ランサムウェア対策とバックアップ｜復元テスト・感染時の復旧手順

ランサムウェア対策として、まずバックアップを思い浮かべる方は多いかもしれません。

バックアップを取っていても、受注や顧客対応に必要なデータを戻せなければ、すぐに事業を再開できるとは限りません。

だからこそ、自分たちで細かな復元操作まで覚えるより、まず「どの業務を優先して戻すか」「どれくらいの停止までなら耐えられるか」を決めておくことが大切です。

その内容を専門業者に伝え、実際にその条件で業務を戻せるか確認しておくと安心です。

この記事では、自分たちで決めておきたいことと、バックアップや復旧を担当する専門業者に確認しておきたいことをご紹介します。

セキュリティー診断さん

バックアップは取っているけど、本当に業務を再開できるのかな？ 何を決めておけばいいんだろう…。

ランサムウェア被害では「復旧」まで考えておこう

ランサムウェアとは、端末やサーバーのデータを暗号化し、元に戻すことと引き換えに金銭を要求するマルウェアです。

攻撃者にお金を支払っても、データを元に戻せる保証はありません。

さらに、同じネットワークにつながったバックアップまで暗号化されると、受注や請求、顧客対応といった日々の業務まで止まってしまいます。

業務再開が遅れる主な原因

ランサムウェア被害で経営上の大きな問題になるのは、データを開けなくなることだけではありません。

「重要な業務をいつ再開できるのか」がわからない状態が続くことも、大きな負担になります。

業務再開が遅れる主な原因は、次の4つです。

• 復旧に必要なデータや設定がバックアップに含まれていない
• 復元に必要な時間がわからない
• 感染前の安全なバックアップを選べない
• 復元の担当者と代理者が決まっていない

被害を確認した直後の連絡や証拠保全などについては、ランサムウェア被害時のセキュリティインシデント対応手順もあわせて確認してみましょう。

ランサムウェアに備えるバックアップの考え方

バックアップで大切なのは、保存方法の名前を覚えることではありません。

必要なデータが安全に残っていて、いざというときに決めた時間内に戻せるかを確認しておくことです。

保存先や暗号鍵といった技術的な設定は、インフラ管理会社やバックアップを担当する専門業者に確認してもらいましょう。

復旧順とRPO・RTOは業務を基準に決める

システムをどの順番で戻すかを考える前に、まず会社として次の3つを決めておきます。

1. 受注や顧客対応など、最優先で戻す業務
2. その業務を何時間・何日まで止められるか
3. 何時間・何日分のデータ損失まで許容できるか

許容できる停止時間はRTO、許容できるデータ損失の範囲はRPOと呼ばれます。

優先する業務と許容範囲を決めたら、その内容を専門業者に伝えましょう。

認証基盤やデータベースなど、どのシステムから先に戻す必要があるかを確認してもらえば、実際の復旧順も決めやすくなります。

復元テストでは6つの項目を確認する

復元テストで確認したいのは、バックアップが保存できているかだけではありません。

必要な業務を、実際に再開できる状態まで戻せるかを試すことが大切です。

1. 対象を決める：優先して戻す業務に必要なデータと設定を選ぶ
2. 隔離した環境へ戻す：本番へ影響しない場所で復元する
3. 必要なデータを確認する：データが欠けておらず、利用できる状態か専門業者が確認する
4. 主要業務を試す：ログイン、検索、受注、帳票などを業務担当者が操作する
5. 時間を測る：復元開始から業務確認までの時間を記録する
6. 不備を記録する：見つかった問題、修正する担当者、再テスト日を記録する

データが壊れていないか、マルウェアが残っていないかといった技術的な確認は、専門業者に任せることをおすすめします。

自社では、業務担当者が必要な操作を試し、決めた時間内に再開できるかを確認します。

セキュリティー診断さん

バックアップがあるかだけじゃなくて、受注や顧客対応まで戻せるか試すんだね！ 担当者と再テスト日も決めておくよ！

感染時の復旧手順

感染が疑われたら、まず端末やサーバーをネットワークから切り離し、バックアップへの接続も止めます。

安全性が確認できるまでは、バックアップを上書きしたり、本番環境へ戻したりせず、専門業者へ相談しましょう。

専門業者と確認する順序

復旧作業は専門業者と連携し、次の順序で進めます。

1. 感染した環境を切り離す
2. 専門業者が感染時期と影響範囲を調べる
3. 安全だと確認できたバックアップを選ぶ
4. 隔離した環境へ復元する
5. 専門業者が安全性を確認する
6. 業務担当者が必要な操作を試す
7. 技術担当者と業務責任者が再開を判断する

調査が終わる前に急いで業務を再開すると、再感染や被害の拡大につながるおそれがあります。

作業者、使用したバックアップ、復元にかかった時間、確認結果は記録に残し、次回の復元テストに活かしましょう。

感染を防ぐための対策も確認する

バックアップは、被害が起きたあとに業務を戻すための大切な備えです。

それとあわせて、不審なメールへの対応やソフトウェアの更新、認証情報の管理など、被害を起こりにくくする対策も確認しておきましょう。

外部公開しているWebサイトやWebアプリ、ECサイト、外部公開APIについては、攻撃のきっかけになる弱点が残っていないか調べることも大切です。

『セキュリティー診断さん』なら、AIが実際の攻撃で使われる手口を再現しながら、こうした外部公開部分の弱点を診断できます。

もちろん、Webサイトを壊したり被害を与えたりするものではなく、弱点を見つけるために行う安全なテストです。

見積もり不要で始められるため、「まずは自社サイトの状態を確認しておきたい」という場合にも利用しやすいでしょう。

社内PCや社内LAN、バックアップの構成などはインフラ管理会社などに相談し、Webサイトなどの外部公開部分は『セキュリティー診断さん』で確認するなど、対象に合わせて相談先を選びましょう。

バックアップは復元と業務再開まで確認しよう

ランサムウェアに備えるなら、バックアップを保存するだけでなく、必要な業務を決めた時間内に戻せるかまで確認しておくことが大切です。

優先する業務や許容できる停止時間を自社で決め、復元方法や復元テストは専門業者と一緒に確認しておけば、被害時にも復旧に向けて動きやすくなります。

さらに、バックアップとは別に、侵入のきっかけになり得るWebサイトなどの弱点を平時から確認しておくことも欠かせません。

外部公開部分の安全性が気になる場合は、AIでWebサイトなどの弱点を診断できる『セキュリティー診断さん』を、予防策の一つとして活用してみましょう。

被害が起きてから慌てないためにも、復元と予防の両方を今のうちに確認しておきましょう。

セキュリティー診断さん

優先する業務と止められる時間を決めて、バックアップの担当者に相談するよ！ 公開しているWebサイトに弱点がないかの診断も申し込んでみるよ！