ランサムウェア被害における「BCP（事業継続計画）」とデータのバックアップ設計

背景と概要

ランサムウェア攻撃によって基幹システムや生産管理システムが突然暗号化され、工場や病院、配送システムが長期間停止する事態が相次いでいます。攻撃者はシステムを破壊するだけでなく、事業活動を人質に取って巨額の身代金を要求するため、企業にとっては経営の存続を脅かす「事業継続リスク」そのものとなります。

このような事態に備え、単に「データを保存する」という従来のバックアップから、サイバー攻撃を受けても確実に復旧できる「不変（イミュータブル）バックアップ」と実効性のある「IT-BCP」の構築が求められています。

従来のバックアップ設計が抱える弱点と攻撃手口

攻撃者はシステムを暗号化する「前」に、企業が復旧に使おうとするバックアップデータを優先的に破壊・無効化します。

1. バックアップサーバーへの優先侵入

攻撃者は内部網に侵入すると、まずドメイン管理者権限（Domain Admin）などを取得し、ネットワーク上につながっているバックアップ管理ツール（Veeam等）へアクセスしてバックアップジョブを削除したり、バックアップファイルを直接暗号化・消去します。

2. オンラインスナップショットの全削除

クラウド上の仮想マシンやストレージのスナップショット機能に対しても、取得したクラウド管理者権限を使ってスクリプトで一括削除を行います。

3. 休眠潜伏による「汚染済みデータ」のバックアップ

攻撃者が数ヶ月前から潜伏し、マルウェアが仕込まれた状態のシステム全体を繰り返しバックアップさせることで、いざ復旧しようとしても「マルウェア感染済みの過去データ」しか残っていない状況を作り出します。

防衛の要：「3-2-1-1-0ルール」とイミュータブルストレージ

ランサムウェアに屈しないバックアップ構造として、従来の「3-2-1ルール」を発展させたアプローチが提唱されています。

3： 3つのデータコピー（オリジナル1つ＋バックアップ2つ）を保持する。

2： 2つの異なる記録メディア（例: ディスクとクラウド）に保存する。

1： 1つはオフサイト（遠隔地）に保管する。

1： 1つは「エアギャップ（物理的・論理的隔離）」または「イミュータブル（書き換え不能）ストレージ」にする。

0： 定期的な復旧テストを行い、復旧エラーが「0」であることを確認する。

実効性のあるIT-BCP構築に向けた検討事項

システム復旧手順だけでなく、「システムが動かない期間」の業務維持策が必要です。

1. WORM（Write Once Read Many）対応ストレージの導入

一度書き込んだデータを指定期間（例: 30日間）は管理者権限であっても変更・削除できないWORM機能を備えたストレージやクラウドオブジェクトロックを活用します。

2. 代替（手作業・アナログ）業務プロセスの明文化と訓練

システムが数週間使えないことを想定し、受注・出荷・会計などを手書きやエクセル等で一時的に代替する運用マニュアルを作成し、現場で訓練を実施します。