TID技術コラム
侵入を前提としたランサムウェア対策
事業継続を支えるArcserveのイミュータブル（不変）ストレージ
この記事でわかること
セキュリティ対策において「ランサムウェアに感染しないこと」が最善であることは言うまでもありません。しかし、生成AIを悪用した巧妙な攻撃や未知の脆弱性が後を絶たない昨今、「100%侵入を防げる環境」を実現することは極めて困難になっています。
どれほど強固な防御対策を講じても、人為的なミスやシステムの脆弱性を突かれ、侵入を許してしまうリスクをゼロにすることはできません。こうした背景から、現在のセキュリティ対策では「侵入を防ぐこと」に加え、「侵入された後も事業を継続できること」が重視されています。万が一の事態に備え、迅速な復旧を可能にする回復力（サイバーレジリエンス）の確保が、企業に求められる重要な取り組みとなっています。
本記事では、こうした「予防の限界」を踏まえ、ランサムウェアによる被害から重要なデータを守るイミュータブル（不変）ストレージの仕組みと、その有効性について解説します。また、Arcserve製品を活用した実践的なデータ保護・事業継続対策についてもご紹介します。
- ランサムウェア対策が「侵入防止」から「事業継続」へ変化している理由（第1章・第2章）
- 攻撃者がバックアップを標的にする背景（第3章）
- イミュータブルストレージが注目される理由（第4章）
- Arcserve CRSによるサイバーレジリエンスの実現方法（第5章）
- BCPを見据えた現実的なセキュリティ投資の考え方（第6章・第7章）
「予防対策は講じているが、万が一侵入されたら業務はどうなるのか」という不安を抱える情報システム担当者や経営層に向けて、現実的な備えの考え方を整理します。
1. 防ぐ対策から、備える対策へ
企業にとって、ランサムウェアに感染しない状態を保つのは当然の目標です。ファイアウォールの多重化、エンドポイントでの検知（EDR）、従業員へのセキュリティ訓練など、日々の予防策は決して怠れません。
しかし、セキュリティの現場では今、ひとつの重要なパラダイムシフトが起きています。それは、「どれほど投資しても、侵入を完全にゼロに抑え込むことは不可能である」という現実を受け入れる姿勢です。
「火災を起こさない工夫」と「耐火金庫の配備」
この考え方は、建物の防災対策によく似ています。
火気厳禁のルールを徹底し、最新の火災報知器を取り付けることは欠かせません。しかし、「絶対に火事を起こさないから、耐火金庫も火災保険も不要だ」と判断する企業はまず存在しません。万が一の火災が発生した際にも、事業の根幹となる帳簿や重要資産だけは守り抜く備えを用意しておくのが危機管理の原則といえます。
サイバーセキュリティも同様です。「かからないための防御」を固めつつ、同時に「侵入された最悪の事態でも事業を継続できる回復力」を用意しておくこと。この両輪が揃って初めて、現実的な事業継続計画（BCP）が成り立ちます。
図1：「100%防御」の限界とサイバーレジリエンス（事業継続性）への転換モデル
2. 100%防ぐことは、なぜ難しくなったのか
では、なぜ現代のサイバー攻撃は水際で完全に防ぎきることができないのでしょうか。背景には、攻撃側における技術進化と環境の変化があります。
生成AIの悪用による攻撃の高度化
独立行政法人情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威（組織編）」において、「ランサムウェアによる被害」は10年以上にわたり選出され続け、長年トップを維持している最大の脅威です。
さらに近年の情勢として強く警戒されているのが、攻撃者側による「生成AIの悪用」です。かつてのように専門的なプログラミング技術を持たない者であっても、AIツールを活用することで高度なサイバー攻撃を実行できるようになりました。
- 不自然さのないフィッシングメール: 機械翻訳特有の違和感が完全に排除され、取引先や社内関係者を装った精巧な文面が自動生成される
- マルウェアの高速な改変: 既存のセキュリティソフトによるシグネチャ検知をすり抜けるよう、コード構造を自動で難読化・改変しながら攻撃を仕掛ける
- 脆弱性探索の自動化: 公開されているVPN機器やサーバーの弱点をAIツールが高速で探索し、侵入までの時間を大幅に短縮させる
人間の注意力だけに頼る限界
侵入経路が多様化する現代において、「境界線で100%食い止める」ことだけを前提とした対策には限界があります。だからこそ、多くの企業が「侵入後の被害を最小限に抑え、迅速に復旧する仕組み」にも注目するようになっています。
3. なぜ攻撃者は最初にバックアップを狙うのか
攻撃者にとって本番データの暗号化は最終段階に過ぎず、その前段階としてバックアップデータの無力化を重視しているケースが少なくありません。攻撃者が侵入直後に最も執着するのは、「バックアップデータの所在」です。
警察庁の統計が示す「復元成功はわずか2割」の現実
警察庁が公表している「サイバー空間をめぐる脅威の情勢等について」の調査資料において、被害組織の復旧実態を示すデータが報告されています。
ランサムウェア被害に遭った組織の多くは定期的なバックアップを取得していました。しかし、実際にバックアップからデータを復元できた割合はわずか2割程度にとどまり、約8割の組織が正常な復旧に失敗したと報告されています。
復元できなかった最大の理由は、「バックアップデータそのものまで暗号化や削除の被害に遭ったこと」です。さらに同庁の調査では、被害組織の半数以上が復旧に1週間以上を要し、1か月以上の長期に及んだ組織も2割以上に達しています。また、調査・復旧費用の総額が1,000万円以上に上った組織が約4割を占めるなど、被害が長期化・高額化する実態も明らかになっています。
復旧手段を奪われると、自力での事業再開が困難になる
攻撃者はネットワーク内部に侵入した後、数日から数週間にわたって潜伏し、Active Directoryなどの管理者アカウント（特権ID）をひそかに奪取します。
管理者権限を手に入れた攻撃者が本番サーバーに手を付ける前にまず狙うのが、バックアップ領域への侵入と過去世代データの完全な消去です。復旧手段を完全に奪ってから本番環境を暗号化すれば、被害企業は「身代金を支払うか、事業を停止するか」の二者択一に追い込まれるためです。
逆に言えば、たとえ本番環境が暗号化されたとしても、バックアップデータが無傷で残っていれば、自社の手でシステムを再建し、事業を再開することができます。そのため近年のランサムウェア対策では、「バックアップを取得すること」に加え、「バックアップそのものを削除や改ざんから守ること」が重要なテーマとなっています。
4. 管理者権限でも消せない「イミュータブル（不変）ストレージ」の仕組み
ここで浮上するのが、「攻撃者に管理者権限を奪われた状況で、どうやってバックアップを守るのか」という問いです。その課題を解決する技術のひとつが、「イミュータブルストレージ（Immutable Storage：不変ストレージ）」です。
通常のストレージが突破される理由
多くの現場では、バックアップ先として同一ネットワーク上のNASやファイルサーバーを利用しています。
しかし、これらの共有ストレージはOSの権限モデルに基づいているため、管理者アカウント（rootやAdministrator）を握った攻撃者から「全ファイル削除」や「ボリューム初期化」の命令が下されれば、システムはその命令を正当な管理操作として処理してしまいます。システムにとって、正規の担当者による操作と、乗っ取られたアカウントによる攻撃を区別する術がないからです。
WORM技術による不変性の実現
イミュータブルストレージの中核には、「WORM（Write Once, Read Many：一度だけ書き込み、以後は読み出しのみ）」の機構が組み込まれています。
最大の特徴は、保護の実行判断がOSではなく「ストレージ自身の内部エンジン」で行われる点です。指定した保護期間（例：30日間）が経過するまでは、OSの最高権限から削除命令が届いても、ストレージファームウェアがその要求を機械的に拒絶します。つまり、イミュータブルストレージは「バックアップを取得する仕組み」ではなく、「取得したバックアップを確実に残す仕組み」と言えます。
次章では、このイミュータブル技術を活用した Arcserve Cyber Resilient Storage（CRS） が、どのように企業の復旧基盤として機能するのかを見ていきます。
図2：従来の共有NASとイミュータブルストレージの防御構造比較
イミュータブルストレージは、「どれほど高い権限を持つアカウントであっても、保持期間内はデータを削除できない」という仕組みによってバックアップを保護します。これにより、管理者権限が乗っ取られる最悪の事態が発生した場合でも、重要なバックアップデータを保全できます。
5. Arcserve Cyber Resilient Storage（CRS）が実現するサイバーレジリエンス
前章で紹介したイミュータブルストレージの考え方を、企業のバックアップ運用へ実装したソリューションが「Arcserve Cyber Resilient Storage（CRS）」です。製品名に含まれる「Resilient（回復力）」という言葉が示すように、CRSは侵入防止だけに依存せず、侵入後の迅速な復旧を重視した設計になっています。
Arcserve UDPとの連携による隔離アーキテクチャ
Arcserve CRSは単独で利用するものではなく、Arcserve UDPの復旧ポイントサーバ（RPS）と連携して動作します。これにより、日常的なバックアップ運用とイミュータブルストレージによる保護を両立できます。
- バックアップの保管と不変スナップショットの生成: 保護対象サーバーから受け取ったバックアップデータを保存すると同時に、不変スナップショットを生成します。
- バックアップデータの隔離保護: スナップショットは独立した保護領域に保持され、設定された期間中は改ざんや削除を受け付けません。
- 攻撃被害の局所化: 仮に攻撃者が復旧ポイントサーバ（RPS）上のデータストアを破壊した場合でも、CRSに保管されたスナップショットは保護されます。
- 迅速なデータストア復旧: 健全なスナップショットを利用してデータストアを再構築し、復旧作業の迅速化を実現します。
このようにCRSは、「侵入を防ぐこと」ではなく、「侵入されても復旧できること」に重点を置いたデータ保護基盤です。サイバー攻撃を完全に防ぐことが難しい時代において、企業の事業継続を支える重要な選択肢となっています。
図3：Arcserve Cyber Resilient Storage（CRS）による4段階の復旧サイクル
6. 事業継続を実現する現実的なセキュリティ投資
「万が一に備える」アプローチを採用すると、セキュリティ投資の考え方も非常に合理的になります。
「100%の予防」だけを追求する過度な投資負担を避ける
防御ツールだけで侵入確率を「95%から99%」に引き上げるには、多大なコストと運用負荷がかかります。さらに、そこから「99%を100%にする」ことは理論上不可能です。
一方で、投資のバランスを「95%の予防（侵入リスクの低減）」と「高い回復力（迅速な復旧体制の確保）」へ再配分することで、限られた予算の中でも事業継続性を高め、サイバーリスクへの耐性を強化できます。
観点 | 従来型の防御重視アプローチ | 復旧力を重視したレジリエンスアプローチ |
|---|---|---|
基本思想 | 侵入を防ぐことを最優先とする | 侵入を許しても復旧を前提に被害を最小限に抑える |
想定リスク | 侵入を許した場合、業務停止につながる可能性がある | 本番データが暗号化されても復旧手段が残る |
バックアップの位置づけ | 障害発生時に利用する予備データ | 事業継続を支える最後の復旧基盤 |
投資配分 | 境界防御や監視強化への投資が中心 | 予防対策と復旧基盤へバランスよく投資する |
運用設計で押さえるべき2つのポイント
イミュータブルストレージを真の「安全網」として機能させるには、実務面での適切な運用設計が欠かせません。特に重要となるのが、保管期間の設定と定期的な復旧訓練の2点です。
- 保管期間（ロック期間）の最適化: 攻撃者が侵入してからランサムウェアを実行するまでには、一定期間ネットワーク内に潜伏するケースがあります。そのため、保管期間はその潜伏期間を考慮して設計する必要があります。一般的には14日～30日程度を目安とすることが多いものの、短すぎると潜伏型攻撃への対応が難しくなり、長すぎるとストレージ容量の圧迫につながるため、環境に応じた適切な設定が重要です。
- 定期的なリストア検証の実施: バックアップデータが保管されていることと、実際に迅速な業務復旧ができることは別の問題です。少なくとも半年に一度はスナップショットからの復元テストや仮想マシンの起動検証を実施し、復旧手順や所要時間を確認しておくことが重要です。
7. まとめとTIDによる導入支援体制
サイバー攻撃の手口が高度化を極める現代、セキュリティのゴールは「侵入を防ぐこと」だけでなく、「事業を止めないこと」へと広がっています。
ランサムウェアによる被害を防ぐための対策を継続しながら、万が一の事態に備えてイミュータブルストレージによるデータ保護基盤を整備しておくこと。その備えが、重要なデータを守り、迅速な復旧を実現するための大きな支えとなります。
株式会社ティ・アイ・ディ（TID）の取り組み
株式会社ティ・アイ・ディでは、Arcserve製品を活用し、企業の事業継続を支えるデータ保護基盤の設計・構築から運用支援まで一貫してサポートしています。
- 要件定義・サイジング: 現行のバックアップ容量やデータ増加率、復旧目標（RPO/RTO）を踏まえ、適切なストレージ容量とシステム構成を設計
- ハイブリッド環境の構築: オンプレミス環境とクラウドサービスを組み合わせた、柔軟で拡張性の高いバックアップ基盤を構築
- 総合的なデータ保護支援: バックアップ＆リカバリーサービスを通じて、3-2-1ルールに基づくデータ保護環境の整備を支援
- 継続的な保守・運用サポート: 障害対応、定期的なリストア検証、運用改善提案まで継続的に支援
防ぐ対策から、事業を止めない対策へ。
ティ・アイ・ディは、Arcserve製品を活用したデータ保護基盤の構築を通じて、お客様の事業継続を支援しています。
▶ Arcserveソリューションのご紹介 ｜ ▶ お問い合わせ・ご相談はこちら
よくある質問（FAQ）
Q. 「侵入を防げない」のであれば、日常のウイルス対策やEDRは不要ですか？
A. いいえ、予防策は引き続き極めて重要です。オフィスの施錠や入退室管理を怠れば不正侵入を招いてしまうのと同様に、侵入リスクを最小限に抑える対策は不可欠です。予防策を講じたうえで、「万が一突破された場合の備え」としてイミュータブルストレージを併用することが重要です。
Q. 通常のバックアップストレージとイミュータブルストレージの違いは何ですか？
A. 管理者権限（rootやAdministrator）による削除や改ざんに対する保護方式が大きな違いです。通常のNASは管理者権限でデータを削除できますが、イミュータブルストレージでは設定した保持期間中、削除や改ざんを防ぐ仕組みが実装されています。
Q. クラウドにバックアップを保存していれば、不変ストレージは不要ですか？
A. 単にクラウドへコピーしているだけでは不十分です。クラウド管理コンソールの認証情報（アカウント）が漏洩した場合、クラウド上のデータも一括削除されてしまう恐れがあります。クラウドを利用する場合でも、Object Lockなどの不変ストレージ機能を有効化しておく設計が必須です。
Q. 不変ストレージのデータ保持期間は、何日くらいに設定するのが適切ですか？
A. 一般的には14日間～30日程度を目安に設定する事例が多く見られます。攻撃者の潜伏期間と、バックアップに利用可能なストレージ容量のバランスを考慮し、事前のサイジング段階で最適な日数を決定します。
Q. 誤って不要なバックアップを取ってしまった場合、途中で消して容量を空けられますか？
A. イミュータブルストレージでは、設定された保持期間中はバックアップデータを自由に削除できない場合があります。これは、誤操作やランサムウェアによる削除・改ざんからデータを保護するためです。そのため、導入前の容量サイジングや保持期間の設計が重要になります。
Q. 自社環境に適した構成が分かりません。相談に乗ってもらえますか？
A. はい、お気軽にご相談ください。TIDでは、保護対象サーバーの台数やデータ容量、目標とする復旧時間（RTO/RPO）などをヒアリングし、お客様の環境に適した構成をご提案します。オンプレミス、クラウド、ハイブリッド構成を含め、バックアップから復旧までを見据えたデータ保護基盤の構築を支援しています。まずはお気軽にお問い合わせ窓口よりご連絡をお待ちしております。