オフサイト・エアギャップデータセンター戦略について その1
皆様、こんにちは。
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
なんだかとてもとてもしんどいのですが、愚痴を言っていても始まりませんのでいつもの内容にさっさと入りましょう。
毎度恒例の前置きです。
これは結構有名な話なんですが…。
俊足のギリシャの英雄アキレスが亀との競争を始めたとします。アキレスは亀よりも相当に早いので、亀には前方からのスタートが許され、競争が始まります。アキレスが亀のスタート地点に到達するころには、亀は少ないながらもいくらかの距離を進んでおり、新たな地点に到達しています。アキレスは走り続けます。さらに、亀がその前にいた地点にアキレスが達したとき、亀は既に新たな地点にと進んでいます。この論理が続き、無限後退になってしまいます。アキレスは亀よりも速く走り、亀に近づいていきますが、アキレスは決して亀を追い抜けないということになります。つまり、そのためには無限回数のタスクを完了しなければなりません。無限数の地点へと無限数の正の距離を移動しなければならないからです。
この論理は一見正しそうですが、直感的に考えて間違ってますよね。一体どこがおかしいのでしょうか？
というわけで本題に入っていきたいと思います。今回から数回に分けて、オフサイト・エアギャップのバックアップを行うデータセンターの設立についてその戦略をお話ししたいと思います。
オフサイトバックアップの戦略的意義
現代の企業経営において、自然災害、サイバー攻撃、パンデミックといった予期せぬ事態は、事業継続に対する深刻な脅威となっています。このようなリスクに備える上で、オフサイトバックアップは単なるデータ保全の手段を超え、企業のレジリエンス（危機対応能力）を決定づける戦略的な投資と位置付けられています。本報告書は、オフサイトバックアップがなぜ不可欠なのかを、上位概念である事業継続計画（BCP）および災害復旧（DR）との関係性から定義し、その多角的な側面を詳細に分析します。本報告書で提示する主要な検討ポイント、すなわちBCPとDRの関係性、復旧目標の明確化、そして多様なソリューションモデルの比較は、企業の意思決定者が自社のリスクとリソースを正確に評価し、最適なオフサイト戦略を策定するための信頼できる羅針盤となることを目指します。
現代のデジタルサービスと業務を支えるデータセンターは、大規模なコンピューターシステム、サーバー、ネットワーク機器、ストレージインフラを収容・管理する、極めて複雑なエコシステムです。このエコシステムは、高可用性、セキュリティ、効率性が確保されるよう慎重に設計・維持されていますが、サイバー脅威は日々進化し、その防御をすり抜ける事態が増加しています。中でも、組織のシステムを暗号化し、身代金を要求するランサムウェア攻撃は、事業継続性（BCP）にとって最も深刻なリスクの一つとなっています。
このような背景から、データのバックアップとディザスタリカバリ（DR）は、単なるデータ損失の防止策を超え、事業継続のための必須戦略として位置づけられています。オフサイト・ディザスタリカバリとは、組織の本番システムやデータを、オフィスや本番システムそのものから物理的に離れた場所に複製して維持する戦略です。しかし、単にデータをオフサイトに保管するだけでは十分ではありません。もしバックアップ環境が本番ネットワークと常時接続されている場合、マルウェアやランサムウェアがネットワークを介してバックアップデータにまで感染を広げるリスクが残ります。
そこで、究極の防御策として注目されているのが「エアギャップ」戦略です。エアギャップとは、ストレージ媒体やネットワークを公衆またはプライベートネットワークから物理的または論理的に分離し、完全に隔離された状態を意図的に作り出すデータ保護技術です。その目的は、ハッカーやマルウェア、特にランサムウェアがバックアップにアクセスできないようにすることにあります。本番システムとの間に直接的なネットワークリンクやWi-Fi接続が存在しないため、サイバー犯罪者が侵入することは極めて困難となり、「最後の砦」としての役割を果たします。
この文章の目的と、お読みいただきたい方々について
この文章は、最高情報責任者（CIO）や最高情報セキュリティ責任者（CISO）、あるいはそれに準ずる意思決定者の方々を主な対象としています。単なる技術的な定義や概念の羅列に留まらず、オフサイト・エアギャップのデータセンターを構築する際に検討すべき、具体的な実装方法とそのトレードオフについて、包括的かつ多角的な視点から詳細に解説することを目的とします。
各アプローチの技術的・運用的な詳細を、セキュリティ、復旧時間（RTO）、総所有コスト（TCO）、および運用負荷という、ビジネス上の重要指標の文脈で比較分析することで、読者の皆様が自社の事業継続計画とセキュリティ戦略に最も適した投資判断を下せるよう、実践的な指針をご提供したいと考えております。
主要概念の再確認：オフサイトとエアギャップの定義
この文章の議論の前提となる二つの主要概念を、あらためて明確にします。
オフサイト（Off-site）：災害対策（DR）の観点から、地理的に離れた場所にデータを保管する戦略を指します。これにより、本番サイトが自然災害やサイト固有の危機に見舞われた場合でも、事業継続のためのデータが安全に確保されます。バックアップは、オフサイトのデータセンター、サーバー、またはクラウドサービスに保存することができます。
エアギャップ（Air-gapped）：ネットワークセキュリティの概念であり、一つのコンピューターやネットワークを、インターネットを含む外部のネットワークから物理的または論理的に完全に隔離する措置です。これにより、リモートからの不正アクセス経路が遮断され、ランサムウェアのようなネットワーク経由のサイバー脅威に対する最も強固な防御層が形成されます。
オフサイトとエアギャップは、しばしば組み合わせて語られますが、それぞれ異なる目的を持ちます。オフサイトが「場所の分離」を指すのに対し、エアギャップは「ネットワーク接続の分離」を意味します。この二つの概念を組み合わせることにより、リモートのサイバー攻撃とサイト固有の物理的災害の両方からデータを保護する、堅牢なデータ保護戦略が実現します。
BCPとDRの関係性
オフサイトバックアップの重要性を理解するためには、まずBCPとDRという二つの重要な概念を区別することが不可欠です。BCP（Business Continuity Plan：事業継続計画）は、緊急事態が発生した際に、中核事業の継続あるいは早期復旧を可能にするための包括的な計画を指します。これは、人命の安全確保、サプライチェーンの維持、業務プロセスの代替手段、そして情報システムの復旧といった、企業活動全体のリソースとプロセスを網羅するものです。
これに対し、DR（Disaster Recovery：災害復旧）は、情報システムに特化した復旧計画です。DRの目的は、災害や障害によって停止したシステムや失われたデータを、可能な限り迅速に復旧させることにあります。つまり、DRは企業全体の事業継続性を確保するBCPの一部として位置づけられることが一般的です。オフサイトバックアップは、このDR対策の根幹をなす要素であり、主となる拠点が被災しても、遠隔地に保管されたデータを用いてシステムを復旧させるための不可欠な手段となります。BCPとDRはそれぞれ異なる役割を持ちますが、両者を連携させることで、企業全体の危機対応能力は大きく向上します。
復旧目標の明確化：RTOとRPOの重要性
オフサイトバックアップ戦略を策定する上で、最も重要な指標となるのがRTO（Recovery Time Objective：目標復旧時間）とRPO（Recovery Point Objective：目標復旧時点）です 。これらの指標は、単なる技術的数値ではなく、企業の事業継続性に対するビジネス要件を反映するものです。
RTO（目標復旧時間）：サービスやシステムが停止してから、許容できる最大復旧時間。例えば、金融取引システムのように数分でも停止が許されない場合は、RTOは非常に短く設定されます。一方、社内共有ファイルサーバーのように多少の停止が許容される場合は、より長いRTOを設定することが可能です。
RPO（目標復旧時点）：障害が発生した際に、どの時点のデータまで復旧させるかという目標値です。これは、許容できる最大データ損失量を意味します。頻繁にデータが更新される基幹システムであれば、RPOは限りなくゼロに近づける必要があり、バックアップ頻度を高く設定しなければなりません。
RTOとRPOの要件は、採用するオフサイトバックアップ方式を直接決定づけます。例えば、RPOの要件が厳格であれば、リアルタイムに近いレプリケーション方式が求められ、そのための高コストなインフラ投資が必要となります。逆に、RPOに余裕がある場合は、非同期バックアップやテープメディアの活用など、コストを抑えたソリューションも選択肢に入ります。したがって、オフサイトバックアップの導入は、まず企業の各業務の重要性を分析し、それぞれのRTOとRPOを明確に定義することから始めるべきです。
データの冗長性確保：3-2-1バックアップルールの適用
オフサイトバックアップは、単独のソリューションとして機能するものではありません。データ保護の国際的なベストプラクティスとして広く推奨されているのが「3-2-1ルール」です 。このルールは、以下の3つの要素から構成されます。
3：データを3つ持ち、運用データとバックアップデータ2つを用意する。
2：2つの異なる種類のメディア（例：ハードディスクとテープ、またはハードディスクとクラウド）にデータを保管する 。これにより、特定の種類のメディアが故障しても、別のメディアからデータを復元できます。
1：1つのバックアップコピーをオフサイト（遠隔地）に保管する 。これにより、本社や主要なITインフラが被災しても、データの損失を防ぐことが可能になります。
このルールは、単一障害点（SPOF）を排除し、多層的なデータ保護体制を構築する上で極めて有効です。オンサイトのバックアップは日常的なデータ復旧に迅速に対応でき、オフサイトのバックアップは広域災害という大規模なリスクに備えるための「最後の砦」となります。クラウドサービスやテープメディアなど、複数の異なる保存媒体を組み合わせることで、物理的な損傷、サイバー攻撃、人的ミスなど、多様なリスクに対応できる堅牢なバックアップ戦略が実現します。
実装方法論：オフサイト・エアギャップの主要なアプローチ
オフサイト・エアギャップの実現には、主に「物理的エアギャップ」と「論理的エアギャップ」の二つの主要なアプローチが存在します。それぞれのアプローチは、異なる技術と運用モデルに基づいており、異なるレベルのセキュリティ、復旧速度、および運用上の要件を提示します。
物理的エアギャップ：絶対的な防御層を構築する伝統的手法
物理的エアギャップは、バックアップシステムをネットワークから物理的に分離し、本番環境との有線・無線を問わず、あらゆるデジタル接続を完全に断つ手法です。このアプローチは、ネットワーク経由の攻撃を物理的に不可能にするため、サイバー脅威に対する最も確実な防御策と考えられています。
リムーバブルメディア（LTOテープ、HDD）の活用
これは最も伝統的かつ直接的な物理的エアギャップの実装方法です。運用モデルは、以下の通りに構成されます。
まず、データをネットワーク接続されたストレージにバックアップします。
バックアップが完了した後、バックアップメディア（LTOテープや外付けハードドライブなど）をネットワークから物理的に取り外します。
この物理的に切断されたメディアを、オフサイトの金庫や専用のサーバールームといった、安全な場所に保管します。
この手法の鍵となるのは、バックアップが完了した時点で、メディアがネットワークから完全に隔離される点です。特に磁気テープ（LTOテープ）は、この用途に最適なメディアとして広く活用されています。LTOテープは、大容量（最新のLTO-9では非圧縮で18TB）かつ低コストであるだけでなく、書き込み時にのみ電力を消費するため、保管時の電力消費が非常に低いという特長を持ちます。また、LTOテープは書き換えが困難な「追記性」という特性も持ち、ランサムウェアによるデータの改ざんリスクを最小化します。
データダイオードを用いた一方向通信
データダイオードは、ハードウェアの内部構造によって、ネットワーク通信を物理的に一方向に限定する特殊なネットワークデバイスです。この技術は、ファイアウォールのようにソフトウェアによる通信フィルタリングに依存するのではなく、物理層で通信を遮断します。
この手法の運用モデルでは、本番ネットワークとエアギャップ環境の間にデータダイオードを設置します。これにより、本番環境からエアギャップ環境へはデータ送信が許可されますが、逆方向の通信は物理的に不可能です。したがって、エアギャップ環境に保存されたバックアップデータが、本番ネットワークから侵入したマルウェアによって破壊されたり、外部に流出したりする経路が完全に絶たれます。データダイオードは、その堅牢性から、政府機関、軍事、重要インフラ（OT）といった、極めて高いセキュリティと機密性が要求される分野で主に採用されています。
論理的・仮想的エアギャップ：柔軟性と俊敏性を実現する現代的手法
論理的エアギャップは、物理的な接続を完全に切断するのではなく、ソフトウェア制御によってネットワークを仮想的に分離するアプローチです。この方法は、物理的な隔離が運用上非現実的な場合や、迅速な復旧がビジネス要件となる場合に特に有効です。
クラウド環境における論理的隔離
クラウドサービスを利用して論理的エアギャップを構築する場合、以下の手法が取られます。
アカウント／サブスクリプションの分離：データをバックアップする際、本番環境とは異なる独立したクラウドアカウント、あるいはAzureサブスクリプションやGoogle Cloudプロジェクトを利用することで、一つのアカウントが侵害されても他への不正アクセスを防ぎます。
アベイラビリティゾーン／リージョンの分離：異なる地理的なアベイラビリティゾーンやリージョンにデータを格納することで、特定の地域的な障害や攻撃に対する回復力を高めます。
さらに、このアプローチでは「イミュータブルストレージ（不変ストレージ）」の活用が不可欠です。これは、一度書き込まれたデータを変更・削除できないようにする機能であり、ランサムウェアによる暗号化や改ざん攻撃からバックアップデータを保護する上で、物理的な切断に代わる重要な防御層となります。厳格なアクセス制御と組み合わせることで、強固なデータ保護を実現します。
専用ソフトウェアおよびハードウェアによる仮想隔離
一部のベンダーが提供する「仮想エアギャップ」ソリューションは、バックアップデータを一時的かつ非常に安全な接続を介して、別の場所に保管します。この方法では、高度なアクセス制御や多要素認証が用いられ、データ転送時以外はネットワークから実質的に隔離された状態が維持されます。
物理的なエアギャップでは、バックアップと復旧のプロセスに手動での介入が必要となり、復旧時間が大幅に遅れる可能性があります。対して、仮想エアギャップは、一定の接続性を維持しながらも強固なセキュリティを提供することで、バックアップデータの迅速な復旧を可能にします。これは、事業運営の維持に迅速な復旧が不可欠な場合に特に有効な、現代的なアプローチと言えます。
今回はここまでと致します
今回は文字数の関係でここまでにさせていただきたいと思います。以上が教科書的な話ではあるのですが、良くも悪くも技術というのは進化を続けるものですので、私がこうやって様々な資料に当たって作成したこの文章にも「いまやもう古いんではないか」というようなところが、我ながらところどころに紛れ込んでいるように思います。
まず、リムーバブルメディアとしてLTOテープを使う、というのはもういまや現実的ではないと思います。読み書きが遅いですとかランダムアクセスができないですとか欠点もいろいろあるメディアではあります。しかし容量あたり単価が安いということで長年使われ続けてきた媒体ですので無視するわけにはいかずここに書きましたが、もうそういった安さという長所は生産中止にする会社が多くなってきたことによって失われつつあるように思います。また、テープメディアというのはいわゆる「ジャムってしまう」という状態になることにより丸ごと失われてしまう可能性が否定できません。
せっかくオフサイトバックアップ、エアギャップバックアップを行うのですから、データが失われてしまう可能性が高いメディアは極力避けたいものです。オフサイトバックアップはリモートバックアップですとか遠隔地バックアップなどとも呼ばれますが、要するに離れた場所（データセンター）にバックアップを置いておくという行為を指します。このため、物理的にメディアを遠隔地に輸送する場合の安全と経済性を考え、できる限り小さく、振動などに強いメディアを選びたいものです。
そこで弊社がおすすめしておりますのが「バックアップの4-2-1ルール」です。こんにち、クラウドは様々に進化を遂げています。いろいろなところからいろいろなデバイスでデータが利用できるということはその最大の利点であると思います。しかし、ネットワーク経由でサイバー攻撃を受けるのならばまず狙われるのがこのクラウドだと思いますので、まずはクラウドを1としましょう。そして、オンプレミスで貴社のテリトリー内にバックアップを取っておく、これでもうひとつ1が発生します。同時に、可能であればバックアップ専用クラウドサービス、それが無理であれば1以外にもうひとつ別のクラウドを契約してこれは普段触らないようにしておく、ここでもうひとつ1が発生します。最後に、物理的な媒体にバックアップを行っていただき、それを弊社でお預かりする、これが最後の1です。4-2-1になっていることがおわかりいただけますでしょうか。
これまでにも何度もお話ししておりますが「これさえやっておけば何があっても大丈夫！」というバックアップ作成方法は、現状のところ存在しません。各バックアップ手法はそれぞれに長所と短所を持ちます。ですので、重要なのは複数のバックアップ方法を組み合わせて用いるハイブリッドバックアップ（または複合バックアップ）なのです。お互いの脆弱性をお互いに補完する補完性を持つことが重要です。
日常使う1のクラウドは、データを使用しながらのオンラインバックアップで問題ないと思うのですが、最後の砦である物理的・オフサイトバックアップに関してはデータの整合性などの観点から使用を1回止めた状態でのオフラインバックアップ、それもシステムまで含めてのバックアップをおすすめ致します。最後の砦に頼るしかない、という事態になったとき、迅速に復旧できるのはシステムまで含めてのバックアップだからです。
では、次回から少し具体的なところをお話ししていければと思います。
それでもやっぱりやります
AIの限界を探るGeminiさんのお手並み拝見シリーズですが今回もやりましょう。前回はこんな絵をGeminiさんに描いてもらったんでした。
これは「三船敏郎の絵を描いて？」とGeminiさんにお願いした結果の出力です。さすがにこの人は日本映画史上に残る大スターですからWikipediaにたくさん写真が載っています。一番メインの写真だけ持ってきましょう。
（画像はWikipediaより）
…似てませんね。
それ以上に気になるのは、Geminiさんの三船敏郎は一体どんな服を着ているのでしょうか？襟周りの作り方を見ると和服に近いような気がしますが、胸ポケットのついた和服なんてないしなあ。
やっぱりまだまだですね。
というわけで、今日も1枚描いてもらいましょう。今日は古い人行きましょうか。
ヒント行きましょうか。
平安時代中期の歌人です
情熱的な恋の歌を多数詠みました
その才能と美貌で多くの男性を魅了したと伝わっています
というようなところで今日は終わりたいと思います。
また次回もよろしくお願いいたします。
目次へのリンクを張っておきます。
他の記事もよろしければご覧ください。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在鋭意作成作業中です。今しばらくお待ちください。
今日もありがとうございました。
