内や注文処理をどのように行い、信頼を損なわずに対応できるでしょうか？危機時のコミュニケーションも見落とさず、広報や経営陣には明確な社内外メッセージング手順を用意しましょう。沈黙や混乱は長期的なダメージをもたらします。

プロのヒント：取締役会向けレジリエンススコアカードを用意#

ITリーダーは、経営層に重要な指標を説明できる準備をしましょう。1ページのレジリエンススコアカードを作成し、以下を含めます：

• 主要システムの復旧時間見積もり。
• 直近の復旧テスト成功日。
• テスト結果と改善の証拠。

これは取締役、監査人、サイバー保険会社との会話の出発点となり、技術的な準備状況を戦略的な信頼性へと変えます。

保険・監査対応力：レジリエンスをROIへ#

サイバーレジリエンスは財務リスク管理の重要なレバーです。今日の保険会社や監査人は、補償や請求承認の前に明確な準備証拠を求めます。

以下のような質問が想定されます：

• イミュータブルバックアップはありますか？
• 復元テストはどのくらいの頻度で実施し、証拠はありますか？
• バックアップインフラは本番環境と分離されていますか？
• クラウドシステムは独立してバックアップされていますか？
• 実際のRTOとRPOは？

図2：サイバー保険申請書の質問票例

ログ、テストレポート、カバレッジマップ、スクリーンショットなどの文書化された証拠を提示できれば、保険料の削減や、請求時に契約条件と合致させることが可能です。

これはCFOとの戦略的な対話でもあります。「レジリエンスへの投資は単なるリスク軽減ではなく、財務的な回復力を守り、保険の価値を最大化します。」

Dattoのような最新プラットフォームがレジリエンススタックを支える方法#

レジリエンス重視の体制構築は、複数のツールを寄せ集める必要はありません。Dattoは、レジリエンスの複雑さをシンプルにし、全体的なサイバーセキュリティ体制を強化する統合プラットフォームを提供します。

Dattoを使えば、ITチームは以下を実現できます：

• ローカル、クラウド、イミュータブルバックアップを一元管理し、ツールの乱立を防ぎ、運用効率を向上。
• 自動バックアップ検証とオーケストレーションされた復旧プレイブックで、すべての重要システムが確実にテスト・復旧可能であることを保証（仮定ではなく実証）。
• 取締役会、規制当局、保険会社に対して、手作業やインシデント時の混乱なく、監査対応可能な明確なレポートを提出。

これにより、IT部門は管理すべきベンダーが減り、復旧準備への自信が高まり、経営層へのレジリエンス状況報告も完全な透明性で行えます。

バックアップをレジリエンスの中核層として再考する#

サイバーレジリエンスはもはや技術的な取り組みだけではありません。攻撃下でも組織が機能し続けるための、ビジネスに不可欠な戦略です。今こそ、自社のレジリエンス状況を評価し、イミュータビリティ、テスト、文書化された復旧のギャップを特定しましょう。障害が発生してからでは遅いのです。

どこから始めればよいかわからない場合は、Dattoがサポートします。Dattoなら、サイバーレジリエンスは手の届くものとなり、シンプルで拡張可能、かつ明確な運用・財務価値をもたらします。

お客様の環境向けの料金詳細はこちらから、レジリエントな未来への第一歩を踏み出しましょう。