ランサムウェア対策とバックアップ｜復元テスト・感染時の復旧手順

ランサムウェアに感染すると、業務データやバックアップが暗号化され、システムを利用できなくなることがあります。

予防策を整えていても感染を完全には防げないため、安全なバックアップと、実際に戻せることを確かめる復元テストが欠かせません。

この記事では、バックアップの設計、復元テスト、感染時の復旧手順、業務再開の判断方法をご紹介します。

セキュリティー診断さん

ランサムウェア？ 聞いたことはあるけど…うちのサイトは大丈夫でしょ！

ランサムウェアと復旧で注意すること

ランサムウェアは、端末やサーバーのデータを暗号化し、復元と引き換えに金銭を要求するマルウェアです。

攻撃者へ支払っても復号できる保証はなく、バックアップが同じネットワークに接続されたままだと、業務データと一緒に暗号化される場合があります。

復旧では、感染していない復元ポイントを選び、クリーンな環境へ戻した後に安全性と業務動作を確認する必要があります。

被害事例から分かる復旧の課題

医療機関や通販サイトなどでランサムウェア被害が起きると、データを開けないだけでなく、診療や受注などの業務そのものが停止します。

復旧に使えるバックアップがない、復元に必要な時間が分からない、感染前の安全な世代を選べない状態では、業務再開までの判断が遅れます。

身代金を支払ってもデータが戻る保証はありません。

事業を継続するには、バックアップを攻撃から分離し、平常時に復元手順を試しておくことが重要です。

セキュリティー診断さん

お金を払ってもデータが戻らないことがあるの！ ？ 怖すぎる…！

被害を確認した直後の連絡・証拠保全などは、ランサムウェア被害時のセキュリティインシデント対応手順も参考にしてください。

感染を防ぐ基本対策

メールの添付ファイルやリンクは送信元と内容を確認し、不審な場合は開かずに社内窓口へ報告します。

OS、ソフトウェア、VPN機器などは、修正プログラムの適用期限と担当者を決めて更新してください。

セキュリティソフトは導入するだけでなく、定義・検知機能の更新、アラートの確認、隔離動作のテストまで行います。

これらの対策とバックアップを組み合わせ、感染を防ぐ対策と感染後に戻す準備の両方を整えましょう。

ランサムウェアに備えるバックアップ設計

バックアップは、保存していることではなく、必要な業務を期限内に復元できることが重要です。

ランサムウェア対策では、3-2-1ルールに隔離と復元テストを加えた「3-2-1-1-0」を基準にします。

例えば、本番データを社内NASと別アカウントのクラウドへ保存し、クラウド側を書き換え不能にします。

定期的な復元テストでエラーがないことまで確認すれば、コピー数だけでなく実際に戻せる状態を保てます。

対象データ、暗号鍵の保管場所、バックアップ監視・復元・業務再開承認の担当者と代理者も決めておきます。

復旧順とRPO・RTOを業務から決める

RPOとは「どの時点までデータを戻せれば業務上許容できるか」、RTOとは「停止後、何時間以内に業務を再開する必要があるか」を示す目標です。

次の順で、業務の優先順位を実際の復元作業へ落とし込みます。

1. 止められない業務を洗い出す
2. その業務に必要なシステムとデータを確認する
3. 認証基盤やデータベースなどの依存関係を整理する
4. 依存関係を踏まえて復旧順を決める
5. 業務ごとのRPO・RTOと担当者を決める

受注業務が最優先でも、受注システムが利用する認証基盤やデータベースを先に戻す必要があります。

このため、業務の優先順位と、システムを実際に復元する順番は同じとは限りません。

例えばRPOが24時間なら、最大1日分の更新が失われる可能性を業務側が許容できるか確認します。

RTOが8時間なら、依存システムの復元、検証、承認までを8時間以内に終えられる構成と手順が必要です。

復元テストを6つの工程で行う

1. 対象を選ぶ：重要データだけでなく、設定や依存サービスも含めてテスト範囲を決める
2. 隔離環境へ復元する：本番ネットワークへ接続せず、攻撃の再発を防げる環境で戻す
3. 完全性を確認する：ファイル数、ハッシュ、データベース整合性を確認し、欠損・改ざんがないか調べる
4. 業務動作を確認する：ログイン、検索、受注、帳票など、再開に必要な操作を業務担当者が試す
5. 所要時間を測る：復元開始から検証・承認までを測定し、RTO内に収まるか確認する
6. 結果を記録する：使用した世代、担当者、結果、不備、修正期限、再テスト日を残す

テスト頻度はシステムの重要度と変更頻度に応じて決め、重要システムは少なくとも年次に加え、大きな構成変更後にも実施します。

復元成功の条件は、データが開けることだけではありません。

マルウェアや不正なアカウントが残っておらず、必要な業務操作が正常に行え、RPO・RTOを満たすことまで確認します。

セキュリティー診断さん

バックアップってただコピーするだけじゃなくて、ちゃんと戻せるか試しておくのが大事なんだね！ やってみるよ！

感染時の復旧手順

感染が疑われる端末をそのまま本番環境へ戻すと、再感染や被害拡大につながります。

最初に感染端末やサーバーをネットワークから切り離し、バックアップへの接続を止めます。

本番復元へ進む前の合格条件

本番環境へ復元する前に、次の条件をすべて満たしているか確認します。

全条件に合格した場合のみ、本番復元へ進みます。

未合格の項目があれば、より古いバックアップ世代を選ぶか、影響範囲や侵入経路の調査を継続します。

合格後の復元と業務再開

1. 事前に決めた復旧順に従う：依存関係を踏まえ、認証基盤、データベース、業務システム、データを戻す
2. 復元内容を検証する：再スキャン、ログ確認、整合性確認、主要業務の操作テストを行う
3. 業務再開を承認する：技術担当と業務責任者が、復元成功条件と残るリスクを確認して再開を承認する

作業者、開始・終了時刻、使用したバックアップ世代、検証結果を記録し、次回の復元テストへ反映します。

Webサイトの侵入経路や弱点を確認する場合は、『セキュリティー診断さん』で診断範囲と料金を確認できます。

セキュリティー診断さん

へぇ、見積もりがいらないんだ！ これなら上司にも申し込みの相談がしやすいね！

バックアップは復元と業務再開まで確認しよう

ランサムウェア対策では、メール確認、更新、セキュリティソフトに加え、本番から隔離した複数世代のバックアップが必要です。

RPO・RTOを決め、隔離環境への復元、完全性確認、業務動作確認、所要時間測定、結果記録までを定期的にテストしてください。

感染時は、隔離、影響範囲確認、クリーン環境の準備、安全な復元ポイントの選定、復元、検証、業務再開承認の順で進めます。

『セキュリティー診断さん』では、Webサイトに残る侵入リスクを確認し、復旧計画とあわせて対策を進められます。

セキュリティー診断さん

ヨシ！ まずはうちのサイトが安全か、診断してもらうことから始めるよ！ (๑•̀ㅂ•́)و✧ これで安心して仕事できるね！