大企業における物理的媒体による遠隔地バックアップの重要性 その3
皆様、こんにちは。
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
1日半ほど空けてしまいました。暑い時期というのは昼間はマッタリしていればいいと思うんですが、なぜか行事関係が結構あるんですよね。
日本ももう亜熱帯の国と言っていいと思います。暑い国にはだいたいシエスタみたいな習慣があると思うんですが、日本にもそういう習慣を取り入れてもいいんじゃないかと思うんですが、いかがでしょう？
では、例のやつ行きましょうか。
このごろよく世界の人口が急激に増えているという説を聞きます。産児制限反対同盟会長のN氏は、これに反対の意見を持っています。彼の意見によれば、世界の人口は増えるどころか減っており、やがて、誰もが自分が必要とする以上の土地を持てるようになる、というのです。その根拠を聞いてみましょう。
N氏「いま生きている人には必ずふたりの親がいる。親にはまたふたりの親がいる。その祖父母にもおのおのふたりの親がいる。つまり8人の曾祖父母だ。このように祖先の数は世代をひとつ戻るたびに、倍に増えていくのである。
20世代も戻って中世にやってきたと考えてみなさい。ひとりの人間に1048576人もの祖先がいるのです。これを現代の人、ひとりひとりに適用してご覧なさい。なんと、中世の人口は現在の人口の1000000倍という計算になります！」
N氏はどう考えても間違っています。でも、どこが間違っているのでしょう？
さて本題ですが、今日は前回から話題が変わります。
規制遵守とデータガバナンス
今回は規制遵守（コンプライアンス）という面から見ていきたいと思います。コンプライアンスは最近特によく使われる言葉のひとつだと思うのですが、データを扱う際にもやはりコンプライアンスということは念頭に置いておくべき事柄のひとつです。
厳格なデータ保持要件への対応
多くの業界は、厳格なデータ保持法および規制（SOX、HIPAA、GDPR、SEC、NERC、Basel II、NISPOMなど）の対象となっています 。これらの義務は、データをどれくらいの期間保持すべきか（例：SOX/SECの下での財務記録は7年間保持 ）だけでなく、どのように保護し、アクセス可能にするかについても規定しています。ISO 27001も、記録の保管と廃棄に関するガイドラインの確立、およびすべての記録の保持スケジュールの維持を要求しています 。
以下に、いくつかの規制におけるデータ保持要件の例を示します。
（クリックで拡大）
法的義務のための改ざん防止ストレージと監査可能性の確保
SOXは、改ざん防止データストレージを義務付け、企業が変更の詳細な監査証跡を維持するか、書き込み一度読み取り多数（WORM）形式でデータを保持し、編集や削除を防止することを要求しています。物理的メディア、特に特定の種類のテープや光ディスクは、WORMの原則を自然にサポートできます。あるいは、物理的ストレージ上でソフトウェアを介して不変性を強制することも可能です。SEC規則17a-4は、記録を最初の2年間はアクセス可能に保ち、規制当局に迅速な電子アクセスを提供することを要求しています。暗号化、不正アクセスからの保護、定期的なテストを含む安全なデータバックアッププロセスは、コンプライアンスに不可欠です。
コンプライアンスは、物理的な不変性を求める強力な推進力となります。SOXコンプライアンスが「改ざん防止データストレージ」と「WORM形式」に明確に結びつけられているという事実は、特定のデータタイプにとって直接的かつ譲れない要件であることを意味します。クラウドプロバイダーが不変性機能を提供している一方で、エアギャップバックアップの物理的な隔離は、監査人や法務チームにとって非常に魅力的な、否定できない検証可能な不変性の層を提供します。これは、コンプライアンスが単にバックアップを「持っている」ことだけでなく、そのバックアップの「特性」に関するものであり、特定の義務のために物理的なソリューションを推進していることを示しています。
データ主権と制御の維持
厳格なデータ主権要件を持つ企業にとって、オンプレミス/物理的バックアップは、データの場所と管理に対する完全な制御を提供し、特定の規制要件を満たす上で重要な要素となり得ます。クラウドプロバイダーは地域データセンターを提供していますが、最終的な制御と法的管轄権は、物理的に所有および管理されるメディアの場合よりも直接的でない場合があります。
データ保持とアクセス性の二重の課題も存在します。データは長期間（例えば7年間）保持される必要がある一方で、特に最初の2年間は監査のために「容易に取得可能」であり「すぐにアクセス可能」である必要があります。これは、長期的なコスト効率の高い物理的アーカイブ（テープなど）が、オンラインのクラウドストレージ よりも「容易にアクセス可能」ではない可能性があるという矛盾を生み出します。したがって、コンプライアンス戦略は、これら二つの要求のバランスを取る必要があり、頻繁にアクセスされるアーカイブデータはより高速な、おそらくハイブリッドな物理/クラウド層に配置し、非常に長期でアクセス頻度の低いデータはコスト効率が高く、不変性の高い物理メディアをオフサイトに保存するといった階層型アプローチを採用する可能性があります。
堅牢な物理的オフサイトバックアップを実装するためのベストプラクティス
ここでまた話は変わりますが、今回はまださほど文字数が伸びていないので続けていきたいと思います。実際にどうやって物理的オフサイトバックアップを実現するかという話です。
3-2-1-1バックアップルール（または類似の業界標準）の順守
広く推奨されている3-2-1バックアップ戦略は、データの3つのコピーを、2種類の異なるメディアに保存し、そのうち1つのコピーをオフサイトに保管することを伴います。現代の脅威に対する回復力を高めるため、3-2-1-1ルールは重要な層を追加しています。それは、ネットワークから完全に切断されているか、改ざんから保護されている、少なくとも1つのエアギャップまたは不変のバックアップを維持することです 。さらに堅牢な4-3-2戦略は、データの4つのコピーを3つの異なる場所に保存し、そのうち2つの場所をオフサイトにすることで、リスクをより多くの場所に分散させ、多くの場合、複数のネットワークやクラウドサービスを利用します。バックアップの4-3-2ルールに関しましてはいつかまた話題に出したいと思います。
「ベストプラクティス」の進化は、3-2-1ルールから3-2-1-1、さらには4-3-2戦略へと進んでいます。これは、特にランサムウェアのような脅威の激化に対応した業界標準の動的な適応を示しています。これは単にコピーの数を増やすことだけでなく、異なる種類のコピー（エアギャップ/不変）と、より分散された場所を意味します。このことから、ベストプラクティスは常に変化しており、大企業は脅威の状況に先んじるために戦略を継続的に進化させ、最新の防御層を統合しなければならないということがわかります。
バックアップおよび復旧プロセスの厳格かつ定期的なテスト
バックアップの整合性と、そこからデータを復元する能力を定期的にテストすることが極めて重要です 。これには、バックアップがマルウェア感染に耐性があることを確認するためのランサムウェアシナリオのシミュレーションが含まれます 。テストは、目標復旧時間（RTO）と目標復旧時点（RPO）を検証し、実際の緊急事態に備えるのに役立ちます 。
自動化、ポリシー施行、およびデータ分類
バックアッププロセスを自動化することで、人的エラーのリスクを減らし、定期的で一貫したバックアップを保証します。どの記録をどれくらいの期間保持すべきか、誰が責任を負うかなどを定義する明確なデータ保持ポリシーを確立します。保持スケジュールを自動化することで、偶発的な削除を防ぐことができます。データの重要度と機密性に基づいてデータを分類し、適切なバックアップ頻度、メディア、および保持期間を決定します。頻繁にデータが変更される環境では、継続的データ保護（CDP）を使用して、すべての変更をリアルタイムでキャプチャできます。
強力なアクセス制御と従業員トレーニングの実装
厳格なユーザー権限、ロールベースアクセス制御（RBAC）、多要素認証（MFA）を実装することで、バックアップシステムおよび機密データへのアクセスを制限します。権限を定期的に見直し、更新します。従業員のトレーニングと意識向上は、人的エラーを最小限に抑える上で極めて重要です。リムーバブルメディアの取り扱いミスや不適切なデータ転送手順は、エアギャップがあっても脆弱性を引き起こす可能性があるためです。従業員は、不審な電子メール、ファイル、その他の活動を迅速に識別し報告するように訓練されるべきです。
エアギャップ 、自動化 、暗号化 のような高度な技術的制御があるにもかかわらず、人的エラーは依然として重大なリスクとして存在します 。従業員トレーニング と厳格なプロトコル の重要性が強調されていることは、技術だけでは不十分であることを示しています。これは、真に堅牢なデータレジリエンス戦略が、人的要素をリスク源としてだけでなく、防御の重要な構成要素として扱い、意識と手順の規律に継続的に投資する必要があることを意味します。
暗号化とデータ整合性チェックの確保
転送中および保存中のデータの両方を暗号化し、物理メディアが侵害された場合でも機密性を維持します。チェックサムを実行するか、ハッシュアルゴリズムを使用して、バックアップファイルが元のコピーと同一であり、破損していないことを確認します。オフラインメディアへのコピープロセス中にクラウドネットワークを監視し、ローカルネットワークで捕捉されなかったランサムウェアがバックアップに侵入するのを防ぎます。バックアップに使用するデバイスの自動実行機能を無効にします。
マネージドサービスプロバイダー（MSP）との提携の検討
大企業にとって、バックアップタスクを信頼できるMSPにアウトソーシングすることは、専門的な監督を提供し、社内ITチームの負担を軽減し、コンプライアンスと事業継続性を確保するのに役立ちます。MSPは、ソリューションをカスタマイズし、プロアクティブな監視を提供し、強化されたセキュリティ機能を提供できます。
結論：企業レジリエンスにおける物理的オフサイトバックアップの不可欠な役割
クラウドコンピューティングとサイバー脅威の激化が支配する時代において、物理的オフサイトバックアップ、特にエアギャップされ不変であるものは、大企業のデータレジリエンス戦略の不可欠な基盤です。これらは、最も高度なクラウドソリューションでさえ完全に再現できない独自の重要な保護層を提供し、高度なサイバー攻撃、壊滅的な自然災害、予期せぬシステム障害によるデータ損失と破壊に対する究極の最後の防衛線として機能します。
物理的オフサイトバックアップを包括的なハイブリッド戦略に統合することで、大組織は、最も価値のあるデータ資産が安全で復旧可能であるという比類のない安心感を得ることができます。この堅牢なアプローチは、事業継続性を確保し、コストのかかるダウンタイムを最小限に抑え、評判を保護し、厳格な規制要件への準拠を可能にし、最終的に不安定なデジタル環境において大きな競争優位性を提供します。
堅牢なデータレジリエンスは、単に災害を「回避する」ことではなく、積極的に「ビジネスの成功を可能にする」ものです。物理的オフサイトバックアップによって支えられる堅牢なデータレジリエンスは、もはや単なるITコストセンターではなく、市場でのリーダーシップ、投資家の信頼、そして長期的な存続可能性に直接貢献する戦略的なビジネス資産です。
将来を見据えたデータ戦略のための最終提言
ハイブリッドモデルの採用：スケーラビリティとアクセス性のためにクラウドを、そして重要な、機密性の高い、または長期アーカイブデータに対する究極のセキュリティと制御のために物理的オフサイトを、それぞれの強みを活用して組み合わせます。
高度なバックアップルールの導入：3-2-1-1または4-3-2バックアップ戦略を実装し、複数の地理的に分散された、エアギャップされた/不変のデータのコピーを確保します。
テストと自動化の優先：復旧プロセスを定期的にテストし、バックアップを自動化して信頼性を確保し、人的エラーを最小限に抑えます。
人材とポリシーへの投資：強力なアクセス制御を実装し、定期的な従業員トレーニングを実施し、明確で施行可能なデータ保持およびバックアップポリシーを確立します。
戦略的なパートナーシップ：複雑なバックアップ環境の管理における専門知識と運用効率のために、マネージドサービスプロバイダーの利用を検討します。
あらゆるサイバーセキュリティとクラウド冗長性の進歩にもかかわらず、物理的オフサイトバックアップが「究極の」または「最後の手段」のシナリオに対して提供する独自の保護は、常に強調されてきました。これは、大企業にとっての根本的な原則を示唆しています。それは、いかに安全であっても、ネットワークに接続されたシステムはいずれ侵害されるか、予期せぬ事象の影響を受ける可能性があると仮定することです。したがって、真に包括的な戦略には、完全に隔離された「緊急時のための切り札」オプションが含まれている必要があります。これは「すべての侵害を防ぐ」という考え方から「避けられない事態を生き残る」という考え方へのパラダイムシフトを意味します。
以上、大企業でも物理的媒体によるバックアップを行うべき理由でした
毎度文章が長くなって申し訳ないのですが、今回で「大企業も物理的な媒体に保存して遠隔地でエアギャップ保存を行うべき理由」を終わりたいと思います。
ネットワークを使って攻撃を仕掛けてこようとしている勢力は、そういった攻撃が起こらないようにするネットワークの仕様、対象となるユーザーの対策、そういったものを越えることを常に考えています。実際、ネットワークの仕様もユーザーの対策も進化しているはずであるにもかかわらず、ネットワークを介した攻撃が出した被害は増え続けています。つまり、攻撃を完全に防ぎきることは不可能だと考えるべきでしょう。そうなってくると、対応策として複数の対策を講じるべきであるという結論に至ります。そのひとつがバックアップの多重化であり、エアギャップであり、遠隔地での保存ということになるわけです。
バックアップの方法についても「同じものを作っておけばそれでいい」→「同じものを作って遠くにおいておけばいい」→「同じものをみっつ作ってひとつを遠くにおいておけばいい」…以下省きますが「冗長性」と「物理的分散」の重要性が上がっています。これは他でもなく、攻撃者の攻撃方法がより（悪い意味で）成長していることを示しています。
ネットワークを介しての攻撃を受けないためには、一番簡単かつ確実なのはネットワークにつながないことです。残念ながら、これはある程度面倒くさい作業です。ある程度の面倒くささを引き受けていただくことは避けることができません。しかし、弊社で極力面倒くさい部分は引き受けていきたいと考えております。どこを外注したいか、お考えが浮かんだときにはぜひお気軽にお問い合わせください。
そしてやっぱりやります
Geminiさんのお手並み拝見シリーズです。前回はこんな絵を描いてもらったのでした。
今回のお題は「勝海舟の絵を描いて？」でした。実際はこんな方だったようですね。
（Wikipediaより）
絵も写真も着物を着ていますが、絵には髷がないことが明らかですが写真を見るとあるのかないのか微妙という感じですね。時代の移り変わりの時期ですからいろんな人がそれぞれの考えで髷を維持したりやめたりしたんでしょうね。激動の時期らしいテーマになりました。そう考えると今回は割と適切？なお「最近見ないあの方の芸名」云々という話をしましたが、加勢大周さんという俳優さんの話です。「かつかいしゅう」という音の響きに寄せてつけた名前なんだそうです。新加勢大周騒動なんていうのを覚えているのはもう少数派なんでしょうか。私のATOKも「かせたいしゅう」という単語をちゃんと変換できませんでした。この騒動の影響で、芸能事務所と芸能人が交わす契約書の中に「この名前で当事務所以外の芸能活動をしないこと」という文言が入るようになりました。その影響で本名が使えなくなったのが「のん」さんこと能年玲奈さんですね。
なお、普段絵を描いてもらっているのはGeminiさんということにしておりますが、最近気づいたんですがCopilotさんは現在生きている有名人、つい最近まで生きていた有名人の似顔絵も描いてくれるんですね。運営者の考え方の違いがわかる特徴のような気がします。
では今回のお題です。
今回は、はっきり言ってお題自体がどマイナーな人物です。よっぽど江戸時代に興味をお持ちの方でないと存在自体ご存じでないかも知れません。まあ一応ヒントを。
水茶屋の看板娘でした
「会いに行けるアイドルの元祖」なんて言う人もいます
時代が時代ですので、勝手にこの女性のグッズを作ってボロ儲けした人が結構いたみたいです
まあ、あとは次回語りましょうか。
今日もありがとうございました。
また次回もよろしくお願いいたします。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在鋭意作成作業中です。今しばらくお待ちください。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
いいなと思ったら応援しよう！
この記事が参加している募集
この記事は noteマネー にピックアップされました
