組織のサイバーリカバリー能力に対する自信は、精査に値します。ランサムウェア攻撃によってMicrosoftクラウド環境にテナントされたSaaSデータ、つまり事業の生命線となるデータが機能不全に陥った場合、業務再開のスピードは、しばしば誤った前提に左右されてしまいます。「大丈夫、Microsoftの包括的なネイティブ保持・復旧機能があるから安心だ」と考えている方がいれば、その認識は改める必要があります。
M365やEntra IDといった俊敏なビジネスツールと、Azureという堅牢なバックエンドインフラにより、MicrosoftはSaaS市場に多くの価値をもたらしています。しかし、IT部門もMSP(マネージドサービスプロバイダー)も、Microsoftが他の主要SaaSプロバイダーと同じ「責任共有モデル」で運営されていることを認識しておく必要があります。サイバー攻撃が発生した場合、復旧の負担はクラウドプロバイダーが担う部分と、加入者が単独で負う部分とに分かれます。MSPはさらに、厳格なSLAの達成、クライアントが希望するプロバイダーやツールへの対応、そして自社の人員配置と収益性の管理という追加のプレッシャーにも直面しています。
Microsoftは攻撃を受けた後もサービスが稼働し続けることは保証していますが、災害発生前の特定の正常な時点までデータを復元することは約束していません。このギャップは常に顧客側の責任とされてきました。問題が起きてから場当たり的に対応するよりも、事前に計画を立てておく方が賢明です。
「Microsoftが何に責任を持つのか、それが提供するサービスとどう違うのかについては、よくある誤解があります」と、サイバーレジリエンス部門のGMを務めるBrent Torre氏は説明します。同氏によれば、Microsoftのネイティブツールが対応するのは、短期的な誤削除やデータガバナンスの一部といった問題です。これらはバックアップソリューションではなく、ランサムウェアからの保護やデータ復旧を行うものではありません。
「Microsoft自身が明言している通り、Microsoft 365のようなSaaSアプリケーションであれ、SQL Serverのようなプラットフォームアプリケーションであれ、あるいはAzure上で稼働するVMであれ、そのサービス内にある情報、そしてデバイス、アカウント、IDについては、常に顧客側が責任を負うことになっています」と同氏は付け加えます。「もし侵害を受けて攻撃者がデータを削除し始めても、Microsoftはそれに対して一切責任を負いません」
深刻な痛手
可用性と真のサイバーリカバリーとの間にあるギャップは十分に理解されておらず、ここ数年でその溝はさらに深まっています。この背景には3つの要因があります。
1つ目は、サイバー攻撃の進化です。典型的なサイバー攻撃は、防御壁を力ずくで突破する手法から、人間の弱さを狙う手法へとシフトしています。盗んだパスで正面玄関から堂々と入る方が、窓をこじ開けて忍び込むよりも簡単だからです。IDが主要な攻撃対象になりつつあります。認証情報の侵害、すなわちID起点の初期アクセスでは、悪用可能な脆弱性を探す必要すらなく、油断した従業員が1人いれば事足りてしまいます。
AIは今や犯罪者の主要な武器となっており、フィッシングやソーシャルエンジニアリング、偽装メール、なりすましウェブサイトといった悪用手法を強化しています。これらはいずれも、攻撃者が管理するポータルにユーザーがパスワードを入力するよう巧妙に誘導するために使われます。この手口はさらに高度化することもあります。AIを活用した自動化ボットが、漏えいしたユーザー名とパスワードの組み合わせを数百もの異なるウェブサイトに対して数百万件試行し、パスワードの使い回しという一般的な習慣を悪用するのです。
Microsoftのクラウドベースのアイデンティティ・アクセス管理サービスであるMicrosoft Entra IDは、本来犯罪者を締め出すために設計されたツールでありながら、今や主要な攻撃対象となっており、盗まれたIDの前ではひとたまりもありません。攻撃者は盗んだ認証情報を使ってEntra IDを侵害すると、警報を鳴らすことなく、メールボックスやOneDrive、SharePoint、Teamsといった手薄な標的から自由にデータを収集できるようになります。その後、ランサムウェア攻撃そのものを、時間をかけて容易に仕掛けることができてしまいます。
もう1つの要因は、ワークロードをIaaS(インフラストラクチャ・アズ・ア・サービス)やPaaS(プラットフォーム・アズ・ア・サービス)モデルに移行する流れが衰える気配を見せていないことです。組織は一部の機能をオンプレミスに残し、一部をSaaSアプリケーションに、また一部をクラウド環境に置く傾向がありますが、すべてを同じ品質水準で保護・管理できていないケースが少なくありません。データはさまざまな場所にバックアップされているものの、侵害が発生した際にそのすべてを同様に復旧できるかどうかは、誰も把握していないもう1つの弱点です。「アズ・ア・サービス」モデルは人気がありますが、ランサムウェア攻撃を受けた際には弱点となり得ます。
3つ目の問題は、サイバーレジリエンスと適切なバックアップ・復旧手順の両方を義務付ける、複数のコンプライアンス要件が新たに登場していることです。これに十分対応できていない組織は数多くあります。これらの圧力が重なることで、攻撃発生からSaaSの可用性が復旧するまでの間に、犯罪者はデータ、事業運営、コンプライアンス体制に甚大な被害を与える余地を得てしまいます。
Microsoftのネイティブな保持・復旧機能が真のサイバーレジリエンスを実現するために設計されたものではない以上、攻撃前の状態に事業を戻すための計画は事前に立てておくべきものです。
独立したバックアップ保護が必要な時代
「Kaseyaでは、データが稼働している主要環境とは独立した形で、そのコピーを保持しておくことを常に推奨しています」とTorre氏は助言します。「これは、たとえMicrosoftやGoogle、Salesforceのエコシステムがダウンしても、そこから復旧できるような、改ざん不可能なものである必要があります」
この種の保護は、メインのSaaSテナントの外部に保存する専用のクラウド間バックアップソリューションとして提供するのが最善だと同氏は主張します。この方式は、サイバー保険やコンプライアンス要件にますます組み込まれつつあるアプローチです。
頻繁に標的とされるデータのコピーをMicrosoftテナントから取得し、サードパーティのデータセンターにオフサイトで保存しておくことで、たとえSaaSの認証情報が侵害されても、重要な資産を攻撃から守ることができます。復旧の際には、必要なデータをSaaS環境に直接押し戻すことができ、たとえ元のテナントが破壊されていたとしても対応可能です。
「実際、侵害されたテナントに再びアクセスしようとするよりも、新しいシェルを立ち上げて再構築する方が速いと感じる人もいます」とTorre氏は指摘します。「社内のIT担当者として夜勤に対応する場合でも、SLAを遵守しつつ収益性を維持する必要があるMSPの場合でも、極めてシンプルで、復旧が確実に機能すると信頼できるソリューションが求められます。IT部門もMSPも、非常に使いやすいソリューションを探すべきです。災害復旧だけが彼らの仕事ではないのですから」
優れたプラットフォームとは、単に復旧を保証するだけでなく、絶え間ない人手による介入なしにサイバーレジリエンス資産の衛生状態を高水準に保つことに重点を置くものだと同氏は語ります。また、Microsoft 365とEntra IDが単一のワークフローの中でまとめて復旧されることを確実にし、IDとそれが付与するデータへのアクセス権が、別々の段階でではなく、正しい順序で復旧されるようにする必要もあります。
適切なプラットフォームの選び方
DattoはKaseyaが所有するサイバーセキュリティ・データ保護企業です。Microsoft 365向けの「Datto SaaS Protection」、Microsoft Azure向けの「Datto Backup」、Microsoft Entra ID向けの「Datto Backup」は、いずれもMicrosoft環境の外側にあるDatto Cloudにテナントデータの保護コピーを保存することで、可用性と復旧の間のギャップを埋めるよう設計されています。これにより、侵害を受けた本番テナントが復旧ポイントまで道連れにすることはありません。
「当社のM365バックアップでは、世界中で100万人のユーザーを保護しています」とTorre氏は述べます。「多くの組織が、データを保護・復旧する当社の能力に信頼を寄せてくれています。当社は、M365だけでなくAzureやEntra IDについても、復旧のしやすさ、導入のしやすさに重点を置いた、信頼できる復旧プラットフォームを提供しています」
ITの責任者もMSP関係者も、ランサムウェア攻撃をはじめとするサイバー危機は「起きるかどうか」ではなく「いつ起きるか」の問題であると認識する必要があります。防御はいずれかの時点で必ず突破されるものである以上、復旧は防御以上に重要であり、従来型のデータバックアップ手法だけではもはや十分とは言えません。災害を想定しておくだけでは不十分で、組織はそれに耐えられる体制も整えておく必要があります。つまり、Microsoft環境を最後の1バイトに至るまで迅速に復旧できるという確信を、可能な限り高めておくことが求められます。
この能力は、現代のビジネスワークフローと業務運営を支える基盤です。Microsoftは1秒間に4,000件を超えるID攻撃を追跡し、毎日3,800万件のID関連リスク検知を分析しています。どの組織も標的リストから外れることはありません。攻撃が発生すれば復旧のカウントダウンはすでに始まっており、IT業務や主要環境を攻撃前の状態に完全復旧させるまでの遅れが、生き残りと崩壊の分かれ目になりかねません。そこには利益、規制上の立場、そして評判のすべてがかかっています。迅速かつクリーンな復旧を可能にする、専用設計のサイバーレジリエンスプラットフォームでデータを保護することこそが、組織がこの試練を乗り越える方法なのです。
このギャップを埋めたいと考えるMSPは、まず「Datto MSP Buyer’s Guide to Microsoft Entra ID Backup」から始めるとよいでしょう。
Sponsored by Datto.
