【止まることは失敗ではない_第2回】Cyber Recovery時代のバックアップ設計──WORM・イミュータブル・BCPが変える企業インフラ

前回は、ニチレイの事例から「止める勇気」と「戻れる準備」の重要性についてお話ししました。今回は、その「戻れる準備」を支える技術について掘り下げます。

近年、ランサムウェア対策は「バックアップを取る」時代から、「攻撃されることを前提に、いかに復旧するか」を考える Cyber Recovery の時代へと変わりつつあります。ニチレイは2026年7月13日の検知後すぐにシステムを遮断し、安全性が確認されたバックアップデータを用いて段階的に復旧を進め、7月24日には全拠点で通常稼働に復帰しました。約10日間での復旧は、平常時の設計・運用・訓練が、復旧速度を左右することを示した事例と言えるでしょう。

WORMとイミュータブルは「最後の砦」

ランサムウェアは、本番サーバーだけではなく、バックアップまで破壊しようとします。そのため近年、注目されているのが WORM（Write Once Read Many）とイミュータブルバックアップ です。

WORMとは、一度保存したデータを一定期間、書き換えも削除もできなくする技術です。たとえ管理者権限を奪われても、保護期間中のデータは変更できません。イミュータブルバックアップも同じ考え方で、バックアップデータを「変更できない状態」で保存します。近年ではクラウドのオブジェクトストレージでも Object Lock 機能を利用し、イミュータブルを実現できるようになりました。

つまり、「バックアップサーバーが侵害されても、最後のコピーだけは守る」という設計です。ランサムウェア時代において、この「最後の砦」は欠かせない存在になっています。

イミュータブルだけでは復旧できない

ここは誤解されやすい点です。イミュータブルバックアップがあるだけでは、システムは復旧しません。

実際のサイバー攻撃では、本番サーバーだけでなく、Active Directory、DNS、VMware vCenterやHyper-Vなどの仮想基盤や管理プレーン、バックアップサーバー、ストレージまで同時に攻撃されるケースが珍しくありません。そのため現在では、「バックアップを守る」だけではなく、「バックアップ環境そのものを本番環境から独立させる」という設計が重視されています。

例えば、

• バックアップ専用ネットワークの分離

• 本番とは別の認証基盤（Active Directoryの分離）

• 管理者アカウントの分離

• フィッシング耐性のあるMFA（Phishing-resistant MFA）の必須化と適用範囲の徹底

• オフライン保管

といった多層的な対策です。万が一、本番環境の管理者権限が奪われても、バックアップ環境だけは守る。この考え方こそが、現在のサイバーレジリエンスの基本設計になっています。

「MFAを入れているから安心」の罠
注意したいのは、単に「MFAを導入している」だけでは攻撃を防ぎきれなくなっている点です。ソフォスの調査（ランサムウェアの現状2026年版）によると、認証情報の漏えいが原因となったインシデントの実に97%において、何らかの形でMFAが導入されていたとされています。 一部のアカウントでの未適用、レガシー認証（Legacy Authentication）の残存、あるいはMFA疲弊攻撃やフィッシングによるセッションハイジャックなど、「適用範囲の穴」や「方式の弱点」を突かれているのが実態です。全アカウントでのMFA徹底はもちろん、休眠・サービスアカウントの棚卸しや、管理者へのFIDO2等を用いたフィッシング耐性MFAの導入など、ID管理の「質」を高めることが不可欠になっています。

もう一つ厄介なのが、ランサムウェアの「潜伏期間（Dwell Time）」です。攻撃者は侵入してすぐに暗号化するわけではなく、数週間から数ヶ月前から潜伏し、バックアップデータの中にもマルウェアを仕込んでいるケースが多々あります。イミュータブルで保護されたバックアップを復元しても、そこにマルウェアが混入していれば本番環境で再発火してしまいます。

本番環境へ戻す前に、完全に隔離された安全な環境（IRE：Isolated Recovery Environment。近年では「Clean Room」と呼ばれることもあります）でリストアし、マルウェア検査やふるまい検知を行ってから本番へ戻す――こうしたアプローチが、Cyber Recoveryの標準になりつつあります。

ニチレイのケースでは、公式に具体的なバックアップ方式は明らかにされていませんが、報道では「安全が確認されたバックアップデータからの復旧に成功した」と伝えられています。イミュータブルバックアップや隔離設計が実際に採用されていたかどうかは公表されていません。しかし、「安全性を確認したバックアップから復旧した」という事実は、バックアップを保護し、適切な復旧手順を整備しておくことの重要性を示しています。

バックアップ設計のベストプラクティス「3-2-1-1-0ルール」

最近では、バックアップ設計のベストプラクティスとして 3-2-1-1-0ルール が広く知られるようになっています。

これは、

・データを3つ保持する
・2種類の異なるメディアへ保存する
・1つは別拠点（オフサイト）へ保管する
・さらに1つはイミュータブルまたはオフラインで保護する
・復旧テストでエラー0件を確認する

という考え方です。

特に最後の「0」が重要です。バックアップは保存しただけでは意味がありません。実際に復元し、問題なく戻ることを確認して初めて、バックアップは完成します。これは前回お伝えした「RestoreはBackupより難しい」という考え方そのものでもあります。

DRとCyber Recoveryは似ているようで違う

「DRサイトがあるから安心」と考える方も少なくありません。しかし、DR（Disaster Recovery）は本来、地震や火災などの災害対策として発展してきた考え方です。一方、Cyber Recoveryは「攻撃されること」を前提にしています。

例えば、リアルタイムレプリケーションだけでDRサイトを構築している場合、本番データが暗号化されると、その暗号化データまでDRサイトへ複製されてしまう可能性があります。つまり、本番もDRも同時に被害を受けるのです。だからこそ、世代管理やイミュータブルバックアップが必要になります。

この考え方を具体化したものが、Cyber Recovery Vault（隔離された保管領域）や論理的エアギャップといった設計です。

これからの企業インフラでは、「災害から守るDR」と「サイバー攻撃から復旧するCyber Recovery」の両方を考慮した設計が求められる時代になっています。

BCPは「デジタルが止まる前提」で考える

今回のニチレイの事例で興味深いのは、システムの復旧だけではなく、事業を継続するためのBCPが機能していた点です。BCPでは、「デジタルが止まること」を前提とした縮退運用が重要になります。

例えば、

・紙の伝票やFAX、電話による受発注手順を整備する
・出荷指示や在庫確認を手作業で行う手順を文書化する
・非常時の連絡フォーマットを準備しておく
・ITを使わずに一日業務を回す訓練を定期的に行う
・主要取引先と制限付き運用を事前に合意しておく

といった備えです。

実際、ニチレイは7月17日から受発注を一部制限したうえで部分稼働を開始し、段階的に通常稼働へ移行しました。すべてを一度に戻そうとするのではなく、「事業継続に必要な機能から優先的に戻す」。この段階的な再開の判断こそが、影響を最小限に抑え、サイバーレジリエンスの本質を体現していたと言えます。

サイバー攻撃では、「システムを止める」という判断が必要になることがあります。そのとき、こうした縮退運用が整備されていれば、システムは止まっても事業まで止めずに済む可能性が高まります。サイバーレジリエンスとは、システムを守る技術だけではありません。

「デジタルが止まっても事業は止めない」。その状態を実現するための設計思想こそが、本当のBCPなのだと私は考えています。

今回の報道では、ニチレイがネットワーク遮断後、現場では紙の伝票や手作業による在庫確認・検品へ切り替え、優先順位を付けながら物流を継続していたことも紹介されています。

Cyber RecoveryはITだけの話ではありません。ITが止まったあと、現場がどう事業を継続するかまで含めて設計することが、本来のBCPです。

ニチレイの事例は、「システムの復旧」と「事業の継続」は別の設計課題であり、その両方を同時に考えることがCyber Recoveryの本質であることを示していました。

Restore訓練こそ最大の投資

私は企業が本当に投資すべきなのは、バックアップソフトそのものではなく、Restore訓練ではないかと考えています。実際にシステムを戻してみる。RTO（目標復旧時間）内に復旧できるかを測定する。RPO（目標復旧時点）どおりのデータが戻るか確認する。

さらに、

• Active Directoryからどの順番で復旧するのか

• DNSはいつ立ち上げるのか

• 仮想基盤をどう復旧するのか

• アプリケーションとの整合性は保てるのか

ここまで検証して初めて、「復旧できるシステム」と言えます。

特に現場の最大の壁となるのが「Active Directory（AD）のパラドックス」です。Active Directoryの認証がなければ、多くの管理ツールやシステムへアクセスできません。しかし、そのActive Directory自体も、仮想基盤やネットワークが復旧していなければ起動できません。

つまり、Cyber Recoveryでは、データを戻すだけではなく、「ID基盤をどう復旧するか」という Identity Recovery の考え方も重要になります。 いわば「鶏と卵」の関係です。この状態をどう解きほぐし、どのドメインコントローラーからクリーンな状態でADを再構築（AD Forest Recovery）するのか。この手順が確立されていなければ、データがどれほど完璧でも復旧は頓挫します。

復旧を始める前の「ID封じ込め（Session Revoke）」
また、ADを再構築するなどの復旧プロセス（Identity Recovery）に進む前段階として、インシデント発生直後の「初動におけるIDの封じ込め」も極めて重要です。システムやネットワークを切り離す「止める決断」と同時に、CSIRTや情シスは「アクティブセッションの一括破棄（Session Revoke）」「全認証情報のリセット」「不審な新規MFAデバイス登録の監査・削除」を即座に行う手順を整えておく必要があります。攻撃者に奪われたIDや確立されたセッションが生きたままでは、どれほど安全にデータをリストアしても、ネットワークを繋ぎ直した瞬間に再侵入を許してしまうからです。ID基盤を初期化・クリーン化して初めて、安全なRestoreのスタートラインに立てるのです。

Active Directoryは、単なる認証サーバーではありません。企業全体の「身分証明書」を管理する基盤です。近年では、Microsoftをはじめとする各社も、Identityを最優先で保護・復旧する考え方を重視しています。サーバーやデータは後からでも戻せます。しかし、信頼できるIdentityがなければ、安全な復旧は始められません。

Cyber Recoveryとは、「信頼できるIdentityを取り戻すこと」から始まるのです。だからこそ、本来評価されるべきなのは、バックアップ成功率ではなく、復旧成功率（Restore Success Rate）なのだと私は考えています。

AIは復旧を支援できます。しかし、最終的に「安全に戻してよい」と判断し、その責任を負うのは、今も現場の技術者であり、日頃から復旧手順を整備してきた組織です。

小規模企業でもできること

「ここまでやるのは大企業だけでは」と思われるかもしれません。しかし、小規模企業でも取り組めることは数多くあります。

例えば、クラウドストレージのObject Lock機能を利用したイミュータブルバックアップ、3-2-1-1-0ルールを意識したデータ保管、MFAの徹底、バックアップ管理者アカウントの分離、定期的なRestoreテストなどは、比較的少ない投資でも実現できます。また、紙の伝票や電話による縮退運用を整備しておくことも、立派なサイバーレジリエンスへの投資です。

重要なのは、高価な製品を導入することではありません。「自社が止まったらどう戻すか」を、平常時から考え続けることなのです。

本記事のまとめ

• WORM・イミュータブルは最後の砦だが、環境の分離・IRE・訓練がなければ復旧できない

• Active Directoryの復旧順序まで含めた復旧設計が必要である

• 3-2-1-1-0ルールの「0」（エラーゼロの復旧テスト）が本質である

• DRとCyber Recoveryは目的が異なり、両方を設計に織り込む必要がある

• BCPでは、「Minimum Viable Company」の考え方で、最低限維持すべき事業を平常時から決めておくことが重要

• ニチレイの約10日間での復旧は、平常時の準備が結果を左右することを示した

• 小規模企業でもObject LockやRestoreテストなど、今日から始められる対策は多い

おわりに

バックアップは、もはや単なるデータ保護の仕組みではありません。企業が事業を継続するためのインフラであり、最後の保険であり、そしてCyber Recoveryを実現するための基盤でもあります。

ランサムウェア時代に求められるのは、「攻撃を受けないシステム」を目指すことではありません。攻撃を受けても、安全に止まり、安全に戻り、事業を再開できるシステムを設計することです。ニチレイが示した約10日間での復旧は、その可能性を現実のものとして示しました。

そのためには、WORMやイミュータブルといった技術だけでなく、Restore訓練、BCP、縮退運用まで含めたトータルな設計思想が欠かせません。これからの企業インフラは、「止まらないこと」を競う時代から、「止まっても戻れること」を競う時代へと変わっていくのではないでしょうか。

企業のレジリエンスは、障害発生時ではなく、平常時の設計・運用、そして復旧訓練の積み重ねによって決まるのです。

今回のニチレイの復旧は、「偶然うまくいった」のではありません。バックアップ、DR、BCP、現場の縮退運用、そして復旧訓練という複数の仕組みが重なり合って初めて実現した結果でした。Cyber Recoveryとは、まさに「安全に止まり、安全に戻る」ための設計思想なのです。

Sakak

#サイバーセキュリティ #ランサムウェア #CyberRecovery #バックアップ #Restore #イミュータブルバックアップ #WORM #ObjectLock #BCP #DR #サイバーレジリエンス #ActiveDirectory #MFA #情シス #ITインフラ #システム運用 #障害対応 #note