エアギャップバックアップの最新動向について その3
皆様、こんにちは。
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
梅雨が帰ってきたと思ったら、毎日のように土砂降り＆雷→止んで日が照るを繰り返しています。なんかもう梅雨が終わりの気候ですよね。
この気候に関しては特に京都特有ってものでもないんですが、湿り気と熱を繰り返すのはやめてほしいです。完全にスチームじゃないですか。
というわけで、恒例の関係ない話に行きましょう。
「誕生日が一致するペアが1組できる確率が50％を超えるのは、何人集まったときか」という問題があります。
結論から言いますと、たったの23人です。昨日も述べました1.18√nに当てはめて計算してみると、1.18√365≓22.5となります。
自分と誕生日が一致する人を見つけるためには数多くの人を集めなければいけませんが、いつでもいいから誕生日が同じペアが発生する人数は思いのほか少ないのです。
昨日も扱いました疑似パラドックスというやつですね。不思議でも何でもないのです。
ちなみにですが、私も年齢的に自分の体の強さを過信できない状態になったよな？世間一般見て間違いないよな？と思い、自分と全く同じ生年月日の有名人を探してどれだけ頑張ってる人なのか見てみようと思ったんですが…。見つかったのはスキーの選手である葛西紀明さんでした。
いや、めちゃめちゃ頑張ってる人だな！
「もう年だから」という言い訳はしないことにしました。さて、今日も本題に入って参りましょう。
エアギャップバックアップの最新動向と戦略的連携
ここでは、最新の動向と、他の技術との連係について語っていきたいと思います。ざっくりと言ってしまうと防御にはたくさんの手段を使った方が間違いがないものですので、十分に見ていきましょう。
イミュータブル (不変) ストレージとの連携：相乗効果とクラウドでの実装
現代のデータ保護戦略において、エアギャップバックアップはイミュータブル（不変）ストレージとの連携によって、その防御力を飛躍的に高めています。
イミュータブルストレージの定義と仕組み
イミュータブル（不変）バックアップとは、一度書き込まれたデータが、 指定された保存期間中は変更、上書き、削除できないことを保証するバックアップ形式です。これはWORM（Write Once Read Many）とも呼ばれ、管理者権限を持つユーザーであってもテータを消去または変更できない仕組みです。この不変性は、オブジェクトロックなどのストレージレベルのテクノロジーによって実現され、多くのAmazon S3互換のクラウドストレージプラットフォームで利用可能です。
エアギャップとの相乗効果
イミュータブルストレージは、エアギャップ戦略を強力に補完し、相乗効果を発揮します。ランサムウェア対策として、WORM/不変ストレージとエアギャップを導入してバックアップデータを保護することが推奨されています。論理的エアギャップがアクセス経路を制限する一方で、イミュータブルストレージはデータそのものの改ざんを防ぎます。これは、たとえ攻撃者がアクセス権限を奪取したとしても、バックアップデーダ自体を変更したり削除したりすることを不可能にし、バックアップデータの安全性を確保します。
エアギャップが「分離」（物理的または論理的）を提供する一方で、イミュータビリティは最も深いレベルでの「データの整合性」を保証します。論理的エアギャップはアクセスを制限しますが、イミュータビリティは、たとえアクセスが許可されたとしても（例えば、認証情報の侵害を通じて）データ上自体を変更または削除できないようにします。これは、人的エラーや内部脅威といった脆弱性を考慮すると極めて重要です。この組み合わせは、データ保護に対する「ベルトとサスペンダー」のアプローチを表しており、エアギャップが主要な障壁として機能する一方で、イミュータビリティはデータ
破損に対する究極のセーフガードとして機能し、バックアップを真に信頼できる最後の防御線にします。この相乗効果は、高度なデータ保護戦略における主要な動向です。
クラウドでの実装と利点
イミュータブルバックアップは、クラウド環境でS3 Object LockやAzure Blob
Immutable Storageなどのサービスと連携して実現されます。これにより、物理的なリムーバブルメディアの利点を、それに伴う運用上の問題なしに活用できます。自動化された保持ポリシーにより手動プロセスが不要となり、人的エラーのリスクを低減します。また、アクティブな環境に保存された変更不可のバックアップにより、より迅速なテータ復元が可能となり、ダウンタイムや中断を最小限に抑えることができます。Cohesity、Barracuda、Veeam、Rubrik、Dell EMC、Commvautなど、多くの主要ベンダーがイミュータブルバックアップとエアギャップの組み合わせを提供し、クラウド連
携を強化しています。
クラウドはもはや利便性やコスト削減のためだけでなく、バックアップのための高度なサイバーセキュリティ戦略の重要な構成要素になりつつあります。クラウドプロバイダが提供するネイティブのイミュータビリティ機能と論理的エアギャップを作成する能力は、堅牢なデータ保護を実現するためのスケーラブルで地理的に分散された、多くの場合より費用対効果の高い方法を提供し、オンプレミスの物理的エアギャップの限界を超えています。これは、ハイブリッドおよびマルチクラウドバックアップ戦略への強いトレンドを示しています。
「3-2-1-1-0」バックアップルールとエアギャップ
データ保護の基本ポリシーとして、アメリカの国土安全保障省が公表したガイドラインにも記載されている「3-2-1ルール」があります。これは、 保護したいデータを3箇所に保持し、2つの異なる形態のデバイスにバックアップを保存し、バックアップの1つはオフサイトに保存するという構成です。
現代のサイバー脅威に対応するため、このルールはさらに進化し「3-2-1-1-0」アプローチが広く推奨されています。この進化は、バックアップ戦略の根本的な変化を示しています。従来の3-2-1は冗長性と地理的分散に重点を置いていましたが、追加された「1」（イミュータブル/エアギャップ）は悪意ある攻撃に対する「セキュリティと整合性」を強調し、最後の「0」（エラーゼロ/検証済み）は「復旧可能性と信頼性」 を強調しています。これは、単にコピーを持つだけでなく、そのコピーが「利用可能」で「侵害されていない」ことを保証することへと焦点を移しています。
「3-2-1-1-0」バックアップルールの構成要素
3（データの3重コピー）：プライマリデバイス上の元のデータ に加え、少なくとも2つのバックアップコピーを作成します。これにより、冗長性を確保し、単一障害点のリスクを軽減します。
2（2種類の異なるメディアに保存）：データのコピーを少なくとも2つの異なるタイプのストレージメディア（例：PC、外付けHDD、USBメモリ、DVD、NAS、クラウドストレージデバイスなど）に保存します）これにより、メディアの障害や特定の攻撃に対する耐性を高めます。例えば、ローカルのバックアップデバイスとクラウドストレージの組み合わせが考えられます。
1（1つのコピーはオフサイトで保管）：データのコピーの1つを、物理的に異なる場所（オフサイト）またはクラウドに保存します。これにより、サイト固有の災害（火災、洪水など）からデータを保護し、最悪のシナリオでも重要なデータにアクセスできる状態を維持します。
追加の1（1つのコピーはイミュータブルまたはエアギャップで保管）：データの1つのコピーを不変（変更または削除不可）またはエアギャップ（ネットワークから切断）で用意することで、保護の層をさらに追加します。これにより、ランサムウェアやマルウェアが侵入できないようにセキュリティが強化され、バックアップテータが改ざんされるリスクを最小限に抑えます。
追加の0（バックアップ検証後のエラーは0回）：バックアップにエラーがないことを保証するために、定期的に検証を行うことを意味します。バックアップシステムが意図したとおりに機能し、緊急時に迅速にデータを復元できることを定期的に確認するテストが不可欠です。リアルタイム検証ツールや自動テスト機能により、バックアップの整合性を評価し、エラーがないことを保証します。
このルールは、ランサムウェアの脅威に対する業界の対応を反映しています。単にバックアップがあるだけでは不十分であり、それらが 「安全に隔離され」（エアギャップ）また「改ざん防止され」（イミュータブル）、そして「機能することが証明されている」（検証済み）必要があります。これは、自動テスト、異常検知、および堅牢な復旧訓練が、もはやオプションではなく標準的な慣行として必要とされていることを意味します。この戦略は、エアギャップを補完し、多様で検証済みのバックアップ万法の重要性を強調することで、あらゆる形態のデータ損失や攻撃から迅速に事業を復旧できるようにします。データが安全に保存され、変更不可能で、回復可能であることを保証することで、堅定なデータ保護対策を講じ、規制要件を満たすのに役立ちます。
（クリックで拡大）
この表は、広く受け入れられている業界のベストプラクティスである「3-2-1-1-0」ルールを明確に提示することで、組織がバックアップ戦略を評価し、改善するための具体的なチェックリストを提供します。イミュータビリティやエアギャップといった重要な概念を、確立されたより広範なフレームワークに体系的に統合し、それらが包括的なデータ保護計画にどのように適合するかを示します。 多くの規制フレームワークは堅牢なデータ保護を要求しており、このようなルールへの準拠はデューデリジェンスを示すことにも繋がります。
ゼロトラストアーキテクチャとの統合
エアギャップバックアップは、現代のサイバーセキュリティ戦略の基盤であるゼロトラストアーキテクチャとも深く統合されています。ゼロトラストは「決して信頼せず、常に検証する」という原則に基づき、ユーザーの身元、場所、デバイス、ワークロード、データなどの利用可能な情報を使用して、常に認証と承認を行うことに重点を置きます。このモデルは、侵害が発生することを前提に運用され、検出、対応、迅速な復元を優先して、セキュリティ侵害の影響とその後の影響範囲を最小限に抑えることを目指します。
ゼロトラストのデータレジリエンスの主要原則には、以下の要素が含まれます。
バックアップソフトウェアとバックアップストレージを分離し、セグメンテーションとエアギャップを採用すること。
イミュータブルで暗号化されたバックアップストレージを使用すること。
複数のレジリエンスゾーンを確立すること。
バックアップシステムへの統合において、Rubrikのゼロトラストデータ管理は、アクセス制御が適用された書き換え不可のバックアップを物理的に完全隔離（エアギャップ）することで、企業データをサイバー攻撃から確実に保護します。論理的な隔離環境で攻撃者によるバックアップの要出を防止し、append-only（データに追加のみが可能で、既存のデータを変更できないこと）のファイルシステムでバックアップデータを暗号化できないようにします。グローバルに適用される多要素認証により、権限のないユーザーのアクセスを排除し、ロールベースアクセス制御（RBAC…組織内のユーザーの役割に基づいて、システムやリソースへのアクセス権を管理するセキュリティモデル）と多要素認証（MFA…IDやパスワードといった「知識情報」に加えて「所持情報」や「生体情報」など、2つ以上の異なる要素を組み合わせて本人確認を行う認証方式）を組み合わせることで、アクセスを厳格化します。
エアギャップとイミュータビリティは単独のソリューションではなく、より広範なゼロトラストアーキテクチャの不可欠な構成要素です。ゼロトラストの 「侵害を想定する」原則は、攻撃者が最終的にネットワークの一部にアクセスする可能性を前提としているため、隅離された（エアギャップ）かつ変更不可能な（イミュータブル）バックアップの必要性に直接繋がります。 したがって、焦点は「侵入の防止」から 「影響の最小化と迅速な復旧の保証」へと移行しています。組織は、エアギャップとイミュータビリティを孤立した技術的実装としてではなく、ゼロトラストデータレジリエンス戦略の重要なイネーブラーとして捉えるべきです。これは、これらのバックアップ機能を、堅牢なIDおよびアクセス管理（MFA、RBAC）、継続的な監視、およびITランドスケーブ全体にわたる自動応答機能と統合する必要があることを意味します。これは、境界防御からデータ中心のセキュリティへの戦略的転換です。
今日はここまでと致します
本題に入ってちょっと長くなりましたが、今日はここまでと致します。ここまでお読みいただいただけでも、データの冗長化、リダンダンシーとも言いますが、それを実現するに当たって、クラウドなどと並んで物理的に確かに存在する記録媒体にバックアップを取っておき、それを遠隔地に置いておくという選択肢が浮上してくることはおわかりいただけたのではないかと思います。
と申しますより、3-2-1ルールや3-2-1-1-0ルールを実現するに当たり、異なるメディアに保存すること、オフサイトで保存することなどを実現しようと思ったら、遠隔地にデータセンターを設けてそこに静的に保存しておくことというのは必然的に選ばざるをえない選択肢だということになるのではないでしょうか。参照した資料に書いてありましたので一応USBメモリとかDVDなんかも選択肢に加えておきましたが、実際問題としてある程度の組織になってくるとバックアップしておかなければいけないデータをUSBメモリやDVDにすべて保存できるかというとそれは難しいはずです。
度々申し上げておりますとおり、今日日のサイバー攻撃者は当たれば大きい大企業を直接攻撃するのではなく、比較的簡単に狙えて、しかも当たったら大企業の操業を止めることができるという理由でしょうか、サプライチェーン上にある中小企業を狙うことが多くなっています。
そしてまたこれも度々申し上げておりますが、中小企業様においてはセキュリティに専任の要員を用意することは難しいことが予測されますし、遠隔地にデータセンターを用意することはなおのこと難しいでしょう。
中小企業で情報を扱っていらっしゃる皆様方にとって、その「セキュリティ専任の要員」という役割や「遠隔地にあるデータセンター」の外注先でありたいと弊社は考えております。少なくとも大企業並みの充実したセキュリティ環境や熟練したセキュリティ専門要員をご用意いただくよりは、低価格でしかも確実に同等のセキュリティ環境を実現していただけると自負しております。
弊社では極力「自動化」は避けております。もうこれも何回も申し上げているとおりなのですが、やはりコンピュータ任せの自動化というのは「融通が利かない」部分があります。イレギュラーな事態への対応というのはコンピュータが最も不得意とするところでしょう。弊社では極力セキュリティ関係に必要なデータやメディアの操作は手作業で行うこととしておりまして、従いましていま現在では想像もつかないような「こんなこともあるんだなあ」というような事態にも対応できるようにすることを目指しております。具体的にそれがどういう形で目の前に現れるのかは想像ができないからこその「イレギュラーな事態」なので、例示することは難しいのですが。
是非一度、ご相談だけでも承りたいと考えております。ご相談は無料で承っておりますので、電話やこの記事下のフォームからご連絡ください。
というわけで長くなってもやっぱりやります
AIの限界を探る、Geminiさんに絵を描いてもらうシリーズですが、やっぱりやってから終わりたいと思います。前回はこんな絵を描いてもらったのでした。
今回Geminiさんにお願いしたのは「伊達政宗の絵を描いて？」でした。刀は2本あるのに鞘はひとつしかないとかいろいろ突っ込みどころはあるのですが、伊達政宗の絵を描くなら絶対押さえなければならない「隻眼」という事実が反映されていません。AIってやっぱりこの程度なんですよね。
ちなみに私は仙台には1泊2日だけですが行ったことがあります。山形新幹線の開業間もない頃、1回乗ってみたいということと、三陸海岸名物のホヤで飲みたいということが主な理由でした。山形新幹線というのは、初のミニ新幹線でしたのでリスクヘッジをしたんだと思うんですが、福島から山形までの線路と山形新幹線車両はJR所有ではなく山形県などが出資して作られた第3セクターの会社の所有に移され、営業を開始しました。400系新幹線というのはかなりかっこいい車両でしたし試験走行レベルでは世界最速の電車にもなった車両だったんですが、早々に廃棄されてしまったのはミニ新幹線もビジネスとして成り立つという証明ができたからでしょうね。2代目山形新幹線のE3系というのは秋田新幹線で使っていた車両を改造して使い回したものでしたので、E8系というのはJR東日本が製造し所有し運用する初めての山形新幹線用車両なのですが、何かトラブルが相次いでいるそうで。
山形に着いたら仙山線で山寺まで行きました。いろいろ感想はありますが、人生で一番たくさんこんにゃくを食べた1日だったと思います。そして仙台で友人の紹介で知った店に行ったんですが、天然物の新鮮なホヤとその他いろいろな海産物で飲んだお酒は最高でした。東北地方好きなんですが、なかなか行く機会がありません。
では今回の画像をご覧ください。
今回は、これまでの中でもかなり難問ということになると思います。ヒントに行きましょうか。
文学者です
評価され始めたのは比較的最近です
仙崎駅…（←大ヒント！）
では、また次回にお目にかかりましょう。
今後ともよろしくお願いいたします。
なお、弊社の業務をご紹介するちゃんとしたWebサイトは現在鋭意作成作業中です。今しばらくお待ちください。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
大企業における物理的媒体による遠隔地バックアップの重要性 その3
