エアギャップバックアップの最新動向について その5
皆様、こんにちは。
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
1日お休みをいただきありがとうございました。遊んでいたわけではないのですが、それでも少しリフレッシュできたような気がします。まあ今日はゴタゴタなしに恒例の関係ない話に行きましょうか。
いわゆる「トロッコ問題」というのがありますね。
いや、これは暴走したトロッコを女性に始末してもらうだけで終わりなのでトロッコ問題にはなり得ませんが。つまりこういう問題ですね。
これをちょっと現代風にアレンジしてみましょう。自動運転の車がスピードを出して走っていたとします。道がふたつに分かれるところにやってきました。Aの道には、交通ルールを無視してふざけながら道路に出てきた若者5人がいるとします。Bの道には、交通ルールを守って横断歩道を渡っている老夫婦がいるとします。
この場合、車はAに行くべきでしょうか、Bに行くべきでしょうか？Aに行ったら、交通ルールを破っている5人の命が失われ、交通ルールを守っている2人の命が助かります。Bに行ったらその逆です。
どちらを犠牲にするべきかというのは様々な観点からどちらとも言えるでしょう。現代人は、こういうことを瞬時に判断できるAIというとんでもないものを作ろうとしているわけです。
本題に入りましょう
まず、バックアップに限らず中小企業にありがちな情報セキュリティ的問題について見ていきたいと思います。
情報処理推進機構（IPA）が発表する「情報セキュリティ10大脅威」をはじめとする各種報告書は、組織が直面する脅威が多岐にわたることを示しています。中小企業が特に警戒すべき主要な脅威は以下の通りです。
ランサムウェアによる被害：ランサムウェアは、端末のロックやデータの窃取・暗号化を通じて業務継続を困難にし、金銭の支払いを強要する攻撃です。近年では、RaaS（Ransomware as a Service）としてサービス化されたり、データの暗号化を行わず、窃取と公開を試みるサイバー攻撃「ノーウェアランサム」といった手口も確認されており、情報窃取と公開による二重脅迫へと進化しています。2024年にはKADOKAWAが大規模なランサムウェア攻撃を受け、約25万4,000人分の個人情報や企業情報が漏洩し、SNSで拡散される事態が発生しました。このような事例は、ランサムウェアが単なるデータ暗号化に留まらない深刻な脅威であることを示しています。2022年には230件のランサムウェア被害が警察庁に報告されており、依然として最も警戒すべき脅威の一つです。
サプライチェーンや委託先を狙った攻撃：この種の攻撃は、調達から販売、業務委託といった一連の商流において、セキュリティ対策が手薄な組織を攻撃の足がかりとします。2024年には、イセトーがVPN経由の不正アクセスを受け、自治体だけでも約50万件以上の個人情報が漏洩した可能性が公表されたほか、Linux環境で広く利用されている「XZ Utils」に悪意あるコードが仕込まれた事例も発生しました。これらの事例は、直接的な攻撃だけでなく、セキュリティ対策が手薄な取引先や委託先が攻撃の足がかりとなり、最終的な標的である自組織やその顧客に被害が及ぶ「間接的な攻撃」が主流になっていることを示しています。これは、自組織だけでなくサプライチェーン全体のセキュリティレベルを把握し、管理する「エコシステム全体での防御」が不可欠であることを意味します。
標的型攻撃による機密情報の窃取：特定の組織や個人を狙い、機密情報を窃取することを目的とした、高度に巧妙化された攻撃です。
フィッシングによる個人情報等の詐取：取引先や関係者を偽ってウイルス付きのメールを送ったり、正規のウェブサイトに似せた偽サイトを立ち上げてID・パスワードなどを盗もうとする手口が増加しています。
テレワーク等のニューノーマルな働き方を狙った攻撃：リモートワーク環境の脆弱性が侵入経路となるケースも確認されており、場所を選ばない働き方が普及する中で、その対策の重要性が増しています。
内部不正による情報漏洩：従業員による意図的または不注意な情報漏洩も、企業にとって大きなリスクとなります。
ビジネスメール詐欺（BEC）による金銭被害：巧妙ななりすましメールなどを用いて、金銭を要求する詐欺も上位の脅威として認識されています。
主なものを挙げただけでも、これだけの脅威に中小企業（中小だけとは限りませんが）は晒されているわけですね。
話が重複するところもあるかも知れませんが、中小企業が直面するリスクと誤解についても見ておきましょう。
中小企業が直面する特有のリスクと誤解
中小企業は、大企業に比べて情報セキュリティに割り当てられる予算、人材、専門知識が不足しがちです。このリソースの制約が、セキュリティ対策が手薄になりやすい独自の事情を生み出しています。多くの経営者や従業員は、サイバー攻撃や情報漏えいを「自分たちには関係ない」「うちの会社は狙われない」といった誤った認識を抱いていることが少なくありません。このような認識が、結果として対策の遅れにつながる実態が指摘されています。
例えば「ウイルス対策ソフトを導入しているから大丈夫」と考える企業は多いですが、日々新たに生み出されるサイバーウイルスの全てを最新のウイルス対策ソフトが検知できるわけではありません。専門家は、その検知率が40%から45%程度に留まると指摘しており、ウイルス対策ソフトだけでは不十分な防御となります 。また「うちのような小さな企業が狙われるはずがない」という認識も誤りです。企業規模に関わらず、サイバー攻撃や不正アクセスなどの脅威に晒されており、むしろセキュリティ対策が手薄な中小企業が、攻撃者にとっての「狙い目」となることが多く、サプライチェーン攻撃の「踏み台」として利用されるリスクが高まっています。
さらに「個人情報を扱わないから大丈夫」という考えも危険です。個人情報を持たない企業であっても、取引先に大企業や大口顧客がいる場合、サプライチェーン攻撃によって知らぬ間に取引先に被害を与える加害者となる可能性があります 。サイバー攻撃やフィッシング詐欺の手口は日々巧妙化しており、メインバンクのネットバンキングや大手ECサイトを装った悪質なサイトによる被害も頻発しています。「怪しいサイトには行かないから大丈夫」という慢心は、深刻な被害につながる可能性があります。
これらの誤解は、情報セキュリティ対策への投資や意識向上を阻害し、結果として基本的な対策すら講じられない脆弱な状態に企業を陥らせます。このような状態は、攻撃者にとって格好の標的となり、サプライチェーン攻撃の踏み台にされるリスクを一層高めることになります。多くの企業がセキュリティを「対岸の火事」と捉える心理的な障壁を抱えていることが、実被害発生後の甚大な影響につながる負の連鎖を生み出している現状があります。誤った認識が対策の不十分さを引き起こし、最終的にサイバー攻撃による被害拡大という深刻な結果を招くという因果関係が明確に存在します。
簡単ではありますが、中小企業が直面する主要なサイバー脅威と影響について表にまとめてみました。
（クリックで拡大）
外部からの攻撃ではなく内部の故意や失敗による危機も含まれていますが、大雑把に捉えてもこれだけの危機があると言えるわけです。
中小企業を取り巻くサイバーセキュリティの現状と重要性
改めて、中小企業を取り巻くサイバーセキュリティの現状と重要性を見ていきたいと思います。
現代社会において、情報セキュリティは企業の存続を左右する重要な経営課題となっています。特に中小企業は、その規模やリソースの制約から、サイバー攻撃の脅威に晒されやすい状況にあります。中小企業が直面する情報セキュリティの現状と課題を深く掘り下げ、事業を守り、競争力を高めるための具体的な戦略と、活用可能な支援策について解説します。
サイバー攻撃の脅威増大と中小企業への影響
独立行政法人情報処理推進機構（IPA）が2025年5月27日に公表した「中小企業の情報セキュリティ対策に関する実態調査2024」によると、多くの中小企業で基本的な対策は進展しているものの、巧妙化・悪質化するサイバー攻撃への備えや、取引先との連携といった面で依然として大きな課題を抱えている実態が浮き彫りになっています。サイバー攻撃は、単にシステムが停止するだけでなく、顧客のクレジットカード情報漏洩による数千万円以上の求償額、売上の一時的な消失、顧客からの信用喪失、風評被害といった「無形損害」を引き起こし、事業の存続に関わる打撃となることが少なくありません。
本文は公式サイトでご覧ください
https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf
実際に、従業員数が10名程度の健康食品会社が外部サーバーへの不正プログラムによって顧客情報が漏洩し、サイト閉鎖に追い込まれ、現在も復旧の目処が立たない事例が報告されています。また、加工食品会社の役員PCがウイルスに感染し、取引先の顧客情報まで漏洩した例などもあり、いずれのケースでも中小企業は立ち直るだけの余力を絞り出すことが難しく、その後長期にわたって業務に影響を受ける傾向が見られます。さらに、株式会社イズミがランサムウェア被害により3ヶ月以上の復旧期間を要した事例や、北海道大学病院、岡山県精神科医療センターなどの病院・医療機関がパスワードリスト攻撃、ランサムウェア、人為的ミスによる情報漏洩の被害に遭うなど、業界を問わず多岐にわたるサイバー攻撃の被害が報告されており、その影響は甚大です。
中小企業が直面する情報セキュリティの課題
IPAの2024年調査では、中小企業の約7割が基本的なセキュリティ対策を実施していると報告されています。これは一定の浸透を示唆するものの、依然として巧妙化・悪質化するサイバー攻撃への備えや、取引先との連携といったサプライチェーン全体のセキュリティ強化には大きな課題が残されています。
特に、従業員に対する定期的なセキュリティ教育や、セキュリティに関する規程の整備・運用といった組織的な取り組みが十分ではない状況が指摘されています。これは、多くの中小企業が日々の業務に追われ、目に見えにくいセキュリティへの投資や体制構築にまで手が回っていない現実を反映していると考えられます。
人材不足、コスト負担、経営層の意識といった構造的問題
人材不足：セキュリティ専門人材の不足は、中小企業が抱える最も深刻な課題の一つです。大企業に比べて採用力が弱い中小企業では、最新の脅威動向を把握し、適切な対策を計画・実行できる人材を確保・育成することが極めて困難です。情報システム担当者が他の業務と兼務しているケースも多く、セキュリティ対策に十分な時間を割けないのが実情です。
コスト負担： セキュリティ対策には、ツールの導入、専門家のコンサルティング、従業員教育など、相応のコストがかかります。体力的に余裕のない中小企業にとって、直接的な利益に結びつきにくいセキュリティへの投資は、後回しにされがちな傾向があります。実際、セキュリティ対策投資を行わない理由として「必要性を感じていない」（44.3%）が最多であり、次いで「費用対効果が見えない」（24.2%）「コストがかかりすぎる」（21.7%）が挙げられています。
経営層の意識：経営層がセキュリティリスクの深刻さを十分に認識していない、あるいは「うちは狙われないだろう」といった楽観的な見方をしている場合、全社的な対策は進みません。IPAの2021年度調査でも、情報セキュリティ上の脅威の認識が十分でない可能性が指摘されており、数年経過した現在でも認識が浸透したとはいえない恐れがあります。半数以上（56.4%）の中小企業が情報セキュリティ被害に遭う可能性を認識しておらず、従業員規模が小さいほどその認識が低い傾向にあります。
この経営層の意識の低さは、単一の課題に留まらず、中小企業が抱える他の主要なセキュリティ課題の根底にある根本的な問題です。経営層がセキュリティリスクを軽視したり、自社は標的にならないと楽観視したりすることで、セキュリティ対策へのコスト負担が「後回しにされがちな傾向」につながります。また、セキュリティ専門人材の不足も、経営層がその必要性を認識し、投資をしない限り解消されることはありません。さらに、規程整備や従業員教育といった組織的な取り組みの遅れも、経営層のリーダーシップがなければ進まないものです。
このように、経営層の意識の低さは、人材、コスト、組織体制、教育といった中小企業が抱える他の主要なセキュリティ課題の根底にあるボトルネックとして機能しています。このボトルネックが解消されない限り、個別の対策を導入しても、その効果は限定的であり、持続的なセキュリティ強化は望めません。したがって、中小企業のセキュリティ対策は、技術的な側面だけでなく、経営層への啓蒙と意識改革が最も優先されるべき課題であり、これを解決しない限り他の課題も連鎖的に解決が困難であると言えます。
サプライチェーンにおけるセキュリティリスクの増大
サプライチェーン攻撃は、セキュリティ対策が手薄な中小企業を「踏み台」として、その取引先である大企業や重要インフラ企業を狙う巧妙な手口です。中小企業は、自社が直接狙われるだけでなく、サプライチェーン全体のセキュリティレベルの「格差」を利用され、意図せずサイバー攻撃の加害者となるリスクを抱えています。これは、取引先からの信頼失墜や損害賠償請求に発展する可能性があり、事業継続に深刻な影響を与えかねません。
（クリックで拡大）
情報セキュリティ対策の「はじめの一歩」：IPA情報セキュリティ5か条
さて、こうやって見てまいりますと、現在、攻撃者が狙うべきターゲットとして一番「オイシイ」のが中小企業だということが明らかになります。ターゲット企業だけではなく、その中小企業が含まれているサプライチェーンをまるごと狙うことができるからです。
というわけで、まずはIPAの情報セキュリティ5か条を守りましょう。これなら、どのように行えばいいか、その進め方のガイドはIPAのWebサイトからダウンロードすればいい話なので、かかる費用は限りなく0に近いです。
中小企業が情報セキュリティ対策を始めるにあたり、何から手をつければ良いか迷うことは少なくありません。「できるところから始める」という観点から、IPAが提唱する「情報セキュリティ5か条」は、最も基本的かつ効果的な「はじめの一歩」となります。これらは、専門知識がなくてもすぐに実践できる、費用対効果の高い対策です。
以下に引用しましょう。
OSやソフトウェアを常に最新の状態に保つ
サイバー攻撃の多くは、OSやソフトウェアの既知の脆弱性を突いて侵入します。常に最新の状態に保つことで、これらの脆弱性が修正され、攻撃のリスクを大幅に低減できます 。パソコンやサーバーだけでなく、ルータ、VPN機器、NASなど、インターネットに接続するすべての機器のOSやファームウェアを常に最新の状態に保つことが重要です。
使用している機器やソフトウェアを把握し、セキュリティ情報やパッチのリリースを定期的に確認する習慣を身につけるべきです 。特に、サポートが終了した古いOSやソフトウェアは、新たな脆弱性が発見されても修正されないため、使い続けることは極めて危険です。更新計画を立ててリプレースを検討する必要があります 。ゼロデイ攻撃や公開直後の脆弱性を狙った攻撃が増加傾向にあるため、迅速な対応が不可欠です 。ソフトウェアの更新を怠ることは、未修正の脆弱性を残すことにつながり、攻撃者がその脆弱性を悪用して侵入する機会を提供することになります。多くの企業は、更新の手間やシステム停止のリスクを嫌って更新を後回しにしがちですが、この「放置」こそが、最も基本的ながら致命的なセキュリティホールとなることを認識すべきです。更新の遅延は、攻撃者にとっての主要な侵入経路を提供する直接的な原因となります。ウイルス対策ソフトを導入し、活用する
ウイルス対策ソフトは、マルウェアの検知・駆除、不審な通信のブロックなど、基本的な防御の要となります 。すべてのPCやサーバーに信頼できるウイルス対策ソフトを導入し、常に最新の定義ファイルに更新することが重要です。また、定期的なスキャンを実行し、異常がないか確認する習慣も必要です。
しかし、ウイルス対策ソフトは必須であるものの、それだけで完璧な対策ではありません。新たなサイバーウイルスは日々生み出されており、最新のウイルス対策ソフトでも全ての脅威に対応できるわけではないことを認識しておく必要があります 。ウイルス対策ソフトを導入したことで「これで大丈夫」と過信し、他の必要な対策を怠ることは危険です。多くの企業がセキュリティ対策の「完了」をウイルス対策ソフトの導入と捉えがちですが、これはセキュリティの最低限のスタートラインに過ぎません。セキュリティは継続的な多層防御であることを理解する必要があります。単一の対策への過信が、総合的な防御力の低下を招くという因果関係が存在します。パスワードを適切に管理し、多要素認証を活用する
パスワードの使い回しや単純なパスワードは、不正アクセスの主要な原因となります 。パスワード窃取による被害も多数報告されています 。パスワードの使い回しを禁止し、サービスごとに異なる、複雑なパスワードを設定する基本ルールを徹底することが不可欠です 。複数の文字種（英大文字、英小文字、数字、記号）を組み合わせ、十分な長さのパスワードを設定するよう従業員に指導すべきです。
さらに、可能であれば、多要素認証（MFA：パスワードに加えて、スマートフォンアプリや生体認証など複数の要素を組み合わせる仕組み）の導入を検討することが強く推奨されます 。従業員のパスワード管理意識が低いと、脆弱なパスワードや使い回しが発生し、攻撃者が容易に不正アクセスを行うことにつながります。技術的な対策だけでなく、人間の行動様式（パスワードの使い回しなど）がセキュリティのボトルネックとなることが多いのが現状です。MFAは、この人間の脆弱性を補完する極めて有効な手段となります。人的要因が技術的な防御の突破口となる因果関係を断ち切るための重要なレイヤーとして、MFAの導入が位置づけられます。不審なメールやWebサイトに注意する
フィッシング詐欺やマルウェア感染の多くは、不審なメールやWebサイトを通じて行われます。従業員一人ひとりの注意が、被害を防ぐ上で極めて重要です 。怪しいメールを受け取ったら安易に開かず、上司や担当者に相談する文化を醸成することが不可欠です 。メール本文中のURLは慎重にクリックし、送信元が本当に信頼できるか確認する習慣を身につけるべきです。添付ファイルは、不審な場合は開く前に必ず確認するよう徹底します 。
疑似的なフィッシングメールを社内に送りつける「フィッシング訓練」を実施し、従業員の注意喚起と対応能力向上を図る方法も有効です 。また、ビジネスメール詐欺の手口を知り、金銭被害を防ぐための注意を払うことも重要です 。従業員が巧妙な詐欺手口を知らない場合、不審なメールやサイトを安易に開いてしまい、マルウェア感染や情報漏えいが発生する可能性があります。最先端の技術的防御があっても、従業員が攻撃者の「最初の侵入点」となってしまうケースが多いため、従業員を「ヒューマンファイアウォール」として機能させる教育が不可欠です。従業員のセキュリティ意識が、組織全体の防御力に直接影響を与えるという因果関係が存在します。データのバックアップを定期的に行う
ランサムウェア攻撃やシステム障害、誤操作などによりデータが消失・暗号化された場合でも、バックアップがあれば業務を早期に復旧できます。重要なデータは定期的にバックアップを取り、複数の場所に保管することが推奨されます（例：社内サーバー、クラウドストレージ、外部ストレージなど）。
バックアップデータが正しく復元できるか、定期的にテストを行うことも重要です。また、バックアップ媒体は、オフラインで保管するなど、攻撃の影響を受けにくい方法を検討すべきです。どんなに防御を固めても、攻撃を100%防ぐことは不可能であるため、被害を最小限に抑え、迅速に復旧するための「最後の砦」としてバックアップが機能します。これは、セキュリティ対策における「防御」と「回復」のバランスの重要性を示しています。適切なバックアップ運用は、サイバー攻撃による事業停止期間の短縮と復旧コストの低減に直結するという因果関係があります。
表にまとめてみました。
（クリックで拡大）
5か条にも入っている「バックアップ」
というわけで、できるところから始めてみる5か条にもバックアップは入っているわけですね。というわけでバックアップについて書こうと思ったんですが、もう文字数がとんでもないことになっちゃってますので、ちょっと予定外ですがバックアップについては明日またやります。どうぞご了承ください。
長くなってもやっぱりやります
Geminiさんのお手並み拝見シリーズ、前回の画像はこれでした。
これは「間宮林蔵を描いて？」とGeminiさんにお願いしたら描いてくれたものです。
妙に小さいのですが、Wikipediaにあった画像はこれです。
（画像はWikipediaより）
樺太を探検して、島であることを明らかにし、そして樺太と大陸の間にある海峡、間宮海峡の名前の元になった人ですね。
じゃあ次の人行きましょうか。
ヒント行きましょう。
おそらく日本一有名なお城を建てた人です
関東の平定に大きく貢献した人物です
和歌や連歌にも優れ、文化人としても高く評価されました
これは…ちょっと難しいかも。題材もマニアックですしね。ではまた明日お目にかかりましょう。
今後ともよろしくお願いいたします。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在鋭意作成作業中です。今しばらくお待ちください。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
大企業における物理的媒体による遠隔地バックアップの重要性 その3
